Παράρτημα Επεξεργασίας Δεδομένων

Το παρόν Παράρτημα Επεξεργασίας Δεδομένων («Παράρτημα» / DPA) αποτελεί αναπόσπαστο μέρος των Όρων Χρήσης του Workflow Repair ERP και εφαρμόζεται όταν ο Πάροχος επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του Πελάτη, σύμφωνα με το άρθρο 28 του Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR).

1.Ρόλοι των μερών

Ο Πελάτης ενεργεί ως Υπεύθυνος Επεξεργασίας για τα προσωπικά δεδομένα που καταχωρεί ή διαχειρίζεται στην Υπηρεσία.

Ο Πάροχος ενεργεί ως Εκτελών την Επεξεργασία για τα προσωπικά δεδομένα που επεξεργάζεται για λογαριασμό του Πελάτη στο πλαίσιο παροχής της Υπηρεσίας.

2.Αντικείμενο και διάρκεια επεξεργασίας

Αντικείμενο της επεξεργασίας είναι η παροχή της Υπηρεσίας Workflow Repair ERP στον Πελάτη.

Η διάρκεια της επεξεργασίας είναι η διάρκεια της συνδρομής ή συνεργασίας, καθώς και το αναγκαίο χρονικό διάστημα για διαγραφή, επιστροφή, export, αντικατάσταση αντιγράφων ασφαλείας, συμμόρφωση με νόμιμες υποχρεώσεις ή άσκηση νόμιμων αξιώσεων.

3.Φύση και σκοπός επεξεργασίας

Η επεξεργασία μπορεί να περιλαμβάνει: αποθήκευση, ανάκτηση, προβολή, ταξινόμηση, καταχώρηση, τροποποίηση, εξαγωγή, δημιουργία αντιγράφων ασφαλείας, τεχνική υποστήριξη, διαβίβαση σε εξουσιοδοτημένους υπο-εκτελούντες, συγχρονισμό με υπηρεσίες που ενεργοποιεί ο Πελάτης, διαγραφή ή ανωνυμοποίηση.

Σκοπός της επεξεργασίας είναι η παροχή, συντήρηση, ασφάλεια, υποστήριξη και βελτίωση της Υπηρεσίας για λογαριασμό του Πελάτη.

4.Κατηγορίες υποκειμένων δεδομένων

Τα προσωπικά δεδομένα μπορεί να αφορούν: πελάτες του καταστήματος, υποψήφιους πελάτες, επαφές πελατών, τεχνικούς, υπαλλήλους ή συνεργάτες του Πελάτη, προμηθευτές και λοιπά πρόσωπα που καταχωρούνται από τον Πελάτη στην Υπηρεσία.

5.Κατηγορίες προσωπικών δεδομένων

Τα δεδομένα μπορεί να περιλαμβάνουν: ονοματεπώνυμο, τηλέφωνο, email, διεύθυνση, στοιχεία επιχείρησης και φορολογικά στοιχεία (π.χ. ΑΦΜ), στοιχεία συσκευών, σειριακούς αριθμούς ή IMEI, κωδικούς ξεκλειδώματος συσκευών (αποθηκεύονται κρυπτογραφημένοι), ιστορικό επισκευών, σημειώσεις εργασιών, ιστορικό παραγγελιών, returns, loyalty ή newsletter προτιμήσεις, οικονομικά ή χρεωστικά στοιχεία, στοιχεία παραστατικών, φωτογραφίες ή συνημμένα που ανεβάζει ο Πελάτης, στοιχεία Google Calendar ή Google Business Profile όπου ενεργοποιούνται από τον Πελάτη/χρήστη, αρχεία καταγραφής ενεργειών και τεχνικά metadata.

6.Ειδικές κατηγορίες δεδομένων

Η Υπηρεσία δεν προορίζεται για επεξεργασία ειδικών κατηγοριών προσωπικών δεδομένων (π.χ. δεδομένα υγείας, βιομετρικά δεδομένα, πολιτικές απόψεις, θρησκευτικές πεποιθήσεις ή άλλα ευαίσθητα δεδομένα).

Ο Πελάτης δεν πρέπει να καταχωρεί τέτοια δεδομένα στην Υπηρεσία, εκτός αν έχει πλήρη νόμιμη βάση, έχει λάβει όλα τα απαιτούμενα μέτρα και έχει προηγουμένως ενημερώσει γραπτώς τον Πάροχο όπου απαιτείται.

7.Υποχρεώσεις Πελάτη

Ο Πελάτης υποχρεούται να: επεξεργάζεται προσωπικά δεδομένα σύμφωνα με την ισχύουσα νομοθεσία· διαθέτει νόμιμη βάση για την επεξεργασία· παρέχει τις απαραίτητες ενημερώσεις στα υποκείμενα δεδομένων· διασφαλίζει ότι οι οδηγίες του προς τον Πάροχο είναι νόμιμες· χρησιμοποιεί την Υπηρεσία σύμφωνα με τους Όρους Χρήσης· διαχειρίζεται σωστά τους χρήστες και τα δικαιώματα πρόσβασης· ενημερώνει τον Πάροχο για αιτήματα ή περιστατικά που απαιτούν συνεργασία.

8.Υποχρεώσεις Παρόχου

Ο Πάροχος υποχρεούται να:

• επεξεργάζεται τα προσωπικά δεδομένα μόνο βάσει τεκμηριωμένων οδηγιών του Πελάτη,
• διασφαλίζει ότι τα πρόσωπα που έχουν πρόσβαση σε προσωπικά δεδομένα δεσμεύονται από υποχρέωση εμπιστευτικότητας,
• λαμβάνει κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας (βλ. ενότητα 13 και τη σελίδα Ασφάλεια & Backups),
• συνεργάζεται εύλογα με τον Πελάτη για την ικανοποίηση αιτημάτων υποκειμένων δεδομένων,
• ενημερώνει τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση όταν αντιληφθεί επιβεβαιωμένο περιστατικό παραβίασης προσωπικών δεδομένων,
• βοηθά εύλογα τον Πελάτη σε ζητήματα ασφάλειας, DPIA ή διαβούλευσης με εποπτική αρχή, στο μέτρο που αυτό είναι σχετικό με την Υπηρεσία και τεχνικά εφικτό,
• διαθέτει πληροφορίες που είναι εύλογα αναγκαίες για την απόδειξη συμμόρφωσης με το παρόν Παράρτημα,
• διαγράφει ή επιστρέφει προσωπικά δεδομένα μετά τη λήξη της συνεργασίας, σύμφωνα με τους Όρους Χρήσης και την πολιτική διατήρησης.

9.Υπο-εκτελούντες

Ο Πελάτης παρέχει γενική άδεια στον Πάροχο να χρησιμοποιεί υπο-εκτελούντες για την παροχή της Υπηρεσίας. Ο Πάροχος διατηρεί ενημερωμένη λίστα υπο-εκτελούντων στη σελίδα Υπο-εκτελούντες & Τρίτοι Πάροχοι.

Ο Πάροχος θα καταβάλλει εύλογη προσπάθεια να ενημερώνει τον Πελάτη για ουσιώδεις αλλαγές στους υπο-εκτελούντες. Ο Πελάτης μπορεί να αντιταχθεί σε νέο υπο-εκτελούντα για βάσιμους λόγους προστασίας δεδομένων εντός 15 ημερών από την ενημέρωση.

Αν ο Πελάτης αντιταχθεί και τα μέρη δεν καταφέρουν να βρουν εύλογη λύση, ο Πελάτης μπορεί να τερματίσει την επηρεαζόμενη υπηρεσία σύμφωνα με τους Όρους Χρήσης.

10.Διεθνείς διαβιβάσεις

Ο Πάροχος θα λαμβάνει κατάλληλα μέτρα για διαβιβάσεις προσωπικών δεδομένων εκτός ΕΟΧ, εφόσον προκύπτουν. Τέτοια μέτρα μπορεί να περιλαμβάνουν αποφάσεις επάρκειας, Τυποποιημένες Συμβατικές Ρήτρες (SCCs) ή άλλους νόμιμους μηχανισμούς.

Ορισμένες προαιρετικές υπηρεσίες που ενεργοποιεί ο Πελάτης, όπως Google APIs, Twilio ή tenant analytics, μπορεί να περιλαμβάνουν διαβιβάσεις σύμφωνα με τους όρους των αντίστοιχων παρόχων.

11.Περιστατικά παραβίασης δεδομένων

Σε περίπτωση επιβεβαιωμένου περιστατικού παραβίασης προσωπικών δεδομένων που αφορά Δεδομένα Πελάτη, ο Πάροχος θα ενημερώνει τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση, παρέχοντας τις διαθέσιμες πληροφορίες στο μέτρο που είναι γνωστές. Η ενημέρωση μπορεί να περιλαμβάνει: τη φύση του περιστατικού, τις κατηγορίες δεδομένων που ενδέχεται να επηρεάστηκαν, πιθανές επιπτώσεις, μέτρα που ελήφθησαν ή προτείνονται και σημείο επικοινωνίας.

Ο Πελάτης είναι υπεύθυνος για την αξιολόγηση τυχόν υποχρεώσεων γνωστοποίησης προς εποπτική αρχή ή υποκείμενα δεδομένων, εκτός αν ο Πάροχος έχει αντίστοιχη δική του υποχρέωση ως Υπεύθυνος Επεξεργασίας για ξεχωριστά δεδομένα.

12.Αιτήματα υποκειμένων

Αν ο Πάροχος λάβει αίτημα από υποκείμενο δεδομένων σχετικά με Δεδομένα Πελάτη, θα προωθεί το αίτημα στον Πελάτη ή θα καθοδηγεί το υποκείμενο να επικοινωνήσει με τον Πελάτη, εφόσον είναι εφικτό. Ο Πάροχος δεν θα απαντά ουσιαστικά στο αίτημα χωρίς οδηγία του Πελάτη, εκτός αν απαιτείται από τον νόμο.

13.Τεχνικά και οργανωτικά μέτρα (TOMs)

Ο Πάροχος εφαρμόζει, μεταξύ άλλων: κρυπτογράφηση σε μετάδοση (HTTPS/TLS) με HSTS· κρυπτογράφηση αποθηκευμένων κωδικών (bcrypt) και ευαίσθητων διαπιστευτηρίων τρίτων/OAuth tokens σε επίπεδο πεδίου όπου αποθηκεύονται· λογική απομόνωση δεδομένων ανά επιχείρηση (tenant isolation)· έλεγχο πρόσβασης με ρόλους και δικαιώματα· περιορισμό ρυθμού (rate limiting)· επαλήθευση κρίσιμων webhooks πληρωμών όπου εφαρμόζεται· περιορισμένη πρόσβαση σε συστήματα παραγωγής· αρχεία καταγραφής και παρακολούθηση· τακτικά αντίγραφα ασφαλείας σε επίπεδο υποδομής, μέσω του παρόχου φιλοξενίας. Περιγραφή στη σελίδα Ασφάλεια & Backups.

14.Έλεγχοι και πληροφορίες συμμόρφωσης

Ο Πάροχος θα διαθέτει στον Πελάτη εύλογες πληροφορίες για την απόδειξη συμμόρφωσης με το παρόν Παράρτημα.

Τυχόν επιτόπιοι ή εκτεταμένοι έλεγχοι απαιτούν προηγούμενη γραπτή συμφωνία, εύλογη προειδοποίηση, τήρηση εμπιστευτικότητας, περιορισμό σε πληροφορίες που αφορούν τον Πελάτη και αποφυγή διατάραξης της λειτουργίας ή της ασφάλειας της Υπηρεσίας.

Ο Πάροχος μπορεί να αρνηθεί αίτημα ελέγχου που είναι υπερβολικό, επαναλαμβανόμενο, ανασφαλές ή θα αποκάλυπτε εμπιστευτικές πληροφορίες άλλων πελατών.

15.Διαγραφή ή επιστροφή δεδομένων

Μετά τη λήξη της παροχής της Υπηρεσίας, ο Πάροχος θα διαγράφει ή θα επιστρέφει τα προσωπικά δεδομένα σύμφωνα με τους Όρους Χρήσης, εκτός αν απαιτείται διατήρηση από τον νόμο ή για νόμιμο σκοπό. Τα αντίγραφα ασφαλείας διαγράφονται ή αντικαθίστανται σταδιακά σύμφωνα με την πολιτική διατήρησης backups.

16.Σύγκρουση όρων

Σε περίπτωση σύγκρουσης μεταξύ του παρόντος Παραρτήματος και των Όρων Χρήσης σχετικά με την επεξεργασία προσωπικών δεδομένων, υπερισχύει το παρόν Παράρτημα ως προς το συγκεκριμένο θέμα.