Σύμβαση επεξεργασίας δεδομένων

Η παρούσα Σύμβαση επεξεργασίας δεδομένων (η «DPA») συνάπτεται μεταξύ του πελάτη που χρησιμοποιεί τις υπηρεσίες της statycs βάσει έγκυρης σύμβασης παροχής υπηρεσιών (ο «Υπεύθυνος επεξεργασίας») και της statycs GmbH, FN 613704g, Liechtensteinstrasse 59, 1090 Βιέννη, Αυστρία (ο «Εκτελών την επεξεργασία»).

Η παρούσα DPA διέπει την επεξεργασία προσωπικών δεδομένων από τη statycs για λογαριασμό του Υπευθύνου επεξεργασίας σε σχέση με την πλατφόρμα SaaS της statycs για χρηματοοικονομικό σχεδιασμό και ανάλυση. Τίθεται σε ισχύ όταν ο Υπεύθυνος επεξεργασίας αποδέχεται τους Όρους και προϋποθέσεις ή συνάπτει με άλλον τρόπο σύμβαση παροχής υπηρεσιών με τη statycs και παραμένει σε ισχύ για όσο διάστημα η statycs επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του Υπευθύνου επεξεργασίας. Σε περίπτωση σύγκρουσης μεταξύ της παρούσας DPA και άλλων συμβατικών διατάξεων, η παρούσα DPA υπερισχύει ως προς τα ζητήματα προστασίας δεδομένων.

Αντικείμενο της επεξεργασίας. Η επεξεργασία προσωπικών δεδομένων που είναι απαραίτητη για να παρέχει η statycs την πλατφόρμα χρηματοοικονομικού σχεδιασμού και ανάλυσής της στον Υπεύθυνο επεξεργασίας.

Διάρκεια της επεξεργασίας. Για τη διάρκεια της υποκείμενης σύμβασης παροχής υπηρεσιών, συμπεριλαμβανομένης οποιασδήποτε περιόδου αποδέσμευσης και διαγραφής σύμφωνα με το §11 παρακάτω.

Η statycs επεξεργάζεται προσωπικά δεδομένα για να παρέχει στον Υπεύθυνο επεξεργασίας την πλατφόρμα χρηματοοικονομικού σχεδιασμού και ανάλυσής της. Η επεξεργασία περιλαμβάνει τη συλλογή, αποθήκευση, οργάνωση, διάρθρωση, ανάκτηση, αναζήτηση, χρήση και διαγραφή δεδομένων, στον βαθμό που είναι απαραίτητο για την παροχή της υπηρεσίας.

Η επεξεργασία πραγματοποιείται αποκλειστικά βάσει των τεκμηριωμένων εντολών του Υπευθύνου επεξεργασίας. Η statycs δεν θα επεξεργάζεται προσωπικά δεδομένα για κανέναν άλλο σκοπό πέραν της παροχής της συμφωνηθείσας υπηρεσίας, εκτός εάν απαιτείται από το δίκαιο της ΕΕ ή το αυστριακό δίκαιο. Στην περίπτωση αυτή, η statycs θα ενημερώσει τον Υπεύθυνο επεξεργασίας για τη νομική απαίτηση πριν από την επεξεργασία, εκτός εάν ο νόμος απαγορεύει την ενημέρωση αυτή.

Κατηγορίες προσωπικών δεδομένων. Οι ακόλουθοι τύποι προσωπικών δεδομένων ενδέχεται να υφίστανται επεξεργασία: ονόματα, διευθύνσεις email, αριθμοί τηλεφώνου, τίτλοι θέσεων εργασίας, εταιρική σχέση, διευθύνσεις IP, δεδομένα browser και συσκευής, καθώς και οποιαδήποτε άλλα προσωπικά δεδομένα εισάγει ο Υπεύθυνος επεξεργασίας στην πλατφόρμα. Τα χρηματοοικονομικά δεδομένα που ανεβαίνουν στην πλατφόρμα - όπως λογιστικά αρχεία, αναφορές και πλάνα - ενδέχεται να περιέχουν προσωπικά δεδομένα στον βαθμό που τα συμπεριλαμβάνει ο Υπεύθυνος επεξεργασίας.

Κατηγορίες υποκειμένων των δεδομένων. Τα υποκείμενα των δεδομένων ενδέχεται να περιλαμβάνουν εργαζομένους, συνεργάτες, πελάτες, προμηθευτές, επενδυτές του Υπευθύνου επεξεργασίας και οποιαδήποτε άλλα φυσικά πρόσωπα των οποίων τα προσωπικά δεδομένα επεξεργάζεται ο Υπεύθυνος επεξεργασίας μέσω της πλατφόρμας.

Ο Υπεύθυνος επεξεργασίας είναι ο υπεύθυνος επεξεργασίας δεδομένων σύμφωνα με τον GDPR και φέρει την αποκλειστική ευθύνη για τη διασφάλιση της νομιμότητας της επεξεργασίας των προσωπικών δεδομένων, συμπεριλαμβανομένης της ύπαρξης έγκυρης νομικής βάσης τόσο για την ίδια την επεξεργασία όσο και για τη διαβίβαση των δεδομένων στη statycs.

Ο Υπεύθυνος επεξεργασίας φέρει την ευθύνη για την ακρίβεια, την ποιότητα και τη νομιμότητα των προσωπικών δεδομένων που παρέχονται στη statycs, καθώς και για τη συμμόρφωση με όλους τους εφαρμοστέους νόμους περί προστασίας δεδομένων, συμπεριλαμβανομένης της ενημέρωσης των υποκειμένων των δεδομένων σχετικά με την επεξεργασία των δεδομένων τους.

Η statycs αναλαμβάνει να:

• Επεξεργάζεται προσωπικά δεδομένα μόνο βάσει τεκμηριωμένων εντολών του Υπευθύνου επεξεργασίας, εκτός εάν ο νόμος απαιτεί διαφορετικά
• Διασφαλίζει ότι όλα τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται προσωπικά δεδομένα δεσμεύονται από γραπτές υποχρεώσεις εμπιστευτικότητας
• Εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για τη διασφάλιση επιπέδου ασφάλειας ανάλογου προς τον κίνδυνο
• Συνδράμει τον Υπεύθυνο επεξεργασίας στην ανταπόκριση σε αιτήματα των υποκειμένων των δεδομένων σύμφωνα με τα άρθρα 15 έως 22 GDPR
• Συνδράμει τον Υπεύθυνο επεξεργασίας με τη συμμόρφωση προς τα άρθρα 32 έως 34 GDPR, τις εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων και τις προηγούμενες διαβουλεύσεις με τις εποπτικές αρχές, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που είναι διαθέσιμες στη statycs
• Ειδοποιεί τον Υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση μόλις λάβει γνώση παραβίασης προσωπικών δεδομένων
• Διαγράφει ή επιστρέφει όλα τα προσωπικά δεδομένα στον Υπεύθυνο επεξεργασίας κατά τη λήξη της σύμβασης παροχής υπηρεσιών, εκτός εάν η διατήρηση απαιτείται από τον νόμο
• Ενημερώνει αμέσως τον Υπεύθυνο επεξεργασίας εάν, κατά την άποψη της statycs, μια εντολή παραβιάζει τον GDPR ή άλλο εφαρμοστέο δίκαιο περί προστασίας δεδομένων

Η statycs εκπληρώνει τις υποχρεώσεις ελέγχου σύμφωνα με το άρθρο 28(3)(η) GDPR παρέχοντας, κατόπιν εύλογου γραπτού αιτήματος και όχι περισσότερο από μία φορά ανά δωδεκάμηνο, την τρέχουσα σύνοψη ασφάλειας, τη λίστα των υποεκτελούντων την επεξεργασία και γραπτές απαντήσεις στο εύλογο ερωτηματολόγιο του Υπευθύνου επεξεργασίας. Επιπλέον, ο Υπεύθυνος επεξεργασίας - ή ένας ανεξάρτητος ελεγκτής που αναθέτει υπό υποχρέωση εμπιστευτικότητας - μπορεί να διενεργήσει επιτόπιο έλεγχο όχι περισσότερο από μία φορά ανά εικοσιτετράμηνο, ή οποτεδήποτε κατόπιν εντολής εποπτικής αρχής ή τεκμηριωμένης υποψίας παραβίασης. Οι επιτόπιοι έλεγχοι πραγματοποιούνται με έξοδα του Υπευθύνου επεξεργασίας, κατόπιν γραπτής προειδοποίησης τριάντα ημερών, κατά τις εργάσιμες ώρες, με το πεδίο, τον χρόνο και την εμπιστευτικότητα να συμφωνούνται εγγράφως εκ των προτέρων.

Η statycs χρησιμοποιεί τους ακόλουθους υποεκτελούντες την επεξεργασία για να συνδράμουν στην παροχή της υπηρεσίας:

• Google Analytics (Google LLC, ΗΠΑ) - analytics
• PostHog (PostHog Inc., ΗΠΑ· PostHog Cloud EU με φιλοξενία στη Γερμανία) - product analytics
• Hanko (Hanko GmbH, Γερμανία) - ταυτοποίηση
• Zero (Zero Inc., Φινλανδία) - CRM
• Hetzner (Hetzner Online GmbH, Γερμανία) - hosting
• Chatwoot (Chatwoot Inc., ΗΠΑ) - ζωντανή συνομιλία για επισκέπτες του ιστότοπου, όχι για χρήστες της εφαρμογής

Η statycs διασφαλίζει ότι όλοι οι υποεκτελούντες την επεξεργασία δεσμεύονται από γραπτές συμφωνίες που επιβάλλουν ισοδύναμες υποχρεώσεις προστασίας δεδομένων. Ο Υπεύθυνος επεξεργασίας θα ειδοποιείται για οποιεσδήποτε σκοπούμενες αλλαγές στους υποεκτελούντες την επεξεργασία τουλάχιστον τριάντα ημέρες νωρίτερα. Ο Υπεύθυνος επεξεργασίας μπορεί να αντιταχθεί σε νέο υποεκτελούντα την επεξεργασία για εύλογους λόγους εντός δεκατεσσάρων ημερών από την ειδοποίηση. Εάν η αντίρρηση δεν μπορεί να επιλυθεί, ο Υπεύθυνος επεξεργασίας μπορεί να καταγγείλει τη σύμβαση με ισχύ κατά την ημερομηνία που τίθεται σε ισχύ η αλλαγή του υποεκτελούντος την επεξεργασία, και η statycs θα επιστρέψει τα προπληρωμένα τέλη κατ' αναλογία για το αχρησιμοποίητο μέρος της περιόδου.

Η statycs αποθηκεύει και επεξεργάζεται δεδομένα πελατών εντός της Ευρωπαϊκής Ένωσης και του Ευρωπαϊκού Οικονομικού Χώρου. Όπου τα δεδομένα πρέπει να διαβιβαστούν σε υποεκτελούντες την επεξεργασία που βρίσκονται εκτός της ΕΕ ή του ΕΟΧ - ιδίως στις Ηνωμένες Πολιτείες - η statycs διασφαλίζει ότι υπάρχουν κατάλληλες εγγυήσεις σύμφωνα με το Κεφάλαιο V του GDPR.

Αυτές οι εγγυήσεις περιλαμβάνουν τις Τυποποιημένες Συμβατικές Ρήτρες της ΕΕ που έχει υιοθετήσει η Ευρωπαϊκή Επιτροπή και, όπου εφαρμόζεται, τις αποφάσεις επάρκειας. Η statycs αξιολογεί τακτικά το νομικό πλαίσιο των χωρών αποδέκτη για να διασφαλίσει τη συνεχή συμμόρφωση. Αντίγραφο των εγγυήσεων διατίθεται κατόπιν αιτήματος στο [email protected].

Η statycs εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για την προστασία των προσωπικών δεδομένων, συμπεριλαμβανομένων:

• Κρυπτογράφηση δεδομένων κατά τη μεταφορά (TLS) και σε ηρεμία
• Έλεγχοι πρόσβασης βάσει ρόλων σύμφωνα με την αρχή του ελάχιστου προνομίου
• Έλεγχος ταυτότητας πολλαπλών παραγόντων για τα εσωτερικά συστήματα
• Περιοδικοί έλεγχοι ασφάλειας ανάλογοι προς τη φύση και την κλίμακα της επεξεργασίας, συμπεριλαμβανομένων δοκιμών από τρίτους κατά καιρούς
• Αυτοματοποιημένες διαδικασίες αντιγράφων ασφαλείας δεδομένων και ανάκτησης από καταστροφή
• Καταγραφή και παρακολούθηση της πρόσβασης σε προσωπικά δεδομένα
• Εκπαίδευση ευαισθητοποίησης σε θέματα ασφάλειας για τους εργαζομένους

Μια τρέχουσα περιγραφή των τεχνικών και οργανωτικών μέτρων διατίθεται κατόπιν αιτήματος στο [email protected].

Η statycs θα ειδοποιήσει τον Υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση μόλις λάβει γνώση παραβίασης προσωπικών δεδομένων που ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων.

Η ειδοποίηση θα περιλαμβάνει, στον βαθμό που είναι γνωστά: τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό των υποκειμένων των δεδομένων που επηρεάζονται, τις πιθανές συνέπειες, τα μέτρα που ελήφθησαν ή προτείνονται για την αντιμετώπιση της παραβίασης και τον μετριασμό των επιπτώσεών της, καθώς και ένα σημείο επικοινωνίας ([email protected]) από το οποίο ο Υπεύθυνος επεξεργασίας μπορεί να λάβει περαιτέρω πληροφορίες.

Η statycs θα συνεργαστεί με τον Υπεύθυνο επεξεργασίας και θα λάβει εύλογα μέτρα για να συνδράμει στη διερεύνηση, τον περιορισμό και την αποκατάσταση της παραβίασης.

Η ευθύνη για την επεξεργασία δεδομένων σύμφωνα με την παρούσα DPA διέπεται από τους Όρους και προϋποθέσεις της υποκείμενης σύμβασης παροχής υπηρεσιών. Καμία διάταξη της παρούσας DPA δεν τροποποιεί ή επεκτείνει τις διατάξεις περί ευθύνης που έχουν συμφωνηθεί μεταξύ των μερών.

Κάθε μέρος ευθύνεται για ζημίες που προκαλούνται από επεξεργασία που παραβιάζει τον GDPR, σύμφωνα με το άρθρο 82 GDPR. Η statycs ευθύνεται μόνο για ζημία που προκαλείται από επεξεργασία η οποία δεν συμμορφώνεται με τις υποχρεώσεις που απευθύνονται ειδικά στους εκτελούντες την επεξεργασία σύμφωνα με τον GDPR ή με τις νόμιμες εντολές του Υπευθύνου επεξεργασίας.

Η παρούσα DPA λήγει αυτόματα κατά τη λήξη της υποκείμενης σύμβασης παροχής υπηρεσιών μεταξύ του Υπευθύνου επεξεργασίας και της statycs.

Κατά τη λήξη, τα προσωπικά δεδομένα που υφίστανται επεξεργασία για λογαριασμό του Υπευθύνου επεξεργασίας διατηρούνται για 30 ημέρες και στη συνέχεια διαγράφονται οριστικά, εκτός εάν ο Υπεύθυνος επεξεργασίας ζητήσει την επιστροφή των δεδομένων σε δομημένη, ευρέως χρησιμοποιούμενη μορφή κατά τη διάρκεια της περιόδου αυτής. Η statycs μπορεί να διατηρήσει προσωπικά δεδομένα πέραν της περιόδου αυτής μόνο όπου απαιτείται από το δίκαιο της ΕΕ ή το αυστριακό δίκαιο και θα ενημερώσει τον Υπεύθυνο επεξεργασίας για οποιαδήποτε τέτοια απαίτηση.

Η παρούσα DPA διέπεται από το αυστριακό δίκαιο. Ο αποκλειστικός τόπος δικαιοδοσίας είναι το αρμόδιο δικαστήριο στη Βιέννη.