Personuppgiftsbiträdesavtal.

1Omfattning, syfte och roller

1.1.Detta PUB-avtal gäller behandling av personuppgifter som lagras, hostas eller på annat sätt behandlas av den Personuppgiftsansvarige på de virtuella privata servrar (VPS) som Personuppgiftsbiträdet tillhandahåller.

1.2.Inom ramen för denna tjänst är Kunden personuppgiftsansvarig (bestämmer ändamålet med behandlingen av sina användares uppgifter), och Axioma100Teorema, LDA är personuppgiftsbiträde (tillhandahåller endast teknisk infrastruktur).

2Personuppgiftsbiträdets skyldigheter

Personuppgiftsbiträdet förbinder sig uttryckligen att:

2.1.Endast enligt instruktioner: behandla personuppgifter enbart enligt dokumenterade instruktioner från den Personuppgiftsansvarige (inklusive tekniska automatiserade API-åtgärder via faktureringspanelen Paymenter och hypervisorn Proxmox VE).

2.2.Sekretess: säkerställa att all personal som har behörighet att hantera infrastrukturen har förbundit sig att iaktta strikt sekretess.

2.3.Isolering av data: upprätthålla logisk isolering av de virtuella miljöerna på hypervisornivå (Proxmox VE) för att förhindra obehörig åtkomst mellan olika kunders noder.

2.4.Policy om ingen åtkomst: Personuppgiftsbiträdet kommer inte att få åtkomst till, visa eller ändra data som lagras i den Personuppgiftsansvariges VPS, såvida inte den Personuppgiftsansvarige uttryckligen begär det genom ett officiellt supportärende för felsökning.

3Tekniska och organisatoriska åtgärder (efterlevnad av artikel 32 i dataskyddsförordningen & NIS 2)

Personuppgiftsbiträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, bland annat:

3.1.Infrastrukturens säkerhet: Den fysiska infrastrukturen, datacenter, strömförsörjning och DDoS-skydd på nätverksnivå är helt utlagda på OVHcloud, som är beläget uteslutande inom Europeiska unionen (EU) och uppfyller standarderna ISO 27001 och NIS 2.

3.2.Åtkomstkontroll: Strikt multifaktorautentisering (MFA) och mekanismer för åtkomstkontroll för infrastrukturens hanteringsplan.

3.3.Isolering av kontrollplanet: Åtkomst till hanteringsgränssnitten i Proxmox VE är strikt begränsad via säkra krypterade VPN-anslutningar.

4Underbiträden

4.1.Den Personuppgiftsansvarige ger Personuppgiftsbiträdet ett allmänt skriftligt tillstånd att anlita underbiträden för driftsättning av infrastrukturen.

4.2.Det huvudsakliga godkända underbiträdet för hosting av infrastrukturen är:

OVH Groupe SA (OVHcloud) — Plats: Europeiska unionen. Ändamål: uthyrning av dedikerade bare metal-servrar.

4.3.Personuppgiftsbiträdet ska informera den Personuppgiftsansvarige om planerade ändringar som gäller tillägg eller byte av underbiträden via e-post eller nyhetsblocket i Paymenter-systemet.

5De registrerades rättigheter & samarbete med tillsynsmyndigheter

5.1.Bistånd: Med hänsyn till hostingtjänstens art bistår Personuppgiftsbiträdet den Personuppgiftsansvarige genom lämpliga tekniska åtgärder, i den mån det är möjligt, så att den Personuppgiftsansvarige kan fullgöra sin skyldighet att besvara begäranden från registrerade (rättigheterna i kapitel III i dataskyddsförordningen).

5.2.Personuppgiftsincident: Personuppgiftsbiträdet ska underrätta den Personuppgiftsansvarige utan onödigt dröjsmål (och senast inom 48 timmar) efter att ha fått kännedom om en bekräftad säkerhetsincident på Personuppgiftsbiträdets sida som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring av personuppgifter.

6Internationella överföringar av uppgifter

6.1.Alla hanteringsservrar (Paymenter) och kundmiljöer (Proxmox-noder) finns uteslutande inom Europeiska ekonomiska samarbetsområdet (EES). Inga personuppgifter som hostas på VPS-servern överförs av Personuppgiftsbiträdet utanför EU/EES.

7Giltighetstid och upphörande

7.1.Detta PUB-avtal gäller så länge huvudavtalet om tjänsten (de allmänna villkoren) gäller.

7.2.När tjänsten upphör raderar Personuppgiftsbiträdet den berörda virtuella maskinen (VPS) och alla tillhörande lokala datarester från Proxmox-klustret inom 7 till 14 dagar, såvida inte EU-rätt eller portugisisk rätt kräver att bokförings- eller faktureringsuppgifter sparas längre.

Bilaga A: Uppgifter om behandlingen

Kategorier av registrerade: Användare av den Personuppgiftsansvariges webbplatser, applikationer eller tjänster som hostas på VPS-servern.

Typer av personuppgifter: Alla digitala data som den Personuppgiftsansvarige laddar upp, lagrar eller överför på VPS-servern (kan omfatta IP-adresser, loggar, databaser, användarprofiler).

Behandlingens art och ändamål: Digital lagring, hosting och tilldelning av beräkningsresurser på molnservrar.