Ця угода про обробку даних (DPA) є частиною наших умов надання послуг і застосовується автоматично, як тільки ти, як B2B-клієнт, береш послугу, в якій ми обробляємо персональні дані твоїх кінцевих користувачів від твого імені (GDPR ст. 28). Не потрібно підписувати окремо — прийняття умов = прийняття цієї DPA.
1. Сторони і ролі
Контролер: ти, клієнт («Клієнт»).
Процесор: InternalHost (ФОП Xaviero Kajafas, голландський KvK 90174720).
InternalHost обробляє персональні дані лише за вказівками Клієнта і лише настільки, наскільки це необхідно для надання узгоджених послуг (хостинг, сховище, пошта, мережа).
2. Предмет і тривалість
- Предмет: обробка персональних даних у контексті послуг ІТ-інфраструктури, які ми надаємо.
- Характер обробки: зберігання, передача (в межах нашої інфраструктури), бекап — без активної обробки вмісту кінцевих користувачів нами.
- Мета: надання узгоджених ІТ-послуг.
- Категорії субʼєктів даних: визначає Клієнт. У нас немає доступу (не заглядаємо у твої бази).
- Типи персональних даних: визначає Клієнт. Спеціальні категорії (здоровʼя, релігія тощо) дозволені за умови, що Клієнт вживає відповідних технічних і організаційних заходів.
- Тривалість: поки діє основна угода, плюс 14-денний період відновлення після припинення.
3. Заходи безпеки
InternalHost вживає щонайменше наступних технічних і організаційних заходів:
- Шифрування у транспорті: TLS 1.2+ на всіх публічних ендпоїнтах, WireGuard для внутрішньої mesh.
- Шифрування у спокої: LUKS на всіх томах сховища. Шифрування на рівні клієнта — відповідальність Клієнта.
- Контроль доступу: SSH виключно через ключі ed25519, MFA обовʼязкове для адмін-доступу, принцип найменших привілеїв.
- Логування: доступ до інфраструктури логується (90 днів).
- Бекапи: щоденні шифровані снапшоти томів клієнтів, retention 7д/4т/12м (на нашій стороні — бекап застосунку — відповідальність Клієнта).
- Фізична безпека: Qupra DC має цілодобовий персоналом доступ, сертифікати ISO 27001 + 9001, біометричний доступ + mantrap.
- Оновлення ПЗ: патчі безпеки протягом 7 днів від випуску, критичні протягом 24 годин.
- Моніторинг: CrowdSec + fail2ban на всіх виставлених послугах.
Актуальний огляд технічних заходів доступний на запит за [email protected].
4. Субпроцесори
Використовуємо наступних субпроцесорів. Усі в юрисдикції ЄС. Повідомляємо про зміни щонайменше за 30 днів, щоб Клієнт міг заперечити.
| Субпроцесор | Призначення | Локація |
|---|---|---|
| Qupra Data Centers BV | Дата-центр / колокація | Амстердам, NL |
| Mollie B.V. | Платежі | Амстердам, NL |
| Revolut Payments UAB | Платежі (альтернатива) | Вільнюс, LT |
| Cloudflare Germany GmbH | CDN / DDoS | DE, регіон даних ЄС |
| Hoster B.V. (OpenProvider) | Реєстрація доменів (опційно) | Гаага, NL |
5. Передача за межі ЄС
Не передаємо персональні дані до країн поза ЄС/ЄЕЗ, крім випадків, коли Cloudflare як CDN змушений маршрутизувати через PoP поза ЄС при DDoS. У такому випадку діють Стандартні Договірні Положення (SCC) між нами і Cloudflare.
6. Процедура витоку даних
При витоку персональних даних, що стосується Клієнта, повідомляємо Клієнта протягом 24 годин з виявлення (на email в актах), вказуючи:
- Характер витоку
- Категорії та приблизну кількість постраждалих осіб
- Ймовірні наслідки
- Вжиті чи запропоновані заходи
Клієнт вирішує, чи потрібне повідомлення наглядового органу. Підтримуємо за потреби.
7. Припинення угоди і повернення даних
Після припинення основної угоди:
- Клієнт має 14 днів для завантаження всіх даних (через SSH/SFTP або запит на експорт).
- Після цього всі персональні дані остаточно видаляються, крім випадків ретенції за законом (голландське податкове: фактурні дані 7 років).
- На запит видаємо письмовий сертифікат знищення.
Для конкретних контрактів (велике B2B, охорона здоровʼя, фінансовий сектор) можемо підписати кастомну DPA. Напиши [email protected].