Ta pogodba o obdelavi podatkov (»DPA«) se sklepa med:
družbo Axioma100Teorema - Unipessoal Lda, registrirano na Portugalskem pod NIPC 519435583, s sedežem na naslovu Rua Fialho de Almeida, Número 14, 2.º Esq. Escritório Fj8, 1070-129, Lisboa, Portugal (v nadaljevanju »Obdelovalec«), in
subjektom ali posameznikom, ki prek sistema za obračunavanje Paymenter registrira uporabniški račun in uporablja storitve gostovanja VPS (v nadaljevanju »Upravljavec«).
Upravljavec in Obdelovalec se skupaj imenujeta »Pogodbeni stranki«.
1Področje uporabe, namen in vloge
1.1.Ta DPA velja za obdelavo osebnih podatkov, ki jih Upravljavec hrani, gosti ali kako drugače obdeluje v navideznih zasebnih strežnikih (VPS), ki jih zagotavlja Obdelovalec.
1.2.V okviru te storitve je Stranka upravljavec podatkov (določa namen podatkov svojih uporabnikov), Axioma100Teorema, LDA pa obdelovalec podatkov (zagotavlja le tehnično infrastrukturo).
2Obveznosti Obdelovalca
Obdelovalec se izrecno zavezuje, da bo:
2.1.Samo po navodilih: osebne podatke obdeloval izključno po dokumentiranih navodilih Upravljavca (vključno s tehničnimi samodejnimi dejanji API prek obračunske plošče Paymenter in hipervizorja Proxmox VE).
2.2.Zaupnost: zagotovil, da so se vsi zaposleni, pooblaščeni za upravljanje infrastrukture, zavezali k strogi zaupnosti.
2.3.Izolacija podatkov: vzdrževal logično izolacijo navideznih okolij na ravni hipervizorja (Proxmox VE), da prepreči nepooblaščen dostop med vozlišči različnih strank.
2.4.Politika ničelnega dostopa: Obdelovalec ne bo dostopal do podatkov, shranjenih v VPS Upravljavca, jih pregledoval ali spreminjal, razen če Upravljavec to izrecno zahteva z uradnim zahtevkom za podporo zaradi odpravljanja težav.
3Tehnični in organizacijski ukrepi (skladnost s členom 32 GDPR in direktivo NIS 2)
Obdelovalec izvaja ustrezne tehnične in organizacijske ukrepe za zagotovitev ravni varnosti, ki ustreza tveganju, med drugim:
3.1.Varnost infrastrukture: fizična infrastruktura, podatkovni centri, napajanje in zaščita pred napadi DDoS na ravni omrežja so v celoti oddani zunanjemu izvajalcu OVHcloud, ki deluje izključno v Evropski uniji (EU) in izpolnjuje standarda ISO 27001 in NIS 2.
3.2.Nadzor dostopa: strogo večfaktorsko preverjanje pristnosti (MFA) in mehanizmi nadzora dostopa za upravljavsko raven infrastrukture.
3.3.Izolacija nadzorne ravni: dostop do upravljavskih vmesnikov Proxmox VE je strogo omejen na varne šifrirane povezave VPN.
4Podobdelovalci
4.1.Upravljavec Obdelovalcu daje splošno pisno dovoljenje za vključitev podobdelovalcev za vzpostavitev infrastrukture.
4.2.Glavni odobreni podobdelovalec za gostovanje infrastrukture je:
OVH Groupe SA (OVHcloud) — Lokacija: Evropska unija. Namen: najem namenskih strežnikov Bare Metal.
4.3.Obdelovalec Upravljavca obvesti o vseh nameravanih spremembah glede dodajanja ali zamenjave podobdelovalcev po e-pošti ali v bloku novic sistema Paymenter.
5Pravice posameznikov, na katere se nanašajo osebni podatki, in sodelovanje z nadzornimi organi
5.1.Pomoč: ob upoštevanju narave storitve gostovanja Obdelovalec Upravljavcu z ustreznimi tehničnimi ukrepi, kolikor je to mogoče, pomaga pri izpolnjevanju njegove obveznosti odgovarjanja na zahteve posameznikov, na katere se nanašajo osebni podatki (pravice iz poglavja III GDPR).
5.2.Kršitev varnosti osebnih podatkov: Obdelovalec Upravljavca obvesti brez nepotrebnega odlašanja (najpozneje v 48 urah), ko izve za potrjen varnostni incident na strani Obdelovalca, ki povzroči nenamerno ali nezakonito uničenje, izgubo ali spremembo osebnih podatkov.
6Mednarodni prenosi podatkov
6.1.Vsi upravljavski strežniki (Paymenter) in okolja strank (vozlišča Proxmox) so izključno v Evropskem gospodarskem prostoru (EGP). Obdelovalec osebnih podatkov, ki gostujejo v VPS, ne prenaša zunaj EU/EGP.
7Trajanje in prenehanje
7.1.Ta DPA velja ves čas trajanja glavne pogodbe o storitvah (Pogojev uporabe).
7.2.Po prenehanju storitve Obdelovalec v 7 do 14 dneh iz gruče Proxmox izbriše ustrezni navidezni stroj (VPS) in vse povezane ostanke lokalnih podatkov, razen če pravo EU ali Portugalske zahteva nadaljnjo hrambo računovodskih/obračunskih podatkov.
Priloga A: Podrobnosti obdelave
Kategorije posameznikov, na katere se nanašajo osebni podatki: uporabniki spletnih mest, aplikacij ali storitev Upravljavca, ki gostujejo v VPS.
Vrste osebnih podatkov: vsi digitalni podatki, ki jih Upravljavec naloži, shrani ali prenaša v VPS (lahko vključujejo naslove IP, dnevnike, baze podatkov, uporabniške profile).
Narava in namen obdelave: digitalna hramba, gostovanje in dodeljevanje računalniških virov na strežnikih v oblaku.