Σύμβαση Επεξεργασίας Δεδομένων

1. Συμβαλλόμενα μέρη και σύναψη

Υπεύθυνος Επεξεργασίας: ο Πελάτης που έχει εγγραφεί σε Συνδρομή FrameCRM (ο «Υπεύθυνος Επεξεργασίας»).

Εκτελών την Επεξεργασία: Pavlo Okhmak, ατομική επιχείρηση (φυσικό πρόσωπο που ασκεί επιχειρηματική δραστηριότητα) εγγεγραμμένη στο Μητρώο Επαγγελματικών Αδειών της Τσεχικής Δημοκρατίας (živnostenský rejstřík), αριθμός ταυτοποίησης επιχείρησης (IČO) 29485941, έδρα (τόπος άσκησης δραστηριότητας) Bezručova 4201, 430 03 Chomutov, Τσεχική Δημοκρατία, μη υπόχρεη ΦΠΑ (ο «Εκτελών την Επεξεργασία»).

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων (η «DPA») αποτελεί μέρος των Όρων Παροχής Υπηρεσιών. Ο Υπεύθυνος Επεξεργασίας την αποδέχεται επιβεβαιώνοντας τη συναίνεσή του κατά την εγγραφή στο FrameCRM· δεν απαιτείται υπογραφή. Η DPA πληροί την απαίτηση σύμβασης του άρθ. 28(3) του Κανονισμού (ΕΕ) 2016/679 (GDPR).

Δεσμευτική είναι η τσεχική έκδοση της παρούσας DPA· το παρόν ελληνικό κείμενο αποτελεί μετάφραση που παρέχεται μόνο για ενημερωτικούς σκοπούς και, σε περίπτωση απόκλισης, υπερισχύει η τσεχική έκδοση. Σε θέματα προστασίας δεδομένων προσωπικού χαρακτήρα, η DPA υπερισχύει των Όρων Παροχής Υπηρεσιών.

2. Αντικείμενο, διάρκεια, φύση και σκοπός

• Αντικείμενο: επεξεργασία των δεδομένων προσωπικού χαρακτήρα που ο Υπεύθυνος Επεξεργασίας ή οι χρήστες του εισάγουν στο FrameCRM.
• Διάρκεια: για τη διάρκεια της Συνδρομής και στη συνέχεια έως τη διαγραφή των δεδομένων σύμφωνα με το Άρθρο 10.
• Φύση της επεξεργασίας: συλλογή (συμπεριλαμβανομένων αιτημάτων και κρατήσεων από τον ιστότοπο ή την ηλεκτρονική φόρμα κρατήσεων του Υπευθύνου Επεξεργασίας, εφόσον τα χρησιμοποιεί), αποθήκευση, οργάνωση, προβολή, αναζήτηση, τροποποίηση, εξαγωγή, προετοιμασία υπενθυμίσεων και μηνυμάτων που οι χρήστες του Υπευθύνου Επεξεργασίας αποστέλλουν οι ίδιοι στους πελάτες (π.χ. μέσω συνδέσμου WhatsApp), ειδοποιήσεις προς τους χρήστες του Υπευθύνου Επεξεργασίας (μέσω Telegram, εφόσον το έχει ενεργοποιήσει ο Υπεύθυνος Επεξεργασίας), έκδοση παραστατικών όπως τιμολόγια, δημιουργία αντιγράφων ασφαλείας και διαγραφή.
• Σκοπός: παροχή της υπηρεσίας FrameCRM — τήρηση αρχείου των πελατών, οχημάτων, εργασιών, ημερολογίου, υπενθυμίσεων, αξιολογήσεων, τιμολογίων, αποθήκης, μισθοδοσίας και στατιστικών του Υπευθύνου Επεξεργασίας.

3. Κατηγορίες υποκειμένων των δεδομένων και δεδομένων προσωπικού χαρακτήρα

Υποκείμενα των δεδομένων: οι πελάτες και οι υποψήφιοι πελάτες του Υπευθύνου Επεξεργασίας, τα πρόσωπα επικοινωνίας τους, οι εργαζόμενοι και οι λοιποί χρήστες του Υπευθύνου Επεξεργασίας.

Κατηγορίες δεδομένων:

• δεδομένα ταυτοποίησης και επικοινωνίας (όνομα, τηλέφωνο, e-mail, διεύθυνση)·
• στοιχεία οχήματος (μάρκα, μοντέλο, αριθμός κυκλοφορίας, VIN, ένδειξη χιλιομετρητή)·
• ιστορικό εργασιών, ραντεβού, τιμές και αρχεία πληρωμών, σημειώσεις·
• στοιχεία τιμολόγησης (όνομα τιμολόγησης, διεύθυνση, αριθμός ταυτοποίησης επιχείρησης / ΑΦΜ)·
• φωτογραφίες (κυρίως οχημάτων), οι οποίες μπορεί να περιέχουν και άλλα δεδομένα προσωπικού χαρακτήρα·
• επικοινωνία με πελάτες και αξιολογήσεις·
• δεδομένα σχετικά με τους χρήστες του Υπευθύνου Επεξεργασίας (όνομα, e-mail, τηλέφωνο, ρόλος, αρχεία συνδέσεων, αρχείο ενεργειών) και, εφόσον ο Υπεύθυνος Επεξεργασίας χρησιμοποιεί τη μισθοδοσία, οι κανόνες αμοιβής, οι αποδοχές και οι πληρωμές τους.

Δεν προβλέπεται επεξεργασία ειδικών κατηγοριών δεδομένων (άρθ. 9 GDPR) ή δεδομένων που αφορούν ποινικές καταδίκες· ο Υπεύθυνος Επεξεργασίας δεν εισάγει τέτοια δεδομένα στο FrameCRM.

4. Υποχρεώσεις του Υπευθύνου Επεξεργασίας

Ο Υπεύθυνος Επεξεργασίας ευθύνεται για την ύπαρξη νομικής βάσης για την επεξεργασία, για την ορθή ενημέρωση των υποκειμένων των δεδομένων, για την ακρίβεια των δεδομένων που εισάγονται και για τη διασφάλιση ότι οι εντολές του προς τον Εκτελούντα την Επεξεργασία είναι σύμφωνες με τον νόμο. Ο Υπεύθυνος Επεξεργασίας προστατεύει τα διαπιστευτήρια σύνδεσης των χρηστών του.

5. Υποχρεώσεις του Εκτελούντος την Επεξεργασία

Ο Εκτελών την Επεξεργασία:

• επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα μόνο βάσει καταγεγραμμένων εντολών του Υπευθύνου Επεξεργασίας — ως τέτοιες εντολές θεωρούνται οι Όροι Παροχής Υπηρεσιών, η παρούσα DPA και οι ρυθμίσεις και ενέργειες του Υπευθύνου Επεξεργασίας στην εφαρμογή —, μεταξύ άλλων όσον αφορά τις διαβιβάσεις σε τρίτες χώρες· ενημερώνει αμέσως τον Υπεύθυνο Επεξεργασίας εάν κρίνει ότι μια εντολή είναι παράνομη·
• διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα έχουν δεσμευτεί να τηρούν εμπιστευτικότητα·
• λαμβάνει τα τεχνικά και οργανωτικά μέτρα του άρθ. 32 GDPR (Άρθρο 7)·
• τηρεί τους όρους για την πρόσληψη υπεκτελούντων την επεξεργασία (Άρθρο 6)·
• συνδράμει τον Υπεύθυνο Επεξεργασίας στην ανταπόκριση σε αιτήματα των υποκειμένων των δεδομένων — ιδίως μέσω λειτουργιών της εφαρμογής για την αναζήτηση, διόρθωση, εξαγωγή και διαγραφή δεδομένων·
• συνδράμει τον Υπεύθυνο Επεξεργασίας στην εκπλήρωση των υποχρεώσεών του βάσει των άρθ. 32 έως 36 GDPR, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις διαθέσιμες πληροφορίες·
• διαγράφει ή επιστρέφει τα δεδομένα μετά τη λήξη της υπηρεσίας (Άρθρο 10)·
• θέτει στη διάθεση του Υπευθύνου Επεξεργασίας τις πληροφορίες που είναι αναγκαίες για την απόδειξη της συμμόρφωσης και επιτρέπει ελέγχους (Άρθρο 11)·
• δεν χρησιμοποιεί τα δεδομένα του Υπευθύνου Επεξεργασίας για δικούς του σκοπούς.

6. Υπεκτελούντες την επεξεργασία

Ο Υπεύθυνος Επεξεργασίας παρέχει γενική άδεια για την πρόσληψη υπεκτελούντων την επεξεργασία. Κατά την ημερομηνία έναρξης ισχύος της παρούσας DPA, αυτοί είναι:

Τις πληρωμές της Συνδρομής επεξεργάζεται η Stripe· ωστόσο, η Stripe δεν επεξεργάζεται δεδομένα προσωπικού χαρακτήρα των πελατών του Υπευθύνου Επεξεργασίας.

Τα μηνύματα προς τους πελάτες μέσω WhatsApp αποστέλλονται από τους χρήστες του Υπευθύνου Επεξεργασίας από τη δική τους εφαρμογή WhatsApp (σύνδεσμος έναρξης συνομιλίας)· επομένως το WhatsApp (Meta) δεν είναι υπεκτελών την επεξεργασία του Εκτελούντος την Επεξεργασία, και η χρήση του WhatsApp από τον Υπεύθυνο Επεξεργασίας διέπεται από τη δική του σχέση με τη Meta. Όταν ένας χρήστης αποκωδικοποιεί έναν αριθμό VIN, μόνο ο VIN (χωρίς άλλα δεδομένα) αποστέλλεται στη δωρεάν δημόσια βάση δεδομένων NHTSA vPIC (Υπουργείο Μεταφορών των ΗΠΑ) για τον προσδιορισμό της μάρκας και του μοντέλου· οι διευθύνσεις των στούντιο μπορούν να αναζητηθούν στο OpenStreetMap (Nominatim).

Ο Εκτελών την Επεξεργασία ενημερώνει τον Υπεύθυνο Επεξεργασίας με e-mail τουλάχιστον 14 ημέρες νωρίτερα για κάθε σχεδιαζόμενη προσθήκη ή αντικατάσταση υπεκτελούντος την επεξεργασία. Ο Υπεύθυνος Επεξεργασίας μπορεί να αντιταχθεί για εύλογους λόγους που σχετίζονται με την προστασία δεδομένων· εάν τα μέρη δεν βρουν λύση, ο Υπεύθυνος Επεξεργασίας μπορεί να ακυρώσει τη Συνδρομή με ισχύ από την ημερομηνία της αλλαγής. Ο Εκτελών την Επεξεργασία επιβάλλει στους υπεκτελούντες τις ίδιες υποχρεώσεις προστασίας δεδομένων και παραμένει υπεύθυνος για την εκπλήρωσή τους.

Οι διαβιβάσεις σε τρίτες χώρες πραγματοποιούνται μόνο με τις εγγυήσεις του Κεφαλαίου V του GDPR (αποφάσεις επάρκειας, τυποποιημένες συμβατικές ρήτρες).

7. Τεχνικά και οργανωτικά μέτρα

• κρυπτογράφηση κατά τη μεταφορά (HTTPS/TLS) και κρυπτογράφηση των αποθηκευμένων δεδομένων από τον πάροχο της βάσης δεδομένων·
• σύνδεση με κωδικό πρόσβασης ή με σύνδεσμο σύνδεσης μίας χρήσης (περιορισμένης ισχύος), ασφαλείς συνεδρίες, ρόλοι και δικαιώματα χρηστών εντός του λογαριασμού·
• λογικός διαχωρισμός των δεδομένων κάθε πελάτη·
• πρόσβαση του Εκτελούντος την Επεξεργασία στα δεδομένα παραγωγής μόνο στον βαθμό που είναι αναγκαίο (υποστήριξη, αντιμετώπιση προβλημάτων), με προστασία μέσω ισχυρής ταυτοποίησης·
• τακτικά αντίγραφα ασφαλείας στον πάροχο της βάσης δεδομένων με δυνατότητα επαναφοράς·
• συνεχής ενημέρωση του λογισμικού και των εξαρτήσεων, διαχείριση μυστικών κλειδιών εκτός του πηγαίου κώδικα·
• αρχεία καταγραφής λειτουργιών και συμβάντων ασφαλείας·
• ελαχιστοποίηση δεδομένων — δεν αποστέλλονται δεδομένα προσωπικού χαρακτήρα πελατών σε εργαλεία αναλυτικών στοιχείων·
• διαδικασία αντιμετώπισης περιστατικών ασφαλείας.

8. Παραβιάσεις δεδομένων προσωπικού χαρακτήρα

Ο Εκτελών την Επεξεργασία γνωστοποιεί στον Υπεύθυνο Επεξεργασίας κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 48 ωρών αφότου λάβει γνώση αυτής. Η γνωστοποίηση περιέχει τις πληροφορίες του άρθ. 33(3) GDPR που διαθέτει ο Εκτελών την Επεξεργασία και συμπληρώνεται καθώς καθίστανται διαθέσιμες περαιτέρω πληροφορίες. Ο Εκτελών την Επεξεργασία λαμβάνει εύλογα μέτρα για τον μετριασμό των συνεπειών.

9. Αιτήματα υποκειμένων των δεδομένων

Εάν ο Εκτελών την Επεξεργασία λάβει αίτημα υποκειμένου των δεδομένων σχετικά με τα δεδομένα του Υπευθύνου Επεξεργασίας, το διαβιβάζει στον Υπεύθυνο Επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση και δεν απαντά ο ίδιος σε αυτό, εκτός αν έχει εξουσιοδοτηθεί από τον Υπεύθυνο Επεξεργασίας.

10. Διαγραφή και επιστροφή δεδομένων

Κατά τη διάρκεια της Συνδρομής, ο Υπεύθυνος Επεξεργασίας μπορεί να εξάγει και να διαγράφει δεδομένα ανά πάσα στιγμή. Μετά τη λήξη της Συνδρομής, ο Εκτελών την Επεξεργασία διατηρεί τα δεδομένα για 90 ημέρες, κατά τις οποίες ο Υπεύθυνος Επεξεργασίας μπορεί να τα ζητήσει σε μηχαναγνώσιμο μορφότυπο. Στη συνέχεια ο Εκτελών την Επεξεργασία διαγράφει οριστικά τα δεδομένα· τα αντίγραφα στα αντίγραφα ασφαλείας λήγουν μέσω της εναλλαγής των αντιγράφων ασφαλείας το αργότερο εντός 30 επιπλέον ημερών. Τα ανωτέρω δεν ισχύουν όταν η διατήρηση επιβάλλεται από τον νόμο.

11. Πληροφορίες και έλεγχοι

Κατόπιν αιτήματος, ο Εκτελών την Επεξεργασία παρέχει στον Υπεύθυνο Επεξεργασίας τις πληροφορίες που είναι αναγκαίες για την απόδειξη της συμμόρφωσης με το άρθ. 28 GDPR, κατά κανόνα με τη μορφή γραπτών απαντήσεων και τεκμηρίωσης. Ο Υπεύθυνος Επεξεργασίας ή ελεγκτής εντεταλμένος από αυτόν και δεσμευμένος με υποχρέωση εμπιστευτικότητας μπορεί να διενεργήσει έλεγχο ή επιτόπια επιθεώρηση με προηγούμενη ειδοποίηση τουλάχιστον 30 ημερών, το πολύ μία φορά ετησίως (εκτός από τη διερεύνηση παραβίασης δεδομένων προσωπικού χαρακτήρα ή κατόπιν αιτήματος εποπτικής αρχής), με έξοδα του Υπευθύνου Επεξεργασίας.

12. Ευθύνη και τελικές διατάξεις

Η ευθύνη των μερών διέπεται από το άρθ. 82 GDPR και κατά τα λοιπά από τους Όρους Παροχής Υπηρεσιών. Η παρούσα DPA παραμένει σε ισχύ για όσο χρόνο ο Εκτελών την Επεξεργασία επεξεργάζεται δεδομένα του Υπευθύνου Επεξεργασίας. Διέπεται από το δίκαιο της Τσεχικής Δημοκρατίας.

Επικοινωνία για θέματα προστασίας δεδομένων: info@frame-webs.com.