מדדים טכניים וארגוניים של PhotoRobot (TOMs)
מסמך זה מגדיר את האמצעים הטכניים והארגוניים (TOMs) של PhotoRobot בהתאם לסעיף 32 GDPR: גרסה 1.0 – PhotoRobot Edition, uni-Robot Ltd., צ'כיה. המסמך עודכן לאחרונה נכון ל-31 בדצמבר 2025, ותומך בעמידה בהתחייבויות החוזיות של PhotoRobot לפי ה-DPA וה-SLA.
1. מבוא - PhotoRobot TOMs
מסמך זה מתאר את האמצעים הטכניים והארגוניים (TOMs) שמיושמות על ידי uni-Robot Ltd. (PhotoRobot) כדי להבטיח רמת אבטחה מתאימה לעיבוד נתונים אישיים בהתאם לסעיף 32 של תקנת הגנת המידע הכללית (GDPR).
אמצעים אלו חלים על תפעול שירותי PhotoRobot, כולל אך לא מוגבל ל:
- הענן של PhotoRobot Controls
- PhotoRobot Cloud 2.0
- PhotoRobot שולט מקומי (כאשר מחובר לשירותי ענן)
- ממשקי API ושירותים מקוונים קשורים
- תשתיות תומכות ומערכות פנימיות
מסמך זה משמש כתיאור הסמכותי של ה-TOMs של PhotoRobot וניתן להתייחס אליו בהסכמי עיבוד נתונים (DPAs), ביקורות וסקירות אבטחה ארגוניות.
2. היקף ויישום
ה-TOMs המתוארים כאן חלים על:
- נתונים אישיים המעובדים מטעם לקוחות כחלק משירותי PhotoRobot
- נתוני תפעול פנימיים הנחוצים לספק, תחזוקה ואבטחת השירותים
הצעדים מעוצבים תוך התחשבות:
- מצב האמנות
- עלויות יישום
- טבע, היקף, הקשר ומטרות העיבוד
- הסיכונים לזכויות ולחירויות של אנשים טבעיים
3. אמצעי אבטחה ארגוניים
3.1. ממשל אבטחת מידע
PhotoRobot שומרת על מדיניות ונהלים פנימיים השולטים באבטחת מידע, הגנת נתונים ושימוש מקובל במערכות.
האחריות לאבטחה והגנה על מידע מוגדרת בבירור בארגון, כולל אנשי קשר ייעודיים לפרטיות ועניינים משפטיים.
3.2. סודיות ומודעות לעובדים
- עובדים וקבלנים מחויבים לחובות סודיות
- הגישה למערכות ניתנת על בסיס צורך לדעת
- מודעות לאבטחה והגנה על נתונים מקודמת כחלק מהקליטה והפעילות השוטפת
4. בקרת גישה והרשאה
4.1. בקרת גישה מבוססת תפקיד (RBAC)
הגישה למערכות ולנתוני הלקוחות נשלטת באמצעות עקרונות בקרת גישה מבוססת תפקידים (RBAC).
- המשתמשים מקבלים את ההרשאות המינימליות הנדרשות לביצוע משימותיהם
- הגישה המנהלית מוגבלת לאנשי מקצוע מורשים
4.2. אימות
- מנגנוני אימות חזקים משמשים למערכות פנימיות וחיצוניות
- מדיניות סיסמאות ופרטי גישה מנוהלים בצורה מאובטחת
- אין לשתף פרטי גישה
5. תשתיות ואבטחת רשת
5.1. אחסון ותשתיות ענן
שירותי PhotoRobot מתארחים על ידי ספקי תשתית ענן מקצועיים (למשל, Google Cloud Platform), שמיישמים בקרות אבטחה פיזית וסביבתית סטנדרטיות בתעשייה.
5.2. הגנת רשת
- תעבורת הרשת מוגנת באמצעות חומות אש ובקרות גישה
- שירותים הפונים לציבור מבודדים ממערכות פנימיות
- רכיבי התשתית מנוטרים עבור זמינות ואירועי אבטחה
6. הצפנה והגנה על נתונים
6.1. נתונים במעבר
- הנתונים המועברים בין לקוחות לשירותי PhotoRobot מוצפנים באמצעות TLS/HTTPS
- ערוצי תקשורת מאובטחים נאכפים עבור ממשקי API וממשקי ענן
6.2. נתונים במנוחה
- הנתונים המאוחסנים בתשתית הענן מוגנים באמצעות מנגנוני הצפנה שמספק ספק האחסון
- הגישה לנתונים המאוחסנים מוגבלת למערכות ואנשי צוות מורשים
7. תיעוד, ניטור וזיהוי אירועים
7.1. כריתת עצים
- יומני מערכת נוצרים עבור אירועים תפעוליים ורלוונטיים לאבטחה
- יומנים משמשים לאיתור תקלות, ניטור וניתוח אירועים
7.2. ניטור
- השירותים מנוטרים מבחינת זמינות, ביצועים ואנומליות
- התראות מופעלות במקרה של התנהגות חריגה או הפרעה לשירות
8. תגובה לאירוע וניהול פרצות
PhotoRobot מנהלת נהלים לטיפול באירועי אבטחה, כולל פרצות מידע אישי.
הליכים אלו כוללים:
- זיהוי והערכת אירועים
- אמצעי הפחתה והגבלה
- הסלמה פנימית
- תקשורת עם הלקוחות במידת הצורך
- עמידה בהתחייבות להודעה על הפרת GDPR (סעיפים 33 ו-34 GDPR)
9. גיבוי, זמינות והמשכיות עסקית
9.1. גיבויים
- גיבויי נתונים מתבצעים כחלק מפעילות ענן סטנדרטית
- גיבויים משמשים לשיקום מאסונות והמשכיות שירות
9.2. זמינות
- נעשים מאמצים סבירים לשמור על זמינות גבוהה של שירותים
- פעילויות תחזוקה מתוכננות עלולות לגרום להפרעות זמניות בשירות
פרטים לגבי יעדי זמינות וזמני תגובה מתוארים בנפרד בהסכמי רמת השירות (SLA) הרלוונטיים.
10. פיתוח בטוח וניהול שינוי
10.1. נהלי פיתוח בטוחים
PhotoRobot פועל לפי תהליכי פיתוח ופריסה מובנים, כולל:
- הפרדה בין סביבות פיתוח, בדיקות וייצור כאשר הדבר מתאים
- נהלי פריסה מבוקרים
- בקרת גרסאות ומעקב אחרי שינויים
10.2. עדכונים ותיקונים
- רכיבי תוכנה מתעדכנים כדי לטפל בפרצות אבטחה
- עדכונים קריטיים מקבלים עדיפות בהתבסס על הערכת סיכונים
11. תתי-מעבדים וצדדים שלישיים
PhotoRobot עשויה להפעיל תת-מעבדים לתמיכה במתן שירותים (למשל, אחסון, שירותי דואר אלקטרוני).
- תת-מעבדים נבחרים על פי שיטות האבטחה והגנת המידע שלהם
- רשימה עדכנית של תתי-מעבדים נשמרת בנפרד וזמינה לציבור
12. אבטחה פיזית
הגישה הפיזית לשרתים ולמרכזי נתונים מנוהלת על ידי ספק תשתית הענן וכוללת:
- בקרות גישה
- פיקוח ומעקב
- הגנות סביבתיות
PhotoRobot אינה מפעילה מרכזי נתונים משלה.
13. מזעור ושימור נתונים
- רק הנתונים הנדרשים לספק שירותים מעובדים
- נתונים אישיים נשמרים רק כל עוד נדרשים למטרות חוזיות, משפטיות או תפעוליות
- תקופות מחיקת ושימור נתונים מוגדרות במדיניות ובהסכמים רלוונטיים
14. סקירה ועדכונים
אמצעים טכניים וארגוניים אלו נבדקים מעת לעת ומתעדכנים לפי הצורך כדי לשקף:
- שינויים בטכנולוגיה
- שינויים בשירותים
- דרישות אבטחה ורגולציה משתנות
שינויים מהותיים עשויים להיות מועברים ללקוחות לפי הצורך.
15. פרטי קשר
לשאלות בנוגע לאמצעים טכניים וארגוניים אלה:
יוני-רובוט בע"מ.
וודיצ'קובה 710/31
110 00 פראג 1
הרפובליקה הצ\'כית
אימייל: legal@photorobot.com
הערה אחרונה
ה-TOMs הללו מתארים את האמצעים הטכניים והארגוניים הנוכחיים של PhotoRobot ומטרתם לספק שקיפות וביטחון ללקוחות. הם אינם מהווים ערובה לשירות רצוף או לביטחון מוחלט, אלא משקפים גישה מבוססת סיכון ופרופורציונלית להגנת מידע ואבטחת מידע.