1. Uvod
Ovaj Dodatak o obradi podataka ("DPA") čini sastavni dio ugovora između vas ("Naručitelj") i Getia AS ("Izvršitelj obrade") za korištenje usluga Portifera.
2. Definicije
- Personal Data: Osobni podaci: Svaki podatak koji se odnosi na identificiranu ili odredivu fizičku osobu
- Processing: Obrada: Svaka radnja izvršena na osobnim podacima
- Controller: Voditelj obrade: Subjekt koji određuje svrhe i sredstva obrade
- Processor: Izvršitelj obrade: Subjekt koji obrađuje osobne podatke u ime voditelja obrade
3. Opseg obrade
Izvršitelj obrade dužan je:
- Obrađivati osobne podatke isključivo prema dokumentiranim uputama Naručitelja
- Osigurati da su osobe koje obrađuju podatke obvezane na povjerljivost
- Provoditi odgovarajuće tehničke i organizacijske sigurnosne mjere
- Pomagati Naručitelju u odgovaranju na zahtjeve ispitanika
- Izbrisati ili vratiti sve osobne podatke po prestanku pružanja usluga
4. Podobrađivači
Naručitelj ovlašćuje Izvršitelja obrade za angažiranje podobrađivača navedenih u Popisu podobrađivača.
5. Sigurnosne mjere
- Enkripcija tijekom prijenosa: usluga se pruža isključivo putem HTTPS-a, uz HTTP Strict Transport Security.
- Enkripcija pohranjenih vjerodajnica: API vjerodajnice prijevoznika, CRM tokeni i ključevi usluge ispisa enkriptiraju se na razini aplikacije pomoću AES-256-GCM. Ostali pohranjeni podaci zaštićeni su sigurnosnim kontrolama podobrađivača za hosting i pohranu.
- Hashiranje: API ključevi naručitelja pohranjuju se isključivo kao hash vrijednosti, a lozinke korisnika hashiraju se pomoću bcrypt.
- Kontrola pristupa: pristup temeljen na ulogama za svaku organizaciju naručitelja, neobavezna dvofaktorska autentifikacija (TOTP), istek sesija sa središnjim opozivom te ograničavanje broja zahtjeva s privremenim zaključavanjem nakon ponovljenih neuspjelih pokušaja prijave.
- Bilježenje: administrativne radnje relevantne za sigurnost, prijave i pristup osoblja računima naručitelja bilježe se u revizijskim zapisima.
- Integracije: odlazni webhookovi potpisuju se pomoću HMAC-SHA256, a zahtjevi prema internim mrežnim adresama blokiraju se.
- Povrede osobnih podataka obrađuju se i prijavljuju kako je opisano u odjeljku 6.
6. Obavijest o povredi podataka
U slučaju povrede osobnih podataka, Izvršitelj obrade dužan je obavijestiti Naručitelja u roku od 72 sata.
7. Kontakt
Za pitanja o obradi podataka obratite nam se na [email protected]
Tvrtka: Getia AS (Org. br.: 926 610 198)
Adresa: At Mesh, Møllergata 6, 0179 Oslo, Norveška