Databehandleravtale.

1Omfang, formål og roller

1.1.Denne avtalen gjelder behandling av personopplysninger som den Behandlingsansvarlige lagrer, drifter eller på annen måte behandler på de virtuelle private serverne (VPS) som Databehandleren stiller til rådighet.

1.2.I forbindelse med denne tjenesten er Kunden behandlingsansvarlig (bestemmer formålet med behandlingen av sine brukeres opplysninger), og Axioma100Teorema, LDA er databehandler (stiller bare teknisk infrastruktur til rådighet).

2Databehandlerens plikter

Databehandleren forplikter seg uttrykkelig til å:

2.1.Bare etter instruks: behandle personopplysninger utelukkende etter dokumenterte instrukser fra den Behandlingsansvarlige (inkludert tekniske automatiserte API-handlinger via faktureringspanelet Paymenter og hypervisoren Proxmox VE).

2.2.Konfidensialitet: sørge for at alle personer som har fullmakt til å administrere infrastrukturen, har forpliktet seg til streng taushetsplikt.

2.3.Isolering av data: opprettholde logisk isolering av de virtuelle miljøene på hypervisornivå (Proxmox VE) for å hindre uautorisert tilgang mellom ulike kunders noder.

2.4.Prinsipp om ingen tilgang: Databehandleren vil ikke få tilgang til, se eller endre data som er lagret på den Behandlingsansvarliges VPS, med mindre den Behandlingsansvarlige uttrykkelig ber om det gjennom en offisiell supporthenvendelse for feilsøking.

3Tekniske og organisatoriske tiltak (samsvar med artikkel 32 i personvernforordningen & NIS 2)

Databehandleren gjennomfører egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er tilpasset risikoen, herunder:

3.1.Infrastrukturens sikkerhet: Den fysiske infrastrukturen, datasentre, strømforsyning og DDoS-beskyttelse på nettverksnivå er fullt ut satt ut til OVHcloud, som utelukkende befinner seg i EU og oppfyller standardene ISO 27001 og NIS 2.

3.2.Tilgangskontroll: Streng flerfaktorautentisering (MFA) og tilgangskontrollmekanismer for infrastrukturens administrasjonslag.

3.3.Isolering av kontrollplanet: Tilgangen til administrasjonsgrensesnittene i Proxmox VE er strengt begrenset via sikre, krypterte VPN-tilkoblinger.

4Underdatabehandlere

4.1.Den Behandlingsansvarlige gir Databehandleren en generell skriftlig godkjenning til å bruke underdatabehandlere for utrulling av infrastrukturen.

4.2.Den viktigste godkjente underdatabehandleren for drift av infrastrukturen er:

OVH Groupe SA (OVHcloud) — Plassering: EU. Formål: utleie av dedikerte bare metal-servere.

4.3.Databehandleren skal informere den Behandlingsansvarlige om planlagte endringer som gjelder tillegg eller utskifting av underdatabehandlere, på e-post eller i nyhetsblokken i Paymenter-systemet.

5De registrertes rettigheter & samarbeid med tilsynsmyndigheter

5.1.Bistand: Ut fra hostingtjenestens art bistår Databehandleren den Behandlingsansvarlige med egnede tekniske tiltak, så langt det er mulig, slik at den Behandlingsansvarlige kan oppfylle sin plikt til å svare på forespørsler fra registrerte (rettighetene i kapittel III i personvernforordningen).

5.2.Brudd på personopplysningssikkerheten: Databehandleren skal varsle den Behandlingsansvarlige uten unødig opphold (og senest innen 48 timer) etter å ha blitt kjent med en bekreftet sikkerhetshendelse hos Databehandleren som fører til utilsiktet eller ulovlig tilintetgjøring, tap eller endring av personopplysninger.

6Internasjonale overføringer av opplysninger

6.1.Alle administrasjonsservere (Paymenter) og kundemiljøer (Proxmox-noder) befinner seg utelukkende i Det europeiske økonomiske samarbeidsområdet (EØS). Databehandleren overfører ingen personopplysninger som driftes på VPS-en, ut av EU/EØS.

7Varighet og opphør

7.1.Denne avtalen gjelder så lenge hovedavtalen om tjenesten (tjenestevilkårene) gjelder.

7.2.Når tjenesten opphører, sletter Databehandleren den aktuelle virtuelle maskinen (VPS) og alle tilhørende lokale datarester fra Proxmox-klyngen innen 7 til 14 dager, med mindre EU-retten eller portugisisk rett krever lengre lagring av regnskaps- eller faktureringsopplysninger.

Vedlegg A: Opplysninger om behandlingen

Kategorier av registrerte: Brukere av den Behandlingsansvarliges nettsteder, applikasjoner eller tjenester som driftes på VPS-en.

Typer personopplysninger: Alle digitale data som den Behandlingsansvarlige laster opp, lagrer eller overfører på VPS-en (kan omfatte IP-adresser, logger, databaser, brukerprofiler).

Behandlingens art og formål: Digital lagring, drift og tildeling av dataressurser på skyservere.