Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων αποτελεί μέρος των Όρων Παροχής Υπηρεσιών του Sunset Docs μεταξύ του πελάτη και του παρόχου Esteve Castells Calpe, Barcelona, Spain. Εφαρμόζεται αυτόματα κάθε φορά που το Sunset Docs επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη για λογαριασμό του πελάτη. Μια χωριστά υπογεγραμμένη σύμβαση επεξεργασίας δεδομένων υπερισχύει όπου έρχεται ρητά σε σύγκρουση με το παρόν έγγραφο.
1. Ορισμοί
ΓΚΠΔ σημαίνει τον Κανονισμό (ΕΕ) 2016/679. Οι όροι υπεύθυνος επεξεργασίας, εκτελών την επεξεργασία, δεδομένα προσωπικού χαρακτήρα, επεξεργασία, υποκείμενο των δεδομένων και παραβίαση δεδομένων προσωπικού χαρακτήρα έχουν την έννοια που τους αποδίδει ο ΓΚΠΔ. Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη σημαίνει τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε χώρο εργασίας πελάτη ή παράγονται μέσα σε αυτόν και τα οποία το Sunset Docs επεξεργάζεται για λογαριασμό του πελάτη.
Νομοθεσία για την Προστασία Δεδομένων σημαίνει τον ΓΚΠΔ και κάθε άλλη νομοθεσία για την ιδιωτικότητα ή την προστασία δεδομένων που εφαρμόζεται στην επεξεργασία βάσει της παρούσας Σύμβασης. Οι όροι Υπηρεσία και Πελάτης έχουν την έννοια που τους αποδίδουν οι Όροι.
2. Ρόλοι και πεδίο εφαρμογής
Ο πελάτης είναι ο υπεύθυνος επεξεργασίας ή εκτελών την επεξεργασία που ενεργεί για λογαριασμό άλλου υπευθύνου επεξεργασίας. Το Sunset Docs είναι ο εκτελών την επεξεργασία ή ο υπεργολάβος επεξεργασίας. Κάθε μέρος θα εκπληρώνει τις δικές του υποχρεώσεις βάσει της Νομοθεσίας για την Προστασία Δεδομένων.
Όταν ο πελάτης ενεργεί ως εκτελών την επεξεργασία, επιβεβαιώνει ότι ο σχετικός υπεύθυνος επεξεργασίας έχει εγκρίνει τις εντολές του και τη χρήση του Sunset Docs. Το Παράρτημα 1 περιγράφει την επεξεργασία που καλύπτει η παρούσα Σύμβαση.
3. Καταγεγραμμένες εντολές
Το Sunset Docs επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη μόνο βάσει καταγεγραμμένων εντολών που περιέχονται στους Όρους, στην παρούσα Σύμβαση, στη διαμόρφωση της υπηρεσίας από τον πελάτη και στην εξουσιοδοτημένη χρήση των λειτουργιών. Αν το δίκαιο της Ένωσης ή κράτους μέλους απαιτεί άλλη επεξεργασία, θα ενημερώσουμε τον πελάτη πριν από την επεξεργασία, εκτός αν ο νόμος απαγορεύει την ενημέρωση.
Θα ενημερώνουμε τον πελάτη αν κρίνουμε ότι μια εντολή παραβιάζει τη Νομοθεσία για την Προστασία Δεδομένων και μπορούμε να αναστείλουμε την επηρεαζόμενη επεξεργασία έως ότου τα μέρη επιλύσουν το ζήτημα.
4. Εμπιστευτικότητα
Κάθε πρόσωπο που είναι εξουσιοδοτημένο από το Sunset Docs να επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη δεσμεύεται από συμβατική ή εκ του νόμου υποχρέωση εμπιστευτικότητας και αποκτά πρόσβαση μόνο όπου τη χρειάζεται για τον ρόλο του.
5. Ασφάλεια
Το Sunset Docs εφαρμόζει τεχνικά και οργανωτικά μέτρα κατάλληλα για τους κινδύνους της επεξεργασίας, λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας. Τα τρέχοντα μέτρα περιγράφονται στο Παράρτημα 2.
Μπορούμε να επικαιροποιούμε τα μέτρα καθώς αλλάζει η υπηρεσία, υπό την προϋπόθεση ότι η επικαιροποίηση δεν μειώνει ουσιωδώς τη συνολική προστασία των Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη.
6. Υπεργολάβοι επεξεργασίας
Ο πελάτης παρέχει γενική γραπτή άδεια για τους υπεργολάβους επεξεργασίας που αναφέρονται στη σελίδα Υπεργολάβοι επεξεργασίας. Θα ειδοποιούμε τουλάχιστον 30 ημέρες πριν προσθέσουμε ή αντικαταστήσουμε υπεργολάβο επεξεργασίας που θα επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη. Ο πελάτης μπορεί να προβάλει αντίρρηση εντός αυτής της περιόδου για εύλογους λόγους προστασίας δεδομένων.
Επιβάλλουμε σε κάθε υπεργολάβο επεξεργασίας υποχρεώσεις προστασίας δεδομένων που παρέχουν ουσιαστικά ισοδύναμη προστασία για τη σχετική επεξεργασία. Παραμένουμε υπεύθυνοι έναντι του πελάτη για την εκτέλεση των υποχρεώσεων του υπεργολάβου επεξεργασίας, όπως απαιτεί ο νόμος. Αν μετά από έγκυρη αντίρρηση δεν υπάρχει εύλογη εναλλακτική λύση, ο πελάτης μπορεί να καταγγείλει την επηρεαζόμενη υπηρεσία και να λάβει αναλογική επιστροφή των προπληρωμένων τελών για την περίοδο που δεν χρησιμοποιήθηκε.
7. Αιτήματα υποκειμένων των δεδομένων
Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, θα παρέχουμε εύλογη τεχνική και οργανωτική συνδρομή για την ικανοποίηση αιτημάτων άσκησης των δικαιωμάτων των υποκειμένων των δεδομένων. Αν ένα υποκείμενο των δεδομένων επικοινωνήσει απευθείας μαζί μας σχετικά με Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη, θα διαβιβάσουμε το αίτημα στον πελάτη χωρίς αδικαιολόγητη καθυστέρηση και δεν θα απαντήσουμε επί της ουσίας, εκτός αν εξουσιοδοτηθούμε ή υποχρεούμαστε από τον νόμο.
8. Παραβιάσεις δεδομένων προσωπικού χαρακτήρα
Θα ενημερώνουμε τον πελάτη χωρίς αδικαιολόγητη καθυστέρηση αφού λάβουμε γνώση παραβίασης δεδομένων προσωπικού χαρακτήρα που αφορά Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη. Θα παρέχουμε τις ευλόγως διαθέσιμες πληροφορίες για τη φύση της παραβίασης, τις επηρεαζόμενες κατηγορίες και τον κατά προσέγγιση αριθμό, τις πιθανές συνέπειες και τα μέτρα που λήφθηκαν ή προτείνονται.
Οι πληροφορίες μπορεί να παρέχονται σταδιακά. Δεν θα καθυστερούμε την αρχική ειδοποίηση μόνο επειδή δεν είναι ακόμη γνωστές όλες οι λεπτομέρειες και θα παρέχουμε εύλογη συνδρομή για τις υποχρεώσεις γνωστοποίησης και ανακοίνωσης του πελάτη.
9. Λοιπή συνδρομή
Λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που έχουμε στη διάθεσή μας, θα παρέχουμε εύλογη συνδρομή για τις υποχρεώσεις ασφάλειας, τις εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων και τις προηγούμενες διαβουλεύσεις με εποπτικές αρχές, όταν αφορούν την Υπηρεσία.
10. Διεθνείς διαβιβάσεις
Διαβίβαση που υπόκειται σε περιορισμούς θα πραγματοποιείται μόνο βάσει μηχανισμού που επιτρέπει το Κεφάλαιο V του ΓΚΠΔ. Ανάλογα με τον αποδέκτη, αυτό μπορεί να περιλαμβάνει απόφαση επάρκειας, το Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ όταν ο αποδέκτης είναι πιστοποιημένος ή τυποποιημένες συμβατικές ρήτρες της Ευρωπαϊκής Επιτροπής με συμπληρωματικά μέτρα όπου απαιτείται. Τα στοιχεία των παρόχων δημοσιεύονται στη σελίδα Υπεργολάβοι επεξεργασίας.
11. Πληροφορίες και έλεγχοι
Θα παρέχουμε τις πληροφορίες που είναι ευλόγως αναγκαίες για την απόδειξη της συμμόρφωσης με το άρθρο 28 του ΓΚΠΔ, συμπεριλαμβανομένων απαντήσεων σε αναλογικά γραπτά ερωτήματα ασφάλειας. Ο πελάτης μπορεί να ελέγχει τη συμμόρφωση όχι συχνότερα από μία φορά κάθε 12 μήνες, με ειδοποίηση τουλάχιστον 30 ημερών, κατά τις εργάσιμες ώρες, με δικά του έξοδα και υπό καθεστώς εμπιστευτικότητας, χωρίς να διαταράσσει την υπηρεσία ή να αποκτά πρόσβαση σε δεδομένα άλλου πελάτη.
Τα όρια συχνότητας και ειδοποίησης δεν εφαρμόζονται μετά από πιθανολογούμενη παραβίαση, αξιόπιστες ενδείξεις ουσιώδους μη συμμόρφωσης ή αίτημα εποπτικής αρχής. Πριν από επιτόπιο έλεγχο θα πρέπει να χρησιμοποιείται εξέταση τεκμηρίωσης, όπου αυτή μπορεί ευλόγως να ικανοποιήσει το αίτημα.
12. Επιστροφή και διαγραφή
Το διαμορφωμένο χρονοδιάγραμμα διαγραφής αποτελεί διαρκή καταγεγραμμένη εντολή και δεν παρατείνεται με την ακύρωση της συνδρομής. Ο πελάτης μπορεί να διαγράψει δεδομένα νωρίτερα. Πριν τερματιστεί η επεξεργασία, ο πελάτης μπορεί να ανακτήσει τα πρωτότυπα για τα οποία ο κάτοχος έχει ενεργοποιήσει τη λήψη ή να ζητήσει εύλογη εξαγωγή σε επίπεδο υπηρεσίας των ενεργών Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη.
Όταν τερματιστεί η επεξεργασία, ο πελάτης μπορεί να μας δώσει εντολή να επιστρέψουμε και να διαγράψουμε τα ενεργά Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη ή να τα διαγράψουμε χωρίς επιστροφή, εκτός αν το δίκαιο της Ένωσης ή κράτους μέλους απαιτεί την αποθήκευσή τους. Αν ο πελάτης δεν δώσει διαφορετική εντολή, τα υπάρχοντα χρονοδιαγράμματα διαγραφής συνεχίζονται. Τα υπολείμματα σε κρυπτογραφημένα αντίγραφα ασφαλείας της βάσης δεδομένων λήγουν εντός 30 ημερών και παραμένουν προστατευμένα έως τη διαγραφή τους.
Ελάχιστες εγγραφές διαγραφής και ελέγχου χωρίς περιεχόμενο μπορεί να διατηρούνται για 12 μήνες για λόγους ασφάλειας και λογοδοσίας. Κατόπιν γραπτού αιτήματος, θα επιβεβαιώνουμε την ολοκλήρωση της εφαρμοστέας διαδικασίας διαγραφής.
13. Ευθύνη
Οι όροι περί ευθύνης των Όρων εφαρμόζονται στην παρούσα Σύμβαση. Δεν περιορίζουν τα δικαιώματα των υποκειμένων των δεδομένων, τις εξουσίες των εποπτικών αρχών ή ευθύνη που η Νομοθεσία για την Προστασία Δεδομένων δεν επιτρέπει στα μέρη να αποκλείσουν ή να περιορίσουν.
14. Διάρκεια και υπεροχή
Η παρούσα Σύμβαση ισχύει για όσο διάστημα το Sunset Docs επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη. Υπερισχύει των Όρων για θέματα προστασίας δεδομένων. Οι αλλαγές στη Σύμβαση ακολουθούν τη διαδικασία αλλαγών των Όρων, με την εξαίρεση ότι μια αλλαγή που απαιτείται από τον νόμο μπορεί να τεθεί σε ισχύ νωρίτερα, κατόπιν ειδοποίησης.
Παράρτημα 1: Στοιχεία της επεξεργασίας
Αντικείμενο: παροχή και υποστήριξη της υπηρεσίας παραλαβής εγγράφων Sunset Docs. Διάρκεια: η διάρκεια της σύμβασης, συν κάθε διαμορφωμένη περίοδο διαγραφής, κάθε συμφωνημένη περίοδο εξαγωγής και τον κύκλο των προστατευμένων αντιγράφων ασφαλείας.
Φύση και σκοποί: παραλαβή, επικύρωση, σάρωση για κακόβουλο λογισμικό, κρυπτογράφηση, αποθήκευση, προεπισκόπηση, εμφάνιση, ειδοποίηση, εκτύπωση όπου είναι ενεργή, δυνατότητα λήψης πρωτοτύπων με έγκριση του κατόχου, καταγραφή ελέγχου και διαγραφή προσωρινών εγγράφων.
Υποκείμενα των δεδομένων: αποστολείς εγγράφων, χρήστες και προσωπικό του πελάτη, πελάτες, συνεργάτες, προμηθευτές και άλλα πρόσωπα των οποίων πληροφορίες εμφανίζονται στα υποβαλλόμενα έγγραφα. Τα δεδομένα προσωπικού χαρακτήρα μπορεί να περιλαμβάνουν ονόματα, στοιχεία επικοινωνίας, στοιχεία ταυτοποίησης, επιχειρηματικές, επαγγελματικές και οικονομικές πληροφορίες, περιεχόμενο εγγράφων, ονόματα αρχείων, email αποστολέα, μεταδεδομένα, δεδομένα ασφαλείας που προκύπτουν από τη διεύθυνση IP και δραστηριότητα πρόσβασης.
Οι ειδικές κατηγορίες και τα δεδομένα υψηλού κινδύνου δεν προορίζονται ούτε επιτρέπονται, εκτός αν συμφωνηθεί χωριστά εγγράφως. Ο πελάτης δεν πρέπει να υποβάλλει δεδομένα παιδιών, δεδομένα ποινικών καταδικών, πλήρη στοιχεία καρτών πληρωμής, διαπιστευτήρια, μυστικά ή δεδομένα που δεν δικαιούται νόμιμα να επεξεργάζεται.
Παράρτημα 2: Τεχνικά και οργανωτικά μέτρα
Τα μέτρα περιλαμβάνουν κρυπτογράφηση AES-256-GCM των αντικειμένων εγγράφων σε επίπεδο εφαρμογής· χωριστά περικλεισμένα κλειδιά ανά έγγραφο· TLS κατά τη μεταφορά· ιδιωτική υποδομή· ιδιωτικό κρυπτογραφημένο αντίγραφο στο R2· ελέγχους πρόσβασης στον χώρο εργασίας· προαιρετική επαλήθευση σε δύο βήματα με TOTP· κατακερματισμό κωδικών πρόσβασης με Argon2id· ασφαλείς συνεδρίες και προστασία CSRF· καραντίνα, επικύρωση περιεχομένου και σάρωση για κακόβουλο λογισμικό.
Τα μέτρα περιλαμβάνουν επίσης εξουσιοδότηση προβολής σύντομης διάρκειας· περιοριστικούς ελέγχους cache· μη δημόσιες διαδρομές αντικειμένων· καταγραφή των ουσιωδών ενεργειών σε έγγραφα· καθορισμένη διατήρηση αντιγράφων ασφαλείας· προγραμματισμένη και χειροκίνητη διαγραφή· περιορισμένη πρόσβαση στο περιβάλλον παραγωγής· υποχρεώσεις εμπιστευτικότητας· αξιολόγηση παρόχων· και διαδικασίες αντιμετώπισης περιστατικών.
Παράρτημα 3: Υπεργολάβοι επεξεργασίας
Οι τρέχοντες υπεργολάβοι επεξεργασίας, οι σκοποί τους, οι κατηγορίες δεδομένων, οι περιοχές επεξεργασίας και οι εγγυήσεις διαβίβασης δημοσιεύονται στο sunsetdocs.com/subprocessors. Μόνο οι πάροχοι που αναφέρονται εκεί ως υπεργολάβοι επεξεργασίας αποτελούν μέρος του παρόντος Παραρτήματος για τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη.
15. Επικοινωνία
Ερωτήσεις, αντιρρήσεις, επιβεβαιώσεις διαγραφής και υπογεγραμμένα αντίγραφα μπορούν να ζητηθούν στο [email protected].