Securitatea informațiilor
Certificat ISO/IEC 27001:2022
Certificată din 2019, în prezent în al treilea ciclu de certificare, de un organism de certificare din Regatul Unit acreditat de UKAS. Certificatul este publicat mai jos integral — vă rugăm să-l verificați.
- Standard: ISO/IEC 27001:2022
- Certificator acreditat UKAS
- Deținută continuu din 2019
Certificatul, în detaliu
Tot ce se află pe această pagină este preluat din certificatul însuși, astfel încât poate fi verificat față de copia de mai jos sau direct la organismul de certificare.
| Câmp | Valoare |
|---|---|
| Organizație certificată | Wise Technologies Ltd., Cesta 24. junija 23, 1231 Ljubljana, Slovenia |
| Standard | ISO/IEC 27001:2022 — revizia curentă a standardului |
| Domeniu de aplicare | Proiectarea, dezvoltarea, implementarea și întreținerea soluțiilor software |
| Declarația de aplicabilitate | Versiunea 3.0, din 1 decembrie 2024 |
| Numărul certificatului | 202124/A/0001/UK/En |
| Organism de certificare | URS — United Registrar of Systems (Holdings) Ltd., United House, 28 Poole Hill, Bournemouth BH2 5PS, Regatul Unit |
| Acreditare | UKAS Management Systems, număr de acreditare 0043; URS este membru al IAF Multilateral Recognition Arrangement |
| Emis inițial | 28 martie 2019 |
| Ciclul curent emis | 28 martie 2025 (ediția 3, ciclul 3) |
| Valabil până la | 27 martie 2028 |
De ce contează acreditarea mai mult decât ecusonul
Oricine poate tipări un certificat. Întrebarea pe care ar trebui să o pună un birou de achiziții este cine a acreditat organismul care l-a emis.
Al nostru a fost emis de URS, un organism de certificare cu sediul în Bournemouth, Regatul Unit, acreditat de UKAS — United Kingdom Accreditation Service, organismul național de acreditare recunoscut de guvernul britanic. Numărul de acreditare UKAS 0043 apare pe certificatul însuși.
URS este, de asemenea, membru al IAF Multilateral Recognition Arrangement, ceea ce face ca certificatul să însemne același lucru pentru o universitate din Riyadh, Kuala Lumpur sau Dublin ca la Londra. Un certificat neacreditat nu are nimic din toate acestea.
Merită verificat și ce versiune a standardului deține un furnizor. A noastră este ISO/IEC 27001:2022, revizia curentă. Certificate față de ediția 2013, înlocuită, sunt încă în circulație.
- Emis de un organism de certificare din Regatul Unit, nu de un registrator neacreditat
- Acreditat UKAS, număr de acreditare 0043
- Membru al IAF Multilateral Recognition Arrangement, deci recunoscut la nivel internațional
- Certificat față de ISO/IEC 27001:2022, nu față de ediția 2013, înlocuită
- Deținut continuu din martie 2019, de-a lungul a trei cicluri de certificare
- Domeniul de aplicare cuprinde explicit proiectarea, dezvoltarea, implementarea și întreținerea software-ului — produsul în sine, nu doar un birou
La ce ne angajează de fapt certificarea
ISO/IEC 27001 nu este o funcție de produs și nu o vom prezenta ca atare. Certifică un sistem de management: o abordare structurată, bazată pe risc, a securității informațiilor, care acoperă oamenii, procesele și tehnologia, auditată de un organism extern, pe un ciclu recurent, nu afirmată o singură dată.
În practică, pentru o instituție care ne evaluează, înseamnă că există o Declarație de aplicabilitate documentată, că riscurile sunt evaluate și tratate pe un ciclu definit, că accesul și modificările sunt controlate și că un auditor independent verifică totul față de un standard publicat.
- Criptarea informațiilor sensibile în stocare și în tranzit
- Copii de siguranță periodice, cu restaurări testate, nu presupuse
- Controale stricte de acces, care limitează expunerea la ce cere un rol
- Răspuns la incidente și management al modificărilor documentate
- Audituri anuale de supraveghere, cu recertificare completă la fiecare trei ani
Datele personale și legea care le guvernează
Un orar nu este un set abstract de date. Spune unde se află un student anume marți la ora nouă și ce cadru didactic este cu el. Acestea sunt date personale și, în unele combinații, sensibile.
Avem sediul în Slovenia, în Uniunea Europeană, deci Regulamentul general privind protecția datelor ni se aplică direct, nu ca o obligație de export pe care am ales să o respectăm. Conformitatea GDPR este inclusă în ceea ce cumpărați; nu este un modul cu plată și nu există un nivel separat de conformitate.
În limbajul regulamentului, instituția dumneavoastră este operatorul de date, iar Wise Technologies este persoana împuternicită de operator. Distincția contează: datele rămân ale dumneavoastră, le prelucrăm doar pe baza instrucțiunilor dumneavoastră documentate și nu le refolosim în alte scopuri. Nu vindem și nu închiriem date personale, nu folosim datele instituției dumneavoastră pentru a antrena nimic și nu le exploatăm pentru analizele noastre.
Încercăm, de asemenea, să deținem mai puține date de la bun început. Un sistem de orare nu are nevoie de adresa de domiciliu a unui student, iar solicitarea unor câmpuri pe care nu le vom folosi niciodată ar fi o răspundere pentru amândoi. Acolo unde o instituție ne poate trimite identificatori de grupă în loc de persoane nominalizate, preferăm să o facă.
- Este disponibil un Acord de prelucrare a datelor, iar noi îl vom semna pe al dumneavoastră dacă preferați formularea proprie
- Datele personale nu sunt transferate în afara Spațiului Economic European decât dacă există garanții adecvate, precum Clauzele contractuale standard ale UE
- Sub-persoanele împuternicite sunt limitate, comunicate la cerere și legate de obligații echivalente
- Drepturile persoanelor vizate — acces, rectificare, ștergere, restricționare, portabilitate, opoziție — sunt susținute, iar noi vă ajutăm să răspundeți solicitărilor în calitate de persoană împuternicită
- Păstrarea este definită, nu nelimitată: datele contului pe durata abonamentului, datele de planificare importate cât timp folosiți serviciul
- Obligațiile de notificare a încălcărilor sunt contractuale, nu discreționare
- Implementare locală completă acolo unde politica sau legislația națională cere ca datele să nu părăsească niciodată rețeaua dumneavoastră
Dincolo de GDPR
Instituțiile din afara Uniunii Europene au propriile obligații, iar noi preferăm să le discutăm din timp, nu să le descoperim târziu. Instituțiile din Golf lucrează tot mai mult sub legi naționale de protecție a datelor, cu cerințe de rezidență; instituțiile din Statele Unite invocă FERPA; mai mulți dintre clienții noștri răspund și în fața autorităților de reglementare din sector.
Nu pretindem o certificare generală față de toate regimurile, pentru că o astfel de afirmație nu ar fi cinstită. Ce putem spune este că opțiunea de instalare locală satisface integral cerințele de rezidență, că termenii noștri contractuali pot fi adaptați și că vă vom spune deschis dacă ceva de care aveți nevoie depășește ce ne putem angaja.
Citiți Politica de confidențialitate pentru modul detaliat în care tratăm datele personale și Termenii și condițiile pentru poziția contractuală.
Certificatul
Reprodus integral. PDF-ul semnat este legat mai sus și mai jos.
Unde se află datele dumneavoastră rămâne decizia dumneavoastră
Certificarea guvernează modul în care lucrăm; nu vă obligă să găzduiți nimic la noi. Găzduirea în cloud rulează pe AWS, cu copii de siguranță zilnice și infrastructură distribuită regional, iar instalarea locală completă este o alternativă acceptată, cu funcționalitate, suport și condiții de actualizare identice.
Pentru instituțiile din jurisdicții cu reguli de rezidență a datelor, instalarea locală păstrează fiecare înregistrare în propria rețea. Mai multe despre găzduire și implementare.
Întrebările pe care le pun achizițiile
Veți completa chestionarul nostru de securitate a informațiilor?
Da, și suntem obișnuiți. Trimiteți-l împreună cu termenul dumneavoastră și îl vom returna; preferăm să răspundem la patruzeci de întrebări înainte de un contract decât să descoperim o neconcordanță după el.
Dacă aveți nevoie de certificat, de referința Declarației de aplicabilitate sau de confirmare direct de la organismul de certificare, cereți și vom aranja.
Putem verifica independent certificatul?
Vă rugăm să o faceți. Numărul certificatului este 202124/A/0001/UK/En, iar organismul emitent este URS — United Registrar of Systems (Holdings) Ltd., Bournemouth, Regatul Unit. URS publică pe certificatul însuși datele de contact pentru verificări de autenticitate.
UKAS ține, de asemenea, un registru public al organismelor pe care le acreditează, unde URS apare sub numărul de acreditare 0043.
Este domeniul de aplicare suficient de larg pentru a acoperi software-ul pe care l-am cumpăra?
Da. Domeniul certificat este „Proiectarea, dezvoltarea, implementarea și întreținerea soluțiilor software”, care acoperă modul în care Wise Timetable este construit, implementat și susținut — nu doar modul în care este condus biroul nostru. Domeniile înguste, limitate la un sediu central, sunt un lucru frecvent de verificat și merită verificat la fiecare furnizor.
Ce se întâmplă dacă trebuie să păstrăm datele în țara noastră?
Instalăm integral pe infrastructura dumneavoastră. Este o opțiune standard de implementare, cu aceeași funcționalitate, același suport și aceleași condiții de actualizare ca găzduirea în cloud, nu o excepție făcută cu reticență.
Derulați o evaluare de securitate?
Trimiteți-ne chestionarul și termenul. Îl vom completa corespunzător și vă vom spune deschis despre orice nu putem îndeplini.