Các biện pháp kỹ thuật và tổ chức PhotoRobot (TOM)
Tài liệu này xác định các Biện pháp Kỹ thuật và Tổ chức (TOM) của PhotoRobot theo Điều 32 GDPR: Phiên bản 1.0 – Phiên bản PhotoRobot, uni-Robot Ltd., Cộng hòa Séc. Tài liệu đã được cập nhật lần cuối kể từ ngày 31 tháng 12 năm 2025 và hỗ trợ việc tuân thủ các nghĩa vụ hợp đồng của PhotoRobot theo DPA và SLA.
1. Giới thiệu - PhotoRobot TOMs
Tài liệu này mô tả các Biện pháp Kỹ thuật và Tổ chức (TOM) do uni-Robot Ltd. (PhotoRobot) thực hiện để đảm bảo mức độ bảo mật thích hợp cho việc xử lý dữ liệu cá nhân theo Điều 32 của Quy định chung về bảo vệ dữ liệu (GDPR).
Các biện pháp này áp dụng cho hoạt động của các dịch vụ PhotoRobot, bao gồm nhưng không giới hạn ở:
- PhotoRobot điều khiển đám mây
- Đám mây PhotoRobot 2.0
- PhotoRobot Controls Cục bộ (khi được kết nối với các dịch vụ đám mây)
- API và các dịch vụ trực tuyến liên quan
- Hỗ trợ hạ tầng và hệ thống nội bộ
Tài liệu này đóng vai trò là mô tả có thẩm quyền về TOM của PhotoRobot và có thể được tham chiếu trong Thỏa thuận xử lý dữ liệu (DPA), kiểm toán và đánh giá bảo mật doanh nghiệp.
2. Phạm vi và khả năng áp dụng
Các TOM được mô tả ở đây áp dụng cho:
- Dữ liệu cá nhân được xử lý thay mặt cho khách hàng như một phần của dịch vụ PhotoRobot
- Dữ liệu hoạt động nội bộ cần thiết để cung cấp, duy trì và bảo mật dịch vụ
Các biện pháp được thiết kế có tính đến:
- Trạng thái của nghệ thuật
- Chi phí thực hiện
- bản chất, phạm vi, bối cảnh và mục đích xử lý
- rủi ro đối với quyền và tự do của thể nhân
3. Các biện pháp bảo mật tổ chức
3.1. Quản trị an toàn thông tin
PhotoRobot duy trì các chính sách và thủ tục nội bộ quản lý bảo mật thông tin, bảo vệ dữ liệu và sử dụng hệ thống được chấp nhận.
Trách nhiệm bảo mật và bảo vệ dữ liệu được xác định rõ ràng trong tổ chức, bao gồm các liên hệ được chỉ định về quyền riêng tư và các vấn đề pháp lý.
3.2. Bảo mật và nhận thức của nhân viên
- Nhân viên và nhà thầu bị ràng buộc bởi nghĩa vụ bảo mật
- Quyền truy cập vào hệ thống được cấp trên cơ sở cần biết
- Nhận thức về bảo mật và bảo vệ dữ liệu được thúc đẩy như một phần của quá trình triển khai và hoạt động liên tục
4. Kiểm soát và ủy quyền truy cập
4.1. Kiểm soát truy cập dựa trên vai trò (RBAC)
Quyền truy cập vào hệ thống và dữ liệu khách hàng được kiểm soát bằng cách sử dụng các nguyên tắc kiểm soát truy cập dựa trên vai trò (RBAC).
- Người dùng được cấp các đặc quyền tối thiểu cần thiết để thực hiện nhiệm vụ của họ
- Quyền truy cập quản trị bị hạn chế đối với nhân viên được ủy quyền
4.2. Xác thực
- Cơ chế xác thực mạnh được sử dụng cho các hệ thống nội bộ và bên ngoài
- Chính sách mật khẩu và thông tin đăng nhập truy cập được quản lý an toàn
- Thông tin đăng nhập truy cập không được chia sẻ
5. Cơ sở hạ tầng và an ninh mạng
5.1. Lưu trữ và hạ tầng đám mây
Các dịch vụ PhotoRobot được lưu trữ trên các nhà cung cấp cơ sở hạ tầng đám mây chuyên nghiệp (ví dụ: Google Cloud Platform), thực hiện các biện pháp kiểm soát bảo mật vật lý và môi trường theo tiêu chuẩn ngành.
5.2. Bảo vệ mạng
- Lưu lượng mạng được bảo vệ bằng tường lửa và kiểm soát truy cập
- Các dịch vụ tiếp xúc với công chúng được cách ly với các hệ thống nội bộ
- Các thành phần cơ sở hạ tầng được giám sát tính khả dụng và các sự kiện bảo mật
6. Mã hóa và bảo vệ dữ liệu
6.1. Dữ liệu đang chuyển
- Dữ liệu được truyền giữa máy khách và dịch vụ PhotoRobot được mã hóa bằng TLS / HTTPS
- Các kênh giao tiếp an toàn được thực thi cho API và giao diện đám mây
6.2. Dữ liệu lưu trữ
- Dữ liệu được lưu trữ trong cơ sở hạ tầng đám mây được bảo vệ bằng cơ chế mã hóa do nhà cung cấp dịch vụ lưu trữ cung cấp
- Quyền truy cập vào dữ liệu được lưu trữ bị hạn chế đối với các hệ thống và nhân viên được ủy quyền
7. Ghi nhật ký, giám sát và phát hiện sự cố
7.1. Ghi nhật ký
- Nhật ký hệ thống được tạo cho các sự kiện liên quan đến hoạt động và bảo mật
- Nhật ký được sử dụng để khắc phục sự cố, giám sát và phân tích sự cố
7.2. Giám sát
- Các dịch vụ được giám sát tính khả dụng, hiệu suất và sự bất thường
- Cảnh báo được kích hoạt trong trường hợp có hành vi bất thường hoặc gián đoạn dịch vụ
8. Ứng phó sự cố và quản lý vi phạm
PhotoRobot duy trì các quy trình xử lý các sự cố bảo mật, bao gồm cả vi phạm dữ liệu cá nhân.
Các thủ tục này bao gồm:
- Xác định và đánh giá sự cố
- Các biện pháp giảm thiểu và ngăn chặn
- leo thang nội bộ
- giao tiếp với khách hàng khi được yêu cầu
- tuân thủ nghĩa vụ thông báo vi phạm GDPR (Điều 33 và 34 GDPR)
9. Sao lưu, tính khả dụng và tính liên tục trong kinh doanh
9.1. Sao lưu
- Sao lưu dữ liệu được thực hiện như một phần của hoạt động đám mây tiêu chuẩn
- Sao lưu được sử dụng cho mục đích phục hồi sau thảm họa và dịch vụ liên tục
9.2. Tính khả dụng
- Những nỗ lực hợp lý được thực hiện để duy trì tính khả dụng cao của các dịch vụ
- Các hoạt động bảo trì theo kế hoạch có thể gây gián đoạn dịch vụ tạm thời
Thông tin chi tiết về mục tiêu khả dụng và thời gian phản hồi được mô tả riêng trong Thỏa thuận mức dịch vụ (SLA) hiện hành.
10. Phát triển an toàn và quản lý thay đổi
10.1. Các Thực Hành Phát Triển An Toàn
PhotoRobot tuân theo các quy trình triển khai và phát triển có cấu trúc, bao gồm:
- tách biệt môi trường phát triển, thử nghiệm và sản xuất khi thích hợp
- Quy trình triển khai có kiểm soát
- Kiểm soát phiên bản và theo dõi thay đổi
10.2. Cập nhật và vá lỗi
- Các thành phần phần mềm được cập nhật để giải quyết các lỗ hổng bảo mật
- Các bản cập nhật quan trọng được ưu tiên dựa trên đánh giá rủi ro
11. Bên xử lý phụ và bên thứ ba
PhotoRobot có thể thuê các bên xử lý phụ để hỗ trợ cung cấp dịch vụ (ví dụ: lưu trữ, dịch vụ email).
- Bên xử lý phụ được lựa chọn dựa trên các biện pháp bảo mật và bảo vệ dữ liệu của họ
- Danh sách các đơn vị xử lý phụ hiện tại được duy trì riêng biệt và được công bố công khai
12. An ninh vật lý
Quyền truy cập vật lý vào máy chủ và trung tâm dữ liệu được quản lý bởi nhà cung cấp cơ sở hạ tầng đám mây và bao gồm:
- Kiểm soát truy cập
- Giám sát và giám sát
- Bảo vệ môi trường
PhotoRobot không vận hành các trung tâm dữ liệu của riêng mình.
13. Giảm thiểu và lưu giữ dữ liệu
- Chỉ dữ liệu cần thiết để cung cấp dịch vụ mới được xử lý
- Dữ liệu cá nhân chỉ được lưu giữ miễn là được yêu cầu cho các mục đích hợp đồng, pháp lý hoặc hoạt động
- Thời gian xóa và lưu giữ dữ liệu được xác định trong các chính sách và thỏa thuận có liên quan
14. Đánh giá và cập nhật
Các Biện pháp Kỹ thuật và Tổ chức này được xem xét định kỳ và cập nhật khi cần thiết để phản ánh:
- Những thay đổi trong công nghệ
- Thay đổi dịch vụ
- Các yêu cầu về bảo mật và quy định đang phát triển
Các thay đổi quan trọng có thể được thông báo cho khách hàng khi thích hợp.
15. Thông tin liên hệ
Đối với các câu hỏi liên quan đến các Biện pháp Kỹ thuật và Tổ chức này:
Công ty TNHH uni-Robot
Vodičkova 710/31
110 00 Praha 1
Cộng hòa Séc
Thư điện tử: legal@photorobot.com
Lưu ý cuối cùng
Các TOM này mô tả các biện pháp kỹ thuật và tổ chức hiện tại của PhotoRobot và nhằm cung cấp sự minh bạch và đảm bảo cho khách hàng. Chúng không cấu thành sự đảm bảo về dịch vụ không bị gián đoạn hoặc bảo mật tuyệt đối, nhưng phản ánh cách tiếp cận dựa trên rủi ro và tương xứng để bảo vệ dữ liệu và bảo mật thông tin.