Betarako tratamendu-eragilearen kontratua

Agertuak

Alde batetik, HODEITEK S.L., B56478027 IFZ duena, egoitza soziala Markolen (Aretxabaleta, 20550, Gipuzkoa, Espainia) duena, Gipuzkoako Merkataritza Erregistroan inskribatua, SS-46529 orria, 3121 liburukia, 144 folioa, bere izenean sinatzen duen pertsonak ordezkatua. Ondoren, «Hodeitek» edo «Eragilea».

Datuak babesteko harremanetarako helbidea: privacy@hodeitek.com. Segurtasunerako eta gorabeheretarako harremanetarako helbidea: security@hodeitek.com.

Beste aldetik, betan parte hartzea eskatu duen erakundea, bere identifikazio-, ordezkaritza- eta harremanetarako datuekin (izen soziala, IFZ, egoitza soziala, ordezkaria, kontratu honetarako harremanetarako posta elektronikoa eta, hala badagokio, datuak babesteko ordezkaria), betan parte hartzeko eskaeran eta Hodeitek-en onarpen-mezuan agertzen direnekin. Ondoren, «Bezeroa».

Bezeroak bi izaera hauetako batean sinatzen du (markatu bat):

• ☐ Zuzeneko bidea. Bezeroa azken erakunde bat da eta tratamenduaren arduradun gisa jarduten du. Hodeitek eragile gisa jarduten du.
• ☐ MSSP bidea. Bezeroa MSSP partner bat da, bere bezeroen eragile gisa jarduten duena (bezero horiek dira arduradunak). Hodeitek azpieragile gisa jarduten du. Gainera, II. zatia aplikatzen da.

Hodeitek-ek eta Bezeroak elkarri aitortzen diote kontratu hau sinatzeko gaitasuna, eta, horretarako, honako hau azaltzen dute:

Azaltzen dute

1. Hodeitek-ek HodeiShield plataformaren beta programa antolatzen du, eta haren baldintzak hodeishield.com webgunean argitaratuta daude (ondoren, «Betaren baldintzak»). Betaren baldintzek, Hodeitek-en onarpen-mezuak eta kontratu honek parte-hartzeko akordioa osatzen dute.

2. Betaren baldintzek aurreikusten dute parte-hartzaileak plataforman kargatzen dituen datuak Hodeitek-ek tratatuko dituela eragile gisa, 2016/679 Erregelamenduaren (EB) («DBEO») 28. artikuluarekin bat datorren tratamendu-eragilearen kontratu baten arabera, beta-kontua alta ematean sinatuko dela eta datu pertsonalak kargatu aurretik.

3. Kontratu honek konpromiso hori betetzen du. DBEOk, Datu Pertsonalak Babesteko eta Eskubide Digitalak Bermatzeko 3/2018 Lege Organikoak («LOPDGDD») eta aplikatzekoa den gainerako araudiak arautzen dute.

1.Definizioak

DBEOren terminoek (arduraduna, eragilea, datu pertsonalak, tratamendua, segurtasun-urraketa, etab.) DBEOren 4. artikuluko esanahia dute. Gainera:

• Plataforma: app.hodeishield.com helbidean eskuragarri dagoen HodeiShield zerbitzua, bere API-ekin, endpoint agentearekin eta Hodeitek-ek betan zehar Bezeroaren eskura jartzen dituen gainerako osagaiekin.
• Bezeroaren datuak: Bezeroak, bere erabiltzaileek edo bere sistemek Plataforman sartzen dituzten datu pertsonalak, edo Plataformak horietatik abiatuta Bezeroaren kontura sortzen dituenak, 5. klausulan deskribatuak.
• Beta: Bezeroak programan parte hartzen duen aldia, Betaren baldintzen arabera Bezeroaren plazaren onarpenetik 3 hilabetekoa, eta inoiz ez 2026ko azaroaren 2a baino lehen; eskaerak 2026ko abenduaren 31n ixten dira.
• Azpieragilea: Bezeroaren datuak tratatzeko Hodeitek-ek baliatzen duen hirugarrena (II. eranskina).
• Dokumentatutako jarraibideak: 6. klausulakoak.

2.Xedea eta irismena

2.1. Kontratu honek arautzen du Hodeitek-ek Bezeroaren kontura egiten duen Bezeroaren datuen tratamendua, betan Plataforma emateko eta ondorengo itzultze- eta ezabatze-epea betetzeko.

2.2. Xedetik kanpo. Ondoko datuak ez dira enkargu honen parte, Hodeitek-ek arduradun gisa tratatzen dituelako, Betaren baldintzek eta kontsolaren pribatutasun-oharrak dioten bezala:

• betan parte hartzeko eskaeraren datuak (hodeishield.com webgunearen pribatutasun-politikak arautzen ditu);
• kontsolako erabiltzaile-kontuen datuak, autentifikazioa, sarbide- eta segurtasun-erregistroak eta, kontsolatik kontratatzen bada, fakturazioa (kontsolaren pribatutasun-oharrak arautzen ditu, app.hodeishield.com/privacy);
• endpoint agenteak (eta, bereizita, kontsolak) Sentry-ra (Functional Software, Inc.) bidaltzen dituen akats- eta hutsegite-txostenak. Hodeitek-ek arduradun gisa tratatzen ditu, Plataformaren hutsegiteak diagnostikatzeko eta zuzentzeko, zerbitzuaren jarraitutasunean eta kalitatean duen interes legitimoan oinarrituta (DBEOren 6. artikuluaren 1. paragrafoko f letra). Agentearenek akatsaren mezua eta trazak, agentearen bertsioa, ingurunea, sistema eragilea, nukleoaren bertsioa eta arkitektura dituzte; konexioaren IP helbidea Sentry-ren zerbitzarietara iristen da, eta txostenek ez dituzte egiaztapenen emaitzak barne hartzen. Kontsolarenak I. eranskineko I.11 atalean deskribatuta daude. 90 egunez gordetzen dira. Agentearen txostenak lehenespenez aktibo daude argitaratutako binarioetan, eta ekipo bakoitzak desaktiba ditzake /etc/hodei-shield/telemetry-off marka-fitxategiarekin (Linux eta macOS) edo %ProgramData%\Hodei-Shield\telemetry-off fitxategiarekin (Windows), edo HODEI_SENTRY_DSN=off aldagaiarekin, agentearen dokumentazioak deskribatzen duen bezala; kontsolarenek ez dute bezeroko etengailurik (II. eranskina, Sentry-ren xehetasuna). Hodeitek-ek tratamendu horren berri ematen du kontsolaren pribatutasun-oharrean. Txosten horietan Sentry Hodeitek-en hornitzailea da, ez Bezeroaren azpieragilea (II. eranskina, 5. eta 6. lerroak).

2.3. 2.2 apartatuan deskribatutako datuetako bat Bezeroaren datuen barruan ere agertzen bada (adibidez, erabiltzaile baten izena ebidentzia baten egile gisa edo arrisku baten arduradun gisa, edo Bezeroaren datuetan egindako aldaketa jasotzen duen auditoria-erregistroko sarrera bat), erabilera zehatz hori kontratu honen arabera tratatzen da.

3.Iraupena

3.1. Kontratu hau azken sinaduraren egunean sartzen da indarrean eta, nolanahi ere, Bezeroak benetako datu pertsonalak kargatu aurretik. Kontraturik sinatu gabe, Bezeroak benetako pertsonarik gabeko proba-datuak soilik erabil ditzake.

3.2. Bezeroaren betak irauten duen artean irauten du, gehi 15. klausulako itzultze- eta ezabatze-epea.

3.3. Konfidentzialtasun-, segurtasun- eta ezabatze-betebeharrek indarrean jarraitzen dute Hodeitek-ek edo bere azpieragileek Bezeroaren daturen bat gordetzen duten artean, segurtasun-kopiak barne, kopia horiek iraungi arte.

3.4. Ordainpeko zerbitzuaren kontratuarekiko harremana. Kontratu honek Bezeroaren datuen tratamendua arautzen du betan zehar eta haren amaieraren ondorengo 30 egunetan (15.1 klausula). Bezeroa ordainpeko kontratu batera pasatzen bada, ordainpeko zerbitzuan egiten den tratamendua zerbitzu horren tratamendu-eragilearen kontratuak arautzen du, hau da, Hodeitek-ek zuzenean ordainpeko bezeroarekin sinatzen duenak, eta honek ordezkatzen du kontratu hau Bezeroak onartzen duen unetik; ordura arte, kontratu hau aplikatzen jarraitzen da Bezeroaren datuei. Kontratu honek ez du ordainpeko zerbitzua arautzen.

4.Tratamenduaren izaera eta helburua

4.1. Izaera: Bezeroaren datuak ostatatzea, biltegiratzea, antolatzea, kontsultatzea, aztertzea, segurtasunaren inguruko iturri publikoekin gurutzatzea, puntuazioak eta txostenak kalkulatzea, Bezeroak konfiguratzen dituen jakinarazpenak bidaltzea, segurtasun-kopia egitea, esportatzea eta ezabatzea, Plataformaren funtzioen barruan.

4.2. Helburu bakarra: Bezeroari betan Plataforma ematea, bere segurtasun- eta betetze-jarrera eta bere hornitzaileena neur ditzan. HodeiShield-ek jarrera hori neurtzen du, eta ez du inolako esparruren betetzea ziurtatzen ez bermatzen.

4.3. Hodeitek-ek ez ditu Bezeroaren datuak erabiltzen bere helburuetarako, ez publizitaterako, ez adimen artifizialeko ereduak entrenatzeko. Ezta bezeroen arteko adierazle agregatuetan (konparazioak edo benchmark-a, behatokia) sartu ere, Bezeroak Plataformatik berariaz aktibatzen ez badu. Bi esaldi horien salbuespen bakarra 6.5 klausulan Bezeroak agintzen duen agregazioa eta anonimizazioa da, bertan ezarritako helburu eta mugekin. Bezeroak Plataformari buruz jakinarazten dituen iruzkinak eta iradokizunak Betaren baldintzek arautzen dituzte, bere datuak sartu gabe.

5.Datu-motak eta interesdunen kategoriak

5.1. Bezeroak erabiltzen dituen funtzioen arabera, Plataformak Bezeroaren datu hauek trata ditzake:

5.2. Kategoria bereziak. Plataforma ez dago pentsatuta datuen kategoria berezietarako (DBEOren 9. artikulua) ez zigor-arloko datuetarako (DBEOren 10. artikulua). Bezeroak konpromisoa hartzen du ez kargatzeko. Ebidentzia edo dokumentu batek horiek baleuzka, Bezeroak aldez aurretik Hodeitek-i jakinaraziko dio, I. eranskineko neurriekin trata daitezkeen baloratzeko.

5.3. Betaren baldintzek Bezeroa behartzen dute aztertzeko eskubidea edo baimena duen domeinuak, aktiboak eta hornitzaileak soilik alta emateko.

6.Dokumentatutako jarraibideak

6.1. Hodeitek-ek Bezeroaren datuak Bezeroaren dokumentatutako jarraibideei jarraikiz soilik tratatzen ditu, nazioarteko transferentziei dagokienez ere (DBEOren 28.3.a artikulua), Batasunaren edo estatu kide baten zuzenbideak beste zerbait eskatzen ez badio. Kasu horretan, Hodeitek-ek eskakizun horren berri emango dio Bezeroari tratamendua egin aurretik, zuzenbide horrek interes publikoko arrazoiengatik debekatzen ez badu.

6.2. Dokumentatutako jarraibideak dira: (a) kontratu hau eta haren eranskinak; (b) Bezeroak edo bere erabiltzaile baimenduek Plataforman egiten duten konfigurazioa (adibidez, zein hornitzaile alta ematen dituzten, zein galdetegi bidaltzen dituzten, zein alerta-xede konfiguratzen dituzten, HodeiAI aktibatzen duten); (c) Bezeroak privacy@hodeitek.com helbidera idatziz bidaltzen dituen eta Hodeitek-ek berresten dituen gehigarrizko jarraibideak.

6.3. Hodeitek-ek berehala jakinaraziko dio Bezeroari, bere iritziz, jarraibide batek DBEO edo datuak babesteko beste arau bat urratzen badu (DBEOren 28.3 artikulua, azken paragrafoa).

6.4. HodeiAI. HodeiAI laguntzaileak edukia azpieragile bati bidaltzen dio (II. eranskina). Betan lehenespenez aktibatuta dago, eta Bezeroaren administratzaile batek (tenant_admin edo org_admin) edonoiz desaktiba dezake Konfigurazioan, HodeiAI atalean: etengailua «desaktibatuta» dagoenean, ez zaio azpieragileari inolako eskaerarik bidaltzen. Etengailua aktibatuta mantentzea Bezeroaren dokumentatutako jarraibide bat da. MSSP batek txertatutako azken bezeroen maizterrak (II. zatia, M7). Maizter horietan HodeiAI ere lehenespenez aktibatuta dago betan, MSSP-aren jarraibidez; MSSP-a bere azken bezeroen eragile gisa aritzen da eta horietako bakoitzarengandik lortu du, datuak kargatu aurretik, DBEOren 28.2 artikuluko idatzizko baimen orokorra Hodeitek-entzat eta bere azpieragileentzat, adimen artifizialeko hornitzailea barne (M7 klausula); azken bezero bakoitzaren administratzaileak desaktiba dezake Konfigurazioan, HodeiAI atalean. Maizter horietarako dokumentatutako jarraibidea MSSP-ak ematen du, bere Azken bezeroaren (arduradunaren) eragile gisa, eta Hodeitek azpieragile gisa aritzen da. Etengailua itzalita dagoenean, hornitzaileen eskaneatzeen arrisku-azterketa ere ez da OVHcloud AI Endpoints-era bidaltzen, ez erabiltzaile batek abiarazten dituen eskaneatzeetan ez programatutako berreskaneatzeetan.

6.5. Finantzaketa publikorako metrika agregatu eta anonimizatuak. Kontratu hau sinatuta, Bezeroak Hodeitek-i jarraibide dokumentatua ematen dio (DBEOren 28.3.a artikulua) Bezeroaren datuak agregatzeko eta anonimizatzeko, helburu bakar batekin: Hodeitek-en finantzaketa publikoko eskaeretarako (Europako, estatuko edo eskualdeko finantzaketa publikoko programak) eta finantzaketa ematen duen erakundeak eskatzen dituen jarraipen-txostenetarako beta programaren erabilera- eta emaitza-metrikak lortzea, Betaren baldintzek aurreikusten duten bezala. Jarraibidea helburu horretara eta baldintza hauetara mugatzen da:

• a) Zer metrika. Parte-hartzaile guztien multzoaren erabilera- eta emaitza-metrikak soilik, adibidez parte-hartzen duten erakundeen kopurua, egindako ebaluazioak, gainbegiratutako hornitzaileak, zuzenketa-denbora edo modulu bakoitzaren erabilera.
• b) Datu pertsonalik gabe. Emaitzak ez du datu pertsonalik.
• c) Ez da erakunderik identifikatzen. Emaitzak ez du Bezeroa ez beste inongo erakunderik identifikatzen, ez zuzenean ez sektorea, tamaina edo eskualdea bezalako datuak konbinatuz.
• d) Gutxieneko taldea. Zifra bakoitzak gutxienez 5 parte-hartzaile-erakunderen datuak agregatzen ditu, inork ezin ditzan haren bidez beste baten datuak ondorioztatu; talde txikiago baten zifra ez da bereizita erabiltzen.
• e) Baztertutako edukia. Emaitzak ez du Bezeroaren edukirik (ebidentziak, dokumentuak, galdetegien erantzunak, HodeiAI-ren elkarrizketak), hornitzaile jakinei buruzko aurkikuntzarik ez ahultasunen xehetasunik barne hartzen.
• f) Kalkulua. Kalkuluak I. eranskineko sistemetan eta neurriekin egiten dira, 8. klausulako langileek soilik, eta b) letratik e) letrara betetzen ez duen tarteko daturik ez da Hodeitek-etik ateratzen.
• g) Kontuak ematea. Hodeitek-ek, eskaera edo txosten bakoitzeko, erabilitako metriken zerrenda eta nola kalkulatu diren azaltzen duen deskribapena gordetzen ditu, eta Bezeroari ematen dizkio hark eskatzen badu (16.1 klausula).

Emaitzak b) letratik e) letrara betetzen dituenean, informazio anonimoa da: DBEOren eta kontratu honen eremutik kanpo geratzen da (DBEOren 26. considerandoa).

6.6. Bezeroaren izena. 6.5 klausulak ez kontratu honetako beste edozeinek ez diote Hodeitek-i Bezeroa izenez, logotipoaz, testigantza batez edo arrakasta-kasu batez izendatzeko edo identifikatzeko baimenik ematen, inongo euskarritan, ezta finantzaketa-eskaera batean edo finantzaketa ematen duen erakundeari egindako txosten batean ere. Horretarako Bezeroaren baimena behar da, aldez aurretikoa, idatzizkoa eta ezeztagarria, bereizita eskatzen dena eta kontratu hau sinatzearen edo Betaren baldintzak onartzearen parte ez dena. Eman gabe uzteak edo ezeztatzeak ez dio eragiten Bezeroaren betan parte hartzeari. Ezeztapenak erabilera berrietan ditu ondoreak: unetik aurrera Hodeitek-ek ez du Bezeroaren izena eskaera, txosten edo material berrietan erabiltzen, baina ez dago behartuta ezeztapenaren aurretik finantzaketa-erakunde bati aurkeztutakoa kentzera. Material horrek datu pertsonalak baditu (adibidez, testigantza batean pertsona baten izena edo aipua), Hodeitek-ek arduradun gisa tratatzen ditu, pertsona horri emandako bere informazioarekin eta bere oinarri juridikoarekin, eta ez kontratu honetako eragile gisa. Testigantza batean edo arrakasta-kasu batean bere hitzak, izena edo irudia agertuko liratekeen pertsona fisikoak berak ematen du bere adostasuna; ezetz esan dezake edo adostasuna kendu, berarentzat inolako ondoriorik izan gabe, eta uko egiten badu, Bezeroak plaza eta deskontuak gordetzen ditu, testigantza pertsonarik izendatu gabe edo beste bozeramaile baten bidez eman dezakeelako.

7.Eragilearen betebeharrak (DBEOren 28.3 artikulua)

Hodeitek-ek konpromisoa hartzen du:

• a) Jarraibideak. Bezeroaren datuak 6. klausulako dokumentatutako jarraibideei jarraikiz soilik tratatzea.
• b) Konfidentzialtasuna. Bezeroaren datuak tratatzeko baimena duten pertsonek konfidentzialtasuna errespetatzeko konpromisoa hartu dutela edo konfidentzialtasun-betebehar legal baten mende daudela bermatzea (8. klausula).
• c) Segurtasuna. 9. klausulan eta I. eranskinean deskribatutako DBEOren 32. artikuluko neurriak aplikatzea.
• d) Azpieragileak. Beste eragile bat baliatzeko DBEOren 28. artikuluaren 2. eta 4. apartatuetako baldintzak errespetatzea (10. klausula eta II. eranskina).
• e) Interesdunen eskubideak. Bezeroari laguntzea, neurri tekniko eta antolaketa-neurri egokiekin eta ahal den neurrian, eskubideak baliatzeko eskaerei erantzun ahal diezaien (11. klausula).
• f) 32. artikulutik 36.era. Bezeroari laguntzea DBEOren 32. artikulutik 36.era bitarteko betebeharrak betetzen, tratamenduaren izaera eta eskura duen informazioa kontuan hartuta (12. eta 13. klausulak).
• g) Enkargua amaitzea. Bezeroak hala aukeratuta, zerbitzua amaitzean Bezeroaren datu guztiak ezabatzea edo itzultzea eta dauden kopiak ezabatzea, Batasunaren edo estatu kideen zuzenbideak gordetzea eskatzen ez badu (15. klausula).
• h) Frogapena eta auditoriak. Betebehar horien betetzea frogatzeko beharrezko informazioa Bezeroaren eskura jartzea, eta Bezeroak edo hark baimendutako beste auditore batek egindako auditoriak, ikuskapenak barne, egitea ahalbidetzea eta horietan laguntzea (16. klausula).

Gainera, Hodeitek-ek tratamendu-jardueren erregistroa eramango du eragile gisa (DBEOren 30.2 artikulua), dagoeneko hasierako forman existitzen dena, eta kontrol-agintaritzarekin lankidetzan arituko da hark hala eskatzen duenean (DBEOren 31. artikulua).

8.Langileen konfidentzialtasuna

8.1. Hodeitek-eko pertsonek soilik dute Bezeroaren datuetarako sarbidea, Plataforma emateko, mantentzeko edo segurtatzeko, edo Bezeroaren eskaera bati erantzuteko beharrezkoa bada.

8.2. Pertsona horiek idatzizko konfidentzialtasun-konpromiso baten edo horren pareko lege-betebehar baten mende daude, eta hori Hodeitek-ekiko harremana amaitu ondoren ere jarraitzen du.

8.3. Plataformarako operazio-sarbidea plataforma-pribilegioekin auditoria-erregistroan jasotzen da (ikus I. eranskina).

8.4. 6.5 klausulako metriketarako salbuespena. Klausula honetako eta 7.b) klausulako konfidentzialtasunak ez dio eragozten Hodeitek-i finantzaketa-erakunde bati 6.5 klausulako metrika agregatu eta anonimizatuak aurkezteari, bertan ezarritako helburu eta baldintzekin, Bezeroaren daturik ez dutelako. Salbuespenak ez du tarteko daturik ez Bezeroaren beste inongo informaziorik hartzen.

9.Tratamenduaren segurtasuna

9.1. Hodeitek-ek I. eranskineko neurri tekniko eta antolaketakoak aplikatzen ditu, arriskuari egokiak, DBEOren 32. artikuluaren arabera.

9.2. Hodeitek S.L.-k ISO/IEC 27001 ziurtagiria eta Segurtasunaren Eskema Nazionaleko (ENS), MEDIA kategoriako ziurtagiria ditu (ENS 34/5704/26/09103 zk.ko ziurtagiria, OCA Instituto de Certificación-ek igorria), HodeiShield SaaS zerbitzua barne hartzen duen irismenarekin. HodeiShield-ek ez du CPSTIC kalifikaziorik eta ez dago CPSTIC Katalogoan, eta Hodeitek-ek ez du Bezeroaren betetzea ziurtatzen.

9.3. Hodeitek-ek I. eranskineko neurriak eguneratu ditzake, lortzen den segurtasun-maila deskribatutakoa baino txikiagoa ez bada. Segurtasun-maila murrizteko, alderdien akordioa behar da.

10.Azpieragileak

10.1. Baimen orokorra. Bezeroak idatzizko baimen orokorra ematen dio Hodeitek-i (DBEOren 28.2 artikulua) II. eranskinaren lehen zatiko azpieragileak baliatzeko; hori da sinatze-datan dagoen zerrenda osoa, Betaren baldintzek agintzen duten bezala.

10.2. Aldez aurreko abisua eta aurkaratzea. Hodeitek-ek idatziz abisatuko dio Bezeroari, kontratu honetako harremanetarako posta elektronikora, azpieragile baten edozein alta edo ordezkapenen berri, gutxienez 15 eguneko aurrerapenez. Abisuak esango du nor den, zein zerbitzu ematen duen, non tratatzen dituen datuak eta zer transferentzia-berme duen.

10.3. Bezeroak epe horretan aurka egin dezake, datuen babesari buruzko arrazoi arrazoizkoengatik. Hodeitek-ek alternatiba arrazoizkorik eskaini ezin badu, Bezeroak programa utz dezake eta 15. klausula aplikatzen da (30 egun esportatzeko edo ezabatzea eskatzeko).

10.4. II. eranskina prozedura honen bidez eguneratzea ez da kontratuaren aldaketa 19.2 klausularen ondoreetarako.

10.5. Betebehar berberak. Hodeitek-ek azpieragile bakoitzari kontratu bidez ezartzen dizkio kontratu honetakoen baliokideak diren datuak babesteko betebeharrak, bereziki neurri tekniko eta antolaketakoak egokien berme nahikoak (DBEOren 28.4 artikulua). Azpieragile batek bere betebeharrak betetzen ez baditu, Hodeitek-ek Bezeroaren aurrean erantzuten jarraitzen du azpieragile horren betetzeaz.

10.6. Bezeroak aukeratzen dituen xedeak. Bezeroak bere kontura konektatzen dituen zerbitzuak ez dira Hodeitek-en azpieragileak: alerta-xedeak (Slack, Microsoft Teams, PagerDuty, Opsgenie, bere webhook-ak, bere SIEM-a, Jira eta ServiceNow) eta saio-hasiera bakarrerako identitate-hornitzaileak (Google, Microsoft Entra, Okta, OneLogin edo berea). Bezeroak aukeratzen du xedea eta berak erantzuten du; Hodeitek-ek Bezeroak konfiguratzen duena soilik bidaltzen du.

10.7. Datu publikoen iturriak. Bezeroaren hornitzaileen esposizioa aztertzeko, Plataformak datu publikoen zerbitzuak kontsultatzen ditu (Shodan, Have I Been Pwned, OSV.dev, Logo.dev, NVD eta beste batzuk, II. eranskinaren bigarren zatian, «Datu publikoen iturriak», zerrendatuak) eta aztertzen denaren identifikatzaileak soilik bidaltzen dizkie: domeinuak, zerbitzarien helbideak eta pakete-, produktu- edo ahultasun-identifikatzaileak; ez dizkie erabiltzaile-kontuak bidaltzen. Ez dira azpieragileak eta ez dute datu pertsonalik tratatzen Hodeitek-en kontura; bereizita zerrendatzen dira, Bezeroak jakin dezan zer ateratzen den Plataformatik. Enpresa-domeinu bat ez da normalean datu pertsonala, baina pertsona fisiko bat identifikatzen badu, bai.

11.Eskubideak baliatzeko laguntza

11.1. Interesdun batek Hodeitek-i zuzentzen bazaio Bezeroaren datuei buruzko eskubide bat baliatzeko, Hodeitek-ek Bezeroari helaraziko dio bidegabeko luzapenik gabe eta, gehienez, 5 lanegunetan, eta ez du bere kabuz erantzungo, Bezeroak jarraibiderik ematen ez badu. Kontsolaren oharrak dagoeneko esaten die interesdunei datuak kargatu zituen erakundera jo dezatela.

11.2. Bezeroak Bezeroaren datu gehienak kontsulta eta zuzen ditzake Plataforman bertan, eta asko ezabatu ere bai. Plataformako bi ezabaketa logikoak dira eta ez dute datua ezabatzen: hornitzaile batena, 30 egunez berreskura daitekeena eta behin betiko ezabatzeko zereginik ez duena (eta harekin geratzen dira haren harremanetarako pertsonaren izena eta posta elektronikoa), eta zuzendaritza-organoko kide batena. Datu horiek benetan ezabatzeko, edo Bezeroak berak egin ezin duenean, Hodeitek-ek lagunduko dio interesdunaren datuak aurkitzen, esportatzen, zuzentzen, mugatzen edo ezabatzen, Bezeroak DBEOren 12.3 artikuluko hilabeteko epearen barruan erantzun ahal dezan.

12.DBEOren 32. artikulutik 36.era bitarteko laguntza

Hodeitek-ek Bezeroari emango dio, eskatuta eta eskura duen informazioarekin:

• I. eranskineko neurrien deskribapena eta haren eguneraketa;
• Bezeroak eragin-ebaluazioa (DBEOren 35. artikulua) egin dezan behar duenean informazioa, eta agintaritzari aldez aurretik kontsulta egiteko (DBEOren 36. artikulua);
• 13. klausulako laguntza, segurtasun-urraketa gertatuz gero.

13.Segurtasun-urraketen jakinarazpena

13.1. Hodeitek-ek Bezeroari jakinaraziko dio, bidegabeko luzapenik gabe eta gehienez 48 orduko epean haren berri izan duenetik, Bezeroaren datuei eragiten dien edozein segurtasun-urraketa (DBEOren 33.2 artikulua).

13.2. Jakinarazpena Bezeroaren harremanetarako posta elektronikora bidaliko da eta, gutxienez eta ezagutzen den neurrian, hauek jasoko ditu: urraketaren izaera, eragindako interesdunen eta erregistroen kategoriak eta gutxi gorabeherako kopurua; informazio gehiago lor daitekeen Hodeitek-eko pertsonaren izena eta harremanetarako datuak; ondorio probableak; eta hartutako edo proposatutako neurriak, arintzekoak barne. Informazio guztia batera ez badago, mailaka emango da, bidegabeko luzapenik gabe.

13.3. Hodeitek-ek Bezeroari lagunduko dio kontrol-agintaritzari eta, hala badagokio, interesdunei jakinarazten (DBEOren 33. eta 34. artikuluak). Jakinarazteko erabakia eta jakinarazpena bera Bezeroari dagozkio, arduradun gisa.

13.4. Hodeitek-ek urraketa bakoitza dokumentatuko du (gertaerak, ondorioak eta neurri zuzentzaileak).

14.Nazioarteko transferentziak

14.1. Plataforma EBn ostatatzen da, OVHcloud-en (Gravelines, Frantzia).

14.2. Cloudflare, Inc.-ek (AEB) DNS, banaketa-sarea, suebakia eta TLS amaiera ematen ditu eskaera bakoitzaren bidean; beraz, trafikoa argi ikusten du eta datuak Estatu Batuetan trata ditzake. Transferentzia EU-U.S. Data Privacy Framework-ek babesten du (2023/1795 Betearazpen Erabakia (EB)), Cloudflare, Inc. parte-hartzaile aktibo gisa agertzen den artean, eta, aplikatzeari uzten bazaio, Cloudflare-rekiko kontratuan txertatutako 2021/914 Betearazpen Erabakiko (EB) Kontratu-klausula Tipoek.

14.3. Sentry (Functional Software, Inc., AEB): Hodeitek-en Sentry erakundeak datuak EBko eskualdean gordetzen ditu, beraz biltegiratze-eskualdeak ez du nazioarteko transferentziarik ekartzen. Functional Software, Inc.-ek Estatu Batuetatik sar daiteke datuetara edo tratatu ditzake (laguntza eta bere azpieragileak); haren tratamendu-eragilearen kontratu publikoak (5.1.0 bertsioa, 2024ko maiatzaren 29koa, https://sentry.io/legal/dpa/) transferentzia horiek EU-U.S. Data Privacy Framework-ean babesten ditu eta, hori aplikatzen ez bada, Kontratu-klausula Tipoetan (2. eta 3. moduluak). Akats-txosten horietan Sentry Hodeitek-en hornitzaile gisa aritzen da, eta Hodeitek da arduraduna (2.2 klausula); ez da Bezeroaren azpieragilea. Goiko bermeak Hodeitek-ek Sentry-rekin dituenak dira. Ikus II. eranskina.

14.4. II. eranskineko gainerako azpieragileei dagokienez, EEEtik kanpoko edozein tratamendu egokitasun-erabaki batek edo DBEOren 46. artikuluko bermeek babestuko dute, II. eranskinak bakoitzarentzat adierazten dituenak. Bereziki, Resend-ek (Plus Five Five, Inc., AEB) bere tratamendu-eragilearen kontratuan adierazten du bere tratamendu nagusia Estatu Batuetan egiten dela, Kontratu-klausula Tipoekin eta EU-U.S. Data Privacy Framework-era atxikita (II. eranskina, 4. errenkada; bidalketa-eskualdea: eu-west-1 (Irlanda), kontsolak neurtua (2026-10-14); transferentziaren oinarria: DPF/SCC). II. eranskineko bigarren zatiko datu publikoen iturriak ez dira azpieragileak: Plataformak kontsultatzen dituen hirugarrenen zerbitzu publikoak dira, eta taula horretan adierazitako aztertzen denaren identifikatzaileak baino ez dituzte jasotzen (hornitzaileen domeinuak eta IP helbideak, software-paketeen identifikatzaileak, CPE izenak eta CVE identifikatzaileak), ez erabiltzaile-konturik. Hodeitek-ek ez du transferentzia berririk egingo 10. klausulako prozedurarik gabe. Bezeroak bermeen kopia eskatu dezake privacy@hodeitek.com helbidera.

15.Amaierako itzultzea eta ezabatzea

15.1. 30 eguneko epea. Beta amaitzean, edo Bezeroaren parte-hartzea edozein arrazoiagatik amaitzean (baita aurretiazko itxiera ere), Bezeroak 30 egun ditu Hodeitek-i, privacy@hodeitek.com helbidera idatziz, bere datuen esportazioa, ezabaketa edo biak eskatzeko. Epe hori bat dator lizentziaren irakurketa soileko 30 eguneko graziarekin.

15.2. Itzultzea. Bezeroak bere datuen kopia elkar osatzen duten bi bidetatik lortzen du:

• (a) Autozerbitzua. Bezeroaren lizentzia grazia-aldian dagoen bitartean, Bezeroaren administratzaile batek berak deskarga dezake, kontsolako «Esportatu nire datuak» funtzioarekin, JSON fitxategi bat, lan-eremuaren oinarrizko datuekin (izena, sektorea eta alta-data) eta hornitzaileen inbentarioarekin (izena, domeinua, kategoria, egoera eta alta-data) eta aktiboen inbentarioarekin (izena, kritikotasuna, egoera eta alta-data). Funtzioak ez ditu Bezeroaren gainerako datuak hartzen, adibidez erabiltzaileak, hornitzaileen kontaktuak, galdetegiak eta erantzunak, ebidentziak, intzidenteak, arriskuak, politikak, agentearen inbentarioa, SBOMa, auditoria-erregistroa edo HodeiAIrekin izandako elkarrizketak.
• (b) Eskuzko prozedura. Bezeroak 15.1 klausulako epearen barruan privacy@hodeitek.com helbidera idatziz eskatuta, Hodeitek-ek (a) letrako funtzioak hartzen ez dituen Bezeroaren datuen kopia bat ematen dio egituratutako formatu batean, ohiko erabilerakoan eta makinak irakurtzeko modukoan (JSON edo CSV), Hodeitek-en langileek egiten duten eskuzko prozedura baten bidez, eskaeraren osteko 30 egunen barruan.
• (c) Independentzia. Eskuzko prozedura ez dago (a) letrako funtzioaren mende. Funtzio hori Bezeroarentzat erabilgarri ez badago (adibidez, lizentziaren grazia-aldia amaitu delako edo lizentzia eten delako) edo ez badabil, Hodeitek-ek eskuzko prozeduraren bidez ematen ditu, epe berean, funtzioak hartuko lituzkeen datuak ere.

15.3. Ezabatzea. Ezabaketa ez da Plataformatik egiten. Bezeroak privacy@hodeitek.com helbidera idatziz eskatuta, Hodeitek-ek Bezeroaren datuak sistema aktiboetatik ezabatzen ditu bere langileek egiten duten eskuzko prozedura beraren bidez, eskaeraren osteko 30 egunen barruan; Bezeroak itzultzea eta ezabatzea biak eskatzen baditu, Hodeitek-ek kopia eman ondoren ezabatzen du, epe berean. Bezeroak 15.1 klausulako epea amaitzean ordainpekora pasatu ez bada edo ezer eskatu ez badu, Hodeitek-ek Bezeroaren datuak sistema aktiboetatik ezabatzen ditu prozedura beraren bidez, epe hori amaitu ondorengo 30 egunen barruan. 15.3 bis, 15.4 eta 15.6 klausulak gordeta daude.

15.3 bis. Auditoria-erregistroa eta interesdunen eskubideen erregistroak. (a) Bezeroaren datuetan egindako aldaketak jasotzen dituzten auditoria-erregistroko sarrerak (2.3 klausula) soilik gehitzeko erregistroak dira, datu-basean 365 egunez gordetzen dira eta gero objektu-biltegian artxibatzen dira. (b) Bezeroak Plataforman kudeatzen dituen interesdunen eskubideei buruzko ekintzak jasotzen dituzten sarrerak, bere eskubide-eskaeren moduluan (eskaera bakoitzaren irekiera eta itxiera), datu-basean 5 urtez gordetzen dira eta gero artxibatzen dira; Hodeitek-ek Bezeroaren agindu dokumentatuen arabera gordetzen dituen Bezeroaren datuak dira eta ez dira Bezeroaren gainerako datuekin batera ezabatzen. (c) Hodeitek-ek, arduradun gisa, Hodeitek-i berari zuzendutako eskubide-eskaeren (sarbidea edo esportazioa, zuzenketa, mugaketa eta kontsolako erabiltzaileen datuen ezabaketa) gainean eramaten dituen erregistroak ez dira Bezeroaren datuak: eskaera ebatzi zenetik urtebete betetzean blokeatzen dira eta 3 urte betetzean suntsitzen dira, artxibatu gabe, Espainiako LOPDGDDren 32. eta 72.1.k artikuluen arabera.

15.4. Segurtasun-kopiak. Segurtasun-kopietan dauden Bezeroaren datuak ez dira lehengoratzen ez erabiltzen, eta kopia horiek iraungitzean ezabatzen dira. Bereziki, 15.3 klausularen arabera sistema aktiboetatik ezabatu ondoren, ostatu-hornitzaileak (OVHcloud) kudeatzen dituen datu-basearen segurtasun-kopietan geratzen diren Bezeroaren datuak kopia horiekin batera iraungitzen dira, gehienez ere 2 egun geroago, hornitzaile horrek aplikatzen duen kopien atxikipenaren arabera (I. eranskina, I.2).

15.5. Ziurtagiria. Bezeroak eskatuta, Hodeitek-ek idatziz berretsiko dio ezabaketa, gertatu ondoren.

15.6. Lege-kontserbazioa. Hodeitek-ek epe horien ondoren Bezeroaren datuak gordeko ditu soilik Batasunaren edo estatu kide baten arau batek eskatzen badu, blokeatuta eta helburu horretarako soilik.

15.7. Ordainpekora pasatzea. Bezeroak 30 egunen barruan ordainpekora pasatzen bada, bere datuek ordainpeko zerbitzuan jarraitzen dute. Ondoren egiten badu, betako daturik gabe hasten da.

16.Auditoriak eta ikuskapenak

16.1. Lehen bidea: dokumentazioa. Hodeitek-ek Bezeroaren eskura jarriko du, eskatuta, kontratu honen betetzea frogatzeko beharrezko informazioa. Lehen bide gisa, Hodeitek-ek Hodeitek S.L.-ren ISO/IEC 27001 eta ENS MEDIA kategoriako indarreko ziurtagiriak (ENS 34/5704/26/09103 zk.; https://hodeitek.com/docs/certificado-ens-34-5704-26-09103.pdf) emango ditu, haien irismenarekin, eta Bezeroaren segurtasun-galdetegi bati emandako erantzun arrazoizkoak.

16.2. Auditoria. Dokumentazio horrek helburu zehatz baterako nahikoa ez bada, edo kontrol-agintaritza batek eskatzen badu, Bezeroak auditoria egin dezake, berak edo konfidentzialtasunera behartutako auditore independente batek, baldintza hauekin: zentzuzko aurrerapenez idatziz abisatuta, gehienez behin betan zehar, segurtasun-urraketa edo agintaritza baten errekerimendua izan ezean, lanorduetan, beharrezkoa denera mugatua eta beste bezeroen daturik edo Plataformaren segurtasuna arriskuan jartzen duen informaziorik eskuratu gabe.

16.3. Alderdi bakoitzak bere auditoria-kostuak bere gain hartzen ditu.

16.4. Betaren baldintzek debekatzen dituzte Plataformaren aurkako segurtasun-probak, ahultasunak security@hodeitek.com helbidera jakinarazten direnean izan ezik. Auditoria baten barruko proba tekniko intrusibo batek aldez aurreko idatzizko akordioa behar du bere irismenari buruz.

17.Bezeroaren betebeharrak

Bezeroak:

• erantzuten du Bezeroaren datuen tratamenduaren zilegitasunaz eta interesdunei informazioa eman dienaz (DBEOren 13. eta 14. artikuluak), eta datuak kargatzeko oinarri juridikoa duenaz;
• endpoint agentea instalatzen duen ekipoak erabiltzen dituzten pertsonei jakinarazten die agenteak ekipoaren konfigurazioa egiaztatzen duela eta Plataformara bidaltzen duela ekipoaren izena, sistema eragilea, bertsioa eta arkitektura, interfazeen IP helbideak eta egiaztapenen emaitzak, eta huts egiten badu akats-txosten bat bidal dezakeela (2.2 klausula), eta horretarako oinarri juridikoa duela. Hodeitek-ek eskura jartzen du ekipotik ateratzen denaren deskribapena, agentearen dokumentazioan;
• DBEOrekin bat datozen jarraibideak ematen ditu;
• aztertzeko eskubidea edo baimena duen hornitzaileen, domeinuen eta aktiboen datuak soilik kargatzen ditu;
• MSSP bidean, gainera, II. zatia betetzen du;
• garrantzitsutzat jotzen duen informazioaren bere kopiak mantentzen ditu;
• arretaz kudeatzen ditu bere erabiltzaileen kontuak eta Plataformaren barruko baimenak.

18.Erantzukizuna

18.1. Alderdi bakoitzak interesdunen aurrean erantzuten du DBEOren 82. artikuluaren arabera.

18.2. Alderdien artean, bakoitzak erantzuten du kontratu hau edo DBEO urratzeagatik besteari eragiten dizkion kalteez.

18.3. Alderdien artean, Hodeitek-en erantzukizun osoa kontratu honetatik eratorritako kalteengatik, datu pertsonalen babesa barne, honela mugatzen da: (a) Bezeroak Plataforma beta doakoan erabiltzen duen bitartean, Bezeroak egiaztatzen dituen kalte zuzenetara, Betaren baldintzetan bezala; eta (b) ordainpeko plan batera pasatzen denetik, Bezeroak Plataformarengatik Hodeitek-i ordaindu dizkion kuoten mugara, erantzukizuna eragin duen gertaeraren aurreko 12 hilabeteetan. Bi kasuetan, muga ez da aplikatzen borondatezko erruan (dolo) edo utzikeria astunean (culpa grave). Muga hori alderdien artean bakarrik aplikatzen da, eta ez die eragiten interesdunek alderdietako edozeinen aurka DBEOren 82. artikuluaren arabera dituzten eskubideei.

19.Lehentasuna, aldaketa eta partzialki baliogabetzea

19.1. Lehentasuna. Datuen babesaren arloan, kontratu honek Betaren baldintzen aurrean lehentasuna du, haiek berek aurreikusten duten bezala, eta, kontratu honetan alderdiek hala adosten dutelako, onarpen-mezuaren aurrean. Gainerakoan, Betaren baldintzak aplikatzen dira.

19.2. Aldaketa. Kontratu hau bi alderdien idatzizko akordioz soilik aldatzen da. Hodeitek-ek Betaren baldintzetan egiten dituen aldaketek ez dute kontratu hau aldatzen. Salbu daude azpieragileen prozedura (10. klausula) eta segurtasun-maila murriztu gabe neurriak eguneratzea (9.3 klausula).

19.3. Klausularen bat baliogabea balitz, gainerakoak indarrean jarraitzen du eta alderdiek beste baliozko batekin ordezkatuko dute, ahalik eta ondorio antzekoenarekin.

20.Aplikatzekoa den legea eta jurisdikzioa

Kontratu hau Espainiako legeak arautzen du. Edozein eztabaidatarako, alderdiek Donostiako epaitegi eta auzitegien mende jartzen dira, Betaren baldintzetan bezala. Horrek ez ditu mugatzen kontrol-agintaritzen eskumenak.

II. zatia. MSSP bideko klausula bereziak

Bezeroak MSSP partner gisa sinatzen duenean aplikatzen dira. Betaren baldintzek dioten hori jasotzen dute.

M1. Alderdi bakoitzaren eginkizuna

• MSSP-ak betan txertatzen duen azken bezero bakoitza (ondoren, «Azken bezeroa») bere datuen arduraduna da.
• MSSP-a Azken bezeroaren eragilea da.
• Hodeitek MSSP-aren azpieragilea da.
• MSSP bakoitzak 3 Azken bezero arte txerta ditzake betan.

M2. Azken bezeroaren baimena (DBEOren 28.2 artikulua)

MSSP-ak bermatzen du, Azken bezero baten datuak kargatu aurretik, Azken bezero horren aldez aurreko idatzizko baimena duela Hodeitek azpieragile gisa baliatzeko, eta baimen horrek II. eranskineko azpieragileak hartzen dituela. MSSP-ak baimen horren kopia emango dio Hodeitek-i, honek eskatzen badu.

M3. Ispilu-betebeharrak (DBEOren 28.4 artikulua)

MSSP-ak adierazten du I. zatiko datuak babesteko betebeharrak MSSP-ak Azken bezero bakoitzarekin bere tratamendu-eragilearen kontratuan dituen berberak direla. MSSP-aren eta Azken bezero baten arteko kontratuak Hodeitek-i eragiten dioten betebehar zorrotzagoak ezartzen baditu, MSSP-ak idatziz jakinaraziko ditu datuak kargatu aurretik eta, Hodeitek-ek onartzen baditu, eranskin gisa txertatuko dira. Onartzen ez badira, Azken bezero hori ez da bide honetatik txertatzen.

M4. Komunikazio-katea

• Azken bezeroaren jarraibideak MSSP-aren bidez iristen zaizkio Hodeitek-i. MSSP-ak erantzuten du Azken bezeroaren jarraibideak islatzen dituztela.
• Hodeitek-en jakinarazpenak (segurtasun-urraketak, azpieragileen aldaketak, interesdunen eskaerak) MSSP-ari bidaltzen zaizkio, eta honek Azken bezeroari helarazten dizkio bidegabeko luzapenik gabe.
• Azpieragile berri baten aurkaratzea (10.3 klausula). MSSP-ak 10.2 klausulako abisua Azken bezero bakoitzari helarazten dio, 15 eguneko epearen barruan aurka egin ahal dezan denborarekin, eta aurkaratzea haren izenean baliatzen du. Hodeitek-ek alternatiba arrazoizkorik eskaintzen ez badu, 10.3 klausularen ondorioa (programa uztea eta 15. klausula aplikatzea) Azken bezero horren maizterrera mugatu daiteke, MSSP-ari ez bere beste Azken bezeroei eragin gabe.
• Auditoria (16. klausula). DBEOren 28.3.h artikuluko auditoria-eskubideak Azken bezeroari ere eragiten dio: MSSP-ak haren izenean baliatzen du edo Azken bezeroak berak, 16. klausulako baldintzekin, eta MSSP berari dagozkion hainbat Azken bezerok eskatutako auditoria bat elkarrekin egin daiteke.
• MSSP-a desagertzen bada, kaudimengabe geratzen bada edo programa uzten badu, Hodeitek-ek zuzenean jo dezake Azken bezeroarengana, bere datuak 15. klausulako epean esportatzeko edo ezabatzeko aukera izan dezan.

M5. Azken bezeroaren betaren amaiera

Azken bezeroen proba-lizentziak MSSP-aren beta amaitzen den egunean iraungitzen dira. 15. klausulako 30 egunak egun horretatik zenbatzen dira Azken bezero bakoitzarentzat.

M6. Zuzeneko sinaduraren aukera

Azken bezeroak hala nahiago badu, kontratu hau Hodeitek-ekin zuzenean sina dezake zuzeneko bidean. Kasu horretan, Hodeitek Azken bezeroaren eragilea da bere datuei dagokienez, MSSP-aren datu horiekiko harremana MSSP-aren eta Azken bezeroaren arteko kontratuak arautzen du, eta MSSP-ak Azken bezeroaren maizterrean duen sarbidea Azken bezeroaren dokumentatutako jarraibide bat da.

M7. HodeiAI Azken bezeroen maizterretan

• Betan, MSSP-ak txertatzen dituen Azken bezeroek betaren baldintzak oinordetzen dituzte, HodeiAI lehenespenez beren maizterretan aktibatuta barne (6.4 klausula). MSSP-ak erabakitzen du haien ordez.
• HodeiAI maizter horietan aktibatuta mantentzeko dokumentatutako jarraibidea MSSP-ak ematen du, bere Azken bezeroaren (arduradunaren) eragile gisa, eta Hodeitek azpieragile gisa aritzen da.
• MSSP-ak Azken bezero bakoitzarengandik DBEOren 28.2 artikuluko idatzizko baimen orokorra lortzen du Hodeitek-entzat eta bere azpieragileentzat, adimen artifizialeko hornitzailea barne, datuak kargatu aurretik. Ez da nahikoa Azken bezeroari jakinaraztea: aldez aurreko baimen hori gabe, MSSP-ak ez ditu haren datuak kargatzen. Baimenak (M2) berariaz hartu behar du HodeiAI lehenespenez aktibatuta dagoela, edukia OVH SAS azpieragileari, OVHcloud AI Endpoints bidez (adimen artifizialeko inferentzia; II. eranskina, 7. errenkada), bidaltzen diola eta Azken bezeroaren administratzaileak Konfigurazioan, HodeiAI atalean, desaktiba dezakeela.
• DBEOren 28.4 artikuluko ispilu-betebeharrek (M3) tratamendu honi eragiten diote: MSSP-ak erantzuten du Azken bezero bakoitzarekin duen kontratuak azpieragile-kate hau ahalbidetzen duela.
• Azken bezeroaren administratzaile batek HodeiAI desaktibatzen badu, Hodeitek-ek maizter horretatik azpieragileari eskaerak bidaltzeari uzten dio.
• MSSP-ak alda dezake, eta bezeroaren historian geratzen da erregistratuta: MSSP-aren org_admin-ek bere bezeroen maizterretan jarduten du, org_admin-ek alda dezake HodeiAI-ren ezarpena, eta aldaketa maizterraren historian erregistratzen da egilearekin.

M8. Metrika agregatuak eta Azken bezeroen izena

• 6.5 klausulako jarraibidea Azken bezeroen datuetarako MSSP-ak ematen du, bere Azken bezeroaren eragile gisa eta Hodeitek azpieragile gisa dela, eta MSSP-ak bermatzen du Azken bezero bakoitzarekin duen kontratuak hura emateko aukera ematen diola (M3).
• 6.5 klausulako zifretan, Azken bezero bakoitza MSSP-a ez beste erakunde bat bezala zenbatzen da. Ez da erabiltzen gainerako erakunde guztiak, bat izan ezik, MSSP-a eta bere Azken bezeroak diren zifrarik, MSSP-ak, bere Azken bezeroen datuak ikusten dituenez, geratzen den bakarraren datua ondoriozta lezakeelako.
• Azken bezero bat izendatzeak edo identifikatzeak (6.6 klausula) Azken bezero horren bereizitako baimena behar du; MSSP-arena ez da nahikoa. Eman gabe uzteak edo ezeztatzeak ez dio eragiten Azken bezeroaren ez MSSP-aren parte-hartzeari.

M9. Ekipoen erabiltzaileei informazioa ematea

Azken bezero baten ekipoetan endpoint agentea instalatu aurretik, MSSP-ak ziurtatzen du Azken bezero horrek, bere datuen arduraduna dena (M1), ekipo horiek erabiltzen dituzten pertsonei jakinarazi diela 17. klausulak agenteaz dioena, eta horretarako oinarri juridikoa duela. MSSP-ak informazio hori eman diezaieke Azken bezeroaren izenean, honek hala eskatzen badio. Hodeitek-ek eskura jartzen du ekipotik ateratzen denaren deskribapena, agentearen dokumentazioan.

I. eranskina. Neurri teknikoak eta antolaketakoak

Eranskin honek, termino orokorretan, Hodeitek-ek Bezeroaren datuei aplikatzen dizkien neurri tekniko eta antolaketakoen kategoriak azaltzen ditu, eta ezin dituen neurriak ez ditu baieztatzen. Neurri horien deskribapen tekniko zehatza bezeroen eskura dago eskatuz gero, privacy@hodeitek.com helbidera idatzita.

Ziurtatutako esparrua

• Hodeitek S.L. (enpresa) ISO/IEC 27001 eta Segurtasun Eskema Nazionala (ENS), MEDIA kategoria, ziurtatuta dago, HodeiShield SaaS zerbitzua barne hartzen duen irismenarekin.
• HodeiShield-ek ez du CPSTIC kalifikaziorik ez produktu-ziurtagiririk. Eranskin honek ez du horietako bat ere baieztatzen.

Bezeroen arteko isolamendua

• Bezero bakoitzaren datuak gainerako bezeroenetatik isolatuta daude datu-basean, eta kontsultak dagokien bezeroaren testuinguruan exekutatzen dira.
• Neurri honek bezeroaren arabera iragazten ahaztuko litzatekeen aplikazioaren akats baten aurka babesten du. Ez da exekutatzen diren kontsultak aukeratu ditzakeenaren aurkako hesia; horregatik, sarbide-kontrolarekin eta auditoria-erregistroarekin konbinatzen da.

Igarotzean zifratzea

• Kontsolaren trafiko guztia TLS bidez zifratuta doa. Cloudflare-k TLS ertzean amaitzen du (II. eranskina) eta jatorriak Cloudflare-tik datozen konexio autentifikatuak soilik onartzen ditu.
• Aplikazioa kudeatutako datu-basera TLS bidez konektatzen da eta zerbitzariaren ziurtagiria egiaztatzen du.
• Endpoint agenteak datuak konexio zifratuen bidez soilik bidaltzen ditu.

Zifratzea eta sekretuen babesa atseden-egoeran

• Pasahitzak horretarako diseinatutako hash-algoritmo batekin gordetzen dira, inoiz ez testu garbian.
• Bigarren faktorearen materialak, saioen sinadura-giltza pribatuak eta integrazioen sekretuak (adibidez SSO, OAuth edo webhook-ak) zifratuta gordetzen dira.
• API giltzak hash gisa soilik gordetzen dira, eta haien zati sekretua behin bakarrik erakusten da, sortzean.
• Objektu-biltegiak fitxategiak zerbitzarian zifratzen ditu.
• Kudeatutako datu-baseak bere bolumenak eta babeskopiak zifratzen ditu, azpiegitura-hornitzailearen dokumentazioaren arabera (OVHcloud, II. eranskina).

Sarbide-kontrola eta autentifikazioa

• Sarbidea rolen araberakoa da, irakurtzeko eta idazteko baimen bereiziekin.
• Bigarren faktorea (TOTP) eta sarbide-giltzak (passkey-ak) erabiltzaile guztien eskura daude. Bezeroaren administratzaileak bere erabiltzaile guztiei bigarren faktorea eska diezaieke maizterraren politikaren bidez; lehenespenez ez da eskatzen, eta Hodeitek-ek Bezeroari aktibatzea gomendatzen dio.
• Saioa hasteko eta bigarren faktorerako saiakerak mugatuta daude.
• Saioek gehieneko iraupena dute, eta erabili gabeko kontuak Bezeroak doitu dezakeen epe baten ondoren etetzen dira.

Babeskopiak

• Kudeatutako datu-baseak babeskopia automatikoak ditu, transakzioen erregistro jarraituarekin une jakin batera berreskuratzeko, azpiegitura-hornitzaileak (OVHcloud, II. eranskina) eginak eta Europako Eremu Ekonomikoan gordeak.
• Kontratu honek ez du erabilgarritasun handirik ez berreskuratze-denborari edo -punturako helbururik agintzen.

Erregistroa eta monitorizazioa

• Kontsolako ekintzak auditoria-erregistro batean geratzen dira, erabiltzailea, data, IP eta nabigatzailea adierazita.
• Erregistroa gehitzekoa soilik da: ez du aldaketarik onartzen, eta dagoeneko artxibatutako sarrerak ezabatzeko prozesu espezifiko batek soilik ezaba ditzake. Sarrerak zehaztutako epe batez gordetzen dira eta ondoren artxibatzen dira.
• Plataformak diagnostiko-zerbitzura (Sentry, II. eranskina) bidaltzen dituen akats-txostenek eta erregistroek iragazki bat igarotzen dute, erabiltzailea, cookie-ak eta eskaeraren goiburuak kentzen dituena eta sekretuak, tokenak, helbide elektronikoak eta IP helbideak ezkutatzen dituena.
• Iragazki horrek ez ditu pertsonen izenak ezagutzen; horregatik, kontratu honek ez du akatsen diagnostikoan «datu pertsonalik gabe» baieztatzen. Endpoint agenteak akatsak eta hutsegiteak soilik jakinarazten ditu, eta bere identifikatzaileak ezkutatzen ditu bidali aurretik.

Minimizazioa eta seudonimizazioa

• Endpoint agenteak gailuaren gutxieneko datu teknikoak soilik biltzen ditu, eta ez ditu biltzen erabiltzaile-izenik, serie-zenbakirik ez MAC helbiderik.
• Epearen araberako ezabaketa automatikoak daude, besteak beste HodeiAI-ren historia eta iraungitako saioak. Ez dute barne hartzen betaren amaieran Bezeroaren datuen ezabaketa, kontratu honek arautzen duena.
• Testua IA hornitzaileari (II. eranskina) bidali aurretik, Plataformak helbide elektronikoak, telefonoak, nortasun-agiriak, IBAN-ak eta maizterraren hiztegiko izenak seudonimizatzen ditu, HodeiAI-ren eta politikak idazteko fluxuetan. Ez da fluxu guztietan aplikatzen eta ez du pertsona-izen, posta-helbide edo formatu libreko identifikatzaile oro ezagutzen; horiek bere horretan irten daitezke.

Osotasuna eta ahultasunen kudeaketa

• Agenteak bidaltzen dituen behaketak sinatuta doaz, eta kontsolak egiaztatzen ez direnak baztertzen ditu.
• Mendekotasunak modu automatizatuan eguneratzen dira, bertsio berriak hartu aurretik itxaronaldi batekin. Produkzio-irudiak eta kodea astero berriro eskaneatzen dira ahultasun-analisiarekin eta analisi estatikoarekin, eta irudiak argitaratzean software-osagaien inbentarioa (SBOM) sortzen da.
• Ahultasunak security@hodeitek.com helbidera jakinaraz daitezke.