ملحق معالجة البيانات التكميلية الخاصة بـ Ownbackup

معلومات المنتج

المنتج عبارة عن ملحق معالجة بيانات تكميلية (DPA) مقدم من OwnBackup. ويتم استخدامه جنبًا إلى جنب مع خدمات SaaS التي تقدمها OwnBackup لمعالجة البيانات الشخصية نيابة عن العميل.

التعاريف الرئيسية

• وحدة التحكم: الجهة التي تحدد أغراض ووسائل معالجة البيانات الشخصية.
• العملاء: الكيان المذكور أعلاه والشركات التابعة له.
• موضوع البيانات: الشخص المحدد أو الذي يمكن التعرف عليه والذي تتعلق به البيانات الشخصية.
• أوروبا: يشير إلى الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية وسويسرا والمملكة المتحدة.
• اللائحة العامة لحماية البيانات: اللائحة العامة لحماية البيانات، وهي لائحة بشأن حماية البيانات والخصوصية لجميع الأفراد داخل الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية.

تعليمات استخدام المنتج

1. يتكون ملحق DPA التكميلي من جزأين: النص الرئيسي لاتفاقية DPA التكميلية، والجداول 1 و2 و3 و4 و5.
2. لقد تم بالفعل توقيع ملحق DPA الإضافي نيابةً عن OwnBackup.
3. لإكمال ملحق DPA الإضافي، اتبع الخطوات التالية:
   • أكمل قسم اسم العميل وعنوان العميل في الصفحة 2.
   • أكمل البيانات الموجودة في خانة التوقيع وقم بالتسجيل في الصفحة 3.
   • تأكد من أن المعلومات الواردة في الجدول 3 (تفاصيل المعالجة) تعكس بدقة موضوعات وفئات البيانات المطلوب معالجتها.
   • أرسل ملحق DPA التكميلي المكتمل والموقع إلى OwnBackup على العنوان التالي: Privacy@ownbackup.com.
4. عند استلام OwnBackup لملحق DPA التكميلي المكتمل بشكل صحيح على عنوان البريد الإلكتروني المقدم، سيصبح ملحق DPA التكميلي ملزمًا قانونًا.
5. يشكل توقيع ملحق DPA التكميلي في الصفحة 3 قبولًا للشروط التعاقدية القياسية وملحق المملكة المتحدة، وكلاهما مدمج بالإشارة.
6. في حالة وجود أي تعارض أو عدم اتساق بين ملحق DPA التكميلي هذا وأي اتفاقية أخرى بين العميل وOwnBackup، تسري شروط ملحق DPA التكميلي هذا.

التعليمات الإضافية لمعالجة البيانات الإضافية

كيفية تنفيذ ملحق حماية البيانات هذا:

1. يتكون ملحق DPA التكميلي هذا من جزأين: النص الرئيسي لاتفاقية معالجة البيانات التكميلية، والجداول 1 و2 و3 و4 و5.
2. تم التوقيع مسبقًا على ملحق DPA التكميلي هذا نيابةً عن OwnBackup.
3. لإكمال ملحق DPA التكميلي هذا، يجب على العميل:
   • أ.أكمل قسم اسم العميل وعنوانه في الصفحة 2.
   • ب. أكمل البيانات الموجودة في خانة التوقيع وقم بالتسجيل في الصفحة 3.
   • ج. تأكد من أن المعلومات الواردة في الجدول 3 (تفاصيل المعالجة) تعكس بدقة موضوعات وفئات البيانات المطلوب معالجتها
   • د. أرسل ملحق DPA التكميلي المكتمل والموقع إلى OwnBackup على Privacy@ownbackup.com.

عند استلام OwnBackup لملحق DPA التكميلي المكتمل بشكل صحيح على عنوان البريد الإلكتروني هذا، سيصبح ملحق DPA التكميلي هذا ملزمًا قانونًا. يعتبر التوقيع على ملحق DPA التكميلي هذا في الصفحة 3 بمثابة توقيع وقبول للبنود التعاقدية القياسية (بما في ذلك ملاحقها) وملحق المملكة المتحدة، وكلاهما مدمج هنا كمرجع.

كيفية تطبيق ملحق DPA هذا

• إذا كان كيان العميل الذي يوقع على ملحق DPA التكميلي هذا طرفًا في الاتفاقية، فإن ملحق DPA التكميلي هذا هو ملحق للاتفاقية أو ملحق DPA الحالي ويشكل جزءًا منها. في مثل هذه الحالة، يكون كيان OwnBackup الذي يعد طرفًا في الاتفاقية أو ملحق DPA الحالي طرفًا في ملحق DPA هذا.
• إذا كان كيان العميل الذي يوقع على ملحق DPA التكميلي هذا قد نفذ نموذج طلب مع OwnBackup أو الشركة التابعة لها بموجب الاتفاقية أو DPA الحالي، ولكنه ليس في حد ذاته طرفًا في الاتفاقية أو DPA الحالي، فإن ملحق DPA التكميلي هذا هو ملحق لنموذج الطلب هذا و نماذج طلب التجديد المعمول بها، وكيان OwnBackup الذي هو طرف في نموذج الطلب هذا هو طرف في ملحق DPA التكميلي هذا.
• إذا لم يكن كيان العميل الذي قام بالتوقيع على ملحق DPA التكميلي هذا طرفًا في نموذج الطلب أو الاتفاقية أو ملحق DPA الحالي، فإن ملحق DPA التكميلي هذا غير صالح وغير ملزم قانونًا. ويجب على هذا الكيان أن يطلب من كيان العميل الذي يعد طرفًا في الاتفاقية أو ملحق DPA الحالي تنفيذ ملحق DPA التكميلي هذا.
• إذا لم يكن كيان العميل الذي يوقع على ملحق DPA التكميلي طرفًا في نموذج طلب أو اتفاقية اشتراك رئيسية أو DPA موجود مباشرةً مع OwnBackup، ولكنه بدلاً من ذلك عميل بشكل غير مباشر عبر موزع معتمد لخدمات OwnBackup، فإن ملحق DPA التكميلي هذا غير صالح وهو غير ملزمة قانونا. ويجب على هذا الكيان الاتصال بالموزع المعتمد لمناقشة ما إذا كان يلزم إجراء تعديل على اتفاقيته مع هذا الموزع.
• في حالة وجود أي تعارض أو عدم اتساق بين ملحق DPA التكميلي هذا وأي اتفاقية أخرى بين العميل وOwnBackup (بما في ذلك، على سبيل المثال لا الحصر، الاتفاقية أو ملحق DPA الحالي)، فإن شروط ملحق DPA التكميلي هذا هي التي تسود وتسود.

ملحق معالجة البيانات التكميلية

اسم العميل:
عنوان العميل:
تاريخ ملحق حماية البيانات الحالي:

يشكل ملحق معالجة البيانات التكميلية هذا، بما في ذلك جداوله وملاحقه، ("ملحق معالجة البيانات التكميلي") جزءًا من ملحق معالجة البيانات الحالي المحدد أعلاه ("ملحق معالجة البيانات الحالي") بين شركة OwnBackup Inc. ("OwnBackup") والعميل. يُشكل دمج ملحق DPA التكميلي وملحق DPA الحالي اتفاقية معالجة البيانات الكاملة ("DPA") لتوثيق اتفاقية الأطراف فيما يتعلق بمعالجة البيانات الشخصية. إذا لم يبرم كيان العميل هذا وOwnBackup اتفاقية، فإن ملحق DPA هذا لاغٍ وليس له أي أثر قانوني. يدخل كيان العميل المذكور أعلاه في ملحق DPA التكميلي هذا بنفسه، وإذا كان أي من الشركات التابعة له يعمل كمتحكم في البيانات الشخصية، نيابةً عن هؤلاء الشركات التابعة المعتمدة. جميع المصطلحات المكتوبة بالأحرف الكبيرة غير المحددة هنا سيكون لها المعنى المنصوص عليه في الاتفاقية. في سياق تقديم خدمات SaaS للعميل بموجب الاتفاقية، يجوز لشركة OwnBackup معالجة البيانات الشخصية نيابة عن العميل. يوافق الطرفان على الشروط التكميلية التالية فيما يتعلق بهذه المعالجة.

التعاريف

• "CCPA" يعني قانون خصوصية المستهلك في كاليفورنيا، Cal. المدنية. كود S 1798.100 وآخرون. ما يلي، بصيغته المعدلة بموجب قانون حقوق الخصوصية في كاليفورنيا لعام 2020 ومع أي لوائح تنفيذية.
• "المراقب" يعني الكيان الذي يحدد أغراض ووسائل معالجة البيانات الشخصية ويُعتبر أنه يشير أيضًا إلى "الشركة" كما هو محدد في قانون خصوصية المستهلك في كاليفورنيا (CCPA).
• "العميل" يعني الكيان المذكور أعلاه والشركات التابعة له.
• "قوانين ولوائح حماية البيانات" تعني جميع القوانين واللوائح الخاصة بالاتحاد الأوروبي ودوله الأعضاء، والمنطقة الاقتصادية الأوروبية ودولها الأعضاء، والمملكة المتحدة، وسويسرا، والولايات المتحدة، وكندا، ونيوزيلندا، وأستراليا، وقوانينها ولوائحها. التقسيمات الفرعية السياسية المعنية، والتي تنطبق على معالجة البيانات الشخصية. وتشمل هذه، على سبيل المثال لا الحصر، ما يلي، إلى الحد الذي ينطبق: اللائحة العامة لحماية البيانات (GDPR)، وقانون حماية البيانات في المملكة المتحدة، وCCPA، وقانون حماية بيانات المستهلك في فرجينيا ("VCDPA")، وقانون خصوصية كولورادو واللوائح ذات الصلة ("CPA" ")، وقانون خصوصية المستهلك في ولاية يوتا ("UCPA")، وقانون كونيتيكت المتعلق بخصوصية البيانات الشخصية والمراقبة عبر الإنترنت ("CPDPA")
• "صاحب البيانات" يعني الشخص المحدد أو الذي يمكن تحديد هويته والذي تتعلق به البيانات الشخصية ويشمل "المستهلك" كما هو محدد في قوانين ولوائح حماية البيانات.
• "أوروبا" تعني الاتحاد الأوروبي، والمنطقة الاقتصادية الأوروبية، وسويسرا، والمملكة المتحدة. يتضمن الجدول 5 أحكامًا إضافية تنطبق على عمليات نقل البيانات الشخصية من أوروبا. وفي حالة إزالة الجدول 5، يضمن العميل أنه لن يقوم بمعالجة البيانات الشخصية الخاضعة لقوانين ولوائح حماية البيانات في أوروبا.
• "GDPR" يعني اللائحة (الاتحاد الأوروبي) 2016/679 الصادرة عن البرلمان الأوروبي والمجلس بتاريخ 27 أبريل 2016 بشأن حماية الأشخاص الطبيعيين فيما يتعلق بمعالجة البيانات الشخصية وحرية حركة هذه البيانات، وإلغاء التوجيه 95/46/EC (اللائحة العامة لحماية البيانات).
• "مجموعة OwnBackup" تعني OwnBackup والشركات التابعة لها المشاركة في معالجة البيانات الشخصية.
• "البيانات الشخصية" تعني أي معلومات تتعلق بـ (XNUMX) شخص طبيعي محدد أو يمكن تحديد هويته، و(XNUMX) كيان قانوني محدد أو يمكن تحديد هويته (حيث تكون هذه المعلومات محمية بشكل مماثل للبيانات الشخصية أو المعلومات الشخصية أو معلومات التعريف الشخصية بموجب البيانات المعمول بها قوانين ولوائح الحماية)، حيث تكون هذه البيانات لكل (XNUMX) أو (XNUMX) بيانات العميل.
• "خدمات معالجة البيانات الشخصية" تعني خدمات SaaS المدرجة في الجدول 2، والتي قد تقوم OwnBackup بمعالجة البيانات الشخصية لها.
• "المعالجة" تعني أي عملية أو مجموعة من العمليات التي يتم إجراؤها على البيانات الشخصية، سواء بوسائل تلقائية أم لا، مثل التجميع أو التسجيل أو التنظيم أو الهيكلة أو التخزين أو التكيف أو التغيير أو الاسترجاع أو الاستشارة أو الاستخدام أو الكشف عن طريق النقل، النشر أو الإتاحة بطريقة أخرى أو مواءمة مجموعتك أو تقييدها أو محوها أو تدميرها.
• "المعالج" يعني الكيان الذي يعالج البيانات الشخصية نيابة عن المراقب المالي، بما في ذلك، حسب الاقتضاء، أي "مقدم خدمة" كما هو محدد في قانون CCPA.
• "الشروط التعاقدية القياسية" تعني ملحق القرار التنفيذي للمفوضية الأوروبية (الاتحاد الأوروبي) 2021/914 https://eur-lex.europa.eu/eli/decimpl/2021/914/0i) بتاريخ 4 يونيو 2021 بشأن البنود التعاقدية القياسية لنقل البيانات الشخصية إلى المعالجات المنشأة في دول ثالثة وفقًا للائحة (الاتحاد الأوروبي) 2016/679 الصادرة عن البرلمان الأوروبي ومجلس الاتحاد الأوروبي وتخضع للتعديلات المطلوبة للولايات المتحدة المملكة وسويسرا موضحة بشكل أكبر في الجدول 5.
• "المعالج الفرعي" يعني أي معالج يستخدمه OwnBackup، أو أحد أعضاء مجموعة OwnBackup، أو معالج فرعي آخر.
• "الهيئة الإشرافية" تعني هيئة تنظيمية حكومية أو مفوضة من الحكومة تتمتع بسلطة قانونية ملزمة على العميل.
• "ملحق المملكة المتحدة" يعني ملحق نقل البيانات الدولي في المملكة المتحدة إلى الشروط التعاقدية القياسية لمفوضية الاتحاد الأوروبي (متاح اعتبارًا من 21 مارس 2022 على https://ico.org.uk/for-organisations/guide-to-data-protection/ Guide -to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/)، مكتملة كما هو موضح في الجدول 5.
• "قانون حماية البيانات في المملكة المتحدة" يعني اللائحة رقم 2016/679 الصادرة عن البرلمان الأوروبي والمجلس بشأن حماية الأشخاص الطبيعيين فيما يتعلق بمعالجة البيانات الشخصية وحرية حركة هذه البيانات لأنها تشكل جزءًا من قانون إنجلترا وويلز واسكتلندا وأيرلندا الشمالية بموجب المادة 3 من قانون (الانسحاب) الخاص بالاتحاد الأوروبي لعام 2018، والذي قد يتم تعديله من وقت لآخر بموجب قوانين ولوائح حماية البيانات في المملكة المتحدة.

ترتيب الأسبقية

• أ. باستثناء البنود التعاقدية القياسية المدرجة هنا، والتي يجب أن تكون لها الأولوية، في حالة وجود أي تعارض بين ملحق DPA التكميلي هذا وملحق DPA الحالي، تسود شروط ملحق DPA الحالي.

حدود المسؤولية

• أ. إلى الحد الذي تسمح به قوانين ولوائح حماية البيانات، فإن مسؤولية كل طرف وجميع الشركات التابعة له، مجتمعة في المجمل، تنشأ عن أو تتعلق بملحق DPA التكميلي هذا، سواء في العقد أو الضرر أو بموجب أي نظرية أخرى للمسؤولية، يخضع لبنود "حدود المسؤولية"، والبنود الأخرى التي تستبعد المسؤولية أو تحد منها، في الاتفاقية، وأي إشارة في هذه البنود إلى مسؤولية أي طرف تعني المسؤولية الإجمالية لهذا الطرف وجميع الشركات التابعة له.

التغييرات في آليات النقل

• أ. في حالة إبطال آلية النقل الحالية التي يعتمد عليها الطرفان لتسهيل عمليات نقل البيانات الشخصية إلى دولة واحدة أو أكثر والتي لا تضمن مستوى مناسبًا من حماية البيانات بالمعنى المقصود في قوانين ولوائح حماية البيانات، يتم تعديلها ، أو أن الأطراف المستبدلة ستعمل بحسن نية على تفعيل آلية النقل البديلة هذه لتمكين المعالجة المستمرة للبيانات الشخصية المنصوص عليها في الاتفاقية. يجب أن يخضع استخدام آلية النقل البديلة هذه لاستيفاء كل طرف لجميع المتطلبات القانونية لاستخدام آلية النقل هذه.

قام المفوضون بالتوقيع من الأطراف بتنفيذ هذه الاتفاقية على النحو الواجب، بما في ذلك جميع الجداول والملاحق والملاحق المعمول بها والمضمنة هنا.

قائمة الجداول

• الجدول 1: قائمة المعالجات الفرعية الحالية
• الجدول 2: خدمات SaaS المطبقة على معالجة البيانات الشخصية
• الجدول 3: تفاصيل المعالجة
• الجدول 4: ضوابط أمان OwnBackup
• الجدول 5: الأحكام الأوروبية

الجدول 1

قائمة المعالجات الفرعية الحالية

المعالج الفرعي اسم	عنوان المعالج الفرعي	طبيعة المعالجة	مدة المعالجة	موقع المعالجة
شركة OwnBackup المحدودة	3 شارع ألوف كالمان ماجن، تل أبيب 6107075، إسرائيل	دعم العملاء والصيانة	لمدة الاتفاقية.	إسرائيل
أمازون Web شركة الخدمات*	410 تيري أفينيو نورث، سياتل، واشنطن 98109، الولايات المتحدة الأمريكية	استضافة التطبيقات وتخزين البيانات	لمدة الاتفاقية.	الولايات المتحدة أو كندا أو ألمانيا أو المملكة المتحدة أو أستراليا
شركة مايكروسوفت (أزور)*	وان مايكروسوفت واي، ريدموند، واشنطن 98052، الولايات المتحدة الأمريكية	استضافة التطبيقات وتخزين البيانات	لمدة الاتفاقية.	هولندا أو الولايات المتحدة
شركة Elasticsearch, Inc.**	800 ويست إل كامينو ريال، جناح 350، الجبل View، كاليفورنيا 94040، الولايات المتحدة الأمريكية	الفهرسة والبحث	لمدة الاتفاقية.	هولندا أو الولايات المتحدة

• يمكن للعميل اختيار إما أمازون Web الخدمات أو Microsoft (Azure) وموقع المعالجة المطلوب أثناء الإعداد الأولي للعميل لخدمات SaaS.
• ينطبق فقط على عملاء OwnBackup Archive الذين يختارون النشر في Microsoft (Azure) Cloud.

الجدول 2

خدمات SaaS المطبقة على معالجة البيانات الشخصية

• مؤسسة OwnBackup لـ Salesforce
• OwnBackup غير محدود لـ Salesforce
• OwnBackup Governance Plus لـ Salesforce
• أرشيف النسخ الاحتياطي الخاص
• أحضر إدارة المفاتيح الخاصة بك
• زرع رمل

الجدول 3

تفاصيل المعالجة

مصدر البيانات

• الاسم القانوني الكامل: اسم العميل كما هو محدد أعلاه
• العنوان الرئيسي: عنوان العميل كما هو محدد أعلاه
• جهة الاتصال: إذا لم يتم النص على خلاف ذلك، فستكون هذه هي جهة الاتصال الأساسية في حساب العميل.
• البريد الإلكتروني لجهة الاتصال: إذا لم يتم النص على خلاف ذلك، فيجب أن يكون هذا هو عنوان البريد الإلكتروني الرئيسي لجهة الاتصال في حساب العميل.

مستورد البيانات

• الاسم القانوني الكامل: OwnBackup Inc.
• العنوان الرئيسي: 940 Sylvan Ave، Englewood Cliffs، NJ 07632، الولايات المتحدة الأمريكية
• جهة الاتصال: مسؤول الخصوصية
• البريد الإلكتروني للتواصل: Privacy@ownbackup.com

طبيعة والغرض من المعالجة

• ستقوم OwnBackup بمعالجة البيانات الشخصية حسب الضرورة لأداء خدمات SaaS وفقًا للاتفاقية والأوامر، ووفقًا لتعليمات العميل عند استخدامه لخدمات SaaS.

مدة المعالجة

• ستقوم OwnBackup بمعالجة البيانات الشخصية طوال مدة الاتفاقية، ما لم يتم الاتفاق على خلاف ذلك كتابيًا.

حفظ

• ستحتفظ OwnBackup بالبيانات الشخصية في خدمات SaaS طوال مدة الاتفاقية، ما لم يتم الاتفاق على خلاف ذلك كتابيًا، مع مراعاة الحد الأقصى لفترة الاحتفاظ المحددة في الوثائق.

تردد النقل

• وفقًا لما يحدده العميل من خلال استخدامه لخدمات SaaS.

عمليات النقل إلى المعالجات الفرعية

• حسب الضرورة لأداء خدمات SaaS وفقًا للاتفاقية والأوامر، وكما هو موضح في الجدول 1.

فئات موضوعات البيانات
يجوز للعميل إرسال بيانات شخصية إلى خدمات SaaS، التي يحدد العميل نطاقها ويتحكم فيها وفقًا لتقديره الخاص، والتي قد تشمل، على سبيل المثال لا الحصر، البيانات الشخصية المتعلقة بالفئات التالية من أصحاب البيانات:

• العملاء المحتملون والعملاء وشركاء الأعمال والبائعين التابعين للعميل (الأشخاص الطبيعيين)
• الموظفون أو جهات الاتصال الخاصة بالعملاء المحتملين والعملاء وشركاء الأعمال والبائعين
• الموظفون والوكلاء والمستشارون والموظفون المستقلون التابعون للعميل (وهم أشخاص طبيعيون) ومستخدمو العميل المصرح لهم من قبل العميل باستخدام خدمات SaaS

نوع البيانات الشخصية
يجوز للعميل إرسال بيانات شخصية إلى خدمات SaaS، التي يحدد العميل مداها ويتحكم فيها وفقًا لتقديره الخاص، والتي قد تشمل، على سبيل المثال لا الحصر، فئات البيانات الشخصية التالية:

• الاسم الأول والأخير
• عنوان
• موضع
• صاحب العمل
• معلومات الاتصال (الشركة، البريد الإلكتروني، الهاتف، عنوان العمل الفعلي)
• بيانات الهوية
• بيانات الحياة المهنية
• بيانات الحياة الشخصية
• بيانات التوطين

فئات خاصة من البيانات (إذا كان ذلك مناسبًا)
يجوز للعميل تقديم فئات خاصة من البيانات الشخصية إلى خدمات SaaS، والتي يتم تحديد نطاقها والتحكم فيه بواسطة العميل وفقًا لتقديره الخاص، والتي يمكن أن تتضمن، من أجل الوضوح، معالجة البيانات الجينية والبيانات البيومترية لغرض فريد التعرف على شخص طبيعي أو بيانات تتعلق بالصحة. راجع التدابير الواردة في الجدول 4 لمعرفة كيفية حماية OwnBackup لفئات خاصة من البيانات والبيانات الشخصية الأخرى

الجدول 4

الضوابط الأمنية الخاصة بـOwnBackup 3.3

مقدمة

• تم تصميم تطبيقات برنامج OwnBackup كخدمة (SaaS Services) منذ البداية مع أخذ الأمان في الاعتبار. تم تصميم خدمات SaaS مع مجموعة متنوعة من الضوابط الأمنية عبر مستويات متعددة لمعالجة مجموعة من المخاطر الأمنية. تخضع ضوابط الأمان هذه للتغيير؛ ومع ذلك، فإن أي تغييرات ستحافظ على الوضع الأمني ​​العام أو تحسنه.
• تنطبق أوصاف عناصر التحكم أدناه على تطبيقات خدمة SaaS على كل من Amazon Web منصات الخدمات (AWS) وMicrosoft Azure (Azure) (يُشار إليهما معًا بمقدمي الخدمات السحابية أو CSPs)، باستثناء ما هو محدد في قسم التشفير أدناه. لا تنطبق هذه الأوصاف لعناصر التحكم على برنامج RevCult باستثناء ما هو منصوص عليه ضمن "تطوير البرامج الآمنة" أدناه.

عمليات التدقيق والشهادات

• تم اعتماد خدمات SaaS بموجب ISO/IEC 27001:2013 (نظام إدارة أمن المعلومات) وISO/IEC 27701:2019 (نظام إدارة معلومات الخصوصية).
• تخضع OwnBackup لمراجعة SOC2 Type II السنوية بموجب SSAE-18 للتحقق بشكل مستقل من فعالية ممارسات وسياسات وإجراءات وعمليات أمن المعلومات الخاصة بها لمعايير خدمات الثقة التالية: الأمان والتوافر والسرية وتكامل المعالجة.
• يستخدم OwnBackup مناطق CSP العالمية للحوسبة والتخزين لخدمات SaaS. AWS وAzure عبارة عن منشآت من الدرجة الأولى حاصلة على العديد من الاعتمادات، بما في ذلك SOC1 – SSAE-18، وSOC2، وSOC3، وISO 27001، وHIPAA.

Web ضوابط أمان التطبيق

• يتم وصول العميل إلى خدمات SaaS فقط عبر HTTPS (TLS1.2+)، مما يؤدي إلى تشفير البيانات أثناء النقل بين المستخدم النهائي والتطبيق وبين OwnBackup ومصدر بيانات الطرف الثالث (على سبيل المثال، Salesforce).
• يمكن لمسؤولي خدمة SaaS لدى العميل توفير مستخدمي خدمة SaaS وإلغاء توفيرهم والوصول المرتبط بها حسب الضرورة.
• توفر خدمات SaaS عناصر تحكم في الوصول قائمة على الأدوار لتمكين العملاء من إدارة أذونات المؤسسات المتعددة.
• يمكن لمسؤولي خدمة SaaS الخاصة بالعميل الوصول إلى مسارات التدقيق بما في ذلك اسم المستخدم والإجراء والوقتampوحقول عنوان IP المصدر. يمكن أن تكون سجلات التدقيق viewتم تحريرها وتصديرها بواسطة مسؤول خدمة SaaS الخاص بالعميل بتسجيل الدخول إلى خدمات SaaS وكذلك من خلال واجهة برمجة تطبيقات خدمات SaaS.
• يمكن تقييد الوصول إلى خدمات SaaS بواسطة عنوان IP المصدر.
• تتيح خدمات SaaS للعملاء تمكين المصادقة متعددة العوامل للوصول إلى حسابات خدمة SaaS باستخدام كلمات مرور لمرة واحدة تعتمد على الوقت.
• تتيح خدمات SaaS للعملاء تمكين تسجيل الدخول الموحد عبر موفري هوية SAML 2.0.
• تتيح خدمات SaaS للعملاء تمكين سياسات كلمات المرور القابلة للتخصيص للمساعدة في مواءمة كلمات مرور خدمة SaaS مع سياسات الشركة.

التشفير
يقدم OwnBackup خيارات خدمة SaaS التالية لتشفير البيانات أثناء عدم النشاط:
العرض القياسي.

• يتم تشفير البيانات باستخدام التشفير من جانب الخادم AES-256 عبر نظام إدارة المفاتيح الذي تم التحقق من صحته بموجب FIPS 140-2.
• يتم استخدام تشفير المغلف بحيث لا يترك المفتاح الرئيسي وحدة أمان الأجهزة (HSM) أبدًا.
• يتم تدوير مفاتيح التشفير مرة كل عامين على الأقل.

خيار إدارة المفاتيح المتقدمة (AKM).

• يتم تشفير البيانات في حاوية تخزين كائنات مخصصة باستخدام مفتاح التشفير الرئيسي المقدم من العميل (CMK).
• يسمح AKM بأرشفة المفتاح في المستقبل وتدويره باستخدام مفتاح تشفير رئيسي آخر.
• يمكن للعميل إلغاء مفاتيح التشفير الرئيسية، مما يؤدي إلى عدم إمكانية الوصول الفوري إلى البيانات.

إحضار خيار نظام إدارة المفاتيح الخاص بك (KMS) (متوفر على AWS فقط).

• يتم إنشاء مفاتيح التشفير في حساب العميل الذي تم شراؤه بشكل منفصل باستخدام AWS KMS.
• يحدد العميل سياسة مفتاح التشفير التي تسمح لحساب خدمة SaaS الخاص بالعميل على AWS بالوصول إلى المفتاح من AWS KMS الخاص بالعميل.
• يتم تشفير البيانات في حاوية تخزين كائنات مخصصة تتم إدارتها بواسطة OwnBackup، ويتم تكوينها لاستخدام مفتاح التشفير الخاص بالعميل.
• يجوز للعميل إلغاء الوصول إلى البيانات المشفرة على الفور عن طريق إلغاء وصول OwnBackup إلى مفتاح التشفير، دون التفاعل مع OwnBackup.
• لا يستطيع موظفو OwnBackup الوصول إلى مفاتيح التشفير في أي وقت ولا يمكنهم الوصول إلى KMS مباشرة.
• يتم تسجيل جميع أنشطة الاستخدام الرئيسية في نظام إدارة المفاتيح (KMS) الخاص بالعميل، بما في ذلك استرجاع المفتاح من خلال وحدة تخزين الكائنات المخصصة.

يستخدم التشفير أثناء النقل بين خدمات SaaS ومصدر بيانات الجهة الخارجية (على سبيل المثال، Salesforce) HTTPS مع TLS 1.2+ وOAuth 2.0.

شبكة

• تستخدم خدمات SaaS عناصر تحكم شبكة CSP لتقييد دخول الشبكة وخروجها.
• يتم استخدام مجموعات الأمان ذات الحالة الخاصة للحد من دخول الشبكة والخروج إلى نقاط النهاية المعتمدة.
• تستخدم خدمات SaaS بنية شبكة متعددة المستويات، بما في ذلك سحابات Amazon الافتراضية الخاصة المتعددة (VPCs) المنفصلة منطقيًا أو شبكات Azure الافتراضية (VNets)، مع الاستفادة من المناطق الخاصة والمناطق المجردة من السلاح والمناطق غير الموثوق بها داخل البنية التحتية لمزود الخدمة السحابية (CSP).
•  في AWS، يتم استخدام قيود VPC S3 Endpoint في كل منطقة للسماح بالوصول فقط من VPCs المعتمدة.

المراقبة والتدقيق

• تتم مراقبة أنظمة وشبكات خدمة SaaS بحثًا عن الحوادث الأمنية، وصحة النظام، وتشوهات الشبكة، ومدى توفرها.
• تستخدم خدمات SaaS نظام كشف التطفل (IDS) لمراقبة نشاط الشبكة وتنبيه OwnBackup بالسلوك المشبوه.
• استخدام خدمات SaaS web جدران الحماية التطبيقية (WAFs) للجميع web خدمات.
• يقوم OwnBackup بتسجيل أحداث التطبيق والشبكة والمستخدم ونظام التشغيل إلى خادم سجل نظام محلي ونظام SIEM الخاص بالمنطقة. ويتم تحليل هذه السجلات تلقائيًا وإعادةviewإد للأنشطة المشبوهة والتهديدات. يتم تصعيد أي حالات شاذة حسب الاقتضاء.
• يستخدم OwnBackup أنظمة المعلومات الأمنية وإدارة الأحداث (SIEM) التي توفر تحليلًا أمنيًا مستمرًا لشبكات خدمات SaaS وبيئة الأمان، وتنبيه شذوذ المستخدم، واستطلاع هجمات القيادة والتحكم (C&C)، والكشف الآلي عن التهديدات، والإبلاغ عن مؤشرات التسوية (IOC). ). تتم إدارة كل هذه الإمكانات بواسطة موظفي الأمن والعمليات في OwnBackup.
• يقوم فريق الاستجابة للحوادث في OwnBackup بمراقبة الاسم المستعار Security@ownbackup.com ويستجيب وفقًا لخطة الاستجابة للحوادث (IRP) الخاصة بالشركة عندما يكون ذلك مناسبًا.

العزلة بين الحسابات

• تستخدم خدمات SaaS وضع حماية Linux لعزل بيانات حسابات العملاء أثناء المعالجة. وهذا يساعد على التأكد من أن أي شذوذ (على سبيل المثالample، بسبب مشكلة أمنية أو خطأ برمجي) يظل محصوراً في حساب OwnBackup واحد.
• يتم التحكم في الوصول إلى بيانات المستأجر من خلال مستخدمي IAM الفريدين الذين لديهم بيانات tagGing الذي لا يسمح للمستخدمين غير المصرح لهم بالوصول إلى بيانات المستأجر.

التعافي من الكوارث

• يستخدم OwnBackup تخزين كائنات CSP لتخزين بيانات العملاء المشفرة عبر مناطق توافر متعددة.
• بالنسبة لبيانات العميل المخزنة على وحدة تخزين الكائنات، يستخدم OwnBackup إصدار الكائنات مع التقادم التلقائي لدعم الامتثال لسياسات النسخ الاحتياطي والتعافي من الكوارث الخاصة بـ OwnBackup. بالنسبة لهذه الكائنات، تم تصميم أنظمة OwnBackup لدعم هدف نقطة الاسترداد (RPO) لمدة 0 ساعة (أي القدرة على استعادة أي إصدار لأي كائن كما كان موجودًا في فترة الـ 14 يومًا السابقة).
• يتم تحقيق أي استرداد مطلوب لمثيل الحوسبة عن طريق إعادة بناء المثيل استنادًا إلى أتمتة إدارة تكوين OwnBackup.
• تم تصميم خطة التعافي من الكوارث الخاصة بـ OwnBackup لدعم هدف وقت الاسترداد (RTO) وهو 4 ساعات.

إدارة الثغرات الأمنية

• يتم تنفيذ OwnBackup بشكل دوري web تقييمات نقاط ضعف التطبيق، وتحليل التعليمات البرمجية الثابتة، والتقييمات الديناميكية الخارجية كجزء من برنامج المراقبة المستمرة الخاص بها للمساعدة في ضمان تطبيق ضوابط أمان التطبيق بشكل صحيح وتشغيلها بفعالية.
• على أساس نصف سنوي، تقوم OwnBackup بتعيين مختبري اختراق مستقلين من طرف ثالث لإجراء كل من الشبكة و web تقييمات الضعف. يشمل نطاق عمليات التدقيق الخارجية هذه الامتثال لـ Open Web مشروع أمان التطبيقات (OWASP) أعلى 10 Web نقاط الضعف (www.owasp.org).
• يتم دمج نتائج تقييم الثغرات الأمنية في دورة حياة تطوير برامج OwnBackup (SDLC) لمعالجة نقاط الضعف المحددة. يتم تحديد أولويات الثغرات الأمنية المحددة وإدخالها في نظام التذاكر الداخلي OwnBackup لتتبع الحل.

الاستجابة للحوادث

• في حالة حدوث خرق أمني محتمل، سيقوم فريق الاستجابة لحوادث OwnBackup بإجراء تقييم للموقف ووضع استراتيجيات التخفيف المناسبة. إذا تم تأكيد الانتهاك المحتمل، فسوف تعمل OwnBackup على الفور على تخفيف الانتهاك والحفاظ على الأدلة الجنائية، وسوف تقوم بإخطار نقاط الاتصال الرئيسية للعملاء المتأثرين دون تأخير لا مبرر له لإطلاعهم على الموقف وتقديم تحديثات حالة الحل.

تطوير البرمجيات الآمنة

• تستخدم OwnBackup ممارسات تطوير آمنة لتطبيقات برامج OwnBackup وRevCult طوال دورة حياة تطوير البرامج. تتضمن هذه الممارسات تحليل التعليمات البرمجية الثابتة وإعادة أمان Salesforceview بالنسبة لتطبيقات RevCult وتطبيقات OwnBackup المثبتة في مثيلات Salesforce الخاصة بالعملاء، فإن Peer review تغييرات التعليمات البرمجية، وتقييد الوصول إلى مستودع التعليمات البرمجية المصدر على أساس مبدأ الامتيازات الأقل، وتسجيل الوصول إلى مستودع التعليمات البرمجية المصدر والتغييرات.

فريق أمني متخصص

• لدى OwnBackup فريق أمني متخصص يتمتع بخبرة تزيد عن 100 عام في مجال أمن المعلومات متعددة الأوجه. بالإضافة إلى ذلك، يحتفظ أعضاء الفريق بعدد من الشهادات المعترف بها في الصناعة، بما في ذلك على سبيل المثال لا الحصر، CISM وCISSP وISO 27001 Lead Auditors.

الخصوصية وحماية البيانات

• يوفر OwnBackup دعمًا أصليًا لطلبات الوصول إلى أصحاب البيانات، مثل الحق في المحو (الحق في النسيان) وإخفاء الهوية، لدعم الامتثال للوائح خصوصية البيانات، بما في ذلك اللائحة العامة لحماية البيانات (GDPR)، وقانون قابلية نقل التأمين الصحي والمساءلة (HIPAA)، وقانون خصوصية المستهلك في كاليفورنيا (CCPA). يوفر OwnBackup أيضًا ملحقًا لمعالجة البيانات لمعالجة قوانين الخصوصية وحماية البيانات، بما في ذلك المتطلبات القانونية لعمليات نقل البيانات الدولية.

التحقق من الخلفية

•  تقوم OwnBackup بإجراء مجموعة من عمليات فحص الخلفية، بما في ذلك عمليات فحص الخلفية الجنائية، لموظفيها الذين قد يكون لديهم حق الوصول إلى بيانات العملاء، استنادًا إلى السلطات القضائية التي يقيم بها الموظف خلال السنوات السبع السابقة، وفقًا للقانون المعمول به.

تأمين
تحتفظ OwnBackup، على الأقل، بالتغطية التأمينية التالية: (أ) تأمين تعويضات العمال وفقًا لجميع القوانين المعمول بها؛ (ب) التأمين ضد مسؤولية السيارات للمركبات غير المملوكة والمستأجرة، بحد أقصى إجمالي قدره 1,000,000 دولار؛ (ج) تأمين المسؤولية العامة التجارية (المسؤولية العامة) بتغطية ذات حد واحد تبلغ 1,000,000 دولار أمريكي لكل حالة وتغطية إجمالية عامة بقيمة 2,000,000 دولار أمريكي؛ (د) التأمين على الأخطاء والسهو (التعويض المهني) بحد أقصى 20,000,000 دولار أمريكي لكل حدث و20,000,000 دولار أمريكي إجماليًا، بما في ذلك الطبقات الأساسية والزائدة، بما في ذلك المسؤولية السيبرانية، والتكنولوجيا والخدمات المهنية، ومنتجات التكنولوجيا، وأمن البيانات والشبكات، والاستجابة للانتهاكات، والمتطلبات التنظيمية الدفاع والعقوبات، والابتزاز السيبراني ومسؤوليات استعادة البيانات؛ و(هـ) التأمين ضد خيانة الأمانة/الجريمة للموظفين بتغطية قدرها 5,000,000 دولار. وسوف تقوم شركة OwnBackup بتزويد العميل بدليل على هذا التأمين عند الطلب.

الجدول 5

الأحكام الأوروبية

ينطبق هذا الجدول فقط على عمليات نقل البيانات الشخصية (بما في ذلك عمليات النقل اللاحقة) من أوروبا والتي، في حالة عدم تطبيق هذه الأحكام، قد تتسبب في انتهاك العميل أو OwnBackup لقوانين ولوائح حماية البيانات المعمول بها.

آلية نقل البيانات.

• أ) تنطبق البنود التعاقدية القياسية على أي عمليات نقل للبيانات الشخصية بموجب ملحق DPA التكميلي هذا من أوروبا إلى البلدان التي لا تضمن مستوى مناسبًا من حماية البيانات بالمعنى المقصود في قوانين ولوائح حماية البيانات في هذه الأقاليم، إلى الحد الذي يتم فيه إجراء عمليات النقل هذه تخضع لقوانين ولوائح حماية البيانات. يدخل OwnBackup في الشروط التعاقدية القياسية كمستورد للبيانات. تنطبق الشروط الإضافية في هذا الجدول أيضًا على عمليات نقل البيانات هذه.

التحويلات تخضع للبنود التعاقدية القياسية.

• أ) العملاء المشمولين بالبنود التعاقدية القياسية. تنطبق البنود التعاقدية القياسية والشروط الإضافية المحددة في هذا الجدول على (XNUMX) العميل، إلى الحد الذي يخضع فيه العميل لقوانين ولوائح حماية البيانات في أوروبا و(XNUMX) الشركات التابعة المعتمدة له. ولأغراض البنود التعاقدية القياسية وهذا الجدول، تعتبر هذه الكيانات "مصدري البيانات".
• ب) الوحدات. يتفق الطرفان على أنه حيثما يجوز تطبيق الوحدات الاختيارية ضمن الشروط التعاقدية القياسية، فإنه سيتم تطبيق فقط تلك التي تحمل عنوان "الوحدة الثانية: نقل وحدة التحكم إلى المعالج".
• ج) التعليمات. يتفق الطرفان على أن استخدام العميل لخدمات معالجة البيانات الشخصية وفقًا للاتفاقية وملحق DPA الحالي يعتبر بمثابة تعليمات من العميل لمعالجة البيانات الشخصية لأغراض البند 8.1 من البنود التعاقدية القياسية.
• د) تعيين معالجين فرعيين جدد وقائمة المعالجين الفرعيين الحاليين. بموجب الخيار 2 للبند 9(أ) من الشروط التعاقدية القياسية، يوافق العميل على أنه يجوز لشركة OwnBackup إشراك معالجين فرعيين جدد كما هو موضح في ملحق DPA الحالي وأنه يجوز الاحتفاظ بالشركات التابعة لـ OwnBackup كمعالجين فرعيين، كما يجوز لشركة OwnBackup والشركات التابعة لها إشراك طرف ثالث - المعالجون الفرعيون التابعون للطرف فيما يتعلق بتوفير خدمات معالجة البيانات. القائمة الحالية للمعالجين الفرعيين كما هي مرفقة في الجدول 1.
• اتفاقيات المعالجات الفرعية. يتفق الطرفان على أن عمليات نقل البيانات إلى المعالجين الفرعيين قد تعتمد على آلية نقل بخلاف البنود التعاقدية القياسية (على سبيل المثالample، قواعد الشركة الملزمة)، وأن اتفاقيات OwnBackup مع هؤلاء المعالجين الفرعيين قد لا تتضمن أو تعكس البنود التعاقدية القياسية، بغض النظر عن أي شيء يتعارض مع ذلك في البند 9 (ب) من البنود التعاقدية القياسية. ومع ذلك، فإن أي اتفاقية من هذا القبيل مع معالج فرعي يجب أن تحتوي على التزامات حماية البيانات لا تقل حماية عن تلك الواردة في ملحق DPA التكميلي هذا فيما يتعلق بحماية بيانات العميل، إلى الحد الذي ينطبق على الخدمات التي يقدمها هذا المعالج الفرعي. سيتم توفير نسخ من اتفاقيات المعالج الفرعي التي يجب أن تقدمها OwnBackup إلى العميل وفقًا للبند 9 (ج) من الشروط التعاقدية القياسية بواسطة OwnBackup فقط بناءً على طلب كتابي من العميل وقد تحتوي على جميع المعلومات التجارية أو البنود غير المرتبطة بـ الشروط التعاقدية القياسية أو ما يعادلها، والتي تمت إزالتها بواسطة OwnBackup مسبقًا.
• و) عمليات التدقيق والشهادات. يتفق الطرفان على أن عمليات التدقيق الموضحة في البند 8.9 والبند 13 (ب) من البنود التعاقدية القياسية يجب أن تتم وفقًا لشروط اتفاق DPA الحالي.
• ز) محو البيانات. يتفق الطرفان على أن مسح أو إعادة البيانات المنصوص عليها في البند 8.5 أو البند 16 (د) من البنود التعاقدية القياسية يجب أن يتم وفقًا لشروط ملحق DPA الحالي ويجب أن يتم تقديم أي شهادة بالحذف بواسطة OwnBackup فقط بناءً على موافقة العميل. طلب.
• ح) المستفيدون من الطرف الثالث. يتفق الطرفان على أنه بناءً على طبيعة خدمات SaaS، يجب على العميل تقديم كل المساعدة المطلوبة للسماح لـ OwnBackup بالوفاء بالتزاماته تجاه أصحاب البيانات بموجب البند 3 من البنود التعاقدية القياسية.
• تقييم الاثر. وفقًا للبند 14 من الشروط التعاقدية القياسية، أجرى الطرفان تحليلًا، في سياق الظروف المحددة للنقل، لقوانين وممارسات بلد الوجهة، بالإضافة إلى الشروط التعاقدية والتنظيمية والفنية التكميلية المحددة. الضمانات المطبقة، واستنادًا إلى المعلومات المعروفة لهم بشكل معقول في ذلك الوقت، قرروا أن قوانين وممارسات بلد الوجهة لا تمنع الأطراف من الوفاء بالتزامات كل طرف بموجب الشروط التعاقدية القياسية.
• ي) القانون الحاكم والمنتدى. يتفق الطرفان، فيما يتعلق بالخيار 2 للبند 17، على أنه في حالة عدم سماح الدولة العضو في الاتحاد الأوروبي التي تم إنشاء جهة تصدير البيانات فيها بحقوق المستفيد الخارجية، فإن البنود التعاقدية القياسية تخضع لقانون أيرلندا. وفقًا للبند 18، يتم حل النزاعات المرتبطة بالبنود التعاقدية القياسية من خلال المحاكم المحددة في الاتفاقية، ما لم تكن هذه المحكمة موجودة في إحدى الدول الأعضاء في الاتحاد الأوروبي، وفي هذه الحالة يكون منتدى هذه النزاعات هو محاكم أيرلندا. .
• ك) المرفقات. لأغراض تنفيذ الشروط التعاقدية القياسية، الجدول 3: يجب دمج تفاصيل المعالجة في الملحق IA وIB، الجدول 4: ضوابط أمان OwnBackup (والتي قد يتم تحديثها من وقت لآخر في https://www.ownbackup.com/trust/) في الملحق الثاني والجدول 1: قائمة المعالجات الفرعية الحالية (كما قد يتم تحديثها من وقت لآخر في https://www.ownbackup.com/legal/sub-p/) في الملحق الثالث.
• ل) التفسير. تهدف شروط هذا الجدول إلى توضيح الشروط التعاقدية القياسية وليس تعديلها. في حالة وجود أي تعارض أو عدم تناسق بين نص هذا الجدول والبنود التعاقدية القياسية، تسود البنود التعاقدية القياسية.

الأحكام المطبقة على التحويلات من سويسرا
يتفق الطرفان على أنه لأغراض تطبيق البنود التعاقدية القياسية لتسهيل عمليات نقل البيانات الشخصية من سويسرا، يجب تطبيق الأحكام الإضافية التالية: (2016) يجب تفسير أي إشارات إلى اللائحة (الاتحاد الأوروبي) 679/XNUMX على أنها تشير إلى الأحكام المقابلة من القانون الفيدرالي السويسري بشأن حماية البيانات وقوانين حماية البيانات الأخرى في سويسرا ("قوانين حماية البيانات السويسرية")، (XNUMX) يجب تفسير أي إشارات إلى "دولة عضو" أو "دولة عضو في الاتحاد الأوروبي" أو "الاتحاد الأوروبي" على أنها إشارة إلى سويسرا، و(XNUMX) يجب تفسير أي إشارات إلى الهيئة الإشرافية على أنها تشير إلى المفوض الفيدرالي السويسري لحماية البيانات والمعلومات.

الأحكام المعمول بها التحويلات من المملكة المتحدة.
يتفق الطرفان على أن ملحق المملكة المتحدة ينطبق على عمليات نقل البيانات الشخصية التي يحكمها قانون حماية البيانات في المملكة المتحدة ويجب اعتباره مكتملاً على النحو التالي (مع مصطلحات مكتوبة بأحرف كبيرة لم يتم تعريفها في مكان آخر مع التعريف المنصوص عليه في ملحق المملكة المتحدة):

• أ) الجدول 1: الأطراف وتفاصيلهم وجهات الاتصال الخاصة بهم هي تلك المنصوص عليها في الجدول 3.
• ب) الجدول 2: "الشروط التعاقدية القياسية المعتمدة في الاتحاد الأوروبي" هي الشروط التعاقدية القياسية على النحو المنصوص عليه في هذا الجدول 5.
• ج) الجدول 3: تم إكمال المرفقات الأول (أ)، الأول (ب)، والثاني على النحو المبين في القسم 2 (ك) من الجدول 5 هذا.
• د) الجدول 4: يجوز لشركة OwnBackup ممارسة حق الإنهاء المبكر الاختياري الموضح في القسم 19 من ملحق المملكة المتحدة.

المستندات / الموارد

ملحق معالجة البيانات التكميلية الخاصة بـ Ownbackup [بي دي اف] تعليمات ملحق معالجة البيانات التكميلية، ملحق معالجة البيانات، ملحق

مراجع

• دليل المستخدم