1. دامنه شمول و نقش‌ها
این الحاقیه در مواردی اعمال می‌شود که شما («کنترل‌کننده») از Mosra، ارائه‌شده توسط تیم Mosra («پردازشگر» یا «ما»)، برای پردازش داده‌های شخصی فراگیران یا کارکنان خود استفاده می‌کنید. این الحاقیه بخشی از شرایط استفاده را تشکیل می‌دهد.
اهداف و ابزارهای پردازش را شما تعیین می‌کنید. ما از طرف شما پردازش می‌کنیم و از آن داده‌ها برای اهداف خود استفاده نمی‌کنیم.
در خصوص داده‌های حساب کاربری خودِ مدیر (ایمیل، نام، صورت‌حساب)، ما کنترل‌کننده باقی می‌مانیم و سیاست حفظ حریم خصوصی اعمال می‌شود.
2. دستورالعمل‌های پردازش
ما داده‌های شخصی را تنها بر اساس موارد زیر پردازش می‌کنیم: (الف) دستورالعمل‌هایی که از طریق استفاده شما از ویژگی‌های سرویس بیان می‌شوند، (ب) دستورالعمل‌های کتبی که برای ما ارسال می‌کنید، و (ج) الزامات قانونی.
اگر بر این باور باشیم که دستورالعملی قانون حفاظت از داده را نقض می‌کند، به شما اطلاع خواهیم داد و ممکن است آن بخش از پردازش را متوقف کنیم.
اگر قانون پردازشی فراتر از دستورالعمل‌های شما را الزامی کند، پیش از آن به شما اطلاع خواهیم داد، مگر آنکه قانون آن را منع کرده باشد.
3. محرمانگی
تنها افرادی که برای اداره سرویس به دسترسی نیاز دارند از آن برخوردار می‌شوند، و این افراد ملزم به تعهدات محرمانگی هستند.
ما داده‌های شما را فراتر از پردازشگران فرعی مذکور در بخش 5 و مواردی که قانون الزام می‌کند، نزد اشخاص ثالث افشا نمی‌کنیم.
4. تدابیر امنیتی
ما تدابیر فنی و سازمانی مناسب را به کار می‌گیریم، که دست‌کم شامل موارد زیر است:
- رمزنگاری در حین انتقال (HTTPS/TLS) برای تمامی ترافیک.
- گذرواژه‌های هش‌شده، که هرگز به صورت قابل خواندن ذخیره نمی‌شوند.
- کنترل دسترسی مبتنی بر نقش بر پایه اصل حداقل دسترسی.
- ثبت رویدادهای دسترسی برای سامانه‌های عملیاتی.
- پشتیبان‌گیری منظم همراه با آزمون بازیابی.
- محدودسازی نرخ درخواست‌ها و پایش برای جلوگیری از سوءاستفاده.
- تفکیک داده‌ها میان سازمان‌های مشتری.
پیوست ب این موارد را با جزئیات بیشتری فهرست می‌کند، و ما در صورت درخواست، شرحی به‌روز از آن‌ها ارائه می‌دهیم.
5. پردازشگران فرعی
شما استفاده ما از پردازشگران فرعی فهرست‌شده در صفحه پردازشگران فرعی را مجاز می‌دارید. آن فهرست بخشی از این الحاقیه را تشکیل می‌دهد.
ما با هر پردازشگر فرعی بر اساس شرایط حفاظت از داده‌ای قرارداد می‌بندیم که حمایت آن کمتر از این الحاقیه نیست، و همان‌گونه که در قبال عملکرد خود مسئولیم، در قبال عملکرد آنان نیز مسئول باقی می‌مانیم.
دست‌کم 30 روز پیش از افزودن پردازشگر فرعی جدید اطلاع‌رسانی می‌کنیم. اگر به دلایل معقول اعتراض کنید، به دنبال جایگزینی خواهیم بود؛ در صورتی که هیچ جایگزین عملی وجود نداشته باشد، می‌توانید بخش متأثر از سرویس را خاتمه دهید و هزینه‌های پیش‌پرداخت‌شده استفاده‌نشده را بازپس بگیرید.
6. همکاری در پاسخ به درخواست‌های اشخاص موضوع داده
سرویس ابزارهایی در اختیار شما قرار می‌دهد تا خودتان به داده‌های فراگیرانتان دسترسی پیدا کنید، آن‌ها را اصلاح کنید، از آن‌ها خروجی بگیرید و حذفشان کنید.
در مواردی که این ابزارها کافی نباشند، ظرف مدت معقولی همکاری می‌کنیم تا بتوانید مهلت‌های قانونی را رعایت کنید (اعلام وصول ظرف 2 روز کاری؛ دسترسی و اصلاح ظرف 10 روز؛ پس گرفتن رضایت ظرف 15 روز؛ حذف ظرف 20 روز).
اگر فراگیری مستقیماً با ما تماس بگیرد، به جای اقدام بر اساس درخواست، آن را به شما ارجاع می‌دهیم، مگر آنکه دستور دیگری بدهید.
7. حوادث داده
پس از آگاهی از حادثه‌ای که داده‌های شخصی شما را تحت تأثیر قرار دهد، بدون تأخیر ناموجه به شما اطلاع می‌دهیم، و در هر حال به اندازه‌ای زود که بتوانید تکلیف اطلاع‌رسانی 72 ساعته خود را انجام دهید.
این اطلاعیه شامل ماهیت حادثه، دسته‌های داده و تعداد تقریبی اشخاص موضوع داده متأثر، پیامدهای محتمل، و تدابیر اتخاذشده یا برنامه‌ریزی‌شده است.
ما به‌طور معقول همکاری می‌کنیم تا بتوانید به مرجع ذی‌صلاح و افراد متأثر اطلاع دهید.
8. حسابرسی و اثبات انطباق
ما اطلاعاتی را که به‌طور معقول برای اثبات انطباق نیاز دارید ارائه می‌دهیم، از جمله شرح تدابیر امنیتی خود و پاسخ به پرسش‌نامه‌های ارزیابی تأمین‌کننده.
شما می‌توانید حداکثر سالی یک بار، با اطلاع‌رسانی دست‌کم 30 روز پیش از آن، در ساعات کاری، بدون ایجاد اخلال در سرویس و بدون دسترسی به داده‌های سایر مشتریان، حسابرسی انجام دهید. هزینه آن بر عهده شماست، مگر آنکه نقضی اساسی کشف شود.
9. انتقال‌های بین‌المللی
برخی پردازشگران فرعی داده‌ها را خارج از ویتنام پردازش می‌کنند. ما ارزیابی تأثیر انتقال فرامرزی را که قانون ویتنام الزام می‌کند انجام می‌دهیم و در مواردی که قانون اتحادیه اروپا یا بریتانیا حاکم باشد، بندهای قراردادی استاندارد را اعمال می‌کنیم.
اگر سازمان شما الزام می‌کند که داده‌ها در داخل کشور باقی بمانند، استقرار خودمیزبان گزینه مناسب است و این الحاقیه با دامنه‌ای به همان نسبت محدودتر اعمال می‌شود.
10. بازگرداندن و حذف
با پایان قرارداد، 30 روز فرصت دارید تا با ابزارهای داخلی از داده‌های خود خروجی بگیرید یا از ما بخواهید آن‌ها را به شما تحویل دهیم.
پس از آن، داده‌ها را از سامانه‌های عملیاتی حذف می‌کنیم. نسخه‌های موجود در پشتیبان‌ها طبق چرخه جایگزینی پشتیبان‌ها و حداکثر 30 روز پس از تاریخ پشتیبان‌گیری حذف می‌شوند.
ما تنها آنچه را که قانون نگهداری آن را الزامی می‌کند، مانند سوابق حسابداری، و تنها به همان میزان نگه می‌داریم.
پیوست الف — شرح پردازش
| مورد | جزئیات |
|---|---|
| موضوع | فراهم کردن بستری برای تولید درس، برگزاری ارزیابی و گزارش نتایج |
| مدت | در طول مدت قرارداد، به‌علاوه دوره حذف مذکور در بخش 10 |
| ماهیت و هدف | ذخیره‌سازی، نمایش، نمره‌دهی، تجمیع گزارش‌ها، ارسال اعلان‌ها |
| انواع داده | نام یا نام مستعار، ایمیل، نتایج و پاسخ‌ها، زمان صرف‌شده، داده‌های فنی جلسه |
| دسته‌های اشخاص موضوع داده | فراگیران، معلمان، مدیران سازمان |
| داده‌های حساس | خارج از دامنه شمول. کنترل‌کننده داده‌های حساس را وارد سرویس نمی‌کند |
پیوست ب — تدابیر فنی و سازمانی
- رمزنگاری در حین انتقال: تمامی ترافیک از طریق TLS.
- احراز هویت: گذرواژه‌های هش‌شده، پشتیبانی از ورود با Google، نشست‌های دارای محدودیت زمانی.
- مجوزدهی: نقش‌هایی که به سازمان، کلاس و منبع محدود شده‌اند.
- ثبت رویداد: دسترسی‌های مدیریتی و عملیات حساس ثبت می‌شوند.
- پشتیبان‌گیری: منظم، با آزمون بازیابی، و نگهداری حداکثر به مدت 30 روز.
- پیشگیری از سوءاستفاده: محدودیت نرخ برای هر مسیر، سهمیه جداگانه برای ویژگی‌های هوش مصنوعی.
- مدیریت تغییرات: آزمون‌های خودکار پیش از انتشار.
- فرایند رسیدگی به حوادث: شناسایی، ارزیابی، اطلاع‌رسانی ظرف 72 ساعت.
به DPA امضاشده یا تکمیل پرسش‌نامه امنیتی سازمان خود نیاز دارید؟ به privacy@mosra.app بنویسید. محل: هانوی، ویتنام.