UAB „Orinote“ teisiniai dokumentai
Techninės ir organizacinės priemonės
Šis Priedas yra neatskiriama Paslaugų teikimo sutarties (MSA) ir Duomenų tvarkymo sutarties (DPA) dalis bei apibrėžia technines ir organizacines priemones, kurias UAB „Orinote“ (toliau – Teikėjas) taiko siekdama užtikrinti tvarkomų duomenų konfidencialumą, vientisumą, prieinamumą ir atsparumą.
1. BENDRIEJI PRINCIPAI
1.1. Teikėjas taiko technines ir organizacines priemones, atsižvelgdamas į:
- a) technologijų pažangą;
- b) įgyvendinimo kaštus;
- c) tvarkomų duomenų pobūdį;
- d) tvarkymo apimtį;
- e) galimas rizikas duomenų subjektų teisėms ir laisvėms.
1.2. Saugumo priemonės periodiškai peržiūrimos ir, esant poreikiui, atnaujinamos.
2. PRIEIGOS KONTROLĖ
2.1. Naudotojų autentifikavimas
Prieiga prie sistemų suteikiama tik autorizuotiems asmenims.
Naudojamos identifikavimo ir autentifikavimo priemonės gali apimti:
- a) individualias naudotojų paskyras;
- b) slaptažodžius;
- c) socialinio prisijungimo (Social Login) sprendimus;
- d) kitas saugumo priemones.
2.2. Minimalios prieigos principas
Prieiga prie duomenų suteikiama tik tiek, kiek būtina konkrečioms funkcijoms vykdyti.
Kiekvienam naudotojui suteikiamos tik jo pareigoms reikalingos teisės.
2.3. Administracinė prieiga
Administracinė prieiga prie sistemų suteikiama tik įgaliotiems asmenims.
Administracinės teisės gali būti panaikintos bet kuriuo metu.
3. DARBUOTOJŲ IR RANGOVŲ KONTROLĖ
3.1. Prieigą prie klientų duomenų gali turėti tik tie darbuotojai ar rangovai, kuriems tokia prieiga būtina:
- a) techniniam palaikymui;
- b) saugumo incidentų tyrimui;
- c) sistemos veikimo užtikrinimui;
- d) teisinių pareigų vykdymui.
3.2. Visi darbuotojai ir rangovai yra įsipareigoję laikytis konfidencialumo reikalavimų.
3.3. Konfidencialumo įsipareigojimai galioja ir pasibaigus darbo ar paslaugų santykiams.
4. DUOMENŲ PERDAVIMO APSAUGA
4.1. Duomenų perdavimui naudojami šifruoti ryšio kanalai.
4.2. Ryšio apsaugai naudojami pramonėje pripažinti standartai, įskaitant TLS arba lygiaverčius saugumo protokolus.
4.3. Nešifruotas jautrių duomenų perdavimas nėra naudojamas, išskyrus atvejus, kai tai būtina pagal teisės aktus.
5. DUOMENŲ SAUGOJIMO APSAUGA
5.1. Tvarkomi duomenys saugomi naudojant pramonėje pripažintas saugumo priemones.
5.2. Jeigu techniškai taikoma, naudojamas AES-256 arba lygiaverčio lygio šifravimas.
5.3. Duomenų saugojimo infrastruktūra apsaugoma nuo neteisėtos prieigos, sunaikinimo ar praradimo.
6. DUOMENŲ MINIMIZAVIMAS
6.1. Tvarkomi tik tie duomenys, kurie būtini Paslaugoms teikti.
6.2. Garso įrašai nėra saugomi po analizės sugeneravimo.
6.3. Tarpinės transkripcijos nėra saugomos po analizės sugeneravimo.
6.4. Platformoje saugomos tik galutinės AI ataskaitos.
7. NUASMENINIMAS
7.1. Kai techniškai įmanoma, Teikėjas taiko duomenų nuasmeninimo arba pseudonimizavimo priemones.
7.2. Galutinėse AI ataskaitose gali būti pašalinama arba sumažinama:
- a) vardų ir pavardžių informacija;
- b) asmens kodai;
- c) kita tiesiogiai identifikuojanti informacija.
7.3. Nuasmeninimas netaikomas tais atvejais, kai tai techniškai neįmanoma arba nesuderinama su Paslaugos paskirtimi.
8. INCIDENTŲ VALDYMAS
8.1. Teikėjas palaiko procesus, skirtus saugumo incidentų identifikavimui, registravimui ir valdymui.
8.2. Nustačius incidentą vertinamas:
- a) incidento pobūdis;
- b) paveiktų duomenų kategorijos;
- c) paveiktų asmenų skaičius;
- d) galima rizika duomenų subjektams.
8.3. Asmens duomenų saugumo pažeidimai tvarkomi pagal DPA nuostatas.
9. ATSARGINĖS KOPIJOS IR VEIKLOS TĘSTINUMAS
9.1. Teikėjas gali naudoti atsargines kopijas paslaugų tęstinumui užtikrinti.
9.2. Atsarginėse kopijose esantys duomenys apsaugomi tokiomis pačiomis arba lygiavertėmis saugumo priemonėmis kaip ir pagrindinėse sistemose.
9.3. Atsarginės kopijos saugomos tik tiek, kiek būtina veiklos tęstinumui užtikrinti.
10. SUBTVARKYTOJŲ KONTROLĖ
10.1. Teikėjas vertina subtvarkytojų tinkamumą prieš pradėdamas naudotis jų paslaugomis.
10.2. Subtvarkytojams taikomi sutartiniai duomenų apsaugos reikalavimai.
10.3. Aktualus subtvarkytojų sąrašas pateikiamas MSA Priede Nr. 3.
11. DUOMENŲ SUBJEKTŲ TEISIŲ UŽTIKRINIMAS
11.1. Teikėjas taiko procesus, leidžiančius padėti Valdytojui vykdyti duomenų subjektų teises.
11.2. Duomenų eksportas ir ištrynimas atliekami pagal DPA nuostatas.
12. PERIODINIS PRIEMONIŲ PERŽIŪRĖJIMAS
12.1. Šiame Priede nurodytos priemonės gali būti periodiškai atnaujinamos.
12.2. Teikėjas turi teisę keisti ar papildyti taikomas saugumo priemones, jeigu:
- a) tai pagerina saugumą;
- b) to reikalauja teisės aktai;
- c) to reikalauja technologiniai pokyčiai;
- d) tai būtina naujoms Platformos funkcijoms.
12.3. Šio Priedo pakeitimai nelaikomi esminiu MSA ar DPA pakeitimu, jeigu jie nemažina bendro taikomo saugumo lygio.
13. BAIGIAMOSIOS NUOSTATOS
13.1. Šis Priedas yra neatskiriama MSA ir DPA dalis.
13.2. Esant prieštaravimui tarp šio Priedo ir DPA nuostatų dėl techninių ir organizacinių saugumo priemonių, pirmenybė teikiama DPA nuostatoms.
13.3. Šio Priedo aktuali versija skelbiama Platformoje arba pateikiama Klientui jo prašymu.
Infrastruktūros ir šifravimo taikymo sritis
Produkcinės programos ir duomenų bazės ištekliai veikia Laravel Cloud Frankfurto regione. Objektai saugomi privačioje Laravel Cloud Object Storage saugykloje, aiškiai sukonfigūruotoje pagal Europos Sąjungos jurisdikciją. Duomenų perdavimui taikomas TLS, serverio pusėje saugomiems duomenims – šifravimas ramybės būsenoje, o laikini mobiliojo įrenginio duomenys saugomi operacinės sistemos programėlės izoliuotoje aplinkoje.