Datu apstrādes līgums.

1Darbības joma, mērķis un lomas

1.1.Šis Līgums attiecas uz personas datu apstrādi, kurus Pārzinis glabā, izvieto vai citādi apstrādā Apstrādātāja nodrošinātajos virtuālajos privātajos serveros (VPS).

1.2.Šī pakalpojuma kontekstā Klients ir datu pārzinis (nosaka savu lietotāju datu apstrādes mērķi), bet Axioma100Teorema, LDA ir datu apstrādātājs (nodrošina tikai tehnisko infrastruktūru).

2Apstrādātāja pienākumi

Apstrādātājs stingri apņemas:

2.1.Tikai pēc norādījumiem: apstrādāt personas datus tikai saskaņā ar Pārziņa dokumentētiem norādījumiem (tostarp tehniskām automatizētām API darbībām caur norēķinu paneli Paymenter un hipervizoru Proxmox VE).

2.2.Konfidencialitāte: nodrošināt, ka visas personas, kas pilnvarotas pārvaldīt infrastruktūru, ir apņēmušās ievērot stingru konfidencialitāti.

2.3.Datu nošķiršana: uzturēt virtuālo vidi loģisku nošķiršanu hipervizora līmenī (Proxmox VE), lai novērstu neatļautu piekļuvi starp dažādu klientu mezgliem.

2.4.Nulles piekļuves politika: Apstrādātājs nepiekļūs Pārziņa VPS glabātajiem datiem, neskatīs un nemainīs tos, ja vien Pārzinis to skaidri nepieprasa ar oficiālu atbalsta pieteikumu problēmu novēršanai.

3Tehniskie un organizatoriskie pasākumi (atbilstība VDAR 32. pantam un NIS 2)

Apstrādātājs īsteno atbilstošus tehniskos un organizatoriskos pasākumus, lai nodrošinātu riskam atbilstošu drošības līmeni, tostarp:

3.1.Infrastruktūras drošība: Fiziskā infrastruktūra, datu centri, elektroapgāde un tīkla līmeņa DDoS aizsardzība ir pilnībā nodota ārpakalpojumā OVHcloud, kas atrodas tikai Eiropas Savienībā (ES) un atbilst ISO 27001 un NIS 2 standartiem.

3.2.Piekļuves kontrole: Stingra daudzfaktoru autentifikācija (MFA) un piekļuves kontroles mehānismi infrastruktūras pārvaldības līmenim.

3.3.Vadības plaknes nošķiršana: Piekļuve Proxmox VE pārvaldības saskarnēm ir stingri ierobežota ar drošiem šifrētiem VPN savienojumiem.

4Apakšapstrādātāji

4.1.Pārzinis dod Apstrādātājam vispārēju rakstisku atļauju piesaistīt apakšapstrādātājus infrastruktūras izvēršanai.

4.2.Galvenais apstiprinātais apakšapstrādātājs infrastruktūras hostingam ir:

OVH Groupe SA (OVHcloud) — Atrašanās vieta: Eiropas Savienība. Mērķis: dedicēto bare metal serveru noma.

4.3.Apstrādātājs informē Pārzini par plānotām izmaiņām saistībā ar apakšapstrādātāju pievienošanu vai nomaiņu pa e-pastu vai Paymenter sistēmas jaunumu blokā.

5Datu subjektu tiesības un sadarbība ar uzraudzības iestādēm

5.1.Palīdzība: Ņemot vērā hostinga pakalpojuma raksturu, Apstrādātājs ar atbilstošiem tehniskiem pasākumiem, ciktāl tas iespējams, palīdz Pārzinim izpildīt pienākumu atbildēt uz datu subjektu pieprasījumiem (VDAR III nodaļā noteiktās tiesības).

5.2.Personas datu aizsardzības pārkāpums: Apstrādātājs bez nepamatotas kavēšanās (un ne vēlāk kā 48 stundu laikā) informē Pārzini pēc tam, kad tam kļuvis zināms par apstiprinātu drošības incidentu Apstrādātāja pusē, kura rezultātā personas dati nejauši vai nelikumīgi iznīcināti, nozaudēti vai pārveidoti.

6Starptautiska datu nosūtīšana

6.1.Visi pārvaldības serveri (Paymenter) un klientu vides (Proxmox mezgli) atrodas tikai Eiropas Ekonomikas zonā (EEZ). Apstrādātājs nenosūta VPS izvietotos personas datus ārpus ES/EEZ.

7Termiņš un izbeigšana

7.1.Šis Līgums ir spēkā visu galvenā pakalpojumu līguma (pakalpojumu noteikumu) darbības laiku.

7.2.Pēc pakalpojuma izbeigšanas Apstrādātājs 7 līdz 14 dienu laikā dzēš attiecīgo virtuālo mašīnu (VPS) un visus ar to saistītos vietējos datu atlikumus no Proxmox klastera, ja vien ES vai Portugāles tiesību akti neprasa ilgāk glabāt grāmatvedības vai norēķinu datus.

A pielikums: apstrādes informācija

Datu subjektu kategorijas: Pārziņa vietņu, lietotņu vai pakalpojumu, kas izvietoti VPS, lietotāji.

Personas datu veidi: Jebkādi digitālie dati, ko Pārzinis augšupielādē, glabā vai pārsūta VPS (var ietvert IP adreses, žurnālus, datubāzes, lietotāju profilus).

Apstrādes raksturs un mērķis: Digitālā glabāšana, hostings un skaitļošanas resursu piešķiršana mākoņserveros.