数据处理协议。

1范围、目的与角色

1.1.本 DPA 适用于控制者在处理者提供的虚拟专用服务器（VPS）中存储、托管或以其他方式处理的个人数据的处理活动。

1.2.在本服务中，客户是数据控制者（决定其用户数据的处理目的），Axioma100Teorema, LDA 是数据处理者（仅提供技术基础设施）。

2处理者的义务

处理者严格承诺并同意：

2.1.仅按指示处理：仅根据控制者的书面指示处理个人数据（包括通过 Paymenter 计费面板和 Proxmox VE 虚拟化平台执行的自动化 API 技术操作）。

2.2.保密：确保所有获授权管理基础设施的人员均已承诺严格保密。

2.3.数据隔离：在虚拟化平台层面（Proxmox VE）保持虚拟环境的逻辑隔离，防止不同客户节点之间的未经授权访问。

2.4.零访问政策：除非控制者通过正式支持工单明确要求进行故障排查，处理者不会访问、查看或修改控制者 VPS 内存储的数据。

3技术和组织措施（符合 GDPR 第 32 条和 NIS 2）

处理者实施适当的技术和组织措施，以确保与风险相适应的安全水平，包括：

3.1.基础设施安全：物理基础设施、数据中心、供电和网络层面的 DDoS 防护完全外包给 OVHcloud，其设施严格位于欧盟（EU）境内，符合 ISO 27001 和 NIS 2 标准。

3.2.访问控制：对基础设施管理平面实施严格的多因素认证（MFA）和访问控制机制。

3.3.管理平面隔离：对 Proxmox VE 管理界面的访问严格限制为通过安全加密的 VPN 连接进行。

4次级处理者

4.1.控制者给予处理者一般性书面授权，允许其为部署基础设施聘用次级处理者。

4.2.经批准的主要基础设施托管次级处理者为：

OVH Groupe SA (OVHcloud) — 所在地：欧盟。用途：裸金属独立服务器租用。

4.3.处理者将通过电子邮件或 Paymenter 系统的公告栏，告知控制者有关增加或更换次级处理者的任何拟议变更。

5数据主体权利与监管合作

5.1.协助：考虑到托管服务的性质，处理者将在可能的范围内通过适当的技术措施协助控制者履行其答复数据主体请求的义务（GDPR 第三章规定的权利）。

5.2.个人数据泄露：处理者在获悉处理者一方已确认发生导致个人数据意外或非法毁损、丢失或篡改的安全事件后，应无不当延迟地（且不迟于 48 小时）通知控制者。

6国际数据传输

6.1.所有管理服务器（Paymenter）和客户环境（Proxmox 节点）均严格位于欧洲经济区（EEA）境内。处理者不会将 VPS 内托管的任何个人数据传输至欧盟/欧洲经济区以外。

7期限与终止

7.1.本 DPA 在主服务协议（服务条款）的存续期间内有效。

7.2.服务终止后，除非欧盟或葡萄牙法律要求进一步保留会计/计费数据，处理者将在 7 至 14 天内从 Proxmox 集群中删除相应的虚拟机（VPS）及所有相关的本地残留数据。

附表 A：处理详情

数据主体类别：控制者托管在 VPS 上的网站、应用程序或服务的用户。

个人数据类型：控制者在 VPS 内上传、存储或传输的任何数字数据（可能包括 IP 地址、日志、数据库、用户资料）。

处理的性质和目的：在云服务器上进行数字存储、托管和计算资源分配。