Verwerkersovereenkomst.

1Toepassingsgebied, doel en rollen

1.1.Deze DPA is van toepassing op de verwerking van persoonsgegevens die de Verwerkingsverantwoordelijke opslaat, host of op andere wijze verwerkt op de virtuele privéservers (VPS) die de Verwerker levert.

1.2.In het kader van deze dienst is de Klant de verwerkingsverantwoordelijke (hij bepaalt het doel van de gegevens van zijn gebruikers) en is Axioma100Teorema, LDA de verwerker (die alleen de technische infrastructuur levert).

2Verplichtingen van de Verwerker

De Verwerker verbindt zich uitdrukkelijk ertoe:

2.1.Alleen volgens instructies: persoonsgegevens uitsluitend te verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke (waaronder geautomatiseerde technische API-acties via het factureringspaneel Paymenter en de hypervisor Proxmox VE).

2.2.Vertrouwelijkheid: te waarborgen dat al het personeel dat bevoegd is de infrastructuur te beheren, zich tot strikte geheimhouding heeft verplicht.

2.3.Isolatie van gegevens: de logische isolatie van virtuele omgevingen op hypervisorniveau (Proxmox VE) in stand te houden om onbevoegde toegang tussen de nodes van verschillende klanten te voorkomen.

2.4.Zero-accessbeleid: de Verwerker zal de gegevens in de VPS van de Verwerkingsverantwoordelijke niet openen, inzien of wijzigen, tenzij de Verwerkingsverantwoordelijke daar uitdrukkelijk om vraagt via een officieel supportverzoek om een probleem op te lossen.

3Technische en organisatorische maatregelen (naleving van artikel 32 AVG & NIS 2)

De Verwerker treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder:

3.1.Beveiliging van de infrastructuur: de fysieke infrastructuur, de datacenters, de stroomvoorziening en de DDoS-bescherming op netwerkniveau zijn volledig uitbesteed aan OVHcloud, dat uitsluitend binnen de Europese Unie (EU) is gevestigd en voldoet aan de normen ISO 27001 en NIS 2.

3.2.Toegangscontrole: strikte meerfactorauthenticatie (MFA) en mechanismen voor toegangscontrole voor het beheerniveau van de infrastructuur.

3.3.Isolatie van het beheerniveau: de toegang tot de beheerinterfaces van Proxmox VE is strikt beperkt tot beveiligde, versleutelde VPN-verbindingen.

4Subverwerkers

4.1.De Verwerkingsverantwoordelijke verleent de Verwerker een algemene schriftelijke toestemming om subverwerkers in te schakelen voor de inrichting van de infrastructuur.

4.2.De belangrijkste goedgekeurde subverwerker voor de hosting van de infrastructuur is:

OVH Groupe SA (OVHcloud) — Locatie: Europese Unie. Doel: verhuur van dedicated bare-metalservers.

4.3.De Verwerker informeert de Verwerkingsverantwoordelijke per e-mail of via het nieuwsblok van het Paymenter-systeem over voorgenomen wijzigingen met betrekking tot de toevoeging of vervanging van subverwerkers.

5Rechten van betrokkenen & samenwerking met toezichthouders

5.1.Bijstand: rekening houdend met de aard van de hostingdienst helpt de Verwerker de Verwerkingsverantwoordelijke, voor zover mogelijk, met passende technische maatregelen bij het nakomen van diens plicht om verzoeken van betrokkenen te beantwoorden (rechten uit hoofdstuk III AVG).

5.2.Inbreuk in verband met persoonsgegevens: de Verwerker meldt de Verwerkingsverantwoordelijke zonder onredelijke vertraging (en uiterlijk binnen 48 uur) nadat hij kennis heeft gekregen van een bevestigd beveiligingsincident aan zijn kant dat leidt tot de onopzettelijke of onrechtmatige vernietiging, het verlies of de wijziging van persoonsgegevens.

6Internationale doorgifte van gegevens

6.1.Alle beheerservers (Paymenter) en klantomgevingen (Proxmox-nodes) bevinden zich uitsluitend binnen de Europese Economische Ruimte (EER). De Verwerker geeft geen persoonsgegevens die in de VPS worden gehost door naar landen buiten de EU/EER.

7Duur en beëindiging

7.1.Deze DPA blijft van kracht zolang de hoofdovereenkomst (Algemene voorwaarden) loopt.

7.2.Na beëindiging van de dienst verwijdert de Verwerker de betreffende virtuele machine (VPS) en alle bijbehorende lokale gegevensresten binnen 7 tot 14 dagen uit het Proxmox-cluster, tenzij het Europese of Portugese recht een langere bewaring van boekhoud- of factuurgegevens voorschrijft.

Bijlage A: details van de verwerking

Categorieën betrokkenen: gebruikers van de websites, applicaties of diensten van de Verwerkingsverantwoordelijke die op de VPS worden gehost.

Soorten persoonsgegevens: alle digitale gegevens die de Verwerkingsverantwoordelijke binnen de VPS uploadt, opslaat of verzendt (kan IP-adressen, logs, databases en gebruikersprofielen omvatten).

Aard en doel van de verwerking: digitale opslag, hosting en toewijzing van rekencapaciteit op cloudservers.