Polityka podmiotu przetwarzającego PII w chmurze obliczeniowej

Polityka podmiotu przetwarzającego PII w chmurze obliczeniowej określa obowiązkowe wymagania dotyczące prywatności dla usług chmurowych, w których organizacja działa jako podmiot przetwarzający PII lub podwykonawca przetwarzania. Jej zakres obejmuje SaaS, PaaS, IaaS, aplikacje hostowane, zarządzaną chmurę obliczeniową, wsparcie chmurowe, przechowywanie w chmurze obliczeniowej, analitykę chmurową i usługi infrastruktury chmurowej, które przetwarzają PII w imieniu klientów. Polityka ma utrzymywać przetwarzanie w chmurze obliczeniowej w zgodności z udokumentowanymi umowami z klientami, poleceniami klienta, poleceniami nadrzędnego podmiotu przetwarzającego, uzgodnieniami z podwykonawcami przetwarzania, konfiguracją regionów chmurowych, dostępem personelu wsparcia dostawcy usług chmurowych, administracją usługami, kopiami zapasowymi, replikacją, rejestrowaniem, monitorowaniem, usuwaniem, zwrotem, wsparciem przy naruszeniach, wsparciem audytowym oraz obowiązkami pomocy klientowi. Głównym celem polityki jest kontrola oparta na dowodach. Przed onboardingiem klienta lub istotną zmianą usługi osoba odpowiedzialna za prywatność / menedżer PIMS musi zarejestrować w REG02 i REG08 każdą usługę przetwarzania PII w chmurze obliczeniowej, rolę w przetwarzaniu, źródło polecenia klienta, kategorie PII, kategorie osób, których dane dotyczą, cel usługi, lokalizację przetwarzania, zależność od podwykonawcy przetwarzania, zależność związaną z usuwaniem oraz znacznik transferu. Polityka wymaga również rejestrowania stosowalności zabezpieczeń dla podmiotu przetwarzającego w chmurze obliczeniowej w REG03, ujmowania tras transferu i lokalizacji w REG09, gdy ma to zastosowanie, zarządzania incydentami PII w chmurze obliczeniowej przez REG10 oraz obsługi monitorowania, wyjątków, sporów, wyników walidacji i działań korygujących przez REG12. Utrzymuje to obowiązki podmiotu przetwarzającego w chmurze obliczeniowej w powiązaniu z istniejącym zestawem polityk PIMS i pozwala uniknąć tworzenia odrębnych rejestrów dla umów, usług, izolacji tenantów, dostępu, logów, usuwania, wsparcia, audytów, naruszeń lub podwykonawców przetwarzania. Polityka ustanawia praktyczne wymagania w całym cyklu życia usługi chmurowej. Wymaga udokumentowanych poleceń klienta lub nadrzędnego podmiotu przetwarzającego przed rozpoczęciem przetwarzania, przeglądu poleceń, które wydają się niespójne z obowiązkami lub zatwierdzonym zakresem usługi, oraz zatwierdzenia przed przetwarzaniem PII klienta poza udokumentowanymi poleceniami. Odnosi się także do konfiguracji chmurowej i dowodów bezpieczeństwa przez wymaganie granic współdzielonej odpowiedzialności, walidacji izolacji tenantów, kontrolowanego dostępu administracyjnego, kwartalnego przeglądu dostępu uprzywilejowanego i pokrycia rejestrowaniem, separacji środowisk oraz zarejestrowanych lokalizacji kopii zapasowych, replikacji, przechowywania logów i dostępu wsparcia. Wymagania te są celowo powiązane z istniejącymi zabezpieczeniami PII, a nie zastępują szerszej Polityki bezpieczeństwa PII i kontroli dostępu. Nadzór nad podwykonawcami przetwarzania i chmurowym łańcuchem dostaw jest traktowany jako podstawowy obowiązek podmiotu przetwarzającego. Właściciel ds. dostawców / zakupów musi przed użyciem zarejestrować podwykonawców przetwarzania w chmurze obliczeniowej, dostawców infrastruktury, dostawców hostingu, dostawców usług zarządzanych, dostawców wsparcia i inne istotne zależności od usług chmurowych. Polityka wymaga dowodów autoryzacji klienta albo udokumentowanej podstawy autoryzacji, obowiązków przenoszonych na dalsze podmioty w zakresie prywatności, bezpieczeństwa, pomocy, incydentów, zwrotu, usuwania, wsparcia audytowego i transferów, a także zapisów lokalizacji usług, lokalizacji wsparcia zdalnego, regionów hostingu i tras dalszego transferu. Wymaga również powiadamiania klientów o planowanych zmianach podwykonawców przetwarzania w chmurze obliczeniowej w terminie wymaganym umową oraz co najmniej corocznego przeglądu aktywnych zapisów podwykonawców przetwarzania w chmurze obliczeniowej i zależności chmurowych. Polityka obejmuje również pomoc klientowi, wsparcie audytowe, interfejs naruszeń, usuwanie i wyjście. Obowiązki pomocy klientowi dotyczące wniosków o realizację praw, usuwania, sprostowania danych, ograniczenia, dostępu, audytu, wsparcia DPIA i wsparcia przy naruszeniach muszą zostać zarejestrowane przed zawarciem umowy lub aktywacją usługi. Wsparcie przy wnioskach o realizację praw żądane przez klienta musi zostać wykonane w terminie uzgodnionym z klientem, istotne z punktu widzenia prywatności wnioski o wsparcie DPIA lub oceny muszą zostać zweryfikowane w ciągu dziesięciu dni roboczych, a opóźnione lub sporne wnioski o pomoc muszą być śledzone. W przypadku wyjścia polityka wymaga dowodów możliwości eksportu, zwrotu, transferu lub usunięcia przed onboardingiem albo istotną zmianą usługi, realizacji w terminach uzgodnionych z klientem, objęcia systemów produkcyjnych, kopii zapasowych, replik, logów, plików tymczasowych, środowisk testowych i kopii wsparcia oraz obsługi niezgodności, gdy obowiązki nie mogą zostać wykonane w terminie. Nadzór jest wzmacniany przez kwartalne przeglądy kompletności dowodów, coroczne przeglądy polityki i podwykonawców przetwarzania, próbkowanie audytowe, wskaźniki, działania egzekwujące oraz zatwierdzenie istotnych wyjątków i zmian przez najwyższe kierownictwo.