Sikkerhedspolitik
Rapportering af sikkerhedssårbarheder
revzper SAS tager sikkerheden på Euphile-platformen alvorligt. Hvis du opdager en sikkerhedssårbarhed, bedes du rapportere den ansvarligt ved at sende en e-mail til contact@revzper.com. Vi bekræfter modtagelsen inden for 48 timer og bestræber os på at give en indledende vurdering inden for 5 arbejdsdage. Vi anlægger ikke sag mod forskere, der følger ansvarlig praksis for offentliggørelse.
Overholdelse af databeskyttelsesforordninger
revzper SAS er som dataansvarlig for Euphile-platformen forpligtet til fuld overholdelse af den generelle databeskyttelsesforordning (GDPR) og anden gældende EU-databeskyttelseslovgivning. Denne politik beskriver vores overholdelse af følgende principper:
1. GDPR-principper
Alle databehandlingsaktiviteter udføres på et klart retsgrundlag, herunder samtykke, opfyldelse af en kontrakt eller legitim interesse, som angivet i vores privatlivspolitik.
Ref: GDPR
2. Den registreredes rettigheder
Som registreret har du følgende rettigheder vedrørende dine personoplysninger, der behandles på Euphile-platformen:
Ref: GDPR
- Anmode om bekræftelse af, om dine oplysninger behandles, og om adgang til disse oplysninger.
- Anmode om berigtigelse af unøjagtige eller ufuldstændige personoplysninger.
- Anmode om sletning af dine personoplysninger under bestemte betingelser.
- Anmode om begrænsning af behandlingen under visse omstændigheder.
- Modtage dine personoplysninger i et struktureret, almindeligt anvendt og maskinlæsbart format.
- Gøre indsigelse mod behandling baseret på legitime interesser eller direkte markedsføring.
- Tilbagekalde samtykke til behandling, når samtykke var retsgrundlaget.
3. Retsgrundlag for behandling
Retsgrundlaget for behandling af personoplysninger på Euphile-platformen varierer afhængigt af produkt og tjeneste. Du kan finde detaljerede oplysninger i privatlivspolitikken for hvert produkt (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu).
Ref: GDPR
4. Databeskyttelsesrådgiver (DPO)
revzper SAS har udpeget en databeskyttelsesrådgiver til at føre tilsyn med databeskyttelsespraksisser. DPO'en kan kontaktes på privacy@revzper.com.
Ref: GDPR
Sikkerhedsforanstaltninger
Vores platform anvender følgende sikkerhedsforanstaltninger for at beskytte personoplysninger:
1. Kryptering
1. Under overførsel
Alle data, der overføres mellem brugere og vores platform, krypteres ved hjælp af branchestandardprotokoller for at sikre sikre kommunikationskanaler.
2. I hvile
Følsomme data krypteres ved hjælp af stærke krypteringsstandarder, og krypteringsnøgler administreres i overensstemmelse med bedste praksis.
2. Adgangskontroller
1. Rollebaseret adgangskontrol
Rollebaseret adgangskontrol implementeres for at sikre, at brugere kun har adgang til de data og funktioner, der er nødvendige for deres roller.
2. Multifaktorgodkendelse
Multifaktorgodkendelse kræves for al administrativ adgang til platformen.
3. Sikkerhedsvurderinger
1. Sårbarhedsscanninger og penetrationstests
Der gennemføres regelmæssige sårbarhedsscanninger og penetrationstests for at identificere og afhjælpe sikkerhedssvagheder.
2. Interne sikkerhedsvurderinger
Der gennemføres interne sikkerhedsvurderinger for at gennemgå adgangslogfiler, systemkonfigurationer og overholdelsen af sikkerhedspolitikker.
4. Automatiseret overvågning
1. Løbende overvågning
Løbende overvågning af systemlogfiler, netværkstrafik og brugeraktivitet for at opdage og reagere på mistænkelig adfærd i realtid.
2. Automatiserede alarmer
Der genereres automatiserede alarmer ved potentielle sikkerhedshændelser, hvilket muliggør en hurtig reaktion.
5. Overholdelsescertificeringer
Vores infrastruktur og processer er udformet med henblik på at opfylde anerkendte sikkerhedsstandarder. Certificeringer verificeres regelmæssigt og stilles til rådighed efter anmodning. Alle data behandles inden for Den Europæiske Union på infrastruktur, der opfylder branchens sikkerhedsstandarder.
Hændelsesberedskab og underretning om brud
revzper SAS har etableret en robust procedure for håndtering af hændelser for at håndtere sikkerhedshændelser, databrud eller uautoriseret adgang til personoplysninger. Vores mål er hurtigt at opdage, begrænse og afbøde hændelser, samtidig med at det sikres, at de retlige forpligtelser overholdes.
1. Procedure for håndtering af hændelser
Ref: GDPR
1. Opdagelse og rapportering
Sikkerhedshændelser opdages gennem automatiserede overvågningsværktøjer og manuel rapportering. Medarbejdere og kontrahenter er oplært i straks at rapportere formodede hændelser til privacy@revzper.com eller via hotline for hændelsesberedskab på contact@revzper.com.
Ref: GDPR
2. Vurdering og begrænsning
Hændelsesberedskabsteamet, der ledes af DPO'en, vurderer hændelsens omfang og indvirkning. Der iværksættes øjeblikkelige begrænsningsforanstaltninger for at forhindre yderligere uautoriseret adgang eller datatab.
Ref: GDPR
3. Underretning af tilsynsmyndigheder
I tilfælde af et brud på persondatasikkerheden underretter revzper SAS den kompetente tilsynsmyndighed inden for 72 timer efter, at virksomheden er blevet bekendt med bruddet, medmindre det er usandsynligt, at bruddet vil medføre en risiko for de registreredes rettigheder og frihedsrettigheder. Underretningen vil omfatte: En beskrivelse af bruddets karakter. Kategorierne og det omtrentlige antal registrerede og berørte fortegnelser. Bruddets sandsynlige konsekvenser. Foranstaltninger, der er truffet eller foreslået for at håndtere bruddet.
Ref: GDPR
4. Underretning af berørte registrerede
Hvis bruddet sandsynligvis vil medføre en høj risiko for de registreredes rettigheder og frihedsrettigheder, underretter revzper SAS de berørte personer uden unødig forsinkelse. Underretningen vil omfatte: En klar beskrivelse af bruddet. De foranstaltninger, der er truffet for at håndtere bruddet. Anbefalinger til de registrerede om beskyttelse af deres rettigheder.
Ref: GDPR
5. Dokumentation og gennemgang
Alle hændelser dokumenteres, herunder den grundlæggende årsag, reaktionsforanstaltninger og indhøstede erfaringer. Proceduren for hændelsesberedskab gennemgås og opdateres regelmæssigt for at indarbejde forbedringer.
Ref: GDPR
2. Eskaleringsvej
Mindre hændelser: Håndteres af det interne sikkerhedsteam under tilsyn af DPO'en. Alvorlige hændelser: Eskaleres til den øverste ledelse og bestyrelsen med obligatorisk underretning af tilsynsmyndigheden.
Ref: GDPR
3. Kontakt ved hændelser
Ved spørgsmål eller for at indberette en hændelse kontaktes DPO'en på privacy@revzper.com.
Ref: GDPR
Håndtering af risici ved tredjeparter
revzper SAS anerkender, at tredjepartsleverandører, underdatabehandlere og tjenesteudbydere kan behandle personoplysninger på vegne af vores platform. Vi er forpligtet til at sikre, at alle tredjeparter overholder de samme høje standarder for databeskyttelse og sikkerhed som revzper SAS.
1. Undatabehandlere og tjenesteudbydere
Følgende tredjeparter er engageret af revzper SAS til at levere tjenester, der indebærer behandling af personoplysninger. Hver underdatabehandler udvælges på grundlag af grundig due diligence og kontraktlige sikkerhedsforanstaltninger:
Ref: GDPR
- Tjeneste: Cloud-hosting
Underdatabehandler: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Dataplacering: France (Paris region), European Union
Overensstemmelsescertificeringer: ISO/IEC 27001:2022; HDS (health data hosting)
Databehandleraftale: Scaleway Data Processing Agreement, https://www.scaleway.com/en/contracts/
- Tjeneste: Betalingsbehandling
Underdatabehandler: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Dataplacering: European Union (Netherlands)
Overensstemmelsescertificeringer: PCI DSS Level 1 service provider; payment institution authorised by De Nederlandsche Bank
Databehandleraftale: Mollie processes payment data as an independent controller under its User Agreement and Privacy Statement, https://www.mollie.com/legal/privacy
- Tjeneste: AI-inferens (OpenAI-modeller)
Underdatabehandler: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland (Microsoft Foundry, Azure OpenAI Service)
Dataplacering: European Union: data zone deployments on a resource in France (France Central); prompts and responses processed within the Azure EU Data Boundary, data at rest in France
Overensstemmelsescertificeringer: ISO/IEC 27001, SOC 2 (Microsoft Service Trust Portal, https://servicetrust.microsoft.com/)
Databehandleraftale: Microsoft Products and Services Data Protection Addendum, https://aka.ms/DPA; data terms for Foundry models, https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy
- Tjeneste: AI-inferens (Mistral-modeller)
Underdatabehandler: Mistral AI SAS, RCS Paris 952 418 325, 15 rue des Halles, 75001 Paris, France (La Plateforme)
Dataplacering: European Union (inference on Mistral's EU regional endpoint; data hosted in the European Union by default; API inputs and outputs kept thirty rolling days for abuse monitoring)
Overensstemmelsescertificeringer: SOC 2 Type II; ISO/IEC 27001 and 27701 (Mistral AI Trust Center, https://trust.mistral.ai/)
Databehandleraftale: Mistral AI Data Processing Addendum, https://legal.mistral.ai/terms/data-processing-addendum/
2. Due diligence og udvælgelse
Alle potentielle underdatabehandlere evalueres på grundlag af deres sikkerhedspraksis, overensstemmelsescertificeringer og forpligtelser vedrørende databeskyttelse. Der indgås databehandleraftaler med alle underdatabehandlere, hvori deres forpligtelser vedrørende databeskyttelse, sikkerhed og underretning om brud fastlægges. revzper SAS gennemgår regelmæssigt underdatabehandlernes resultater og overholdelse for at sikre fortsat overholdelse af gældende bestemmelser.
Ref: GDPR
3. Hændelsesberedskab og underretning om brud
Underdatabehandlere skal straks underrette revzper SAS om ethvert mistænkt eller faktisk brud på persondatasikkerheden. revzper SAS vil vurdere bruddets konsekvenser og træffe passende foranstaltninger, herunder underrette den kompetente tilsynsmyndighed og de berørte registrerede, som krævet i henhold til gældende bestemmelser.
Ref: GDPR
4. Kontakt vedrørende risikostyring for tredjeparter
Ved spørgsmål om vores praksis for risikostyring vedrørende tredjeparter kontaktes DPO'en på privacy@revzper.com.
Ref: GDPR
Sikkerhedsuddannelse og -bevidsthed for medarbejdere
revzper SAS er forpligtet til at fremme en kultur med sikkerhedsbevidsthed blandt alle medarbejdere og kontrahenter. Regelmæssig uddannelse og undervisning er afgørende for at opretholde sikkerheden på vores platform og beskytte personoplysninger.
1. Uddannelsesprogram
1. Omfang
Alle medarbejdere og kontrahenter med adgang til revzper SAS' systemer eller data skal gennemføre sikkerhedsuddannelse.
2. Emner, der dækkes
Bevidsthed om almindelige sikkerhedstrusler (f.eks. phishing, social engineering). Sikker praksis for autentificering. Principper for adgangskontrol og mindst mulige privilegier. Procedurer for indberetning af hændelser. Principper for databeskyttelse og overholdelse af lovgivningen. Sikker udviklingspraksis (for teknisk personale). Fysisk sikkerhed og sikkerhed på arbejdspladsen.
3. Uddannelseshyppighed
Nyansatte: Obligatorisk sikkerhedsuddannelse inden for de første 30 dage af ansættelsen. Årlig opfriskning: Alle medarbejdere og kontrahenter skal gennemføre en årlig opdatering af sikkerhedsuddannelsen. Ad hoc-uddannelse: Der tilbydes yderligere uddannelse ved nye systemer, politikker eller nye trusler.
4. Dokumentation
Deltagelse i og gennemførelse af uddannelse dokumenteres og opbevares sikkert. Medarbejdere skal bekræfte, at de har forstået uddannelsesmaterialet.
2. Bevidsthedskampagner
Phishing-simuleringer: Der gennemføres regelmæssige phishing-simuleringer for at vurdere medarbejdernes bevidsthed og styrke træningen. Sikkerhedsnyhedsbreve: Der udsendes periodiske nyhedsbreve for at dele opdateringer om sikkerhedstrusler, bedste praksis og ændringer i politikker. Hændelsesgennemgange: Der gennemføres gennemgange efter hændelser for at analysere indhøstede erfaringer og forbedre sikkerhedspraksis.
3. Overholdelse og håndhævelse
Manglende overholdelse af kravene til sikkerhedstræning kan medføre disciplinære foranstaltninger, herunder opsigelse. revzper SAS forbeholder sig retten til at revidere gennemførelsen af træningen og overholdelsen af sikkerhedspolitikkerne.
4. Kontakt ved spørgsmål om træning
Hvis du har spørgsmål om vores sikkerhedstræningsprogram, bedes du kontakte DPO'en på privacy@revzper.com.