הסכם עיבוד נתונים.

1היקף, מטרה ותפקידים

1.1.הסכם זה חל על עיבוד מידע אישי שבעל השליטה מאחסן, מארח או מעבד בדרך אחרת בשרתים הווירטואליים הפרטיים (VPS) שמספק המעבד.

1.2.בהקשר של שירות זה, הלקוח הוא בעל השליטה במידע (קובע את מטרת עיבוד הנתונים של המשתמשים שלו), ו-Axioma100Teorema, LDA היא מעבדת המידע (מספקת את התשתית הטכנית בלבד).

2חובות המעבד

המעבד מתחייב באופן מוחלט:

2.1.הוראות בלבד: לעבד מידע אישי אך ורק לפי הוראות מתועדות של בעל השליטה (לרבות פעולות API טכניות אוטומטיות דרך לוח החיוב Paymenter וההיפרווייזר Proxmox VE).

2.2.סודיות: להבטיח שכל מי שמורשה לנהל את התשתית התחייב לסודיות מחמירה.

2.3.בידוד נתונים: לשמור על בידוד לוגי של הסביבות הווירטואליות ברמת ההיפרווייזר (Proxmox VE) כדי למנוע גישה בלתי מורשית בין צמתים של לקוחות שונים.

2.4.מדיניות אפס גישה: המעבד לא ייגש לנתונים המאוחסנים ב-VPS של בעל השליטה, לא יצפה בהם ולא ישנה אותם, אלא אם בעל השליטה ביקש זאת במפורש בפנייה רשמית לתמיכה לצורך פתרון תקלה.

3אמצעים טכניים וארגוניים (עמידה בסעיף 32 ל-GDPR וב-NIS 2)

המעבד מיישם אמצעים טכניים וארגוניים מתאימים כדי להבטיח רמת אבטחה ההולמת את הסיכון, לרבות:

3.1.אבטחת התשתית: התשתית הפיזית, מרכזי הנתונים, אספקת החשמל והגנת DDoS ברמת הרשת מסופקים במלואם במיקור חוץ על ידי OVHcloud, הנמצאת אך ורק באיחוד האירופי ועומדת בתקני ISO 27001 ו-NIS 2.

3.2.בקרת גישה: אימות רב-שלבי (MFA) מחמיר ומנגנוני בקרת גישה לשכבת ניהול התשתית.

3.3.בידוד שכבת הבקרה: הגישה לממשקי הניהול של Proxmox VE מוגבלת בקפדנות לחיבורי VPN מאובטחים ומוצפנים.

4מעבדי משנה

4.1.בעל השליטה מעניק למעבד הרשאה כללית בכתב להתקשר עם מעבדי משנה לצורך פריסת התשתית.

4.2.מעבד המשנה העיקרי המאושר לאחסון התשתית הוא:

OVH Groupe SA (OVHcloud) — מיקום: האיחוד האירופי. מטרה: השכרת שרתים ייעודיים מסוג bare metal.

4.3.המעבד יודיע לבעל השליטה על כל שינוי מתוכנן בנוגע להוספה או להחלפה של מעבדי משנה, בדוא״ל או במדור החדשות של מערכת Paymenter.

5זכויות נושאי המידע ושיתוף פעולה עם רשויות הפיקוח

5.1.סיוע: בהתחשב באופי שירות האחסון, המעבד יסייע לבעל השליטה באמצעים טכניים מתאימים, ככל שהדבר אפשרי, למלא את חובתו להשיב לבקשות של נושאי מידע (הזכויות שבפרק III ל-GDPR).

5.2.אירוע אבטחת מידע: המעבד יודיע לבעל השליטה ללא דיחוי מיותר (ולא יאוחר מ-48 שעות) לאחר שנודע לו על אירוע אבטחה מאומת בצד המעבד שהוביל להשמדה, לאובדן או לשינוי של מידע אישי, בשוגג או שלא כדין.

6העברות מידע בין-לאומיות

6.1.כל שרתי הניהול (Paymenter) וסביבות הלקוחות (צמתי Proxmox) נמצאים אך ורק באזור הכלכלי האירופי (EEA). המעבד אינו מעביר מידע אישי המאוחסן ב-VPS אל מחוץ לאיחוד האירופי/ל-EEA.

7תקופה וסיום

7.1.הסכם זה יעמוד בתוקף כל עוד הסכם השירות הראשי (תנאי השירות) בתוקף.

7.2.עם סיום השירות המעבד ימחק את המכונה הווירטואלית (VPS) הרלוונטית ואת כל שאריות הנתונים המקומיות הקשורות אליה מאשכול ה-Proxmox תוך 7 עד 14 ימים, אלא אם דין האיחוד האירופי או הדין הפורטוגלי מחייבים שמירה ארוכה יותר של נתוני הנהלת חשבונות/חיוב.

נספח א': פרטי העיבוד

קטגוריות של נושאי מידע: משתמשי האתרים, היישומים או השירותים של בעל השליטה המאוחסנים ב-VPS.

סוגי מידע אישי: כל מידע דיגיטלי שבעל השליטה מעלה, מאחסן או מעביר ב-VPS (עשוי לכלול כתובות IP, יומנים, מסדי נתונים, פרופילי משתמשים).

אופי העיבוד ומטרתו: אחסון דיגיטלי, אירוח והקצאת משאבי מחשוב בשרתי ענן.