Ο Εκτελών την Επεξεργασία θα επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα αποκλειστικά για τον σκοπό παροχής των υπηρεσιών που ορίζονται στην Κύρια Σύμβαση. Το αντικείμενο επεξεργασίας καλύπτει τις ακόλουθες παραμέτρους:

2.1 Kategorije posameznikov

• Πελάτες και εν δυνάμει πελάτες (Leads) του Υπευθύνου Επεξεργασίας.
• Εργαζόμενοι, αντιπρόσωποι και εξωτερικοί συνεργάτες του Υπευθύνου Επεξεργασίας (χρήστες πλατφόρμας SaaS).
• Επιχειρηματικοί εταίροι και προμηθευτές του Υπευθύνου Επεξεργασίας.

2.2 Vrste osebnih podatkov

2.3 Narava obdelave

Η επεξεργασία περιλαμβάνει συλλογή, καταγραφή, οργάνωση, διάρθρωση, αποθήκευση, προσαρμογή, ανάκτηση, ανάγνωση, χρήση, κοινολόγηση (εντός πλατφόρμας), περιορισμό, διαγραφή και καταστροφή δεδομένων με χρήση αυτοματοποιημένων συστημάτων IT και AI.

Ο Εκτελών την Επεξεργασία αναλαμβάνει να τηρεί αυστηρά τις ακόλουθες υποχρεώσεις κατά την επεξεργασία Δεδομένων Προσωπικού Χαρακτήρα:

• Γραπτές εντολές: Επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα αποκλειστικά βάσει τεκμηριωμένων εντολών του Υπευθύνου Επεξεργασίας (συμπεριλαμβανομένης της χρήσης λειτουργιών εντός της πλατφόρμας SaaS). Εάν ο Εκτελών την Επεξεργασία κρίνει ότι μια εντολή παραβαίνει τον GDPR, ενημερώνει αμέσως τον Υπεύθυνο Επεξεργασίας.
• Εμπιστευτικότητα: Διασφαλίζει ότι τα εξουσιοδοτημένα προς επεξεργασία πρόσωπα (εργαζόμενοι, εξωτερικοί συνεργάτες) δεσμεύονται από αυστηρή νομική υποχρέωση τήρησης εμπιστευτικότητας.
• Συνδρομή στον Υπεύθυνο Επεξεργασίας: Λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις διαθέσιμες πληροφορίες, παρέχει συνδρομή στον Υπεύθυνο Επεξεργασίας για την εκπλήρωση των υποχρεώσεών του σχετικά με ασφάλεια, κοινοποίηση παραβιάσεων και εκπόνηση εκτιμήσεων αντίκτυπου σχετικά με την προστασία δεδομένων (DPIA).
• Περιορισμός χρήσης: Δεν χρησιμοποιεί ποτέ τα Δεδομένα Προσωπικού Χαρακτήρα του Υπευθύνου Επεξεργασίας για ίδιους διαφημιστικούς σκοπούς, πώληση σε τρίτους ή εμπορική εκμετάλλευση δεδομένων.

Ο Υπεύθυνος Επεξεργασίας ως ιδιοκτήτης των δεδομένων φέρει την πρωταρχική ευθύνη για τη νομιμότητα της επεξεργασίας. Ο Υπεύθυνος Επεξεργασίας αναλαμβάνει ότι:

• Διαθέτει έγκυρη νομική βάση (π.χ. συγκατάθεση, σύμβαση, έννομο συμφέρον) για τη συλλογή και διαβίβαση Δεδομένων Προσωπικού Χαρακτήρα στον Εκτελούντα την Επεξεργασία.
• Έχει παράσχει εγκαίρως στα υποκείμενα δεδομένων όλες τις απαραίτητες πληροφορίες (Πολιτική Απορρήτου) σύμφωνα με τα άρθρα 13 και 14 του GDPR.
• Δεν θα εισάγει στα συστήματα του Εκτελούντος την Επεξεργασία ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα (δεδομένα υγείας, βιομετρικά, πολιτικές πεποιθήσεις), εκτός εάν αυτό έχει συμφωνηθεί ρητά και εγγράφως και προστατεύεται με πρόσθετα TOMs.
• Θα μεριμνά για την ασφάλεια των κωδικών πρόσβασης πρόσβασης (χρήση 2FA/MFA) και των κλειδιών API για πρόσβαση στην πλατφόρμα Findes.

Ο Εκτελών την Επεξεργασία εφαρμόζει τα υψηλότερα βιομηχανικά πρότυπα για την προστασία δεδομένων. Τα τυποποιημένα TOMs (Technical and Organisational Measures) περιλαμβάνουν:

5.1 Τεχνικά μέτρα

• Κρυπτογράφηση: Όλα τα δεδομένα κρυπτογραφούνται κατά τη μεταφορά (TLS 1.3 / HTTPS) και σε κατάσταση ηρεμίας (κρυπτογράφηση βάσεων δεδομένων AES-256).
• Έλεγχος πρόσβασης: Εφαρμόζεται αυστηρό σύστημα ρόλων και δικαιωμάτων (RBAC). Πρόσβαση στις βάσεις δεδομένων παραγωγής έχουν μόνο εξουσιοδοτημένοι ανώτεροι μηχανικοί μέσω ασφαλών συνδέσεων VPN και MFA.
• Εφεδρικά αντίγραφα (Backups): Αυτοματοποιημένα ημερήσια εφεδρικά αντίγραφα, αποθηκευμένα σε ξεχωριστές γεωγραφικές τοποθεσίες, με επαλήθευση ακεραιότητας αποκατάστασης.
• Παρακολούθηση δικτύου: Χρήση WAF (Web Application Firewall), προστασίας DDoS και συστημάτων ανίχνευσης εισβολών (IDS/IPS).

5.2 Organizacijski ukrepi

• Πολιτικές κωδικών πρόσβασης: Υποχρεωτική χρήση ισχυρών κωδικών πρόσβασης και πολυπαραγοντικής ταυτοποίησης (MFA) για όλους τους εργαζομένους του Εκτελούντος την Επεξεργασία.
• Εκπαίδευση: Τακτικές ετήσιες εκπαιδεύσεις εργαζομένων σχετικά με την ασφάλεια πληροφοριών και τη συμμόρφωση με τον GDPR.
• Clean Desk Policy: Πολιτική καθαρής επιφάνειας εργασίας και κλειδώματος οθονών στους φυσικούς χώρους της εταιρείας.
• Διαχείριση περιστατικών: Τεκμηριωμένη διαδικασία για ταχεία αντιμετώπιση περιστατικών ασφαλείας.

Ο Υπεύθυνος Επεξεργασίας παρέχει γενική γραπτή εξουσιοδότηση στον Εκτελούντα την Επεξεργασία για τη δέσμευση Υπο-εκτελούντων την Επεξεργασία. Ο Εκτελών την Επεξεργασία χρησιμοποιεί επί του παρόντος τους ακόλουθους βασικούς Υπο-εκτελούντες:

6.1 Sprememba Podobdelovalcev

Ο Εκτελών την Επεξεργασία θα ενημερώνει τον Υπεύθυνο Επεξεργασίας για κάθε σκοπούμενη αλλαγή ή προσθήκη νέων Υπο-εκτελούντων την Επεξεργασία (συνήθως μέσω ειδοποίησης στον πίνακα ελέγχου ή μέσω ηλεκτρονικού ταχυδρομείου) τουλάχιστον 14 ημέρες πριν από την εφαρμογή της αλλαγής. Ο Υπεύθυνος Επεξεργασίας έχει δικαίωμα αντίρρησης για τεκμηριωμένους λόγους που σχετίζονται με την προστασία δεδομένων. Εάν η διαφορά δεν δύναται να επιλυθεί, ο Υπεύθυνος Επεξεργασίας έχει δικαίωμα καταγγελίας της Κύριας Σύμβασης.

6.2 Ευθύνη για Υπο-εκτελούντες την Επεξεργασία

Ο Εκτελών την Επεξεργασία συνάπτει δεσμευτική σύμβαση (DPA) με κάθε Υπο-εκτελούντα την Επεξεργασία, η οποία επιβάλλει στον Υπο-εκτελούντα ίδιες ή αυστηρότερες υποχρεώσεις προστασίας δεδομένων από αυτές που ορίζονται στο παρόν DPA. Ο Εκτελών την Επεξεργασία παραμένει πλήρως υπεύθυνος έναντι του Υπευθύνου Επεξεργασίας για την εκπλήρωση των υποχρεώσεων των Υπο-εκτελούντων.

Η κύρια τοποθεσία επεξεργασίας και αποθήκευσης δεδομένων βρίσκεται εντός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ). Εάν μια υπηρεσία απαιτεί διαβίβαση δεδομένων εκτός ΕΟΧ (π.χ. σε παρόχους στις ΗΠΑ), ο Εκτελών την Επεξεργασία διασφαλίζει ότι η διαβίβαση πραγματοποιείται αποκλειστικά βάσει μίας εκ των ακόλουθων νομικών βάσεων:

• Απόφαση επάρκειας: Διαβίβαση σε χώρες για τις οποίες η Ευρωπαϊκή Επιτροπή έχει διαπιστώσει ότι παρέχουν επαρκές επίπεδο προστασίας (συμπεριλαμβανομένου του EU-US Data Privacy Framework για πιστοποιημένες εταιρείες στις ΗΠΑ).
• Τυποποιημένες Συμβατικές Ρήτρες (SCCs): Σύναψη των πλέον πρόσφατων SCCs που έχει εγκρίνει η Ευρωπαϊκή Επιτροπή, με πρόσθετα τεχνικά μέτρα (Transfer Impact Assessment - TIA) εφόσον απαιτείται.

Σε περίπτωση επιβεβαιωμένης παραβίασης ασφαλείας δεδομένων προσωπικού χαρακτήρα (π.χ. μη εξουσιοδοτημένη πρόσβαση, απώλεια, καταστροφή ή αποκάλυψη δεδομένων) που επεξεργάζεται ο Εκτελών την Επεξεργασία, ο τελευταίος θα:

• Χωρίς αδικαιολόγητη καθυστέρηση, το αργότερο εντός 48 ωρών από τη γνωστοποίηση της παραβίασης, ενημερώνει εγγράφως τον Υπεύθυνο Επεξεργασίας (στη διεύθυνση ηλεκτρονικού ταχυδρομείου του διαχειριστή ή του DPO του Υπευθύνου Επεξεργασίας).
• Αναφέρει στην ειδοποίηση: τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό των ενδιαφερομένων υποκειμένων, τις πιθανές συνέπειες της παραβίασης και τα μέτρα που έχουν ληφθεί ή θα ληφθούν για τον περιορισμό της ζημίας.
• Παρέχει κάθε εύλογη συνδρομή στον Υπεύθυνο Επεξεργασίας για την εκπλήρωση της υποχρέωσής του κοινοποίησης στην εποπτική αρχή (π.χ. στον Πληροφοριακό Επίτροπο) και στα θιγόμενα υποκείμενα εντός της 72ωρης προθεσμίας που απαιτεί ο GDPR.

Εάν υποκείμενο δεδομένων (π.χ. πελάτης του Υπευθύνου Επεξεργασίας) υποβάλει αίτημα άσκησης δικαιωμάτων του (πρόσβαση, διόρθωση, διαγραφή/λήθη, περιορισμός, φορητότητα) απευθείας στον Εκτελούντα την Επεξεργασία, ο τελευταίος θα:

• Διαβιβάζει αμέσως το αίτημα στον Υπεύθυνο Επεξεργασίας και δεν θα απαντά σε αυτό αυτόνομα.
• Παρέχει στον Υπεύθυνο Επεξεργασίας, στο πλαίσιο των λειτουργιών της πλατφόρμας IT, εργαλεία για αυτόνομη εκπλήρωση του αιτήματος (π.χ. κουμπί διαγραφής προφίλ, εξαγωγή δεδομένων σε JSON/CSV).
• Εάν τα εργαλεία δεν επαρκούν, ο Εκτελών την Επεξεργασία θα παρέχει τεχνική συνδρομή κατόπιν εγγράφου αιτήματος του Υπευθύνου Επεξεργασίας για την υλοποίηση του αιτήματος. Τυχόν εκτεταμένη χειροκίνητη εργασία δύναται να χρεωθεί στον Υπεύθυνο Επεξεργασίας βάσει του ισχύοντος τιμοκαταλόγου υπηρεσιών IT.

Επειδή η Findes Group ενσωματώνει λειτουργίες AI στις πλατφόρμες της (π.χ. αυτοματισμός υποστήριξης, ανάλυση εγγράφων), ισχύουν οι ακόλουθοι αυστηροί κανόνες σύμφωνα με τον Κανονισμό για την Τεχνητή Νοημοσύνη (EU AI Act):

• Zero-Data Retention για εκπαίδευση AI: Τα Δεδομένα Προσωπικού Χαρακτήρα του Υπευθύνου Επεξεργασίας δεν χρησιμοποιούνται ποτέ για την εκπαίδευση (fine-tuning) δημόσιων ή θεμελιωδών μοντέλων (Foundation Models) του Εκτελούντος την Επεξεργασία ή των Υπο-εκτελούντων AI αυτού (π.χ. OpenAI). Οι κλήσεις API προς παρόχους AI έχουν ρυθμιστεί ώστε τα δεδομένα να μην αποθηκεύονται και να μην χρησιμοποιούνται για εκπαίδευση.
• Διαφάνεια: Όταν το σύστημα AI επικοινωνεί απευθείας με τους τελικούς πελάτες του Υπευθύνου Επεξεργασίας (π.χ. AI Chatbot), ο πελάτης πρέπει να ενημερώνεται σαφώς ότι επικοινωνεί με μηχανή.
• Απαγόρευση συστημάτων υψηλού κινδύνου: Ο Εκτελών την Επεξεργασία δεν εκτελεί για λογαριασμό του Υπευθύνου Επεξεργασίας διεργασίες AI που εντάσσονται στην κατηγορία "μη αποδεκτού κινδύνου" (π.χ. κοινωνική βαθμολόγηση) ή "υψηλού κινδύνου" (π.χ. αυτοματοποιημένη πρόσληψη προσωπικού, βιομετρική ταυτοποίηση εξ αποστάσεως), εκτός εάν έχει συναφθεί ειδικό παράρτημα με αντίστοιχη εκτίμηση κινδύνου (Fundamental Rights Impact Assessment).

Ο Υπεύθυνος Επεξεργασίας έχει δικαίωμα να επαληθεύει τη συμμόρφωση του Εκτελούντος την Επεξεργασία με το παρόν DPA και τον GDPR. Ο έλεγχος διενεργείται υπό τις ακόλουθες συνθήκες:

• Ο Υπεύθυνος Επεξεργασίας ζητά πρώτα τεκμηρίωση και πιστοποιητικά του Εκτελούντος την Επεξεργασία (π.χ. εκθέσεις ISO 27001, SOC 2, δηλώσεις ασφαλείας). Εάν η εν λόγω τεκμηρίωση αποδεικνύει συμμόρφωση, πρόσθετος φυσικός έλεγχος δεν απαιτείται.
• Εάν η τεκμηρίωση δεν επαρκεί ή σε περίπτωση σοβαρού περιστατικού ασφαλείας, ο Υπεύθυνος Επεξεργασίας (ή ανεξάρτητος εξωτερικός ελεγκτής, ο οποίος δεν είναι ανταγωνιστής του Εκτελούντος) δύναται να διενεργεί έλεγχο με προηγούμενη ειδοποίηση τουλάχιστον 30 ημερών.
• Ο έλεγχος διενεργείται κατά τις τακτικές ώρες εργασίας, κατά τρόπο που ελαχιστοποιεί τη διακοπή των εργασιών του Εκτελούντος την Επεξεργασία. Τα έξοδα ελέγχου βαρύνουν τον Υπεύθυνο Επεξεργασίας, εκτός εάν ο έλεγχος αποκαλύψει σοβαρές παραβάσεις εκ μέρους του Εκτελούντος.

Μετά τη λήξη της Κύριας Σύμβασης ή κατόπιν ρητού αιτήματος του Υπευθύνου Επεξεργασίας, ο Εκτελών την Επεξεργασία θα:

• Παρέχει στον Υπεύθυνο Επεξεργασίας δυνατότητα εξαγωγής όλων των Δεδομένων Προσωπικού Χαρακτήρα σε τυποποιημένη αναγνώσιμη από μηχανή μορφή (π.χ. CSV, JSON) εντός 30 ημερών από τη λήξη της σύμβασης.
• Μετά την πάροδο της 30ήμερης μεταβατικής περιόδου, θα διαγράφει με ασφάλεια και οριστικά όλα τα Δεδομένα Προσωπικού Χαρακτήρα του Υπευθύνου Επεξεργασίας από όλα τα συστήματα παραγωγής.
• Τα δεδομένα σε εφεδρικά αντίγραφα (backups) θα αντικατασταθούν αυτόματα και θα καταστραφούν σύμφωνα με τον τακτικό κύκλο εναλλαγής εφεδρικών αντιγράφων (συνήθως 90 ημέρες), παραμένοντας πλήρως κρυπτογραφημένα και μη προσβάσιμα για επεξεργασία.

Εξαίρεση από τη διαγραφή αποτελούν τα δεδομένα που ο Εκτελών την Επεξεργασία υποχρεούται να τηρεί βάσει νομοθετικών υποχρεώσεων (π.χ. φορολογική και λογιστική νομοθεσία), τα οποία όμως φυλάσσονται αποκλειστικά για τον σκοπό αυτό.

Η ευθύνη των μερών για ζημία που προκαλείται σε υποκείμενα δεδομένων λόγω παραβίασης του GDPR εκτιμάται σύμφωνα με το άρθρο 82 του GDPR. Στη μεταξύ τους (B2B) σχέση ισχύουν τα εξής:

• Ο Εκτελών την Επεξεργασία ευθύνεται για ζημία μόνο εάν δεν εκπλήρωσε τις υποχρεώσεις του GDPR που επιβάλλονται ρητά στους εκτελούντες την επεξεργασία ή εάν ενήργησε εκτός ή κατά παράβαση των νόμιμων εντολών του Υπευθύνου Επεξεργασίας.
• Η συνολική αποζημιωτική ευθύνη του Εκτελούντος την Επεξεργασία (συμπεριλαμβανομένων των προστίμων εποπτικών αρχών) βάσει του παρόντος DPA περιορίζεται αυστηρά στο ποσό που ορίζεται στην Κύρια Σύμβαση ως ανώτατο όριο ευθύνης (Liability Cap). Εάν δεν έχει οριστεί, η ευθύνη περιορίζεται στο ποσό των αμοιβών που κατέβαλε ο Υπεύθυνος Επεξεργασίας στον Εκτελούντα κατά τους 12 μήνες που προηγήθηκαν του ζημιογόνου γεγονότος.
• Κανένα από τα μέρη δεν ευθύνεται για έμμεση ζημία, απώλεια κερδών, απώλεια δεδομένων (εάν ο Υπεύθυνος Επεξεργασίας παρέλειψε να τηρεί δικά του εφεδρικά αντίγραφα) ή φθορά φήμης.

Το παρόν DPA τίθεται σε ισχύ ταυτόχρονα με την Κύρια Σύμβαση (ή με την αποδοχή των Γενικών Όρων) και παραμένει σε ισχύ για όσο διάστημα ο Εκτελών την Επεξεργασία τηρεί ή επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα εξ ονόματος του Υπευθύνου Επεξεργασίας.

Σε περίπτωση ασυμφωνίας μεταξύ των διατάξεων του παρόντος DPA και των διατάξεων της Κύριας Σύμβασης, υπερισχύουν οι διατάξεις του παρόντος DPA, στον βαθμό που αφορούν στην προστασία δεδομένων προσωπικού χαρακτήρα και τη συμμόρφωση με τον GDPR.

Για το παρόν DPA εφαρμόζεται το δίκαιο που ορίζεται στην Κύρια Σύμβαση. Εάν δεν έχει οριστεί, εφαρμόζεται το δίκαιο της Δημοκρατίας της Σλοβενίας (για τη Findes Marketing d.o.o.) ή το δίκαιο της Αγγλίας και της Ουαλίας (για την Investra International Ltd). Όλες οι διαφορές που απορρέουν από το παρόν DPA επιλύονται ενώπιον του αρμόδιου δικαστηρίου που ορίζεται στην Κύρια Σύμβαση.

Ο Εκτελών την Επεξεργασία διατηρεί το δικαίωμα μονομερούς τροποποίησης της παρούσας DPA, εφόσον αυτό καταστεί αναγκαίο λόγω μεταβολών της νομοθεσίας (π.χ. νέες κατευθυντήριες γραμμές EDPB, ενημερώσεις του EU AI Act). Ο Υπεύθυνος Επεξεργασίας θα ενημερώνεται για ουσιώδεις αλλαγές τουλάχιστον 30 ημέρες εκ των προτέρων.