Tanggung jawab bersama
Tanggung jawab kontrol yang akan berlaku untuk Anda dan Zoho.
Manajemen identitas dan akses
Kami menyediakan infrastruktur untuk mengelola akun pengguna melalui layanan Manajemen Identitas dan Akses (IAM) dengan memfasilitasi:
- Pendaftaran pengguna, opsi pembatalan registrasi, dan spesifikasi tentang cara menggunakannya.
- Fungsionalitas untuk mengelola hak akses pengguna cloud Anda.
- Teknik autentikasi kuat, seperti Autentikasi Multifaktor dan pembatasan alamat IP.
Anda bertanggung jawab untuk:
- Menerapkan kontrol manajemen akses pengguna yang kuat.
- Mengonfigurasi kata sandi yang kuat berdasarkan kebijakan organisasi dan melindunginya.
- Mengaktifkan Autentikasi Multifaktor untuk pengguna organisasi Anda.
- Mengelola akun dan hak pengguna—mengonfigurasi peran pengguna sesuai dengan dasar tingkat hak istimewa yang paling rendah.
- Menentukan administrator akun organisasi dan memiliki proses yang tepat untuk transfer kepemilikan. Anda bertanggung jawab untuk melakukan langkah-langkah yang diperlukan guna memastikan bahwa organisasi Anda tidak kehilangan kontrol atas akun administrator.
- Secara berkala meninjau daftar pengguna dengan akses ke data dan menghapus akses bagi siapa pun yang tidak seharusnya memiliki akses tersebut.
- Secara rutin meninjau perangkat yang ditautkan ke akun pengguna organisasi dan menghapus perangkat yang tidak digunakan atau tidak diotorisasi.
- Memantau akun pengguna organisasi Anda untuk mendeteksi akses atau penggunaan yang berbahaya.
- Memberi tahu Zoho tentang akun organisasi Anda yang digunakan secara tidak sah.
- Memberikan edukasi kepada pengguna Anda tentang pentingnya manajemen kata sandi yang baik, risiko penggunaan kembali kredensial, login menggunakan akun media sosial, dan serangan phishing.
Manajemen Data
Kami menyediakan platform bagi Anda untuk mengelola data dengan:
- Fitur berbagi data untuk kontrol tingkat pengguna dan administrator.
- Fitur audit terhadap data pelanggan untuk menyediakan transparansi tentang aktivitas penting dan melacak perubahan.
- Interoperabilitas Data—opsi untuk mengambil cadangan data dan konfigurasi lengkap guna memindahkan semua atau sebagian data Anda ke penyedia SaaS lain.
- Penyimpanan dan pembuangan data—kami menyimpan data di akun Anda selama Anda memilih untuk menggunakan Layanan Zoho. Setelah menutup akun pengguna Zoho, data Anda akan dihapus dari database aktif selama pembersihan berikutnya yang dilakukan setiap enam bulan sekali. Data yang dihapus dari database aktif akan dihapus dari cadangan setelah tiga bulan.
- Fitur pembatasan akses untuk membatasi akses karyawan ke data pelanggan dan memastikan bahwa mereka hanya dapat mengaksesnya jika ada alasan tertentu.
Anda bertanggung jawab untuk:
- Melakukan uji kelayakan saat memproses informasi yang berada dalam kategori khusus (misalnya, data pribadi/sensitif) dengan menerapkan kontrol yang tepat untuk mematuhi persyaratan undang-undang yang berlaku.
- Mengonfigurasi izin berbagi dan izin melihat yang tepat.
- Meninjau laporan audit secara teratur untuk mengidentifikasi aktivitas mencurigakan.
- Memperbarui informasi kontak terkini dengan Zoho.
- Mengeluarkan data Anda dari sistem begitu Anda berhenti menggunakan layanan kami. Jika tidak, data Anda dapat dihapus secara permanen tanpa kesempatan pemulihan apa pun.
Mengelola data kepada pihak lain
Kami berupaya untuk memiliki integrasi dan ekstensi yang aman ke aplikasi kami dengan:
- Aplikasi Marketplace: Melakukan pengujian fungsional, pengujian keamanan, dan pengujian privasi setelah aplikasi dikirimkan kepada kami. Kami juga melakukan tinjauan terhadap produk dan konten.
- Pengolah data pengganti: Mengevaluasi praktik keamanan dan privasi pengolah data pengganti yang ingin kami kontrak guna memastikan bahwa mereka sejalan dengan standar keamanan dan privasi informasi Zoho. Selanjutnya, kami menandatangani perjanjian perlindungan data yang sesuai dengan mereka.
- Kami meninjau kebijakan privasi dan ketentuan layanan vendor kami dan memastikan bahwa operasi mereka sesuai dengan kebijakan tersebut.
Kami mengharapkan Anda untuk:
- Mengaktifkan atau menonaktifkan integrasi pihak ketiga setelah mempertimbangkan data yang akan dibagikan ke lingkungan pihak ketiga. Anda harus meninjau ketentuan dan kebijakan privasi layanan pihak ketiga mengenai pengumpulan, penggunaan, atau pengungkapan data.
- Menandai preferensi Anda mengenai apakah Anda ingin membagikan informasi Anda kepada vendor setiap kali ekstensi diinstal.
- Menilai kesesuaian Aplikasi Marketplace dan kewajaran izin yang diminta sebelum instalasi.
- Memberi tahu Zoho tentang perilaku berbahaya yang teridentifikasi di Aplikasi Marketplace.
Hak subjek data
Kami bertanggung jawab untuk:
- Menyediakan fitur yang memungkinkan Anda untuk memenuhi dan melindungi hak pelanggan Anda.
- Memberi tahu Anda tentang permintaan dari pelanggan Anda saat mereka menghubungi kami langsung karena menggunakan hak mereka.
Anda wajib:
- Menghormati dan menangani permintaan dari pelanggan mengenai akses, perbaikan, penghapusan, dan pembatasan data dalam pemrosesan informasi pribadi mereka.
Enkripsi
Kami mengamankan data Anda menggunakan enkripsi saat transit dan saat tidak aktif dengan cara berikut:
- Data saat transit: Kami melindungi semua data pelanggan yang dikirimkan ke server kami melalui jaringan publik menggunakan alat enkripsi yang kuat. Kami mewajibkan semua koneksi ke server kami menggunakan enkripsi Transport Layer Security (TLS 1.2/1.3) dengan penyandian yang kuat. Hal ini berlaku untuk semua koneksi, termasuk akses web, akses API, aplikasi seluler kami, dan akses IMAP/POP/SMTP.
- Data tidak aktif: Data pelanggan yang sensitif dienkripsi saat tidak aktif menggunakan algoritme Advanced Encryption Standard (AES) 256 bit. Enkripsi data saat tidak aktif bervariasi, bergantung pada layanan yang Anda pilih. Kami memiliki dan menjaga kunci dengan Layanan Manajemen Kunci (KMS).
Kami menyarankan Anda untuk:
- Menentukan kebutuhan enkripsi Anda. Dalam banyak kejadian saat menggunakan layanan kami, Anda mungkin bertanggung jawab untuk menentukan bidang mana yang harus dienkripsi untuk data yang tidak aktif.
- Anda harus memastikan bahwa kontrol enkripsi yang relevan diterapkan ketika data dari cloud kami diunduh atau diekspor ke lingkungan Anda atau disinkronkan dalam integrasi di Zoho atau dengan integrasi pihak ketiga lainnya. Misalnya, mengaktifkan enkripsi disk pada perangkat Anda dan menggunakan fitur ekspor dengan mengaktifkan perlindungan kata sandi, dll.
Pencadangan
Kami memiliki sistem yang tangguh untuk:
- Menjaga data cadangan di tingkatan sistem agar terenkripsi dengan algoritme AES-256 bit dan disimpan dengan aman. Menjalankan pemeriksaan integritas dan validasi terhadap cadangan lengkap.
- Mengizinkan permintaan pemulihan data dan memberikan akses aman ke permintaan tersebut selama periode penyimpanan. Menyediakan fitur kepada pelanggan untuk mengekspor dan mengambil cadangan data mereka.
Anda dapat:
- Menjadwalkan pencadangan terhadap data Anda, mengekspornya dari masing-masing layanan Zoho, dan menyimpannya secara lokal di infrastruktur Anda, jika perlu. Anda bertanggung jawab untuk menyimpannya dengan aman.
Manajemen insiden
Kami akan memastikan untuk:
- Melaporkan semua insiden pelanggaran yang kami ketahui dan yang berlaku bagi Anda yang disertai dengan detail dampak dan tindakan yang sesuai untuk insiden tersebut. Untuk insiden khusus pengguna individu atau organisasi, kami akan memberi tahu pihak yang bersangkutan melalui email (menggunakan alamat email utama mereka).
- Melacak dan menyelesaikan insiden tersebut.
- Menerapkan kontrol agar situasi serupa tidak terjadi kembali.
- Jika diminta, kami akan memberikan bukti tambahan terkait dengan insiden yang berlaku bagi Anda.
Kami mengharapkan Anda untuk:
- Mengambil tindakan yang disarankan oleh Zoho jika terjadi pelanggaran.
- Memenuhi persyaratan pemberitahuan dan pengungkapan pelanggaran data Anda, seperti memberi tahu pengguna akhir dan otoritas perlindungan data jika perlu.
- Melaporkan insiden keamanan dan privasi yang Anda ketahui ke incidents@zohocorp.com.
Kesadaran dan pelatihan
Kami bertanggung jawab penuh untuk:
- Memberikan pelatihan kepada karyawan agar sadar akan keamanan dan mematuhi standar pengembangan yang aman. Mengikutsertakan karyawan baru dalam pelatihan keamanan dan privasi wajib, di samping menerima pelatihan kesadaran keamanan secara rutin melalui email informasi, presentasi, dan sumber daya yang tersedia di intranet kami.
- Memberikan pelatihan kepada karyawan tentang penanganan data pelanggan layanan cloud yang tepat.
Anda bertanggung jawab untuk memberikan pelatihan kepada pengguna cloud tentang:
- Standar dan prosedur penggunaan layanan kami.
- Pengelolaan risiko yang terkait dengan layanan kami
- Risiko pada sistem umum dan lingkungan jaringan.
- Pertimbangan hukum dan peraturan yang berlaku.
Kebijakan dan kepatuhan
Kami mematuhi serangkaian panduan, seperti:
- Kami memiliki program manajemen risiko yang menyeluruh dan menjalankan kontrol secara efektif.
- Kami beroperasi sesuai dengan hukum di berbagai yurisdiksi tempat kami beroperasi.
- Kami memberikan bukti kepatuhan terhadap perundang-undangan yang berlaku dan berdasarkan persyaratan kontrak kami.
- Kami akan membantu dalam penilaian DPIA pelanggan kami hingga batas yang diizinkan oleh undang-undang yang berlaku.
Kami mengharapkan Anda untuk:
- Mengevaluasi peraturan dan undang-undang yang berlaku untuk Anda dan untuk meninjau kepatuhan kami terhadap peraturan dan standar yang diperlukan untuk bisnis Anda. Anda dapat meminta informasi tambahan yang akan digunakan sebagai bukti kepatuhan kami.
- Memahami kebijakan, metode penilaian kebijakan, dan cara kami memproses data.
- Melakukan DPIA sebagaimana disyaratkan berdasarkan undang-undang perlindungan data yang berlaku untuk organisasi Anda sebelum/saat memproses data
- Menilai dasar hukum Anda sebelum memproses data pribadi/sensitif. Jika dasar hukum Anda adalah persetujuan, pastikan Anda mendapatkan persetujuan dari pelanggan Anda.
- Menilai kesesuaian layanan berbasis cloud kami berdasarkan informasi yang kami berikan dan memastikan bahwa layanan tersebut dapat memenuhi kebutuhan kepatuhan Anda.
- Memahami profil risiko dan sensitivitas data yang di-hosting di layanan Zoho serta menerapkan kontrol yang tepat.
