Käesoleva isikuandmete töötlemise lepingu („DPA“) sõlmivad:
Axioma100Teorema - Unipessoal Lda, registreeritud Portugalis, NIPC 519435583, asukoht Rua Fialho de Almeida, Número 14, 2.º Esq. Escritório Fj8, 1070-129, Lisboa, Portugal (edaspidi „volitatud töötleja“), ja
juriidiline või füüsiline isik, kes registreerib konto Paymenteri arveldussüsteemi kaudu ja kasutab VPS-majutuse teenuseid (edaspidi „vastutav töötleja“).
Vastutav töötleja ja volitatud töötleja on edaspidi koos „pooled“.
1Kohaldamisala, eesmärk ja rollid
1.1.Käesolevat DPA-d kohaldatakse isikuandmete töötlemisele, mida vastutav töötleja salvestab, majutab või muul viisil töötleb volitatud töötleja pakutavates virtuaalsetes privaatserverites (VPS).
1.2.Selle teenuse puhul on Klient vastutav töötleja (määrab oma kasutajate andmete töötlemise eesmärgi) ja Axioma100Teorema, LDA on volitatud töötleja (pakub üksnes tehnilist taristut).
2Volitatud töötleja kohustused
Volitatud töötleja kohustub rangelt:
2.1.Ainult juhiste alusel: töötlema isikuandmeid üksnes vastutava töötleja dokumenteeritud juhiste alusel (sh tehnilised automaatsed API-toimingud Paymenteri arvelduspaneeli ja Proxmox VE hüperviisori kaudu).
2.2.Konfidentsiaalsus: tagama, et kõik taristut haldama volitatud töötajad on võtnud endale range konfidentsiaalsuskohustuse.
2.3.Andmete isoleerimine: hoidma virtuaalkeskkondi hüperviisori tasandil (Proxmox VE) loogiliselt isoleerituna, et vältida volitamata juurdepääsu eri klientide sõlmede vahel.
2.4.Nulljuurdepääsu põhimõte: volitatud töötleja ei pääse vastutava töötleja VPS-is hoitavatele andmetele ligi, ei vaata ega muuda neid, välja arvatud juhul, kui vastutav töötleja seda tõrkeotsinguks ametliku pöördumisega selgesõnaliselt taotleb.
3Tehnilised ja korralduslikud meetmed (GDPR art 32 ja NIS 2 nõuete täitmine)
Volitatud töötleja rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada riskile vastav turvalisuse tase, sealhulgas:
3.1.Taristu turvalisus: füüsiline taristu, andmekeskused, toide ja võrgutasandi DDoS-kaitse on täielikult sisse ostetud OVHcloudilt, mis asub rangelt Euroopa Liidus (EL) ning vastab standarditele ISO 27001 ja NIS 2.
3.2.Juurdepääsukontroll: range mitmikautentimine (MFA) ja juurdepääsukontrolli mehhanismid taristu haldustasandil.
3.3.Haldustasandi isoleerimine: juurdepääs Proxmox VE haldusliidestele on rangelt piiratud turvaliste krüpteeritud VPN-ühendustega.
4Alamtöötlejad
4.1.Vastutav töötleja annab volitatud töötlejale üldise kirjaliku loa kaasata taristu juurutamiseks alamtöötlejaid.
4.2.Peamine heakskiidetud alamtöötleja taristu majutamiseks on:
OVH Groupe SA (OVHcloud) — asukoht: Euroopa Liit. Eesmärk: bare metal-serverite rent.
4.3.Volitatud töötleja teavitab vastutavat töötlejat kõigist kavandatavatest muudatustest, mis puudutavad alamtöötlejate lisamist või asendamist, e-posti või Paymenteri süsteemi uudisteploki kaudu.
5Andmesubjektide õigused ja koostöö järelevalveasutustega
5.1.Abi: võttes arvesse majutusteenuse olemust, abistab volitatud töötleja vastutavat töötlejat asjakohaste tehniliste meetmetega, niivõrd kui see on võimalik, et vastutav töötleja saaks täita oma kohustust vastata andmesubjektide taotlustele (GDPR III peatüki õigused).
5.2.Isikuandmetega seotud rikkumine: volitatud töötleja teavitab vastutavat töötlejat põhjendamatu viivituseta (ja mitte hiljem kui 48 tunni jooksul) pärast seda, kui ta on saanud teada volitatud töötleja poolel toimunud kinnitatud turvaintsidendist, mis on põhjustanud isikuandmete juhusliku või ebaseadusliku hävimise, kaotsimineku või muutmise.
6Rahvusvahelised andmeedastused
6.1.Kõik haldusserverid (Paymenter) ja klientide keskkonnad (Proxmoxi sõlmed) asuvad rangelt Euroopa Majanduspiirkonnas (EMP). Volitatud töötleja ei edasta VPS-is majutatud isikuandmeid väljapoole ELi/EMPd.
7Kehtivus ja lõpetamine
7.1.Käesolev DPA kehtib põhilise teenuselepingu (teenusetingimuste) kehtivuse ajal.
7.2.Teenuse lõppemisel kustutab volitatud töötleja vastava virtuaalmasina (VPS) ja kõik sellega seotud kohalikud andmejäägid Proxmoxi klastrist 7–14 päeva jooksul, kui ELi või Portugali õigus ei nõua raamatupidamis- või arveldusandmete pikemat säilitamist.
Lisa A: töötlemise üksikasjad
Andmesubjektide kategooriad: VPS-is majutatud vastutava töötleja veebisaitide, rakenduste või teenuste kasutajad.
Isikuandmete liigid: kõik digitaalsed andmed, mida vastutav töötleja VPS-i üles laadib, seal salvestab või edastab (võivad sisaldada IP-aadresse, logisid, andmebaase, kasutajaprofiile).
Töötlemise laad ja eesmärk: digitaalne salvestamine, majutamine ja arvutusressursside eraldamine pilveserverites.