1. Вступ
Цей Додаток про обробку даних («DPA») є частиною угоди між вами («Замовник») та Getia AS («Обробник») щодо використання послуг Portifer.
2. Визначення
- Personal Data: Персональні дані: будь-яка інформація, що стосується ідентифікованої або ідентифіковної фізичної особи
- Processing: Обробка: будь-яка операція, що виконується з персональними даними
- Controller: Контролер: суб'єкт, який визначає цілі та засоби обробки
- Processor: Обробник: суб'єкт, який обробляє персональні дані від імені контролера
3. Обсяг обробки
Обробник зобов'язується:
- Обробляти персональні дані лише за задокументованими інструкціями Замовника
- Забезпечувати, щоб особи, які обробляють дані, дотримувалися зобов'язань щодо конфіденційності
- Впроваджувати належні технічні та організаційні заходи безпеки
- Допомагати Замовнику відповідати на запити суб'єктів даних
- Видалити або повернути всі персональні дані після припинення надання послуг
4. Субпідрядники
Замовник уповноважує Обробника залучати субпідрядників, зазначених у Списку субпідрядників.
5. Заходи безпеки
- Шифрування під час передавання: сервіс надається виключно через HTTPS із використанням HTTP Strict Transport Security.
- Шифрування збережених облікових даних: облікові дані API перевізників, токени CRM і ключі сервісу друку шифруються на рівні застосунку за допомогою AES-256-GCM. Інші збережені дані захищені засобами безпеки субобробників, що забезпечують хостинг і зберігання.
- Гешування: API-ключі замовників зберігаються лише у вигляді гешів, а паролі користувачів гешуються за допомогою bcrypt.
- Контроль доступу: рольовий доступ у межах кожної організації замовника, необов'язкова двофакторна автентифікація (TOTP), завершення строку дії сеансів із централізованим відкликанням, а також обмеження частоти запитів із тимчасовим блокуванням після повторних невдалих спроб входу.
- Журналювання: важливі для безпеки адміністративні дії, входи в систему та доступ персоналу до облікових записів замовників фіксуються в журналах аудиту.
- Інтеграції: вихідні вебхуки підписуються за допомогою HMAC-SHA256, а запити до внутрішніх мережевих адрес блокуються.
- Порушення захисту персональних даних обробляються, і про них повідомляється в порядку, описаному в розділі 6.
6. Повідомлення про порушення захисту даних
У разі порушення захисту персональних даних Обробник повідомляє Замовника протягом 72 годин.
7. Контакти
З питань обробки даних, будь ласка, звертайтеся до нас за адресою [email protected]
Компанія: Getia AS (Org. nr: 926 610 198)
Адреса: At Mesh, Møllergata 6, 0179 Oslo, Norway