Tietoturvakäytäntö
Tietoturvahaavoittuvuuksista ilmoittaminen
revzper SAS suhtautuu Euphile-alustan tietoturvaan vakavasti. Jos havaitset tietoturvahaavoittuvuuden, ilmoita siitä vastuullisesti lähettämällä sähköpostia osoitteeseen contact@revzper.com. Vahvistamme vastaanottaneemme ilmoituksen 48 tunnin kuluessa ja pyrimme toimittamaan alustavan arvion 5 arkipäivän kuluessa. Emme ryhdy oikeudellisiin toimiin tutkijoita vastaan, jotka noudattavat vastuullisen ilmoittamisen käytäntöjä.
Tietosuojasäännösten noudattaminen
revzper SAS on Euphile-alustan rekisterinpitäjänä sitoutunut noudattamaan täysimääräisesti yleistä tietosuoja-asetusta (GDPR) ja muuta sovellettavaa EU:n tietosuojalainsäädäntöä. Tässä käytännössä kuvataan seuraavien periaatteiden noudattamisemme:
1. GDPR:n periaatteet
Kaikki tietojenkäsittelytoimet suoritetaan selkeän oikeusperusteen nojalla, mukaan lukien suostumus, sopimuksen täytäntöönpano tai oikeutettu etu, kuten tietosuojakäytännössämme määritellään.
Viite: GDPR
2. Rekisteröidyn oikeudet
Rekisteröitynä sinulla on seuraavat oikeudet Euphile-alustalla käsiteltäviin henkilötietoihisi liittyen:
Viite: GDPR
- Pyytää vahvistusta siitä, käsitelläänkö tietojasi, sekä saada pääsy kyseisiin tietoihin.
- Pyytää virheellisten tai puutteellisten henkilötietojen oikaisemista.
- Pyytää henkilötietojesi poistamista tietyin edellytyksin.
- Pyytää käsittelyn rajoittamista tietyissä olosuhteissa.
- Saada henkilötietosi jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa.
- Vastustaa käsittelyä, joka perustuu oikeutettuihin etuihin tai suoramarkkinointiin.
- Peruuttaa käsittelyä varten antamasi suostumus, jos se oli käsittelyn oikeusperuste.
3. Käsittelyn oikeusperuste
Henkilötietojen käsittelyn oikeusperuste Euphile-alustalla vaihtelee tuotteen ja palvelun mukaan. Yksityiskohtaisia tietoja on kunkin tuotteen (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu) tietosuojakäytännössä.
Viite: GDPR
4. Tietosuojavastaava (DPO)
revzper SAS on nimittänyt tietosuojavastaavan valvomaan tietosuojakäytäntöjä. Tietosuojavastaavaan voi ottaa yhteyttä osoitteessa privacy@revzper.com.
Viite: GDPR
Tietoturvatoimet
Alustamme käyttää seuraavia tietoturvatoimia henkilötietojen suojaamiseksi:
1. Salaus
1. Siirron aikana
Kaikki käyttäjien ja alustamme välillä siirrettävät tiedot salataan alan standardien mukaisten protokollien avulla turvallisten viestintäkanavien varmistamiseksi.
2. Tallennettuina
Arkaluonteiset tiedot salataan vahvojen salausstandardien avulla, ja salausavaimia hallinnoidaan parhaiden käytäntöjen mukaisesti.
2. Käyttöoikeuksien hallinta
1. Roolipohjainen käyttöoikeuksien hallinta
Roolipohjainen käyttöoikeuksien hallinta on otettu käyttöön sen varmistamiseksi, että käyttäjillä on pääsy ainoastaan tehtäviensä kannalta tarpeellisiin tietoihin ja toimintoihin.
2. Monivaiheinen todentaminen
Monivaiheinen todentaminen vaaditaan kaikkeen alustan hallinnolliseen käyttöön.
3. Tietoturva-arvioinnit
1. Haavoittuvuusskannaukset ja tunkeutumistestit
Säännöllisiä haavoittuvuusskannauksia ja tunkeutumistestejä suoritetaan tietoturvapuuteiden tunnistamiseksi ja korjaamiseksi.
2. Sisäiset tietoturva-arvioinnit
Sisäisiä tietoturva-arviointeja suoritetaan käyttöoikeuslokien ja järjestelmäkokoonpanojen tarkistamiseksi sekä tietoturvakäytäntöjen noudattamisen arvioimiseksi.
4. Automaattinen valvonta
1. Jatkuva valvonta
Järjestelmälokeja, verkkoliikennettä ja käyttäjien toimintaa valvotaan jatkuvasti epäilyttävän toiminnan havaitsemiseksi ja siihen reagoimiseksi reaaliajassa.
2. Automaattiset hälytykset
Mahdollisista tietoturvapoikkeamista luodaan automaattisia hälytyksiä, mikä mahdollistaa nopean reagoinnin.
5. Vaatimustenmukaisuustodistukset
Infrastruktuurimme ja prosessimme on suunniteltu täyttämään tunnustetut tietoturvastandardit. Todistukset tarkistetaan säännöllisesti, ja ne toimitetaan pyynnöstä. Kaikki tiedot käsitellään Euroopan unionin alueella infrastruktuurilla, joka täyttää alan tietoturvastandardit.
Poikkeamien hallinta ja tietoturvaloukkausilmoitukset
revzper SAS on laatinut vankan poikkeamien hallintamenettelyn tietoturvapoikkeamien, tietoturvaloukkausten tai henkilötietojen luvattoman käytön käsittelemiseksi. Tavoitteenamme on havaita, rajoittaa ja lieventää poikkeamia viipymättä samalla, kun varmistamme lakisääteisten velvoitteiden noudattamisen.
1. Poikkeamien hallintamenettely
Viite: GDPR
1. Havaitseminen ja ilmoittaminen
Tietoturvapoikkeamat havaitaan automaattisten valvontatyökalujen ja manuaalisen ilmoittamisen avulla. Työntekijät ja toimeksisaajat koulutetaan ilmoittamaan epäillyistä poikkeamista välittömästi osoitteeseen privacy@revzper.com tai poikkeamien hallinnan hotline-palveluun osoitteessa contact@revzper.com.
Viite: GDPR
2. Arviointi ja rajoittaminen
Tietosuojavastaavan johtama poikkeamien hallintaryhmä arvioi poikkeaman laajuuden ja vaikutukset. Välittömät rajoittamistoimet otetaan käyttöön luvattoman käytön tai tietojen menetyksen estämiseksi.
Viite: GDPR
3. Ilmoittaminen valvontaviranomaisille
Henkilötietojen tietoturvaloukkauksen tapahtuessa revzper SAS ilmoittaa toimivaltaiselle valvontaviranomaiselle 72 tunnin kuluessa siitä, kun se on saanut loukkauksesta tiedon, paitsi jos loukkauksesta ei todennäköisesti aiheudu riskiä rekisteröityjen oikeuksille ja vapauksille. Ilmoitus sisältää: Kuvauksen loukkauksen luonteesta. Loukkauksen kohteena olevien rekisteröityjen ja tietueiden ryhmät sekä arvioidun lukumäärän. Loukkauksen todennäköiset seuraukset. Loukkauksen käsittelemiseksi toteutetut tai ehdotetut toimenpiteet.
Viite: GDPR
4. Ilmoittaminen loukkauksen kohteena oleville rekisteröidyille
Jos loukkauksesta todennäköisesti aiheutuu korkea riski rekisteröityjen oikeuksille ja vapauksille, revzper SAS ilmoittaa loukkauksesta siihen vaikuttaneille henkilöille ilman aiheetonta viivytystä. Ilmoitus sisältää: Selkeän kuvauksen loukkauksesta. Loukkauksen käsittelemiseksi toteutetut toimenpiteet. Suositukset rekisteröidyille oikeuksiensa suojaamiseksi.
Viite: GDPR
5. Dokumentointi ja tarkistaminen
Kaikki poikkeamat dokumentoidaan, mukaan lukien perimmäinen syy, vastaustoimet ja opitut asiat. Poikkeamiin reagointimenettely tarkistetaan ja päivitetään säännöllisesti parannusten sisällyttämiseksi.
Viite: GDPR
2. Eskalointipolku
Vähäiset poikkeamat: Sisäinen tietoturvatiimi käsittelee ne DPO:n valvonnassa. Merkittävät poikkeamat: Eskaloidaan ylimmälle johdolle ja hallitukselle, ja valvontaviranomaiselle ilmoittaminen on pakollista.
Viite: GDPR
3. Poikkeamien yhteyshenkilö
Jos sinulla on kysymyksiä tai haluat ilmoittaa poikkeamasta, ota yhteyttä DPO:hon osoitteessa privacy@revzper.com.
Viite: GDPR
Kolmansien osapuolten riskienhallinta
revzper SAS tiedostaa, että kolmansien osapuolten toimittajat, alikäsittelijät ja palveluntarjoajat voivat käsitellä henkilötietoja alustamme puolesta. Olemme sitoutuneet varmistamaan, että kaikki kolmannet osapuolet noudattavat samoja korkeita tietosuoja- ja tietoturvastandardeja kuin revzper SAS.
1. Alikäsittelijät ja palveluntarjoajat
Seuraavat kolmannet osapuolet ovat revzper SAS:n toimeksiannosta mukana tarjoamassa palveluja, joihin liittyy henkilötietojen käsittelyä. Jokainen alikäsittelijä valitaan perusteellisen due diligence -tarkastuksen ja sopimuksellisten suojatoimien perusteella:
Viite: GDPR
- Palvelu: Pilvipalveluiden hosting
Alikäsittelijä: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Tietojen sijainti: Ranska (Pariisin alue), Euroopan unioni
Vaatimustenmukaisuussertifioinnit: ISO/IEC 27001:2022; HDS (terveystietojen hosting)
Tietojenkäsittelysopimus: Scaleway Data Processing Agreement, https://www.scaleway.com/en/contracts/
- Palvelu: Maksujen käsittely
Alikäsittelijä: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Tietojen sijainti: Euroopan unioni (Alankomaat)
Vaatimustenmukaisuussertifioinnit: PCI DSS Level 1 service provider; maksulaitos, jolla on De Nederlandsche Bankin myöntämä toimilupa
Tietojenkäsittelysopimus: Mollie käsittelee maksutietoja itsenäisenä rekisterinpitäjänä User Agreement- ja Privacy Statement -asiakirjojensa nojalla, https://www.mollie.com/legal/privacy
- Palvelu: Tekoälyn päättely (OpenAI-mallit)
Alikäsittelijä: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland (Microsoft Foundry, Azure OpenAI Service)
Tietojen sijainti: Euroopan unioni: datavyöhykkeen käyttöönotot Ranskassa sijaitsevassa resurssissa (France Central); kehotteet ja vastaukset käsitellään Azure EU Data Boundaryn sisällä, levossa olevat tiedot Ranskassa
Vaatimustenmukaisuussertifioinnit: ISO/IEC 27001, SOC 2 (Microsoft Service Trust Portal, https://servicetrust.microsoft.com/)
Tietojenkäsittelysopimus: Microsoft Products and Services Data Protection Addendum, https://aka.ms/DPA; Foundry-malleja koskevat tietoehdot, https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy
- Palvelu: Tekoälyn päättely (Mistral-mallit)
Alikäsittelijä: Mistral AI SAS, RCS Paris 952 418 325, 15 rue des Halles, 75001 Paris, France (La Plateforme)
Tietojen sijainti: Euroopan unioni (päättely Mistralin EU-alueellisessa päätepisteessä; tiedot isännöidään oletusarvoisesti Euroopan unionissa; API-syötteitä ja -tulosteita säilytetään kolmenkymmenen päivän ajan jatkuvasti väärinkäytösten valvontaa varten)
Vaatimustenmukaisuussertifioinnit: SOC 2 Type II; ISO/IEC 27001 ja 27701 (Mistral AI Trust Center, https://trust.mistral.ai/)
Tietojenkäsittelysopimus: Mistral AI Data Processing Addendum, https://legal.mistral.ai/terms/data-processing-addendum/
2. Due Diligence ja valinta
Kaikki mahdolliset alikäsittelijät arvioidaan niiden tietoturvakäytäntöjen, vaatimustenmukaisuussertifiointien ja tietosuojasitoumusten perusteella. Kaikkien alikäsittelijöiden kanssa tehdään tietojenkäsittelysopimukset, joissa määritellään niiden tietosuojaa, tietoturvaa ja tietoturvaloukkauksista ilmoittamista koskevat velvoitteet. revzper SAS tarkistaa säännöllisesti alikäsittelijöiden suorituskyvyn ja vaatimustenmukaisuuden varmistaakseen sovellettavien säännösten jatkuvan noudattamisen.
Viite: GDPR
3. Poikkeamiin reagointi ja tietoturvaloukkauksista ilmoittaminen
Alikäsittelijöiden on ilmoitettava revzper SAS:lle välittömästi kaikista epäillyistä tai tosiasiallisista tietoturvaloukkauksista. revzper SAS arvioi loukkauksen vaikutukset ja toteuttaa asianmukaiset toimet, mukaan lukien ilmoittamisen toimivaltaiselle valvontaviranomaiselle ja vaikutuksen kohteena oleville rekisteröidyille sovellettavien säännösten edellyttämällä tavalla.
Viite: GDPR
4. Kolmansien osapuolten riskienhallinnan yhteyshenkilö
Jos sinulla on kysymyksiä kolmansien osapuolten riskienhallintakäytännöistämme, ota yhteyttä DPO:hon osoitteessa privacy@revzper.com.
Viite: GDPR
Työntekijöiden tietoturvakoulutus ja tietoisuus
revzper SAS on sitoutunut edistämään tietoturvatietoisuuden kulttuuria kaikkien työntekijöiden ja toimeksisaajien keskuudessa. Säännöllinen koulutus ja valistus ovat olennaisia alustamme tietoturvan ylläpitämiseksi ja henkilötietojen suojaamiseksi.
1. Koulutusohjelma
1. Soveltamisala
Kaikkien työntekijöiden ja toimeksisaajien, joilla on pääsy revzper SAS:n järjestelmiin tai tietoihin, on suoritettava tietoturvakoulutus.
2. Käsiteltävät aiheet
Yleisten tietoturvauhkien (esim. tietojenkalastelu, sosiaalinen manipulointi) tunnistaminen. Turvalliset todentamiskäytännöt. Pääsynhallinnan ja vähimpien oikeuksien periaatteet. Poikkeamista ilmoittamista koskevat menettelyt. Tietosuojaperiaatteet ja sääntelyn noudattaminen. Turvalliset kehityskäytännöt (tekniselle henkilöstölle). Fyysinen turvallisuus ja työpaikan turvallisuus.
3. Koulutuksen tiheys
Uudet työntekijät: Pakollinen tietoturvakoulutus työsuhteen ensimmäisten 30 päivän aikana. Vuosittainen kertaus: Kaikkien työntekijöiden ja toimeksisaajien on suoritettava vuosittainen tietoturvakoulutuksen päivitys. Tarpeen mukaan järjestettävä koulutus: Lisäkoulutusta järjestetään uusia järjestelmiä, käytäntöjä tai uusia uhkia varten.
4. Dokumentointi
Koulutukseen osallistuminen ja koulutuksen suorittaminen dokumentoidaan ja tallennetaan turvallisesti. Työntekijöiden on vahvistettava ymmärtävänsä koulutusmateriaalit.
2. Tietoisuuskampanjat
Tietojenkalastelusimulaatiot: Säännöllisiä tietojenkalastelusimulaatioita toteutetaan työntekijöiden tietoisuuden arvioimiseksi ja koulutuksen vahvistamiseksi. Tietoturvauutiskirjeet: Määräajoin jaettavilla uutiskirjeillä jaetaan tietoja tietoturvauhista, parhaista käytännöistä ja käytäntöjen muutoksista. Poikkeamien arvioinnit: Tietoturvapoikkeamien jälkeisiä arviointeja toteutetaan opittujen asioiden analysoimiseksi ja tietoturvakäytäntöjen parantamiseksi.
3. Säännösten noudattaminen ja valvonta
Tietoturvakoulutusta koskevien vaatimusten noudattamatta jättäminen voi johtaa kurinpitotoimiin, mukaan lukien työsuhteen päättäminen. revzper SAS pidättää oikeuden tarkastaa koulutuksen suorittamisen ja tietoturvakäytäntöjen noudattamisen.
4. Koulutusta koskevien tiedustelujen yhteyshenkilö
Jos sinulla on kysyttävää tietoturvakoulutusohjelmastamme, ota yhteyttä tietosuojavastaavaan osoitteessa privacy@revzper.com.