Politika sigurnosti
Prijavljivanje sigurnosnih ranjivosti
revzper SAS ozbiljno shvaća sigurnost platforme Euphile. Ako otkrijete sigurnosnu ranjivost, molimo da je odgovorno prijavite slanjem e-pošte na contact@revzper.com. Potvrdit ćemo primitak u roku od 48 sati i nastojati pružiti početnu procjenu u roku od 5 radnih dana. Ne pokrećemo pravne postupke protiv istraživača koji postupaju u skladu s praksama odgovornog otkrivanja.
Usklađenost s propisima o zaštiti podataka
revzper SAS, kao voditelj obrade podataka za platformu Euphile, obvezuje se na potpunu usklađenost s Općom uredbom o zaštiti podataka (GDPR) i drugim primjenjivim zakonima EU-a o zaštiti podataka. Ova politika opisuje naše pridržavanje sljedećih načela:
1. Načela GDPR-a
Sve aktivnosti obrade podataka provode se na temelju jasne pravne osnove, uključujući privolu, izvršavanje ugovora ili legitimni interes, kako je navedeno u našoj Politici privatnosti.
Ref.: GDPR
2. Prava ispitanika
Kao ispitanik imate sljedeća prava u vezi sa svojim osobnim podacima koji se obrađuju na platformi Euphile:
Ref.: GDPR
- Zatražiti potvrdu obrađuju li se vaši podaci i pristup tim podacima.
- Zatražiti ispravak netočnih ili nepotpunih osobnih podataka.
- Zatražiti brisanje svojih osobnih podataka pod određenim uvjetima.
- Zatražiti ograničenje obrade u određenim okolnostima.
- Primiti svoje osobne podatke u strukturiranom, uobičajeno upotrebljavanom i strojno čitljivom formatu.
- Uložiti prigovor na obradu koja se temelji na legitimnim interesima ili izravnom marketingu.
- Povuci privolu za obradu kada je ona bila pravna osnova.
3. Pravna osnova za obradu
Pravna osnova za obradu osobnih podataka na platformi Euphile razlikuje se ovisno o proizvodu i usluzi. Za detaljne informacije pogledajte Politiku privatnosti za svaki proizvod (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu).
Ref.: GDPR
4. Službenik za zaštitu podataka (DPO)
revzper SAS imenovao je službenika za zaštitu podataka radi nadzora praksi zaštite podataka. DPO-u se možete obratiti na privacy@revzper.com.
Ref.: GDPR
Sigurnosne mjere
Naša platforma primjenjuje sljedeće sigurnosne mjere radi zaštite osobnih podataka:
1. Šifriranje
1. Tijekom prijenosa
Svi podaci koji se prenose između korisnika i naše platforme šifriraju se primjenom protokola koji su standardni u industriji kako bi se osigurali sigurni komunikacijski kanali.
2. U mirovanju
Osjetljivi podaci šifriraju se primjenom snažnih standarda šifriranja, pri čemu se ključevima za šifriranje upravlja u skladu s najboljim praksama.
2. Kontrole pristupa
1. Kontrola pristupa na temelju uloga
Kontrola pristupa na temelju uloga provodi se kako bi se osiguralo da korisnici imaju pristup samo podacima i funkcijama potrebnima za njihove uloge.
2. Višefaktorska autentifikacija
Višefaktorska autentifikacija obvezna je za svaki administrativni pristup platformi.
3. Sigurnosne procjene
1. Skeniranja ranjivosti i penetracijska testiranja
Redovito se provode skeniranja ranjivosti i penetracijska testiranja radi utvrđivanja i otklanjanja sigurnosnih slabosti.
2. Unutarnje sigurnosne procjene
Provode se unutarnje sigurnosne procjene radi pregleda zapisnika pristupa, konfiguracija sustava i usklađenosti sa sigurnosnim politikama.
4. Automatizirano praćenje
1. Kontinuirano praćenje
Kontinuirano praćenje zapisnika sustava, mrežnog prometa i aktivnosti korisnika radi otkrivanja sumnjivog ponašanja i odgovaranja na njega u stvarnom vremenu.
2. Automatizirana upozorenja
Automatizirana upozorenja generiraju se za potencijalne sigurnosne incidente, čime se omogućuje brz odgovor.
5. Certifikati usklađenosti
Naša infrastruktura i procesi osmišljeni su tako da ispunjavaju priznate sigurnosne standarde. Certifikati se redovito provjeravaju i dostupni su na zahtjev. Svi podaci obrađuju se unutar Europske unije na infrastrukturi koja ispunjava sigurnosne standarde industrije.
Odgovor na incidente i obavješćivanje o povredi
revzper SAS uspostavio je robustan postupak odgovora na incidente radi rješavanja sigurnosnih incidenata, povreda osobnih podataka ili neovlaštenog pristupa osobnim podacima. Naš je cilj pravodobno otkriti, ograničiti i ublažiti incidente, uz istodobno osiguravanje usklađenosti s pravnim obvezama.
1. Postupak odgovora na incidente
Ref.: GDPR
1. Otkrivanje i prijavljivanje
Sigurnosni incidenti otkrivaju se putem automatiziranih alata za praćenje i ručnim prijavljivanjem. Zaposlenici i izvođači osposobljeni su da sumnjive incidente odmah prijave na privacy@revzper.com ili putem telefonske linije za odgovor na incidente na contact@revzper.com.
Ref.: GDPR
2. Procjena i ograničavanje
Tim za odgovor na incidente, pod vodstvom DPO-a, procjenjuje opseg i učinak incidenta. Provode se neposredne mjere ograničavanja kako bi se spriječio daljnji neovlašteni pristup ili gubitak podataka.
Ref.: GDPR
3. Obavješćivanje nadzornih tijela
U slučaju povrede osobnih podataka, revzper SAS obavijestit će nadležno nadzorno tijelo u roku od 72 sata od saznanja za povredu, osim ako nije vjerojatno da će povreda prouzročiti rizik za prava i slobode ispitanika. Obavijest će sadržavati: Opis prirode povrede. Kategorije i približan broj ispitanika i zapisa na koje se povreda odnosi. Vjerojatne posljedice povrede. Mjere poduzete ili predložene radi rješavanja povrede.
Ref.: GDPR
4. Komunikacija s pogođenim ispitanicima
Ako je vjerojatno da će povreda prouzročiti visok rizik za prava i slobode ispitanika, revzper SAS obavijestit će pogođene osobe o povredi bez nepotrebnog odgađanja. Komunikacija će sadržavati: Jasan opis povrede. Mjere poduzete radi rješavanja povrede. Preporuke ispitanicima za zaštitu njihovih prava.
Ref.: GDPR
5. Dokumentiranje i preispitivanje
Svi su incidenti dokumentirani, uključujući temeljni uzrok, mjere odgovora i naučene lekcije. Postupak odgovora na incidente redovito se pregledava i ažurira kako bi se uključila poboljšanja.
Ref: GDPR
2. Put eskalacije
Manji incidenti: njima upravlja interni sigurnosni tim uz nadzor DPO-a. Veliki incidenti: eskaliraju se višem rukovodstvu i upravnom odboru, uz obveznu obavijest nadzornom tijelu.
Ref: GDPR
3. Kontakt za incidente
Za pitanja ili prijavu incidenta obratite se DPO-u na privacy@revzper.com.
Ref: GDPR
Upravljanje rizicima trećih strana
revzper SAS prepoznaje da dobavljači trećih strana, podobrađivači i pružatelji usluga mogu obrađivati osobne podatke u ime naše platforme. Predani smo osigurati da se sve treće strane pridržavaju istih visokih standarda zaštite podataka i sigurnosti kao revzper SAS.
1. Podobrađivači i pružatelji usluga
Sljedeće treće strane angažira revzper SAS za pružanje usluga koje uključuju obradu osobnih podataka. Svaki podobrađivač odabire se na temelju temeljite dubinske analize i ugovornih zaštitnih mjera:
Ref: GDPR
- Usluga: Usluge računalnog oblaka
Podobrađivač: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Lokacija podataka: France (Paris region), European Union
Certifikati usklađenosti: ISO/IEC 27001:2022; HDS (hosting zdravstvenih podataka)
Ugovor o obradi podataka: Scaleway Data Processing Agreement, https://www.scaleway.com/en/contracts/
- Usluga: Obrada plaćanja
Podobrađivač: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Lokacija podataka: European Union (Netherlands)
Certifikati usklađenosti: PCI DSS Level 1 service provider; platna institucija koju je ovlastila De Nederlandsche Bank
Ugovor o obradi podataka: Mollie obrađuje podatke o plaćanju kao neovisni voditelj obrade na temelju svog User Agreement i Privacy Statement, https://www.mollie.com/legal/privacy
- Usluga: AI zaključivanje (OpenAI modeli)
Podobrađivač: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland (Microsoft Foundry, Azure OpenAI Service)
Lokacija podataka: European Union: implementacije podatkovne zone na resursu u France (France Central); upiti i odgovori obrađuju se unutar Azure EU Data Boundary, podaci u mirovanju u France
Certifikati usklađenosti: ISO/IEC 27001, SOC 2 (Microsoft Service Trust Portal, https://servicetrust.microsoft.com/)
Ugovor o obradi podataka: Microsoft Products and Services Data Protection Addendum, https://aka.ms/DPA; data terms for Foundry models, https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy
- Usluga: AI zaključivanje (Mistral modeli)
Podobrađivač: Mistral AI SAS, RCS Paris 952 418 325, 15 rue des Halles, 75001 Paris, France (La Plateforme)
Lokacija podataka: European Union (zaključivanje na regionalnoj krajnjoj točki Mistral za EU; podaci se prema zadanim postavkama hostiraju u Europskoj uniji; ulazni i izlazni podaci API-ja čuvaju se trideset uzastopnih dana radi praćenja zlouporabe)
Certifikati usklađenosti: SOC 2 Type II; ISO/IEC 27001 i 27701 (Mistral AI Trust Center, https://trust.mistral.ai/)
Ugovor o obradi podataka: Mistral AI Data Processing Addendum, https://legal.mistral.ai/terms/data-processing-addendum/
2. Dubinska analiza i odabir
Svi potencijalni podobrađivači procjenjuju se na temelju svojih sigurnosnih praksi, certifikata usklađenosti i obveza u pogledu zaštite podataka. Sa svim podobrađivačima sklapaju se Ugovori o obradi podataka kojima se utvrđuju njihove obveze u pogledu zaštite podataka, sigurnosti i obavješćivanja o povredama. revzper SAS redovito pregledava uspješnost i usklađenost podobrađivača kako bi osigurao njihovo trajno pridržavanje primjenjivih propisa.
Ref: GDPR
3. Odgovor na incidente i obavješćivanje o povredi
Podobrađivači su dužni odmah obavijestiti revzper SAS o svakoj sumnji na povredu podataka ili stvarnoj povredi podataka. revzper SAS procijenit će učinak povrede i poduzeti odgovarajuće mjere, uključujući obavješćivanje nadležnog nadzornog tijela i ispitanika na koje povreda utječe, kako to zahtijevaju primjenjivi propisi.
Ref: GDPR
4. Kontakt za upravljanje rizicima trećih strana
Za pitanja o našim praksama upravljanja rizicima trećih strana obratite se DPO-u na privacy@revzper.com.
Ref: GDPR
Sigurnosna obuka i podizanje svijesti zaposlenika
revzper SAS predan je njegovanju kulture osviještenosti o sigurnosti među svim zaposlenicima i ugovornim suradnicima. Redovita obuka i edukacija ključne su za održavanje sigurnosti naše platforme i zaštitu osobnih podataka.
1. Program obuke
1. Opseg
Svi zaposlenici i ugovorni suradnici s pristupom sustavima ili podacima revzper SAS-a dužni su završiti sigurnosnu obuku.
2. Obuhvaćene teme
Svijest o uobičajenim sigurnosnim prijetnjama (npr. krađa identiteta, socijalni inženjering). Sigurne prakse autentifikacije. Načela kontrole pristupa i najmanjih ovlasti. Postupci prijavljivanja incidenata. Načela zaštite podataka i usklađenost s propisima. Prakse sigurnog razvoja (za tehničko osoblje). Fizička sigurnost i sigurnost na radnom mjestu.
3. Učestalost obuke
Novi zaposlenici: obvezna sigurnosna obuka u prvih 30 dana zaposlenja. Godišnje osvježavanje: svi zaposlenici i ugovorni suradnici moraju završiti godišnje ažuriranje sigurnosne obuke. Ad hoc obuka: dodatna obuka osigurava se za nove sustave, politike ili nove prijetnje.
4. Dokumentacija
Sudjelovanje u obuci i njezin završetak dokumentiraju se i sigurno pohranjuju. Zaposlenici su dužni potvrditi da razumiju materijale za obuku.
2. Kampanje podizanja svijesti
Simulacije krađe identiteta: Redovito se provode simulacije krađe identiteta radi procjene svijesti zaposlenika i učvršćivanja obuke. Bilteni o sigurnosti: Povremeno se distribuiraju bilteni radi dijeljenja novosti o sigurnosnim prijetnjama, najboljim praksama i promjenama politika. Pregledi incidenata: Nakon incidenata provode se pregledi radi analize naučenih lekcija i poboljšanja sigurnosnih praksi.
3. Usklađenost i provedba
Nepoštivanje zahtjeva u vezi sa sigurnosnom obukom može rezultirati stegovnim mjerama, uključujući i otkaz. revzper SAS zadržava pravo provjeravati dovršenost obuke i usklađenost sa sigurnosnim politikama.
4. Kontakt za pitanja o obuci
Za pitanja o našem programu sigurnosne obuke obratite se DPO-u na privacy@revzper.com.