Beleid voor cloudverwerkers van persoonsgegevens

Het Beleid voor cloudverwerkers van persoonsgegevens definieert verplichte privacyvereisten voor in de cloud gehoste diensten waarbij de organisatie optreedt als verwerker of subverwerker van persoonsgegevens. De reikwijdte omvat SaaS, PaaS, IaaS, gehoste toepassingen, beheerde cloud, cloudsupport, cloudopslag, cloudanalytics en cloudinfrastructuurdiensten die persoonsgegevens namens klanten verwerken. Het beleid is ontworpen om cloudverwerking afgestemd te houden op gedocumenteerde klantovereenkomsten, klantinstructies, instructies van upstreamverwerkers, subverwerkersafspraken, configuratie van cloudregio's, toegang voor cloudsupport, servicebeheer, back-up, replicatie, logging, monitoring, verwijdering, teruggave, ondersteuning bij inbreuken, auditondersteuning en verplichtingen voor klantassistentie. Een centraal doel van het beleid is beheersing op basis van bewijsmateriaal. Vóór klantonboarding of een wezenlijke wijziging van de dienstverlening moet de Privacyverantwoordelijke / PIMS-manager elke clouddienst voor verwerking van persoonsgegevens, verwerkingsrol, bron van klantinstructies, categorieën persoonsgegevens, categorieën betrokkenen, dienstdoel, verwerkingslocatie, subverwerkersafhankelijkheid, verwijderingsafhankelijkheid en doorgiftevlag registreren in REG02 en REG08. Het beleid vereist ook dat de toepasselijkheid van beheersmaatregelen voor cloudverwerkers wordt geregistreerd in REG03, dat routing van doorgiften en locaties waar relevant wordt vastgelegd in REG09, dat cloudincidenten met betrekking tot persoonsgegevens worden beheerd via REG10, en dat monitoring, uitzonderingen, geschillen, validatieresultaten en corrigerende maatregelen worden afgehandeld via REG12. Zo blijven verplichtingen van cloudverwerkers geïntegreerd met de bestaande PIMS-beleidsset en wordt voorkomen dat afzonderlijke registers worden gecreëerd voor contracten, diensten, tenantisolatie, toegang, logboeken, verwijdering, support, audits, inbreuken of subverwerkers. Het beleid stelt praktische vereisten gedurende de levenscyclus van de clouddienst. Het vereist gedocumenteerde klantinstructies of instructies van upstreamverwerkers voordat verwerking begint, beoordeling van instructies die niet consistent lijken met verplichtingen of het goedgekeurde diensttoepassingsgebied, en goedkeuring voordat persoonsgegevens van klanten buiten gedocumenteerde instructies worden verwerkt. Het behandelt ook cloudconfiguratie en beveiligingsbewijsmateriaal door grenzen van gedeelde verantwoordelijkheid in de cloud, tenantisolatievalidatie, gecontroleerde beheerderstoegang, kwartaalbeoordeling van geprivilegieerde toegang en dekking van logboeken, scheiding van omgevingen, en geregistreerde locaties voor back-ups, replicatie, logopslag en supporttoegang te vereisen. Deze vereisten zijn doelbewust gekoppeld aan bestaande beveiligingsmaatregelen voor persoonsgegevens in plaats van het bredere Beleid inzake beveiliging en toegangscontrole voor persoonsgegevens te vervangen. Subverwerkersgovernance en governance van de cloudtoeleveringsketen worden behandeld als kernverplichtingen van verwerkers. De Leveranciers-/inkoopeigenaar moet cloudsubverwerkers, infrastructuurproviders, hostingproviders, managed service providers, supportproviders en andere wezenlijke afhankelijkheden van clouddiensten vóór gebruik registreren. Het beleid vereist bewijsmateriaal van klantautorisatie of een gedocumenteerde autorisatiegrondslag, doorlegverplichtingen voor privacy, beveiliging, assistentie, incidenten, teruggave, verwijdering, auditondersteuning en doorgiften, en registraties van dienstlocaties, locaties voor support op afstand, hostingregio's en routing van verdere doorgiften. Het vereist ook klantkennisgeving van voorgenomen wijzigingen in cloudsubverwerkers binnen de contractueel vereiste kennisgevingstermijn en ten minste jaarlijkse beoordeling van actieve registraties van cloudsubverwerkers en cloudafhankelijkheden. Het beleid omvat ook klantassistentie, auditondersteuning, de interface voor inbreuken, verwijdering en exit. Verplichtingen voor klantassistentie voor verzoeken tot uitoefening van rechten, verwijdering, rectificatie, beperking, toegang, audit, DPIA-ondersteuning en ondersteuning bij inbreuken moeten vóór contractondertekening of activering van de dienst worden geregistreerd. Door klanten gevraagde ondersteuning bij rechten moet binnen de met de klant overeengekomen termijn worden afgerond, privacyrelevante verzoeken om DPIA- of beoordelingsondersteuning moeten binnen tien werkdagen worden beoordeeld, en achterstallige of betwiste assistentieverzoeken moeten worden gevolgd. Voor exit vereist het beleid bewijsmateriaal van export-, teruggave-, doorgifte- of verwijderingsmogelijkheid vóór onboarding of een wezenlijke wijziging van de dienstverlening, afronding binnen met de klant overeengekomen termijnen, opname van live systemen, back-ups, replica's, logboeken, tijdelijke bestanden, stagingomgevingen en supportkopieën, en afhandeling van non-conformiteiten wanneer verplichtingen niet tijdig kunnen worden afgerond. Governance wordt versterkt door kwartaalbeoordelingen van de volledigheid van bewijsmateriaal, jaarlijkse beoordelingen van beleid en subverwerkers, auditsteekproeven, metrieken, handhavingsmaatregelen en goedkeuring door Topmanagement voor wezenlijke uitzonderingen en herzieningen.