Deklaracija o privatnosti podataka

2. Kategorije podataka i metodologije prikupljanja

Kategorije ličnih podataka koje se obrađuju

CypSec obrađuje lične podatke isključivo u obimu koji je neophodan za operativne zahtjeve pružanja kiberbezbjednosnih usluga, sposobnosti otkrivanja prijetnji, koordinacije reagovanja na incidente, i usklađenosti sa primjenjivim ugovornim obavezama i državnim direktivama. Obrađeni lični podaci obuhvataju identifikacione i autorizacione podatke uključujući puni pravni naziv, brojeve izdane državne identifikacije, oznake bezbjednosne provjere, akreditive za pristup objektima, biometrijske identifikatore, i profesionalne certifikate neophodne za pristup klasificiranim sistemima i bezbjednim objektima. Ova kategorija uključuje detalje putovnica, vojne identifikacione brojeve, i sve druge akreditive koje mogu propisati vladini bezbjednosni protokoli i procedure verifikacije provjere.

Podaci za autentifikaciju i kontrolu pristupa obuhvataju složene akreditive za autentifikaciju, tokene za višefaktorsku autentifikaciju, digitalne certifikate, kriptografske ključeve, identifikatore sesija, zapise pristupa, i zapise eskalacije privilegija neophodne za održavanje bezbjednog pristupa kritičnim sistemima i sprečavanje pokušaja neovlaštenog prodiranja. Svi podaci autentifikacije se obrađuju koristeći FIPS 140-2 Level 3 validiranu enkripciju i skladište se u hardverskim bezbjednosnim modulima koji ispunjavaju vladine bezbjednosne standarde. Podaci tehničkog nadzora i telemetrije uključuju Internet Protocol adrese, otiske uređaja, informacije o mrežnoj topologiji, parametre konfiguracije sistema, zapise bezbjednosnih događaja, telemetriju otkrivanja prijetnji, rezultate skeniranja ranjivosti, metapodatke hvatanja paketa, i sve povezane tehničke indikatore neophodne za operacije potrage prijetnji i procjenu bezbjednosnog položaja.

Metode prikupljanja i tehnička implementacija

Operacije prikupljanja podataka se sprovode kroz više tehničkih i operativnih kanala uključujući direktnu interakciju korisnika sa bezbjednim portalima za autentifikaciju i klasificiranim komunikacionim sistemima, automatizovano prikupljanje kroz postavljene bezbjednosne senzore, sisteme za otkrivanje prodiranja, i platforme za prijetnje, integraciju sa vladinim sistemima za autentifikaciju i bazama podataka bezbjednosne provjere, bezbjedne tokove podataka od partner agencija i konzorcijuma za dijeljenje prijetnji, i zakonite aktivnosti presretanja i nadzora sprovedene pod odgovarajućim pravnim ovlašćenjem.

Sve aktivnosti prikupljanja koriste vladom odobrene standarde enkripcije i sprovode se kroz bezbjedne komunikacione kanale koji ispunjavaju primjenjive zahtjeve klasifikacije. Metapodaci neophodni za rad usluge i korelaciju prijetnji se zadržavaju prema uspostavljenim rasporedima usklađenim sa zahtjevima zadržavanja nacionalne sigurnosti i vladinim revizorskim obvezama. Gdje CypSec djeluje kao procesor podataka prema vladinim ugovorima ili klasificiranim sporazumima, sve kategorije podataka i metodologije prikupljanja su specificirane od strane ugovornog organa, koji održava status kontrolora podataka za sve operativne direktive i svrhe obrade.

Ograničenja obrade i minimizacija podataka

CypSec obrađuje takve podatke strogo unutar parametara uspostavljenih ugovornim instrumentima i primjenjivim vodičima za bezbjednosnu klasifikaciju. Kompanija se ne bavi automatizovanim procesima donošenja odluka koji proizvode pravne efekte po pojedince, osim gdje je takva obrada neophodna za operacije otkrivanja prijetnji, verifikaciju bezbjednosne provjere, ili druge aktivnosti eksplicitno ovlaštene državnom direktivom i podložne odgovarajućim mehanizmima nadzora. Sve aktivnosti obrade se sprovode sa eksplicitnim priznanjem da kiberbezbjednosne operacije mogu zahtijevati automatizovanu analizu u realnom vremenu za otkrivanje i reagovanje na neposredne bezbjednosne prijetnje.

Principi minimizacije podataka se primjenjuju dosljedno kroz sve operacije obrade, pri čemu se prikupljanje i zadržavanje ograničavaju na informacije neophodne za održavanje bezbjednosnog položaja, ispunjavanje ugovornih obaveza, i podršku legitimnim vladinim interesima u zaštiti kritične infrastrukture i sredstava nacionalne sigurnosti. Aktivnosti obrade koje predstavljaju povišeni rizik po individualna prava su podložne pojaanjim mehanizmima nadzora i dodatnim zaštitnim mjerama kako to zahtijevaju primjenjivi pravni okviri i državne direktive.

3. Svrhe obrade i pravni osnovi

Ugovorno izvršenje i isporuka usluga

CypSec obrađuje lične podatke gdje je to neophodno za ispunjenje vladinih ugovora, odbrambenih ugovora o nabavci i ovlaštenih ugovora o pružanju usluga. To obuhvata pružanje sposobnosti otkrivanja i reagovanja na prijetnje, održavanje bezbjednih sistema za autentifikaciju i kontrolu pristupa, isporuku usluga procjene ranjivosti i penetracionog testiranja, operacije klasificiranih komunikacionih platformi i bezbjednih alata za saradnju, i sprovođenje operacija koordinacije reagovanja na incidente i forenzičkih analiza. Sva ugovorna obrada se sprovodi strogo u okviru zaključenih sporazuma i primjenjivih propisa o javnim nabavkama.

Lični podaci se obrađuju gdje je to neophodno za izvršenje ugovora sa korisnicima ili organizacijama koje oni predstavljaju, ili da bi se preduzeli koraci na zahtjev korisnika prije zaključivanja takvih ugovornih odnosa. To uključuje pružanje, operaciju, konfiguraciju, održavanje i podršku CypSec proizvoda i usluga, upravljanje korisničkim nalozima i mehanizmima autentifikacije, rukovanje zahtjevima za usluge i upitima tehničke podrške, i administraciju naplate, fakturisanje i povezane finansijske transakcije sprovedene u okviru vladinih okvira javnih nabavki.

Pravna obaveza i usklađenost sa propisima

Obrađuje se gdje to propisuju primjenjivi zakoni, vladini propisi i direktive nacionalne sigurnosti. Takve obaveze uključuju usklađenost sa zahtjevima Federal Acquisition Regulation i Defense Federal Acquisition Regulation Supplement, poštovanje vodiča za bezbjednosnu klasifikaciju i postupaka rukovanja, ispunjenje obaveza izvozne kontrole pod International Traffic in Arms Regulations i Export Administration Regulations, odgovor na zakonite sudske procese od strane sudova, regulatornih tijela i nadzornih organa, i usklađenost sa poreskim, računovodstvenim i korporativnim upravnim zahtjevima primjenjivim na vladine izvođače.

CypSec obrađuje lične podatke gdje je to neophodno za usklađenost sa pravnim obvezama kojima je Kompanija podložna. Takve obaveze mogu proizaći iz poreskih, računovodstvenih, korporativnih upravnih, izvoznih kontrola, kiberbezbjednosnih, finansijskih propisa, radnog prava, ili obaveza da se odgovori na zakonite zahtjeve sudova, regulatora ili nadzornih organa sa odgovarajućom jurisdikcijom nad operacijama Kompanije.

Legitimni bezbjednosni interesi i zahtjevi nacionalne sigurnosti

CypSec obrađuje lične podatke gdje je to neophodno za zaštitu esencijalnih bezbjednosnih interesa koji nisu nadjačani individualnim pravima na privatnost. Ti interesi obuhvataju održavanje bezbjednosti i integriteta sistema i mreža kritične infrastrukture, sprečavanje, otkrivanje i reagovanje na kiber prijetnje, špijunske aktivnosti i napade državnih aktera, sprovođenje analize prijetnji i istraga o atribuciji, zaštitu klasificiranih informacija i kontrolisanih tehničkih podataka, osiguranje kontinuiranog dostupnosti esencijalnih usluga, i podršku aktivnostima primjenjivanja zakona i kontraobavještajnim aktivnostima kako je ovlašteno primjenjivim pravnim ovlašćenjem.

Legitimni interesi uključuju osiguranje bezbjednosti i integriteta infrastrukture, proizvoda i usluga, sprečavanje, istragu i reagovanje na prevaru, zloupotrebu ili bezbjednosne incidente, razvoj i unapređenje platformi i ponuda, sprovođenje internih analiza i izvještavanja, održavanje i proširenje poslovnih odnosa, sprovođenje pravnih potraživanja, i upravljanje korporativnim transakcijama kao što su spajanja, preuzimanja ili restrukturiranja. Sva obrada na osnovu legitimnih interesa je podložna formalnim testovima uravnoteženja koji razmatraju ozbiljnost identificiranih prijetnji, potencijalni uticaj na zaštitu kritične infrastrukture, obaveze prema vladinim ugovornim organima i primjenjive direktive nacionalne sigurnosti.

Obrađivanje na osnovu saglasnosti i posebne kategorije

Lični podaci se obrađuju na osnovu eksplicitne saglasnosti gdje to zahtijeva primjenjivi zakon za specifične aktivnosti uključujući učešće u opcionim istraživačkim i razvojnim inicijativama bezbjednosti, upis na napredne obuke i kurseve za sertifikaciju, učešće u konzorcijumima za dijeljenje informacija o prijetnjama i naporima industrijske saradnje, pružanje preporuka ili studija slučajeva u marketinške svrhe, i aktiviranje pojaanih funkcija nadzora ili analitika iznad osnovnih bezbjednosnih zahtjeva. Saglasnost se može povući u bilo koje vrijeme bez uticaja na zakonitost obrade sprovedene prije povlačenja.

U ograničenim okolnostima koje su esencijalne za kiberbezbjednosne operacije, CypSec može obrađivati posebne kategorije ličnih podataka uključujući biometrijske identifikatore za višefaktorsku autentifikaciju, informacije o bezbjednosnoj provjeri i rezultate istraga pozadine. Takva obrada se sprovodi samo gdje je to neophodno za uspostavljanje, ostvarivanje ili odbranu pravnih potraživanja, zahtijevano od strane značajnih osnova javnog interesa uključujući ciljeve nacionalne sigurnosti, eksplicitno ovlašteno od strane subjekata podataka sa odgovarajućim pravnim zaštitnim mjerama, ili naredeno primjenjivim vladinim bezbjednosnim zahtjevima i procedurama provjere.

Sve svrhe obrade se procjenjuju kroz formalne procjene nužnosti i proporcionalnosti kako bi se osiguralo da su aktivnosti prikupljanja i obrade podataka strogo ograničene na ono što je esencijalno za postizanje legitimnih bezbjednosnih ciljeva dok se održava odgovarajuće poštovanje prema individualnim interesima privatnosti u okviru primjenjivih pravnih zahtjeva i državnih direktiva.

4. Zadržavanje podataka, arhitektura skladištenja i bezbjednosne zaštite

Periodi zadržavanja i pravni okvir

CypSec održava lične podatke prema rasporedima zadržavanja specijalno dizajniranim da uravnoteže operativne zahtjeve za kiberbezbjednosnim operacijama sa primjenjivim pravnim obvezama i državnim mandatima o čuvanju evidencija. Svi periodi zadržavanja su uspostavljeni kroz formalne procese procjene koji procjenjuju nivo klasifikacije i oznaku osetljivosti obrađenih informacija, ugovorne obaveze specificirane u vladinim ugovorima i sporazumima o nabavci, zakonske periode ograničenja primjenjive na vladine izvođače, zahtjeve zadržavanja nacionalne sigurnosti i mandate nadzora obavještajnih službi, i operativnu nužnost za sposobnosti korelacije prijetnji i forenzičkih analiza.

Podaci o nalozima i autentifikaciji se zadržavaju tokom trajanja aktivne usluge plus sedam godina da bi se podržali zahtjevi revizije, bezbjednosnih istraga i aktivnosti državnog nadzora. Bezbjednosni zapisi i podaci o događajima se održavaju u minimalnim periodima od dvadeset četiri mjeseca da bi se omogućile operacije potrage prijetnji, korelacije incidenata i forenzičke analize. Finansijski i ugovorni zapisi se čuvaju deset godina u skladu sa propisima o vladinim nabavkama, poreske obaveze i zahtjeve za evidencijom revizije. Rezervni i sistemi za oporavak od katastrofa se zadržavaju devedeset dana osim ako produženo zadržavanje nije naređeno specifičnim ugovornim obvezama ili zahtjevima klasifikacije.

Arhitektura skladištenja i tehničke kontrole

Svi lični podaci se održavaju unutar bezbjednih okruženja koje implementira arhitekturu odbrane u dubinu sa više nezavisnih bezbjednosnih slojeva. Sistemi za skladištenje koriste FIPS 140-2 Level 3 validiranu enkripciju za sve podatke u mirovanju koristeći AES-256 ili jače algoritme, hardverske bezbjednosne module za upravljanje kriptografskim ključevima i operacije kontrole pristupa, segmentaciju mreže i mikrosegmentaciju za izolovanje sistema za skladištenje osetljivih podataka, sisteme kontinuiranog nadzora sa sposobnostima otkrivanja prijetnji u realnom vremenu, i nepromjenjivo evidentiranje revizije da bi se spriječila neovlaštena modifikacija zapisa o zadržavanju.

Operacije skladištenja podataka mogu koristiti vladinom odobrenu cloud infrastrukturu koja ispunjava FedRAMP High ili ekvivalentne bezbjednosne bazeline, sisteme na lokaciji unutar bezbjednih objekata koji su ovlašteni za odgovarajuće nivoe klasifikacije, hibridne arhitekture odobrene za specifične vladine ugovore, i rezervne sisteme održavane na geografski odvojenim lokacijama u svrhu oporavka od katastrofa. Svi provajderi skladištenja trećih strana moraju pokazati odgovarajuće bezbjednosne provjere i održavati provjere objekata u skladu sa nivoom klasifikacije skladištenih podataka.

Postupci reagovanja na incidente i obavještavanja o povredama

CypSec održava sveobuhvatne postupke reagovanja na incidente dizajnirane da se bave bezbjednosnim događajima koji utiču na lične podatke. Po otkrivanju bilo kakvog sumnjivog ili potvrđenog bezbjednosnog incidenta, Kompanija odmah aktivira procedure sadržavanja da bi se spriječio dalji neovlašteni pristup, sprovodi sveobuhvatnu procjenu uticaja da bi se utvrdio obuhvat i priroda pogođenih ličnih podataka, implementira mjede uklanjanja nedostataka da bi se adresirale ranjivosti i spriječilo ponovno pojavljivanje, koordinira sa odgovarajućim vladinim vlastima i ugovornim oficirima gdje su uključene klasificirane informacije, i održava detaljnu dokumentaciju za reviziju i nadzor.

Obaveze obavještavanja se ispunjavaju u skladu sa primjenjivim pravnim zahtjevima i odredbama vladinih ugovora. Gdje to zakon zahtijeva, CypSec pruža obavještavanje nadzornim organima u roku od sedamdeset dva sata od potvrde incidenta. Pogođeni pojedinci se obavještavaju bez nepotrebnog odgađanja gdje incident predstavlja visok rizik po individualna prava i slobode. Sva obavještavanja uključuju opis prirode i obuhvata incidenta, identifikaciju kategorija pogođenih ličnih podataka, procjenu potencijalnih posljedica, opis mjera sadržavanja i uklanjanja, i kontakt informacije za dodatne upite.

Protokoli bezbjednog uklanjanja i uništavanja podataka

Po isteku primjenjivih perioda zadržavanja, lični podaci se uništavaju koristeći metode odgovarajuće nivou klasifikacije i osetljivosti informacije. Procedure uništavanja uključuju kriptografsko brisanje koristeći NIST-odobrene metode za enkriptirane podatke, višestruko prepisivanje koje ispunjava DoD 5220.22-M standarde za magnetne medije, fizičko uništavanje kroz drobljenje ili degauziranje za uređaje za skladištenje koji sadrže klasificirane informacije, i certificirano uništavanje sa dokumentacijom lanca čuvanja za sve podatke vladinih ugovora.

Gdje tehnička ograničenja sprečavaju neposredno brisanje, pristup ličnim podacima se strogo ograničava kroz uklanjanje svih korisničkih privilegija pristupa i akredenativa za autentifikaciju, implementaciju tehničkih kontrola koje sprječavaju pristup sistemu, održavanje u bezbjednom vanmrežnom skladištu sa ograničenim administrativnim pristupom, i konačno uništavanje po rješavanju tehničkih ograničenja. Sve aktivnosti uklanjanja se dokumentuju kroz formalne certifikate o uništavanju koje se održavaju prema primjenjivim vladinim zahtjevima za čuvanje evidencija i mandatima nadzora.

5. Protokoli o otkrivanju podataka i međunarodnom transferu

Ovlaštene kategorije otkrivanja i primaoci

CypSec se ne bavi prodajom, iznajmljivanjem ili komercijalnom eksploatacijom ličnih podataka pod bilo kojim okolnostima. Sva otkrivanja se sprovode isključno gdje su neophodna operativna zahtjeva, ugovorne obaveze ili zakoniti proces, i ograničena su na minimalni obim neophodan za legitimne kiberbezbjednosne operacije i isporuku vladinih usluga. Lični podaci se mogu otkriti provjerenim subjektima koji posluju pod obavezujućim obavezama povjerljivosti i bezbjednosti uključujući ovlaštene izvođače i strateške partnere koji održavaju odgovarajuće provjere objekata i osoblja, vladinom odobrenim provajderima infrastrukture koji ispunjavaju FedRAMP High ili ekvivalentne bezbjednosne bazeline, finansijskim institucijama koje obrađuju ovlaštene transakcije pod vladinim propisima o javnim nabavkama, pravnim savjetnicima i konsultantima za usklađenost sa odgovarajućim bezbjednosnim provjerama i ovlašćenjem potrebe za znanjem, i revizorskim firmama i nadzornim tijelima sa zakonitom jurisdikcijom i odgovarajućim nivoima provjere.

Otkrivanje unutar korporativne strukture CypSec je ograničeno na entitete koji održavaju ekvivalentne standarde bezbjednosti i odgovarajuće provjere objekata. Svi transferi unutar grupe se sprovode kroz bezbjedne komunikacione kanale sa odgovarajućim oznakama klasifikacije i podložni su verifikaciji statusa bezbjednosne provjere primaoca entiteta, implementaciji kontrola pristupa na osnovu potrebe za znanjem, održavanju evidencije revizije za sva kretanja podataka, i usklađenosti sa primjenjivim zahtjevima vladinog nadzora i mandata obavještavanja kongresa gdje je prikladno.

Zahtjevi za otkrivanje vladi i organima za provođenje zakona

Lični podaci se otkrivaju državnim agencijama, regulatornim tijelima i entitetima za provođenje zakona gdje to propisuje zakoniti proces uključujući sudske naredbe, pozive i naloge, direktive nacionalne sigurnosti i klasificirane vladine zahtjeve, obaveze nadzora pod Federal Acquisition Regulation i agencijsko-specifičnim pravilima nabavki, procedure za hitno otkrivanje za sprečavanje neposredne štete po kritičnu infrastrukturu, i međunarodne sporazume o saradnji i sporazume o međusobnoj pravnoj pomoći. Sva vladina otkrivanja se sprovode kroz odgovarajuće bezbjednosne kanale sa pravilnim rukovanjem klasifikacijom i koordinacijom nadzora.

CypSec održava rigorozne procedure provjere i nadzora podprocesora. Svi podprocesori su podložni sveobuhvatnim bezbjednosnim procjenama koje verifikuju usklađenost sa vladinim bezbjednosnim zahtjevima, ugovornim obavezama koje implementiraju ekvivalentne tehničke i organizacione mjere, ograničenjima koja zabranjuju dalje otkrivanje bez eksplicitnog ovlašćenja, pravima revizije koja omogućuju verifikaciju usklađenosti sa bezbjednosnim obavezama, i odredbama o neposrednom prekidu za bezbjednosne povrede ili prekršaje obaveza povjerljivosti. Aktuelni registar ovlaštenih podprocesora se održava i dostavlja vladinim ugovornim oficirima na zahtjev.

Mehanizmi i zaštite međunarodnog transfera

Kretanja podataka preko granica se sprovode isključivo kroz bezbjedne kanale odobrene za vladine i odbrambene aplikacije, implementirajući enkripciju u mirovanju i toku korištenjem FIPS 140-2 Level 3 validiranih kriptografskih modula, kontrole upravljanja ključevima koje osiguravaju da ključevi ostaju pod odgovarajućom vladinom jurisdikcijom, ograničenja rutiranja mreže koja sprječavaju tranzit kroz neovlaštene jurisdikcije, zahtjeve lokalizacije podataka gdje to naređuju vladini ugovori, i sveobuhvatno evidentiranje revizije svih kretanja preko granica za nadzor i verifikaciju usklađenosti.

Za transfere u jurisdikcije koje nemaju odluke o adekvatnosti, CypSec sprovodi formalne procjene uticaja transfera procjenjujući analizu pravnog okvira zemlje primaoca u pogledu nadzora i zakona o pristupu podacima, procjenu potencijalnog vladinog pristupa transferiranim podacima, evaluaciju dostupnih pravnih lijekova za subjekte podataka, identifikaciju dodatnih tehničkih i ugovornih mjera, i dokumentovanje analize proporcionalnosti koja uravnotežuje bezbjednosne koristi protiv rizika po privatnost. Sve procjene se pregledaju od strane kvalifikovanih pravnih savjetnika i odobravaju od strane višeg rukovodstva prije ovlašćivanja transfera.

Protokoli transfera između vlada

Međunarodni transferi sprovedeni pod formalnim vladinim sporazumima koriste odobrene bezbjedne komunikacione kanale i podložni su bilateralnim ili multilateralnim sporazumima koji uspostavljaju odgovarajuće zaštite, NATO bezbjednosnim protokolima i procedurama rukovanja klasificiranim informacijama, zahtjevima nadzora obavještajnih službi i obavezama informiranja kongresa, specifičnim tehničkim kontrolama naređenim sporazumima o transferu, i kontinuiranom nadzoru odgovarajućih vladinih vlasti da bi se osigurala usklađenost sa zahtjevima nacionalne sigurnosti.

Svi međunarodni transferi su ograničeni na minimalni obim neophodan za legitimne kiberbezbjednosne operacije i sprovode se sa eksplicitnim priznanjem da zaštita nacionalnih sigurnosnih interesa i kritične infrastrukture može zahtijevati prioritizaciju kolektivnih bezbjednosnih ciljeva nad neograničenim kretanjem podataka. Aktivnosti obrade su dizajnirane da održe najviši dostupni nivo zaštite dok se osigurava operativna efektivnost za operacije otkrivanja i reagovanja na prijetnje preko ovlaštenih jurisdikcija i savezničkih nacija.

6. Individualna prava i mehanizmi ostvarivanja

Okvir prava i pravna ograničenja

Podložno primjenjivim pravnim okvirima i nadjačavajućim zahtjevima nacionalne sigurnosti, pojedinci posjeduju specifična prava u vezi sa ličnim podacima koje obrađuje CypSec. Obuhvat i ostvarivanje ovih prava može biti izmijenjeno gdje su to zahtijevale zahtjevi klasifikacije i obaveze bezbjednosne provjere, odredbe vladinih ugovora i propisi o nabavkama, direktive nacionalne sigurnosti i zahtjevi nadzora obavještajnih službi, tekuće istrage prijetnji i kontraobavještajne operacije, i zaštitne mjere za kritičnu infrastrukturu i klasificirane sisteme.

Pojedinci posjeduju pravo da zatraže pristup ličnim podacima koji se obrađuju, podložno verifikaciji odgovarajuće bezbjednosne provjere i ovlašćenja potrebe za znanjem. Zahtjevi za pristup moraju specificirati tražene kategorije podataka, legitimnu osnovu za zahtjev za pristup, verifikaciju identiteta kroz vladom odobrene mehanizme autentifikacije, i priznanje primjenjivih zahtjeva za rukovanje povjerljivim i bezbjednosnim informacijama. Pristup može biti odbijen ili ograničen gdje bi otkrivanje kompromitiralo klasificirane informacije ili interese nacionalne sigurnosti, ometalo tekuće istrage prijetnji, otkrivalo izvore ili metode proprietarne prijetnje, ili kršilo obaveze bezbjednosne provjere ili zahtjeve za kompartmentalizaciju.

Prava na ispravljanje i kvalitet podataka

Zahtjevi za ispravljanje netačnih ličnih podataka se obrađuju gdje se netočnost potvrđuje kroz odgovarajuću dokumentaciju, ispravljanje ne bi kompromitiralo bezbjednosne operacije ili integritet evidencije revizije, tražeći pojedinac posjeduje odgovarajuće ovlašćenje da zatraži modifikaciju, i ispravljanje je u skladu sa primjenjivim vladinim zahtjevima za čuvanje evidencija. Zahtjevi koji utiču na informacije o bezbjednosnoj provjeri, rezultate istraga pozadine ili podatke o prijetnjama su podložni dodatnim procedurama verifikacije i mogu zahtijevati koordinaciju sa odgovarajućim vladinim vlastima.

Pravo na brisanje je podložno nadjačavajućim zahtjevima zadržavanja nacionalne sigurnosti, odredbama vladinih ugovora i mandatima nadzora obavještajnih službi. Brisanje se neće procesuirati gdje su lični podaci potrebni za tekuće aktivnosti otkrivanja prijetnji ili reagovanja na incidente, moraju se zadržati prema vladinim zahtjevima revizije ili nadzora, čine dokaze u aktuelnim ili potencijalnim pravnim postupcima, su neophodni za verifikaciju bezbjednosne provjere ili svrhe istrage pozadine, ili su podložni obaveznim periodima zadržavanja uspostavljenim primjenjivim zakonom ili vladinom direktivom.

Ograničenja obrade i prava na prigovor

Pojedinci mogu zatražiti ograničenje aktivnosti obrade gdje se tačnost legitimno osporava i verifikacija je na čekanju, obrada je nezakonita ali brisanje je zabranjeno zahtjevima nacionalne sigurnosti, podaci više nisu potrebni za operativne svrhe ali moraju biti zadržani za pravne postupke, ili prigovor na obradu je na čekanju verifikacije nadjačavajućih legitimnih osnova. Ograničeni podaci ostaju podložni odgovarajućim bezbjednosnim kontrolama i mogu se nastaviti obrađivati za svrhe nacionalne sigurnosti ovlaštene vladinom direktivom, zaštitu sistema kritične infrastrukture, usklađenost sa primjenjivim pravnim obvezama, ili uspostavljanje, ostvarivanje ili odbranu pravnih potraživanja.

Pojedinci posjeduju pravo da se usprotive obradi na osnovu legitimnih interesa gdje takvi interesi nisu nadjačani zahtjevima nacionalne sigurnosti, vladinim ugovornim obavezama ili potrebama zaštite kritične infrastrukture. Prigovori na obradu za svrhe direktnog marketinga će biti odmah poštovani. Prigovori na bezbjednosnu obradu se procjenjuju kroz formalne testove uravnoteženja razmatrajući ozbiljnost i neposrednost identificiranih prijetnji, potencijalni uticaj na zaštitu kritične infrastrukture, obaveze prema vladinim ugovornim organima i primjenjive direktive nacionalne sigurnosti.

Procedure ostvarivanja i zahtjevi za verifikaciju

Svi zahtjevi za prava moraju biti podneseni kroz bezbjedne kanale sa odgovarajućom verifikacijom identiteta i potvrde bezbjednosne provjere. Zahtjevi se obrađuju samo gdje je identitet podnosioca verificiran kroz vladom odobrene mehanizme autentifikacije, podnosioc posjeduje odgovarajuću bezbjednosnu provjeru za pristup traženim informacijama, otkrivanje ne bi kompromitiralo klasificirane informacije ili interese nacionalne sigurnosti, i obrada je tehnički izvodljiva unutar primjenjivih bezbjednosnih ograničenja. Neverifikabilni zahtjevi se neće procesuirati.

Verifikovani zahtjevi će biti procesuirani u vremenskim okvirima koje zahtijeva primjenjivi zakon, tipično trideset dana, osim ako su produženi složenošću zahtjeva koji uključuju klasificirane informacije, zahtjevima koordinacije sa vladinim vlastima, tehničkim ograničenjima koja utiču na preuzimanje podataka sa bezbjednih sistema, ili nadjačavajućim interesima nacionalne sigurnosti koji zahtijevaju produžene periode obrade. Podnosioci će biti obaviješteni o bilo kojim produženjima i pruženi im statusni ažuriranja tokom cijelog perioda obrade.

Sve aktivnosti ostvarivanja prava se sprovode sa eksplicitnim priznanjem da kiberbezbjednosne operacije koje podržavaju nacionalne sigurnosne interese mogu zahtijevati prioritizaciju kolektivnih bezbjednosnih ciljeva nad individualnim pravima subjekata podataka gdje je takva prioritizacija ovlaštena primjenjivim pravnim okvirima i državnim direktivama. Pojedinci zadržavaju pravo da podnesu pritužbe kompetentnim nadzornim organima u vezi sa aktivnostima obrade, sa dodatnim pravnim lijekovima kroz odgovarajuće ugovorne oficire, inspektore generala agencija i odbore za nadzor kongresa gdje je to primjenjivo na vladine ugovore.

7. Upravljanje politikama i administrativni okvir

Administrativna vlast i jurisdikcioni okvir

Ova Deklaracija o privatnosti podataka se administrira od strane CypSec Grupe kao autoritativni okvir koji uređuje sve aktivnosti obrade ličnih podataka sprovedene u podršci kiberbezbjednosnih operacija. Deklaracija uspostavlja uniformne standarde zaštite kroz sve operacije dok istovremeno priznaje da specifični vladini ugovori, klasificirani sporazumi i direktive nacionalne sigurnosti mogu nametnuti dodatne zahtjeve koji nadjačavaju opće odredbe gdje to propisuje primjenjivi zakon ili nadjačavajući bezbjednosni interesi.

U okolnostima gdje nastupaju konfliktni zahtjevi između ove Deklaracije i odredbi vladinih ugovora ili propisa o nabavkama, direktiva nacionalne sigurnosti i procedura rukovanja klasificiranom informacijom, međunarodnih sporazuma ili bilateralnih ugovora, mandata nadzora obavještajnih službi, ili hitnih direktiva za zaštitu kritične infrastrukture, prevaldat će najzaštitniji primjenjivi standard koji zadovoljava vladine bezbjednosne zahtjeve. Svi konflikti se rješavaju kroz formalnu pravnu reviziju sa odgovarajućom vladinom koordinacijom gdje su uključene klasificirane informacije.

Tehnička implementacija i tehnologije praćenja

CypSec koristi kolačiće i uporedive tehnologije praćenja isključivo za održavanje bezbjednih sesija autentifikacije i sprečavanje neovlaštenog pristupa, otkrivanje prijetnji i identifikaciju anomalija unutar korisničkih okruženja, nadzor performansi bezbjednosne infrastrukture i sistema za reagovanje, i verifikaciju usklađenosti sa vladinim bezbjednosnim zahtjevima. Esencijalni kolačići neophodni za bezbjednu operaciju platforme se postavljaju bez individualne saglasnosti. Ne-esencijalne tehnologije praćenja se implementiraju samo gdje je to eksplicitno ovlašteno primjenjivim zakonom i podložno odgovarajućim mehanizmima bezbjednosnog nadzora.

Sve tehničke implementacije koriste vladom odobrene standarde enkripcije i sprovode se kroz bezbjedne komunikacione kanale koji ispunjavaju primjenjive zahtjeve klasifikacije. Podaci praćenja se zadržavaju prema uspostavljenim rasporedima usklađenim sa zahtjevima zadržavanja nacionalne sigurnosti i vladinim revizorskim obvezama, sa pristupom strogo ograničenim na osoblje koje posjeduje odgovarajuće bezbjednosne provjere i ovlašćenje potrebe za znanjem.

Ograničenja starosti i protokoli zaštite maloljetnika

CypSec usluge su dizajnirane za i ograničene na ovlašteno vladino osoblje, ovlaštene izvođače, validirane komercijalne entitete koji posluju unutar odobrenih bezbjednosnih okvira i pojedince koji imaju potrebu za tehnologijama koje čuvaju privatnost. Kompanija namjerno ne prikuplja lične podatke od pojedinaca mlađih od šesnaest godina. Gdje se otkrije slučajno prikupljanje, takvi podaci će biti odmah izbrisani osim ako zadržavanje nije naređeno tekućim istragama prijetnji, zahtjevima reagovanja na bezbjednosne incidente, vladinim obvezama revizije ili nadzora, primjenjivim zakonskim mandatima zadržavanja, ili interesima nacionalne sigurnosti koji zahtijevaju nastavak obrade.

Sve procedure verifikacije starosti se implementiraju kroz bezbjedne mehanizme autentifikacije koji verifikuju ovlašćenje za pristup klasificiranim sistemima i osetljivim informacijama. Aktivnosti obrade koje uključuju maloljetnike su podložne pojaanom nadzoru i neposrednoj reviziji od strane odgovarajućih vladinih vlasti i ugovornih oficira.

Procedure izmjene i ažuriranja politika

Ova Deklaracija može biti ažurirana da bi odrazila izmjene u primjenjivim zakonima o zaštiti podataka ili vladinim propisima o nabavkama, unapređenja bezbjednosnih tehnologija i sposobnosti otkrivanja prijetnji, promjene u zahtjevima ugovora ili vodičima za klasifikaciju, razvoje u mehanizmima međunarodnog transfera podataka, ili operativne zahtjeve za pojaanim kiberbezbjednosnim sposobnostima. Ažurirane verzije se šire kroz bezbjedne kanale obavještavanja.

Značajne izmjene koje utiču na mehanizme međunarodnog transfera podataka, vladine postupke nadzora ili revizije, zahtjeve za rukovanje bezbjednosnom klasifikacijom, odredbe o ograničenju odgovornosti ili garancije, ili procedure rješavanja sporova za vladine ugovore, biće komunicirane kroz formalne procese izmjena ugovora sa odgovarajućim unaprijed najavljenim periodom kako to zahtijevaju primjenjivi propisi o nabavkama. Sve materijalne promjene zahtijevaju priznanje ovlaštenih vladinih predstavnika prije implementacije.

Struktura upravljanja i usklađenost sa propisima

CypSec održava sveobuhvatne mehanizme upravljanja uključujući imenovanje kvalifikovanih službenika za zaštitu podataka sa odgovarajućim bezbjednosnim provjerama za rukovanje klasificiranom informacijom, uspostavljanje vladinih kancelarija za veze za koordinaciju sa ugovornim organima, implementaciju formalnih procedura pregleda za sve izmjene politika koje utiču na vladine ugovore, održavanje nadzornih odbora sa zastupanjem od pravnih, bezbjednosnih i vladinih funkcija odnosa, i koordinaciju sa odgovarajućim nadzornim organima i tijelima nadzora obavještajnih službi kako to propisuje primjenjivi zakon.

Gdje to propisuje primjenjivi zakon, CypSec imenuje predstavnike unutar relevantnih jurisdikcija u skladu sa Članovima 27 i 37 Opšte uredbe o zaštiti podataka. Svi predstavnici održavaju odgovarajuće bezbjednosne provjere i ovlašteni su da koordiniraju sa nadzornim organima u pitanjima koja uključuju klasificiranu informaciju, olakšavaju procedure ostvarivanja prava podložno ograničenjima nacionalne sigurnosti, upravljaju procesima obavještavanja o povredama sa odgovarajućom vladinom koordinacijom, i služe kao kontakt tačke za regulatorne upite koji zahtijevaju verifikaciju bezbjednosne provjere.

Ova Deklaracija djeluje kao definitivni okvir upravljanja za sve aktivnosti obrade ličnih podataka, nadjačavajući sve prethodne politike, procedure i neformalne prakse. Sve aktivnosti obrade se sprovode sa eksplicitnim priznanjem da zaštita interesa nacionalne sigurnosti i kritične infrastrukture može zahtijevati prioritizaciju kolektivnih bezbjednosnih ciljeva nad individualnim preferencama gdje je takva prioritizacija ovlaštena primjenjivim pravnim okvirima i državnim direktivama.