Дополнение об обработке данных.

1. Определения и толкование

1.1 «Соглашение» означает соглашение, в соответствии с которым Marathon предоставляет durin Клиенту, включая любую форму заказа или корпоративное соглашение, а в случае отсутствия подписанного соглашения — общедоступные Условия по адресу https://getdurin.com/terms..

1.2 «Применимый закон о защите данных» означает законы о защите данных, которые применяются к обработке Персональных данных Клиента в соответствии с Соглашением, включая, где это применимо, Закон Сингапура о защите личных данных 2012 года и его положения («PDPA»), Регламент (ЕС) 2016/679 («EU GDPR») и ЕС GDPR, поскольку он является частью законодательства Соединенного Королевства. («UK GDPR») вместе с Законом о защите данных 2018 года. [Охват других законов о защите данных, таких как Федеральный закон Швейцарии о защите данных, должен быть подтвержден адвокатом перед публикацией]

1.3 «Личные данные клиента» означают персональные данные, которые Marathon обрабатывает от имени Клиента для предоставления durin в соответствии с Соглашением, как описано в Приложении 1. Они исключают персональные данные, которые Marathon обрабатывает для своих собственных целей в качестве контролера или организации, как описано в уведомлении о конфиденциальности по адресу https://getdurin.com/privacy..

1.4 «Ограниченная передача» означает передачу Персональных данных Клиента, которая регулируется разделом 26 PDPA, Главой V GDPR ЕС или Главой V GDPR Великобритании.

1.5 «Инцидент безопасности» означает нарушение персональных данных в соответствии с GDPR ЕС или GDPR в Великобритании или нарушение данных в соответствии с PDPA, затрагивающее Персональные данные Клиента, находящиеся во владении или под контролем Marathon или его субобработчиков.

1.6 «Субобработчик» означает третью сторону, которую Marathon привлекает для обработки Персональных данных клиента от ее имени при предоставлении durin. Выбранные клиентом услуги, описанные в пункте 7.6, не являются субобработчиками.

1.7 «EU SCCs» означает стандартные договорные положения, прилагаемые к Исполнительному решению Комиссии (ЕС) 2021/914 от 4 июня 2021 года. «UK Addendum» означает Дополнение о международной передаче данных к Стандартным договорным условиям Комиссии ЕС, изданное Комиссаром по информации Великобритании в соответствии с разделом 119A(1) Закона о защите данных 2018 года, версия B1.0, с поправками или заменами.

1.8 «Контроллер», «процессор», «субъект данных», «утечка персональных данных» и «обработка» имеют значения, указанные в GDPR ЕС или GDPR Великобритании, а «организация», «посредник данных», «персональные данные» и «утечка данных» имеют значения, указанные в PDPA, в каждом случае применительно к соответствующей обработке. «Включая» означает включение без ограничений.

2. Объем и роли

2.1 Настоящее Соглашение является частью Соглашения и применяется к обработке Персональных данных Клиента. Оно вступает в силу после его подписания обеими сторонами и действует до тех пор, пока Marathon обрабатывает Персональные данные Клиента, в том числе после прекращения действия Соглашения до завершения пункта 11.

2.2 Клиент является контролером Персональных данных Клиента под номером GDPR в ЕС или GDPR в Великобритании, а также организацией под номером PDPA или обрабатывает их от имени другого контролера. Marathon является процессором Клиента и, согласно PDPA, его посредником в передаче данных. Если Клиент выступает в качестве обработчика, Клиент подтверждает, что его инструкции и назначение Marathon утверждены соответствующим контролером.

2.3 Приложение 1 описывает предмет, характер, цель и продолжительность обработки, типы Персональных данных клиента и категории субъектов данных.

2.4 Marathon обрабатывает персональные данные для своих собственных целей, таких как администрирование учетной записи, выставление счетов, поддержка, безопасность, предотвращение мошенничества, анализ продуктов и соблюдение законодательства, в качестве контролера или организации в соответствии с ее уведомлением о конфиденциальности. Эта обработка находится за пределами этого DPA. [Объем независимой обработки служебных данных Marathon должен быть подтвержден адвокатом перед публикацией]

3. Инструкции

3.1 Marathon обрабатывает Персональные данные Клиента только по документально оформленным инструкциям Клиента, в том числе в отношении Ограниченной передачи, если применимое законодательство не требует иного. В этом случае Marathon проинформирует Клиента о требовании законодательства перед обработкой, если этот закон не запрещает это по важным основаниям, представляющим общественный интерес.

3.2 Документированные инструкции Клиента — это настоящий DPA и Соглашение; Конфигурация и использование клиентом durin, включая его участников, роли, клиентов-агентов, подключения, политики, настройки утверждения, режим захвата разговоров и период хранения, каналы уведомлений и места назначения экспорта; и любые дальнейшие письменные инструкции, согласованные сторонами.

3.3 Marathon немедленно проинформирует Клиента, если, по его мнению, инструкция нарушает Применимое законодательство о защите данных. Это не обязывает Marathon предоставлять юридическую консультацию Клиенту.

4. Обязанности клиента

4.1 Клиент несет ответственность за законность своих инструкций и Персональных данных Клиента, которые он заставляет durin обрабатывать, включая предоставление любых необходимых уведомлений, получение любых необходимых согласий, а также наличие законных оснований или применимых исключений для такой обработки.

4.2 Клиент решает, какие системы, агенты-клиенты и поставщики моделей его пользователи подключают к durin. Элементы управления durin применяются к запросам, маршрутизируемым через durin. Клиент-агент может отправлять возвращенные результаты инструмента своему поставщику модели, условия которого применяются отдельно.

4.3 durin не предназначен для применения дополнительных мер защиты к особым категориям персональных данных или другим конфиденциальным персональным данным. Клиент решает, следует ли направлять такие данные через durin, и соответствующим образом настраивает свои соединения, политики и запись разговоров. [Любые ограничения на специальную категорию или другие конфиденциальные данные должны быть подтверждены адвокатом перед публикацией]

4.4 Клиент несет ответственность за безопасность своих учетных записей, учетных данных, клиентов агентов, устройств и подключенных систем, а также за настройку элементов управления durin, таких как политики, требования утверждения и настройки поставщика удостоверений, в соответствии со своим риском.

5. Конфиденциальность

5.1 Компания Marathon гарантирует, что лица, которым она разрешает обрабатывать Персональные данные клиента, несут соответствующие обязательства конфиденциальности и получают доступ к Персональным данным клиента только в случае необходимости для предоставления, поддержки или защиты durin или для соблюдения закона.

6. Безопасность

6.1 Marathon реализует технические и организационные меры, указанные в Приложении 2, принимая во внимание современное состояние, затраты на внедрение, характер, объем, контекст и цели обработки, а также риски для отдельных лиц. Marathon принимает разумные меры безопасности для защиты Персональных данных Клиента, находящихся в его владении или под его контролем, как того требует PDPA от посредника данных.

6.2 Marathon может обновить меры, указанные в Приложении 2, как durin и угрозы для них измениться, при условии, что обновление существенно не снижает общую защиту Персональных данных Клиента.

6.3 В Приложении 2 описаны реализованные меры контроля и обязательства руководства. Marathon не имеет аттестации SOC 2, сертификации ISO/IEC 27001 или результатов независимого теста на проникновение и не представляет меры, указанные в Приложении 2, как сертифицированные или независимо подтвержденные.

7. Подпроцессоры

7.1 Клиент дает Marathon общее письменное разрешение на привлечение субобработчиков. В Приложении 3 перечислены субобработчики на дату настоящего DPA. Текущее расписание субпроцессора опубликовано по адресу https://getdurin.com/subprocessors..

7.2 Marathon уведомит Клиента о любом планируемом добавлении или замене Субобработчика по крайней мере [срок уведомления субобработчика должен быть подтвержден юристом перед публикацией] до того, как новый Субобработчик обработает Персональные данные Клиента, по электронной почте контактному лицу по вопросам конфиденциальности в блоке подписей и обновив график субобработчика.

7.3 Клиент может возразить против изменения по разумным причинам защиты данных, отправив электронное письмо privacy@getdurin.com в течение срока уведомления. Стороны добросовестно обсудят возражение. Если они не могут решить проблему, Клиент может расторгнуть затронутую часть Соглашения, направив письменное уведомление до того, как изменение вступит в силу. [Средства правовой защиты в случае неразрешенного возражения, включая возврат предоплаченных гонораров, должны быть подтверждены адвокатом перед публикацией]

7.4 Marathon заключает с каждым Субобработчиком письменный договор, который налагает обязательства по защите данных, не менее защитные, чем настоящий DPA, в той степени, в которой это применимо к услугам, предоставляемым Субобработчиком. Marathon продолжает нести ответственность перед Клиентом за выполнение обязательств своих Субобработчиков, как того требует Применимое законодательство о защите данных.

7.5 По запросу Marathon предоставит информацию об условиях защиты данных, применимых к Субобработчику. Marathon может скрывать конфиденциальную коммерческую информацию.

7.6 Услуги, которые Клиент выбирает или подключает, не являются Субобработчиками. К ним относятся системы, которые Клиент подключается к durin, рабочее пространство Slack Клиента и другие каналы уведомлений, места назначения экспорта, такие как Langfuse, учетная запись Vanta, которую Клиент подключается для получения доказательств управления, TypeSafe AI, используемый с собственным ключом API Клиента, а также клиенты-агенты и поставщики их моделей. Marathon передает им Персональные данные Клиента по инструкциям Клиента, и их обработка регулируется их собственными условиями.

8. Трансграничная передача данных

8.1 Marathon основан в Сингапуре. Marathon и его Субобработчики могут обрабатывать Персональные данные Клиента в Сингапуре, а также в странах и территориях, перечисленных для каждого Субобработчика в Приложении 3. Marathon не берет на себя обязательств по обработке Персональных данных Клиента в определенном регионе, если только Соглашение прямо не включает обязательство по месту жительства.

8.2 Если Marathon или Субобработчик передает Персональные данные Клиента, на которые распространяется действие PDPA, в страну или территорию за пределами Сингапура, Marathon обеспечит, чтобы получатель был связан юридически имеющими юридическую силу обязательствами, как того требуют Положения о защите персональных данных 2021 года, по обеспечению передаваемых персональных данных стандартом защиты, по крайней мере сопоставимым с защитой в соответствии с PDPA. Если эти обязательства являются договорными, в договоре указываются страны и территории, на которые могут быть переданы персональные данные. Marathon предоставит Клиенту информацию, необходимую ему для выполнения своих обязательств в соответствии с разделом 26 PDPA. [Договорной инструмент для передачи PDPA, такой как Типовые договорные положения АСЕАН, должен быть подтвержден юристом перед публикацией]

8.3 Если передача Клиентом Персональных данных Клиента компании Marathon является ограниченной передачей в соответствии с Главой V GDPR ЕС, которая не подпадает под действие решения об адекватности или другого механизма передачи, EU SCCs включается в настоящее DPA следующим образом: Второй модуль применяется, когда Клиент является контролером, а Модуль третий применяется, когда Клиент является обработчиком, где Клиент выступает в качестве экспортера данных, а Marathon — в качестве импортера данных; для пункта 9 применяется вариант 2 со сроком уведомления, указанным в пункте 7.2; необязательная формулировка пункта 11 не применяется; Приложения I и II EU SCCs дополняются Приложением 1 и Приложением 2 настоящего DPA; и субобработчики, уполномоченные в соответствии с пунктом 9, перечислены в Приложении 3, обновленном в соответствии с пунктом 7. [Выборы для пунктов 7, 13, 17 и 18 EU SCCs и механизм передачи импортеру, обработка которого подпадает под действие ЕС GDPR в соответствии со статьей 3(2), должны быть подтверждены юристом перед публикацией]

8.4 Если передача является ограниченной передачей в соответствии с главой V Великобритании GDPR, которая не подпадает под действие правил, утверждающих передачу в соответствии со статьей 45A Великобритании GDPR или другим механизмом передачи, применяется EU SCCs с поправками, внесенными UK Addendum, а Таблицы 1–3 UK Addendum дополняются информацией, указанной в настоящий DPA и приложения к нему. EU SCCs не используется для передач без UK Addendum. [Выбор таблицы 4 и любое использование Международного соглашения о передаче данных Великобритании вместо UK Addendum должны быть подтверждены юристом перед публикацией]

8.5 Прежде чем Субобработчик обработает Персональные данные Клиента способом, который является ограниченной передачей, Marathon внедрит механизм передачи, признанный в соответствии с применимым законодательством, такой как Третий модуль EU SCCs с UK Addendum, где это необходимо, решение об адекватности или другую признанную структуру или, в случае PDPA, юридически обеспеченные обязательства, а также любые дополнительные меры, которых требует закон. В Приложении 3 указан механизм, используемый для каждого субпроцессора.

8.6 Если это не запрещено законом, Marathon уведомит Клиента, если он получит юридически обязательный запрос от государственного органа о раскрытии Персональных данных Клиента, оценит законность запроса и раскроет только тот минимум Персональных данных Клиента, который требуется для запроса. Marathon предоставит Клиенту разумную информацию для обоснования своей оценки законов и практик, применимых к Ограниченной передаче.

8.7 Если настоящий DPA или Соглашение противоречат EU SCCs или UK Addendum, EU SCCs или UK Addendum имеют преимущественную силу в пределах конфликта.

9. Инциденты безопасности

9.1 Если Marathon выступает в качестве обработчика Клиента в рамках ЕС GDPR или Великобритании GDPR, Marathon уведомит Клиента без неоправданной задержки после того, как ему станет известно о Нарушении безопасности. Если Marathon выступает в качестве посредника данных Клиента в соответствии с PDPA, Marathon уведомит Клиента без неоправданной задержки, как только у него появятся основания полагать, что произошла утечка данных, затрагивающая Персональные данные Клиента.

9.2 Любой предусмотренный договором срок уведомления [период уведомления клиента должен быть подтвержден юристом перед публикацией] не откладывает ни одно из обязательств, предусмотренных в пункте 9.1. [Соответствие уведомлению о конфиденциальности, определению осведомленности и содержанию уведомления, которое должно быть подтверждено адвокатом перед публикацией]

9.3 В уведомлении будет описан, насколько это известно на тот момент, характер Инцидента безопасности, включая категории и приблизительное количество соответствующих субъектов данных и записей; его вероятные последствия; меры, принятые или предлагаемые для решения этой проблемы и смягчения ее последствий; и контакт для получения дополнительной информации. Marathon может предоставлять эту информацию поэтапно по мере ее поступления.

9.4 Marathon предпримет разумные шаги для сдерживания, расследования и устранения Инцидента безопасности, а также предоставит Клиенту разумную помощь для выполнения своих обязательств по уведомлению надзорных органов, Комиссии по защите персональных данных и затронутых лиц. Клиент решает, отправлять ли эти уведомления. Marathon не будет уведомлять надзорный орган Клиента или затронутых лиц о Инциденте безопасности без согласия Клиента, если этого не требует закон.

9.5 Неудачные попытки и действия, которые не ставят под угрозу безопасность Персональных данных Клиента, такие как пинги, сканирование портов, отказ в запросах и неудачные попытки входа в систему, не являются нарушениями безопасности. Уведомление о происшествии безопасности не является признанием вины или ответственности.

10. Содействие

10.1 Если Marathon получит запрос от субъекта данных о Персональных данных Клиента и сможет определить, что он относится к Клиенту, Marathon перешлет его Клиенту без неоправданной задержки. Marathon не будет отвечать на запрос, кроме как перенаправить субъект данных Клиенту, если иное не предусмотрено законом.

10.2 Принимая во внимание характер обработки, Marathon будет помогать Клиенту с помощью соответствующих технических и организационных мер, насколько это возможно, для ответа на запросы на реализацию прав субъекта данных в соответствии с Применимым законодательством о защите данных, включая запросы на доступ и исправление в соответствии с PDPA. Функции администрирования durin, такие как удаление участников и экспорт записей аудита, поддерживают эти ответы.

10.3 Принимая во внимание характер обработки и доступную ему информацию, Marathon предоставит Клиенту разумную помощь с оценкой воздействия на защиту данных, предварительными консультациями с надзорными органами, а также обязательствами Клиента по безопасности и уведомлению о нарушениях. [Распределение затрат на помощь, выходящую за рамки функций самообслуживания durin, должно быть подтверждено адвокатом перед публикацией]

11. Удаление и возврат

11.1 В течение срока действия Соглашения Клиент устанавливает период хранения для дополнительной записи разговоров: 7, 90 или 180 дней или 360 дней в версии Enterprise. Записи с истекшим сроком действия становятся нечитаемыми, и плановая очистка удаляет их. Другие Персональные данные Клиента сохраняются, как описано в Приложении 1, и по мере необходимости для предоставления durin в соответствии с инструкциями Клиента.

11.2 По истечении срока действия Соглашения Marathon удалит Персональные данные Клиента в течение [срок удаления и возврата, который должен быть подтвержден юристом перед публикацией] или, если Клиент примет письменное решение до этого момента, вернет их, а затем удалит оставшиеся копии, если действующее законодательство не требует от Marathon их сохранения. До истечения срока действия Соглашения Клиент может экспортировать записи аудита с помощью функций экспорта durin.

11.3 Персональные данные клиента в резервных копиях удаляются по мере истечения срока действия этих резервных копий в течение [срок действия резервной копии должен быть подтвержден юристом перед публикацией]. До тех пор Marathon сохраняет их под защитой этого DPA и не обрабатывает их активно.

11.4 Персональные данные клиентов, которые Marathon должен хранить по закону, остаются защищенными в соответствии с настоящим DPA и обрабатываются только для целей, предусмотренных законом. По письменному запросу Клиента Marathon письменно подтвердит удаление, произведенное в соответствии с настоящим пунктом.

12. Информация и аудит

12.1 Marathon предоставит Клиенту информацию, разумно необходимую для демонстрации соответствия настоящему DPA, а также статье 28 GDPR ЕС и GDPR Великобритании, включая проверку безопасности durin по адресу https://getdurin.com/trust/review.md и письменные ответы на разумные анкеты Клиента по безопасности и конфиденциальности.

12.2 Marathon не проводит сторонние сертификации или аттестации, которые могли бы заменить аудит. Если информация, указанная в пункте 12.1, не демонстрирует разумного соответствия требованиям или этого требует надзорный орган, Клиент или независимый аудитор, обязанный соблюдать конфиденциальность и не являющийся конкурентом Marathon, может проверить соблюдение Marathon настоящего DPA, направив предварительное письменное уведомление в разумные сроки. Аудит проводится в рабочее время, ограничивается обработкой Персональных данных клиента и не должен требовать доступа к данным других клиентов или ставить под угрозу безопасность durin. [Период уведомления о проверке, частота, формат и распределение затрат должны быть подтверждены адвокатом перед публикацией]

12.3 Аудит в соответствии с пунктом 8.9 EU SCCs проводится в соответствии с настоящим пунктом в той степени, в которой это соответствует EU SCCs.

13. Ответственность

13.1 Ответственность каждой стороны, вытекающая из настоящего DPA или в связи с ним, подпадает под ограничения и исключения ответственности, предусмотренные Соглашением, за исключением случаев, когда Применимое законодательство о защите данных, EU SCCs или UK Addendum не допускает такого ограничения, в том числе в отношении ответственности перед субъектами данных. [Предел ответственности и любые исключения в отношении претензий о защите данных должны быть подтверждены адвокатом перед публикацией]

14. Общие положения

14.1 Для обработки Персональных данных Клиента применяется следующий порядок приоритета: EU SCCs и UK Addendum, если они применимы; тогда это ДПА; затем остальная часть Соглашения. [Полный порядок приоритета между формой заказа, DPA, условиями и политиками должен быть подтвержден юристом перед публикацией]

14.2 Настоящее DPA регулируется законодательством Республики Сингапур, и суды Сингапура обладают исключительной юрисдикцией в отношении споров, возникающих из него или в связи с ним, за исключением случаев, когда EU SCCs или UK Addendum требуют другого регулирующего закона или суда для споров в рамках них.

14.3 Если применимый закон о защите данных изменится или механизм передачи, указанный в пункте 8, будет изменен, заменен или признан недействительным, стороны будут добросовестно обсуждать любые изменения в этом DPA, необходимые для сохранения законности обработки.

14.4 Если какое-либо положение настоящего DPA является недействительным или не имеющим исковой силы, остальная часть настоящего DPA остается в силе.

14.5 Уведомления Marathon в соответствии с настоящим DPA отправляются по адресу privacy@getdurin.com. Общая и коммерческая корреспонденция направляется на адрес contact@getdurin.com. Уведомления Клиенту отправляются контактному лицу по вопросам конфиденциальности, указанному в блоке подписи.

Приложение 1: Описание обработки

Настоящее Приложение описывает обработку Персональных данных Клиента и дополняет Приложение I к EU SCCs там, где оно применимо.

Экспортер данных

Клиент, указанный в блоке подписи. Роль: контроллер или процессор от имени своего контроллера. Контакт: контакт конфиденциальности в блоке подписи. Действия: использование durin для управления доступом агентов к системам, к которым подключается Заказчик.

Импортер данных

Marathon Digital Pte Ltd., сингапурская компания (UEN 202023814G), оператор durin. Роль: процессор и, согласно PDPA, посредник данных. Контакт: privacy@getdurin.com. Адрес: [зарегистрированный адрес должен быть подтвержден адвокатом перед публикацией]. Деятельность: предоставление durin Заказчику по Договору.

Категории субъектов данных

Члены, администраторы и утверждающие лица Заказчика; люди, чьи личные данные появляются в контенте, который пользователи или агенты Клиента направляют через durin, например сотрудники, клиенты и контакты Клиента; и люди, идентифицированные в метаданных соединения, вышестоящей учетной записи или устройства.

Категории персональных данных

Данные о членстве и каталоге, такие как имена, адреса электронной почты, роли и членство в командах; метаданные управления и аудита, такие как запрашивающая сторона, агент-клиент, соединение, инструмент, ресурс, политическое решение, утверждение, временные метки и результат выполнения; персональные данные в запросах инструментов и результатах, пересылаемых через durin; конфигурация подключения, связанная с вышестоящими учетными записями Клиента; отредактированное содержимое разговора, если администратор включил запись; решения об утверждении запоминаются в виде эскизов односторонних запросов, пока включена память утверждений; описания политик, которые администратор отправляет для разработки политики ИИ, если она включена; информация об одобрении доставляется по каналам уведомления, выбранным Клиентом; метаданные конфигурации устройства и агента, передаваемые посредством обнаружения Shadow MCP, если Клиент разрешил это.

Конфиденциальные данные

Ничего не предусмотрено. Если Клиент передает особые категории персональных данных или другие конфиденциальные персональные данные через durin, применяется пункт 4.3, и меры, указанные в Приложении 2, защищают их.

Частота

Непрерывно, пока пользователи и агенты Клиента используют durin.

Характер обработки

Аутентификация пользователей и клиентов агентов; оценка запросов на соответствие политикам и одобрениям Клиента; отправка разрешенных запросов в системы, к которым подключается Клиент, и возврат их результатов; запись метаданных управления; запоминание решений об одобрении, чтобы они могли информировать или принимать решения по соответствующим запросам; дополнительная разработка правил политики с помощью ИИ; хранение конфигурации и зашифрованных учетных данных; дополнительный захват разговора с редактированием на основе шаблонов; доставка уведомлений об одобрении; экспорт записей по запросу; и удаление данных.

Цель

Для предоставления, поддержки и защиты durin для Клиента в соответствии с Соглашением.

Продолжительность и срок хранения

В течение срока действия Соглашения и до удаления или возврата в соответствии с пунктом 11. Дополнительный захват разговоров сохраняется в течение периода, установленного Клиентом: 7, 90 или 180 дней или 360 дней в версии Enterprise. [Сроки хранения метаданных управления и других категорий должны быть подтверждены юристом перед публикацией]

Обработка субпроцессора

Как указано в Приложении 3, с тем же характером, целью и продолжительностью, что и обработка, описанная выше.

Компетентный надзорный орган

Для ограниченных переводов согласно EU SCCs — надзорный орган, определенный в соответствии со статьей 13 EU SCCs; для Великобритании GDPR — Информационная комиссия (ICO); для PDPA — Комиссии по защите персональных данных. [Компетентный надзорный орган для каждого Клиента должен быть подтвержден юристом перед публикацией]

Приложение 2: Технические и организационные меры.

Marathon применяет следующие меры к Персональным данным Клиента. Они представляют собой внедренные средства контроля и управленческие обязательства, а не сертифицированные или независимо гарантированные средства контроля, и они дополняют Приложение II EU SCCs там, где они применяются.

Проверка личности и доступа

Запросы содержат личность человека или услуги, организацию, среду и связь. Текущее членство и полномочия проверяются еще раз перед выполнением. Неактивное членство, непроверенные инструменты и неавторизованные ресурсы запрещены. Внутренние сервисные вызовы используют ограниченные возможности, привязанные к организации, среде, операции и сроку действия.

Политика и контроль утверждения

Проверенные запросы разрешены по умолчанию. Администраторы клиентов могут выбрать запрет по умолчанию, запретить запись в среде или потребовать независимого одобрения записи. Утверждение привязано к запрашивающему, соединению, точным аргументам, ресурсу, а также версиям инструментов и политик; срок его действия истекает, может быть использован один раз и не может быть предоставлен запрашивающей стороной.

Аутентификация и сеансы

Для аутентификации используется WorkOS. Сеансы браузера используют безопасные файлы cookie HttpOnly и могут быть отозваны, а мутации браузера требуют проверки того же источника. Клиент может подключить своего поставщика удостоверений для единого входа и синхронизации каталогов, если они включены в его план. Применение многофакторной аутентификации зависит от поставщика удостоверений Клиента и настроек учетной записи.

Шифрование

Веб-сайт durin, конечные точки приложения и шлюза обслуживаются через HTTPS. Выбранные учетные данные подключения и места назначения экспорта шифруются на уровне приложения с помощью AES-256-GCM и контекста аутентификации с поддержкой ротации ключей.

Минимизация данных

По умолчанию при захвате разговора используются только метаданные, а содержимое отправленного сообщения отбрасывается перед сохранением. Администратор может включить запись отредактированных данных на 7, 90, 180 или 360 дней в версии Enterprise; захваты с истекшим сроком действия становятся нечитаемыми, и запланированная очистка удаляет их. Редактирование основано на шаблонах и не является полной защитой от потери данных. Диагностика ошибок фильтрует поля запроса, заголовки и информацию о пользователе.

Ведение журнала и аудит

Требуемое намерение аудита записывается до выполнения управляемого запроса. Политические решения, утверждения и результаты исполнения регистрируются отдельно, включая результаты, которые остаются неопределенными. При экспорте повторно проверяется доступ запрашивающей стороны и включаются контрольные суммы SHA-256 для каждой части; контрольные суммы не защищают записи от несанкционированного доступа.

Разделение

Данные клиентов логически разделены по организациям и средам, и каждый управляемый запрос авторизуется в отношении запрашивающей организации, среды и текущего членства. Изоляция арендатора включена в соглашения Enterprise.

Безопасное развитие

Изменения отслеживаются в системе контроля версий и проверяются с помощью автоматизированного форматирования, анализа, типа, контракта и наборов тестов. Непрерывная интеграция включает аудит зависимостей, секретное сканирование, проверку лицензий и составление спецификации программного обеспечения.

Персонал

Доступ к производственным системам и Персональным данным клиентов ограничен персоналом Marathon, которому он необходим для эксплуатации, поддержки или защиты durin, в соответствии с обязательствами конфиденциальности, указанными в пункте 5.

Реагирование на инциденты

Marathon поддерживает документированные процедуры для компрометации личных данных, отзыва согласия восходящего канала, ротации ключей и согласования неверных записей, а также обрабатывает инциденты безопасности в соответствии с пунктом 9.

Доступность и восстановление

Обязательства по бесперебойной работе, поддержке и восстановлению применяются только в том случае, если они предусмотрены Соглашением. [Цели резервного копирования, восстановления и тестирования должны быть подтверждены юристом перед публикацией]

Гарантия

Никакой аттестации SOC 2, сертификации ISO или результатов независимого теста на проникновение не заявлено. Marathon обязуется соблюдать применимые обязательства PDPA и GDPR и привести свою программу безопасности в соответствие с принципами ISO/IEC 27001; это обязательства руководства, а не сертификация.

Приложение 3: Подпроцессоры

Клиент разрешает указанным ниже субобработчикам согласно пункту 7. Об изменениях сообщается в соответствии с пунктом 7.2, а текущий график публикуется по адресу https://getdurin.com/subprocessors..

Подписи

Каждая сторона подписывает ниже свое согласие с настоящим Соглашением о защите данных, включая его Приложения. Оно вступает в силу после подписания обеими сторонами.