Politica de securitate
Raportarea vulnerabilităților de securitate
revzper SAS tratează cu seriozitate securitatea platformei Euphile. Dacă descoperiți o vulnerabilitate de securitate, vă rugăm să o raportați în mod responsabil prin e-mail la contact@revzper.com. Vom confirma primirea în termen de 48 de ore și ne propunem să furnizăm o evaluare inițială în termen de 5 zile lucrătoare. Nu inițiem acțiuni în justiție împotriva cercetătorilor care respectă practicile de divulgare responsabilă.
Conformitatea cu reglementările privind protecția datelor
revzper SAS, în calitate de operator de date pentru platforma Euphile, se angajează să respecte pe deplin Regulamentul general privind protecția datelor (GDPR) și celelalte acte legislative aplicabile ale UE privind protecția datelor. Prezenta politică descrie respectarea de către noi a următoarelor principii:
1. Principiile GDPR
Toate activitățile de prelucrare a datelor se desfășoară în baza unui temei juridic clar, inclusiv consimțământul, executarea contractului sau interesul legitim, astfel cum este specificat în Evidențele noastre privind prelucrarea datelor.
Ref.: GDPR
2. Drepturile persoanei vizate
În calitate de persoană vizată, beneficiați de următoarele drepturi în ceea ce privește datele dumneavoastră cu caracter personal prelucrate pe platforma Euphile:
Ref.: GDPR
- Solicitarea confirmării faptului că datele dumneavoastră sunt prelucrate și accesul la aceste date.
- Solicitarea rectificării datelor cu caracter personal inexacte sau incomplete.
- Solicitarea ștergerii datelor dumneavoastră cu caracter personal în anumite condiții.
- Solicitarea restricționării prelucrării în anumite circumstanțe.
- Primirea datelor dumneavoastră cu caracter personal într-un format structurat, utilizat în mod curent și care poate fi citit automat.
- Opoziția față de prelucrarea bazată pe interese legitime sau marketing direct.
- Retragerea consimțământului pentru prelucrare în cazul în care acesta a constituit temeiul juridic.
3. Temeiul juridic pentru prelucrare
Temeiul juridic pentru prelucrarea datelor cu caracter personal pe platforma Euphile variază în funcție de produs și serviciu. Pentru informații detaliate, consultați Evidențele privind prelucrarea datelor pentru fiecare produs (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu).
Ref.: GDPR
4. Responsabilul cu protecția datelor (DPO)
revzper SAS a desemnat un Responsabil cu protecția datelor pentru a supraveghea practicile privind protecția datelor. Responsabilul cu protecția datelor poate fi contactat la privacy@revzper.com.
Ref.: GDPR
Măsuri de securitate
Platforma noastră utilizează următoarele măsuri de securitate pentru a proteja datele cu caracter personal:
1. Criptarea
1. În tranzit
Toate datele transmise între utilizatori și platforma noastră sunt criptate utilizând protocoale conforme cu standardele industriei, pentru a asigura canale de comunicare securizate.
2. În repaus
Datele sensibile sunt criptate utilizând standarde de criptare puternice, cheile de criptare fiind gestionate în conformitate cu cele mai bune practici.
2. Controale de acces
1. Controlul accesului bazat pe roluri
Este implementat controlul accesului bazat pe roluri pentru a asigura faptul că utilizatorii au acces numai la datele și funcțiile necesare pentru rolurile lor.
2. Autentificarea multifactor
Autentificarea multifactor este necesară pentru orice acces administrativ la platformă.
3. Evaluări de securitate
1. Scanări pentru identificarea vulnerabilităților și teste de penetrare
Sunt efectuate în mod regulat scanări pentru identificarea vulnerabilităților și teste de penetrare pentru a identifica și remedia vulnerabilitățile de securitate.
2. Evaluări interne de securitate
Sunt efectuate evaluări interne de securitate pentru a examina jurnalele de acces, configurațiile sistemului și conformitatea cu politicile de securitate.
4. Monitorizare automatizată
1. Monitorizare continuă
Monitorizarea continuă a jurnalelor sistemului, a traficului de rețea și a activității utilizatorilor pentru detectarea și reacționarea la comportamente suspecte în timp real.
2. Alerte automatizate
Sunt generate alerte automatizate pentru incidente potențiale de securitate, permițând o reacție rapidă.
5. Certificări de conformitate
Infrastructura și procesele noastre sunt concepute pentru a îndeplini standarde de securitate recunoscute. Certificările sunt verificate în mod regulat și sunt puse la dispoziție la cerere. Toate datele sunt prelucrate în cadrul Uniunii Europene pe o infrastructură care îndeplinește standardele de securitate ale industriei.
Răspunsul la incidente și notificarea încălcărilor securității
revzper SAS a instituit o procedură solidă de răspuns la incidente pentru a aborda incidentele de securitate, încălcările securității datelor sau accesul neautorizat la datele cu caracter personal. Obiectivul nostru este să detectăm, să limităm și să reducem prompt impactul incidentelor, asigurând în același timp respectarea obligațiilor legale.
1. Procedura de răspuns la incidente
Ref.: GDPR
1. Detectarea și raportarea
Incidentele de securitate sunt detectate prin instrumente de monitorizare automatizate și raportare manuală. Angajații și contractanții sunt instruiți să raporteze imediat incidentele suspectate la privacy@revzper.com sau prin linia telefonică de urgență pentru răspuns la incidente, la contact@revzper.com.
Ref.: GDPR
2. Evaluarea și limitarea
Echipa de răspuns la incidente, condusă de Responsabilul cu protecția datelor, evaluează amploarea și impactul incidentului. Sunt implementate măsuri imediate de limitare pentru a preveni accesul neautorizat suplimentar sau pierderea datelor.
Ref.: GDPR
3. Notificarea autorităților de supraveghere
În cazul unei încălcări a securității datelor cu caracter personal, revzper SAS va notifica autoritatea de supraveghere competentă în termen de 72 de ore de la momentul în care ia cunoștință de încălcare, cu excepția cazului în care este improbabil ca încălcarea să genereze un risc pentru drepturile și libertățile persoanelor vizate. Notificarea va include: O descriere a naturii încălcării. Categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor afectate. Consecințele probabile ale încălcării. Măsurile luate sau propuse pentru remedierea încălcării.
Ref.: GDPR
4. Comunicarea către persoanele vizate afectate
În cazul în care este probabil ca încălcarea să genereze un risc ridicat pentru drepturile și libertățile persoanelor vizate, revzper SAS va comunica încălcarea persoanelor afectate fără întârzieri nejustificate. Comunicarea va include: O descriere clară a încălcării. Măsurile luate pentru remedierea încălcării. Recomandări pentru persoanele vizate în vederea protejării drepturilor lor.
Ref.: GDPR
5. Documentarea și revizuirea
Toate incidentele sunt documentate, inclusiv cauza principală, acțiunile întreprinse ca răspuns și lecțiile învățate. Procedura de răspuns la incidente este revizuită și actualizată periodic pentru a încorpora îmbunătățiri.
Ref.: GDPR
2. Calea de escaladare
Incidente minore: Gestionate de echipa internă de securitate, sub supravegherea DPO. Incidente majore: Escaladat către conducerea superioară și consiliul de administrație, cu notificarea obligatorie a autorității de supraveghere.
Ref.: GDPR
3. Contact pentru incidente
Pentru întrebări sau pentru a raporta un incident, contactați DPO la privacy@revzper.com.
Ref.: GDPR
Gestionarea riscurilor asociate terților
revzper SAS recunoaște faptul că furnizorii terți, persoanele împuternicite de operator ulterioare și furnizorii de servicii pot prelucra date cu caracter personal în numele platformei noastre. Ne angajăm să ne asigurăm că toate părțile terțe respectă aceleași standarde înalte de protecție și securitate a datelor ca revzper SAS.
1. Persoane împuternicite de operator ulterioare și furnizori de servicii
Următoarele părți terțe sunt contractate de revzper SAS pentru a furniza servicii care implică prelucrarea datelor cu caracter personal. Fiecare persoană împuternicită de operator ulterioară este selectată pe baza unei verificări prealabile riguroase și a unor garanții contractuale:
Ref.: GDPR
- Serviciu: Găzduire în cloud
Persoană împuternicită de operator ulterioară: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Locația datelor: Franța (regiunea Paris), Uniunea Europeană
Certificări de conformitate: ISO/IEC 27001:2022; HDS (găzduirea datelor privind sănătatea)
Acord privind prelucrarea datelor: Acordul Scaleway privind prelucrarea datelor, https://www.scaleway.com/en/contracts/
- Serviciu: Prelucrarea plăților
Persoană împuternicită de operator ulterioară: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Locația datelor: Uniunea Europeană (Țările de Jos)
Certificări de conformitate: furnizor de servicii PCI DSS Level 1; instituție de plată autorizată de De Nederlandsche Bank
Acord privind prelucrarea datelor: Mollie prelucrează datele de plată în calitate de operator independent în temeiul Acordului său de utilizare și al Declarației sale de confidențialitate, https://www.mollie.com/legal/privacy
2. Verificarea prealabilă și selecția
Toate persoanele împuternicite de operator ulterioare potențiale sunt evaluate pe baza practicilor lor de securitate, a certificărilor de conformitate și a angajamentelor privind protecția datelor. Acorduri privind prelucrarea datelor sunt încheiate cu toate persoanele împuternicite de operator ulterioare, stabilind obligațiile acestora privind protecția datelor, securitatea și notificarea încălcărilor. revzper SAS verifică periodic performanța și conformitatea persoanelor împuternicite de operator ulterioare pentru a asigura respectarea continuă a reglementărilor aplicabile.
Ref.: GDPR
3. Răspunsul la incidente și notificarea încălcărilor
Persoanele împuternicite de operator ulterioare au obligația de a notifica imediat revzper SAS cu privire la orice încălcare suspectată sau efectivă a securității datelor. revzper SAS va evalua impactul încălcării și va lua măsurile corespunzătoare, inclusiv notificarea autorității de supraveghere competente și a persoanelor vizate afectate, astfel cum este prevăzut de reglementările aplicabile.
Ref.: GDPR
4. Contact pentru gestionarea riscurilor asociate terților
Pentru întrebări privind practicile noastre de gestionare a riscurilor asociate terților, contactați DPO la privacy@revzper.com.
Ref.: GDPR
Instruirea și conștientizarea angajaților în materie de securitate
revzper SAS se angajează să promoveze o cultură a conștientizării securității în rândul tuturor angajaților și contractorilor. Instruirea și educația periodică sunt esențiale pentru menținerea securității platformei noastre și protejarea datelor cu caracter personal.
1. Programul de instruire
1. Domeniu de aplicare
Toți angajații și contractorii care au acces la sistemele sau datele revzper SAS au obligația de a finaliza instruirea în materie de securitate.
2. Subiecte abordate
Conștientizarea amenințărilor comune la adresa securității (de exemplu, phishing, inginerie socială). Practici de autentificare securizată. Controlul accesului și principiile privilegiului minim. Proceduri de raportare a incidentelor. Principii privind protecția datelor și conformitatea cu reglementările. Practici de dezvoltare securizată (pentru personalul tehnic). Securitatea fizică și siguranța la locul de muncă.
3. Frecvența instruirii
Angajații nou-recrutați: Instruire obligatorie în materie de securitate în primele 30 de zile de la angajare. Reîmprospătare anuală: Toți angajații și contractorii trebuie să finalizeze o actualizare anuală a instruirii în materie de securitate. Instruire ad-hoc: Se furnizează instruire suplimentară pentru sisteme, politici noi sau amenințări emergente.
4. Documentare
Participarea la instruire și finalizarea acesteia sunt documentate și stocate în condiții de securitate. Angajaților li se solicită să confirme că au înțeles materialele de instruire.
2. Campanii de conștientizare
Simulări de phishing: Se efectuează periodic simulări de phishing pentru a evalua gradul de conștientizare al angajaților și pentru a consolida instruirea. Buletine informative privind securitatea: Sunt distribuite periodic buletine informative pentru a comunica actualizări privind amenințările la adresa securității, bunele practici și modificările politicilor. Analiza incidentelor: Sunt efectuate analize post-incident pentru a examina lecțiile învățate și a îmbunătăți practicile de securitate.
3. Conformitate și aplicarea măsurilor
Nerespectarea cerințelor privind instruirea în materie de securitate poate conduce la aplicarea unor măsuri disciplinare, inclusiv încetarea raporturilor de muncă. revzper SAS își rezervă dreptul de a audita finalizarea instruirii și conformitatea cu politicile de securitate.
4. Contact pentru întrebări privind instruirea
Pentru întrebări privind programul nostru de instruire în materie de securitate, contactați DPO la privacy@revzper.com.