Biztonsági szabályzat

Biztonsági sérülékenységek bejelentése

A revzper SAS komolyan veszi az Euphile platform biztonságát. Ha biztonsági sérülékenységet fedez fel, kérjük, felelősségteljesen jelentse azt a contact@revzper.com e-mail-címre küldött üzenetben. A bejelentés kézhezvételét 48 órán belül visszaigazoljuk, és törekszünk arra, hogy 5 munkanapon belül előzetes értékelést adjunk. Nem indítunk jogi eljárást azokkal a kutatókkal szemben, akik a felelősségteljes közzététel gyakorlatát követik.

Az adatvédelmi előírásoknak való megfelelés

A revzper SAS az Euphile platform adatkezelőjeként elkötelezett az általános adatvédelmi rendeletnek (GDPR) és az egyéb alkalmazandó uniós adatvédelmi jogszabályoknak való teljes körű megfelelés mellett. Jelen szabályzat ismerteti az alábbi elveknek való megfelelésünket:

1. A GDPR alapelvei

Minden adatkezelési tevékenységet egyértelmű jogalap alapján végzünk, ideértve a hozzájárulást, a szerződés teljesítését vagy a jogos érdeket, az Adatvédelmi szabályzatunkban meghatározottak szerint.

Hivatkozás: GDPR

2. Az érintettek jogai

Érintettként az Euphile platformon kezelt személyes adataival kapcsolatban az alábbi jogokkal rendelkezik:

Hivatkozás: GDPR

Kérheti annak megerősítését, hogy adatainak kezelése folyamatban van-e, valamint hozzáférést kérhet ezen adatokhoz.
Kérheti a pontatlan vagy hiányos személyes adatok helyesbítését.
Meghatározott feltételek mellett kérheti személyes adatainak törlését.
Bizonyos körülmények között kérheti az adatkezelés korlátozását.
Személyes adatait strukturált, széles körben használt és géppel olvasható formátumban kaphatja meg.
Tiltakozhat a jogos érdeken vagy közvetlen üzletszerzésen alapuló adatkezelés ellen.
Visszavonhatja az adatkezeléshez adott hozzájárulását, ha az képezte a jogalapot.

3. Az adatkezelés jogalapja

Az Euphile platformon végzett személyesadat-kezelés jogalapja termékenként és szolgáltatásonként eltérő. Részletes információért tekintse meg az egyes termékekre (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu) vonatkozó Adatvédelmi szabályzatot.

Hivatkozás: GDPR

4. Adatvédelmi tisztviselő (DPO)

A revzper SAS adatvédelmi tisztviselőt nevezett ki az adatvédelmi gyakorlat felügyeletére. A DPO a privacy@revzper.com címen érhető el.

Hivatkozás: GDPR

Biztonsági intézkedések

Platformunk az alábbi biztonsági intézkedéseket alkalmazza a személyes adatok védelme érdekében:

1. Titkosítás

1. Átvitel közben

A felhasználók és platformunk között továbbított valamennyi adatot az iparági szabványoknak megfelelő protokollok alkalmazásával titkosítjuk a biztonságos kommunikációs csatornák biztosítása érdekében.

2. Nyugalmi állapotban

Az érzékeny adatokat erős titkosítási szabványok alkalmazásával titkosítjuk, a titkosítási kulcsokat pedig a bevált gyakorlatoknak megfelelően kezeljük.

2. Hozzáférés-vezérlés

1. Szerepköralapú hozzáférés-vezérlés

Szerepköralapú hozzáférés-vezérlést alkalmazunk annak biztosítása érdekében, hogy a felhasználók kizárólag a szerepkörükhöz szükséges adatokhoz és funkciókhoz férjenek hozzá.

2. Többtényezős hitelesítés

A platformhoz való valamennyi adminisztratív hozzáféréshez többtényezős hitelesítés szükséges.

3. Biztonsági értékelések

1. Sérülékenységvizsgálatok és behatolási tesztek

Rendszeres sérülékenységvizsgálatokat és behatolási teszteket végzünk a biztonsági hiányosságok azonosítása és orvoslása érdekében.

2. Belső biztonsági értékelések

Belső biztonsági értékeléseket végzünk a hozzáférési naplók, a rendszerkonfigurációk és a biztonsági szabályzatoknak való megfelelés felülvizsgálata céljából.

4. Automatizált monitorozás

1. Folyamatos monitorozás

A rendszernaplók, a hálózati forgalom és a felhasználói tevékenység folyamatos monitorozása a gyanús viselkedés valós időben történő észlelése és az arra való reagálás érdekében.

2. Automatizált riasztások

A potenciális biztonsági incidensekre vonatkozóan automatizált riasztásokat generálunk, lehetővé téve a gyors reagálást.

5. Megfelelőségi tanúsítványok

Infrastruktúránkat és folyamatainkat úgy alakítottuk ki, hogy megfeleljenek az elismert biztonsági szabványoknak. A tanúsítványokat rendszeresen ellenőrizzük, és kérésre rendelkezésre bocsátjuk. Valamennyi adatot az Európai Unión belül, az iparági biztonsági szabványoknak megfelelő infrastruktúrán kezeljük.

Incidenskezelés és adatvédelmi incidensek bejelentése

A revzper SAS hatékony incidenskezelési eljárást vezetett be a biztonsági incidensek, adatvédelmi incidensek vagy a személyes adatokhoz való jogosulatlan hozzáférés kezelésére. Célunk az incidensek gyors észlelése, megfékezése és mérséklése, a jogi kötelezettségeknek való megfelelés biztosítása mellett.

1. Incidenskezelési eljárás

Hivatkozás: GDPR

1. Észlelés és bejelentés

A biztonsági incidenseket automatizált monitorozó eszközök és manuális bejelentések révén észleljük. Az alkalmazottakat és a szerződéses partnereket kiképezzük arra, hogy a feltételezett incidenseket haladéktalanul jelentsék a privacy@revzper.com címen vagy az incidenskezelési forródróton a contact@revzper.com címen.

Hivatkozás: GDPR

2. Értékelés és megfékezés

A DPO által vezetett incidenskezelési csapat értékeli az incidens hatókörét és hatását. Azonnali megfékezési intézkedéseket hajtunk végre a további jogosulatlan hozzáférés vagy adatvesztés megakadályozása érdekében.

Hivatkozás: GDPR

3. A felügyeleti hatóságok értesítése

Személyes adatok megsértésével járó incidens esetén a revzper SAS a jogsértés tudomására jutásától számított 72 órán belül értesíti az illetékes felügyeleti hatóságot, kivéve, ha valószínűtlen, hogy a jogsértés kockázattal jár az érintettek jogaira és szabadságaira nézve. Az értesítés tartalmazza: A jogsértés jellegének leírását. Az érintettek és az érintett nyilvántartások kategóriáit és hozzávetőleges számát. A jogsértés valószínűsíthető következményeit. A jogsértés kezelésére tett vagy javasolt intézkedéseket.

Hivatkozás: GDPR

4. Az érintett érintettek tájékoztatása

Ha a jogsértés valószínűsíthetően magas kockázattal jár az érintettek jogaira és szabadságaira nézve, a revzper SAS indokolatlan késedelem nélkül tájékoztatja az érintett személyeket a jogsértésről. A tájékoztatás tartalmazza: A jogsértés egyértelmű leírását. A jogsértés kezelésére tett intézkedéseket. Az érintettek jogainak védelmére vonatkozó ajánlásokat.

Hivatkozás: GDPR

5. Dokumentálás és felülvizsgálat

Minden incidenst dokumentálnak, beleértve a kiváltó okot, a válaszintézkedéseket és a levont tanulságokat. Az incidenskezelési eljárást rendszeresen felülvizsgálják és frissítik a fejlesztések beépítése érdekében.

Hivatkozás: GDPR

2. Eszkalációs útvonal

Kisebb incidensek: A belső biztonsági csapat kezeli a DPO felügyelete mellett. Jelentős incidensek: A felső vezetéshez és az igazgatótanácshoz kerülnek eszkalálásra, a felügyeleti hatóság kötelező értesítésével.

Hivatkozás: GDPR

3. Incidensekkel kapcsolatos kapcsolattartó

Kérdéseivel vagy incidens bejelentésével forduljon a DPO-hoz a privacy@revzper.com címen.

Hivatkozás: GDPR

Harmadik felekkel kapcsolatos kockázatkezelés

A revzper SAS elismeri, hogy a harmadik félként eljáró szállítók, al-adatfeldolgozók és szolgáltatók platformunk nevében személyes adatokat kezelhetnek. Elkötelezettek vagyunk annak biztosítása mellett, hogy valamennyi harmadik fél ugyanazokat a magas szintű adatvédelmi és biztonsági követelményeket tartsa be, mint a revzper SAS.

1. Al-adatfeldolgozók és szolgáltatók

Az alábbi harmadik feleket a revzper SAS olyan szolgáltatások nyújtására veszi igénybe, amelyek személyes adatok kezelésével járnak. Minden al-adatfeldolgozó kiválasztása szigorú átvilágítás és szerződéses biztosítékok alapján történik:

Hivatkozás: GDPR

Szolgáltatás: Felhőalapú tárhelyszolgáltatás

Al-adatfeldolgozó: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Adatok helye: Franciaország (párizsi régió), Európai Unió
Megfelelőségi tanúsítványok: ISO/IEC 27001:2022; HDS (egészségügyi adatok tárhelyszolgáltatása)
Adatkezelési megállapodás: Scaleway Data Processing Agreement, https://www.scaleway.com/en/contracts/

Szolgáltatás: Fizetésfeldolgozás

Al-adatfeldolgozó: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Adatok helye: Európai Unió (Hollandia)
Megfelelőségi tanúsítványok: PCI DSS Level 1 szolgáltató; a De Nederlandsche Bank által engedélyezett pénzforgalmi intézmény
Adatkezelési megállapodás: A Mollie a fizetési adatokat a User Agreement és a Privacy Statement alapján önálló adatkezelőként kezeli, https://www.mollie.com/legal/privacy

Szolgáltatás: AI-inferencia (OpenAI-modellek)

Al-adatfeldolgozó: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland (Microsoft Foundry, Azure OpenAI Service)
Adatok helye: Európai Unió: adatövezeti telepítések egy franciaországi erőforráson (France Central); a promptok és a válaszok az Azure EU Data Boundary területén belül kerülnek feldolgozásra, a nyugalmi állapotban lévő adatok Franciaországban találhatók
Megfelelőségi tanúsítványok: ISO/IEC 27001, SOC 2 (Microsoft Service Trust Portal, https://servicetrust.microsoft.com/)
Adatkezelési megállapodás: Microsoft Products and Services Data Protection Addendum, https://aka.ms/DPA; a Foundry-modellekre vonatkozó adatkezelési feltételek, https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy

Szolgáltatás: AI-inferencia (Mistral-modellek)

Al-adatfeldolgozó: Mistral AI SAS, RCS Paris 952 418 325, 15 rue des Halles, 75001 Paris, France (La Plateforme)
Adatok helye: Európai Unió (az inferencia a Mistral uniós regionális végpontján történik; az adatokat alapértelmezés szerint az Európai Unióban tárolják; az API-bemeneteket és -kimeneteket harminc gördülő napig őrzik a visszaélések nyomon követése céljából)
Megfelelőségi tanúsítványok: SOC 2 Type II; ISO/IEC 27001 és 27701 (Mistral AI Trust Center, https://trust.mistral.ai/)
Adatkezelési megállapodás: Mistral AI Data Processing Addendum, https://legal.mistral.ai/terms/data-processing-addendum/
2. Átvilágítás és kiválasztás

Minden potenciális al-adatfeldolgozót a biztonsági gyakorlatai, megfelelőségi tanúsítványai és adatvédelmi kötelezettségvállalásai alapján értékelnek. Valamennyi al-adatfeldolgozóval adatkezelési megállapodást kötnek, amely meghatározza az adatvédelemmel, a biztonsággal és az adatvédelmi incidensek bejelentésével kapcsolatos kötelezettségeiket. A revzper SAS rendszeresen felülvizsgálja az al-adatfeldolgozók teljesítményét és megfelelőségét annak biztosítása érdekében, hogy továbbra is betartsák az alkalmazandó jogszabályokat.

Hivatkozás: GDPR

3. Incidenskezelés és adatvédelmi incidensek bejelentése

Az al-adatfeldolgozók kötelesek haladéktalanul értesíteni a revzper SAS-t minden feltételezett vagy tényleges adatvédelmi incidensről. A revzper SAS felméri az incidens hatását, és megteszi a megfelelő intézkedéseket, beleértve az illetékes felügyeleti hatóság és az érintett adatalanyok értesítését, az alkalmazandó jogszabályok által előírtak szerint.

Hivatkozás: GDPR

4. Kapcsolattartó a harmadik felekkel kapcsolatos kockázatkezeléshez

A harmadik felekkel kapcsolatos kockázatkezelési gyakorlatunkkal kapcsolatos kérdéseivel forduljon a DPO-hoz a privacy@revzper.com címen.

Hivatkozás: GDPR

Munkavállalói biztonsági képzés és tudatosság

A revzper SAS elkötelezett amellett, hogy valamennyi munkavállaló és szerződéses közreműködő körében a biztonságtudatosság kultúráját alakítsa ki. A rendszeres képzés és oktatás elengedhetetlen platformunk biztonságának fenntartásához és a személyes adatok védelméhez.

1. Képzési program

1. Hatály

A revzper SAS rendszereihez vagy adataihoz hozzáférő valamennyi munkavállaló és szerződéses közreműködő köteles biztonsági képzésen részt venni.

2. Oktatott témakörök

A gyakori biztonsági fenyegetések ismerete (pl. adathalászat, social engineering). Biztonságos hitelesítési gyakorlatok. A hozzáférés-vezérlés és a legkisebb jogosultság elvei. Az incidensek bejelentésére vonatkozó eljárások. Az adatvédelem alapelvei és a szabályozási megfelelés. Biztonságos fejlesztési gyakorlatok (a műszaki munkatársak számára). Fizikai biztonság és munkahelyi biztonság.

3. A képzés gyakorisága

Új munkavállalók: A munkaviszony első 30 napján belül kötelező biztonsági képzés. Éves ismétlő képzés: Valamennyi munkavállalónak és szerződéses közreműködőnek évente teljesítenie kell a biztonsági képzés frissítését. Eseti képzés: Új rendszerek, szabályzatok vagy újonnan megjelenő fenyegetések esetén további képzést biztosítanak.

4. Dokumentáció

A képzésen való részvételt és annak teljesítését dokumentálják és biztonságosan tárolják. A munkavállalóknak nyilatkozniuk kell arról, hogy megértették a képzési anyagokat.

2. Tudatosságnövelő kampányok

Adathalászati szimulációk: Rendszeresen adathalászati szimulációkat végzünk az alkalmazottak tudatosságának felmérése és a képzés megerősítése érdekében. Biztonsági hírlevelek: Időszakos hírleveleket terjesztünk a biztonsági fenyegetésekkel, bevált gyakorlatokkal és szabályzatmódosításokkal kapcsolatos frissítések megosztása céljából. Incidensértékelések: Az incidenseket követően értékeléseket végzünk a levont tanulságok elemzése és a biztonsági gyakorlatok javítása érdekében.

3. Megfelelés és végrehajtás

A biztonsági képzési követelményeknek való meg nem felelés fegyelmi intézkedést vonhat maga után, akár a munkaviszony megszüntetését is beleértve. A revzper SAS fenntartja a jogot a képzés teljesítésének és a biztonsági szabályzatoknak való megfelelésnek az ellenőrzésére.

4. Kapcsolattartó a képzéssel kapcsolatos kérdésekben

A biztonsági képzési programunkkal kapcsolatos kérdéseivel forduljon a DPO-hoz a privacy@revzper.com címen.