Σύμβαση Επεξεργασίας Δεδομένων

Συμβαλλόμενα μέρη

Υπεύθυνος επεξεργασίας ("Πελάτης")

Εκτελών την επεξεργασία ("Alvoru")

Εφεξής από κοινού: "Συμβαλλόμενα μέρη".

Λαμβάνοντας υπόψη ότι

• τα Μέρη έχουν συνάψει μια κύρια σύμβαση στην οποία η Alvoru ως Εκτελών την επεξεργασία επεξεργάζεται προσωπικά δεδομένα εξ ονόματος του Πελάτη (εφεξής: η "Κύρια Σύμβαση");
• βάσει του άρθρου 28 παρ. 3 GDPR απαιτείται γραπτή σύμβαση επεξεργασίας δεδομένων στην οποία καθορίζονται συμφωνίες σχετικά με τον τρόπο με τον οποίο ο Εκτελών την επεξεργασία επεξεργάζεται προσωπικά δεδομένα·
• η παρούσα σύμβαση επεξεργασίας δεδομένων (εφεξής: "DPA") αποτελεί αναπόσπαστο μέρος της Κύριας Σύμβασης.

Άρθρο 1 — Ορισμοί

Οι όροι που γράφονται με κεφαλαίο γράμμα στην παρούσα DPA έχουν την έννοια που τους αποδίδεται στο GDPR, συμπληρωμένη με τους ορισμούς στους Γενικούς Όρους της Alvoru.

Άρθρο 2 — Αντικείμενο και διάρκεια

2.1 Η παρούσα DPA ρυθμίζει την επεξεργασία προσωπικών δεδομένων από την Alvoru κατ' εντολή του Πελάτη στο πλαίσιο της Κύριας Σύμβασης.

2.2 Η παρούσα DPA τίθεται σε ισχύ την ημερομηνία έναρξης της Κύριας Σύμβασης και λήγει αυτοδικαίως με τη λύση της Κύριας Σύμβασης, με την επιφύλαξη των διατάξεων που εκ φύσεως προορίζονται να παραμείνουν σε ισχύ.

Άρθρο 3 — Φύση και σκοπός της επεξεργασίας

3.1 Η φύση και ο σκοπός της επεξεργασίας συνίστανται στην παροχή της Υπηρεσίας που περιγράφεται στην Κύρια Σύμβαση (AI-εξυπηρέτηση πελατών, συμπεριλαμβανομένων chatbot, e-mail και ημερολογίου).

3.2 Η Alvoru επεξεργάζεται προσωπικά δεδομένα αποκλειστικά κατόπιν τεκμηριωμένης εντολής του Πελάτη, με την επιφύλαξη διαφορετικών νομικών υποχρεώσεων (άρθρο 28 παρ. 3 στοιχείο α GDPR). Στην τελευταία αυτή περίπτωση, η Alvoru ενημερώνει τον Πελάτη πριν από την επεξεργασία, εκτός εάν ο νόμος αυτός το απαγορεύει για σοβαρούς λόγους.

Άρθρο 4 — Είδος προσωπικών δεδομένων και κατηγορίες υποκειμένων

Ειδικές κατηγορίες προσωπικών δεδομένων (άρθρο 9 GDPR) και δεδομένα ποινικού χαρακτήρα (άρθρο 10 GDPR) δεν υποβάλλονται σε επεξεργασία, εκτός εάν συμφωνηθεί γραπτώς επιπροσθέτως.

Άρθρο 5 — Υποχρεώσεις του Εκτελούντος την επεξεργασία

5.1 Η Alvoru επεξεργάζεται προσωπικά δεδομένα αποκλειστικά για τους σκοπούς που καθορίζονται στην Κύρια Σύμβαση και στην παρούσα DPA και κατόπιν γραπτής εντολής του Πελάτη.

5.2 Η Alvoru διασφαλίζει ότι τα πρόσωπα που επεξεργάζονται προσωπικά δεδομένα δεσμεύονται από υποχρέωση εμπιστευτικότητας, είτε εκ του νόμου είτε εκ συμβάσεως.

5.3 Η Alvoru παρέχει στον Πελάτη, λαμβάνοντας υπόψη τη φύση της επεξεργασίας, εύλογη συνδρομή για την ικανοποίηση αιτημάτων των υποκειμένων των δεδομένων για την άσκηση των δικαιωμάτων τους βάσει του GDPR.

5.4 Η Alvoru θέτει στη διάθεση του Πελάτη όλες τις πληροφορίες που είναι απαραίτητες για την απόδειξη της συμμόρφωσης με το άρθρο 28 GDPR.

5.5 Απαγόρευση εκπαίδευσης AI. Η Alvoru δεν θα χρησιμοποιήσει ποτέ τα προσωπικά δεδομένα που επεξεργάζεται εξ ονόματος του Υπευθύνου επεξεργασίας για την εκπαίδευση, το fine-tuning ή την κατ' άλλο τρόπο βελτίωση AI-μοντέλων, ούτε για την ανάπτυξη δικών της ή τρίτων AI-εφαρμογών.

Άρθρο 6 — Μέτρα ασφαλείας (άρθρο 32 GDPR)

Η Alvoru λαμβάνει κατάλληλα τεχνικά και οργανωτικά μέτρα για τη διασφάλιση ενός επιπέδου ασφαλείας προσαρμοσμένου στον κίνδυνο, μεταξύ των οποίων:

• Κρυπτογράφηση κατά τη μεταφορά (TLS 1.2+) και, όπου εφαρμόζεται, κρυπτογράφηση σε ηρεμία·
• Έλεγχος πρόσβασης βάσει least privilege· έλεγχος ταυτότητας δύο παραγόντων για τους διαχειριστές·
• Firewalls, fail2ban και παρακολούθηση εισβολών·
• Καθημερινά κρυπτογραφημένα backups με μέγιστη περίοδο διατήρησης 90 ημερών·
• Περιοριστικά δικαιώματα αρχείων (600) σε αρχεία διαμόρφωσης και δεδομένων·
• Καταγραφή και παρακολούθηση της πρόσβασης στα συστήματα παραγωγής·
• Περιοδική αξιολόγηση και επικαιροποίηση των μέτρων ασφαλείας.

Άρθρο 7 — Υπο-εκτελούντες την επεξεργασία

7.1 Ο Πελάτης παρέχει στην Alvoru γενική γραπτή συγκατάθεση για τη χρήση υπο-εκτελούντων την επεξεργασία, υπό την προϋπόθεση ότι η Alvoru συμμορφώνεται με τις υπόλοιπες διατάξεις του παρόντος άρθρου.

7.2 Οι υπο-εκτελούντες την επεξεργασία που χρησιμοποιούνται επί του παρόντος είναι:

7.3 Η Alvoru επιβάλλει στους υπεργολάβους επεξεργασίας τις ίδιες υποχρεώσεις προστασίας δεδομένων που περιλαμβάνονται στην παρούσα DPA (άρθρο 28 παρ. 4 GDPR).

7.4 Η Alvoru ενημερώνει τον Εντολέα τουλάχιστον 14 ημέρες εκ των προτέρων για την αντικατάσταση ή προσθήκη υπεργολάβων επεξεργασίας. Ο Εντολέας μπορεί εντός αυτής της προθεσμίας να υποβάλει αιτιολογημένη αντίρρηση. Σε περίπτωση βάσιμης αντίρρησης, ο Εντολέας έχει το δικαίωμα να καταγγείλει τη Βασική Σύμβαση χωρίς κόστος.

Άρθρο 8 — Διαβίβαση εκτός του ΕΟΧ

Η διαβίβαση δεδομένων προσωπικού χαρακτήρα σε χώρα εκτός του Ευρωπαϊκού Οικονομικού Χώρου πραγματοποιείται αποκλειστικά βάσει απόφασης επάρκειας (άρθρο 45 GDPR), δεσμευτικών εταιρικών κανόνων, Τυποποιημένων Συμβατικών Ρητρών της ΕΕ (άρθρο 46 παρ. 2 στοιχ. γ GDPR) ή άλλης εγγύησης που προβλέπεται στον GDPR, συμπληρωμένη με πρόσθετα τεχνικά και οργανωτικά μέτρα όπου απαιτείται.

Άρθρο 9 — Δικαιώματα των υποκειμένων των δεδομένων

9.1 Η Alvoru παρέχει στον Εντολέα κατάλληλη υποστήριξη κατά τη διεκπεραίωση αιτημάτων των υποκειμένων των δεδομένων (πρόσβαση, διόρθωση, διαγραφή, περιορισμός, φορητότητα, εναντίωση) μέσω τεχνικών λειτουργιών στην πύλη πελατών και, όπου είναι απαραίτητο, με πρόσθετη συνδρομή.

9.2 Η Alvoru διαβιβάζει χωρίς καθυστέρηση στον Εντολέα τα αιτήματα υποκειμένων των δεδομένων που περιέρχονται απευθείας στην Alvoru.

Άρθρο 10 — Παραβιάσεις δεδομένων

10.1 Η Alvoru ενημερώνει τον Εντολέα χωρίς καθυστέρηση και το αργότερο εντός 48 ωρών μετά τη διαπίστωση παραβίασης σε σχέση με δεδομένα προσωπικού χαρακτήρα (άρθρο 33 παρ. 2 GDPR), ώστε ο Εντολέας να μπορεί να εκπληρώσει έγκαιρα την υποχρέωση γνωστοποίησης εντός 72 ωρών προς την Autoriteit Persoonsgegevens.

10.2 Η γνωστοποίηση περιλαμβάνει σε κάθε περίπτωση: τη φύση της παραβίασης, τις κατηγορίες και τον αριθμό των υποκειμένων, τις κατηγορίες και τον αριθμό των εγγραφών που αφορά, τις πιθανές συνέπειες και τα ληφθέντα ή προτεινόμενα μέτρα.

10.3 Η Alvoru παρέχει στον Εντολέα κατάλληλη συνδρομή κατά τη γνωστοποίηση προς την Autoriteit Persoonsgegevens και, όπου είναι σχετικό, προς τα υποκείμενα των δεδομένων.

Άρθρο 11 — Έλεγχος

11.1 Ο Εντολέας μπορεί μία φορά ανά ημερολογιακό έτος, κατόπιν προηγούμενης γραπτής ειδοποίησης τουλάχιστον 30 ημερών, με δικά του έξοδα να διενεργήσει (ή να αναθέσει) έλεγχο ως προς τη συμμόρφωση της Alvoru με την παρούσα DPA.

11.2 Ο έλεγχος διενεργείται από ανεξάρτητο ελεγκτή δεσμευόμενο από εχεμύθεια, κατά τις ώρες γραφείου και με τρόπο που δεν διαταράσσει την κανονική λειτουργία της Alvoru.

11.3 Η Alvoru μπορεί, αντί επιτόπιου ελέγχου, να αρκεστεί σε επικαιροποιημένη έκθεση ανεξάρτητου τρίτου (για παράδειγμα ISO 27001 ή SOC 2), εφόσον η έκθεση αυτή παρέχει εύλογα επαρκή διασφάλιση.

Άρθρο 12 — Καταγγελία και διαγραφή δεδομένων

12.1 Μετά την καταγγελία της Βασικής Σύμβασης, η Alvoru, κατ' επιλογή του Εντολέα και κατόπιν πρώτου γραπτού αιτήματος, θα διαγράψει ή θα επιστρέψει όλα τα δεδομένα προσωπικού χαρακτήρα στον Εντολέα, σύμφωνα με το άρθρο 28 παρ. 3 στοιχ. ζ GDPR.

12.2 Ένα τέτοιο αίτημα μπορεί να υποβληθεί εντός 60 ημερών από την καταγγελία. Ελλείψει αυτού, τα δεδομένα διαγράφονται αυτόματα μετά από 60 ημέρες.

12.3 Τα offline αντίγραφα ασφαλείας διαγράφονται σύμφωνα με το τακτικό σχήμα εναλλαγής το αργότερο 90 ημέρες μετά την καταγγελία.

12.4 Τα δεδομένα που η Alvoru οφείλει να διατηρεί βάσει νόμου διατηρούνται για τη νόμιμα προβλεπόμενη περίοδο.

Άρθρο 13 — Ευθύνη

13.1 Η ευθύνη της Alvoru βάσει της παρούσας DPA περιλαμβάνεται και περιορίζεται από τις διατάξεις περί ευθύνης των Γενικών Όρων που συνοδεύουν τη Βασική Σύμβαση.

13.2 Οι αναγκαστικού δικαίου διατάξεις του GDPR παραμένουν ανεπηρέαστες.

Άρθρο 13α — Αρχείο δραστηριοτήτων επεξεργασίας

Η Alvoru τηρεί αρχείο δραστηριοτήτων επεξεργασίας σύμφωνα με το άρθρο 30 GDPR. Το αρχείο αυτό περιλαμβάνει σε κάθε περίπτωση: την επωνυμία και τα στοιχεία επικοινωνίας της Alvoru ως εκτελούντος την επεξεργασία, τις κατηγορίες επεξεργασιών που εκτελούνται για λογαριασμό των Υπευθύνων Επεξεργασίας, τις διαβιβάσεις σε τρίτες χώρες και τις εφαρμοζόμενες εγγυήσεις, καθώς και μια γενική περιγραφή των τεχνικών και οργανωτικών μέτρων ασφαλείας. Το αρχείο είναι διαθέσιμο κατόπιν αιτήματος στην Autoriteit Persoonsgegevens.

Άρθρο 14 — Εφαρμοστέο δίκαιο και διαφορές

Στην παρούσα DPA εφαρμόζεται το ολλανδικό δίκαιο. Οι διαφορές υποβάλλονται στο δικαστήριο Overijssel, τοποθεσία Almelo.

Υπογραφή

Στείλε την υπογεγραμμένη έκδοση (σαρωμένη ή ψηφιακά υπογεγραμμένη) στο info@alvoru.com. Η Alvoru επιστρέφει ένα συνυπογεγραμμένο αντίγραφο.