Политика безопасности
Сообщение об уязвимостях безопасности
revzper SAS серьёзно относится к безопасности платформы Euphile. Если вы обнаружили уязвимость безопасности, просим сообщить о ней ответственным образом, отправив письмо на адрес contact@revzper.com. Мы подтвердим получение сообщения в течение 48 часов и постараемся предоставить первоначальную оценку в течение 5 рабочих дней. Мы не возбуждаем судебные дела против исследователей, соблюдающих практику ответственного раскрытия информации.
Соблюдение нормативных требований в области защиты данных
revzper SAS, являясь оператором данных платформы Euphile, стремится к полному соблюдению Общего регламента по защите данных (GDPR) и других применимых законов ЕС о защите данных. В настоящей политике изложено наше соблюдение следующих принципов:
1. Принципы GDPR
Все операции по обработке данных осуществляются на чётком правовом основании, включая согласие, исполнение договора или законный интерес, как указано в нашей Политике конфиденциальности.
Ссылка: GDPR
2. Права субъектов данных
Как субъект данных, вы обладаете следующими правами в отношении ваших персональных данных, обрабатываемых на платформе Euphile:
Ссылка: GDPR
- Запрашивать подтверждение того, обрабатываются ли ваши данные, и доступ к этим данным.
- Запрашивать исправление неточных или неполных персональных данных.
- Запрашивать удаление ваших персональных данных при определённых условиях.
- Запрашивать ограничение обработки при определённых обстоятельствах.
- Получать ваши персональные данные в структурированном, широко используемом и машиночитаемом формате.
- Возражать против обработки, основанной на законных интересах или прямом маркетинге.
- Отзывать согласие на обработку, если оно являлось правовым основанием.
3. Правовое основание обработки
Правовое основание обработки персональных данных на платформе Euphile различается в зависимости от продукта и услуги. Для получения подробной информации см. Политику конфиденциальности для каждого продукта (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu).
Ссылка: GDPR
4. Ответственный за защиту данных (DPO)
revzper SAS назначила ответственного за защиту данных для надзора за практиками защиты данных. С ответственным за защиту данных можно связаться по адресу privacy@revzper.com.
Ссылка: GDPR
Меры безопасности
На нашей платформе применяются следующие меры безопасности для защиты персональных данных:
1. Шифрование
1. При передаче
Все данные, передаваемые между пользователями и нашей платформой, шифруются с использованием стандартных для отрасли протоколов для обеспечения защищённых каналов связи.
2. В состоянии покоя
Конфиденциальные данные шифруются с использованием надёжных стандартов шифрования, а ключи шифрования управляются в соответствии с передовыми практиками.
2. Контроль доступа
1. Управление доступом на основе ролей
Управление доступом на основе ролей внедрено для обеспечения того, чтобы пользователи имели доступ только к данным и функциям, необходимым для выполнения их ролей.
2. Многофакторная аутентификация
Многофакторная аутентификация требуется для любого административного доступа к платформе.
3. Оценка безопасности
1. Сканирование уязвимостей и тестирование на проникновение
Для выявления и устранения недостатков безопасности регулярно проводятся сканирование уязвимостей и тестирование на проникновение.
2. Внутренние оценки безопасности
Внутренние оценки безопасности проводятся для проверки журналов доступа, конфигураций систем и соблюдения политик безопасности.
4. Автоматизированный мониторинг
1. Непрерывный мониторинг
Непрерывный мониторинг системных журналов, сетевого трафика и активности пользователей для обнаружения подозрительного поведения и реагирования на него в режиме реального времени.
2. Автоматизированные оповещения
Для потенциальных инцидентов безопасности создаются автоматизированные оповещения, что обеспечивает быстрое реагирование.
5. Сертификаты соответствия
Наша инфраструктура и процессы разработаны с учётом признанных стандартов безопасности. Сертификаты регулярно проверяются и предоставляются по запросу. Все данные обрабатываются в Европейском союзе на инфраструктуре, соответствующей отраслевым стандартам безопасности.
Реагирование на инциденты и уведомление об утечках
revzper SAS установила надёжную процедуру реагирования на инциденты для устранения последствий инцидентов безопасности, утечек данных или несанкционированного доступа к персональным данным. Наша цель — своевременно обнаруживать инциденты, локализовать их и снижать их последствия, обеспечивая при этом соблюдение юридических обязательств.
1. Процедура реагирования на инциденты
Ссылка: GDPR
1. Обнаружение и сообщение
Инциденты безопасности выявляются с помощью инструментов автоматизированного мониторинга и посредством ручного сообщения. Сотрудники и подрядчики обучены незамедлительно сообщать о предполагаемых инцидентах по адресу privacy@revzper.com или через горячую линию реагирования на инциденты по адресу contact@revzper.com.
Ссылка: GDPR
2. Оценка и локализация
Команда реагирования на инциденты под руководством ответственного за защиту данных оценивает масштаб и последствия инцидента. Для предотвращения дальнейшего несанкционированного доступа или потери данных принимаются незамедлительные меры по локализации инцидента.
Ссылка: GDPR
3. Уведомление надзорных органов
В случае утечки персональных данных revzper SAS уведомит компетентный надзорный орган в течение 72 часов с момента, когда ей стало известно об утечке, если только маловероятно, что утечка повлечёт риск для прав и свобод субъектов данных. Уведомление будет включать: описание характера утечки. Категории и приблизительное количество затронутых субъектов данных и записей. Вероятные последствия утечки. Принятые или предлагаемые меры по устранению последствий утечки.
Ссылка: GDPR
4. Сообщение затронутым субъектам данных
Если утечка, вероятно, повлечёт высокий риск для прав и свобод субъектов данных, revzper SAS сообщит об утечке затронутым лицам без неоправданной задержки. Сообщение будет включать: чёткое описание утечки. Меры, принятые для устранения последствий утечки. Рекомендации субъектам данных по защите их прав.
Ссылка: GDPR
5. Документирование и пересмотр
Все инциденты документируются, включая первопричину, меры реагирования и извлечённые уроки. Процедура реагирования на инциденты регулярно пересматривается и обновляется с целью внедрения улучшений.
Ссылка: GDPR
2. Порядок эскалации
Незначительные инциденты: обрабатываются внутренней командой безопасности под надзором DPO. Значительные инциденты: передаются высшему руководству и совету директоров с обязательным уведомлением надзорного органа.
Ссылка: GDPR
3. Контактное лицо по вопросам инцидентов
По вопросам или для сообщения об инциденте обращайтесь к DPO по адресу privacy@revzper.com.
Ссылка: GDPR
Управление рисками, связанными с третьими сторонами
revzper SAS признаёт, что сторонние поставщики, субобработчики и поставщики услуг могут обрабатывать персональные данные от имени нашей платформы. Мы стремимся обеспечить соблюдение всеми третьими сторонами таких же высоких стандартов защиты данных и безопасности, как и revzper SAS.
1. Субобработчики и поставщики услуг
Следующие третьи стороны привлекаются revzper SAS для предоставления услуг, связанных с обработкой персональных данных. Каждый субобработчик выбирается на основании тщательной проверки благонадёжности и договорных гарантий:
Ссылка: GDPR
- Услуга: Облачный хостинг
Субобработчик: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Местонахождение данных: France (Paris region), European Union
Сертификаты соответствия: ISO/IEC 27001:2022; HDS (хостинг медицинских данных)
Соглашение об обработке данных: Scaleway Data Processing Agreement, https://www.scaleway.com/en/contracts/
- Услуга: Обработка платежей
Субобработчик: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Местонахождение данных: European Union (Netherlands)
Сертификаты соответствия: PCI DSS Level 1 service provider; платёжная организация, авторизованная De Nederlandsche Bank
Соглашение об обработке данных: Mollie processes payment data as an independent controller under its User Agreement and Privacy Statement, https://www.mollie.com/legal/privacy
- Услуга: Выводы ИИ (модели OpenAI)
Субобработчик: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland (Microsoft Foundry, Azure OpenAI Service)
Местонахождение данных: European Union: data zone deployments on a resource in France (France Central); prompts and responses processed within the Azure EU Data Boundary, data at rest in France
Сертификаты соответствия: ISO/IEC 27001, SOC 2 (Microsoft Service Trust Portal, https://servicetrust.microsoft.com/)
Соглашение об обработке данных: Microsoft Products and Services Data Protection Addendum, https://aka.ms/DPA; data terms for Foundry models, https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy
- Услуга: Выводы ИИ (модели Mistral)
Субобработчик: Mistral AI SAS, RCS Paris 952 418 325, 15 rue des Halles, 75001 Paris, France (La Plateforme)
Местонахождение данных: European Union (inference on Mistral's EU regional endpoint; data hosted in the European Union by default; API inputs and outputs kept thirty rolling days for abuse monitoring)
Сертификаты соответствия: SOC 2 Type II; ISO/IEC 27001 и 27701 (Mistral AI Trust Center, https://trust.mistral.ai/)
Соглашение об обработке данных: Mistral AI Data Processing Addendum, https://legal.mistral.ai/terms/data-processing-addendum/
2. Проверка благонадёжности и отбор
Все потенциальные субобработчики оцениваются на основании их практик безопасности, сертификатов соответствия и обязательств по защите данных. Со всеми субобработчиками заключаются соглашения об обработке данных, в которых определяются их обязательства в отношении защиты данных, безопасности и уведомления о нарушениях. revzper SAS регулярно проверяет эффективность работы и соответствие требованиям субобработчиков, чтобы обеспечить постоянное соблюдение применимых нормативных требований.
Ссылка: GDPR
3. Реагирование на инциденты и уведомление о нарушениях
Субобработчики обязаны незамедлительно уведомлять revzper SAS о любых предполагаемых или фактических нарушениях безопасности данных. revzper SAS оценит последствия нарушения и примет соответствующие меры, включая уведомление компетентного надзорного органа и затронутых субъектов данных, если это требуется применимыми нормативными требованиями.
Ссылка: GDPR
4. Контактное лицо по вопросам управления рисками, связанными с третьими сторонами
По вопросам наших практик управления рисками, связанными с третьими сторонами, обращайтесь к DPO по адресу privacy@revzper.com.
Ссылка: GDPR
Обучение сотрудников вопросам безопасности и повышение осведомлённости
revzper SAS стремится формировать культуру осведомлённости о безопасности среди всех сотрудников и подрядчиков. Регулярное обучение и просвещение необходимы для поддержания безопасности нашей платформы и защиты персональных данных.
1. Программа обучения
1. Область применения
Все сотрудники и подрядчики, имеющие доступ к системам или данным revzper SAS, обязаны пройти обучение по безопасности.
2. Охватываемые темы
Осведомлённость о распространённых угрозах безопасности (например, фишинге, социальной инженерии). Практики безопасной аутентификации. Контроль доступа и принципы минимальных привилегий. Процедуры сообщения об инцидентах. Принципы защиты данных и соблюдение нормативных требований. Практики безопасной разработки (для технического персонала). Физическая безопасность и безопасность на рабочем месте.
3. Периодичность обучения
Новые сотрудники: обязательное обучение по безопасности в течение первых 30 дней работы. Ежегодное повторное обучение: все сотрудники и подрядчики должны ежегодно проходить обновлённое обучение по безопасности. Внеплановое обучение: дополнительное обучение предоставляется при внедрении новых систем, политик или возникновении новых угроз.
4. Документирование
Посещение и завершение обучения документируются и надёжно хранятся. Сотрудники обязаны подтвердить, что они понимают учебные материалы.
2. Кампании по повышению осведомлённости
Фишинговые симуляции: Регулярно проводятся фишинговые симуляции для оценки осведомлённости сотрудников и закрепления знаний, полученных в ходе обучения. Информационные бюллетени по безопасности: Периодически распространяются информационные бюллетени с обновлениями об угрозах безопасности, передовых методах и изменениях в политиках. Обзоры инцидентов: После инцидентов проводятся обзоры для анализа извлечённых уроков и совершенствования практик безопасности.
3. Соблюдение требований и меры принуждения
Несоблюдение требований к обучению в области безопасности может повлечь за собой дисциплинарные меры, вплоть до увольнения. revzper SAS оставляет за собой право проводить аудит завершения обучения и соблюдения политик безопасности.
4. Контактное лицо по вопросам обучения
По вопросам, связанным с нашей программой обучения в области безопасности, обращайтесь к DPO по адресу privacy@revzper.com.