Politika izvršitelja obrade osobnih podataka (PII) u oblaku

Politika izvršitelja obrade osobnih podataka (PII) u oblaku definira obvezne zahtjeve privatnosti za usluge u oblaku u kojima organizacija djeluje kao izvršitelj obrade osobnih podataka (PII) ili podizvršitelj obrade. Njezin opseg uključuje SaaS, PaaS, IaaS, hostirane aplikacije, upravljani oblak, podršku u oblaku, pohranu u oblaku, analitiku u oblaku i infrastrukturne usluge u oblaku koje obrađuju osobne podatke (PII) u ime klijenata. Politika je oblikovana tako da obradu u oblaku održava usklađenom s dokumentiranim ugovorima s klijentima, uputama klijenta, uputama uzvodnog izvršitelja obrade, aranžmanima podizvršitelja obrade, konfiguracijom regije u oblaku, pristupom podrške u oblaku, administracijom usluge, sigurnosnim kopiranjem, replikacijom, zapisivanjem događaja, praćenjem, brisanjem, povratom, podrškom pri povredi, revizijskom podrškom i obvezama pomoći klijentu. Središnja svrha politike jest kontrola vođena dokazima. Prije uvođenja klijenta ili značajne promjene usluge, voditelj privatnosti / voditelj PIMS-a mora evidentirati svaku uslugu obrade osobnih podataka (PII) u oblaku, ulogu obrade, izvor upute klijenta, kategorije osobnih podataka (PII), kategorije ispitanika, svrhu usluge, lokaciju obrade, ovisnost o podizvršitelju obrade, ovisnost o brisanju i oznaku prijenosa u REG02 i REG08. Politika također zahtijeva da se primjenjivost kontrola izvršitelja obrade u oblaku evidentira u REG03, da se usmjeravanje prijenosa i lokacija po potrebi obuhvati u REG09, da se incidenti u vezi s osobnim podacima (PII) u oblaku obrađuju kroz REG10 te da se praćenje, iznimke, sporovi, rezultati provjere i korektivne radnje vode kroz REG12. Time se obveze izvršitelja obrade u oblaku integriraju s postojećim skupom PIMS politika i izbjegava se stvaranje zasebnih registara za ugovore, usluge, izolaciju zakupaca, pristup, zapise dnevnika, brisanje, podršku, revizije, povrede ili podizvršitelje obrade. Politika postavlja praktične zahtjeve kroz životni ciklus usluge u oblaku. Zahtijeva dokumentirane upute klijenta ili uzvodnog izvršitelja obrade prije početka obrade, pregled uputa koje izgledaju neusklađeno s obvezama ili odobrenim opsegom usluge te odobrenje prije svake obrade osobnih podataka (PII) klijenta izvan dokumentiranih uputa. Uređuje i konfiguraciju oblaka te sigurnosne dokaze zahtijevanjem granica podijeljene odgovornosti, provjere izolacije zakupaca, kontroliranog administrativnog pristupa, tromjesečnog pregleda privilegiranog pristupa i obuhvata zapisivanja događaja, razdvajanja okruženja te evidentiranih lokacija sigurnosnih kopija, replikacije, pohrane dnevničkih zapisa i pristupa podrške. Ti su zahtjevi namjerno povezani s postojećim sigurnosnim kontrolama osobnih podataka (PII), umjesto da zamjenjuju širu Politiku sigurnosti i kontrole pristupa za osobne podatke (PII). Upravljanje podizvršiteljima obrade i opskrbnim lancem u oblaku tretira se kao temeljna obveza izvršitelja obrade. Vlasnik dobavljača / nabave mora prije uporabe evidentirati podizvršitelje obrade u oblaku, pružatelje infrastrukture, pružatelje usluga hostinga, pružatelje upravljanih usluga, pružatelje podrške i druge značajne ovisnosti o uslugama u oblaku. Politika zahtijeva dokaze o odobrenju klijenta ili dokumentiranoj osnovi odobrenja, prenesene obveze za privatnost, sigurnost, pomoć, incidente, povrat, brisanje, revizijsku podršku i prijenose te zapise o lokacijama usluga, lokacijama udaljene podrške, regijama hostinga i usmjeravanju daljnjeg prijenosa. Također zahtijeva obavješćivanje klijenta o namjeravanim promjenama podizvršitelja obrade u oblaku unutar ugovorom zahtijevanog roka obavijesti te najmanje godišnji pregled aktivnih zapisa o podizvršiteljima obrade u oblaku i ovisnostima o oblaku. Politika također obuhvaća pomoć klijentu, revizijsku podršku, sučelje za povrede, brisanje i izlazni postupak. Obveze pomoći klijentu za zahtjeve za ostvarivanje prava, brisanje, ispravak, ograničenje, pristup, reviziju, pomoć pri DPIA-i i podršku pri povredi moraju se evidentirati prije izvršenja ugovora ili aktivacije usluge. Podrška za zahtjeve za ostvarivanje prava koju zatraži klijent mora se dovršiti u roku dogovorenom s klijentom, zahtjevi za pomoć pri DPIA-i ili procjeni koji su značajni za privatnost moraju se pregledati u roku od deset radnih dana, a zakašnjeli ili osporeni zahtjevi za pomoć moraju se pratiti. Za izlazni postupak politika zahtijeva dokaze o mogućnosti izvoza, povrata, prijenosa ili brisanja prije uvođenja ili značajne promjene usluge, dovršetak u rokovima dogovorenima s klijentom, uključivanje aktivnih sustava, sigurnosnih kopija, replika, zapisa dnevnika, privremenih datoteka, pripremnih okruženja i kopija za podršku te postupanje s nesukladnošću kada se obveze ne mogu dovršiti na vrijeme. Upravljanje se dodatno osnažuje tromjesečnim pregledima potpunosti dokaza, godišnjim pregledima politike i podizvršitelja obrade, revizijskim uzorkovanjem, metrikama, provedbenim mjerama i odobrenjem najvišeg rukovodstva za značajne iznimke i izmjene.