Ez az adatfeldolgozási megállapodás („DPA”) a következő felek között jön létre:
Axioma100Teorema - Unipessoal Lda, Portugáliában bejegyezve NIPC 519435583 számon, székhelye: Rua Fialho de Almeida, Número 14, 2.º Esq. Escritório Fj8, 1070-129, Lisboa, Portugália (a továbbiakban: „Adatfeldolgozó”), valamint
az a szervezet vagy természetes személy, aki a Paymenter számlázási rendszerben fiókot regisztrál, és igénybe veszi a VPS-tárhelyszolgáltatást (a továbbiakban: „Adatkezelő”).
Az Adatkezelő és az Adatfeldolgozó a továbbiakban együtt: „Felek”.
1Hatály, cél és szerepek
1.1.Ez a DPA azon személyes adatok kezelésére vonatkozik, amelyeket az Adatkezelő az Adatfeldolgozó által biztosított virtuális magánszervereken (VPS) tárol, tárhelyen tart vagy más módon kezel.
1.2.E szolgáltatás keretében az Ügyfél az adatkezelő (ő határozza meg felhasználói adatainak kezelési célját), az Axioma100Teorema, LDA pedig az adatfeldolgozó (csak a technikai infrastruktúrát biztosítja).
2Az Adatfeldolgozó kötelezettségei
Az Adatfeldolgozó kifejezetten vállalja, hogy:
2.1.Csak utasítás alapján: a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli (ideértve a Paymenter számlázási panelen és a Proxmox VE hipervizoron keresztüli automatizált technikai API-műveleteket).
2.2.Titoktartás: biztosítja, hogy az infrastruktúra kezelésére jogosult valamennyi munkatárs szigorú titoktartást vállaljon.
2.3.Adatelkülönítés: fenntartja a virtuális környezetek logikai elkülönítését a hipervizor szintjén (Proxmox VE), hogy megakadályozza a különböző ügyfelek csomópontjai közötti jogosulatlan hozzáférést.
2.4.Nulla hozzáférés elve: az Adatfeldolgozó nem fér hozzá, nem tekinti meg és nem módosítja az Adatkezelő VPS-én tárolt adatokat, kivéve, ha az Adatkezelő ezt hibaelhárítás céljából hivatalos ügyfélszolgálati megkeresésben kifejezetten kéri.
3Technikai és szervezési intézkedések (megfelelés a GDPR 32. cikkének és a NIS 2-nek)
Az Adatfeldolgozó megfelelő technikai és szervezési intézkedésekkel biztosítja a kockázatnak megfelelő biztonsági szintet, többek között:
3.1.Az infrastruktúra biztonsága: a fizikai infrastruktúrát, az adatközpontokat, az áramellátást és a hálózati szintű DDoS-védelmet teljes egészében az OVHcloud biztosítja, amely kizárólag az Európai Unióban (EU) működik, az ISO 27001 és a NIS 2 szabványoknak megfelelően.
3.2.Hozzáférés-szabályozás: szigorú többtényezős hitelesítés (MFA) és hozzáférés-szabályozási mechanizmusok az infrastruktúra kezelési rétegére.
3.3.A vezérlési réteg elkülönítése: a Proxmox VE kezelőfelületeihez való hozzáférés szigorúan biztonságos, titkosított VPN-kapcsolatokra korlátozódik.
4További adatfeldolgozók
4.1.Az Adatkezelő általános írásos felhatalmazást ad az Adatfeldolgozónak arra, hogy az infrastruktúra kiépítéséhez további adatfeldolgozókat vegyen igénybe.
4.2.Az infrastruktúra tárhelyszolgáltatásához jóváhagyott fő további adatfeldolgozó:
OVH Groupe SA (OVHcloud) — Helyszín: Európai Unió. Cél: dedikált bare metal szerverek bérlése.
4.3.Az Adatfeldolgozó e-mailben vagy a Paymenter rendszer hírek blokkjában tájékoztatja az Adatkezelőt a további adatfeldolgozók bevonására vagy cseréjére vonatkozó tervezett változásokról.
5Az érintettek jogai és együttműködés a hatóságokkal
5.1.Segítségnyújtás: a tárhelyszolgáltatás jellegét figyelembe véve az Adatfeldolgozó megfelelő technikai intézkedésekkel, amennyire lehetséges, segíti az Adatkezelőt abban, hogy teljesítse az érintettek kérelmeinek megválaszolására vonatkozó kötelezettségét (a GDPR III. fejezete szerinti jogok).
5.2.Adatvédelmi incidens: az Adatfeldolgozó indokolatlan késedelem nélkül (és legkésőbb 48 órán belül) értesíti az Adatkezelőt, miután tudomást szerzett egy saját oldalán bekövetkezett, megerősített biztonsági incidensről, amely személyes adatok véletlen vagy jogellenes megsemmisüléséhez, elvesztéséhez vagy módosulásához vezet.
6Nemzetközi adattovábbítás
6.1.Minden kezelőszerver (Paymenter) és ügyfélkörnyezet (Proxmox-csomópont) kizárólag az Európai Gazdasági Térségben (EGT) található. Az Adatfeldolgozó a VPS-eken tárolt személyes adatokat nem továbbítja az EU/EGT területén kívülre.
7Időtartam és megszűnés
7.1.Ez a DPA a fő szerződés (ÁSZF) teljes időtartama alatt hatályban marad.
7.2.A szolgáltatás megszűnésekor az Adatfeldolgozó 7–14 napon belül törli a Proxmox-fürtből az érintett virtuális gépet (VPS) és az ahhoz kapcsolódó összes helyi adatmaradványt, kivéve, ha az uniós vagy a portugál jog a számviteli vagy számlázási adatok hosszabb megőrzését írja elő.
A. melléklet: az adatkezelés részletei
Az érintettek kategóriái: az Adatkezelő VPS-en tárolt weboldalainak, alkalmazásainak vagy szolgáltatásainak felhasználói.
A személyes adatok típusai: az Adatkezelő által a VPS-re feltöltött, ott tárolt vagy onnan továbbított bármilyen digitális adat (lehetnek köztük IP-címek, naplók, adatbázisok, felhasználói profilok).
Az adatkezelés jellege és célja: digitális tárolás, tárhelyszolgáltatás és számítási erőforrások kiosztása felhőszervereken.