Modèle public d'accord de traitement des données conforme au RGPD Art. 28. Pour un usage contractuel formel, demandez la version signée à votre Responsable de traitement.
Avant d'entrer dans le détail des douze articles, voici la répartition des responsabilités au sens du Règlement (UE) 2016/679. Cette structure est le fondement de toutes les obligations qui suivent.
Le Client. Définit les finalités et les moyens du traitement. Détient le pouvoir décisionnel sur les données stockées dans le coffre : choix des secrets, des destinataires, de la politique d'accès et de la durée de conservation.
ARDNTECH EI. Exécute le traitement pour le compte du Client, dans le strict respect de ses instructions documentées et dans les limites de l'objet précisé à l'article 2 du présent DPA.
Vos utilisateurs. Membres des organisations du Client et destinataires de partages de secrets. Bénéficient des droits Art. 15 à 22 RGPD, outillés techniquement par Aegirex.
Ta Sporazum o obdelavi (v nadaljevanju "DPA") dopolnjuje Splošne pogoje uporabe Aegirex in natančno določa obveznosti Upravljavca podatkov (Stranke) in Obdelovalca (Izdajatelja Aegirex) v smislu Uredbe (EU) 2016/679 (GDPR).
Obdelovalec: ARDNTECH EI, vpisana v poslovni register pod št. 913308706, s sedežem na naslovu 24 rue de la Glau 08700 Gespunsart. DPO: dpo@aegirex.eu.
Upravljavec podatkov: pravna ali fizična oseba, ki naročava Aegirex in uporablja storitev za shranjevanje in deljenje digitalnih skrivnosti.
Aegirex je storitev shranjevanja skrivnosti s šifriranjem od konca do konca (zero-knowledge). Obdelovalec obdeluje podatke za račun Upravljavca podatkov izključno za naslednje namene:
Obdelovalec obdeluje naslednje kategorije podatkov in samo te:
| Kategorija | Podatki | Pravna podlaga (čl. 6 GDPR) |
|---|---|---|
| Uporabniški račun | E-naslov, zgostitev Argon2id glavnega gesla, OpenPGP javni ključ, neobvezno ime. | Izvajanje pogodbe (čl. 6.1.b) |
| Shranjene skrivnosti | Neprozorni OpenPGP bloki (šifrirani). Obdelovalec jih ne more brati. | Izvajanje pogodbe (čl. 6.1.b) |
| Revizijski logi | Dogodki prijave, ustvarjanja/branja/deljenja/brisanja skrivnosti, IP, user-agent, HMAC podpisi. | Zakoniti interes do varnosti (čl. 6.1.f) |
| Izstavljanje računov | Naziv podjetja, SIREN, naslov, e-naslov za izstavljanje računov, zgodovina plačil. | Zakonska obveznost knjigovodstva (čl. 6.1.c) |
Zadevne osebe so: (a) uporabniki, ki jih je Upravljavec podatkov pooblastil za dostop do Aegirex; (b) po potrebi prejemniki delitev skrivnosti, ki so jih ti uporabniki sprožili; (c) kontakti, navedeni na računih, izstavljenih Upravljavcu podatkov.
Podatki se hranijo naslednje čase:
Upravljavec podatkov izrecno pooblašča Obdelovalca za uporabo naslednjih naslednjih podizvajalcev:
| Podizvajalec | Namen | Država obdelave |
|---|---|---|
| Brevo SAS | Pošiljanje transakcijske e-pošte (obvestila, preverjanje e-pošte). | FR |
| Stancer SAS | Obdelava spletnih plačil. | FR |
| Gostitelj (določiti v pogodbi) | Gostovanje aplikacijske infrastrukture in baz podatkov. | FR / EU |
Vsaka sprememba naslednjega podizvajalca je predmet obvestila Upravljavcu podatkov z najmanj 30-dnevnim predhodnim obvestilom, ki mu omogoča uveljaviti utemeljeno pravico do ugovora.
Obdelovalec uvaja naslednje ukrepe (indikativen, neizčrpen seznam):
V skladu s členom 33 GDPR Obdelovalec obvesti Upravljavca podatkov o vsaki kršitvi osebnih podatkov v 48 urah od trenutka, ko je za kršitev izvedel. Obvestilo določa naravo, obseg, verjetne posledice in sprejete ali načrtovane ukrepe.
Obdelovalec zagotavlja Upravljavcu podatkov orodja, ki omogočajo odzivanje na zahteve zadevnih oseb (pravica do dostopa, popravka, izbrisa, prenosljivosti, ugovora) neposredno iz uporabniškega vmesnika. Za vsako zahtevo, ki ni pokrita z vmesnikom, Obdelovalec pomaga Upravljavcu v 5 delovnih dneh.
Ob koncu pogodbe (prekinitev, nepodaljšanje) ima Upravljavec podatkov 30 dni za izvoz svojih podatkov prek izvirne funkcionalnosti izvoza prenosljivosti. Po tem času se vsi podatki Upravljavca nepovratno odstranijo iz produkcijskih baz. Šifrirane varnostne kopije se očistijo v naslednjih 90 dneh (standardna rotacija hranjenja).
Noben prenos podatkov v tretje države izven EU/EGP se ne izvaja. Obdelovalec ne uporablja ponudnikov, podvrženih CLOUD Act (US), FISA Section 702 ali enakovrednim jurisdikcijam. Če bi tak prenos v prihodnosti postal tehnično nujen, bi moral Obdelovalec pridobiti izrecno in predhodno soglasje Upravljavca podatkov.
Upravljavec podatkov lahko pooblasti neodvisnega revizorja (na svoje stroške) za preverjanje skladnosti Obdelovalca z zavezami tega DPA, ob pridržku razumnega 15-dnevnega predhodnega obvestila in zaveze o zaupnosti. Obdelovalec na zahtevo prav tako zagotovi vse dokumente, ki dokazujejo skladnost (register obdelav, poročila pentestov itd.). Za vsako zahtevo: dpo@aegirex.eu.
Le présent modèle vaut engagement contractuel lorsqu'il est annexé à un bon de commande Business ou Enterprise. Pour une version signée numériquement, nominative et adaptée à vos sous-traitants et à votre juridiction, adressez votre demande à votre Responsable de traitement ou directement au DPO d'ARDNTECH EI.
