Smlouva o zpracování osobních údajů.

1Působnost, účel a role

1.1.Tato DPA se vztahuje na zpracování osobních údajů, které Správce ukládá, hostuje nebo jinak zpracovává na virtuálních privátních serverech (VPS) poskytovaných Zpracovatelem.

1.2.V rámci této služby je Zákazník správcem údajů (určuje účel zpracování údajů svých uživatelů) a Axioma100Teorema, LDA je zpracovatelem (poskytuje pouze technickou infrastrukturu).

2Povinnosti Zpracovatele

Zpracovatel se výslovně zavazuje:

2.1.Jen podle pokynů: zpracovávat osobní údaje výhradně na základě doložených pokynů Správce (včetně automatizovaných technických akcí přes API ve fakturačním panelu Paymenter a v hypervizoru Proxmox VE).

2.2.Mlčenlivost: zajistit, aby se všechny osoby oprávněné spravovat infrastrukturu zavázaly k přísné mlčenlivosti.

2.3.Izolace údajů: udržovat logickou izolaci virtuálních prostředí na úrovni hypervizoru (Proxmox VE), aby se zabránilo neoprávněnému přístupu mezi uzly různých zákazníků.

2.4.Politika nulového přístupu: Zpracovatel nebude přistupovat k údajům uloženým ve VPS Správce, prohlížet je ani je měnit, ledaže o to Správce výslovně požádá oficiálním požadavkem na podporu za účelem řešení problému.

3Technická a organizační opatření (soulad s čl. 32 GDPR a NIS 2)

Zpracovatel přijímá vhodná technická a organizační opatření k zajištění úrovně zabezpečení odpovídající riziku, mimo jiné:

3.1.Zabezpečení infrastruktury: fyzická infrastruktura, datová centra, napájení a ochrana proti DDoS na úrovni sítě jsou plně svěřeny společnosti OVHcloud, která sídlí výhradně v Evropské unii (EU), v souladu s normami ISO 27001 a NIS 2.

3.2.Řízení přístupu: přísné vícefázové ověřování (MFA) a mechanismy řízení přístupu k vrstvě správy infrastruktury.

3.3.Izolace řídicí vrstvy: přístup k rozhraním správy Proxmox VE je přísně omezen na zabezpečená šifrovaná spojení VPN.

4Další zpracovatelé

4.1.Správce uděluje Zpracovateli obecné písemné povolení zapojit další zpracovatele k zajištění infrastruktury.

4.2.Hlavním schváleným dalším zpracovatelem pro hosting infrastruktury je:

OVH Groupe SA (OVHcloud) — Umístění: Evropská unie. Účel: pronájem dedikovaných serverů bare metal.

4.3.Zpracovatel informuje Správce o zamýšlených změnách týkajících se přidání nebo nahrazení dalších zpracovatelů e-mailem nebo v sekci novinek systému Paymenter.

5Práva subjektů údajů a spolupráce s dozorovými úřady

5.1.Součinnost: s ohledem na povahu hostingové služby Zpracovatel pomáhá Správci, je-li to možné, vhodnými technickými opatřeními plnit povinnost reagovat na žádosti subjektů údajů (práva podle kapitoly III GDPR).

5.2.Porušení zabezpečení osobních údajů: Zpracovatel ohlásí Správci bez zbytečného odkladu (a nejpozději do 48 hodin) poté, co se dozví o potvrzeném bezpečnostním incidentu na své straně, který vede k náhodnému nebo protiprávnímu zničení, ztrátě nebo změně osobních údajů.

6Mezinárodní předávání údajů

6.1.Všechny řídicí servery (Paymenter) a prostředí zákazníků (uzly Proxmox) se nacházejí výhradně v Evropském hospodářském prostoru (EHP). Zpracovatel nepředává mimo EU/EHP žádné osobní údaje hostované ve VPS.

7Doba trvání a ukončení

7.1.Tato DPA zůstává v platnosti po celou dobu trvání hlavní smlouvy (Obchodních podmínek).

7.2.Po ukončení služby Zpracovatel smaže příslušný virtuální stroj (VPS) a všechny související místní zbytky dat z clusteru Proxmox do 7 až 14 dnů, pokud právo EU nebo Portugalska nevyžaduje delší uchování účetních či fakturačních údajů.

Příloha A: podrobnosti zpracování

Kategorie subjektů údajů: uživatelé webů, aplikací nebo služeb Správce hostovaných na VPS.

Druhy osobních údajů: jakákoli digitální data nahraná, uložená nebo přenášená Správcem v rámci VPS (mohou zahrnovat IP adresy, záznamy, databáze, uživatelské profily).

Povaha a účel zpracování: digitální ukládání, hosting a přidělování výpočetních prostředků na cloudových serverech.