1. Úvod
Tento Dodatok o spracúvaní údajov („DPA“) tvorí súčasť zmluvy medzi vami („Zákazník“) a spoločnosťou Getia AS („Sprostredkovateľ“) týkajúcej sa používania služieb Portifer.
2. Definície
- Personal Data: Osobné údaje: akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby
- Processing: Spracúvanie: akákoľvek operácia vykonávaná s osobnými údajmi
- Controller: Prevádzkovateľ: subjekt, ktorý určuje účely a prostriedky spracúvania
- Processor: Sprostredkovateľ: subjekt, ktorý spracúva osobné údaje v mene prevádzkovateľa
3. Rozsah spracúvania
Sprostredkovateľ je povinný:
- Spracúvať osobné údaje len na základe zdokumentovaných pokynov zákazníka
- Zabezpečiť, aby osoby spracúvajúce údaje podliehali povinnosti mlčanlivosti
- Zaviesť primerané technické a organizačné bezpečnostné opatrenia
- Pomáhať zákazníkovi pri vybavovaní žiadostí dotknutých osôb
- Po ukončení poskytovania služieb vymazať alebo vrátiť všetky osobné údaje
4. Ďalší sprostredkovatelia
Zákazník oprávňuje sprostredkovateľa poveriť ďalších sprostredkovateľov uvedených v Zozname ďalších sprostredkovateľov.
5. Bezpečnostné opatrenia
- Šifrovanie pri prenose: služba sa poskytuje výhradne cez HTTPS s HTTP Strict Transport Security.
- Šifrovanie uložených prístupových údajov: prístupové údaje k API prepravcov, tokeny CRM a kľúče tlačovej služby sa šifrujú na úrovni aplikácie pomocou AES-256-GCM. Ostatné uložené údaje sú chránené bezpečnostnými opatreniami ďalších sprostredkovateľov zabezpečujúcich hosting a úložisko.
- Hašovanie: API kľúče zákazníkov sa ukladajú iba ako haše a heslá používateľov sa hašujú pomocou bcrypt.
- Riadenie prístupu: prístup na základe rolí pre každú organizáciu zákazníka, voliteľné dvojfaktorové overenie (TOTP), vypršanie platnosti relácií s centrálnym odvolaním a obmedzenie frekvencie požiadaviek s dočasným zablokovaním po opakovaných neúspešných pokusoch o prihlásenie.
- Zaznamenávanie: administratívne úkony relevantné z hľadiska bezpečnosti, prihlásenia a prístup zamestnancov k zákazníckym účtom sa zaznamenávajú do auditných záznamov.
- Integrácie: odchádzajúce webhooky sa podpisujú pomocou HMAC-SHA256 a požiadavky na interné sieťové adresy sa blokujú.
- Porušenia ochrany osobných údajov sa riešia a oznamujú tak, ako je opísané v oddiele 6.
6. Oznamovanie porušenia ochrany údajov
V prípade porušenia ochrany osobných údajov sprostredkovateľ oznámi túto skutočnosť zákazníkovi do 72 hodín.
7. Kontakt
Ak máte otázky týkajúce sa spracúvania údajov, kontaktujte nás na [email protected]
Spoločnosť: Getia AS (Org. nr: 926 610 198)
Adresa: At Mesh, Møllergata 6, 0179 Oslo, Nórsko