Politica de securitate
Raportarea vulnerabilităților de securitate
revzper SAS tratează cu seriozitate securitatea platformei Euphile. Dacă descoperiți o vulnerabilitate de securitate, vă rugăm să o raportați în mod responsabil, trimițând un e-mail la contact@revzper.com. Vom confirma primirea în termen de 48 de ore și ne propunem să furnizăm o evaluare inițială în termen de 5 zile lucrătoare. Nu inițiem acțiuni în justiție împotriva cercetătorilor care respectă practicile de divulgare responsabilă.
Conformitatea cu reglementările privind protecția datelor
revzper SAS, în calitate de operator de date pentru platforma Euphile, se angajează să respecte pe deplin Regulamentul general privind protecția datelor (GDPR) și celelalte acte normative aplicabile ale UE privind protecția datelor. Prezenta politică descrie respectarea de către noi a următoarelor principii:
1. Principiile GDPR
Toate activitățile de prelucrare a datelor se desfășoară în baza unui temei juridic clar, inclusiv consimțământul, executarea contractului sau interesul legitim, astfel cum este specificat în Politica noastră de confidențialitate.
Ref.: GDPR
2. Drepturile persoanelor vizate
În calitate de persoană vizată, aveți următoarele drepturi cu privire la datele dumneavoastră cu caracter personal prelucrate pe platforma Euphile:
Ref.: GDPR
- Să solicitați confirmarea faptului că datele dumneavoastră sunt prelucrate și accesul la aceste date.
- Să solicitați rectificarea datelor cu caracter personal inexacte sau incomplete.
- Să solicitați ștergerea datelor dumneavoastră cu caracter personal în anumite condiții.
- Să solicitați restricționarea prelucrării în anumite circumstanțe.
- Să primiți datele dumneavoastră cu caracter personal într-un format structurat, utilizat în mod curent și care poate fi citit automat.
- Să vă opuneți prelucrării bazate pe interese legitime sau marketingului direct.
- Să vă retrageți consimțământul pentru prelucrare atunci când acesta a constituit temeiul juridic.
3. Temeiul juridic pentru prelucrare
Temeiul juridic pentru prelucrarea datelor cu caracter personal pe platforma Euphile variază în funcție de produs și serviciu. Pentru informații detaliate, consultați Politica de confidențialitate pentru fiecare produs (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu).
Ref.: GDPR
4. Responsabilul cu protecția datelor (DPO)
revzper SAS a desemnat un responsabil cu protecția datelor pentru a supraveghea practicile de protecție a datelor. DPO poate fi contactat la privacy@revzper.com.
Ref.: GDPR
Măsuri de securitate
Platforma noastră utilizează următoarele măsuri de securitate pentru a proteja datele cu caracter personal:
1. Criptarea
1. În tranzit
Toate datele transmise între utilizatori și platforma noastră sunt criptate folosind protocoale standard în industrie pentru a asigura canale de comunicare securizate.
2. În repaus
Datele sensibile sunt criptate utilizând standarde puternice de criptare, cheile de criptare fiind gestionate în conformitate cu cele mai bune practici.
2. Controale ale accesului
1. Controlul accesului bazat pe roluri
Controlul accesului bazat pe roluri este implementat pentru a asigura faptul că utilizatorii au acces numai la datele și funcțiile necesare pentru rolurile lor.
2. Autentificarea multifactorială
Autentificarea multifactorială este obligatorie pentru toate accesările administrative ale platformei.
3. Evaluări de securitate
1. Scanări pentru vulnerabilități și teste de penetrare
Se efectuează periodic scanări pentru vulnerabilități și teste de penetrare pentru a identifica și remedia deficiențele de securitate.
2. Evaluări interne de securitate
Se efectuează evaluări interne de securitate pentru a examina jurnalele de acces, configurațiile sistemului și conformitatea cu politicile de securitate.
4. Monitorizare automatizată
1. Monitorizare continuă
Monitorizarea continuă a jurnalelor sistemului, a traficului de rețea și a activității utilizatorilor pentru a detecta și a răspunde comportamentelor suspecte în timp real.
2. Alerte automatizate
Sunt generate alerte automatizate pentru posibile incidente de securitate, permițând un răspuns rapid.
5. Certificări de conformitate
Infrastructura și procesele noastre sunt concepute pentru a îndeplini standarde de securitate recunoscute. Certificările sunt verificate periodic și puse la dispoziție la cerere. Toate datele sunt prelucrate în Uniunea Europeană pe o infrastructură care îndeplinește standardele de securitate din industrie.
Răspunsul la incidente și notificarea încălcărilor securității datelor
revzper SAS a instituit o procedură solidă de răspuns la incidente pentru a aborda incidentele de securitate, încălcările securității datelor sau accesul neautorizat la date cu caracter personal. Scopul nostru este să detectăm, să limităm și să reducem prompt impactul incidentelor, asigurând în același timp respectarea obligațiilor legale.
1. Procedura de răspuns la incidente
Ref.: GDPR
1. Detectare și raportare
Incidentele de securitate sunt detectate prin instrumente de monitorizare automatizată și raportare manuală. Angajații și contractanții sunt instruiți să raporteze imediat incidentele suspectate către privacy@revzper.com sau prin linia telefonică pentru răspuns la incidente, la contact@revzper.com.
Ref.: GDPR
2. Evaluare și limitare
Echipa de răspuns la incidente, coordonată de DPO, evaluează amploarea și impactul incidentului. Sunt implementate măsuri imediate de limitare pentru a preveni orice acces neautorizat suplimentar sau pierdere de date.
Ref.: GDPR
3. Notificarea autorităților de supraveghere
În cazul unei încălcări a securității datelor cu caracter personal, revzper SAS va notifica autoritatea de supraveghere competentă în termen de 72 de ore de la momentul la care ia cunoștință de încălcare, cu excepția cazului în care este puțin probabil ca încălcarea să genereze un risc pentru drepturile și libertățile persoanelor vizate. Notificarea va include: O descriere a naturii încălcării. Categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor afectate. Consecințele probabile ale încălcării. Măsurile luate sau propuse pentru remedierea încălcării.
Ref.: GDPR
4. Comunicarea către persoanele vizate afectate
În cazul în care este probabil ca încălcarea să genereze un risc ridicat pentru drepturile și libertățile persoanelor vizate, revzper SAS va comunica încălcarea persoanelor afectate fără întârzieri nejustificate. Comunicarea va include: O descriere clară a încălcării. Măsurile luate pentru remedierea încălcării. Recomandări pentru ca persoanele vizate să își protejeze drepturile.
Ref.: GDPR
5. Documentare și revizuire
Toate incidentele sunt documentate, inclusiv cauza principală, acțiunile de răspuns și lecțiile învățate. Procedura de răspuns la incidente este revizuită și actualizată periodic pentru a integra îmbunătățirile.
Ref: GDPR
2. Calea de escaladare
Incidente minore: Gestionate de echipa internă de securitate, sub supravegherea DPO. Incidente majore: Escalate către conducerea superioară și consiliul de administrație, cu notificarea obligatorie a autorității de supraveghere.
Ref: GDPR
3. Contact pentru incidente
Pentru întrebări sau pentru a raporta un incident, contactați DPO la privacy@revzper.com.
Ref: GDPR
Gestionarea riscurilor asociate terților
revzper SAS recunoaște că furnizorii terți, sub-procesatorii și furnizorii de servicii pot prelucra date cu caracter personal în numele platformei noastre. Ne angajăm să ne asigurăm că toate părțile terțe respectă aceleași standarde ridicate de protecție și securitate a datelor ca revzper SAS.
1. Sub-procesatori și furnizori de servicii
Următoarele părți terțe sunt angajate de revzper SAS pentru a furniza servicii care implică prelucrarea datelor cu caracter personal. Fiecare sub-procesator este selectat pe baza unei verificări riguroase prealabile și a unor garanții contractuale:
Ref: GDPR
- Serviciu: Găzduire în cloud
Sub-procesator: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Locația datelor: France (Paris region), European Union
Certificări de conformitate: ISO/IEC 27001:2022; HDS (health data hosting)
Acord privind prelucrarea datelor: Scaleway Data Processing Agreement, https://www.scaleway.com/en/contracts/
- Serviciu: Prelucrarea plăților
Sub-procesator: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Locația datelor: European Union (Netherlands)
Certificări de conformitate: PCI DSS Level 1 service provider; payment institution authorised by De Nederlandsche Bank
Acord privind prelucrarea datelor: Mollie processes payment data as an independent controller under its User Agreement and Privacy Statement, https://www.mollie.com/legal/privacy
- Serviciu: Inferență AI (OpenAI models)
Sub-procesator: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland (Microsoft Foundry, Azure OpenAI Service)
Locația datelor: European Union: data zone deployments on a resource in France (France Central); prompts and responses processed within the Azure EU Data Boundary, data at rest in France
Certificări de conformitate: ISO/IEC 27001, SOC 2 (Microsoft Service Trust Portal, https://servicetrust.microsoft.com/)
Acord privind prelucrarea datelor: Microsoft Products and Services Data Protection Addendum, https://aka.ms/DPA; data terms for Foundry models, https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy
- Serviciu: Inferență AI (Mistral models)
Sub-procesator: Mistral AI SAS, RCS Paris 952 418 325, 15 rue des Halles, 75001 Paris, France (La Plateforme)
Locația datelor: European Union (inference on Mistral's EU regional endpoint; data hosted in the European Union by default; API inputs and outputs kept thirty rolling days for abuse monitoring)
Certificări de conformitate: SOC 2 Type II; ISO/IEC 27001 and 27701 (Mistral AI Trust Center, https://trust.mistral.ai/)
Acord privind prelucrarea datelor: Mistral AI Data Processing Addendum, https://legal.mistral.ai/terms/data-processing-addendum/
2. Verificarea prealabilă și selecția
Toți sub-procesatorii potențiali sunt evaluați pe baza practicilor lor de securitate, a certificărilor de conformitate și a angajamentelor privind protecția datelor. Cu toți sub-procesatorii sunt încheiate Acorduri privind prelucrarea datelor, care stabilesc obligațiile acestora referitoare la protecția datelor, securitate și notificarea încălcărilor. revzper SAS analizează periodic performanța și conformitatea sub-procesatorilor pentru a asigura respectarea continuă a reglementărilor aplicabile.
Ref: GDPR
3. Răspunsul la incidente și notificarea încălcărilor
Sub-procesatorii sunt obligați să notifice imediat revzper SAS cu privire la orice încălcare suspectată sau efectivă a securității datelor. revzper SAS va evalua impactul încălcării și va lua măsurile corespunzătoare, inclusiv notificarea autorității de supraveghere competente și a persoanelor vizate afectate, astfel cum este prevăzut de reglementările aplicabile.
Ref: GDPR
4. Contact pentru gestionarea riscurilor asociate terților
Pentru întrebări privind practicile noastre de gestionare a riscurilor asociate terților, contactați DPO la privacy@revzper.com.
Ref: GDPR
Formarea și sensibilizarea angajaților în materie de securitate
revzper SAS se angajează să promoveze o cultură a sensibilizării cu privire la securitate în rândul tuturor angajaților și contractanților. Formarea și educația periodice sunt esențiale pentru menținerea securității platformei noastre și protejarea datelor cu caracter personal.
1. Programul de formare
1. Domeniu de aplicare
Toți angajații și contractanții care au acces la sistemele sau datele revzper SAS trebuie să finalizeze formarea în materie de securitate.
2. Subiecte abordate
Sensibilizarea cu privire la amenințările comune la adresa securității (de exemplu, phishing, inginerie socială). Practici de autentificare securizată. Controlul accesului și principiile privilegiului minim. Proceduri de raportare a incidentelor. Principii privind protecția datelor și conformitatea cu reglementările. Practici de dezvoltare securizată (pentru personalul tehnic). Securitatea fizică și siguranța la locul de muncă.
3. Frecvența formării
Noii angajați: Formare obligatorie în materie de securitate în primele 30 de zile de la angajare. Actualizare anuală: Toți angajații și contractanții trebuie să finalizeze o actualizare anuală a formării în materie de securitate. Formare ad-hoc: Se oferă formare suplimentară pentru sisteme, politici noi sau amenințări emergente.
4. Documentare
Participarea la formare și finalizarea acesteia sunt documentate și stocate în condiții de securitate. Angajaților li se solicită să confirme că au înțeles materialele de formare.
2. Campanii de sensibilizare
Simulări de phishing: Se efectuează periodic simulări de phishing pentru a evalua gradul de conștientizare al angajaților și pentru a consolida instruirea. Buletine informative privind securitatea: Se distribuie periodic buletine informative pentru a comunica actualizări privind amenințările la adresa securității, cele mai bune practici și modificările politicilor. Analize ale incidentelor: După incidente, se efectuează analize pentru a examina lecțiile învățate și pentru a îmbunătăți practicile de securitate.
3. Conformitate și aplicarea măsurilor
Nerespectarea cerințelor privind instruirea în domeniul securității poate duce la aplicarea unor măsuri disciplinare, inclusiv până la încetarea raportului de muncă. revzper SAS își rezervă dreptul de a verifica finalizarea instruirii și respectarea politicilor de securitate.
4. Date de contact pentru întrebări privind instruirea
Pentru întrebări despre programul nostru de instruire în domeniul securității, contactați DPO la adresa privacy@revzper.com.