Məlumatların emalı haqqında müqavilə

Müştəri 1 nömrəli Əlavədə təsvir olunan şəxsi məlumatların nəzarətçisi, EasyHaus isə prosessorudur. EasyHaus onları yalnız Müştərinin sənədləşdirilmiş göstərişləri əsasında emal edir; bu göstərişlər xidmət şərtləri, bu DPA və Müştərinin xidmətdən istifadəsidir. EasyHaus hər hansı göstərişin məlumatların qorunması qanunvericiliyini pozduğunu hesab edərsə, bu barədə Müştəriyə məlumat verəcək.

EasyHaus məlumatları emal etməyə səlahiyyətli şəxslərin məxfilik öhdəliyi ilə bağlı olmasını təmin edir. Əməkdaşlar Müştərinin təşkilatına dəstək məqsədilə yalnız Müştərinin sahibi dəstək girişini aktivləşdirdikdə daxil olurlar; belə giriş məhduddur, səbəbin göstərilməsini tələb edir və Müştərinin audit jurnalında qeydə alınır.

EasyHaus 2 nömrəli Əlavədəki texniki və təşkilati tədbirləri həyata keçirir və ümumi qorunma səviyyəsi azalmamaq şərtilə onları yeniləyə bilər.

Müştəri 3 nömrəli Əlavədəki subprosessorlar üçün ümumi icazə verir. EasyHaus yeni və ya dəyişdirilmiş subprosessorlar barədə ən azı 30 gün əvvəlcədən təşkilatın sahibinə e-poçtla məlumat verəcək. Müştəri məlumatların qorunması ilə bağlı əsaslı səbəblərlə etiraz edə bilər; tərəflər etirazı həll edə bilməzsə, Müştəri təsirə məruz qalan xidmətə xitam verə bilər. EasyHaus hər bir subprosessorun üzərinə bu DPA-ya ekvivalent məlumatların qorunması öhdəlikləri qoyur və onlara görə məsuliyyət daşımağa davam edir.

• Məlumat subyektlərinin sorğuları: xidmət Müştəriyə müştərinin məlumatlarını ixrac etməyə, düzəltməyə və silməyə imkan verir. EasyHaus birbaşa aldığı sorğuları Müştəriyə yönləndirir və onlara özü cavab vermir.
• EasyHaus məlumatların qorunmasına təsirin qiymətləndirilməsində və səlahiyyətli orqanlarla məsləhətləşmələrdə, müvafiq məlumat onda olduğu halda, yardım göstərir.

EasyHaus Müştərinin məlumatlarına təsir edən şəxsi məlumat pozuntusundan xəbər tutduqdan sonra əsassız gecikmə olmadan və istənilən halda 48 saat ərzində Müştəriyə bildiriş göndərir. Bildirişdə pozuntunun xarakteri, məlum olduğu qədər aidiyyəti olan məlumatlar və şəxslər, ehtimal olunan nəticələr və görülmüş tədbirlər təsvir edilir və yeni məlumatlar məlum olduqca yenilənir.

Abunə müddətində və o başa çatdıqdan sonra 90 gün ərzində Müştəri bütün məlumatlarını ixrac edə bilər. Bu müddətdən sonra və ya Müştəri öz təşkilatını sildikdən 30 gün sonra EasyHaus məlumatları verilənlər bazasından və fayl yaddaşından silir. Şifrələnmiş ehtiyat nüsxələrin müddəti adi rotasiya qaydasında 30 gün ərzində başa çatır. EasyHaus məlumatları yalnız qanunun tələb etdiyi hallarda daha uzun müddət saxlayır.

EasyHaus GDPR-in 28-ci maddəsinə uyğunluğu nümayiş etdirmək üçün lazım olan məlumatları, o cümlədən sonuncu təhlükəsizlik yoxlamasının xülasəsini təqdim edir. Müştəri 30 gün əvvəlcədən xəbərdarlıq etməklə, pozuntu və ya səlahiyyətli orqan başqa cür tələb etmədikcə ildə ən çoxu bir dəfə, öz hesabına və məxfilik şərtilə uyğunluğun auditini özü apara və ya müstəqil auditora apartdıra bilər.

Müştəri Məlumatlarını saxlayan verilənlər bazası Avropa İttifaqında yerləşdirilib. 3 nömrəli Əlavədəki ABŞ-da yerləşən və ya məlumatları orada emal edən subprosessorlar Aİ–ABŞ Məlumat Məxfiliyi Çərçivəsi üzrə sertifikatlaşdırılıb və onların məlumatların emalı şərtlərindəki Standart Müqavilə Bəndləri də tətbiq olunur. EasyHaus Azərbaycan Respublikasından idarə olunur; Müştəri Məlumatlarına Azərbaycandan giriş Standart Müqavilə Bəndləri ilə əhatə olunur. EasyHaus şəxsi məlumatları Avropa İqtisadi Zonasından kənara yalnız GDPR-in V fəslinə uyğun belə təminatlarla ötürür.

Bu DPA üzrə məsuliyyət xidmət şərtlərinə uyğun müəyyən edilir. Bu DPA xidmət şərtləri ilə ziddiyyət təşkil edərsə, şəxsi məlumatların emalı baxımından bu DPA üstünlük təşkil edir. Bu DPA EasyHaus Müştərinin şəxsi məlumatlarını artıq emal etmədikdə qüvvədən düşür.

• Ötürmə zamanı TLS və HSTS ilə şifrələmə.
• Vergi identifikasiya nömrələrinin, şəxsiyyət sənədlərinin nömrələrinin, bank hesabı nömrələrinin, benefisiar sahiblərin identifikatorlarının, ikinci faktorun gizli açarlarının və bərpa kodlarının saxlanma zamanı AES-256-GCM ilə şifrələnməsi; açarlar verilənlər bazasından kənarda, rotasiya üçün açar identifikatorları ilə saxlanılır.
• Təşkilatların məntiqi ayrılması: hər sorğu bir təşkilatla məhdudlaşdırılır, bu, avtomatlaşdırılmış yoxlama və izolyasiya testləri toplusu ilə təmin edilir.
• Təşkilat daxilində rollara əsaslanan giriş (sahib, administrator, menecer, müşahidəçi); həssas sahələr tam şəkildə yalnız sahiblərə və administratorlara göstərilir.
• Şifrələr argon2id ilə heşlənir, minimum uzunluq və sızmış şifrələr üzrə yoxlamalar aparılır; könüllü və ya məcburi iki mərhələli doğrulama; təkrarlanan yanlış kodlardan sonra bloklama.
• Heş şəklində saxlanılan təsadüfi sessiya tokenləri, fəaliyyətsizlik və mütləq müddət bitməsi, eləcə də ləğv imkanı ilə.
• Daxil olma, şifrənin bərpası, e-poçtla göndərilən keçidlər, yükləmələr və əlaqə forması üçün sorğu limitləri.
• Qısamüddətli, birdəfəlik yükləmə keçidləri ilə qapalı fayl yaddaşı; icazə verilən fayl növlərinin siyahısı və məzmun yoxlamaları; şəkillərin yenidən kodlaşdırılması.
• Hər dəyişikliyin şəxsi sahələri maskalanmış, müştərilər tərəfindən silinə bilməyən audit jurnalı; sənəd endirmələrinin qeydə alınması.
• Dəstək girişi yalnız sahibin razılığı ilə, məhdud həcmdə və qeydiyyatla.
• Möhkəmləndirilmiş server prosesləri, asılılıqların zəifliklər üzrə skan edilməsi və Content Security Policy daxil olmaqla təhlükəsizlik başlıqları.
• Verilənlər bazası Avropa İttifaqında yerləşdirilib; fayllar yaddaşda şifrələnmiş şəkildə saxlanılır.
• Gecəlik ehtiyat nüsxələr serverimizdən çıxmazdan əvvəl orada AES-256 ilə şifrələnir, 30 gün saxlanılır, həftəlik bütövlük yoxlaması və sənədləşdirilmiş bərpa proseduru ilə.