1. Введение
Настоящее Дополнение об обработке данных («DPA») является частью соглашения между вами («Заказчик») и Getia AS («Обработчик») об использовании услуг Portifer.
2. Определения
- Personal Data: Персональные данные: любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу
- Processing: Обработка: любая операция, выполняемая с персональными данными
- Controller: Контролёр: организация, определяющая цели и средства обработки
- Processor: Обработчик: организация, обрабатывающая персональные данные от имени контролёра
3. Объём обработки
Обработчик обязуется:
- Обрабатывать персональные данные только по документированным инструкциям Заказчика
- Обеспечивать, чтобы лица, обрабатывающие данные, были связаны обязательствами о конфиденциальности
- Внедрять надлежащие технические и организационные меры безопасности
- Помогать Заказчику в ответах на запросы субъектов данных
- Удалять или возвращать все персональные данные по завершении оказания услуг
4. Субпроцессоры
Заказчик разрешает Обработчику привлекать субпроцессоров, перечисленных в Списке субпроцессоров.
5. Меры безопасности
- Шифрование при передаче: сервис предоставляется только по HTTPS с использованием HTTP Strict Transport Security.
- Шифрование хранимых учетных данных: учетные данные API перевозчиков, токены CRM и ключи сервиса печати шифруются на уровне приложения с помощью AES-256-GCM. Прочие хранимые данные защищены мерами безопасности субпроцессоров, обеспечивающих хостинг и хранение.
- Хеширование: API-ключи заказчиков хранятся только в виде хешей, а пароли пользователей хешируются с помощью bcrypt.
- Контроль доступа: ролевой доступ в рамках каждой организации заказчика, необязательная двухфакторная аутентификация (TOTP), истечение срока действия сессий с централизованным отзывом, а также ограничение частоты запросов с временной блокировкой после повторных неудачных попыток входа.
- Журналирование: значимые для безопасности административные действия, входы в систему и доступ сотрудников к учетным записям заказчиков фиксируются в журналах аудита.
- Интеграции: исходящие веб-хуки подписываются с помощью HMAC-SHA256, а запросы к внутренним сетевым адресам блокируются.
- Утечки персональных данных обрабатываются, и уведомления о них направляются в порядке, описанном в разделе 6.
6. Уведомление об утечке данных
В случае утечки персональных данных Обработчик обязан уведомить Заказчика в течение 72 часов.
7. Контакты
По вопросам обработки данных свяжитесь с нами по адресу [email protected]
Компания: Getia AS (Org. nr: 926 610 198)
Адрес: At Mesh, Møllergata 6, 0179 Oslo, Norway