ARDNTECH | Tietojenkäsittelysopimus (DPA)

1 · Osapuolten tunnistaminen 2 · Käsittelyn kohde ja tarkoitukset 3 · Käsiteltävien tietojen luokat 4 · Rekisteröityjen luokat 5 · Säilytysajat 6 · Sallitut alihankkijat 7 · Tekniset ja organisatoriset turvatoimet 8 · Tietoturvaloukkausten ilmoittaminen 9 · Rekisteröityjen oikeudet 10 · Palautus / poisto sopimuksen päättyessä 11 · Siirrot Euroopan unionin ulkopuolelle 12 · Auditointi ja yhteistyö Signature

Yleiskatsaus

GDPR:n kolme rooliayhdellä silmäyksellä.

Ennen kuin käsittelemme kahtatoista artiklaa yksityiskohtaisesti, tässä on vastuiden jako asetuksen (EU) 2016/679 mukaisesti. Tämä rakenne on kaikkien seuraavien velvoitteiden perusta.

Rekisterinpitäjä

Asiakas. Définit les finalités et les moyens du traitement. Détient le pouvoir décisionnel sur les données stockées dans le coffre : choix des secrets, des destinataires, de la politique d'accès et de la durée de conservation.

Henkilötietojen käsittelijä

ARDNTECH EI. Exécute le traitement pour le compte du Client, dans le strict respect de ses instructions documentées et dans les limites de l'objet précisé à l'article 2 du présent DPA.

Rekisteröidyt

Käyttäjäsi. Membres des organisations du Client et destinataires de partages de secrets. Bénéficient des droits Art. 15 à 22 RGPD, outillés techniquement par ARDNTECH.

1 artikla

1. Osapuolten tunnistaminen

Tämä tietojenkäsittelysopimus (jäljempänä "DPA") täydentää ARDNTECH:n käyttöehtoja ja täsmentää rekisterinpitäjän (Asiakkaan) ja tietojen käsittelijän (ARDNTECH:n julkaisijan) keskinäisiä velvoitteita asetuksen (EU) 2016/679 (GDPR) mukaisesti.

Tietojen käsittelijä: ARDNTECH, kaupparekisteriin merkitty nrolla 913308706, kotipaikka 24 rue de la Glau 08700 Gespunsart. DPO: dpo@aegirex.eu.

Rekisterinpitäjä: oikeushenkilö tai luonnollinen henkilö, joka tilaa ARDNTECH:n ja käyttää palvelua digitaalisten salaisuuksien tallentamiseen ja jakamiseen.

2 artikla

2. Käsittelyn kohde ja tarkoitukset

ARDNTECH on päästä-päähän salattu (zero-knowledge) salaisuuksien tallennuspalvelu. Tietojen käsittelijä käsittelee tietoja rekisterinpitäjän lukuun ainoastaan seuraaviin tarkoituksiin:

Läpinäkymättömien kryptografisten blobien tallennus (rekisterinpitäjän julkisella avaimella salatut salaisuudet, joita ei koskaan voi purkaa palvelinpuolella).
Tunnistautuminen, tilien hallinta, organisaatiojäsenyyksien hallinta.
Toiminnallisten ilmoitusten lähetys (HIBP-vuodon hälytys opt-in, jäsenkutsut, audit-hälytys).

3 artikla

3. Käsiteltävien tietojen luokat

Tietojen käsittelijä käsittelee seuraavia tietoluokkia ja vain niitä:

Luokka	Kyseessä olevat tiedot	Oikeusperuste (GDPR 6 art.)
Käyttäjätili	Sähköpostiosoite, pääsalasanan Argon2id-hash, OpenPGP-julkinen avain, valinnainen nimi.	Sopimuksen täytäntöönpano (6.1.b art.)
Tallennetut salaisuudet	Läpinäkymättömät OpenPGP-blobit (salatut). Tietojen käsittelijä ei voi lukea niitä.	Sopimuksen täytäntöönpano (6.1.b art.)
Auditointilokit	Kirjautumistapahtumat, salaisuuksien luonti/luku/jako/poisto, IP, user-agent, HMAC-allekirjoitukset.	Oikeutettu intressi tietoturvaan (6.1.f art.)
Laskutus	Toiminimi, Y-tunnus, osoite, laskutussähköposti, maksuhistoria.	Lakisääteinen kirjanpitovelvoite (6.1.c art.)

4 artikla

4. Rekisteröityjen luokat

Rekisteröidyt ovat: (a) rekisterinpitäjän valtuuttamat käyttäjät käyttämään ARDNTECH:tä; (b) tarvittaessa näiden käyttäjien aloittamien salaisuuksien jakojen vastaanottajat; (c) rekisterinpitäjälle annetuilla laskuilla mainitut yhteyshenkilöt.

5 artikla

5. Säilytysajat

Tiedot säilytetään seuraavasti:

Käyttäjätili: niin kauan kuin tili on aktiivinen, poistetaan 30 päivän kuluessa nimenomaisesta pyynnöstä tai irtisanomisesta.
Salaisuudet: niin kauan kuin käyttäjä ei poista niitä. Peruuttamaton ja välitön poisto käyttäjän toiminnasta.
Auditointilokit: 13 kuukautta (CNILin suosittelema aika jäljitettävyyden vuoksi), sitten anonymisoitu arkistointi.
Laskutustiedot: 10 vuotta (lakisääteinen velvoite, Ranskan kauppakaaren L123-22).
Sovelluksen tekniset lokit (auditoinnin ulkopuolella): 30 päivää rullaavasti, automaattinen IP-anonymisointi sen jälkeen.

6 artikla

6. Sallitut alihankkijat

Rekisterinpitäjä valtuuttaa nimenomaisesti tietojen käsittelijän käyttämään seuraavia alihankkijoita:

Alihankkija	Tarkoitus	Käsittelymaa
Brevo SAS	Tapahtumakohtaisten sähköpostien lähetys (ilmoitukset, sähköpostin vahvistus).	FR
Stancer SAS	Verkkomaksujen käsittely.	FR
Isäntä (täsmennetään sopimuksessa)	Sovellusinfrastruktuurin ja tietokantojen isännöinti.	FR / EU

Jokaisesta alihankkijan vaihdosta ilmoitetaan rekisterinpitäjälle vähintään 30 päivän ennakkoilmoituksella, jolloin tämä voi käyttää perusteltua vastustamisoikeuttaan.

7 artikla

7. Tekniset ja organisatoriset turvatoimet

Tietojen käsittelijä toteuttaa seuraavat toimet (ohjaava ei-tyhjentävä luettelo):

Salaisuuksien päästä-päähän-salaus (OpenPGP.js v6, ECC curve25519, AES-256-GCM SEIPDv2).
Avainten johtaminen pääsalasanasta Argon2id:llä (5 passes, 256 MiB, parallelism 4).
Kryptografinen HMAC-SHA-256 audit chain, todennettavissa, O(1)-tunnistus mille tahansa muutokselle.
TLS 1.3 pakollinen kuljetuksessa, HSTS preload, Let's Encrypt- tai Buypass-varmenteet uusitaan automaattisesti.
Kaksivaiheinen tunnistautuminen (TOTP RFC 6238 + sähköposti) salatuilla palautuskoodeilla.
Päivittäiset salatut varmuuskopiot, säilytetään 30 päivää, palautus testataan neljännesvuosittain.
Vuosittainen tunkeutumistesti PASSIn toimesta (V1.0 GA:sta alkaen).

8 artikla

8. Tietoturvaloukkausten ilmoittaminen

GDPR:n artiklan 33 mukaisesti tietojen käsittelijä ilmoittaa rekisterinpitäjälle henkilötietojen tietoturvaloukkauksesta 48 tunnin kuluessa tiedon saamisesta. Ilmoituksessa täsmennetään luonne, laajuus, todennäköiset seuraukset ja toteutetut tai suunnitellut toimenpiteet.

9 artikla

9. Rekisteröityjen oikeudet

Tietojen käsittelijä tarjoaa rekisterinpitäjälle työkalut rekisteröityjen pyyntöihin vastaamiseksi (oikeus saada pääsy, oikaisuun, poistoon, siirrettävyyteen, vastustamiseen) suoraan käyttöliittymästä. Käyttöliittymän ulkopuolelle jäävissä pyynnöissä tietojen käsittelijä avustaa rekisterinpitäjää 5 työpäivän kuluessa.

10 artikla

10. Palautus / poisto sopimuksen päättyessä

Sopimuksen päättyessä (irtisanominen, uusimatta jättäminen) rekisterinpitäjällä on 30 päivää aikaa viedä tietonsa natiivilla siirrettävyyden vientitoiminnolla. Tämän määräajan jälkeen rekisterinpitäjän kaikki tiedot poistetaan peruuttamattomasti tuotantotietokannoista. Salatut varmuuskopiot tyhjennetään 90 päivän kuluessa lisäksi (vakiosäilytysrotaatio).

11 artikla

11. Siirrot Euroopan unionin ulkopuolelle

Tietoja ei siirretä EU:n/ETA:n ulkopuoliseen kolmanteen maahan. Tietojen käsittelijä ei käytä palveluntarjoajia, jotka kuuluvat Yhdysvaltain CLOUD Actin, FISA Section 702:n tai vastaavien lainkäyttöalueiden piiriin. Mikäli tällainen siirto tulisi tulevaisuudessa teknisesti välttämättömäksi, tietojen käsittelijän olisi hankittava rekisterinpitäjän nimenomainen ennakkohyväksyntä.

12 artikla

12. Auditointi ja yhteistyö

Rekisterinpitäjä voi valtuuttaa riippumattoman tarkastajan (omalla kustannuksellaan) tarkastamaan tietojen käsittelijän tämän DPA:n velvoitteiden noudattamisen kohtuullisella 15 päivän ennakkoilmoituksella ja salassapitosopimuksella. Tietojen käsittelijä toimittaa myös pyynnöstä kaikki asiakirjat, jotka osoittavat sen vaatimustenmukaisuuden (käsittelyrekisteri, pentest-raportit jne.). Kaikkiin pyyntöihin: dpo@aegirex.eu.

Aloita

Tarvitsetko version
allekirjoitettuna ja räätälöitynä?

Tämä malli on sopimusluonteinen sitoumus, kun se liitetään Business- tai Enterprise-tilaukseen. Saadaksesi digitaalisesti allekirjoitetun, nimetyn ja alihankkijoihisi sekä lainkäyttöalueeseesi mukautetun version, lähetä pyyntösi Rekisterinpitäjällesi tai suoraan ARDNTECH EI-yrityksen DPO:lle.

Pyydä allekirjoitettu versio Katso tietosuojakäytäntö

Natiivisti GDPR, 28 artiklan mukainen

Zero-knowledge: toimittaja ei lue salaisuuksiasi

Isännöinti Ranskassa, Ranskan lainkäyttövalta

AGPL-3.0-lähdekoodi, täysin auditoitavissa

Alihankkijat vain EU:sta, lueteltu 6 artiklassa