1. Įvadas
Šis Duomenų tvarkymo priedas („DPA“) yra sutarties tarp jūsų („Kliento“) ir Getia AS („Tvarkytojo“) dėl Portifer paslaugų naudojimo dalis.
2. Apibrėžtys
- Personal Data: Asmens duomenys: bet kokia informacija, susijusi su nustatytu ar galimu nustatyti fiziniu asmeniu
- Processing: Tvarkymas: bet kokia su asmens duomenimis atliekama operacija
- Controller: Valdytojas: subjektas, nustatantis tvarkymo tikslus ir priemones
- Processor: Tvarkytojas: subjektas, tvarkantis asmens duomenis valdytojo vardu
3. Tvarkymo apimtis
Tvarkytojas privalo:
- Tvarkyti asmens duomenis tik pagal dokumentais patvirtintus Kliento nurodymus
- Užtikrinti, kad duomenis tvarkantiems asmenims galiotų konfidencialumo įsipareigojimai
- Įgyvendinti tinkamas technines ir organizacines saugumo priemones
- Padėti Klientui atsakyti į duomenų subjektų užklausas
- Ištrinti arba grąžinti visus asmens duomenis nutraukus paslaugas
4. Subtvarkytojai
Klientas įgalioja Tvarkytoją pasitelkti subtvarkytojus, nurodytus Subtvarkytojų sąraše.
5. Saugumo priemonės
- Šifravimas perdavimo metu: paslauga teikiama tik per HTTPS, taikant HTTP Strict Transport Security.
- Saugomų prisijungimo duomenų šifravimas: vežėjų API prisijungimo duomenys, CRM prieigos raktai ir spausdinimo paslaugos raktai šifruojami programos lygmeniu naudojant AES-256-GCM. Kiti saugomi duomenys apsaugoti prieglobos ir saugojimo subtvarkytojų saugumo kontrolės priemonėmis.
- Maiša: klientų API raktai saugomi tik kaip maišos reikšmės, o naudotojų slaptažodžiai maišomi naudojant bcrypt.
- Prieigos kontrolė: vaidmenimis pagrįsta prieiga kiekvienai kliento organizacijai, neprivalomas dviejų veiksnių autentifikavimas (TOTP), seansų galiojimo pabaiga su centralizuotu atšaukimu ir užklausų dažnio ribojimas su laikinu užblokavimu po pakartotinių nesėkmingų bandymų prisijungti.
- Žurnalų registravimas: saugumui svarbūs administraciniai veiksmai, prisijungimai ir darbuotojų prieiga prie klientų paskyrų registruojami audito žurnaluose.
- Integracijos: siunčiamieji webhook pranešimai pasirašomi naudojant HMAC-SHA256, o užklausos į vidinio tinklo adresus blokuojamos.
- Asmens duomenų saugumo pažeidimai tvarkomi ir apie juos pranešama, kaip aprašyta 6 skirsnyje.
6. Pranešimas apie duomenų saugumo pažeidimą
Įvykus asmens duomenų saugumo pažeidimui, Tvarkytojas privalo pranešti Klientui per 72 valandas.
7. Kontaktai
Dėl klausimų apie duomenų tvarkymą susisiekite su mumis adresu [email protected]
Įmonė: Getia AS (Org. nr: 926 610 198)
Adresas: At Mesh, Møllergata 6, 0179 Oslas, Norvegija