Σύμβαση Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα (DPA)

Συμβαλλόμενα μέρη

Υπεύθυνος επεξεργασίας («Πελάτης»): το φυσικό ή νομικό πρόσωπο που διατηρεί λογαριασμό στην υπηρεσία Techmeria, όπως προσδιορίζεται από τα στοιχεία του λογαριασμού και τιμολόγησης.

Εκτελούσα την επεξεργασία («Πάροχος»): Maria Almperri, ατομική επιχείρηση, Κουντουριώτου 45, 121 32 Περιστέρι Αττικής, ΑΦΜ 153623214, ΔΟΥ ΚΕΦΟΔΕ Αττικής, που παρέχει την υπηρεσία Techmeria.

Προοίμιο

Ο Πελάτης χρησιμοποιεί την υπηρεσία Techmeria (εφεξής η «Υπηρεσία») σύμφωνα με τους Γενικούς Όρους Χρήσης (εφεξής η «Κύρια Σύμβαση»). Κατά την παροχή της Υπηρεσίας, ο Πάροχος επεξεργάζεται για λογαριασμό του Πελάτη δεδομένα προσωπικού χαρακτήρα που περιέχονται στα έγγραφα που ανεβάζει ο Πελάτης. Η παρούσα σύμβαση ρυθμίζει την επεξεργασία αυτή σύμφωνα με το άρθρο 28 ΓΚΠΔ και τον ν. 4624/2019 και αποτελεί αναπόσπαστο μέρος της Κύριας Σύμβασης.

1. Αντικείμενο, διάρκεια, φύση και σκοπός

1.1. Αντικείμενο: αυτοματοποιημένη ανάλυση εγγράφων υποθέσεων του Πελάτη και παραγωγή οικονομικής εικόνας (δείκτες, χρονολόγιο, κενά, ποσοτικοποίηση, σχέδιο κειμένου).

1.2. Διάρκεια: όσο διαρκεί η Κύρια Σύμβαση και έως την ολοκλήρωση της διαγραφής κατά το άρθρο 11.

1.3. Φύση της επεξεργασίας: λήψη, αποθήκευση, ανάγνωση και εξαγωγή κειμένου, ανάλυση με μοντέλο τεχνητής νοημοσύνης, οργάνωση, προβολή, εξαγωγή σε αρχεία, διαγραφή.

1.4. Σκοπός: αποκλειστικά η παροχή της Υπηρεσίας στον Πελάτη για την υποστήριξη της επαγγελματικής του εργασίας.

2. Κατηγορίες υποκειμένων και δεδομένων

2.1. Υποκείμενα: εντολείς του Πελάτη, αντίδικοι, μέλη οικογένειας, κληρονόμοι, εργαζόμενοι, εργοδότες, εταίροι, μέτοχοι, διοικητές, μάρτυρες, συναλλασσόμενοι και κάθε τρίτο πρόσωπο που αναφέρεται στα έγγραφα.

2.2. Κατηγορίες δεδομένων: στοιχεία ταυτότητας και επικοινωνίας, οικογενειακή κατάσταση, οικονομικά δεδομένα (λογαριασμοί, κινήσεις, εισοδήματα, περιουσία, φορολογικά στοιχεία), επαγγελματικά δεδομένα, συμβατικά δεδομένα, στοιχεία ακινήτων και κάθε άλλο δεδομένο που περιέχεται στα έγγραφα.

2.3. Ειδικές κατηγορίες (άρθρο 9) και ποινικά δεδομένα (άρθρο 10): τα έγγραφα ενδέχεται να περιέχουν, παρεμπιπτόντως, δεδομένα υγείας (ιδίως σε υποθέσεις αστικής ευθύνης ή εργατικού δικαίου) ή δεδομένα σχετικά με ποινικές καταδίκες. Ο Πελάτης φέρει την ευθύνη να έχει κατάλληλη νομική βάση, ιδίως κατά το άρθρο 9 παρ. 2 στοιχ. (στ) ΓΚΠΔ (θεμελίωση, άσκηση ή υπεράσπιση νομικών αξιώσεων), και να ανεβάζει μόνο όσα είναι αναγκαία για την υπόθεση.

3. Υποχρεώσεις του Πελάτη

3.1. Ο Πελάτης είναι ο υπεύθυνος επεξεργασίας και εγγυάται ότι η επεξεργασία που αναθέτει είναι νόμιμη, ότι έχει ενημερώσει τα υποκείμενα όπου απαιτείται και ότι τηρεί τις υποχρεώσεις του επαγγελματικού απορρήτου.

3.2. Ο Πελάτης δίνει τις οδηγίες του μέσω της χρήσης της Υπηρεσίας (ανάρτηση, ανάλυση, εξαγωγή, διαγραφή), μέσω των ρυθμίσεων του λογαριασμού και με γραπτές οδηγίες στο support@techmeria.eu.

4. Επεξεργασία μόνο κατ' εντολή (άρθρο 28 παρ. 3 στοιχ. α)

4.1. Ο Πάροχος επεξεργάζεται τα δεδομένα μόνο βάσει καταγεγραμμένων εντολών του Πελάτη, περιλαμβανομένων των διαβιβάσεων σε τρίτη χώρα, εκτός αν η επεξεργασία επιβάλλεται από το δίκαιο της Ένωσης ή κράτους μέλους. Στην περίπτωση αυτή ενημερώνει τον Πελάτη πριν από την επεξεργασία, εκτός αν ο νόμος το απαγορεύει.

4.2. Ο Πάροχος ενημερώνει αμέσως τον Πελάτη αν κρίνει ότι μια εντολή παραβιάζει τον ΓΚΠΔ ή άλλη διάταξη.

4.3. Ο Πάροχος δεν χρησιμοποιεί τα δεδομένα για δικούς του σκοπούς, για εκπαίδευση μοντέλων τεχνητής νοημοσύνης, για διαφήμιση ή για τη δημιουργία προφίλ.

5. Εμπιστευτικότητα (άρθρο 28 παρ. 3 στοιχ. β)

5.1. Ο Πάροχος διασφαλίζει ότι κάθε πρόσωπο που έχει πρόσβαση στα δεδομένα δεσμεύεται με υποχρέωση εμπιστευτικότητας, συμβατική ή εκ του νόμου.

5.2. Ο Πάροχος αναγνωρίζει ότι τα έγγραφα του Πελάτη ενδέχεται να καλύπτονται από επαγγελματικό απόρρητο που δεσμεύει τον Πελάτη και δεσμεύεται να μη αποκαλύπτει το περιεχόμενό τους σε κανέναν, πέραν των υποεκτελούντων του άρθρου 7.

6. Μέτρα ασφαλείας (άρθρο 28 παρ. 3 στοιχ. γ · άρθρο 32)

Ο Πάροχος εφαρμόζει τα τεχνικά και οργανωτικά μέτρα του Παραρτήματος Β. Μπορεί να τα επικαιροποιεί, υπό την προϋπόθεση ότι το επίπεδο προστασίας δεν μειώνεται.

7. Υποεκτελούντες (άρθρο 28 παρ. 2 και παρ. 3 στοιχ. δ · παρ. 4)

7.1. Ο Πελάτης παρέχει γενική γραπτή άδεια για τη χρήση των υποεκτελούντων του Παραρτήματος Α.

7.2. Ο Πάροχος ενημερώνει τον Πελάτη με email τουλάχιστον τριάντα (30) ημέρες πριν από την προσθήκη ή αντικατάσταση υποεκτελούντος. Ο Πελάτης μπορεί να αντιταχθεί εγγράφως, για εύλογους λόγους προστασίας δεδομένων, εντός της προθεσμίας αυτής. Αν δεν βρεθεί λύση, ο Πελάτης μπορεί να καταγγείλει την Κύρια Σύμβαση χωρίς επιβάρυνση, με επιστροφή του αναλογούντος ποσού για την προπληρωμένη περίοδο που δεν θα παρασχεθεί.

7.3. Ο Πάροχος επιβάλλει σε κάθε υποεκτελούντα υποχρεώσεις προστασίας δεδομένων ουσιωδώς ισοδύναμες με αυτές της παρούσας και παραμένει πλήρως υπεύθυνος έναντι του Πελάτη για την εκτέλεση των υποχρεώσεών τους.

8. Συνδρομή για τα δικαιώματα των υποκειμένων (άρθρο 28 παρ. 3 στοιχ. ε)

8.1. Η Υπηρεσία επιτρέπει στον Πελάτη να αναζητά, να εξάγει και να διαγράφει έγγραφα και φακέλους, ώστε να ανταποκρίνεται ο ίδιος σε αιτήματα υποκειμένων.

8.2. Αν ο Πάροχος λάβει απευθείας αίτημα υποκειμένου που αφορά δεδομένα του Πελάτη, το διαβιβάζει στον Πελάτη χωρίς καθυστέρηση και δεν απαντά ο ίδιος, εκτός αν λάβει σχετική οδηγία.

9. Συνδρομή για την ασφάλεια, τις παραβιάσεις και τις εκτιμήσεις αντικτύπου (άρθρο 28 παρ. 3 στοιχ. στ)

9.1. Ο Πάροχος γνωστοποιεί στον Πελάτη κάθε παραβίαση δεδομένων που αφορά δεδομένα του χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός σαράντα οκτώ (48) ωρών από τη στιγμή που λαμβάνει γνώση.

9.2. Η γνωστοποίηση περιλαμβάνει, στον βαθμό που είναι διαθέσιμα: τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό υποκειμένων και εγγραφών, τις πιθανές συνέπειες, τα μέτρα που λήφθηκαν ή προτείνονται και στοιχεία επικοινωνίας. Όσα στοιχεία δεν είναι διαθέσιμα αρχικά παρέχονται σταδιακά.

9.3. Ο Πάροχος συνδράμει τον Πελάτη, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις διαθέσιμες πληροφορίες, στη γνωστοποίηση προς την Αρχή (άρθρο 33), στην ανακοίνωση προς τα υποκείμενα (άρθρο 34), σε εκτίμηση αντικτύπου (άρθρο 35) και σε προηγούμενη διαβούλευση (άρθρο 36).

10. Πληροφορίες και έλεγχοι (άρθρο 28 παρ. 3 στοιχ. η)

10.1. Ο Πάροχος θέτει στη διάθεση του Πελάτη κάθε αναγκαία πληροφορία για την απόδειξη της συμμόρφωσης με την παρούσα, περιλαμβανομένων των πιστοποιήσεων και εκθέσεων ελέγχου των υποεκτελούντων όπου διατίθενται.

10.2. Ο Πελάτης μπορεί να διενεργήσει έλεγχο, μία φορά ανά δωδεκάμηνο ή μετά από παραβίαση, μέσω του ίδιου ή ανεξάρτητου ελεγκτή δεσμευμένου με εχεμύθεια, με προειδοποίηση τριάντα (30) ημερών, χωρίς να διαταράσσεται η λειτουργία της Υπηρεσίας και χωρίς πρόσβαση σε δεδομένα άλλων πελατών. Τα έξοδα του ελέγχου βαρύνουν τον Πελάτη, εκτός αν διαπιστωθεί ουσιώδης παράβαση.

11. Διαγραφή ή επιστροφή (άρθρο 28 παρ. 3 στοιχ. ζ)

11.1. Κατά τη διάρκεια της σύμβασης, ο Πελάτης μπορεί να εξάγει και να διαγράφει οποιοδήποτε έγγραφο ή φάκελο.

11.2. Μετά τη λήξη της Κύριας Σύμβασης, ο Πελάτης έχει εξήντα (60) ημέρες για να εξαγάγει τα δεδομένα του. Στη συνέχεια, ο Πάροχος διαγράφει οριστικά όλα τα δεδομένα του Πελάτη από τα ενεργά συστήματα, εκτός αν το δίκαιο της Ένωσης ή κράτους μέλους επιβάλλει τη διατήρησή τους. Τα αντίγραφα ασφαλείας διαγράφονται κατά τον κύκλο ανανέωσής τους.

11.3. Κατόπιν αιτήματος, ο Πάροχος βεβαιώνει εγγράφως τη διαγραφή.

12. Διαβιβάσεις εκτός ΕΟΧ

12.1. Τα έγγραφα και τα αποτελέσματα αποθηκεύονται στην Ευρωπαϊκή Ένωση. Για την ανάλυση, το κείμενο των εγγράφων διαβιβάζεται στον υποεκτελούντα Anthropic (ΗΠΑ) για την επεξεργασία του αιτήματος.

12.2. Κάθε διαβίβαση στηρίζεται σε απόφαση επάρκειας (EU-U.S. Data Privacy Framework, εφόσον ο αποδέκτης είναι πιστοποιημένος) ή στις Τυποποιημένες Συμβατικές Ρήτρες (απόφαση (ΕΕ) 2021/914, ενότητα 3 «εκτελών προς εκτελούντα»), με τα συμπληρωματικά μέτρα του Παραρτήματος Β.

13. Ευθύνη

Η ευθύνη των μερών διέπεται από το άρθρο 82 ΓΚΠΔ. Κατά τα λοιπά ισχύουν οι περιορισμοί ευθύνης της Κύριας Σύμβασης, στον βαθμό που επιτρέπονται από τον νόμο.

14. Τελικές διατάξεις

14.1. Σε περίπτωση αντίφασης με την Κύρια Σύμβαση σε θέματα προστασίας δεδομένων, υπερισχύει η παρούσα.

14.2. Η παρούσα διέπεται από το ελληνικό δίκαιο. Αρμόδια είναι τα δικαστήρια της Αθήνας.

14.3. Η παρούσα συνάπτεται ηλεκτρονικά, με την αποδοχή της από τον Κάτοχο λογαριασμού στην εφαρμογή, και δεσμεύει τα μέρη από τη στιγμή αυτή. Ο Πάροχος καταγράφει την έκδοση, την ημερομηνία και το email αποδοχής. Κατόπιν αιτήματος, ο Πάροχος παρέχει αντίγραφο υπογεγραμμένο και από τα δύο μέρη.

Παράρτημα Α · Εγκεκριμένοι υποεκτελούντες

Παράρτημα Β · Τεχνικά και οργανωτικά μέτρα

Τοποθεσία και διαχωρισμός

• Αποθήκευση εγγράφων, αποτελεσμάτων και βάσης δεδομένων σε υποδομή με δέσμευση τοποθεσίας στην Ευρωπαϊκή Ένωση.
• Λογικός διαχωρισμός κάθε λογαριασμού: κάθε αίτημα ελέγχεται ώστε ο χρήστης να βλέπει μόνο φακέλους του δικού του λογαριασμού.

Πρόσβαση

• Σύνδεση μόνο με email και κωδικό μίας χρήσης (One-time PIN) μέσω Cloudflare Access· επαλήθευση υπογεγραμμένου διακριτικού (JWT) σε κάθε αίτημα.
• Ρόλοι κατόχου και μέλους λογαριασμού· διαχειριστική πρόσβαση μόνο σε ρητά ορισμένο email, με έλεγχο ταυτότητας δύο παραγόντων στους λογαριασμούς υποδομής.
• Πρόσβαση του Παρόχου σε συγκεκριμένο φάκελο μόνο κατόπιν αιτήματος του Πελάτη ή για λόγους ασφάλειας.

Κρυπτογράφηση

• Κρυπτογράφηση κατά τη μεταφορά (TLS) σε όλες τις συνδέσεις.
• Κρυπτογράφηση κατά την αποθήκευση από τον πάροχο υποδομής.

Τεχνητή νοημοσύνη

• Χρήση του εμπορικού API της Anthropic, βάσει του οποίου τα δεδομένα δεν χρησιμοποιούνται για εκπαίδευση μοντέλων.
• Διατήρηση δεδομένων από τον υποεκτελούντα μόνο για περιορισμένο διάστημα και αποκλειστικά για λόγους ασφάλειας και αποτροπής κατάχρησης, σύμφωνα με τους όρους του. Όπου είναι διαθέσιμη, εφαρμόζεται μηδενική διατήρηση δεδομένων (Zero Data Retention).
• Αποστολή μόνο του κειμένου που απαιτείται για την ανάλυση.

Διαθεσιμότητα και ανθεκτικότητα

• Υποδομή με πλεονασμό και αυτόματη ανάκαμψη του παρόχου.
• Καταγραφή σφαλμάτων χωρίς περιεχόμενο εγγράφων.

Οργανωτικά μέτρα

• Δέσμευση εμπιστευτικότητας κάθε προσώπου με πρόσβαση.
• Διαδικασία διαχείρισης περιστατικών και γνωστοποίησης εντός 48 ωρών.
• Περιοδική επανεξέταση των μέτρων και των υποεκτελούντων.
• Διαγραφή κατ' εντολή του Πελάτη και μετά τη λήξη της σύμβασης.