Центр доверия: сертификация, аудит и защита данных
Это центр подтверждения соответствия требованиям BroadNet — сертификаты, подтверждения, средства контроля обработки данных, субподрядчики и процесс раскрытия информации, необходимые специалисту по закупкам или проверке безопасности для одобрения поставщика. Подробные отчеты доступны только по соглашению о неразглашении; все, что специалист по проверке должен увидеть в первую очередь, находится здесь.
- ISO/IEC 27001:2022 — Информационная безопасность
- ISO/IEC 27018 — Конфиденциальность в облачных сервисах (персональные данные)
- ISO 9001 — Управление качеством
- ISO 22301 — Обеспечение непрерывности бизнеса
- Отчет SOC 2 типа II — в рамках соглашения о неразглашении
- GDPR — соответствие; соглашение об обработке данных (DPA) доступно
Копии сертификатов и аудиторские отчеты предоставляются по запросу в соответствии с соглашением о неразглашении. для trust@broadnet.me
Что специалист по закупкам может открыть уже сейчас, без звонка в отдел продаж.
Приведенные ниже краткие обзоры являются общедоступными. Полные аудиторские отчеты и копии сертификатов остаются в рамках соглашения о неразглашении и высылаются по запросу.
Соглашение об обработке данных (DPA)
Стандартное соглашение об обработке данных с использованием стандартных договорных положений ЕС включено в каждое соглашение об оказании услуг. BroadNet выступает в качестве обработчика данных, а клиент — в качестве контроллера.
Ознакомьтесь с Соглашением об обработке данныхсписок субпроцессоров
Текущий список субподрядчиков, с уведомлением не менее чем за 30 дней до начала сотрудничества с новым.
Посмотреть списокАнкета безопасности (SIG/CAIQ)
Запросите заполненную анкету SIG/CAIQ, краткое изложение результатов тестирования на проникновение и копии сертификатов. Мы ответим в течение одного рабочего дня.
Запросить пакетГде размещаются данные, по рынкам
Где хранятся данные о клиентах для каждого рынка и как закрепить регион.
Посмотрите на это с точки зрения рынкаПроверяется там, где это подсчеты.
Компания BroadNet постоянно проводит независимые аудиты на соответствие международно признанным стандартам информационной безопасности, качества и непрерывности бизнеса. Каждая копия сертификата и отчет предоставляются по запросу в рамках взаимного соглашения о неразглашении.
| Стандарт | Область применения сертификации | Выдан | Цикл аудита | Сертификат и проверка |
|---|---|---|---|---|
| ISO/IEC 27001:2022 | Система управления информационной безопасностью (ISMS) охватывает платформу обмена сообщениями, продукты операторов связи, обработку данных клиентов и отношения с поставщиками. | Аккредитованный орган по сертификации (указан в сертификате) | Ежегодный надзор · Повторная сертификация каждые 3 года | Сертификат и заявление о соответствии требованиям соглашения о неразглашении. Проверить в IAF CertSearch (ищите «BroadNet») |
| ISO/IEC 27018 | Защита персональных данных (PII) в облачных сервисах обмена сообщениями BroadNet. ISO/IEC 27018 — это свод правил по обеспечению конфиденциальности в облачных средах, расширяющий систему управления информационной безопасностью ISO 27001. | Аккредитованный орган по сертификации (указан в сертификате) | Прошла оценку в соответствии со стандартом ISO 27001 ISMS. | Копия сертификата предоставлена в соответствии с соглашением о неразглашении. Проверить в IAF CertSearch (ищите «BroadNet») |
| ISO 9001:2015 | Система управления качеством для проектирования, поставки и поддержки телекоммуникационных продуктов обмена сообщениями. | Аккредитованный орган по сертификации (указан в сертификате) | Ежегодный надзорный аудит | Копия сертификата предоставлена в соответствии с соглашением о неразглашении. Проверить в IAF CertSearch (ищите «BroadNet») |
| ISO 22301 | Управление непрерывностью бизнеса — реагирование на инциденты, цели восстановления и сценарии отказа поставщиков. | Аккредитованный орган по сертификации (указан в сертификате) | Ежегодный аудит · план обеспечения непрерывности деятельности проверяется каждый год | Сертификат и краткое изложение плана обеспечения непрерывности деятельности в рамках соглашения о неразглашении. Проверить в IAF CertSearch (ищите «BroadNet») |
| SOC 2 Type II | Критерии предоставления доверительных услуг: безопасность, доступность и конфиденциальность в течение определенного отчетного периода. | Независимая аудиторская фирма | Годовой отчетный период | Полный отчёт предоставляется по соглашению о неразглашении (NDA). Отчёты SOC 2 не публикуются в открытом реестре. Запросить пакет |
| GDPR | Общий регламент ЕС по защите данных (Регламент (ЕС) 2016/679): BroadNet обрабатывает персональные данные клиентов в качестве обработчика на основании соглашения об обработке данных. | Регламент ЕС (соответствие, а не сертификат) | Постоянное обязательство | Соглашение об обработке данных со стандартными договорными условиями ЕС. Ознакомьтесь с Соглашением об обработке данных |
В процессе: аккредитация GSMA SAS-SM (Subscription Manager) для эксплуатации eSIM. Она ещё не получена, поэтому не указана среди действующих сертификатов.
MobileValidate управляется BroadNet и подпадает под действие сертификатов ISO компании BroadNet и её соглашения о защите данных (DPA).
Проверка: копии последних сертификатов и аудиторские отчеты предоставляются по запросу в соответствии с соглашением о неразглашении. trust@broadnet.meКомпания BroadNet также является ассоциированным членом GSMA и членом Mobile Ecosystem Forum (MEF).
Конфиденциальность и отраслевая позиция фреймворки.
Помимо сертифицированных стандартов, BroadNet применяет механизмы контроля обработки данных в соответствии с режимами защиты данных и отраслевыми нормами, которым должны соответствовать наши клиенты.
GDPR
Меры контроля для обработчика по статье 28, стандартное DPA со стандартными договорными положениями ЕС (SCC), минимизация данных и инструменты реализации права на удаление по статье 17. Маршрутизация только в пределах ЕС — по запросу.
UAE PDPL
Федеральный декрет-закон № 45 от 2021 года: законные основания, права субъектов данных, уведомление о нарушении и контроль за трансграничной передачей данных.
Saudi PDPL
Согласие, минимизация данных, ограничения на трансграничную передачу и уведомление об утечке в течение 72 часов — в соответствии с правоприменительной практикой SDAIA.
HIPAA-aligned
Наличие BAA подтверждается при заключении договора. Шаблоны, безопасные для PHI, ограниченное ведение журналов, AES-256 при хранении, TLS 1.3 при передаче.
SOC 2 Trust Services
Критерии безопасности, доступности и конфиденциальности подтверждены независимым отчетом SOC 2 типа II.
ISO 27001 ISMS
Сертифицированная система управления, а не снимок ситуации на определенный момент времени — механизмы контроля проверяются и поддерживаются непрерывно.
Внутри тел, которые установить стандарты.
BroadNet является членом отраслевых организаций, определяющих стандарты обмена сообщениями, сигнализации и межсетевого взаимодействия по всему миру — каждая из них содержит краткую информацию о том, что включает в себя членство.
Ассоциированный ассоциированный член GSMA
рабочие группы по обмену сообщениями, руководства по безопасности сигнализации и циклы подготовки документации по межсоединениям.
MEF (Форум мобильных экосистем)
Кодекс поведения в сфере A2P-сообщений, лучшие практики идентификации отправителя и инициативы по защите прав потребителей.
GLF (Глобальный форум лидеров ITW)
Стандартизация оптовых межсетевых соединений, предотвращения мошенничества и обмена сообщениями, инициированная операторами связи.
Carrier Community
Форумы по обмену сообщениями в оптовом режиме и обеспечению качества.
Региональные регулирующие органы
Признано Управлением по регулированию лекарственных средств и медикаментов (ОАЭ), Комиссией по контролю за лекарственными средствами (Саудовская Аравия), Управлением по регулированию лекарственных средств (Египет), Комиссией по установлению истины и примирению (Иордания) и аналогичными органами на рынках, через которые осуществляется наша деятельность.
GSMA Open Gateway
Соответствие стандартам API операторского класса для обмена сообщениями, предотвращения мошенничества и идентификации.
Всё, что пишет рецензент запрашивает.
Подробные страницы и загружаемые политики. Материалы, помеченные как «Соглашение о неразглашении», предоставляются после заключения взаимного соглашения о неразглашении — объедините их, запросив пакет безопасности.
Отчеты по стандартам ISO 27001, 9001, 22301 и SOC 2 предоставляются в соответствии с NDA.
Пояснение к области применения, сертификату и Положению о применимости (SoA) системы управления информационной безопасностью (СУИБ).
Система управления качеством: объяснение и область применения.
Управление непрерывностью бизнеса — RTO/RPO и штабные учения (tabletop).
Охват Trust Services Criteria; отчёт предоставляется по NDA.
Стандартное DPA со стандартными договорными положениями ЕС (SCC), автоматически включаемое в каждое рамочное соглашение (MSA).
Текущие субобработчики с уведомлением об изменениях за 30 дней.
Где хранятся ваши данные и как закрепить регион.
Уведомление в течение 72 часов и скоординированное раскрытие информации.
Как BroadNet обрабатывает данные о посетителях, потенциальных клиентах и конечных пользователях.
Договор, правила допустимого использования и применимое право.
Контроль над платформой, учетными записями, операционным процессом и телекоммуникациями.
Резидентура, удержание, шифрование, ключи.
Как осуществляется поиск, защита и последующее уничтожение данных клиентов и конечных пользователей. Подробная информация содержится в Соглашении об обработке данных и обзоре безопасности.
| Контроль | Как BroadNet это реализует |
|---|---|
| размещение данных | По умолчанию размещение осуществляется в регионе MENA; размещение в ЕС, США и Сингапуре также доступно. Маршрутизация только в ЕС по запросу; размещение в странах Персидского залива по корпоративным контрактам. |
| Сохранение данных | Срок хранения сообщений — 90 дней (стандартный), до 7 лет на корпоративных уровнях (настраиваемый). Персональные данные/защитная информация удаляются из журналов веб-перехватчиков по умолчанию для медицинских учреждений. |
| Шифрование при передаче | TLS 1.3 используется для всего трафика API и веб-хуков. |
| Шифрование хранимых данных | AES-256 с генерацией ключа для каждого арендатора для данных клиентов в состоянии покоя. |
| Управление криптографическими ключами | Хранение данных с использованием HSM (минимум 3-й уровень FIPS 140-2 для ключей подписи eSIM) в соответствии с документированными процедурами проведения церемонии передачи ключей. |
| контроль доступа | Управление доступом на основе ролей (RBAC), обязательная двухфакторная аутентификация для администраторов и неизменяемое журналирование всех действий по изменению состояния. |
| Право на удаление | Инструменты, соответствующие статье 17 GDPR и доступные через API, позволяют инициировать массовое удаление данных клиентом по хешу номера телефона, диапазону идентификаторов сообщений или арендатору. |
| Трансграничные переводы | Стандартные договорные положения ЕС (2021 г.) плюс, где это применимо, Соглашение Великобритании о международной передаче данных (IDTA); решения о достаточности отслеживаются. |
Где размещаются данные, по рынкам
| Рынок | Где размещаются данные | Как вы это получите |
|---|---|---|
| ОАЭ и страны Персидского залива в целом | По умолчанию система размещена в регионе MENA: большая часть обмена сообщениями в производственной среде работает на серверах Tier-3, управляемых BroadNet, в регионе, включая центр обработки данных в Дубае. | По умолчанию. Хранение данных в странах ССАГПЗ закрепляется в корпоративных договорах. |
| Саудовская Аравия | Внутри Королевства: BroadNet управляет центром обработки данных в Эр-Рияде для хранения клиентских данных по счетам в Саудовской Аравии в соответствии с Саудовским соглашением о защите персональных данных (PDPL). | По запросу. |
| Евросоюз | Размещение данных в Европейском Союзе; трафик из ЕС может быть ограничен маршрутами и хранилищами только на территории ЕС. | По запросу. Трансграничная передача данных регулируется Стандартными договорными положениями ЕС (2021). |
| Соединенные Штаты | Хостинг в Соединенных Штатах. | В зависимости от условий контракта. |
| Сингапур | Хостинг в Сингапуре. | В зависимости от условий контракта. |
Подробную информацию о политике размещения данных содержит политика, а регион указан в вашем договоре. Ознакомьтесь с политикой размещения данных
Машиночитаемые версии для систем закупок и ИИ-агентов: compliance.json (сертификаты, размещение и обработка данных) · sla.json (доступность, сервисные кредиты, цели поддержки)
Краткий список, и уведомление за 30 дней.
Компания BroadNet намеренно ограничивает использование своих субпроцессоров. Большая часть производственной обработки сообщений осуществляется на собственных серверах Tier-3, расположенных в регионе MENA; ограниченный круг сторонних организаций поддерживает рабочие нагрузки и операционные инструменты за пределами региона MENA.
Что мы используем и почему
- Инфраструктура — Базовые ресурсы BroadNet Tier-3 MENA (основные); региональное облако для рабочих нагрузок за пределами региона MENA.
- Транзакционное электронное письмо — Только уведомления об учетной записи и оповещения.
- Страница состояния — Размещение общедоступной информации об инцидентах.
- Аналитика — Самостоятельное размещение; без сторонних сервисов или Google Analytics.
Как уведомляются об изменениях
Клиенты уведомляются как минимум за 30 дней до начала работы с любым новым субподрядчиком, что дает им время на рассмотрение или возражение до начала обработки каких-либо данных. Авторитетный, актуальный список поддерживается на странице субподрядчика и используется в качестве ссылки в соглашении об обработке данных.
Просмотреть текущий список субпроцессоров →С кем вы заключаете договор, на бумаге.
Юридическое лицо группы, стоящее за платформой, и нормативные документы, регулирующие эти отношения.
BroadNet Technologies Sarl
- Основан
- 2003
- Штаб-квартира
- Дубай, Объединенные Арабские Эмираты
- Правовая форма
- Sarl (общество с ограниченной ответственностью)
- Заключение договоров
- Договор подписывает филиал BroadNet, обслуживающий ваш рынок; сторона договора указана в самом соглашении.
- Регулятор
- TDRA (Управление по регулированию телекоммуникаций и цифрового правительства)
- След
- Весь регион Ближнего Востока и Северной Африки, а также партнерские отношения в Африке, Азии, Европе и Латинской Америке.
Скоординированное раскрытие информации, регулярно тестируется.
Компания BroadNet регулярно проводит независимые тесты на проникновение и использует скоординированный процесс раскрытия уязвимостей. Сообщайте обо всем, что обнаружите — мы реагируем оперативно.
Сообщить об уязвимости
Отправьте электронное письмо по адресу security@broadnet.me или ознакомьтесь с политикой безопасности в машиночитаемом формате и предпочтительными языками по адресу /.well-known/security.txt.
Тестирование на проникновение
Проводятся независимые тесты на проникновение с определенной периодичностью; краткое изложение результатов предоставляется экспертам в соответствии с NDA.
Remediation SLA
Проблемы высокой степени серьёзности устраняются в течение 30 дней по SLA; критические проблемы получают приоритет незамедлительно.
Вопросы закупок, ответили.
Наиболее часто задаваемые вопросы от групп безопасности и закупок. Все, что здесь не рассмотрено, входит в пакет мер безопасности.
Какими сертификатами и подтверждениями обладает компания BroadNet?
BroadNet имеет сертификаты ISO/IEC 27001 (информационная безопасность), ISO/IEC 27018 (защита персональных данных в облаке), ISO 9001 (управление качеством) и ISO 22301 (обеспечение непрерывности бизнеса), отчет SOC 2 Type II, охватывающий безопасность, доступность и конфиденциальность, и соблюдает требования GDPR (доступно соглашение об обработке данных). Аккредитация GSMA SAS-SM (Subscription Manager) для инфраструктуры eSIM находится в процессе. BroadNet также является ассоциированным членом GSMA и членом Mobile Ecosystem Forum (MEF).
Могу ли я получить аудиторские отчеты и сертификаты по результатам проверки закупок?
Да. Копии сертификатов, заявление о применимости ISO 27001, отчет SOC 2 Type II и последний отчет о результатах тестирования на проникновение предоставляются потенциальным и действующим корпоративным клиентам в рамках взаимного соглашения о неразглашении. Запросите пакет документов для оценки, отправив запрос по адресу trust@broadnet.me, и мы, как правило, ответим в течение одного рабочего дня.
Подписываете ли вы соглашение об отсрочке судебного преследования (DPA), и есть ли список субподрядчиков?
В каждый генеральный договор на оказание услуг включается стандартное соглашение об обработке данных (DPA), включающее стандартные договорные положения ЕС — BroadNet выступает в качестве обработчика данных, а клиент — в качестве контроллера данных в соответствии с GDPR. Опубликован актуальный список субподрядчиков, и клиенты уведомляются не менее чем за 30 дней до начала работы с новым субподрядчиком, чтобы иметь возможность выразить свое несогласие.
Где хранятся данные клиентов, и можем ли мы выбрать регион?
В зависимости от условий договора, BroadNet поддерживает размещение данных для клиентов из стран Ближнего Востока и Северной Африки (по умолчанию), ЕС, США и Сингапура. По запросу данные клиентов из ЕС могут быть выделены для размещения только в пределах ЕС, а размещение данных в странах Персидского залива доступно в рамках корпоративных соглашений. Трансграничные передачи регулируются стандартными договорными положениями ЕС (SCC) и соответствующими региональными дополнениями.
Как происходит шифрование данных и как управляются ключи?
Весь трафик API и веб-хуков использует протокол TLS 1.3 при передаче. Данные в состоянии покоя шифруются с помощью AES-256 с использованием генерации ключей для каждого клиента. Хранение ключей для платформы управления подписками eSIM осуществляется в аппаратных модулях безопасности (HSM), соответствующих как минимум уровню 3 стандарта FIPS 140-2, в соответствии с документированными процедурами проведения церемонии ключей с двойным контролем.
Как долго вы сохраняете содержимое сообщений?
Содержимое сообщений хранится в течение 90 дней на стандартных уровнях и до 7 лет на корпоративных уровнях, что может быть настроено по договору. Персональные данные и медицинская информация по умолчанию удаляются из журналов веб-хуков для медицинских учреждений, а инструменты, обеспечивающие право на удаление данных в соответствии со статьей 17 GDPR, предоставляются через API для массового удаления данных по инициативе клиента.
Вы поддерживаете рабочие нагрузки, соответствующие требованиям HIPAA?
BroadNet соответствует стандартам HIPAA. Если вы планируете передавать PHI, сначала сообщите нам о ваших требованиях к HIPAA; наличие BAA подтверждается на этапе заключения договора. Меры контроля включают шаблоны, безопасные для PHI, ограниченное ведение журналов, шифрование AES-256 при хранении и TLS 1.3 при передаче. Соответствие HIPAA является договорным обязательством и набором мер контроля, а не сертификацией.
Как сообщить об уязвимости в системе безопасности?
Для получения информации о политике скоординированного раскрытия информации и предпочтительных языках, пожалуйста, напишите по адресу security@broadnet.me или ознакомьтесь с файлом /.well-known/security.txt. BroadNet регулярно проводит сторонние тесты на проникновение и предоставляет сводную информацию в соответствии с соглашением о неразглашении; серьезные обнаруженные уязвимости устраняются в течение 30 дней.
Необходим пакет безопасности.
Для проверки закупок?
В течение одного рабочего дня в соответствии с соглашением о неразглашении мы вышлем вам копии сертификата, отчет SOC 2, сводку результатов тестирования на проникновение, заполненную анкету по безопасности (SIG/CAIQ), шаблон DPA и список субподрядчиков.