Σύμβαση Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα («Σύμβαση Επεξεργασίας») καταρτίζεται μεταξύ:

Της εταιρείας με την επωνυμία [επωνυμία πελάτη], η οποία εδρεύει [•], με ΑΦΜ [•] και αριθμό Γ.Ε.ΜΗ. [•], νομίμως εκπροσωπούμενης από [•] (εφεξής ο «Υπεύθυνος Επεξεργασίας»),

και

Της εταιρείας με την επωνυμία Trustmomus, η οποία εδρεύει [•], με ΑΦΜ [•] και αριθμό Γ.Ε.ΜΗ. [•], νομίμως εκπροσωπούμενης από [•] (εφεξής ο «Εκτελών την Επεξεργασία»),

από κοινού τα «Μέρη» και έκαστο το «Μέρος».

Η παρούσα Σύμβαση Επεξεργασίας αποτελεί αναπόσπαστο μέρος της κύριας σύμβασης μεταξύ των Μερών («Κύρια Σύμβαση») μέσω της οποίας ο Υπεύθυνος Επεξεργασίας αναθέτει στον Εκτελούντα την Επεξεργασία την επεξεργασία δεδομένων προσωπικού χαρακτήρα που σχετίζονται με την παροχή από τον Εκτελούντα των υπηρεσιών της πλατφόρμας Trustmomus (οι «Υπηρεσίες»).

1. Ορισμοί

1.1. Για τους σκοπούς της παρούσας, οι όροι «δεδομένα προσωπικού χαρακτήρα», «επεξεργασία», «υπεύθυνος επεξεργασίας», «εκτελών την επεξεργασία», «υποκείμενο των δεδομένων», «παραβίαση δεδομένων προσωπικού χαρακτήρα», «ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα» και «εποπτική αρχή» έχουν την έννοια που τους αποδίδεται στον Κανονισμό (ΕΕ) 2016/679 («ΓΚΠΔ»).

1.2. Ως «Εφαρμοστέα Νομοθεσία Προστασίας Δεδομένων» νοείται ο ΓΚΠΔ, ο Ν. 4624/2019, καθώς και κάθε άλλη εφαρμοστέα ενωσιακή ή εθνική νομοθεσία, κανονιστική πράξη, κατευθυντήρια γραμμή ή δεσμευτική απόφαση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων.

2. Οδηγίες Επεξεργασίας

2.1. Ο Υπεύθυνος Επεξεργασίας αναθέτει στον Εκτελούντα την Επεξεργασία την επεξεργασία δεδομένων προσωπικού χαρακτήρα αποκλειστικά για την παροχή των υπηρεσιών που περιγράφονται στην Κύρια Σύμβαση. Ο Εκτελών την Επεξεργασία επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα αποκλειστικά για λογαριασμό και σύμφωνα με τις τεκμηριωμένες οδηγίες του Υπευθύνου Επεξεργασίας.

2.2. Οι λεπτομέρειες της επεξεργασίας, συμπεριλαμβανομένων του αντικειμένου και της διάρκειας της επεξεργασίας, της φύσης και του σκοπού της επεξεργασίας, των κατηγοριών δεδομένων προσωπικού χαρακτήρα και των κατηγοριών υποκειμένων των δεδομένων, παρατίθενται στο Παράρτημα 1 της παρούσας.

2.3. Ο Υπεύθυνος Επεξεργασίας θα παράσχει στον Εκτελούντα την Επεξεργασία πρόσβαση στα δεδομένα προσωπικού χαρακτήρα, όπως καταγράφονται στο Παράρτημα 1.

3. Υποχρεώσεις των Μερών

3.1. Ο Εκτελών την Επεξεργασία επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα σύμφωνα με την Εφαρμοστέα Νομοθεσία Προστασίας Δεδομένων και ενημερώνει αμελλητί τον Υπεύθυνο Επεξεργασίας εάν θεωρεί ότι οποιαδήποτε οδηγία παραβιάζει την Εφαρμοστέα Νομοθεσία Προστασίας Δεδομένων.

3.2. Ο Εκτελών την Επεξεργασία δεν διαβιβάζει ούτε καθιστά διαθέσιμα δεδομένα προσωπικού χαρακτήρα εκτός του Ευρωπαϊκού Οικονομικού Χώρου χωρίς προηγούμενη γραπτή άδεια του Υπευθύνου Επεξεργασίας, εκτός εάν υποχρεούται προς τούτο βάσει του ελληνικού δικαίου ή του δικαίου της Ένωσης, στο οποίο υπόκειται ο Εκτελών την Επεξεργασία.

3.3. Ο Εκτελών την Επεξεργασία λαμβάνει όλα τα κατάλληλα μέτρα σύμφωνα με το άρθρο 32 του ΓΚΠΔ, ώστε να διασφαλίζει την ασφάλεια των δεδομένων προσωπικού χαρακτήρα που τυγχάνουν επεξεργασίας στο πλαίσιο της παρούσας. Τα ειδικότερα μέτρα που λαμβάνει ο Εκτελών την Επεξεργασία περιγράφονται στο Παράρτημα 2.

3.4. Ο Εκτελών την Επεξεργασία διασφαλίζει ότι όλα τα πρόσωπα που εξουσιοδοτούνται να επεξεργάζονται δεδομένα προσωπικού χαρακτήρα έχουν πρόσβαση μόνο στα δεδομένα που είναι αναγκαία για την εκτέλεση των καθηκόντων τους και έχουν δεσμευθεί ως προς την εμπιστευτικότητα ή υπόκεινται σε κατάλληλη εκ του νόμου υποχρέωση εμπιστευτικότητας.

3.5. Εάν ο Εκτελών την Επεξεργασία υποχρεούται από το ενωσιακό ή εθνικό δίκαιο να προβεί σε επεξεργασία διαφορετική ή πρόσθετη από αυτή που προβλέπεται στις οδηγίες του Υπευθύνου Επεξεργασίας, ενημερώνει προηγουμένως τον Υπεύθυνο Επεξεργασίας, εκτός εάν η σχετική νομοθεσία απαγορεύει την ενημέρωση αυτή για σημαντικούς λόγους δημοσίου συμφέροντος.

3.6. Ο Υπεύθυνος Επεξεργασίας υπέχει αποκλειστική ευθύνη για να εκτιμήσει αν και πως τα δεδομένα προσωπικού χαρακτήρα πρόκειται να τύχουν νόμιμης επεξεργασίας σύμφωνα με την Εφαρμοστέα Νομοθεσία Προστασίας Δεδομένων καθώς και για να διασφαλίσει τα δικαιώματα των υποκειμένων των δεδομένων, π.χ. όπου και όπως απαιτείται, ο Υπεύθυνος Επεξεργασίας έχει ενημερώσει τα υποκείμενα των δεδομένων σύμφωνα με τα άρθρα 13 και 14 ΓΚΠΔ.

4. Δικαιώματα των Υποκειμένων

4.1. Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, ο Εκτελών την Επεξεργασία συνδράμει τον Υπεύθυνο Επεξεργασίας, στον βαθμό που είναι δυνατό, για την εκπλήρωση των υποχρεώσεών του σχετικά με την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων.

4.2. Σε περίπτωση που ο Εκτελών την Επεξεργασία λάβει απευθείας αίτημα από υποκείμενο των δεδομένων σχετικά με την επεξεργασία, δεν απαντά στο αίτημα και διαβιβάζει το αίτημα στον Υπεύθυνο Επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση.

5. Απόδειξη Συμμόρφωσης και Δικαίωμα Ελέγχου

5.1. Ο Εκτελών την Επεξεργασία θέτει στη διάθεση του Υπευθύνου Επεξεργασίας όλες τις πληροφορίες που είναι αναγκαίες για την απόδειξη της συμμόρφωσής του με τις υποχρεώσεις που προβλέπονται στο άρθρο 28 ΓΚΠΔ.

5.2. Ο Εκτελών την Επεξεργασία, κατόπιν εύλογης προηγούμενης ειδοποίησης, επιτρέπει και συνδράμει στη διενέργεια ελέγχων, συμπεριλαμβανομένων επιθεωρήσεων, από τον Υπεύθυνο Επεξεργασίας ή από ελεγκτή που έχει οριστεί από τον τελευταίο, υπό την προϋπόθεση ότι οι έλεγχοι διενεργούνται κατά τρόπο που δεν διαταράσσει αδικαιολόγητα τη λειτουργία των υπηρεσιών του Εκτελούντος την Επεξεργασία. Ο Εκτελών την Επεξεργασία έχει το δικαίωμα να αρνηθεί την πρόσβαση σε πληροφορίες που περιέχουν εμπιστευτικές πληροφορίες του ίδιου ή/και πληροφορίες που προστατεύονται από τη νομοθεσία περί διανοητικής ιδιοκτησίας ή/και πληροφορίες τρίτων, συμπεριλαμβανομένων για παράδειγμα άλλων πελατών του Εκτελούντα την Επεξεργασία.

5.3. Ο Υπεύθυνος Επεξεργασίας φέρει το βάρος των δαπανών του Εκτελούντα την Επεξεργασία στο πλαίσιο και για την ανάγκη διενέργειας του εν λόγω ελέγχου.

6. Παραβίαση Δεδομένων Προσωπικού Χαρακτήρα

6.1. Ο Εκτελών την Επεξεργασία ενημερώνει τον Υπεύθυνο Επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση και, σε κάθε περίπτωση, εντός σαράντα οκτώ (48) ωρών από τη στιγμή που λάβει γνώση παραβίασης δεδομένων προσωπικού χαρακτήρα.

6.2. Ο Εκτελών την Επεξεργασία συνεργάζεται πλήρως με τον Υπεύθυνο Επεξεργασίας και παρέχει κάθε αναγκαία πληροφορία και συνδρομή για τη διερεύνηση, τεκμηρίωση και αντιμετώπιση της παραβίασης, λαμβάνοντας υπόψη του τη φύση της επεξεργασίας και τις διαθέσιμες στον Εκτελούντα την Επεξεργασία πληροφορίες.

7. Συνδρομή προς τον Υπεύθυνο Επεξεργασίας

7.1. Ο Εκτελών την Επεξεργασία παρέχει στον Υπεύθυνο Επεξεργασίας κάθε αναγκαία συνδρομή για τη συμμόρφωση με τις υποχρεώσεις που προβλέπονται στα άρθρα 32 έως 36 ΓΚΠΔ, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που έχει στη διάθεσή του.

7.2. Η συνδρομή αυτή περιλαμβάνει, κατά περίπτωση, την παροχή πληροφοριών και τη συνδρομή σχετικά με τις υποχρεώσεις ασφάλειας της επεξεργασίας, την παροχή εύλογης βοήθειας, όπως και όταν ζητηθεί από τον Υπεύθυνο Επεξεργασίας, σε περίπτωση εκπόνησης Εκτίμησης Αντικτύπου σχετικά με την Προστασία Δεδομένων και τη συνδρομή σε τυχόν προηγούμενη διαβούλευση με την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

8. Υποεκτελούντες την Επεξεργασία

8.1. Ο Εκτελών την Επεξεργασία δεν διορίζει άλλον εκτελούντα την επεξεργασία («Υποεκτελών την Επεξεργασία») χωρίς προηγούμενη ειδική ή γενική γραπτή άδεια του Υπευθύνου Επεξεργασίας.

8.2. Σε περίπτωση γενικής γραπτής άδειας, ο Εκτελών την Επεξεργασία ενημερώνει τον Υπεύθυνο Επεξεργασίας για οποιαδήποτε προγραμματιζόμενη προσθήκη ή αντικατάσταση Υποεκτελούντος την Επεξεργασία, παρέχοντας στον Υπεύθυνο Επεξεργασίας εύλογη δυνατότητα να αντιταχθεί στις σχετικές αλλαγές.

8.3. Ο Εκτελών την Επεξεργασία επιβάλλει στον Υποεκτελούντα την Επεξεργασία, μέσω σύμβασης ή άλλης νομικής πράξης, υποχρεώσεις προστασίας δεδομένων αντίστοιχες με αυτές που προβλέπονται στην παρούσα.

8.4. Ο Εκτελών την Επεξεργασία παραμένει πλήρως υπεύθυνος έναντι του Υπευθύνου Επεξεργασίας για την εκπλήρωση των υποχρεώσεων του Υποεκτελούντος την Επεξεργασία.

8.5. Ο κατάλογος των εγκεκριμένων Υποεκτελούντων την Επεξεργασία παρατίθεται στο Παράρτημα 3.

9. Επιστροφή ή Διαγραφή Δεδομένων

9.1. Μετά την ολοκλήρωση της παροχής των Υπηρεσιών που συνεπάγονται επεξεργασία δεδομένων προσωπικού χαρακτήρα, ο Εκτελών την Επεξεργασία, κατ' επιλογή του Υπευθύνου Επεξεργασίας, θα επιστρέψει όλα τα δεδομένα προσωπικού χαρακτήρα στον Υπεύθυνο Επεξεργασίας ή θα διαγράψει με ασφαλή και οριστικό τρόπο όλα τα δεδομένα προσωπικού χαρακτήρα, εκτός εάν η τήρηση των δεδομένων αυτών απαιτείται από το ενωσιακό ή εθνικό δίκαιο.

9.2. Κατόπιν αιτήματος του Υπευθύνου Επεξεργασίας, ο Εκτελών την Επεξεργασία παρέχει έγγραφη επιβεβαίωση της ολοκλήρωσης της διαγραφής.

10. Ευθύνη

10.1. Τα Μέρη ευθύνονται για τη συμμόρφωσή τους με τις υποχρεώσεις που τους επιβάλλονται από την Εφαρμοστέα Νομοθεσία Προστασίας Δεδομένων.

10.2. Τα Μέρη ευθύνονται για παραβιάσεις της παρούσας σύμφωνα με το ελληνικό δίκαιο.

11. Διάρκεια

11.1. Η Σύμβαση Επεξεργασίας διαρκεί για όσο ο Εκτελών την Επεξεργασία παρέχει τις Υπηρεσίες στον Υπεύθυνο Επεξεργασίας.

11.2. Με τη λήξη ή καταγγελία της Κύριας Σύμβασης, ο Εκτελών την Επεξεργασία δεν επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα, όπως αναφέρονται στο Παράρτημα 1, με την επιφύλαξη των υποχρεώσεων του Εκτελούντος την Επεξεργασία σχετικά με την επιστροφή ή διαγραφή των δεδομένων σύμφωνα με το άρθρο 9 της παρούσας.

12. Εφαρμοστέο Δίκαιο και Δικαιοδοσία

12.1. Η παρούσα διέπεται και ερμηνεύεται από το ελληνικό δίκαιο, με την επιφύλαξη των υποχρεωτικά εφαρμοζόμενων διατάξεων του ενωσιακού δικαίου.

12.2. Τα δικαστήρια της Ελλάδας, και της Αθήνας συγκεκριμένα, θα είναι αποκλειστικά αρμόδια για την επίλυση οποιασδήποτε διαφοράς προκύψει στο πλαίσιο της παρούσας.

Παράρτημα 1 — Περιγραφή της Επεξεργασίας

1. Αντικείμενο της επεξεργασίας. Αντικείμενο της επεξεργασίας αποτελεί η παροχή των Υπηρεσιών από τον Εκτελούντα στον Υπεύθυνο Επεξεργασίας. Ειδικότερα, ο Εκτελών την Επεξεργασία παρέχει την πλατφόρμα Trustmomus στον Υπεύθυνο Επεξεργασίας, μέσω της οποίας ο τελευταίος διαχειρίζεται τις συναλλαγές και τα ραντεβού του, όπου είναι εφικτό, με τα υποκείμενα των δεδομένων. Μετά την ολοκλήρωση μιας συναλλαγής ή ραντεβού, αποστέλλεται μήνυμα (μέσω SMS ή email) στο αντίστοιχο υποκείμενο, προκειμένου αυτό να αξιολογήσει την παρεχόμενη υπηρεσία ή/και το προϊόν.

2. Διάρκεια της επεξεργασίας. Διάρκεια της επεξεργασίας αποτελεί η διάρκεια της Κύριας Σύμβασης.

3. Φύση της επεξεργασίας. Η επεξεργασία περιλαμβάνει συλλογή, καταχώριση, οργάνωση, δομή, αποθήκευση, χρήση, διαβίβαση, διαγραφή ή καταστροφή.

4. Σκοπός της επεξεργασίας. Σκοπός της επεξεργασίας είναι η παροχή των Υπηρεσιών.

5. Κατηγορίες υποκειμένων των δεδομένων. Πελάτες του Υπεύθυνου Επεξεργασίας.

6. Κατηγορίες δεδομένων προσωπικού χαρακτήρα. Στοιχεία ταυτότητας (ονοματεπώνυμο), στοιχεία επικοινωνίας (αριθμός κινητού τηλεφώνου, διεύθυνση email), στοιχεία σχετικά με τη συναλλαγή/το ραντεβού που είχε το υποκείμενο των δεδομένων με τον Υπεύθυνο Επεξεργασίας.

Παράρτημα 2 — Τεχνικά και Οργανωτικά Μέτρα

Ο Εκτελών την Επεξεργασία εφαρμόζει, ενδεικτικά, τα ακόλουθα μέτρα:

• Κρυπτογράφηση των δεδομένων κατά τη μεταφορά (HTTPS/TLS σε όλες τις συνδέσεις προς την πλατφόρμα) και κρυπτογράφηση κατά την αποθήκευση στη βάση δεδομένων.
• Έλεγχος πρόσβασης σε επίπεδο εγγραφής (Row-Level Security) στη βάση δεδομένων, ώστε κάθε πελάτης να έχει πρόσβαση αποκλειστικά στα δικά του δεδομένα.
• Μηχανισμοί αυθεντικοποίησης χρηστών για την πρόσβαση στον πίνακα ελέγχου (dashboard) και διαχείριση δικαιωμάτων πρόσβασης βάσει ρόλου (admin, μέλος ομάδας) και της αρχής της ελάχιστης αναγκαίας πρόσβασης.
• Αυθεντικοποίηση μέσω μυστικού διακριτικού (Bearer token) για την εκτέλεση αυτοματοποιημένων/προγραμματισμένων διεργασιών (cron jobs).
• Τήρηση αντιγράφων ασφαλείας (backups) και διαδικασιών αποκατάστασης από τον πάροχο υποδομής βάσης δεδομένων.
• Περιορισμός και παρακολούθηση της πρόσβασης σε συστήματα και δεδομένα, με καταγραφή κρίσιμων ενεργειών.
• Χρήση αξιόπιστων υποεκτελούντων (βλ. Παράρτημα 3) για την αποστολή SMS και email, με δική τους δέσμευση τήρησης κατάλληλων μέτρων ασφάλειας.
• Μηχανισμός συναίνεσης (cookie consent) για τη συλλογή μη απαραίτητων cookies στον ιστότοπο, σύμφωνα με την Πολιτική Cookies.
• Περιοδική επανεξέταση και επικαιροποίηση των τεχνικών και οργανωτικών μέτρων ασφάλειας.

Παράρτημα 3 — Εγκεκριμένοι Υποεκτελούντες την Επεξεργασία