Modèle public d'accord de traitement des données conforme au RGPD Art. 28. Pour un usage contractuel formel, demandez la version signée à votre Responsable de traitement.
Avant d'entrer dans le détail des douze articles, voici la répartition des responsabilités au sens du Règlement (UE) 2016/679. Cette structure est le fondement de toutes les obligations qui suivent.
Le Client. Définit les finalités et les moyens du traitement. Détient le pouvoir décisionnel sur les données stockées dans le coffre : choix des secrets, des destinataires, de la politique d'accès et de la durée de conservation.
ARDNTECH EI. Exécute le traitement pour le compte du Client, dans le strict respect de ses instructions documentées et dans les limites de l'objet précisé à l'article 2 du présent DPA.
Vos utilisateurs. Membres des organisations du Client et destinataires de partages de secrets. Bénéficient des droits Art. 15 à 22 RGPD, outillés techniquement par Aegirex.
Tato Smlouva o zpracování (dále "DPA") doplňuje Všeobecné obchodní podmínky Aegirex a upřesňuje povinnosti Správce dat (Klienta) a Zpracovatele (Vydavatele Aegirex) ve smyslu Nařízení (EU) 2016/679 (GDPR).
Zpracovatel: ARDNTECH EI, zapsaná v obchodním rejstříku pod č. 913308706, se sídlem na adrese 24 rue de la Glau 08700 Gespunsart. DPO: dpo@aegirex.eu.
Správce dat: právnická nebo fyzická osoba předplácející Aegirex a využívající službu k uchovávání a sdílení digitálních tajemství.
Aegirex je služba uchovávání tajemství se šifrováním end-to-end (zero-knowledge). Zpracovatel zpracovává data jménem Správce dat výhradně pro následující účely:
Zpracovatel zpracovává následující kategorie dat, a pouze ty:
| Kategorie | Dotčená data | Právní základ (čl. 6 GDPR) |
|---|---|---|
| Uživatelský účet | E-mailová adresa, hash Argon2id hlavního hesla, OpenPGP veřejný klíč, volitelné jméno. | Plnění smlouvy (čl. 6.1.b) |
| Uložená tajemství | Neprůhledné OpenPGP bloby (šifrované). Zpracovatel je nemůže číst. | Plnění smlouvy (čl. 6.1.b) |
| Audit logy | Události přihlášení, vytvoření/čtení/sdílení/odstranění tajemství, IP, user-agent, HMAC signatury. | Oprávněný zájem na bezpečnosti (čl. 6.1.f) |
| Fakturace | Obchodní název, SIREN, adresa, fakturační e-mail, historie plateb. | Právní povinnost účetní (čl. 6.1.c) |
Subjekty údajů jsou: (a) uživatelé oprávnění Správcem dat k přístupu do Aegirex; (b) případně příjemci sdílení tajemství iniciovaných těmito uživateli; (c) kontakty identifikované na fakturách vystavených Správci dat.
Data jsou uchovávána po následující doby:
Správce dat výslovně opravňuje Zpracovatele k použití následujících následných zpracovatelů:
| Zpracovatel | Účel | Země zpracování |
|---|---|---|
| Brevo SAS | Odesílání transakčních e-mailů (notifikace, ověření e-mailu). | FR |
| Stancer SAS | Zpracování onlinových plateb. | FR |
| Hostitel (k upřesnění ve smlouvě) | Hostování aplikační infrastruktury a databází. | FR / EU |
Jakákoliv změna následného zpracovatele podléhá notifikaci Správci dat s minimálně 30 denní lhůtou, umožňující uplatnit motivované právo na námitku.
Zpracovatel zavádí následující opatření (orientační nevyčerpávající seznam):
V souladu s článkem 33 GDPR Zpracovatel oznamuje Správci dat jakékoliv porušení osobních údajů do 48 hodin od okamžiku, kdy se o porušení dozvěděl. Notifikace upřesňuje povahu, rozsah, pravděpodobné důsledky a přijatá nebo plánovaná opatření.
Zpracovatel poskytuje Správci dat nástroje umožňující reagovat na žádosti subjektů údajů (právo na přístup, opravu, výmaz, přenositelnost, námitku) přímo z uživatelského rozhraní. Pro jakoukoliv žádost nepokrytou rozhraním Zpracovatel asistuje Správci do 5 pracovních dnů.
Na konci smlouvy (výpověď, neprodloužení) má Správce dat 30 dní na export svých dat přes nativní funkcionalitu exportu přenositelnosti. Po této době jsou všechna data Správce nevratně odstraněna z produkčních databází. Šifrované zálohy jsou vyčištěny v dalších 90 dnech (standardní rotace retence).
Žádný přenos dat do třetích zemí mimo EU/EHP není prováděn. Zpracovatel nepoužívá dodavatele podléhající CLOUD Actu (US), FISA Section 702 ani ekvivalentním jurisdikcím. Pokud by se takový přenos stal v budoucnu technicky nezbytným, Zpracovatel by musel získat výslovný a předchozí souhlas Správce dat.
Správce dat může pověřit nezávislého auditora (na své náklady) ověřením souladu Zpracovatele s závazky této DPA, s výhradou rozumné 15denní lhůty a závazku mlčenlivosti. Zpracovatel rovněž poskytuje na vyžádání všechny dokumenty umožňující prokázání souladu (registr zpracování, zprávy z pentestů apod.). Pro jakoukoliv žádost: dpo@aegirex.eu.
Le présent modèle vaut engagement contractuel lorsqu'il est annexé à un bon de commande Business ou Enterprise. Pour une version signée numériquement, nominative et adaptée à vos sous-traitants et à votre juridiction, adressez votre demande à votre Responsable de traitement ou directement au DPO d'ARDNTECH EI.
