Polityka bezpieczeństwa
Zgłaszanie luk w zabezpieczeniach
revzper SAS poważnie traktuje bezpieczeństwo platformy Euphile. Jeśli odkryją Państwo lukę w zabezpieczeniach, prosimy o odpowiedzialne zgłoszenie jej za pośrednictwem poczty elektronicznej na adres contact@revzper.com. Potwierdzimy otrzymanie zgłoszenia w ciągu 48 godzin i dołożymy starań, aby przedstawić wstępną ocenę w ciągu 5 dni roboczych. Nie podejmujemy działań prawnych przeciwko badaczom, którzy stosują odpowiedzialne praktyki ujawniania informacji.
Zgodność z przepisami dotyczącymi ochrony danych
revzper SAS, jako administrator danych dla platformy Euphile, zobowiązuje się do pełnej zgodności z ogólnym rozporządzeniem o ochronie danych (GDPR) oraz innymi mającymi zastosowanie przepisami UE dotyczącymi ochrony danych. Niniejsza polityka określa nasze przestrzeganie następujących zasad:
1. Zasady GDPR
Wszelkie działania związane z przetwarzaniem danych prowadzone są na podstawie wyraźnej podstawy prawnej, w tym zgody, wykonania umowy lub prawnie uzasadnionego interesu, zgodnie z Polityką prywatności.
Odniesienie: GDPR
2. Prawa osób, których dane dotyczą
Jako osoba, której dane dotyczą, mają Państwo następujące prawa w odniesieniu do danych osobowych przetwarzanych na platformie Euphile:
Odniesienie: GDPR
- Żądanie potwierdzenia, czy Państwa dane są przetwarzane, oraz dostępu do tych danych.
- Żądanie sprostowania niedokładnych lub niekompletnych danych osobowych.
- Żądanie usunięcia Państwa danych osobowych w określonych warunkach.
- Żądanie ograniczenia przetwarzania w określonych okolicznościach.
- Otrzymanie Państwa danych osobowych w ustrukturyzowanym, powszechnie używanym i nadającym się do odczytu maszynowego formacie.
- Wniesienie sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionych interesach lub marketingu bezpośrednim.
- Wycofanie zgody na przetwarzanie, jeżeli stanowiła ona podstawę prawną.
3. Podstawa prawna przetwarzania
Podstawa prawna przetwarzania danych osobowych na platformie Euphile różni się w zależności od produktu i usługi. Szczegółowe informacje można znaleźć w Polityce prywatności dotyczącej każdego produktu (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu).
Odniesienie: GDPR
4. Inspektor ochrony danych (DPO)
revzper SAS powołała inspektora ochrony danych w celu nadzorowania praktyk w zakresie ochrony danych. Z inspektorem ochrony danych można skontaktować się pod adresem privacy@revzper.com.
Odniesienie: GDPR
Środki bezpieczeństwa
Nasza platforma stosuje następujące środki bezpieczeństwa w celu ochrony danych osobowych:
1. Szyfrowanie
1. Podczas przesyłania
Wszystkie dane przesyłane między użytkownikami a naszą platformą są szyfrowane przy użyciu standardowych w branży protokołów w celu zapewnienia bezpiecznych kanałów komunikacji.
2. W spoczynku
Dane wrażliwe są szyfrowane przy użyciu silnych standardów szyfrowania, a klucze szyfrowania są zarządzane zgodnie z najlepszymi praktykami.
2. Kontrola dostępu
1. Kontrola dostępu oparta na rolach
Kontrola dostępu oparta na rolach jest wdrażana w celu zapewnienia, że użytkownicy mają dostęp wyłącznie do danych i funkcji niezbędnych do pełnienia przez nich ról.
2. Uwierzytelnianie wieloskładnikowe
Uwierzytelnianie wieloskładnikowe jest wymagane w przypadku wszelkiego dostępu administracyjnego do platformy.
3. Oceny bezpieczeństwa
1. Skanowanie pod kątem luk w zabezpieczeniach i testy penetracyjne
Regularnie przeprowadzane są skanowania pod kątem luk w zabezpieczeniach i testy penetracyjne w celu identyfikowania i usuwania słabych punktów w zakresie bezpieczeństwa.
2. Wewnętrzne oceny bezpieczeństwa
Przeprowadzane są wewnętrzne oceny bezpieczeństwa w celu przeglądu dzienników dostępu, konfiguracji systemu oraz zgodności z politykami bezpieczeństwa.
4. Automatyczne monitorowanie
1. Stałe monitorowanie
Stałe monitorowanie dzienników systemowych, ruchu sieciowego i aktywności użytkowników w celu wykrywania podejrzanych zachowań i reagowania na nie w czasie rzeczywistym.
2. Automatyczne alerty
Dla potencjalnych incydentów bezpieczeństwa generowane są automatyczne alerty, umożliwiające szybką reakcję.
5. Certyfikaty zgodności
Nasza infrastruktura i procesy są zaprojektowane tak, aby spełniać uznane standardy bezpieczeństwa. Certyfikaty są regularnie weryfikowane i udostępniane na żądanie. Wszystkie dane są przetwarzane na terenie Unii Europejskiej w ramach infrastruktury spełniającej standardy bezpieczeństwa obowiązujące w branży.
Reagowanie na incydenty i powiadamianie o naruszeniach
revzper SAS ustanowiła solidną procedurę reagowania na incydenty w celu rozwiązywania incydentów bezpieczeństwa, naruszeń ochrony danych lub nieuprawnionego dostępu do danych osobowych. Naszym celem jest szybkie wykrywanie incydentów, ograniczanie ich zasięgu i łagodzenie ich skutków przy jednoczesnym zapewnieniu zgodności z obowiązkami prawnymi.
1. Procedura reagowania na incydenty
Odniesienie: GDPR
1. Wykrywanie i zgłaszanie
Incydenty bezpieczeństwa są wykrywane za pośrednictwem automatycznych narzędzi monitorujących oraz poprzez zgłoszenia ręczne. Pracownicy i wykonawcy są szkoleni w zakresie niezwłocznego zgłaszania podejrzewanych incydentów na adres privacy@revzper.com lub za pośrednictwem infolinii reagowania na incydenty pod adresem contact@revzper.com.
Odniesienie: GDPR
2. Ocena i ograniczenie
Zespół reagowania na incydenty, kierowany przez inspektora ochrony danych, ocenia zakres i skutki incydentu. Wdrażane są natychmiastowe środki ograniczające w celu zapobieżenia dalszemu nieuprawnionemu dostępowi lub utracie danych.
Odniesienie: GDPR
3. Powiadomienie organów nadzorczych
W przypadku naruszenia ochrony danych osobowych revzper SAS powiadomi właściwy organ nadzorczy w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem dla praw i wolności osób, których dane dotyczą. Powiadomienie będzie zawierać: opis charakteru naruszenia. Kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz rekordów danych, których dotyczy naruszenie. Prawdopodobne konsekwencje naruszenia. Środki podjęte lub proponowane w celu zaradzenia naruszeniu.
Odniesienie: GDPR
4. Powiadomienie osób, których dane dotyczą
Jeżeli prawdopodobne jest, że naruszenie spowoduje wysokie ryzyko dla praw i wolności osób, których dane dotyczą, revzper SAS powiadomi osoby, których to dotyczy, bez zbędnej zwłoki. Powiadomienie będzie zawierać: jasny opis naruszenia. Środki podjęte w celu zaradzenia naruszeniu. Zalecenia dla osób, których dane dotyczą, dotyczące ochrony ich praw.
Odniesienie: GDPR
5. Dokumentowanie i przegląd
Wszystkie incydenty są dokumentowane, w tym ich główna przyczyna, działania podjęte w ramach reakcji oraz wyciągnięte wnioski. Procedura reagowania na incydenty jest regularnie przeglądana i aktualizowana w celu uwzględnienia usprawnień.
Ref: GDPR
2. Ścieżka eskalacji
Drobne incydenty: Obsługiwane przez wewnętrzny zespół ds. bezpieczeństwa pod nadzorem DPO. Poważne incydenty: Eskalowane do wyższego kierownictwa i rady dyrektorów, z obowiązkowym powiadomieniem organu nadzorczego.
Ref: GDPR
3. Kontakt w sprawie incydentów
W przypadku pytań lub w celu zgłoszenia incydentu należy skontaktować się z DPO pod adresem privacy@revzper.com.
Ref: GDPR
Zarządzanie ryzykiem związanym z podmiotami trzecimi
revzper SAS uznaje, że dostawcy zewnętrzni, podwykonawcy przetwarzania i usługodawcy mogą przetwarzać dane osobowe w imieniu naszej platformy. Zobowiązujemy się zapewnić, aby wszystkie podmioty trzecie przestrzegały takich samych wysokich standardów ochrony danych i bezpieczeństwa jak revzper SAS.
1. Podwykonawcy przetwarzania i usługodawcy
Poniższe podmioty trzecie są angażowane przez revzper SAS w celu świadczenia usług obejmujących przetwarzanie danych osobowych. Każdy podwykonawca przetwarzania jest wybierany na podstawie rygorystycznej weryfikacji due diligence i zabezpieczeń umownych:
Ref: GDPR
- Usługa: Hosting w chmurze
Podwykonawca przetwarzania: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Lokalizacja danych: Francja (region Paryża), Unia Europejska
Certyfikaty zgodności: ISO/IEC 27001:2022; HDS (hosting danych dotyczących zdrowia)
Umowa powierzenia przetwarzania danych: Scaleway Data Processing Agreement, https://www.scaleway.com/en/contracts/
- Usługa: Przetwarzanie płatności
Podwykonawca przetwarzania: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Lokalizacja danych: Unia Europejska (Niderlandy)
Certyfikaty zgodności: usługodawca posiadający certyfikat PCI DSS Level 1; instytucja płatnicza upoważniona przez De Nederlandsche Bank
Umowa powierzenia przetwarzania danych: Mollie przetwarza dane dotyczące płatności jako niezależny administrator na podstawie swojej User Agreement i Privacy Statement, https://www.mollie.com/legal/privacy
- Usługa: Wnioskowanie AI (modele OpenAI)
Podwykonawca przetwarzania: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland (Microsoft Foundry, Azure OpenAI Service)
Lokalizacja danych: Unia Europejska: wdrożenia w strefie danych na zasobie we Francji (France Central); podpowiedzi i odpowiedzi przetwarzane w ramach Azure EU Data Boundary, dane w spoczynku we Francji
Certyfikaty zgodności: ISO/IEC 27001, SOC 2 (Microsoft Service Trust Portal, https://servicetrust.microsoft.com/)
Umowa powierzenia przetwarzania danych: Microsoft Products and Services Data Protection Addendum, https://aka.ms/DPA; warunki dotyczące danych dla modeli Foundry, https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy
- Usługa: Wnioskowanie AI (modele Mistral)
Podwykonawca przetwarzania: Mistral AI SAS, RCS Paris 952 418 325, 15 rue des Halles, 75001 Paris, France (La Plateforme)
Lokalizacja danych: Unia Europejska (wnioskowanie za pośrednictwem regionalnego punktu końcowego Mistral w UE; dane są domyślnie hostowane w Unii Europejskiej; dane wejściowe i wyjściowe API są przechowywane przez trzydzieści kolejnych dni w celu monitorowania nadużyć)
Certyfikaty zgodności: SOC 2 Type II; ISO/IEC 27001 i 27701 (Mistral AI Trust Center, https://trust.mistral.ai/)
Umowa powierzenia przetwarzania danych: Mistral AI Data Processing Addendum, https://legal.mistral.ai/terms/data-processing-addendum/
2. Weryfikacja due diligence i wybór
Wszyscy potencjalni podwykonawcy przetwarzania są oceniani na podstawie swoich praktyk w zakresie bezpieczeństwa, certyfikatów zgodności oraz zobowiązań dotyczących ochrony danych. Ze wszystkimi podwykonawcami przetwarzania zawierane są umowy powierzenia przetwarzania danych określające ich obowiązki w zakresie ochrony danych, bezpieczeństwa i powiadamiania o naruszeniach. revzper SAS regularnie dokonuje przeglądu wyników i zgodności podwykonawców przetwarzania w celu zapewnienia stałego przestrzegania obowiązujących przepisów.
Ref: GDPR
3. Reagowanie na incydenty i powiadamianie o naruszeniach
Podwykonawcy przetwarzania są zobowiązani do natychmiastowego powiadomienia revzper SAS o wszelkich podejrzewanych lub faktycznych naruszeniach danych. revzper SAS oceni wpływ naruszenia i podejmie odpowiednie działania, w tym powiadomi właściwy organ nadzorczy oraz osoby, których dane dotyczą, zgodnie z wymogami obowiązujących przepisów.
Ref: GDPR
4. Kontakt w sprawie zarządzania ryzykiem związanym z podmiotami trzecimi
W przypadku pytań dotyczących naszych praktyk zarządzania ryzykiem związanym z podmiotami trzecimi należy skontaktować się z DPO pod adresem privacy@revzper.com.
Ref: GDPR
Szkolenia i podnoszenie świadomości pracowników w zakresie bezpieczeństwa
revzper SAS zobowiązuje się do wspierania kultury świadomości bezpieczeństwa wśród wszystkich pracowników i wykonawców. Regularne szkolenia i edukacja są niezbędne do utrzymania bezpieczeństwa naszej platformy i ochrony danych osobowych.
1. Program szkoleniowy
1. Zakres
Wszyscy pracownicy i wykonawcy mający dostęp do systemów lub danych revzper SAS są zobowiązani do ukończenia szkolenia z zakresu bezpieczeństwa.
2. Zakres tematyczny
Świadomość powszechnych zagrożeń bezpieczeństwa (np. phishingu, inżynierii społecznej). Bezpieczne praktyki uwierzytelniania. Kontrola dostępu i zasady najmniejszych uprawnień. Procedury zgłaszania incydentów. Zasady ochrony danych i zgodność z przepisami. Praktyki bezpiecznego tworzenia oprogramowania (dla personelu technicznego). Bezpieczeństwo fizyczne i bezpieczeństwo w miejscu pracy.
3. Częstotliwość szkoleń
Nowo zatrudnione osoby: obowiązkowe szkolenie z zakresu bezpieczeństwa w ciągu pierwszych 30 dni zatrudnienia. Coroczne szkolenie odświeżające: wszyscy pracownicy i wykonawcy muszą raz w roku ukończyć aktualizację szkolenia z zakresu bezpieczeństwa. Szkolenia doraźne: dodatkowe szkolenia są zapewniane w związku z nowymi systemami, zasadami lub pojawiającymi się zagrożeniami.
4. Dokumentacja
Udział w szkoleniach i ich ukończenie są dokumentowane i bezpiecznie przechowywane. Pracownicy są zobowiązani do potwierdzenia, że rozumieją materiały szkoleniowe.
2. Kampanie podnoszenia świadomości
Symulacje phishingowe: Regularnie przeprowadzane są symulacje phishingowe w celu oceny świadomości pracowników i utrwalania wiedzy ze szkoleń. Biuletyny bezpieczeństwa: Okresowo rozpowszechniane są biuletyny w celu przekazywania aktualnych informacji o zagrożeniach bezpieczeństwa, najlepszych praktykach i zmianach w zasadach. Analizy incydentów: Po wystąpieniu incydentów przeprowadzane są analizy w celu wyciągnięcia wniosków i doskonalenia praktyk bezpieczeństwa.
3. Zgodność i egzekwowanie
Nieprzestrzeganie wymogów dotyczących szkoleń z zakresu bezpieczeństwa może skutkować podjęciem działań dyscyplinarnych, aż do rozwiązania stosunku pracy włącznie. revzper SAS zastrzega sobie prawo do przeprowadzania audytów ukończenia szkoleń i zgodności z zasadami bezpieczeństwa.
4. Kontakt w sprawie zapytań dotyczących szkoleń
W przypadku pytań dotyczących naszego programu szkoleń z zakresu bezpieczeństwa należy skontaktować się z DPO pod adresem privacy@revzper.com.