მონაცემთა დაცვა და კონფიდენციალურობა

7.1 მიმოხილვა და მიზანი

წინამდებარე თავი განსაზღვრავს მონაცემთა დაცვისა და კონფიდენციალურობის ვალდებულებებს, რომლებიც არეგულირებს პერსონალური მონაცემების დამუშავებას ProjectVIEW ERP პლატფორმაში და პლატფორმის მიერ გამოწერის ვადის მთელი პერიოდის განმავლობაში. იგი ადგენს მარეგულირებელ საფუძველს, ანაწილებს დამმუშავებლისა და უფლებამოსილი პირის პასუხისმგებლობებს, განსაზღვრავს პერსონალურ მონაცემებზე გამოყენებულ ტექნიკურ და ორგანიზაციულ დაცვის ზომებს და აკონკრეტებს დარღვევის შესახებ შეტყობინებისა და მონაცემთა სუბიექტის უფლებების პროცედურებს, რომლებსაც ორივე მხარე დაიცავს.

მიმწოდებელი მოქმედებს ორმაგი იურისდიქციის შესაბამისობის მოდელით და ერთდროულად უზრუნველყოფს შესაბამისობას:

• (a) ევროკავშირის მონაცემთა დაცვის ზოგად რეგულაციასთან (EU) 2016/679 („GDPR“), მონაცემთა დაცვის ევროპული საბჭოს (EDPB) ყველა მიღებული მოსაზრებისა და სახელმძღვანელო მითითების ჩათვლით; და
• (b) არაბთა გაერთიანებული საამიროების ფედერალურ დეკრეტ-კანონთან №45 (2021) პერსონალურ მონაცემთა დაცვის შესახებ („UAE PDPL“) და მის აღმასრულებელ რეგულაციებთან. თუ კლიენტი საქმიანობს დამატებით იურისდიქციებშიც, შესაძლებელია გაფორმდეს მონაცემთა დამუშავების დამატებითი დანართები შემდეგი პუნქტის შესაბამისად: §7.14.

DANAOS Projects Software Solutions LLC-მ ერთ-ერთ მთავარ მიზნად დაისახა მონაცემთა დაცვის პრინციპების დანერგვა და ყოველდღიური ბიზნეს-ოპერაციების მონაცემთა დაცვის მიმართ მაღალი ცნობიერებით გამსჭვალვა. მიმწოდებელი თანმიმდევრულად უზრუნველყოფს შესაბამისობას მონაცემთა დაცვის მოქმედ სამართლებრივ ჩარჩოსთან და განახორციელა ის ქმედებები, რომლებიც გამომდინარეობს დირექტივა 95/46/EC-ის გაუქმებიდან, GDPR-ის (EU) 2016/679 დამკვიდრებიდან და UAE PDPL-ის ამოქმედებიდან.

წინამდებარე თავი, ამ ჩარჩოზე დართულ მონაცემთა დამუშავების შეთანხმებასთან („DPA“) ერთად (§7.5), წარმოადგენს სავალდებულო სახელშეკრულებო ჩარჩოს, რომელსაც მოითხოვს GDPR-ის 28-ე მუხლი და UAE PDPL-ის 29-ე მუხლი უფლებამოსილი პირის მიერ დამმუშავებლის სახელით პერსონალური მონაცემების კანონიერი დამუშავებისთვის.

7.2 მოქმედების სფერო

წინამდებარე თავი ვრცელდება ყველა პერსონალურ მონაცემზე, რომლებსაც მიმწოდებელი ამუშავებს პლატფორმისა და დაკავშირებული მომსახურებების მიწოდებასთან დაკავშირებით, მათ შორის, მაგრამ არა მხოლოდ:

• (a) კლიენტის თანამშრომლების მონაცემები: პერსონალის ჩანაწერები, სახელფასო მონაცემები, სამუშაო დროის აღრიცხვის ფურცლები, დასწრება, შრომის პროდუქტიულობის ჩანაწერები და საიდენტიფიკაციო ინფორმაცია, რომლებიც მუშავდება მოდულებში PV_07 (HRMS – სახელფასო აღრიცხვა) და PV_A (ობიექტის ოპერაციები და შრომის პროდუქტიულობა).
• (b) კლიენტის საკონტაქტო პირები და კონტრაგენტები: ქვეკონტრაქტორების, მომწოდებლების, დამკვეთების და სხვა მესამე პირების სახელები, ელფოსტის მისამართები, ტელეფონის ნომრები და კომერციული კორესპონდენცია, რომლებიც იმართება მოდულებში PV_03, PV_04, PV_09 და PV_10.
• (c) საბოლოო მომხმარებლის სარწმუნო მონაცემები და აქტივობის ჟურნალები: მომხმარებლის ანგარიშის სარწმუნო მონაცემები, აუთენტიფიკაციის ტოკენები, სესიის ჟურნალები, IP მისამართები, ბრაუზერის ანაბეჭდები (fingerprints) და აუდიტის კვლის მონაცემები, რომლებსაც ქმნის პლატფორმის მომხმარებლებისა და როლების მართვის მოდული (STY).
• (d) მხარდაჭერისა და კომუნიკაციის მონაცემები: პერსონალური მონაცემები, რომლებიც შეიცავს მხარდაჭერის მოთხოვნებს (ტიკეტებს), WhatsApp Business ჯგუფის შეტყობინებებს, ტრენინგების ჩანაწერებს, AI-ის მიერ ტრანსკრიბირებულ სესიების შიგთავსს და სხვა ნებისმიერ კომუნიკაციას, რომელიც ხორციელდება მიმწოდებლის მრავალარხიანი (omnichannel) მხარდაჭერის მოდელის მეშვეობით (§4.2).
• (e) პროექტისა და ფინანსური მონაცემები: თუ პროექტის ჩანაწერები, შესყიდვების მონაცემები, საბუღალტრო გატარებები ან ხარჯების კონტროლის ჩანაწერები შეიცავს იდენტიფიცირებადი ფიზიკური პირის ინფორმაციას (მაგ., სახელით მითითებული მუშაკები, კონსულტანტების ინვოისები), ასეთი მონაცემები ექცევა მოქმედების სფეროში.
• (f) კონფიგურაციის და ძირითადი (master) მონაცემები: ძირითადი მონაცემების ელემენტები, რომლებიც იდენტიფიცირებად პირებს ეხება, მათ შორის პერსონალის რეესტრები, ორგანიზაციული იერარქიები, დამტკიცების მატრიცები და ხელმოწერის უფლებამოსილებები.

7.3 მარეგულირებელი ჩარჩო

მიმწოდებლის მონაცემთა დაცვის პროგრამა ეფუძნება შემდეგ მარეგულირებელ ინსტრუმენტებს, სტანდარტებსა და სახელმძღვანელო მითითებებს:

GDPR-ის სრული ტექსტი — EUR-Lex UAE PDPL — ფედერალური დეკრეტ-კანონი №45 (2021) ევროკავშირის სტანდარტული სახელშეკრულებო პუნქტები (2021/914) ISO/IEC 27701:2019 — PIMS ევროკავშირის AI აქტი — რეგულაცია (EU) 2024/1689

7.4 როლები და პასუხისმგებლობები

7.4.1 დამმუშავებლისა და უფლებამოსილი პირის როლების განაწილება

თავისი საქმიანობის ბუნებიდან გამომდინარე, მიმწოდებლის როლი მოქმედი მონაცემთა დაცვის კანონმდებლობის შესაბამისად განისაზღვრება შემდეგნაირად:

• (a) უფლებამოსილი პირი (Data Processor): მიმწოდებელი მოქმედებს როგორც უფლებამოსილი პირი პერსონალური მონაცემების დამუშავების ყველა იმ საქმიანობასთან მიმართებაში, რომელიც ხორციელდება კლიენტის სახელით პლატფორმაში. კლიენტი, როგორც დამმუშავებელი (Data Controller), განსაზღვრავს დამუშავების მიზნებსა და საშუალებებს; მიმწოდებელი პერსონალურ მონაცემებს ამუშავებს მხოლოდ დამმუშავებლის დოკუმენტური ინსტრუქციების საფუძველზე (§7.5).
• (b) დამმუშავებელი (შეზღუდული ფარგლებით): მიმწოდებელი მოქმედებს როგორც დამოუკიდებელი დამმუშავებელი საკუთარი თანამშრომლების პერსონალური მონაცემების დამუშავების (მაგ., კლიენტის ანგარიშზე გამოყოფილი მიმწოდებლის პერსონალი), კომერციული ურთიერთობების მართვისთვის ბიზნეს-საკონტაქტო მონაცემებისა და ანონიმიზებული/აგრეგირებული ანალიტიკის დამუშავების მიმართ, რომლის რომელიმე ფიზიკურ პირთან ხელახლა იდენტიფიცირება შეუძლებელია.
• (c) ქვედამმუშავებლის ჩართვა: მიმწოდებელი არ ჩართავს რომელიმე ქვედამმუშავებელს პერსონალური მონაცემების დასამუშავებლად დამმუშავებლის წინასწარი სპეციფიკური ან ზოგადი წერილობითი ნებართვის გარეშე. ზოგადი ნებართვის შემთხვევაში მიმწოდებელი აცნობს დამმუშავებელს ქვედამმუშავებლების ყველა დაგეგმილი დამატების ან ჩანაცვლების შესახებ და უზრუნველყოფს დამმუშავებლისთვის შესაძლებლობას, წარადგინოს შენიშვნა (§7.6).

7.4.2 პერსონალურ მონაცემთა დაცვის ოფიცერი

მიმწოდებელმა GDPR-ის 37–39-ე მუხლებისა და UAE PDPL-ის მე-10 მუხლის შესაბამისად დანიშნა პერსონალურ მონაცემთა დაცვის ოფიცერი (DPO). DPO პასუხისმგებელია: (i) მონაცემთა დაცვის მოქმედ კანონმდებლობასთან შესაბამისობის მონიტორინგზე; (ii) მონაცემთა დაცვაზე ზეგავლენის შეფასებებთან დაკავშირებით კონსულტაციაზე (§7.10); (iii) ზედამხედველო ორგანოებთან საკონტაქტო პირის ფუნქციის შესრულებაზე; და (iv) მონაცემთა სუბიექტების მოთხოვნების განხილვაზე.

მონაცემთა სუბიექტებსა და კლიენტის საკონტაქტო პირებს DPO-სთან დაკავშირება შეუძლიათ მისამართზე: admin@danaos-projects.com

DANAOS-ის თანამშრომლებს შეუძლიათ მიმართონ DPO-ს მონაცემთა დაცვის პრინციპებთან დაკავშირებული ნებისმიერი განმარტებისთვის და მოითხოვონ სახელმძღვანელო მითითებები მონაცემთა ოპტიმალურად დამუშავებისა და კანონმდებლობის შესაძლო დარღვევის თავიდან აცილების მიზნით.

7.4.3 RACI მატრიცა — მონაცემთა დაცვა

ლეგენდა: R = შემსრულებელი (ასრულებს სამუშაოს) │ A = ანგარიშვალდებელი (პასუხს აგებს შედეგზე) │ C = კონსულტანტი │ I = ინფორმირებული

7.5 მონაცემთა დამუშავების შეთანხმება (DPA)

მხარეებს შეუძლიათ გააფორმონ მონაცემთა დამუშავების შეთანხმება („DPA“), რომელიც წარმოადგენს GDPR-ით მოთხოვნილ 28-ე მუხლის ხელშეკრულებას და UAE PDPL-ის 29-ე მუხლით მოთხოვნილ უფლებამოსილ პირთან ეკვივალენტურ შეთანხმებას. DPA, სულ მცირე, უნდა განსაზღვრავდეს:

• (a) საგანი და ხანგრძლივობა: DPA მოიცავს პერსონალური მონაცემების ყველა დამუშავებას, რომელსაც მიმწოდებელი ახორციელებს პლატფორმის მიწოდებისას გამოწერის ვადის მთელი პერიოდის განმავლობაში, ასევე შეწყვეტის შემდგომი მონაცემთა შენახვის ან დაბრუნების ნებისმიერი პერიოდის განმავლობაში (§7.13).
• (b) დამუშავების ხასიათი და მიზანი: პერსონალური მონაცემების ჰოსტინგი, შენახვა, გადაცემა, რეზერვება და გამოთვლა კლიენტის გამოყოფილ კერძო სუვერენულ გარემოში, კლიენტის სამშენებლო პროექტების მართვის, ფინანსური მართვის, ადამიანური რესურსების მართვისა და შესყიდვების ოპერაციების უზრუნველყოფის მიზნით.
• (c) მონაცემთა სუბიექტების კატეგორიები: კლიენტის თანამშრომლები, ქვეკონტრაქტორების პერსონალი, მომწოდებლებისა და დამკვეთების საკონტაქტო პირები, ობიექტის მუშაკები და სხვა ნებისმიერი ფიზიკური პირი, რომლის მონაცემებსაც კლიენტი პლატფორმაში შეიყვანს.
• (d) პერსონალური მონაცემების სახეობები: საიდენტიფიკაციო მონაცემები (სახელები, პირადი ნომრები, პასპორტის ნომრები), საკონტაქტო მონაცემები (ელფოსტა, ტელეფონი, მისამართი), დასაქმების მონაცემები (თანამდებობა, ხელფასი, დასწრება, შვებულება), ფინანსური მონაცემები (საბანკო რეკვიზიტები სახელფასო აღრიცხვისთვის), პროექტებზე განაწილების მონაცემები, წვდომის სარწმუნო მონაცემები და აუდიტის კვლის მეტამონაცემები.
• (e) დოკუმენტური ინსტრუქციები: მიმწოდებელი პერსონალურ მონაცემებს ამუშავებს მხოლოდ დამმუშავებლის დოკუმენტური ინსტრუქციების საფუძველზე, მათ შორის მესამე ქვეყნებში გადაცემასთან დაკავშირებით, გარდა იმ შემთხვევისა, როდესაც ამას მოითხოვს ევროკავშირის ან წევრი სახელმწიფოს კანონმდებლობა, რომლის მოქმედებაც ვრცელდება მიმწოდებელზე (GDPR, მუხლი 28(3)(a)).
• (f) კონფიდენციალურობა: მიმწოდებლის ყველა თანამშრომელს, რომელსაც უფლება აქვს დაამუშავოს პერსონალური მონაცემები, აიღებული აქვს კონფიდენციალურობის ვალდებულება ან ეხება კონფიდენციალურობის შესაბამისი კანონისიერი ვალდებულება (GDPR, მუხლი 28(3)(b)).
• (g) წაშლა ან დაბრუნება: შეწყვეტისას მიმწოდებელი, დამმუშავებლის არჩევის შესაბამისად, შლის ან აბრუნებს ყველა პერსონალურ მონაცემს და შლის არსებულ ასლებს, გარდა იმ შემთხვევისა, როდესაც ევროკავშირის ან წევრი სახელმწიფოს კანონმდებლობა მათი შენახვის ვალდებულებას ადგენს (§7.13).
• (h) აუდიტის უფლებები: მიმწოდებელი დამმუშავებელს წარუდგენს შესაბამისობის დასადასტურებლად აუცილებელ ყველა ინფორმაციას და უზრუნველყოფს და ხელს უწყობს დამმუშავებლის ან მის მიერ უფლებამოსილი აუდიტორის მიერ ჩატარებულ აუდიტებს, ინსპექციების ჩათვლით (§7.11).

7.6 ქვედამმუშავებლების მართვა

მიმწოდებელი პლატფორმის კომპონენტებისა და დაკავშირებული მომსახურებების მისაწოდებლად ჩართავს შეზღუდულ რაოდენობის ქვედამმუშავებლებს. ქვედამმუშავებლების მართვისთვის გამოიყენება შემდეგი წესები:

• (a) ნებართვის მოდელი: კლიენტი იძლევა ზოგად ნებართვას ქვედამმუშავებლების ჩართვაზე მიმწოდებლის შემდეგი ვალდებულებების პირობით: (i) ქვედამმუშავებლების აქტუალური რეესტრის წარმოება; (ii) კლიენტისთვის ყველა დაგეგმილი დამატების ან ჩანაცვლების შესახებ შეტყობინება არაუგვიანეს ოცდაათი (30) კალენდარული დღით ადრე, ვიდრე ახალი ქვედამმუშავებელი დაიწყებს დამუშავებას; და (iii) საკმარისი ინფორმაციის წარდგენა, რათა კლიენტმა შეძლოს შეუსაბამობის განცხადების უფლების გამოყენება.
• (b) შეუსაბამობის განცხადების უფლება: თუ კლიენტი განისაზღვრულად ეწინააღმდეგება ახალ ქვედამმუშავებელს მონაცემთა დაცვის ლეგიტიმური საფუძვლით, მიმწოდებელი: (i) თავს შეიკავებს ამ ქვედამმუშავებლის ჩართვისგან და შესთავაზებს ალტერნატივას; ან (ii) თუ ალტერნატივა არ არსებობს, ნებისმიერ მხარეს შეუძლია შეწყვიტოს შესაბამისი მომსახურებები ჯარიმის გარეშე, გვარის შესატყვისი დასრულების პერიოდის გათვალისწინებით.
• (c) ვალდებულებების გადაცემა (flow-down): მიმწოდებელი თითოეულ ქვედამმუშავებელს ხელშეკრულებით აკისრებს მონაცემთა დაცვის იმავე ვალდებულებებს, რომლებიც განსაზღვრულია DPA-ში (§7.5), კერძოდ, საკმარისი გარანტიების წარდგენის ვალდებულებას შესაბამისი ტექნიკური და ორგანიზაციული ზომების გატარებისთვის, რათა დამუშავება აკმაყოფილებდეს GDPR-ისა და UAE PDPL-ის მოთხოვნებს.
• (d) პასუხისმგებლობა: მიმწოდებელი სრულად პასუხისმგებელი რჩება კლიენტის წინაშე DPA-ის ფარგლებში ქვედამმუშავებლის ვალდებულებების შესრულებაზე. თუ ქვედამმუშავებელი ვერ ასრულებს მონაცემთა დაცვის ვალდებულებებს, მიმწოდებელი პასუხს აგებს ქვედამმუშავებლის ქმედებებსა და უმოქმედობაზე ისე, თითქოს ისინი მიმწოდებლის საკუთარი ქმედებები ან უმოქმედობა ყოფილიყოს.

7.6.1 ქვედამმუშავებლების რეესტრი

ქვემოთ მოცემული ცხრილი ჩამოთვლის მიმწოდებლის მიერ ჩართულ ქვედამმუშავებლებს ძალაში შესვლის თარიღის მდგომარეობით. რეესტრი იწარმოება და ახლდება შემდეგი პუნქტის შესაბამისად: §7.6(a).

შენიშვნა: კლიენტის პლატფორმის მონაცემები ინახება გამოყოფილ კერძო სუვერენულ გარემოში; კლიენტების მონაცემები სხვადასხვა ტენანტებს შორის არ ერევა. ჰოსტინგის რეგიონი ირჩევა კლიენტის DPA-ის შესაბამისად და შესაძლოა შეიზღუდოს კონკრეტული Azure რეგიონით UAE PDPL-ის ან სხვა მოქმედი კანონმდებლობით გათვალისწინებული მონაცემთა ლოკალიზაციის მოთხოვნების დასაკმაყოფილებლად.

7.7 მონაცემთა დაცვის პრინციპები

პერსონალური მონაცემების დამუშავების ნებისმიერი საქმიანობა, რომელსაც მიმწოდებელი ახორციელებს როგორც დამმუშავებელი ან უფლებამოსილი პირი, უნდა ეყრდნობოდეს შემდეგ პრინციპებს, GDPR-ის მე-5 მუხლისა და UAE PDPL-ის მე-4 მუხლის შესაბამისად:

7.8 ტექნიკური და ორგანიზაციული ზომები (TOMs)

მიმწოდებელი ახორციელებს და ინარჩუნებს შემდეგ ტექნიკურ და ორგანიზაციულ ზომებს რისკის შესაბამისი უსაფრთხოების დონის უზრუნველსაყოფად, GDPR-ის 32-ე მუხლისა და UAE PDPL-ის 28-ე მუხლის შესაბამისად. ეს ზომები შესაბამისობაშია ISO/IEC 27001:2022-ისა და ISO/IEC 27701:2019-ის კონტროლის მიზნებთან. მიმწოდებლის ინფორმაციული უსაფრთხოების მართვის სისტემას (ISMS) წარმართავს IT დეპარტამენტი.

7.8.1 წვდომის კონტროლი და აუთენტიფიკაცია

• (a) პაროლის სირთულე: მინიმალური სიგრძე, სიმბოლოთა კლასების მოთხოვნები და გავრცელებული/კომპრომეტირებული პაროლების აკრძალვა, რომლებიც ამოქმედებულია აპლიკაციის დონეზე.
• (b) პაროლის ვადის გასვლა: პაროლის როტაციის კონფიგურირებადი პოლიტიკა; ნაგულისხმევი როტაციის პერიოდი შესაბამისობაშია NIST SP 800-63B-ის სახელმძღვანელოსთან.
• (c) ბლოკირება წარუმატებელი აუთენტიფიკაციისას: ანგარიში იბლოკება ზედიზედ წარუმატებელი მცდელობების კონფიგურირებადი რაოდენობის შემდეგ; ბლოკირების ხანგრძლივობა განმეორებითი დარღვევებისას იზრდება.
• (d) პაროლების ისტორია: სისტემა არ უშვებს ბოლო N პაროლის ხელახლა გამოყენებას (კონფიგურირდება კლიენტის პოლიტიკის შესაბამისად).
• (e) მრავალფაქტორიანი აუთენტიფიკაცია (MFA): მეორე ფაქტორით აუთენტიფიკაცია მხარდაჭერილია და რეკომენდებულია ყველა ადმინისტრაციული და პრივილეგირებული ანგარიშისთვის. MFA-ს მეთოდები მოიცავს TOTP-ს (დროზე დაფუძნებული ერთჯერადი პაროლი), push-შეტყობინებას და FIDO2 აპარატურ გასაღებებს.
• (f) ერთჯერადი შესვლა (SSO): პლატფორმა მხარს უჭერს კორპორატიულ იდენტობის პროვაიდერებთან ინტეგრაციას SAML 2.0-ისა და OpenID Connect-ის მეშვეობით, რაც უზრუნველყოფს სარწმუნო მონაცემების ცენტრალიზებულ მართვას და ამცირებს პაროლების გამრავლებასთან დაკავშირებულ შეტევის ზედაპირს.
• (g) სესიის მართვა: მომხმარებლის არყოფნისას ავტომატური დაბლოკვის მექანიზმი; უმოქმედო სესიის დროის ლიმიტის კონფიგურირება; სესიის გაუქმება პაროლის შეცვლისა ან ანგარიშის შეჩერებისას.
• (h) როლზე დაფუძნებული წვდომის კონტროლი (RBAC): მომხმარებლებისა და როლების მართვის მოდული (STY) ახორციელებს დეტალურ, როლზე დაფუძნებულ წვდომის კონტროლს მოდულის, ფუნქციის, ველისა და ჩანაწერის დონეზე. მოვალეობების გამიჯვნა უზრუნველყოფილია შეუთავსებელი როლების აღმოჩენის გზით.
• (i) შეზღუდული დისტანციური წვდომა: მიმწოდებლის ინფრასტრუქტურაზე დისტანციური ადმინისტრაციული წვდომა შეზღუდულია უფლებამოსილი პერსონალით დაშიფრული VPN გვირაბებით და MFA-ით; ყველა დისტანციური სესია რეგისტრირდება ჟურნალში და ექვემდებარება აუდიტს.

7.8.2 დაშიფვრა

• (a) გადაცემის პროცესში მყოფი მონაცემები: კლიენტსა და სერვერს შორის ყველა კომუნიკაცია დაშიფრულია TLS 1.2-ით ან უფრო მაღალი ვერსიით. მონაცემთა გადაცემის ბოლომდე (end-to-end) დაშიფვრა სავალდებულოა პლატფორმის ყველა ინტერფეისისთვის, API-სა და ინტეგრაციის წერტილისთვის.
• (b) შენახული მონაცემები: მონაცემთა ბაზის ყველა ინსტანსზე გამოიყენება მონაცემთა გამჭვირვალე დაშიფვრა (TDE). მონაცემთა ბაზის რეზერვო ასლები დაშიფრულია AES-256-ით. დაშიფვრის გასაღებები იმართება ღრუბლოვანი პროვაიდერის გასაღებების მართვის სერვისის მეშვეობით; ხელმისაწვდომია კლიენტის მიერ მართული გასაღების (CMK) ვარიანტები.
• (c) გასაღებების მართვა: დაშიფვრის გასაღებების როტაცია ხორციელდება განსაზღვრული გრაფიკის მიხედვით. გასაღებების მართვის პროცედურები ეყრდნობა ISO 27001-ის დანართ A.10-ის კონტროლებს. სახელმწიფო გასაღების დასაცავად, სადაც ეს შესაძლებელია, გამოიყენება აპარატური უსაფრთხოების მოდულები (HSM).

7.8.3 მონაცემთა ბაზის უსაფრთხოება

• (a) მონაცემთა ბაზასთან კავშირები: მონაცემთა ბაზის ინსტანსებთან კავშირები კონტროლდება, იმონიტორინგება და შეზღუდულია მხოლოდ აპლიკაციური დონის ავტორიზებული სერვისებითა და განსაზღვრული DBA პერსონალით.
• (b) ნაგულისხმევი ანგარიშები: სისტემის ნაგულისხმევი ანგარიშებს იცავს DBA; ყველა ნაგულისხმევი პაროლი იცვლება უშუალოდ გამოყოფისავე; ზედმეტი ნაგულისხმევი ანგარიშები გათიშულია.
• (c) მინიმალური პრივილეგიები: მონაცემთა ბაზის მომხმარებლის ანგარიშებს ენიჭება მხოლოდ მათი ფუნქციისთვის აუცილებელი მინიმალური უფლებები და როლები. სისტემური პრივილეგიები იხსნება, გარდა იმ შემთხვევისა, როდესაც ისინი პირდაპირ აუცილებელი და დამტკიცებულია.
• (d) აუდიტის ჟურნალები: მონაცემთა ბაზის აუდიტის ჟურნალი აღრიცხავს ყველა DDL ოპერაციას, პრივილეგირებული მომხმარებლების აქტივობას, აუთენტიფიკაციის წარუმატებელ მცდელობებს და მონაცემთა ექსპორტის ოპერაციებს. ჟურნალები ინახება მინიმუმ თერთმეტი (12) თვის განმავლობაში და უზრუნველყოფილია მათი შეცვლის აღმოჩენა (tamper-evident).
• (e) DBA-ს დისტანციური წვდომა: მონაცემთა ბაზის დისტანციური ადმინისტრირება შეზღუდულია სახელით განსაზღვრული პირებით, დაშიფრული არხებით და მრავალფაქტორიანი აუთენტიფიკაციით. DBA-ს ყველა სესია რეგისტრირდება ბრძანებების დონის სრული აუდიტის კვლით.

7.8.4 ქსელური უსაფრთხოება

• (a) პერიმეტრის დაცვა: პლატფორმის პერიმეტრს იცავს ახალი თაობის ფაერვოლები, ვებ-აპლიკაციების ფაერვოლები (WAF) და DDoS-ისგან დაცვის სერვისები. ქსელის სეგმენტაცია იზოლირებს კლიენტის კერძო სუვერენულ გარემოს მიმწოდებლის სხვა ინფრასტრუქტურისგან.
• (b) შეჭრის აღმოჩენა და მონიტორინგი: ღრუბლოვანი (cloud-native) SIEM და ქსელის მონიტორინგის ინსტრუმენტები რეალურ დროში გასცემენ გაფრთხილებებს ტრაფიკის ანომალიურ შაბლონებზე, პორტების სკანირების მცდელობებსა და ლატერალური გადაადგილების ინდიკატორებზე.
• (c) მოწყვლადობების მართვა: ტარდება მოწყვლადობების რეგულარული სკანირება და ყოველწლიური შეჭრის ტესტები (penetration tests). კრიტიკული და მაღალი სიმძიმის მოწყვლადობები აღმოიფხვრება შემდეგ პუნქტში განსაზღვრულ ვადებში: §3.5 (ინციდენტების პრიორიტეტულობის კლასიფიკაცია).

7.8.5 ორგანიზაციული ზომები

• (a) კონფიდენციალურობის შეთანხმებები: მიმწოდებლის ყველა თანამშრომელს, რომელსაც უფლება აქვს დაამუშავოს პერსონალური მონაცემები, ხელმოწერილი აქვს კონფიდენციალურობის/გაუსაჯაროების შესახებ შეთანხმებები და ეხება კონფიდენციალურობის შესაბამისი კანონისიერი ვალდებულება.
• (b) ტრენინგი და ცნობიერება: მიმწოდებლის პერსონალი ყოველწლიურად გადის ტრენინგს მონაცემთა დაცვაში, რომელიც მოიცავს GDPR-ს, UAE PDPL-ს, დარღვევების შესახებ ანგარიშგებას, სოციალურ ინჟინერიას და უსაფრთხო კოდირების პრაქტიკებს.
• (c) სუფთა მაგიდა და სუფთა ეკრანი: პერსონალური მონაცემების უნებლიე გამოვლენის თავიდან აცილების მიზნით მიმწოდებლის ყველა ოფისში მოქმედებს სუფთა მაგიდისა და სუფთა ეკრანის პოლიტიკა.
• (d) აქტივების გამოყენების პოლიტიკა: ყველა აპარატური და პროგრამული აქტივი გამოიყენება მხოლოდ ბიზნეს-მიზნებისთვის და თითოეული თანამშრომლის სამსახურო აღწერილობის შესაბამისი ამოცანების შესასრულებლად.

7.9 მონაცემთა სუბიექტის უფლებები

მიმწოდებელი აღიარებს მონაცემთა სუბიექტების უფლებებს, როგორც ეს განსაზღვრულია GDPR-ის III თავში (მუხლები 12–23) და UAE PDPL-ის 12–18-ე მუხლებში, და დაეხმარება კლიენტს მონაცემთა სუბიექტების მოთხოვნებზე პასუხის გაცემის ვალდებულების შესრულებაში GDPR-ის 28(3)(e) მუხლისა და UAE PDPL-ის 29-ე მუხლის შესაბამისად. მიმწოდებელი:

• (a) კლიენტის მონაცემებთან დაკავშირებით მონაცემთა სუბიექტის მოთხოვნის მიღებისას დაუყოვნებლივ აცნობს კლიენტს და მონაცემთა სუბიექტს უშუალოდ არ პასუხობს, გარდა კლიენტის მიერ მიცემული ინსტრუქციისა.
• (b) კლიენტს უზრუნველყოფს ტექნიკური შესაძლებლობით, რომ პლატფორმის ფუნქციონალის მეშვეობით, ხოლო თუ ეს მომხმარებლის ინტერფეისით ვერ ხერხდება — მიმწოდებლის მიერ შესრულებული მონაცემთა ბაზის ოპერაციებით, კანონით განსაზღვრულ ვადებში ამოიღოს, გასწოროს, შეზღუდოს, გადაიტანოს ან წაშალოს პერსონალური მონაცემები.
• (c) მონაცემთა სუბიექტის მოთხოვნების შესრულების ყველა ქმედების აუდიტის კვლს ინახავს მინიმუმ ოცდაოთხი (24) თვის განმავლობაში.

7.9.1 უფლებების რეალიზების მატრიცა

სამართლებრივი შენახვის უპირატესობა: თუ წაშლა ან შეზღუდვა წინააღმდეგებაში მოდის სამართლებრივ ვალდებულებასთან (მაგ., ჩანაწერების შენახვის კანონისეული ვალდებულება, მიმდინარე სასამართლო დავა, მარეგულირებელი ორგანოს გამოძიება), მიმწოდებელი კლიენტსა და მონაცემთა სუბიექტს აცნობს დამუშავების გაგრძელების სამართლებრივ საფუძველს და ზღუდავს დამუშავებას შესაბამისობისთვის აუცილებელი მინიმუმით.

7.10 მონაცემთა დაცვაზე ზეგავლენის შეფასება (DPIA)

თუ დამუშავების სახეობა სავარაუდოდ გამოიწვევს მაღალ რისკს ფიზიკური პირების უფლებებისა და თავისუფლებებისთვის, კლიენტი (როგორც დამმუშავებელი) ატარებს მონაცემთა დაცვაზე ზეგავლენის შეფასებას GDPR-ის 35-ე მუხლისა და UAE PDPL-ის 23-ე მუხლის შესაბამისად. მიმწოდებელი:

• (a) კლიენტს წარუდგენს DPIA-ს ჩასატარებლად აუცილებელ ყველა ინფორმაციას, მათ შორის პლატფორმის მონაცემთა ნაკადების, შენახვის პოლიტიკის, წვდომის კონტროლის მოდელისა და საერთაშორისო გადაცემის მექანიზმების დოკუმენტაციას.
• (b) მოთხოვნის შემთხვევაში დაეხმარება კლიენტს DPIA-ს ჩატარებაში, მათ შორის წინასწარ შევსებული DPIA შაბლონის წარდგენით, რომელიც მოიცავს პლატფორმის მიერ შესრულებულ სტანდარტულ დამუშავების ოპერაციებს.
• (c) აცნობს კლიენტს, თუ მიმწოდებლის შეფასებით ახალი ფუნქცია, მოდულის აქტივაცია, ინტეგრაცია ან დამუშავების ოპერაციების ცვლილება ახალი ან განახლებული DPIA-ს საჭიროებას წარმოშობს.
• (d) AI-სთვის სპეციფიკური DPIA: თუ პლატფორმის AI კომპონენტები (მაგ., AI-ის დახმარებით ტრანსკრიფცია, AIOps-ის ანომალიების აღმოჩენა, კონტექსტური სახელმძღვანელო აპლიკაციაში) ამუშავებს პერსონალურ მონაცემებს, ტარდება AI-სთვის სპეციფიკური დამატებითი DPIA, რომელიც მოიცავს ალგორითმულ მიკერძოებას, ავტომატური გადაწყვეტილებების მიღების გამჭვირვალობას, სატრენინგო ნაკრებში მონაცემთა მინიმიზაციას და მონაცემთა სუბიექტების უფლებებს GDPR-ის 22-ე მუხლის შესაბამისად (ინდივიდუალური ავტომატური გადაწყვეტილებები). ეს შეფასება ასევე ითვალისწინებს ევროკავშირის AI აქტით (რეგულაცია (EU) 2024/1689) და NIST AI Risk Management Framework-ით გათვალისწინებულ ვალდებულებებს.

7.11 აუდიტი და შესაბამისობა

7.11.1 მიმწოდებლის ვალდებულებები

მიმწოდებელი:

• (d) GDPR-ის 30-ე მუხლის შესაბამისად აწარმოებს დამუშავების საქმიანობების რეესტრს (RoPA), რომელიც მოიცავს კლიენტის სახელით შესრულებულ დამუშავების ყველა ოპერაციას.
• (e) კლიენტს წარუდგენს GDPR-ის 28-ე მუხლითა და UAE PDPL-ის 29-ე მუხლით განსაზღვრულ ვალდებულებებთან შესაბამისობის დასადასტურებლად აუცილებელ ყველა ინფორმაციას.
• (f) უზრუნველყოფს და ხელს უწყობს კლიენტის ან მის მიერ უფლებამოსილი აუდიტორის მიერ ჩატარებულ აუდიტებს, ინსპექციების ჩათვლით, შემდეგი პირობებით: (i) გონივრული წინასწარი შეტყობინება არაუგვიანეს ოცდაათი (30) კალენდარული დღით ადრე; (ii) აუდიტის ფარგლები შეზღუდულია DPA-ით მოცვული დამუშავების საქმიანობებით; (iii) აუდიტორი ხელს აწერს მიმწოდებლისთვის მიღებად გაუსაჯაროების შეთანხმებას; და (iv) აუდიტები ტარდება სამუშაო საათებში, საქმიანობის შეფერხების მინიმუმამდე დაყვანის გზით.
• (g) დაუყოვნებლივ აცნობს კლიენტს, თუ მიმწოდებლის შეფასებით კლიენტის ინსტრუქცია არღვევს GDPR-ს, UAE PDPL-ს ან მონაცემთა დაცვის სხვა მოქმედ კანონმდებლობას (GDPR, მუხლი 28(3)(h)).

7.11.2 აუდიტის სიხშირე და ფარგლები

გამოიყენება აუდიტის შემდეგი გრაფიკი:

7.12 მონაცემთა შენახვა და განადგურება

პერსონალური მონაცემები არ უნდა იქნეს შენახული იმაზე დიდხანს, ვიდრე ეს აუცილებელია მათი შეგროვების მიზნებისთვის. გამოიყენება შენახვის შემდეგი ჩარჩო:

• (a) აქტიური დამუშავება: პერსონალური მონაცემები აქტიურად მუშავდება გამოწერის ვადის განმავლობაში და DPA-ით შეთანხმებული შეწყვეტის შემდგომი დასრულების პერიოდის განმავლობაში.
• (b) შენახვის ვადები: თუ შენახვის კონკრეტულ ვადებს ადგენს მოქმედი კანონმდებლობა (მაგ., შრომის კანონმდებლობით გათვალისწინებული ჩანაწერების შენახვა, საგადასახადო ორგანოს მოთხოვნები, მარეგულირებელი შენახვის ბრძანებები), მიმწოდებელი დადგენილი ვადის განმავლობაში ინახავს მხოლოდ მინიმალურად აუცილებელ მონაცემებს, მკაფიოდ გამოცალკევებულს და შეზღუდული წვდომით.
• (c) ავტომატური აღსრულება: პლატფორმა მხარს უჭერს მონაცემთა შენახვის კონფიგურირებად პოლიტიკას, რომლის მიხედვითაც ჩანაწერები, რომლებიც გადააჭარბებს განსაზღვრულ შენახვის ვადას, ავტომატურად მონიშნული, დაარქივებული ან წაშლილი ხდება. შენახვის წესებს განსაზღვრავს კლიენტი; ტექნიკურ აღსრულებას უზრუნველყოფს მიმწოდებელი.
• (d) უსაფრთხო განადგურება: პერსონალური მონაცემების წაშლისას მიმწოდებელი უზრუნველყოფს უსაფრთხო განადგურებას შემდეგი გზით: (i) დაშიფრული მონაცემებისთვის კრიპტოგრაფიული წაშლა (დაშიფვრის გასაღების შეუქცევად განადგურებით); (ii) დაუშიფრავი მატარებლებისთვის მრავალჯერადი გადაწერა; და (iii) მოთხოვნის შემთხვევაში კლიენტისთვის წაშლის დამადასტურებელი სერტიფიკატების წარდგენა.
• (e) რეზერვო ასლების შენახვა: პერსონალური მონაცემების შემცველ რეზერვო ასლებზე ვრცელდება შენახვისა და განადგურების იგივე პოლიტიკა. მიმწოდებელი უზრუნველყოფს, რომ წაშლილი პერსონალური მონაცემები წაიშალოს რეზერვირების ყველა ციკლიდან წაშლის ინსტრუქციიდან ოთხმოცდაათი (90) კალენდარული დღის განმავლობაში, თუ DPA-ში უფრო მოკლე ვადა არ არის განსაზღვრული.

NIST SP 800-88 Rev. 1 — მატარებლების სანიტარიზაციის სახელმძღვანელო

7.13 მონაცემთა დაბრუნება და გადატანადობა შეწყვეტისას

ჩარჩოს შეწყვეტის ან ვადის გასვლისას გამოიყენება მონაცემთა დაბრუნებისა და გადატანადობის შემდეგი დებულებები:

• (a) მონაცემთა დაბრუნების პერიოდი: კლიენტს შეწყვეტის ძალაში შესვლის თარიღიდან ექვსი (60) კალენდარული დღე აქვს, რათა მოითხოვოს ყველა პერსონალური მონაცემისა და კლიენტის მონაცემების დაბრუნება სტრუქტურირებულ, ფართოდ გამოყენებულ და მანქანისთვის წაკითხვად ფორმატში (CSV, JSON, XML ან SQL dump).
• (b) ფორმატის ვარიანტები: მიმწოდებელი სთავაზობს მონაცემთა ექსპორტს მანქანისთვის წაკითხვად სულ მცირე სამ ფორმატში. ექსპორტი მოიცავს: (i) გააქტიურებული მოდულების ყველა ტრანზაქციულ მონაცემს; (ii) ძირითადი მონაცემების რეესტრებს; (iii) დოკუმენტების დანართებს; (iv) აუდიტის ჟურნალებს; და (v) კონფიგურაციის მეტამონაცემებს, რომლებიც საკმარისია კლიენტის ოპერაციული გარემოს მომდევნო სისტემაში აღსადგენად.
• (c) წაშლა დაბრუნების შემდეგ: დადასტურების შემდეგ, რომ კლიენტმა მიიღო და გადაამოწმა ექსპორტირებული მონაცემები, ან სამოცდადღიანი (60) დაბრუნების პერიოდის ამოწურვისას (რომელიც უფრო ადრე დადგება), მიმწოდებელი უსაფრთხოდ შლის ყველა პერსონალურ მონაცემს ყველა სისტემიდან, მათ შორის საწარმოო (production) მონაცემთა ბაზებიდან, სატესტო (staging) გარემოებიდან, რეზერვო ასლებიდან და ავარიული აღდგენის რეპლიკებიდან.
• (d) წაშლის სერტიფიკატი: მიმწოდებელი უსაფრთხო განადგურების პროცესის დასრულებიდან ოცდაათი (30) კალენდარული დღის განმავლობაში გასცემს წაშლის წერილობით სერტიფიკატს, რომლითაც დაადასტურებს, რომ ყველა პერსონალური მონაცემი შეუქცევად განადგურდა მიმწოდებლის კონტროლს ქვეშ მყოფი ყველა სისტემიდან და მატარებლიდან.
• (e) ნარჩენი ვალდებულებები: ამ თავით გათვალისწინებული მონაცემთა დაცვის ვალდებულებები შეწყვეტის შემდეგაც ძალაში რჩება მიმწოდებლის მიერ სამართლებრივი ვალდებულების საფუძველზე შენახული სავალდებულო პერსონალური მონაცემის მიმართ, სანამ ასეთი მონაცემები უსაფრთხოდ არ განადგურდება.

7.14 მონაცემთა საერთაშორისო გადაცემა

თუ პერსონალური მონაცემების დამუშავება მოიცავს ან შესაძლოა მოიცავდეს პერსონალური მონაცემების გადაცემას მესამე ქვეყანაში ან საერთაშორისო ორგანიზაციაში, გამოიყენება შემდეგი დებულებები:

• (a) EEA-დან მომდინარე მონაცემები: ევროპული ეკონომიკური ზონიდან მომდინარე პერსონალური მონაცემების გადაცემა იმ ქვეყნებში, რომლებზეც არ ვრცელდება GDPR-ის 45-ე მუხლის შესაბამისი გადაწყვეტილება ადეკვატურობის შესახებ, რეგულირდება კომისიის აღსრულების გადაწყვეტილების (EU) 2021/914 საფუძველზე მიღებული ევროკავშირის სტანდარტული სახელშეკრულებო პუნქტებით (SCCs), რომლებსაც, EDPB-ს რეკომენდაციების 01/2020 მოთხოვნის შემთხვევაში, ემატება გადაცემის ზეგავლენის შეფასება (TIA).
• (b) UAE-დან მომდინარე მონაცემები: UAE-დან მომდინარე პერსონალური მონაცემების გადაცემა UAE-ს ფარგლებს გარეთ უნდა შეესაბამებოდეს UAE PDPL-ის 22-ე მუხლს (საერთაშორისო გადაცემის დებულებები), მათ შორის UAE-ს მონაცემთა ოფისის ან დარგობრივი მარეგულირებლების მიერ დადგენილ მონაცემთა ლოკალიზაციის ნებისმიერ მოთხოვნას.
• (c) მონაცემთა ლოკალიზაციის ვარიანტები: მიმწოდებლის გამოყოფილი კერძო სუვერენული გარემოს მოდელი კლიენტს საშუალებას აძლევს, აირჩიოს გეოგრაფიული რეგიონი (Azure Region), სადაც ინახება და მუშავდება კლიენტის ყველა მონაცემი. თუ კლიენტი მოითხოვს, რომ მონაცემები დარჩეს კონკრეტული იურისდიქციის ფარგლებში (მაგ., UAE — სახელმწიფო კონტრაქტებისთვის, EEA — ევროკავშირის რეგულირების ქვეშ მყოფი სუბიექტებისთვის), მიმწოდებელი უზრუნველყოფს, რომ მონაცემები არ გასცდენ განსაზღვრულ რეგიონს, მათ შორის რეზერვირებისა და ავარიული აღდგენის მიზნებისთვის.
• (d) გადაცემის ზეგავლენის შეფასება: საერთაშორისო გადაცემის ნებისმიერი ახალი მექანიზმის ამოქმედებამდე მიმწოდებელი ატარებს და ადოკუმენტებს გადაცემის ზეგავლენის შეფასებას, რომელშიც ფასდება: (i) მიმღები ქვეყნის სამართლებრივი ჩარჩო; (ii) გამოყენებული დამატებითი ზომები; და (iii) მიმღებ იურისდიქციაში მონაცემთა სუბიექტის უფლებების პრაქტიკული აღსრულებადობა.

7.15 პერსონალურ მონაცემთა უსაფრთხოების დარღვევის მართვა

7.15.1 დარღვევის აღმოჩენა და კლასიფიკაცია

მიმწოდებელს დანერგილი აქვს IT დეპარტამენტის მიერ მართული პროცედურები პერსონალურ მონაცემთა უსაფრთხოების დარღვევების აღმოჩენისთვის, კლასიფიკაციისთვის და მათზე რეაგირებისთვის. მიმწოდებლის SIEM და AIOps ინსტრუმენტები უზრუნველყოფს ანომალიების ავტომატურ აღმოჩენას; ყველა გაფრთხილება, რომელიც კლასიფიცირებულია როგორც პერსონალურ მონაცემთა შესაძლო დარღვევა, დაუყოვნებლივ ეგზავნება DPO-ს.

დარღვევები კლასიფიცირდება სიმძიმის მიხედვით:

7.15.2 დარღვევის შესახებ შეტყობინების პროცედურა

მიმწოდებელი კლიენტს (როგორც დამმუშავებელს) აცნობს პერსონალურ მონაცემთა უსაფრთხოების ნებისმიერი დადასტურებული ან სავარაუდო დარღვევის შესახებ შემდეგნაირად:

• (a) პირველადი შეტყობინება: შემდეგ პუნქტში განსაზღვრულ ვადებში: §7.15.1, მიმწოდებელი აცნობს კლიენტის მიერ დანიშნულ DPO-ს/კონფიდენციალურობის ხელმძღვანელს ძირითადი საკომუნიკაციო არხის მეშვეობით (ელფოსტა განსაზღვრულ მისამართზე, როსაც კრიტიკული და მაღალი სიმძიმის დარღვევებისას მოჰყვება ტელეფონით დადასტურება). პირველადი შეტყობინება მოიცავს: (i) დარღვევის ხასიათს; (ii) დაზარალებული მონაცემთა სუბიექტების კატეგორიებსა და სავარაუდო რაოდენობას; (iii) შესაბამისი ჩანაწერების კატეგორიებსა და სავარაუდო რაოდენობას; (iv) სავარაუდო შედეგებს; და (v) უარყოფითი ზეგავლენის შემცირებისთვის მიღებულ ან შემოთავაზებულ ზომებს.
• (b) შემდგომი ანგარიშგება: თუ პირველადი შეტყობინების დროს სრული ინფორმაცია ხელმისაწვდომი არ არის, მიმწოდებელი ინფორმაციას წარადგენს ეტაპობრივად, გაუმართლავი დაყოვნების გარეშე, მისი ხელმისაწვდომობისამებრ (GDPR, მუხლი 33(4)).
• (c) ძირეული მიზეზის ანალიზი: მიმწოდებელი დარღვევის შეკავებიდან თხუთმეტი (15) სამუშაო დღის განმავლობაში კლიენტს წარუდგენს ძირეული მიზეზის სრულ ანალიზს, რომელიც მოიცავს: მოვლენების ქრონოლოგიას, დაზარალებულ სისტემებსა და მონაცემებს, ძირეულ მიზეზს, შეკავების ქმედებებს, აღმოფხვრის ზომებს და განმეორების თავიდან აცილების რეკომენდაციებს.
• (d) მარეგულირებელ ორგანოებთან თანამშრომლობა: მიმწოდებელი დაეხმარება კლიენტს: (i) უფლებამოსილი ზედამხედველო ორგანოს ინფორმირებაში (GDPR, მუხლი 33; UAE PDPL, მუხლი 28); და (ii) საჭიროების შემთხვევაში დაზარალებული მონაცემთა სუბიექტებისთვის დარღვევის შესახებ შეტყობინებაში (GDPR, მუხლი 34). მიმწოდებელი კლიენტის მონაცემებთან დაკავშირებით უშუალოდ არ უკავშირდება ზედამხედველო ორგანოს ან მონაცემთა სუბიექტებს კლიენტის წინასწარი წერილობითი თანხმობის გარეშე, გარდა იმ შემთხვევისა, როდესაც ამას კანონი მოითხოვს.

7.15.3 დარღვევაზე რეაგირების სავარჯიშო

მიმწოდებელი და კლიენტი სულ მცირე წელიწადში ერთხელ ატარებენ პერსონალურ მონაცემთა უსაფრთხოების დარღვევაზე რეაგირების ერთობლივ სავარჯიშოს, რომელიც კრიტიკული სიმძიმის დარღვევის სცენარს ასიმულირებს. სავარჯიშო ამოწმებს: (i) აღმოჩენიდან შეტყობინებამდე ვადებს; (ii) საკომუნიკაციო არხების ეფექტურობას; (iii) შეკავების პროცედურების შესრულებას; და

• (iv) მარეგულირებელი შეტყობინების მზადყოფნას. თითოეული სავარჯიშოს მიგნები დოკუმენტირდება და გათვალისწინებული ხდება პროცესების გაუმჯობესებისას.

7.16 AI-სთვის სპეციფიკური მონაცემთა დაცვა

პლატფორმაში მიმწოდებლის მიერ ხელოვნური ინტელექტის კომპონენტების გამოყენება (მათ შორის AI-ის დახმარებით ტრანსკრიფცია, AIOps, პროგნოზული ანალიტიკა და კონტექსტური სახელმძღვანელო აპლიკაციაში) ექვემდებარება მონაცემთა დაცვის შემდეგ კონტროლებს, რომლებიც შესაბამისობაშია ევროკავშირის AI აქტთან (რეგულაცია (EU) 2024/1689) და NIST AI RMF-თან:

• (a) ტენანტებს შორის საერთო დატრენირების გამორიცხვა: კლიენტის მონაცემები არასოდეს გამოიყენება AI მოდელების გასაწვრთნად, რომლებიც სხვა კლიენტებს ემსახურება ან აუმჯობესებს მიმწოდებლის ზოგადი დანიშნულების AI შესაძლებლობებს. თითოეული კლიენტის AI-ის მიერ გენერირებული შედეგები (მაგ., ტრანსკრიფციის მოდელები, პროგნოზული ანალიტიკა) იწვრთნება და შეზღუდულია მხოლოდ ამ კლიენტის მონაცემებით მისთვის გამოყოფილ სუვერენულ გარემოში.
• (b) მონაცემთა მინიმიზაცია AI-ში: AI კომპონენტები ამუშავებენ მათი ფუნქციის შესასრულებლად აუცილებელ პერსონალურ მონაცემთა მინიმუმს. შესაძლებლობის შემთხვევაში მონაცემები AI-ით დამუშავებამდე ფსევდონიმიზდება ან ანონიმიზდება.
• (c) ავტომატური გადაწყვეტილებების მიღება: პლატფორმა არ იღებს მხოლოდ ავტომატურ დამუშავებაზე დაფუძნებულ გადაწყვეტილებებს, რომლებსაც მონაცემთა სუბიექტებზე სამართლებრივი ან მსგავსად მნიშვნელოვანი შედეგი აქვს (GDPR, მუხლი 22), გარდა იმ შემთხვევისა, როდესაც: (i) კლიენტი პირდაპირ აკონფიგურირებს ასეთ დამუშავებას; (ii) კლიენტი უზრუნველყოფს კანონიერ საფუძველს (თანხმობა, ხელშეკრულების შესრულების აუცილებლობა ან წევრი სახელმწიფოს კანონმდებლობა); და (iii) უზრუნველყოფილია ადამიანის მიერ გადამოწმება.
• (d) AI-ს გამჭვირვალობა: მიმწოდებელი პლატფორმის ტექნიკურ დოკუმენტაციაში აღწერს თითოეული AI კომპონენტის მიზანს, შესაყვან მონაცემებს, ლოგიკას და შედეგების ფარგლებს. ეს დოკუმენტაცია კლიენტისთვის ხელმისაწვდომია DPIA-ს მიზნებისთვის (§7.10) და მარეგულირებელი ინსპექტირებისთვის.
• (e) მიკერძოების მონიტორინგი: თუ AI კომპონენტები ამუშავებენ სპეციალური კატეგორიის შემცველ პერსონალურ მონაცემებს (მაგ., ეთნიკური კუთვნილება, ეროვნულობა HRMS მოდულებში), მიმწოდებელი ახორციელებს მიკერძოების მონიტორინგის შემოწმებს და მიგნებს კლიენტს აწვდის კვარტლური თვითშეფასების ფარგლებში (§7.11.2).

7.17 პროცესების რეესტრი

ქვემოთ მოცემული ცხრილი ჩამოთვლის ამ თავით რეგულირებულ სახელშეკრულებო და ოპერაციულ პროცესებს. თითოეულ პროცესს ენიჭება უნიკალური იდენტიფიკატორი, გამშვები პირობა, პასუხისმგებელი შემსრულებელი, დამმტკიცებელი, მოსალოდნელი შედეგი და მისამართი შესაბამის პუნქტზე.

7.18 პროცესების ნაკადის სქემა

ქვემოთ მოცემული დიაგრამა აჩვენებს მონაცემთა დაცვის სასიცოცხლო ციკლს DPA-ს გაფორმებიდან შესაბამისობის მუდმივ მონიტორინგამდე, დარღვევაზე რეაგირებამდე და შეწყვეტისას მონაცემთა დაბრუნებამდე.

① DPA-ს გაფორმება და კანონიერი საფუძველი → ② RoPA და კონფიდენციალურობა დიზაინიდანვე → ③ TOM-ების დანერგვა

▼

④ DPIA (AI DPIA-ს ჩათვლით) → ⑤ მუდმივი დამუშავება და მონიტორინგი → ⑥ მონაცემთა სუბიექტის უფლებების რეალიზება

▼

⑦ დარღვევის აღმოჩენა და რეაგირება → ⑧ აუდიტი და შესაბამისობის განხილვა → ⑨ მონაცემთა დაბრუნება / განადგურება

უკუკავშირის ციკლი: ეტაპი ⑨ (მონაცემთა დაბრუნება/განადგურება) უბრუნდება ეტაპ ②-ს (RoPA) განადგურების ქმედებების აღრიცხვისთვის და ეტაპ ⑧-ს (აუდიტი) შეწყვეტის შემდგომი შესაბამისობის გადასამოწმებლად. ეტაპები ④–⑦ უწყვეტად მოქმედებს გამოწერის ვადის მთელი პერიოდის განმავლობაში კვარტლური თვითშეფასების საკონტროლო წერტილებით (§7.11.2).