1. Ievads
Šis datu apstrādes papildinājums ("DPA") ir daļa no līguma starp jums ("Klients") un Getia AS ("Apstrādātājs") par Portifer pakalpojumu izmantošanu.
2. Definīcijas
- Personal Data: Personas dati: jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu
- Processing: Apstrāde: jebkura darbība, kas veikta ar personas datiem
- Controller: Pārzinis: subjekts, kas nosaka apstrādes mērķus un līdzekļus
- Processor: Apstrādātājs: subjekts, kas apstrādā personas datus pārziņa vārdā
3. Apstrādes apjoms
Apstrādātājs:
- Apstrādā personas datus tikai saskaņā ar dokumentētiem Klienta norādījumiem
- Nodrošina, ka personas, kas apstrādā datus, ir pakļautas konfidencialitātes saistībām
- Īsteno atbilstošus tehniskus un organizatoriskus drošības pasākumus
- Palīdz Klientam atbildēt uz datu subjektu pieprasījumiem
- Dzēš vai atgriež visus personas datus pēc pakalpojumu izbeigšanas
4. Apakšapstrādātāji
Klients pilnvaro Apstrādātāju piesaistīt apakšapstrādātājus, kā norādīts Apakšapstrādātāju saraksts.
5. Drošības pasākumi
- Šifrēšana pārsūtīšanas laikā: pakalpojums tiek nodrošināts tikai, izmantojot HTTPS, ar HTTP Strict Transport Security.
- Saglabāto piekļuves datu šifrēšana: pārvadātāju API piekļuves dati, CRM pilnvaras un drukāšanas pakalpojuma atslēgas tiek šifrētas lietotnes līmenī ar AES-256-GCM. Pārējos saglabātos datus aizsargā mitināšanas un glabāšanas apakšapstrādātāju drošības kontroles.
- Jaukšana: klientu API atslēgas tiek glabātas tikai jaucējvērtību veidā, un lietotāju paroles tiek jauktas ar bcrypt.
- Piekļuves kontrole: uz lomām balstīta piekļuve katrai klienta organizācijai, neobligāta divfaktoru autentifikācija (TOTP), sesiju derīguma termiņa beigas ar centralizētu atsaukšanu un pieprasījumu biežuma ierobežošana ar īslaicīgu bloķēšanu pēc atkārtotiem neveiksmīgiem pierakstīšanās mēģinājumiem.
- Žurnālēšana: drošības ziņā nozīmīgas administratīvās darbības, pierakstīšanās un darbinieku piekļuve klientu kontiem tiek reģistrētas audita žurnālos.
- Integrācijas: izejošie tīmekļa āķi (webhooks) tiek parakstīti ar HMAC-SHA256, un pieprasījumi uz iekšējā tīkla adresēm tiek bloķēti.
- Personas datu aizsardzības pārkāpumi tiek apstrādāti un par tiem tiek paziņots, kā aprakstīts 6. sadaļā.
6. Paziņošana par datu aizsardzības pārkāpumu
Personas datu aizsardzības pārkāpuma gadījumā Apstrādātājs paziņo Klientam 72 stundu laikā.
7. Kontakti
Jautājumu gadījumā par datu apstrādi, lūdzu, sazinieties ar mums [email protected]
Uzņēmums: Getia AS (Org. nr: 926 610 198)
Adrese: At Mesh, Møllergata 6, 0179 Oslo, Norway