Bezpečnostní politika
Oznamování bezpečnostních zranitelností
revzper SAS bere bezpečnost platformy Euphile vážně. Pokud objevíte bezpečnostní zranitelnost, oznamte ji prosím zodpovědně e-mailem na contact@revzper.com. Potvrzení o přijetí oznámení zašleme do 48 hodin a naším cílem je poskytnout prvotní posouzení do 5 pracovních dnů. Proti výzkumným pracovníkům, kteří dodržují postupy zodpovědného zveřejňování, nepodnikáme právní kroky.
Soulad s předpisy o ochraně údajů
revzper SAS se jako správce údajů pro platformu Euphile zavazuje k plnému souladu s obecným nařízením o ochraně osobních údajů (GDPR) a dalšími platnými právními předpisy EU o ochraně údajů. Tato politika popisuje naše dodržování následujících zásad:
1. Zásady GDPR
Veškeré činnosti zpracování údajů jsou prováděny na základě jasného právního titulu, včetně souhlasu, plnění smlouvy nebo oprávněného zájmu, jak je uvedeno v našich Zásadách ochrany osobních údajů.
Odkaz: GDPR
2. Práva subjektů údajů
Jako subjekt údajů máte v souvislosti se svými osobními údaji zpracovávanými na platformě Euphile následující práva:
Odkaz: GDPR
- Požádat o potvrzení, zda jsou vaše údaje zpracovávány, a o přístup k těmto údajům.
- Požádat o opravu nepřesných nebo neúplných osobních údajů.
- Požádat za konkrétních podmínek o výmaz svých osobních údajů.
- Požádat za určitých okolností o omezení zpracování.
- Obdržet své osobní údaje ve strukturovaném, běžně používaném a strojově čitelném formátu.
- Vznést námitku proti zpracování založenému na oprávněných zájmech nebo přímém marketingu.
- Odvolat souhlas se zpracováním, pokud byl jeho právním základem.
3. Právní titul pro zpracování
Právní titul pro zpracování osobních údajů na platformě Euphile se liší podle produktu a služby. Podrobné informace naleznete v Zásadách ochrany osobních údajů pro každý produkt (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu).
Odkaz: GDPR
4. Pověřenec pro ochranu osobních údajů (DPO)
revzper SAS jmenovala pověřence pro ochranu osobních údajů, který dohlíží na postupy ochrany údajů. Pověřence pro ochranu osobních údajů lze kontaktovat na adrese privacy@revzper.com.
Odkaz: GDPR
Bezpečnostní opatření
Naše platforma používá k ochraně osobních údajů následující bezpečnostní opatření:
1. Šifrování
1. Při přenosu
Veškeré údaje přenášené mezi uživateli a naší platformou jsou šifrovány pomocí protokolů odpovídajících oborovým standardům, aby byly zajištěny bezpečné komunikační kanály.
2. V klidovém stavu
Citlivé údaje jsou šifrovány pomocí silných šifrovacích standardů, přičemž šifrovací klíče jsou spravovány v souladu s osvědčenými postupy.
2. Řízení přístupu
1. Řízení přístupu na základě rolí
Řízení přístupu na základě rolí je zavedeno s cílem zajistit, aby uživatelé měli přístup pouze k údajům a funkcím nezbytným pro jejich role.
2. Vícefaktorové ověřování
Pro veškerý administrativní přístup k platformě je vyžadováno vícefaktorové ověřování.
3. Posouzení bezpečnosti
1. Skenování zranitelností a penetrační testy
Za účelem identifikace a řešení bezpečnostních slabin se pravidelně provádí skenování zranitelností a penetrační testy.
2. Interní posouzení bezpečnosti
Provádějí se interní posouzení bezpečnosti s cílem přezkoumat protokoly přístupu, konfigurace systémů a soulad s bezpečnostními politikami.
4. Automatizované monitorování
1. Průběžné monitorování
Průběžné monitorování systémových protokolů, síťového provozu a aktivity uživatelů za účelem zjištění podezřelého chování a reakce na ně v reálném čase.
2. Automatizovaná upozornění
Pro potenciální bezpečnostní incidenty jsou generována automatizovaná upozornění, což umožňuje rychlou reakci.
5. Certifikace shody
Naše infrastruktura a procesy jsou navrženy tak, aby splňovaly uznávané bezpečnostní standardy. Certifikace jsou pravidelně ověřovány a na vyžádání zpřístupňovány. Veškeré údaje jsou zpracovávány v Evropské unii na infrastruktuře, která splňuje oborové bezpečnostní standardy.
Reakce na incidenty a oznamování narušení bezpečnosti
revzper SAS zavedla robustní postup reakce na incidenty s cílem řešit bezpečnostní incidenty, narušení bezpečnosti údajů nebo neoprávněný přístup k osobním údajům. Naším cílem je neprodleně odhalit, omezit a zmírnit dopady incidentů při zajištění souladu s právními povinnostmi.
1. Postup reakce na incidenty
Odkaz: GDPR
1. Odhalení a oznamování
Bezpečnostní incidenty jsou odhalovány prostřednictvím automatizovaných nástrojů monitorování a manuálního oznamování. Zaměstnanci a smluvní pracovníci jsou školeni, aby podezřelé incidenty neprodleně oznamovali na privacy@revzper.com nebo prostřednictvím horké linky pro reakci na incidenty na contact@revzper.com.
Odkaz: GDPR
2. Posouzení a omezení
Tým pro reakci na incidenty vedený pověřencem pro ochranu osobních údajů posuzuje rozsah a dopad incidentu. Za účelem zabránění dalšímu neoprávněnému přístupu nebo ztrátě údajů jsou prováděna okamžitá opatření k omezení incidentu.
Odkaz: GDPR
3. Oznámení dozorovým úřadům
V případě porušení zabezpečení osobních údajů revzper SAS oznámí tuto skutečnost příslušnému dozorovému úřadu do 72 hodin od okamžiku, kdy se o porušení zabezpečení dozví, pokud není nepravděpodobné, že by porušení zabezpečení představovalo riziko pro práva a svobody subjektů údajů. Oznámení bude obsahovat: Popis povahy porušení zabezpečení. Kategorie a přibližný počet dotčených subjektů údajů a záznamů. Pravděpodobné důsledky porušení zabezpečení. Opatření přijatá nebo navrhovaná k řešení porušení zabezpečení.
Odkaz: GDPR
4. Oznámení dotčeným subjektům údajů
Pokud je pravděpodobné, že porušení zabezpečení povede k vysokému riziku pro práva a svobody subjektů údajů, revzper SAS oznámí porušení zabezpečení dotčeným osobám bez zbytečného odkladu. Oznámení bude obsahovat: Jasný popis porušení zabezpečení. Opatření přijatá k řešení porušení zabezpečení. Doporučení pro subjekty údajů k ochraně jejich práv.
Odkaz: GDPR
5. Dokumentace a přezkum
Všechny incidenty jsou zdokumentovány, včetně základní příčiny, opatření přijatých v reakci a získaných poučení. Postup reakce na incidenty je pravidelně přezkoumáván a aktualizován s cílem zahrnout zlepšení.
Ref: GDPR
2. Postup eskalace
Menší incidenty: Řeší je interní bezpečnostní tým pod dohledem DPO. Závažné incidenty: Jsou eskalovány na vyšší vedení a představenstvo, přičemž je povinné oznámení dozorovému úřadu.
Ref: GDPR
3. Kontakt pro incidenty
V případě dotazů nebo za účelem nahlášení incidentu kontaktujte DPO na adrese privacy@revzper.com.
Ref: GDPR
Řízení rizik třetích stran
revzper SAS uznává, že dodavatelé třetích stran, dílčí zpracovatelé a poskytovatelé služeb mohou zpracovávat osobní údaje jménem naší platformy. Zavazujeme se zajistit, aby všechny třetí strany dodržovaly stejně vysoké standardy ochrany a zabezpečení údajů jako revzper SAS.
1. Dílčí zpracovatelé a poskytovatelé služeb
Následující třetí strany jsou společností revzper SAS angažovány k poskytování služeb, které zahrnují zpracování osobních údajů. Každý dílčí zpracovatel je vybrán na základě důkladné prověrky a smluvních záruk:
Ref: GDPR
- Služba: Cloudový hosting
Dílčí zpracovatel: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Umístění údajů: France (Paris region), European Union
Certifikace souladu: ISO/IEC 27001:2022; HDS (hosting zdravotních údajů)
Dohoda o zpracování údajů: Scaleway Data Processing Agreement, https://www.scaleway.com/en/contracts/
- Služba: Zpracování plateb
Dílčí zpracovatel: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Umístění údajů: European Union (Netherlands)
Certifikace souladu: PCI DSS Level 1 service provider; platební instituce autorizovaná De Nederlandsche Bank
Dohoda o zpracování údajů: Mollie processes payment data as an independent controller under its User Agreement and Privacy Statement, https://www.mollie.com/legal/privacy
- Služba: AI inference (OpenAI models)
Dílčí zpracovatel: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland (Microsoft Foundry, Azure OpenAI Service)
Umístění údajů: European Union: data zone deployments on a resource in France (France Central); prompts and responses processed within the Azure EU Data Boundary, data at rest in France
Certifikace souladu: ISO/IEC 27001, SOC 2 (Microsoft Service Trust Portal, https://servicetrust.microsoft.com/)
Dohoda o zpracování údajů: Microsoft Products and Services Data Protection Addendum, https://aka.ms/DPA; data terms for Foundry models, https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy
- Služba: AI inference (Mistral models)
Dílčí zpracovatel: Mistral AI SAS, RCS Paris 952 418 325, 15 rue des Halles, 75001 Paris, France (La Plateforme)
Umístění údajů: European Union (inference on Mistral's EU regional endpoint; data hosted in the European Union by default; API inputs and outputs kept thirty rolling days for abuse monitoring)
Certifikace souladu: SOC 2 Type II; ISO/IEC 27001 and 27701 (Mistral AI Trust Center, https://trust.mistral.ai/)
Dohoda o zpracování údajů: Mistral AI Data Processing Addendum, https://legal.mistral.ai/terms/data-processing-addendum/
2. Prověrka a výběr
Všichni potenciální dílčí zpracovatelé jsou hodnoceni na základě svých bezpečnostních postupů, certifikací souladu a závazků v oblasti ochrany údajů. Se všemi dílčími zpracovateli jsou uzavírány dohody o zpracování údajů, které stanoví jejich povinnosti týkající se ochrany údajů, bezpečnosti a oznamování narušení zabezpečení. revzper SAS pravidelně přezkoumává výkonnost a soulad dílčích zpracovatelů s požadavky, aby zajistila trvalé dodržování příslušných předpisů.
Ref: GDPR
3. Reakce na incidenty a oznamování narušení zabezpečení
Dílčí zpracovatelé jsou povinni neprodleně informovat revzper SAS o jakémkoli podezření na narušení zabezpečení údajů nebo o skutečném narušení zabezpečení údajů. revzper SAS posoudí dopad narušení zabezpečení a přijme příslušná opatření, včetně informování příslušného dozorového úřadu a dotčených subjektů údajů, jak vyžadují příslušné předpisy.
Ref: GDPR
4. Kontakt pro řízení rizik třetích stran
V případě dotazů týkajících se našich postupů řízení rizik třetích stran kontaktujte DPO na adrese privacy@revzper.com.
Ref: GDPR
Školení zaměstnanců v oblasti bezpečnosti a zvyšování povědomí
revzper SAS se zavazuje podporovat kulturu bezpečnostního povědomí mezi všemi zaměstnanci a dodavateli. Pravidelné školení a vzdělávání jsou nezbytné pro zachování bezpečnosti naší platformy a ochranu osobních údajů.
1. Školicí program
1. Rozsah
Všichni zaměstnanci a dodavatelé s přístupem k systémům nebo údajům revzper SAS jsou povinni absolvovat školení v oblasti bezpečnosti.
2. Pokrytá témata
Povědomí o běžných bezpečnostních hrozbách (např. phishing, sociální inženýrství). Bezpečné postupy autentizace. Zásady řízení přístupu a minimálních oprávnění. Postupy oznamování incidentů. Zásady ochrany údajů a dodržování regulačních požadavků. Postupy bezpečného vývoje (pro technické pracovníky). Fyzická bezpečnost a bezpečnost na pracovišti.
3. Frekvence školení
Nově přijatí zaměstnanci: Povinné školení v oblasti bezpečnosti během prvních 30 dnů zaměstnání. Každoroční opakovací školení: Všichni zaměstnanci a dodavatelé musí absolvovat každoroční aktualizaci školení v oblasti bezpečnosti. Ad hoc školení: Dodatečné školení se poskytuje pro nové systémy, zásady nebo vznikající hrozby.
4. Dokumentace
Účast na školení a jeho absolvování jsou dokumentovány a bezpečně uchovávány. Zaměstnanci jsou povinni potvrdit, že školicím materiálům porozuměli.
2. Kampaně na zvyšování povědomí
Simulace phishingu: Pravidelně se provádějí simulace phishingu za účelem posouzení informovanosti zaměstnanců a upevnění školení. Bezpečnostní zpravodaje: Pravidelně se distribuují zpravodaje za účelem sdílení aktualizací o bezpečnostních hrozbách, osvědčených postupech a změnách zásad. Přezkumy incidentů: Po incidentech se provádějí přezkumy s cílem analyzovat získané poznatky a zlepšit bezpečnostní postupy.
3. Dodržování předpisů a vymáhání
Nedodržení požadavků na bezpečnostní školení může vést k disciplinárnímu opatření, včetně ukončení pracovního poměru. revzper SAS si vyhrazuje právo kontrolovat absolvování školení a dodržování bezpečnostních zásad.
4. Kontakt pro dotazy týkající se školení
S dotazy týkajícími se našeho programu bezpečnostního školení se obraťte na DPO na adrese privacy@revzper.com.