Σύμβαση επεξεργασίας δεδομένων

Η παρούσα Σύμβαση επεξεργασίας δεδομένων (η «DPA») συνάπτεται μεταξύ του πελάτη που χρησιμοποιεί τις υπηρεσίες της statycs βάσει έγκυρης σύμβασης παροχής υπηρεσιών (ο «Υπεύθυνος επεξεργασίας») και της statycs GmbH, FN 613704g, Liechtensteinstrasse 59, 1090 Βιέννη, Αυστρία (ο «Εκτελών την επεξεργασία»).

Η παρούσα DPA διέπει την επεξεργασία προσωπικών δεδομένων από τη statycs για λογαριασμό του Υπευθύνου επεξεργασίας σε σχέση με την πλατφόρμα SaaS της statycs για χρηματοοικονομικό σχεδιασμό και ανάλυση. Τίθεται σε ισχύ όταν ο Υπεύθυνος επεξεργασίας αποδέχεται τους Όρους και προϋποθέσεις ή συνάπτει με άλλον τρόπο σύμβαση παροχής υπηρεσιών με τη statycs και παραμένει σε ισχύ για όσο διάστημα η statycs επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του Υπευθύνου επεξεργασίας. Σε περίπτωση σύγκρουσης μεταξύ της παρούσας DPA και άλλων συμβατικών διατάξεων, η παρούσα DPA υπερισχύει ως προς τα ζητήματα προστασίας δεδομένων.

Αντικείμενο της επεξεργασίας. Η επεξεργασία προσωπικών δεδομένων που είναι απαραίτητη για να παρέχει η statycs την πλατφόρμα χρηματοοικονομικού σχεδιασμού και ανάλυσής της στον Υπεύθυνο επεξεργασίας.

Διάρκεια της επεξεργασίας. Για τη διάρκεια της υποκείμενης σύμβασης παροχής υπηρεσιών, συμπεριλαμβανομένης οποιασδήποτε περιόδου αποδέσμευσης και διαγραφής σύμφωνα με το §11 παρακάτω.

Η statycs επεξεργάζεται προσωπικά δεδομένα για να παρέχει στον Υπεύθυνο επεξεργασίας την πλατφόρμα χρηματοοικονομικού σχεδιασμού και ανάλυσής της. Στην παρούσα DPA, ως «περιεχόμενο πελατών» νοούνται τα δεδομένα που ο Υπεύθυνος επεξεργασίας ανεβάζει στην πλατφόρμα, καθώς και οι αναφορές, τα πλάνα και τα λοιπά αποτελέσματα που παράγονται από αυτά. Η επεξεργασία περιλαμβάνει τη συλλογή, αποθήκευση, οργάνωση, διάρθρωση, ανάκτηση, αναζήτηση, χρήση και διαγραφή δεδομένων, στον βαθμό που είναι απαραίτητο για την παροχή της υπηρεσίας.

Η επεξεργασία πραγματοποιείται αποκλειστικά βάσει των τεκμηριωμένων εντολών του Υπευθύνου επεξεργασίας. Στις εντολές αυτές περιλαμβάνεται η παραγωγή συγκεντρωτικών, ανωνυμοποιημένων στατιστικών και κλαδικών benchmarks· από τη στιγμή που ανωνυμοποιηθεί, το αποτέλεσμα αυτό δεν συνιστά πλέον προσωπικά δεδομένα και δεν εμπίπτει στην παρούσα DPA. Η statycs δεν θα επεξεργάζεται προσωπικά δεδομένα για κανέναν άλλο σκοπό πέραν της παροχής της συμφωνηθείσας υπηρεσίας, εκτός εάν απαιτείται από το δίκαιο της ΕΕ ή το αυστριακό δίκαιο. Στην περίπτωση αυτή, η statycs θα ενημερώσει τον Υπεύθυνο επεξεργασίας για τη νομική απαίτηση πριν από την επεξεργασία, εκτός εάν ο νόμος απαγορεύει την ενημέρωση αυτή.

Κατηγορίες προσωπικών δεδομένων. Οι ακόλουθοι τύποι προσωπικών δεδομένων ενδέχεται να υφίστανται επεξεργασία: ονόματα, διευθύνσεις email, αριθμοί τηλεφώνου, τίτλοι θέσεων εργασίας, εταιρική σχέση, διευθύνσεις IP, δεδομένα browser και συσκευής, καθώς και οποιαδήποτε άλλα προσωπικά δεδομένα εισάγει ο Υπεύθυνος επεξεργασίας στην πλατφόρμα. Τα χρηματοοικονομικά δεδομένα που ανεβαίνουν στην πλατφόρμα - όπως λογιστικά αρχεία, αναφορές και πλάνα - ενδέχεται να περιέχουν προσωπικά δεδομένα στον βαθμό που τα συμπεριλαμβάνει ο Υπεύθυνος επεξεργασίας.

Κατηγορίες υποκειμένων των δεδομένων. Τα υποκείμενα των δεδομένων ενδέχεται να περιλαμβάνουν εργαζομένους, συνεργάτες, πελάτες, προμηθευτές, επενδυτές του Υπευθύνου επεξεργασίας και οποιαδήποτε άλλα φυσικά πρόσωπα των οποίων τα προσωπικά δεδομένα επεξεργάζεται ο Υπεύθυνος επεξεργασίας μέσω της πλατφόρμας.

Ο Υπεύθυνος επεξεργασίας είναι ο υπεύθυνος επεξεργασίας δεδομένων σύμφωνα με τον GDPR και φέρει την αποκλειστική ευθύνη για τη διασφάλιση της νομιμότητας της επεξεργασίας των προσωπικών δεδομένων, συμπεριλαμβανομένης της ύπαρξης έγκυρης νομικής βάσης τόσο για την ίδια την επεξεργασία όσο και για τη διαβίβαση των δεδομένων στη statycs.

Ο Υπεύθυνος επεξεργασίας φέρει την ευθύνη για την ακρίβεια, την ποιότητα και τη νομιμότητα των προσωπικών δεδομένων που παρέχονται στη statycs, καθώς και για τη συμμόρφωση με όλους τους εφαρμοστέους νόμους περί προστασίας δεδομένων, συμπεριλαμβανομένης της ενημέρωσης των υποκειμένων των δεδομένων σχετικά με την επεξεργασία των δεδομένων τους.

Η statycs αναλαμβάνει να:

• Επεξεργάζεται προσωπικά δεδομένα μόνο βάσει τεκμηριωμένων εντολών του Υπευθύνου επεξεργασίας, εκτός εάν ο νόμος απαιτεί διαφορετικά
• Διασφαλίζει ότι όλα τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται προσωπικά δεδομένα δεσμεύονται από γραπτές υποχρεώσεις εμπιστευτικότητας
• Εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για τη διασφάλιση επιπέδου ασφάλειας ανάλογου προς τον κίνδυνο
• Συνδράμει τον Υπεύθυνο επεξεργασίας στην ανταπόκριση σε αιτήματα των υποκειμένων των δεδομένων σύμφωνα με τα άρθρα 15 έως 22 GDPR
• Συνδράμει τον Υπεύθυνο επεξεργασίας στη συμμόρφωση με τα άρθρα 32 έως 34 GDPR, τις εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων και τις προηγούμενες διαβουλεύσεις με τις εποπτικές αρχές, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που είναι διαθέσιμες στη statycs
• Ειδοποιεί τον Υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση μόλις λάβει γνώση παραβίασης προσωπικών δεδομένων
• Κατ' επιλογήν του Υπευθύνου επεξεργασίας, διαγράφει ή επιστρέφει όλα τα προσωπικά δεδομένα στον Υπεύθυνο επεξεργασίας κατά τη λήξη της σύμβασης παροχής υπηρεσιών, εκτός εάν η διατήρηση απαιτείται από τον νόμο
• Ενημερώνει αμέσως τον Υπεύθυνο επεξεργασίας εάν, κατά την άποψη της statycs, μια εντολή παραβιάζει τον GDPR ή άλλο εφαρμοστέο δίκαιο περί προστασίας δεδομένων

Η statycs εκπληρώνει τις υποχρεώσεις ελέγχου σύμφωνα με το άρθρο 28(3)(η) GDPR παρέχοντας, κατόπιν εύλογου γραπτού αιτήματος και όχι περισσότερο από μία φορά ανά δωδεκάμηνο, την τρέχουσα σύνοψη ασφάλειας, τη λίστα των υποεκτελούντων την επεξεργασία και γραπτές απαντήσεις στο εύλογο ερωτηματολόγιο του Υπευθύνου επεξεργασίας. Επιπλέον, ο Υπεύθυνος επεξεργασίας - ή ένας ανεξάρτητος ελεγκτής τον οποίο ορίζει ο ίδιος υπό υποχρέωση εμπιστευτικότητας - μπορεί να διενεργήσει επιτόπιο έλεγχο όχι περισσότερο από μία φορά ανά εικοσιτετράμηνο, ή οποτεδήποτε κατόπιν εντολής εποπτικής αρχής ή τεκμηριωμένης υποψίας παραβίασης. Οι επιτόπιοι έλεγχοι πραγματοποιούνται με έξοδα του Υπευθύνου επεξεργασίας, κατόπιν γραπτής προειδοποίησης τριάντα ημερών, κατά τις εργάσιμες ώρες, με το πεδίο, τον χρόνο και την εμπιστευτικότητα να συμφωνούνται εγγράφως εκ των προτέρων.

Η statycs χρησιμοποιεί τους ακόλουθους παρόχους για την παροχή της υπηρεσίας. Οι Hetzner, Cloudflare και Hanko επεξεργάζονται προσωπικά δεδομένα για λογαριασμό του Υπευθύνου επεξεργασίας και αποτελούν υποεκτελούντες την επεξεργασία κατά την έννοια του άρθρου 28 GDPR. Οι PostHog και Stripe παρατίθενται για λόγους διαφάνειας· ο ρόλος τους αναφέρεται στην αντίστοιχη καταχώρισή τους. Ο Υπεύθυνος επεξεργασίας παρέχει με το παρόν στη statycs γενική γραπτή άδεια, κατά την έννοια του άρθρου 28(2) GDPR και υπό την επιφύλαξη της παρούσας ενότητας, για την πρόσληψη των κατωτέρω υποεκτελούντων την επεξεργασία και για τη μεταβολή τους.

• Hetzner (Hetzner Online GmbH, Γερμανία) - hosting
• Cloudflare (Cloudflare, Inc., ΗΠΑ) - διανομή περιεχομένου, τερματισμός TLS και προστασία από bots για το app.statycs.com
• Hanko (Hanko GmbH, Γερμανία) - ταυτοποίηση
• PostHog (PostHog Inc., ΗΠΑ· PostHog Cloud EU με φιλοξενία στη Γερμανία) - product analytics. Η statycs καθορίζει τους σκοπούς των δικών της product analytics και είναι ο υπεύθυνος επεξεργασίας για αυτά, οπότε η PostHog ενεργεί ως εκτελών την επεξεργασία για λογαριασμό της ίδιας της statycs ως προς τη δραστηριότητα αυτή και όχι ως υποεκτελών την επεξεργασία του Υπευθύνου επεξεργασίας
• Stripe (Stripe Payments Europe Ltd., Ιρλανδία· Stripe, LLC, ΗΠΑ) - επεξεργασία πληρωμών και τιμολόγηση συνδρομών. Για την εκτέλεση των πληρωμών και την εκπλήρωση των δικών της κανονιστικών υποχρεώσεων, η Stripe ενεργεί ως αυτοτελής υπεύθυνος επεξεργασίας και κατονομάζεται εδώ για λόγους διαφάνειας και όχι ως υποεκτελών την επεξεργασία του Υπευθύνου επεξεργασίας

Η statycs διασφαλίζει ότι όλοι οι υποεκτελούντες την επεξεργασία δεσμεύονται από γραπτές συμφωνίες που επιβάλλουν ισοδύναμες υποχρεώσεις προστασίας δεδομένων. Ο Υπεύθυνος επεξεργασίας θα ειδοποιείται για οποιεσδήποτε σκοπούμενες αλλαγές στους υποεκτελούντες την επεξεργασία τουλάχιστον τριάντα ημέρες νωρίτερα. Ο Υπεύθυνος επεξεργασίας μπορεί να αντιταχθεί σε νέο υποεκτελούντα την επεξεργασία για εύλογους λόγους εντός δεκατεσσάρων ημερών από την ειδοποίηση. Εάν η αντίρρηση δεν μπορεί να επιλυθεί, ο Υπεύθυνος επεξεργασίας μπορεί να καταγγείλει τη σύμβαση με ισχύ κατά την ημερομηνία που τίθεται σε ισχύ η αλλαγή του υποεκτελούντος την επεξεργασία, και η statycs θα επιστρέψει τα προπληρωμένα τέλη κατ' αναλογία για το αχρησιμοποίητο μέρος της περιόδου.

Το περιεχόμενο των πελατών - τα χρηματοοικονομικά δεδομένα, οι αναφορές και τα πλάνα που ανεβαίνουν στην πλατφόρμα - αποθηκεύεται, μαζί με τα αντίγραφα ασφαλείας του, αποκλειστικά σε διακομιστές εντός της Ευρωπαϊκής Ένωσης. Το hosting παρέχεται από τη Hetzner (Γερμανία) και η ταυτοποίηση από τη Hanko (Γερμανία). Τα product analytics λειτουργούν στο PostHog Cloud EU (Γερμανία), το οποίο λαμβάνει συμβάντα χρήσης αλλά ποτέ περιεχόμενο πελατών.

Τρεις περιπτώσεις δεν καλύπτονται από τα παραπάνω. Τα δεδομένα πληρωμών και τιμολόγησης υφίστανται επεξεργασία από τη Stripe, η οποία λειτουργεί υποδομές στις Ηνωμένες Πολιτείες. Η Cloudflare εκτελεί τον τερματισμό TLS για το app.statycs.com, οπότε η κίνηση κατά τη μεταφορά της ενδέχεται να διέρχεται από τοποθεσίες εκτός της Ευρωπαϊκής Ένωσης, χωρίς όμως να αποθηκεύεται εκεί περιεχόμενο πελατών. Επιπλέον, αρκετοί πάροχοι, μεταξύ των οποίων η Cloudflare και η PostHog, ελέγχονται από μητρικές εταιρείες εγκατεστημένες στις Ηνωμένες Πολιτείες, οπότε παραμένει δυνατή η πρόσβαση για λόγους υποστήριξης ή διαχείρισης από χώρες εκτός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ), ακόμη και όταν οι διακομιστές βρίσκονται στην Ευρώπη. Η statycs αντιμετωπίζει και τις τρεις περιπτώσεις ως διαβιβάσεις κατά την έννοια του Κεφαλαίου V του GDPR.

Για τις διαβιβάσεις αυτές, η statycs βασίζεται στις Τυποποιημένες Συμβατικές Ρήτρες της ΕΕ που έχει εκδώσει η Ευρωπαϊκή Επιτροπή, συμπληρούμενες, όπου απαιτείται, με πρόσθετα τεχνικά και οργανωτικά μέτρα, καθώς και, εφόσον ο αποδέκτης διαθέτει πιστοποίηση, στην απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής της 10ης Ιουλίου 2023 για το πλαίσιο προστασίας δεδομένων ΕΕ-ΗΠΑ. Η statycs επαναξιολογεί περιοδικά το νομικό πλαίσιο των χωρών αποδεκτών, μεταξύ άλλων ως προς το κατά πόσον οι αποφάσεις επάρκειας στις οποίες βασίζεται εξακολουθούν να ισχύουν. Αντίγραφο των εγγυήσεων διατίθεται κατόπιν αιτήματος στο [email protected].

Η statycs εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για την προστασία των προσωπικών δεδομένων, συμπεριλαμβανομένων:

• Κρυπτογράφηση δεδομένων κατά τη μεταφορά (TLS) και σε ηρεμία
• Έλεγχοι πρόσβασης βάσει ρόλων σύμφωνα με την αρχή του ελάχιστου προνομίου
• Έλεγχος ταυτότητας πολλαπλών παραγόντων για τα εσωτερικά συστήματα
• Περιοδικοί έλεγχοι ασφάλειας ανάλογοι προς τη φύση και την κλίμακα της επεξεργασίας, συμπεριλαμβανομένων δοκιμών από τρίτους κατά καιρούς
• Αυτοματοποιημένες διαδικασίες αντιγράφων ασφαλείας δεδομένων και ανάκτησης από καταστροφή
• Καταγραφή και παρακολούθηση της πρόσβασης σε προσωπικά δεδομένα
• Εκπαίδευση ευαισθητοποίησης σε θέματα ασφάλειας για τους εργαζομένους

Μια τρέχουσα περιγραφή των τεχνικών και οργανωτικών μέτρων διατίθεται κατόπιν αιτήματος στο [email protected].

Η statycs θα ειδοποιήσει τον Υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση μόλις λάβει γνώση οποιασδήποτε παραβίασης προσωπικών δεδομένων. Το άρθρο 33(2) GDPR δεν θέτει κανένα όριο κινδύνου ως προϋπόθεση για την ειδοποίηση του υπευθύνου επεξεργασίας από τον εκτελούντα την επεξεργασία, και η statycs δεν εφαρμόζει κανένα.

Η ειδοποίηση θα περιλαμβάνει, στον βαθμό που είναι γνωστά: τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό των υποκειμένων των δεδομένων που επηρεάζονται, τις πιθανές συνέπειες, τα μέτρα που ελήφθησαν ή προτείνονται για την αντιμετώπιση της παραβίασης και τον μετριασμό των επιπτώσεών της, καθώς και ένα σημείο επικοινωνίας ([email protected]) από το οποίο ο Υπεύθυνος επεξεργασίας μπορεί να λάβει περαιτέρω πληροφορίες.

Η statycs θα συνεργαστεί με τον Υπεύθυνο επεξεργασίας και θα λάβει εύλογα μέτρα για να συνδράμει στη διερεύνηση, τον περιορισμό και την αποκατάσταση της παραβίασης.

Η ευθύνη για την επεξεργασία δεδομένων σύμφωνα με την παρούσα DPA διέπεται από τους Όρους και προϋποθέσεις της υποκείμενης σύμβασης παροχής υπηρεσιών. Καμία διάταξη της παρούσας DPA δεν τροποποιεί ή επεκτείνει τις διατάξεις περί ευθύνης που έχουν συμφωνηθεί μεταξύ των μερών.

Κάθε μέρος ευθύνεται για ζημίες που προκαλούνται από επεξεργασία που παραβιάζει τον GDPR, σύμφωνα με το άρθρο 82 GDPR. Η statycs ευθύνεται μόνο για ζημία που προκαλείται από επεξεργασία η οποία δεν συμμορφώνεται με τις υποχρεώσεις που απευθύνονται ειδικά στους εκτελούντες την επεξεργασία σύμφωνα με τον GDPR ή με τις νόμιμες εντολές του Υπευθύνου επεξεργασίας.

Η παρούσα DPA λήγει αυτόματα κατά τη λήξη της υποκείμενης σύμβασης παροχής υπηρεσιών μεταξύ του Υπευθύνου επεξεργασίας και της statycs, με την επιφύλαξη ότι παραμένει σε ισχύ ως προς οποιαδήποτε προσωπικά δεδομένα εξακολουθεί να τηρεί η statycs για λογαριασμό του Υπευθύνου επεξεργασίας, έως ότου τα δεδομένα αυτά επιστραφούν ή διαγραφούν σύμφωνα με την παρούσα ενότητα.

Κατά τη λήξη, τα προσωπικά δεδομένα που υφίστανται επεξεργασία για λογαριασμό του Υπευθύνου επεξεργασίας διατηρούνται για 30 ημέρες. Κατά τη διάρκεια της περιόδου αυτής, ο Υπεύθυνος επεξεργασίας μπορεί να επιλέξει αν η statycs θα επιστρέψει τα δεδομένα, σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανήματα μορφότυπο, ή θα τα διαγράψει. Ελλείψει επιλογής, η statycs τα διαγράφει: από τα ενεργά συστήματα στο τέλος των 30 ημερών και από τα κρυπτογραφημένα αντίγραφα ασφαλείας εντός του επόμενου κύκλου τήρησης αντιγράφων ασφαλείας. Η statycs μπορεί να διατηρήσει προσωπικά δεδομένα πέραν της περιόδου αυτής μόνο όπου απαιτείται από το δίκαιο της ΕΕ ή το αυστριακό δίκαιο και θα ενημερώσει τον Υπεύθυνο επεξεργασίας για οποιαδήποτε τέτοια απαίτηση.

Η παρούσα DPA διέπεται από το αυστριακό δίκαιο. Ο αποκλειστικός τόπος δικαιοδοσίας είναι το αρμόδιο δικαστήριο στη Βιέννη.

Η παρούσα DPA δημοσιεύεται σε διάφορες γλώσσες. Η αγγλική έκδοση είναι η δεσμευτική έκδοση και διέπει τη συμφωνία μεταξύ των μερών. Όλες οι λοιπές γλωσσικές εκδόσεις παρέχονται αποκλειστικά για λόγους διευκόλυνσης· σε περίπτωση οποιασδήποτε απόκλισης, υπερισχύει η αγγλική έκδοση.