Παράρτημα Επεξεργασίας Δεδομένων

1. Μέρη, ρόλοι και αντικείμενο

Το παράρτημα αποτελεί δεσμευτικό μέρος της συνδρομής για επεξεργασία προσωπικών δεδομένων που ο πελάτης αναθέτει μέσω του CRM. Ο πελάτης ενεργεί ως υπεύθυνος επεξεργασίας και ο πάροχος ως εκτελών για φιλοξενία, αποθήκευση, υποστήριξη, οργάνωση και συμφωνημένη μετάπτωση στο πλαίσιο των τεκμηριωμένων εντολών. Αν ο πελάτης ενεργεί για άλλο υπεύθυνο, εξασφαλίζει την αναγκαία εξουσιοδότηση και η σχέση υπεργολαβίας εξειδικεύεται εγγράφως.

Η επεξεργασία διαρκεί όσο η παροχή υπηρεσίας και το συμφωνημένο στάδιο επιστροφής/διαγραφής. Υποκείμενα μπορεί να είναι πελάτες, υποψήφιοι πελάτες, ασφαλισμένοι, δικαιούχοι, εργαζόμενοι και συνεργάτες. Τα δεδομένα περιλαμβάνουν στοιχεία ταυτότητας και επικοινωνίας, ασφαλιστηρίων, πληρωμών, αιτημάτων, εγγράφων και ιστορικού επικοινωνίας, στο συμφωνημένο αναγκαίο πεδίο. Δεν επιτρέπεται ανεξέλεγκτη εισαγωγή ειδικών κατηγοριών ή δεδομένων ποινικών καταδικών· απαιτείται προηγούμενη έγγραφη εξειδίκευση και κατάλληλη νόμιμη βάση.

2. Εντολές και περιορισμός σκοπού

Ο πάροχος επεξεργάζεται δεδομένα μόνο βάσει τεκμηριωμένων εντολών, συμπεριλαμβανομένων διεθνών μεταφορών, εκτός νόμιμης υποχρέωσης. Ενημερώνει για τέτοια υποχρέωση πριν από την επεξεργασία, εκτός αν αυτό απαγορεύεται. Αν θεωρεί εντολή αντίθετη στη νομοθεσία, ενημερώνει αμέσως και ζητά νόμιμη διευκρίνιση. Δεν πωλεί τα δεδομένα, δεν τα χρησιμοποιεί για ανεξάρτητη διαφήμιση ή εκπαίδευση μοντέλων χωρίς χωριστή έγκυρη συμφωνία και νόμιμη βάση.

3. Υποχρεώσεις πελάτη

Ο πελάτης καθορίζει νόμιμους σκοπούς, κατάλληλες βάσεις, ενημερώσεις και δικαιώματα πρόσβασης. Εξασφαλίζει ότι οι εντολές και η μεταφορά από προηγούμενο σύστημα είναι νόμιμες. Για ειδικές κατηγορίες εφαρμόζει τις πρόσθετες απαιτήσεις του νόμου. Οι υποχρεώσεις αυτές δεν αντικαθιστούν τις αυτοτελείς υποχρεώσεις του παρόχου ως εκτελούντος.

4. Εμπιστευτικότητα και μέτρα

Πρόσβαση παρέχεται μόνο σε εξουσιοδοτημένα πρόσωπα με κατάλληλη υποχρέωση εμπιστευτικότητας. Η υποστήριξη αποκτά πρόσβαση μόνο στον αναγκαίο βαθμό. Τα μέτρα αξιολογούνται με βάση τον κίνδυνο και αναθεωρούνται χωρίς ουσιώδη μείωση της συμφωνημένης προστασίας.

Συμφωνημένα τεχνικά και οργανωτικά μέτρα: Κρυπτογράφηση HTTPS (TLS) σε όλη την κίνηση. Οριοθετημένη πρόσβαση σε περιβάλλον διακομιστή με firewall και αυθεντικοποίηση κλειδιού. Έλεγχος ταυτότητας δύο παραγόντων για διαχειριστές. Καταγραφή και έλεγχος συμβάντων (audit log). Τακτικά αντίγραφα ασφαλείας βάσης δεδομένων. Διαχωρισμός δεδομένων ανά πελάτη (workspace).

Φιλοξενία και περιοχές επεξεργασίας: Φιλοξενία σε ιδιόκτητο εικονικό διακομιστή (VPS) εντός Ευρωπαϊκής Ένωσης. Τα δεδομένα του CRM αποθηκεύονται στον ίδιο διακομιστή με το σύστημα διαχείρισης. Δεν γίνεται μεταφορά δεδομένων εκτός ΕΕ για τη λειτουργία του CRM.

5. Υποεκτελούντες και διαβιβάσεις

Εγκεκριμένος κατάλογος, λειτουργίες και χώρες: Stripe, Inc. (ΗΠΑ) — επεξεργασία πληρωμών και τιμολόγηση, βάσει Τυποποιημένων Συμβατικών Ρητρών της ΕΕ (SCCs). Πάροχος φιλοξενίας VPS — υποδομή αποθήκευσης, εντός ΕΕ. Πάροχος SMTP — μεταφορά email ειδοποιήσεων. VIES/European Commission — επαλήθευση ΑΦΜ ΕΕ.

Ο πελάτης παρέχει γενική έγγραφη άδεια μόνο για τον γνωστοποιημένο κατάλογο. Προσθήκη ή αντικατάσταση γνωστοποιείται τουλάχιστον 30 ημέρες πριν, ώστε να προβληθεί τεκμηριωμένη αντίρρηση προστασίας δεδομένων. Τα μέρη αναζητούν κατάλληλη εναλλακτική· αν δεν είναι εφικτή, μπορεί να λυθεί η επηρεαζόμενη υπηρεσία χωρίς χρέωση μη παρασχεθείσας μελλοντικής περιόδου.

Ο πάροχος δεσμεύει κάθε υποεκτελούντα με αντίστοιχες υποχρεώσεις και παραμένει υπεύθυνος έναντι του πελάτη για την εκπλήρωσή τους όπως απαιτεί ο νόμος. Μεταφορά εκτός ΕΟΧ πραγματοποιείται μόνο με κατάλληλο νόμιμο μηχανισμό, αξιολόγηση και συμπληρωματικά μέτρα όπου χρειάζονται. Το παρόν παράρτημα δεν υποκαθιστά τις απαιτούμενες εγγυήσεις διεθνών μεταφορών.

6. Δικαιώματα, παραβιάσεις και συνεργασία

Ο πάροχος βοηθά τον πελάτη, λαμβάνοντας υπόψη τη φύση επεξεργασίας, να ανταποκρίνεται σε αιτήματα υποκειμένων, υποχρεώσεις ασφάλειας, εκτιμήσεις αντικτύπου και διαβούλευση με αρχή. Αίτημα που λαμβάνει απευθείας διαβιβάζεται στον πελάτη, χωρίς απάντηση επί της ουσίας εκτός εντολής ή νόμιμης υποχρέωσης.

Σε παραβίαση προσωπικών δεδομένων ενημερώνει τον πελάτη χωρίς αδικαιολόγητη καθυστέρηση αφότου λάβει γνώση. Γνωστοποιεί διαθέσιμα στοιχεία για τη φύση, τα επηρεαζόμενα δεδομένα, τις πιθανές συνέπειες, τα μέτρα και το σημείο επικοινωνίας, με συμπληρωματικές ενημερώσεις. Δεν αναμένει αυθαίρετα 72 ώρες για αρχική ειδοποίηση. Ο πελάτης χειρίζεται τις δικές του γνωστοποιήσεις και ενημερώσεις σύμφωνα με τον νόμο.

7. Τεκμηρίωση και έλεγχος

Ο πάροχος διαθέτει τις αναγκαίες πληροφορίες απόδειξης συμμόρφωσης και επιτρέπει νόμιμους ελέγχους από τον πελάτη ή εξουσιοδοτημένο ελεγκτή. Τα μέρη συμφωνούν πρακτικές ρυθμίσεις εμπιστευτικότητας και ασφάλειας χωρίς να ματαιώνουν το δικαίωμα ελέγχου. Δεν αποκαλύπτονται δεδομένα άλλων πελατών ή μυστικά πέρα από το αναγκαίο.

8. Επιστροφή, διαγραφή και αντίγραφα

Με τη λύση, κατ’ επιλογή του πελάτη, επιστρέφονται ή διαγράφονται τα προσωπικά δεδομένα και διαγράφονται αντίγραφα, εκτός νόμιμης υποχρέωσης διατήρησης. Περιορισμένη διατήρηση συνεπάγεται περιορισμό πρόσβασης και χρήσης. Η τεχνική διαγραφή από αντίγραφα ασφαλείας ακολουθεί τον γνωστοποιημένο κύκλο χωρίς επαναφορά σε ενεργή χρήση, εκτός νόμιμης ανάγκης ανάκτησης και επανεφαρμογής διαγραφών.

Επιστροφή και εξαγωγή: Ο πελάτης μπορεί να αιτηθεί πλήρη εξαγωγή των δεδομένων του CRM μέσω της σελίδας λογαριασμού ή με email στο info@d-upper.gr. Η εξαγωγή παρέχεται σε μορφή αρχείων βάσης δεδομένων/CSV εντός 10 εργάσιμων ημερών από το αίτημα. Η λήψη των εγγράφων αποδοχής γίνεται από τη σελίδα /account/privacy.

Διάρκειες και κύκλος διαγραφής: Δεδομένα CRM πελάτη: διατηρούνται για τη διάρκεια της συνδρομής και για 90 ημέρες μετά τη λήξη ή ακύρωση, ώστε να είναι δυνατή η επανενεργοποίηση ή η εξαγωγή. Αντίγραφα ασφαλείας: σύμφωνα με τον κύκλο του παρόχου φιλοξενίας. Παραστατικά τιμολόγησης και αποδείξεις αποδοχής όρων: διατηρούνται σύμφωνα με τις φορολογικές υποχρεώσεις διατήρησης. Αιτήματα διαγραφής ατομικών δεδομένων ικανοποιούνται εντός 30 ημερών.

9. Ευθύνη και προτεραιότητα

Το παράρτημα δεν περιορίζει αναγκαστικές υποχρεώσεις, δικαιώματα υποκειμένων ή αρμοδιότητες εποπτικών αρχών. Για δραστηριότητες όπου ο πάροχος καθορίζει αυτοτελώς σκοπούς, όπως δική του τιμολόγηση, ισχύει η Πολιτική Απορρήτου με τους πραγματικούς ρόλους. Σε σύγκρουση για ανατεθειμένη επεξεργασία υπερισχύει το παρόν παράρτημα.