Угода про обробку даних.

1Сфера дії, мета й ролі

1.1.Ця DPA застосовується до обробки персональних даних, які Контролер зберігає, розміщує або іншим чином обробляє на віртуальних виділених серверах (VPS), що їх надає Обробник.

1.2.У межах цієї послуги Клієнт є контролером даних (визначає мету обробки даних своїх користувачів), а Axioma100Teorema, LDA — обробником (надає лише технічну інфраструктуру).

2Обов’язки Обробника

Обробник беззастережно зобов’язується:

2.1.Діяти лише за інструкціями: обробляти персональні дані виключно за документованими інструкціями Контролера (включно з автоматичними технічними діями через API в білінговій панелі Paymenter і гіпервізорі Proxmox VE).

2.2.Конфіденційність: забезпечувати, щоб увесь персонал, допущений до керування інфраструктурою, узяв на себе зобов’язання суворої конфіденційності.

2.3.Ізоляція даних: підтримувати логічну ізоляцію віртуальних середовищ на рівні гіпервізора (Proxmox VE), щоб унеможливити несанкціонований доступ між вузлами різних клієнтів.

2.4.Політика нульового доступу: Обробник не отримує доступу до даних у VPS Контролера, не переглядає й не змінює їх, якщо лише Контролер прямо не попросить про це в офіційному зверненні до підтримки для усунення несправності.

3Технічні й організаційні заходи (відповідність ст. 32 GDPR і NIS 2)

Обробник застосовує належні технічні й організаційні заходи, що забезпечують рівень безпеки, відповідний ризику, зокрема:

3.1.Безпека інфраструктури: фізична інфраструктура, дата-центри, електроживлення й захист від DDoS на рівні мережі повністю передані на аутсорсинг OVHcloud, розташованій виключно в Європейському Союзі (ЄС), відповідно до стандартів ISO 27001 і NIS 2.

3.2.Контроль доступу: сувора багатофакторна автентифікація (MFA) і механізми контролю доступу до рівня керування інфраструктурою.

3.3.Ізоляція рівня керування: доступ до інтерфейсів керування Proxmox VE суворо обмежено захищеними зашифрованими VPN-з’єднаннями.

4Субобробники

4.1.Контролер надає Обробнику загальний письмовий дозвіл залучати субобробників для розгортання інфраструктури.

4.2.Основний затверджений субобробник для розміщення інфраструктури:

OVH Groupe SA (OVHcloud) — Розташування: Європейський Союз. Мета: оренда виділених серверів bare metal.

4.3.Обробник повідомляє Контролера про заплановані зміни, пов’язані з додаванням або заміною субобробників, електронною поштою або через блок новин системи Paymenter.

5Права суб’єктів даних і взаємодія з наглядовими органами

5.1.Сприяння: з огляду на характер послуги хостингу Обробник сприяє Контролеру належними технічними заходами, наскільки це можливо, у виконанні обов’язку Контролера відповідати на запити суб’єктів даних (права за главою III GDPR).

5.2.Порушення безпеки персональних даних: Обробник повідомляє Контролера без невиправданої затримки (і не пізніше ніж через 48 годин) після того, як йому стало відомо про підтверджений інцидент безпеки на його боці, що спричинив випадкове чи незаконне знищення, втрату або зміну персональних даних.

6Міжнародне передавання даних

6.1.Усі керувальні сервери (Paymenter) і середовища клієнтів (вузли Proxmox) розташовані виключно в Європейській економічній зоні (ЄЕЗ). Обробник не передає за межі ЄС/ЄЕЗ жодних персональних даних, розміщених у VPS.

7Строк дії та припинення

7.1.Ця DPA діє протягом усього строку основного договору (Умов обслуговування).

7.2.Після припинення послуги Обробник видаляє відповідну віртуальну машину (VPS) і всі пов’язані з нею локальні залишки даних із кластера Proxmox протягом 7–14 днів, якщо право ЄС чи Португалії не вимагає довшого зберігання бухгалтерських або білінгових даних.

Додаток A: відомості про обробку

Категорії суб’єктів даних: користувачі сайтів, застосунків або сервісів Контролера, розміщених на VPS.

Види персональних даних: будь-які цифрові дані, які Контролер завантажує, зберігає або передає в межах VPS (можуть включати IP-адреси, журнали, бази даних, профілі користувачів).

Характер і мета обробки: цифрове зберігання, хостинг і виділення обчислювальних ресурсів на хмарних серверах.