ข้อตกลงการประมวลผลข้อมูล

1ขอบเขต วัตถุประสงค์ และบทบาท

1.1.DPA นี้ใช้กับการประมวลผลข้อมูลส่วนบุคคลที่ผู้ควบคุมข้อมูลจัดเก็บ โฮสต์ หรือประมวลผลด้วยวิธีอื่นภายในเซิร์ฟเวอร์ส่วนตัวเสมือน (VPS) ที่ผู้ประมวลผลข้อมูลจัดให้

1.2.ในบริบทของบริการนี้ ลูกค้าเป็นผู้ควบคุมข้อมูล (กำหนดวัตถุประสงค์ของข้อมูลผู้ใช้ของตน) และ Axioma100Teorema, LDA เป็นผู้ประมวลผลข้อมูล (เพียงจัดให้มีโครงสร้างพื้นฐานทางเทคนิค)

2หน้าที่ของผู้ประมวลผลข้อมูล

ผู้ประมวลผลข้อมูลให้คำมั่นและตกลงอย่างเคร่งครัดที่จะ

2.1.ตามคำสั่งเท่านั้น: ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งที่เป็นลายลักษณ์อักษรของผู้ควบคุมข้อมูลเท่านั้น (รวมถึงการดำเนินการ API อัตโนมัติทางเทคนิคผ่านแผงออกใบแจ้งหนี้ Paymenter และไฮเปอร์ไวเซอร์ Proxmox VE)

2.2.การรักษาความลับ: ดูแลให้บุคลากรทุกคนที่ได้รับอนุญาตให้จัดการโครงสร้างพื้นฐานมีพันธะในการรักษาความลับอย่างเคร่งครัด

2.3.การแยกข้อมูล: รักษาการแยกสภาพแวดล้อมเสมือนในระดับตรรกะที่ระดับไฮเปอร์ไวเซอร์ (Proxmox VE) เพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาตระหว่างโหนดของลูกค้าที่ต่างกัน

2.4.นโยบายไม่เข้าถึงข้อมูล: ผู้ประมวลผลข้อมูลจะไม่เข้าถึง ดู หรือแก้ไขข้อมูลที่จัดเก็บภายใน VPS ของผู้ควบคุมข้อมูล เว้นแต่ผู้ควบคุมข้อมูลร้องขออย่างชัดแจ้งผ่านคำขอความช่วยเหลืออย่างเป็นทางการเพื่อการแก้ไขปัญหา

3มาตรการทางเทคนิคและเชิงองค์กร (การปฏิบัติตามมาตรา 32 ของ GDPR และ NIS 2)

ผู้ประมวลผลข้อมูลใช้มาตรการทางเทคนิคและเชิงองค์กรที่เหมาะสม เพื่อให้มีระดับความปลอดภัยที่เหมาะสมกับความเสี่ยง ซึ่งรวมถึง

3.1.ความปลอดภัยของโครงสร้างพื้นฐาน: โครงสร้างพื้นฐานทางกายภาพ ศูนย์ข้อมูล ระบบไฟฟ้า และการป้องกัน DDoS ระดับเครือข่าย ว่าจ้าง OVHcloud ดำเนินการทั้งหมด ซึ่งตั้งอยู่ภายในสหภาพยุโรป (EU) เท่านั้น และเป็นไปตามมาตรฐาน ISO 27001 และ NIS 2

3.2.การควบคุมการเข้าถึง: การยืนยันตัวตนแบบหลายปัจจัย (MFA) และกลไกควบคุมการเข้าถึงที่เข้มงวดสำหรับระบบจัดการโครงสร้างพื้นฐาน

3.3.การแยกระบบควบคุม: การเข้าถึงอินเทอร์เฟซการจัดการ Proxmox VE จำกัดอย่างเข้มงวดผ่านการเชื่อมต่อ VPN ที่เข้ารหัสและปลอดภัย

4ผู้ประมวลผลข้อมูลช่วง

4.1.ผู้ควบคุมข้อมูลให้ความยินยอมทั่วไปเป็นลายลักษณ์อักษรแก่ผู้ประมวลผลข้อมูลในการใช้ผู้ประมวลผลข้อมูลช่วงเพื่อจัดหาโครงสร้างพื้นฐาน

4.2.ผู้ประมวลผลข้อมูลช่วงหลักที่ได้รับอนุมัติสำหรับการโฮสต์โครงสร้างพื้นฐาน ได้แก่

OVH Groupe SA (OVHcloud) — ที่ตั้ง: สหภาพยุโรป วัตถุประสงค์: การเช่าเซิร์ฟเวอร์เฉพาะแบบ Bare Metal

4.3.ผู้ประมวลผลข้อมูลจะแจ้งให้ผู้ควบคุมข้อมูลทราบถึงการเปลี่ยนแปลงที่ตั้งใจจะทำเกี่ยวกับการเพิ่มหรือเปลี่ยนผู้ประมวลผลข้อมูลช่วง ทางอีเมลหรือผ่านส่วนข่าวสารของระบบ Paymenter

5สิทธิของเจ้าของข้อมูลและความร่วมมือกับหน่วยงานกำกับดูแล

5.1.การให้ความช่วยเหลือ: โดยคำนึงถึงลักษณะของบริการโฮสติ้ง ผู้ประมวลผลข้อมูลจะช่วยเหลือผู้ควบคุมข้อมูลด้วยมาตรการทางเทคนิคที่เหมาะสมเท่าที่ทำได้ เพื่อให้ผู้ควบคุมข้อมูลปฏิบัติหน้าที่ในการตอบสนองต่อคำขอของเจ้าของข้อมูล (สิทธิตามหมวด III ของ GDPR)

5.2.การละเมิดข้อมูลส่วนบุคคล: ผู้ประมวลผลข้อมูลจะแจ้งผู้ควบคุมข้อมูลโดยไม่ชักช้าเกินสมควร (และไม่เกิน 48 ชั่วโมง) หลังจากทราบถึงเหตุการณ์ด้านความปลอดภัยที่ได้รับการยืนยันในฝั่งของผู้ประมวลผลข้อมูล ซึ่งนำไปสู่การทำลาย การสูญหาย หรือการเปลี่ยนแปลงข้อมูลส่วนบุคคลโดยอุบัติเหตุหรือโดยมิชอบด้วยกฎหมาย

6การโอนข้อมูลระหว่างประเทศ

6.1.เซิร์ฟเวอร์จัดการทั้งหมด (Paymenter) และสภาพแวดล้อมของลูกค้า (โหนด Proxmox) ตั้งอยู่ภายในเขตเศรษฐกิจยุโรป (EEA) เท่านั้น ผู้ประมวลผลข้อมูลไม่โอนข้อมูลส่วนบุคคลที่โฮสต์อยู่ภายใน VPS ออกนอก EU/EEA

7ระยะเวลาและการสิ้นสุด

7.1.DPA นี้มีผลใช้บังคับตลอดระยะเวลาของข้อตกลงการให้บริการหลัก (ข้อกำหนดการให้บริการ)

7.2.เมื่อบริการสิ้นสุดลง ผู้ประมวลผลข้อมูลจะลบเครื่องเสมือน (VPS) ที่เกี่ยวข้องและข้อมูลภายในที่หลงเหลือทั้งหมดออกจากคลัสเตอร์ Proxmox ภายใน 7 ถึง 14 วัน เว้นแต่กฎหมายของสหภาพยุโรปหรือโปรตุเกสกำหนดให้เก็บรักษาข้อมูลทางบัญชี/การออกใบแจ้งหนี้ต่อไป

ภาคผนวก A: รายละเอียดการประมวลผล

ประเภทของเจ้าของข้อมูล: ผู้ใช้เว็บไซต์ แอปพลิเคชัน หรือบริการของผู้ควบคุมข้อมูลที่โฮสต์อยู่บน VPS

ประเภทของข้อมูลส่วนบุคคล: ข้อมูลดิจิทัลใด ๆ ที่ผู้ควบคุมข้อมูลอัปโหลด จัดเก็บ หรือส่งภายใน VPS (อาจรวมถึงที่อยู่ IP ล็อก ฐานข้อมูล และโปรไฟล์ผู้ใช้)

ลักษณะและวัตถุประสงค์ของการประมวลผล: การจัดเก็บข้อมูลดิจิทัล การโฮสต์ และการจัดสรรทรัพยากรการประมวลผลบนเซิร์ฟเวอร์คลาวด์