Acord de prelucrare a datelor

Părțile și modul în care se aplică acest DPA

Prezentul DPA se încheie între Sencai Tech s.r.o., cu sediul social în Praga, Republica Cehă, înregistrată la Tribunalul Municipal din Praga („Sencai”, „noi”), și clientul care a acceptat Termenii de utilizare („tu”). Acesta face parte din Termeni și devine obligatoriu în momentul în care îi accepți; nu este necesară o semnătură separată. Dacă dorești, pentru evidența proprie, o înregistrare a semnăturii, un proprietar (Owner) sau un administrator (Admin) al organizației tale poate semna acest DPA în platformă. Versiunea actuală este publicată la sencai.space/legal/dpa/. Aceasta este versiunea 1.0 a prezentului DPA. Pentru clienții care au acceptat o versiune anterioară a Termenilor, acesta se aplică drept modificare a Termenilor, în conformitate cu prevederile acestora privind modificările.

Domeniu de aplicare și roluri

Prezentul DPA se aplică datelor cu caracter personal pe care Sencai le prelucrează în numele tău în cadrul furnizării serviciului, astfel cum sunt descrise mai jos („Datele cu caracter personal ale clientului”). Pentru Datele cu caracter personal ale clientului, operatorul ești tu sau organizația pe care o reprezinți, iar persoana împuternicită este Sencai. Atunci când tu însuți ești persoană împuternicită pentru un alt operator - de exemplu, un furnizor de servicii gestionate care acționează pentru clienții săi - Sencai acționează ca subîmputernicit al tău, iar tu te asiguri că instrucțiunile pe care le dai Sencai sunt autorizate de acel operator. Datele cu caracter personal pe care Sencai le prelucrează în scopuri proprii, cum ar fi înregistrarea contului, facturarea și menținerea securității serviciului, nu intră sub incidența prezentului DPA și sunt guvernate de Politica de confidențialitate, în temeiul căreia Sencai este operator. Unele înregistrări, cum ar fi evenimentele de autentificare și pista de audit, servesc ambelor scopuri: sunt prelucrate în temeiul prezentului DPA atunci când sunt folosite pentru a-ți furniza serviciul și în temeiul Politicii de confidențialitate atunci când sunt folosite pentru menținerea securității serviciului.

Ordinea de prioritate și limba

În cazul unui conflict între prezentul DPA și Termeni cu privire la prelucrarea datelor cu caracter personal, prevalează prezentul DPA. Prezentul DPA este redactat în limba engleză. Traducerile sunt furnizate pentru comoditate; în cazul în care o traducere diferă de versiunea în limba engleză, prevalează versiunea în limba engleză.

Obiectul, durata, natura și scopul

Obiectul prelucrării îl constituie furnizarea platformei Sencai, un control plane multi-cloud furnizat ca Software-as-a-Service în temeiul Termenilor. Prelucrarea durează pe toată durata acordului și, ulterior, până la ștergerea Datelor cu caracter personal ale clientului, astfel cum este descris în secțiunea privind ștergerea și returnarea. Ea constă în colectarea datelor prin conexiunile pe care le configurezi; stocarea, organizarea și afișarea lor către utilizatorii tăi autorizați; analizarea lor, de exemplu pentru scanarea de securitate, analiza costurilor și, atunci când le folosești, funcțiile AI; transmiterea lor către infrastructura ta și către furnizorii cu care lucrezi prin platformă; efectuarea acțiunilor pe care le soliciți la furnizorii cloud și pe serverele tale; și ștergerea lor. Scopul este furnizarea serviciului către tine în conformitate cu Termenii și cu instrucțiunile tale, inclusiv suportul pe care îl soliciți și securitatea acestei prelucrări, astfel cum impune articolul 32 GDPR.

Categorii de persoane vizate

Datele cu caracter personal ale clientului se pot referi la următoarele persoane vizate:

• Utilizatorii tăi autorizați ai platformei, cum ar fi angajații și colaboratorii tăi externi.
• Membrii personalului tău ale căror înregistrări sunt sincronizate dintr-un director pe care îl conectezi, cum ar fi Microsoft Entra ID, Microsoft 365 sau Google Workspace.
• Persoanele fizice ale căror date cu caracter personal sunt conținute în infrastructura, serverele, jurnalele, sesiunile de terminal sau valorile secretelor pe care le conectezi sau le gestionezi prin platformă, de exemplu propriii tăi clienți și utilizatori finali.

Categorii de date cu caracter personal

În funcție de funcționalitățile pe care le folosești, Datele cu caracter personal ale clientului pot include categoriile de mai jos. Serviciul nu este conceput pentru categorii speciale de date cu caracter personal (articolul 9 GDPR) sau pentru date cu caracter personal referitoare la condamnări penale și infracțiuni (articolul 10 GDPR). Dacă infrastructura, jurnalele sau valorile secretelor tale conțin astfel de date, ești responsabil să evaluezi, înainte de a le prelucra prin serviciu, dacă măsurile din prezentul DPA sunt adecvate.

• Date de infrastructură: inventarul, configurația și metadatele resurselor cloud și ale serverelor pe care le conectezi sau le provizionezi, cum ar fi numele resurselor, etichetele (tags), adresele IP, înregistrările DNS și regulile de firewall, care pot conține date cu caracter personal.
• Credențialele pentru conturile cloud pe care le conectezi, stocate criptat.
• Date colectate de agentul Sencai de pe serverele unde îl instalezi, cum ar fi software-ul instalat și starea patch-urilor, rezultatele scanărilor de securitate, precum și jurnalele de sistem și de aplicații.
• Sesiuni de terminal în browser: înregistrări privind cine s-a conectat la ce server și când, precum și datele care trec printr-o sesiune cât timp aceasta este deschisă.
• Date de director și de identitate, atunci când conectezi un director: înregistrări ale utilizatorilor și grupurilor, evenimente de autentificare și evenimente administrative, inclusiv adrese de email, adrese IP și informații despre browser sau dispozitiv, precum și inventarul căsuțelor poștale.
• Pista de audit a organizației tale: ce utilizator a efectuat ce acțiune și când, cu adresa IP și informații despre browser.
• Valorile secretelor pe care le furnizezi pentru Secret Injection.
• Conținutul pe care îl transmiți funcțiilor AI, împreună cu contextul de infrastructură trimis odată cu acesta.

Instrucțiuni documentate

Sencai prelucrează Datele cu caracter personal ale clientului numai pe baza instrucțiunilor tale documentate, inclusiv în ceea ce privește transferurile către țări din afara Spațiului Economic European, cu excepția cazului în care dreptul Uniunii sau dreptul intern al unui stat membru impune altceva; în acest caz, Sencai te informează cu privire la această cerință legală înainte de prelucrare, cu excepția cazului în care dreptul respectiv interzice o astfel de informare din motive importante de interes public. Instrucțiunile tale sunt Termenii, prezentul DPA și modul în care folosești și configurezi serviciul, inclusiv prin interfața și API-ul acestuia. Instrucțiunile suplimentare trebuie date în scris, de exemplu la privacy@sencai.space, și trebuie să fie în concordanță cu Termenii. Sencai te informează imediat dacă, în opinia sa, o instrucțiune încalcă GDPR sau alte dispoziții din dreptul Uniunii sau din dreptul intern al unui stat membru privind protecția datelor. Ești responsabil pentru legalitatea instrucțiunilor tale și a datelor cu caracter personal pe care le prelucrezi prin serviciu.

Confidențialitate

Sencai acordă acces la Datele cu caracter personal ale clientului numai persoanelor care au nevoie de acesta pentru a furniza serviciul, a oferi suport pentru acesta sau a-l securiza și se asigură că toate persoanele autorizate să prelucreze Datele cu caracter personal ale clientului sunt ținute de obligații de confidențialitate sau au o obligație legală adecvată de confidențialitate.

Securitatea prelucrării

Sencai implementează măsuri tehnice și organizatorice pentru a asigura un nivel de securitate corespunzător riscului, astfel cum impune articolul 32 GDPR. Măsurile aplicate în prezent le includ pe cele enumerate mai jos. Sencai le poate actualiza pe măsură ce tehnologia și riscurile evoluează, cu condiția ca nivelul general de securitate să nu fie redus.

• Găzduirea platformei în regiuni UE ale Google Cloud.
• Separarea între organizații: resursele sunt asociate organizației căreia îi aparțin, iar accesul utilizatorilor tăi este verificat în raport cu acea organizație.
• Acces bazat pe roluri în cadrul fiecărei organizații, astfel încât utilizatorii pot vedea și modifica doar ceea ce le permite rolul lor.
• Criptarea cu TLS a conexiunilor la platformă prin rețele publice; agentul Sencai de pe servere folosește în plus o conexiune cu autentificare reciprocă.
• Criptarea at-rest (AES-256-GCM) a credențialelor pentru conturile cloud conectate, care nu sunt afișate înapoi prin platformă.
• Valorile secretelor păstrate în Sencai Vault, conform descrierii din secțiunea următoare.
• Protecția autentificării împotriva încercărilor repetate de ghicire a parolei, tokenuri de acces cu durată scurtă de valabilitate și suport pentru autentificarea multi-factor și single sign-on.
• Politici de rețea care limitează ce servicii interne pot comunica între ele.
• O pistă de audit append-only, înlănțuită prin hash, în care modificarea sau eliminarea unei intrări anterioare poate fi detectată.
• Backup-uri ale bazei de date a platformei, criptate înainte de a fi stocate.

Sencai Vault și Secret Injection

Atunci când folosești Secret Injection, Sencai stochează valorile secretelor pe care le furnizezi, criptate at-rest, în Sencai Vault, un depozit de secrete pe care Sencai îl operează în regie proprie pe infrastructura Google Cloud din UE. Sencai folosește aceste valori exclusiv pentru livrarea lor către propria ta infrastructură: un cluster Kubernetes sau servere care rulează agentul Sencai, acolo unde activezi această funcție, și numai în locațiile permise de configurația proprie a clusterului sau serverului respectiv. Valorile stocate nu pot fi vizualizate sau exportate prin intermediul platformei. Serviciile platformei le pot accesa doar prin credențiale dedicate, limitate la stocarea lor, citirea lor în vederea livrării sau ștergerea lor, iar traficul dintre serviciile platformei și Sencai Vault este criptat cu TLS. Sencai Vault înregistrează o pistă de audit a accesului la acesta, în care credențialele apar doar sub formă de hash-uri cu cheie (HMAC). Fiecare livrare este criptată cu o cheie generată exclusiv pentru acea livrare. O valoare este eliberată către un cluster sau server numai după ce un administrator al organizației tale a acordat încredere agentului acestuia și numai către credențialele pe care agentul le avea în momentul acordării încrederii. Versiunile anterioare ale unei valori înlocuite pot fi păstrate până la revocarea sau ștergerea intrării Secret Injection respective. După revocarea sau ștergerea acesteia, Sencai șterge din Sencai Vault, fără întârzieri nejustificate, valoarea și toate versiunile păstrate, iar înainte de ștergerea unei organizații Sencai șterge toate aceste valori. Când revoci o intrare Secret Injection, Sencai îi cere agentului care a primit valoarea să o elimine, dacă o astfel de cerere poate fi trimisă; dacă aceasta nu poate fi trimisă sau eliminarea nu este confirmată, de exemplu pentru că agentul nu este conectat sau a fost deconectat ori livrarea este dezactivată, valoarea poate rămâne în infrastructura ta. Orice copie livrată către infrastructura ta se află sub controlul tău și poate fi citită de oricine are acces suficient la sistemul pe care se află, inclusiv de utilizatorii privilegiați și de oricine căruia îi permiți să ruleze comenzi prin intermediul agentului Sencai.

Subîmputerniciți

Îi acorzi Sencai o autorizare generală scrisă de a recurge la subîmputerniciții enumerați în registrul de subîmputerniciți de la sencai.space/legal/subprocessors/. Sencai impune fiecărui subîmputernicit, printr-un contract scris, obligații de protecție a datelor care oferă cel puțin același nivel de protecție ca cele din prezentul DPA, în special garanții suficiente pentru implementarea unor măsuri tehnice și organizatorice adecvate, astfel cum impune articolul 28 alineatul (4) GDPR. Sencai își păstrează întreaga răspundere față de tine pentru îndeplinirea obligațiilor fiecărui subîmputernicit, sub rezerva secțiunii privind răspunderea. Furnizorii cloud ale căror conturi le conectezi tu însuți nu sunt subîmputerniciți ai Sencai: acele conturi rămân sub propriul tău contract cu furnizorul, iar Sencai acționează în ele doar la instrucțiunea ta. Atunci când Sencai rulează resursele tale în conturi cloud pe care le operează, furnizorul de dedesubt îți este numit ca subîmputernicit înainte de începerea colaborării și este adăugat în registru. Sencai anunță orice adăugare sau înlocuire intenționată a unui subîmputernicit cu cel puțin 14 zile înainte ca aceasta să intre în vigoare, prin actualizarea registrului și prin email trimis proprietarilor organizației tale. Te poți opune modificării în scris, la privacy@sencai.space, în acest termen; Sencai va colabora apoi cu tine, cu bună-credință, pentru soluționarea obiecției, iar dacă aceasta nu poate fi soluționată, poți rezilia serviciul afectat - sau acordul, atunci când serviciul nu poate fi furnizat fără acel subîmputernicit - cu efect înainte ca modificarea să se aplice datelor tale.

Transferuri internaționale

Datele cu caracter personal ale clientului sunt stocate în principal în UE/SEE. Atunci când un subîmputernicit le prelucrează în afara Spațiului Economic European, transferul se bazează pe temeiul indicat pentru acel subîmputernicit în registru - o decizie de adecvare a Comisiei Europene sau Clauzele Contractuale Standard - împreună cu garanții suplimentare, acolo unde este necesar. Funcțiile AI trimit conținutul pe care li-l transmiți furnizorilor de modele numiți în registru, care îl pot prelucra în afara UE; aceștia intervin doar atunci când folosești acele funcții. Atunci când alegi o regiune din afara Spațiului Economic European într-un cont cloud pe care îl conectezi tu însuți, datele ajung acolo la instrucțiunea ta.

Asistență pentru cererile persoanelor vizate

Ținând seama de natura prelucrării, Sencai te asistă prin măsuri tehnice și organizatorice adecvate, în măsura în care acest lucru este posibil, pentru a răspunde cererilor persoanelor vizate care își exercită drepturile prevăzute în capitolul III din GDPR. În acest scop, serviciul oferă instrumente self-service: utilizatorii tăi pot exporta datele cu caracter personal deținute în legătură cu contul lor și pot solicita ștergerea contului din setările de confidențialitate ale platformei, iar pista de audit a organizației tale poate fi exportată. Atunci când aceste instrumente nu sunt suficiente, Sencai oferă asistență suplimentară rezonabilă, la cererea transmisă la privacy@sencai.space. Dacă Sencai primește o cerere direct de la o persoană vizată cu privire la Datele cu caracter personal ale clientului, te informează și nu dă curs direct cererii, cu excepția cazului în care îi dai instrucțiuni în acest sens sau legea impune acest lucru.

Asistență privind securitatea, evaluările de impact și consultările

Ținând seama de natura prelucrării și de informațiile de care dispune, Sencai te asistă în îndeplinirea obligațiilor care îți revin în temeiul articolelor 32 până la 36 GDPR - securitatea prelucrării, notificarea încălcărilor securității datelor cu caracter personal, evaluările impactului asupra protecției datelor și consultarea prealabilă a autorității de supraveghere. Sencai face acest lucru în special prin punerea la dispoziție a prezentului DPA și a descrierii măsurilor de securitate pe care o conține, a registrului de subîmputerniciți, a declarației privind rezidența datelor, a registrelor activităților de prelucrare, atunci când planul tău le include, și a unui export al pistei tale de audit, precum și prin răspunsuri la întrebările rezonabile pe care le ai în aceste scopuri.

Încălcări ale securității datelor cu caracter personal

Sencai te notifică, prin email trimis proprietarilor organizației tale, cu privire la o încălcare a securității datelor cu caracter personal care afectează Datele cu caracter personal ale clientului, fără întârzieri nejustificate și, în orice caz, în termen de 72 de ore de la momentul în care a luat cunoștință de aceasta. Notificarea descrie, în măsura în care informațiile sunt disponibile la momentul respectiv, natura încălcării, inclusiv, acolo unde este posibil, categoriile și numărul aproximativ de persoane vizate și de înregistrări în cauză; consecințele probabile; măsurile luate sau propuse pentru a remedia încălcarea și a atenua posibilele sale efecte negative; precum și un punct de contact de la care se pot obține informații suplimentare. Atunci când nu toate aceste informații sunt disponibile simultan, Sencai le furnizează în etape, fără alte întârzieri nejustificate. Sencai ia măsuri rezonabile pentru a limita încălcarea și te sprijină în notificarea autorității de supraveghere și a persoanelor vizate afectate, atunci când ai obligația de a face acest lucru.

Ștergerea și returnarea datelor la încetarea acordului

După încetarea acordului, ai la dispoziție 21 de zile pentru a-ți exporta datele folosind funcțiile de export ale serviciului, conform Termenilor. După expirarea acestei perioade, Sencai șterge Datele cu caracter personal ale clientului, cu excepția cazului în care dreptul Uniunii sau dreptul intern al unui stat membru impune stocarea lor. Ștergerea se desfășoară ca un proces, nu într-un singur moment; până la finalizarea sa, datele sunt păstrate exclusiv în scopul ștergerii lor. În plus:

• Datele din backup-uri nu sunt eliminate individual din fiecare backup. Ele sunt șterse odată cu ștergerea backup-urilor care le conțin, cel târziu la un an de la realizarea fiecărui backup; până atunci, backup-urile rămân criptate și sunt folosite exclusiv pentru restaurarea serviciului.
• Intrările din pista de audit a organizației tale nu sunt șterse, deoarece pista de audit este, prin design, append-only. După încetarea acordului, Sencai le păstrează în calitate de operator, exclusiv în scopuri de securitate și probatorii, conform descrierii din Politica de confidențialitate, cu acces limitat la aceste scopuri.
• Valorile secretelor din Sencai Vault sunt șterse la revocarea sau ștergerea intrării Secret Injection și, în orice caz, înainte de ștergerea organizației tale.
• Resursele din conturile cloud pe care le conectezi tu însuți rămân ale tale și nu sunt niciodată șterse de Sencai ca parte a încetării acordului.

Audituri și informații

Sencai îți pune la dispoziție informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la articolul 28 GDPR. Face acest lucru în principal prin documentație: prezentul DPA, registrul de subîmputerniciți, declarația privind rezidența datelor, registrele activităților de prelucrare, atunci când planul tău le include, un export al pistei tale de audit și răspunsuri scrise la chestionare de securitate rezonabile. Sencai nu deține certificare ISO 27001 sau SOC 2. În măsura în care articolul 28 alineatul (3) litera (h) GDPR impune acest lucru sau atunci când o autoritate de supraveghere o solicită, Sencai permite, de asemenea, desfășurarea de audituri, inclusiv inspecții, efectuate de tine sau de un auditor mandatat de tine, și contribuie la acestea. Astfel de audituri necesită o notificare prealabilă rezonabilă, se desfășoară pe cheltuiala ta și sub obligații de confidențialitate și nu trebuie să ofere acces la datele altor clienți sau să compromită securitatea serviciului. Solicitările se transmit la privacy@sencai.space.

Răspundere

Răspunderea care decurge din sau în legătură cu prezentul DPA este supusă limitării răspunderii prevăzute în Termeni, în măsura permisă de legislația imperativă. Nicio prevedere a prezentului DPA nu limitează drepturile pe care persoanele vizate le au în temeiul GDPR.

Durată, modificări și legea aplicabilă

Prezentul DPA se aplică atât timp cât Sencai prelucrează Date cu caracter personal ale clientului în numele tău, inclusiv după încetarea Termenilor, până la finalizarea ștergerii. Sencai poate modifica prezentul DPA în același mod ca Termenii, cu un preaviz de cel puțin 14 zile, transmis prin email sau printr-o notificare în platformă; dacă nu ești de acord cu o modificare substanțială, poți rezilia acordul cu efect de la data intrării în vigoare a modificării. Prezentul DPA este guvernat de legislația Republicii Cehe, iar litigiile vor fi soluționate de instanțele competente din Praga, Republica Cehă, conform Termenilor.

Contacte

Întrebări despre prezentul DPA, solicitări privind protecția datelor, instrucțiuni și obiecții la modificările subîmputerniciților: privacy@sencai.space. Incidente de securitate și raportări de vulnerabilități: security@sencai.space. Sencai trimite notificările în temeiul prezentului DPA la adresele de email ale proprietarilor organizației tale, așa că te rugăm să le menții actualizate.