Modèle public d'accord de traitement des données conforme au RGPD Art. 28. Pour un usage contractuel formel, demandez la version signée à votre Responsable de traitement.
Avant d'entrer dans le détail des douze articles, voici la répartition des responsabilités au sens du Règlement (UE) 2016/679. Cette structure est le fondement de toutes les obligations qui suivent.
Le Client. Définit les finalités et les moyens du traitement. Détient le pouvoir décisionnel sur les données stockées dans le coffre : choix des secrets, des destinataires, de la politique d'accès et de la durée de conservation.
ARDNTECH EI. Exécute le traitement pour le compte du Client, dans le strict respect de ses instructions documentées et dans les limites de l'objet précisé à l'article 2 du présent DPA.
Vos utilisateurs. Membres des organisations du Client et destinataires de partages de secrets. Bénéficient des droits Art. 15 à 22 RGPD, outillés techniquement par Aegirex.
Táto Zmluva o spracovaní (ďalej "DPA") dopĺňa Všeobecné obchodné podmienky Aegirex a upresňuje povinnosti Správcu dát (Klienta) a Spracovateľa (Vydavateľa Aegirex) v zmysle Nariadenia (EÚ) 2016/679 (GDPR).
Spracovateľ: ARDNTECH EI, zapísaná v obchodnom registri pod č. 913308706, so sídlom na adrese 24 rue de la Glau 08700 Gespunsart. DPO: dpo@aegirex.eu.
Správca dát: právnická alebo fyzická osoba predplácajúca Aegirex a využívajúca službu na uchovávanie a zdieľanie digitálnych tajomstiev.
Aegirex je služba uchovávania tajomstiev so šifrovaním end-to-end (zero-knowledge). Spracovateľ spracováva dáta v mene Správcu dát výhradne na nasledujúce účely:
Spracovateľ spracováva nasledujúce kategórie dát, a iba tie:
| Kategória | Dotknuté dáta | Právny základ (čl. 6 GDPR) |
|---|---|---|
| Používateľský účet | E-mailová adresa, hash Argon2id hlavného hesla, OpenPGP verejný kľúč, voliteľné meno. | Plnenie zmluvy (čl. 6.1.b) |
| Uložené tajomstvá | Nepriehľadné OpenPGP bloby (šifrované). Spracovateľ ich nemôže čítať. | Plnenie zmluvy (čl. 6.1.b) |
| Audit logy | Udalosti prihlásenia, vytvorenia/čítania/zdieľania/odstránenia tajomstiev, IP, user-agent, HMAC signatúry. | Oprávnený záujem na bezpečnosti (čl. 6.1.f) |
| Fakturácia | Obchodný názov, SIREN, adresa, fakturačný e-mail, história platieb. | Právna povinnosť účtovná (čl. 6.1.c) |
Dotknuté osoby sú: (a) používatelia oprávnení Správcom dát na prístup do Aegirex; (b) v prípade potreby príjemcovia zdieľaní tajomstiev iniciovaných týmito používateľmi; (c) kontakty identifikované na faktúrach vystavených Správcovi dát.
Dáta sa uchovávajú po nasledujúce doby:
Správca dát výslovne oprávňuje Spracovateľa na použitie nasledujúcich následných spracovateľov:
| Spracovateľ | Účel | Krajina spracovania |
|---|---|---|
| Brevo SAS | Odosielanie transakčných e-mailov (notifikácie, overenie e-mailu). | FR |
| Stancer SAS | Spracovanie online platieb. | FR |
| Hostiteľ (na upresnenie v zmluve) | Hostovanie aplikačnej infraštruktúry a databáz. | FR / EU |
Akákoľvek zmena následného spracovateľa podlieha notifikácii Správcovi dát s minimálne 30 dňovou lehotou, umožňujúcou uplatniť motivované právo na námietku.
Spracovateľ zavádza nasledujúce opatrenia (orientačný nevyčerpávajúci zoznam):
V súlade s článkom 33 GDPR Spracovateľ oznamuje Správcovi dát akékoľvek porušenie osobných údajov do 48 hodín od okamihu, kedy sa o porušení dozvedel. Notifikácia upresňuje povahu, rozsah, pravdepodobné dôsledky a prijaté alebo plánované opatrenia.
Spracovateľ poskytuje Správcovi dát nástroje umožňujúce reagovať na žiadosti dotknutých osôb (právo na prístup, opravu, výmaz, prenositeľnosť, námietku) priamo z používateľského rozhrania. Pre akúkoľvek žiadosť nepokrytú rozhraním Spracovateľ asistuje Správcovi do 5 pracovných dní.
Na konci zmluvy (výpoveď, nepredĺženie) má Správca dát 30 dní na export svojich dát cez natívnu funkcionalitu exportu prenositeľnosti. Po tejto dobe sú všetky dáta Správcu nevratne odstránené z produkčných databáz. Šifrované zálohy sú vyčistené v ďalších 90 dňoch (štandardná rotácia retencie).
Žiadny prenos dát do tretích krajín mimo EÚ/EHP nie je uskutočňovaný. Spracovateľ nepoužíva dodávateľov podliehajúcich CLOUD Actu (US), FISA Section 702 ani ekvivalentným jurisdikciám. Ak by sa taký prenos stal v budúcnosti technicky nevyhnutným, Spracovateľ by musel získať výslovný a predchádzajúci súhlas Správcu dát.
Správca dát môže poveriť nezávislého audítora (na svoje náklady) overením súladu Spracovateľa so záväzkami tejto DPA, s výhradou rozumnej 15-dňovej lehoty a záväzku mlčanlivosti. Spracovateľ rovnako poskytuje na vyžiadanie všetky dokumenty umožňujúce preukázanie súladu (register spracovania, správy z pentestov apod.). Pre akúkoľvek žiadosť: dpo@aegirex.eu.
Le présent modèle vaut engagement contractuel lorsqu'il est annexé à un bon de commande Business ou Enterprise. Pour une version signée numériquement, nominative et adaptée à vos sous-traitants et à votre juridiction, adressez votre demande à votre Responsable de traitement ou directement au DPO d'ARDNTECH EI.
