ARDNTECH | Sporazum o obdelavi podatkov (DPA)

1 · Identifikacija strank 2 · Predmet in nameni obdelave 3 · Kategorije obdelanih podatkov 4 · Kategorije zadevnih oseb 5 · Časi hranjenja 6 · Dovoljeni naslednji podizvajalci 7 · Tehnični in organizacijski varnostni ukrepi 8 · Obvestilo o kršitvah podatkov 9 · Pravice zadevnih oseb 10 · Vrnitev / brisanje ob koncu pogodbe 11 · Prenos izven Evropske unije 12 · Revizija in sodelovanje Signature

Pregled

Tri vloge GDPRna prvi pogled.

Preden se poglobimo v podrobnosti dvanajstih členov, je tukaj razdelitev odgovornosti v smislu Uredbe (EU) 2016/679. Ta struktura je temelj vseh nadaljnjih obveznosti.

Upravljavec

Stranka. Définit les finalités et les moyens du traitement. Détient le pouvoir décisionnel sur les données stockées dans le coffre : choix des secrets, des destinataires, de la politique d'accès et de la durée de conservation.

Obdelovalec

ARDNTECH EI. Exécute le traitement pour le compte du Client, dans le strict respect de ses instructions documentées et dans les limites de l'objet précisé à l'article 2 du présent DPA.

Posamezniki, na katere se nanašajo osebni podatki

Vaši uporabniki. Membres des organisations du Client et destinataires de partages de secrets. Bénéficient des droits Art. 15 à 22 RGPD, outillés techniquement par ARDNTECH.

Člen 1

1. Identifikacija strank

Ta Sporazum o obdelavi (v nadaljevanju "DPA") dopolnjuje Splošne pogoje uporabe ARDNTECH in natančno določa obveznosti Upravljavca podatkov (Stranke) in Obdelovalca (Izdajatelja ARDNTECH) v smislu Uredbe (EU) 2016/679 (GDPR).

Obdelovalec: ARDNTECH, vpisana v poslovni register pod št. 913308706, s sedežem na naslovu 24 rue de la Glau 08700 Gespunsart. DPO: dpo@aegirex.eu.

Upravljavec podatkov: pravna ali fizična oseba, ki naročava ARDNTECH in uporablja storitev za shranjevanje in deljenje digitalnih skrivnosti.

Člen 2

2. Predmet in nameni obdelave

ARDNTECH je storitev shranjevanja skrivnosti s šifriranjem od konca do konca (zero-knowledge). Obdelovalec obdeluje podatke za račun Upravljavca podatkov izključno za naslednje namene:

Shranjevanje neprozornih kriptografskih blokov (skrivnosti, šifrirane z javnim ključem Upravljavca, nikoli dešifrirne na strani strežnika).
Avtentikacija, upravljanje računov, upravljanje članstev v organizacijah.
Izdaja operativnih obvestil (opozorilo uhajanja HIBP opt-in, povabilo člana, revizijsko opozorilo).

Člen 3

3. Kategorije obdelanih podatkov

Obdelovalec obdeluje naslednje kategorije podatkov in samo te:

Kategorija	Podatki	Pravna podlaga (čl. 6 GDPR)
Uporabniški račun	E-naslov, zgostitev Argon2id glavnega gesla, OpenPGP javni ključ, neobvezno ime.	Izvajanje pogodbe (čl. 6.1.b)
Shranjene skrivnosti	Neprozorni OpenPGP bloki (šifrirani). Obdelovalec jih ne more brati.	Izvajanje pogodbe (čl. 6.1.b)
Revizijski logi	Dogodki prijave, ustvarjanja/branja/deljenja/brisanja skrivnosti, IP, user-agent, HMAC podpisi.	Zakoniti interes do varnosti (čl. 6.1.f)
Izstavljanje računov	Naziv podjetja, SIREN, naslov, e-naslov za izstavljanje računov, zgodovina plačil.	Zakonska obveznost knjigovodstva (čl. 6.1.c)

Člen 4

4. Kategorije zadevnih oseb

Zadevne osebe so: (a) uporabniki, ki jih je Upravljavec podatkov pooblastil za dostop do ARDNTECH; (b) po potrebi prejemniki delitev skrivnosti, ki so jih ti uporabniki sprožili; (c) kontakti, navedeni na računih, izstavljenih Upravljavcu podatkov.

Člen 5

5. Časi hranjenja

Podatki se hranijo naslednje čase:

Uporabniški račun: dokler je račun aktiven, odstranjen v 30 dneh po izrecni zahtevi ali prekinitvi.
Skrivnosti: dokler jih uporabnik ne odstrani. Brisanje nepovratno in takojšnje ob uporabniški akciji.
Revizijski logi: 13 mesecev (doba, ki jo priporoča CNIL za sledljivost), nato anonimizirano arhiviranje.
Podatki za izstavljanje računov: 10 let (zakonska obveznost gospodarskega zakonika L123-22).
Tehnični aplikacijski logi (razen revizije): 30 dni rolling, samodejna anonimizacija IP nato.

Člen 6

6. Dovoljeni naslednji podizvajalci

Upravljavec podatkov izrecno pooblašča Obdelovalca za uporabo naslednjih naslednjih podizvajalcev:

Podizvajalec	Namen	Država obdelave
Brevo SAS	Pošiljanje transakcijske e-pošte (obvestila, preverjanje e-pošte).	FR
Stancer SAS	Obdelava spletnih plačil.	FR
Gostitelj (določiti v pogodbi)	Gostovanje aplikacijske infrastrukture in baz podatkov.	FR / EU

Vsaka sprememba naslednjega podizvajalca je predmet obvestila Upravljavcu podatkov z najmanj 30-dnevnim predhodnim obvestilom, ki mu omogoča uveljaviti utemeljeno pravico do ugovora.

Člen 7

7. Tehnični in organizacijski varnostni ukrepi

Obdelovalec uvaja naslednje ukrepe (indikativen, neizčrpen seznam):

Šifriranje od konca do konca skrivnosti (OpenPGP.js v6, krivulje ECC curve25519, AES-256-GCM SEIPDv2).
Izpeljava ključev iz glavnega gesla prek Argon2id (5 prehodov, 256 MiB, parallelism 4).
Kriptografska revizijska veriga HMAC-SHA-256 preverljiva, zaznavanje v O(1) vsake spremembe.
Obvezen TLS 1.3 v transportu, HSTS preload, certifikati Let's Encrypt ali Buypass samodejno obnovljeni.
Dvostopenjska avtentikacija (TOTP RFC 6238 + e-pošta) s šifriranimi obnovitvenimi kodami.
Dnevne šifrirane varnostne kopije, hranjene 30 dni, četrtletno preizkušeno obnavljanje.
Letni penetracijski test PASSI revizorja (od V1.0 GA).

Člen 8

8. Obvestilo o kršitvah podatkov

V skladu s členom 33 GDPR Obdelovalec obvesti Upravljavca podatkov o vsaki kršitvi osebnih podatkov v 48 urah od trenutka, ko je za kršitev izvedel. Obvestilo določa naravo, obseg, verjetne posledice in sprejete ali načrtovane ukrepe.

Člen 9

9. Pravice zadevnih oseb

Obdelovalec zagotavlja Upravljavcu podatkov orodja, ki omogočajo odzivanje na zahteve zadevnih oseb (pravica do dostopa, popravka, izbrisa, prenosljivosti, ugovora) neposredno iz uporabniškega vmesnika. Za vsako zahtevo, ki ni pokrita z vmesnikom, Obdelovalec pomaga Upravljavcu v 5 delovnih dneh.

Člen 10

10. Vrnitev / brisanje ob koncu pogodbe

Ob koncu pogodbe (prekinitev, nepodaljšanje) ima Upravljavec podatkov 30 dni za izvoz svojih podatkov prek izvirne funkcionalnosti izvoza prenosljivosti. Po tem času se vsi podatki Upravljavca nepovratno odstranijo iz produkcijskih baz. Šifrirane varnostne kopije se očistijo v naslednjih 90 dneh (standardna rotacija hranjenja).

Člen 11

11. Prenos izven Evropske unije

Noben prenos podatkov v tretje države izven EU/EGP se ne izvaja. Obdelovalec ne uporablja ponudnikov, podvrženih CLOUD Act (US), FISA Section 702 ali enakovrednim jurisdikcijam. Če bi tak prenos v prihodnosti postal tehnično nujen, bi moral Obdelovalec pridobiti izrecno in predhodno soglasje Upravljavca podatkov.

Člen 12

12. Revizija in sodelovanje

Upravljavec podatkov lahko pooblasti neodvisnega revizorja (na svoje stroške) za preverjanje skladnosti Obdelovalca z zavezami tega DPA, ob pridržku razumnega 15-dnevnega predhodnega obvestila in zaveze o zaupnosti. Obdelovalec na zahtevo prav tako zagotovi vse dokumente, ki dokazujejo skladnost (register obdelav, poročila pentestov itd.). Za vsako zahtevo: dpo@aegirex.eu.

Začnite

Potrebujete različico
podpisano in prilagojeno?

Ta vzorec pomeni pogodbeno zavezo, kadar je priložen naročilu Business ali Enterprise. Za digitalno podpisano, imensko različico, prilagojeno vašim obdelovalcem in vaši jurisdikciji, pošljite svojo zahtevo svojemu upravljavcu ali neposredno DPO družbe ARDNTECH EI.

Zahtevaj podpisano različico Oglejte si politiko zasebnosti

Izvorno GDPR, skladno s čl. 28

Zero-knowledge: izdajatelj ne bere vaših skrivnosti

Gostovanje v Franciji, francoska jurisdikcija

Koda AGPL-3.0, popolnoma preverljiva

Podobdelovalci samo iz EU, navedeni v čl. 6