Условия безопасности
&Обязательства
Наши обязательства по безопасности не скрыты в юридическом жаргоне. Вот точно, что мы делаем для защиты ваших данных, чего ожидаем от вас и как мы реагируем на инциденты.
Объём и применимость
Эти условия безопасности являются частью Основного соглашения об обслуживании или применимой формы заказа между Exponent Solutions Pvt. Ltd. и Клиентом. Они определяют обязательства по безопасности обеих сторон при предоставлении услуг Exponent, платформ и консультационных проектов.
Эти условия применяются ко всем сервисным взаимодействиям, включающим обработку, хранение, передачу или доступ к данным Клиента, включая облачную инфраструктуру, разработку программного обеспечения, развертывание AI и ML, интеграцию SaaS и управляемые ИТ‑операции.
Кому это применимо
Покрытые субъекты
Все клиенты с активными соглашениями, связанными с обработкой данных, облачной инфраструктурой или управляемыми услугами.
Что покрывается
Граница безопасности
Все среды, управляемые или доступные Exponent, включая облачные, локальные и гибридные компоненты.
Юридические отношения
Иерархия договоров
Эти условия дополняют ваш MSA. В случае конфликта преимущество имеют условия MSA, если не указано иное явно.
Юрисдикция
Применимое право
Регулируется индийским правом с юрисдикцией в Гургаоне, Харьяна, в соответствии с применимыми правилами трансфера.
Важное уведомление
Наши обязательства по безопасности
Exponent поддерживает корпоративного уровня контроль во всех средах предоставления услуг и постоянно улучшает меры защиты посредством обзоров, тестирования и аудиторских программ.
Технические меры безопасности
Шифрование в состоянии покоя и при передаче
Шифрование AES-256 для хранимых данных и TLS 1.3 для данных в передаче.
Сетевая безопасность
Брандмауэр, WAF, защита от DDoS и сегментация сети в разных средах.
Мониторинг 24/7
Непрерывный мониторинг SOC с автоматическим обнаружением угроз и оповещениями.
Управление уязвимостями
Частое сканирование уязвимостей, установка патчей и периодическое тестирование на проникновение.
Резервное копирование и восстановление
Автоматические резервные копии с гео‑избыточностью и документированными целями восстановления.
Безопасный SDLC
SDLC, согласованный с OWASP, с проверкой кода и сканированием безопасности в CI‑конвейерах.
- ✓Поддерживать сертификат SOC 2 Type II с ежегодными аудитами сторонних организаций
- ✓Проводить ежегодные оценки переаттестации ISO 27001
- ✓Предоставлять клиентам отчёты по безопасности и их резюме по запросу
- ✓Обучать весь персонал с доступом к данным практикам безопасности не реже одного раза в год
- ✓Поддерживать выделенную возможность операций безопасности с эскалацией инцидентов
- ✓Проводить проверку биографии персонала с доступом к продакшн‑среде
Ваши обязательства по безопасности
Безопасность — это модель совместной ответственности. Пока Exponent защищает уровни платформы и инфраструктуры, клиенты должны поддерживать базовые контрольные меры в своей среде и пользовательских операциях.
Модель совместной ответственности
Управление учётными данными и доступом
Обеспечьте строгую политику паролей, MFA для привилегированных пользователей и немедленное удаление доступа у уходящих сотрудников.
Отчёт об инцидентах
Сообщайте о подозрительных инцидентах безопасности на security@exponentsolutions.ai в течение 24 часов после обнаружения.
Безопасность клиентских конечных точек
Поддерживайте ОС конечных точек и обновления безопасности в актуальном состоянии для всех систем, получающих доступ к средам Exponent.
Классификация данных
Классифицируйте данные перед их передачей и избегайте загрузки данных за пределами утверждённого уровня чувствительности.
Тренинг по повышению осведомлённости о безопасности
Обеспечьте, чтобы бизнес‑пользователи проходили ежегодное обучение по повышению осведомлённости, чтобы снизить риски, связанные с человеческим фактором.
Квартальные проверки доступа
Регулярно проверяйте доступ пользователей и поддерживайте назначения с принципом наименьших привилегий в командах.
Защита данных
Exponent классифицирует и обрабатывает данные Клиента в соответствии со строгой рамкой защиты данных. Контрольные меры применяются в зависимости от категории данных и контекста обработки.
| Классификация данных | Примеры | Шифрование | Уровень доступа | Хранение |
|---|---|---|---|---|
| Строго конфиденциально | Личные данные, финансовые записи, медицинские данные | AES-256 + HSM | Только при необходимости | В соответствии с DPA |
| Конфиденциально | Бизнес-логика, API‑ключи, учетные данные | AES-256 | Только уполномоченная команда | Срок + 90 дней |
| Внутренний | Документация проекта, конфигурация сервиса | TLS в транзите | Команда проекта | Срок + 30 дней |
| Публичный | Маркетинговые ресурсы, публичные API | Стандарт | Неограниченный | Неопределённый |
При завершении услуги все данные Клиента, классифицированные как Конфиденциальные или выше, надёжно удаляются в соответствии с договорными и нормативными обязательствами. Сертификат удаления предоставляется по запросу.
Переносимость данных
Реагирование на инциденты
Exponent поддерживает документированный план реагирования на инциденты с определёнными сроками, ответственностью и каналами коммуникации. Обязанности по реагированию согласованы с уровнями тяжести.
Активный инцидент / утечка данных
Изоляция начинается немедленно. Уведомление клиента имеет приоритет, а координация с регуляторами осуществляется в соответствии с юридическими требованиями.
Неавторизованная попытка доступа / нарушение работы сервиса
Быстрая сортировка, контролируемое устранение и формальный отчёт об инциденте после анализа первопричины.
Обнаружение уязвимостей / Нарушение политики
Исследование и планирование исправлений с отслеживанием ответственности и обзором управления безопасностью.
Несоответствие требованиям безопасности
Устранено в обычных окнах обслуживания безопасности с подтверждением закрытия.
Канал сообщения об инцидентах
Контроль доступа
Доступ к производственным системам и данным Клиента регулируется политикой наименьших привилегий, рол‑базированными контролями и стандартами подтверждения личности.
- ✓Доступ к продакшн требует MFA для всех пользователей с повышенными правами
- ✓Контроль доступа на основе ролей применяется с периодическим обзором доступа
- ✓Привилегированные сеансы мониторятся и аудируются
- ✓Все события доступа регистрируются и хранятся в соответствии с требованиями аудита
- ✓Доступ отменяется незамедлительно после изменения роли или увольнения
- ✓Временный доступ используется для чувствительных операционных задач
Клиенты могут запросить журналы доступа к средам, обрабатывающим их данные, при условии соблюдения договорных и нормативных ограничений.
Аудиты безопасности
Exponent проходит регулярные внешние оценки безопасности и поддерживает формальные программы аудита для подтверждения контроля и операционной эффективности.
SOC 2 Type II
Ежегодный независимый аудит
Ежегодный аудит, охватывающий контроль безопасности, доступности и конфиденциальности. Отчёты доступны по NDA.
ISO 27001
Сертификация ISMS
Сертификация системы управления информационной безопасностью с ежегодной переаттестацией и периодическими контрольными аудитами.
Тестирование на проникновение
Тестирование третьих сторон
Ежегодное тестирование на проникновение сторонними аккредитованными командами. Краткое резюме доступно корпоративным клиентам.
Аудиты, инициированные клиентом
Поддержка права на аудит
Корпоративные клиенты могут запросить право на аудит с предварительным уведомлением, соглашением о неразглашении и разумными требованиями к планированию.
Поставщики третьих сторон
Exponent поддерживает процесс управления рисками поставщиков. Субподрядчики с доступом к данным клиентов оцениваются в соответствии с базовыми требованиями к безопасности перед подключением и регулярно пересматриваются.
Клиенты заранее информируются о существенных изменениях субподрядчиков, если это требуется по контракту или соглашениям о обработке данных.
Права на возражение суб‑процессора
Ответственность & средства правовой защиты
Ответственность за инциденты безопасности регулируется применимыми условиями соглашения, включая лимиты, исключения и положения о сервисных кредитах.
- ✓Exponent поддерживает профессиональное и киберстраховое покрытие
- ✓В случае инцидентов, вызванных небрежностью Exponent, предоставляется разумное сотрудничество при реагировании на нарушение
- ✓Могут применяться компенсации в виде сервисных кредитов в соответствии с согласованными обязательствами SLA
Ограничение ответственности
Обновления этих условий
Exponent пересматривает данные условия безопасности не реже одного раза в год и может обновлять их в соответствии с изменениями законодательства, отраслевыми стандартами и лучшими практиками в области безопасности.
- ✓Уведомление по электронной почте основным контактам аккаунта перед существенными изменениями
- ✓Уведомления об обновлениях в продукте или портале, где это уместно
- ✓Опубликованная история версий с датами вступления в силу
Продолжение использования услуг после даты вступления в силу обновлённых условий считается принятием. По вопросам обращайтесь по адресу legal@exponentsolutions.ai до вступления обновления в силу.
Вопросы о нашей безопасности?
Наши команды по безопасности и юридическим вопросам готовы обсудить эти условия, предоставить аудиторские отчёты и ответить на вопросы о том, как мы защищаем ваши данные.