Niniejsza umowa powierzenia przetwarzania danych („DPA”) zostaje zawarta między:
Axioma100Teorema - Unipessoal Lda, zarejestrowaną w Portugalii pod numerem NIPC 519435583, z siedzibą pod adresem Rua Fialho de Almeida, Número 14, 2.º Esq. Escritório Fj8, 1070-129, Lisboa, Portugalia (dalej: „Podmiot przetwarzający”), a
podmiotem lub osobą fizyczną, która rejestruje konto w systemie rozliczeniowym Paymenter i korzysta z usług hostingu VPS (dalej: „Administrator”).
Administrator i Podmiot przetwarzający są dalej łącznie zwani „Stronami”.
1Zakres, cel i role
1.1.Niniejsza DPA dotyczy przetwarzania danych osobowych przechowywanych, hostowanych lub w inny sposób przetwarzanych przez Administratora na wirtualnych serwerach prywatnych (VPS) udostępnianych przez Podmiot przetwarzający.
1.2.W ramach tej usługi Klient jest administratorem danych (określa cel przetwarzania danych swoich użytkowników), a Axioma100Teorema, LDA jest podmiotem przetwarzającym (zapewnia wyłącznie infrastrukturę techniczną).
2Obowiązki Podmiotu przetwarzającego
Podmiot przetwarzający zobowiązuje się bezwzględnie:
2.1.Działać wyłącznie na polecenie: przetwarzać dane osobowe wyłącznie na udokumentowane polecenie Administratora (w tym zautomatyzowane działania techniczne przez API w panelu rozliczeniowym Paymenter i hiperwizorze Proxmox VE).
2.2.Poufność: zapewnić, by cały personel upoważniony do zarządzania infrastrukturą zobowiązał się do ścisłej poufności.
2.3.Izolacja danych: utrzymywać logiczną izolację środowisk wirtualnych na poziomie hiperwizora (Proxmox VE), aby zapobiegać nieuprawnionemu dostępowi między węzłami różnych klientów.
2.4.Zasada braku dostępu: Podmiot przetwarzający nie uzyskuje dostępu do danych przechowywanych na VPS Administratora, nie przegląda ich ani nie modyfikuje, chyba że Administrator wyraźnie o to poprosi w oficjalnym zgłoszeniu do wsparcia w celu rozwiązania problemu.
3Środki techniczne i organizacyjne (zgodność z art. 32 RODO i NIS 2)
Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku, w tym:
3.1.Bezpieczeństwo infrastruktury: infrastruktura fizyczna, centra danych, zasilanie i ochrona DDoS na poziomie sieci są w całości powierzone OVHcloud, działającej wyłącznie na terenie Unii Europejskiej (UE), zgodnie z normami ISO 27001 i NIS 2.
3.2.Kontrola dostępu: rygorystyczne uwierzytelnianie wieloskładnikowe (MFA) i mechanizmy kontroli dostępu do warstwy zarządzania infrastrukturą.
3.3.Izolacja warstwy zarządzania: dostęp do interfejsów zarządzania Proxmox VE jest ściśle ograniczony do bezpiecznych, szyfrowanych połączeń VPN.
4Dalsze podmioty przetwarzające
4.1.Administrator udziela Podmiotowi przetwarzającemu ogólnej pisemnej zgody na korzystanie z dalszych podmiotów przetwarzających w celu wdrożenia infrastruktury.
4.2.Głównym zatwierdzonym dalszym podmiotem przetwarzającym w zakresie hostingu infrastruktury jest:
OVH Groupe SA (OVHcloud) — Lokalizacja: Unia Europejska. Cel: wynajem dedykowanych serwerów bare metal.
4.3.Podmiot przetwarzający informuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia dalszych podmiotów przetwarzających e-mailem lub w bloku aktualności systemu Paymenter.
5Prawa osób, których dane dotyczą, i współpraca z organami
5.1.Pomoc: uwzględniając charakter usługi hostingu, Podmiot przetwarzający pomaga Administratorowi, w miarę możliwości, poprzez odpowiednie środki techniczne wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (prawa z rozdziału III RODO).
5.2.Naruszenie ochrony danych osobowych: Podmiot przetwarzający zawiadamia Administratora bez zbędnej zwłoki (i nie później niż w ciągu 48 godzin) po stwierdzeniu potwierdzonego incydentu bezpieczeństwa po swojej stronie, który prowadzi do przypadkowego lub niezgodnego z prawem zniszczenia, utraty lub zmiany danych osobowych.
6Międzynarodowe przekazywanie danych
6.1.Wszystkie serwery zarządzające (Paymenter) i środowiska klientów (węzły Proxmox) znajdują się wyłącznie w Europejskim Obszarze Gospodarczym (EOG). Podmiot przetwarzający nie przekazuje poza UE/EOG żadnych danych osobowych hostowanych na VPS.
7Czas obowiązywania i rozwiązanie
7.1.Niniejsza DPA obowiązuje przez cały czas trwania umowy głównej (Regulaminu).
7.2.Po zakończeniu usługi Podmiot przetwarzający usuwa z klastra Proxmox daną maszynę wirtualną (VPS) i wszystkie powiązane lokalne pozostałości danych w ciągu 7–14 dni, chyba że prawo UE lub Portugalii wymaga dłuższego przechowywania danych księgowych lub rozliczeniowych.
Załącznik A: szczegóły przetwarzania
Kategorie osób, których dane dotyczą: użytkownicy stron internetowych, aplikacji lub usług Administratora hostowanych na VPS.
Rodzaje danych osobowych: wszelkie dane cyfrowe przesłane, przechowywane lub przekazywane przez Administratora w VPS (mogą obejmować adresy IP, logi, bazy danych, profile użytkowników).
Charakter i cel przetwarzania: cyfrowe przechowywanie, hosting i przydzielanie zasobów obliczeniowych na serwerach w chmurze.