1. Hatály és fogalommeghatározások
Biztonsági incidens minden olyan esemény, amely ténylegesen veszélyezteti, vagy hitelesen és lényegesen veszélyeztetheti a DIRI AI rendszereinek vagy adatainak bizalmasságát, sértetlenségét vagy rendelkezésre állását. Adatvédelmi incidens a személyes adatok véletlen vagy jogellenes megsemmisítése, elvesztése, megváltoztatása, jogosulatlan közlése, illetve azokhoz való jogosulatlan hozzáférés, amennyiben megerősítést nyert.
A blokkolt vizsgálatok, a sikertelen bejelentkezési kísérletek és az ártalmatlan rendelkezésre állási riasztások nem minősülnek automatikusan adatvédelmi incidensnek, de továbbra is vizsgálhatók.
2. Bejelentés
Az ügyfeleknek és a kutatóknak a feltételezett incidenseket a security@diriai.com címre kell jelenteniük. Az adatvédelmi kérelmek vagy a személyes adatok feltételezett kitettsége a privacy@diriai.com címre is elküldhető. A kezdeti üzenetnek tartalmaznia kell az időpontot, az érintett fiókot vagy útvonalat, a megfigyelt viselkedést és a biztonságos reprodukáláshoz szükséges részleteket, de nem tartalmazhat jelszavakat, teljes kártyaadatokat vagy szükségtelenül kitett tartalmat.
3. Súlyosság és válaszintézkedés
A DIRI AI az eseményt az adatok érzékenysége, az érintett személyek száma és kiszolgáltatottsága, a bérlői határokra gyakorolt hatás, a jogosultságok, az aktív kihasználás, a rendelkezésre állás, valamint a jogi és szerződéses kötelezettségek alapján minősíti.
| Súlyosság | Példa | Válaszintézkedési prioritás |
|---|---|---|
| Kritikus | megerősített bérlők közötti adatkiszivárgás, privilegizált átvétel, aktív romboló kompromittálás | azonnali eszkaláció a felelősnek, megfékezés, valamint jogi és adatvédelmi értékelés |
| Magas | valószínű jogosulatlan hozzáférés az Ügyfél személyes adataihoz vagy a szolgáltatás sértetlenségének súlyos hibája | sürgős megfékezés és aznapi értékelés |
| Közepes | korlátozott, megerősített hatás érzékeny adatok nélkül, vagy kontrollált sebezhetőség | elsőbbséggel kezelt vizsgálat és kijavítás |
| Alacsony | blokkolt kísérlet, kisebb gyengeség vagy megerősített kompromittálás hiánya | normál biztonsági sor és trendek felülvizsgálata |
Ezek belső prioritások, nem garantált megoldási idők.
4. A válaszintézkedés folyamata
Az incidens felelőse arányosan:
- rögzíti és érvényesíti a bejelentést;
- korlátozott hozzáférés mellett megőrzi az időbélyegeket, naplókat és egyéb bizonyítékokat;
- megfékezi az érintett hitelesítő adatokat, útvonalakat, szolgáltatókat vagy adatfolyamokat;
- meghatározza az érintett adatokat, ügyfeleket, személyeket, országokat és az időszakot;
- az adatvédelmi és jogi felelőssel együtt értékeli az értesítési kötelezettségeket;
- megszünteti az okot, biztonságosan helyreállítja a szolgáltatást és figyeli az ismétlődést;
- megadja a szükséges frissítéseket; és
- dokumentálja a kiváltó okot, a tanulságokat és a korrekciós intézkedéseket.
5. Az ügyfél értesítése, ha a DIRI AI adatfeldolgozó
Az Ügyfél személyes adatai tekintetében a DIRI AI indokolatlan késedelem nélkül értesíti az érintett szervezeti ügyfelet, miután tudomást szerzett az adatvédelmi incidensről. A működési célérték a kezdeti értesítés 48 órán belül, ha ez észszerűen lehetséges. Az információk szakaszosan is megadhatók, és – amint rendelkezésre állnak – tartalmazzák a jelleget, a valószínű következményeket, az érintett adatokat és személyeket, az enyhítő intézkedéseket és a kapcsolattartót.
Az ügyfél továbbra is maga felel a felügyeleti hatósággal és az érintettekkel kapcsolatos döntéseiért, kivéve, ha a DIRI AI-t külön jogszabályi kötelezettség terheli. A 48 órás célérték nem késlelteti a korábbi értesítést, és működési cél, nem garantált szerződéses határidő.
6. Értesítések, ha a DIRI AI adatkezelő
Ha a DIRI AI adatkezelő, minden adatvédelmi incidenst dokumentál, és értékeli a személyekre gyakorolt kockázatot. Ha a GDPR a felügyeleti hatóság értesítését írja elő, a DIRI AI indokolatlan késedelem nélkül, és ha lehetséges, a tudomásszerzéstől számított 72 órán belül értesíti az illetékes hatóságot, az esetleges késedelmet megindokolva. Ha az incidens valószínűleg magas kockázattal jár, az érintett személyeket indokolatlan késedelem nélkül tájékoztatni kell, kivéve, ha jogszerű kivétel alkalmazandó.
Más támogatott területek eltérő tartalmat vagy rövidebb határidőket írhatnak elő; a legkorábbi alkalmazandó határidő az irányadó.
7. Szolgáltatásállapotról szóló tájékoztatás
A jelentős rendelkezésre állási incidensekről alkalmazáson belüli értesítés, ellenőrzött állapotcsatorna vagy e-mail útján lehet tájékoztatni. A nyilvános közlemény nem tehet közzé kihasználható részleteket, más ügyfél adatait vagy ellenőrizetlen okot. A biztonsági és adatvédelmi értesítési kötelezettségek nem függnek attól, hogy van-e nyilvános állapotoldal.
8. Frissítések és incidens utáni felülvizsgálat
A jelentős, bejelentett incidens esetén a DIRI AI-nak a megfékezésig lényeges frissítéseket, és – ha ez észszerűen biztonságos – lezáró összefoglalót kell adnia. Az üzleti incidens utáni jelentés leírhatja az idővonalat, a hatást, a kiváltó okot és a korrekciós intézkedéseket, a biztonság, a kiváltságok, a titoktartás és a jog korlátai között. Egyetlen értesítés sem jelent felelősség elismerését.
9. Bizonyítékok és megőrzés
Az incidens bizonyítékaihoz korlátozott a hozzáférés, és kizárólag a válaszintézkedéshez, a jogi kötelezettségekhez, a követelésekhez és a kontrollok fejlesztéséhez őrizzük meg őket. Az alapértelmezett idő az ügy időtartama plusz öt év, amelyet a súlyosság, az elévülési idők, a hatósági utasítások és a jogi zárolások szerint kell módosítani. Az ügyhöz nem tartozó személyes adatokat el kell távolítani vagy minimalizálni kell.
10. Kapcsolat és verzió
Biztonsági kapcsolattartó: security@diriai.com. Adatvédelmi kapcsolattartó: privacy@diriai.com. Verzió: 1.2.0. Dátum: 2026. augusztus 30.