Perjanjian Pemrosesan Data ini (“DPA”) dibuat oleh dan antara:
Axioma100Teorema - Unipessoal Lda, terdaftar di Portugal dengan NIPC 519435583, berkedudukan terdaftar di Rua Fialho de Almeida, Número 14, 2.º Esq. Escritório Fj8, 1070-129, Lisboa, Portugal (selanjutnya disebut “Prosesor”), dan
Badan atau perorangan yang mendaftarkan akun melalui sistem penagihan Paymenter dan menggunakan layanan hosting VPS (selanjutnya disebut “Pengendali”).
Pengendali dan Prosesor secara bersama-sama disebut “Para Pihak”.
1Ruang lingkup, tujuan, dan peran
1.1.DPA ini berlaku untuk pemrosesan data pribadi yang disimpan, di-host, atau diproses dengan cara lain oleh Pengendali di dalam Server Pribadi Virtual (VPS) yang disediakan oleh Prosesor.
1.2.Dalam konteks layanan ini, Pelanggan adalah Pengendali Data (menentukan tujuan data penggunanya), dan Axioma100Teorema, LDA adalah Prosesor Data (hanya menyediakan infrastruktur teknis).
2Kewajiban Prosesor
Prosesor dengan tegas berjanji dan setuju untuk:
2.1.Hanya atas instruksi: Memproses Data Pribadi semata-mata berdasarkan instruksi terdokumentasi dari Pengendali (termasuk tindakan API otomatis teknis melalui panel penagihan Paymenter dan hypervisor Proxmox VE).
2.2.Kerahasiaan: Memastikan bahwa semua personel yang berwenang mengelola infrastruktur telah berkomitmen pada kerahasiaan yang ketat.
2.3.Isolasi data: Menjaga isolasi logis lingkungan virtual di tingkat hypervisor (Proxmox VE) untuk mencegah akses tidak sah antar-node klien yang berbeda.
2.4.Kebijakan tanpa akses: Prosesor tidak akan mengakses, melihat, atau mengubah data yang disimpan di dalam VPS Pengendali kecuali diminta secara tegas oleh Pengendali melalui permintaan bantuan resmi untuk pemecahan masalah.
3Langkah teknis dan organisasi (kepatuhan terhadap Pasal 32 GDPR & NIS 2)
Prosesor menerapkan langkah teknis dan organisasi yang sesuai untuk memastikan tingkat keamanan yang sesuai dengan risiko, termasuk:
3.1.Keamanan infrastruktur: Infrastruktur fisik, pusat data, catu daya, dan perlindungan DDoS tingkat jaringan sepenuhnya dialihdayakan ke OVHcloud, yang berlokasi secara ketat di dalam Uni Eropa (UE), sesuai dengan standar ISO 27001 dan NIS 2.
3.2.Kontrol akses: Autentikasi multifaktor (MFA) yang ketat dan mekanisme kontrol akses untuk bidang manajemen infrastruktur.
3.3.Isolasi bidang kontrol: Akses ke antarmuka manajemen Proxmox VE dibatasi secara ketat melalui koneksi VPN terenkripsi yang aman.
4Subprosesor
4.1.Pengendali memberikan otorisasi tertulis umum kepada Prosesor untuk melibatkan subprosesor untuk penyediaan infrastruktur.
4.2.Subprosesor utama yang disetujui untuk hosting infrastruktur adalah:
OVH Groupe SA (OVHcloud) — Lokasi: Uni Eropa. Tujuan: Penyewaan Server Dedicated Bare Metal.
4.3.Prosesor akan memberi tahu Pengendali tentang setiap rencana perubahan terkait penambahan atau penggantian subprosesor melalui email atau blok berita sistem Paymenter.
5Hak subjek data & kerja sama regulasi
5.1.Bantuan: Dengan mempertimbangkan sifat layanan hosting, Prosesor akan membantu Pengendali dengan langkah teknis yang sesuai, sejauh dimungkinkan, untuk pemenuhan kewajiban Pengendali menanggapi permintaan dari Subjek Data (hak berdasarkan Bab III GDPR).
5.2.Pelanggaran data pribadi: Prosesor akan memberi tahu Pengendali tanpa penundaan yang tidak semestinya (dan paling lambat 48 jam) setelah mengetahui adanya insiden keamanan yang dikonfirmasi di pihak Prosesor yang menyebabkan perusakan, kehilangan, atau perubahan Data Pribadi secara tidak sengaja atau melanggar hukum.
6Transfer data internasional
6.1.Semua server manajemen (Paymenter) dan lingkungan pelanggan (node Proxmox) berlokasi secara ketat di dalam Wilayah Ekonomi Eropa (EEA). Tidak ada data pribadi yang di-host di dalam VPS yang ditransfer ke luar UE/EEA oleh Prosesor.
7Jangka waktu dan pengakhiran
7.1.DPA ini tetap berlaku selama Perjanjian Layanan utama (Ketentuan Layanan) berlaku.
7.2.Setelah layanan diakhiri, Prosesor akan menghapus mesin virtual (VPS) yang bersangkutan dan semua sisa data lokal terkait dari kluster Proxmox dalam 7 hingga 14 hari, kecuali hukum UE atau Portugal mewajibkan penyimpanan lebih lanjut atas data akuntansi/penagihan.
Lampiran A: Rincian pemrosesan
Kategori subjek data: Pengguna situs web, aplikasi, atau layanan Pengendali yang di-host di VPS.
Jenis data pribadi: Data digital apa pun yang diunggah, disimpan, atau dikirim oleh Pengendali di dalam VPS (dapat mencakup alamat IP, log, basis data, profil pengguna).
Sifat dan tujuan pemrosesan: Penyimpanan digital, hosting, dan alokasi sumber daya komputasi di server cloud.