Acordo de Processamento de Dados.

1Âmbito, finalidade e papéis

1.1.Este DPA se aplica ao tratamento de dados pessoais armazenados, hospedados ou de outra forma tratados pelo Controlador nos servidores privados virtuais (VPS) fornecidos pelo Operador.

1.2.No contexto deste serviço, o Cliente é o controlador dos dados (define a finalidade dos dados dos seus usuários) e a Axioma100Teorema, LDA é o operador (fornece apenas a infraestrutura técnica).

2Obrigações do Operador

O Operador compromete-se expressamente a:

2.1.Somente mediante instruções: tratar os dados pessoais apenas com base em instruções documentadas do Controlador (incluindo ações técnicas automatizadas via API pelo painel de faturamento Paymenter e pelo hipervisor Proxmox VE).

2.2.Confidencialidade: garantir que todo o pessoal autorizado a gerenciar a infraestrutura tenha assumido compromisso de estrita confidencialidade.

2.3.Isolamento dos dados: manter o isolamento lógico dos ambientes virtuais no nível do hipervisor (Proxmox VE) para impedir acessos não autorizados entre os nós de clientes diferentes.

2.4.Política de acesso zero: o Operador não acessa, não visualiza e não altera os dados armazenados no VPS do Controlador, salvo pedido expresso do Controlador por meio de uma solicitação de suporte oficial para resolver um problema.

3Medidas técnicas e organizacionais (conformidade com o art. 32.º do RGPD e a NIS 2)

O Operador adota medidas técnicas e organizacionais adequadas para garantir um nível de segurança adequado ao risco, incluindo:

3.1.Segurança da infraestrutura: a infraestrutura física, os data centers, o fornecimento de energia e a proteção DDoS no nível da rede são integralmente terceirizados para a OVHcloud, localizada exclusivamente na União Europeia (UE), em conformidade com as normas ISO 27001 e NIS 2.

3.2.Controle de acesso: autenticação multifator (MFA) rigorosa e mecanismos de controle de acesso para o plano de gestão da infraestrutura.

3.3.Isolamento do plano de controle: o acesso às interfaces de gestão do Proxmox VE é estritamente restrito a conexões VPN seguras e criptografadas.

4Suboperadores

4.1.O Controlador concede ao Operador uma autorização geral por escrito para contratar suboperadores para a implantação da infraestrutura.

4.2.O principal suboperador aprovado para a hospedagem da infraestrutura é:

OVH Groupe SA (OVHcloud) — Localização: União Europeia. Finalidade: locação de servidores dedicados bare metal.

4.3.O Operador informará o Controlador de quaisquer alterações previstas quanto à inclusão ou substituição de suboperadores por e-mail ou pelo bloco de notícias do sistema Paymenter.

5Direitos dos titulares e cooperação com as autoridades

5.1.Assistência: tendo em conta a natureza do serviço de hospedagem, o Operador presta assistência ao Controlador, com medidas técnicas adequadas e na medida do possível, para o cumprimento da obrigação do Controlador de responder aos pedidos dos titulares dos dados (direitos do capítulo III do RGPD).

5.2.Violação de dados pessoais: o Operador notificará o Controlador sem demora injustificada (e no máximo em 48 horas) após tomar conhecimento de um incidente de segurança confirmado do seu lado que resulte na destruição, perda ou alteração acidental ou ilícita de dados pessoais.

6Transferências internacionais de dados

6.1.Todos os servidores de gestão (Paymenter) e ambientes dos clientes (nós Proxmox) estão localizados exclusivamente no Espaço Econômico Europeu (EEE). O Operador não transfere para fora da UE/EEE nenhum dado pessoal hospedado nos VPS.

7Vigência e término

7.1.Este DPA permanece em vigor durante toda a vigência do contrato principal (Termos de Serviço).

7.2.Com o término do serviço, o Operador exclui a máquina virtual (VPS) correspondente e todos os resíduos de dados locais associados do cluster Proxmox em 7 a 14 dias, salvo se a lei da UE ou de Portugal exigir a conservação por mais tempo de dados contábeis ou de faturamento.

Anexo A: detalhes do tratamento

Categorias de titulares: usuários dos sites, aplicações ou serviços do Controlador hospedados no VPS.

Tipos de dados pessoais: quaisquer dados digitais enviados, armazenados ou transmitidos pelo Controlador dentro do VPS (podem incluir endereços IP, registros, bancos de dados, perfis de usuários).

Natureza e finalidade do tratamento: armazenamento digital, hospedagem e alocação de recursos computacionais em servidores na nuvem.