ΣΥΜΦΩΝΙΑ ΕΠΕΞΕΡΓΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ
DPA
Τυπικό DPA · Έκδοση 1.0 · EvaluationsHub από την Vockam SAS
Κάντε κλικ εδώ για να υπογράψετε το αντίγραφό σας
| ΜΕΡΗ ΤΗΣ ΠΑΡΟΥΣΑΣ ΣΥΜΦΩΝΙΑΣ | |
| ελεγκτής | [Όνομα Πελάτη], συσταθείσα στην [Δικαιοδοσία], με έδρα στη διεύθυνση [Διεύθυνση] («ο Υπεύθυνος Επεξεργασίας») |
| Επεξεργαστής | Vockam SAS, μια Γαλλική Εταιρεία Par Actions Simplifiée (SAS), εγγραφή αρ. 899272736 RCS Meaux, 1 Boulevard du huit mai 1945, 77260 La Ferté-sous-Jouarre, Γαλλία, που λειτουργεί EvaluationsHub («ο Επεξεργαστής») |
| Ημερομηνία έναρξης ισχύος | [ΗΜΕΡΟΜΗΝΙΑ] |
| Εφαρμοστέο Δίκαιο | Γαλλική νομοθεσία και ΓΚΠΔ ΕΕ |
| Δικαιοδοσία | Δικαστήρια του Παρισιού, Γαλλία |
Η παρούσα Συμφωνία Επεξεργασίας Δεδομένων («DPA») είναι η τυπική συμφωνία επεξεργασίας δεδομένων που εκδίδεται από την Vockam SAS (λειτουργική EvaluationsHub) στους πελάτες της. Αποτελεί μέρος της Κύριας Σύμβασης Παροχής Υπηρεσιών ή των Όρων Παροχής Υπηρεσιών («Κύρια Σύμβαση») μεταξύ των ανωτέρω μερών και καθορίζει τους όρους βάσει των οποίων ο Επεξεργαστής θα επεξεργάζεται Προσωπικά Δεδομένα για λογαριασμό του Υπεύθυνου Επεξεργασίας σε σχέση με την EvaluationsHub υπηρεσία. Υπογράφοντας παρακάτω, ο Υπεύθυνος Επεξεργασίας αποδέχεται τους όρους αυτού του DPA.
- Ορισμοί
Στο παρόν DPA, οι ακόλουθοι όροι έχουν τις ακόλουθες έννοιες:
| Νόμοι περί προστασίας δεδομένων | Όλη η ισχύουσα νομοθεσία σχετικά με την προστασία δεδομένων και το απόρρητο, συμπεριλαμβανομένου του Γενικού Κανονισμού για την Προστασία Δεδομένων 2016/679 της ΕΕ («ΓΚΠΔ»), του Γαλλικού Νόμου για την Προστασία Δεδομένων (Loi Informatique et Libertés) και οποιασδήποτε ισχύουσας εθνικής εκτελεστικής νομοθεσίας, όπως τροποποιείται ή αντικαθίσταται κατά καιρούς. |
| Προσωπικά Δεδομένα | Έχει την έννοια που δίνεται στο Άρθρο 4(1) του ΓΚΠΔ: οποιαδήποτε πληροφορία που αφορά ένα ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. |
| Επεξεργασία | Έχει την έννοια που δίνεται στο Άρθρο 4(2) του ΓΚΠΔ: οποιαδήποτε ενέργεια που εκτελείται σε Προσωπικά Δεδομένα. |
| Υποκείμενο δεδομένων | Το ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο στο οποίο αναφέρονται τα Προσωπικά Δεδομένα. |
| Παραβίαση Προσωπικών Δεδομένων | Έχει την έννοια που δίνεται στο Άρθρο 4(12) του ΓΚΠΔ: παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, μη εξουσιοδοτημένη αποκάλυψη ή πρόσβαση σε Προσωπικά Δεδομένα. |
| Υπεργολάβος επεξεργασίας | Οποιοδήποτε τρίτο μέρος που προσλαμβάνεται από τον Εκτελούντα την Επεξεργασία για την επεξεργασία Δεδομένων Προσωπικού Χαρακτήρα για λογαριασμό του Υπεύθυνου Επεξεργασίας. |
| Τυποποιημένες Συμβατικές Ρήτρες (SCC) | Η εκτελεστική απόφαση (ΕΕ) 2021/914 της Επιτροπής της ΕΕ, της 4ης Ιουνίου 2021, σχετικά με τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση Προσωπικών Δεδομένων σε τρίτες χώρες, όπως ενημερώνεται κατά καιρούς. |
| ΕΟΧ | Ο Ευρωπαϊκός Οικονομικός Χώρος. |
| TOM | Τεχνικά και οργανωτικά μέτρα όπως περιγράφονται στο Παράρτημα 2. |
- Πεδίο και Διάρκεια
2.1 Αντικείμενο. Ο Επεξεργαστής παρέχει μια πλατφόρμα Διαχείρισης Σχέσεων με Προμηθευτές (SRM) και αξιολόγησης εμπειρίας πελατών («EvaluationsHubΟ Επεξεργαστής θα επεξεργάζεται Προσωπικά Δεδομένα αποκλειστικά στο βαθμό που είναι απαραίτητο για την παροχή αυτών των υπηρεσιών βάσει της Κύριας Συμφωνίας.
2.2 Διάρκεια. Η παρούσα DPA παραμένει σε ισχύ για όσο διάστημα ο Επεξεργαστής επεξεργάζεται Προσωπικά Δεδομένα βάσει της Κύριας Συμφωνίας. Λήγει αυτόματα με τη λήξη ή τη λήξη της Κύριας Συμφωνίας, με την επιφύλαξη της διατήρησης των υποχρεώσεων βάσει της Ρήτρας 8 (Διαγραφή ή Επιστροφή Δεδομένων).
- Επεξεργασία μόνο βάσει οδηγιών
3.1 Τεκμηριωμένες Οδηγίες. Ο Επεξεργαστής θα επεξεργάζεται Προσωπικά Δεδομένα μόνο βάσει τεκμηριωμένων οδηγιών από τον Υπεύθυνο Επεξεργασίας, όπως ορίζεται στην παρούσα DPA ή στην Κύρια Συμφωνία, εκτός εάν απαιτείται από το δίκαιο της Ένωσης ή του κράτους μέλους. Σε αυτήν την περίπτωση, ο Επεξεργαστής θα ενημερώνει τον Υπεύθυνο Επεξεργασίας για την εν λόγω νομική απαίτηση πριν από την επεξεργασία, εκτός εάν απαγορεύεται από το νόμο για λόγους δημόσιου συμφέροντος.
3.2 Ειδοποίηση Συγκρούσεων. Εάν ο Επεξεργαστής πιστεύει ότι οποιαδήποτε εντολή από τον Υπεύθυνο Επεξεργασίας θα παραβίαζε τους Νόμους περί Προστασίας Δεδομένων, οφείλει να ειδοποιήσει αμέσως τον Υπεύθυνο Επεξεργασίας και μπορεί να αναστείλει την σχετική επεξεργασία μέχρι να επιλυθεί το ζήτημα.
3.3 Εμπιστευτικότητα Προσωπικού. Ο Επεξεργαστής διασφαλίζει ότι όλα τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται Δεδομένα Προσωπικού Χαρακτήρα έχουν δεσμευτεί να τηρούν συμβατικές ή νομοθετικές υποχρεώσεις εμπιστευτικότητας.
- Ασφάλεια
4.1 Κατάλληλα Μέτρα. Ο Επεξεργαστής εφαρμόζει και διατηρεί τα τεχνικά και οργανωτικά μέτρα που ορίζονται στο Παράρτημα 2 (TOM). Τα μέτρα αυτά διασφαλίζουν επίπεδο ασφάλειας κατάλληλο για τον κίνδυνο, λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τον κίνδυνο για τα δικαιώματα και τις ελευθερίες των Υποκειμένων των Δεδομένων.
4.2 Ενημερώσεις των TOM. Ο Επεξεργαστής δύναται να ενημερώνει ή να τροποποιεί τους TOM κατά καιρούς, υπό την προϋπόθεση ότι οποιαδήποτε τέτοια ενημέρωση δεν μειώνει ουσιαστικά το συνολικό επίπεδο παρεχόμενης ασφάλειας. Ο Επεξεργαστής ειδοποιεί τον Υπεύθυνο Επεξεργασίας για οποιαδήποτε ουσιώδη μείωση των μέτρων ασφαλείας τουλάχιστον 30 ημέρες νωρίτερα.
4.3 Εκπαίδευση Προσωπικού. Ο Επεξεργαστής διασφαλίζει ότι όλο το προσωπικό που έχει πρόσβαση σε Προσωπικά Δεδομένα λαμβάνει επαρκή και τακτική εκπαίδευση σχετικά με τις υποχρεώσεις προστασίας δεδομένων και τις πρακτικές ασφαλείας.
- Υπεργοεπεξεργασία
5.1 Γενική Εξουσιοδότηση. Ο Υπεύθυνος Επεξεργασίας χορηγεί στον Επεξεργαστή γενική γραπτή εξουσιοδότηση για την πρόσληψη των Υπεργολάβων Επεξεργασίας που αναφέρονται στο Παράρτημα 3, με την επιφύλαξη των όρων της παρούσας Ρήτρας 5.
5.2 Υποχρεώσεις Υπεργολάβου Επεξεργασίας. Πριν από την πρόσληψη οποιουδήποτε Υπεργολάβου Επεξεργασίας, ο Επεξεργαστής επιβάλλει στον εν λόγω Υπεργολάβο υποχρεώσεις προστασίας δεδομένων ισοδύναμες με εκείνες της παρούσας DPA, ιδίως παρέχοντας επαρκείς εγγυήσεις για την εφαρμογή κατάλληλων Όρων Παροχής Δεδομένων (TOM). Ο Επεξεργαστής παραμένει πλήρως υπεύθυνος έναντι του Υπεύθυνου Επεξεργασίας για τις πράξεις και παραλείψεις των Υπεργολάβων Επεξεργασίας του.
5.3 Αλλαγές στους Υπεργολάβους Επεξεργασίας. Ο Επεξεργαστής οφείλει να ειδοποιήσει εγγράφως τον Υπεύθυνο Επεξεργασίας τουλάχιστον 30 ημέρες νωρίτερα για τυχόν σκοπούμενες αλλαγές στον κατάλογο των Υπεργολάβων Επεξεργασίας (προσθήκες ή αντικαταστάσεις). Ο Υπεύθυνος Επεξεργασίας μπορεί να αντιταχθεί σε τέτοιες αλλαγές για εύλογους λόγους εντός 15 ημερών από την παραλαβή της ειδοποίησης. Εάν ο Υπεύθυνος Επεξεργασίας αντιταχθεί και ο Επεξεργαστής δεν μπορεί να δεχθεί την αντίρρηση, ο Υπεύθυνος Επεξεργασίας μπορεί να τερματίσει τις σχετικές υπηρεσίες χωρίς ποινή κατόπιν γραπτής ειδοποίησης.
5.4 Υπεργολάβοι επεξεργασίας εκτός ΕΟΧ. Όταν ένας Υπεργολάβος επεξεργασίας βρίσκεται εκτός ΕΟΧ σε χώρα που δεν αναγνωρίζεται από την Ευρωπαϊκή Επιτροπή ως χώρα που παρέχει επαρκές επίπεδο προστασίας δεδομένων, ο Επεξεργαστής διασφαλίζει ότι υπάρχει κατάλληλος μηχανισμός μεταφοράς (π.χ. Τερματικοί Όροι Συναλλαγής) πριν από τη μεταφορά οποιωνδήποτε Προσωπικών Δεδομένων στον εν λόγω Υπεργολάβο επεξεργασίας. Οι επιβεβαιωμένοι μηχανισμοί μεταφοράς για τους τρέχοντες Υπεργολάβους επεξεργασίας εκτός ΕΟΧ περιγράφονται λεπτομερώς στο Παράρτημα 3.
- Διεθνείς μεταφορές δεδομένων
6.1 Κύρια αποθήκευση. Τα Προσωπικά Δεδομένα αποθηκεύονται και υποβάλλονται σε επεξεργασία κυρίως εντός του ΕΟΧ, χρησιμοποιώντας την υποδομή AWS στην ΕΕ (περιοχές Ιρλανδίας και Φρανκφούρτης).
6.2 Διαβιβάσεις εκτός ΕΟΧ. Όταν τα Προσωπικά Δεδομένα διαβιβάζονται σε χώρα εκτός ΕΟΧ που δεν υπόκειται σε απόφαση επάρκειας, ο Επεξεργαστής διασφαλίζει ότι εφαρμόζεται μία από τις ακόλουθες εγγυήσεις πριν από τη μεταφορά: (α) οι Τυποποιημένες Συμβατικές Ρήτρες της ΕΕ (2021/914) έχουν εκτελεστεί με τον σχετικό Υπεργολάβο επεξεργασίας· ή (β) εφαρμόζεται άλλος νόμιμος μηχανισμός μεταφοράς που αναγνωρίζεται βάσει του Άρθρου 46 του ΓΚΠΔ. Λεπτομέρειες σχετικά με τις ισχύουσες εγγυήσεις για κάθε Υπεργολάβο επεξεργασίας παρατίθενται στο Παράρτημα 3.
6.3 Ειδοποίηση. Ο Επεξεργαστής ειδοποιεί αμέσως τον Υπεύθυνο Επεξεργασίας εάν οποιαδήποτε δικλείδα ασφαλείας που αναφέρεται στην Παράγραφο 6.2 παύσει να ισχύει ή υποστεί ουσιώδη τροποποίηση.
- Βοήθεια με τα Δικαιώματα των Υποκειμένων των Δεδομένων
7.1 Αιτήματα από Υποκείμενα Δεδομένων. Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, ο Εκτελών την Επεξεργασία βοηθά τον Υπεύθυνο Επεξεργασίας εφαρμόζοντας κατάλληλα τεχνικά και οργανωτικά μέτρα για την εκπλήρωση της υποχρέωσής του να ανταποκρίνεται σε αιτήματα από Υποκείμενα Δεδομένων που ασκούν τα δικαιώματά τους βάσει του Κεφαλαίου III του ΓΚΠΔ (συμπεριλαμβανομένων των δικαιωμάτων πρόσβασης, διόρθωσης, διαγραφής, περιορισμού, φορητότητας και αντίρρησης).
7.2 Προώθηση Αιτημάτων. Εάν ο Επεξεργαστής λάβει αίτημα απευθείας από ένα Υποκείμενο Δεδομένων, οφείλει να το διαβιβάσει στον Υπεύθυνο Επεξεργασίας εντός 5 εργάσιμων ημερών και δεν οφείλει να απαντήσει ο ίδιος στο αίτημα χωρίς την προηγούμενη γραπτή άδεια του Υπεύθυνου Επεξεργασίας, εκτός εάν απαιτείται από το νόμο.
7.3 Περαιτέρω Βοήθεια. Ο Επεξεργαστής θα πρέπει επίσης να βοηθά τον Υπεύθυνο Επεξεργασίας στη διασφάλιση της συμμόρφωσης με τις υποχρεώσεις του σχετικά με: (α) την ασφάλεια της επεξεργασίας (Άρθρο 32 ΓΚΠΔ)· (β) την κοινοποίηση παραβιάσεων Προσωπικών Δεδομένων στις εποπτικές αρχές και στα Υποκείμενα των Δεδομένων (Άρθρα 33–34 ΓΚΠΔ)· και (γ) τις Εκτιμήσεις Επιπτώσεων στην Προστασία Δεδομένων και την προηγούμενη διαβούλευση (Άρθρα 35–36 ΓΚΠΔ).
- Ειδοποίηση παραβίασης προσωπικών δεδομένων
8.1 Ειδοποίηση στον Υπεύθυνο Επεξεργασίας. Ο Επεξεργαστής ειδοποιεί τον Υπεύθυνο Επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση και, σε κάθε περίπτωση, χωρίς αδικαιολόγητη καθυστέρηση και, σε κάθε περίπτωση, εντός 72 ωρών, αφότου λάβει γνώση παραβίασης δεδομένων προσωπικού χαρακτήρα που επηρεάζει δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία βάσει του παρόντος DPA.
8.2 Περιεχόμενο της Ειδοποίησης. Η εν λόγω ειδοποίηση περιλαμβάνει, στο βαθμό που είναι τότε γνωστό: (α) περιγραφή της φύσης της παραβίασης, συμπεριλαμβανομένων των κατηγοριών και του κατά προσέγγιση αριθμού των Υποκειμένων Δεδομένων και των αρχείων Προσωπικών Δεδομένων που εμπλέκονται· (β) το όνομα και τα στοιχεία επικοινωνίας του υπεύθυνου επικοινωνίας για την προστασία δεδομένων του Επεξεργαστή (team@evaluationshub.com)· (γ) περιγραφή των πιθανών συνεπειών της παραβίασης· και (δ) περιγραφή των μέτρων που ελήφθησαν ή προτάθηκαν για την αντιμετώπιση της παραβίασης, συμπεριλαμβανομένων των μέτρων μετριασμού.
8.3 Περαιτέρω Πληροφορίες. Όταν δεν είναι όλες οι πληροφορίες διαθέσιμες κατά τον χρόνο της αρχικής ειδοποίησης, ο Επεξεργαστής παρέχει περαιτέρω πληροφορίες σταδιακά, καθώς αυτές καθίστανται διαθέσιμες, χωρίς αδικαιολόγητη καθυστέρηση.
8.4 Τήρηση Αρχείων. Ο Επεξεργαστής καταγράφει όλες τις Παραβιάσεις Προσωπικών Δεδομένων, συμπεριλαμβανομένων των γεγονότων, των επιπτώσεων και των διορθωτικών μέτρων που ελήφθησαν, και θέτει τα εν λόγω αρχεία στη διάθεση του Υπεύθυνου Επεξεργασίας κατόπιν αιτήματος.
- Διατήρηση δεδομένων
9.1 Περίοδοι Διατήρησης. Ο Επεξεργαστής δεν διατηρεί τα Προσωπικά Δεδομένα για μεγαλύτερο χρονικό διάστημα από το απαραίτητο για τους σκοπούς που ορίζονται στο Παράρτημα 1. Εκτός εάν συμφωνηθεί διαφορετικά εγγράφως, ισχύουν οι ακόλουθες μέγιστες περίοδοι διατήρησης:
| Κατηγορία Δεδομένων | Περίοδος διατήρησης |
| Δεδομένα ενεργού λογαριασμού χρήστη | Διάρκεια της Κύριας Συμφωνίας |
| Αξιολογήσεις και αξιολογήσεις απόδοσης | 3 χρόνια από τη δημιουργία, εκτός εάν ζητηθεί η διαγραφή νωρίτερα |
| Διαπιστευτήρια σύνδεσης (αρχεία καταγραφής πρόσβασης) | 12 μήνες από τη δημιουργία |
| Αντίγραφα ασφαλείας | 90 ημέρες από τη λήξη της Κύριας Συμφωνίας |
| Αρχεία καταγραφής ελέγχου | 3 χρόνια από τη δημιουργία (νομική υποχρέωση) |
- Διαγραφή ή Επιστροφή Δεδομένων
10.1 Μετά τη Λήξη. Μετά τη λήξη ή τη λήξη της Κύριας Συμφωνίας, ο Επεξεργαστής, κατ' επιλογή του Υπεύθυνου Επεξεργασίας και εντός 30 ημερών από την παραλαβή γραπτού αιτήματος: (α) επιστρέφει με ασφάλεια όλα τα Προσωπικά Δεδομένα στον Υπεύθυνο Επεξεργασίας σε κοινώς χρησιμοποιούμενη μορφή αναγνώσιμη από μηχανήματα ή (β) διαγράφει και καταστρέφει με ασφάλεια όλα τα Προσωπικά Δεδομένα (και όλα τα αντίγραφά τους), εκτός εάν η νομοθεσία της Ένωσης ή του κράτους μέλους απαιτεί συνεχή αποθήκευση.
10.2 Επιβεβαίωση. Ο Επεξεργαστής θα παρέχει στον Υπεύθυνο Επεξεργασίας γραπτή επιβεβαίωση διαγραφής ή επιστροφής εντός 30 ημερών από την ολοκλήρωση της ενέργειας.
10.3 Υπόλοιπα Αντίγραφα. Ο Επεξεργαστής καταβάλλει εμπορικά εύλογες προσπάθειες για να διασφαλίσει ότι και οι Υπεργολάβοι Επεξεργασίας διαγράφουν ή επιστρέφουν Προσωπικά Δεδομένα σύμφωνα με την παρούσα Ρήτρα 10.
- Δικαιώματα ελέγχου
11.1 Πληροφορίες. Ο Εκτελών την Επεξεργασία οφείλει να θέτει στη διάθεση του Υπεύθυνου Επεξεργασίας όλες τις πληροφορίες που είναι εύλογα απαραίτητες για να αποδειχθεί η συμμόρφωση με τις υποχρεώσεις που ορίζονται στην παρούσα DPA και στο Άρθρο 28 του ΓΚΠΔ.
11.2 Έλεγχοι. Ο Επεξεργαστής επιτρέπει και συμβάλλει σε ελέγχους, συμπεριλαμβανομένων των επιθεωρήσεων, που διενεργούνται από τον Υπεύθυνο Επεξεργασίας ή από έναν ελεγκτή που έχει οριστεί από τον Υπεύθυνο Επεξεργασίας, με την επιφύλαξη: (α) της προηγούμενης γραπτής ειδοποίησης του Υπεύθυνου Επεξεργασίας τουλάχιστον 30 ημερών· (β) της διεξαγωγής ελέγχων το πολύ μία φορά ανά ημερολογιακό έτος (εκτός από περιπτώσεις υποψίας παραβίασης δεδομένων προσωπικού χαρακτήρα)· (γ) της διεξαγωγής ελέγχου κατά τις κανονικές εργάσιμες ώρες και με τρόπο που ελαχιστοποιεί τη διακοπή· και (δ) του κόστους του ελέγχου που βαρύνει τον Υπεύθυνο Επεξεργασίας, εκτός εάν ο έλεγχος αποκαλύψει ουσιώδη μη συμμόρφωση, οπότε το κόστος βαρύνει τον Επεξεργαστή.
11.3 Πιστοποιήσεις. Κατόπιν αιτήματος του Υπεύθυνου Επεξεργασίας, ο Επεξεργαστής παρέχει αντίγραφα σχετικών πιστοποιήσεων τρίτων (π.χ. ISO 27001, μόλις αποκτηθούν) ή περιλήψεις αξιολόγησης ασφαλείας αντί ή επιπλέον ενός επιτόπιου ελέγχου, όπου εφαρμόζεται. Ο Επεξεργαστής επιδιώκει επί του παρόντος την πιστοποίηση ISO 27001.
- Εκτιμήσεις επιπτώσεων στην προστασία δεδομένων
12.1 Ο Επεξεργαστής οφείλει να βοηθά εύλογα τον Υπεύθυνο Επεξεργασίας στη διενέργεια οποιασδήποτε Εκτίμησης Επιπτώσεων στην Προστασία Δεδομένων (ΕΕΠΔ) που απαιτείται βάσει του Άρθρου 35 του ΓΚΠΔ, με τους εξής τρόπους: (α) παροχή σχετικών πληροφοριών σχετικά με τις ισχύουσες λειτουργίες επεξεργασίας, τους κινδύνους και τους Όρους Παραγωγής Δεδομένων (ΤΟΜ)· (β) συμμετοχή σε συναντήσεις διαβούλευσης με εύλογη προειδοποίηση· και (γ) άμεση απάντηση σε γραπτά ερωτήματα σχετικά με τις δραστηριότητες επεξεργασίας που περιγράφονται στο Παράρτημα 1.
- Ευθύνη
13.1 Όριο Ευθύνης. Στο μέγιστο βαθμό που επιτρέπεται από την ισχύουσα νομοθεσία, η συνολική συνολική ευθύνη του Εκτελούντος την Επεξεργασία έναντι του Υπεύθυνου Επεξεργασίας βάσει ή σε σχέση με την παρούσα DPA (είτε συμβατική, αδικοπραξία, αμέλεια ή άλλως) δεν θα υπερβαίνει το σύνολο των αμοιβών που καταβλήθηκαν ή πρέπει να καταβληθούν από τον Υπεύθυνο Επεξεργασίας στον Εκτελούντα την Επεξεργασία κατά τη διάρκεια της 12μηνης περιόδου αμέσως πριν από το γεγονός που οδήγησε στην αξίωση (το «Όριο Ευθύνης»). Όταν η Κύρια Συμφωνία καλύπτει περίοδο μικρότερη των 12 μηνών κατά τον χρόνο της αξίωσης, το Όριο Ευθύνης θα είναι το σύνολο των αμοιβών που καταβλήθηκαν ή πρέπει να καταβληθούν βάσει της Κύριας Συμφωνίας μέχρι σήμερα.
13.2 Εξαιρέσεις από το Όριο Ευθύνης. Το Όριο Ευθύνης δεν ισχύει για: (α) την ευθύνη οποιουδήποτε Μέρους για θάνατο ή σωματική βλάβη που προκαλείται από αμέλειά του· (β) την ευθύνη οποιουδήποτε Μέρους για απάτη ή δόλια ψευδή δήλωση· ή (γ) οποιαδήποτε ευθύνη που δεν μπορεί να αποκλειστεί ή να περιοριστεί από την ισχύουσα νομοθεσία.
13.3 Αμοιβαία Ευθύνη. Όταν και τα δύο Μέρη ευθύνονται για ζημία που προκαλείται από παραβίαση του ΓΚΠΔ, κάθε Μέρος ευθύνεται για το μέρος της ζημίας που του αναλογεί σύμφωνα με το Άρθρο 82 του ΓΚΠΔ. Το Όριο Ευθύνης στην Παράγραφο 13.1 ισχύει για το μερίδιο του Επεξεργαστή σε οποιαδήποτε τέτοια ευθύνη.
13.4 Μετριασμός. Κάθε Μέρος λαμβάνει εύλογα μέτρα για τον μετριασμό οποιασδήποτε απώλειας ή ζημίας υποστεί ως αποτέλεσμα της παραβίασης της παρούσας DPA από το άλλο Μέρος.
- Εφαρμοστέο Δίκαιο και Δικαιοδοσία
14.1 Η παρούσα DPA διέπεται και ερμηνεύεται σύμφωνα με το γαλλικό δίκαιο και το ισχύον δίκαιο της ΕΕ, συμπεριλαμβανομένου του ΓΚΠΔ.
14.2 Οποιαδήποτε διαφορά προκύπτει από ή σε σχέση με την παρούσα DPA υπόκειται στην αποκλειστική δικαιοδοσία των δικαστηρίων του Παρισιού, Γαλλία, εκτός εάν ορίζεται διαφορετικά από την ισχύουσα νομοθεσία.
- Υπογραφές
Υπογράφοντας παρακάτω, τα Μέρη συμφωνούν με τους όρους της παρούσας Συμφωνίας Επεξεργασίας Δεδομένων.
| Για λογαριασμό και εκ μέρους του Υπεύθυνου Επεξεργασίας (Πελάτη) | Για λογαριασμό και εκ μέρους της Vockam SAS (Επεξεργαστής) |
| Ονοματεπώνυμο: _______________________________ | Πλήρες όνομα: Bert Πέσμπρουγκε |
| Τίτλος: ____________________________________ | Τίτλος: Ιδρυτής & Διευθύνων Σύμβουλος, Vockam SAS |
| Εταιρεία: __________________________________ | Εταιρεία: Vockam SAS |
| Υπογραφή: | Υπογραφή: |
ΠΑΡΑΡΤΗΜΑ 1 — Περιγραφή των Δραστηριοτήτων Επεξεργασίας
| Κατηγορίες Υποκειμένων Δεδομένων | • Υπάλληλοι πελατών και εξουσιοδοτημένοι χρήστες της πλατφόρμας • Εκπρόσωποι των προμηθευτών και πωλητών του Πελάτη |
| Είδη Προσωπικών Δεδομένων | • Ονόματα και επαγγελματικές θέσεις • Επαγγελματικές διευθύνσεις email • Στοιχεία επικοινωνίας επιχείρησης (τηλέφωνο, διεύθυνση) • Ονόματα προμηθευτών και πελατών • Δεδομένα αξιολόγησης απόδοσης • Διαπιστευτήρια σύνδεσης πλατφόρμας (αποθηκεύονται μόνο ως μονομερείς τιμές κατακερματισμού· τα διαπιστευτήρια απλού κειμένου δεν διατηρούνται ποτέ) • Αρχεία καταγραφής συμπεριφοράς και χρήσης χρηστών |
| Φύση της επεξεργασίας | Συλλογή, αποθήκευση, ανάκτηση, χρήση, γνωστοποίηση (σε εξουσιοδοτημένους χρήστες) και διαγραφή Προσωπικών Δεδομένων. |
| Σκοπός Επεξεργασίας | Για τη διευκόλυνση των αξιολογήσεων προμηθευτών και πελατών, των εκτιμήσεων κινδύνου και της διαχείρισης της πλατφόρμας SRM στο πλαίσιο του EvaluationsHub υπηρεσία. |
| Νομική Βάση (Βάση Υπεύθυνου Επεξεργασίας) | Ο Υπεύθυνος Επεξεργασίας είναι υπεύθυνος για τον προσδιορισμό και την τεκμηρίωση της δικής του νομικής βάσης για την επεξεργασία βάσει του Άρθρου 6 του ΓΚΠΔ (π.χ. Άρθρο 6(1)(β) — εκτέλεση σύμβασης ή Άρθρο 6(1)(στ) — έννομα συμφέροντα). EvaluationsHub επεξεργάζεται τα Προσωπικά Δεδομένα αποκλειστικά κατόπιν εντολής του Υπεύθυνου Επεξεργασίας και δεν καθορίζει τη νομική βάση. |
ΠΑΡΑΡΤΗΜΑ 2 — Τεχνικά και Οργανωτικά Μέτρα (ΤΟΜ)
| Μέτρο | Εκτέλεση |
| Κρυπτογράφηση σε κατάσταση ηρεμίας | Κρυπτογράφηση AES-256 για όλα τα Προσωπικά Δεδομένα που είναι αποθηκευμένα στις βάσεις δεδομένων AWS S3 και RDS. |
| Κρυπτογράφηση κατά τη μεταφορά | TLS 1.2 ή νεότερη έκδοση για όλες τις μεταδόσεις δεδομένων. Τα TLS 1.0 και 1.1 είναι απενεργοποιημένα. |
| Access Control | Αυστηρός έλεγχος πρόσβασης βάσει ρόλων (RBAC). Η πρόσβαση σε Προσωπικά δεδομένα χορηγείται μόνο κατόπιν αιτήματος. |
| Πιστοποίηση | Ο έλεγχος ταυτότητας δύο παραγόντων (2FA) είναι υποχρεωτικός για όλους τους λογαριασμούς προσωπικού και διοίκησης με πρόσβαση σε Προσωπικά Δεδομένα. |
| Διαχείριση διαπιστευτηρίων | Οι κωδικοί πρόσβασης χρηστών αποθηκεύονται αποκλειστικά ως μονοκατευθυνόμενα αλατισμένα hashes (bcrypt ή ισοδύναμα). Οι κωδικοί πρόσβασης απλού κειμένου δεν αποθηκεύονται ούτε καταγράφονται ποτέ. |
| Κατοικία δεδομένων | Όλα τα Προσωπικά Δεδομένα αποθηκεύονται στις περιοχές AWS της ΕΕ (Ιρλανδία / Φρανκφούρτη). Κανένα Προσωπικό Δεδομένο δεν αντιγράφεται εκτός του ΕΟΧ, εκτός εάν υπάρχει έγκυρος μηχανισμός μεταφοράς (βλ. Παράρτημα 3). |
| Αντίγραφα ασφαλείας και ανθεκτικότητα | Αυτοματοποιημένα καθημερινά αντίγραφα ασφαλείας που αποθηκεύονται σε Ζώνες Διαθεσιμότητας AWS εντός της ΕΕ. RPO: 24 ώρες. RTO: 8 ώρες. |
| Αρχεία ελέγχου | Διατηρούνται αμετάβλητα αρχεία καταγραφής για όλα τα συμβάντα πρόσβασης, τροποποίησης και διαγραφής δεδομένων. Τα αρχεία καταγραφής διατηρούνται για 3 χρόνια. |
| Διαχείριση ευπάθειας | Τακτικές δοκιμές ασφαλείας που διεξάγονται σύμφωνα με το πρόγραμμα ασφαλείας του Επεξεργαστή. Ο Επεξεργαστής επιδιώκει ενεργά την πιστοποίηση ISO 27001. Οι κρίσιμες ευπάθειες αποκαθίστανται με βάση την ιεράρχηση κινδύνου. |
| Αντιμετώπιση περιστατικών | Ένα τεκμηριωμένο σχέδιο αντιμετώπισης περιστατικών τηρείται και δοκιμάζεται ετησίως. Ο Επεξεργαστής δεσμεύεται να ειδοποιεί τον Υπεύθυνο Επεξεργασίας εντός 72 ωρών από την επιβεβαιωμένη Παραβίαση Προσωπικών Δεδομένων (βλ. Άρθρο 8). |
| Διαχείριση προμηθευτών | Οι υπεργολάβοι επεξεργασίας υπόκεινται σε δέουσα επιμέλεια για την προστασία δεδομένων και σε συμβατικές υποχρεώσεις προστασίας δεδομένων πριν από την ανάθεσή τους. |
ΠΑΡΑΡΤΗΜΑ 3 — Εγκεκριμένοι Υπεργολάβοι Επεξεργασίας
Οι ακόλουθοι Υπεργολάβοι Επεξεργασίας είναι εξουσιοδοτημένοι κατά την Ημερομηνία Έναρξης Ισχύος. Ο Επεξεργαστής θα ειδοποιεί 30 ημέρες νωρίτερα για τυχόν αλλαγές σύμφωνα με την Παράγραφο 5.3.
| Υπεργολάβος επεξεργασίας | Σκοπός | Χώρα | Μηχανισμός Μεταφοράς | Κατηγορίες Δεδομένων |
| Amazon Web Services (AWS) | Υποδομή cloud και φιλοξενία | ΕΟΧ (Ιρλανδία / Φρανκφούρτη) | Επάρκεια — με βάση τον ΕΟΧ· ισχύουσα DPA της AWS | Όλα τα προσωπικά δεδομένα |
| Stripe | Επεξεργασία πληρωμών (όπου ισχύει) | ΗΠΑ | Εκτελούνται SCC (Ενότητα 2: Από ελεγκτή σε επεξεργαστή) | Όνομα επαφής χρέωσης, email, μόνο μεταδεδομένα πληρωμής |
| Zoho Corporation | CRM, καμπάνιες μέσω email, συνομιλία υποστήριξης | ΗΠΑ / Ινδία | Εκτελέστηκαν SCC (Ενότητα 2). Ενεργοποιήθηκε η επιλογή παραμονής δεδομένων Zoho EU. Σημείωση: το εύρος των δεδομένων που υποβάλλονται σε επεξεργασία από οποιεσδήποτε λειτουργίες τεχνητής νοημοσύνης εντός της Zoho διέπεται από την τεκμηρίωση DPA και απορρήτου της Zoho, η οποία είναι διαθέσιμη στη διεύθυνση zoho.com/privacy.html. | Ονόματα, email, στοιχεία επικοινωνίας επιχείρησης |
| Τεχνολογίες Pitangent | Ανάπτυξη και συντήρηση λογισμικού | India | Εκτελούνται SCC (Ενότητα 2: Από τον υπεύθυνο επεξεργασίας προς τον επεξεργαστή). Η πρόσβαση περιορίζεται μόνο σε ανώνυμα/δοκιμαστικά δεδομένα. Δεν υπάρχει πρόσβαση σε προσωπικά δεδομένα παραγωγής χωρίς τη συγκατάθεση του υπεύθυνου επεξεργασίας. | Ανώνυμα/ψευδώνυμα δεδομένα μόνο κατά τη συνήθη πορεία |
| Mixpanel | Αναλυτικά στοιχεία χρήσης πλατφόρμας | ΗΠΑ | Εκτελεσμένα SCC (Ενότητα 2). Ενεργοποίηση της παραμονής δεδομένων στην ΕΕ. | Μόνο ψευδώνυμα αρχεία καταγραφής συμπεριφοράς και χρήσης χρηστών |
* EvaluationsHub (Vockam SAS) εγγυάται ότι υπάρχουν SCC ή/και ισοδύναμοι μηχανισμοί μεταφοράς με όλους τους Υπεργολάβους Επεξεργασίας εκτός ΕΟΧ που αναφέρονται παραπάνω. Αντίγραφα των σχετικών SCC είναι διαθέσιμα στον Υπεύθυνο Επεξεργασίας κατόπιν γραπτού αιτήματος προς την team@evaluationshub. Com.
