PhotoRobot Технические и организационные меры (TOMs)
Этот документ определяет технические и организационные меры (TOM) PhotoRobot в соответствии со статьёй 32 GDPR: версия 1.0 – PhotoRobot Edition, uni-Robot Ltd., Чехия. Документ был обновлён в последний раз 31 декабря 2025 года и подтверждает соблюдение договорных обязательств PhotoRobot по DPA и SLA.
1. Введение — PhotoRobot TOMs
Этот документ описывает Технические и организационные меры (TOM), реализуемые uni-Robot Ltd. (PhotoRobot) для обеспечения надлежащего уровня безопасности при обработке персональных данных в соответствии со статьёй 32 Общего регламента по защите данных (GDPR).
Эти меры применяются к работе сервисов PhotoRobot, включая, но не ограничиваясь:
- PhotoRobot управляет облаком
- PhotoRobot Cloud 2.0
- PhotoRobot управляет локально (при подключении к облачным сервисам)
- API и связанные онлайн-сервисы
- Поддерживающая инфраструктура и внутренние системы
Этот документ служит авторитетным описанием TOM PhotoRobot и может использоваться в соглашениях об обработке данных (DPA), аудитах и обзорах безопасности предприятий.
2. Сфера и применимость
Описанные здесь TOM относятся к:
- Персональные данные, обрабатываемые от имени клиентов в рамках услуг PhotoRobot
- Внутренние операционные данные, необходимые для предоставления, обслуживания и защиты услуг
Меры разработаны с учётом:
- Современное состояние
- Затраты на реализацию
- характер, объём, контекст и цели обработки
- риски для прав и свобод физических лиц
3. Организационные меры безопасности
3.1. Управление информационной безопасностью
PhotoRobot поддерживает внутренние политики и процедуры, регулирующие информационную безопасность, защиту данных и допустимое использование систем.
Ответственность за безопасность и защиту данных чётко определена внутри организации, включая назначенные контакты по вопросам конфиденциальности и юридических вопросов.
3.2. Конфиденциальность и осведомлённость сотрудников
- Сотрудники и подрядчики обязаны соблюдать конфиденциальность
- Доступ к системам предоставляется на основе необходимости знать
- Повышение осведомленности о безопасности и защите данных в рамках адаптации и текущей работы
4. Контроль доступа и авторизация
4.1. Управление доступом по ролям (RBAC)
Доступ к системам и данным клиентов контролируется с помощью принципов ролевого контроля доступа (RBAC ).
- Пользователям предоставляются минимальные привилегии, необходимые для выполнения своих задач
- Административный доступ ограничен уполномоченным персоналом
4.2. Аутентификация
- Сильные механизмы аутентификации используются для внутренних и внешних систем
- Политики паролей и учетные данные доступа управляются надёжно
- Учетные данные доступа не должны передаваться
5. Инфраструктура и сетевая безопасность
5.1. Хостинг и облачная инфраструктура
Сервисы PhotoRobot размещены на профессиональных поставщиках облачной инфраструктуры (например, Google Cloud Platform), которые реализуют отраслевые стандарты контроля физической и экологической безопасности.
5.2. Защита сети
- Сетевой трафик защищается с помощью межсетевых экранов и контроля доступа
- Публичные сервисы изолированы от внутренних систем
- Компоненты инфраструктуры отслеживаются на предмет доступности и событий безопасности
6. Шифрование и защита данных
6.1. Данные в процессе передачи
- Данные, передаваемые между клиентами и сервисами PhotoRobot, шифруются с помощью TLS/HTTPS
- Защищённые каналы связи обеспечиваются для API и облачных интерфейсов
6.2. Данные в состоянии покоя
- Данные, хранящиеся в облачной инфраструктуре, защищены с помощью механизмов шифрования, предоставленных хостинг-провайдером
- Доступ к хранимым данным ограничен авторизованными системами и персоналом
7. Журналирование, мониторинг и обнаружение инцидентов
7.1. Лесозаготовка
- Системные журналы генерируются для событий, связанных с эксплуатацией и безопасностью
- Логи используются для устранения неполадок, мониторинга и анализа инцидентов
7.2. Мониторинг
- Сервисы отслеживаются на предмет доступности, производительности и аномалий
- Оповещения срабатывают в случае аномального поведения или сбоев в работе
8. Реагирование на инциденты и управление нарушениями
PhotoRobot поддерживает процедуры для решения инцидентов с безопасностью, включая утечки персональных данных.
К этим процедурам относятся:
- Выявление и оценка инцидентов
- Меры по смягчению и сдерживанию
- внутренняя эскалация
- Коммуникация с клиентами там, где это необходимо
- соблюдение обязательств по уведомлению о нарушениях GDPR (статьи 33 и 34 GDPR)
9. Резервное копирование, доступность и непрерывность бизнеса
9.1. Резервные копии
- Резервное копирование данных выполняется в рамках стандартных облачных операций
- Резервные копии используются для восстановления после катастроф и обеспечения непрерывности сервиса
9.2. Доступность
- Прилагаются разумные усилия для поддержания высокой доступности услуг
- Плановые работы по обслуживанию могут вызвать временные перерывы в работе
Подробности о целях по доступности и времени реагирования описываются отдельно в соответствующих соглашениях об уровне обслуживания (SLA).
10. Безопасное развитие и управление изменениями
10.1. Безопасные практики развития
PhotoRobot следует структурированным процессам разработки и внедрения, включая:
- Разделение сред разработки, тестирования и производства там, где это уместно
- Контролируемые процедуры развертывания
- Контроль версий и отслеживание изменений
10.2. Обновления и патчи
- Программные компоненты обновляются для устранения уязвимостей безопасности
- Критические обновления распределяются на основе оценки рисков
11. Субпроцессоры и третьи лица
PhotoRobot может привлекать субпроцессоры для поддержки предоставления услуг (например, хостинга, почтовых сервисов).
- Субпроцессоры выбираются на основе их практик безопасности и защиты данных
- Текущий список подпроцессоров ведётся отдельно и становится общедоступным
12. Физическая безопасность
Физический доступ к серверам и дата-центрам управляется поставщиком облачной инфраструктуры и включает:
- Контроль доступа
- Наблюдение и мониторинг
- Охрана окружающей среды
PhotoRobot не управляет собственными дата-центрами.
13. Минимизация и удержание данных
- Обрабатываются только данные, необходимые для предоставления услуг
- Персональные данные хранятся только столько, сколько требуется для договорных, юридических или операционных целей
- Периоды удаления и хранения данных определены в соответствующих политиках и соглашениях
14. Обзор и обновления
Эти технические и организационные меры периодически пересматриваются и обновляются по мере необходимости, чтобы отразить:
- Изменения в технологиях
- Изменения в сервисах
- Эволюционирующие требования к безопасности и нормативным требованиям
Существенные изменения могут быть сообщены клиентам по мере необходимости.
15. Контактная информация
По вопросам, касающимся этих технических и организационных мер:
uni-Robot Ltd.
Водичкова 710/31
110 00 Прага 1
Чешская Республика
Электронная почта: legal@photorobot.com
Заключение
Эти TOM описывают текущие технические и организационные меры PhotoRobot и направлены на обеспечение прозрачности и уверенности клиентов. Они не гарантируют непрерывное обслуживание или абсолютную безопасность, а отражают подход, основанный на рисках и пропорциональный подход к защите данных и информационной безопасности.