Συμφωνία επεξεργασίας δεδομένων

Η παρούσα συμφωνία συνάπτεται μεταξύ του επαγγελματία πελάτη που προσδιορίζεται στην αποδοχή/παραγγελία ως υπευθύνου επεξεργασίας («Πελάτης») και του φορέα IDee —, διεύθυνση —, επικοινωνία —, ως εκτελούντος («IDee»). Αφορά μόνο τις πράξεις του Παραρτήματος Α που εκτελούνται κατ’ εντολή του Πελάτη.

Η αποδοχή από εξουσιοδοτημένο εκπρόσωπο καταγράφεται σε ανακτήσιμη μορφή με την έκδοση και τα παραρτήματα. Το DPA υπερισχύει αντίθετου γενικού όρου ως προς την επεξεργασία αυτή. Δεν αποτελεί αυτοτελή νόμιμη βάση του Πελάτη έναντι των υποκειμένων και δεν υποκαθιστά μηχανισμό διεθνούς διαβίβασης.

Αντικείμενο είναι η παροχή των συμφωνημένων λειτουργιών αποθήκευσης, οργάνωσης, ανάκτησης και ελεγχόμενης κοινοποίησης εταιρικών αρχείων. Η επεξεργασία διαρκεί όσο παρέχονται οι υπηρεσίες και όσο απαιτείται η συμφωνημένη επιστροφή ή διαγραφή.

Ο Πελάτης καθορίζει νόμιμους σκοπούς, βάσεις και οδηγίες, παρέχει τις απαιτούμενες ενημερώσεις και ασκεί τα δικαιώματά του για πρόσβαση σε πληροφορίες συμμόρφωσης, έλεγχο και επιλογή επιστροφής ή διαγραφής. Ελέγχει τους δικούς του χρήστες και περιορίζει τα δεδομένα στο αναγκαίο. Το IDee εξακολουθεί να φέρει τις αυτοτελείς υποχρεώσεις του ως εκτελών.

Το IDee επεξεργάζεται δεδομένα μόνο βάσει τεκμηριωμένων οδηγιών του Πελάτη, περιλαμβανομένων οδηγιών για διαβιβάσεις. Οδηγίες περιλαμβάνονται στη σύμβαση, στις συμφωνημένες ρυθμίσεις και στις εξουσιοδοτημένες εντολές χρήσης.

Αν ενωσιακό δίκαιο ή δίκαιο κράτους μέλους στο οποίο υπόκειται το IDee απαιτεί διαφορετική επεξεργασία, ενημερώνουμε πριν από αυτήν, εκτός αν ο νόμος απαγορεύει την ενημέρωση. Αν θεωρούμε ότι οδηγία παραβιάζει το δίκαιο προστασίας δεδομένων, ενημερώνουμε αμέσως και αναστέλλουμε την επίμαχη πράξη μέχρι να επιλυθεί το ζήτημα, χωρίς αυθαίρετη διακοπή άσχετων ασφαλών λειτουργιών.

Δεν χρησιμοποιούμε τα δεδομένα για ανεξάρτητο marketing, εμπορία ή εκπαίδευση γενικού μοντέλου. Αν προσδιορίσουμε αυτοτελώς άλλους σκοπούς κατά παράβαση της εντολής, οι συνέπειες κρίνονται από τον GDPR· δεν καλυπτόμαστε απλώς με την ιδιότητα εκτελούντος.

Πρόσβαση παρέχεται μόνο σε εξουσιοδοτημένα πρόσωπα που δεσμεύονται από εμπιστευτικότητα και έχουν ανάγκη πρόσβασης. Εφαρμόζονται τα συγκεκριμένα τεχνικά και οργανωτικά μέτρα του Παραρτήματος Β, ανάλογα με τον κίνδυνο, περιλαμβανομένης διαχείρισης πρόσβασης, διαχωρισμού πελατών, αποκατάστασης και αξιολόγησης αποτελεσματικότητας.

Τα μέτρα μπορούν να βελτιώνονται χωρίς υποβάθμιση της συμφωνημένης προστασίας. Δεν υπόσχονται απόλυτη ασφάλεια και δεν περιορίζουν υποχρεώσεις του άρθρου 32 GDPR. Δεν εισάγεται μη επαληθευμένη πιστοποίηση ή αλγόριθμος.

Ο Πελάτης παρέχει γενική έγγραφη εξουσιοδότηση μόνο για τους άλλους εκτελούντες του πραγματικού Παραρτήματος Γ. Το IDee ενημερώνει τουλάχιστον 30 ημέρες πριν από προγραμματισμένη προσθήκη ή αντικατάσταση, με τα αναγκαία στοιχεία ρόλου, τόπου και εγγυήσεων.

Ο Πελάτης μπορεί εντός της περιόδου να αντιταχθεί για τεκμηριωμένους λόγους προστασίας δεδομένων. Τα μέρη επιδιώκουν κατάλληλη λύση πριν από την επίμαχη επεξεργασία. Αν δεν είναι εφικτή, προβλέπεται ασφαλής παύση της επηρεαζόμενης λειτουργίας, επιστροφή/διαγραφή και τα αντίστοιχα συμβατικά δικαιώματα, χωρίς υποχρέωση αποδοχής μη νόμιμης επεξεργασίας.

Το IDee επιβάλλει εγγράφως ουσιαστικά ισοδύναμες υποχρεώσεις και παραμένει πλήρως υπεύθυνο έναντι του Πελάτη για την εκπλήρωσή τους από τον άλλο εκτελούντα, όπως απαιτεί το άρθρο 28 GDPR. Ένας κόμβος blockchain δεν θεωρείται εκτελών με σύμβαση μόνο επειδή συμμετέχει σε δίκτυο.

Το IDee συνδράμει με κατάλληλα μέτρα στην εκπλήρωση αιτημάτων δικαιωμάτων, λαμβάνοντας υπόψη τη φύση της επεξεργασίας. Αίτημα που αφορά δεδομένα του Πελάτη προωθείται χωρίς αδικαιολόγητη καθυστέρηση και δεν απαντάται αντίθετα στις νόμιμες οδηγίες, εκτός αυτοτελούς υποχρέωσης.

Συνδράμουμε σε ασφάλεια, εκτίμηση αντικτύπου, προηγούμενη διαβούλευση και συνεργασία με την αρμόδια αρχή, με βάση τις διαθέσιμες πληροφορίες. Ο Πελάτης παραμένει υπεύθυνος για τη δική του εκτίμηση και λήψη αποφάσεων.

Το IDee ενημερώνει τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση αφού λάβει γνώση παραβίασης δεδομένων που αφορά την εντολή. Παρέχει τις διαθέσιμες πληροφορίες για τη φύση, τις κατηγορίες και κατά προσέγγιση ποσότητες δεδομένων/προσώπων, τις πιθανές συνέπειες, τα μέτρα και το σημείο επικοινωνίας. Ελλείπουσες πληροφορίες δίνονται σταδιακά χωρίς αδικαιολόγητη καθυστέρηση.

Λαμβάνουμε μέτρα περιορισμού, διερεύνησης και αποκατάστασης και συνεργαζόμαστε στις νόμιμες γνωστοποιήσεις. Η προθεσμία γνωστοποίησης του υπευθύνου στην αρχή δεν αποτελεί επιτρεπόμενο χρόνο αναμονής του εκτελούντος. Η ειδοποίηση δεν υποκαθιστά τις αυτοτελείς υποχρεώσεις κάθε μέρους.

Διαβίβαση εκτός ΕΟΧ πραγματοποιείται μόνο σύμφωνα με τις τεκμηριωμένες οδηγίες και τον GDPR, με τον πραγματικό μηχανισμό του Παραρτήματος Γ. Όπου απαιτούνται συμβατικές ρήτρες, αξιολογήσεις και πρόσθετα μέτρα, ολοκληρώνονται πριν από την επίμαχη διαβίβαση. Η παρούσα συμφωνία δεν χαρακτηρίζει αυτομάτως κάθε χώρα ή πρόσβαση ως επαρκώς προστατευμένη.

Με τη λήξη της υπηρεσίας και κατ’ επιλογή του Πελάτη, επιστρέφουμε ή διαγράφουμε τα προσωπικά δεδομένα και διαγράφουμε αντίγραφα, εκτός εάν συγκεκριμένο ενωσιακό δίκαιο ή δίκαιο κράτους μέλους στο οποίο υπόκειται το IDee απαιτεί διατήρηση. Η επιστροφή γίνεται σε συμφωνημένη χρηστική και ασφαλή μορφή. Παρέχουμε διαθέσιμη τεκμηρίωση ολοκλήρωσης.

Τα αντίγραφα ασφαλείας υπάγονται στον πραγματικό κύκλο του Παραρτήματος Β, με περιορισμένη πρόσβαση και επανεφαρμογή διαγραφών σε επαναφορά. Καμία γενική αναφορά σε backups ή blockchain δεν επιτρέπει απεριόριστη διατήρηση. Η υποχρέωση εμπιστευτικότητας συνεχίζεται για όσο νόμιμα τηρούνται στοιχεία.

Παρέχουμε τις πληροφορίες που απαιτούνται για απόδειξη των υποχρεώσεων του άρθρου 28 και επιτρέπουμε/συνδράμουμε σε ελέγχους, περιλαμβανομένων επιθεωρήσεων από τον Πελάτη ή εξουσιοδοτημένο ελεγκτή. Συμφωνούνται εύλογοι πρακτικοί όροι εμπιστευτικότητας και ασφάλειας, χωρίς να εμποδίζεται αποτελεσματικός έλεγχος ή αρμοδιότητα αρχής.

Η προστασία άλλων πελατών μπορεί να απαιτεί ελεγχόμενη πρόσβαση ή απόκρυψη άσχετων στοιχείων, όχι άρνηση ουσιαστικής τεκμηρίωσης. Δεν επιβάλλεται γενικό ανώτατο όριο ευθύνης που ακυρώνει δικαιώματα υποκειμένων ή υποχρεώσεις που δεν περιορίζονται νόμιμα.

Υπεύθυνος επεξεργασίας / εξουσιοδοτημένος εκπρόσωπος: στοιχεία πραγματικής αποδοχής πελάτη.
Εκτελών: —
Αντικείμενο και σκοπός: εταιρικά Passports, παραστατικά και ιστορικό που ο Πελάτης επιλέγει να οργανώσει.
Φύση: συλλογή μέσω εξουσιοδοτημένης εισαγωγής, καταχώριση, αποθήκευση, ανάκτηση, ελεγχόμενη κοινοποίηση, εξαγωγή και διαγραφή.
Υποκείμενα: πελάτες, εκπρόσωποι, εργαζόμενοι, συνεργάτες και πρόσωπα που νόμιμα εμφανίζονται στα επιλεγμένα αρχεία.
Δεδομένα: στοιχεία επικοινωνίας/ρόλου, στοιχεία αντικειμένων, συναλλαγών και συντήρησης, επιλεγμένα έγγραφα και αναγκαία μεταδεδομένα πρόσβασης.
Ειδικές κατηγορίες/ποινικά δεδομένα: δεν περιλαμβάνονται χωρίς χωριστή ρητή και νόμιμη συμφωνία.
Διάρκεια: παροχή της συμφωνημένης υπηρεσίας και απαιτούμενη επιστροφή/διαγραφή.
Πρόσθετες επιλεγμένες λειτουργίες και ειδικές οδηγίες: —
Τόποι επεξεργασίας: —
Επικοινωνία Πελάτη για συμβάντα/οδηγίες: —

Τα μέρη συμφωνούν τις παρακάτω κατηγορίες μέτρων, με πραγματική τεχνική αποτύπωση πριν από την έναρξη της αντίστοιχης επεξεργασίας:

• Έλεγχος χρήστη, tenant και ρόλου σε κάθε πρόσβαση.
• Περιορισμένα διαχειριστικά προνόμια και προστασία μυστικών.
• Ιδιωτική αποθήκευση, ελεγχόμενες κοινοποιήσεις και ασφαλής μετάδοση.
• Διαχείριση ενημερώσεων, ευπαθειών και κακόβουλων αρχείων.
• Αναγκαία αρχεία ελέγχου χωρίς περιττό περιεχόμενο.
• Αντίγραφα ασφαλείας, επαναφορά, παρακολούθηση και διαδικασία περιστατικών.
• Διαδικασίες εξαγωγής, διαγραφής και ελέγχου αποτελεσματικότητας.

Πραγματική υλοποίηση/πεδίο κάλυψης: —
Κρυπτογράφηση και διαχείριση κλειδιών: —
Κύκλος backup και διαγραφής: —
Σημείο επικοινωνίας ασφάλειας: —

Για κάθε πραγματικό πάροχο συμπληρώνονται: πλήρης επωνυμία, υπηρεσία, δεδομένα, χώρες αποθήκευσης/πρόσβασης, ρόλος, ημερομηνία ένταξης και συγκεκριμένος μηχανισμός διαβίβασης. Ο συμφωνημένος κατάλογος τηρείται στη σελίδα Πάροχοι και συνοδεύει την αποδοχή του DPA. Τα κενά παραρτήματα παραμένουν σχέδιο και δεν παρουσιάζονται ως ολοκληρωμένη σύμβαση.