Centro di fiducia: certificazioni, audit e protezione dei dati
Questo è l'hub di BroadNet per le prove di conformità: le certificazioni, le attestazioni, i controlli sulla gestione dei dati, i subappaltatori e il processo di divulgazione di cui un responsabile acquisti o della sicurezza ha bisogno per approvare un fornitore. I report dettagliati sono protetti da un accordo di non divulgazione (NDA); tutto ciò che un responsabile dovrebbe vedere in anteprima è disponibile qui.
- ISO/IEC 27001:2022 — Sicurezza delle informazioni
- ISO/IEC 27018 — Privacy nel cloud (dati personali)
- ISO 9001 — Gestione della qualità
- ISO 22301 — Continuità operativa
- SOC 2 Tipo II — rapporto soggetto ad accordo di riservatezza
- GDPR — conforme; accordo sul trattamento dei dati (DPA) disponibile
Copie dei certificati e rapporti di audit vengono condivise su richiesta sotto accordo di riservatezza (NDA). a trust@broadnet.me
Cosa può aprire ora un addetto agli acquisti, senza una chiamata di vendita.
I riepiloghi riportati di seguito sono pubblici. I rapporti di audit completi e le copie dei certificati sono soggetti ad accordi di riservatezza e vengono inviati su richiesta.
Accordo sul trattamento dei dati (DPA)
L'accordo standard sul trattamento dei dati, in conformità con le Clausole Contrattuali Standard dell'UE, è incorporato in ogni Contratto Quadro di Servizi (MSA). BroadNet agisce in qualità di responsabile del trattamento, il cliente in qualità di titolare del trattamento.
Leggi l'accordo sul trattamento dei datiElenco dei sottoprocessori
L'elenco attuale dei subappaltatori, con un preavviso di almeno 30 giorni prima dell'ingaggio di uno nuovo.
Visualizza l'elencoQuestionario sulla sicurezza (SIG/CAIQ)
Richiedete il questionario SIG/CAIQ compilato, il riepilogo esecutivo del penetration test e le copie del certificato. Risponderemo entro un giorno lavorativo.
Richiedi il pacchettoDove sono ospitati i dati, per mercato
Dove sono ospitati i dati dei clienti per ciascun mercato e come selezionare una regione.
Vedilo per mercatoControllato dove conteggi.
BroadNet si sottopone a verifiche continue da parte di terzi, conformi a standard riconosciuti a livello internazionale in materia di sicurezza delle informazioni, qualità e continuità operativa. Ogni copia del certificato e del relativo report viene condivisa su richiesta, previo accordo di riservatezza (NDA) reciproco.
| Standard | Ambito di applicazione della certificazione | Emesso da | ciclo di audit | Certificato e certificazione |
|---|---|---|---|---|
| ISO/IEC 27001:2022 | Il sistema di gestione della sicurezza delle informazioni (ISMS) comprende la piattaforma di messaggistica, i prodotti degli operatori, la gestione dei dati dei clienti e le relazioni con i fornitori. | Ente di certificazione accreditato (indicato sul certificato) | Sorveglianza annuale · Ricertificazione triennale | Certificato e dichiarazione di applicabilità ai sensi dell'accordo di riservatezza (NDA). Verifica su IAF CertSearch (cerca «BroadNet») |
| ISO/IEC 27018 | Protezione dei dati personali (PII) nei servizi di messaggistica cloud di BroadNet. ISO/IEC 27018 è il codice di condotta per la privacy nel cloud che estende il sistema di gestione della sicurezza delle informazioni ISO 27001. | Ente di certificazione accreditato (indicato sul certificato) | Valutato secondo la norma ISO 27001 ISMS | Copia del certificato condivisa in base a un accordo di riservatezza (NDA). Verifica su IAF CertSearch (cerca «BroadNet») |
| ISO 9001:2015 | Sistema di gestione della qualità per la progettazione, la fornitura e l'assistenza di prodotti di messaggistica per le telecomunicazioni. | Ente di certificazione accreditato (indicato sul certificato) | Audit di sorveglianza annuale | Copia del certificato condivisa in base a un accordo di riservatezza (NDA). Verifica su IAF CertSearch (cerca «BroadNet») |
| ISO 22301 | Gestione della continuità operativa: risposta agli incidenti, obiettivi di ripristino e scenari di guasto dei fornitori. | Ente di certificazione accreditato (indicato sul certificato) | Audit annuale ·piano di continuità testato ogni anno | Certificato e riepilogo del piano di continuità aziendale ai sensi dell'accordo di riservatezza (NDA). Verifica su IAF CertSearch (cerca «BroadNet») |
| SOC 2 Type II | Criteri dei servizi fiduciari: sicurezza, disponibilità e riservatezza, per un periodo di rendicontazione definito. | Studio di commercialisti indipendente | Periodo di rendicontazione annuale | Rapporto completo soggetto ad accordo di riservatezza (NDA). I rapporti SOC 2 non vengono pubblicati in un registro pubblico. Richiedi il pacchetto |
| GDPR | Regolamento generale sulla protezione dei dati dell'UE (Regolamento (UE) 2016/679): BroadNet tratta i dati personali dei clienti come responsabile del trattamento, in base all'accordo sul trattamento dei dati. | Regolamento UE (conformità, non un certificato) | Obbligo continuativo | Accordo sul trattamento dei dati con le clausole contrattuali tipo dell'UE. Leggi l'accordo sul trattamento dei dati |
In corso: accreditamento GSMA SAS-SM (Subscription Manager) per l'operatività eSIM. Non è ancora stato ottenuto, quindi non è elencato tra le certificazioni possedute.
MobileValidate è gestito da BroadNet ed è coperto dalle certificazioni ISO di BroadNet e dal suo accordo sulla protezione dei dati (DPA).
Verifica: le copie più recenti dei certificati e dei rapporti di audit sono rese disponibili sotto NDA su richiesta a trust@broadnet.meBroadNet è inoltre membro associato della GSMA e membro del Mobile Ecosystem Forum (MEF).
Privacy e settore quadri di riferimento.
Oltre agli standard certificati, BroadNet gestisce i controlli sui propri processori in modo da allinearli alle normative di protezione dei dati e di settore a cui sono soggetti i nostri clienti.
GDPR
Controlli del responsabile del trattamento ai sensi dell'articolo 28, un DPA standard con clausole contrattuali standard UE, minimizzazione dei dati e strumenti per il diritto alla cancellazione ai sensi dell'articolo 17. Instradamento esclusivamente nell'UE su richiesta.
UAE PDPL
Decreto-legge federale n. 45 del 2021: base giuridica, diritti dell'interessato, notifica delle violazioni e controlli sui trasferimenti transfrontalieri.
Saudi PDPL
Consenso, minimizzazione dei dati, restrizioni al trasferimento transfrontaliero e notifica delle violazioni entro 72 ore, in linea con l'applicazione da parte della SDAIA.
HIPAA-aligned
Disponibilità BAA confermata in fase di contrattualizzazione. Template sicuri per PHI, logging limitato, AES-256 a riposo, TLS 1.3 in transito.
SOC 2 Trust Services
Criteri di sicurezza, disponibilità e riservatezza comprovati da un report SOC 2 di tipo II indipendente.
ISO 27001 ISMS
Un sistema di gestione certificato, non un'istantanea di un momento specifico: i controlli vengono verificati e mantenuti in modo continuativo.
All'interno dei corpi che stabilire gli standard.
BroadNet è membro degli organismi di settore che definiscono gli standard di messaggistica, segnalazione e interconnessione a livello mondiale: ciascuno di essi rimanda a una breve spiegazione di ciò che l'adesione comprende.
Membro associato GSMA
Gruppi di lavoro sulla messaggistica, linee guida per la sicurezza della segnalazione e cicli di documentazione sull'interconnessione.
MEF (Forum sull'ecosistema mobile)
Codice di condotta per la messaggistica A2P, migliori pratiche per l'identificazione del mittente e iniziative a tutela dei consumatori.
GLF (ITW Global Leaders' Forum)
Standardizzazione, guidata dagli operatori, delle interconnessioni all'ingrosso, della prevenzione delle frodi e della messaggistica.
Carrier Community
Interconnessione di sistemi di messaggistica all'ingrosso e forum di qualità.
autorità di regolamentazione regionali
Riconosciuto da TDRA (Emirati Arabi Uniti), CST (Arabia Saudita), NTRA (Egitto), TRC (Giordania) e autorità equivalenti nei nostri mercati di riferimento.
GSMA Open Gateway
Conformità agli standard API di rete di livello carrier per messaggistica, frodi e identità.
Tutto ciò che un recensore chiede.
Pagine di dettaglio e informative scaricabili. Gli elementi contrassegnati da NDA vengono condivisi solo dopo la stipula di un accordo di non divulgazione reciproco: per includerli, richiedete il pacchetto di sicurezza.
Report ISO 27001, 9001, 22301 e SOC 2 sotto NDA.
Ambito di applicazione, certificato e dichiarazione di applicabilità del Sistema di Gestione della Sicurezza delle Informazioni (ISMS): spiegazione.
Descrizione e ambito di applicazione del Sistema di Gestione della Qualità.
Gestione della continuità operativa: RTO/RPO e test di simulazione.
Copertura dei Trust Services Criteria; report sotto NDA.
DPA standard con clausole contrattuali standard (SCC) dell'UE, incorporato automaticamente in ogni accordo quadro (MSA).
Subresponsabili del trattamento attuali, con preavviso di 30 giorni sulle modifiche.
Dove risiedono i tuoi dati e come fissare una regione.
Notifica entro 72 ore e divulgazione coordinata.
Come BroadNet gestisce i dati di visitatori, potenziali clienti e utenti finali.
Il contratto, la politica di utilizzo accettabile e la legge applicabile.
Controlli di piattaforma, di account, operativi e di telecomunicazione.
Residenza, mantenimento, crittografia, chiavi.
Modalità di localizzazione, protezione e, infine, distruzione dei dati dei clienti e degli utenti finali. Tutti i dettagli sono riportati nell'Accordo sul trattamento dei dati (DPA) e nella panoramica sulla sicurezza.
| Controllare | Come BroadNet lo implementa |
|---|---|
| Residenza dei dati | Di default, il servizio è ospitato nella regione MENA; sono disponibili anche servizi di hosting in UE, Stati Uniti e Singapore. Su richiesta è possibile il routing solo UE; per i contratti aziendali è prevista la residenza nei Paesi del CCG. |
| Conservazione dei dati | I messaggi vengono conservati per 90 giorni di default, fino a 7 anni per i piani aziendali (configurabile). I dati personali (PII/PHI) vengono rimossi dai log dei webhook per impostazione predefinita nel settore sanitario. |
| Crittografia in transito | TLS 1.3 su tutto il traffico API e webhook. |
| Crittografia dei dati memorizzati | Crittografia AES-256 con derivazione della chiave per singolo tenant per i dati dei clienti a riposo. |
| Gestione delle chiavi crittografiche | Custodia garantita da HSM (livello minimo FIPS 140-2 3 per le chiavi di firma eSIM) secondo procedure documentate di cerimonia delle chiavi. |
| Controllo degli accessi | Controllo degli accessi basato sui ruoli (RBAC), autenticazione a due fattori obbligatoria per gli amministratori e registrazione immutabile di ogni azione che modifica lo stato. |
| Diritto alla cancellazione | Strumenti conformi all'articolo 17 del GDPR esposti tramite API : cancellazione in blocco avviata dal cliente tramite hash del numero di telefono, intervallo di ID messaggio o tenant. |
| trasferimenti transfrontalieri | Clausole contrattuali standard dell'UE (2021) e, ove applicabile, l'accordo internazionale sul trasferimento dei dati del Regno Unito (IDTA); monitoraggio delle decisioni di adeguatezza. |
Dove sono ospitati i dati, per mercato
| Mercato | Dove sono ospitati i dati | Come ottenerlo |
|---|---|---|
| Emirati Arabi Uniti e il più ampio Consiglio di Cooperazione del Golfo | Di default, i servizi sono ospitati nella regione MENA: la maggior parte dei messaggi di produzione viene eseguita su infrastrutture Tier-3 gestite BroadNet nella regione, incluso il data center di Dubai. | Standard. La residenza dei dati del GCC è sancita dagli accordi aziendali. |
| Arabia Saudita | Nel Regno: BroadNet gestisce un data center a Riyadh per mantenere i dati dei clienti degli account KSA residenti, in conformità con la legge saudita sulla protezione dei dati personali (PDPL). | Su richiesta. |
| Unione Europea | Hosting nell'Unione Europea; il traffico UE può essere isolato e indirizzato esclusivamente a percorsi e archivi UE. | Su richiesta. I trasferimenti transfrontalieri di dati sono regolati dalle Clausole Contrattuali Standard dell'UE (2021). |
| Stati Uniti | Hosting negli Stati Uniti. | A seconda del contratto. |
| Singapore | Hosting a Singapore. | A seconda del contratto. |
La politica di residenza dei dati contiene i dettagli e la regione è specificata nel contratto. Leggi l'informativa sulla residenza dei dati
Versioni leggibili da macchina per strumenti di procurement e agenti IA: compliance.json (certificazioni, residenza, trattamento dei dati) · sla.json (uptime, crediti di servizio, obiettivi di supporto)
Un breve elenco, e con un preavviso di 30 giorni.
BroadNet mantiene deliberatamente ridotta la propria infrastruttura di sottoprocessori. La maggior parte dei messaggi di produzione viene eseguita su infrastrutture Tier-3 gestite da BroadNet nella regione MENA; un numero limitato di terze parti si occupa dei carichi di lavoro e degli strumenti operativi al di fuori della regione MENA.
Cosa utilizziamo e perché
- Infrastruttura — Infrastrutture BroadNet Tier-3 MENA (principali); cloud regionale per carichi di lavoro non MENA.
- E-mail transazionale — solo notifiche relative all'account e agli avvisi.
- Pagina di stato — hosting per la comunicazione pubblica degli incidenti.
- Analisi — autogestito; nessun servizio di terze parti o Google Analytics.
Modalità di notifica delle modifiche
I clienti vengono informati almeno 30 giorni prima che venga incaricato un nuovo subappaltatore, dando loro il tempo di esaminare la richiesta o di opporsi prima che vengano elaborati i dati. L'elenco ufficiale e aggiornato è disponibile sulla pagina dedicata ai subappaltatori ed è consultato dall'Autorità Garante per la protezione dei dati (DPA).
Visualizza l'elenco dei sottoprocessori correnti →Con chi stipulate un contratto, su carta.
L'entità del gruppo che gestisce la piattaforma e i documenti normativi che regolano il rapporto.
BroadNet Technologies Sarl
- Fondato
- 2003
- quartier generale
- Dubai, Emirati Arabi Uniti
- Forma legale
- Sarl (società a responsabilità limitata)
- Contratti
- Firmato dalla sede BroadNet che opera nel vostro mercato; il contratto indica l'entità contraente.
- Regolatore
- TDRA (Autorità di regolamentazione delle telecomunicazioni e del governo digitale)
- Orma
- In tutta la regione MENA, oltre a collaborazioni in Africa, Asia, Europa e America Latina.
Divulgazione coordinata, testato regolarmente.
BroadNet esegue regolarmente test di penetrazione da parte di terzi e gestisce un processo coordinato di divulgazione delle vulnerabilità. Segnala qualsiasi falla riscontrata: interveniamo tempestivamente.
Segnala una vulnerabilità
Invia un'e-mail a security@broadnet.me oppure consulta la policy in formato leggibile automaticamente e le lingue preferite al file /.well-known/security.txt.
Test di penetrazione
Test di penetrazione indipendenti eseguiti a cadenza periodica; il riepilogo esecutivo viene condiviso con i valutatori sotto NDA.
Remediation SLA
I problemi di elevata gravità vengono risolti entro uno SLA di 30 giorni; i problemi critici vengono gestiti con priorità immediata.
Domande relative agli appalti, risposto.
Le domande più frequenti poste dai team di sicurezza e approvvigionamento. Tutto ciò che non è trattato qui è incluso nel pacchetto di sicurezza.
Quali certificazioni e attestazioni possiede BroadNet?
BroadNet è certificata ISO/IEC 27001 (sicurezza delle informazioni), ISO/IEC 27018 (protezione dei dati personali nel cloud), ISO 9001 (gestione della qualità) e ISO 22301 (continuità operativa), possiede un report SOC 2 Type II relativo a sicurezza, disponibilità e riservatezza ed è conforme al GDPR (è disponibile un accordo sul trattamento dei dati). L'accreditamento GSMA SAS-SM (Subscription Manager) della sua infrastruttura eSIM è in corso. BroadNet è inoltre membro associato della GSMA e membro del Mobile Ecosystem Forum (MEF).
Posso ottenere i rapporti di audit e i certificati relativi a una revisione degli appalti?
Sì. Le copie dei certificati, la Dichiarazione di Applicabilità ISO 27001, il report SOC 2 Tipo II e l'ultimo riepilogo esecutivo del penetration test vengono condivisi con i clienti aziendali, sia potenziali che attuali, in base a un accordo di non divulgazione (NDA) reciproco. Richiedete il pacchetto di valutazione a trust@broadnet.me e in genere vi risponderemo entro un giorno lavorativo.
È necessario firmare un accordo di protezione dei dati (DPA) e viene fornito un elenco dei sub-responsabili del trattamento?
Un accordo standard sul trattamento dei dati (DPA) che incorpora le clausole contrattuali standard dell'UE è incluso in ogni contratto quadro di servizi: BroadNet agisce in qualità di responsabile del trattamento e il cliente in qualità di titolare del trattamento ai sensi del GDPR. Viene pubblicato un elenco aggiornato dei sub-responsabili del trattamento e i clienti vengono informati almeno 30 giorni prima dell'ingaggio di qualsiasi nuovo sub-responsabile, in modo che possano opporsi.
Dove vengono archiviati i dati dei clienti e possiamo scegliere la regione?
BroadNet supporta l'hosting per clienti residenti in Medio Oriente e Nord Africa (impostazione predefinita), nell'UE, negli Stati Uniti e a Singapore, a seconda del contratto. Su richiesta, i dati dei clienti UE possono essere isolati e archiviati esclusivamente nell'UE, mentre la residenza dei dati nei Paesi del CCG è disponibile per i contratti aziendali. I trasferimenti transfrontalieri sono regolati dalle Condizioni Generali di Contratto (SCC) dell'UE, unitamente agli addendum specifici per ciascuna regione.
Come vengono crittografati i dati e come vengono gestite le chiavi?
Tutto il traffico API e webhook utilizza TLS 1.3 in transito. I dati a riposo sono crittografati con AES-256 utilizzando la derivazione della chiave per tenant. La custodia delle chiavi per la piattaforma di gestione degli abbonamenti eSIM è gestita da HSM conformi almeno al livello 3 dello standard FIPS 140-2, secondo procedure di cerimonia delle chiavi documentate e a doppio controllo.
Per quanto tempo conservi il contenuto dei messaggi?
Il contenuto dei messaggi viene conservato per 90 giorni nei piani tariffari standard e fino a 7 anni nei piani enterprise, periodo configurabile tramite contratto. I dati personali e le informazioni sanitarie protette vengono rimossi dai log dei webhook per impostazione predefinita per i carichi di lavoro in ambito sanitario, e gli strumenti per il diritto alla cancellazione previsto dall'articolo 17 del GDPR sono esposti tramite API per la cancellazione in blocco su richiesta del cliente.
Supportate carichi di lavoro conformi a HIPAA?
BroadNet è conforme a HIPAA. Se si prevede l'invio di PHI, comunicare preventivamente i requisiti HIPAA; la disponibilità del BAA viene confermata in fase di contrattualizzazione. I controlli includono template sicuri per PHI, logging limitato, crittografia AES-256 a riposo e TLS 1.3 in transito. La conformità HIPAA rappresenta un impegno contrattuale e di controllo piuttosto che una certificazione.
Come faccio a segnalare una vulnerabilità di sicurezza?
Per informazioni sulla politica di divulgazione coordinata e sulle lingue preferite, inviare un'e-mail a security@broadnet.me o consultare il file /.well-known/security.txt. BroadNet esegue regolarmente test di penetrazione di terze parti e condivide il riepilogo esecutivo in base a un accordo di non divulgazione (NDA); le vulnerabilità più gravi vengono risolte entro 30 giorni (SLA).
Ho bisogno del pacchetto di sicurezza.
Per la revisione degli appalti?
Entro un giorno lavorativo, previo NDA, invieremo copie dei certificati, il report SOC 2, la sintesi del penetration test, il questionario di sicurezza compilato (SIG/CAIQ), il modello di DPA e l'elenco dei sub-responsabili del trattamento.