Εφαρμογή
Ρόλοι και ενσωμάτωση στη σύμβαση
Το DPA εφαρμόζεται όταν ο πελάτης ενεργεί ως υπεύθυνος επεξεργασίας ή εκτελών και η FastVPS επεξεργάζεται προσωπικά δεδομένα πελάτη ως εκτελούσα ή υπεργολάβος. Ενσωματώνεται στην παραγγελία που το αναφέρει και διαρκεί όσο υφίσταται σχετική επεξεργασία.
Για στοιχεία λογαριασμού, τιμολόγησης, ασφάλειας και δικής της συμμόρφωσης, η FastVPS μπορεί να ενεργεί ως αυτοτελής υπεύθυνος επεξεργασίας σύμφωνα με την Πολιτική Απορρήτου.
Οδηγίες
Αντικείμενο και τεκμηριωμένες οδηγίες
Η FastVPS επεξεργάζεται δεδομένα μόνο για την παροχή, ασφάλεια, υποστήριξη, backup/restore και λήξη της συμφωνημένης υπηρεσίας, βάσει της παραγγελίας και τεκμηριωμένων νόμιμων οδηγιών. Ενημερώνει τον πελάτη αν θεωρεί ότι οδηγία παραβιάζει την εφαρμοστέα νομοθεσία, εκτός αν απαγορεύεται να το πράξει.
Ο πελάτης ευθύνεται για τη νομιμότητα των οδηγιών, την ενημέρωση υποκειμένων, τις νομικές βάσεις, τις περιόδους διατήρησης και τη χρήση κατάλληλων ρυθμίσεων/κρυπτογράφησης.
Παράρτημα
Λεπτομέρειες επεξεργασίας
| Αντικείμενο | Φιλοξενία, μεταφορά, αποθήκευση, monitoring, υποστήριξη και, αν αγοραστεί, backup/restore. |
|---|---|
| Διάρκεια | Η διάρκεια της υπηρεσίας και η συμφωνημένη περίοδος επιστροφής/διαγραφής. |
| Φύση | Αποθήκευση, πρόσβαση κατά περίπτωση, μετάδοση, οργάνωση, αντιγραφή ασφαλείας, ανάκτηση και διαγραφή. |
| Υποκείμενα | Χρήστες, εργαζόμενοι, πελάτες, συνεργάτες ή άλλα πρόσωπα που ορίζει ο πελάτης. |
| Κατηγορίες δεδομένων | Όσα ανεβάζει ή δημιουργεί ο πελάτης στην υπηρεσία. Ειδικές κατηγορίες επιτρέπονται μόνο αν η παραγγελία και τα μέτρα ασφάλειας το καλύπτουν ρητά. |
| Συχνότητα | Συνεχής για την ενεργή φιλοξενία και περιοδική για backup/monitoring, όπως αναγράφεται στην παραγγελία. |
Η τελική παραγγελία συμπληρώνει ή περιορίζει το παράρτημα για το συγκεκριμένο workload.
Πρόσβαση
Εμπιστευτικότητα και προσωπικό
Η πρόσβαση περιορίζεται σε εξουσιοδοτημένα πρόσωπα που δεσμεύονται από εμπιστευτικότητα και λαμβάνουν κατάλληλη ενημέρωση ασφάλειας. Η πρόσβαση στα δεδομένα πελάτη γίνεται μόνο όταν απαιτείται για το συμφωνημένο scope, incident response ή νόμιμη υποχρέωση.
Μέτρα
Τεχνικά και οργανωτικά μέτρα
- έλεγχος πρόσβασης, ελάχιστο αναγκαίο δικαίωμα και καταγραφή διοικητικών ενεργειών όπου υποστηρίζεται,
- κρυπτογράφηση μεταφοράς και, όπου συμφωνείται/υποστηρίζεται, δεδομένων σε αποθήκευση,
- ενημερώσεις, hardening, firewall, anti-malware/anti-spam και vulnerability management ανά υπηρεσία,
- monitoring, alerting, incident response και προστασία διαθεσιμότητας,
- backup, restore testing και business continuity μόνο στο αγορασμένο scope,
- διαδικασίες ασφαλούς διαγραφής και αλλαγής πρόσβασης.
Τα συγκεκριμένα μέτρα, το RPO/RTO και η τοποθεσία τεκμηριώνονται στην παραγγελία ή τεχνικό παράρτημα.
Υπεργολάβοι
Sub-processors και αλλαγές
Ο πελάτης παρέχει γενική έγγραφη εξουσιοδότηση για αναγκαίους παρόχους datacenter, δικτύου, backup, domain, email ή υποστήριξης που δεσμεύονται με ισοδύναμες υποχρεώσεις προστασίας δεδομένων. Η FastVPS παραμένει υπεύθυνη για τις υποχρεώσεις των υπεργολάβων της στον βαθμό που προβλέπει ο ΓΚΠΔ.
Ουσιώδης νέα ανάθεση που αφορά δεδομένα πελάτη γνωστοποιείται πριν από την εφαρμογή της, παρέχοντας εύλογη δυνατότητα τεκμηριωμένης αντίρρησης για λόγους προστασίας δεδομένων.
Διαβιβάσεις
Τοποθεσία και τρίτες χώρες
Η κύρια τοποθεσία φιλοξενίας αναγράφεται στην παραγγελία. Διαβίβαση προσωπικών δεδομένων εκτός ΕΟΧ γίνεται μόνο με νόμιμο μηχανισμό, όπως απόφαση επάρκειας ή εγκεκριμένες τυποποιημένες συμβατικές ρήτρες, και πρόσθετα μέτρα όπου απαιτούνται.
Συνδρομή
Δικαιώματα, DPIA και αρχές
Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, η FastVPS παρέχει εύλογη συνδρομή για αιτήματα υποκειμένων, αξιολογήσεις αντικτύπου, προηγούμενη διαβούλευση, αποδεικτικά συμμόρφωσης και νόμιμα αιτήματα αρχών. Πρόσθετη εργασία πέρα από το συνήθες support μπορεί να χρεώνεται εφόσον γνωστοποιηθεί και δεν αφορά δική της παράβαση.
Παραβίαση
Περιστατικό προσωπικών δεδομένων
Η FastVPS ενημερώνει τον πελάτη χωρίς αδικαιολόγητη καθυστέρηση αφού λάβει γνώση επιβεβαιωμένης παραβίασης προσωπικών δεδομένων πελάτη και παρέχει διαθέσιμες πληροφορίες για φύση, κατηγορίες, πιθανές συνέπειες και μέτρα αντιμετώπισης. Η ενημέρωση δεν αποτελεί παραδοχή ευθύνης.
Λήξη
Επιστροφή, διαγραφή και έλεγχος
Με τη λήξη, και σύμφωνα με την παραγγελία, τα δεδομένα επιστρέφονται ή διαγράφονται, εκτός αν ο νόμος απαιτεί διατήρηση. Backups διαγράφονται κατά τον κανονικό κύκλο τους και παραμένουν προστατευμένα/μη χρησιμοποιούμενα για άλλο σκοπό.
Κατόπιν εύλογου αιτήματος παρέχονται διαθέσιμες πληροφορίες συμμόρφωσης. Έλεγχος οργανώνεται ώστε να προστατεύει άλλους πελάτες, ασφάλεια και εμπιστευτικότητα, να μην διακόπτει αδικαιολόγητα την υπηρεσία και να προτιμά ανεξάρτητες πιστοποιήσεις ή απομακρυσμένη τεκμηρίωση όπου επαρκούν.