Accord de traitement des données.

1Champ d’application, finalité et rôles

1.1.Le présent DPA s’applique au traitement des données personnelles stockées, hébergées ou traitées de toute autre manière par le Responsable du traitement au sein des serveurs privés virtuels (VPS) fournis par le Sous-traitant.

1.2.Dans le cadre de ce service, le Client est le responsable du traitement (il détermine la finalité des données de ses utilisateurs), et Axioma100Teorema, LDA est le sous-traitant (il se borne à fournir l’infrastructure technique).

2Obligations du Sous-traitant

Le Sous-traitant s’engage expressément à :

2.1.Instructions uniquement : traiter les données personnelles uniquement sur instruction documentée du Responsable du traitement (y compris les actions API techniques automatisées via le panneau de facturation Paymenter et l’hyperviseur Proxmox VE).

2.2.Confidentialité : veiller à ce que toutes les personnes autorisées à gérer l’infrastructure se soient engagées à une stricte confidentialité.

2.3.Isolation des données : maintenir l’isolation logique des environnements virtuels au niveau de l’hyperviseur (Proxmox VE) afin d’empêcher tout accès non autorisé entre les différents nœuds clients.

2.4.Politique d’accès zéro : le Sous-traitant n’accède pas aux données stockées dans le VPS du Responsable du traitement, ne les consulte pas et ne les modifie pas, sauf demande expresse de ce dernier via une demande officielle au support pour un dépannage.

3Mesures techniques et organisationnelles (conformité à l’article 32 du RGPD & à NIS 2)

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment :

3.1.Sécurité de l’infrastructure : l’infrastructure physique, les datacenters, l’alimentation électrique et la protection DDoS au niveau du réseau sont entièrement externalisés auprès d’OVHcloud, exclusivement au sein de l’Union européenne (UE), conformément aux normes ISO 27001 et NIS 2.

3.2.Contrôle d’accès : authentification multifacteur (MFA) stricte et mécanismes de contrôle d’accès pour le plan de gestion de l’infrastructure.

3.3.Isolation du plan de contrôle : l’accès aux interfaces de gestion de Proxmox VE est strictement limité à des connexions VPN chiffrées et sécurisées.

4Sous-traitants ultérieurs

4.1.Le Responsable du traitement accorde au Sous-traitant une autorisation écrite générale de faire appel à des sous-traitants ultérieurs pour le déploiement de l’infrastructure.

4.2.Le principal sous-traitant ultérieur autorisé pour l’hébergement de l’infrastructure est :

OVH Groupe SA (OVHcloud) — Localisation : Union européenne. Finalité : location de serveurs dédiés bare metal.

4.3.Le Sous-traitant informe le Responsable du traitement de tout changement prévu concernant l’ajout ou le remplacement de sous-traitants ultérieurs, par e-mail ou via le bloc d’actualités du système Paymenter.

5Droits des personnes concernées & coopération avec les autorités

5.1.Assistance : compte tenu de la nature du service d’hébergement, le Sous-traitant aide le Responsable du traitement, par des mesures techniques appropriées et dans toute la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes des personnes concernées (droits prévus au chapitre III du RGPD).

5.2.Violation de données personnelles : le Sous-traitant notifie le Responsable du traitement dans les meilleurs délais (et au plus tard dans les 48 heures) après avoir pris connaissance d’un incident de sécurité confirmé de son côté entraînant la destruction, la perte ou l’altération accidentelle ou illicite de données personnelles.

6Transferts internationaux de données

6.1.Tous les serveurs de gestion (Paymenter) et les environnements clients (nœuds Proxmox) sont situés exclusivement dans l’Espace économique européen (EEE). Aucune donnée personnelle hébergée dans les VPS n’est transférée hors de l’UE/EEE par le Sous-traitant.

7Durée et résiliation

7.1.Le présent DPA reste en vigueur pendant toute la durée du contrat principal (Conditions d’utilisation).

7.2.À la fin du service, le Sous-traitant supprime la machine virtuelle (VPS) concernée et tous les résidus de données locales associés du cluster Proxmox dans un délai de 7 à 14 jours, sauf si le droit de l’UE ou le droit portugais impose une conservation plus longue des données comptables ou de facturation.

Annexe A : description du traitement

Catégories de personnes concernées : utilisateurs des sites web, applications ou services du Responsable du traitement hébergés sur le VPS.

Types de données personnelles : toute donnée numérique téléversée, stockée ou transmise par le Responsable du traitement dans le VPS (pouvant inclure des adresses IP, des journaux, des bases de données, des profils d’utilisateurs).

Nature et finalité du traitement : stockage numérique, hébergement et allocation de ressources de calcul sur des serveurs cloud.