Keeper Security 在 GDPR 方面做了些什么?
我们与隐私合规领域的全球领导者 TrustArc 合作,确定我们的业务流程、隐私实践和产品所需的变化,以确保我们符合 GDPR 的要求。
作为一家零知识安全公司,GDPR 与我们提供的核心产品和服务紧密一致。遵守国际法和保护客户隐私对我们来说非常重要。
零知识是什么?
Keeper 是一个零知识安全产品供应商。Keeper 用户是对其数据加密和解密有完全控制权的唯一人员。使用 Keeper,加密和解密仅在用户登录保管库时发生在其设备上。存储在用户保管库中的每条记录都使用在设备上随机生成的 256 位 AES 密钥进行加密。记录密钥由另一个密钥(称为数据密钥)进行保护。数据密钥则在设备上使用从用户的主密码派生的密钥进行加密。存储在用户设备上的静态数据亦使用另一个称为“客户端密钥”的密钥进行加密。用户设备之间的安全记录同步也在网络层进行加密,并通过 Keeper 的 Cloud Security Vault 进行路由传输。这种多层加密模式提供了业界最先进的数据保护。
为保持 GDPR 合规性,Keeper Security 实施了哪些变化?
作为一个零知识平台,我们产品中存储的信息进行了完全加密,并且仅用户可获得。我们对分析系统进行了更改,以确保我们的客户匿名,并且我们还更改为允许您控制对如何使用或存储可能收集的有关您的任何个人数据的同意。
Keeper 是数据处理者还是数据控制者?
GDPR 确定了两个可处理个人数据的实体。数据控制者决定收集哪些数据以及完成哪些个人数据的处理。数据处理者按数据控制者的指示进行收集、存储、检索和/或删除个人数据。当我们直接向消费者销售我们的密码管理程序时,Keeper Security 即为数据控制者当我们向企业销售时,我们则是数据处理者,而企业被视为数据控制者。
如何导出我的个人数据?
若要导出数据,请在 https://keepersecurity.com/vault 登录至 Keeper Web 保管库,然后点击“更多>>备份>>导出”。您可以采用 CSV 或 PDF 格式下载您存储的信息。若您的帐户已过期,请联系 support@keepersecurity.com,我们的支持团队将协助您访问您的保管库。
如何请求删除我的数据?
请发送电子邮件至 support@keepersecurity.com 并提供与您的 Keeper 帐户关联的电子邮件地址。
我的数据存储在哪里?
Keeper 在美国和爱尔兰的多个地区运营数据中心。企业客户可以选择在美国或欧洲数据中心建立其 Keeper 解决方案。通过美国 Keeper Web 保管库 (https://keepersecurity.com/vault)、移动或桌面应用注册的个人消费者用户将默认使用美国数据中心。直接在欧盟 Web 保管库 (https://keepersecurity.eu/vault) 注册的用户的信息将存储在欧盟数据中心。
如何将数据从美国数据中心转移至欧盟数据中心?
若需要有关数据转移的说明和帮助,请联系 support@keepersecurity.com。
Keeper Security 如何帮助我们达到 GDPR 合规?
零知识体系结构和安全:Keeper 的密码管理程序从构建之初就确立了用户个人是唯一可以访问其数据的人。这与 GDPR 的原则和数据保护要求完全一致。所有加密均在个人设备上完成。数据在传输过程中使用传输层安全性协议 (TLS) 进行加密,并以 AES-256 加密密文存储。通过分离数据和加密密钥,任何 Keeper 员工均无法访问客户的保管库数据。根据第 34 条,若 Keeper 保管库数据遭到泄露,密文对攻击者来说毫无价值,因此无需通知。
除了定期的安全审查和测试外,Keeper 每年还将进行 SOC 2 类型 2 认证和 ISO27001 认证。
Keeper 使用 Amazon AWS 强化云基础架构在多个地理位置托管和运营 Keeper 保管库。静止数据和传输数据完全隔离在客户首选的全球数据中心。换句话说,欧盟数据就在欧盟。这为客户提供了最快、最安全的云存储。
无其他处理:Keeper 绝不会出于任何目的挖掘客户保管库数据。首先,就政策来说,Keeper 最高层确立了我们将致力于保护客户的隐私。其次,由于我们使用了零知识体系结构,我们在技术上不可能这样做。这遵循了 GDPR 的组织和技术政策原则来保护个人数据。
数据控制:客户可以随时导出其数据(采用 CSV 格式)、修改或删除其保管库记录。这支持了 GDPR 对一旦预期的使用完成、同意被撤回或合法的商业目的改变后可以转移或删除个人数据的要求。由于数据主体能够自助管理其 Keeper 保管库,因此数据控制者在 GDPR 合规性方面免除了巨大的负担。数据经过了加密,只有数据主体才能访问,所以员工甚至看不到它,更不用说需要访问它了。
基于角色的访问控制:最小特权的安全概念意味着员工应该只能访问他们完成工作所需的最少数据量。这通常是通过基于角色的访问控制 (RBAC) 来实现。
Keeper 集成了 Microsoft Active Directory (AD),以便与节点(组织单位)、团队和用户同步。连接后,Keeper 可在任何节点上启用基于角色的访问控制。若需要,可以将这些控制级联到所有较低的节点。Keeper 保管库上的这些控制包括主密码强度、轮换时间、两步验证要求、IP 白名单等。Keeper 将锁定被 AD 终止的帐户,这些帐户可能会转移给受信任的管理员。这使 IT 管理员能够控制整个组织中的数据帐户和资产。
管理员洞察和审核: Keeper Enterprise 提供对员工密码强度、重复使用和两步验证使用的深入了解。Keeper 提供完整的带有时间戳和筛选器的审核日志,以便快速搜索异常、不良行为、取证或合规性报告。