Σύμβαση Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα

Ημερομηνία έναρξης ισχύος: 17 Σεπτεμβρίου 2026

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα («Σύμβαση Επεξεργασίας» ή «ΣΕΔ») καταρτίζεται σύμφωνα με το άρθρο 28 παράγραφος 3 του Κανονισμού (ΕΕ) 2016/679 («ΓΚΠΔ»), μεταξύ:

αφενός της επιχείρησης που αποκτά πρόσβαση και χρησιμοποιεί την πλατφόρμα CostIQ, της οποίας τα πλήρη στοιχεία, ήτοι επωνυμία, έδρα, Αριθμός Φορολογικού Μητρώου, αριθμός Γ.Ε.ΜΗ. και νόμιμος εκπρόσωπος, αναγράφονται στο Άρθρο 1 του Συμφωνητικού Παροχής Υπηρεσιών που υπογράφεται μεταξύ των Μερών και, όπου η υπηρεσία παρέχεται σε Όμιλο κατά την παράγραφο 3.5 της παρούσας, και στο Άρθρο 4 αυτού, όπου κατονομάζεται κάθε νομική οντότητα που ενεργεί ως αυτοτελής υπεύθυνος επεξεργασίας ή, όπου δεν έχει υπογραφεί Συμφωνητικό, στα στοιχεία του λογαριασμού της εντός της πλατφόρμας, η οποία ενεργεί ως Υπεύθυνος Επεξεργασίας («Υπεύθυνος» ή «Πελάτης»), και

αφετέρου της εταιρείας με την επωνυμία «CostIQ ΜΟΝΟΠΡΟΣΩΠΗ ΙΔΙΩΤΙΚΗ ΚΕΦΑΛΑΙΟΥΧΙΚΗ ΕΤΑΙΡΕΙΑ» και τον διακριτικό τίτλο «CostIQ», με έδρα επί της οδού Κωνσταντίνου Ελυμιώτη αριθμός 6, Καλύβια Θορικού, Ανατολική Αττική, Τ.Κ. 19010, με αριθμό Γ.Ε.ΜΗ. 195821101000 (EUID: ELGEMI.195821101000) και Αριθμό Φορολογικού Μητρώου 803386030, η οποία ενεργεί ως Εκτελών την Επεξεργασία («Εκτελών» ή «Πάροχος»).

Ο Υπεύθυνος και ο Εκτελών αναφέρονται από κοινού ως τα «Μέρη» και έκαστο ως «Μέρος».

ΠΡΟΟΙΜΙΟ

Α. Ο Εκτελών παρέχει στον Υπεύθυνο συνδρομητική υπηρεσία λογισμικού διαχειριστικής πληροφόρησης και ελέγχου κόστους, υπό τους Όρους και Προϋποθέσεις Χρήσης («Όροι»).

Β. Κατά την παροχή της υπηρεσίας, ο Εκτελών επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό και κατ' εντολή του Υπευθύνου, ιδίως δεδομένα εργαζομένων και συνεργατών του Υπευθύνου, καθώς και στοιχεία φυσικών προσώπων που απασχολούνται σε προμηθευτές του.

Γ. Το άρθρο 28 παράγραφος 3 ΓΚΠΔ επιβάλλει τη σύναψη γραπτής σύμβασης που να δεσμεύει τον Εκτελούντα έναντι του Υπευθύνου και να καθορίζει το αντικείμενο, τη διάρκεια, τη φύση και τον σκοπό της επεξεργασίας, το είδος των δεδομένων, τις κατηγορίες των υποκειμένων και τις υποχρεώσεις και τα δικαιώματα του Υπευθύνου.

Δ. Η παρούσα Σύμβαση Επεξεργασίας αποτελεί αυτοτελές κείμενο. Η Πολιτική Απορρήτου του Παρόχου δεν την υποκαθιστά.

ΣΥΜΦΩΝΟΥΝΤΑΙ ΤΑ ΑΚΟΛΟΥΘΑ

Άρθρο 1 — Ορισμοί και Ερμηνεία

1.1 Οι όροι «δεδομένα προσωπικού χαρακτήρα», «επεξεργασία», «υπεύθυνος επεξεργασίας», «εκτελών την επεξεργασία», «υποκείμενο των δεδομένων», «παραβίαση δεδομένων προσωπικού χαρακτήρα», «ειδικές κατηγορίες δεδομένων», «εποπτική αρχή» και «ψευδωνυμοποίηση» έχουν την έννοια που τους αποδίδει το άρθρο 4 ΓΚΠΔ.

1.2 «Δεδομένα Υπευθύνου» σημαίνει τα δεδομένα προσωπικού χαρακτήρα που ο Εκτελών επεξεργάζεται για λογαριασμό του Υπευθύνου στο πλαίσιο της υπηρεσίας, όπως εξειδικεύονται στο Παράρτημα Ι.

1.3 «Υπο-εκτελών» σημαίνει κάθε τρίτο πρόσωπο στο οποίο ο Εκτελών αναθέτει, κατά το άρθρο 28 παράγραφος 4 ΓΚΠΔ, την εκτέλεση συγκεκριμένων δραστηριοτήτων επεξεργασίας για λογαριασμό του Υπευθύνου. Ο κατάλογος περιλαμβάνεται στο Παράρτημα ΙΙ.

1.4 «ΤΟΜ» σημαίνει τα τεχνικά και οργανωτικά μέτρα του άρθρου 32 ΓΚΠΔ, όπως περιγράφονται στο Παράρτημα ΙΙΙ.

1.5 «Τυποποιημένες Ρήτρες Διαβίβασης» σημαίνει τις τυποποιημένες συμβατικές ρήτρες της Εκτελεστικής Απόφασης (ΕΕ) 2021/914 της Επιτροπής, για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες.

1.6 «Εφαρμοστέο Δίκαιο Προστασίας Δεδομένων» σημαίνει τον ΓΚΠΔ, τον ν. 4624/2019, καθώς και κάθε άλλη ενωσιακή ή εθνική διάταξη περί προστασίας δεδομένων προσωπικού χαρακτήρα που δεσμεύει τα Μέρη, όπως εκάστοτε ισχύουν.

1.7 Όροι που ορίζονται στους Όρους και δεν ορίζονται διαφορετικά εδώ, διατηρούν την εκεί έννοιά τους. Τα Παραρτήματα Ι έως IV αποτελούν αναπόσπαστο μέρος της παρούσας.

Άρθρο 2 — Κατάρτιση, Ένταξη και Ιεράρχηση

2.1 Η παρούσα Σύμβαση Επεξεργασίας καταρτίζεται με όποιον από τους δύο ακόλουθους τρόπους επέλθει πρώτος: (α) με την υπογραφή του Συμφωνητικού Παροχής Υπηρεσιών, το Άρθρο 5.1 του οποίου ορίζει την παρούσα ως αναπόσπαστο μέρος του και το Άρθρο 5.3 του οποίου καταγράφει την ημερομηνία ισχύος και το κρυπτογραφικό αποτύπωμα του ακριβούς κειμένου που αποδέχθηκε ο Υπεύθυνος, ή (β) με την ηλεκτρονική αποδοχή που πραγματοποιείται εντός της πλατφόρμας CostIQ. Η ηλεκτρονική αποδοχή διενεργείται μέσω ενιαίας οθόνης, η οποία καλύπτει σωρευτικά τρία αυτοτελή κείμενα: τους Όρους, την Πολιτική Απορρήτου και την παρούσα Σύμβαση Επεξεργασίας. Όπου η παρούσα καταρτίστηκε κατά το στοιχείο (α), το κείμενο που προσδιορίζεται στο Άρθρο 5.3 του Συμφωνητικού εξακολουθεί να δεσμεύει έως ότου τροποποιηθεί κατά το Άρθρο 2.6. Μεταγενέστερη εμφάνιση οθόνης αποδοχής δεν μεταβάλλει το εφαρμοστέο κείμενο παρά μόνο εφόσον έχει τηρηθεί η διαδικασία του Άρθρου 30.4 των Όρων.

2.1.1 Η παρούσα δεσμεύει τα Μέρη από τον χρόνο της κατάρτισης κατά την προηγούμενη παράγραφο. Όπου η κατάρτιση γίνεται κατά το στοιχείο (α), η παρούσα δεσμεύει ήδη από την υπογραφή, ήτοι πριν από την πρώτη είσοδο του Υπευθύνου στην πλατφόρμα. Ουδεμία εργασία παραμετροποίησης ή εισαγωγής δεδομένων του Άρθρου 5Α των Όρων αρχίζει πριν από την κατάρτιση της παρούσας, ώστε κάθε επεξεργασία κατά τις εργασίες αυτές να καλύπτεται από γραπτή σύμβαση κατά το άρθρο 28 παράγραφος 3 ΓΚΠΔ.

2.1.2 Η ταυτότητα του Υπευθύνου προκύπτει, κατά περίπτωση, από το Άρθρο 1 του Συμφωνητικού Παροχής Υπηρεσιών ή από τα στοιχεία του λογαριασμού του και την καταγραφή του Άρθρου 2.3. Ο Εκτελών τηρεί τα στοιχεία αυτά καθ' όλη τη διάρκεια της σχέσης και τα χορηγεί στον Υπεύθυνο ή σε εποπτική αρχή κατόπιν αιτήματος.

2.2 Πριν από την αποδοχή, ο χρήστης λαμβάνει: (α) σύνοψη των ουσιωδών σημείων καθενός από τα τρία κείμενα, (β) χωριστό ενεργό σύνδεσμο προς το πλήρες κείμενο καθενός, το οποίο εμφανίζεται εντός της πλατφόρμας, (γ) δυνατότητα αποθήκευσης και εκτύπωσης καθενός σε μορφή αναπαραγώγιμη σε σταθερό μέσο, και (δ) ενιαίο πλαίσιο επιλογής, μη προεπιλεγμένο, το οποίο δηλώνει ρητά ότι η αποδοχή αφορά και τα τρία κείμενα, κατονομάζοντάς τα. Το κουμπί συνέχειας παραμένει ανενεργό έως ότου το πλαίσιο επιλεγεί.

2.3 Ο Εκτελών καταγράφει και διατηρεί, για κάθε αποδοχή: το αναγνωριστικό του χρήστη, τη χρονική σήμανση, τη διεύθυνση διαδικτυακού πρωτοκόλλου, και — χωριστά για καθένα από τα τρία κείμενα — την ημερομηνία έναρξης ισχύος και τη μοναδική κρυπτογραφική αποτύπωση (hash) του ακριβούς κειμένου που εμφανίστηκε, τα δύο αυτά στοιχεία προσδιορίζουν μονοσήμαντα το κείμενο. Η καταγραφή ανά κείμενο είναι ουσιώδης, ώστε να αποδεικνύεται το ακριβές περιεχόμενο που αποδέχθηκε ο χρήστης.

2.4 Ο χρήστης που προβαίνει στην αποδοχή δηλώνει ότι διαθέτει την εξουσία να δεσμεύσει τον Υπεύθυνο. Ο Υπεύθυνος ευθύνεται για κάθε αποδοχή που πραγματοποιείται μέσω λογαριασμού που ο ίδιος δημιούργησε ή ενέκρινε.

2.5 Σε περίπτωση αντίφασης μεταξύ των συμβατικών εγγράφων ως προς ζήτημα επεξεργασίας δεδομένων προσωπικού χαρακτήρα, υπερισχύει η παρούσα Σύμβαση Επεξεργασίας. Ως προς κάθε άλλο ζήτημα ισχύει η ιεράρχηση του Άρθρου 2.5 των Όρων. Ουδεμία διάταξη της παρούσας ερμηνεύεται κατά τρόπο που περιορίζει δικαιώματα των υποκειμένων ή υποχρεώσεις που επιβάλλει αναγκαστικού δικαίου διάταξη.

2.6 Η παρούσα τροποποιείται κατά τη διαδικασία του Άρθρου 30 των Όρων. Κάθε τροποποίηση της παρούσας θεωρείται ουσιώδης μεταβολή και απαιτεί νέα αποδοχή μέσω της ενιαίας οθόνης, με ανανέωση της καταγραφής του Άρθρου 2.3, ή, όπου η παρούσα καταρτίστηκε κατά το Άρθρο 2.1 στοιχείο (α), υπογεγραμμένη τροποποιητική πράξη που ενημερώνει τον πίνακα του Άρθρου 5.3 του Συμφωνητικού.

Άρθρο 3 — Κατανομή Ρόλων και Οριοθέτηση

3.1 Ο Υπεύθυνος ενεργεί ως υπεύθυνος επεξεργασίας ως προς τα Δεδομένα Υπευθύνου. Καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας, αποφασίζει ποια δεδομένα εισάγει στην πλατφόρμα και για ποιον λόγο, και φέρει τις υποχρεώσεις που ο ΓΚΠΔ επιβάλλει στον υπεύθυνο επεξεργασίας.

3.2 Ο Εκτελών ενεργεί ως εκτελών την επεξεργασία ως προς τα Δεδομένα Υπευθύνου και τα επεξεργάζεται αποκλειστικά για λογαριασμό και κατ' εντολή του Υπευθύνου.

3.3 Ρητά διευκρινίζεται ότι ο Πάροχος δεν ενεργεί ως εκτελών, αλλά ως αυτοτελής υπεύθυνος επεξεργασίας, και επομένως εκτός του πεδίου της παρούσας, ως προς:

(α) τα δεδομένα λογαριασμού των εξουσιοδοτημένων χρηστών, στο μέτρο που τα επεξεργάζεται για τη διαχείριση της συμβατικής σχέσης, την ταυτοποίηση, την ασφάλεια και την υποστήριξη,

(β) τα στοιχεία τιμολόγησης του Πελάτη και τα παραστατικά που ο ίδιος εκδίδει, τα οποία επεξεργάζεται προς εκπλήρωση των δικών του φορολογικών υποχρεώσεων,

(γ) τα δεδομένα επισκεπτών του ιστοτόπου και υποψήφιων πελατών που δεν κατέληξαν σε σύμβαση,

(δ) τα μητρώα ενεργειών και τα αρχεία καταγραφής ασφαλείας, στο μέτρο που τα τηρεί για την ασφάλεια της υποδομής του και την απόδειξη της δικής του συμμόρφωσης.

Οι δραστηριότητες αυτές διέπονται από την Πολιτική Απορρήτου. Ο διαχωρισμός αυτός γίνεται ρητά, ώστε να αποφευχθεί ο εσφαλμένος χαρακτηρισμός του Παρόχου ως εκτελούντος για το σύνολο των επεξεργασιών.

3.4 Τα Μέρη δεν ενεργούν ως από κοινού υπεύθυνοι επεξεργασίας κατά το άρθρο 26 ΓΚΠΔ. Ο Εκτελών δεν καθορίζει τους σκοπούς της επεξεργασίας των Δεδομένων Υπευθύνου.

3.5 Όπου η υπηρεσία παρέχεται σε Όμιλο κατά το Άρθρο 13 των Όρων και τα καταστήματα ανήκουν σε διαφορετικές νομικές οντότητες, κάθε οντότητα είναι αυτοτελής υπεύθυνος επεξεργασίας ως προς τα δεδομένα των δικών της εργαζομένων. Η παρούσα συνάπτεται στην περίπτωση αυτή από τη συντονίστρια οντότητα, η οποία δηλώνει και εγγυάται ότι διαθέτει έγγραφη εξουσιοδότηση κάθε μέλους του Ομίλου προς τούτο και ότι υφίσταται μεταξύ των μελών κατάλληλη ρύθμιση για την κοινή προβολή δεδομένων. Ο Εκτελών δεν φέρει ευθύνη για την επάρκεια των μεταξύ των μελών του Ομίλου συμφωνιών.

Άρθρο 4 — Αντικείμενο, Διάρκεια, Φύση και Σκοπός της Επεξεργασίας

4.1 Το αντικείμενο της επεξεργασίας είναι η παροχή της συνδρομητικής υπηρεσίας λογισμικού CostIQ, όπως περιγράφεται στους Όρους.

4.2 Η διάρκεια της επεξεργασίας συμπίπτει με τη διάρκεια της σύμβασης παροχής της υπηρεσίας, παρατεινόμενη κατά το διάστημα που απαιτείται για την εκτέλεση των υποχρεώσεων εξόδου των Άρθρων 12 της παρούσας και 18 έως 20 των Όρων.

4.3 Η φύση της επεξεργασίας περιλαμβάνει: συλλογή, καταχώριση, οργάνωση, διάρθρωση, αποθήκευση, προσαρμογή, ανάκτηση, αναζήτηση, χρήση, διαβίβαση σε υπο-εκτελούντες, περιορισμό, διαγραφή και καταστροφή, καθώς και αυτοματοποιημένη εξαγωγή στοιχείων από εικόνες παραστατικών με χρήση συστήματος τεχνητής νοημοσύνης.

4.4 Ο σκοπός της επεξεργασίας είναι αποκλειστικά η παροχή, συντήρηση, ασφάλεια και υποστήριξη της υπηρεσίας, καθώς και η εκπλήρωση των υποχρεώσεων του Εκτελούντος κατά τη σύμβαση και τον νόμο. Απαγορεύεται κάθε επεξεργασία για ίδιους σκοπούς του Εκτελούντος.

4.5 Το είδος των δεδομένων και οι κατηγορίες υποκειμένων εξειδικεύονται στο Παράρτημα Ι.

4.6 Η υπηρεσία δεν έχει σχεδιαστεί για την επεξεργασία δεδομένων ειδικών κατηγοριών κατά το άρθρο 9 ΓΚΠΔ ή δεδομένων που αφορούν ποινικές καταδίκες και αδικήματα κατά το άρθρο 10 ΓΚΠΔ. Ο Υπεύθυνος υποχρεούται να μην εισάγει τέτοια δεδομένα σε κανένα πεδίο, περιλαμβανομένων των πεδίων ελεύθερου κειμένου. Εφόσον τέτοια δεδομένα εισαχθούν κατά παράβαση της υποχρέωσης αυτής, ο Εκτελών δεν υπέχει τις πρόσθετες υποχρεώσεις που ο ΓΚΠΔ συνδέει με την επεξεργασία τους, και ο Υπεύθυνος αποζημιώνει τον Εκτελούντα κατά το Άρθρο 16.

Άρθρο 5 — Εντολές του Υπευθύνου

5.1 Ο Εκτελών επεξεργάζεται τα Δεδομένα Υπευθύνου αποκλειστικά βάσει καταγεγραμμένων εντολών του Υπευθύνου, σύμφωνα με το άρθρο 28 παράγραφος 3 στοιχείο α) ΓΚΠΔ, περιλαμβανομένων των εντολών σχετικά με τη διαβίβαση σε τρίτη χώρα, εκτός εάν υποχρεούται προς τούτο από το ενωσιακό ή το εθνικό δίκαιο.

5.2 Ως καταγεγραμμένες εντολές νοούνται: (α) η παρούσα Σύμβαση Επεξεργασίας και οι Όροι, (β) οι ρυθμίσεις και παραμετροποιήσεις που ο Υπεύθυνος πραγματοποιεί ή ζητά εντός της πλατφόρμας, και (γ) κάθε μεταγενέστερη έγγραφη εντολή του Υπευθύνου, η οποία γίνεται αποδεκτή εφόσον είναι εύλογη, τεχνικά εφικτή και σύμφωνη με το Εφαρμοστέο Δίκαιο Προστασίας Δεδομένων.

5.3 Εντολή που υπερβαίνει το συμφωνημένο αντικείμενο και συνεπάγεται ουσιώδες πρόσθετο κόστος ή τεχνική ανάπτυξη εκτελείται κατόπιν χωριστής έγγραφης συμφωνίας. Ο Εκτελών δεν δικαιούται να επικαλεστεί το παρόν για να αρνηθεί εντολή αναγκαία προς εκπλήρωση υποχρέωσης του Υπευθύνου κατά τον ΓΚΠΔ.

5.4 Ο Εκτελών ενημερώνει αμελλητί τον Υπεύθυνο εφόσον, κατά την κρίση του, εντολή παραβιάζει τον ΓΚΠΔ ή άλλη διάταξη του Εφαρμοστέου Δικαίου Προστασίας Δεδομένων, και δικαιούται να αναστείλει την εκτέλεσή της έως ότου το ζήτημα επιλυθεί. Η αναστολή αυτή δεν συνιστά αθέτηση.

5.5 Εφόσον ο Εκτελών υποχρεούται από το ενωσιακό ή το εθνικό δίκαιο να προβεί σε επεξεργασία πέραν των εντολών, ενημερώνει τον Υπεύθυνο για τη νομική απαίτηση πριν από την επεξεργασία, εκτός εάν το δίκαιο αυτό απαγορεύει την ενημέρωση για σοβαρούς λόγους δημοσίου συμφέροντος.

Άρθρο 6 — Εχεμύθεια

6.1 Ο Εκτελών διασφαλίζει ότι κάθε πρόσωπο που εξουσιοδοτείται να επεξεργάζεται τα Δεδομένα Υπευθύνου έχει αναλάβει δέσμευση εμπιστευτικότητας ή τελεί υπό κατάλληλη εκ του νόμου υποχρέωση εμπιστευτικότητας, σύμφωνα με το άρθρο 28 παράγραφος 3 στοιχείο β) ΓΚΠΔ.

6.2 Η πρόσβαση στα Δεδομένα Υπευθύνου περιορίζεται στον διαχειριστή του Εκτελούντος και, όπου ανατίθεται εργασία αρχικής παραμετροποίησης ή εγκατάστασης, στον Συνεργάτη Εγκατάστασης του Άρθρου 8.7 της παρούσας και του Άρθρου 13.8 των Όρων, αποκλειστικά εντός του περιορισμένου εύρους των καταστημάτων και των δεδομένων που είναι αναγκαία για την εργασία του. Στον Συνεργάτη Εγκατάστασης εξομοιώνονται, υπό τις ίδιες προϋποθέσεις και εντός του ίδιου εύρους, το τυχόν προσωπικό του και ο τρίτος τον οποίο ο Εκτελών έχει εγκρίνει εγγράφως, εφόσον αμφότεροι δεσμεύονται εγγράφως με ισοδύναμες υποχρεώσεις εχεμύθειας και προστασίας δεδομένων. Η πρόσβαση του Συνεργάτη Εγκατάστασης, του προσωπικού του και του εγκεκριμένου τρίτου περιλαμβάνει, από τα δεδομένα εργαζομένων, αποκλειστικά την καταχώριση του ονοματεπωνύμου και ουδέποτε εκτείνεται σε ωράρια, βάρδιες, αποδοχές, ασφαλιστικές εισφορές, φιλοδωρήματα ή άλλο στοιχείο εργαζομένου, ούτε σε μισθοδοσία, λειτουργία εξαγωγής, μητρώο ενεργειών ή αρχεία καταγραφής ασφαλείας, και παύει αυτοδικαίως με την ολοκλήρωση της εργασίας, κατά το Άρθρο 8.7 της παρούσας και το Άρθρο 13.8 στοιχεία (β), (γ) και (δ) των Όρων. Κάθε πρόσωπο στο οποίο χορηγείται πρόσβαση δεσμεύεται προηγουμένως εγγράφως με υποχρέωση εμπιστευτικότητας κατά την παράγραφο 6.1 και υπόκειται στην αρχή της ελάχιστης αναγκαίας πρόσβασης, ήτοι η πρόσβασή του περιορίζεται σε ό,τι είναι απολύτως αναγκαίο για την εκτέλεση των καθηκόντων του.

6.3 Η υποχρέωση εχεμύθειας παραμένει σε ισχύ και μετά τη λύση της συμβατικής σχέσης, χωρίς χρονικό περιορισμό ως προς τα δεδομένα προσωπικού χαρακτήρα.

6.4 Ο Εκτελών μεριμνά για την τακτική ενημέρωση και ευαισθητοποίηση του διαχειριστή του, καθώς και κάθε άλλου προσώπου στο οποίο τυχόν χορηγηθεί πρόσβαση, σε ζητήματα προστασίας δεδομένων και ασφάλειας πληροφοριών.

Άρθρο 7 — Ασφάλεια της Επεξεργασίας

7.1 Ο Εκτελών εφαρμόζει τα κατάλληλα τεχνικά και οργανωτικά μέτρα του άρθρου 32 ΓΚΠΔ, ώστε να διασφαλίζεται επίπεδο ασφάλειας ανάλογο προς τον κίνδυνο, λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής, τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους για τα δικαιώματα και τις ελευθερίες των υποκειμένων.

7.2 Τα εφαρμοζόμενα μέτρα περιγράφονται αναλυτικά στο Παράρτημα ΙΙΙ και περιλαμβάνουν, ενδεικτικά, μέτρα ψευδωνυμοποίησης και κρυπτογράφησης, μέτρα διασφάλισης της εμπιστευτικότητας, ακεραιότητας, διαθεσιμότητας και αξιοπιστίας των συστημάτων, δυνατότητα αποκατάστασης της διαθεσιμότητας και της πρόσβασης σε περίπτωση συμβάντος, και διαδικασία τακτικής δοκιμής και αξιολόγησης της αποτελεσματικότητάς τους.

7.3 Ο Εκτελών δικαιούται να επικαιροποιεί τα ΤΟΜ, υπό τον όρο ότι το συνολικό επίπεδο ασφάλειας δεν υποβαθμίζεται. Ουσιώδης μεταβολή γνωστοποιείται εγγράφως στον Υπεύθυνο.

7.4 Ο Υπεύθυνος αναγνωρίζει ότι έλαβε γνώση των ΤΟΜ και τα κρίνει κατάλληλα για τους σκοπούς της επεξεργασίας που ο ίδιος καθορίζει, λαμβανομένων υπόψη των δικών του υποχρεώσεων του άρθρου 32 ΓΚΠΔ.

7.5 Ο Υπεύθυνος ευθύνεται για την ασφάλεια του δικού του περιβάλλοντος, των συσκευών και των διαπιστευτηρίων των χρηστών του, καθώς και για την ορθή απόδοση ρόλων πρόσβασης εντός της πλατφόρμας κατά την αρχή της ελαχιστοποίησης.

Άρθρο 8 — Υπο-εκτελούντες

8.1 Ο Υπεύθυνος παρέχει στον Εκτελούντα γενική έγγραφη εξουσιοδότηση για τη χρήση υπο-εκτελούντων, κατά το άρθρο 28 παράγραφος 2 ΓΚΠΔ. Οι υπο-εκτελούντες που χρησιμοποιούνται κατά την έναρξη ισχύος της παρούσας απαριθμούνται στο Παράρτημα ΙΙ, με αναφορά του σκοπού, της τοποθεσίας της υποδομής και της δικαιοδοσίας στην οποία υπόκειται έκαστος. Οι υπο-εκτελούντες των υπο-εκτελούντων και ο Συνεργάτης Εγκατάστασης περιλαμβάνονται στο Παράρτημα ΙΙ ως κατηγορία, η δε ταυτότητά τους γνωστοποιείται κατά τις παραγράφους 8.2 και 8.7 αντιστοίχως.

8.2 Ο Εκτελών ενημερώνει εγγράφως τον Υπεύθυνο τουλάχιστον τριάντα (30) ημέρες πριν από την προσθήκη ή αντικατάσταση υπο-εκτελούντος, γνωστοποιώντας την ταυτότητα, τον σκοπό, την τοποθεσία και τον μηχανισμό διαβίβασης.

8.3 Ο Υπεύθυνος δικαιούται να εναντιωθεί εντός δεκατεσσάρων (14) ημερών, με έγγραφη και αιτιολογημένη δήλωση που στηρίζεται σε βάσιμους λόγους σχετιζόμενους με την προστασία δεδομένων. Τα Μέρη συνεργάζονται καλόπιστα προς εξεύρεση λύσης. Εφόσον δεν εξευρεθεί λύση εντός τριάντα (30) ημερών, ο Υπεύθυνος δικαιούται να καταγγείλει τη σύμβαση παροχής της υπηρεσίας χωρίς επιβάρυνση, με επιστροφή του αναλογούντος τμήματος τυχόν προπληρωμένης συνδρομής και με πλήρη εφαρμογή της διαδικασίας εξόδου.

8.4 Όπου η άμεση αντικατάσταση υπο-εκτελούντος επιβάλλεται για λόγους ασφάλειας, διαθεσιμότητας ή συμμόρφωσης, ο Εκτελών δύναται να προβεί σε αυτήν χωρίς την προθεσμία της παραγράφου 8.2, ενημερώνοντας τον Υπεύθυνο αμελλητί και εκθέτοντας τους λόγους. Το δικαίωμα εναντίωσης της παραγράφου 8.3 ασκείται εκ των υστέρων.

8.5 Ο Εκτελών εγγυάται ότι, κατά την ημερομηνία έναρξης ισχύος της παρούσας, όλοι οι λογαριασμοί των υπο-εκτελούντων υποδομής του Παραρτήματος ΙΙ, εξαιρουμένου του Συνεργάτη Εγκατάστασης ως προς τον οποίο ισχύει η παράγραφος 8.7, τιμολογούνται στο όνομα και με τα φορολογικά στοιχεία του ίδιου του Εκτελούντος ως νομικού προσώπου, και ότι τα στοιχεία τιμολόγησης κάθε λογαριασμού τηρούνται στην επωνυμία και στα φορολογικά στοιχεία του Εκτελούντος κατά την ημερομηνία αυτή. Όπου ο λογαριασμός δημιουργήθηκε πριν από τη σύσταση του Εκτελούντος και δεν έχει έως την ημερομηνία έναρξης ισχύος της παρούσας μεταβιβαστεί ονομαστικά, ο λογαριασμός τηρείται από τον διαχειριστή του Εκτελούντος αποκλειστικά για λογαριασμό του Εκτελούντος, χωρίς ίδιο συμφέρον και χωρίς δικαίωμα χρήσης των δεδομένων για δικό του σκοπό, και τα στοιχεία τιμολόγησης έχουν μεταβληθεί στην επωνυμία του Εκτελούντος πριν από την ημερομηνία έναρξης ισχύος της παρούσας. Ο Εκτελών εγγυάται ότι με κάθε υπο-εκτελούντα ισχύει σύμβαση επεξεργασίας δεδομένων που πληροί το άρθρο 28 παράγραφοι 3 και 4 ΓΚΠΔ. Ο Εκτελών συνάπτει με κάθε υπο-εκτελούντα γραπτή σύμβαση που του επιβάλλει υποχρεώσεις προστασίας δεδομένων τουλάχιστον ισοδύναμες με τις προβλεπόμενες στην παρούσα, ιδίως ως προς την εχεμύθεια, την ασφάλεια, την υποχρέωση άμεσης γνωστοποίησης περιστατικών προς τον Εκτελούντα και τη διαγραφή ή επιστροφή δεδομένων, κατά το άρθρο 28 παράγραφος 4 ΓΚΠΔ. Η προθεσμία των σαράντα οκτώ (48) ωρών της παραγράφου 11.2 αποτελεί δέσμευση του ιδίου του Εκτελούντος και δεν μετακυλίεται αυτούσια στους υπο-εκτελούντες. Η εκάστοτε συμβατική προθεσμία γνωστοποίησης κάθε υπο-εκτελούντος γνωστοποιείται στον Υπεύθυνο κατόπιν αιτήματος.

8.6 Ο Εκτελών παραμένει πλήρως υπεύθυνος έναντι του Υπευθύνου για την εκπλήρωση των υποχρεώσεων κάθε υπο-εκτελούντος, σύμφωνα με το άρθρο 28 παράγραφος 4 ΓΚΠΔ, ως εάν επρόκειτο για δικές του πράξεις ή παραλείψεις.

8.7 Συνεργάτης εγκατάστασης. Όπου ο Εκτελών αναθέτει εργασίες αρχικής παραμετροποίησης σε τρίτο, το πρόσωπο αυτό αποτελεί υπο-εκτελούντα. Η πρόσβασή του περιορίζεται στα καταστήματα και στα δεδομένα που είναι αναγκαία για την εργασία, από τα δεδομένα εργαζομένων περιλαμβάνει αποκλειστικά την καταχώριση του ονοματεπωνύμου και δεν εκτείνεται σε ωράρια, βάρδιες, αποδοχές, ασφαλιστικές εισφορές, φιλοδωρήματα ή άλλο στοιχείο εργαζομένου, ούτε σε μισθοδοσία, λειτουργία εξαγωγής, μητρώο ενεργειών ή αρχεία καταγραφής ασφαλείας, και παύει αυτοδικαίως με την ολοκλήρωση, ο δε Εκτελών, ως νομικό πρόσωπο, απενεργοποιεί τα διαπιστευτήρια χωρίς υπαίτια καθυστέρηση και σε κάθε περίπτωση εντός είκοσι τεσσάρων (24) ωρών από την ολοκλήρωση ή τη λύση της ανάθεσης. Στον Συνεργάτη Εγκατάστασης εξομοιώνονται, υπό τις ίδιες προϋποθέσεις και εντός του ίδιου εύρους, το τυχόν προσωπικό του και ο τρίτος τον οποίο ο Εκτελών έχει εγκρίνει εγγράφως, εφόσον αμφότεροι δεσμεύονται εγγράφως με ισοδύναμες υποχρεώσεις εχεμύθειας και προστασίας δεδομένων. Ο Υπεύθυνος ενημερώνεται τουλάχιστον δεκατέσσερις (14) ημέρες πριν από την ανάθεση για την ταυτότητα και το εύρος πρόσβασης και δικαιούται να εναντιωθεί για βάσιμο λόγο εντός δεκατεσσάρων (14) ημερών, κατά την παράγραφο 8.3. Η παρούσα παράγραφος υπερισχύει της προθεσμίας ενημέρωσης της παραγράφου 8.2 ως προς τον Συνεργάτη Εγκατάστασης. Η ανάθεση αναστέλλεται μέχρι την άπρακτη πάροδο της προθεσμίας ή τη ρητή συναίνεση του Υπευθύνου. Επί έγκυρης εναντίωσης, η ανάθεση δεν εκτελείται ως προς τον Υπεύθυνο αυτόν, με την επιφύλαξη της παραγράφου 8.3.

Άρθρο 9 — Διεθνείς Διαβιβάσεις

9.1 Ο Εκτελών δεν διαβιβάζει Δεδομένα Υπευθύνου εκτός του Ευρωπαϊκού Οικονομικού Χώρου παρά μόνο εφόσον συντρέχει έγκυρο έρεισμα του Κεφαλαίου V ΓΚΠΔ και εφαρμόζονται τα αναγκαία συμπληρωματικά μέτρα.

9.2 Supabase Pte. Ltd. Τα δεδομένα τηρούνται σε υποδομή εντός της Ευρωπαϊκής Ένωσης, στη Φρανκφούρτη, οπότε δεν υφίσταται διαβίβαση ως προς την τοποθεσία αποθήκευσης. Η συμβαλλόμενη οντότητα εδρεύει όμως στη Σιγκαπούρη, τρίτη χώρα χωρίς απόφαση επάρκειας, και η πρόσβαση από αυτήν για σκοπούς λειτουργίας και υποστήριξης συνιστά διαβίβαση. Η διαβίβαση στηρίζεται στις Τυποποιημένες Ρήτρες Διαβίβασης, Ενότητα 3 (εκτελών προς εκτελούντα), όπως ενσωματώνονται στη σύμβαση επεξεργασίας του υπο-εκτελούντος. Ο Εκτελών διασφαλίζει ότι η περιοχή του έργου παραμένει εντός του Ευρωπαϊκού Οικονομικού Χώρου. Η ίδια η βάση δεδομένων τηρείται στη Φρανκφούρτη. Τα αρχεία καταγραφής και η επεξεργασία πραγματικού χρόνου εκτελούνται από υπο-εκτελούντες της Supabase σε υποδομή στις Ηνωμένες Πολιτείες, βάσει του ερείσματος που δηλώνει ο πάροχος χωριστά για κάθε υπο-εκτελούντα στην εκτίμηση επιπτώσεων διαβίβασης που δημοσιεύει, και η σχετική σύμβαση δεσμεύει τη Supabase να αποθηκεύει και να επεξεργάζεται κατά κύριο λόγο, και όχι αποκλειστικά, εντός της επιλεγμένης περιοχής.

9.3 Anthropic Ireland Limited. Για υπευθύνους εγκατεστημένους στον Ευρωπαϊκό Οικονομικό Χώρο, αντισυμβαλλόμενος είναι η ιρλανδική οντότητα και η πρωτογενής σχέση είναι ενδοενωσιακή. Η επεξεργασία διενεργείται ωστόσο σε υποδομή στις Ηνωμένες Πολιτείες, καθόσον δεν διατίθεται επιλογή παραμονής δεδομένων εντός της Ένωσης, και συνιστά περαιτέρω διαβίβαση που στηρίζεται στις Τυποποιημένες Ρήτρες Διαβίβασης, Ενότητα 3. Ο υπο-εκτελών αυτός δεν είναι πιστοποιημένος στο Πλαίσιο Προστασίας Δεδομένων Ευρωπαϊκής Ένωσης – Ηνωμένων Πολιτειών και δεν το επικαλείται. Ισχύουν επιπλέον συμβατική απαγόρευση χρήσης του περιεχομένου για εκπαίδευση μοντέλων, αυτόματη διαγραφή εντός τριάντα (30) ημερών, και διαβίβαση μόνο κατόπιν ενέργειας χρήστη. Ρύθμιση μηδενικής διατήρησης δεδομένων δεν είναι διαθέσιμη από τον υπο-εκτελούντα αυτόν. Κατ' εξαίρεση, περιεχόμενο που επισημαίνεται από τα αυτοματοποιημένα συστήματα ορθής χρήσης του υπο-εκτελούντος δύναται να διατηρηθεί έως δύο (2) έτη, και οι βαθμολογίες ταξινόμησης εμπιστοσύνης και ασφάλειας έως επτά (7) έτη. Ο Εκτελών γνωστοποιεί τους χρόνους αυτούς ώστε να μη δηλώνεται στενότερη διατήρηση από την πραγματική.

9.4 GitHub, Inc. Η οντότητα αυτή επιτελεί τρεις διακριτές λειτουργίες, οι οποίες διαφέρουν ως προς το αντικείμενο της επεξεργασίας και ως προς την έκθεση σε δεδομένα προσωπικού χαρακτήρα και αντιμετωπίζονται, για τον λόγο αυτό, χωριστά:

(α) Φιλοξενία του αποθετηρίου κώδικα. Αντικείμενο της λειτουργίας αυτής είναι αποκλειστικά ο πηγαίος κώδικας της εφαρμογής, ο οποίος ανήκει στον Εκτελούντα. Ουδέν Δεδομένο Υπευθύνου διαβιβάζεται ή τηρείται στο πλαίσιό της, οπότε δεν υφίσταται ως προς αυτήν διαβίβαση δεδομένων προσωπικού χαρακτήρα ούτε απαιτείται έρεισμα του Κεφαλαίου V ΓΚΠΔ.

(β) Διάθεση της εφαρμογής στους χρήστες του Υπευθύνου, μέσω της υπηρεσίας στατικών σελίδων της. Κατά τη διάθεση αυτή η οντότητα λαμβάνει, σε κάθε φόρτωση, τη διεύθυνση πρωτοκόλλου διαδικτύου κάθε χρήστη και τα συνήθη τεχνικά δεδομένα του αιτήματος, τα οποία συνιστούν δεδομένα προσωπικού χαρακτήρα. Δεν διαβιβάζεται στο πλαίσιο της λειτουργίας αυτής περιεχόμενο της βάσης δεδομένων. Η διαβίβαση στηρίζεται στις Τυποποιημένες Ρήτρες Διαβίβασης, Ενότητα 3, ανεξαρτήτως τυχόν πιστοποίησης σε πλαίσιο επάρκειας, στην οποία ο Εκτελών δεν στηρίζεται.

(γ) Εκτέλεση της εργασίας λήψης του αντιγράφου ασφαλείας της βάσης δεδομένων, σε μηχάνημά της με καταγεγραμμένη θέση στις Ηνωμένες Πολιτείες. Η λειτουργία αυτή έχει τη μεγαλύτερη έκθεση από τις τρεις, καθόσον καθ' όλη τη διάρκεια της εργασίας το σύνολο των Δεδομένων Υπευθύνου διέρχεται από τη μνήμη του μηχανήματος, κρυπτογραφείται εντός της ίδιας ενιαίας διαδικασίας και ουδέποτε εγγράφεται ακρυπτογράφητο σε μέσο αποθήκευσης. Η επεξεργασία αυτή συνιστά αυτοτελή διαβίβαση, διακριτή από εκείνη του στοιχείου (β), και στηρίζεται στις Τυποποιημένες Ρήτρες Διαβίβασης, Ενότητα 3, με ειδική μνεία στην εκτίμηση επιπτώσεων του Άρθρου 9.9.

Σε καμία από τις τρεις λειτουργίες δεν αποθηκεύονται στην οντότητα αυτή αντίγραφα ασφαλείας ούτε άλλα Δεδομένα Υπευθύνου, και τα προγενέστερα αντίγραφα που είχαν αποθηκευθεί σε αυτήν έχουν διαγραφεί. Ο χώρος τήρησης των αντιγράφων ορίζεται στην παράγραφο 9.5, κατά την οποία τα αντίγραφα δεν τηρούνται σε αποθετήριο ελέγχου εκδόσεων.

9.5 Τα αντίγραφα ασφαλείας τηρούνται αποκλειστικά σε υποδομή αντικειμενικής αποθήκευσης που επιτρέπει οριστική διαγραφή και όχι σε αποθετήριο ελέγχου εκδόσεων, καθόσον από τέτοιο αποθετήριο η διαγραφή είναι τεχνικά δυσχερής και δεν επιτρέπει την προσήκουσα εκπλήρωση των Άρθρων 12.4 και 12.5 της παρούσας. Τηρούνται τρία αντίγραφα με διακριτούς κύκλους, κατά το Άρθρο 22.5 των Όρων: ένα αντίγραφο της ίδιας της υποδομής της βάσης δεδομένων με κύκλο επτά (7) ημερών, ένα σε ανεξάρτητο πάροχο εντός της Ευρωπαϊκής Ένωσης με κύκλο τριάντα (30) ημερών, και ένα σε δεύτερο ανεξάρτητο πάροχο με ρητό περιορισμό δικαιοδοσίας και κύκλο ενενήντα (90) ημερών. Τα δύο τελευταία είναι ανεξάρτητα από την υποδομή παραγωγής, το πρώτο δεν είναι. Όλοι οι χώροι αποθήκευσης βρίσκονται εντός της Ευρωπαϊκής Ένωσης. Ο χρονοπρογραμματισμός της εργασίας λήψης δεν είναι δεσμευτικός ως προς την ώρα και ενδέχεται, σε συνθήκες φόρτου του παρόχου υποδομής, να παραλειφθεί.

9.6 Hetzner Online GmbH και Cloudflare, Inc. Η Hetzner Online GmbH, με έδρα στη Γερμανία, αποθηκεύει το αντίγραφο κύκλου τριάντα (30) ημερών σε υποδομή εντός της Ευρωπαϊκής Ένωσης, κατά την επιλεγμένη τοποθεσία διακομιστή του λογαριασμού, οπότε δεν υφίσταται διαβίβαση εκτός του Ευρωπαϊκού Οικονομικού Χώρου. Ο Εκτελών δεσμεύεται να διατηρεί επιλεγμένη τοποθεσία διακομιστή εντός της Ευρωπαϊκής Ένωσης στον πάροχο αυτόν, και κάθε μεταβολή της επιλογής αυτής συνιστά τροποποίηση του Παραρτήματος ΙΙ της παρούσας και λογίζεται ως ουσιώδης μεταβολή, με τη διαδικασία του Άρθρου 30.4 των Όρων. Η Cloudflare, Inc. αποθηκεύει το αντίγραφο κύκλου ενενήντα (90) ημερών σε χώρο που δημιουργείται με ρητό περιορισμό δικαιοδοσίας εντός της Ευρωπαϊκής Ένωσης, ο οποίος δεν μεταβάλλεται μετά τη δημιουργία του χώρου και τον οποίο ο Εκτελών δεσμεύεται να εφαρμόζει εξαρχής. Επειδή η συμβαλλόμενη οντότητα εδρεύει στις Ηνωμένες Πολιτείες, η δυνατότητα πρόσβασης από αυτήν συνιστά διαβίβαση, στηριζόμενη στις Τυποποιημένες Ρήτρες Διαβίβασης, Ενότητα 3. Η οντότητα αυτή δεν παρέχει υπηρεσίες ονοματοδοσίας τομέα ούτε διαμεσολάβησης της κίνησης προς την Πλατφόρμα. Τα αντίγραφα υφίστανται ασύμμετρη κρυπτογράφηση πριν από κάθε μεταφόρτωσή τους, εντός ενιαίας διαδικασίας με τη δημιουργία τους. Το ιδιωτικό κλειδί δεν βρίσκεται στην υποδομή και τηρείται αποκλειστικά από τον Εκτελούντα, εκτός δικτύου, εντός του Ευρωπαϊκού Οικονομικού Χώρου, χωρίς πρόσβαση κανενός υπο-εκτελούντος.

9.7 Hostinger International Limited. Η συμβαλλόμενη οντότητα του παρόχου εδρεύει στην Κύπρο, οπότε η συμβατική σχέση είναι ενδοενωσιακή. Η υπηρεσία τιμολογείται στην επωνυμία και στα φορολογικά στοιχεία του Εκτελούντος, ο δε λογαριασμός, εφόσον δημιουργήθηκε πριν από τη σύσταση του Εκτελούντος και δεν έχει μεταβιβαστεί ονομαστικά, τηρείται από τον διαχειριστή του κατά το Άρθρο 8.5 της παρούσας. Ο πάροχος βεβαίωσε εγγράφως, στις 16 Σεπτεμβρίου 2026, ότι οι διακομιστές αλληλογραφίας βρίσκονται εντός της Ευρωπαϊκής Ένωσης, σε κέντρα δεδομένων στη Γαλλία ή στη Γερμανία. Δεν υφίσταται διαβίβαση προς τρίτη χώρα.

9.8 Για κάθε άλλη διαβίβαση εκτός του Ευρωπαϊκού Οικονομικού Χώρου εφαρμόζονται οι Τυποποιημένες Ρήτρες Διαβίβασης με την κατάλληλη Ενότητα.

9.9 Ο Εκτελών διενεργεί και τεκμηριώνει, κατά τη Ρήτρα 14 των Τυποποιημένων Ρητρών Διαβίβασης, το αργότερο εντός τριάντα (30) ημερών από την έναρξη ισχύος της παρούσας και εν συνεχεία πριν από κάθε νέα διαβίβαση, εκτίμηση επιπτώσεων για κάθε διαβίβαση προς τρίτη χώρα, λαμβάνοντας υπόψη τη νομοθεσία και την πρακτική της χώρας προορισμού ως προς την κρατική πρόσβαση. Η εκτίμηση τίθεται στη διάθεση του Υπευθύνου κατόπιν αιτήματος.

9.10 Εφόσον απόφαση επάρκειας ανακληθεί, ακυρωθεί ή λήξει, ή εφόσον πιστοποίηση υπο-εκτελούντος παύσει να είναι ενεργή ή να καλύπτει τις σχετικές κατηγορίες δεδομένων, ο Εκτελών μεταπίπτει αυτομάτως στις Τυποποιημένες Ρήτρες Διαβίβασης με τα αναγκαία συμπληρωματικά μέτρα και, εφόσον ούτε αυτό επαρκεί, αναστέλλει τη διαβίβαση και μεταφέρει την επεξεργασία σε εναλλακτικό υπο-εκτελούντα ή σε υποδομή εντός του Ευρωπαϊκού Οικονομικού Χώρου. Η ενέργεια αυτή δεν συνιστά αθέτηση της παρούσας. Ο Εκτελών ενημερώνει αμελλητί τον Υπεύθυνο.

9.11 Ο Εκτελών επανεξετάζει τουλάχιστον ετησίως την επάρκεια κάθε ερείσματος διαβίβασης, περιλαμβανομένης της κατάστασης τυχόν πιστοποιήσεων και του πεδίου των καλυπτόμενων κατηγοριών δεδομένων, και τηρεί σχετικό αρχείο για σκοπούς λογοδοσίας.

9.12 Εφόσον περιέλθει στον Εκτελούντα ή σε υπο-εκτελούντα δεσμευτικό αίτημα δημόσιας αρχής τρίτης χώρας για πρόσβαση στα Δεδομένα Υπευθύνου, ο Εκτελών: (α) ενημερώνει αμελλητί τον Υπεύθυνο, εκτός εάν τούτο απαγορεύεται, (β) όπου η ενημέρωση απαγορεύεται, καταβάλλει εύλογες προσπάθειες άρσης της απαγόρευσης και τηρεί αρχείο των ενεργειών του, (γ) εξετάζει τη νομιμότητα του αιτήματος και προβάλλει τις διαθέσιμες αντιρρήσεις και ένδικα βοηθήματα, (δ) περιορίζει την τυχόν αποκάλυψη στο ελάχιστο αναγκαίο, και (ε) τηρεί αρχείο των αιτημάτων, το οποίο θέτει στη διάθεση του Υπευθύνου.

Άρθρο 10 — Συνδρομή στην Άσκηση Δικαιωμάτων των Υποκειμένων

10.1 Ο Εκτελών συνδράμει τον Υπεύθυνο, με κατάλληλα τεχνικά και οργανωτικά μέτρα και στο μέτρο του δυνατού, ώστε ο τελευταίος να ανταποκρίνεται στην υποχρέωσή του να απαντά σε αιτήματα άσκησης δικαιωμάτων κατά το Κεφάλαιο ΙΙΙ ΓΚΠΔ, σύμφωνα με το άρθρο 28 παράγραφος 3 στοιχείο ε).

10.2 Η συνδρομή περιλαμβάνει τα δικαιώματα πρόσβασης, διόρθωσης, διαγραφής, περιορισμού της επεξεργασίας, φορητότητας, εναντίωσης, καθώς και το δικαίωμα μη υπαγωγής σε αποκλειστικά αυτοματοποιημένη λήψη απόφασης.

10.3 Εφόσον αίτημα υποκειμένου περιέλθει απευθείας στον Εκτελούντα, αυτός δεν απαντά αυτοτελώς αλλά το διαβιβάζει αμελλητί και σε κάθε περίπτωση εντός τριών (3) εργασίμων ημερών στον Υπεύθυνο, ενημερώνοντας το υποκείμενο ότι το αίτημά του διαβιβάστηκε στον υπεύθυνο επεξεργασίας.

10.4 Ο Εκτελών παρέχει τη ζητούμενη συνδρομή εντός δέκα (10) εργασίμων ημερών από το έγγραφο αίτημα του Υπευθύνου, ή συντομότερα εφόσον τούτο είναι αναγκαίο για την τήρηση της μηνιαίας προθεσμίας του άρθρου 12 παράγραφος 3 ΓΚΠΔ.

10.5 Στο μέτρο που η πλατφόρμα παρέχει στον Υπεύθυνο λειτουργίες διόρθωσης, διαγραφής ή εξαγωγής, η συνδρομή του Εκτελούντος θεωρείται παρασχεθείσα με τη διάθεση των λειτουργιών αυτών, με την επιφύλαξη της παραγράφου 10.6.

10.6 Η εξαγωγή του συνόλου των δεδομένων εκτελείται από τον Εκτελούντα κατόπιν γραπτού αιτήματος, κατά το Άρθρο 18 των Όρων. Η ρύθμιση αυτή αφορά αποκλειστικά τον τρόπο εκτέλεσης για λόγους ασφάλειας και δεν παρέχει στον Εκτελούντα δικαίωμα άρνησης, αναβολής ή εξάρτησης της εξαγωγής από όρους, ώστε να μην προσκρούει στο άρθρο 28 παράγραφος 3 στοιχείο ζ) ΓΚΠΔ.

10.7 Η συνδρομή παρέχεται χωρίς χρέωση. Ο Εκτελών δικαιούται εύλογη αμοιβή μόνο για επαναλαμβανόμενα ή προδήλως υπερβολικά αιτήματα που απαιτούν σημαντική χειροκίνητη εργασία πέραν των διαθέσιμων λειτουργιών, και αφού ενημερώσει εκ των προτέρων τον Υπεύθυνο. Η παρούσα παράγραφος δεν εφαρμόζεται στα αιτήματα εξαγωγής δεδομένων της παραγράφου 10.6, τα οποία εκτελούνται πάντοτε χωρίς χρέωση, ανεξαρτήτως του αριθμού τους και του τρόπου εκτέλεσής τους, κατά το Άρθρο 18.7 των Όρων. Ουδεμία αμοιβή, διοικητικού ή άλλου κόστους, επιβάλλεται για την εξαγωγή.

Άρθρο 11 — Συνδρομή στις Υποχρεώσεις των Άρθρων 32 έως 36 και Περιστατικά Παραβίασης

11.1 Ο Εκτελών συνδράμει τον Υπεύθυνο στη διασφάλιση της συμμόρφωσης με τις υποχρεώσεις των άρθρων 32 έως 36 ΓΚΠΔ, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που διαθέτει, σύμφωνα με το άρθρο 28 παράγραφος 3 στοιχείο στ).

11.2 Ο Εκτελών γνωστοποιεί στον Υπεύθυνο κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός σαράντα οκτώ (48) ωρών από τη στιγμή που έλαβε γνώση αυτής. Η προθεσμία αυτή αποσκοπεί στο να διευκολύνει τον Υπεύθυνο να ανταποκριθεί στην προθεσμία των εβδομήντα δύο (72) ωρών του άρθρου 33 ΓΚΠΔ. Όπου η παραβίαση ανάγεται σε υπο-εκτελούντα, η γνώση του Εκτελούντος εξαρτάται από τη γνωστοποίηση του υπο-εκτελούντος, η συμβατική προθεσμία του οποίου γνωστοποιείται στον Υπεύθυνο κατόπιν αιτήματος.

11.3 Η γνωστοποίηση περιλαμβάνει, στο μέτρο που είναι διαθέσιμα: (α) περιγραφή της φύσης του περιστατικού, (β) τις κατηγορίες και τον κατά προσέγγιση αριθμό των επηρεαζόμενων υποκειμένων και εγγραφών, (γ) τις πιθανές συνέπειες, (δ) τα μέτρα που ελήφθησαν ή προτείνονται για την αντιμετώπιση και τον μετριασμό, και (ε) στοιχεία επικοινωνίας για περαιτέρω πληροφορίες. Όπου οι πληροφορίες δεν είναι εξ αρχής διαθέσιμες, παρέχονται σταδιακά χωρίς περαιτέρω καθυστέρηση.

11.4 Ο Εκτελών δεν γνωστοποιεί το περιστατικό σε εποπτική αρχή ή σε υποκείμενα για λογαριασμό του Υπευθύνου, εκτός εάν λάβει προς τούτο ρητή έγγραφη εντολή ή εάν υποχρεούται εκ του νόμου. Η αρμοδιότητα και η ευθύνη γνωστοποίησης κατά τα άρθρα 33 και 34 ΓΚΠΔ ανήκουν στον Υπεύθυνο.

11.5 Ο Εκτελών τεκμηριώνει κάθε περιστατικό, τις συνέπειές του και τα διορθωτικά μέτρα, και θέτει την τεκμηρίωση στη διάθεση του Υπευθύνου.

11.6 Ο Εκτελών συνδράμει τον Υπεύθυνο, κατόπιν αιτήματος, στη διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων κατά το άρθρο 35 ΓΚΠΔ και στην προηγούμενη διαβούλευση με την εποπτική αρχή κατά το άρθρο 36, παρέχοντας τις αναγκαίες πληροφορίες για τη φύση της επεξεργασίας, τα ΤΟΜ και τους υπο-εκτελούντες.

11.7 Ο Εκτελών δεν υποχρεούται να διενεργήσει ο ίδιος εκτίμηση αντικτύπου για λογαριασμό του Υπευθύνου, ούτε να αξιολογήσει τη νομιμότητα των σκοπών που ο Υπεύθυνος καθορίζει.

Άρθρο 12 — Διαγραφή ή Επιστροφή των Δεδομένων

12.1 Μετά το πέρας της παροχής των υπηρεσιών επεξεργασίας, ο Εκτελών, κατ' επιλογή του Υπευθύνου, είτε διαγράφει είτε επιστρέφει το σύνολο των Δεδομένων Υπευθύνου και διαγράφει τα υφιστάμενα αντίγραφα, σύμφωνα με το άρθρο 28 παράγραφος 3 στοιχείο ζ) ΓΚΠΔ. Η επιλογή ανήκει αποκλειστικά στον Υπεύθυνο.

12.2 Ο Υπεύθυνος δηλώνει την επιλογή του εγγράφως, το αργότερο κατά τη λήξη της μεταβατικής περιόδου του Άρθρου 19 των Όρων. Ελλείψει δήλωσης, ο Εκτελών παραδίδει αυτεπαγγέλτως εξαγωγή του συνόλου των δεδομένων και ακολούθως προβαίνει σε διαγραφή κατά την παράγραφο 12.4.

12.3 Τα δεδομένα παραμένουν διαθέσιμα προς ανάκτηση για τριάντα (30) ημερολογιακές ημέρες από τη λήξη της μεταβατικής περιόδου, σύμφωνα με το άρθρο 25 παράγραφος 2 στοιχείο ζ) του Κανονισμού (ΕΕ) 2023/2854.

12.4 Μετά την πάροδο του ανωτέρω διαστήματος, ο Εκτελών προβαίνει σε οριστική και μη αναστρέψιμη διαγραφή από τα παραγωγικά συστήματα. Στα αντίγραφα ασφαλείας τα δεδομένα τίθενται αμελλητί εκτός χρήσης — δεν ανακτώνται και δεν υφίστανται καμία περαιτέρω επεξεργασία πλην της αποκατάστασης καταστροφής — και διαγράφονται οριστικά με τη λήξη του τρέχοντος κύκλου τήρησης, ο οποίος δεν υπερβαίνει τις ενενήντα (90) ημέρες.

12.5 Ο Εκτελών χορηγεί στον Υπεύθυνο έγγραφη βεβαίωση ότι η διαγραφή ολοκληρώθηκε, χωρίς να απαιτείται σχετικό αίτημα, κατά το πρότυπο της Ρήτρας 10 στοιχείο δ) της Εκτελεστικής Απόφασης (ΕΕ) 2021/915 της Επιτροπής, τις ρήτρες της οποίας τα Μέρη λαμβάνουν υπόψη ως πρότυπο καλής πρακτικής χωρίς να τις υιοθετούν αυτούσιες.

12.6 Η υποχρέωση διαγραφής δεν ισχύει στο μέτρο που το ενωσιακό ή το εθνικό δίκαιο απαιτεί την αποθήκευση των δεδομένων. Στην περίπτωση αυτή ο Εκτελών: (α) γνωστοποιεί εγγράφως στον Υπεύθυνο τη συγκεκριμένη διάταξη και τον χρόνο διατήρησης, (β) περιορίζει την επεξεργασία στον σκοπό της νόμιμης διατήρησης, χωρίς καμία άλλη χρήση, και (γ) διαγράφει οριστικά με τη συμπλήρωση του νόμιμου χρόνου. Οι σχετικοί χρόνοι εξειδικεύονται στο Παράρτημα IV.

12.7 Ο Υπεύθυνος αναγνωρίζει ότι ορισμένες κατηγορίες, ιδίως τα δεδομένα μέτρησης του χρόνου εργασίας και τα λογιστικά παραστατικά, υπόκεινται σε νομοθετικές υποχρεώσεις διαφύλαξης που βαρύνουν τον ίδιο ως εργοδότη και ως υπόχρεο τήρησης λογιστικών αρχείων. Λαμβάνοντας έγγραφη εντολή πρόωρης διαγραφής, ο Εκτελών ενημερώνει εγγράφως τον Υπεύθυνο για τη συγκεκριμένη υποχρέωση και τον καλεί να βεβαιώσει ότι τηρεί ο ίδιος πλήρες και προσβάσιμο αντίγραφο. Κατ' αναλογία προς το Άρθρο 10.6, η ενημέρωση αυτή δεν παρέχει δικαίωμα άρνησης, αναβολής ή εξάρτησης της εκτέλεσης, η οποία ολοκληρώνεται εντός των προθεσμιών του Άρθρου 12.4. Ο Υπεύθυνος φέρει την αποκλειστική ευθύνη των συνεπειών της εντολής του.

Άρθρο 13 — Τεκμηρίωση, Έλεγχοι και Επιθεωρήσεις

13.1 Ο Εκτελών θέτει στη διάθεση του Υπευθύνου κάθε πληροφορία απαραίτητη για την απόδειξη της συμμόρφωσης με τις υποχρεώσεις του άρθρου 28 ΓΚΠΔ και επιτρέπει και διευκολύνει ελέγχους, περιλαμβανομένων επιθεωρήσεων, που διενεργούνται από τον Υπεύθυνο ή από άλλον ελεγκτή εντεταλμένο από αυτόν, σύμφωνα με το άρθρο 28 παράγραφος 3 στοιχείο η).

13.2 Πρώτο επίπεδο — τεκμηρίωση. Κατόπιν γραπτού αιτήματος και εντός τριάντα (30) ημερών, ο Εκτελών διαθέτει: την περιγραφή των ΤΟΜ, τον επικαιροποιημένο κατάλογο υπο-εκτελούντων, τους μηχανισμούς διαβίβασης και τις σχετικές εκτιμήσεις επιπτώσεων, το αρχείο δραστηριοτήτων του άρθρου 30 παράγραφος 2 ΓΚΠΔ κατά το μέρος που αφορά τον Υπεύθυνο, καθώς και τις τυχόν εκθέσεις ανεξάρτητου ελέγχου και πιστοποιήσεις του ιδίου και των υπο-εκτελούντων. Ο Εκτελών δηλώνει εγγράφως όπου τέτοιες δεν υφίστανται. Όπου πιστοποίηση υπο-εκτελούντος υφίσταται αλλά το αντίστοιχο έγγραφο δεν διατίθεται στον Εκτελούντα, ο Εκτελών το δηλώνει, αναφέρει την πηγή δημοσίευσής της και επαληθεύει ετησίως την ενεργό κατάστασή της από τη δημόσια πηγή, κατά το στοιχείο Η του Παραρτήματος ΙΙΙ και την παράγραφο 9.11 της παρούσας.

13.3 Δεύτερο επίπεδο — επιτόπιος έλεγχος. Εφόσον η ανωτέρω τεκμηρίωση δεν επαρκεί για την τεκμηρίωση της συμμόρφωσης, ο Υπεύθυνος δικαιούται να διενεργήσει επιτόπιο έλεγχο, υπό τις ακόλουθες προϋποθέσεις: (α) μία φορά ανά ημερολογιακό έτος, (β) κατόπιν έγγραφης προειδοποίησης τουλάχιστον τριάντα (30) ημερών, (γ) κατά τις εργάσιμες ημέρες και ώρες, (δ) με ελεγκτή που δεν είναι ανταγωνιστής του Εκτελούντος και δεσμεύεται εγγράφως από υποχρέωση εχεμύθειας.

13.4 Συχνότεροι έλεγχοι επιτρέπονται, με συντομότερη προειδοποίηση, εφόσον: (α) έχει επέλθει παραβίαση δεδομένων που αφορά τον Υπεύθυνο, (β) το επιβάλλει εντολή ή σύσταση εποπτικής αρχής, ή (γ) υφίσταται τεκμηριωμένη ένδειξη ουσιώδους μη συμμόρφωσης.

13.5 Ο έλεγχος διενεργείται κατά τρόπο που δεν διαταράσσει αδικαιολόγητα τη λειτουργία του Εκτελούντος και δεν επεκτείνεται σε δεδομένα άλλων πελατών, σε πηγαίο κώδικα, σε εμπορικά απόρρητα ή σε πληροφορίες που ο Εκτελών υποχρεούται να τηρεί εμπιστευτικές έναντι τρίτων.

13.6 Έκαστο Μέρος φέρει τις δικές του δαπάνες. Εφόσον ο έλεγχος αποκαλύψει ουσιώδη παράβαση του Εκτελούντος, ο τελευταίος φέρει το εύλογο κόστος του ελέγχου και προβαίνει σε άρση της παράβασης εντός συμφωνημένου χρονοδιαγράμματος.

13.7 Ο Εκτελών ασκεί τα αντίστοιχα δικαιώματα ελέγχου έναντι των υπο-εκτελούντων του και διαβιβάζει στον Υπεύθυνο, κατόπιν αιτήματος, τα σχετικά ευρήματα, στο μέτρο που τούτο επιτρέπεται συμβατικά.

Άρθρο 14 — Αρχείο Δραστηριοτήτων Επεξεργασίας

14.1 Ο Εκτελών τηρεί αρχείο όλων των κατηγοριών δραστηριοτήτων επεξεργασίας που διενεργεί για λογαριασμό του Υπευθύνου, σύμφωνα με το άρθρο 30 παράγραφος 2 ΓΚΠΔ, το οποίο περιλαμβάνει: τα στοιχεία του Εκτελούντος και κάθε Υπευθύνου για λογαριασμό του οποίου ενεργεί, τις κατηγορίες επεξεργασιών, τις διαβιβάσεις σε τρίτες χώρες με τα σχετικά ερείσματα, και γενική περιγραφή των ΤΟΜ.

14.2 Το αρχείο τηρείται εγγράφως, περιλαμβανομένης ηλεκτρονικής μορφής, και τίθεται στη διάθεση της εποπτικής αρχής κατόπιν αιτήματος, καθώς και στη διάθεση του Υπευθύνου κατά το Άρθρο 13.2.

Άρθρο 15 — Δηλώσεις και Υποχρεώσεις του Υπευθύνου

15.1 Ο Υπεύθυνος δηλώνει και εγγυάται ότι:

(α) διαθέτει νόμιμη βάση επεξεργασίας κατά το άρθρο 6 ΓΚΠΔ για κάθε κατηγορία Δεδομένων Υπευθύνου που καταχωρίζει στην πλατφόρμα, καθώς και για τη διαβίβασή τους στον Εκτελούντα και στους υπο-εκτελούντές του,

(β) έχει εκπληρώσει τις υποχρεώσεις ενημέρωσης των άρθρων 13 και 14 ΓΚΠΔ έναντι των υποκειμένων, περιλαμβανομένων των εργαζομένων του και των φυσικών προσώπων που απασχολούνται σε προμηθευτές του, ως προς τη διαβίβαση των δεδομένων τους στον Εκτελούντα, τις κατηγορίες αποδεκτών του Παραρτήματος ΙΙ, τις τοποθεσίες επεξεργασίας και τους χρόνους διατήρησης, και δεσμεύεται να επικαιροποιεί την ενημέρωση αυτή σε κάθε γνωστοποίηση κατά τις παραγράφους 8.2 και 8.7 που μεταβάλλει τις κατηγορίες αποδεκτών ή τις τοποθεσίες επεξεργασίας,

(γ) τηρεί τις ειδικότερες απαιτήσεις του άρθρου 27 του ν. 4624/2019 για την επεξεργασία δεδομένων εργαζομένων, ιδίως ως προς τα όρια της συγκατάθεσης στο πλαίσιο σχέσης εξάρτησης και ως προς την απαγόρευση αξιολόγησης της αποδοτικότητας βάσει δεδομένων επιτήρησης,

(δ) δεν χρησιμοποιεί την πλατφόρμα για την αξιολόγηση ή παρακολούθηση της απόδοσης ή της συμπεριφοράς εργαζομένων, την κατανομή καθηκόντων βάσει ατομικών χαρακτηριστικών, ή τη λήψη αποφάσεων που επηρεάζουν τους όρους εργασιακών σχέσεων, κατά το Άρθρο 10.3 των Όρων,

(ε) τα δεδομένα που καταχωρίζει είναι ακριβή, επίκαιρα και συναφή προς τον σκοπό, και δεν υπερβαίνουν το αναγκαίο μέτρο,

(στ) δεν εισάγει δεδομένα ειδικών κατηγοριών, δεδομένα ποινικών καταδικών, ούτε δεδομένα καταναλωτών,

(ζ) διαμορφώνει τυχόν κανόνα προώθησης ηλεκτρονικού ταχυδρομείου κατά τρόπο στενό και στοχευμένο, ώστε να μην περιέρχονται στην υποδομή του Εκτελούντος άσχετα μηνύματα ή δεδομένα τρίτων, κατά το Άρθρο 12.7 των Όρων,

(η) αποδίδει ρόλους πρόσβασης στους χρήστες του σύμφωνα με την αρχή της ελαχιστοποίησης και ανακαλεί αμελλητί τα δικαιώματα προσώπων που παύουν να δικαιολογούν πρόσβαση.

15.2 Ο Υπεύθυνος είναι αποκλειστικά υπεύθυνος για τη νομιμότητα των σκοπών της επεξεργασίας που καθορίζει και για τη συμμόρφωση της δικής του δραστηριότητας με το Εφαρμοστέο Δίκαιο Προστασίας Δεδομένων.

15.3 Ο Υπεύθυνος γνωστοποιεί αμελλητί στον Εκτελούντα κάθε μεταβολή που επηρεάζει την επεξεργασία, ιδίως αίτημα υποκειμένου που απαιτεί ενέργεια του Εκτελούντος, εντολή εποπτικής αρχής, ή μεταβολή στη νομική βάση της επεξεργασίας.

Άρθρο 16 — Ευθύνη και Αποζημίωση

16.1 Η ευθύνη εκάστου Μέρους έναντι υποκειμένων και εποπτικών αρχών διέπεται από τα άρθρα 82 και 83 ΓΚΠΔ και δεν δύναται να περιοριστεί συμβατικά.

16.2 Στη μεταξύ των Μερών σχέση, έκαστο Μέρος ευθύνεται για τη ζημία που προκαλείται από τη δική του παράβαση των υποχρεώσεών του κατά την παρούσα ή κατά το Εφαρμοστέο Δίκαιο Προστασίας Δεδομένων.

16.3 Ο Υπεύθυνος αποζημιώνει πλήρως τον Εκτελούντα για κάθε ζημία, διοικητικό πρόστιμο, δικαστική δαπάνη και εύλογη αμοιβή νομικών συμβούλων που απορρέει από: (α) έλλειψη νόμιμης βάσης ή παράλειψη ενημέρωσης των υποκειμένων κατά το Άρθρο 15.1, (β) εισαγωγή δεδομένων ειδικών κατηγοριών κατά παράβαση του Άρθρου 4.6 ή δεδομένων καταναλωτών κατά παράβαση του Άρθρου 15.1 στοιχείο (στ), (γ) παράπλευρη λήψη δεδομένων τρίτων συνεπεία ευρέως διαμορφωμένου κανόνα προώθησης, (δ) χρήση της πλατφόρμας για σκοπούς που μεταβάλλουν τον χαρακτηρισμό του συστήματος τεχνητής νοημοσύνης κατά το Παράρτημα III του Κανονισμού (ΕΕ) 2024/1689, και (ε) εντολή του Υπευθύνου που παραβιάζει το Εφαρμοστέο Δίκαιο Προστασίας Δεδομένων, εφόσον ο Εκτελών είχε ενημερώσει κατά το Άρθρο 5.4.

16.4 Ο Εκτελών αποζημιώνει τον Υπεύθυνο για ζημία που απορρέει από επεξεργασία κατά παράβαση των εντολών του Υπευθύνου ή των υποχρεώσεων που ο ΓΚΠΔ επιβάλλει ειδικά στους εκτελούντες.

16.5 Ο περιορισμός ευθύνης του Άρθρου 27 των Όρων εφαρμόζεται και στην παρούσα, με ρητή επιφύλαξη ότι δεν ισχύει σε περίπτωση δόλου ή βαριάς αμέλειας κατά το εδάφιο α΄ του άρθρου 332 του Αστικού Κώδικα, ούτε σε περίπτωση ελαφράς αμέλειας εφόσον ο σχετικός όρος δεν αποτέλεσε αντικείμενο ατομικής διαπραγμάτευσης κατά το εδάφιο γ΄ του ιδίου άρθρου, ούτε ως προς την ευθύνη έναντι υποκειμένων και εποπτικών αρχών κατά την παράγραφο 16.1.

16.6 Ο αποκλεισμός του Άρθρου 27.3 των Όρων ως προς την απώλεια, αλλοίωση ή καταστροφή δεδομένων δεν εφαρμόζεται στις υποχρεώσεις της παρούσας. Η προθεσμία του Άρθρου 27.6 των Όρων, ως προς αξιώσεις που απορρέουν από την παρούσα, εκκινεί από την ημέρα κατά την οποία ο Υπεύθυνος κατέβαλε αποζημίωση σε υποκείμενο ή του επιβλήθηκε διοικητικό πρόστιμο, και όχι από το ζημιογόνο γεγονός.

Άρθρο 17 — Διάρκεια και Λύση

17.1 Η παρούσα αρχίζει να ισχύει με την κατάρτιση κατά το Άρθρο 2.1 και παραμένει σε ισχύ για όσο διάστημα ο Εκτελών επεξεργάζεται Δεδομένα Υπευθύνου.

17.2 Η λύση της σύμβασης παροχής της υπηρεσίας επιφέρει αυτοδικαίως τη λήξη της παρούσας, με την επιφύλαξη των υποχρεώσεων που από τη φύση τους επιβιώνουν, ιδίως των Άρθρων 6, 7, 9, 11, 12, 13 και 16, για όσο χρόνο ο Εκτελών εξακολουθεί να τηρεί Δεδομένα Υπευθύνου.

17.3 Δικαιώματα και υποχρεώσεις που αφορούν δεδομένα τα οποία εξακολουθούν να τηρούνται δυνάμει νομοθετικής υποχρέωσης κατά το Άρθρο 12.6 παραμένουν σε ισχύ έως την οριστική διαγραφή τους.

Άρθρο 18 — Τελικές Διατάξεις

18.1 Τα Μέρη γνωστοποιούν αμοιβαία τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων ή του αρμόδιου προσώπου επικοινωνίας, εφόσον υφίσταται. Σημείο επικοινωνίας του Εκτελούντος για κάθε ζήτημα της παρούσας: privacy@costiq.gr.

18.2 Η παρούσα διέπεται από το ελληνικό δίκαιο και το Εφαρμοστέο Δίκαιο Προστασίας Δεδομένων. Όπου ο Υπεύθυνος είναι εγκατεστημένος σε άλλο κράτος μέλος, εφαρμόζονται επιπλέον οι τυχόν αυστηρότερες αναγκαστικού δικαίου διατάξεις του κράτους αυτού, στο μέτρο που ο ΓΚΠΔ επιτρέπει εθνική εξειδίκευση.

18.3 Αρμόδια ορίζονται τα δικαστήρια των Αθηνών, κατά το Άρθρο 33 των Όρων, με την επιφύλαξη της αποκλειστικής δικαιοδοσίας που τυχόν επιβάλλει αναγκαστικού δικαίου διάταξη και του δικαιώματος των υποκειμένων κατά το άρθρο 79 ΓΚΠΔ.

18.4 Ουδεμία διάταξη της παρούσας περιορίζει το δικαίωμα καταγγελίας σε εποπτική αρχή. Αρμόδια εποπτική αρχή για τον Εκτελούντα είναι η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

18.5 Εάν διάταξη της παρούσας κριθεί άκυρη ή ανεφάρμοστη, οι λοιπές παραμένουν σε ισχύ και η άκυρη αντικαθίσταται αυτοδικαίως από ρύθμιση που πλησιάζει τον σκοπό της και είναι σύμφωνη με τον ΓΚΠΔ.

18.6 Η παρούσα, μαζί με τα Παραρτήματά της, αποτελεί το σύνολο των συμφωνηθέντων ως προς την επεξεργασία δεδομένων προσωπικού χαρακτήρα και υπερισχύει κάθε προηγούμενης συνεννόησης επί του αντικειμένου αυτού.

Παράρτημα Ι — Περιγραφή της Επεξεργασίας

Α. Κατηγορίες υποκειμένων των δεδομένων

Β. Κατηγορίες δεδομένων προσωπικού χαρακτήρα

Γ. Δεδομένα που ρητά δεν τηρούνται

Δεν τηρούνται δεδομένα ειδικών κατηγοριών κατά το άρθρο 9 ΓΚΠΔ, δεδομένα ποινικών καταδικών κατά το άρθρο 10 ΓΚΠΔ, δεδομένα καταναλωτών, ούτε — ως προς τους εργαζομένους του Υπευθύνου — αριθμός μητρώου κοινωνικής ασφάλισης, αριθμός φορολογικού μητρώου, αριθμός δελτίου ταυτότητας, διεύθυνση κατοικίας, τηλέφωνο ή τραπεζικός λογαριασμός.

Δ. Φύση και σκοπός της επεξεργασίας

Παροχή, συντήρηση, ασφάλεια και υποστήριξη συνδρομητικής υπηρεσίας λογισμικού διαχειριστικής πληροφόρησης και ελέγχου κόστους, περιλαμβανομένης της αυτοματοποιημένης εξαγωγής στοιχείων από εικόνες παραστατικών με σύστημα τεχνητής νοημοσύνης, της κοστολόγησης, της παρακολούθησης αποθέματος και της υποβοηθητικής εκτίμησης κόστους προσωπικού.

Ε. Διάρκεια της επεξεργασίας

Η διάρκεια της σύμβασης παροχής της υπηρεσίας, παρατεινόμενη κατά τα οριζόμενα στο Άρθρο 12 και στο Παράρτημα IV.

Παράρτημα ΙΙ — Κατάλογος Υπο-εκτελούντων

Ο πάροχος υπηρεσιών πληρωμών δεν αποτελεί υπο-εκτελούντα και δεν περιλαμβάνεται στον ανωτέρω κατάλογο. Τα δεδομένα πληρωμής αφορούν τη σχέση τιμολόγησης μεταξύ Εκτελούντος και Υπευθύνου, ως προς την οποία ο Εκτελών ενεργεί ο ίδιος ως υπεύθυνος επεξεργασίας κατά το Άρθρο 21.2 των Όρων, οπότε βρίσκεται εκτός του πεδίου εφαρμογής της παρούσας. Η VIVABANK Μονοπρόσωπη Ανώνυμη Τραπεζική Εταιρεία, ως αδειοδοτημένο πιστωτικό ίδρυμα, ενεργεί ως αυτοτελής υπεύθυνος επεξεργασίας δυνάμει των δικών της εκ του νόμου υποχρεώσεων.

Ο Εκτελών τηρεί μητρώο ανά υπο-εκτελούντα με τη συμβαλλόμενη οντότητα, τη χώρα, την έκδοση της σύμβασης επεξεργασίας που έχει αποδεχθεί, την εφαρμοστέα Ενότητα των Τυποποιημένων Ρητρών Διαβίβασης, το έρεισμα και την ημερομηνία της τελευταίας εκτίμησης επιπτώσεων.

Ο επικαιροποιημένος κατάλογος τηρείται στην Πολιτική Απορρήτου και στη σελίδα δικαιοδοσιών του Άρθρου 19.11 των Όρων, όπου ο Συνεργάτης Εγκατάστασης εμφανίζεται ως κατηγορία και η ταυτότητά του γνωστοποιείται ανά ανάθεση κατά το Άρθρο 8.7. Μεταβολές γνωστοποιούνται κατά το Άρθρο 8.

Παράρτημα ΙΙΙ — Τεχνικά και Οργανωτικά Μέτρα (άρθρο 32 ΓΚΠΔ)

Α. Έλεγχος πρόσβασης και ταυτοποίηση

• Έλεγχος πρόσβασης σε επίπεδο γραμμής, ενεργός στο σύνολο των πινάκων της βάσης, με πλήρη λογικό διαχωρισμό ανά κατάστημα. Κάθε κατάστημα αποκτά πρόσβαση αποκλειστικά στα δικά του δεδομένα.

• Τέσσερις διακριτοί ρόλοι πρόσβασης με κλιμακούμενα δικαιώματα: ιδιοκτήτης, διαχειριστής, υπεύθυνος, προσωπικό.

• Η πρόσβαση στους λογαριασμούς διαχείρισης της υποδομής περιορίζεται στον διαχειριστή του Εκτελούντος. Ο Συνεργάτης Εγκατάστασης του Άρθρου 8.7 δεν λαμβάνει σε καμία περίπτωση πρόσβαση στους λογαριασμούς αυτούς, η δε πρόσβασή του σε Δεδομένα Υπευθύνου εντός της πλατφόρμας ρυθμίζεται στο στοιχείο Η του παρόντος Παραρτήματος. Εφόσον χορηγηθεί πρόσβαση στους λογαριασμούς διαχείρισης της υποδομής σε οποιοδήποτε άλλο πρόσωπο, αυτό δεσμεύεται προηγουμένως εγγράφως με υποχρέωση εχεμύθειας κατά τα άρθρα 28 παράγραφος 3 στοιχείο β΄ και 32 παράγραφος 4 ΓΚΠΔ, ο δε Εκτελών τηρεί έκτοτε επικαιροποιημένο κατάλογο των προσώπων με πρόσβαση και τον θέτει στη διάθεση του Υπευθύνου κατόπιν αιτήματος. Επιπλέον, χωριστή ιδιότητα λογιστή, αποδιδόμενη πάνω σε οποιονδήποτε ρόλο, που ξεκλειδώνει τα οικονομικά μεγέθη χωρίς να χορηγεί δικαιώματα διαχειριστή.

• Ταυτοποίηση δύο παραγόντων ενεργή σε όλους τους λογαριασμούς διαχείρισης υποδομής, καθώς και στις διευθύνσεις ηλεκτρονικού ταχυδρομείου ανάκτησης αυτών, με εφαρμογή ελέγχου ταυτότητας και όχι με σύντομο μήνυμα.

• Επαλήθευση κάθε διαπιστευτηρίου στον διακομιστή και όχι στον φυλλομετρητή, για κάθε κλήση προς τις υπηρεσίες παρασκηνίου.

• Έως δύο ταυτόχρονες συσκευές ανά λογαριασμό, αυτόματη αποσύνδεση μετά από επτά ημέρες αδράνειας.

• Πρόσβαση σε ευαίσθητα οικονομικά μεγέθη μόνο κατόπιν πρόσθετης επαλήθευσης με εξαψήφιο κωδικό.

• Περιορισμός των διευθύνσεων προέλευσης από τις οποίες γίνονται δεκτές κλήσεις προς τις υπηρεσίες. Το μέτρο αποτρέπει κλήσεις από τρίτους ιστοτόπους εντός φυλλομετρητή και δεν υποκαθιστά την ταυτοποίηση, η οποία στηρίζεται στο διακριτικό του χρήστη ή στο μυστικό της συνάρτησης και στην ασφάλεια σε επίπεδο γραμμής.

Β. Κρυπτογράφηση και ψευδωνυμοποίηση

• Επιβολή κρυπτογραφημένης σύνδεσης (TLS) σε όλες τις διευθύνσεις της υπηρεσίας, χωρίς δυνατότητα μη κρυπτογραφημένης πρόσβασης.

• Κρυπτογράφηση σε επίπεδο αποθηκευτικού μέσου στη βάση δεδομένων και στον αποθηκευτικό χώρο αρχείων.

• Ασύμμετρη κρυπτογράφηση κάθε αντιγράφου ασφαλείας πριν από κάθε μεταφόρτωσή του, ανεξαρτήτως προορισμού. Η δημιουργία, η συμπίεση και η κρυπτογράφηση εκτελούνται ως ενιαία διαδικασία, χωρίς να εγγράφεται σε κανένα στάδιο ακρυπτογράφητο αρχείο σε μέσο αποθήκευσης. Το ιδιωτικό κλειδί δεν βρίσκεται στην υποδομή, τηρείται αποκλειστικά από τον Εκτελούντα εκτός δικτύου εντός ΕΟΧ, και κανένας υπο-εκτελών δεν έχει πρόσβαση σε αυτό, οπότε το μηχάνημα που παράγει το αντίγραφο δύναται να το εγγράψει και αδυνατεί να το αναγνώσει.

• Πρόσβαση σε εικόνες παραστατικών αποκλειστικά μέσω προσωρινού συνδέσμου περιορισμένης ισχύος, διάρκειας τριακοσίων δευτερολέπτων.

• Απόκρυψη των ονομάτων των εργαζομένων έναντι του ρόλου του υπευθύνου βάρδιας, ο οποίος βλέπει τις ίδιες γραμμές κατανομής φιλοδωρημάτων με ένδειξη «Εργαζόμενος 1, 2, 3». Ο περιορισμός επιβάλλεται τόσο στη διεπαφή όσο και στη βάση δεδομένων, μέσω πολιτικής πρόσβασης ανά γραμμή, κατά το Άρθρο 11.7 των Όρων. Η άρση του περιορισμού είναι κλειστή ως προεπιλογή και μεταβάλλεται αποκλειστικά από τον ρόλο του ιδιοκτήτη, ουδέποτε από τον Εκτελούντα ή από τον υπεύθυνο βάρδιας.

Γ. Αρχεία και αποθηκευτικός χώρος

• Ιδιωτικός αποθηκευτικός χώρος, με χωριστό φάκελο ανά κατάστημα και πολιτικές πρόσβασης που εφαρμόζονται μέσω ελεγχόμενης συνάρτησης βάσης με περιορισμένο πεδίο αναζήτησης.

• Δικαίωμα διαγραφής αρχείων περιορισμένο σε ρόλους ιδιοκτήτη και διαχειριστή.

Δ. Ακεραιότητα, διαθεσιμότητα και ανθεκτικότητα

• Τρία αντίγραφα ασφαλείας με διακριτούς κύκλους διατήρησης, εκ των οποίων δύο σε ανεξάρτητους παρόχους και τοποθεσίες, ενώ το τρίτο, κύκλου επτά (7) ημερών, τηρείται από την ίδια την υποδομή της βάσης δεδομένων και δεν είναι ανεξάρτητο από αυτήν. Ισχύει διαχωρισμός αποθετηρίων ώστε η απώλεια ενός λογαριασμού να μη συμπαρασύρει και την εφαρμογή και τα αντίγραφα.

• Δοκιμασμένη διαδικασία επαναφοράς.

• Αρχειοθέτηση αντί για οριστική διαγραφή ως προεπιλογή, με ρητή και επιβεβαιωμένη ενέργεια για την οριστική διαγραφή.

• Μητρώο ελέγχου για ευαίσθητες ενέργειες. Οι εγγραφές του δεν τροποποιούνται και δεν διαγράφονται επιλεκτικά, με αυτόματη διαγραφή του συνόλου κατά το Άρθρο 20.1 στοιχείο (η) των Όρων, με εξαίρεση τις εγγραφές που αφορούν γνωστοποιηθέν περιστατικό ασφάλειας, εκκρεμή διαφορά ή αξίωση που δεν έχει παραγραφεί, οι οποίες διατηρούνται μέχρι την περάτωσή τους ή τη συμπλήρωση της παραγραφής, και την καταγραφή αποδοχής των κειμένων, η οποία τηρείται χωριστά για πέντε (5) έτη.

Ε. Ασφάλεια της ροής ηλεκτρονικού ταχυδρομείου

• Χωριστό γραμματοκιβώτιο αποκλειστικά για παραστατικά πελατών, η επαγγελματική αλληλογραφία του Εκτελούντος τηρείται σε άλλο γραμματοκιβώτιο, μη προσβάσιμο από τον αυτοματισμό.

• Διαπιστευτήριο πρόσβασης του αυτοματισμού περιορισμένο σε ένα και μόνο γραμματοκιβώτιο.

• Δρομολόγηση βάσει της διεύθυνσης παραλήπτη που καταγράφει ο διακομιστής παράδοσης, στοιχείο μη πλαστογραφήσιμο από τον αποστολέα.

• Επαλήθευση αποστολέα με SPF, DKIM και DMARC πριν από την παράδοση.

• Καραντίνα για μηνύματα από μη καταχωρισμένους αποστολείς, χωρίς επεξεργασία πριν από έγκριση χρήστη.

• Χωριστό μητρώο για μηνύματα χωρίς αντιστοίχιση, με πρόσβαση μόνο διαχειριστή.

• Ο Υπεύθυνος δεν λαμβάνει διαπιστευτήρια για το γραμματοκιβώτιο.

ΣΤ. Ελαχιστοποίηση δεδομένων

• Από τα εισερχόμενα μηνύματα τηρούνται αποκλειστικά τεχνικό αναγνωριστικό μηνύματος, αποστολέας, παραλήπτης, θέμα, ημερομηνία, τα συνημμένα και, ανά συνημμένο, διαδρομή, όνομα, τύπος και μέγεθος. Το κείμενο του σώματος δεν αποθηκεύεται ποτέ.

• Η ανάγνωση παραστατικού με τεχνητή νοημοσύνη διενεργείται μόνο κατόπιν ενέργειας χρήστη και όχι αυτόματα.

• Ο βοηθός υποστήριξης λαμβάνει αποκλειστικά την ερώτηση του χρήστη και ελάχιστο περιβάλλον πλοήγησης, δεν διαβιβάζονται σε αυτόν δεδομένα της επιχείρησης.

• Δεν τηρούνται διαπιστευτήρια ηλεκτρονικού ταχυδρομείου του Υπευθύνου.

• Δεν τηρούνται δεδομένα ειδικών κατηγοριών, μητρώα κοινωνικής ασφάλισης ή τραπεζικοί λογαριασμοί εργαζομένων.

• Δεδομένα που έχουν εξέλθει της ενεργού περιόδου τηρούνται σε περιορισμένο αρχείο με διαβαθμισμένη πρόσβαση, για σκοπούς συμμόρφωσης και όχι για αναλυτικούς ή εμπορικούς σκοπούς. Η πρόσβαση στο αρχείο αυτό περιορίζεται στον διαχειριστή του Εκτελούντος. Ο Συνεργάτης Εγκατάστασης του Άρθρου 8.7, το τυχόν προσωπικό του και ο εγκεκριμένος τρίτος δεν αποκτούν σε καμία περίπτωση πρόσβαση στο αρχείο αυτό.

Ζ. Ασφάλεια κώδικα και υποδομής

• Ιδιωτικά αποθετήρια κώδικα, δημόσιος είναι μόνο ο δημοσιευμένος ιστότοπος.

• Καμία φόρτωση πόρων από τρίτους πέραν του παρόχου φιλοξενίας που κατονομάζεται στο Παράρτημα ΙΙ, καθόσον γραμματοσειρές, εικόνες και βιβλιοθήκες είναι ενσωματωμένες στο αρχείο της εφαρμογής. Ο πάροχος φιλοξενίας λαμβάνει, εκ της φύσεως της διάθεσης, τη διεύθυνση δικτύου κάθε χρήστη.

• Διαχωρισμός αποθετηρίων εφαρμογής και αντιγράφων.

Η. Οργανωτικά μέτρα

• Η πρόσβαση σε Δεδομένα Υπευθύνου περιορίζεται στον διαχειριστή του Εκτελούντος και, όπου ανατίθεται εργασία αρχικής παραμετροποίησης ή εγκατάστασης, στον Συνεργάτη Εγκατάστασης του Άρθρου 8.7, αποκλειστικά εντός του περιορισμένου εύρους των καταστημάτων και των δεδομένων που είναι αναγκαία για την εργασία του. Στον Συνεργάτη Εγκατάστασης εξομοιώνονται, υπό τις ίδιες προϋποθέσεις και εντός του ίδιου εύρους, το τυχόν προσωπικό του και ο τρίτος τον οποίο ο Εκτελών έχει εγκρίνει εγγράφως, εφόσον αμφότεροι δεσμεύονται εγγράφως με ισοδύναμες υποχρεώσεις εχεμύθειας και προστασίας δεδομένων.

• Κατ' επανάληψη της εξαίρεσης του Άρθρου 8.7 της παρούσας και του Άρθρου 13.8 στοιχεία (β) και (δ) των Όρων, η πρόσβαση του Συνεργάτη Εγκατάστασης, του προσωπικού του και του εγκεκριμένου τρίτου περιλαμβάνει, από τα δεδομένα εργαζομένων, αποκλειστικά την καταχώριση του ονοματεπωνύμου και ουδέποτε εκτείνεται σε ωράρια, βάρδιες, αποδοχές, εισφορές, φιλοδωρήματα ή άλλο στοιχείο εργαζομένου, ούτε σε μισθοδοσία, λειτουργία εξαγωγής, μητρώο ενεργειών ή αρχεία καταγραφής ασφαλείας, δεν εκτείνεται στο αρχείο των δεδομένων που έχουν εξέλθει της ενεργού περιόδου κατά το στοιχείο ΣΤ του παρόντος Παραρτήματος, και παύει αυτοδικαίως με την ολοκλήρωση της εργασίας, κατά το Άρθρο 13.8 στοιχείο (γ) των Όρων.

• Κάθε πρόσωπο στο οποίο χορηγείται πρόσβαση δεσμεύεται προηγουμένως εγγράφως με υποχρέωση εμπιστευτικότητας.

• Αρχή της ελάχιστης αναγκαίας πρόσβασης, εφαρμοζόμενη σε κάθε πρόσωπο στο οποίο τυχόν χορηγηθεί πρόσβαση.

• Διαδικασία διαχείρισης περιστατικών με προθεσμία γνωστοποίησης προς τον Υπεύθυνο εντός σαράντα οκτώ ωρών από τη γνώση του Εκτελούντος, κατά το Άρθρο 11.2.

• Ο Εκτελών αξιολογεί και αμφισβητεί κάθε αίτημα δημόσιας αρχής και τηρεί αρχείο των αιτημάτων που του περιέρχονται.

• Ετήσια επανεξέταση των ερεισμάτων διεθνών διαβιβάσεων και της κατάστασης των πιστοποιήσεων των υπο-εκτελούντων.

• Διαρκής επιμόρφωση του διαχειριστή του Εκτελούντος στον γραμματισμό στην τεχνητή νοημοσύνη, κατά το άρθρο 4 του Κανονισμού (ΕΕ) 2024/1689.

• Συμβατική απαγόρευση χρήσης των δεδομένων για εκπαίδευση μοντέλων τεχνητής νοημοσύνης, με αντίστοιχη δέσμευση του παρόχου του μοντέλου.

Θ. Δοκιμή και αξιολόγηση

Ο Εκτελών επανεξετάζει την επάρκεια των ανωτέρω μέτρων τουλάχιστον ετησίως, καθώς και οποτεδήποτε επέλθει ουσιώδης μεταβολή στην υποδομή, στους υπο-εκτελούντες ή στο νομικό πλαίσιο, και τεκμηριώνει την επανεξέταση.

Παράρτημα IV — Χρόνοι Διατήρησης

Οι ανωτέρω χρόνοι δεν αποτελούν επιλογή του Εκτελούντος αλλά αντανακλούν νομοθετικές υποχρεώσεις διαφύλαξης που βαρύνουν τον Υπεύθυνο. Ο χρόνος των στοιχείων μέτρησης του χρόνου εργασίας ορίζεται σε πέντε (5) έτη από υπουργική απόφαση και όχι ευθέως από τον νόμο, φτάνει δε τα δέκα (10) έτη μόνο ως προς περιόδους έως και την 15η Δεκεμβρίου 2025. Ως προς τα λογιστικά παραστατικά και τα στοιχεία αποδοχών ο νόμος ορίζει πενταετία, με δυνατότητα παράτασης στις περιπτώσεις που κατονομάζονται ανά σειρά. Η αρχή του περιορισμού της περιόδου αποθήκευσης του άρθρου 5 παράγραφος 1 στοιχείο ε΄ ΓΚΠΔ δεν επιβάλλει τον συντομότερο δυνατό χρόνο αλλά χρόνο αντίστοιχο του σκοπού, όπου ο σκοπός είναι η εκπλήρωση έννομης υποχρέωσης, ο νομοθετικός χρόνος είναι ο απαιτούμενος. Η αρχή της ελαχιστοποίησης εφαρμόζεται στο περιεχόμενο και στην προσβασιμότητα των δεδομένων, μέσω της διαβαθμισμένης πρόσβασης του Παραρτήματος ΙΙΙ στοιχείο ΣΤ, η οποία περιορίζει στον διαχειριστή του Εκτελούντος την πρόσβαση στο αρχείο των δεδομένων που έχουν εξέλθει της ενεργού περιόδου και δεν την επεκτείνει στον Συνεργάτη Εγκατάστασης.

Οι κατηγορίες ως προς τις οποίες ο Πάροχος ενεργεί ως αυτοτελής υπεύθυνος επεξεργασίας κατά το Άρθρο 3.3, ήτοι τα δεδομένα λογαριασμού, τα στοιχεία τιμολόγησης, τα δεδομένα επισκεπτών του ιστοτόπου και του περιβάλλοντος επίδειξης, καθώς και τα μητρώα ενεργειών και τα αρχεία καταγραφής ασφαλείας, δεν περιλαμβάνονται στον παρόντα πίνακα και οι χρόνοι τους ορίζονται στην Πολιτική Απορρήτου και στο Παράρτημα ΙΙ των Όρων.