Accordo sul trattamento dei dati.

1Ambito, finalità e ruoli

1.1.Il presente DPA si applica al trattamento dei dati personali memorizzati, ospitati o altrimenti trattati dal Titolare nei server privati virtuali (VPS) forniti dal Responsabile.

1.2.Nell’ambito di questo servizio, il Cliente è il titolare del trattamento (determina le finalità dei dati dei propri utenti) e Axioma100Teorema, LDA è il responsabile del trattamento (fornisce esclusivamente l’infrastruttura tecnica).

2Obblighi del Responsabile

Il Responsabile si impegna espressamente a:

2.1.Solo su istruzione: trattare i dati personali esclusivamente su istruzione documentata del Titolare (comprese le azioni tecniche automatizzate tramite API attraverso il pannello di fatturazione Paymenter e l’hypervisor Proxmox VE).

2.2.Riservatezza: garantire che tutto il personale autorizzato a gestire l’infrastruttura si sia impegnato a una rigorosa riservatezza.

2.3.Isolamento dei dati: mantenere l’isolamento logico degli ambienti virtuali a livello di hypervisor (Proxmox VE) per impedire accessi non autorizzati tra i nodi di clienti diversi.

2.4.Politica di accesso zero: il Responsabile non accede, non consulta e non modifica i dati memorizzati nel VPS del Titolare, salvo che quest’ultimo lo chieda espressamente con una richiesta di assistenza ufficiale per la risoluzione di un problema.

3Misure tecniche e organizzative (conformità all’articolo 32 del GDPR & NIS 2)

Il Responsabile adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio, tra cui:

3.1.Sicurezza dell’infrastruttura: l’infrastruttura fisica, i data center, l’alimentazione elettrica e la protezione DDoS a livello di rete sono interamente affidati a OVHcloud, situata esclusivamente nell’Unione europea (UE), in conformità agli standard ISO 27001 e NIS 2.

3.2.Controllo degli accessi: autenticazione a più fattori (MFA) rigorosa e meccanismi di controllo degli accessi per il piano di gestione dell’infrastruttura.

3.3.Isolamento del piano di controllo: l’accesso alle interfacce di gestione di Proxmox VE è rigorosamente limitato a connessioni VPN sicure e cifrate.

4Sub-responsabili

4.1.Il Titolare concede al Responsabile un’autorizzazione scritta generale a ricorrere a sub-responsabili per la messa in opera dell’infrastruttura.

4.2.Il principale sub-responsabile autorizzato per l’hosting dell’infrastruttura è:

OVH Groupe SA (OVHcloud) — Sede: Unione europea. Finalità: noleggio di server dedicati bare metal.

4.3.Il Responsabile informa il Titolare di eventuali modifiche previste riguardanti l’aggiunta o la sostituzione di sub-responsabili via email o tramite la sezione notizie del sistema Paymenter.

5Diritti degli interessati & cooperazione con le autorità

5.1.Assistenza: tenuto conto della natura del servizio di hosting, il Responsabile assiste il Titolare con misure tecniche adeguate, nella misura in cui ciò sia possibile, nell’adempimento dell’obbligo di rispondere alle richieste degli interessati (diritti di cui al capo III del GDPR).

5.2.Violazione dei dati personali: il Responsabile informa il Titolare senza ingiustificato ritardo (e comunque entro 48 ore) dopo essere venuto a conoscenza di un incidente di sicurezza confermato dalla propria parte che comporti la distruzione, la perdita o la modifica accidentale o illecita di dati personali.

6Trasferimenti internazionali di dati

6.1.Tutti i server di gestione (Paymenter) e gli ambienti dei clienti (nodi Proxmox) si trovano esclusivamente nello Spazio economico europeo (SEE). Il Responsabile non trasferisce al di fuori dell’UE/SEE alcun dato personale ospitato nei VPS.

7Durata e cessazione

7.1.Il presente DPA resta in vigore per tutta la durata del contratto principale (Termini di servizio).

7.2.Alla cessazione del servizio, il Responsabile elimina la macchina virtuale (VPS) interessata e tutti i residui di dati locali associati dal cluster Proxmox entro 7–14 giorni, salvo che il diritto dell’UE o portoghese imponga una conservazione più lunga dei dati contabili o di fatturazione.

Allegato A: dettagli del trattamento

Categorie di interessati: utenti dei siti web, delle applicazioni o dei servizi del Titolare ospitati sul VPS.

Tipi di dati personali: qualsiasi dato digitale caricato, memorizzato o trasmesso dal Titolare all’interno del VPS (può includere indirizzi IP, log, database, profili utente).

Natura e finalità del trattamento: archiviazione digitale, hosting e allocazione di risorse di calcolo su server cloud.