Privatumo politika

Įsigalioja: [Date of your acceptance] · Versija: 1.0

Juodraštis, laukiantis teisinės peržiūros. Šis dokumentas yra struktūrizuotas atspirties taškas, apimantis paleidimui reikalingas temas. Jo dar nepatvirtino išorės teisininkai. Prieš skelbdami užtikrinkite, kad jį peržiūrėtų teisininkai jūsų jurisdikcijoje ir įvertintų konkrečius tvarkymo susitarimus. Autoritetinga yra tekstų versija anglų kalba; vertimai teikiami patogumui.

1. Kas mes esame

Atitic valdo Atitic, MB, įmonė, įsteigta Lithuania, registracijos numeris 308087362, registruotas adresas Statybininkų g. 1A-63, 03205, Vilnius. Klausimais dėl šios Privatumo politikos kreipkitės [email protected].

Jei to reikalauja BDAR 37 straipsnis, mūsų duomenų apsaugos pareigūną galima pasiekti tuo pačiu adresu.

Ši kopija pritaikyta [Your organisation] (registracijos numeris [Your registration number], registruotas [Your registered address]).

2. Duomenų valdytojo ir tvarkytojo vaidmenys

Atitic veikia dviem skirtingomis rolėmis:

• Duomenų valdytojas. Kai lankotės mūsų rinkodaros svetainėje, registruojatės bandymui, susirašinėjate su mumis arba naudojatės Paslaugos administravimo funkcijomis, susijusiomis su savo paskyra, mes nustatome tvarkymo tikslus ir priemones ir esame duomenų valdytojas. Pavyzdžiai: paskyros prisijungimo duomenys, atsiskaitymo įrašai, rinkodaros el. laiškai, į kuriuos užsiprenumeravote, kontaktų formos pateikimai, slapukai atitic.eu.
• Duomenų tvarkytojas. Kai jūs ar jūsų Įgaliotieji naudotojai įkeliate asmens duomenis apie savo duomenų subjektus į Paslaugą vykdydami savo atitikties programą (pavyzdžiui, RoPA įrašai, DSAR užklausos, pažeidimų pranešimai, personalo patvirtinimai), Atitic veikia kaip duomenų tvarkytojas jūsų vardu. Duomenų tvarkymo priedas (DTP), pateikiamas adresu https://atitic.eu/dpa, reglamentuoja tokį tvarkymą.

3. Ką renkame ir kodėl

Paskyros duomenys: vardas, verslo el. paštas, sumaišytas slaptažodis (Argon2id), MFA sėkla (šifruota), rodymo kalba, laiko juosta, priklausymai nuomininkams ir vaidmenų priskyrimai, sesijos veikla (paskutinio matomumo IP, įrenginio pirštų atspaudai, atšaukimo būsena). Tikslas: jūsų autentiškumo patvirtinimas, Paslaugos teikimas ir audito sekos teikimas apie tai, kas ir ką padarė.

Atsiskaitymo duomenys: nuomininko kontaktinis asmuo, PVM mokėtojo kodas (jei taikoma), Stripe kliento ID, prenumeratos būsena ir ankstesnės sąskaitos. Mokėjimo kortelės duomenis tvarko Stripe, jie niekada nepatenka į Atitic serverius.

Susirašinėjimas: bet kokio el. laiško, kurį siunčiate mums (palaikymas, pardavimai, teisiniai klausimai), turinys ir metaduomenys apie mūsų jums siunčiamus išsiunčiamus tranzakcinius el. laiškus (pristatymo, atmetimo, atidarymo metrika iš el. pašto pristatymo subtvarkytojo).

Rinkodaros duomenys: jei užpildote savęs įvertinimo apklausą, mes surenkame atsakymus kartu su jūsų nurodytu el. paštu, kad galėtume pateikti ataskaitą. Bet kada galite atsisakyti tolesnės rinkodaros.

Produkto telemetrija: serverio pusės užklausų žurnalai (laiko žyma, kelias, būsena, užklausos-id, nuomininko-id, naudotojo-id) ribotą laiką, naudojami operacijoms, saugumui ir piktnaudžiavimo prevencijai. Rinkodaros svetainėje ar produkte nenaudojame trečiųjų šalių analitikos ar slapukais pagrįsto sekimo.

Jūsų įkelti Kliento duomenys: bet kokie duomenys, kuriuos jūsų Įgaliotieji naudotojai pasirenka įkelti kaip įrodymus, politikas, RoPA įrašus, DPIA, pažeidimų ataskaitas ir pan. Šiuos Kliento duomenis tvarkome griežtai kaip duomenų tvarkytojas pagal jūsų nurodymus.

4. Teisiniai tvarkymo pagrindai

• Sutarties vykdymas (BDAR 6 str. 1 d. b p.): Paslaugos teikimas pagal mūsų Sąlygas.
• Teisėti interesai (BDAR 6 str. 1 d. f p.): Paslaugos saugumas, piktnaudžiavimo prevencija, mūsų verslo valdymas (atsiskaitymas, apskaita, ginčų gynyba), produkto tobulinimas remiantis apibendrinta / anoniminta naudojimo statistika.
• Teisinė prievolė (BDAR 6 str. 1 d. c p.): mokesčių įrašai, įstatymų nustatytas buhalterinis apskaita, atsakymai į teisėsaugos užklausas, kai to būtinai reikalaujama.
• Sutikimas (BDAR 6 str. 1 d. a p.): kai prašome duoti sutikimą, pavyzdžiui, rinkodaros pranešimams ar nebūtiniems slapukams. Sutikimą galite bet kada atšaukti.

5. Saugojimas

Paskyros ir Kliento duomenys saugomi tiek, kiek galioja jūsų prenumerata. Po nutraukimo duomenis saugome 30 dienų, kad galėtumėte juos eksportuoti savarankiškai, tada ištriname iš pagrindinių sistemų per papildomas 30 dienų ir iš atsarginių kopijų pagal toliau aprašytą standartinį sukimo grafiką.

Atsiskaitymo įrašai saugomi septynerius (7) metus, kad būtų įvykdyti mokesčių ir įstatymų nustatyti įsipareigojimai.

Serverių žurnalai, kuriuose yra asmens duomenų (IP, užklausos ID), saugomi 90 dienų saugumo tikslais, tada ištrinami arba visiškai anonimizuojami.

Rinkodaros pranešimai: saugome jūsų kontaktinį įrašą tol, kol atsisakysite, ir pagrįstą laikotarpį po to, kad įrodytume jūsų atsisakymo laikymąsi.

6. Subtvarkytojai ir priglobimo regionai

Atitic naudoja šiuos subtvarkytojus. Dabartinis nuolat atnaujinamas sąrašas yra autoritetinga versija; pakeitimai pranešami bent prieš 30 dienų pranešimu produkte arba el. paštu paskyros savininkui.

7. Tarptautiniai perdavimai

Pagal numatytąjį diegimą Kliento duomenys nepalieka Europos Sąjungos. Kai subtvarkytojas yra pasaulinis paslaugų teikėjas (Cloudflare, Stripe), gali vykti ribotos operacinės metainformacijos perdavimai; tokie perdavimai reglamentuojami standartinėmis sutarčių sąlygomis ("SCC") ir, jei taikoma, ES–JAV Duomenų privatumo pagrindu. SCC kopijos teikiamos paprašius.

8. Saugumas, šifravimas ir nuomininkų izoliacija

Perdavimo metu: TLS 1.2+ privalomas visoms klientų jungtims ir vidiniam paslaugų srautui. HSTS nustatytas rinkodaros ir platformos hostuose. TLS sertifikatai išduodami Let's Encrypt ir automatiškai atnaujinami.

Ramybės būsenoje: Postgres duomenų failai ir objektinės saugyklos kibirai šifruojami pramonės standartiniais algoritmais (AES-256 arba lygiaverčiais). Atsarginės kopijos šifruojamos atskirai.

Nuomininkų izoliacija: Atitic yra kelių nuomininkų sistema. Kiekviena nuomininkų aprėpties Postgres lentelė apsaugota eilučių lygio saugumu (RLS), kurį įgyvendina pati duomenų bazė, su per-užklausos nuomininko kontekstu, nustatomu užklausos pradžioje ir išvalomu jos pabaigoje. RLS yra priverstinis (ne tik įjungtas), todėl joks privilegijuotas programos vaidmuo negali jo apeiti. Objektinė saugykla atskiria nuomininkų duomenis pagal prefiksą ir pagal objektą taikomą prieigos politiką.

Slaptažodžiai: integracijos raktai, IdP paslaptys, debesijos prisijungimo duomenys ir DKIM raktai saugomi HashiCorp Vault su gaubtiniu šifravimu. Programos kodas slaptažodžius gauna užklausos metu naudodamas trumpalaikius žetonus.

9. Atsarginės kopijos, atkūrimas po nelaimės, RTO ir RPO

Postgres naudoja taškinės atkūrimo WAL srautavimą į atsarginę kopiją už klasterio ribų ir kasdienes bazines atsargines kopijas, saugomas 30 dienų. Objektinės saugyklos kibirai versionuojami turint 30 dienų ciklo langą. Visos atsarginės kopijos šifruojamos ir saugomos ES regione, atskirtai nuo pagrindinio.

Mūsų atkūrimo laiko tikslas (RTO) gamybinei darbo apkrovai yra 4 valandos, o atkūrimo taško tikslas (RPO) – 15 minučių. Šie tikslai tikrinami kasmetiniuose atkūrimo po nelaimės pratybose; naujausia pratybų ataskaita teikiama pagal NDA gavus prašymą. Konkretaus incidento faktinis RTO/RPO priklauso nuo gedimo rūšies ir matuojamas po incidento apžvalgoje, kurią dalijamės su paveiktais klientais.

10. Prieigos kontrolė, RBAC, SCIM ir privilegijuota prieiga

Kliento pusės kontrolė. Paslauga įgyvendina vaidmenimis pagrįstą prieigos kontrolę (RBAC) su leidimais pagal modulius skaityti / valdyti / patvirtinti detalumu. Nuomininkai gali kurti pasirinktinius vaidmenis, savo naudotojams nustatyti privalomą MFA, o tam tikruose planuose – naudotojų valdymą per SCIM 2.0 iš savo tapatybės tiekėjo. Palaikomas SAML 2.0 ir OIDC vieno prisijungimo (SSO).

Audito seka. Kiekvienas platformos pakeitimas įrašomas į nepakeičiamą audito žurnalą su veikėju, tikslu, laiko žyma ir naudingu apkrovimu. Audito žurnalas eksportuojamas per API ir įtraukiamas į Perkeliamumo ataskaitą.

Privilegijuota prieiga Atitic pusėje. Prieiga prie gamybos suteikiama tik įvardytiems Atitic inžinieriams, turintiems dokumentuotą verslo poreikį. Prieigai reikia MFA ir trumpalaikių prisijungimo duomenų. Kiekviena privilegijuota sesija registruojama, o nuolatinis "super-admin" nuomininko įsigyvenimas neleidžiamas; kai palaikymo tikslais reikia prieigos prie kliento aplinkos, ji apribojama laiku, registruojama ir atskleidžiama klientui per audito įrašą.

11. Penetracijos testavimas ir pažeidžiamumų valdymas

Atitic samdo nepriklausomą trečiosios šalies įmonę, kad ši bent kartą per metus ir po esminių architektūros pakeitimų atliktų penetracijos testą. Vadovybės ataskaitos santraukos teikiamos pagal NDA gavus prašymą. Radiniai vertinami pagal CVSS sunkumą, taikant šias šalinimo SLA: kritiniai – 72 valandos, aukšti – 14 dienų, vidutiniai – 60 dienų, žemi – 180 dienų. Priklausomybių pažeidžiamumai atskleidžiami automatiniu pirmosios šalies ir konteinerių atvaizdų nuskaitymu; jų taisymai laikosi tos pačios SLA. Saugumo atskleidimo programa skelbiama adresu [email protected].

12. DI funkcijos, modelio tiekėjas ir mokymo susitarimai

Pasirenkamas DI funkcijas teikia trečiosios šalies didelis kalbos modelio tiekėjas, nurodytas mūsų Duomenų tvarkymo priede. Kai naudojatės DI funkcija (Klausk Atitic, įrodymų pasiūlymai ir pan.), užklausa kartu su nuomininkų aprėpties vektorinės paieškos gautu Kliento duomenų aprėpimu perduodama modelio tiekėjui tik atsakymui generuoti, kuris tada grąžinamas į jūsų aplinką ir saugomas kaip pasiūlymas žmogaus peržiūrai.

Atitic sutartis su modelio tiekėju draudžia naudoti API srautą mokymui ar modelio tobulinimui, o Atitic nenaudoja Kliento duomenų jokiam DI modeliui mokyti. API srauto modelio tiekėjas nesaugo ilgiau, nei būtina konkrečiai užklausai patenkinti. DI funkcijas galima išjungti nuomininko lygmenyje iš platformos nustatymų.

DI pasiūlymai yra patariamieji. Asmuo jūsų organizacijoje turi patvirtinti, redaguoti ar atmesti kiekvieną pasiūlymą, kad jis įsigaliotų jūsų atitikties būklėje. Modelio išvedimas gali būti neteisingas ir juo negalima remtis kaip teisine konsultacija.

13. Duomenų eksportas, perkeliamumas ir audito žurnalo tęstinumas

Bet kada galite eksportuoti savo aplinką naudodamiesi integruota Perkeliamumo ataskaita trimis formatais: JSON (kompiuteriui skaitomas), XLSX (daugialapis darbo aplankas) ir PDF (patogus auditoriui). Perkeliamumo ataskaita aiškiai apima:

• Visas esybes: sistemų programas, politikas, įrodymus, rizikas, RoPA įrašus, DPIA, pažeidimų įrašus, DSAR užklausas, turtą, IRT sutartis, IRT paslaugas, užduotis;
• Ryšius tarp reikalavimų ir susietų įrodymų / politikų / rizikų / užduočių / DPIA / tvarkymo veiklų / pažeidimų / turto / IRT sutarčių / IRT paslaugų;
• Versijų istoriją, kai modelis ją registruoja (pvz., politikos versijos);
• Visą nepakeičiamą aplinkos audito žurnalą.

Įkelti įrodymų failai išlieka pasiekiami iš jūsų nuomininke sukonfigūruoto objektinės saugyklos kibiro; Perkeliamumo ataskaita nurodo kiekvieną artefaktą pagal jo objekto raktą, kad galėtumėte gauti baitus savarankiškai, net jei Paslauga taptų nepasiekiama.

REST API apima tas pačias esybes ir ryšius, kurie matomi produkto UI, todėl išėjimas gali būti automatizuotas nuo pradžios iki pabaigos.

14. Jūsų duomenų apsaugos teisės

Jei Atitic tvarko su jumis susijusius asmens duomenis, pagal BDAR turite šias teises:

• Susipažinti (15 str.) – klausti, kokius asmens duomenis apie jus laikome.
• Ištaisyti (16 str.) – ištaisyti netikslius duomenis.
• Ištrinti (17 str.) – prašyti ištrinti jūsų duomenis, atsižvelgiant į teisinių prievolių išimtis.
• Apriboti (18 str.) – apriboti tvarkymą.
• Perkelti (20 str.) – gauti savo duomenis kompiuteriui skaitomu formatu.
• Prieštarauti (21 str.) – prieštarauti tvarkymui, pagrįstam teisėtais interesais arba tiesiogine rinkodara.
• Atsisakyti sutikimo bet kada, kai tvarkymas grindžiamas sutikimu.
• Skųstis priežiūros institucijai. Lithuania tai Valstybinė duomenų apsaugos inspekcija (VDAI, vdai.lrv.lt). Skundą taip pat galite pateikti valstybės narės, kurioje paprastai gyvenate arba kurioje įvyko tariamas pažeidimas, institucijai.

Kai Atitic veikia kaip duomenų tvarkytojas kliento vardu, užklausos dėl jūsų duomenų turi būti siunčiamos tam klientui (duomenų valdytojui). Mes padėsime duomenų valdytojui atsakyti, kaip to reikalauja mūsų DTP.

Norėdami įgyvendinti teisę, kai Atitic yra duomenų valdytojas, rašykite [email protected]. Atsakysime per vieną mėnesį, esant sudėtingiems atvejams – papildomus du mėnesius, kaip leidžia BDAR 12 str. 3 d.

15. Slapukai ir sekimas

Rinkodaros svetainėje ir platformos hoste naudojami tik pirmosios šalies slapukai, būtinai reikalingi Paslaugai teikti (sesija, CSRF žetonas, kalbos nuostata). Nenaudojame trečiosios šalies analitikos, reklamos sekiklių ar tarpsvetinių slapukų. Išsami informacija pateikta mūsų Slapukų politikoje rinkodaros svetainėje.

16. Šios politikos pakeitimai

Šią politiką galime kartkartėmis atnaujinti. Esminiai pakeitimai bus pranešami pranešimu produkte arba el. paštu bent prieš 30 dienų iki jų įsigaliojimo. Istorinės versijos teikiamos gavus prašymą.

17. Kontaktai

Privatumo klausimai: [email protected].

Saugumo klausimai: [email protected].

Pašto adresas: Atitic, MB, Statybininkų g. 1A-63, 03205, Vilnius.