Политика за сигурност
Докладване на уязвимости в сигурността
revzper SAS приема сигурността на платформата Euphile сериозно. Ако откриете уязвимост в сигурността, моля, докладвайте я отговорно, като изпратите имейл на contact@revzper.com. Ще потвърдим получаването в рамките на 48 часа и ще се стремим да предоставим първоначална оценка в рамките на 5 работни дни. Не предприемаме правни действия срещу изследователи, които спазват практиките за отговорно разкриване.
Съответствие с разпоредбите за защита на данните
revzper SAS, в качеството си на администратор на данни за платформата Euphile, се ангажира с пълно съответствие с Общия регламент относно защитата на данните (GDPR) и други приложими законодателни актове на ЕС в областта на защитата на данните. Тази политика очертава придържането ни към следните принципи:
1. Принципи на GDPR
Всички дейности по обработване на данни се извършват при наличие на ясно правно основание, включително съгласие, изпълнение на договор или законен интерес, както е посочено в нашите Регистри на обработването на данни.
Спр.: GDPR
2. Права на субектите на данни
Като субект на данни имате следните права по отношение на личните Ви данни, обработвани на платформата Euphile:
Спр.: GDPR
- Да поискате потвърждение дали Вашите данни се обработват и достъп до тези данни.
- Да поискате коригиране на неточни или непълни лични данни.
- Да поискате изтриване на личните Ви данни при определени условия.
- Да поискате ограничаване на обработването при определени обстоятелства.
- Да получите личните си данни в структуриран, широко използван и пригоден за машинно четене формат.
- Да възразите срещу обработването, основано на законни интереси или директен маркетинг.
- Да оттеглите съгласието си за обработване, когато то е било правното основание.
3. Правно основание за обработване
Правното основание за обработването на лични данни на платформата Euphile варира в зависимост от продукта и услугата. За подробна информация вижте Регистрите на обработването на данни за всеки продукт (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu).
Спр.: GDPR
4. Длъжностно лице по защита на данните (DPO)
revzper SAS е назначило длъжностно лице по защита на данните, което да наблюдава практиките за защита на данните. С DPO може да се свържете на privacy@revzper.com.
Спр.: GDPR
Мерки за сигурност
Нашата платформа прилага следните мерки за сигурност за защита на личните данни:
1. Шифроване
1. При пренос
Всички данни, предавани между потребителите и нашата платформа, се шифроват с помощта на протоколи, съответстващи на индустриалните стандарти, за да се гарантират сигурни комуникационни канали.
2. В покой
Чувствителните данни се шифроват с помощта на надеждни стандарти за шифроване, като ключовете за шифроване се управляват в съответствие с най-добрите практики.
2. Контроли за достъп
1. Контрол на достъпа на базата на роли
Прилага се контрол на достъпа на базата на роли, за да се гарантира, че потребителите имат достъп само до данните и функциите, необходими за техните роли.
2. Многофакторна автентификация
Многофакторната автентификация се изисква за целия административен достъп до платформата.
3. Оценки на сигурността
1. Сканирания за уязвимости и тестове за проникване
Провеждат се редовни сканирания за уязвимости и тестове за проникване с цел идентифициране и отстраняване на слабости в сигурността.
2. Вътрешни оценки на сигурността
Провеждат се вътрешни оценки на сигурността за преглед на журналите за достъп, системните конфигурации и съответствието с политиките за сигурност.
4. Автоматизирано наблюдение
1. Непрекъснато наблюдение
Непрекъснато наблюдение на системните журнали, мрежовия трафик и активността на потребителите с цел откриване и реагиране на подозрително поведение в реално време.
2. Автоматизирани предупреждения
За потенциални инциденти със сигурността се генерират автоматизирани предупреждения, което позволява бързо реагиране.
5. Сертификати за съответствие
Нашата инфраструктура и процеси са проектирани така, че да отговарят на признати стандарти за сигурност. Сертификатите се проверяват редовно и се предоставят при поискване. Всички данни се обработват в рамките на Европейския съюз върху инфраструктура, която отговаря на индустриалните стандарти за сигурност.
Реагиране при инциденти и уведомяване за нарушения
revzper SAS е установило надеждна процедура за реагиране при инциденти с цел справяне с инциденти със сигурността, нарушения на сигурността на данните или неоторизиран достъп до лични данни. Нашата цел е своевременно да откриваме, ограничаваме и смекчаваме последиците от инцидентите, като същевременно гарантираме спазването на законовите задължения.
1. Процедура за реагиране при инциденти
Спр.: GDPR
1. Откриване и докладване
Инцидентите със сигурността се откриват чрез автоматизирани инструменти за наблюдение и ръчно докладване. Служителите и изпълнителите са обучени незабавно да докладват предполагаеми инциденти на privacy@revzper.com или чрез горещата линия за реагиране при инциденти на contact@revzper.com.
Спр.: GDPR
2. Оценка и ограничаване
Екипът за реагиране при инциденти, ръководен от DPO, оценява обхвата и въздействието на инцидента. Прилагат се незабавни мерки за ограничаване, за да се предотврати по-нататъшен неоторизиран достъп или загуба на данни.
Спр.: GDPR
3. Уведомяване на надзорните органи
В случай на нарушение на сигурността на личните данни revzper SAS ще уведоми компетентния надзорен орган в рамките на 72 часа от момента, в който узнае за нарушението, освен ако не е вероятно нарушението да породи риск за правата и свободите на субектите на данни. Уведомлението ще включва: Описание на естеството на нарушението. Категориите и приблизителния брой на засегнатите субекти на данни и записи. Вероятните последици от нарушението. Предприетите или предложените мерки за справяне с нарушението.
Спр.: GDPR
4. Съобщаване на засегнатите субекти на данни
Ако е вероятно нарушението да породи висок риск за правата и свободите на субектите на данни, revzper SAS ще съобщи за нарушението на засегнатите лица без неоправдано забавяне. Съобщението ще включва: Ясно описание на нарушението. Предприетите мерки за справяне с нарушението. Препоръки към субектите на данни за защита на техните права.
Спр.: GDPR
5. Документиране и преглед
Всички инциденти се документират, включително първопричината, действията за реагиране и извлечените поуки. Процедурата за реагиране при инциденти се преглежда и актуализира редовно, за да се включат подобрения.
Спр.: GDPR
2. Път за ескалация
Незначителни инциденти: Обработват се от вътрешния екип по сигурността под надзора на DPO. Сериозни инциденти: Ескалират към висшето ръководство и управителния съвет, с задължително уведомяване на надзорния орган.
Спр.: GDPR
3. Контакт при инциденти
За въпроси или за докладване на инцидент се свържете с DPO на privacy@revzper.com.
Спр.: GDPR
Управление на риска от трети страни
revzper SAS признава, че доставчици трети страни, подизпълнители по обработването и доставчици на услуги могат да обработват лични данни от името на нашата платформа. Ние сме поели ангажимент да гарантираме, че всички трети страни спазват същите високи стандарти за защита и сигурност на данните като revzper SAS.
1. Подизпълнители по обработването и доставчици на услуги
Следните трети страни са ангажирани от revzper SAS за предоставяне на услуги, включващи обработването на лични данни. Всеки подизпълнител по обработването се избира въз основа на задълбочена проверка и договорни гаранции:
Спр.: GDPR
- Услуга: Облачна хостинг услуга
Подизпълнител по обработването: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Местоположение на данните: Франция (регион Париж), Европейски съюз
Сертификати за съответствие: ISO/IEC 27001:2022; HDS (хостинг на здравни данни)
Споразумение за обработване на данни: Споразумение на Scaleway за обработване на данни, https://www.scaleway.com/en/contracts/
- Услуга: Обработване на плащания
Подизпълнител по обработването: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Местоположение на данните: Европейски съюз (Нидерландия)
Сертификати за съответствие: Доставчик на услуги с ниво 1 по PCI DSS; платежна институция, лицензирана от De Nederlandsche Bank
Споразумение за обработване на данни: Mollie обработва платежни данни като самостоятелен администратор съгласно своето Споразумение с потребителя и Декларация за поверителност, https://www.mollie.com/legal/privacy
2. Проверка и подбор
Всички потенциални подизпълнители по обработването се оценяват въз основа на практиките им за сигурност, сертификатите им за съответствие и ангажиментите им за защита на данните. С всички подизпълнители по обработването се сключват споразумения за обработване на данни, в които се определят задълженията им относно защитата на данните, сигурността и уведомяването при нарушение. revzper SAS редовно преглежда работата и съответствието на подизпълнителите по обработването, за да гарантира постоянното спазване на приложимите разпоредби.
Спр.: GDPR
3. Реагиране при инциденти и уведомяване за нарушения
От подизпълнителите по обработването се изисква незабавно да уведомяват revzper SAS за всяко предполагаемо или действително нарушение на сигурността на данните. revzper SAS ще оцени въздействието на нарушението и ще предприеме подходящи действия, включително уведомяване на компетентния надзорен орган и засегнатите субекти на данни, когато това се изисква от приложимите разпоредби.
Спр.: GDPR
4. Контакт за управление на риска от трети страни
За въпроси относно практиките ни за управление на риска от трети страни се свържете с DPO на privacy@revzper.com.
Спр.: GDPR
Обучение и осведоменост на служителите относно сигурността
revzper SAS се ангажира да насърчава култура на осведоменост относно сигурността сред всички служители и изпълнители. Редовното обучение и образование са от съществено значение за поддържане на сигурността на нашата платформа и защита на личните данни.
1. Програма за обучение
1. Обхват
Всички служители и изпълнители с достъп до системите или данните на revzper SAS са длъжни да завършат обучение по сигурността.
2. Обхванати теми
Осведоменост относно често срещани заплахи за сигурността (напр. фишинг, социално инженерство). Практики за сигурно удостоверяване. Контрол на достъпа и принципи на минималните привилегии. Процедури за докладване на инциденти. Принципи за защита на данните и съответствие с нормативните изисквания. Практики за сигурна разработка (за техническия персонал). Физическа сигурност и безопасност на работното място.
3. Периодичност на обучението
Нови служители: Задължително обучение по сигурността в рамките на първите 30 дни от започването на работа. Ежегодно опресняване: Всички служители и изпълнители трябва да завършат ежегодно актуализиращо обучение по сигурността. Обучение при необходимост: Предоставя се допълнително обучение за нови системи, политики или възникващи заплахи.
4. Документация
Присъствието и завършването на обученията се документират и съхраняват по сигурен начин. От служителите се изисква да потвърдят, че разбират учебните материали.
2. Кампании за осведоменост
Симулации на фишинг: Редовно се провеждат симулации на фишинг, за да се оцени осведомеността на служителите и да се затвърди обучението. Информационни бюлетини за сигурността: Периодично се разпространяват бюлетини, в които се споделят актуализации относно заплахите за сигурността, най-добрите практики и промените в политиките. Прегледи на инциденти: Провеждат се прегледи след инциденти, за да се анализират извлечените поуки и да се подобрят практиките за сигурност.
3. Съответствие и прилагане
Неспазването на изискванията за обучение по сигурността може да доведе до дисциплинарни мерки, включително до прекратяване на трудовото или договорното правоотношение. revzper SAS си запазва правото да извършва одит на завършването на обученията и спазването на политиките за сигурност.
4. Контакт за въпроси относно обучението
За въпроси относно нашата програма за обучение по сигурността се свържете с DPO на privacy@revzper.com.