ინციდენტის შეტყობინების ვალდებულება

სამუშაო ვერსია იურიდიული გადახედვისთვის. ქვემოთ მოცემული ვადები შემოთავაზებაა მფლობელისთვის (D15). ვადები ვალდებულების სახით გამოქვეყნებამდე პრაქტიკაში უნდა იყოს დაცული.

1. მიზანი

ეს ვალდებულება განსაზღვრავს, რას ვაკეთებთ, როცა iCall-ში უსაფრთხოებასთან ან პერსონალურ მონაცემებთან დაკავშირებით რამე არასწორად წავა. ის ავსებს DPA-ს და უსაფრთხოების მიმოხილვას.

2. რა ითვლება ინციდენტად

უსაფრთხოების ინციდენტი არის მოვლენა, რომელიც აზიანებს ან შეიძლება აზიანებდეს iCall-ის ან მასში არსებული მონაცემების კონფიდენციალურობას, მთლიანობას ან ხელმისაწვდომობას. პერსონალურ მონაცემთა ინციდენტი არის ისეთი, რომელიც იწვევს პერსონალური მონაცემების შემთხვევით ან უკანონო განადგურებას, დაკარგვას, შეცვლას, გამჟღავნებას ან მათზე წვდომას. მაგალითებია: გაჟონილი ჩანაწერი, წვდომა პირის მიერ, ვისაც ის არ უნდა ჰქონოდა, მოპარული გასაღები, ან შეცდომა, რომელიც ერთ კლიენტს მეორე კლიენტის მონაცემებს აჩვენებს.

სერვისის შეფერხებას SLA-ს მიხედვით ვმართავთ. ის უსაფრთხოების ინციდენტად იქცევა, თუ ამასთან მონაცემებიც რისკის ქვეშ დგება.

3. ჩვენი ვალდებულებები კლიენტების წინაშე

• ვადა. თუ ინციდენტი კლიენტის პერსონალურ მონაცემებს ეხება, კლიენტს ვატყობინებთ დაუყოვნებლივ და ნებისმიერ შემთხვევაში ინციდენტის დადასტურებიდან [24 საათის · დასადასტურებელია] განმავლობაში. გამოძიების დასრულებას არ ვუცდით.
• ვის და როგორ. ვწერთ ანგარიშის მფლობელს და ჩვენთან რეგისტრირებულ უსაფრთხოების საკონტაქტო პირს, ასევე ვაჩვენებთ შეტყობინებას კაბინეტში [არხების დადასტურება, მაგალითად ელფოსტა და შეტყობინება კაბინეტში · დასადასტურებელია].
• რას ვაცნობებთ. რა მოხდა და როდის, რა მონაცემებსა და რომელ პირებს ეხება სავარაუდოდ, რა გავაკეთეთ, რას ვურჩევთ კლიენტს და ვის დაუკავშირდეს.
• განახლებები. კლიენტს განვაახლებთ სულ მცირე [24 საათში · დასადასტურებელია] ერთხელ, სანამ ინციდენტი კონტროლქვეშ არ მოექცევა. შემდეგ [10 სამუშაო დღეში · დასადასტურებელია] გავცემთ საბოლოო ანგარიშს, სადაც მივუთითებთ მიზეზს და განმეორების თავიდან აცილების ნაბიჯებს.
• დახმარება. კლიენტს ვაწვდით ყველაფერს, რაც სჭირდება, რომ ზედამხედველი ორგანოსა და დაზარალებული პირების წინაშე საკუთარი ვალდებულებები შეასრულოს, როგორც ეს DPA-შია განსაზღვრული.

4. რას ითვალისწინებს კანონი

„პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის მიხედვით, დამუშავებისთვის პასუხისმგებელმა პირმა ინციდენტის გამოვლენიდან 72 საათში უნდა შეატყობინოს ზედამხედველ ორგანოს, საქართველოს სახელმწიფო აუდიტის სამსახურს, გარდა იმ შემთხვევისა, როცა მნიშვნელოვანი ზიანი მოსალოდნელი არ არის. თუ მნიშვნელოვანი ზიანი ძალიან სავარაუდოა, მან დაზარალებულ პირებსაც უნდა აცნობოს გაუმართლებელი დაგვიანების გარეშე. უფლებამოსილმა პირმა დამუშავებისთვის პასუხისმგებელ პირს დაუყოვნებლივ უნდა აცნობოს [მოქმედი ორგანოსა და მისთვის შეტყობინების არხის დადასტურება · დასადასტურებელია]. GDPR-ის მიხედვით, სადაც ის გამოიყენება, უფლებამოსილმა პირმა დამუშავებისთვის პასუხისმგებელ პირს უნდა აცნობოს გაუმართლებელი დაგვიანების გარეშე, ხოლო დამუშავებისთვის პასუხისმგებელ პირს ორგანოსთვის შეტყობინებისთვის 72 საათი აქვს.

ამიტომ კლიენტის წინაშე ჩვენი ვალდებულების ვადა მოკლეა. კლიენტი არის დამუშავებისთვის პასუხისმგებელი პირი და ის წყვეტს, შეატყობინოს თუ არა ორგანოს და დაზარალებულ პირებს. როცა ქეი ქოლი თავად არის მონაცემთა დამუშავებისთვის პასუხისმგებელი პირი, მაგალითად ვებგვერდისა და ანგარიშის მონაცემების შემთხვევაში, შეტყობინებას თავად ვაკეთებთ.

5. როგორ ვმართავთ ინციდენტს

1. გამოვლენა და დადასტურება: ვამოწმებთ განგაშებსა და შეტყობინებებს და ვწყვეტთ, ინციდენტია თუ არა.
2. შეკავება: ვხურავთ სისუსტეს, მაგალითად გასაღებების ცვლით, წვდომის შეჩერებით ან ინტეგრაციის დაბლოკვით.
3. შეფასება: აუდიტის ჟურნალის გამოყენებით ვადგენთ, რომელი მონაცემები და რომელი კლიენტები დაზარალდა.
4. შეტყობინება: დაზარალებულ კლიენტებს ზემოთ აღწერილი წესით ვატყობინებთ.
5. გამოსწორება და დასკვნები: ვაგვარებთ მიზეზს, ვტესტავთ გამოსწორებას და ვწერთ, რა ვისწავლეთ.

6. ინციდენტის ან მოწყვლადობის შეტყობინება ჩვენთვის

მოგვწერეთ [უსაფრთხოების საკონტაქტო ელფოსტა · დასადასტურებელია] და რაც შეიძლება მეტი დეტალი მიუთითეთ. სერვისის შეფერხების შემთხვევაში გამოიყენეთ SLA-ში მითითებული მხარდაჭერის არხები. გთხოვთ, მოწყვლადობა არ გამოაქვეყნოთ, სანამ მის გამოსასწორებლად გონივრული დრო არ გვექნება, და სხვა ადამიანების მონაცემებზე წვდომა ან მათი შენახვა არ სცადოთ.

7. ჩანაწერები

ყოველ ინციდენტზე ვინახავთ ჩანაწერს, სადაც მითითებულია, რა მოხდა, რა შედეგები მოჰყვა და რა გავაკეთეთ. ჩანაწერს ვინახავთ იმდენ ხანს, რამდენიც ანგარიშვალდებულებისთვის არის საჭირო, და სულ მცირე [3 წელი · დასადასტურებელია] [ინციდენტების ჩანაწერების შენახვის ვადის დადასტურება · დასადასტურებელია].