Mākoņpakalpojumu personas datu apstrādātāja politika

Mākoņpakalpojumu personas datu apstrādātāja politika nosaka obligātās privātuma prasības mākoņpakalpojumiem, kuros organizācija darbojas kā personas datu apstrādātājs vai apakšapstrādātājs. Tās piemērošanas joma ietver SaaS, PaaS, IaaS, mitinātas lietojumprogrammas, pārvaldītu mākoņvidi, mākoņatbalstu, mākoņkrātuvi, mākoņanalītiku un mākoņinfrastruktūras pakalpojumus, kas apstrādā personas datus klientu vārdā. Politika ir izstrādāta, lai mākoņvides apstrādi uzturētu saskaņā ar dokumentētām klientu vienošanām, klienta norādījumiem, augšupējā apstrādātāja norādījumiem, apakšapstrādātāju kārtību, mākoņreģiona konfigurāciju, mākoņatbalsta piekļuvi, pakalpojumu administrēšanu, rezerves kopijām, replikāciju, žurnālfiksēšanu, uzraudzību, dzēšanu, atdošanu, atbalstu pārkāpumu gadījumā, audita atbalstu un klienta palīdzības pienākumiem. Politikas centrālais mērķis ir uz pierādījumiem balstīta kontrole. Pirms klienta ievadīšanas vai būtiskas pakalpojuma izmaiņas Privātuma vadītājam / PIMS vadītājam REG02 un REG08 jāreģistrē katrs mākoņvides personas datu apstrādes pakalpojums, apstrādes loma, klienta norādījuma avots, personas datu kategorijas, datu subjektu kategorijas, pakalpojuma nolūks, apstrādes vieta, apakšapstrādātāja atkarība, dzēšanas atkarība un datu nosūtīšanas pazīme. Politika arī prasa REG03 reģistrēt mākoņpakalpojumu apstrādātāja kontroles pasākumu piemērojamību, REG09 attiecīgajos gadījumos fiksēt datu nosūtīšanas un atrašanās vietas maršrutēšanu, REG10 pārvaldīt mākoņvides personas datu incidentus, bet REG12 apstrādāt uzraudzību, izņēmumus, strīdus, validācijas rezultātus un korektīvās darbības. Tas nodrošina mākoņpakalpojumu apstrādātāja pienākumu integrāciju esošajā PIMS politiku kopā un novērš atsevišķu reģistru veidošanu līgumiem, pakalpojumiem, nomnieku izolācijai, piekļuvei, žurnāliem, dzēšanai, atbalstam, auditiem, pārkāpumiem vai apakšapstrādātājiem. Politika nosaka praktiskas prasības visā mākoņpakalpojuma dzīves ciklā. Tā prasa dokumentētus klienta vai augšupējā apstrādātāja norādījumus pirms apstrādes sākšanas, pārskatīt norādījumus, kas šķiet neatbilstoši pienākumiem vai apstiprinātajai pakalpojuma jomai, un saņemt apstiprinājumu, pirms jebkādi klienta personas dati tiek apstrādāti ārpus dokumentētajiem norādījumiem. Tā arī regulē mākoņvides konfigurācijas un drošības pierādījumus, prasot kopīgās atbildības robežas, nomnieku izolācijas validāciju, kontrolētu administratīvo piekļuvi, privileģētās piekļuves un žurnālfiksēšanas pārklājuma ceturkšņa pārskatīšanu, vides nošķiršanu, kā arī reģistrētas rezerves kopiju, replikācijas, žurnālu glabāšanas un atbalsta piekļuves atrašanās vietas. Šīs prasības ir apzināti sasaistītas ar esošajiem personas datu drošības kontroles pasākumiem, nevis aizstāj plašāko Personas datu drošības un piekļuves kontroles politiku. Apakšapstrādātāju un mākoņpakalpojumu piegādes ķēdes pārvaldība tiek uzskatīta par apstrādātāja pamatpienākumu. Piegādātāja / iepirkuma īpašniekam pirms izmantošanas jāreģistrē mākoņpakalpojumu apakšapstrādātāji, infrastruktūras pakalpojumu sniedzēji, mitināšanas pakalpojumu sniedzēji, pārvaldīto pakalpojumu sniedzēji, atbalsta pakalpojumu sniedzēji un citas būtiskas mākoņpakalpojumu atkarības. Politika prasa pierādījumus par klienta autorizāciju vai dokumentētu autorizācijas pamatu, tālāk nododamos pienākumus privātuma, drošības, palīdzības, incidentu, atdošanas, dzēšanas, audita atbalsta un datu nosūtīšanas jomā, kā arī ierakstus par pakalpojumu atrašanās vietām, attālinātā atbalsta vietām, mitināšanas reģioniem un turpmākas nosūtīšanas maršrutēšanu. Tā arī prasa klientu informēt par plānotām mākoņpakalpojumu apakšapstrādātāju izmaiņām līgumā noteiktajā paziņošanas periodā un vismaz reizi gadā pārskatīt aktīvos mākoņpakalpojumu apakšapstrādātāju un mākoņpakalpojumu atkarību ierakstus. Politika aptver arī klienta palīdzību, audita atbalstu, pārkāpumu saskarni, dzēšanu un izstāšanos. Klienta palīdzības pienākumi attiecībā uz datu subjekta tiesību īstenošanas pieprasījumiem, dzēšanu, labošanu, ierobežošanu, piekļuvi, auditu, DPIA atbalstu un atbalstu pārkāpumu gadījumā jāreģistrē pirms līguma noslēgšanas vai pakalpojuma aktivizēšanas. Klienta pieprasītais tiesību īstenošanas atbalsts jāpabeidz ar klientu saskaņotajā termiņā, privātumam nozīmīgi DPIA vai izvērtēšanas palīdzības pieprasījumi jāpārskata desmit darba dienu laikā, un nokavēti vai apstrīdēti palīdzības pieprasījumi jāizseko. Izstāšanās gadījumā politika prasa pierādījumus par eksportēšanas, atdošanas, nosūtīšanas vai dzēšanas spēju pirms ievadīšanas vai būtiskas pakalpojuma izmaiņas, izpildi ar klientu saskaņotajos termiņos, aktīvo sistēmu, rezerves kopiju, repliku, žurnālu, pagaidu datņu, sagatavošanas vides un atbalsta kopiju iekļaušanu, kā arī neatbilstību apstrādi, ja pienākumus nevar izpildīt laikus. Pārvaldību pastiprina ceturkšņa pierādījumu pilnīguma pārskatīšana, ikgadēja politikas un apakšapstrādātāju pārskatīšana, audita izlase, metrika, politikas piemērošanas darbības un Augstākās vadības apstiprinājums būtiskiem izņēmumiem un grozījumiem.