Συμφωνία Επεξεργασίας Δεδομένων (DPA)

Η παρούσα Συμφωνία συνάπτεται μεταξύ του Phyllox (στοιχεία στην ενότητα 13) και κάθε επιχείρησης που χρησιμοποιεί την πλατφόρμα («Επιχείρηση»). Αποτελεί αναπόσπαστο μέρος των Όρων χρήσης και γίνεται αποδεκτή μαζί τους κατά την εγγραφή. Ερμηνεύεται σύμφωνα με τον Κανονισμό (ΕΕ) 2016/679 («ΓΚΠΔ») και τον ν. 4624/2019· οι όροι με κεφαλαίο έχουν την έννοια του άρθρου 4 ΓΚΠΔ.

Αν στο μέλλον προστεθεί λειτουργία που δίνει στην Επιχείρηση πρόσβαση σε προσωπικά δεδομένα πελατών, θα την ενημερώσουμε εκ των προτέρων και θα προσαρμόσουμε τη Συμφωνία και την Πολιτική απορρήτου.

• Αντικείμενο και φύση: αποθήκευση, οργάνωση, εμφάνιση και διαγραφή δεδομένων στην πλατφόρμα Phyllox.
• Σκοπός: αποκλειστικά η παροχή της Υπηρεσίας στην Επιχείρηση σύμφωνα με τους Όρους χρήσης.
• Κατηγορίες υποκειμένων: υπάλληλοι, συνεργάτες ή εκπρόσωποι της Επιχείρησης.
• Κατηγορίες δεδομένων: στοιχεία ταυτότητας και επικοινωνίας (όνομα, τηλέφωνο, email). Όχι ειδικές κατηγορίες του άρθρου 9 ΓΚΠΔ.
• Διάρκεια: όσο ισχύει ο λογαριασμός της Επιχείρησης, συν το διάστημα της ενότητας 10.

• Επεξεργαζόμαστε τα δεδομένα μόνο με τεκμηριωμένες οδηγίες της Επιχείρησης — δηλαδή τους Όρους χρήσης, την παρούσα Συμφωνία και τις ρυθμίσεις που κάνει η ίδια στην πλατφόρμα — και για διαβιβάσεις σε τρίτες χώρες, εκτός αν μας υποχρεώνει διαφορετικά το δίκαιο της ΕΕ ή ελληνικό δίκαιο, οπότε την ενημερώνουμε πριν, όπου επιτρέπεται.
• Ενημερώνουμε αμέσως την Επιχείρηση αν κατά τη γνώμη μας μια οδηγία παραβιάζει τον ΓΚΠΔ ή άλλη διάταξη προστασίας δεδομένων.
• Όσοι έχουν πρόσβαση στα δεδομένα έχουν δεσμευτεί σε εμπιστευτικότητα ή υπόκεινται σε νόμιμη υποχρέωση εχεμύθειας.

• Κρυπτογράφηση κατά τη μεταφορά (HTTPS/TLS) και κρυπτογράφηση αποθήκευσης από τον πάροχο βάσης δεδομένων.
• Κωδικοί μόνο ως hash (bcrypt)· cookie σύνδεσης httpOnly· πρόσβαση στη βάση μόνο από τον διακομιστή, με πολιτικές RLS σε κάθε πίνακα.
• Πρόσβαση βάσει ρόλου (πελάτης, επιχείρηση, διαχειριστής)· αυτόματη αποσύνδεση διαχειριστών μετά από αδράνεια· καταγραφή ενεργειών διαχειριστή.
• Όρια προσπαθειών σύνδεσης και αιτημάτων· επαναλαμβανόμενη επιβεβαίωση κωδικού για κρίσιμες ρυθμίσεις.
• Κρυπτογραφική επαλήθευση NFC (AES-128 / CMAC) με προστασία επανάληψης.
• Αντίγραφα ασφαλείας από τον πάροχο βάσης δεδομένων και τακτικός έλεγχος του κώδικα για κενά ασφαλείας.

Τα μέτρα επανεξετάζονται και μπορεί να αλλάξουν, χωρίς να μειώνεται το συνολικό επίπεδο προστασίας.

Η Επιχείρηση μάς δίνει γενική άδεια να χρησιμοποιούμε τους παρακάτω υπεργολάβους. Τους δεσμεύουμε με σύμβαση που προβλέπει τις ίδιες υποχρεώσεις προστασίας δεδομένων και ευθυνόμαστε για αυτούς έναντι της Επιχείρησης.

Για την προσθήκη ή αντικατάσταση υπεργολάβου ενημερώνουμε την Επιχείρηση με email τουλάχιστον 30 ημέρες πριν. Η Επιχείρηση μπορεί να αντιταχθεί για βάσιμους λόγους προστασίας δεδομένων· αν δεν βρεθεί λύση, μπορεί να τερματίσει τη σύμβαση χωρίς χρέωση. Η Stripe ενεργεί για τις πληρωμές της Επιχείρησης προς εμάς και, για τις δικές της υποχρεώσεις, ως αυτοτελής υπεύθυνος.

Διαβιβάσεις σε τρίτες χώρες γίνονται μόνο με τις εγγυήσεις του Κεφαλαίου V ΓΚΠΔ: απόφαση επάρκειας (Ηνωμένο Βασίλειο· ΗΠΑ για παρόχους πιστοποιημένους στο Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ) ή Τυποποιημένες Συμβατικές Ρήτρες (Εκτελεστική Απόφαση (ΕΕ) 2021/914, ενότητα 3), με εκτίμηση του αντίκτυπου της διαβίβασης και πρόσθετα μέτρα όπου χρειάζεται.

• Βοηθάμε την Επιχείρηση, με κατάλληλα τεχνικά και οργανωτικά μέτρα, να απαντά σε αιτήματα υποκειμένων (πρόσβαση, διόρθωση, διαγραφή, φορητότητα κ.λπ.). Αν λάβουμε απευθείας τέτοιο αίτημα, το προωθούμε χωρίς καθυστέρηση.
• Βοηθάμε, με βάση τις πληροφορίες που έχουμε, στις υποχρεώσεις των άρθρων 32-36 ΓΚΠΔ (ασφάλεια, γνωστοποίηση παραβίασης, εκτίμηση αντικτύπου, προηγούμενη διαβούλευση).

Ενημερώνουμε την Επιχείρηση χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι δυνατό, μέσα σε 48 ώρες αφού λάβουμε γνώση παραβίασης που αφορά δεδομένα που επεξεργαζόμαστε για λογαριασμό της, ώστε να μπορεί να ενημερώσει την ΑΠΔΠΧ μέσα στις 72 ώρες του άρθρου 33 ΓΚΠΔ. Η ενημέρωση περιλαμβάνει, στο μέτρο που είναι γνωστά, τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό υποκειμένων και εγγραφών, τις πιθανές συνέπειες και τα μέτρα που λάβαμε ή προτείνουμε. Για παραβιάσεις δεδομένων για τα οποία είμαστε εμείς υπεύθυνοι επεξεργασίας, ενημερώνουμε απευθείας την ΑΠΔΠΧ και τα υποκείμενα.

Με τη λήξη της σύμβασης, η Επιχείρηση μπορεί πριν τη διαγραφή του λογαριασμού να εξαγάγει τα δεδομένα της (μορφή JSON, από τη σελίδα «Ο λογαριασμός μου»). Με τη διαγραφή, διαγράφουμε τα δεδομένα από τη βάση αμέσως και από τα αντίγραφα ασφαλείας όταν αυτά ανακυκλωθούν, εκτός αν το δίκαιο της ΕΕ ή ελληνικό δίκαιο απαιτεί τη διατήρησή τους (π.χ. φορολογικά στοιχεία πληρωμών).

Θέτουμε στη διάθεση της Επιχείρησης τις πληροφορίες που χρειάζονται για να αποδείξει τη συμμόρφωση με το άρθρο 28 ΓΚΠΔ και επιτρέπουμε ελέγχους από την ίδια ή από ελεγκτή που ορίζει και που δεσμεύεται σε εμπιστευτικότητα, κατόπιν γραπτού αιτήματος με εύλογη προειδοποίηση (κατά κανόνα 30 ημερών), σε εργάσιμες ώρες και όχι συχνότερα από μία φορά τον χρόνο, εκτός αν υπάρχει παραβίαση ή αίτημα εποπτικής αρχής. Για τους υπεργολάβους, ο έλεγχος γίνεται κατά κανόνα μέσω των πιστοποιήσεων και εκθέσεων ελέγχου τους.

• Εισάγει στην πλατφόρμα μόνο δεδομένα που έχει νόμιμο δικαίωμα να επεξεργάζεται και ενημερώνει τα πρόσωπα αυτά (π.χ. τους υπαλλήλους της).
• Δεν εισάγει ειδικές κατηγορίες δεδομένων ή δεδομένα ανηλίκων κάτω των 15 ετών.
• Μας ενημερώνει χωρίς καθυστέρηση αν αντιληφθεί παραβίαση ή μη εξουσιοδοτημένη χρήση του λογαριασμού της.

Η Συμφωνία ισχύει όσο η Επιχείρηση χρησιμοποιεί την Υπηρεσία και, για τις υποχρεώσεις διαγραφής και εμπιστευτικότητας, και μετά. Σε περίπτωση σύγκρουσης με τους Όρους χρήσης για θέματα προστασίας δεδομένων, υπερισχύει η Συμφωνία. Αν η Επιχείρηση χρειάζεται υπογεγραμμένο αντίγραφο, μπορεί να το ζητήσει στο hello@filoxpass.com.