Σύμβαση Επεξεργασίας Δεδομένων

Υπεύθυνος επεξεργασίας: ο Πελάτης της υπηρεσίας Kontevia, μια επιχείρηση ή αυτοαπασχολούμενο πρόσωπο που επεξεργάζεται προσωπικά δεδομένα που περιέχονται στα λογιστικά του έγγραφα και σε άλλα δεδομένα που υποβάλλονται στην Υπηρεσία.

Εκτελών την επεξεργασία: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Τσεχική Δημοκρατία, Αριθμός εταιρείας 22103741, καταχωρισμένη στο Εμπορικό Μητρώο που τηρείται από το Δημοτικό Δικαστήριο της Πράγας, αριθμός φακέλου C 410771. Επικοινωνία για την προστασία δεδομένων: hello@kontevia.com.

1.1. Η παρούσα Σύμβαση διέπει τα δικαιώματα και τις υποχρεώσεις των μερών όταν ο Εκτελών την επεξεργασία επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του Υπευθύνου επεξεργασίας κατά την παροχή της υπηρεσίας Kontevia (η "Υπηρεσία").

1.2. Η παρούσα Σύμβαση αποτελεί αναπόσπαστο μέρος των Όρων και Προϋποθέσεων και τίθεται σε ισχύ όταν ο Υπεύθυνος επεξεργασίας εγγράφεται στην Υπηρεσία. Ισχύει για όσο διάστημα ο Εκτελών την επεξεργασία επεξεργάζεται προσωπικά δεδομένα για τον Υπεύθυνο επεξεργασίας.

2.1. Ο Εκτελών την επεξεργασία επεξεργάζεται προσωπικά δεδομένα αποκλειστικά για τον σκοπό της παροχής της Υπηρεσίας, δηλαδή:

• παραλαβή και ψηφιοποίηση λογιστικών εγγράφων που υποβάλλονται μέσω συνομιλίας, e-mail ή μεταφόρτωσης·
• εξαγωγή δεδομένων από έγγραφα με χρήση οπτικής αναγνώρισης χαρακτήρων και αυτοματοποιημένων μοντέλων εξαγωγής·
• κατηγοριοποίηση, εντοπισμό διπλότυπων και προτάσεις μεταχείρισης ΦΠΑ·
• έκδοση τιμολογίων και άλλων εγγράφων κατόπιν εντολής του Υπευθύνου επεξεργασίας·
• εισαγωγή τραπεζικών συναλλαγών που συνδέει ο Υπεύθυνος επεξεργασίας και αντιστοίχισή τους με έγγραφα·
• προετοιμασία συνόψεων, αναφορών και εξαγωγών προς το λογιστικό σύστημα ή τον λογιστή του Υπευθύνου επεξεργασίας·
• αποθήκευση εγγράφων και δεδομένων εντός της Υπηρεσίας για τη διάρκεια της σύμβασης και της περιόδου εξαγωγής.

2.2. Ο Εκτελών την επεξεργασία επεξεργάζεται προσωπικά δεδομένα μόνο βάσει τεκμηριωμένων εντολών του Υπευθύνου επεξεργασίας, συμπεριλαμβανομένων εντολών σχετικά με διαβιβάσεις σε τρίτες χώρες, εκτός εάν υποχρεούται να το πράξει βάσει του δικαίου της Ένωσης ή κράτους μέλους· σε αυτή την περίπτωση ο Εκτελών την επεξεργασία ενημερώνει τον Υπεύθυνο επεξεργασίας πριν από την επεξεργασία, εκτός εάν το απαγορεύει ο νόμος.

3.1. Υποκείμενα δεδομένων: οι επιχειρηματικοί εταίροι του Υπευθύνου επεξεργασίας (προμηθευτές, πελάτες, πρόσωπα επικοινωνίας), οι εργαζόμενοι και συνεργάτες του Υπευθύνου επεξεργασίας όπου επεξεργάζονται έγγραφα μισθοδοσίας ή δαπανών, και οι ίδιοι οι χρήστες της Υπηρεσίας του Υπευθύνου επεξεργασίας.

3.2. Κατηγορίες προσωπικών δεδομένων: δεδομένα ταυτοποίησης (όνομα, εταιρεία, αριθμοί μητρώου εταιρείας και ΦΠΑ)· δεδομένα επικοινωνίας (διεύθυνση, e-mail, τηλέφωνο)· οικονομικά δεδομένα (τιμολογηθέντα ποσά, αριθμοί τραπεζικών λογαριασμών, στοιχεία πληρωμών)· δεδομένα απασχόλησης όπου υποβάλλονται έγγραφα μισθοδοσίας (θέση εργασίας, μισθός, αριθμοί ασφάλισης)· δεδομένα χρήσης των χρηστών του Υπευθύνου επεξεργασίας.

3.3. Ο Εκτελών την επεξεργασία δεν απαιτεί ειδικές κατηγορίες δεδομένων κατά την έννοια του Άρθρου 9 του GDPR. Ο Υπεύθυνος επεξεργασίας αναλαμβάνει να μην υποβάλλει τέτοια δεδομένα μέσω της Υπηρεσίας, εκτός εάν περιέχονται σε έγγραφο που ο Υπεύθυνος επεξεργασίας υποχρεούται νομικά να τηρεί, οπότε ο Υπεύθυνος επεξεργασίας είναι υπεύθυνος για τη νόμιμη βάση.

Ο Εκτελών την επεξεργασία αναλαμβάνει να:

• επεξεργάζεται προσωπικά δεδομένα μόνο βάσει τεκμηριωμένων εντολών του Υπευθύνου επεξεργασίας και μόνο στον βαθμό που είναι απαραίτητο για την Υπηρεσία·
• διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται προσωπικά δεδομένα έχουν αναλάβει δέσμευση εμπιστευτικότητας ή υπόκεινται σε κατάλληλη νόμιμη υποχρέωση εμπιστευτικότητας·
• εφαρμόζει τα τεχνικά και οργανωτικά μέτρα που απαιτούνται από το Άρθρο 32 του GDPR, ιδίως εκείνα που αναφέρονται στο Παράρτημα της παρούσας Σύμβασης·
• μη προσλαμβάνει άλλον εκτελούντα την επεξεργασία χωρίς προηγούμενη γενική έγγραφη εξουσιοδότηση του Υπευθύνου επεξεργασίας, την οποία ο Υπεύθυνος επεξεργασίας παρέχει βάσει του Άρθρου 6 της παρούσας Σύμβασης·
• λαμβάνοντας υπόψη τη φύση της επεξεργασίας, να βοηθά τον Υπεύθυνο επεξεργασίας με κατάλληλα τεχνικά και οργανωτικά μέτρα στην ανταπόκριση σε αιτήματα υποκειμένων δεδομένων που ασκούν τα δικαιώματά τους·
• βοηθά τον Υπεύθυνο επεξεργασίας στη διασφάλιση της συμμόρφωσης με τα Άρθρα 32 έως 36 του GDPR (ασφάλεια, κοινοποίηση παραβίασης, εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων, προηγούμενη διαβούλευση), λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που διαθέτει ο Εκτελών την επεξεργασία·
• κατ' επιλογή του Υπευθύνου επεξεργασίας, να διαγράφει ή να επιστρέφει όλα τα προσωπικά δεδομένα μετά τη λήξη της παροχής της Υπηρεσίας και να διαγράφει τα υπάρχοντα αντίγραφα, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους απαιτεί την αποθήκευσή τους·
• θέτει στη διάθεση του Υπευθύνου επεξεργασίας όλες τις πληροφορίες που είναι απαραίτητες για να αποδείξει τη συμμόρφωση με το Άρθρο 28 του GDPR και να επιτρέπει και να συμβάλλει σε ελέγχους, συμπεριλαμβανομένων επιθεωρήσεων, που διενεργούνται από τον Υπεύθυνο επεξεργασίας ή από ελεγκτή εξουσιοδοτημένο από τον Υπεύθυνο επεξεργασίας·
• ενημερώνει αμέσως τον Υπεύθυνο επεξεργασίας εάν, κατά τη γνώμη του, μια εντολή παραβιάζει τον GDPR ή άλλες διατάξεις προστασίας δεδομένων της Ένωσης ή κράτους μέλους.

5.1. Ο Εκτελών την επεξεργασία κοινοποιεί στον Υπεύθυνο επεξεργασίας κάθε παραβίαση προσωπικών δεδομένων χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 48 ωρών από τη στιγμή που λαμβάνει γνώση.

5.2. Η κοινοποίηση περιλαμβάνει τουλάχιστον: περιγραφή της φύσης της παραβίασης, συμπεριλαμβανομένων, όπου είναι δυνατόν, των κατηγοριών και του κατά προσέγγιση αριθμού των υποκειμένων δεδομένων και των εγγραφών που αφορά· το όνομα και τα στοιχεία επικοινωνίας του υπεύθυνου προσώπου· περιγραφή των πιθανών συνεπειών· και περιγραφή των μέτρων που ελήφθησαν ή προτείνονται για την αντιμετώπιση της παραβίασης και τον περιορισμό των συνεπειών της.

5.3. Ο Εκτελών την επεξεργασία συνεργάζεται με τον Υπεύθυνο επεξεργασίας για την εκπλήρωση των υποχρεώσεων κοινοποίησης του Υπευθύνου επεξεργασίας προς την αρμόδια εποπτική αρχή και τα υποκείμενα δεδομένων.

6.1. Ο Υπεύθυνος επεξεργασίας παρέχει γενική εξουσιοδότηση στον Εκτελούντα την επεξεργασία να προσλαμβάνει υπεργολάβους επεξεργασίας προσωπικών δεδομένων.

6.2. Ο τρέχων κατάλογος υπεργολάβων, με τον σκοπό και την τοποθεσία καθενός, δημοσιεύεται στη σελίδα Υπεργολάβοι Επεξεργασίας της ιστοσελίδας του Εκτελούντος την επεξεργασία και αποτελεί παράρτημα της παρούσας Σύμβασης.

6.3. Ο Εκτελών την επεξεργασία ενημερώνει τον Υπεύθυνο επεξεργασίας για κάθε σκοπούμενη προσθήκη ή αντικατάσταση υπεργολάβων τουλάχιστον 14 ημέρες εκ των προτέρων, μέσω e-mail στη διεύθυνση επικοινωνίας του Υπευθύνου επεξεργασίας ή με ειδοποίηση εντός της Υπηρεσίας, δίνοντας στον Υπεύθυνο επεξεργασίας τη δυνατότητα να αντιταχθεί.

6.4. Εάν ο Υπεύθυνος επεξεργασίας υποβάλει δικαιολογημένη αντίρρηση εντός 14 ημερών από την ειδοποίηση, ο Εκτελών την επεξεργασία είτε απέχει από την σκοπούμενη αλλαγή είτε προσφέρει στον Υπεύθυνο επεξεργασίας τη δυνατότητα να λύσει τη σύμβαση χωρίς κύρωση και με επιστροφή των προπληρωμένων τελών για το αχρησιμοποίητο διάστημα.

6.5. Ο Εκτελών την επεξεργασία επιβάλλει σε κάθε υπεργολάβο, μέσω σύμβασης, τις ίδιες υποχρεώσεις προστασίας δεδομένων που ορίζονται στην παρούσα Σύμβαση, ιδίως επαρκείς εγγυήσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων. Όπου ένας υπεργολάβος δεν εκπληρώνει τις υποχρεώσεις του, ο Εκτελών την επεξεργασία παραμένει πλήρως υπεύθυνος έναντι του Υπευθύνου επεξεργασίας για την εκτέλεση των υποχρεώσεων αυτού του υπεργολάβου.

7.1. Τα προσωπικά δεδομένα αποθηκεύονται σε διακομιστές που βρίσκονται εντός της Ευρωπαϊκής Ένωσης. Ο Εκτελών την επεξεργασία δεν διαβιβάζει προσωπικά δεδομένα εκτός του Ευρωπαϊκού Οικονομικού Χώρου, παρά μόνο σε υπεργολάβους που αναφέρονται στη σελίδα Υπεργολάβοι Επεξεργασίας και μόνο με κατάλληλες εγγυήσεις βάσει του Κεφαλαίου V του GDPR.

7.2. Τέτοιες διαβιβάσεις βασίζονται σε απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής (συμπεριλαμβανομένου του Πλαισίου Προστασίας Δεδομένων ΕΕ-ΗΠΑ για πιστοποιημένους παραλήπτες), στις τυποποιημένες συμβατικές ρήτρες που εγκρίθηκαν από την Επιτροπή βάσει του Άρθρου 46 παράγραφος 2 στοιχείο γ) του GDPR, ή σε άλλες κατάλληλες εγγυήσεις, οι οποίες συμπληρώνονται με πρόσθετα μέτρα όπου μια εκτίμηση αντικτύπου της διαβίβασης το απαιτεί.

8.1. Ο Εκτελών την επεξεργασία παρέχει στον Υπεύθυνο επεξεργασίας εύλογη βοήθεια στη διαχείριση αιτημάτων υποκειμένων δεδομένων για την άσκηση των δικαιωμάτων τους βάσει των Άρθρων 15 έως 22 του GDPR (πρόσβαση, διόρθωση, διαγραφή, περιορισμό, φορητότητα, εναντίωση). Η Υπηρεσία περιλαμβάνει λειτουργίες αναζήτησης, εξαγωγής και διαγραφής που επιτρέπουν στον Υπεύθυνο επεξεργασίας να διαχειρίζεται τα περισσότερα αιτήματα απευθείας.

8.2. Εάν ένα υποκείμενο δεδομένων επικοινωνήσει απευθείας με τον Εκτελούντα την επεξεργασία, ο Εκτελών την επεξεργασία παραπέμπει το υποκείμενο δεδομένων στον Υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση και ενημερώνει τον Υπεύθυνο επεξεργασίας, εκτός εάν το αίτημα αφορά δεδομένα για τα οποία ο ίδιος ο Εκτελών την επεξεργασία είναι ο υπεύθυνος επεξεργασίας.

9.1. Ο Εκτελών την επεξεργασία επιτρέπει στον Υπεύθυνο επεξεργασίας ή σε ελεγκτή εξουσιοδοτημένο από τον Υπεύθυνο επεξεργασίας να διενεργεί ελέγχους και επιθεωρήσεις για την επαλήθευση της συμμόρφωσης με την παρούσα Σύμβαση και τον GDPR.

9.2. Οι έλεγχοι διενεργούνται με έξοδα του Υπευθύνου επεξεργασίας, με εύλογη προειδοποίηση τουλάχιστον 14 εργάσιμων ημερών, κατά τις εργάσιμες ώρες και με τρόπο που δεν διαταράσσει τη λειτουργία του Εκτελούντος την επεξεργασία ούτε θέτει σε κίνδυνο την ασφάλεια των δεδομένων άλλων πελατών. Ο ελεγκτής πρέπει να δεσμεύεται από εμπιστευτικότητα.

9.3. Αντί για επιτόπιο έλεγχο, ο Εκτελών την επεξεργασία μπορεί να παρέχει τρέχοντα πιστοποιητικά, αναφορές ανεξάρτητων ελεγκτών ή άλλη τεκμηρίωση που αποδεικνύει τη συμμόρφωση με τα μέτρα ασφαλείας, όπου αυτά επαρκούν για να απαντήσουν στα ερωτήματα του Υπευθύνου επεξεργασίας.

10.1. Η παρούσα Σύμβαση ισχύει για τη διάρκεια της συμβατικής σχέσης μεταξύ του Υπευθύνου επεξεργασίας και του Εκτελούντος την επεξεργασία, δηλαδή για όσο διάστημα ο Υπεύθυνος επεξεργασίας χρησιμοποιεί την Υπηρεσία.

10.2. Μετά τη λήξη της συμβατικής σχέσης ο Εκτελών την επεξεργασία: επιτρέπει στον Υπεύθυνο επεξεργασίας να εξάγει τα δεδομένα του για 90 ημέρες· μετά την περίοδο των 90 ημερών διαγράφει οριστικά όλα τα προσωπικά δεδομένα του Υπευθύνου επεξεργασίας· διαγράφει τα αντίγραφα ασφαλείας το αργότερο εντός 45 ημερών από τη διαγραφή των πρωτογενών δεδομένων· και επιβεβαιώνει τη διαγραφή κατόπιν αιτήματος του Υπευθύνου επεξεργασίας. Εξαιρούνται τα δεδομένα που ο Εκτελών την επεξεργασία οφείλει να διατηρεί βάσει του δικαίου της Ένωσης ή κράτους μέλους (ιδίως λογιστικά αρχεία).

10.3. Οι υποχρεώσεις της παρούσας Σύμβασης, ιδίως η εμπιστευτικότητα και η ασφάλεια, εξακολουθούν να ισχύουν μετά τη λήξη της συμβατικής σχέσης για όσο διάστημα ο Εκτελών την επεξεργασία διατηρεί οποιαδήποτε προσωπικά δεδομένα του Υπευθύνου επεξεργασίας.

11.1. Ο Εκτελών την επεξεργασία ευθύνεται για ζημία που προκαλείται από επεξεργασία κατά παράβαση της παρούσας Σύμβασης ή του GDPR σύμφωνα με το Άρθρο 82 του GDPR, ιδίως όταν δεν έχει συμμορφωθεί με υποχρεώσεις του GDPR που απευθύνονται ειδικά σε εκτελούντες την επεξεργασία ή έχει ενεργήσει εκτός ή κατά παράβαση νόμιμων εντολών του Υπευθύνου επεξεργασίας.

11.2. Οι περιορισμοί ευθύνης στους Όρους και Προϋποθέσεις ισχύουν για την παρούσα Σύμβαση στον βαθμό που επιτρέπεται από τον νόμο· δεν περιορίζουν τα δικαιώματα των υποκειμένων δεδομένων.

12.1. Η παρούσα Συμφωνία διέπεται από το δίκαιο της Τσεχικής Δημοκρατίας και το άμεσα εφαρμοστέο δίκαιο της Ευρωπαϊκής Ένωσης, ιδίως τον ΓΚΠΔ.

12.2. Σε περίπτωση σύγκρουσης μεταξύ της παρούσας Συμφωνίας και των Όρων και Προϋποθέσεων, υπερισχύει η παρούσα Συμφωνία σε θέματα προστασίας προσωπικών δεδομένων.

12.3. Οι τροποποιήσεις της παρούσας Συμφωνίας απαιτούν γραπτή μορφή, η οποία περιλαμβάνει ενημερωμένη έκδοση δημοσιευμένη στον ιστότοπο και κοινοποιημένη στον Υπεύθυνο Επεξεργασίας σύμφωνα με τους Όρους και Προϋποθέσεις.

12.4. Οι διαφορές που προκύπτουν από την παρούσα Συμφωνία επιλύονται από τα δικαστήρια της Τσεχικής Δημοκρατίας που είναι αρμόδια βάσει της έδρας του Εκτελούντος την Επεξεργασία, με την επιφύλαξη των δικαιωμάτων των υποκειμένων των δεδομένων και των εποπτικών αρχών.

Κρυπτογράφηση

• Κρυπτογράφηση AES-256 των δεδομένων σε κατάσταση αποθήκευσης, συμπεριλαμβανομένων των αντιγράφων ασφαλείας.
• TLS 1.2 ή νεότερη έκδοση για όλα τα δεδομένα κατά τη μεταφορά, συμπεριλαμβανομένων των συνδέσεων με υπο-εκτελούντες την επεξεργασία.

Έλεγχος πρόσβασης

• Πρόσβαση με βάση την αρχή του ελάχιστου απαραίτητου προνομίου· κάθε εργαζόμενος και σύστημα έχει μόνο τα δικαιώματα που απαιτούνται για τον ρόλο του.
• Πολυπαραγοντική ταυτοποίηση για διαχειριστική πρόσβαση και πρόσβαση στην υποδομή.
• Διαχωρισμός των χώρων εργασίας των πελατών στο επίπεδο εφαρμογής και βάσης δεδομένων.
• Τακτική επανεξέταση και άμεση ανάκληση δικαιωμάτων πρόσβασης.

Διαθεσιμότητα και ανθεκτικότητα

• Τακτικά αυτοματοποιημένα αντίγραφα ασφαλείας με δοκιμασμένες διαδικασίες αποκατάστασης.
• Πλεονάζουσα υποδομή φιλοξενίας εντός της Ευρωπαϊκής Ένωσης.
• Παρακολούθηση διαθεσιμότητας και απόδοσης με ειδοποιήσεις.

Ακεραιότητα και καταγραφή

• Καταγραφή της πρόσβασης σε προσωπικά δεδομένα και των διαχειριστικών ενεργειών.
• Ίχνος ελέγχου για έγγραφα: ποιος τα υπέβαλε, τα τροποποίησε, τα ενέκρινε ή τα εξήγαγε και πότε.
• Εντοπισμός ανωμαλιών και περιστατικών ασφαλείας.

Οργανωτικά μέτρα

• Υποχρεώσεις εμπιστευτικότητας όλου του προσωπικού και των συνεργατών με πρόσβαση σε προσωπικά δεδομένα.
• Εκπαίδευση του προσωπικού σε θέματα προστασίας δεδομένων και ασφάλειας.
• Τεκμηριωμένες εσωτερικές διαδικασίες για την επεξεργασία προσωπικών δεδομένων και τη διαχείριση αιτημάτων υποκειμένων δεδομένων.
• Σχέδιο αντιμετώπισης περιστατικών με καθορισμένους ρόλους και προθεσμίες κοινοποίησης.
• Έλεγχος προστασίας δεδομένων νέων υπο-εκτελούντων την επεξεργασία πριν από τη συνεργασία.