Дані залишаються у Німеччині.
Натуралізація — це високочутлива адміністративна процедура. Відповідно ми поводимося з даними — з чіткою DSGVO-архітектурою, хостингом виключно у Німеччині та прозорим переліком субпроцесорів.
Хостинг та архітектура.
Уся платформа civitas. працює на серверах у Німеччині. Жодної передачі даних за межі ЄС, жодних субпідрядників зі штаб-квартирою у третіх країнах для ключових даних — і архітектура, спроєктована як мультиклієнтська, щоб кожне відомство і кожен інституційний партнер отримували власний ізольований простір даних.
Шифрування.
Шифрування застосовується як під час передавання, так і під час зберігання. Чутливі дані заяви додатково шифруються на рівні застосунку, тож навіть доступ до бази даних без ключа застосунку не розкриває читабельних персональних даних.
Субпроцесори.
civitas. використовує окремих підрядників для чітко обмежених завдань. Усі субпроцесори договірно пов'язані DSGVO, з AVV за Art. 28 DSGVO. Місцезнаходження прозоро задокументовано — за можливості перевага надається постачальникам зі штаб-квартирою та обробкою даних у ЄС.
Список оновлюється у разі змін. Відомства та інституційні партнери інформуються про істотні зміни у реєстрі субпроцесорів. Повний каталог субпроцесорів є частиною договору AVV.
Обробка за дорученням.
Якщо civitas. обробляє дані для інституційних партнерів (відомства, адвокатські контори, консультаційні пункти), це відбувається виключно на основі договору про обробку за дорученням згідно зі ст. 28 DSGVO. Цей договір автоматично стає частиною ліцензійної угоди та доступний у стандартизованому вигляді.
Договір AVV призначений для інституційних замовників (відомств, адвокатських канцелярій, консультаційних центрів). Для приватних клієнтів, які самі використовують civitas., civitas. є контролером у сенсі ст. 4 № 7 DSGVO — тут діє політика захисту даних, а не AVV.
Права суб'єктів даних.
Заявники та всі інші уражені особи можуть у будь-який час здійснювати свої права за DSGVO стосовно civitas. Ми обробляємо запити у встановлений законом строк один місяць згідно зі ст. 12 абз. 3 DSGVO.
Реагування на інциденти.
Інциденти безпеки обробляються за чітко задокументованим процесом — із визначеними рівнями ескалації, термінами повідомлення та подальшим аналізом причин. У разі порушення захисту персональних даних повідомлення наглядового органу згідно зі ст. 33 DSGVO надсилається протягом 72 годин.
Процес при інцидентах безпеки.
Від виявлення інциденту до відновлення штатної роботи ми дотримуємось стандартизованого процесу. Замовники та зацікавлені особи інформуються якомога раніше — прозоро та зрозуміло.
Комплаєнс.
Чесний стан справ: яких стандартів дотримуються сьогодні, які сертифікації проходять зараз і які заплановано на 2026/2027. Ми комунікуємо це прозоро, без compliance-театру.
Прямий контакт з питань безпеки та Захист даних.
Для повідомлень про безпеку, запитів щодо захисту даних, аудиторських запитів або конкретних питань щодо нашої архітектури. У разі підозри на вразливості безпеки просимо повідомляти конфіденційно — ми підтверджуємо отримання протягом 24 годин.