Acuerdo de tratamiento de datos.

1Ámbito, finalidad y funciones

1.1.Este DPA se aplica al tratamiento de los datos personales que el Responsable almacena, aloja o trata de cualquier otro modo en los servidores privados virtuales (VPS) proporcionados por el Encargado.

1.2.En el contexto de este servicio, el Cliente es el responsable del tratamiento (determina la finalidad de los datos de sus usuarios), y Axioma100Teorema, LDA es el encargado del tratamiento (se limita a proporcionar la infraestructura técnica).

2Obligaciones del Encargado

El Encargado se compromete expresamente a:

2.1.Solo con instrucciones: tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable (incluidas las acciones técnicas automatizadas por API a través del panel de facturación Paymenter y del hipervisor Proxmox VE).

2.2.Confidencialidad: garantizar que todo el personal autorizado a gestionar la infraestructura se haya comprometido a una estricta confidencialidad.

2.3.Aislamiento de datos: mantener el aislamiento lógico de los entornos virtuales a nivel de hipervisor (Proxmox VE) para impedir accesos no autorizados entre distintos nodos de clientes.

2.4.Política de acceso cero: el Encargado no accederá, consultará ni modificará los datos almacenados en el VPS del Responsable, salvo que este lo solicite expresamente mediante una solicitud de soporte oficial para resolver una incidencia.

3Medidas técnicas y organizativas (cumplimiento del artículo 32 del RGPD & NIS 2)

El Encargado aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, entre ellas:

3.1.Seguridad de la infraestructura: la infraestructura física, los centros de datos, el suministro eléctrico y la protección DDoS a nivel de red están totalmente externalizados en OVHcloud, ubicada exclusivamente dentro de la Unión Europea (UE), conforme a las normas ISO 27001 y NIS 2.

3.2.Control de acceso: autenticación multifactor (MFA) estricta y mecanismos de control de acceso para el plano de gestión de la infraestructura.

3.3.Aislamiento del plano de control: el acceso a las interfaces de gestión de Proxmox VE está estrictamente restringido a conexiones VPN seguras y cifradas.

4Subencargados

4.1.El Responsable otorga al Encargado una autorización general por escrito para recurrir a subencargados para el despliegue de la infraestructura.

4.2.El principal subencargado autorizado para el alojamiento de la infraestructura es:

OVH Groupe SA (OVHcloud) — Ubicación: Unión Europea. Finalidad: alquiler de servidores dedicados bare metal.

4.3.El Encargado informará al Responsable de cualquier cambio previsto relativo a la incorporación o sustitución de subencargados por correo electrónico o a través del bloque de noticias del sistema Paymenter.

5Derechos de los interesados & cooperación con las autoridades

5.1.Asistencia: teniendo en cuenta la naturaleza del servicio de hosting, el Encargado asistirá al Responsable con medidas técnicas apropiadas, siempre que sea posible, para que este cumpla su obligación de responder a las solicitudes de los interesados (derechos del capítulo III del RGPD).

5.2.Violación de la seguridad de los datos personales: el Encargado notificará al Responsable sin dilación indebida (y a más tardar en 48 horas) tras tener conocimiento de un incidente de seguridad confirmado por su parte que provoque la destrucción, pérdida o alteración accidental o ilícita de datos personales.

6Transferencias internacionales de datos

6.1.Todos los servidores de gestión (Paymenter) y los entornos de los clientes (nodos Proxmox) se encuentran exclusivamente dentro del Espacio Económico Europeo (EEE). El Encargado no transfiere fuera de la UE/EEE ningún dato personal alojado en los VPS.

7Duración y terminación

7.1.Este DPA permanecerá en vigor mientras dure el contrato principal (Condiciones del servicio).

7.2.Al terminar el servicio, el Encargado eliminará la máquina virtual (VPS) correspondiente y todos los restos de datos locales asociados del clúster Proxmox en un plazo de 7 a 14 días, salvo que el Derecho de la UE o el portugués exija conservar durante más tiempo los datos contables o de facturación.

Anexo A: detalles del tratamiento

Categorías de interesados: usuarios de los sitios web, aplicaciones o servicios del Responsable alojados en el VPS.

Tipos de datos personales: cualquier dato digital que el Responsable cargue, almacene o transmita en el VPS (puede incluir direcciones IP, registros, bases de datos, perfiles de usuario).

Naturaleza y finalidad del tratamiento: almacenamiento digital, alojamiento y asignación de recursos de computación en servidores en la nube.