1. Wprowadzenie
Niniejszy Załącznik dotyczący przetwarzania danych („DPA”) stanowi część umowy między Tobą („Klientem”) a Getia AS („Podmiotem przetwarzającym”) w zakresie korzystania z usług Portifer.
2. Definicje
- Personal Data: Dane osobowe: wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej
- Processing: Przetwarzanie: każda operacja wykonywana na danych osobowych
- Controller: Administrator: podmiot, który określa cele i sposoby przetwarzania
- Processor: Podmiot przetwarzający: podmiot, który przetwarza dane osobowe w imieniu administratora
3. Zakres przetwarzania
Podmiot przetwarzający zobowiązuje się:
- Przetwarzać dane osobowe wyłącznie na udokumentowane polecenie Klienta
- Zapewnić, że osoby przetwarzające dane są zobowiązane do zachowania poufności
- Wdrożyć odpowiednie techniczne i organizacyjne środki bezpieczeństwa
- Wspierać Klienta w odpowiadaniu na żądania osób, których dane dotyczą
- Usunąć lub zwrócić wszystkie dane osobowe po zakończeniu świadczenia usług
4. Podprzetwarzający
Klient upoważnia Podmiot przetwarzający do angażowania podprzetwarzających wymienionych w Lista podprzetwarzających.
5. Środki bezpieczeństwa
- Szyfrowanie w tranzycie: usługa jest udostępniana wyłącznie przez HTTPS z HTTP Strict Transport Security.
- Szyfrowanie przechowywanych danych uwierzytelniających: dane uwierzytelniające API przewoźników, tokeny CRM i klucze usługi drukowania są szyfrowane na poziomie aplikacji przy użyciu AES-256-GCM. Pozostałe przechowywane dane są chronione przez mechanizmy bezpieczeństwa podprzetwarzających świadczących usługi hostingu i przechowywania.
- Haszowanie: klucze API klientów są przechowywane wyłącznie w postaci skrótów, a hasła użytkowników są haszowane przy użyciu bcrypt.
- Kontrola dostępu: dostęp oparty na rolach w ramach każdej organizacji klienta, opcjonalne uwierzytelnianie dwuskładnikowe (TOTP), wygasanie sesji z centralnym unieważnianiem oraz ograniczanie liczby żądań z tymczasową blokadą po powtarzających się nieudanych próbach logowania.
- Rejestrowanie: istotne dla bezpieczeństwa działania administracyjne, logowania oraz dostęp personelu do kont klientów są rejestrowane w dziennikach audytu.
- Integracje: wychodzące webhooki są podpisywane przy użyciu HMAC-SHA256, a żądania kierowane na wewnętrzne adresy sieciowe są blokowane.
- Naruszenia ochrony danych osobowych są obsługiwane i zgłaszane zgodnie z opisem w sekcji 6.
6. Powiadomienie o naruszeniu ochrony danych
W przypadku naruszenia ochrony danych osobowych Podmiot przetwarzający powiadomi Klienta w ciągu 72 godzin.
7. Kontakt
W sprawie pytań dotyczących przetwarzania danych prosimy o kontakt pod adresem [email protected]
Firma: Getia AS (Nr org.: 926 610 198)
Adres: At Mesh, Møllergata 6, 0179 Oslo, Norwegia