მონაცემთა დამუშავების ეს შეთანხმება („DPA“) იდება შემდეგ მხარეებს შორის:
Axioma100Teorema - Unipessoal Lda, რეგისტრირებული პორტუგალიაში, NIPC 519435583, რეგისტრირებული ოფისით მისამართზე Rua Fialho de Almeida, Número 14, 2.º Esq. Escritório Fj8, 1070-129, Lisboa, Portugal (შემდგომში — „უფლებამოსილი პირი“), და
იურიდიული ან ფიზიკური პირი, რომელიც ანგარიშს არეგისტრირებს Paymenter-ის საბილინგო სისტემის მეშვეობით და იყენებს VPS ჰოსტინგის მომსახურებას (შემდგომში — „დამმუშავებელი“).
დამმუშავებელსა და უფლებამოსილ პირს ერთად მოიხსენიებენ როგორც „მხარეებს“.
1მოქმედების სფერო, მიზანი და როლები
1.1.ეს DPA ვრცელდება იმ პერსონალური მონაცემების დამუშავებაზე, რომლებსაც დამმუშავებელი ინახავს, ჰოსტავს ან სხვაგვარად ამუშავებს უფლებამოსილი პირის მიერ მიწოდებულ ვირტუალურ კერძო სერვერებში (VPS).
1.2.ამ მომსახურების კონტექსტში კლიენტი არის დამმუშავებელი (განსაზღვრავს თავისი მომხმარებლების მონაცემების დამუშავების მიზანს), ხოლო Axioma100Teorema, LDA არის უფლებამოსილი პირი (მხოლოდ ტექნიკურ ინფრასტრუქტურას უზრუნველყოფს).
2უფლებამოსილი პირის ვალდებულებები
უფლებამოსილი პირი მკაცრად კისრულობს ვალდებულებას და თანხმდება:
2.1.მხოლოდ მითითებით: დაამუშაოს პერსონალური მონაცემები მხოლოდ დამმუშავებლის დოკუმენტირებული მითითებებით (მათ შორის ტექნიკური ავტომატური API ქმედებებით Paymenter-ის საბილინგო პანელისა და Proxmox VE ჰიპერვიზორის მეშვეობით).
2.2.კონფიდენციალურობა: უზრუნველყოს, რომ ინფრასტრუქტურის მართვაზე უფლებამოსილმა ყველა თანამშრომელმა იკისროს მკაცრი კონფიდენციალურობის ვალდებულება.
2.3.მონაცემთა იზოლაცია: შეინარჩუნოს ვირტუალური გარემოების ლოგიკური იზოლაცია ჰიპერვიზორის (Proxmox VE) დონეზე, სხვადასხვა კლიენტის კვანძებს შორის არასანქცირებული წვდომის თავიდან ასაცილებლად.
2.4.წვდომის გარეშე პოლიტიკა: უფლებამოსილი პირი არ შეაღწევს, არ დაათვალიერებს და არ შეცვლის დამმუშავებლის VPS-ში შენახულ მონაცემებს, თუ ამას დამმუშავებელი პირდაპირ არ მოითხოვს ოფიციალური მხარდაჭერის მოთხოვნით პრობლემის მოსაგვარებლად.
3ტექნიკური და ორგანიზაციული ზომები (GDPR-ის 32-ე მუხლისა და NIS 2-ის შესაბამისად)
უფლებამოსილი პირი ახორციელებს შესაბამის ტექნიკურ და ორგანიზაციულ ზომებს რისკის შესაბამისი უსაფრთხოების დონის უზრუნველსაყოფად, მათ შორის:
3.1.ინფრასტრუქტურის უსაფრთხოება: ფიზიკური ინფრასტრუქტურა, მონაცემთა ცენტრები, ელექტრომომარაგება და ქსელის დონის DDoS დაცვა სრულად გადაცემულია OVHcloud-ზე, რომელიც მხოლოდ ევროკავშირის (EU) ფარგლებში მდებარეობს და შეესაბამება ISO 27001 და NIS 2 სტანდარტებს.
3.2.წვდომის კონტროლი: მკაცრი მრავალფაქტორიანი ავთენტიკაცია (MFA) და წვდომის კონტროლის მექანიზმები ინფრასტრუქტურის მართვის სისტემისთვის.
3.3.მართვის სისტემის იზოლაცია: Proxmox VE-ის მართვის ინტერფეისებზე წვდომა მკაცრად შეზღუდულია უსაფრთხო დაშიფრული VPN კავშირებით.
4ქვე-უფლებამოსილი პირები
4.1.დამმუშავებელი უფლებამოსილ პირს აძლევს ზოგად წერილობით ნებართვას, ინფრასტრუქტურის უზრუნველსაყოფად ჩართოს ქვე-უფლებამოსილი პირები.
4.2.ინფრასტრუქტურის ჰოსტინგისთვის დამტკიცებული ძირითადი ქვე-უფლებამოსილი პირია:
OVH Groupe SA (OVHcloud) — მდებარეობა: ევროკავშირი. მიზანი: გამოყოფილი Bare Metal სერვერების იჯარა.
4.3.უფლებამოსილი პირი დამმუშავებელს აცნობებს ქვე-უფლებამოსილი პირების დამატებასთან ან შეცვლასთან დაკავშირებული ნებისმიერი დაგეგმილი ცვლილების შესახებ ელფოსტით ან Paymenter-ის სისტემის სიახლეების ბლოკში.
5მონაცემთა სუბიექტების უფლებები და თანამშრომლობა მარეგულირებლებთან
5.1.დახმარება: ჰოსტინგის მომსახურების ხასიათის გათვალისწინებით, უფლებამოსილი პირი შესაბამისი ტექნიკური ზომებით, შესაძლებლობის ფარგლებში, დაეხმარება დამმუშავებელს მონაცემთა სუბიექტების მოთხოვნებზე პასუხის ვალდებულების შესრულებაში (GDPR-ის III თავით გათვალისწინებული უფლებები).
5.2.პერსონალური მონაცემების უსაფრთხოების დარღვევა: უფლებამოსილი პირი დამმუშავებელს აცნობებს გაუმართლებელი დაყოვნების გარეშე (და არაუგვიანეს 48 საათისა) მას შემდეგ, რაც შეიტყობს უფლებამოსილი პირის მხარეს დადასტურებული უსაფრთხოების ინციდენტის შესახებ, რომელმაც გამოიწვია პერსონალური მონაცემების შემთხვევითი ან უკანონო განადგურება, დაკარგვა ან შეცვლა.
6მონაცემთა საერთაშორისო გადაცემა
6.1.ყველა მართვის სერვერი (Paymenter) და კლიენტების გარემო (Proxmox კვანძები) მხოლოდ ევროპის ეკონომიკური ზონის (EEA) ფარგლებში მდებარეობს. უფლებამოსილი პირი VPS-ში განთავსებულ პერსონალურ მონაცემებს EU/EEA-ს გარეთ არ გადასცემს.
7ვადა და შეწყვეტა
7.1.ეს DPA ძალაშია ძირითადი მომსახურების ხელშეკრულების (მომსახურების პირობების) მოქმედების განმავლობაში.
7.2.მომსახურების შეწყვეტის შემდეგ უფლებამოსილი პირი Proxmox კლასტერიდან 7–14 დღის განმავლობაში წაშლის შესაბამის ვირტუალურ მანქანას (VPS) და მასთან დაკავშირებულ ყველა ლოკალურ ნარჩენ მონაცემს, თუ ევროკავშირის ან პორტუგალიის კანონმდებლობა არ მოითხოვს საბუღალტრო/საბილინგო მონაცემების შემდგომ შენახვას.
დანართი A: დამუშავების დეტალები
მონაცემთა სუბიექტების კატეგორიები: VPS-ზე განთავსებული დამმუშავებლის ვებსაიტების, აპლიკაციების ან სერვისების მომხმარებლები.
პერსონალური მონაცემების ტიპები: ნებისმიერი ციფრული მონაცემი, რომელსაც დამმუშავებელი VPS-ში ტვირთავს, ინახავს ან გადასცემს (შეიძლება მოიცავდეს IP მისამართებს, ჟურნალებს, მონაცემთა ბაზებს, მომხმარებლის პროფილებს).
დამუშავების ხასიათი და მიზანი: ციფრული შენახვა, ჰოსტინგი და გამოთვლითი რესურსების გამოყოფა ღრუბლოვან სერვერებზე.