Технически и организационни мерки
Приложение III към Споразумението за обработване на лични данни за Сиела-Нокстуа
(1) Настоящото приложение описва техническите и организационните мерки, които Noxtua AG („Доставчик“), в качеството си на подизпълнител на „Сиела Норма“ АД („Сиела“), прилага при предоставянето на услугата Сиела-Нокстуа. То представлява Приложение III към Споразумението за обработване на лични данни за продукт Сиела-Нокстуа („СОЛД“).
(2) „Клиент“ означава администратора по смисъла на СОЛД; когато самият Клиент действа като обработващ, се прилага т. 2.2 от Допълнителните условия към СОЛД. Правата и исканията на Клиента по настоящото приложение, по-специално правото на предоставяне на информация, на доказателства, на допълнителна проверка и на даване на указания, се упражняват чрез Сиела. Доставчикът предоставя информацията на Сиела за препращане към Клиента. Конфигурацията, извършена от Клиента в приложението (по-специално срокът на съхранение, категорията модел и гласовото въвеждане), представлява документирано указание по смисъла на т. 3.1 от Допълнителните условия към СОЛД.
(3) Настоящото приложение описва мерките за Сиела-Нокстуа, Версия Х („Приложението“).
(4) Мерките подлежат на промяна при техническо развитие и бъдещи разработки. Доставчикът може да прилага алтернативни адекватни мерки, при условие че нивото на сигурност на мерките, посочени в настоящото приложение, не се понижава.
1.1. Доставчикът поддържа актуална политика за информационна сигурност, одобрена и публикувана от ръководството. Той предоставя политиката при поискване и посочва лице, отговорно за информационната сигурност, с данни за контакт.
1.2. Доставчикът поддържа система за управление на информационната сигурност и е сертифициран по ISO/IEC 27001:2022, ISO/IEC 27017:2021, ISO/IEC 27018:2020, ISO/IEC 42001:2023 и ISO 9001:2015. Той притежава също атестация BSI C5, доклад SOC 2 и етикет TISAX. Актуалните доказателства са достъпни в Центъра за доверие (Trust Center) на Доставчика на https://trust.noxtua.com или се предоставят на Сиела при поискване; те служат като доказателство по смисъла на т. 4.1 от Допълнителните условия към СОЛД.
Доставчикът поддържа пълен опис на критичните активи, които са от значение за услугата. Това включва по-специално целия хардуер, софтуер, облачни услуги и данни. Базовите модели се вписват с тяхната категория модел, маршрут, доставчик и място на експлоатация. Описът се преглежда поне веднъж годишно за актуалност, пълнота и точност.
3.1. Зоните за сигурност са достъпни само за оправомощени служители. Ключовете се издават на поименно посочени лица, а достъпът се регистрира. Посетителите се регистрират с часа на пристигане и напускане и пребивават само в наблюдавани зони. Алармени системи и непрекъснато видеонаблюдение осигуряват защитата на обектите.
3.2. За центровете за данни по т. 13.3 се прилагат мерките за физическа сигурност на доставчиците на инфраструктура, сертифицирани по признати стандарти. Доставчикът преглежда техните доказателства поне веднъж годишно.
Служителите преминават обучение по информационна сигурност и защита на данните поне веднъж годишно и са писмено обвързани от задължение за конфиденциалност. Когато могат да узнаят данни на клиенти, те допълнително се задължават да не разкриват тези данни и се информират за правните последици от нарушение. Тези задължения продължават да действат и след прекратяване на трудовото правоотношение.
5.1. Личните потребителски профили се присвояват еднозначно и не се споделят. Привилегированите профили са ограничени до малък брой квалифицирани и оправомощени лица. Тези профили не могат да се използват за ежедневни дейности.
5.2. Правата за достъп се преглеждат редовно и се оценяват от гледна точка на нуждата от съществуването им, обвързаността им с конкретния профил и техния обхват. Административните права се преглеждат на тримесечие.
5.3. Отдалечен достъп до системи, които обработват данни на клиенти, както и административен достъп, се предоставя само на оправомощен персонал и подлежи на многофакторно удостоверяване („MFA“).
5.4. Работните станции се заключват автоматично след определен период на неактивност. Мобилните устройства са снабдени с филтри за поверителност на екрана. При отдалечена работа се използват VPN връзки.
5.5. Система за управление на документи, внедрена в цялата компания, регистрира промените в документи и файлове с автор и времеви отпечатък и позволява версиониране и достъп до по-ранни версии.
5.6. Достъпът до производствените системи е ограничен до малък брой оправомощени служители, защитен с MFA и редовно преглеждан. Служителите на Доставчика осъществяват достъп до данни със съдържание само когато това е необходимо за експлоатацията на услугата, по-специално за анализ и отстраняване на неизправности; този достъп се регистрира съгласно т. 15.1.
5.7. Потребителите влизат чрез услугата за идентичност на Доставчика по стандарта OpenID Connect с PKCE. Токените за вход остават на сървъра; за удостоверяване браузърът съхранява само подписана бисквитка за сесия, която не може да бъде прочетена от скриптове (HttpOnly, Secure, SameSite). Приложението проверява самоличността на потребителя и членството му в организацията при всяка заявка.
6.1. Доставчикът е въвел политика за паролите.
6.2. Служителите използват защитен мениджър на пароли със силни процедури за удостоверяване. Той генерира сложни пароли в съответствие с актуалните препоръки и ги съхранява сигурно. Единен вход (SSO) се използва навсякъде, където е възможно.
7.1. Доставчикът поддържа опис на всички мрежови граници на организацията (напр. чрез мрежова диаграма) и защитава мрежите си чрез сегментиране, защитни стени и физически контрол и контрол на достъпа до мрежовите компоненти.
7.2. Данните на клиентите се предават между браузъра на потребителя и Приложението, както и между Приложението и средите на моделите по т. 19.3, изключително с криптиране при пренос (TLS).
8.1. Данните на клиентите се криптират при пренос и в покой в съответствие с отрасловите стандарти. Това обхваща по-специално мобилни устройства, споделени ресурси за данни, бази данни, облачно хранилище и VPN.
8.2. В Приложението чатовете и свързаните с тях метаданни се съхраняват в база данни PostgreSQL, а качените файлове и извлеченият от тях текст - в обектно хранилище. Базата данни и обектното хранилище са криптирани в покой чрез пълно криптиране на диска (LUKS) в съответствие с отрасловите стандарти.
9.1. Приложенията, които обработват данни на клиенти, се тестват и валидират спрямо подходящи стандарти за сигурно програмиране (напр. OWASP) преди пускането им.
9.2. За да гарантира сигурността и надеждността на разработването на софтуер, Доставчикът използва надежден конвейер за непрекъсната интеграция (CI) и непрекъснато внедряване (CD). Конвейерът включва автоматизирани модулни, интеграционни тестове и тестове за сигурност, финални тестове в предпроизводствена среда (staging), близка до производствената, и последващо внедряване. Контролът на достъпа и контролът на версиите защитават всеки етап.
9.3. Новите базови модели, доставчици и маршрути, както и промените в съществуващи маршрути, преминават през документирана процедура за одобрение преди използване. Процедурата проверява по-специално изискванията за сигурност, местата на обработване, договорните вериги и веригите от указания, включително задължението за конфиденциалност, настройките за съхранение и регистриране, както и въздействието върху съществуващото ниво на сигурност. Резултатите се документират и версионират.
Към промените в системи, които обработват данни на клиенти, се прилагат определени отговорности и формални процедури за управление на промените.
11.1. Сървърите и работните станции разполагат със защита срещу вируси и зловреден софтуер с откриване в реално време. Защитните системи се актуализират редовно и се тестват за ефективност. Актуализациите за сигурност се прилагат автоматично и редовно.
11.2. Установеният авариен план обхваща кибератаки, природни бедствия и технически откази. Редовно се провеждат практически тренировки за проверка на плана.
11.3. За предотвратяване на загуба на данни Доставчикът е въвел надеждни процедури за резервно копиране. Данните се архивират редовно на външни локации изключително в ЕС или в Швейцария; достъпът е ограничен. Огледалното копиране на дисковете осигурява резервираност.
11.4. Пожароустойчиви съоръжения, автоматични пожарогасителни системи и защита от вода при гасене осигуряват защитата на системите. Ограниченията на честотата на заявките (rate limits) защитават Приложението от злоупотреба и претоварване.
11.5. При неизправности Агент Минерва може да превключи към други маршрути по т. 19.3, при условие че участващите подизпълнители могат да бъдат ангажирани съгласно СОЛД.
Доставчикът редовно възлага, за своя сметка, на независима квалифицирана организация да извършва тестове за проникване в системите, които обработват данни на клиенти.
13.1. Данните на клиентите се изолират чрез логическо разделяне на наемателите (tenants), права за достъп и правилата на базата данни по т. 13.5.
13.2. Тестовите и производствените системи са строго разделени. Тестовата среда е изолирана от производствената.
13.3. Данните на клиентите се съхраняват изключително в инфраструктурата, експлоатирана от Доставчика при Telekom Deutschland GmbH (T Cloud Public) и IONOS SE в ЕС и в Швейцария. Чатовете и метаданните се пазят в базата данни, документите и извлеченият текст - в обектното хранилище, а активните сесии и текущите потоци с отговори - в краткотрайно временно хранилище. Данните на клиентите не се съхраняват в системи на доставчик на модели и не се предават в друга трета държава. За обработването при извеждане на изводи от модела се прилага допълнително т. 19.
13.4. Достъпът на служителите до сървъри и код е ограничен до съответната задача и се проверява и разрешава предварително.
13.5. В Приложението всеки чат, проект и документ е свързан с организация и потребител. Защитата на ниво ред (Row Level Security) в PostgreSQL налага тази връзка при всяка заявка към базата данни. Приложението осъществява достъп до базата данни само чрез ограничени роли, които не могат да заобиколят тези правила и всяка от които вижда само данните на един потребител. Качените файлове са достъпни само чрез Приложението, а не чрез директни връзки.
14.1. Уязвимостите се идентифицират и се намаляват или отстраняват чрез корекции (patches), промени в конфигурацията или компенсиращи контроли.
14.2. Всички системи, които съхраняват, предават или обработват данни на клиенти, се сканират за уязвимости поне веднъж на тримесечие и незабавно след всяка съществена промяна в системата или актуализация на софтуерния код.
14.3. Доставчикът приоритизира отстраняването на уязвимостите по Общата система за оценяване на уязвимостите и ги отстранява в следните срокове: критични - до 7 дни; високи - до 14 дни; средни - от 30 до 45 дни; ниски - до 90 дни.
15.1. Достъпът до данни на клиенти и промените в тях се регистрират с лицето, осъществило достъпа, засегнатата система и датата и часа. Влизанията и излизанията се записват. Записите се пазят най-малко шест месеца.
15.2. За всяка заявка Доставчикът регистрира коя категория модел по т. 19 и кои доставчици са използвани за обработването ѝ. Тези записи не съдържат съдържание на входните или изходните данни. Клиентът получава информация от тези записи при поискване.
15.3. Техническите данни за използване и регистрационните данни включват данни за вход и сесии, използване на функции, потребление на модели, както и регистри на грешки и сигурност.
16.1. Доставчикът поддържа документирана процедура за обработване на инциденти със сигурността, която се тества поне веднъж годишно и се актуализира при необходимост.
16.2. Нарушенията на сигурността на личните данни на клиенти се докладват на Сиела без неоправдано забавяне и във всички случаи в срок от 72 часа, след като Доставчикът е узнал за тях. Това се отнася и за инциденти при подизпълнители.
16.3. Доставчикът подпомага Сиела и Клиента при изпълнение на задълженията им по членове 33 и 34 от ОРЗД, по-специално като предоставя наличната информация за естеството, обхвата и причината за нарушението, засегнатите категории данни и субекти на данни и предприетите или предложените мерки за отстраняване, и посочва лице за контакт за тази цел.
17.1. Доставчикът поддържа процедури за планирано изтриване и актуализиране, за връщане или изтриване при прекратяване на договора и за изтриване на изтеглени лични данни на клиенти след използването им.
17.2. Данните на клиентите се унищожават сигурно с подходящи методи по указание на Клиента. Това се прилага както по време, така и в края на срока на договора. Доставчикът изготвя одитоустойчиви записи за извършените изтривания.
17.3. Доставчикът гарантира, че всички данни са върнати или унищожени, както е договорено с Клиента, и предоставя одитна следа, която доказва това, напр. под формата на сертификати за унищожаване.
17.4. По отношение на сроковете на съхранение и края на договора се прилага следното:
а) Администраторът на Клиента задава срока на съхранение на чатовете за всяка организация в административния интерфейс и може да го променя по всяко време. Понастоящем наличните варианти са 8 часа, 30 дни, 90 дни, 180 дни или неограничено съхранение. По подразбиране съхранението е неограничено. При изтичане на избрания срок данните се изтриват автоматично и необратимо. Независимо от избрания срок, потребителите могат по всяко време ръчно да изтриват отделни чатове; изтриването има незабавно действие.
б) При прекратяване на договора за ползване между Клиента и Сиела всички данни, съхранявани за този Клиент в Приложението, включително свързаните метаданни, се изтриват необратимо от производствените системи без неоправдано забавяне и най-късно в срок от 30 дни след края на договора, освен ако правото на Съюза или на Република България не изисква съхраняването им. Ако Клиентът избере връщане вместо изтриване съгласно СОЛД, Доставчикът предоставя данните чрез Сиела в общоприет машинночетим формат преди изтриването. Доставчикът потвърждава изтриването на Сиела в писмена форма. Метаданните по смисъла на Приложение II, т. 2.2 от СОЛД, които Сиела обработва на своя отговорност, не са обхванати от това изтриване; за тях се прилагат сроковете за изтриване, определени за това обработване.
в) Когато данни на клиента се съдържат в резервни копия и незабавното избирателно изтриване е технически невъзможно, те остават блокирани до планираното им изтриване и могат да се използват само за възстановяване на системата. Резервните копия се презаписват или унищожават най-късно с изтичане на 30-дневния срок за съхранението им.
г) В средите на моделите не се съхраняват данни на клиенти (т. 19.5); там не е необходимо отделно изтриване.
18.1. Доставчикът осигурява гласово въвеждане чрез самостоятелно хоствания модел за разпознаване на реч noxtua-ai-voice (автоматично разпознаване на реч, ASR). Моделът работи изключително в инфраструктурата, експлоатирана от Доставчика в центрове за данни в ЕС и в Швейцария (т. 13.3); не са интегрирани външни услуги за реч и не се предават данни на трети лица.
18.2. Аудиозаписът се обработва само временно в паметта за целите на транскрибирането и се изтрива веднага след това. Транскрипциите се връщат само към клиентското устройство и не се съхраняват на сървъра. Ако потребителят изпрати транскрипцията като входни данни, тя се обработва и съхранява като всички други входни данни (т. 13 и 17).
18.3. Аудиоданните и транскрипциите не се записват в регистрите на приложението и не се предават на услуги на трети лица за анализи, мониторинг или проследяване на грешки.
18.4. Не се създава гласов отпечатък и не се извършва идентификация на говорещия или биометрично категоризиране (дизайн без гласов отпечатък). Достъп до микрофона се осъществява само след като потребителят даде разрешение в браузъра. Администраторите могат да включват и изключват гласовото въвеждане за всяка организация.
19.1. Категорията модел определя кои базови модели обработват дадена заявка и по какъв маршрут се осигуряват. Всички останали компоненти на Приложението, по-специално съхранението по т. 13 и подмоделите за разпознаване на текст, търсене и гласово въвеждане, са идентични в двете категории и се експлоатират от Доставчика в инфраструктурата по т. 13.3. На базовия модел се предава само съдържанието, необходимо за обработването на заявката.
19.2. Агент Атина (Athena Agent): Доставчикът сам експлоатира модели с отворени тегла (open-weights), дообучени за правна употреба, в инфраструктурата по т. 13.3, без каквато и да е връзка с първоначалния разработчик. Във веригата на обработване не участва доставчик, подчинен на правото на Съединените щати или на друга трета държава без решение относно адекватното ниво на защита.
19.3. Агент Минерва (Minerva Agent): водещи (frontier) модели на международни доставчици на модели, експлоатирани изключително в центрове за данни в ЕИП. Доставчикът ги получава пряко или чрез Telekom Deutschland GmbH от подизпълнителите на Доставчика. Даден маршрут се използва само ако задължението за конфиденциалност е договорено по цялата договорна верига до оператора на средата на модела.
19.4. Изборът и смяната на базови модели и маршрутизирането между одобрени подизпълнители изискват процедурата за одобрение по т. 9.3. Те не представляват изменение на настоящото приложение и, докато не се добавя нов подизпълнител, не представляват изменение на списъка на подизпълнителите. Използваните понастоящем базови модели се публикуват на https://www.noxtua.com/modelsystem.
19.5. За всеки маршрут от категорията Агент Минерва договорът и конфигурацията гарантират, че заявките се обработват в средата на модела само временно и за времетраенето на съответната заявка (нулево съхранение на данни). Изключени са: (i) регистрирането на входни и изходни данни за целите на наблюдението за злоупотреби; (ii) функции, които изискват съхранение, и (iii) достъп до входните или изходните данни от персонала на доставчиците на модели или облачни услуги. Автоматизираните проверки за безопасност, извършвани от доставчиците по време на обработването без съхранение и без преглед от човек, не се засягат. Изключение от нулевото съхранение на данни е предвиденото за запазване и преглед на конкретни изображения и файлове, подадени като входни данни, когато тяхната автоматизирана проверка класифицира като възможно незаконно съдържание, доколкото това служи за прегледа и изпълнението на законови задължения за докладване. Ако доставчик спре или ограничи нулевото съхранение на данни за даден маршрут, този маршрут не се използва.
19.6. В нито една от категориите входните данни, изходните данни или каченото съдържание не се използват за обучение на модели - нито от Доставчика, нито от доставчиците на модели.
19.7. Администраторът на Клиента задава категорията за всяка организация; по подразбиране тя е Агент Минерва. Ако е зададен Агент Атина, не се извършва обработване от външни доставчици на модели. Не се извършва автоматично превключване между категориите.
20.1. Права на субектите на данни: Клиентът може сам да изтрива данни и да задава срока на съхранение чрез функциите на Приложението (т. 17.4). Освен това Доставчикът подпомага Сиела и Клиента при отговора на искания на субекти на данни за достъп, коригиране, изтриване, ограничаване на обработването и преносимост на данните, доколкото Клиентът не може да ги изпълни сам чрез функциите на Приложението. Доставчикът препраща получените пряко от него искания на Сиела без неоправдано забавяне; той не отговаря сам на тях, освен ако не е оправомощен за това.
20.2. Оценка на въздействието върху защитата на данните: При поискване, Доставчикът предоставя на Сиела, за препращане към Клиента, стандартизираната информация, необходима на Клиента за оценка на въздействието върху защитата на данните и за евентуална предварителна консултация с надзорния орган, по-специално описание на архитектурата и потоците от данни, списъка на подизпълнителите, резултата от процедурата за одобрение по т. 9.3 и доказателствата по т. 1.2.
20.3. Специални категории лични данни: Клиентът определя естеството и обхвата на предоставяното съдържание; Доставчикът не го знае предварително. Поради това Доставчикът прилага мерките по настоящото приложение без разлика към всички данни със съдържание, включително специалните категории лични данни (член 9 от ОРЗД) и личните данни, свързани с присъди и нарушения (член 10 от ОРЗД). Допълнителни гаранции по смисъла СОЛД са по-специално изключването на всякакво използване за обучение (т. 19.6), изключването на всякакво съхранение на ниво извеждане на изводи (т. 19.5), проверката на задължението за поверителност по договорната верига и веригата от указания (т. 9.3) и възможността на Клиента да ограничи обработването до категорията Агент Атина (т. 19.7).
20.4. Одити: Доставчикът подпомага Сиела при одити по СОЛД и Допълнителните условия към него, преди всичко чрез доказателствата по т. 1.2. Одитите при Доставчика, включително проверките на място, се извършват в съответствие с тези разпоредби и след предварително съгласуване със Сиела.
20.5. Неточни данни: Ако Доставчикът установи, че обработвани от него лични данни са неточни или остарели, той уведомява Сиела без неоправдано забавяне.