PhotoRobot tekniske og organisatoriske tiltak (TOMs)

Dette dokumentet definerer PhotoRobot's tekniske og organisatoriske tiltak (TOM) i henhold til artikkel 32 GDPR: Versjon 1.0 – PhotoRobot Edition, uni-Robot Ltd., Tsjekkia. Dokumentet ble sist oppdatert per 31. desember 2025, og støtter overholdelse av PhotoRobot's kontraktsforpliktelser under DPA og SLA.

‍

‍

1. Introduksjon - PhotoRobot TOMs

Dette dokumentet beskriver de tekniske og organisatoriske tiltakene (TOM) som er implementert av uni-Robot Ltd. (PhotoRobot) for å sikre et passende sikkerhetsnivå for behandling av personopplysninger i samsvar med artikkel 32 i personvernforordningen (GDPR).

Disse tiltakene gjelder for driften av PhotoRobot-tjenester, inkludert, men ikke begrenset til:

• PhotoRobot kontrollerer skyen
• PhotoRobot Cloud 2.0
• PhotoRobot styrer lokalt (når det er koblet til skytjenester)
• API-er og relaterte nettbaserte tjenester
• Støtteinfrastruktur og interne systemer

Dette dokumentet fungerer som den autoritative beskrivelsen av PhotoRobot sine TOM-er og kan refereres til i Data Processing Agreements (DPA), revisjoner og sikkerhetsgjennomganger for bedrifter.

‍

‍

2. Omfang og anvendelighet

TOM-ene som er beskrevet her, gjelder for:

• Personopplysninger behandlet på vegne av kunder som en del av PhotoRobot-tjenestene
• Interne driftsdata nødvendige for å levere, vedlikeholde og sikre tjenestene

Tiltakene er utformet med tanke på:

• Den nyeste teknologien
• Implementeringskostnader
• Behandlingens natur, omfang, kontekst og formål
• Risikoen for rettighetene og frihetene til naturlige personer

‍

‍

3. Organisatoriske sikkerhetstiltak

3.1. Informasjonssikkerhetsstyring

PhotoRobot opprettholder interne retningslinjer og prosedyrer som regulerer informasjonssikkerhet, databeskyttelse og akseptabel bruk av systemer.

Ansvar for sikkerhet og databeskyttelse er klart definert i organisasjonen, inkludert utpekte kontakter for personvern og juridiske saker.

‍

3.2. Ansattkonfidensialitet og bevissthet

• Ansatte og entreprenører er bundet av taushetsplikt
• Tilgang til systemene gis på behov-for-for-kunnskap-basis
• Sikkerhet og bevissthet om databeskyttelse fremmes som en del av onboarding og løpende drift

‍

‍

4. Tilgangskontroll og autorisasjon

4.1. Rollebasert tilgangskontroll (RBAC)

Tilgang til systemer og kundedata kontrolleres ved hjelp av rollebaserte tilgangskontrollprinsipper (RBAC).

• Brukerne får de minimale privilegiene som er nødvendige for å utføre sine oppgaver
• Administrativ tilgang er begrenset til autorisert personell

‍

4.2. Autentisering

• Sterke autentiseringsmekanismer brukes for interne og eksterne systemer
• Passordpolicyer og tilgangsinformasjon administreres sikkert
• Tilgangsopplysninger må ikke deles

‍

‍

5. Infrastruktur og nettverkssikkerhet

5.1. Hosting og skyinfrastruktur

PhotoRobot-tjenester hostes hos profesjonelle leverandører av skybasert infrastruktur (f.eks. Google Cloud Platform), som implementerer bransjestandard fysiske og miljømessige sikkerhetskontroller.

‍

5.2. Nettverksbeskyttelse

• Nettverkstrafikk beskyttes ved hjelp av brannmurer og tilgangskontroller
• Offentlige tjenester er isolert fra interne systemer
• Infrastrukturkomponentene overvåkes for tilgjengelighet og sikkerhetshendelser

‍

‍

6. Kryptering og databeskyttelse

6.1. Data under transport

• Data som overføres mellom klienter og PhotoRobot-tjenester krypteres med TLS/HTTPS
• Sikre kommunikasjonskanaler håndheves for API-er og skygrensesnitt

‍

6.2. Data i ro

• Data lagret i skyinfrastrukturen beskyttes ved hjelp av krypteringsmekanismer levert av hostingleverandøren
• Tilgang til lagrede data er begrenset til autoriserte systemer og personell

‍

‍

7. Logging, overvåking og hendelsesdeteksjon

7.1. Tømmerhogst

• Systemlogger genereres for operasjonelle og sikkerhetsrelevante hendelser
• Logger brukes til feilsøking, overvåking og hendelsesanalyse

‍

7.2. Overvåking

• Tjenestene overvåkes for tilgjengelighet, ytelse og avvik
• Varsler utløses ved unormal oppførsel eller tjenesteforstyrrelse

‍

‍

8. Hendelsesrespons og håndtering av brudd

PhotoRobot opprettholder prosedyrer for håndtering av sikkerhetshendelser, inkludert innbrudd i personopplysninger.

Disse prosedyrene inkluderer:

• Identifisering og vurdering av hendelser
• Avbøtende og inneslutningstiltak
• Intern eskalering
• Kommunikasjon med kunder der det er nødvendig
• overholdelse av GDPR-varslingsplikter (artiklene 33 og 34 i GDPR)

‍

‍

9. Backup, tilgjengelighet og forretningskontinuitet

9.1. Sikkerhetskopier

• Datasikkerhetskopiering utføres som en del av standard skyoperasjoner
• Sikkerhetskopier brukes til katastrofegjenoppretting og tjenestekontinuitet

‍

9.2. Tilgjengelighet

• Det gjøres rimelige anstrengelser for å opprettholde høy tilgjengelighet av tjenester
• Planlagte vedlikeholdsaktiviteter kan forårsake midlertidige avbrudd i tjenesten

Detaljer om tilgjengelighetsmål og responstider er beskrevet separat i de gjeldende Service Level Agreements (SLA).

‍

‍

10. Sikker utvikling og endringsledelse

10.1. Sikre utviklingspraksiser

PhotoRobot følger strukturerte utviklings- og implementeringsprosesser, inkludert:

• Separasjon av utviklings-, test- og produksjonsmiljøer der det er hensiktsmessig
• Kontrollerte utplasseringsprosedyrer
• Versjonskontroll og endringssporing

‍

10.2. Oppdateringer og oppdateringer

• Programvarekomponenter oppdateres for å håndtere sikkerhetssårbarheter
• Kritiske oppdateringer prioriteres basert på risikovurdering

‍

‍

11. Underbehandlere og tredjeparter

PhotoRobot kan engasjere underprosessorer for å støtte tjenestelevering (f.eks. hosting, e-posttjenester).

• Underprosessorer velges basert på deres sikkerhets- og databeskyttelsespraksis
• En oppdatert liste over underprosessorer vedlikeholdes separat og gjøres offentlig tilgjengelig

‍

‍

12. Fysisk sikkerhet

Fysisk tilgang til servere og datasentre administreres av skyinfrastrukturleverandøren og inkluderer:

• Adgangskontroller
• Overvåkning og overvåking
• Miljøvern

PhotoRobot driver ikke sine egne datasentre.

‍

‍

13. Dataminimering og -lagring

• Kun data som er nødvendig for tjenestelevering behandles
• Personopplysninger lagres kun så lenge det er nødvendig for kontraktsmessige, juridiske eller operative formål
• Slettings- og lagringsperioder for data er definert i relevante retningslinjer og avtaler

‍

‍

14. Gjennomgang og oppdateringer

Disse tekniske og organisatoriske tiltakene gjennomgås jevnlig og oppdateres etter behov for å reflektere:

• Teknologiske endringer
• Endringer i tjenestene
• Utviklende sikkerhets- og regulatoriske krav

Vesentlige endringer kan kommuniseres til kundene etter behov.

‍

‍

15. Kontaktinformasjon

For spørsmål angående disse tekniske og organisatoriske tiltakene:

uni-Robot Ltd.

Vodičkova 710/31

110 00 Praha 1

Tsjekkia

E-post: legal@photorobot.com

‍

Avsluttende notat 

Disse TOM-ene beskriver PhotoRobot sine nåværende tekniske og organisatoriske tiltak og er ment å gi åpenhet og trygghet overfor kundene. De utgjør ikke en garanti for uavbrutt tjeneste eller absolutt sikkerhet, men reflekterer en risikobasert og proporsjonal tilnærming til databeskyttelse og informasjonssikkerhet.