ინფორმაციული უსაფრთხოებისა და მონაცემთა დაცვის პოლიტიკა

1. შესავალი და მოქმედების სფერო

წინამდებარე დოკუმენტი განსაზღვრავს INI.GE ჯგუფის (შემდგომში „კომპანია“) მიერ ინფორმაციული აქტივების, სისტემებისა და პერსონალური მონაცემების დაცვის პოლიტიკასა და პროცედურებს. პოლიტიკის მიზანია უზრუნველყოს მონაცემთა კონფიდენციალურობა, მთლიანობა და ხელმისაწვდომობა, ბიზნეს პროცესების უწყვეტობა და ევროკავშირის მონაცემთა დაცვის ზოგად რეგლამენტთან (GDPR) სრული შესაბამისობა.

ეს პოლიტიკა ვრცელდება კომპანიის ყველა თანამშრომელზე, კონტრაქტორზე და ნებისმიერ მესამე მხარეზე, რომელსაც აქვს წვდომა კომპანიის საინფორმაციო სისტემებთან.

2. ტერმინთა განმარტება

• პერსონალური მონაცემები: იდენტიფიცირებულ ან იდენტიფიცირებად ფიზიკურ პირთან („მონაცემთა სუბიექტი“) დაკავშირებული ნებისმიერი ინფორმაცია.
• დამუშავება: პერსონალურ მონაცემებზე შესრულებული ნებისმიერი ოპერაცია, როგორიცაა შეგროვება, ჩაწერა, ორგანიზება, შენახვა, შეცვლა, გამოყენება, გამჟღავნება ან წაშლა.
• მონაცემთა კონტროლიორი: პირი ან ორგანიზაცია, რომელიც განსაზღვრავს პერსონალური მონაცემების დამუშავების მიზნებსა და საშუალებებს.
• მონაცემთა პროცესორი: პირი ან ორგანიზაცია, რომელიც ამუშავებს პერსონალურ მონაცემებს კონტროლიორის სახელით.

3. მონაცემთა დაცვის ძირითადი პრინციპები

კომპანია იცავს მონაცემთა დამუშავების შემდეგ ფუნდამენტურ პრინციპებს:

• კანონიერება, სამართლიანობა და გამჭვირვალობა: მონაცემები მუშავდება კანონიერად, სამართლიანად და მონაცემთა სუბიექტისთვის გამჭვირვალე წესით.
• მიზნის შეზღუდვა: მონაცემები გროვდება კონკრეტული, მკაფიო და ლეგიტიმური მიზნებისთვის და არ მუშავდება ამ მიზნებთან შეუთავსებელი გზით.
• მონაცემთა მინიმიზაცია: მუშავდება მხოლოდ ადეკვატური, რელევანტური და დამუშავების მიზნებისთვის აუცილებელი მონაცემები.
• სიზუსტე: პერსონალური მონაცემები არის ზუსტი და, საჭიროების შემთხვევაში, განახლებული.
• შენახვის შეზღუდვა: მონაცემები ინახება იდენტიფიცირებადი ფორმით არა უმეტეს იმ ვადისა, რაც აუცილებელია მათი დამუშავების მიზნების მისაღწევად.
• მთლიანობა და კონფიდენციალურობა: მონაცემები მუშავდება ისე, რომ უზრუნველყოფილი იყოს მათი უსაფრთხოება, მათ შორის დაცვა არაავტორიზებული ან უკანონო დამუშავებისგან, შემთხვევითი დაკარგვისგან, განადგურებისგან ან დაზიანებისგან.

4. ინფორმაციული უსაფრთხოების ინფრასტრუქტურა და ტექნიკური ზომები

4.1. ჰოსტინგი და მონაცემთა რეზიდენტულობა

ჩვენი სისტემური არქიტექტურა ეფუძნება უმაღლესი დონის, სერტიფიცირებულ და გეოგრაფიულად დივერსიფიცირებულ ინფრასტრუქტურას, რომელიც სრულად განთავსებულია ევროკავშირის ტერიტორიაზე:

• ძირითადი ინფრასტრუქტურა: სერვერები და მონაცემთა ბაზები განთავსებულია Google Cloud Platform (GCP) მონაცემთა ცენტრში, ბელგიის რეგიონში (europe-west1).
• სარეზერვო ინფრასტრუქტურა: კატასტროფებისგან დაცვისა და გეო-რედანდანტულობის მიზნით, მონაცემთა სარეზერვო ასლები ინახება Google EU Multiregional მონაცემთა ცენტრებში.
• დედიკირებული სერვერები: ფაილური საცავები და მონაცემთა ბაზების გრძელვადიანი არქივები განთავსებულია OVH Cloud-ის მონაცემთა ცენტრში, საფრანგეთის რეგიონში.

4.2. წვდომის კონტროლი

სისტემებსა და მონაცემებზე წვდომა მკაცრად რეგულირდება „მინიმალური პრივილეგიის“ პრინციპით:

• ადმინისტრაციული წვდომა: Google Cloud-ის მართვის პანელზე წვდომა დაშვებულია მხოლოდ ავტორიზებული პერსონალისთვის და დაცულია ორფაქტორიანი ავთენტიფიკაციით (2FA).
• სერვერული წვდომა (SSH): სერვერების ოპერაციულ სისტემებთან პირდაპირი წვდომა პაროლების გამოყენებით სრულად აკრძალულია. ავტორიზაცია ხორციელდება ექსკლუზიურად წინასწარ დამოწმებული კრიპტოგრაფიული SSH გასაღებების მეშვეობით.

4.3. ქსელური უსაფრთხოება

ჩვენი ვირტუალური ქსელის პერიმეტრი დაცულია Google Cloud Firewall-ის მეშვეობით, რომელიც კონფიგურირებულია Default-Deny პოლიტიკით. ეს ნიშნავს, რომ ნაგულისხმევად იბლოკება ყველა შემომავალი ტრაფიკი, გარდა იმ სპეციფიკური პორტებისა და სერვისებისა, რომლებიც აუცილებელია სისტემის გამართული ფუნქციონირებისთვის.

4.4. დაშიფვრა (Encryption)

მონაცემთა კონფიდენციალურობის უზრუნველსაყოფად, ჩვენ ვიყენებთ დაშიფვრის თანამედროვე სტანდარტებს:

• Encryption in Transit: კლიენტსა და სერვერს შორის გადაცემული ყველა მონაცემი დაშიფრულია TLS (Transport Layer Security) პროტოკოლით.
• Encryption at Rest: Google Cloud Platform-სა და OVH-ზე შენახული ყველა მონაცემი, მათ შორის მონაცემთა ბაზები, ფაილები და სარეზერვო ასლები, დაშიფრულია დისკის დონეზე.

5. მონაცემთა რეზერვირება, შენახვა და ავარიული აღდგენა

5.1. სარეზერვო ასლების სტრატეგია

მონაცემთა დაკარგვისგან დაცვისა და ბიზნეს უწყვეტობის უზრუნველსაყოფად, ჩვენ ვიყენებთ მრავალდონიან რეზერვირების სტრატეგიას. სარეზერვო ასლების შექმნა ხდება ავტომატურად, ყოველდღიურად. დამატებით, სპეციალური SLA შეთანხმების ფარგლებში, შესაძლებელია რეზერვირების სიხშირის გაზრდა დღეში 3-ჯერ.

5.2. მონაცემთა შენახვის პოლიტიკა

მონაცემთა შენახვის ვადები განისაზღვრება მათი ტიპისა და სამართლებრივი მოთხოვნების შესაბამისად. სერვერის Snapshot-ები ინახება 14 დღის განმავლობაში ოპერატიული აღდგენის მიზნით, ხოლო SQL მონაცემთა ბაზების არქივები ინახება 10 წლის განმავლობაში კანონმდებლობით გათვალისწინებული ვალდებულებების შესასრულებლად.

6. მონიტორინგი, ლოგირება და აუდიტი

სისტემის უსაფრთხოებისა და GDPR-თან შესაბამისობის უზრუნველსაყოფად, ჩვენ ვაწარმოებთ მოვლენების დეტალურ აღრიცხვას:

• GDPR აუდიტის ლოგირება: სისტემა ავტომატურად აღრიცხავს პერსონალურ მონაცემებთან დაკავშირებულ ყველა კრიტიკულ ქმედებას (შექმნა, ნახვა, რედაქტირება, წაშლა).
• ცენტრალიზებული ლოგირება: ყველა სისტემური და აპლიკაციის დონის ლოგი გროვდება და ინდექსირდება ცენტრალიზებულ Elasticsearch (Elastic Stack) სისტემაში, რაც უსაფრთხოების ინციდენტების რეალურ დროში ანალიზისა და ანომალიების სწრაფად გამოვლენის საშუალებას იძლევა.

7. დამუშავების კანონიერი საფუძველი

პერსონალური მონაცემების დამუშავება ხორციელდება მხოლოდ GDPR-ით გათვალისწინებული ერთ-ერთი კანონიერი საფუძვლით, როგორიცაა: მონაცემთა სუბიექტის თანხმობა, სახელშეკრულებო ვალდებულების შესრულება, იურიდიული ვალდებულების შესრულება ან კომპანიის ლეგიტიმური ინტერესი.

8. მონაცემთა სუბიექტის უფლებები (GDPR)

GDPR-ის შესაბამისად, მონაცემთა სუბიექტებს აქვთ შემდეგი უფლებები:

• წვდომის უფლება: მოითხოვონ ინფორმაცია მათ შესახებ დამუშავებული პერსონალური მონაცემების შესახებ.
• შესწორების (რექტიფიკაციის) უფლება: მოითხოვონ არაზუსტი ან არასრული პერსონალური მონაცემების გასწორება.
• წაშლის უფლება („დავიწყების უფლება“): მოითხოვონ მათი პერსონალური მონაცემების წაშლა გარკვეულ პირობებში.
• დამუშავების შეზღუდვის უფლება: მოითხოვონ მათი მონაცემების დამუშავების შეზღუდვა.
• მონაცემთა პორტაბელურობის უფლება: მიიღონ საკუთარი მონაცემები სტრუქტურირებულ, საყოველთაოდ გამოყენებად და მანქანურად წაკითხვად ფორმატში.
• გადასაჩივრების (Objection) უფლება: გაასაჩივრონ მათი მონაცემების დამუშავება პირდაპირი მარკეტინგის მიზნებისთვის ან კომპანიის ლეგიტიმურ ინტერესებზე დაფუძნებული დამუშავებისას.

ამ უფლებების გამოსაყენებლად, გთხოვთ, დაგვიკავშირდეთ მე-15 პუნქტში მითითებულ ელექტრონულ ფოსტაზე.

9. მონაცემთა საერთაშორისო გადაცემა

კომპანია არ გადასცემს პერსონალურ მონაცემებს ევროპის ეკონომიკური ზონის (EEA) გარეთ. ყველა ჩვენი მონაცემთა ცენტრი და ქვე-პროცესორი განთავსებულია ევროკავშირის ტერიტორიაზე (ბელგია, საფრანგეთი), რაც უზრუნველყოფს GDPR-ით დადგენილი დაცვის ადეკვატურ დონეს.

10. ქვე-პროცესორები (Sub-processors)

სერვისების მიწოდების პროცესში, ჩვენ ვიყენებთ სანდო და შემოწმებულ პარტნიორებს, რომლებიც მოქმედებენ როგორც მონაცემთა პროცესორები. ჩვენი ძირითადი ქვე-პროცესორები არიან:

• Google Cloud Platform (GCP): ინფრასტრუქტურული ჰოსტინგისა და მონაცემთა შენახვისთვის.
• OVH Cloud: დედიკირებული სერვერების, ფაილური საცავებისა და არქივებისთვის.

11. პერსონალური მონაცემების დარღვევის მართვა

პერსონალური მონაცემების უსაფრთხოების დარღვევის (Data Breach) აღმოჩენის შემთხვევაში, კომპანია ვალდებულებას იღებს, შეასრულოს GDPR-ით დადგენილი პროცედურები. ეს მოიცავს დარღვევის შესახებ კომპეტენტური საზედამხედველო ორგანოს ინფორმირებას დაუსაბუთებელი დაგვიანების გარეშე და, თუ ეს შესაძლებელია, დარღვევის შესახებ ინფორმირებიდან არაუგვიანეს 72 საათისა.

12. მომსახურების დონის შეთანხმება (SLA)

ჩვენ გარანტიას ვიძლევით ჩვენი ინფრასტრუქტურის მაღალ ხელმისაწვდომობასა და სწრაფ აღდგენაზე.

13. როლები და პასუხისმგებლობები

კომპანიის მენეჯმენტი პასუხისმგებელია ამ პოლიტიკის დანერგვასა და კონტროლზე. ყველა თანამშრომელი ვალდებულია, გაეცნოს და დაიცვას ამ დოკუმენტში მოცემული წესები და პროცედურები საკუთარი ყოველდღიური საქმიანობის ფარგლებში.

14. პოლიტიკის გადახედვა და განახლება

ეს პოლიტიკა ექვემდებარება რეგულარულ, სულ მცირე წელიწადში ერთხელ, გადახედვას და განახლებას, რათა ასახოს ტექნოლოგიური, მარეგულირებელი და ბიზნეს გარემოს ცვლილებები.

15. საკონტაქტო ინფორმაცია

მონაცემთა დაცვასთან, თქვენს უფლებებთან ან ამ პოლიტიკასთან დაკავშირებული ნებისმიერი კითხვის შემთხვევაში, გთხოვთ, დაგვიკავშირდეთ შემდეგ ელექტრონულ მისამართზე: support@ini.ge