Безпека даних житлової спільноти: 10 запитань, які варто поставити постачальнику програми

1. У якій країні або регіоні зберігаються постійні дані?

Попросіть конкретну відповідь і уточніть, чи відрізняється вона для резервних копій, документів або допоміжних сервісів.

2. Як ізольовані дані різних житлових спільнот?

Компанії-адміністратору потрібен один інструмент для багатьох клієнтів, але кожна спільнота повинна залишатися окремим контекстом даних і прав.

3. Як працюють ролі та принцип мінімальних привілеїв?

Бухгалтерія, правління, адміністратор і людина, що веде технічні справи, не обов’язково повинні мати однаковий доступ. Постачальник має показати, як обмежує його реальною потребою.

4. Чи є MFA і коли потрібне повторне підтвердження?

Одного пароля недостатньо для облікових записів із широкими правами. Запитайте про MFA та додаткове підтвердження для операцій із підвищеним ризиком.

5. Як контролюється адміністративний доступ постачальника?

Не припускайте відповіді. Запитайте, хто з боку постачальника може отримати операційний доступ, у яких ситуаціях, як він затверджується й реєструється.

6. Які дії потрапляють до журналу?

Журнал має допомагати відтворити важливу зміну: хто, коли, у якому контексті й що змінив. Для цього не потрібно копіювати повний зміст чутливих даних у лог.

7. Як працюють резервне копіювання й відновлення?

Запитайте про обсяг копій, частоту, строк зберігання та спосіб перевірки відновлення. Декларація «ми робимо backup» має обмежену цінність без тесту відновлення.

8. Чи може спільнота експортувати повний набір даних?

Експорт — це елемент бізнес-безпеки. Він зберігає незалежність від постачальника й дозволяє контрольовано передати дані при зміні адміністратора.

9. Хто є субпроцесором і де знайти актуальний список?

Список має бути публічним або легко доступним і узгодженим із політикою приватності та договором обробки даних.

10. Як повідомити про вразливість або інцидент?

Постачальник повинен мати зрозумілий канал зв’язку й процес реагування. Клієнту важливо знати, хто повідомляє про проблему й як він отримає інформацію для виконання власних обов’язків.

Що WM Administrator заявляє публічно

WM Administrator декларує юрисдикцію ЄС для постійних даних, окремі контексти житлових спільнот, індивідуальні ролі та MFA для привілейованих ролей, історію важливих операцій, повний експорт і контрольований offboarding. Деталі обробки й актуальний список субобробників доступні в публічному юридичному пакеті.

Не варто зводити це до гасла «відповідає GDPR за замовчуванням». Відповідність залежить також від цілей обробки, правових підстав, прав доступу, процедур і способу використання системи самою організацією.

Переглянути сторінку безпеки