Veiligheid en privacy

Ja, Ekata hanteert een intern privacybeleid en biedt jaarlijkse aangaande privacy training voor alle teamleden.

Ja, Ekata biedt klanten een DPA. Niet elke klantovereenkomst maakt echter gebruik van deze DPA; de praktijkcases variëren. De DPA is een overeenkomst waarin het juridisch kader wordt uiteengezet waarbinnen Ekata persoonsgegevens verwerkt, met inbegrip van de gegevens die het verzamelt van klanten om de Ekata-diensten te leveren. De DPA is een addendum of bijlage bij de hoofdovereenkomst, d.w.z. een Master Services Agreement ('MSA'), enz., tussen Ekata en haar klant(en).

De Ekata DPA is specifiek voor de multi-tenantdiensten van Ekata en heeft betrekking op onze processen hiervoor. De DPA heeft bijvoorbeeld betrekking op onze processen rondom privacygerelateerde meldingen, audits, certificeringen, beveiligingsmaatregelen en subverwerkingsactiviteiten, die allemaal zijn afgestemd op de werking van de diensten en de multi-tenantinfrastructuur van Ekata. De Ekata DPA is tevens opgesteld om naadloos samen te werken met de MSA en andere relevante overeenkomsten van Ekata en Mastercard.

De DPA van Ekata is wereldwijd van toepassing en uiteenzet relevante wettelijke verplichtingen en toezeggingen met betrekking tot de verwerking van persoonsgegevens in verband met het leveren van de Ekata-diensten. Voor het gemak wordt er gebruikgemaakt van bepaalde terminologie uit specifieke privacy- en gegevensbeschermingswetten, bijv. 'Verwerkingsverantwoordelijke' (Controller) en 'Verwerker' (Processor) uit de Algemene Verordening Gegevensbescherming ("AVG") van de Europese Unie, die wereldwijd worden erkend. De DPA bevat ook een specifiek addendum om de privacywetten van de Verenigde Staten te adresseren. Er kunnen andere addenda aan de DPA worden toegevoegd naarmate de privacyregelgeving wereldwijd blijft evolueren.

Voor klanten die uitsluitend binnen de Europese Unie actief zijn, hebben we een DPA die specifiek is voor die regio.

Yes, the majority of the DPA applies to Customers regardless of their connection to the European Economic Area ("EEA"), Switzerland, and/or the United Kingdom ("UK") (together, "Europe"). Most of the commitments in the DPA are driven by general privacy requirements in all data protection laws globally and are not specific to European laws only.

Ekata treedt op als de verwerkingsverantwoordelijke met betrekking tot persoonsgegevens die onderworpen zijn aan de AVG en vergelijkbare wetgeving en die door klanten naar de diensten van Ekata worden verzonden. De klant treedt op als verwerkingsverantwoordelijke of als verwerker van dergelijke persoonsgegevens. Dit is uiteengezet in Sectie 2 ("Rollen van de partijen") van de DPA en Sectie 4 van het EU-addendum.

Ekata moet de doeleinden en middelen bepalen voor de verwerking van persoonsgegevens van klanten om de continue verbetering van de fraudebestrijdings- en beveiligingsproducten van Mastercard te ondersteunen en volledige capaciteit mogelijk te maken om consistentere, betrouwbaardere resultaten voor onze klanten op te leveren. Ekata gebruikt bijvoorbeeld de persoonsgegevens die klanten via een zoekopdracht naar de service indienen ("klantzoekopdrachtgegevens") om het Ekata Identity Network van stroom te voorzien, wat het Ekata-product voor alle klanten verbetert. Het doel en de reikwijdte van de verwerking van persoonsgegevens die door klanten aan Ekata worden verstrekt voor de verbetering van de fraudebestrijdingsproducten van Ekata, overstijgen de noties van een traditionele "verwerker"-rol zoals beoogd onder de AVG (en andere privacywetten). Daarnaast, aangezien Ekata onlangs is overgenomen door Mastercard, zullen de klantzoekopdrachtgegevens worden gebruikt om verschillende fraudebestrijdingsproducten van Mastercard te ondersteunen.

De DPA van Ekata vertegenwoordigt onze wereldwijde toewijding aan de bescherming van de gegevens van onze klanten. Aangezien digitale transacties grenzeloos en globaal zijn, bevat dit document verwijzingen naar de privacywetgeving in vele wereldwijde markten, waaronder de VS, de EER, het VK, Brazilië en Argentinië, om er maar enkele te noemen. Als je momenteel geen zaken doet in die landen, bepaalt het document dat de taal die op die landen betrekking heeft, niet van toepassing is. Ekata zal die taal niet uit de overeenkomst verwijderen. Het wordt overbodig voor zover je bedrijf geen extra markten betreedt, maar het beschermt beide bedrijven voor het geval een persoon van buiten de typische markten van de klant toch zou proberen zaken te doen met je bedrijf, ongeacht of dit bekend is bij je huidige beveiligingsmaatregelen.

Om de proef tot een succes te maken, moeten de klantquerygegevens – waaronder persoonlijke informatie – in een productieomgeving in het netwerk worden opgenomen om netwerksignalen te ontvangen en de volledige effectiviteit van het product aan te tonen. De DPA blijft na de proef van kracht en is van toepassing op de diensten bij commercialisering.

Veel privacywetten over de hele wereld garanderen inwoners bepaalde rechten met betrekking tot hun persoonsgegevens en de manier waarop bedrijven hiermee omgaan – rechten van de betrokkene. Om deze rechten uit te oefenen, moeten de personen van wie de persoonsgegevens worden verwerkt ("betrokkenen") een verzoek tot uitoefening van de rechten van de betrokkene indienen bij het bedrijf. Als het verzoek geldig is, is het bedrijf wettelijk verplicht om de gevraagde actie te ondernemen en aan het verzoek te voldoen. Enkele van de meest voorkomende verzoeken in het kader van de rechten van de betrokkene zijn het recht om een kopie van persoonsgegevens op te vragen, deze te corrigeren, de verwerking ervan te stoppen of ze te laten verwijderen. De Amerikaanse staten Californië en Virginia hebben onlangs het recht toegevoegd voor een persoon om te verzoeken dat een bedrijf stopt met de verkoop van diens persoonsgegevens als het bedrijf een databroker is.

Ekata reageert op verzoeken van betrokkenen om de rechten uit te oefenen die hun worden toegekend op grond van de wereldwijde wetgeving inzake gegevensbescherming, waaronder de Algemene Verordening Gegevensbescherming en de privacywetten van Amerikaanse staten, voor zover van toepassing.

Onze leveranciers van gegevens van derden zijn contractueel verplicht om betrokkenen de mogelijkheid te bieden hun gegevensbeschermingsrechten uit te oefenen, zoals het recht van een individuele persoon op toegang tot of verwijdering van diens informatie. Daarnaast zijn onze dataleveranciers verplicht Ekata op de hoogte te stellen van verzoeken van betrokkenen. Wanneer Ekata deze melding van de dataleverancier ontvangt, voeren we de vereiste juridische beoordeling uit en handelen we geldige verzoeken af.

Individuen (of hun agenten, indien van toepassing) kunnen verzoeken indienen bij Ekata via een van de methoden die geschikt zijn voor personen in elke rechtsgebieden die in onze privacyverklaring worden vermeld. Inwoners van Californië en Virginia kunnen ook op de link "Do Not Sell My Personal Info" onderaan de website van Ekata klikken om een verzoek in te dienen via ons webformulier.

Ja, af en toe. We beoordelen elke bulkinzending per geval op geldigheid en toepasbaarheid. Soms ontvangen we bulkverzoeken van derden die door betrokkenen zijn ingeschakeld om namens hen verzoeken in te dienen. We kunnen ook bulkverzoeken ontvangen van onze dataleveranciers van derden of van bepaalde klanten. Afhankelijk van de situatie kunnen we elk bulkverzoek anders afhandelen.

Wanneer een betrokkene een verzoek indient waarin wordt verzocht om de persoonsgegevens van het individu te verwijderen of de verwerking ervan te stoppen, verwijderen we die informatie uit de databases van ons Identity Network en Identity Graph die onze producten aansturen. Als dit is gebeurd en een klant dient een zoekvraag in met het verzoek om informatie over dat individu, dan is het antwoord dat naar de klant wordt teruggestuurd "Null", of is er mogelijk helemaal geen resultaat als de zoekvraag deel uitmaakt van een historische batchtest. Helaas betekent dit dat het antwoord op de zoekvraag de klant niet zal helpen bij het nemen van een beslissing over fraudepreventie.

Ja, verzoeken van betrokkenen, met name bulkverzoeken, kunnen van invloed zijn op de prestatiestatistieken voor Ekata-diensten. Als Ekata bijvoorbeeld recent een bulkverzoek van een betrokkene heeft uitgevoerd om persoonlijke informatie te verwijderen of de verwerking ervan te stoppen, kunnen klanten als gevolg van de toename van "Null"-responsen een daling in de prestaties zien.

Ja, het is mogelijk dat kwaadwillenden verzoeken van betrokkenen indienen om hun persoonlijke informatie te verwijderen van fraudepreventiediensten en de detectie van hun acties te bemoeilijken. Wereldwijde gegevensbeschermingsautoriteiten hebben echter over het algemeen geoordeeld dat dit risico minder belangrijk is dan het recht van alle individuen om zeggenschap te hebben over hun persoonlijke informatie.

Ja. Ekata kan de persoonsgegevens die we ontvangen wanneer klanten onze services gebruiken, delen met onze dochterondernemingen en filialen die deel uitmaken van de bedrijfsgroep van Mastercard. We kunnen persoonsgegevens ook delen met onze serviceproviders die namens ons diensten verlenen. Voorbeelden van onze serviceproviders zijn analyseproviders, gegevensopslagproviders en betalingsverwerkingsproviders. We verplichten deze serviceproviders om de persoonsgegevens die ze ontvangen uitsluitend te verwerken in overeenstemming met onze instructies en voor zover dit noodzakelijk is om diensten namens ons te verlenen, om te voldoen aan wettelijke verplichtingen en om de gegevens te beveiligen met passende beveiligingsmaatregelen.

Een effectieve en efficiënte werking van de diensten van Ekata vereist het gebruik van subverwerkers. Deze subverwerkers kunnen dochterondernemingen van Mastercard, Ekata en/of andere derde partijen zoals leveranciers of serviceproviders omvatten. Het gebruik van subverwerkers door Ekata kan de overdracht van klantgegevens naar subverwerkers vereisen voor doeleinden zoals het hosten van klantgegevens, het bieden van klantenondersteuning en het waarborgen dat de diensten naar behoren functioneren.

Alle persoonlijke gegevens kunnen door Ekata-systemen worden geraadpleegd vanuit de Verenigde Staten. Aangezien toegang een 'overdracht' tot stand brengt onder de AVG, worden alle persoonlijke gegevens die naar Ekata worden verzonden en in Ekata's systemen worden opgeslagen, overgedragen naar de VS.

Under EU Data Protection Law, Personal Information cannot be transferred outside of Europe unless (i) the importing country has been deemed adequate by the relevant governmental body; or (ii) the data exporter has appropriate safeguards in place to ensure that the Personal Information transferred is subject to an adequate level of data protection. The "appropriate safeguards" include transfer mechanisms such as standard data protection clauses (i.e., the Standard Contractual Clauses) and binding corporate rules.

Afhankelijk van de specifieke Services van de Hoofdovereenkomst kan Ekata gegevens overdragen op basis van haar Binding Corporate Rules ("BCR's") – bedrijfsspecifieke, groepsbrede gegevensbeschermingsbeleidsregels die zijn goedgekeurd door autoriteiten voor gegevensbescherming om de overdracht van Persoonsgegevens buiten Europa binnen de Mastercard-groep te vergemakkelijken. Sommige oudere overeenkomsten zijn mogelijk gebaseerd op Standard Contractual Clauses om deze gegevensoverdrachten te autoriseren.

Ekata biedt momenteel geen opties voor datalokalisatie aan voor Ekata-diensten, hoewel onze productteams aan dergelijke opties werken voor de toekomst. De huidige configuraties van de Ekata-diensten vereisen wel dat persoonlijke informatie uit de EU wordt overgedragen naar en/of geraadpleegd vanuit de Verenigde Staten.

Het team voor privacy en gegevensbescherming van Mastercard beoordeelt verzoeken om overheidsgegevens ("GDR's") die persoonsgegevens bevatten op individuele basis. In het bijzonder stelt het team vast of de GDR (i) juridisch bindend is; (ii) is gebaseerd op duidelijke, nauwkeurige en toegankelijke regels; (iii) noodzakelijk en evenredig is; (iv) onderworpen is aan onafhankelijk toezicht door regelgevende instanties en/of het nationale rechtssysteem; en (v) onderworpen is aan effectieve rechtsmiddelen voor de betrokken personen. Pas wanneer we ervan overtuigd zijn dat de juridische procedure geldig en passend is, en wanneer we ervan overtuigd zijn dat de GDR Ekata niet belet om te voldoen aan haar verplichtingen onder de Binding Corporate Rules van Mastercard en geen wezenlijke invloed heeft op de door deze rules geboden waarborgen, verstrekken we de kleinst mogelijke set gegevens die vereist is om aan de GDR te voldoen. Als we er niet in slagen het wetsconflict op te lossen, zal het team voor privacy en gegevensbescherming al het mogelijke doen om de GDR gedurende redelijke tijd aan te houden om te overleggen met de Belgische Gegevensbeschermingsautoriteit over hoe dit kan worden opgelost.

De standaardbehandeling van persoonlijke gegevens van klanten is dat de gegevens worden gepseudonimiseerd en versleuteld.

Ekata handhaaft passende technische en organisatorische maatregelen om klantgegevens te beschermen, waaronder maar niet beperkt tot:

Fysieke toegangscontrole

Technische en organisatorische maatregelen om te voorkomen dat onbevoegden toegang krijgen tot de gegevensverwerkingssystemen die beschikbaar zijn in ruimten en faciliteiten (waaronder databases, applicatieservers en bijbehorende hardware) waar persoonsgegevens worden verwerkt, omvatten:

• Het instellen van beveiligingszones, beperking van toegangspaden;
• Het instellen van toegangsautorisaties voor werknemers en derden;
• Toegangscontrolesysteem (ID-lezer, magneetkaart, chipkaart);
• Sleutelbeheer, procedures voor keycards;
• Deurvergrendeling (elektrische deuropeners enz.);
• Beveiligingspersoneel, schoonmakers;
• Bewakingsfaciliteiten, video-/cctv-monitor, alarmsysteem;
• Het beveiligen van gedecentraliseerde gegevensverwerkingsapparatuur en pc's.

Virtuele toegangscontrole

Technische en organisatorische maatregelen om te voorkomen dat gegevensverwerkingssystemen door onbevoegden worden gebruikt, omvatten:

• Gebruikersidentificatie en authenticatieprocedures;
• beveiligingsprocedures voor ID/wachtwoord (speciale tekens, minimale lengte, wachtwoord wijzigen);
• Automatische blokkering (bijv. wachtwoord of time-out);
• Monitoring van inbraakpogingen en automatische uitschakeling van de gebruikersnaam bij meerdere onjuiste wachtwoordpogingen;
• Creatie van één hoofdrecord per gebruiker, procedures voor hoofdgegevens van gebruikers, per gegevensverwerkingsomgeving.

Gegevenstoegangsbeheer

Technische en organisatorische maatregelen om ervoor te zorgen dat personen die bevoegd zijn om een gegevensverwerkingSysteem te gebruiken, uitsluitend toegang krijgen tot persoonsgegevens in overeenstemming met hun toegangsrechten, en dat persoonsgegevens niet zonder autorisatie kunnen worden gelezen, gekopieerd, gewijzigd of verwijderd, omvatten:

• Interne beleidsregels en procedures;
• Beheer autorisatieschema's;
• Gedifferentieerde toegangsrechten (profielen, rollen, transacties en objecten);
• Monitoring en logboekregistratie van toegangen;
• Disciplinaire maatregelen tegen medewerkers die zonder autorisatie persoonsgegevens inzien;
• Rapportages van toegang;
• Toegangsprocedure;
• Wijzigingsprocedure;
• Verwijderingsprocedure.

Bekijk ook de speciale beveiligingspagina van Ekata met informatie over onze compliancecertificeringen en beveiligingsaanpak, of raadpleeg bijlage 1 bij de DPA.

• Je vindt de privacyverklaring van Ekata hier.
• De van toepassing zijnde DPA voor de producten van Ekata is hier te vinden.
• Ekata heeft een speciale beveiligingspagina.

Als je nog vragen hebt, neem dan contact op met je accountmanager.

Ekata hanteert beleid en procedures voor beveiligingsincidentenbeheer, die worden beschreven in de toepasselijke beveiligings-FAQ (beschikbaar hier). In artikel 9.1 van de DPA (beschikbaar hier). Ekata verplicht zich ertoe klanten zonder onnodige vertraging op de hoogte te stellen nadat het op de hoogte is geraakt van een inbreuk op persoonsgegevens.

Als je organisatie te maken krijgt met een beveiligingsinbreuk, wordt het beveiligingscontactpersoon of worden de beveiligingscontactpersonen van je organisatie hiervan op de hoogte gebracht. Stappen voor het aanmaken en onderhouden van je lijst met beveiligingscontacten zijn hier beschikbaar.