Σύμβαση επεξεργασίας δεδομένων (DPA)
Η παρούσα σύμβαση (άρθρο 28 GDPR) συνάπτεται μεταξύ του Πελάτη (αντιπροσωπεία, «Υπεύθυνος επεξεργασίας») και του CarDesk («Εκτελών την επεξεργασία») και αποτελεί μέρος των Όρων χρήσης. Ισχύει αυτόματα με την αποδοχή των Όρων.
1. Αντικείμενο και διάρκεια
Ο Εκτελών επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του Υπευθύνου, αποκλειστικά για την παροχή της υπηρεσίας CarDesk, για όσο διαρκεί η συνδρομή και μέχρι τη διαγραφή ή επιστροφή των δεδομένων.
2. Περιγραφή της επεξεργασίας (Παράρτημα Ι)
| Στοιχείο | Περιγραφή |
|---|---|
| Κατηγορίες υποκειμένων | Υποψήφιοι και υφιστάμενοι πελάτες (leads) του Υπευθύνου· υπάλληλοι/πωλητές του Υπευθύνου |
| Κατηγορίες δεδομένων | Όνομα, τηλέφωνο, email, προτιμώμενη γλώσσα, όχημα ενδιαφέροντος, πηγή lead, περιεχόμενο μηνυμάτων, αρχείο συγκαταθέσεων και διαγραφών, αρχείο ελέγχου |
| Ειδικές κατηγορίες | Δεν προβλέπονται· ο Υπεύθυνος δεν πρέπει να καταχωρίζει δεδομένα του άρθρου 9 ή 10 GDPR |
| Φύση και σκοπός | Αποθήκευση, οργάνωση, AI σύνταξη και αποστολή μηνυμάτων, λήψη απαντήσεων, έλεγχοι συμμόρφωσης, αναφορές |
| Διάρκεια | Διάρκεια της συνδρομής + έως 30 ημέρες για εξαγωγή· αντίγραφα ασφαλείας έως 14 ημέρες |
3. Υποχρεώσεις του Εκτελούντος
- Επεξεργάζεται τα δεδομένα μόνο βάσει τεκμηριωμένων εντολών του Υπευθύνου (οι ρυθμίσεις και οι ενέργειες στην εφαρμογή αποτελούν τέτοιες εντολές) και τον ενημερώνει αν μια εντολή κατά τη γνώμη του παραβιάζει τον GDPR.
- Διασφαλίζει ότι τα πρόσωπα με πρόσβαση δεσμεύονται με εμπιστευτικότητα.
- Λαμβάνει τα τεχνικά και οργανωτικά μέτρα του άρθρου 32 (Παράρτημα ΙΙ).
- Συνδράμει τον Υπεύθυνο στην ικανοποίηση δικαιωμάτων των υποκειμένων (η εφαρμογή παρέχει εξαγωγή, διόρθωση, διαγραφή GDPR και opt-out) και στις υποχρεώσεις των άρθρων 32–36.
- Ενημερώνει τον Υπεύθυνο χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι δυνατόν, εντός 48 ωρών από τη στιγμή που αντιλαμβάνεται παραβίαση δεδομένων.
- Με τη λήξη, διαγράφει ή επιστρέφει τα δεδομένα κατ’ επιλογή του Υπευθύνου, εκτός αν ο νόμος επιβάλλει τη διατήρησή τους.
- Θέτει στη διάθεση του Υπευθύνου τις πληροφορίες που απαιτούνται για την απόδειξη συμμόρφωσης και επιτρέπει εύλογους ελέγχους, με προειδοποίηση 30 ημερών, έως μία φορά ετησίως.
4. Υποεκτελούντες
Ο Υπεύθυνος παρέχει γενική έγκριση για τους παρακάτω υποεκτελούντες. Ο Εκτελών ενημερώνει για κάθε νέο υποεκτελούντα τουλάχιστον 30 ημέρες πριν, και ο Υπεύθυνος μπορεί να αντιταχθεί για εύλογους λόγους και, αν δεν βρεθεί λύση, να καταγγείλει τη συνδρομή. Ο Εκτελών επιβάλλει στους υποεκτελούντες ισοδύναμες υποχρεώσεις.
| Υποεκτελών | Σκοπός | Τοποθεσία / διαβιβάσεις |
|---|---|---|
| Hostinger International Ltd (Κύπρος) | Φιλοξενία servers (VPS), βάση δεδομένων, αντίγραφα ασφαλείας | Data center στη Γαλλία (ΕΕ) |
| Twilio Ireland Ltd / Twilio Inc. | Αποστολή και λήψη SMS και WhatsApp | ΕΕ και ΗΠΑ· EU-US Data Privacy Framework και Τυποποιημένες Συμβατικές Ρήτρες (SCC) |
| Sendinblue SAS (Brevo), Γαλλία | Αποστολή και λήψη email (συναλλακτικά email, απαντήσεις πελατών) | ΕΕ (Γαλλία/Γερμανία) |
| Πάροχος AI (γλωσσικό μοντέλο), π.χ. OpenAI Ireland Ltd | Σύνταξη προσχεδίων μηνυμάτων· τα δεδομένα δεν χρησιμοποιούνται για εκπαίδευση μοντέλων | ΕΕ/ΗΠΑ ανάλογα με τον πάροχο· SCC / Data Privacy Framework |
| Stripe Payments Europe Ltd (Ιρλανδία) | Χρεώσεις συνδρομών και τιμολόγηση (μόνο δεδομένα λογαριασμού αντιπροσωπείας) | ΕΕ και ΗΠΑ· SCC / Data Privacy Framework |
| Plausible Insights OÜ ή Umami (προαιρετικά) | Ανώνυμα στατιστικά επισκεψιμότητας, μόνο με συγκατάθεση | ΕΕ |
5. Διεθνείς διαβιβάσεις
Διαβιβάσεις εκτός ΕΟΧ γίνονται μόνο με κατάλληλες εγγυήσεις του Κεφαλαίου V GDPR (απόφαση επάρκειας, ιδίως EU-US Data Privacy Framework, ή Τυποποιημένες Συμβατικές Ρήτρες).
6. Υποχρεώσεις του Υπευθύνου
Ο Υπεύθυνος εγγυάται ότι έχει νόμιμη βάση για κάθε δεδομένο που καταχωρίζει και για κάθε επικοινωνία που ενεργοποιεί, ότι έχει ενημερώσει τα υποκείμενα (άρθρα 13–14) και ότι τηρεί τους κανόνες ePrivacy για μηνύματα εμπορικής προώθησης.
7. Τεχνικά και οργανωτικά μέτρα (Παράρτημα ΙΙ)
- Φιλοξενία στην ΕΕ, απομονωμένα Docker containers, ιδιωτικό δίκτυο χωρίς δημόσια πρόσβαση σε βάση και Redis, firewall που επιτρέπει μόνο SSH και HTTPS.
- TLS σε όλη την κίνηση, HSTS, κεφαλίδες ασφαλείας, κωδικοί με bcrypt, υπογεγραμμένα session cookies (httpOnly, Secure).
- Λογικός διαχωρισμός δεδομένων ανά αντιπροσωπεία σε κάθε ερώτημα, ρόλοι χρηστών (ιδιοκτήτης, διευθυντής, πωλητής).
- Περιορισμός προσπαθειών σύνδεσης/εγγραφής, αρχείο ελέγχου με απόκρυψη προσωπικών δεδομένων στα logs.
- Νυχτερινά αντίγραφα ασφαλείας με διατήρηση 14 ημερών, πρόσβαση μόνο από διαχειριστές.
- Έλεγχοι συμμόρφωσης πριν από κάθε αποστολή: opt-out, συγκατάθεση ανά κανάλι, ώρες σιωπής, όρια.
8. Υπεροχή
Σε περίπτωση σύγκρουσης για θέματα προστασίας δεδομένων, η παρούσα σύμβαση υπερισχύει των Όρων χρήσης. Για υπογεγραμμένο αντίγραφο, γράψτε στο hello@getcardesk.com.