Σύμβαση Επεξεργασίας Δεδομένων (DPA)

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων («DPA») αποτελεί αναπόσπαστο μέρος των Όρων Χρήσης και εφαρμόζεται όταν ο πελάτης είναι επιχείρηση ή άλλος οργανισμός (ο «Υπεύθυνος») και το TAPMEO («Εκτελών») επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του στο πλαίσιο της υπηρεσίας SaaS.

Για τα δεδομένα πληρωμών, η Paddle ενεργεί ως ανεξάρτητος υπεύθυνος επεξεργασίας και δεν καλύπτεται από την παρούσα DPA.

• Επεξεργάζεται τα δεδομένα μόνο βάσει τεκμηριωμένων οδηγιών του Υπευθύνου, όπως αποτυπώνονται στη σύμβαση και στις ρυθμίσεις της υπηρεσίας, εκτός αν υποχρεούται από τον νόμο (οπότε ενημερώνει, εκτός αν απαγορεύεται).
• Διασφαλίζει ότι το προσωπικό που έχει πρόσβαση δεσμεύεται από εμπιστευτικότητα και εκπαιδεύεται σε θέματα προστασίας δεδομένων.
• Εφαρμόζει τα τεχνικά και οργανωτικά μέτρα του άρθρου 32 (βλ. «Ασφάλεια»).
• Συνδράμει τον Υπεύθυνο στην εκπλήρωση των υποχρεώσεών του για ασφάλεια, ειδοποίηση παραβίασης, εκτίμηση αντικτύπου (DPIA) και προηγούμενη διαβούλευση, λαμβάνοντας υπόψη τη φύση της επεξεργασίας.
• Ενημερώνει αμέσως τον Υπεύθυνο αν μια οδηγία παραβιάζει τον GDPR ή άλλη νομοθεσία προστασίας δεδομένων.
• Θέτει στη διάθεση του Υπευθύνου τις πληροφορίες που απαιτούνται για την απόδειξη συμμόρφωσης και επιτρέπει ελέγχους.
• Διαγράφει ή επιστρέφει τα δεδομένα μετά το τέλος της παροχής, κατά το άρθρο «Διαγραφή και επιστροφή».

Ο Υπεύθυνος παρέχει γενική έγκριση στους υποεπεξεργαστές που απαριθμούνται στην Πολιτική Απορρήτου (Paddle για πληρωμές, Google Ireland/Firebase για αυθεντικοποίηση, Cloudflare/Turnstile για προστασία από bots, πάροχος φιλοξενίας ΕΕ, πάροχος SMTP, προαιρετικά Sentry). Το TAPMEO επιβάλλει σε κάθε υποεπεξεργαστή, με γραπτή σύμβαση, υποχρεώσεις ίδιες με της παρούσας DPA.

• Αλλαγή στη λίστα υποεπεξεργαστών ανακοινώνεται με email ή ειδοποίηση στο dashboard τουλάχιστον 30 ημέρες πριν την έναρξη της επεξεργασίας.
• Ο Υπεύθυνος μπορεί να αντιταχθεί εγγράφως εντός 15 ημερών για εύλογους λόγους προστασίας δεδομένων. Αν δεν καταστεί δυνατή συμφωνία, ο Υπεύθυνος δικαιούται να καταγγείλει τη σύμβαση για το επηρεαζόμενο τμήμα, χωρίς κυρώσεις.
• Το TAPMEO παραμένει υπεύθυνο έναντι του Υπευθύνου για την εκπλήρωση των υποχρεώσεων των υποεπεξεργαστών.

Τρέχουσα λίστα και αλλαγές διατίθενται και κατόπιν αιτήματος στο dpa@nfcnew.eswebs.gr.

Η κύρια επεξεργασία και αποθήκευση γίνεται εντός ΕΕ. Για περιορισμένες μεταφορές εκτός ΕΟΧ, το TAPMEO συνάπτει τις Τυποποιημένες Συμβατικές Ρήτρες 2021/914 (Module 2: υπεύθυνος → εκτελών) και/ή βασίζεται σε πιστοποίηση EU-US Data Privacy Framework, με πρόσθετα μέτρα όπου απαιτείται. Αντίγραφο των εγγυήσεων διατίθεται κατόπιν αιτήματος.

Το TAPMEO παρέχει λειτουργίες στην κονσόλα για πρόσβαση, διόρθωση, εξαγωγή (CSV/JSON) και διαγραφή δεδομένων (κάρτες, leads, μέλη ομάδας). Αν λάβει αίτημα υποκειμένου απευθείας, το προωθεί στον Υπεύθυνο χωρίς αδικαιολόγητη καθυστέρηση και δεν απαντά ουσιαστικά σε αυτό, εκτός αν έχει εξουσιοδοτηθεί εγγράφως.

Τα μέτρα επανεξετάζονται περιοδικά και προσαρμόζονται στην εξέλιξη της τεχνολογίας και των κινδύνων, χωρίς να μειώνεται το επίπεδο προστασίας κατά τη διάρκεια της σύμβασης.

Το TAPMEO ειδοποιεί τον Υπεύθυνο χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 48 ωρών από τη γνώση παραβίασης, παρέχοντας: φύση της παραβίασης, κατηγορίες/εκτιμώμενο αριθμό υποκειμένων και εγγραφών, πιθανές συνέπειες, μέτρα αντιμετώπισης και σημείο επικοινωνίας. Συνδράμει στις ειδοποιήσεις προς την αρχή και τα υποκείμενα και τεκμηριώνει το περιστατικό. Η ειδοποίηση δεν συνιστά παραδοχή ευθύνης.

Κατά τη λήξη ή καταγγελία της σύμβασης, το TAPMEO παρέχει εξαγωγή δεδομένων σε δομημένο μορφότυπο (CSV/JSON) εντός 30 ημερών από αίτημα και, στη συνέχεια, διαγράφει τα δεδομένα προσωπικού χαρακτήρα, εκτός από όσα οφείλει να διατηρεί για νομική υποχρέωση (π.χ. παραστατικά) ή για την άσκηση/υπεράσπιση αξιώσεων. Αντίγραφα σε backups διαγράφονται με την κυλιόμενη λήξη τους (έως 30 ημέρες).

Το TAPMEO παρέχει ετησίως συνοπτική έκθεση συμμόρφωσης/ασφάλειας και απαντά σε ερωτηματολόγια ασφάλειας. Ο Υπεύθυνος δικαιούται, με εύλογη προειδοποίηση 30 ημερών και έως μία φορά ανά 12 μήνες (εκτός αν απαιτείται από αρχή ή ύστερα από παραβίαση), να διενεργήσει έλεγχο, αυτοπροσώπως ή μέσω ανεξάρτητου ελεγκτή δεσμευμένου με εμπιστευτικότητα, χωρίς πρόσβαση σε δεδομένα άλλων πελατών και με κάλυψη του κόστους από τον Υπεύθυνο όταν ο έλεγχος δεν απαιτείται από τον νόμο.

Η ευθύνη κάθε μέρους έναντι του άλλου για παραβίαση της παρούσας DPA υπόκειται στους περιορισμούς ευθύνης των Όρων Χρήσης, στον βαθμό που επιτρέπει ο GDPR (άρθρο 82). Σε περίπτωση σύγκρουσης μεταξύ της DPA και των Όρων ως προς την επεξεργασία δεδομένων προσωπικού χαρακτήρα, υπερισχύει η DPA. Η DPA διέπεται από το ελληνικό δίκαιο.

Η παρούσα DPA γίνεται αποδεκτή ηλεκτρονικά με τη δημιουργία/χρήση λογαριασμού Business ή με γραπτή αποδοχή (email) στο dpa@nfcnew.eswebs.gr. Κατόπιν αιτήματος εκδίδεται υπογεγραμμένο αντίγραφο (PDF) με τα στοιχεία των δύο μερών και ημερομηνία έναρξης ισχύος.