Σύμβαση Επεξεργασίας Δεδομένων
Η παρούσα σύμβαση κατά το άρθρο 28 του κανονισμού (ΕΕ) 2016/679 (εφεξής ο «ΓΚΠΔ») συνάπτεται μεταξύ του Οργανισμού που χρησιμοποιεί την πλατφόρμα Negotiq (εφεξής ο «Υπεύθυνος Επεξεργασίας») και της SynQflows, s.r.o., αριθ. μητρώου 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (εφεξής ο «Εκτελών την Επεξεργασία»), και αποτελεί μέρος των Όρων Χρήσης. Συνάπτεται με την αποδοχή των Όρων Χρήσης και διαρκεί για όσο διαρκεί η Σύμβαση. Οι όροι με κεφαλαίο αρχικό γράμμα έχουν την έννοια που τους αποδίδεται στους Όρους Χρήσης.
1. Αντικείμενο και έκταση της επεξεργασίας
| Αντικείμενο | επεξεργασία δεδομένων προσωπικού χαρακτήρα που ο Υπεύθυνος Επεξεργασίας ή οι Χρήστες του εισάγουν στην Πλατφόρμα ή που η Πλατφόρμα λαμβάνει ή αποστέλλει κατ’ εντολή τους: Περιεχόμενο Χρήστη (Αιτήματα, προδιαγραφές, συνημμένα, τιμοκατάλογοι, δεδομένα συναδέλφων και προσώπων επικοινωνίας), μηνύματα που αποστέλλονται στη Διεύθυνση Παραλαβής, διαπιστευτήρια για συνδεδεμένα συστήματα και δεδομένα που ανακτώνται από αυτά, καθώς και δεδομένα που αποστέλλονται στα Webhooks του Υπευθύνου Επεξεργασίας |
|---|---|
| Φύση και σκοπός | αποθήκευση, γνωστοποίηση σε εξουσιοδοτημένα πρόσωπα και σε αντισυμβαλλομένους των διαπραγματεύσεων, εισαγωγή και μετατροπή τιμοκαταλόγων, λήψη και αξιολόγηση μηνυμάτων ηλεκτρονικού ταχυδρομείου, ανάκτηση δεδομένων από συνδεδεμένα συστήματα, εξαγωγή παραγγελιών, αποστολή ειδοποιήσεων σε Webhooks, τήρηση αντιγράφων ασφαλείας και λοιπή τεχνική επεξεργασία αναγκαία για την παροχή της Πλατφόρμας |
| Υποκείμενα των δεδομένων | οι εργαζόμενοι και οι συνεργάτες του Υπευθύνου Επεξεργασίας· πρόσωπα επικοινωνίας των επιχειρηματικών εταίρων του· αποστολείς μηνυμάτων στη Διεύθυνση Παραλαβής· πρόσωπα των οποίων τα δεδομένα περιέχονται σε τιμοκατάλογο που ανακτήθηκε από συνδεδεμένο σύστημα |
| Κατηγορίες δεδομένων | δεδομένα ταυτοποίησης και επικοινωνίας (όνομα, επαγγελματική διεύθυνση ηλεκτρονικού ταχυδρομείου, τηλέφωνο, θέση)· δεδομένα μηνυμάτων ηλεκτρονικού ταχυδρομείου (αποστολέας, παραλήπτης, θέμα, χρόνος λήψης, αποτελέσματα του ελέγχου ταυτότητας του αποστολέα) και τα συνημμένα τους· διαπιστευτήρια για συνδεδεμένα συστήματα· λοιπά δεδομένα που ο Υπεύθυνος Επεξεργασίας περιλαμβάνει στο περιεχόμενο. Ο Υπεύθυνος Επεξεργασίας δεν εισάγει ειδικές κατηγορίες δεδομένων ούτε δεδομένα που αφορούν ποινικές καταδίκες |
| Διάρκεια | για όσο διαρκεί η Σύμβαση και έως τη διαγραφή σύμφωνα με το άρθρο 8· τα μηνύματα που λαμβάνονται στη Διεύθυνση Παραλαβής 90 ημέρες από τη λήψη· οι εγγραφές παράδοσης των Webhooks το πολύ 90 ημέρες |
2. Οδηγίες του Υπευθύνου Επεξεργασίας
- Ο Εκτελών την Επεξεργασία επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα μόνο βάσει καταγεγραμμένων εντολών του Υπευθύνου Επεξεργασίας, μεταξύ άλλων όσον αφορά τη διαβίβαση σε τρίτες χώρες. Οι εντολές δίνονται με τους Όρους Χρήσης, την παρούσα σύμβαση και τις ρυθμίσεις της Πλατφόρμας· με τη ρύθμιση μιας Ενοποίησης (Διεύθυνση Παραλαβής, σύνδεση ERP, Webhook, Κλειδί API για πράκτορα τρίτου) ο Υπεύθυνος Επεξεργασίας δίνει εντολή για επεξεργασία στον βαθμό που απαιτεί η Ενοποίηση. Περαιτέρω εντολές δίνει ο Διαχειριστής Οργανισμού σε μορφή κειμένου.
- Εάν ο Εκτελών την Επεξεργασία κρίνει ότι μια εντολή παραβιάζει τον ΓΚΠΔ ή άλλους κανόνες προστασίας δεδομένων, ενημερώνει αμέσως τον Υπεύθυνο Επεξεργασίας και δεν υποχρεούται να εκτελέσει την εντολή έως ότου απαντήσει ο Υπεύθυνος Επεξεργασίας.
- Εάν το δίκαιο της Ένωσης ή κράτους μέλους υποχρεώνει τον Εκτελούντα την Επεξεργασία να επεξεργαστεί τα δεδομένα, ενημερώνει εκ των προτέρων τον Υπεύθυνο Επεξεργασίας, εκτός εάν το δίκαιο αυτό το απαγορεύει (άρθρο 28 παρ. 3 στοιχ. α) ΓΚΠΔ).
- Ο Εκτελών την Επεξεργασία δεν επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα του Υπευθύνου Επεξεργασίας για δικούς του σκοπούς. Τα ανωνυμοποιημένα και συγκεντρωτικά στατιστικά στοιχεία (άρθρο 11 παρ. 2 των Όρων Χρήσης) δεν περιέχουν δεδομένα προσωπικού χαρακτήρα. Τις εγγραφές της Αλυσίδας Ελέγχου, τα Αποδεικτικά και τις Εγγραφές AP2 τα επεξεργάζεται ο Εκτελών την Επεξεργασία ως αυτοτελής υπεύθυνος επεξεργασίας σύμφωνα με την Πολιτική Απορρήτου και όχι σύμφωνα με την παρούσα σύμβαση.
- Ο Υπεύθυνος Επεξεργασίας ευθύνεται για τη νομιμότητα της επεξεργασίας, για την ενημέρωση των υποκειμένων των δεδομένων και για το ότι δικαιούται να εισαγάγει τα δεδομένα προσωπικού χαρακτήρα στην Πλατφόρμα και να παραχωρήσει πρόσβαση σε συνδεδεμένα συστήματα.
3. Υποχρεώσεις του Εκτελούντος την Επεξεργασία
- Ο Εκτελών την Επεξεργασία διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα έχουν αναλάβει δέσμευση τήρησης εμπιστευτικότητας ή τελούν υπό τη δέουσα κανονιστική υποχρέωση τήρησης εμπιστευτικότητας.
- Ο Εκτελών την Επεξεργασία εφαρμόζει τα τεχνικά και οργανωτικά μέτρα κατά το άρθρο 32 ΓΚΠΔ που ορίζονται στο Παράρτημα 1. Μπορεί να τα τροποποιεί, υπό την προϋπόθεση ότι δεν μειώνεται το συνολικό επίπεδο ασφάλειας.
- Ο Εκτελών την Επεξεργασία συνδράμει τον Υπεύθυνο Επεξεργασίας στην απάντηση σε αιτήματα των υποκειμένων των δεδομένων, πρωτίστως μέσω των εργαλείων της Πλατφόρμας (εξαγωγή δεδομένων σε μορφή JSON, διόρθωση, διαγραφή λογαριασμού Χρήστη ή του Οργανισμού). Διαβιβάζει κάθε αίτημα που λαμβάνει απευθείας από υποκείμενο των δεδομένων στον Υπεύθυνο Επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση και δεν απαντά ο ίδιος επί της ουσίας του.
- Ο Εκτελών την Επεξεργασία συνδράμει τον Υπεύθυνο Επεξεργασίας στη συμμόρφωση με τα άρθρα 32 έως 36 ΓΚΠΔ (ασφάλεια, γνωστοποίηση παραβιάσεων, εκτίμηση αντικτύπου και προηγούμενη διαβούλευση), λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που έχει στη διάθεσή του.
4. Υπεργολάβοι επεξεργασίας
- Ο Υπεύθυνος Επεξεργασίας παρέχει στον Εκτελούντα την Επεξεργασία γενική άδεια για τη χρήση υπεργολάβων επεξεργασίας. Τρέχων κατάλογος:
Υπεργολάβος επεξεργασίας Δραστηριότητα Τοποθεσία, εγγυήσεις Railway Corporation φιλοξενία της εφαρμογής και της βάσης δεδομένων, αντίγραφα ασφαλείας ΗΠΑ / ΕΕ· Τυποποιημένες Συμβατικές Ρήτρες (Ενότητα 3) ή Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ (EU-U.S. Data Privacy Framework) Anthropic, PBC μετατροπή μη δομημένων τιμοκαταλόγων σε πίνακες (μόνο όταν χρησιμοποιείται η λειτουργία) ΗΠΑ· Τυποποιημένες Συμβατικές Ρήτρες (Ενότητα 3)· καμία εκπαίδευση μοντέλων με τα δεδομένα πάροχος παραλαβής μηνυμάτων ηλεκτρονικού ταχυδρομείου (ο συγκεκριμένος πάροχος θα προστεθεί στον παρόντα κατάλογο πριν από την έναρξη λειτουργίας της λειτουργίας) λήψη των μηνυμάτων που αποστέλλονται στις Διευθύνσεις Παραλαβής και διαβίβασή τους στην Πλατφόρμα θα αναφερθεί μαζί με τον πάροχο· διαβιβάσεις εκτός ΕΟΧ μόνο με εγγυήσεις σύμφωνα με το άρθρο 7 πάροχος υπηρεσίας ηλεκτρονικού ταχυδρομείου (SMTP) παράδοση τιμολογίων, υπενθυμίσεων και μηνυμάτων υπηρεσίας (διεύθυνση παραλήπτη και περιεχόμενο του μηνύματος) ΕΕ - Ο Εκτελών την Επεξεργασία ενημερώνει τον Υπεύθυνο Επεξεργασίας για κάθε σκοπούμενη προσθήκη ή αντικατάσταση υπεργολάβου επεξεργασίας τουλάχιστον 14 ημέρες νωρίτερα στην Πλατφόρμα ή με μήνυμα ηλεκτρονικού ταχυδρομείου προς τον Διαχειριστή Οργανισμού. Εντός της προθεσμίας αυτής ο Υπεύθυνος Επεξεργασίας μπορεί να διατυπώσει αντιρρήσεις για εύλογους λόγους που αφορούν την προστασία δεδομένων. Τα μέρη θα επιδιώξουν να βρουν λύση· εάν δεν το επιτύχουν, ο Υπεύθυνος Επεξεργασίας μπορεί να καταγγείλει τη Σύμβαση χωρίς κυρώσεις, με ισχύ πριν από τη χρήση του υπεργολάβου επεξεργασίας.
- Ο Εκτελών την Επεξεργασία επιβάλλει συμβατικά στους υπεργολάβους επεξεργασίας τις ίδιες υποχρεώσεις προστασίας δεδομένων που έχει ο ίδιος βάσει της παρούσας σύμβασης, συμπεριλαμβανομένων επαρκών εγγυήσεων για την εφαρμογή τεχνικών και οργανωτικών μέτρων, και παραμένει υπεύθυνος έναντι του Υπευθύνου Επεξεργασίας για την εκπλήρωση των υποχρεώσεών τους (άρθρο 28 παρ. 4 ΓΚΠΔ).
- Τα συστήματα που επιλέγει ο ίδιος ο Υπεύθυνος Επεξεργασίας (συνδεδεμένα συστήματα ERP, ροές προϊόντων, τελικά σημεία Webhook και πράκτορες τρίτων) δεν είναι υπεργολάβοι επεξεργασίας του Εκτελούντος την Επεξεργασία· ο Εκτελών την Επεξεργασία τους διαβιβάζει δεδομένα κατ’ εντολή του Υπευθύνου Επεξεργασίας.
5. Παραβίαση δεδομένων προσωπικού χαρακτήρα
- Ο Εκτελών την Επεξεργασία γνωστοποιεί στον Υπεύθυνο Επεξεργασίας κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 48 ωρών από τη στιγμή που λαμβάνει γνώση αυτής, με μήνυμα ηλεκτρονικού ταχυδρομείου προς τον Διαχειριστή Οργανισμού και στην Πλατφόρμα.
- Η γνωστοποίηση περιέχει τις πληροφορίες κατά το άρθρο 33 παρ. 3 ΓΚΠΔ που έχει στη διάθεσή του ο Εκτελών την Επεξεργασία (φύση της παραβίασης, κατηγορίες και κατά προσέγγιση αριθμός των υποκειμένων των δεδομένων και των αρχείων, σημείο επικοινωνίας, πιθανές συνέπειες και ληφθέντα ή προτεινόμενα μέτρα)· οι πληροφορίες που δεν είναι ακόμη γνωστές παρέχονται σταδιακά.
- Ο Εκτελών την Επεξεργασία λαμβάνει αμελλητί μέτρα για την αντιμετώπιση της παραβίασης και τον μετριασμό των συνεπειών της, συνεργάζεται με τον Υπεύθυνο Επεξεργασίας και τεκμηριώνει την παραβίαση. Η γνωστοποίηση δεν συνιστά αναγνώριση ευθύνης.
6. Πληροφορίες και έλεγχοι
- Ο Εκτελών την Επεξεργασία θέτει στη διάθεση του Υπευθύνου Επεξεργασίας τις πληροφορίες που είναι αναγκαίες για την απόδειξη της συμμόρφωσης με το άρθρο 28 ΓΚΠΔ, πρωτίστως μέσω του εγγράφου Ασφάλεια & Εμπιστοσύνη και απαντήσεων σε εύλογο ερωτηματολόγιο ασφάλειας.
- Εάν οι πληροφορίες αυτές δεν επαρκούν, ο Εκτελών την Επεξεργασία επιτρέπει έλεγχο από τον Υπεύθυνο Επεξεργασίας ή από ανεξάρτητο ελεγκτή δεσμευόμενο από υποχρέωση εμπιστευτικότητας, ο οποίος δεν είναι ανταγωνιστής του Εκτελούντος την Επεξεργασία, κατόπιν ειδοποίησης τουλάχιστον 30 ημερών, το πολύ μία φορά ανά ημερολογιακό έτος (εκτός από περίπτωση παραβίασης ή αιτήματος εποπτικής αρχής), με δαπάνες του Υπευθύνου Επεξεργασίας, χωρίς πρόσβαση σε δεδομένα άλλων πελατών και χωρίς να τίθεται σε κίνδυνο η ασφάλειά τους.
- Οι ερευνητικές εξουσίες των εποπτικών αρχών δεν θίγονται.
7. Διαβιβάσεις εκτός ΕΟΧ
- Οι διαβιβάσεις σε τρίτες χώρες πραγματοποιούνται μόνο με εγγυήσεις σύμφωνα με το κεφάλαιο V ΓΚΠΔ.
- Όταν ο Εκτελών την Επεξεργασία διαβιβάζει δεδομένα προσωπικού χαρακτήρα σε υπεργολάβο επεξεργασίας σε τρίτη χώρα για την οποία δεν υφίσταται απόφαση επάρκειας (ή όταν ο αποδέκτης δεν είναι πιστοποιημένος στο πλαίσιο του Πλαισίου Προστασίας Δεδομένων ΕΕ-ΗΠΑ), συνάπτει μαζί του τις Τυποποιημένες Συμβατικές Ρήτρες σύμφωνα με την εκτελεστική απόφαση (ΕΕ) 2021/914 της Επιτροπής, Ενότητα 3 (διαβίβαση από εκτελούντα την επεξεργασία σε εκτελούντα την επεξεργασία), αξιολογεί το νομικό περιβάλλον της χώρας του αποδέκτη και λαμβάνει συμπληρωματικά μέτρα (ιδίως κρυπτογράφηση κατά τη διαβίβαση και κατά την αποθήκευση και ελαχιστοποίηση των δεδομένων).
- Ο Υπεύθυνος Επεξεργασίας εγκρίνει δια της παρούσας τις διαβιβάσεις αυτές. Ο Εκτελών την Επεξεργασία παρέχει αντίγραφο των εγγυήσεων κατόπιν αιτήματος· οι εμπορικοί όροι μπορούν να απαλειφθούν.
8. Διαγραφή και επιστροφή δεδομένων
- Καθ’ όλη τη διάρκεια της Σύμβασης ο Υπεύθυνος Επεξεργασίας μπορεί ανά πάσα στιγμή να εξαγάγει τα δεδομένα του Οργανισμού σε μορφή JSON και να διαγράψει ο ίδιος δεδομένα.
- Μετά τη λήξη της Σύμβασης, ο Εκτελών την Επεξεργασία, κατ’ επιλογή του Υπευθύνου Επεξεργασίας, επιστρέφει (εξαγωγή) ή διαγράφει τα δεδομένα προσωπικού χαρακτήρα εντός 30 ημερών, συμπεριλαμβανομένων των αντιγράφων, εκτός εάν ο νόμος απαιτεί την περαιτέρω αποθήκευσή τους. Τα αντίγραφα ασφαλείας αντικαθίστανται στον τακτικό κύκλο το αργότερο εντός 90 ημερών· έως τότε προστατεύονται και δεν χρησιμοποιούνται.
- Τα μηνύματα που λαμβάνονται στη Διεύθυνση Παραλαβής διαγράφονται αυτόματα μετά από 90 ημέρες. Ο Εκτελών την Επεξεργασία παύει να χρησιμοποιεί τα διαπιστευτήρια για συνδεδεμένο σύστημα αμέσως μόλις καταργηθεί η σύνδεση και τα διαγράφει το αργότερο σύμφωνα με την παράγραφο 2.
- Το παρόν άρθρο δεν εφαρμόζεται στις εγγραφές που αναφέρονται στη δεύτερη και την τρίτη περίοδο του άρθρου 2 παρ. 4.
9. Ευθύνη, υπεροχή και εφαρμοστέο δίκαιο
Η ευθύνη διέπεται από το άρθρο 82 ΓΚΠΔ και τους Όρους Χρήσης, συμπεριλαμβανομένων των περιορισμών τους στον βαθμό που επιτρέπει ο νόμος. Στα θέματα προστασίας δεδομένων προσωπικού χαρακτήρα, η παρούσα σύμβαση υπερισχύει των Όρων Χρήσης. Η παρούσα σύμβαση διέπεται από το τσεχικό δίκαιο.
Παράρτημα 1 — Τεχνικά και οργανωτικά μέτρα
- Κρυπτογράφηση και ψευδωνυμοποίηση: κρυπτογράφηση κάθε επικοινωνίας (TLS) και κρυπτογράφηση των αποθηκευμένων δεδομένων στον πάροχο φιλοξενίας· διαπιστευτήρια για συνδεδεμένα συστήματα και μυστικά υπογραφής Webhook κρυπτογραφημένα με AES-256-GCM· κωδικοί πρόσβασης ως τιμές κατακερματισμού Argon2id· κωδικοί ανάκτησης, συνεδρίες σύνδεσης και κλειδιά API αποθηκευμένα μόνο ως τιμές κατακερματισμού· ψευδωνυμοποίηση των εγγραφών της Αλυσίδας Ελέγχου μετά τη διαγραφή λογαριασμού.
- Έλεγχος πρόσβασης: πρόσβαση βάσει ρόλων που διαχειρίζεται ο Διαχειριστής Οργανισμού· διαχωρισμός των δεδομένων των Οργανισμών που επιβάλλεται σε επίπεδο εφαρμογής· συνημμένα μόνο για εξουσιοδοτημένα πρόσωπα και πάντοτε ως μεταφορτώσεις· πρόσβαση στο περιβάλλον παραγωγής μόνο για εξουσιοδοτημένο προσωπικό του Εκτελούντος την Επεξεργασία που δεσμεύεται από υποχρέωση εμπιστευτικότητας.
- Προστασία λογαριασμών και συνεδριών: cookies HttpOnly, Secure και SameSite· έλεγχοι Origin στα αιτήματα που μεταβάλλουν δεδομένα· προσωρινό κλείδωμα του λογαριασμού μετά από επανειλημμένες αποτυχημένες προσπάθειες σύνδεσης· η αλλαγή κωδικού πρόσβασης τερματίζει όλες τις συνεδρίες· όρια συχνότητας αιτημάτων στο API.
- Ακεραιότητα και επαληθευσιμότητα: Αλυσίδα Ελέγχου με κρυπτογραφικά συνδεδεμένες εγγραφές, η τροποποίηση ή διαγραφή των οποίων αποκλείεται από trigger της βάσης δεδομένων· υπογραφές Ed25519 των Εντολών, των Αποδεικτικών και των Εγγραφών AP2· Webhooks υπογεγραμμένα με HMAC-SHA256.
- Διαθεσιμότητα και αποκατάσταση: τακτικά αντίγραφα ασφαλείας της βάσης δεδομένων· αντικατάσταση των αντιγράφων ασφαλείας το αργότερο εντός 90 ημερών.
- Ελαχιστοποίηση και διαγραφή: μηνύματα στη Διεύθυνση Παραλαβής 90 ημέρες· αρχεία καταγραφής λειτουργίας το πολύ 90 ημέρες· για τους δυνητικούς προμηθευτές μόνο γενικά εταιρικά στοιχεία επικοινωνίας· αυτόματη εισαγωγή μηνυμάτων ηλεκτρονικού ταχυδρομείου μόνο από Επαληθευμένους Αποστολείς.
- Ασφαλής ανάπτυξη: αυτοματοποιημένες δοκιμές αναλλοίωτων ιδιοτήτων ασφάλειας (διαχωρισμός των Οργανισμών, όρια των Πρακτόρων, εμπιστευτικότητα των ορίων) σε κάθε αλλαγή· εξαρτήσεις κλειδωμένες σε ακριβείς εκδόσεις· οι Πράκτορες δεν αντιμετωπίζουν το περιεχόμενο αρχείων ως οδηγίες.
- Συμβάντα και επανεξέταση: διαχείριση και γνωστοποίηση συμβάντων σύμφωνα με το άρθρο 5· δίαυλος για την αναφορά ευπαθειών· τακτική επανεξέταση της αποτελεσματικότητας των μέτρων.
Λεπτομερέστερη περιγραφή παρέχεται στο έγγραφο Ασφάλεια & Εμπιστοσύνη.