1. Introduktion
Detta databehandlingstillägg ("DPA") utgör en del av avtalet mellan dig ("Kund") och Getia AS ("Behandlare") för användning av Portifer-tjänster.
2. Definitioner
- Personal Data: Personuppgifter: All information som rör en identifierad eller identifierbar fysisk person
- Processing: Behandling: Varje operation som utförs på personuppgifter
- Controller: Registeransvarig: Den enhet som bestämmer ändamålen och medlen för behandlingen
- Processor: Behandlare: Den enhet som behandlar personuppgifter på uppdrag av den registeransvarige
3. Behandlingens omfattning
Processorn ska:
- Behandla personuppgifter endast efter dokumenterade instruktioner från Kunden
- Se till att personer som behandlar uppgifter omfattas av sekretessskyldigheter
- Genomför lämpliga tekniska och organisatoriska säkerhetsåtgärder
- Hjälpa kunden att svara på förfrågningar från registrerade
- Radera eller returnera alla personuppgifter vid uppsägning av tjänster
4. Underprocessorer
Kunden auktoriserar processorn att anlita underbehandlare som anges i Underprocessorlista.
5. Säkerhetsåtgärder
- Kryptering under överföring: tjänsten tillhandahålls endast via HTTPS, med HTTP Strict Transport Security.
- Kryptering av lagrade inloggningsuppgifter: API-inloggningsuppgifter för transportörer, CRM-token och nycklar till utskriftstjänsten krypteras på applikationsnivå med AES-256-GCM. Övriga lagrade data skyddas av säkerhetskontrollerna hos de underprocessorer som tillhandahåller hosting och lagring.
- Hashning: kunders API-nycklar lagras endast som hashvärden, och användares lösenord hashas med bcrypt.
- Åtkomstkontroll: rollbaserad åtkomst per kundorganisation, valfri tvåfaktorsautentisering (TOTP), sessionsutgång med central återkallelse samt hastighetsbegränsning med tillfällig spärr efter upprepade misslyckade inloggningsförsök.
- Loggning: säkerhetsrelevanta administrativa åtgärder, inloggningar och personalens åtkomst till kundkonton registreras i granskningsloggar.
- Integrationer: utgående webhooks signeras med HMAC-SHA256, och förfrågningar till interna nätverksadresser blockeras.
- Personuppgiftsincidenter hanteras och anmäls enligt beskrivningen i avsnitt 6.
6. Anmälan om dataintrång
I händelse av ett personuppgiftsintrång ska Databehandlaren meddela Kunden inom 72 timmar.
7. Kontakt
För frågor om databehandling, vänligen kontakta oss på [email protected]
Företag: Getia AS (Org. nr: 926 610 198)
Adress: På Mesh, Møllergata 6, 0179 Oslo, Norge