Ketentuan Keamanan
&Kewajiban
Komitmen keamanan kami tidak tersembunyi dalam bahasa hukum. Berikut persis apa yang kami lakukan untuk melindungi data Anda, apa yang kami harapkan dari Anda, dan cara kami menangani insiden.
Ruang Lingkup & Penerapan
Ketentuan Keamanan ini merupakan bagian dari Master Service Agreement atau Formulir Pesanan yang berlaku antara Exponent Solutions Pvt. Ltd. dan Klien. Ketentuan ini menetapkan kewajiban keamanan kedua pihak dalam penyampaian layanan, platform, dan kerja sama konsultasi Exponent.
Ketentuan ini berlaku untuk semua kerja sama layanan yang melibatkan pemrosesan, penyimpanan, transmisi, atau akses ke Data Klien, termasuk infrastruktur cloud, pengembangan perangkat lunak, deployment AI dan ML, integrasi SaaS, dan operasional TI terkelola.
Berlaku Untuk Siapa
Entitas yang tercakup
Semua klien dengan perjanjian aktif yang melibatkan pemrosesan data, infrastruktur cloud, atau layanan terkelola.
Apa yang Dicakup
Batas keamanan
Semua lingkungan yang dikelola atau diakses oleh Exponent, termasuk komponen cloud, on-prem, dan hybrid.
Hubungan Hukum
Hierarki kontrak
Ketentuan ini melengkapi MSA Anda. Jika terjadi pertentangan, ketentuan MSA yang berlaku kecuali dinyatakan lain secara eksplisit.
Yurisdiksi
Hukum yang berlaku
Diatur oleh hukum India dengan yurisdiksi di Gurugram, Haryana, dengan tunduk pada regulasi transfer yang berlaku.
Pemberitahuan Penting
Kewajiban Keamanan Kami
Exponent mempertahankan kontrol kelas enterprise di semua lingkungan penyampaian layanan dan terus meningkatkan perlindungan melalui program peninjauan, pengujian, dan audit.
Kontrol Keamanan Teknis
Enkripsi Saat Disimpan & Transit
Enkripsi AES-256 untuk data tersimpan dan TLS 1.3 untuk data dalam transit.
Keamanan Jaringan
Firewall, WAF, mitigasi DDoS, dan segmentasi jaringan di seluruh lingkungan.
Pemantauan 24/7
Pemantauan SOC berkelanjutan dengan deteksi dan peringatan ancaman otomatis.
Manajemen Kerentanan
Pemindaian kerentanan rutin, patching, dan uji penetrasi berkala.
Pencadangan & Pemulihan
Pencadangan otomatis dengan redundansi geografis dan target pemulihan terdokumentasi.
SDLC Aman
SDLC selaras OWASP dengan tinjauan kode dan pemindaian keamanan di pipeline CI.
- ✓Mempertahankan sertifikasi SOC 2 Type II dengan audit pihak ketiga tahunan
- ✓Melakukan penilaian sertifikasi ulang ISO 27001 setiap tahun
- ✓Memberikan laporan dan ringkasan keamanan kepada klien atas permintaan
- ✓Melatih semua staf yang memiliki akses data tentang praktik keamanan setidaknya setahun sekali
- ✓Mempertahankan kapabilitas operasi keamanan khusus dengan eskalasi insiden
- ✓Melakukan verifikasi latar belakang bagi personel dengan akses produksi
Kewajiban Keamanan Anda
Keamanan adalah model tanggung jawab bersama. Exponent mengamankan lapisan platform dan infrastruktur, sementara klien wajib mempertahankan kontrol dasar di lingkungan dan operasional pengguna mereka sendiri.
Model Tanggung Jawab Bersama
Manajemen Kredensial & Akses
Terapkan kebijakan kata sandi yang kuat, MFA untuk pengguna dengan hak istimewa, dan pencabutan akses segera bagi karyawan yang keluar.
Pelaporan Insiden
Laporkan dugaan insiden keamanan ke security@exponentsolutions.ai dalam 24 jam sejak ditemukan.
Keamanan Perangkat Klien
Pastikan OS perangkat dan patch keamanan selalu terbaru untuk semua sistem yang mengakses lingkungan Exponent.
Klasifikasi Data
Klasifikasikan data sebelum dibagikan dan hindari mengunggah data di luar cakupan sensitivitas yang disetujui.
Pelatihan Kesadaran Keamanan
Pastikan pengguna bisnis menyelesaikan pelatihan kesadaran tahunan untuk mengurangi risiko faktor manusia.
Tinjauan Akses Triwulanan
Tinjau akses pengguna secara rutin dan pertahankan penetapan hak akses minimum di semua tim.
Perlindungan Data
Exponent mengklasifikasikan dan menangani Data Klien sesuai kerangka perlindungan data yang ketat. Kontrol diterapkan berdasarkan kategori data dan konteks pemrosesan.
| Klasifikasi Data | Contoh | Enkripsi | Tingkat Akses | Retensi |
|---|---|---|---|---|
| Sangat Rahasia | PII, catatan keuangan, data kesehatan | AES-256 + HSM | Hanya yang perlu mengetahui | Sesuai DPA |
| Rahasia | Logika bisnis, kunci API, kredensial | AES-256 | Hanya tim yang berwenang | Masa kontrak + 90 hari |
| Internal | Dokumen proyek, konfigurasi layanan | TLS saat transit | Tim proyek | Masa kontrak + 30 hari |
| Publik | Aset pemasaran, API publik | Standar | Tidak dibatasi | Tanpa batas waktu |
Saat layanan berakhir, semua Data Klien yang diklasifikasikan Rahasia atau lebih tinggi dihapus secara aman sesuai kewajiban kontraktual dan regulasi. Sertifikat penghapusan tersedia atas permintaan.
Portabilitas Data
Respons Insiden
Exponent memiliki Rencana Respons Insiden terdokumentasi dengan batas waktu, penanggung jawab, dan saluran komunikasi yang jelas. Kewajiban respons disesuaikan dengan tingkat keparahan.
Kebocoran Aktif / Eksfiltrasi Data
Penahanan dimulai segera. Pemberitahuan kepada klien diprioritaskan dan koordinasi dengan regulator mengikuti persyaratan hukum.
Upaya Akses Tidak Sah / Gangguan Layanan
Triase cepat, remediasi terkendali, dan laporan insiden formal setelah analisis akar masalah.
Penemuan Kerentanan / Pelanggaran Kebijakan
Investigasi dan perencanaan perbaikan dengan penanggung jawab yang terlacak serta tinjauan tata kelola keamanan.
Ketidaksesuaian Keamanan
Ditangani dalam jendela pemeliharaan keamanan normal dengan bukti penyelesaian.
Saluran Pelaporan Insiden
Kontrol Akses
Akses ke sistem produksi dan Data Klien diatur oleh kebijakan hak akses minimum, kontrol berbasis peran, dan standar jaminan identitas.
- ✓Akses produksi mewajibkan MFA bagi semua pengguna dengan hak akses tinggi
- ✓Kontrol akses berbasis peran diterapkan dengan tinjauan akses berkala
- ✓Sesi dengan hak istimewa dipantau dan diaudit
- ✓Semua peristiwa akses dicatat dan disimpan sesuai persyaratan audit
- ✓Akses dicabut segera setelah perubahan peran atau karyawan keluar
- ✓Akses berbatas waktu digunakan untuk tugas operasional yang sensitif
Klien dapat meminta log akses untuk lingkungan yang memproses data mereka, dengan tunduk pada batasan kontrak dan kepatuhan.
Audit Keamanan
Exponent menjalani penilaian keamanan eksternal secara rutin dan mempertahankan program audit formal untuk memvalidasi kontrol dan efektivitas operasional.
SOC 2 Type II
Audit independen tahunan
Audit tahunan yang mencakup kontrol Keamanan, Ketersediaan, dan Kerahasiaan. Laporan tersedia berdasarkan NDA.
ISO 27001
Sertifikasi ISMS
Sertifikasi Sistem Manajemen Keamanan Informasi dengan sertifikasi ulang tahunan dan audit pengawasan berkala.
Uji Penetrasi
Pengujian pihak ketiga
Uji penetrasi tahunan oleh tim pihak ketiga yang terakreditasi. Ringkasan eksekutif tersedia bagi klien enterprise.
Audit atas Inisiatif Klien
Dukungan hak audit
Klien enterprise dapat meminta hak audit dengan pemberitahuan sebelumnya, NDA, dan penjadwalan yang wajar.
Vendor Pihak Ketiga
Exponent memiliki proses manajemen risiko vendor. Sub-pemroses yang memiliki akses ke Data Klien dinilai berdasarkan persyaratan keamanan dasar sebelum bergabung dan ditinjau secara berkala.
Klien diberi tahu lebih dahulu tentang perubahan sub-pemroses yang material jika diwajibkan oleh kontrak atau perjanjian pemrosesan data.
Hak Keberatan atas Sub-Pemroses
Tanggung Jawab & Ganti Rugi
Tanggung jawab atas insiden keamanan diatur oleh ketentuan perjanjian yang berlaku, termasuk batasan, pengecualian, dan ketentuan kredit layanan.
- ✓Exponent memiliki asuransi tanggung jawab profesional dan siber
- ✓Untuk insiden yang disebabkan oleh kelalaian Exponent, kerja sama respons kebocoran yang wajar diberikan
- ✓Ganti rugi berupa kredit layanan dapat berlaku berdasarkan komitmen SLA yang disepakati
Batasan Tanggung Jawab
Pembaruan Ketentuan Ini
Exponent meninjau Ketentuan Keamanan ini setidaknya setahun sekali dan dapat memperbaruinya untuk mencerminkan perubahan hukum, standar industri, dan praktik terbaik keamanan.
- ✓Pemberitahuan email kepada kontak akun utama sebelum perubahan material
- ✓Pemberitahuan pembaruan di dalam produk atau portal bila relevan
- ✓Riwayat versi yang dipublikasikan beserta tanggal berlaku
Penggunaan layanan yang berlanjut setelah tanggal berlakunya ketentuan yang diperbarui menandakan penerimaan. Untuk pertanyaan, hubungi legal@exponentsolutions.ai sebelum pembaruan berlaku.
Ada Pertanyaan tentang Keamanan Kami?
Tim keamanan dan hukum kami siap membahas ketentuan ini, memberikan laporan audit, dan menjawab pertanyaan tentang cara kami melindungi data Anda.