Политика за сигурност
Докладване на уязвимости в сигурността
revzper SAS приема сигурността на платформата Euphile сериозно. Ако откриете уязвимост в сигурността, моля, докладвайте я отговорно, като изпратите имейл на contact@revzper.com. Ще потвърдим получаването в рамките на 48 часа и ще се стремим да предоставим първоначална оценка в рамките на 5 работни дни. Не предприемаме правни действия срещу изследователи, които следват практиките за отговорно разкриване.
Спазване на разпоредбите за защита на данните
revzper SAS, в качеството си на администратор на данни за платформата Euphile, се ангажира с пълното спазване на Общия регламент относно защитата на данните (GDPR) и други приложими законови разпоредби на ЕС за защита на данните. Настоящата политика очертава спазването от наша страна на следните принципи:
1. Принципи на GDPR
Всички дейности по обработване на данни се извършват с ясно правно основание, включително съгласие, изпълнение на договор или легитимен интерес, както е посочено в нашата Политика за поверителност.
Справка: GDPR
2. Права на субектите на данни
Като субект на данни имате следните права по отношение на личните ви данни, обработвани на платформата Euphile:
Справка: GDPR
- Да поискате потвърждение дали данните ви се обработват и достъп до тези данни.
- Да поискате коригиране на неточни или непълни лични данни.
- Да поискате изтриване на личните ви данни при определени условия.
- Да поискате ограничаване на обработването при определени обстоятелства.
- Да получите личните си данни в структуриран, широко използван и пригоден за машинно четене формат.
- Да възразите срещу обработването, основано на легитимни интереси или директен маркетинг.
- Да оттеглите съгласието си за обработване, когато то е било правното основание.
3. Правно основание за обработване
Правното основание за обработване на лични данни на платформата Euphile варира в зависимост от продукта и услугата. За подробна информация вижте Политиката за поверителност за всеки продукт (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu).
Справка: GDPR
4. Длъжностно лице по защита на данните (DPO)
revzper SAS е назначило длъжностно лице по защита на данните, което да контролира практиките за защита на данните. С DPO може да се свържете на privacy@revzper.com.
Справка: GDPR
Мерки за сигурност
Нашата платформа прилага следните мерки за сигурност за защита на личните данни:
1. Шифроване
1. При предаване
Всички данни, предавани между потребителите и нашата платформа, се шифроват с помощта на протоколи, съответстващи на индустриалните стандарти, за да се гарантират сигурни комуникационни канали.
2. В покой
Чувствителните данни се шифроват с помощта на надеждни стандарти за шифроване, като ключовете за шифроване се управляват в съответствие с най-добрите практики.
2. Контрол на достъпа
1. Контрол на достъпа, основан на роли
Прилага се контрол на достъпа, основан на роли, за да се гарантира, че потребителите имат достъп само до данните и функциите, необходими за техните роли.
2. Многофакторна автентикация
За целия административен достъп до платформата се изисква многофакторна автентикация.
3. Оценки на сигурността
1. Сканирания за уязвимости и тестове за проникване
Редовно се извършват сканирания за уязвимости и тестове за проникване с цел идентифициране и отстраняване на слабости в сигурността.
2. Вътрешни оценки на сигурността
Извършват се вътрешни оценки на сигурността за преглед на журналите за достъп, системните конфигурации и съответствието с политиките за сигурност.
4. Автоматизирано наблюдение
1. Непрекъснато наблюдение
Непрекъснато наблюдение на системните журнали, мрежовия трафик и активността на потребителите с цел откриване и реагиране на подозрително поведение в реално време.
2. Автоматизирани предупреждения
Генерират се автоматизирани предупреждения за потенциални инциденти, свързани със сигурността, което позволява бърза реакция.
5. Сертификати за съответствие
Нашата инфраструктура и процеси са проектирани така, че да отговарят на признати стандарти за сигурност. Сертификатите се проверяват редовно и се предоставят при поискване. Всички данни се обработват в рамките на Европейския съюз върху инфраструктура, която отговаря на индустриалните стандарти за сигурност.
Реагиране при инциденти и уведомяване за нарушения
revzper SAS е установило надеждна процедура за реагиране при инциденти за справяне с инциденти, нарушения на сигурността на данните или неоторизиран достъп до лични данни. Нашата цел е своевременно да откриваме, ограничаваме и смекчаваме последиците от инцидентите, като същевременно гарантираме спазването на правните задължения.
1. Процедура за реагиране при инциденти
Справка: GDPR
1. Откриване и докладване
Инцидентите, свързани със сигурността, се откриват чрез инструменти за автоматизирано наблюдение и ръчно докладване. Служителите и изпълнителите са обучени незабавно да докладват предполагаеми инциденти на privacy@revzper.com или чрез горещата линия за реагиране при инциденти на contact@revzper.com.
Справка: GDPR
2. Оценка и ограничаване
Екипът за реагиране при инциденти, ръководен от DPO, оценява обхвата и въздействието на инцидента. Прилагат се незабавни мерки за ограничаване, за да се предотврати по-нататъшен неоторизиран достъп или загуба на данни.
Справка: GDPR
3. Уведомяване на надзорните органи
В случай на нарушение на сигурността на личните данни revzper SAS ще уведоми компетентния надзорен орган в рамките на 72 часа от узнаването за нарушението, освен ако не е вероятно нарушението да породи риск за правата и свободите на субектите на данни. Уведомлението ще включва: Описание на естеството на нарушението. Категориите и приблизителния брой на засегнатите субекти на данни и записи. Вероятните последици от нарушението. Предприетите или предложените мерки за справяне с нарушението.
Справка: GDPR
4. Съобщаване на засегнатите субекти на данни
Ако е вероятно нарушението да породи висок риск за правата и свободите на субектите на данни, revzper SAS ще съобщи за нарушението на засегнатите лица без неоправдано забавяне. Съобщението ще включва: Ясно описание на нарушението. Предприетите мерки за справяне с нарушението. Препоръки към субектите на данни за защита на техните права.
Справка: GDPR
5. Документиране и преглед
Всички инциденти се документират, включително първопричината, действията за реагиране и извлечените поуки. Процедурата за реагиране при инциденти се преглежда и актуализира редовно, за да включва подобрения.
Спр.: GDPR
2. Път за ескалация
Незначителни инциденти: Обработват се от вътрешния екип по сигурността под надзора на ДЛЗД. Съществени инциденти: Ескалират се до висшето ръководство и съвета на директорите, с задължително уведомяване на надзорния орган.
Спр.: GDPR
3. Контакт при инциденти
При въпроси или за докладване на инцидент се свържете с ДЛЗД на privacy@revzper.com.
Спр.: GDPR
Управление на риска от трети страни
revzper SAS признава, че доставчици от трети страни, подизпълнители по обработването и доставчици на услуги могат да обработват лични данни от името на нашата платформа. Ние сме ангажирани да гарантираме, че всички трети страни спазват същите високи стандарти за защита на данните и сигурност като revzper SAS.
1. Подизпълнители по обработването и доставчици на услуги
Следните трети страни са ангажирани от revzper SAS за предоставяне на услуги, включващи обработването на лични данни. Всеки подизпълнител по обработването се избира въз основа на задълбочена проверка и договорни гаранции:
Спр.: GDPR
- Услуга: Облачен хостинг
Подизпълнител по обработването: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Местоположение на данните: Франция (регион Париж), Европейски съюз
Сертификати за съответствие: ISO/IEC 27001:2022; HDS (хостинг на здравни данни)
Споразумение за обработване на данни: Scaleway Data Processing Agreement, https://www.scaleway.com/en/contracts/
- Услуга: Обработване на плащания
Подизпълнител по обработването: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Местоположение на данните: Европейски съюз (Нидерландия)
Сертификати за съответствие: Доставчик на услуги PCI DSS Level 1; платежна институция, упълномощена от De Nederlandsche Bank
Споразумение за обработване на данни: Mollie обработва платежни данни като независим администратор съгласно своето User Agreement и Privacy Statement, https://www.mollie.com/legal/privacy
- Услуга: Извеждане на резултати от AI (модели OpenAI)
Подизпълнител по обработването: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland (Microsoft Foundry, Azure OpenAI Service)
Местоположение на данните: Европейски съюз: внедрявания на зони за данни в ресурс във Франция (France Central); заявките и отговорите се обработват в рамките на Azure EU Data Boundary, данните в покой се намират във Франция
Сертификати за съответствие: ISO/IEC 27001, SOC 2 (Microsoft Service Trust Portal, https://servicetrust.microsoft.com/)
Споразумение за обработване на данни: Microsoft Products and Services Data Protection Addendum, https://aka.ms/DPA; условия за данните за моделите Foundry, https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy
- Услуга: Извеждане на резултати от AI (модели Mistral)
Подизпълнител по обработването: Mistral AI SAS, RCS Paris 952 418 325, 15 rue des Halles, 75001 Paris, France (La Plateforme)
Местоположение на данните: Европейски съюз (извеждане на резултати чрез регионалната крайна точка на Mistral за ЕС; данните се хостват в Европейския съюз по подразбиране; входовете и изходите от API се съхраняват тридесет последователни дни за наблюдение за злоупотреби)
Сертификати за съответствие: SOC 2 Type II; ISO/IEC 27001 и 27701 (Mistral AI Trust Center, https://trust.mistral.ai/)
Споразумение за обработване на данни: Mistral AI Data Processing Addendum, https://legal.mistral.ai/terms/data-processing-addendum/
2. Проверка и подбор
Всички потенциални подизпълнители по обработването се оценяват въз основа на техните практики за сигурност, сертификати за съответствие и ангажименти за защита на данните. С всички подизпълнители по обработването се сключват споразумения за обработване на данни, в които се определят техните задължения по отношение на защитата на данните, сигурността и уведомяването за нарушения. revzper SAS редовно преглежда работата и съответствието на подизпълнителите по обработването, за да гарантира продължаващото спазване на приложимите разпоредби.
Спр.: GDPR
3. Реагиране при инциденти и уведомяване за нарушения
От подизпълнителите по обработването се изисква незабавно да уведомяват revzper SAS за всяко предполагаемо или действително нарушение на сигурността на данните. revzper SAS ще оцени въздействието на нарушението и ще предприеме подходящи действия, включително уведомяване на компетентния надзорен орган и засегнатите субекти на данни, съгласно изискванията на приложимите разпоредби.
Спр.: GDPR
4. Контакт за управление на риска от трети страни
При въпроси относно практиките ни за управление на риска от трети страни се свържете с ДЛЗД на privacy@revzper.com.
Спр.: GDPR
Обучение и информираност на служителите относно сигурността
revzper SAS е ангажирана с насърчаването на култура на осведоменост относно сигурността сред всички служители и изпълнители. Редовното обучение и образование са от съществено значение за поддържане на сигурността на нашата платформа и защита на личните данни.
1. Програма за обучение
1. Обхват
Всички служители и изпълнители с достъп до системите или данните на revzper SAS са длъжни да завършат обучение по сигурност.
2. Обхванати теми
Осведоменост относно обичайните заплахи за сигурността (напр. фишинг, социално инженерство). Практики за сигурно удостоверяване. Контрол на достъпа и принципи на най-малките привилегии. Процедури за докладване на инциденти. Принципи за защита на данните и съответствие с нормативните изисквания. Практики за сигурна разработка (за техническия персонал). Физическа сигурност и безопасност на работното място.
3. Честота на обученията
Нови служители: Задължително обучение по сигурност в рамките на първите 30 дни от назначаването. Ежегодно опреснително обучение: Всички служители и изпълнители трябва да завършват ежегодно актуализирано обучение по сигурност. Обучение при необходимост: Допълнително обучение се предоставя при въвеждане на нови системи, политики или възникващи заплахи.
4. Документация
Присъствието и завършването на обученията се документират и съхраняват по сигурен начин. От служителите се изисква да потвърдят, че са разбрали учебните материали.
2. Кампании за повишаване на информираността
Симулации на фишинг: Редовно се провеждат симулации на фишинг с цел оценка на осведомеността на служителите и затвърждаване на обучението. Бюлетини за сигурността: Периодично се разпространяват бюлетини за споделяне на актуализации относно заплахите за сигурността, най-добрите практики и промените в политиките. Прегледи на инциденти: След инциденти се провеждат прегледи с цел анализ на извлечените поуки и подобряване на практиките за сигурност.
3. Съответствие и правоприлагане
Неспазването на изискванията за обучение по сигурността може да доведе до дисциплинарни мерки, включително до прекратяване на трудовото правоотношение. revzper SAS си запазва правото да извършва одит на завършването на обученията и спазването на политиките за сигурност.
4. Контакт за въпроси относно обучението
За въпроси относно нашата програма за обучение по сигурността се свържете с DPO на privacy@revzper.com.