Databehandleraftale.

1Omfang, formål og roller

1.1.Denne aftale gælder for behandling af personoplysninger, som den Dataansvarlige lagrer, hoster eller på anden måde behandler på de virtuelle private servere (VPS), som Databehandleren stiller til rådighed.

1.2.I forbindelse med denne tjeneste er Kunden dataansvarlig (fastlægger formålet med behandlingen af sine brugeres oplysninger), og Axioma100Teorema, LDA er databehandler (stiller udelukkende teknisk infrastruktur til rådighed).

2Databehandlerens forpligtelser

Databehandleren forpligter sig udtrykkeligt til at:

2.1.Kun efter instruks: behandle personoplysninger udelukkende efter dokumenteret instruks fra den Dataansvarlige (herunder tekniske automatiserede API-handlinger via faktureringspanelet Paymenter og hypervisoren Proxmox VE).

2.2.Fortrolighed: sikre, at alle personer, der er autoriseret til at administrere infrastrukturen, har forpligtet sig til streng fortrolighed.

2.3.Adskillelse af data: opretholde logisk adskillelse af de virtuelle miljøer på hypervisorniveau (Proxmox VE) for at forhindre uautoriseret adgang mellem forskellige kunders noder.

2.4.Politik om ingen adgang: Databehandleren vil ikke tilgå, se eller ændre data, der er lagret på den Dataansvarliges VPS, medmindre den Dataansvarlige udtrykkeligt anmoder om det via en officiel supporthenvendelse med henblik på fejlfinding.

3Tekniske og organisatoriske foranstaltninger (overholdelse af artikel 32 i databeskyttelsesforordningen & NIS 2)

Databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen, herunder:

3.1.Infrastrukturens sikkerhed: Den fysiske infrastruktur, datacentre, strømforsyning og DDoS-beskyttelse på netværksniveau er fuldt udliciteret til OVHcloud, der udelukkende er placeret i Den Europæiske Union (EU) og overholder standarderne ISO 27001 og NIS 2.

3.2.Adgangskontrol: Streng flerfaktorgodkendelse (MFA) og adgangskontrolmekanismer for infrastrukturens administrationslag.

3.3.Isolering af kontrolplanet: Adgangen til administrationsgrænsefladerne i Proxmox VE er strengt begrænset via sikre, krypterede VPN-forbindelser.

4Underdatabehandlere

4.1.Den Dataansvarlige giver Databehandleren en generel skriftlig godkendelse til at benytte underdatabehandlere til udrulning af infrastrukturen.

4.2.Den primære godkendte underdatabehandler for hosting af infrastrukturen er:

OVH Groupe SA (OVHcloud) — Placering: Den Europæiske Union. Formål: leje af dedikerede bare metal-servere.

4.3.Databehandleren underretter den Dataansvarlige om påtænkte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere pr. e-mail eller via nyhedsblokken i Paymenter-systemet.

5De registreredes rettigheder & samarbejde med tilsynsmyndigheder

5.1.Bistand: Under hensyntagen til hostingtjenestens karakter bistår Databehandleren den Dataansvarlige ved hjælp af passende tekniske foranstaltninger, i det omfang det er muligt, med opfyldelsen af den Dataansvarliges forpligtelse til at besvare anmodninger fra registrerede (rettighederne i kapitel III i databeskyttelsesforordningen).

5.2.Brud på persondatasikkerheden: Databehandleren underretter den Dataansvarlige uden unødig forsinkelse (og senest inden for 48 timer) efter at være blevet opmærksom på en bekræftet sikkerhedshændelse hos Databehandleren, der fører til hændelig eller ulovlig tilintetgørelse, tab eller ændring af personoplysninger.

6Internationale overførsler af oplysninger

6.1.Alle administrationsservere (Paymenter) og kundemiljøer (Proxmox-noder) er udelukkende placeret i Det Europæiske Økonomiske Samarbejdsområde (EØS). Databehandleren overfører ingen personoplysninger, der hostes på VPS'en, uden for EU/EØS.

7Varighed og ophør

7.1.Denne aftale gælder, så længe hovedaftalen om tjenesten (servicevilkårene) gælder.

7.2.Når tjenesten ophører, sletter Databehandleren den pågældende virtuelle maskine (VPS) og alle tilknyttede lokale datarester fra Proxmox-klyngen inden for 7 til 14 dage, medmindre EU-retten eller portugisisk ret kræver længere opbevaring af bogførings- eller faktureringsoplysninger.

Bilag A: Oplysninger om behandlingen

Kategorier af registrerede: Brugere af den Dataansvarliges websteder, applikationer eller tjenester, der hostes på VPS'en.

Typer af personoplysninger: Alle digitale data, som den Dataansvarlige uploader, lagrer eller overfører på VPS'en (kan omfatte IP-adresser, logs, databaser, brugerprofiler).

Behandlingens karakter og formål: Digital lagring, hosting og tildeling af computerressourcer på cloudservere.