Dokumen ini melengkapi Lampiran II: Tindakan Teknis dan Organisasi dari Adendum Pemrosesan Data (DPA) antara Vtiger dan Pelanggan berdasarkan Pasal 28(Pemroses) GDPR (Peraturan Perlindungan Data Umum UE).
Vtiger menerapkan langkah-langkah teknis dan organisasi berdasarkan Pasal 32 (Keamanan pemrosesan) GDPR. Langkah-langkah ini terus ditingkatkan sesuai dengan kelayakan dan teknologi terkini, termasuk sertifikasi aktif ISO 27001 untuk meningkatkan keamanan dan perlindungan.
Di Vtiger, kami berkomitmen untuk menjaga dan menegakkan berbagai kebijakan, standar, dan proses untuk mengamankan Data Pribadi dan data lain yang diakses oleh karyawan kami. Dedikasi kami terhadap perlindungan data mencakup memiliki tim khusus untuk privasi dan keamanan, memberikan perlindungan data untuk pihak eksternal, memastikan perlindungan yang konsisten di seluruh organisasi, kontrol ketat terhadap subkontraktor, dan melakukan audit dan sertifikasi secara berkala. Kami memperbarui langkah-langkah ini secara berkala untuk memastikan langkah-langkah tersebut selaras dengan standar industri.
Uraian mengenai langkah-langkah teknis dan organisasi berikut akan dibedakan, jika memungkinkan, berdasarkan kategori data tersebut.
1. Kerahasiaan
1.1 Kontrol Akses Fisik
Terdapat langkah-langkah untuk mencegah individu yang tidak berwenang mengakses sistem pemrosesan data yang digunakan untuk memproses data pribadi.
Tindakan Teknis
Gedung dan kantor terkunci
Akses biometrik
Sistem penguncian manual
Pintu dengan sistem kunci otomatis
Petugas keamanan
Pengawasan Video di Pintu Masuk
Tidak ada server produksi di tempat
Tindakan Organisasi
Daftar periksa peraturan utama
Penerimaan dengan Personil Satpam
Buku Pengunjung
Lencana Karyawan/Pengunjung
Pengunjung Didampingi Karyawan
Kebijakan Keamanan Informasi
Kontrol Akses Instruksi Kerja
Meskipun Vtiger memprioritaskan keamanan data, penting untuk mengakui model tanggung jawab bersama dalam komputasi awan. Vtiger menggunakan Penyedia Layanan Cloud (CSP) seperti AWS, DigitalOcean, dan OV untuk menyediakan sumber daya cloud. CSP ini mengamankan infrastruktur dasar dan mempertahankan kontrol keamanan yang kuat. Detail selengkapnya tentang cara kontrol keamanan ISP dapat ditemukan di sini.
1.2 Kontrol Akses Logis
Langkah-langkah keamanan diterapkan untuk mencegah akses tidak sah ke sistem pemrosesan data.
Tindakan Teknis
Login dengan nama pengguna dan kata sandi yang kuat
firewall
Sistem Deteksi Intrusi
Gunakan VPN untuk akses jarak jauh
Enkripsi Disk, Perangkat/Laptop/Tablet
Otentikasi dua faktor
Kunci Desktop/Laptop otomatis
Perangkat lunak anti-virus diinstal pada perangkat dan server
Akses dipantau dan dicatat
Penguncian Akun Otomatis ketika login/otentikasi gagal
Semua aktivitas penggunaan dan perubahan data dicatat
Tindakan Organisasi
Manajemen izin pengguna, termasuk otorisasi berbasis peran
Membuat profil khusus pengguna
Kebijakan Keamanan Informasi
Kebijakan Kata Sandi
Kebijakan Perangkat Seluler
Instruksi Kerja: SOP Keamanan IT dan Kontrol Akses Karyawan
Pemeriksaan Karyawan
Pelatihan dan Kesadaran
Prinsip De Minimis
Akses Karyawan Vtiger dan Kontrol Pelanggan
Karyawan Vtiger dapat mengakses produk Vtiger dan data pelanggan hanya melalui antarmuka yang aman. Akses ini diberikan hanya ketika pelanggan secara eksplisit mengaktifkannya dalam pengaturan mereka. Semua permintaan akses dicatat dengan cermat untuk tujuan audit.
Vtiger membatasi akses karyawan ke personel tertentu berdasarkan kebutuhan, memastikan bahwa hanya individu yang berwenang yang dapat melihat data pelanggan untuk alasan yang sah. Aplikasi pelanggan diakses untuk:
Memberikan dukungan pelanggan
Memecahkan masalah teknis yang dialami pelanggan
Mengidentifikasi dan merespons potensi ancaman keamanan
1.3 Pengendalian Otorisasi
Terdapat langkah-langkah untuk memastikan bahwa hanya individu yang berwenang yang dapat mengakses sistem pemrosesan data. Data pribadi tidak dapat dibaca, disalin, dimodifikasi, atau dihapus tanpa izin yang sesuai selama pemrosesan, penggunaan, dan penyimpanan.
Tindakan Teknis
Penghapusan fisik pembawa/perangkat data
Akses terenkripsi SSH
Enkripsi SSL bersertifikat
Rusak File dan Kertas yang sudah tidak terpakai lagi
Penghapusan otomatis cadangan dari arsip setelah periode penyimpanan atau ketika permintaan pelanggan
Pencatatan akses terhadap aplikasi, khususnya saat memasukkan, mengubah, dan menghapus data
Tindakan Organisasi
Kebijakan Keamanan Informasi
Minimalkan Peran Administrator
Manajemen hak pengguna oleh administrator
Instruksi kerja dalam menangani informasi dan aset
1.4 Pengendalian Pemisahan
Langkah-langkah diterapkan pada praktik pemisahan data yang ketat untuk memastikan data yang dikumpulkan untuk tujuan berbeda tetap terisolasi. Hal ini mencakup pemisahan logis, dimana data dikategorikan dan disimpan dalam bagian berbeda dalam sistem, dan kemungkinan pemisahan fisik, dimana data disimpan pada perangkat keras yang sepenuhnya berbeda.
Tindakan Teknis
Pemisahan fisik (sistem/database/pembawa data)
Multi-penyewaan aplikasi yang relevan
Aplikasi klien dan data dipisahkan secara logis
Pementasan lingkungan pengembangan, pengujian, dan produksi
Tindakan Organisasi
Kebijakan Keamanan Informasi
Kebijakan Perlindungan Data
Kontrol melalui konsep otorisasi
Instruksi kerja untuk: Keamanan operasional dan, Keamanan dalam pengembangan dan pengujian perangkat lunak
1.5 Kontrol Enkripsi
Langkah-langkah diterapkan untuk melindungi data saat transit dan saat disimpan dengan menggunakan metodologi canggih.
Tindakan Teknis
Enkripsi Data dalam Transit (Dalam Gerakan)
Menerapkan protokol Transport Layer Security (TLS 1.2 dan lebih tinggi) dan Secure Sockets Layer (SSL) untuk semua transmisi data.
Protokol-protokol ini mengenkripsi data saat berpindah antar sistem, sehingga tidak dapat dibaca oleh siapa pun yang menyadapnya.
Enkripsi Data Saat Istirahat (Tersimpan)
Disk Penyimpanan: Dienkripsi dengan Enkripsi Tingkat Disk
Data Sensitif: Dienkripsi dengan AES-256 (Standar Enkripsi Lanjutan 256-bit)
Manajemen Kunci: AWS Key Management Service (KMS)
Cadangan: Dienkripsi dengan AES-256 di AWS S3
Penyembunyian Data: Detail khusus pelanggan dikaburkan.
Tindakan Organisasi
Rotasi Kunci: Rotasi reguler kunci enkripsi yang digunakan untuk data dan pencadangan guna meminimalkan risiko yang terkait dengan kunci yang disusupi.
Kontrol Akses: Membatasi akses ke kunci enkripsi hanya pada sejumlah personel yang berwenang dengan dasar kebutuhan untuk mengetahui yang ketat.
Audit: Pertahankan log penggunaan kunci yang terperinci untuk memantau akses dan mengidentifikasi potensi anomali.
2. Integritas
2.1 Pengendalian Pemindahan
Terdapat tindakan untuk mencegah akses tidak sah terhadap data pribadi selama transmisi elektronik atau saat disimpan di perangkat penyimpanan data, untuk memastikan bahwa data tersebut tidak dapat dibaca, disalin, diubah, atau dihapus.
Tindakan Teknis
Penggunaan VPN
Pencatatan akses dan pengambilan
Penyediaan melalui koneksi terenkripsi seperti SFTP, HTTPS, dan penyimpanan cloud yang aman
Tindakan Organisasi
Survei proses pengambilan dan transmisi reguler
Pemilihan personel dan kendaraan pengangkut secara cermat
Serah terima pribadi dengan protokol
Kebijakan Keamanan Informasi
Kebijakan Perlindungan Data
2.2 Kontrol Masukan
Langkah-langkah tersebut diterapkan untuk memverifikasi dan meninjau siapa yang telah memasukkan, mengubah, atau menghapus data pribadi dari sistem pemrosesan data. Logging mengontrol input pada tingkat yang berbeda, seperti sistem operasi, jaringan, firewall, database, dan aplikasi.
Tindakan Teknis
Pencatatan teknis entri, modifikasi, dan penghapusan data
Kontrol log secara manual atau otomatis (sesuai dengan spesifikasi internal yang ketat)
Tindakan Organisasi
Survei program mana yang dapat digunakan untuk memasukkan, mengubah, atau menghapus data mana
Ketertelusuran entri data, modifikasi, dan penghapusan melalui nama pengguna individual
Pemberian hak untuk memasukkan, mengubah, dan menghapus data berdasarkan konsep otorisasi
Tanggung jawab yang jelas untuk penghapusan
Kebijakan Keamanan Informasi
3. Ketersediaan dan Ketahanan
3.1 Pengendalian Ketersediaan
Terdapat tindakan untuk melindungi data pribadi dari kerusakan atau kehilangan yang tidak disengaja (misalnya UPS, AC, proteksi kebakaran, pencadangan data, penyimpanan media data yang aman).
Tindakan Teknis
Uptime minimum 99.9% (tidak termasuk pemeliharaan yang dijadwalkan pada malam akhir pekan).
Ketersediaan Data Berkelanjutan
Sistem deteksi kebakaran dan asap
Ruang server pemadam kebakaran
Ruang server memantau suhu dan kelembaban
AC ruang server
Sistem UPS dan generator diesel darurat
Strip soket pelindung di ruang server
Sistem RAID / pencerminan hard disk
Ruang server pengawasan video
Tindakan Organisasi
Konsep cadangan
Adanya rencana darurat
Penyimpanan cadangan di luar lokasi
Pemisahan OS dan partisi data jika diperlukan
3.2 Pengendalian Pemulihan
Terdapat langkah-langkah untuk memulihkan akses ke data pribadi dengan cepat jika terjadi insiden fisik atau teknis.
Tindakan Teknis
Pemantauan dan pelaporan cadangan
Pemulihan dari alat otomatisasi
Konsep cadangan sesuai dengan kekritisan dan spesifikasi pelanggan
Tindakan Organisasi
Rencana Pemulihan Bencana
Kontrol proses pencadangan
Pengujian rutin pemulihan data dan pencatatan hasil
Simpan media cadangan di tempat yang aman di luar ruang server
Adanya rencana darurat
4. Tata Cara Review, Penilaian, dan Evaluasi secara berkala
4.1 Manajemen Perlindungan Data (DPM)
Manajemen Perlindungan Data (DPM) mencakup strategi dan serangkaian praktik komprehensif untuk mengamankan, mengelola, dan menjaga informasi sensitif sepanjang siklus hidupnya. Hal ini termasuk mengendalikan akses, mencegah penggunaan yang tidak sah, dan memastikan pemulihan data jika terjadi insiden.
Tindakan Teknis
Dokumentasi terpusat dari semua peraturan perlindungan data dengan akses bagi karyawan
Sertifikasi keamanan menurut ISO 27001
Tinjauan terhadap efektivitas TOM dilakukan setidaknya setiap tahun, dan TOM diperbarui
Tindakan Organisasi
Petugas Perlindungan Data (DPO) ditunjuk.
Semua anggota staf telah dilatih dan terikat untuk menjaga kerahasiaan dan kerahasiaan data. Mereka menerima pelatihan kesadaran rutin setidaknya setiap tahun.
Penilaian Dampak Perlindungan Data (DPIA) dilakukan sesuai kebutuhan.
Proses telah ditetapkan untuk mematuhi kewajiban informasi sesuai Pasal 13 dan 14 GDPR.
Proses formal untuk menangani permintaan informasi dari subjek data sudah ada.
Aspek perlindungan data diintegrasikan ke dalam manajemen risiko perusahaan kami.
Bagian-bagian penting perusahaan, termasuk operasional pusat data, telah bersertifikat ISO 27001, dan audit pemantauan tahunan dilakukan.
4.2 Manajemen Respons Insiden
Langkah-langkah diterapkan untuk mendukung respons pelanggaran keamanan dan proses pelanggaran data.
Tindakan Teknis
Penggunaan firewall dan pembaruan rutin
Penggunaan filter spam dan pembaruan rutin
Penggunaan pemindai virus dan pembaruan rutin
Intrusion Detection System (IDS) untuk sistem pelanggan yang dipesan
Sistem Pencegahan Intrusi (IPS) untuk sistem pelanggan yang dipesan
Tindakan Organisasi
Proses terdokumentasi untuk mengidentifikasi dan melaporkan insiden keamanan dan pelanggaran data, termasuk kewajiban untuk melaporkan kepada otoritas pengawas
Prosedur standar penanganan insiden keamanan yang melibatkan Data Protection Officer (DPO)
Mendokumentasikan insiden keamanan dan pelanggaran data menggunakan sistem tiket internal
Proses standar untuk menindaklanjuti insiden keamanan dan pelanggaran data
Kebijakan pemberitahuan pelanggaran
4.3 Perlindungan Data Berdasarkan Desain dan Default
Langkah-langkah diterapkan untuk mematuhi prinsip-prinsip perlindungan data berdasarkan desain dan default sesuai Pasal 25 GDPR.
Tindakan Teknis
Persetujuan aplikasi pihak ketiga: Persetujuan dari pimpinan tim dan manajer operasi TI diperlukan untuk semua aplikasi pihak ketiga yang digunakan dalam pengembangan.
Sumber unduhan aman: Mengamanatkan pengunduhan alat pengembangan hanya dari sumber aman seperti server pabrikan.
Sistem Masuk Tunggal (SSO): Menerapkan SSO jika memungkinkan bagi aplikasi pihak ketiga untuk mengelola akses secara terpusat.
Penonaktifan aplikasi yang kurang aman: Nonaktifkan aplikasi pihak ketiga yang kurang aman secara default melalui konfigurasi administrator.
Tindakan Organisasi
Desain yang sadar privasi: Mendorong pengembangan produk yang meminimalkan jumlah data yang harus dimasukkan oleh pengguna. Hindari bidang data yang tidak perlu atau jadikan opsional.
Pengaturan privasi default: Pilih terlebih dahulu pengaturan ramah privasi secara default untuk memprioritaskan perlindungan data pengguna.
PbD: Kebijakan Perlindungan Data (mencakup prinsip "privasi berdasarkan desain / secara default")
4.4 Pengendalian Pesanan (outsourcing, subkontraktor, dan pemrosesan pesanan)
Terdapat tindakan untuk memastikan bahwa data pribadi yang diproses atas nama klien hanya ditangani sesuai instruksi klien.
Tindakan Teknis
Pemantauan akses jarak jauh oleh pihak eksternal, misalnya dalam konteks dukungan jarak jauh
Pemantauan subkontraktor yang sesuai.
Tindakan Organisasi
Memproses data sesuai instruksi pelanggan
Membuat instruksi kerja untuk manajemen pemasok dan evaluasi pemasok
Patuhi peraturan mengenai penggunaan subkontraktor tambahan
Pilih sub-prosesor dengan hati-hati, terutama dengan fokus pada perlindungan dan keamanan data
Buat perjanjian pemrosesan data yang diperlukan, seperti pemrosesan yang ditugaskan atau klausul kontrak standar UE
Memastikan karyawan kontraktor menjaga kerahasiaan data dan mematuhi Kebijakan Keamanan Informasi
Pastikan untuk menghancurkan data setelah kontrak diakhiri.