Προσάρτημα Επεξεργασίας Δεδομένων

Το παρόν Προσάρτημα Επεξεργασίας Δεδομένων («DPA») αποτελεί μέρος των Όρων Παροχής Υπηρεσιών μεταξύ εσάς («Πελάτης», ο υπεύθυνος επεξεργασίας) και της Empire Luxury International Corporation (DBA Neuro Empire) («NeuroCRM», ο εκτελών την επεξεργασία) και διέπει την επεξεργασία δεδομένων προσωπικού χαρακτήρα που περιέχονται στο Περιεχόμενο Πελάτη. Σε περίπτωση σύγκρουσης επί ζητημάτων προστασίας δεδομένων, το παρόν DPA υπερισχύει των Όρων.

1. Ρόλοι και Πεδίο Εφαρμογής

Για το Περιεχόμενο Πελάτη, ο Πελάτης είναι ο υπεύθυνος επεξεργασίας (ή ο εκτελών την επεξεργασία που ενεργεί για λογαριασμό των δικών του πελατών) και η NeuroCRM είναι ο εκτελών την επεξεργασία (ή ο υπεκτελών). Η NeuroCRM επεξεργάζεται το Περιεχόμενο Πελάτη μόνο για την παροχή της Υπηρεσίας και βάσει των τεκμηριωμένων εντολών του Πελάτη, οι οποίες περιλαμβάνουν τους Όρους, το παρόν DPA και τη χρήση των λειτουργιών της Υπηρεσίας. Η NeuroCRM ενεργεί ως ανεξάρτητος υπεύθυνος επεξεργασίας μόνο για τα περιορισμένα δεδομένα λογαριασμού, χρέωσης και ασφάλειας που περιγράφονται στην Πολιτική Απορρήτου.

2. Λεπτομέρειες της Επεξεργασίας

Αντικείμενο: η παροχή της Υπηρεσίας NeuroCRM. Διάρκεια: η περίοδος της συνδρομής του Πελάτη πλέον οποιασδήποτε περιόδου παύσης λειτουργίας. Φύση και σκοπός: πράξεις φιλοξενίας, αποθήκευσης και επεξεργασίας που είναι απαραίτητες για την παροχή της Υπηρεσίας όπως διαμορφώνεται από τον Πελάτη. Κατηγορίες υποκειμένων των δεδομένων: οι επαφές, οι δυνητικοί πελάτες (leads), οι πελάτες, το προσωπικό και άλλα φυσικά πρόσωπα του Πελάτη των οποίων τα δεδομένα εισάγει ο Πελάτης. Κατηγορίες δεδομένων προσωπικού χαρακτήρα: όπως καθορίζονται από τον Πελάτη, συνήθως δεδομένα ταυτοποίησης και επικοινωνίας, επιχειρηματικά αρχεία και επικοινωνίες· ο Πελάτης δεν επιτρέπεται να εισάγει δεδομένα ειδικών κατηγοριών εκτός εάν έχει συμφωνηθεί εγγράφως.

3. Εντολές Πελάτη και Συμμόρφωση

Η NeuroCRM θα επεξεργάζεται το Περιεχόμενο Πελάτη μόνο βάσει τεκμηριωμένων εντολών, συμπεριλαμβανομένων των διαβιβάσεων, εκτός εάν απαιτείται από το εφαρμοστέο δίκαιο (οπότε η NeuroCRM θα ενημερώνει τον Πελάτη, εκτός εάν αυτό απαγορεύεται). Η NeuroCRM θα ειδοποιεί τον Πελάτη εάν, κατά τη γνώμη της, μια εντολή παραβιάζει το εφαρμοστέο δίκαιο προστασίας δεδομένων. Ο Πελάτης είναι υπεύθυνος για τη νομιμότητα του Περιεχομένου Πελάτη και για την ύπαρξη όλων των απαιτούμενων ενημερώσεων και συγκαταθέσεων.

4. Εμπιστευτικότητα του Προσωπικού

Η NeuroCRM διασφαλίζει ότι το προσωπικό που είναι εξουσιοδοτημένο να επεξεργάζεται το Περιεχόμενο Πελάτη δεσμεύεται από υποχρεώσεις εμπιστευτικότητας και επεξεργάζεται τα δεδομένα μόνο σύμφωνα με τις εντολές.

5. Μέτρα Ασφάλειας

Η NeuroCRM εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για τη διασφάλιση επιπέδου ασφάλειας ανάλογου προς τον κίνδυνο, συμπεριλαμβανομένων της κρυπτογράφησης κατά τη διαβίβαση και των διακριτικών πρόσβασης (access tokens) κατά την αποθήκευση, της λογικής απομόνωσης ενοικιαστών (tenant isolation), των ελέγχων πρόσβασης και της καταγραφής, της ανθεκτικότητας και των αντιγράφων ασφαλείας, καθώς και της τακτικής επανεξέτασης. Σύνοψη διατίθεται κατόπιν αιτήματος και στην Πολιτική Απορρήτου.

6. Υπεκτελούντες την Επεξεργασία

Ο Πελάτης παρέχει γενική εξουσιοδότηση στη NeuroCRM να χρησιμοποιεί υπεκτελούντες την επεξεργασία. Επικαιροποιημένος κατάλογος βρίσκεται στο /legal/subprocessors. Η NeuroCRM επιβάλλει σε κάθε υπεκτελούντα υποχρεώσεις προστασίας δεδομένων που δεν παρέχουν λιγότερη προστασία από το παρόν DPA και παραμένει υπεύθυνη για την εκτέλεση των καθηκόντων τους. Η NeuroCRM θα παρέχει προειδοποίηση τουλάχιστον 30 ημερών για κάθε νέο ή υποκατάστατο υπεκτελούντα· ο Πελάτης δύναται να αντιταχθεί για εύλογους λόγους προστασίας δεδομένων, και εάν τα μέρη δεν μπορούν να επιλύσουν την αντίρρηση, ο Πελάτης δύναται να καταγγείλει την επηρεαζόμενη Υπηρεσία και να λάβει επιστροφή των προπληρωμένων μη χρησιμοποιηθεισών αμοιβών.

7. Αιτήματα Υποκειμένων των Δεδομένων και Συνδρομή

Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, η NeuroCRM θα συνδράμει τον Πελάτη, με κατάλληλα μέτρα και στον βαθμό που είναι εμπορικά εύλογο, στην ανταπόκριση σε αιτήματα υποκειμένων των δεδομένων και στη συμμόρφωση με τις υποχρεώσεις του σχετικά με την ασφάλεια, τη γνωστοποίηση παραβίασης, τις εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων και την προηγούμενη διαβούλευση. Εάν η NeuroCRM λάβει αίτημα απευθείας από υποκείμενο των δεδομένων, θα το διαβιβάσει στον Πελάτη και δεν θα απαντήσει, παρά μόνο όπως υποδεικνύεται ή απαιτείται από τον νόμο.

8. Γνωστοποίηση Παραβίασης Δεδομένων Προσωπικού Χαρακτήρα

Η NeuroCRM θα ειδοποιεί τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και, σε κάθε περίπτωση, εντός 24 ωρών από τότε που θα λάβει γνώση επιβεβαιωμένης ή ευλόγως πιθανολογούμενης παραβίασης δεδομένων προσωπικού χαρακτήρα που επηρεάζει το Περιεχόμενο Πελάτη, και θα παρέχει τις διαθέσιμες πληροφορίες για να βοηθήσει τον Πελάτη να εκπληρώσει τις υποχρεώσεις γνωστοποίησής του, με ενημερώσεις καθώς προχωρά η έρευνα. Η εν λόγω ειδοποίηση δεν αποτελεί παραδοχή υπαιτιότητας ή ευθύνης. Η απόφαση για το αν θα ειδοποιηθούν οι ρυθμιστικές αρχές ή τα υποκείμενα των δεδομένων, καθώς και η πραγματοποίηση των εν λόγω γνωστοποιήσεων, αποτελεί ευθύνη του Πελάτη ως υπευθύνου επεξεργασίας· η NeuroCRM παρέχει εύλογη συνεργασία.

9. Διεθνείς Διαβιβάσεις

Όταν η επεξεργασία συνεπάγεται διαβίβαση δεδομένων προσωπικού χαρακτήρα εκτός του ΕΟΧ, του Ηνωμένου Βασιλείου ή της Ελβετίας προς χώρα χωρίς απόφαση επάρκειας, τα μέρη ενσωματώνουν τις Τυποποιημένες Συμβατικές Ρήτρες (2021/914), Ενότητα Δύο (από υπεύθυνο επεξεργασίας σε εκτελούντα την επεξεργασία) της Ευρωπαϊκής Επιτροπής, συμπληρωμένες με τις πληροφορίες του παρόντος DPA, μαζί με το UK International Data Transfer Addendum και τις ελβετικές προσαρμογές κατά περίπτωση· εναλλακτικά, η NeuroCRM δύναται να στηριχθεί στο EU-US Data Privacy Framework όπου είναι πιστοποιημένη. Η NeuroCRM εφαρμόζει συμπληρωματικά μέτρα κατά περίπτωση. Σε περίπτωση σύγκρουσης, οι SCC υπερισχύουν μόνο στον βαθμό που είναι αναγκαίο.

10. Ρωσικό Περίγραμμα Δεδομένων (152-FZ)

Για τα δεδομένα προσωπικού χαρακτήρα φυσικών προσώπων στη Ρωσική Ομοσπονδία, η NeuroCRM διατηρεί διαχωρισμένο ρωσικό περίγραμμα με πρωτογενή καταγραφή και αποθήκευση σε διακομιστές που βρίσκονται στη Ρωσία, σύμφωνα με τον Ομοσπονδιακό Νόμο αριθ. 152-FZ, και επεξεργάζεται τα εν λόγω δεδομένα κατ' εντολή του Πελάτη βάσει του Άρθρου 6(3) 152-FZ. Το περίγραμμα αυτό και η ροή γνωστοποίησης παραβιάσεών του (προκαταρκτική εντός 24 ωρών και αποτελέσματα εντός 72 ωρών προς τη Roskomnadzor) λειτουργούν ανεξάρτητα από την αλυσίδα του GDPR. Βλ. την Πολιτική Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα (Ρωσία).

11. Έλεγχος

Η NeuroCRM θα καθιστά διαθέσιμες τις πληροφορίες που είναι απαραίτητες για την απόδειξη της συμμόρφωσης με το παρόν DPA και θα επιτρέπει τη διενέργεια ελέγχων. Για την ελαχιστοποίηση της διατάραξης, η NeuroCRM δύναται να ικανοποιεί αιτήματα ελέγχου παρέχοντας ισχύουσες πιστοποιήσεις ή εκθέσεις τρίτων (όπως ISO 27001 ή SOC 2 Type II) όπου είναι διαθέσιμες. Οι επιτόπιοι ή λεπτομερείς έλεγχοι περιορίζονται σε μία φορά ανά έτος (εκτός εάν έπεται παραβίασης), απαιτούν προειδοποίηση τουλάχιστον 30 ημερών, αμοιβαία συμφωνημένο πεδίο εφαρμογής, εμπιστευτικότητα, και διενεργούνται κατά τις εργάσιμες ώρες χωρίς αδικαιολόγητη παρεμβολή.

12. Επιστροφή και Διαγραφή

Κατά τη λήξη, κατ' επιλογή του Πελάτη που γίνεται εντός 30 ημερών, η NeuroCRM θα επιστρέφει το Περιεχόμενο Πελάτη σε μορφή ευρείας χρήσης ή θα το διαγράφει και, κατόπιν αιτήματος, θα πιστοποιεί τη διαγραφή εντός εύλογου χρονικού διαστήματος, εκτός του βαθμού στον οποίο η διατήρηση απαιτείται από τον νόμο. Τα τακτικά αντίγραφα ασφαλείας αντικαθίστανται κατά τον τυπικό κύκλο εναλλαγής.

13. Ευθύνη και Προτεραιότητα

Η ευθύνη κάθε μέρους βάσει του παρόντος DPA υπόκειται στους περιορισμούς και τις εξαιρέσεις των Όρων Παροχής Υπηρεσιών, συμπεριλαμβανομένου του ενισχυμένου ανώτατου ορίου για παραβιάσεις προστασίας δεδομένων. Το παρόν DPA, συμπεριλαμβανομένων των ενσωματωμένων SCC του, υπερισχύει των αντικρουόμενων διατάξεων των Όρων επί ζητημάτων προστασίας δεδομένων. Το DPA διέπεται από τις διατάξεις περί εφαρμοστέου δικαίου και επίλυσης διαφορών των Όρων που ισχύουν για τον Πελάτη.