데이터 처리 계약.

1적용 범위, 목적, 역할

1.1.이 DPA는 처리자가 제공하는 가상 사설 서버(VPS) 안에서 컨트롤러가 저장하거나 호스팅하거나 그 밖의 방법으로 처리하는 개인정보의 처리에 적용됩니다.

1.2.이 서비스와 관련하여 고객은 개인정보 컨트롤러(자신의 사용자 정보의 처리 목적을 결정)이며, Axioma100Teorema, LDA는 개인정보 처리자(기술 인프라만 제공)입니다.

2처리자의 의무

처리자는 다음 사항을 엄격히 약속하고 이에 동의합니다:

2.1.지시에 따른 처리: 개인정보는 컨트롤러의 문서화된 지시(Paymenter 청구 패널과 Proxmox VE 하이퍼바이저를 통한 기술적 자동 API 작업 포함)에 따라서만 처리합니다.

2.2.기밀 유지: 인프라 관리 권한을 가진 모든 직원이 엄격한 기밀 유지 의무를 지도록 합니다.

2.3.데이터 격리: 서로 다른 고객 노드 간의 무단 접근을 막기 위해 하이퍼바이저 수준(Proxmox VE)에서 가상 환경의 논리적 격리를 유지합니다.

2.4.무접근 원칙: 처리자는 컨트롤러가 문제 해결을 위해 공식 지원 문의로 명시적으로 요청하지 않는 한, 컨트롤러의 VPS 안에 저장된 데이터에 접근하거나 이를 열람하거나 수정하지 않습니다.

3기술적·관리적 조치(GDPR 제32조 및 NIS 2 준수)

처리자는 위험에 적합한 보안 수준을 보장하기 위해 다음을 포함한 적절한 기술적·관리적 조치를 시행합니다:

3.1.인프라 보안: 물리적 인프라, 데이터센터, 전력 공급, 네트워크 수준의 DDoS 보호는 전적으로 OVHcloud에 위탁되어 있으며, 이는 오직 유럽연합(EU) 안에 있고 ISO 27001과 NIS 2 기준을 준수합니다.

3.2.접근 통제: 인프라 관리 영역에 대한 엄격한 다중 인증(MFA)과 접근 통제 체계.

3.3.관리 영역 격리: Proxmox VE 관리 인터페이스에 대한 접근은 암호화된 보안 VPN 연결로만 엄격히 제한됩니다.

4재처리자

4.1.컨트롤러는 처리자가 인프라 구축을 위해 재처리자를 이용하는 것에 대해 일반적인 서면 승인을 합니다.

4.2.인프라 호스팅을 위해 승인된 주요 재처리자는 다음과 같습니다:

OVH Groupe SA (OVHcloud) — 위치: 유럽연합. 목적: 베어메탈 전용 서버 임대.

4.3.처리자는 재처리자의 추가 또는 교체에 관한 변경 예정 사항을 이메일 또는 Paymenter 시스템의 공지 영역을 통해 컨트롤러에게 알립니다.

5정보주체의 권리와 감독기관과의 협력

5.1.지원: 처리자는 호스팅 서비스의 성격을 고려하여, 가능한 범위에서 적절한 기술적 조치를 통해 정보주체의 요청(GDPR 제3장의 권리)에 응할 컨트롤러의 의무 이행을 지원합니다.

5.2.개인정보 침해: 처리자는 개인정보의 우발적 또는 불법적 파괴, 손실, 변경으로 이어진 보안 사고가 처리자 측에서 확인된 것을 알게 된 후 지체 없이(늦어도 48시간 이내에) 컨트롤러에게 통지합니다.

6국외 이전

6.1.모든 관리 서버(Paymenter)와 고객 환경(Proxmox 노드)은 오직 유럽경제지역(EEA) 안에 있습니다. 처리자는 VPS 안에 호스팅된 개인정보를 EU/EEA 밖으로 이전하지 않습니다.

7기간과 종료

7.1.이 DPA는 주 서비스 계약(이용약관)의 기간 동안 효력을 가집니다.

7.2.서비스가 종료되면, EU 또는 포르투갈 법률이 회계·청구 데이터의 추가 보관을 요구하지 않는 한, 처리자는 7~14일 이내에 해당 가상 머신(VPS)과 관련된 모든 로컬 잔여 데이터를 Proxmox 클러스터에서 삭제합니다.

별표 A: 처리 세부 사항

정보주체의 범주: VPS에 호스팅된 컨트롤러의 웹사이트, 애플리케이션, 서비스의 사용자.

개인정보의 종류: 컨트롤러가 VPS 안에서 업로드, 저장 또는 전송하는 모든 디지털 데이터(IP 주소, 로그, 데이터베이스, 사용자 프로필을 포함할 수 있음).

처리의 성격과 목적: 클라우드 서버에서의 디지털 저장, 호스팅, 컴퓨팅 자원 할당.