Sikkerhet og personvern

Ja, Ekata opprettholder interne retningslinjer for personvern og årlig opplæring i personvern for alle teammedlemmer.

Ja, Ekata tilbyr en databehandleravtale til sine kunder. Ikke alle kundeavtaler vil imidlertid benytte denne databehandleravtalen; brukstilfellene vil variere. Databehandleravtalen er en avtale som fastsetter det juridiske rammeverket som Ekata behandler personopplysninger under, inkludert opplysninger som samles inn fra kunder for å levere Ekata-tjenestene. Databehandleravtalen er et tillegg eller vedlegg til hovedavtalen, dvs. en hovedtjenesteavtale («MSA») e.l., mellom Ekata og kunden(e).

Ekatas databehandleravtale er spesifikk for Ekatas flr-leietakertjenester og dekker våre prosesser i relasjon til disse. Databehandleravtalen dekker for eksempel våre prosesser rundt personvernrelaterte varsler, revisjoner, sertifiseringer, sikkerhetstiltak og underbehandlingsaktiviteter, som alle er tilpasset måten Ekatas tjenester og flr-leietakerinfrastruktur fungerer på. Ekatas databehandleravtale er også utformet for å fungere sømløst sammen med hovedavtalen og andre relevante Ekata- og Mastercard-avtaler.

Ekatas databehandleravtale (DPA) gjelder globalt og fastsetter relevante juridiske forpliktelser og tilsagn knyttet til behandling av personopplysninger i forbindelse med levering av Ekata-tjenestene. For å gjøre det enklere å finne frem bruker den visse terminologier fra spesifikke personvern- og databeskyttelseslover, f.eks. «behandlingsansvarlig» og «databehandler» fra Den europeiske unions generelle databeskyttelsesforordning («GDPR»), som er anerkjent globalt. Databehandleravtalen inneholder også et spesifikt Tillegg for personvernlovgivning i USA. Det kan bli lagt til andre tillegg i databehandleravtalen etter hvert som personvernforskriftene fortsetter å utvikle seg globalt.

For kunder som bare opererer innenfor EU, har vi en databehandleravtale (DPA) som er spesifikk for den regionen.

Ja, flertallet av DPA gjelder for kunder uavhengig av tilknytning til Det europeiske økonomiske samarbeidsområde («EØS»), Sveits og/eller Det britiske forbund («UK») (samlet sett «Europa»). De fleste av forpliktelsene i DPA er drevet av generelle personvernkrav i alle personvernlover globalt og er ikke spesifikke kun for europeiske lover.

Ekata opptrer som behandlingsansvarlig med hensyn til personopplysninger som er underlagt personvernforordningen (GDPR) og lignende lover, og som sendes inn av kunder til Ekatas tjenester. Kunden opptrer enten som behandlingsansvarlig eller databehandler for slike personopplysninger. Dette er fastsatt i avsnitt 2 («Partenes roller») i databehandleravtalen (DPA) og avsnitt 4 i EU-tillegget.

Ekata må kontrollere formålene med og midlene for behandlingen av personopplysninger fra kunder for å støtte den pågående forbedringen av Mastercard svindel- og sikkerhetsprodukter og muliggjøre full kapasitet til å returnere mer konsekvente og pålitelige resultater for kundene våre. Ekata bruker for eksempel personopplysningene som sendes inn av kunder gjennom en forespørsel til tjenesten («kundespørringsdata»), til å drive Ekata Identity Network, som forbedrer Ekata-produktet for alle kunder. Formålet med og omfanget av behandlingen av personopplysninger som leveres til Ekata av kunder for å forbedre Ekatas svindelforebyggende produkter, overskrider forestillingene om en tradisjonell «databehandler»-rolle slik den er tenkt under GDPR (og andre personvernlover). I tillegg, ettersom Ekata nylig ble kjøpt opp av Mastercard, vil kundespørringsdataene bli brukt til å støtte ulike svindelforebyggende produkter fra Mastercard.

Ekatas DPA representerer vår globale forpliktelse til å beskytte kundenes data. Ettersom digitale transaksjoner er grenseløse og globale, inneholder dette dokumentet referanser til personvernbestemmelser i mange globale markeder, blant annet USA, EØS, Storbritannia, Brasil og Argentina. Hvis du ikke driver virksomhet i disse landene i dag, fastsetter dokumentet at språket som regulerer disse landene, ikke vil gjelde. Ekata vil ikke fjerne det språket fra avtalen. Det blir irrelevant i den grad bedriften din ikke går inn i nye markeder, men det beskytter begge selskaper i tilfelle en person utenfor kundens typiske markeder skulle forsøke å gjøre forretninger med bedriften din, enten det er kjent eller ukjent for dine nåværende sikkerhetstiltak.

For at prøveperioden skal bli vellykket, må kundeforespørselsdataene – inkludert personopplysninger – lastes inn i nettverket i et produksjonsmiljø for å motta nettverkssignaler og demonstrere full produkteffektivitet. DPA-en gjelder også etter prøveperioden og gjelder for tjenestene ved kommersialisering.

Mange personvernlover rundt om i verden garanterer innbyggerne visse rettigheter knyttet til deres personopplysninger og hvordan selskaper kan behandle dem – personvernrettigheter. For å utøve disse rettighetene må enkeltpersonene hvis personopplysninger behandles («registrerte»), sende en forespørsel om utøvelse av personvernrettigheter til selskapet, og hvis forespørselen er gyldig, er selskapet juridisk forpliktet til å utføre den forespurte handlingen og oppfylle forespørselen. Noen av de vanligste forespørslene om personvernrettigheter er retten til å be om en kopi av, korrigere, stoppe behandlingen av eller slette personopplysninger. De amerikanske delstatene California og Virginia har nylig lagt til en enkeltperson sin rett til å be om at et selskap slutter å selge deres personopplysninger dersom selskapet er en datamegler.

Ekata imøtekommer forespørsler fra registrerte om å utøve rettigheter som er gitt til registrerte under globale personvernlover, inkludert personvernforordningen (GDPR) og personvernlover i USAs delstater, der det er aktuelt.

Våre dataleverandører fra tredjeparter er kontraktsmessig pålagt å gi datasubjekter muligheten til å utøve sine personvernrettigheter, for eksempel en enkeltpersons rett til å få tilgang til eller slette informasjonen sin. Videre er dataleverandørene våre pålagt å varsle Ekata om forespørsler fra datasubjekter. Når Ekata mottar dette varselet fra dataleverandøren, foretar vi den nødvendige juridiske vurderingen og oppfyller gyldige forespørsler.

Enkeltpersoner (eller deres representanter, hvis relevant) kan sende inn forespørsler til Ekata ved å bruke en hvilken som helst av metodene som egner seg for personer i hver jurisdiksjon som er oppført i personvernerklæringen vår. Innbyggere i California og Virginia kan også klikke på «Do Not Sell My Personal Info»-lenken nederst på Ekatas nettsted for å sende inn en forespørsel ved hjelp av nettskjemaet vårt.

Ja, av og til. Vi evaluerer hver enkelt bulkinnsending fra sak til sak for gyldighet og relevans. Noen ganger mottar vi bulkforespørsler fra tredjeparter som har blitt engasjert av datasubjekter til å sende inn forespørsler på deres vegne. Vi kan også motta bulkforespørsler fra våre tredjeparts dataleverandører eller fra enkelte kunder. Avhengig av situasjonen kan vi håndtere hver enkelt bulkforespørsel på forskjellige måter.

Når en registrert sender inn en forespørsel som krever at Ekata sletter eller stanser behandlingen av personopplysningene til vedkommende, fjerner vi den informasjonen fra databasene Identity Network og Identity Graph som driver produktene våre. Når dette har skjedd, og en kunde sender inn en forespørsel om informasjon om den personen, er svaret som returneres til kunden «Null», eller det kan ikke være noe resultat i det hele tatt hvis forespørselen er en del av en historisk batch-test. Desverre betyr dette at spørringsresponsen ikke vil hjelpe kunden med å ta en avgjørelse om svindelforebygging.

Ja, forespørsler fra den registrerte, spesielt masseudsendelser, kan påvirke ytelsesmålene for Ekata Services. Hvis Ekata for eksempel nylig har utført en masserespons på en forespørsel fra den registrerte om å slette eller stoppe behandlingen av personopplysninger, kan kunder oppleve en nedgang i ytelsen som følge av økningen i «null»-svar («Null»).

Ja, det er mulig at ondsinnede aktører kan sende inn forespørsler fra registrerte for å fjerne personopplysningene sine fra svindelforebyggende tjenester og gjøre det vanskeligere å oppdage handlingene deres. Imidlertid har globale databeskyttelsesmyndigheter generelt funnet at denne risikoen er mindre viktig enn at alle enkeltpersoner har mulighet til å kontrollere personopplysningene sine.

Ja. Ekata kan dele personopplysningene vi mottar når kunder bruker tjenestene våre, med datterselskaper og tilknyttede selskaper som er en del av Mastercard-konsernet. Vi kan også dele personopplysninger med tjenesteleverandører som utfører tjenester på vegne av oss. Eksempler på tjenesteleverandørene våre omfatter analyseleverandører, leverandører av datalagring og leverandører av betalingsbehandling. Vi krever at disse tjenesteleverandørene kun behandler personopplysningene de mottar, i samsvar med instruksjonene våre og i den grad det er nødvendig for å utføre tjenester på vegne av oss, overholde juridiske krav og beskytte informasjonen med hensiktsmessige sikkerhetstiltak.

For å utføre tjenestene til Ekata på en effektiv måte, kreves det bruk av underbehandlere. Disse underbehandlerne kan inkludere tilknyttede selskaper av Mastercard, Ekata og/eller andre tredjeparter som leverandører eller tjenesteleverandører. Ekatas bruk av underbehandlere kan kreve overføring av kundedata til underbehandlere for formål som hosting av kundedata, levering av kundestøtte og sikring av at tjenestene fungerer som de skal.

Alle personopplysninger kan nås av Ekata-systemer fra USA. Ettersom tilgang utgjør en «overføring» i henhold til personvernforordningen (GDPR), overføres alle personopplysninger som sendes inn til Ekata og lagres i Ekatas systemer, til USA.

I henhold til EUs personvernforordning kan personopplysninger ikke overføres utenfor Europa med mindre (i) importlandet er vurdert til å ha et tilstrekkelig beskyttelsesnivå av det relevante offentlige organet; eller (ii) dataeksportøren har tilstrekkelige sikringstiltak på plass for å sikre at de overførte personopplysningene er underlagt et tilstrekkelig nivå av personvern. De «tilsvarende sikringstiltakene» inkluderer overføringsmekanismer som standard bestemmelser om personvern (dvs. standardavtalene) og bindende bedriftsregler.

Avhengig av de spesifikke tjenestene i hovedavtalen kan Ekata overføre data basert på sine bindende selskapsregler («BCR-er») – selskapsspesifikke, konsernomfattende retningslinjer for personvern som er godkjent av datatilsynsmyndigheter for å legge til rette for overføring av personopplysninger utenfor Europa i Mastercard-konsernet. Noen eldre avtaler kan basere seg på standard kontraktsvilkår for å autorisere disse dataoverføringene.

Ekata tilbyr for øyeblikket ikke alternativer for datalokalisering for noen Ekata-tjenester, selv om produktteamene våre arbeider med disse alternativene for fremtiden. De gjeldende konfigurasjonene for Ekata-tjenestene krever at personopplysninger fra EU overføres til og/eller nås fra USA.

Mastercard personvern- og databeskyttelsesteam vurderer statlige dataforespørsler («GDR-er») som involverer personopplysninger, fra sak til sak. Nærmere bestemt vil teamet fastslå om GDR-en er (i) rettslig bindende; (ii) basert på klare, presise og tilgjengelige regler; (iii) nødvendig og proporsjonal; (iv) underlagt uavhengig tilsyn av regulatorer og/og det nasjonale rettssystemet; og (v) underlagt effektive rettsmidler for de berørte enkeltpersonene. Først når vi er sikre på at den juridiske prosessen er gyldig og hensiktsmessig, og når vi er overbevist om at GDR-en ikke hindrer Ekata i å oppfylle sine forpliktelser under Mastercard bindende selskapsregler og ikke har en vesentlig innvirkning på garantiene de gir, utleverer vi det absolutt minste settet med data som kreves for å etterkomme GDR-en. Hvis vi ikke klarer å løse lovkonflikten, vil personvern- og databeskyttelsesteamet gjøre sitt ytterste for å sette GDR-en på vent i en rimelig periode for å rådføre seg med den belgiske datatilsynsmyndigheten om hvordan den kan løses.

Standardbehandlingen av personopplysninger fra kunder er at dataene pseudonymiseres og krypteres.

Ekata opprettholder hensiktsmessige tekniske og organisatoriske tiltak for å beskytte kundedata, inkludert, men ikke begrenset til:

Fysisk tilgangskontroll

Tekniske og organisatoriske tiltak for å hindre at uautoriserte personer får tilgang til databehandlingssystemene som er tilgjengelige i lokaler og fasiliteter (inkludert databaser, applikasjonsservere og relatert maskinvare), der personopplysninger behandles, omfatter:

• Etablering av sikkerhetsområder, begrensning av adgangsveier;
• Etablere tilgangsautorisasjoner for ansatte og tredjeparter;
• Tilgangskontrollsystem (ID-leser, magnetkort, chipkort);
• Nøkkeladministrasjon, prosedyrer for nøkkelkort;
• Dørlåsing (elektriske døråpnere osv.);
• Sikkerhetspersonell, vaktmestere;
• Overvåkingsanlegg, video-/CCTV-skjerm, alarmsystem;
• Sikring av desentralisert databehandlingsutstyr og personlige datamaskiner.

Virtuell tilgangskontroll

Tekniske og organisatoriske tiltak for å hindre at dataprosesseringssystemer brukes av uautoriserte personer, omfatter:

• Brukeridentifikasjon og -autentiseringsprosedyrer;
• ID-/passordsikkerhetsrutiner (spesialtegn, minimumslengde, endring av passord);
• Automatisk blokkering (f.eks. passord eller tidsavbrudd);
• Overvåking av innbruddsforsøk og automatisk deaktivering av bruker-ID-en ved flere mislykkede passordforsøk;
• Opprettelse av én hovedpost per bruker, prosedyrer for hoveddata for brukere per databehandlingsmiljø.

Datatilgangskontroll

Tekniske og organisatoriske tiltak for å sikre at personer som har rett til å bruke et databehandlingssystem, kun får tilgang til slike personopplysninger i samsvar med sine tilgangsrettigheter, og at personopplysninger ikke kan leses, kopieres, endres eller slettes uten autorisasjon, omfatter:

• Interne retningslinjer og prosedyrer;
• Kontroller autorisasjonsordninger;
• Differensierte tilgangsrettigheter (profiler, roller, transaksjoner og objekter);
• Overvåking og logging av tilganger;
• Disiplinærtiltak mot ansatte som får tilgang til personopplysninger uten autorisasjon;
• Rapporter om tilgang;
• Tilgangsprosedyre;
• Endringsprosedyre;
• Slettingsprosedyre.

Se også Ekatas dedikerte sikkerhetsside, som inneholder detaljert informasjon om våre sertifiseringer for etterlevelse og vår tilnærming til sikkerhet, eller vedlegg 1 til databehandleravtalen.

• Ekatas personvernerklæring finner du her.
• Den gjeldende databehandleravtalen for Ekatas produkter finner du her.
• Ekata har en dedikert sikkerhetsside.

Hvis du har flere spørsmål, kan du kontakte kundeansvarlig.

Ekata opprettholder retningslinjer og prosedyrer for håndtering av sikkerhetshendelser, som er beskrevet i den gjeldende sikkerhets-FAQ-en (tilgjengelig her). I punkt 9.1 i DPA-en (tilgjengelig her). Ekata forplikter seg til å varsle kunder uten unødig opphold etter å ha blitt oppmerksom på et brudd på personopplysninger.

Hvis organisasjonen din blir rammet av et sikkerhetsbrudd, vil organisasjonens sikkerhetskontakt(er) bli varslet. Trinn for hvordan du oppretter og vedlikeholder listen over sikkerhetskontakter, er tilgjengelige her.