Acordo de Processamento de Dados.

1Âmbito, Finalidade e Papéis

1.1.Este DPA aplica-se ao tratamento de dados pessoais armazenados, alojados ou de outra forma processados pelo Responsável no âmbito dos Servidores Privados Virtuais (VPS) fornecidos pelo Subcontratante.

1.2.No contexto deste serviço, o Cliente é o Responsável pelo Tratamento de Dados (determina a finalidade dos dados dos seus utilizadores), e a Axioma100Teorema, LDA é o Subcontratante (fornece apenas a infraestrutura técnica).

2Obrigações do Subcontratante

O Subcontratante compromete-se estritamente a:

2.1.Apenas Instruções: Processar Dados Pessoais exclusivamente de acordo com instruções documentadas do Responsável (incluindo ações técnicas automatizadas via API através do painel de faturação Paymenter e do hipervisor Proxmox VE).

2.2.Confidencialidade: Garantir que todo o pessoal autorizado a gerir a infraestrutura assumiu um compromisso de confidencialidade estrita.

2.3.Isolamento de Dados: Manter o isolamento lógico dos ambientes virtuais ao nível do hipervisor (Proxmox VE), de forma a prevenir o acesso não autorizado entre diferentes nós de clientes.

2.4.Política de Acesso Zero: O Subcontratante não acederá, visualizará ou modificará os dados armazenados dentro do VPS do Responsável, exceto quando expressamente solicitado pelo Responsável através de um pedido de suporte oficial para resolução de problemas.

3Medidas Técnicas e Organizativas (Conformidade com o Artigo 32.º do RGPD e NIS 2)

O Subcontratante implementa medidas técnicas e organizativas adequadas para garantir um nível de segurança apropriado ao risco, incluindo:

3.1.Segurança da Infraestrutura: A infraestrutura física, os centros de dados, a alimentação elétrica e a proteção contra DDoS ao nível da rede são integralmente subcontratados à OVHcloud, localizada estritamente na União Europeia (UE), em conformidade com as normas ISO 27001 e NIS 2.

3.2.Controlo de Acesso: Autenticação multifator (MFA) rigorosa e mecanismos de controlo de acesso para o plano de gestão da infraestrutura.

3.3.Isolamento do Plano de Controlo: O acesso às interfaces de gestão do Proxmox VE é estritamente restringido através de ligações VPN encriptadas e seguras.

4Subcontratantes

4.1.O Responsável concede uma autorização geral por escrito ao Subcontratante para contratar subcontratantes destinados à implementação da infraestrutura.

4.2.O principal subcontratante aprovado para o alojamento da infraestrutura é:

OVH Groupe SA (OVHcloud) — Localização: União Europeia. Finalidade: Aluguer de Servidores Dedicados Bare Metal.

4.3.O Subcontratante informará o Responsável sobre quaisquer alterações pretendidas relativamente à adição ou substituição de subcontratantes, por e-mail ou através do bloco de notícias do sistema Paymenter.

5Direitos dos Titulares dos Dados e Cooperação Regulatória

5.1.Assistência: Tendo em conta a natureza do serviço de alojamento, o Subcontratante assistirá o Responsável através de medidas técnicas adequadas, na medida do possível, para o cumprimento da obrigação do Responsável de responder aos pedidos dos Titulares dos Dados (direitos do Capítulo III do RGPD).

5.2.Violação de Dados Pessoais: O Subcontratante notificará o Responsável sem demora injustificada (e no máximo 48 horas) após tomar conhecimento de um incidente de segurança confirmado do lado do Subcontratante que resulte na destruição, perda ou alteração acidental ou ilícita de Dados Pessoais.

6Transferências Internacionais de Dados

6.1.Todos os servidores de gestão (Paymenter) e os ambientes dos clientes (nós Proxmox) estão localizados estritamente no Espaço Económico Europeu (EEE). Nenhum dado pessoal alojado no VPS é transferido para fora da UE/EEE pelo Subcontratante.

7Prazo e Cessação

7.1.Este DPA permanecerá em vigor durante a vigência do Contrato de Prestação de Serviços principal (Termos de Serviço).

7.2.Após a cessação do serviço, o Subcontratante eliminará a respetiva máquina virtual (VPS) e todos os remanescentes de dados locais associados do cluster Proxmox no prazo de 7 a 14 dias, exceto se a legislação da UE ou portuguesa exigir a conservação adicional de dados contabilísticos/de faturação.

Anexo A: Detalhes do Tratamento

Categorias de Titulares dos Dados: Utilizadores dos sítios web, aplicações ou serviços do Responsável alojados no VPS.

Tipos de Dados Pessoais: Quaisquer dados digitais carregados, armazenados ou transmitidos pelo Responsável dentro do VPS (podendo incluir endereços IP, registos, bases de dados, perfis de utilizador).

Natureza e Finalidade do Tratamento: Armazenamento digital, alojamento e alocação de recursos computacionais em servidores na nuvem.