Saugumas ir atitiktis

Apžvalga

Parnidia kuria DI agentus, kurie bendrauja su jūsų klientais, todėl jų duomenų apsauga yra produkto dalis, o ne priedas. Šiame puslapyje pateikiama bendra apžvalga, kaip tvarkome duomenis ir kokias kontrolės priemones taikome. Konkrečiai paslaugai taikomos pasirašytos sutarties ir duomenų tvarkymo sutarties sąlygos.

Kiekvienas klientas su mumis pasirašo duomenų tvarkymo sutartį. Pagrindiniai jos įsipareigojimai:

• ES duomenų centrai: mūsų duomenų bazės talpinamos ES.
• Jūsų duomenys nenaudojami mokymui: jūsų pokalbių, skambučių įrašų ir transkripcijų nenaudojame DI modeliams mokyti.
• Pranešimas apie pažeidimą: apie asmens duomenų saugumo pažeidimą informuojame jus nepagrįstai nedelsdami, o kai tai numatyta jūsų duomenų tvarkymo sutartyje, ne vėliau kaip per 24 valandas nuo sužinojimo apie jį.
• Grąžinimas arba ištrynimas: pasibaigus sutarčiai, jūsų pasirinkimu duomenis grąžiname arba ištriname per 30 dienų, nebent įstatymai reikalauja juos saugoti ilgiau.

Atitiktis

• BDAR: esame jūsų duomenų tvarkytojas pagal pasirašytą duomenų tvarkymo sutartį, parengtą remiantis BDAR 28 straipsniu. Jūs išliekate duomenų valdytojas: sprendžiate, kaip naudojami jūsų klientų duomenys, ir atsakote už teisėtą duomenų tvarkymo pagrindą bei tinkamą savo klientų ir darbuotojų informavimą.
• ES dirbtinio intelekto aktas: sistemos klasifikacija pagal aktą priklauso nuo jos paskirties ir konkretaus naudojimo. Mūsų klientų aptarnavimo agentams svarbiausia skaidrumo pareiga: žmonės informuojami, kad bendrauja su DI. DI skambučių analitika, naudojama darbuotojų veiklai vertinti, gali patekti į griežtesnę kategoriją, todėl jos klasifikacija priklauso nuo to, kaip klientas ją naudoja.
• Auditai: duomenų tvarkymo sutartis suteikia jums teisę atlikti mūsų duomenų tvarkymo auditą, apie tai pranešus sutartyje nustatytu terminu. Auditas paprastai pradedamas nuotoline dokumentų ir procesų peržiūra. Papildomi patikrinimai, įskaitant patikrinimus vietoje, atliekami pagal jūsų duomenų tvarkymo sutartį ir taikomus teisės aktus.

Duomenų talpinimas ir buvimo vieta

Duomenų saugojimo ir tvarkymo vieta priklauso nuo produkto ir paslaugų teikėjo. Parnidia duomenų bazės talpinamos ES duomenų centruose. DI balso agento ir DI skambučių analitikos duomenys talpinami ES. DI pokalbių agento atsakymams generuoti naudojami OpenAI ir Anthropic modeliai, todėl pokalbių duomenys pasiekia JAV. Kur apdorojamos DI užklausos ir kur saugomos atsarginės kopijos bei techniniai žurnalai, priklauso nuo kiekvienam produktui naudojamo teikėjo; jūsų paslaugai taikomi duomenų subtvarkytojai ir jų duomenų tvarkymo vieta nurodyti duomenų tvarkymo sutartyje. Mūsų komanda dirba nuotoliu, taikydama toliau aprašytas prieigos kontrolės priemones. Bet koks duomenų perdavimas už EEE ribų vykdomas pagal BDAR V skyrių ir jūsų duomenų tvarkymo sutartį.

Šifravimas

• Perdavimo metu: visi ryšiai su mūsų sistemomis šifruojami TLS.
• Saugojimo metu: saugomi failai ir įrašai yra šifruojami.
• Perdavimai: el. paštu ar fizinėse laikmenose siunčiami asmens duomenys šifruojami ir apsaugomi slaptažodžiu, o slaptažodis perduodamas atskiru kanalu.

Prieigos kontrolė

• Prieiga suteikiama pagal mažiausių privilegijų principą: komandos nariai mato tik tuos duomenis, kurių reikia jų funkcijoms atlikti.
• Administratoriai jungiasi naudodami daugiaveiksnę autentifikaciją, o dirbant nuotoliu papildomai taikomi VPN arba IP apribojimai.
• Slaptažodžiams taikomi sudėtingumo reikalavimai, jie saugomi kaip maišos (hash) reikšmės, o po pakartotinių nesėkmingų bandymų paskyros užrakinamos.
• Bendrų paskyrų vengiama, o kiekvienas prieigos suteikimas, pakeitimas ir panaikinimas registruojamas.
• Prieigos teisės, ypač privilegijuotos, peržiūrimos bent kartą per metus.

Darbuotojų saugumas

• Kiekvienas komandos narys, prieš gaudamas prieigą prie asmens duomenų, pasirašo konfidencialumo ir informacijos neatskleidimo įsipareigojimus.
• Saugumo pareigos įtvirtintos darbo sutartyse, įskaitant įsipareigojimus pasibaigus darbo santykiams.
• Komanda reguliariai instruktuojama saugumo ir duomenų apsaugos klausimais.
• Prieiga panaikinama ne vėliau kaip paskutinę asmens darbo dieną.
• Nuotolinis darbas vyksta pagal dokumentuotą politiką: naudojami tik patvirtinti įrenginiai ir VPN, o jautriam darbui viešieji tinklai nenaudojami.

Infrastruktūra ir tinklas

• Ugniasienės su įsibrovimų aptikimo ir prevencijos funkcijomis stebi į mūsų sistemas ateinantį ir iš jų išeinantį srautą.
• Gamybiniai tinklai atskirti nuo kitų tinklų, o administravimo prieiga galima tik iš patvirtintų įrenginių.
• Serveriai ir duomenų bazės veikia su mažiausių privilegijų paslaugų paskyromis ir saugo tik paslaugai reikalingus duomenis.
• Kai duomenys naudojami daugiau nei vienam tikslui, taikomas pseudonimizavimas.

Įrenginių saugumas

• Darbo kompiuteriuose naudojamas viso disko šifravimas ir kasdien atnaujinama antivirusinė programa.
• Kritiniai saugumo atnaujinimai diegiami nedelsiant.
• Ekranai automatiškai užrakinami po neveiklumo laikotarpio, o prarastus įrenginius galima išvalyti nuotoliu.
• Asmens duomenų kopijavimas į USB atmintines ar išorinius diskus yra blokuojamas.

Įvykių registravimas ir stebėsena

• Kiekviena prieiga prie asmens duomenų registruojama nurodant datą, laiką ir veiksmą, o įrašai saugomi 6 mėnesius.
• Žurnalai apsaugoti nuo klastojimo ir naudoja sinchronizuotas laiko žymes.
• Registruojami visi administratorių veiksmai.
• Stebėsenos sistema įspėja apie neįprastą veiklą, apkrovą ar našumo pokyčius.

Programų saugumas

• Laikomės saugaus programavimo praktikų, įskaitant OWASP rekomendacijas.
• Saugumo reikalavimai apibrėžiami kiekvieno projekto pradžioje.
• Programinė įranga ir infrastruktūra tikrinamos dėl pažeidžiamumų prieš išleidimą ir reguliariai.
• Atnaujinimai išbandomi prieš patekdami į gamybinę aplinką, o kūrimui naudojama atskira aplinka su testiniais duomenimis.
• Visi reikšmingi sistemų pakeitimai sekami pagal dokumentuotą pakeitimų valdymo politiką.

DI apsaugos priemonės

• Aiškus DI atskleidimas: žmonės visada žino, kad bendrauja su DI agentu, tiek pokalbyje, tiek telefonu.
• Jūsų duomenys nenaudojami mokymui: jūsų pokalbių, skambučių įrašų ir transkripcijų nenaudojame DI modeliams mokyti. DI pokalbių agentui OpenAI ir Anthropic naudojame per jų verslo API; pagal jų komercines sąlygas per šias API perduoti duomenys pagal numatytuosius nustatymus nenaudojami jų modeliams mokyti.
• Teikėjų sertifikatai: OpenAI ir Anthropic turi SOC 2 ir ISO/IEC 27001 sertifikatus savo verslo paslaugoms. Tai yra teikėjų, o ne Parnidia sertifikatai.
• Jokių biometrinių duomenų: iš skambučių nekuriame balso atspaudų ar kitų biometrinių identifikatorių.
• Agento tobulinimas nėra modelių mokymas: pokalbius peržiūrime tik tam, kad patobulintume jūsų agento instrukcijas, nustatymus ir žinių bazę, o ne kitų klientų naudai.

Reagavimas į incidentus

• Turime reagavimo į incidentus planą su apibrėžtais vaidmenimis ir vienu kontaktiniu asmeniu.
• Kiekvienas saugumo incidentas registruojamas ir išanalizuojamas, o išvados panaudojamos kontrolės priemonėms stiprinti. Incidentai, susiję su asmens duomenimis, valdomi kaip asmens duomenų saugumo pažeidimai.
• Apie asmens duomenų saugumo pažeidimą informuojame jus nepagrįstai nedelsdami, o kai tai numatyta jūsų duomenų tvarkymo sutartyje, ne vėliau kaip per 24 valandas nuo sužinojimo apie jį.
• Pateikiame informaciją, kurios reikia, kad galėtumėte per 72 valandas pranešti apie pažeidimą priežiūros institucijai. Taip pat padedame atsakyti į duomenų subjektų prašymus ir, paprašius, atlikti poveikio duomenų apsaugai vertinimą.

Veiklos tęstinumas ir atsarginės kopijos

• Papildomos atsarginės kopijos daromos kasdien, o pilnos kas savaitę.
• Atsarginių kopijų išsamumas stebimas, o pačios kopijos reguliariai išbandomos.
• Atsarginės kopijos saugomos geografiškai atskirose vietose.
• Už veiklos tęstinumą, jei incidentas paveiktų mūsų sistemas, atsako paskirti komandos nariai.

Duomenų saugojimas ir ištrynimas

Jūsų duomenis saugome tik tol, kol teikiame paslaugą. Prieš pasibaigiant sutarčiai, galite paprašyti, kad duomenis jums grąžintume. Jūsų pasirinkimu duomenis grąžiname arba ištriname per 30 dienų nuo sutarties pabaigos, nebent įstatymai reikalauja juos saugoti ilgiau, ir patvirtiname ištrynimą, kaip numatyta jūsų duomenų tvarkymo sutartyje. Prieigos žurnalams ir atsarginėms kopijoms taikomi atskiri saugojimo terminai: prieigos žurnalai saugomi 6 mėnesius, o jūsų paslaugai taikomą atsarginių kopijų saugojimo terminą pateiksime paprašius. Prieš išmetant duomenų laikmenos saugiai išvalomos arba sunaikinamos.

Duomenų subtvarkytojai

Šios trečiosios šalys mūsų vardu tvarko klientų duomenis. Ne visi teikėjai naudojami kiekvienam produktui: sąraše nurodyta, kuriam produktui naudojamas kiekvienas teikėjas, o jūsų paslaugai taikomas sąrašas pateiktas duomenų tvarkymo sutartyje. Kiekvienas teikėjas įpareigotas laikytis duomenų apsaugos įsipareigojimų, kurie yra ne mažiau griežti nei mūsų duomenų tvarkymo sutartyje. Apie naujo duomenų subtvarkytojo pasitelkimą ar esamo pakeitimą informuojame iš anksto, o jūs galite tam prieštarauti duomenų tvarkymo sutartyje nustatyta tvarka.

Dažnai užduodami klausimai

Kontaktai

Turite klausimų apie saugumą arba radote pažeidžiamumą? Rašykite mūsų technologijų vadovui (CTO) alex@parnidia.com. Į pranešimus apie saugumo spragas reaguojame iš karto.