Соглашение об обработке данных.

1Сфера действия, цель и роли

1.1.Настоящее DPA применяется к обработке персональных данных, которые Контролёр хранит, размещает или иным образом обрабатывает на виртуальных выделенных серверах (VPS), предоставляемых Обработчиком.

1.2.В рамках этой услуги Клиент является контролёром данных (определяет цели обработки данных своих пользователей), а Axioma100Teorema, LDA — обработчиком (предоставляет только техническую инфраструктуру).

2Обязанности Обработчика

Обработчик безусловно обязуется:

2.1.Действовать только по инструкциям: обрабатывать персональные данные исключительно по документированным инструкциям Контролёра (включая автоматические технические действия через API в биллинговой панели Paymenter и гипервизоре Proxmox VE).

2.2.Конфиденциальность: обеспечивать, чтобы весь персонал, допущенный к управлению инфраструктурой, принял на себя обязательства строгой конфиденциальности.

2.3.Изоляция данных: поддерживать логическую изоляцию виртуальных сред на уровне гипервизора (Proxmox VE), чтобы исключить несанкционированный доступ между узлами разных клиентов.

2.4.Политика нулевого доступа: Обработчик не получает доступа к данным в VPS Контролёра, не просматривает и не изменяет их, если только Контролёр прямо не попросит об этом в официальном обращении в поддержку для устранения неполадки.

3Технические и организационные меры (соответствие ст. 32 GDPR и NIS 2)

Обработчик применяет надлежащие технические и организационные меры, обеспечивающие уровень безопасности, соответствующий риску, в том числе:

3.1.Безопасность инфраструктуры: физическая инфраструктура, дата-центры, электропитание и защита от DDoS на уровне сети полностью переданы на аутсорсинг OVHcloud, расположенной исключительно в Европейском союзе (ЕС), в соответствии со стандартами ISO 27001 и NIS 2.

3.2.Контроль доступа: строгая многофакторная аутентификация (MFA) и механизмы контроля доступа к уровню управления инфраструктурой.

3.3.Изоляция уровня управления: доступ к интерфейсам управления Proxmox VE строго ограничен защищёнными зашифрованными VPN-подключениями.

4Субобработчики

4.1.Контролёр даёт Обработчику общее письменное разрешение привлекать субобработчиков для развёртывания инфраструктуры.

4.2.Основной утверждённый субобработчик для размещения инфраструктуры:

OVH Groupe SA (OVHcloud) — Расположение: Европейский союз. Цель: аренда выделенных серверов bare metal.

4.3.Обработчик сообщает Контролёру о планируемых изменениях, связанных с добавлением или заменой субобработчиков, по электронной почте или через блок новостей системы Paymenter.

5Права субъектов данных и взаимодействие с надзорными органами

5.1.Содействие: с учётом характера услуги хостинга Обработчик содействует Контролёру надлежащими техническими мерами, насколько это возможно, в выполнении обязанности Контролёра отвечать на запросы субъектов данных (права по главе III GDPR).

5.2.Нарушение безопасности персональных данных: Обработчик уведомляет Контролёра без неоправданной задержки (и не позднее чем через 48 часов) после того, как ему стало известно о подтверждённом инциденте безопасности на его стороне, повлёкшем случайное или незаконное уничтожение, утрату или изменение персональных данных.

6Международная передача данных

6.1.Все управляющие серверы (Paymenter) и среды клиентов (узлы Proxmox) расположены исключительно в Европейской экономической зоне (ЕЭЗ). Обработчик не передаёт за пределы ЕС/ЕЭЗ никакие персональные данные, размещённые в VPS.

7Срок действия и прекращение

7.1.Настоящее DPA действует в течение всего срока основного договора (Условий обслуживания).

7.2.После прекращения услуги Обработчик удаляет соответствующую виртуальную машину (VPS) и все связанные с ней локальные остатки данных из кластера Proxmox в течение 7–14 дней, если право ЕС или Португалии не требует более длительного хранения бухгалтерских или биллинговых данных.

Приложение A: сведения об обработке

Категории субъектов данных: пользователи сайтов, приложений или сервисов Контролёра, размещённых на VPS.

Виды персональных данных: любые цифровые данные, которые Контролёр загружает, хранит или передаёт внутри VPS (могут включать IP-адреса, журналы, базы данных, профили пользователей).

Характер и цель обработки: цифровое хранение, хостинг и выделение вычислительных ресурсов на облачных серверах.