Thỏa thuận xử lý dữ liệu.

1Phạm vi, mục đích và vai trò

1.1.DPA này áp dụng cho việc xử lý dữ liệu cá nhân được Bên kiểm soát lưu trữ, lưu giữ hoặc xử lý theo cách khác bên trong các Máy chủ riêng ảo (VPS) do Bên xử lý cung cấp.

1.2.Trong bối cảnh dịch vụ này, Khách hàng là Bên kiểm soát dữ liệu (xác định mục đích của dữ liệu người dùng của mình), và Axioma100Teorema, LDA là Bên xử lý dữ liệu (chỉ cung cấp hạ tầng kỹ thuật).

2Nghĩa vụ của Bên xử lý

Bên xử lý cam kết và đồng ý nghiêm ngặt:

2.1.Chỉ theo chỉ dẫn: Chỉ xử lý Dữ liệu cá nhân theo chỉ dẫn được ghi nhận của Bên kiểm soát (bao gồm các thao tác API tự động mang tính kỹ thuật qua bảng thanh toán Paymenter và hypervisor Proxmox VE).

2.2.Bảo mật thông tin: Bảo đảm rằng mọi nhân sự được phép quản lý hạ tầng đều đã cam kết giữ bí mật nghiêm ngặt.

2.3.Cô lập dữ liệu: Duy trì sự cô lập logic giữa các môi trường ảo ở cấp hypervisor (Proxmox VE) để ngăn truy cập trái phép giữa các node của các khách hàng khác nhau.

2.4.Chính sách không truy cập: Bên xử lý sẽ không truy cập, xem hoặc sửa đổi dữ liệu lưu trong VPS của Bên kiểm soát, trừ khi Bên kiểm soát yêu cầu rõ ràng qua một yêu cầu hỗ trợ chính thức để khắc phục sự cố.

3Biện pháp kỹ thuật và tổ chức (tuân thủ Điều 32 GDPR & NIS 2)

Bên xử lý áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo đảm mức độ an ninh tương xứng với rủi ro, bao gồm:

3.1.An ninh hạ tầng: Hạ tầng vật lý, trung tâm dữ liệu, nguồn điện và bảo vệ DDoS ở cấp mạng được thuê ngoài hoàn toàn cho OVHcloud, chỉ đặt trong Liên minh châu Âu (EU), tuân thủ các tiêu chuẩn ISO 27001 và NIS 2.

3.2.Kiểm soát truy cập: Xác thực đa yếu tố (MFA) nghiêm ngặt và các cơ chế kiểm soát truy cập cho tầng quản lý hạ tầng.

3.3.Cô lập tầng điều khiển: Quyền truy cập giao diện quản lý Proxmox VE bị giới hạn nghiêm ngặt qua các kết nối VPN mã hóa an toàn.

4Bên xử lý phụ

4.1.Bên kiểm soát trao cho Bên xử lý sự cho phép chung bằng văn bản để sử dụng các bên xử lý phụ nhằm triển khai hạ tầng.

4.2.Bên xử lý phụ chính được chấp thuận cho việc lưu trữ hạ tầng là:

OVH Groupe SA (OVHcloud) — Vị trí: Liên minh châu Âu. Mục đích: Thuê máy chủ chuyên dụng Bare Metal.

4.3.Bên xử lý sẽ thông báo cho Bên kiểm soát về mọi thay đổi dự kiến liên quan đến việc bổ sung hoặc thay thế bên xử lý phụ qua email hoặc khối tin tức của hệ thống Paymenter.

5Quyền của chủ thể dữ liệu & hợp tác với cơ quan quản lý

5.1.Hỗ trợ: Có tính đến bản chất của dịch vụ lưu trữ, Bên xử lý sẽ hỗ trợ Bên kiểm soát bằng các biện pháp kỹ thuật phù hợp, trong chừng mực có thể, để Bên kiểm soát thực hiện nghĩa vụ phản hồi các yêu cầu của Chủ thể dữ liệu (các quyền theo Chương III GDPR).

5.2.Vi phạm dữ liệu cá nhân: Bên xử lý sẽ thông báo cho Bên kiểm soát không chậm trễ quá mức (và không muộn hơn 48 giờ) sau khi biết về một sự cố an ninh đã được xác nhận ở phía Bên xử lý dẫn đến việc phá hủy, mất mát hoặc thay đổi Dữ liệu cá nhân một cách vô tình hoặc trái pháp luật.

6Chuyển dữ liệu quốc tế

6.1.Mọi máy chủ quản lý (Paymenter) và môi trường của khách hàng (node Proxmox) đều chỉ đặt trong Khu vực Kinh tế châu Âu (EEA). Bên xử lý không chuyển bất kỳ dữ liệu cá nhân nào được lưu trữ trong VPS ra ngoài EU/EEA.

7Thời hạn và chấm dứt

7.1.DPA này có hiệu lực trong suốt thời hạn của Thỏa thuận dịch vụ chính (Điều khoản dịch vụ).

7.2.Khi dịch vụ chấm dứt, Bên xử lý sẽ xóa máy ảo (VPS) tương ứng và mọi dữ liệu cục bộ còn sót lại liên quan khỏi cụm Proxmox trong vòng 7 đến 14 ngày, trừ khi pháp luật EU hoặc Bồ Đào Nha yêu cầu tiếp tục lưu giữ dữ liệu kế toán/thanh toán.

Phụ lục A: Chi tiết về việc xử lý

Nhóm chủ thể dữ liệu: Người dùng các trang web, ứng dụng hoặc dịch vụ của Bên kiểm soát được lưu trữ trên VPS.

Loại dữ liệu cá nhân: Mọi dữ liệu số được Bên kiểm soát tải lên, lưu trữ hoặc truyền bên trong VPS (có thể gồm địa chỉ IP, nhật ký, cơ sở dữ liệu, hồ sơ người dùng).

Bản chất và mục đích xử lý: Lưu trữ số, hosting và phân bổ tài nguyên tính toán trên máy chủ đám mây.