Σύμβαση επεξεργασίας δεδομένων

1. Συμβαλλόμενα μέρη και αντικείμενο

Η παρούσα σύμβαση συνάπτεται μεταξύ του πελάτη ως υπευθύνου επεξεργασίας και της EAS International, Klybeckstr. 141, 4057 Basel, Schweiz ως εκτελούντος την επεξεργασία (ο Πάροχος). Εκπρόσωπος του Παρόχου στην ΕΕ σύμφωνα με το άρθρο 27 ΓΚΠΔ: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Αντικείμενό της είναι η επεξεργασία δεδομένων προσωπικού χαρακτήρα που ο πελάτης καταχωρίζει στο Batteriepass Online ή συλλέγει μέσω αυτού. Η φύση, ο σκοπός, τα είδη δεδομένων και οι κατηγορίες υποκειμένων των δεδομένων περιγράφονται στο παράρτημα 1. Η σύμβαση ισχύει για τη διάρκεια της σύμβασης παροχής υπηρεσιών, συμπεριλαμβανομένης της φάσης μόνο ανάγνωσης κατά την ενότητα 8 των γενικών όρων συναλλαγών.

2. Εντολές

Ο Πάροχος επεξεργάζεται τα δεδομένα αποκλειστικά στο πλαίσιο της σύμβασης παροχής υπηρεσιών και βάσει καταγεγραμμένων εντολών του πελάτη. Ο πελάτης δίνει εντολές χρησιμοποιώντας τις λειτουργίες του λογισμικού (όπως δημοσίευση διαβατηρίου, εκχώρηση επιπέδων πρόσβασης, αποστολή αιτήματος προς προμηθευτή, εξαγωγή, διαγραφή) καθώς και σε μορφή κειμένου στη διεύθυνση info@batteriepass-online.eu. Εντολές πέραν του συμφωνημένου εύρους αντιμετωπίζονται ως αιτήματα αλλαγής και μπορούν να χρεωθούν χωριστά.

Εάν ο Πάροχος κρίνει ότι μια εντολή είναι παράνομη, ενημερώνει αμέσως τον πελάτη και μπορεί να αναστείλει την εκτέλεσή της έως την επιβεβαίωσή της.

Η διάθεση περιεχομένου διαβατηρίων στο κοινό, σε πρόσωπα με έννομο συμφέρον και σε αρχές πραγματοποιείται σύμφωνα με τον κανονισμό (ΕΕ) 2023/1542 στη διαμόρφωση που έχει επιλέξει ο πελάτης και θεωρείται εντολή του πελάτη.

3. Υποχρεώσεις του Παρόχου

• Εμπιστευτικότητα: όλα τα πρόσωπα που συμμετέχουν στην επεξεργασία δεσμεύονται με υποχρέωση εμπιστευτικότητας. Η πρόσβαση σε δεδομένα πελατών γίνεται μόνο όταν είναι αναγκαία για τη λειτουργία, την υποστήριξη ή την αντιμετώπιση σφαλμάτων.
• Ασφάλεια: ο Πάροχος εφαρμόζει τα τεχνικά και οργανωτικά μέτρα του παραρτήματος 3 και τα προσαρμόζει στις τελευταίες εξελίξεις χωρίς να μειώνει το επίπεδο προστασίας.
• Συνδρομή: ο Πάροχος συνδράμει τον πελάτη με τα μέσα του λογισμικού (εξαγωγή, διόρθωση, διαγραφή, αρχείο πρόσβασης) στην ικανοποίηση των δικαιωμάτων των υποκειμένων των δεδομένων καθώς και σε εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων και σε διαβουλεύσεις με την εποπτική αρχή, στον βαθμό που οι πληροφορίες είναι διαθέσιμες στον Πάροχο.
• Γνωστοποίηση: ο Πάροχος γνωστοποιεί στον πελάτη παραβιάσεις δεδομένων προσωπικού χαρακτήρα που αφορούν δεδομένα πελατών χωρίς αδικαιολόγητη καθυστέρηση, το αργότερο εντός 48 ωρών αφότου λάβει γνώση, στη διεύθυνση e-mail που είναι αποθηκευμένη στον λογαριασμό, με τις διαθέσιμες πληροφορίες σύμφωνα με το άρθρο 33 παράγραφος 3 ΓΚΠΔ.
• Αιτήματα υποκειμένων των δεδομένων: εάν υποκείμενα των δεδομένων απευθυνθούν απευθείας στον Πάροχο, αυτός διαβιβάζει το αίτημα στον πελάτη χωρίς να απαντήσει ο ίδιος επί της ουσίας, εφόσον το αίτημα αφορά δεδομένα πελατών.
• Αποδείξεις: κατόπιν αιτήματος, ο Πάροχος θέτει στη διάθεση του πελάτη τις πληροφορίες που είναι αναγκαίες για την απόδειξη της συμμόρφωσης με την παρούσα σύμβαση, ιδίως περιγραφή των μέτρων του παραρτήματος 3 και αναφορές για περιστατικά ασφάλειας.
• Διαγραφή: μετά τη λήξη της επεξεργασίας ο Πάροχος διαγράφει τα δεδομένα σύμφωνα με την ενότητα 8 των γενικών όρων συναλλαγών, εκτός εάν υφίσταται νόμιμη υποχρέωση διατήρησης. Για τα δημοσιευμένα διαβατήρια μπαταρίας, η νόμιμη υποχρέωση διατήρησης της διαθεσιμότητάς τους σύμφωνα με το άρθρο 77 παράγραφος 8 του κανονισμού (ΕΕ) 2023/1542 θεωρείται υποχρέωση διατήρησης.

4. Δικαιώματα ελέγχου του πελάτη

Ο πελάτης μπορεί να ελέγχει τη συμμόρφωση με την παρούσα σύμβαση μία φορά ετησίως και όταν υπάρχει συγκεκριμένη αφορμή. Ο έλεγχος διενεργείται κατά κύριο λόγο με εξέταση τεκμηρίωσης, εκθέσεων και βεβαιώσεων των υπεργολάβων επεξεργασίας. Επιτόπιος έλεγχος είναι δυνατός μετά από ειδοποίηση με εύλογη προθεσμία (τουλάχιστον 14 ημερών) κατά τις συνήθεις ώρες λειτουργίας, εφόσον δεν θέτει σε κίνδυνο τα δεδομένα άλλων πελατών. Για ελέγχους πέραν του ενός ετησίως ή που δεν οφείλονται σε περιστατικό, ο Πάροχος μπορεί να χρεώσει την προκύπτουσα επιβάρυνση με εύλογη αμοιβή.

5. Υπεργολάβοι επεξεργασίας

Ο πελάτης συναινεί στη χρήση των υπεργολάβων επεξεργασίας που απαριθμούνται στο παράρτημα 2. Ο Πάροχος τους δεσμεύει με υποχρεώσεις προστασίας δεδομένων ισοδύναμες με εκείνες που συμφωνούνται εδώ.

Ο Πάροχος ενημερώνει τον πελάτη για σκοπούμενες αλλαγές (προσθήκη ή αντικατάσταση) τουλάχιστον 30 ημέρες νωρίτερα με e-mail. Ο πελάτης μπορεί να αντιταχθεί εντός της προθεσμίας αυτής για σοβαρούς λόγους προστασίας δεδομένων. Σε περίπτωση αντίταξης, κάθε μέρος μπορεί να καταγγείλει τη σύμβαση παροχής υπηρεσιών με ισχύ από την ημερομηνία της αλλαγής· η ενότητα 8 των γενικών όρων συναλλαγών δεν θίγεται.

6. Επεξεργασία σε τρίτες χώρες

Τα δεδομένα αποθηκεύονται σε διακομιστές στη Γερμανία. Ο Πάροχος είναι εγκατεστημένος στην Ελβετία, για την οποία υφίσταται απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής· η πρόσβαση από την Ελβετία επιτρέπεται επομένως. Επεξεργασία σε άλλες τρίτες χώρες πραγματοποιείται μόνο με τη συναίνεση του πελάτη και βάσει κατάλληλων εγγυήσεων σύμφωνα με το κεφάλαιο V ΓΚΠΔ.

7. Υποχρεώσεις του πελάτη

Ο πελάτης ευθύνεται για τη νομιμότητα της επεξεργασίας, ιδίως για τη νομική βάση της δημοσίευσης πληροφοριών για φυσικά πρόσωπα σε διαβατήρια, για την ενημέρωση των υποκειμένων των δεδομένων και για τη νομιμότητα της επικοινωνίας με προμηθευτές και αιτούντες. Εκχωρεί επίπεδα πρόσβασης και εγκρίσεις πρόσβασης με δική του ευθύνη και ελέγχει ότι τα δεδομένα που καθίστανται προσβάσιμα μέσω του λογισμικού συμμορφώνονται με τις νομικές απαιτήσεις.

Ο πελάτης ορίζει στον λογαριασμό μια διεύθυνση e-mail προσβάσιμη για θέματα προστασίας δεδομένων και τη διατηρεί ενημερωμένη.

8. Ευθύνη, διάρκεια, τελικές διατάξεις

Για την ευθύνη εφαρμόζεται η ενότητα 11 των γενικών όρων συναλλαγών· το άρθρο 82 ΓΚΠΔ δεν θίγεται. Η παρούσα σύμβαση λήγει με τη σύμβαση παροχής υπηρεσιών, εξακολουθεί όμως να ισχύει για όσο διάστημα ο Πάροχος διατηρεί διαθέσιμα δεδομένα πελατών σύμφωνα με την ενότητα 8 των γενικών όρων συναλλαγών. Κατά τα λοιπά εφαρμόζονται οι τελικές διατάξεις των γενικών όρων συναλλαγών. Σε περίπτωση αντίφασης μεταξύ της παρούσας σύμβασης και των γενικών όρων συναλλαγών, για θέματα προστασίας δεδομένων υπερισχύει η παρούσα σύμβαση.

Παράρτημα 1 – Αντικείμενο της επεξεργασίας

• Φύση και σκοπός: φιλοξενία, αποθήκευση, προβολή, εξαγωγή και διαβίβαση περιεχομένου διαβατηρίων μπαταρίας και σχετικών εγγράφων· αποστολή e-mail για λογαριασμό του πελάτη (αιτήματα προς προμηθευτές, αποφάσεις πρόσβασης)· καταγραφή της πρόσβασης σε προστατευμένο περιεχόμενο· παροχή του API και των webhooks.
• Είδη δεδομένων: ονόματα, ιδιότητες και στοιχεία επικοινωνίας προσώπων επικοινωνίας του πελάτη, των προμηθευτών του και των αιτούντων έγκριση πρόσβασης (διεύθυνση e-mail, οργανισμός, ρόλος, σκοπός, δικαιολογητικά)· περιεχόμενο πεδίων διαβατηρίων και εγγράφων, εφόσον περιέχουν πληροφορίες για φυσικά πρόσωπα (όπως το υπεύθυνο πρόσωπο του οικονομικού φορέα, υπογράφοντες δηλώσεων συμμόρφωσης)· αρχεία πρόσβασης (περικομμένη κατακερματισμένη διεύθυνση IP, user agent, ώρα, επίπεδο πρόσβασης)· δεδομένα που διαβιβάζει ο πελάτης στο API.
• Κατηγορίες υποκειμένων των δεδομένων: εργαζόμενοι και πρόσωπα επικοινωνίας του πελάτη, των προμηθευτών και των επιχειρηματικών εταίρων του· πρόσωπα που ζητούν πρόσβαση σε προστατευμένο περιεχόμενο διαβατηρίων (αρχές, επιχειρήσεις επισκευής και ανακύκλωσης, αγοραστές)· επισκέπτες δημόσιων σελίδων διαβατηρίων.
• Ειδικές κατηγορίες δεδομένων (άρθρο 9 ΓΚΠΔ) δεν αποτελούν αντικείμενο της επεξεργασίας· ο πελάτης δεν καταχωρίζει τέτοια δεδομένα στο λογισμικό.

Παράρτημα 2 – Υπεργολάβοι επεξεργασίας

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Γερμανία – υπηρεσίες κέντρου δεδομένων (διακομιστές, βάση δεδομένων, αποθήκευση εγγράφων, αντίγραφα ασφαλείας) στο Falkenstein και στη Νυρεμβέργη.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Βερολίνο, Γερμανία – αποστολή e-mail για λογαριασμό του πελάτη.
• Η Stripe Payments Europe Ltd., Dublin, Ιρλανδία, επεξεργάζεται τα δεδομένα πληρωμής του πελάτη ως αυτοτελής υπεύθυνος επεξεργασίας και δεν αποτελεί υπεργολάβο επεξεργασίας για δεδομένα πελατών κατά την έννοια της παρούσας σύμβασης.

Παράρτημα 3 – Τεχνικά και οργανωτικά μέτρα

• Φυσική πρόσβαση και πρόσβαση στα συστήματα: διακομιστές σε κέντρα δεδομένων της Hetzner πιστοποιημένα κατά ISO 27001· διαχείριση μόνο μέσω SSH με κλειδιά και ιδιωτικού δικτύου· η βάση δεδομένων δεν είναι προσβάσιμη από το δημόσιο διαδίκτυο.
• Πρόσβαση στα δεδομένα: δικαιώματα βάσει ρόλων (κάτοχος, συντάκτης, αναγνώστης) ανά οργανισμό· διαχωρισμός πελατών σε επίπεδο βάσης δεδομένων μέσω του αναγνωριστικού οργανισμού σε κάθε ερώτημα· τα επίπεδα πρόσβασης για περιεχόμενο διαβατηρίων (δημόσιο, έννομο συμφέρον, αρχή) επιβάλλονται στην πλευρά του διακομιστή σε μία ενιαία συνάρτηση φιλτραρίσματος.
• Αυθεντικοποίηση: κωδικοί πρόσβασης ως κατακερματισμοί scrypt· συνεδρίες με τυχαία διακριτικά στη βάση δεδομένων, 30 ημέρες· επαλήθευση e-mail πριν από την πρόσβαση εγγραφής· περιορισμοί στις απόπειρες σύνδεσης, εγγραφής και επαναφοράς· τα κλειδιά API αποθηκεύονται μόνο ως κατακερματισμοί.
• Διαβίβαση: TLS για όλες τις συνδέσεις· Content Security Policy· υπογεγραμμένα webhooks (HMAC) με κρυπτογραφημένα αποθηκευμένα μυστικά.
• Ακεραιότητα: κάθε δημοσίευση διαβατηρίου δημιουργεί έκδοση με αλυσίδα κατακερματισμού (προηγούμενος κατακερματισμός)· αρχείο ελέγχου όλων των ενεργειών εγγραφής· τίποτα δεν διαγράφεται φυσικά πριν από τη λήξη των συμβατικών προθεσμιών.
• Διαθεσιμότητα: καθημερινό αντίγραφο ασφαλείας της βάσης δεδομένων και της αποθήκευσης εγγράφων με διατήρηση τουλάχιστον 30 ημερών σε δεύτερη τοποθεσία· τακτικές δοκιμές επαναφοράς· παρακολούθηση διαθεσιμότητας.
• Διαχωρισμός: τα δεδομένα παραγωγής διαχωρίζονται από τα περιβάλλοντα ανάπτυξης και δοκιμών· τα διαβατήρια στο πρόγραμμα Pilot επισημαίνονται ως δεδομένα δοκιμής.
• Οργάνωση: ελαχιστοποίηση των δεδομένων ενσωματωμένη στο λογισμικό (μόνο τα πεδία που απαιτούνται για το διαβατήριο)· έλεγχος ασφάλειας σε κάθε αλλαγή της υπηρεσίας· τεκμηρίωση περιστατικών· τακτικές ενημερώσεις των στοιχείων του συστήματος.