Acord de prelucrare a datelor.

1Domeniu, scop și roluri

1.1.Prezentul DPA se aplică prelucrării datelor cu caracter personal stocate, găzduite sau prelucrate în alt mod de Operator pe serverele private virtuale (VPS) furnizate de Persoana împuternicită.

1.2.În cadrul acestui serviciu, Clientul este operatorul de date (stabilește scopul prelucrării datelor utilizatorilor săi), iar Axioma100Teorema, LDA este persoana împuternicită (furnizează doar infrastructura tehnică).

2Obligațiile Persoanei împuternicite

Persoana împuternicită se obligă în mod expres:

2.1.Doar pe baza instrucțiunilor: să prelucreze datele cu caracter personal exclusiv pe baza instrucțiunilor documentate ale Operatorului (inclusiv acțiuni tehnice automate prin API din panoul de facturare Paymenter și hipervizorul Proxmox VE).

2.2.Confidențialitate: să se asigure că tot personalul autorizat să gestioneze infrastructura s-a angajat să respecte o confidențialitate strictă.

2.3.Izolarea datelor: să mențină izolarea logică a mediilor virtuale la nivelul hipervizorului (Proxmox VE), pentru a preveni accesul neautorizat între nodurile unor clienți diferiți.

2.4.Politica de acces zero: Persoana împuternicită nu accesează, nu vizualizează și nu modifică datele stocate în VPS-ul Operatorului, cu excepția cazului în care Operatorul solicită expres acest lucru printr-o solicitare oficială de suport pentru remedierea unei probleme.

3Măsuri tehnice și organizatorice (conformitate cu art. 32 din GDPR și NIS 2)

Persoana împuternicită aplică măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului, printre care:

3.1.Securitatea infrastructurii: infrastructura fizică, centrele de date, alimentarea cu energie și protecția DDoS la nivel de rețea sunt externalizate integral către OVHcloud, situată exclusiv în Uniunea Europeană (UE), în conformitate cu standardele ISO 27001 și NIS 2.

3.2.Controlul accesului: autentificare multifactor (MFA) strictă și mecanisme de control al accesului pentru planul de administrare a infrastructurii.

3.3.Izolarea planului de control: accesul la interfețele de administrare Proxmox VE este strict limitat la conexiuni VPN securizate și criptate.

4Subîmputerniciți

4.1.Operatorul acordă Persoanei împuternicite o autorizare generală scrisă de a recurge la subîmputerniciți pentru implementarea infrastructurii.

4.2.Principalul subîmputernicit aprobat pentru găzduirea infrastructurii este:

OVH Groupe SA (OVHcloud) — Locație: Uniunea Europeană. Scop: închirierea de servere dedicate bare metal.

4.3.Persoana împuternicită informează Operatorul despre orice modificări preconizate privind adăugarea sau înlocuirea subîmputerniciților, prin e-mail sau prin secțiunea de noutăți a sistemului Paymenter.

5Drepturile persoanelor vizate și cooperarea cu autoritățile

5.1.Asistență: ținând seama de natura serviciului de găzduire, Persoana împuternicită asistă Operatorul prin măsuri tehnice adecvate, în măsura posibilului, în îndeplinirea obligației acestuia de a răspunde cererilor persoanelor vizate (drepturile din capitolul III din GDPR).

5.2.Încălcarea securității datelor cu caracter personal: Persoana împuternicită notifică Operatorul fără întârzieri nejustificate (și în cel mult 48 de ore) după ce ia cunoștință de un incident de securitate confirmat la nivelul său care duce la distrugerea, pierderea sau modificarea accidentală ori ilegală a datelor cu caracter personal.

6Transferuri internaționale de date

6.1.Toate serverele de administrare (Paymenter) și mediile clienților (nodurile Proxmox) se află exclusiv în Spațiul Economic European (SEE). Persoana împuternicită nu transferă în afara UE/SEE nicio dată cu caracter personal găzduită în VPS.

7Durată și încetare

7.1.Prezentul DPA rămâne în vigoare pe toată durata contractului principal (Termeni și condiții).

7.2.La încetarea serviciului, Persoana împuternicită șterge mașina virtuală (VPS) respectivă și toate reziduurile de date locale asociate din clusterul Proxmox în 7–14 zile, cu excepția cazului în care dreptul UE sau cel portughez impune păstrarea mai îndelungată a datelor contabile sau de facturare.

Anexa A: detaliile prelucrării

Categorii de persoane vizate: utilizatorii site-urilor, aplicațiilor sau serviciilor Operatorului găzduite pe VPS.

Tipuri de date cu caracter personal: orice date digitale încărcate, stocate sau transmise de Operator în VPS (pot include adrese IP, jurnale, baze de date, profiluri de utilizator).

Natura și scopul prelucrării: stocare digitală, găzduire și alocarea resurselor de calcul pe servere cloud.