Додаток про обробку даних

1. Сфера дії та ролі

Цей DPA застосовується, коли RansomLeak обробляє персональні дані від імені клієнта під час надання Сервісу. Щодо цих даних клієнт є контролером (або обробником, що діє від імені власного контролера), а RansomLeak є обробником (або субпроцесором).

DPA відповідає статті 28 Загального регламенту ЄС про захист даних (GDPR), UK GDPR і Закону Великої Британії про захист даних 2018 року, а також Федеральному закону Швейцарії про захист даних (FADP), а також Закону України «Про захист персональних даних» там, де він застосовується, разом «Законодавство про захист даних». Терміни «персональні дані», «обробка», «контролер», «обробник» і «порушення безпеки персональних даних» мають значення, визначені в GDPR.

RansomLeak діє як самостійний контролер лише щодо даних облікового запису, рахунків і ділових контактів, а також свого публічного сайту, як описано в нашій Політиці конфіденційності. Ці дані не підпадають під цей DPA.

2. Деталі обробки (Додаток I)

Предмет:

Надання платформи навчання з кібербезпеки RansomLeak і пов’язаних послуг за Угодою.

Тривалість:

Строк дії Угоди плюс період видалення, визначений у розділі 9.

Характер і мета:

Хостинг, зберігання, створення облікових записів, проведення навчання, фішингових та інших симуляцій, звітність, оцінка ризику, підтримка та інші функції, які клієнт вмикає в Сервісі.

Суб’єкти даних:

Працівники, підрядники та інші особи, яких клієнт запрошує чи додає до Сервісу, а також його адміністратори.

Категорії даних:

Ідентифікаційні та контактні дані (ім’я, робоча пошта, за бажанням номер телефону), організаційні дані (відділ, керівник, посада, місцезнаходження, статус працевлаштування), дані облікового запису й автентифікації, активність і результати навчання, взаємодія із симуляціями, оцінки ризику, а також технічні дані, як-от IP-адреса та дані браузера. Якщо клієнт встановлює розширення для браузера, також події безпеки, які воно надсилає.

Особливі категорії:

За замовчуванням немає. Якщо адміністратор клієнта вмикає deepfake-симуляції, завантажені ним голосові зразки обробляються для створення аудіо симуляції. Клієнт відповідає за отримання згоди людей, чиї голоси використовуються.

3. Обов’язки обробника

• Обробляти персональні дані лише за задокументованими інструкціями клієнта. Такими інструкціями є Угода, цей DPA і налаштування Сервісу клієнтом. RansomLeak повідомить клієнта, якщо вважає, що інструкція порушує Законодавство про захист даних.
• Забезпечити, щоб усі, хто має доступ до персональних даних, були зобов’язані зберігати конфіденційність.
• Застосовувати технічні й організаційні заходи, яких вимагає стаття 32 GDPR. Їх стисло наведено в Додатку II нижче, а повністю описано на сторінці Безпека та відповідність.
• Не продавати персональні дані й не використовувати їх для реклами чи будь-якої іншої мети, крім надання Сервісу.

4. Субпроцесори

Клієнт надає RansomLeak загальний дозвіл на залучення субпроцесорів. Актуальний перелік опубліковано на сторінці ransomleak.com/subprocessors.

RansomLeak зобов’язує кожного субпроцесора письмовим договором дотримуватися зобов’язань щодо захисту даних, не менш суворих, ніж у цьому DPA, і залишається відповідальним перед клієнтом за своїх субпроцесорів.

RansomLeak повідомляє щонайменше за 30 днів до додавання або заміни субпроцесора. Протягом цього строку клієнт може заперечити з обґрунтованих причин, пов’язаних із захистом даних. Сторони добросовісно намагатимуться врегулювати заперечення; якщо це не вдасться, клієнт може припинити користування відповідною частиною Сервісу й отримати пропорційне повернення передоплати за неї.

5. Допомога

• Запити суб’єктів даних: Сервіс дозволяє адміністраторам переглядати, експортувати, виправляти й видаляти дані користувачів. RansomLeak пересилає клієнту будь-який запит, отриманий напряму, і допомагає із запитами, які клієнт не може виконати в Сервісі.
• RansomLeak надає розумну допомогу з оцінкою впливу на захист даних і попередніми консультаціями з наглядовими органами з урахуванням характеру обробки та доступної йому інформації.

6. Порушення безпеки персональних даних

RansomLeak повідомляє клієнта без невиправданої затримки й у будь-якому разі протягом 48 годин після того, як дізнається про порушення безпеки, що стосується персональних даних клієнта. Повідомлення описує, наскільки це відомо на той момент, характер порушення, категорії та приблизну кількість зачеплених осіб і записів, імовірні наслідки та вжиті або заплановані заходи. RansomLeak доповнює повідомлення, щойно з’являється нова інформація.

7. Аудити

RansomLeak надає інформацію, необхідну для підтвердження дотримання цього DPA. Клієнт погоджується насамперед спиратися на документацію RansomLeak з безпеки, звіти й сертифікати третіх сторін та відповіді на анкети безпеки.

Якщо цього недостатньо або цього вимагає наглядовий орган, клієнт може провести аудит, зокрема інспекцію на місці, не частіше ніж раз на рік, з письмовим повідомленням щонайменше за 30 днів, у робочий час, з дотриманням конфіденційності та за власний кошт.

8. Міжнародні передачі

• Кожен клієнт обирає регіон хостингу під час створення тенанта. Персональні дані клієнтів, розміщених у регіоні ЄС (AWS eu-west-1, Ірландія), зберігаються та обробляються в Європейській економічній зоні.
• Якщо персональні дані передаються за межі ЄЕЗ, Великої Британії чи Швейцарії, зокрема для тенантів у США або субпроцесорам у США, застосовуються Стандартні договірні положення, затверджені Виконавчим рішенням Комісії (ЄС) 2021/914: Модуль 2 (від контролера до обробника) і Модуль 3 (від обробника до обробника), з Пунктом 7, варіантом 2 Пункту 9 (загальний дозвіл, 30 днів), без необов’язкового формулювання Пункту 11, а Пункти 17 і 18 регулюються правом і розглядаються в судах Естонії.
• Для передач із Великої Британії ці положення доповнює Додаток про міжнародну передачу даних Уповноваженого з питань інформації Великої Британії. Для передач зі Швейцарії посилання на GDPR тлумачаться як посилання на FADP, а компетентним органом є швейцарський FDPIC.
• Якщо одержувач сертифікований за Рамкою конфіденційності даних ЄС–США (та її розширеннями для Великої Британії і Швейцарії), можна спиратися на цю сертифікацію.

9. Видалення та повернення

Протягом строку дії Угоди адміністратори можуть експортувати свої дані із Сервісу. Протягом 30 днів після припинення Угоди RansomLeak видаляє персональні дані клієнта із Сервісу, якщо закон не вимагає їх зберігати. Зашифровані резервні копії перезаписуються за звичайним графіком ротації і до того не відновлюються, крім випадків відновлення Сервісу.

10. Відповідальність

Відповідальність кожної сторони за цим DPA підпадає під обмеження та виключення відповідальності, визначені в Угоді, крім випадків, коли Законодавство про захист даних не дозволяє їх обмежувати.

11. Пріоритет і застосовне право

У разі суперечності Стандартні договірні положення мають пріоритет над цим DPA, а цей DPA має пріоритет над іншими положеннями Угоди щодо обробки персональних даних. Цей DPA регулюється тим самим правом, що й Угода.

Додаток II: Технічні та організаційні заходи

• Шифрування під час передачі (TLS 1.2 і вище) і під час зберігання (AES-256)
• Логічна ізоляція тенантів з окремою схемою бази даних для кожного клієнта
• Єдиний вхід, багатофакторна автентифікація й рольовий доступ для адміністраторів
• Мінімально необхідний, журнальований доступ персоналу RansomLeak; доступ підтримки, що підлягає аудиту, лише на запит клієнта
• Мережева ізоляція, виявлення загроз і безперервний моніторинг в AWS
• Зашифровані резервні копії, перевірене відновлення й задокументоване реагування на інциденти
• Практики безпечної розробки: рецензування коду, статичний аналіз CodeQL і сканування залежностей на вразливості для кожної зміни, а також опублікований процес розкриття вразливостей

Актуальні подробиці наведено на сторінці Безпека та відповідність.