Συμφωνία Επεξεργασίας Δεδομένων.

1Πεδίο εφαρμογής, σκοπός και ρόλοι

1.1.Η παρούσα DPA εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποθηκεύει, φιλοξενεί ή με άλλον τρόπο επεξεργάζεται ο Υπεύθυνος επεξεργασίας στους εικονικούς ιδιωτικούς διακομιστές (VPS) που παρέχει ο Εκτελών την επεξεργασία.

1.2.Στο πλαίσιο της υπηρεσίας αυτής, ο Πελάτης είναι ο υπεύθυνος επεξεργασίας (καθορίζει τον σκοπό της επεξεργασίας των δεδομένων των χρηστών του) και η Axioma100Teorema, LDA είναι ο εκτελών την επεξεργασία (παρέχει μόνο την τεχνική υποδομή).

2Υποχρεώσεις του Εκτελούντος την επεξεργασία

Ο Εκτελών την επεξεργασία δεσμεύεται ρητά:

2.1.Μόνο κατ’ εντολή: να επεξεργάζεται δεδομένα προσωπικού χαρακτήρα αποκλειστικά βάσει καταγεγραμμένων εντολών του Υπευθύνου επεξεργασίας (συμπεριλαμβανομένων αυτοματοποιημένων τεχνικών ενεργειών μέσω API στον πίνακα χρέωσης Paymenter και στον hypervisor Proxmox VE).

2.2.Εμπιστευτικότητα: να διασφαλίζει ότι όλο το προσωπικό που είναι εξουσιοδοτημένο να διαχειρίζεται την υποδομή έχει δεσμευτεί σε αυστηρή εμπιστευτικότητα.

2.3.Απομόνωση δεδομένων: να διατηρεί τη λογική απομόνωση των εικονικών περιβαλλόντων στο επίπεδο του hypervisor (Proxmox VE), ώστε να αποτρέπεται η μη εξουσιοδοτημένη πρόσβαση μεταξύ διαφορετικών κόμβων πελατών.

2.4.Πολιτική μηδενικής πρόσβασης: ο Εκτελών την επεξεργασία δεν αποκτά πρόσβαση, δεν βλέπει και δεν τροποποιεί τα δεδομένα που είναι αποθηκευμένα στο VPS του Υπευθύνου επεξεργασίας, εκτός αν ο Υπεύθυνος επεξεργασίας το ζητήσει ρητά με επίσημο αίτημα υποστήριξης για την αντιμετώπιση προβλήματος.

3Τεχνικά και οργανωτικά μέτρα (συμμόρφωση με το άρθρο 32 του ΓΚΠΔ & την NIS 2)

Ο Εκτελών την επεξεργασία εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίσει επίπεδο ασφάλειας ανάλογο προς τον κίνδυνο, όπως:

3.1.Ασφάλεια υποδομής: η φυσική υποδομή, τα κέντρα δεδομένων, η τροφοδοσία ρεύματος και η προστασία από επιθέσεις DDoS σε επίπεδο δικτύου ανατίθενται πλήρως στην OVHcloud, που βρίσκεται αποκλειστικά εντός της Ευρωπαϊκής Ένωσης (ΕΕ) και συμμορφώνεται με τα πρότυπα ISO 27001 και NIS 2.

3.2.Έλεγχος πρόσβασης: αυστηρός έλεγχος ταυτότητας πολλών παραγόντων (MFA) και μηχανισμοί ελέγχου πρόσβασης για το επίπεδο διαχείρισης της υποδομής.

3.3.Απομόνωση του επιπέδου ελέγχου: η πρόσβαση στις διεπαφές διαχείρισης του Proxmox VE περιορίζεται αυστηρά σε ασφαλείς κρυπτογραφημένες συνδέσεις VPN.

4Υπο-εκτελούντες

4.1.Ο Υπεύθυνος επεξεργασίας παρέχει στον Εκτελούντα την επεξεργασία γενική γραπτή άδεια να προσλαμβάνει υπο-εκτελούντες για την ανάπτυξη της υποδομής.

4.2.Ο κύριος εγκεκριμένος υπο-εκτελών για τη φιλοξενία της υποδομής είναι:

OVH Groupe SA (OVHcloud) — Τοποθεσία: Ευρωπαϊκή Ένωση. Σκοπός: μίσθωση αποκλειστικών φυσικών διακομιστών (bare metal).

4.3.Ο Εκτελών την επεξεργασία ενημερώνει τον Υπεύθυνο επεξεργασίας για κάθε σχεδιαζόμενη αλλαγή που αφορά την προσθήκη ή την αντικατάσταση υπο-εκτελούντων με email ή μέσω της ενότητας ανακοινώσεων του συστήματος Paymenter.

5Δικαιώματα των υποκειμένων των δεδομένων & συνεργασία με τις εποπτικές αρχές

5.1.Συνδρομή: λαμβάνοντας υπόψη τη φύση της υπηρεσίας φιλοξενίας, ο Εκτελών την επεξεργασία συνδράμει τον Υπεύθυνο επεξεργασίας με κατάλληλα τεχνικά μέτρα, στον βαθμό που αυτό είναι δυνατό, ώστε να εκπληρώνει την υποχρέωσή του να απαντά στα αιτήματα των υποκειμένων των δεδομένων (δικαιώματα του κεφαλαίου III του ΓΚΠΔ).

5.2.Παραβίαση δεδομένων προσωπικού χαρακτήρα: ο Εκτελών την επεξεργασία ενημερώνει τον Υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση (και το αργότερο εντός 48 ωρών) αφότου λάβει γνώση επιβεβαιωμένου περιστατικού ασφαλείας από την πλευρά του, το οποίο οδήγησε σε τυχαία ή παράνομη καταστροφή, απώλεια ή αλλοίωση δεδομένων προσωπικού χαρακτήρα.

6Διεθνείς διαβιβάσεις δεδομένων

6.1.Όλοι οι διακομιστές διαχείρισης (Paymenter) και τα περιβάλλοντα των πελατών (κόμβοι Proxmox) βρίσκονται αποκλειστικά εντός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ). Ο Εκτελών την επεξεργασία δεν διαβιβάζει εκτός ΕΕ/ΕΟΧ κανένα δεδομένο προσωπικού χαρακτήρα που φιλοξενείται στο VPS.

7Διάρκεια και λύση

7.1.Η παρούσα DPA ισχύει για όσο διαρκεί η κύρια σύμβαση παροχής υπηρεσιών (Όροι Παροχής Υπηρεσιών).

7.2.Μετά τον τερματισμό της υπηρεσίας, ο Εκτελών την επεξεργασία διαγράφει την αντίστοιχη εικονική μηχανή (VPS) και όλα τα σχετικά υπολείμματα τοπικών δεδομένων από το cluster Proxmox εντός 7 έως 14 ημερών, εκτός αν το δίκαιο της ΕΕ ή της Πορτογαλίας επιβάλλει περαιτέρω διατήρηση λογιστικών δεδομένων ή δεδομένων χρέωσης.

Παράρτημα Α: Στοιχεία της επεξεργασίας

Κατηγορίες υποκειμένων των δεδομένων: χρήστες των ιστότοπων, των εφαρμογών ή των υπηρεσιών του Υπευθύνου επεξεργασίας που φιλοξενούνται στο VPS.

Είδη δεδομένων προσωπικού χαρακτήρα: κάθε ψηφιακό δεδομένο που ο Υπεύθυνος επεξεργασίας ανεβάζει, αποθηκεύει ή διαβιβάζει μέσα στο VPS (μπορεί να περιλαμβάνει διευθύνσεις IP, αρχεία καταγραφής, βάσεις δεδομένων, προφίλ χρηστών).

Φύση και σκοπός της επεξεργασίας: ψηφιακή αποθήκευση, φιλοξενία και διάθεση υπολογιστικών πόρων σε διακομιστές cloud.