Σύμβαση Επεξεργασίας Δεδομένων

Είστε ο υπεύθυνος επεξεργασίας για τα προσωπικά δεδομένα των τελικών πελατών σας που υποβάλλονται σε επεξεργασία μέσω της Υπηρεσίας. Εσείς καθορίζετε τους σκοπούς της επεξεργασίας, τα πεδία που συλλέγετε, τις επικοινωνίες που στέλνετε και τη νομική βάση για καθέναν από αυτούς. Εμείς είμαστε ο εκτελών την επεξεργασία για τα δεδομένα αυτά. Τα επεξεργαζόμαστε μόνο για την παροχή της Υπηρεσίας σε εσάς και βάσει των οδηγιών σας. Χωριστά, και εκτός της παρούσας ΣΕΔ, είμαστε ανεξάρτητος υπεύθυνος επεξεργασίας για τα προσωπικά δεδομένα του δικού σας λογαριασμού και των μελών της ομάδας σας (όνομα, email, ρόλος, δεδομένα χρέωσης και χρήσης). Η επεξεργασία αυτή περιγράφεται στην Πολιτική Απορρήτου μας και δεν διέπεται από την παρούσα ΣΕΔ. Κανένα μέρος δεν είναι από κοινού υπεύθυνος επεξεργασίας με το άλλο.

Αντικείμενο: τα προσωπικά δεδομένα των τελικών πελατών σας που τηρούνται στην Υπηρεσία. Διάρκεια: για όσο ο λογαριασμός σας είναι ενεργός και, στη συνέχεια, μόνο για το περιορισμένο διάστημα που περιγράφεται στην ενότητα 11. Φύση και σκοπός: η παροχή πλατφόρμας ψηφιακών καρτών loyalty για λογαριασμό σας. Περιλαμβάνει την εγγραφή πελατών στα προγράμματά σας, την έκδοση και ενημέρωση ψηφιακών καρτών πορτοφολιού, την καταγραφή δραστηριότητας και επιβραβεύσεων, την παραγωγή στατιστικών και insights για εσάς, και την παράδοση των ειδοποιήσεων και επικοινωνιών που ρυθμίζετε, σε κάθε περίπτωση κατόπιν δικής σας οδηγίας μέσω της Υπηρεσίας.

Κατηγορίες υποκειμένων: οι τελικοί πελάτες σας, δηλαδή άτομα που εγγράφονται σε πρόγραμμα loyalty που λειτουργείτε. Είδη προσωπικών δεδομένων, σε κάθε περίπτωση όπως επιλέγετε εσείς να τα συλλέξετε: - Στοιχεία επικοινωνίας, όπως διεύθυνση email και αριθμός τηλεφώνου. - Στοιχεία ταυτότητας, όπως όνομα και επώνυμο. - Προαιρετικά στοιχεία προφίλ που καλείτε τον πελάτη να δηλώσει, όπως ημερομηνία γέννησης ή κάποια προτίμηση. - Δραστηριότητα loyalty, συμπεριλαμβανομένων υπολοίπων, συναλλαγών, επιβραβεύσεων, εξαργυρώσεων, χρόνου επισκέψεων και, όπου το πρόγραμμά σας βασίζεται στη δαπάνη, ποσών αγοράς. - Δεδομένα συσκευής σχετικά με ψηφιακή κάρτα πορτοφολιού, δηλαδή ένα αναγνωριστικό κάρτας και ένα token ειδοποιήσεων που παρέχει η πλατφόρμα του πορτοφολιού. - Ελεύθερες σημειώσεις που καταγράφει το προσωπικό σας για έναν πελάτη. - Προτιμήσεις επικοινωνίας, συμπεριλαμβανομένου του αν ο πελάτης έχει συναινέσει σε εμπορικές επικοινωνίες. Η Υπηρεσία δεν απαιτεί ειδικές κατηγορίες δεδομένων του Άρθρου 9. Δεν επιτρέπεται να χρησιμοποιείτε την Υπηρεσία για επεξεργασία ειδικών κατηγοριών δεδομένων ή δεδομένων ποινικών καταδικών.

Επεξεργαζόμαστε προσωπικά δεδομένα τελικών πελατών μόνο βάσει των τεκμηριωμένων οδηγιών σας, συμπεριλαμβανομένων των διαβιβάσεων σε τρίτη χώρα, εκτός αν απαιτείται διαφορετικά από το δίκαιο της Ένωσης ή κράτους μέλους. Όπου ισχύει τέτοια νομική απαίτηση, θα σας ενημερώσουμε πριν από την επεξεργασία, εκτός αν το δίκαιο αυτό το απαγορεύει. Οι οδηγίες σας δίνονται μέσω των ρυθμίσεων και της χρήσης της Υπηρεσίας, μέσω της παρούσας ΣΕΔ και των Όρων Χρήσης, και μέσω κάθε έγγραφης οδηγίας που μας αποστέλλετε. Θα σας ενημερώσουμε αν, κατά την άποψή μας, μια οδηγία παραβιάζει τον GDPR ή άλλο εφαρμοστέο δίκαιο προστασίας δεδομένων. Μπορούμε να αρνηθούμε να εκτελέσουμε οδηγία που θα μας υποχρέωνε σε παράβαση του νόμου.

Διασφαλίζουμε ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται προσωπικά δεδομένα τελικών πελατών δεσμεύονται από κατάλληλη υποχρέωση εμπιστευτικότητας, συμβατική ή εκ του νόμου, και ότι η πρόσβαση περιορίζεται σε όσους τη χρειάζονται για την παροχή της Υπηρεσίας ή για την υποστήριξή σας. Όταν το προσωπικό υποστήριξής μας αποκτά πρόσβαση στον λογαριασμό σας για τη διερεύνηση προβλήματος, η πρόσβαση αυτή καταγράφεται, με το ποιος απέκτησε πρόσβαση σε ποιον λογαριασμό και πότε.

Εφαρμόζουμε κατάλληλα τεχνικά και οργανωτικά μέτρα βάσει του Άρθρου 32, λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής, καθώς και τη φύση, το πεδίο, το πλαίσιο και τους σκοπούς της επεξεργασίας και τον κίνδυνο για τα άτομα. Τα μέτρα αυτά περιλαμβάνουν σήμερα: - Κρυπτογράφηση των δεδομένων κατά τη μεταφορά με TLS και κρυπτογράφηση σε ηρεμία στη διαχειριζόμενη υποδομή βάσης δεδομένων και αποθήκευσης. - Ασφάλεια σε επίπεδο γραμμής (row level security) στη βάση, ώστε ένας επιχειρηματικός λογαριασμός να μπορεί να προσεγγίσει μόνο τις δικές του εγγραφές, με επιβολή από τη βάση και όχι μόνο από τον κώδικα της εφαρμογής. - Χωριστά διαπιστευτήρια για πρόσβαση σε επίπεδο χρήστη και για λειτουργίες από πλευράς διακομιστή, με τα διαπιστευτήρια διακομιστή να τηρούνται μόνο στον διακομιστή και να μην εκτίθενται ποτέ σε browser ή συσκευή. - Αυθεντικοποίηση και διαχείριση συνεδριών από τον πάροχο φιλοξενίας και αυθεντικοποίησης. - Καταγραφή της διαχειριστικής πρόσβασης σε λογαριασμούς και της πρόσβασης σε προσωπικά δεδομένα μέσω της αυτοματοποιημένης υποστήριξης του πίνακα ελέγχου. - Περιορισμό ρυθμού (rate limiting) στα δημόσια σημεία πρόσβασης για τη μείωση αυτοματοποιημένης κατάχρησης. - Αυτοματοποιημένη σουίτα ελέγχων που εκτελείται σε κάθε deployment, και έλεγχο των αλλαγών υποδομής πριν από κάθε έκδοση. Ενδέχεται να επικαιροποιούμε τα μέτρα αυτά, υπό την προϋπόθεση ότι το επίπεδο ασφάλειας δεν μειώνεται.

Μας παρέχετε γενική έγγραφη εξουσιοδότηση να χρησιμοποιούμε υπεργολάβους επεξεργασίας για την παροχή της Υπηρεσίας. Οι υπεργολάβοι που χρησιμοποιούνται κατά την ημερομηνία της παρούσας ΣΕΔ είναι: - Supabase: βάση δεδομένων, ταυτοποίηση και αποθήκευση αρχείων. Επεξεργασία στη Στοκχόλμη, Σουηδία, εντός ΕΟΧ. Δεν απαιτείται μηχανισμός διαβίβασης. - Vercel: φιλοξενία και διάθεση της εφαρμογής. Επεξεργασία στο Παρίσι, Γαλλία, εντός ΕΟΧ, με πρόσβαση λειτουργικής υποστήριξης εκτός ΕΟΧ βάσει Τυποποιημένων Συμβατικών Ρητρών. - Stripe: χρέωση συνδρομών και επεξεργασία πληρωμών. Επεξεργασία εντός ΕΟΧ και στις Ηνωμένες Πολιτείες, βάσει Τυποποιημένων Συμβατικών Ρητρών. - Apple: έκδοση, ενημέρωση και παράδοση καρτών Apple Wallet και των ειδοποιήσεών τους. Επεξεργασία στις Ηνωμένες Πολιτείες, βάσει Τυποποιημένων Συμβατικών Ρητρών. - Google: έκδοση και ενημέρωση καρτών Google Wallet και παράδοση ειδοποιήσεων μέσω Firebase Cloud Messaging. Επεξεργασία στις Ηνωμένες Πολιτείες, βάσει Τυποποιημένων Συμβατικών Ρητρών. - Resend: παράδοση συναλλακτικών email. Επεξεργασία στις Ηνωμένες Πολιτείες, βάσει Τυποποιημένων Συμβατικών Ρητρών. - PostHog: στατιστικά προϊόντος και χρήσης. Επεξεργασία στην υποδομή ΕΕ της PostHog, εντός ΕΟΧ. - OpenAI: αυτοματοποιημένη βοήθεια που απαντά σε ερωτήσεις επιχειρηματικού χρήστη για τα δικά του δεδομένα loyalty. Επεξεργασία στις Ηνωμένες Πολιτείες, βάσει Τυποποιημένων Συμβατικών Ρητρών. Βάσει των όρων API της OpenAI, τα δεδομένα που αποστέλλονται δεν χρησιμοποιούνται για την εκπαίδευση των μοντέλων της. Επιβάλλουμε σε κάθε υπεργολάβο υποχρεώσεις προστασίας δεδομένων ισοδύναμες με αυτές της παρούσας ΣΕΔ και παραμένουμε πλήρως υπεύθυνοι έναντί σας για την εκπλήρωση των υποχρεώσεων του υπεργολάβου. Θα σας ενημερώνουμε για κάθε σκοπούμενη προσθήκη ή αντικατάσταση υπεργολάβου τουλάχιστον 30 ημέρες πριν αυτός αρχίσει την επεξεργασία, και μπορείτε να αντιταχθείτε για εύλογους λόγους προστασίας δεδομένων εντός των 30 αυτών ημερών. Αν αντιταχθείτε και δεν μπορούμε να προσφέρουμε εύλογη εναλλακτική, μπορείτε να καταγγείλετε το επηρεαζόμενο τμήμα της Υπηρεσίας χωρίς ποινή για το υπόλοιπο της συνδρομητικής περιόδου.

Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, σας συνδράμουμε με κατάλληλα τεχνικά και οργανωτικά μέτρα, στο μέτρο του δυνατού, για την εκπλήρωση της υποχρέωσής σας να απαντάτε σε αιτήματα των τελικών πελατών σας που ασκούν τα δικαιώματά τους βάσει του Κεφαλαίου III του GDPR. Η Υπηρεσία παρέχει λειτουργίες που σας επιτρέπουν να ανταποκρίνεστε στα περισσότερα αιτήματα απευθείας και χωρίς τη δική μας εμπλοκή, συμπεριλαμβανομένων της προβολής και διόρθωσης των στοιχείων ενός πελάτη, της εξαγωγής των προσωπικών του δεδομένων σε δομημένη, μηχαναγνώσιμη μορφή, και της διαγραφής των προσωπικών του δεδομένων. Αν ένας τελικός πελάτης επικοινωνήσει απευθείας μαζί μας για δεδομένα που ελέγχετε εσείς, δεν θα απαντήσουμε εμείς επί της ουσίας. Θα τον ενημερώσουμε να επικοινωνήσει μαζί σας και, όπου μπορούμε να σας ταυτοποιήσουμε ως την αρμόδια επιχείρηση, θα σας παραπέμψουμε το αίτημα χωρίς αδικαιολόγητη καθυστέρηση.

Σας ενημερώνουμε χωρίς αδικαιολόγητη καθυστέρηση αφού λάβουμε γνώση παραβίασης προσωπικών δεδομένων που αφορά δεδομένα τελικών πελατών τα οποία επεξεργαζόμαστε για λογαριασμό σας. Η ενημέρωσή μας θα περιγράφει, στον βαθμό που μας είναι γνωστά, τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό υποκειμένων και εγγραφών, τις πιθανές συνέπειες και τα μέτρα που ελήφθησαν ή προτείνονται. Εσείς είστε υπεύθυνοι να αξιολογήσετε αν η παραβίαση πρέπει να γνωστοποιηθεί σε εποπτική αρχή ή να ανακοινωθεί στα θιγόμενα άτομα, και να προβείτε σε κάθε τέτοια γνωστοποίηση, καθώς είστε ο υπεύθυνος επεξεργασίας. Σας συνδράμουμε, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που διαθέτουμε, στη συμμόρφωσή σας με τις υποχρεώσεις των Άρθρων 32 έως 36, συμπεριλαμβανομένων των εκτιμήσεων αντικτύπου και της προηγούμενης διαβούλευσης όπου απαιτείται.

Η βασική μας υποδομή βρίσκεται εντός του Ευρωπαϊκού Οικονομικού Χώρου: η βάση δεδομένων και η αποθήκευση αρχείων που τηρούν προσωπικά δεδομένα τελικών πελατών λειτουργούν στη Στοκχόλμη της Σουηδίας και η εφαρμογή στο Παρίσι της Γαλλίας. Επομένως τα προσωπικά δεδομένα τελικών πελατών αποθηκεύονται εντός του ΕΟΧ. Ορισμένοι υπεργολάβοι που ορίζονται στην ενότητα 7 ενδέχεται να επεξεργάζονται προσωπικά δεδομένα σε υποδομή εκτός ΕΟΧ, συμπεριλαμβανομένων των Ηνωμένων Πολιτειών. Όπου προσωπικά δεδομένα εξέρχονται του ΕΟΧ, βασιζόμαστε σε μηχανισμό διαβίβασης εγκεκριμένο βάσει του Κεφαλαίου V του GDPR, όπως οι Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής ή το Πλαίσιο Προστασίας Δεδομένων ΕΕ προς ΗΠΑ, όπου εφαρμόζεται. Όπου συνάπτουμε Τυποποιημένες Συμβατικές Ρήτρες με υπεργολάβο που ενεργεί ως περαιτέρω εκτελών την επεξεργασία προσωπικών δεδομένων τελικών πελατών, τις συνάπτουμε βάσει της Ενότητας Τρία (εκτελών προς εκτελούντα), ως δικός σας εκτελών και για λογαριασμό σας. Δεν διαβιβάζουμε προσωπικά δεδομένα τελικών πελατών εκτός ΕΟΧ πέραν των υπεργολάβων που ορίζονται στην ενότητα 7.

Κατ' επιλογή σας, διαγράφουμε ή σας επιστρέφουμε όλα τα προσωπικά δεδομένα τελικών πελατών με τη λήξη της παροχής της Υπηρεσίας και διαγράφουμε τα υπάρχοντα αντίγραφα, εκτός αν το δίκαιο της Ένωσης ή κράτους μέλους απαιτεί τη διατήρησή τους. Στην πράξη: όσο ο λογαριασμός σας είναι ενεργός, μπορείτε να εξάγετε τα δεδομένα των πελατών σας από τον πίνακα ελέγχου ανά πάσα στιγμή. Όταν ο λογαριασμός ή η συνδρομή σας λήγει, έχετε τη δυνατότητα να εξάγετε τα δεδομένα πριν αυτά αφαιρεθούν. Εκτός αν μας ζητήσετε εγγράφως εντός του διαστήματος αυτού να τα επιστρέψουμε ή να τα διατηρήσουμε, διαγράφονται εντός 90 ημερών από τη λήξη του λογαριασμού. Τα αντίγραφα ασφαλείας αντικαθίστανται στο πλαίσιο του συνήθους κύκλου διατήρησής τους. Τα αρχεία λογοδοσίας που αποδεικνύουν ποιος απέκτησε πρόσβαση σε προσωπικά δεδομένα και πότε διατηρούνται αποκλειστικά για τον σκοπό αυτό, όπως περιγράφεται στην Πολιτική Απορρήτου μας.

Θέτουμε στη διάθεσή σας κάθε πληροφορία απαραίτητη για την απόδειξη της συμμόρφωσης με τις υποχρεώσεις του Άρθρου 28 και της παρούσας ΣΕΔ, και επιτρέπουμε και συμβάλλουμε σε ελέγχους, συμπεριλαμβανομένων επιθεωρήσεων, που διενεργούνται από εσάς ή από άλλον ελεγκτή που εντέλλεστε. Κατά πρώτον, θα απαντάμε στα εύλογα έγγραφα ερωτήματά σας και θα παρέχουμε σχετική τεκμηρίωση για την επεξεργασία και τα μέτρα ασφαλείας μας. Όπου αυτό δεν επαρκεί για την απόδειξη της συμμόρφωσης, θα συνεργαστούμε σε έλεγχο κατόπιν εύλογης προηγούμενης ειδοποίησης, εντός ωραρίου λειτουργίας, όχι περισσότερο από μία φορά ανά δωδεκάμηνο εκτός αν απαιτηθεί από εποπτική αρχή ή μετά από παραβίαση δεδομένων, και υπό εχεμύθεια. Οι έλεγχοι δεν πρέπει να διαταράσσουν αδικαιολόγητα την Υπηρεσία ούτε να θέτουν σε κίνδυνο δεδομένα άλλων πελατών.

Εγγυάστε ότι: - Διαθέτετε νόμιμη βάση για κάθε σκοπό για τον οποίο χρησιμοποιείτε την Υπηρεσία, συμπεριλαμβανομένων των στατιστικών loyalty, της τμηματοποίησης πελατών και των καμπανιών. - Έχετε παράσχει στους τελικούς πελάτες σας κατάλληλη ενημέρωση απορρήτου που καλύπτει την επεξεργασία μέσω της Υπηρεσίας και ότι θα τη διατηρείτε ακριβή καθώς αλλάζει η χρήση της Υπηρεσίας από εσάς. - Έχετε λάβει κάθε απαιτούμενη συγκατάθεση για τα πεδία που επιλέγετε να συλλέξετε και για κάθε προωθητική επικοινωνία που στέλνετε, και ότι τηρείτε τις ανακλήσεις συγκατάθεσης και τις εναντιώσεις σε απευθείας εμπορική προώθηση. - Χρησιμοποιείτε τις λειτουργίες κοινού, τμηματοποίησης και καμπανιών μόνο για να προσεγγίσετε πελάτες που δικαιούνται να λάβουν τη συγκεκριμένη επικοινωνία βάσει του εφαρμοστέου δικαίου προστασίας δεδομένων και ηλεκτρονικών επικοινωνιών. - Δεν καταχωρίζετε ειδικές κατηγορίες προσωπικών δεδομένων του Άρθρου 9, ούτε δεδομένα ποινικών καταδικών, σε κανένα πεδίο ελεύθερου κειμένου της Υπηρεσίας, συμπεριλαμβανομένων των σημειώσεων του προσωπικού για έναν πελάτη και κάθε προτίμησης που καλείται να γράψει ένας πελάτης. - Οι οδηγίες σας προς εμάς συμμορφώνονται με το εφαρμοστέο δίκαιο προστασίας δεδομένων. Όπου εξάγετε προσωπικά δεδομένα τελικών πελατών από την Υπηρεσία και τα χρησιμοποιείτε στα δικά σας συστήματα, το πράττετε ως υπεύθυνος επεξεργασίας και η παρούσα ΣΕΔ δεν εφαρμόζεται σε αυτή τη χρήση.

Η παρούσα ΣΕΔ τίθεται σε ισχύ με την αποδοχή των Όρων Χρήσης και παραμένει σε ισχύ για όσο επεξεργαζόμαστε προσωπικά δεδομένα τελικών πελατών για λογαριασμό σας. Ενδέχεται να επικαιροποιήσουμε την παρούσα ΣΕΔ όπου απαιτείται από τον νόμο, λόγω αλλαγής στους υπεργολάβους μας ή για να αποτυπώσουμε αλλαγή στην Υπηρεσία. Οι ουσιώδεις αλλαγές γνωστοποιούνται βάσει της ενότητας αλλαγών της Πολιτικής Απορρήτου μας πριν τεθούν σε ισχύ. Η παρούσα ΣΕΔ δημοσιεύεται στα ελληνικά και στα αγγλικά και αμφότερες οι εκδοχές είναι αυθεντικές. Σε περίπτωση απόκλισης, υπερισχύει η ελληνική εκδοχή για πελάτες εγκατεστημένους στην Ελλάδα και η αγγλική για κάθε άλλον. Για κάθε ερώτημα σχετικά με την παρούσα ΣΕΔ, ή για να μας αποστείλετε έγγραφη οδηγία βάσει αυτής, επικοινωνήστε με το Habulo, που λειτουργεί ο Ευάγγελος Σπαθώνης, Λεωφ. Κεφαλλήνων 39, 28100 Αργοστόλι, Κεφαλονιά, Ελλάδα, στο info@habulo.com.