ARDNTECH | Umowa o przetwarzaniu danych (DPA)

1 · Identyfikacja stron 2 · Przedmiot i cele przetwarzania 3 · Kategorie przetwarzanych danych 4 · Kategorie osób, których dane dotyczą 5 · Okresy retencji 6 · Dopuszczeni dalsi podwykonawcy 7 · Środki techniczne i organizacyjne bezpieczeństwa 8 · Powiadamianie o naruszeniach danych 9 · Prawa osób, których dane dotyczą 10 · Zwrot / usunięcie na koniec umowy 11 · Transfery poza Unię Europejską 12 · Audyt i współpraca Signature

Przegląd

Trzy role RODOw skrócie.

Zanim przejdziemy do szczegółów dwunastu artykułów, oto podział obowiązków w rozumieniu Rozporządzenia (UE) 2016/679. Ta struktura jest podstawą wszystkich kolejnych obowiązków.

Administrator danych

Klient. Définit les finalités et les moyens du traitement. Détient le pouvoir décisionnel sur les données stockées dans le coffre : choix des secrets, des destinataires, de la politique d'accès et de la durée de conservation.

Podmiot przetwarzający

ARDNTECH EI. Exécute le traitement pour le compte du Client, dans le strict respect de ses instructions documentées et dans les limites de l'objet précisé à l'article 2 du présent DPA.

Osoby, których dane dotyczą

Twoi użytkownicy. Membres des organisations du Client et destinataires de partages de secrets. Bénéficient des droits Art. 15 à 22 RGPD, outillés techniquement par ARDNTECH.

Artykuł 1

1. Identyfikacja stron

Niniejsza Umowa o Przetwarzaniu (dalej "DPA") uzupełnia Regulamin ARDNTECH i precyzuje obowiązki Administratora danych (Klienta) oraz Podmiotu przetwarzającego (Wydawcy ARDNTECH) w rozumieniu Rozporządzenia (UE) 2016/679 (RODO).

Podmiot przetwarzający: ARDNTECH, wpisana do rejestru handlowego pod nr 913308706, z siedzibą pod adresem 24 rue de la Glau 08700 Gespunsart. IOD: dpo@aegirex.eu.

Administrator danych: osoba prawna lub fizyczna subskrybująca ARDNTECH i korzystająca z usługi do przechowywania i udostępniania sekretów cyfrowych.

Artykuł 2

2. Przedmiot i cele przetwarzania

ARDNTECH jest usługą przechowywania sekretów z szyfrowaniem end-to-end (zero-knowledge). Podmiot przetwarzający przetwarza dane na rzecz Administratora wyłącznie w następujących celach:

Przechowywanie nieprzezroczystych blobów kryptograficznych (sekrety zaszyfrowane kluczem publicznym Administratora, nigdy odszyfrowywalne po stronie serwera).
Uwierzytelnianie, zarządzanie kontami, zarządzanie członkostwami w organizacjach.
Wysyłanie powiadomień operacyjnych (alert wycieku HIBP opt-in, zaproszenie członka, alert audytu).

Artykuł 3

3. Kategorie przetwarzanych danych

Podmiot przetwarzający przetwarza następujące kategorie danych, i tylko te:

Kategoria	Dane	Podstawa prawna (art. 6 RODO)
Konto użytkownika	Adres e-mail, hash Argon2id hasła głównego, klucz publiczny OpenPGP, opcjonalna nazwa.	Wykonanie umowy (art. 6.1.b)
Przechowywane sekrety	Nieprzezroczyste bloby OpenPGP (zaszyfrowane). Podmiot przetwarzający nie może ich odczytać.	Wykonanie umowy (art. 6.1.b)
Dzienniki audytu	Zdarzenia logowania, tworzenia/odczytu/udostępnienia/usuwania sekretów, IP, user-agent, sygnatury HMAC.	Uzasadniony interes w bezpieczeństwie (art. 6.1.f)
Faktury	Nazwa firmy, SIREN, adres, e-mail do faktur, historia płatności.	Obowiązek prawny księgowy (art. 6.1.c)

Artykuł 4

4. Kategorie osób, których dane dotyczą

Osobami, których dane dotyczą, są: (a) użytkownicy upoważnieni przez Administratora do dostępu do ARDNTECH; (b) w stosownych przypadkach, adresaci udostępnień sekretów inicjowanych przez tych użytkowników; (c) osoby kontaktowe zidentyfikowane na fakturach wystawionych Administratorowi.

Artykuł 5

5. Okresy retencji

Dane są przechowywane przez następujące okresy:

Konto użytkownika: dopóki konto jest aktywne, usuwane w ciągu 30 dni od jawnej prośby lub rozwiązania umowy.
Sekrety: dopóki użytkownik ich nie usunie. Usunięcie nieodwracalne i natychmiastowe na akcję użytkownika.
Dzienniki audytu: 13 miesięcy (okres rekomendowany przez CNIL dla identyfikowalności), następnie zanonimizowana archiwizacja.
Dane do faktur: 10 lat (obowiązek prawny Kodeksu handlowego L123-22).
Logi techniczne aplikacyjne (poza audytem): 30 dni rolling, automatyczna anonimizacja IP powyżej.

Artykuł 6

6. Dopuszczeni dalsi podwykonawcy

Administrator danych wyraźnie upoważnia Podmiot przetwarzający do korzystania z następujących dalszych podwykonawców:

Podwykonawca	Cel	Kraj przetwarzania
Brevo SAS	Wysyłanie e-maili transakcyjnych (powiadomienia, weryfikacja e-mail).	FR
Stancer SAS	Przetwarzanie płatności online.	FR
Hostingodawca (do sprecyzowania w umowie)	Hosting infrastruktury aplikacyjnej i baz danych.	FR / EU

Każda zmiana dalszego podwykonawcy podlega powiadomieniu Administratora danych z minimum 30-dniowym wyprzedzeniem, umożliwiającym zgłoszenie uzasadnionego sprzeciwu.

Artykuł 7

7. Środki techniczne i organizacyjne bezpieczeństwa

Podmiot przetwarzający wdraża następujące środki (lista wskazująca, niewyczerpująca):

Szyfrowanie end-to-end sekretów (OpenPGP.js v6, krzywe ECC curve25519, AES-256-GCM SEIPDv2).
Derywacja kluczy z hasła głównego przez Argon2id (5 przejść, 256 MiB, parallelism 4).
Łańcuch audytu kryptograficznego HMAC-SHA-256 weryfikowalny, wykrywanie w O(1) każdej modyfikacji.
Obowiązkowy TLS 1.3 w transporcie, HSTS preload, certyfikaty Let's Encrypt lub Buypass odnawiane automatycznie.
Uwierzytelnianie dwuskładnikowe (TOTP RFC 6238 + e-mail) z szyfrowanymi kodami odzyskiwania.
Codzienne szyfrowane kopie zapasowe, przechowywane 30 dni, kwartalnie testowane odtwarzanie.
Roczny test penetracyjny przez PASSI (od V1.0 GA).

Artykuł 8

8. Powiadamianie o naruszeniach danych

Zgodnie z artykułem 33 RODO Podmiot przetwarzający powiadamia Administratora danych o każdym naruszeniu danych osobowych w ciągu 48 godzin od chwili powzięcia wiadomości o naruszeniu. Powiadomienie precyzuje charakter, zakres, prawdopodobne skutki i podjęte lub planowane środki.

Artykuł 9

9. Prawa osób, których dane dotyczą

Podmiot przetwarzający dostarcza Administratorowi narzędzia umożliwiające odpowiedź na żądania osób (prawo dostępu, sprostowania, usunięcia, przenoszenia, sprzeciwu) bezpośrednio z interfejsu użytkownika. Dla każdego żądania nieobjętego interfejsem Podmiot wspomaga Administratora w ciągu 5 dni roboczych.

Artykuł 10

10. Zwrot / usunięcie na koniec umowy

Na koniec umowy (rozwiązanie, nieprzedłużenie) Administrator danych ma 30 dni na wyeksportowanie danych przez natywną funkcjonalność eksportu przenoszenia. Po tym okresie wszystkie dane Administratora są nieodwracalnie usuwane z baz produkcyjnych. Szyfrowane kopie zapasowe są usuwane w ciągu 90 kolejnych dni (standardowa rotacja retencji).

Artykuł 11

11. Transfery poza Unię Europejską

Żaden transfer danych do państwa trzeciego poza UE/EOG nie jest dokonywany. Podmiot przetwarzający nie korzysta z dostawców podlegających CLOUD Act (US), FISA Section 702, ani równoważnym jurysdykcjom. Jeśli taki transfer stałby się technicznie konieczny w przyszłości, Podmiot przetwarzający musiałby uzyskać wyraźną i uprzednią zgodę Administratora.

Artykuł 12

12. Audyt i współpraca

Administrator danych może zlecić niezależnemu audytorowi (na własny koszt) weryfikację zgodności Podmiotu z zobowiązaniami niniejszego DPA, z zastrzeżeniem rozsądnego 15-dniowego wyprzedzenia i zobowiązania poufności. Podmiot dostarcza również na żądanie wszelkie dokumenty pozwalające wykazać zgodność (rejestr przetwarzań, raporty pentestów itp.). Wszelkie żądania: dpo@aegirex.eu.

Rozpocznij

Potrzebujesz wersji
podpisanej i spersonalizowanej?

Niniejszy wzór stanowi zobowiązanie umowne, gdy jest załączony do zamówienia Business lub Enterprise. Aby uzyskać wersję podpisaną cyfrowo, imienną i dostosowaną do Twoich podmiotów przetwarzających oraz Twojej jurysdykcji, prześlij swoje żądanie do swojego administratora danych lub bezpośrednio do DPO firmy ARDNTECH EI.

Poproś o podpisaną wersję Zobacz politykę prywatności

Natywny RODO, zgodny z art. 28

Zero-knowledge: wydawca nie czyta Twoich sekretów

Hosting we Francji, jurysdykcja francuska

Kod AGPL-3.0, audytowalny od początku do końca

Wyłącznie podwykonawcy z UE, wymienieni w art. 6