Modèle public d'accord de traitement des données conforme au RGPD Art. 28. Pour un usage contractuel formel, demandez la version signée à votre Responsable de traitement.
Avant d'entrer dans le détail des douze articles, voici la répartition des responsabilités au sens du Règlement (UE) 2016/679. Cette structure est le fondement de toutes les obligations qui suivent.
Le Client. Définit les finalités et les moyens du traitement. Détient le pouvoir décisionnel sur les données stockées dans le coffre : choix des secrets, des destinataires, de la politique d'accès et de la durée de conservation.
ARDNTECH EI. Exécute le traitement pour le compte du Client, dans le strict respect de ses instructions documentées et dans les limites de l'objet précisé à l'article 2 du présent DPA.
Vos utilisateurs. Membres des organisations du Client et destinataires de partages de secrets. Bénéficient des droits Art. 15 à 22 RGPD, outillés techniquement par Aegirex.
Šis Apstrādes līgums (turpmāk "DPA") papildina Aegirex vispārējos lietošanas noteikumus un precizē Pārziņa (Klienta) un Apstrādātāja (Aegirex izdevēja) attiecīgos pienākumus saskaņā ar Regulu (ES) 2016/679 (VDAR).
Apstrādātājs: ARDNTECH EI, reģistrēts RCS ar numuru 913308706, juridiskā adrese 24 rue de la Glau 08700 Gespunsart. DAS: dpo@aegirex.eu.
Pārzinis: juridiska vai fiziska persona, kas abonē Aegirex un izmanto pakalpojumu digitālo noslēpumu glabāšanai un kopīgošanai.
Aegirex ir galapunktu šifrēšanas (zero-knowledge) noslēpumu glabāšanas pakalpojums. Apstrādātājs apstrādā datus Pārziņa vārdā tikai šādiem mērķiem:
Apstrādātājs apstrādā šādas un tikai šādas datu kategorijas:
| Kategorija | Attiecīgie dati | Juridiskais pamats (VDAR 6. p.) |
|---|---|---|
| Lietotāja konts | E-pasta adrese, galvenās paroles Argon2id hash, OpenPGP publiskā atslēga, neobligātais vārds. | Līguma izpilde (6.1.b p.) |
| Glabātie noslēpumi | Necaurspīdīgi OpenPGP blobi (šifrēti). Apstrādātājs nevar tos lasīt. | Līguma izpilde (6.1.b p.) |
| Audita žurnāli | Pieslēgšanās notikumi, noslēpumu izveide/lasīšana/kopīgošana/dzēšana, IP, user-agent, HMAC paraksti. | Likumīga interese drošībai (6.1.f p.) |
| Rēķini | Uzņēmuma nosaukums, SIREN, adrese, rēķinu e-pasts, maksājumu vēsture. | Juridiska grāmatvedības obligātība (6.1.c p.) |
Datu subjekti ir: (a) Pārziņa pilnvarotie lietotāji piekļūt Aegirex; (b) attiecīgā gadījumā šo lietotāju ierosināto noslēpumu kopīgošanu adresāti; (c) kontakti, kas identificēti Pārzinim izrakstītajos rēķinos.
Dati tiek glabāti šādiem termiņiem:
Pārzinis tieši pilnvaro Apstrādātāju izmantot šādus tālākos apakšuzņēmējus:
| Apakšuzņēmējs | Mērķis | Apstrādes valsts |
|---|---|---|
| Brevo SAS | Tranzakciju e-pastu sūtīšana (paziņojums, e-pasta verifikācija). | FR |
| Stancer SAS | Tiešsaistes maksājumu apstrāde. | FR |
| Mitinātājs (precizējams līgumā) | Lietojumprogrammas infrastruktūras un datu bāzu mitināšana. | FR / EU |
Jebkura tālāka apakšuzņēmēja izmaiņa ir paziņojuma objekts Pārzinim ar minimālo 30 dienu paziņojumu, ļaujot tam īstenot motivētu iebildumu tiesības.
Apstrādātājs īsteno šādus pasākumus (indikatīvais, neizsmeļošais saraksts):
Saskaņā ar VDAR 33. pantu Apstrādātājs paziņo Pārzinim par jebkuru personas datu pārkāpumu 48 stundu laikā no pārkāpuma uzzināšanas. Paziņojums precizē veidu, apjomu, iespējamās sekas un veiktos vai plānotos pasākumus.
Apstrādātājs nodrošina Pārzinim instrumentus, lai atbildētu uz datu subjektu pieprasījumiem (tiesības piekļūt, labot, dzēst, pārnest, iebilst) tieši no lietotāja saskarnes. Pieprasījumiem, ko nesedz saskarne, Apstrādātājs palīdz Pārzinim 5 darba dienu laikā.
Līguma beigās (izbeigšana, neatjaunošana) Pārzinim ir 30 dienas, lai eksportētu savus datus, izmantojot vietējo pārnesamības eksporta funkciju. Pēc šī termiņa beigām visi Pārziņa dati tiek neatgriezeniski dzēsti no produkcijas datu bāzēm. Šifrētās rezerves kopijas tiek iztīrītas papildu 90 dienu laikā (standarta rotācijas saglabāšana).
Nekāda datu pārsūtīšana uz trešo valsti ārpus ES/EEZ netiek veikta. Apstrādātājs neizmanto pakalpojumu sniedzējus, kuriem piemērojams CLOUD Act (ASV), FISA 702. sadaļa vai līdzvērtīgas jurisdikcijas. Ja šāda pārsūtīšana nākotnē kļūtu tehniski nepieciešama, Apstrādātājam jāsaņem skaidra un iepriekšēja Pārziņa piekrišana.
Pārzinis var pilnvarot neatkarīgu auditoru (par saviem līdzekļiem), lai pārbaudītu Apstrādātāja atbilstību šajā DPA paredzētajām saistībām, ar nosacījumu par saprātīgu 15 dienu paziņojumu un konfidencialitātes saistībām. Apstrādātājs pēc pieprasījuma sniedz visus dokumentus, kas ļauj pierādīt atbilstību (apstrādes reģistrs, pentest ziņojumi utt.). Jebkuram pieprasījumam: dpo@aegirex.eu.
Le présent modèle vaut engagement contractuel lorsqu'il est annexé à un bon de commande Business ou Enterprise. Pour une version signée numériquement, nominative et adaptée à vos sous-traitants et à votre juridiction, adressez votre demande à votre Responsable de traitement ou directement au DPO d'ARDNTECH EI.
