資料處理協議。

1範圍、目的與角色

1.1.本 DPA 適用於控制者在處理者所提供之虛擬專用伺服器（VPS）中儲存、託管或以其他方式處理的個人資料。

1.2.就本服務而言，客戶為資料控制者（決定其使用者資料的處理目的），Axioma100Teorema, LDA 為資料處理者（僅提供技術基礎設施）。

2處理者的義務

處理者嚴格承諾並同意：

2.1.僅依指示：僅依控制者的書面指示處理個人資料（包括透過 Paymenter 計費面板與 Proxmox VE hypervisor 執行的技術性自動化 API 操作）。

2.2.保密：確保所有獲授權管理基礎設施的人員皆已承諾嚴格保密。

2.3.資料隔離：在 hypervisor 層級（Proxmox VE）維持虛擬環境的邏輯隔離，以防止不同客戶節點之間的未經授權存取。

2.4.零存取政策：除非控制者為排除故障透過正式支援工單明確提出要求，否則處理者不會存取、檢視或修改儲存在控制者 VPS 內的資料。

3技術與組織措施（符合 GDPR 第 32 條與 NIS 2）

處理者採取適當的技術與組織措施，以確保與風險相當的安全等級，包括：

3.1.基礎設施安全：實體基礎設施、資料中心、電力供應及網路層級的 DDoS 防護完全委外予 OVHcloud，其設施嚴格位於歐盟（EU）境內，並符合 ISO 27001 與 NIS 2 標準。

3.2.存取控制：對基礎設施管理平面實施嚴格的多重要素驗證（MFA）與存取控制機制。

3.3.控制平面隔離：Proxmox VE 管理介面的存取嚴格限制於安全的加密 VPN 連線。

4次處理者

4.1.控制者以書面概括授權處理者委任次處理者部署基礎設施。

4.2.經核准的主要基礎設施託管次處理者為：

OVH Groupe SA（OVHcloud） — 所在地：歐盟。目的：Bare Metal 專屬伺服器租用。

4.3.處理者如計畫新增或更換次處理者，應透過電子郵件或 Paymenter 系統的最新消息區塊通知控制者。

5資料主體權利與主管機關合作

5.1.協助：考量主機服務的性質，處理者將在可能範圍內以適當的技術措施協助控制者，履行其回應資料主體請求的義務（GDPR 第 III 章所定權利）。

5.2.個人資料外洩：處理者於知悉其端發生經確認、導致個人資料意外或非法毀損、遺失或變更的安全事件後，應無不當延遲（且不遲於 48 小時）通知控制者。

6國際資料傳輸

6.1.所有管理伺服器（Paymenter）與客戶環境（Proxmox 節點）嚴格位於歐洲經濟區（EEA）境內。處理者不會將 VPS 內託管的任何個人資料傳輸至 EU/EEA 境外。

7期間與終止

7.1.本 DPA 於主服務協議（服務條款）存續期間持續有效。

7.2.服務終止後，處理者將於 7 至 14 天內從 Proxmox 叢集中刪除相應的虛擬機器（VPS）及所有相關的本機資料殘留，除非歐盟或葡萄牙法律要求進一步保存會計／帳務資料。

附表 A：處理細節

資料主體類別：控制者託管在 VPS 上之網站、應用程式或服務的使用者。

個人資料類型：控制者在 VPS 內上傳、儲存或傳輸的任何數位資料（可能包括 IP 位址、紀錄、資料庫、使用者個人檔案）。

處理的性質與目的：雲端伺服器上的數位儲存、託管與運算資源分配。