Tämän tietojenkäsittelysopimuksen (”Sopimus”) osapuolet ovat:
Axioma100Teorema - Unipessoal Lda, rekisteröity Portugalissa numerolla NIPC 519435583, kotipaikka Rua Fialho de Almeida, Número 14, 2.º Esq. Escritório Fj8, 1070-129, Lisboa, Portugal (jäljempänä ”Käsittelijä”), ja
yhteisö tai yksityishenkilö, joka rekisteröi tilin Paymenter-laskutusjärjestelmän kautta ja käyttää VPS-hostingpalveluja (jäljempänä ”Rekisterinpitäjä”).
Rekisterinpitäjästä ja Käsittelijästä käytetään yhdessä nimitystä ”Osapuolet”.
1Soveltamisala, tarkoitus ja roolit
1.1.Tätä Sopimusta sovelletaan sellaisten henkilötietojen käsittelyyn, joita Rekisterinpitäjä tallentaa, säilyttää tai muuten käsittelee Käsittelijän tarjoamilla virtuaalisilla yksityispalvelimilla (VPS).
1.2.Tämän palvelun yhteydessä Asiakas on rekisterinpitäjä (määrittää käyttäjiensä tietojen käsittelyn tarkoituksen), ja Axioma100Teorema, LDA on käsittelijä (tarjoaa ainoastaan teknisen infrastruktuurin).
2Käsittelijän velvollisuudet
Käsittelijä sitoutuu ehdottomasti:
2.1.Vain ohjeiden mukaan: käsittelemään henkilötietoja ainoastaan Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti (mukaan lukien tekniset automaattiset API-toiminnot Paymenter-laskutuspaneelin ja Proxmox VE -hypervisorin kautta).
2.2.Luottamuksellisuus: varmistamaan, että kaikki infrastruktuurin hallintaan valtuutetut henkilöt ovat sitoutuneet ehdottomaan salassapitoon.
2.3.Tietojen eristäminen: ylläpitämään virtuaaliympäristöjen loogista eristystä hypervisor-tasolla (Proxmox VE) eri asiakkaiden solmujen välisen luvattoman pääsyn estämiseksi.
2.4.Ei pääsyä -periaate: Käsittelijä ei käytä, katsele tai muuta Rekisterinpitäjän VPS-palvelimelle tallennettuja tietoja, ellei Rekisterinpitäjä nimenomaisesti pyydä sitä virallisella tukipyynnöllä vianmääritystä varten.
3Tekniset ja organisatoriset toimenpiteet (tietosuoja-asetuksen 32 artikla & NIS 2)
Käsittelijä toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet riskiä vastaavan turvallisuustason varmistamiseksi, muun muassa:
3.1.Infrastruktuurin turvallisuus: Fyysinen infrastruktuuri, datakeskukset, sähkönsyöttö ja verkkotason DDoS-suojaus on ulkoistettu kokonaan OVHcloudille, joka sijaitsee yksinomaan Euroopan unionissa (EU) ja täyttää ISO 27001- ja NIS 2 -vaatimukset.
3.2.Pääsynhallinta: Tiukka monivaiheinen tunnistautuminen (MFA) ja pääsynhallintamekanismit infrastruktuurin hallintatasolla.
3.3.Hallintatason eristäminen: Pääsy Proxmox VE -hallintaliittymiin on rajattu tiukasti suojattujen, salattujen VPN-yhteyksien kautta.
4Alikäsittelijät
4.1.Rekisterinpitäjä antaa Käsittelijälle yleisen kirjallisen luvan käyttää alikäsittelijöitä infrastruktuurin käyttöönotossa.
4.2.Infrastruktuurin hostingin ensisijainen hyväksytty alikäsittelijä on:
OVH Groupe SA (OVHcloud) — Sijainti: Euroopan unioni. Tarkoitus: dedikoitujen bare metal -palvelimien vuokraus.
4.3.Käsittelijä ilmoittaa Rekisterinpitäjälle alikäsittelijöiden lisäämistä tai vaihtamista koskevista suunnitelluista muutoksista sähköpostitse tai Paymenter-järjestelmän uutisosiossa.
5Rekisteröityjen oikeudet & yhteistyö valvontaviranomaisten kanssa
5.1.Avustaminen: Hostingpalvelun luonne huomioon ottaen Käsittelijä avustaa Rekisterinpitäjää asianmukaisin teknisin toimenpitein, mikäli mahdollista, jotta Rekisterinpitäjä voi täyttää velvollisuutensa vastata rekisteröityjen pyyntöihin (tietosuoja-asetuksen III luvun oikeudet).
5.2.Henkilötietojen tietoturvaloukkaus: Käsittelijä ilmoittaa Rekisterinpitäjälle ilman aiheetonta viivytystä (ja viimeistään 48 tunnin kuluessa) saatuaan tiedon vahvistetusta Käsittelijän puolella tapahtuneesta tietoturvapoikkeamasta, joka johtaa henkilötietojen vahingossa tapahtuvaan tai lainvastaiseen tuhoutumiseen, häviämiseen tai muuttamiseen.
6Kansainväliset tiedonsiirrot
6.1.Kaikki hallintapalvelimet (Paymenter) ja asiakasympäristöt (Proxmox-solmut) sijaitsevat yksinomaan Euroopan talousalueella (ETA). Käsittelijä ei siirrä VPS-palvelimilla säilytettyjä henkilötietoja EU- tai ETA-alueen ulkopuolelle.
7Voimassaolo ja päättyminen
7.1.Tämä Sopimus on voimassa pääsopimuksen (palveluehtojen) voimassaolon ajan.
7.2.Palvelun päätyttyä Käsittelijä poistaa kyseisen virtuaalikoneen (VPS) ja kaikki siihen liittyvät paikalliset tietojäänteet Proxmox-klusterista 7–14 päivän kuluessa, ellei Euroopan unionin tai Portugalin laki edellytä kirjanpito- tai laskutustietojen pidempää säilyttämistä.
Liite A: Käsittelyn tiedot
Rekisteröityjen ryhmät: VPS-palvelimella toimivien Rekisterinpitäjän verkkosivustojen, sovellusten tai palvelujen käyttäjät.
Henkilötietotyypit: Kaikki digitaaliset tiedot, jotka Rekisterinpitäjä lataa, tallentaa tai siirtää VPS-palvelimella (voivat sisältää IP-osoitteita, lokeja, tietokantoja, käyttäjäprofiileja).
Käsittelyn luonne ja tarkoitus: Digitaalinen tallennus, hosting ja laskentaresurssien varaaminen pilvipalvelimilla.