Συμφωνία επεξεργασίας δεδομένων

Περιεχόμενα

1. 1. Πεδίο εφαρμογής, ρόλοι και ορισμοί
2. 2. Στοιχεία της Επεξεργασίας
3. 3. Οι οδηγίες του Πελάτη
4. 4. Εμπιστευτικότητα των εξουσιοδοτημένων προσώπων
5. 5. Μέτρα ασφαλείας
6. 6. Υπεκτελούντες την Επεξεργασία
7. 7. Τόπος των δεδομένων και διεθνείς διαβιβάσεις
8. 8. Συνδρομή σε αιτήματα Υποκειμένων των Δεδομένων
9. 9. Γνωστοποίηση Παραβίασης Δεδομένων Προσωπικού Χαρακτήρα
10. 10. Εκτιμήσεις αντικτύπου και διαβούλευση με ρυθμιστικές αρχές
11. 11. Πληροφορίες και έλεγχοι
12. 12. Επιστροφή και διαγραφή δεδομένων
13. 13. Αιτήματα κυβερνητικών αρχών
14. 14. Ευθύνη
15. 15. Διάρκεια και προτεραιότητα
16. 16. Σημείο επικοινωνίας για την προστασία δεδομένων και αρχείο δραστηριοτήτων επεξεργασίας
17. Παράρτημα 1: Στοιχεία της Επεξεργασίας
18. Παράρτημα 2: Τεχνικά και οργανωτικά μέτρα
19. Παράρτημα 3: Υπεκτελούντες την Επεξεργασία

Έκδοση: 1.2 · Δημοσιεύθηκε: 16 Οκτωβρίου 2026 · Έναρξη ισχύος: κατά την αποδοχή για νέους Χώρους Εργασίας· για Χώρους Εργασίας που αποδέχθηκαν προγενέστερη Έκδοση, κατά την ημερομηνία που ορίζει η STAK στην ειδοποίησή της δυνάμει της ρήτρας 20 των Όρων Παροχής Υπηρεσιών προς Πελάτες · Κείμενο που υπερισχύει: αγγλικό (ρήτρα 23.9 των Όρων Παροχής Υπηρεσιών προς Πελάτες)

Εκδότης: STAK Global, LLC, εταιρεία περιορισμένης ευθύνης που συστάθηκε στην Πολιτεία του Ντέλαγουερ των Ηνωμένων Πολιτειών Αμερικής (αριθμός φακέλου 10798493), στην οποία ανήκουν η STAK (ستاك) και οι Υπηρεσίες. Επικοινωνία: [email protected].

1. Πεδίο εφαρμογής, ρόλοι και ορισμοί

1.1 Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων αποτελεί αναπόσπαστο μέρος της Σύμβασης σύμφωνα με τη ρήτρα 3.1 των Όρων Παροχής Υπηρεσιών προς Πελάτες της STAK (οι «Όροι»). Διέπει την Επεξεργασία των Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη από τη STAK. Οι εκφράσεις που ορίζονται στους Όρους έχουν την ίδια έννοια στην παρούσα Σύμβαση Επεξεργασίας Δεδομένων.

1.2 Ο Πελάτης είναι ο Υπεύθυνος Επεξεργασίας των Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη και η STAK είναι Εκτελών την Επεξεργασία που τα επεξεργάζεται για λογαριασμό του Πελάτη και βάσει των οδηγιών του.

• Οι όροι Υπεύθυνος Επεξεργασίας και Εκτελών την Επεξεργασία σημαίνουν τα αντίστοιχα πρόσωπα βάσει της Ισχύουσας Νομοθεσίας Προστασίας Δεδομένων, όπως ο φορέας ελέγχου και ο φορέας επεξεργασίας στο Βασίλειο της Σαουδικής Αραβίας.
• Εάν ο Πελάτης επεξεργάζεται τα δεδομένα ως εκτελών την επεξεργασία για λογαριασμό άλλου υπευθύνου επεξεργασίας, η STAK τα επεξεργάζεται ως εκτελών την επεξεργασία που ενεργεί για τον Πελάτη και δεν είναι Υπεκτελών την Επεξεργασία κατά την έννοια της ρήτρας 1.3. Ο Πελάτης διασφαλίζει ότι οι οδηγίες του συνάδουν με τις οδηγίες του υπευθύνου αυτού.
• Η STAK επεξεργάζεται τα Δεδομένα Λογαριασμού ως Υπεύθυνος Επεξεργασίας, όπως περιγράφεται στην Πολιτική Απορρήτου, και η παρούσα Σύμβαση Επεξεργασίας Δεδομένων δεν εφαρμόζεται σε αυτά. Ούτε η παρούσα αναφορά ούτε εκείνη στο Παράρτημα 3 δημιουργεί συμβατικές υποχρεώσεις βάσει της ρήτρας 3.2 των Όρων.

1.3 Οι ακόλουθες εκφράσεις έχουν τις έννοιες που δίνονται δίπλα σε καθεμία:

• Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη: Δεδομένα Προσωπικού Χαρακτήρα που περιέχονται στα Δεδομένα Πελάτη, συμπεριλαμβανομένων δεδομένων σχετικά με τους Τελικούς Πελάτες, τους εργαζομένους, τους προμηθευτές και τους Χρήστες του Πελάτη, εκτός των Δεδομένων Λογαριασμού.
• Ευαίσθητα Δεδομένα Προσωπικού Χαρακτήρα: δεδομένα υγείας και κλινικά δεδομένα, καθώς και κάθε δεδομένο που η Ισχύουσα Νομοθεσία Προστασίας Δεδομένων χαρακτηρίζει ως ευαίσθητο.
• Επεξεργασία: κάθε πράξη που εκτελείται σε Δεδομένα Προσωπικού Χαρακτήρα, όπως η συλλογή, η καταχώριση, η αποθήκευση, η ανάκτηση, η χρήση, η γνωστοποίηση, η διαβίβαση και η διαγραφή τους.
• Υπεκτελών την Επεξεργασία: κάθε μέρος που η STAK αναθέτει να επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη με σκοπό την παροχή των Υπηρεσιών.
• Υποκείμενο των Δεδομένων: το φυσικό πρόσωπο στο οποίο αναφέρονται τα Δεδομένα Προσωπικού Χαρακτήρα.
• Περιστατικό Ασφάλειας: κάθε γεγονός που απειλεί, ή εικάζεται ότι απειλεί, την εμπιστευτικότητα, την ακεραιότητα ή τη διαθεσιμότητα των Υπηρεσιών.
• Παραβίαση Δεδομένων Προσωπικού Χαρακτήρα: κάθε παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, μη εξουσιοδοτημένη κοινολόγηση ή πρόσβαση σε Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη.
• Αντίγραφο Ασφαλείας: κάθε αντίγραφο των Δεδομένων Πελάτη που δημιουργείται για σκοπούς αποκατάστασης, σύμφωνα με τη ρήτρα 12.3 και το Παράρτημα 2.
• Περιβάλλον παραγωγής: τα συστήματα και οι βάσεις δεδομένων στα οποία εκτελούνται οι Υπηρεσίες και τα οποία χρησιμοποιεί ο Πελάτης, με εξαίρεση τα Αντίγραφα Ασφαλείας.
• Ισχύουσα Νομοθεσία Προστασίας Δεδομένων: η νομοθεσία προστασίας δεδομένων προσωπικού χαρακτήρα που εφαρμόζεται στην Επεξεργασία, κατά το μέτρο που εφαρμόζεται η καθεμία, συμπεριλαμβανομένων των ακόλουθων:
  • στο Κράτος του Κουβέιτ: ο Νόμος αριθ. 20 του 2014 περί Ηλεκτρονικών Συναλλαγών, καθώς και ο Κανονισμός Προστασίας του Ιδιωτικού Απορρήτου των Δεδομένων, το Ρυθμιστικό Πλαίσιο Υπολογιστικού Νέφους και η Πολιτική Ταξινόμησης Δεδομένων που εκδόθηκαν από τη Ρυθμιστική Αρχή Επικοινωνιών και Τεχνολογίας Πληροφοριών, το καθένα εντός του δικού του πεδίου εφαρμογής·
  • ο Νόμος περί Προστασίας Δεδομένων Προσωπικού Χαρακτήρα του Βασιλείου της Σαουδικής Αραβίας, που εκδόθηκε με το Βασιλικό Διάταγμα αριθ. (M/19) της 9/2/1443 AH, όπως τροποποιήθηκε, ο Εκτελεστικός Κανονισμός του και ο Κανονισμός για τη Διαβίβαση Δεδομένων Προσωπικού Χαρακτήρα εκτός του Βασιλείου·
  • στα Ηνωμένα Αραβικά Εμιράτα: το Ομοσπονδιακό Διάταγμα-Νόμος αριθ. (45) του 2021 για την Προστασία των Δεδομένων Προσωπικού Χαρακτήρα, ο Ομοσπονδιακός Νόμος αριθ. (2) του 2019 για τη Χρήση της Τεχνολογίας Πληροφοριών και Επικοινωνιών στους Τομείς της Υγείας, και οι νόμοι περί προστασίας δεδομένων του Dubai International Financial Centre και του Abu Dhabi Global Market για όσους υπόκεινται σε αυτούς·
  • ο Νόμος αριθ. (30) του 2018 για την έκδοση του Νόμου περί Προστασίας Δεδομένων Προσωπικού Χαρακτήρα του Βασιλείου του Μπαχρέιν·
  • ο Νόμος αριθ. (13) του 2016 για την Προστασία του Απορρήτου των Δεδομένων Προσωπικού Χαρακτήρα του Κράτους του Κατάρ·
  • ο Νόμος περί Προστασίας Δεδομένων Προσωπικού Χαρακτήρα που εκδόθηκε με το Βασιλικό Διάταγμα αριθ. (6/2022) του Σουλτανάτου του Ομάν·
  • ο Γενικός Κανονισμός για την Προστασία Δεδομένων της Ευρωπαϊκής Ένωσης (Κανονισμός (ΕΕ) 2016/679), όπου εφαρμόζεται στον Πελάτη·
  • ο Γενικός Κανονισμός για την Προστασία Δεδομένων του Ηνωμένου Βασιλείου και ο Data Protection Act 2018· ο Ελβετικός Ομοσπονδιακός Νόμος περί Προστασίας Δεδομένων· ο California Consumer Privacy Act, όπως τροποποιήθηκε, και οι λοιποί ολοκληρωμένοι νόμοι περί ιδιωτικότητας των πολιτειών των Ηνωμένων Πολιτειών Αμερικής· ο Personal Information Protection and Electronic Documents Act του Καναδά και οι νόμοι των επαρχιών· ο Lei Geral de Proteção de Dados της Βραζιλίας (Νόμος αριθ. 13.709/2018)· ο Digital Personal Data Protection Act, 2023 της Ινδίας· ο Νόμος αριθ. 6698 της Τουρκίας για την Προστασία των Δεδομένων Προσωπικού Χαρακτήρα· ο Νόμος αριθ. 151 του 2020 της Αιγύπτου· ο Protection of Personal Information Act, 2013 της Νότιας Αφρικής· ο Personal Data Protection Act 2012 της Σιγκαπούρης· ο Privacy Act 1988 της Αυστραλίας· και κάθε άλλος νόμος προστασίας δεδομένων προσωπικού χαρακτήρα που εφαρμόζεται στην Επεξεργασία.

2. Στοιχεία της Επεξεργασίας

Το Παράρτημα 1 ορίζει το αντικείμενο, τη διάρκεια, τη φύση και τον σκοπό της Επεξεργασίας, τις κατηγορίες Υποκειμένων των Δεδομένων και τις κατηγορίες Δεδομένων Προσωπικού Χαρακτήρα.

3. Οι οδηγίες του Πελάτη

3.1 Η STAK επεξεργάζεται τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη μόνο βάσει καταγεγραμμένων οδηγιών του Πελάτη. Οι οδηγίες αυτές είναι:

• η Σύμβαση·
• οι ρυθμίσεις του Χώρου Εργασίας·
• οι ενέργειες που πραγματοποιούν οι Χρήστες εντός των Υπηρεσιών·
• κάθε άλλη γραπτή οδηγία που συμφωνούν τα Μέρη.

3.2 Η STAK μπορεί να επεξεργάζεται τα δεδομένα και χωρίς τις οδηγίες αυτές όταν το απαιτεί η Ισχύουσα Νομοθεσία. Ειδοποιεί τον Πελάτη εκ των προτέρων, εκτός εάν ο νόμος απαγορεύει την ειδοποίηση.

3.3 Η STAK ειδοποιεί τον Πελάτη εάν κρίνει ότι μια οδηγία παραβιάζει την Ισχύουσα Νομοθεσία Προστασίας Δεδομένων. Μπορεί να αρνηθεί να εκτελέσει την οδηγία αυτή έως ότου ο Πελάτης την τροποποιήσει ώστε να αρθεί η παράβαση ή την επιβεβαιώσει γραπτώς με δήλωση της νομικής της βάσης που η STAK αποδέχεται εύλογα.

3.4 Ο Πελάτης ευθύνεται για τη νομιμότητα των οδηγιών του και για την ύπαρξη νόμιμης βάσης για τη συλλογή και την Επεξεργασία των Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη. Αυτό περιλαμβάνει την ενημέρωση των Υποκειμένων των Δεδομένων και την εξασφάλιση της συγκατάθεσής τους όπου απαιτείται, συμπεριλαμβανομένης της συγκατάθεσης για τη διαβίβαση των δεδομένων τους σύμφωνα με τη ρήτρα 7.

4. Εμπιστευτικότητα των εξουσιοδοτημένων προσώπων

Η STAK περιορίζει την πρόσβαση στα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη στους εργαζομένους και τους συνεργάτες που τα χρειάζονται για την εργασία τους, και τους δεσμεύει με υποχρέωση εμπιστευτικότητας. Οι εργαζόμενοι και οι συνεργάτες της STAK έχουν πρόσβαση στα Δεδομένα Πελάτη μόνο στις ακόλουθες περιπτώσεις, και η έναρξη κάθε τέτοιας πρόσβασης στο περιβάλλον παραγωγής καταγράφεται:

• (a) για την παροχή υποστήριξης που ζητά ο Πελάτης·
• (b) για τη λειτουργία και τη συντήρηση των Υπηρεσιών και την επαναφορά τους από Αντίγραφα Ασφαλείας·
• (c) για τη διερεύνηση Περιστατικού Ασφάλειας ή εικαζόμενης παράβασης της Πολιτικής Αποδεκτής Χρήσης·
• (d) όπου το απαιτεί ο νόμος.

5. Μέτρα ασφαλείας

5.1 Η STAK εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για την προστασία των Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη, λαμβάνοντας υπόψη τη φύση και τους κινδύνους της Επεξεργασίας. Αυτά περιλαμβάνουν τουλάχιστον τα μέτρα του Παραρτήματος 2.

5.2 Η STAK μπορεί να επικαιροποιεί τα μέτρα αυτά, εφόσον το συνολικό επίπεδο προστασίας δεν μειώνεται.

5.3 Ο Πελάτης ευθύνεται για τα μέτρα ασφαλείας που τελούν υπό τον δικό του έλεγχο, όπως η διαχείριση Χρηστών και δικαιωμάτων, η ενεργοποίηση της σύνδεσης σε δύο βήματα, η προστασία των συσκευών και του εξοπλισμού του και η ασφαλής φύλαξη των δεδομένων που εξάγει.

6. Υπεκτελούντες την Επεξεργασία

6.1 Ο Πελάτης εξουσιοδοτεί τη STAK να αναθέτει εργασίες στους Υπεκτελούντες την Επεξεργασία που αναφέρονται στο Παράρτημα 3.

6.2 Η STAK οφείλει να συνάπτει γραπτή σύμβαση με κάθε Υπεκτελούντα την Επεξεργασία. Η σύμβαση πρέπει να επιβάλλει υποχρεώσεις προστασίας δεδομένων που παρέχουν επίπεδο προστασίας κατάλληλο για την Επεξεργασία και ουσιωδώς ισοδύναμο με την παρούσα Σύμβαση Επεξεργασίας Δεδομένων. Η STAK παραμένει υπεύθυνη έναντι του Πελάτη για την εκπλήρωση των υποχρεώσεων των Υπεκτελούντων την Επεξεργασία που χρησιμοποιεί.

6.3 Η STAK ειδοποιεί τον Πελάτη για κάθε νέο Υπεκτελούντα την Επεξεργασία τουλάχιστον 30 ημέρες πριν αρχίσει να επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη, εντός των Υπηρεσιών ή μέσω ηλεκτρονικού ταχυδρομείου.

6.4 Κατά την περίοδο ειδοποίησης, ο Πελάτης μπορεί να προβάλει γραπτώς αντιρρήσεις για τον νέο Υπεκτελούντα την Επεξεργασία για εύλογους λόγους προστασίας δεδομένων. Εάν τα Μέρη δεν μπορούν να συμφωνήσουν σε λύση, ο Πελάτης μπορεί να καταγγείλει τη συνδρομή που επηρεάζεται ή τη Σύμβαση πριν ξεκινήσει η Επεξεργασία και να λάβει επιστροφή των Τελών που έχουν προπληρωθεί για το υπόλοιπο διάστημα.

6.5 Οι Συνδεδεμένοι Πάροχοι που ο Πελάτης συνδέει μέσω των δικών του λογαριασμών δεν είναι Υπεκτελούντες την Επεξεργασία της STAK. Σε αυτούς περιλαμβάνονται οι Πάροχοι Υπηρεσιών Πληρωμών, η Meta ως προς τον λογαριασμό WhatsApp Business του ίδιου του Πελάτη, και οι πλατφόρμες διανομής. Η αποστολή δεδομένων σε αυτούς βάσει των οδηγιών του Πελάτη αποτελεί διαβίβαση που πραγματοποιείται κατά την κατεύθυνση και για λογαριασμό του Πελάτη.

6.6 Τα δεδομένα αποστέλλονται στον πάροχο των Λειτουργιών Τεχνητής Νοημοσύνης μόνο όταν ένας Χρήστης ζητά μία από τις λειτουργίες αυτές, όταν ένας Χρήστης μεταφορτώνει ένα έγγραφο ώστε να το διαβάσει μία από αυτές, όπως μια απόδειξη, ή όταν μια αυτοματοποίηση που έχει ρυθμίσει ένας Χρήστης εκτελεί ένα βήμα που χρησιμοποιεί τεχνητή νοημοσύνη, και αποστέλλονται μόνο τα δεδομένα που απαιτούνται για την εκτέλεση του αιτήματος ή του βήματος αυτού. Δεν επιτρέπεται στον πάροχο να τα χρησιμοποιεί για την εκπαίδευση των μοντέλων του. Τα Ευαίσθητα Δεδομένα Προσωπικού Χαρακτήρα αποστέλλονται σε αυτόν μόνο εάν το ίδιο το αίτημα ή βήμα τα περιέχει.

7. Τόπος των δεδομένων και διεθνείς διαβιβάσεις

7.1 Οι Υπηρεσίες φιλοξενούνται και τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη αποθηκεύονται κατά κύριο λόγο στο περιβάλλον παραγωγής της Amazon Web Services στην περιοχή της Φρανκφούρτης, στην Ομοσπονδιακή Δημοκρατία της Γερμανίας. Τα Αντίγραφα Ασφαλείας τηρούνται στην ίδια περιοχή και δημιουργούνται αντίγραφά τους σε χωριστή περιοχή της Amazon Web Services στη Δημοκρατία της Ιρλανδίας.

7.2 Ο Πελάτης αναγνωρίζει τα ακόλουθα και εξουσιοδοτεί ρητά τις διαβιβάσεις που προκύπτουν:

• (a) η φιλοξενία πραγματοποιείται στην Ευρωπαϊκή Ένωση, η οποία μπορεί να βρίσκεται εκτός της χώρας στην οποία είναι εγκατεστημένος ο Πελάτης ή στην οποία ασκεί δραστηριότητα·
• (b) η Cloudflare επεξεργάζεται την κυκλοφορία δικτύου μέσω του παγκόσμιου δικτύου της ανά πάσα στιγμή·
• (c) οι λοιποί Υπεκτελούντες την Επεξεργασία που αναφέρονται στο Παράρτημα 3 επεξεργάζονται δεδομένα σε άλλες χώρες, συμπεριλαμβανομένων των Ηνωμένων Πολιτειών Αμερικής, μόνο όταν χρησιμοποιείται η οικεία υπηρεσία·
• (d) οι εργαζόμενοι της STAK μπορεί να έχουν πρόσβαση στα δεδομένα από το Κράτος του Κουβέιτ, μόνο στις περιπτώσεις που ορίζονται στη ρήτρα 4.

7.3 Για διαβιβάσεις Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη εκτός της χώρας στην οποία συλλέχθηκαν, η STAK εφαρμόζει τις ακόλουθες διασφαλίσεις:

• (a) τις συμβάσεις που αναφέρονται στη ρήτρα 6.2, συμπεριλαμβανομένων των τυποποιημένων συμβατικών ρητρών που διατηρεί η STAK με Υπεκτελούντες την Επεξεργασία εκτός της Ευρωπαϊκής Ένωσης·
• (b) κρυπτογράφηση κατά τη μετάδοση και κατά την αποθήκευση·
• (c) τους μηχανισμούς διαβίβασης που αναγνωρίζονται από την Ισχύουσα Νομοθεσία Προστασίας Δεδομένων όπου αυτή τους απαιτεί, συμπεριλαμβανομένων εκείνων της ρήτρας 7.6.

7.4 Ο Πελάτης οφείλει να εξασφαλίζει κάθε συγκατάθεση ή άδεια που απαιτεί το δίκαιο της χώρας του για τη διαβίβαση Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη εκτός της χώρας αυτής, είτε από ρυθμιστική αρχή είτε από Υποκείμενα των Δεδομένων. Η STAK παρέχει κατόπιν αιτήματος τις απαραίτητες για τον σκοπό αυτό πληροφορίες.

7.5 Η STAK μπορεί να μετακινήσει την κύρια φιλοξενία ή τα Αντίγραφα Ασφαλείας σε άλλη περιοχή αφού ειδοποιήσει τον Πελάτη τουλάχιστον 30 ημέρες νωρίτερα, και ο Πελάτης μπορεί να προβάλει αντιρρήσεις σύμφωνα με τη ρήτρα 6.4, με οποιαδήποτε καταγγελία βάσει της ρήτρας αυτής να παράγει αποτελέσματα πριν από την ημερομηνία της μετακίνησης. Η προσωρινή λειτουργία των Υπηρεσιών από τα Αντίγραφα Ασφαλείας στη Δημοκρατία της Ιρλανδίας μετά την απώλεια της κύριας περιοχής φιλοξενίας δεν αποτελεί μετακίνηση κατά την έννοια της παρούσας ρήτρας, και η STAK ειδοποιεί τον Πελάτη σχετικά αμελλητί.

7.6 Μηχανισμοί διαβίβασης που απαιτεί ο νόμος: χωρίς να θίγεται η ρήτρα 7.4:

• (a) Όταν ο Γενικός Κανονισμός για την Προστασία Δεδομένων της Ευρωπαϊκής Ένωσης εφαρμόζεται στον Πελάτη, οι τυποποιημένες συμβατικές ρήτρες που εγκρίθηκαν με την Εκτελεστική Απόφαση (ΕΕ) 2021/914 της Ευρωπαϊκής Επιτροπής (οι «ΤΣΡ της ΕΕ») ενσωματώνονται με παραπομπή στην παρούσα Σύμβαση Επεξεργασίας Δεδομένων: Ενότητα Δεύτερη (από υπεύθυνο επεξεργασίας σε εκτελούντα την επεξεργασία) όταν ο Πελάτης είναι υπεύθυνος επεξεργασίας, και Ενότητα Τρίτη (από εκτελούντα την επεξεργασία σε εκτελούντα την επεξεργασία) όταν επεξεργάζεται τα δεδομένα για άλλον υπεύθυνο επεξεργασίας. Ο Πελάτης είναι ο εξαγωγέας δεδομένων και η STAK ο εισαγωγέας δεδομένων. Εφαρμόζεται η Ρήτρα 7 (ρήτρα σύνδεσης). Σύμφωνα με τη Ρήτρα 9(a), εφαρμόζεται η Επιλογή 2 (γενική γραπτή εξουσιοδότηση), με την περίοδο ειδοποίησης της ρήτρας 6.3. Η προαιρετική διατύπωση της Ρήτρας 11(a) δεν εφαρμόζεται. Σύμφωνα με τις Ρήτρες 17 και 18, εφαρμόζονται το δίκαιο και τα δικαστήρια της Δημοκρατίας της Ιρλανδίας. Η αρμόδια εποπτική αρχή καθορίζεται σύμφωνα με τη Ρήτρα 13. Τα παραρτήματά τους συμπληρώνονται από τα Παραρτήματα 1, 2 και 3. Υπερισχύουν της Σύμβασης σε περίπτωση σύγκρουσης μεταξύ των δύο.
• (b) Όταν ο Νόμος περί Προστασίας Δεδομένων Προσωπικού Χαρακτήρα του Βασιλείου της Σαουδικής Αραβίας εφαρμόζεται στον Πελάτη, οι Τυποποιημένες Συμβατικές Ρήτρες για τη Διαβίβαση Δεδομένων Προσωπικού Χαρακτήρα που εξέδωσε η Σαουδαραβική Αρχή Δεδομένων και Τεχνητής Νοημοσύνης (Saudi Data and Artificial Intelligence Authority), Δεύτερο Πρότυπο (από υπεύθυνο επεξεργασίας σε εκτελούντα την επεξεργασία), ενσωματώνονται με παραπομπή στην παρούσα Σύμβαση Επεξεργασίας Δεδομένων. Ο Πελάτης είναι ο εξαγωγέας δεδομένων και η STAK ο εισαγωγέας δεδομένων, και τα παραρτήματά τους συμπληρώνονται από τα Παραρτήματα 1, 2 και 3. Η STAK παρέχει στον Πελάτη τις πληροφορίες που χρειάζεται για την εκτίμηση κινδύνου της διαβίβασης που οφείλει να διενεργήσει βάσει του Κανονισμού για τη Διαβίβαση Δεδομένων Προσωπικού Χαρακτήρα εκτός του Βασιλείου. Υπερισχύουν της Σύμβασης σε περίπτωση σύγκρουσης μεταξύ των δύο.
• (c) Όταν το Ομοσπονδιακό Διάταγμα-Νόμος αριθ. (45) του 2021 των Ηνωμένων Αραβικών Εμιράτων εφαρμόζεται στον Πελάτη, η STAK εφαρμόζει στα διαβιβαζόμενα δεδομένα τις διατάξεις, τα μέτρα και τους ελέγχους του νόμου αυτού, στον βαθμό που εφαρμόζονται σε εκτελούντα την επεξεργασία.
• (d) Όταν ο Γενικός Κανονισμός για την Προστασία Δεδομένων του Ηνωμένου Βασιλείου εφαρμόζεται στον Πελάτη, το Συμπλήρωμα Διεθνούς Διαβίβασης Δεδομένων (International Data Transfer Addendum) προς τις ΤΣΡ της ΕΕ που εξέδωσε ο Επίτροπος Πληροφοριών του Ηνωμένου Βασιλείου (UK Information Commissioner) (έκδοση B1.0, σε ισχύ από 21 Μαρτίου 2022, όπως τροποποιήθηκε στη συνέχεια) ενσωματώνεται με παραπομπή. Οι Πίνακες 1 έως 3 συμπληρώνονται με τα στοιχεία των Μερών στη Σύμβαση και στα Παραρτήματα 1 έως 3. Για τον Πίνακα 4, οποιοδήποτε Μέρος μπορεί να λύσει το Συμπλήρωμα όπως το επιτρέπει η Ενότητα 19 αυτού.
• (e) Όταν ο Ελβετικός Ομοσπονδιακός Νόμος περί Προστασίας Δεδομένων εφαρμόζεται στον Πελάτη, οι ΤΣΡ της ΕΕ εφαρμόζονται με τις ακόλουθες τροποποιήσεις: ο Ελβετός Ομοσπονδιακός Επίτροπος Προστασίας Δεδομένων και Πληροφόρησης είναι η αρμόδια εποπτική αρχή για τις διαβιβάσεις που διέπονται από τον νόμο αυτόν· οι αναφορές στον ΓΚΠΔ περιλαμβάνουν τον νόμο αυτόν· και ο όρος «κράτος μέλος» ερμηνεύεται έτσι ώστε τα υποκείμενα των δεδομένων στην Ελβετία να μπορούν να ασκούν αξιώσεις στην Ελβετία.
• (f) Όταν άλλη Ισχύουσα Νομοθεσία Προστασίας Δεδομένων απαιτεί συγκεκριμένο μέσο διαβίβασης, όπως οι τυποποιημένες συμβατικές ρήτρες της εθνικής αρχής προστασίας δεδομένων της Βραζιλίας ή η τυποποιημένη σύμβαση βάσει του Νόμου αριθ. 6698 της Τουρκίας, η STAK υπογράφει ή ενσωματώνει το μέσο αυτό κατόπιν αιτήματος του Πελάτη, με τα στοιχεία του συμπληρωμένα από τα Παραρτήματα 1 έως 3.
• (g) Όταν εφαρμόζεται ο California Consumer Privacy Act ή παρόμοιος νόμος περί ιδιωτικότητας πολιτείας των Ηνωμένων Πολιτειών, η STAK ενεργεί ως πάροχος υπηρεσιών (service provider), ανάδοχος (contractor) ή εκτελών την επεξεργασία του Πελάτη. Η STAK δεν πωλεί ούτε μοιράζεται Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη. Δεν τα διατηρεί, δεν τα χρησιμοποιεί και δεν τα γνωστοποιεί για κανέναν σκοπό πέραν της παροχής των Υπηρεσιών δυνάμει της Σύμβασης, ούτε εκτός της άμεσης επιχειρηματικής σχέσης με τον Πελάτη. Δεν τα συνδυάζει με προσωπικές πληροφορίες από άλλες πηγές, εκτός όπως επιτρέπουν οι νόμοι αυτοί. Συμμορφώνεται με τους νόμους αυτούς και παρέχει το ίδιο επίπεδο προστασίας της ιδιωτικότητας που αυτοί απαιτούν. Ενημερώνει τον Πελάτη εάν δεν μπορεί πλέον να τηρεί τις υποχρεώσεις αυτές. Ο Πελάτης μπορεί να λάβει εύλογα μέτρα για να παύσει και να θεραπεύσει κάθε μη εξουσιοδοτημένη χρήση. Η STAK πιστοποιεί ότι κατανοεί τους περιορισμούς αυτούς.

7.7 Δεδομένα που πρέπει να παραμένουν σε συγκεκριμένη χώρα: ο Πελάτης δεν δικαιούται να διατηρεί στις Υπηρεσίες δεδομένα που η Ισχύουσα Νομοθεσία απαιτεί να αποθηκεύονται ή να υφίστανται επεξεργασία εντός συγκεκριμένης χώρας, εκτός εάν οι Υπηρεσίες δείχνουν, σύμφωνα με τη ρήτρα 9.5 των Όρων, ότι η φιλοξενία στη χώρα αυτή είναι διαθέσιμη για την οικεία Εφαρμογή. Αυτό απορρέει από τη ρήτρα 13.4 των Όρων και τη ρήτρα 5.4 της Πολιτικής Αποδεκτής Χρήσης.

8. Συνδρομή σε αιτήματα Υποκειμένων των Δεδομένων

8.1 Οι Υπηρεσίες παρέχουν στον Πελάτη εργαλεία για την προβολή, την εξαγωγή και τη διόρθωση των Δεδομένων Προσωπικού Χαρακτήρα των Τελικών Πελατών του, εργαλείο για τη διαγραφή τους με αντικατάσταση της ταυτότητάς τους με ψευδώνυμο διατηρώντας τα αρχεία που απαιτεί ο νόμος να τηρούνται, και εργαλεία για την προβολή και τη διόρθωση των δεδομένων των εργαζομένων του. Ο Πελάτης χρησιμοποιεί τα εργαλεία αυτά για να ανταποκρίνεται σε αιτήματα Υποκειμένων των Δεδομένων, και η STAK συνδράμει σύμφωνα με τη ρήτρα 8.3 σε ό,τι δεν καλύπτουν, συμπεριλαμβανομένης της εξαγωγής και της διαγραφής δεδομένων εργαζομένων.

8.2 Εάν η STAK λάβει αίτημα απευθείας από Υποκείμενο των Δεδομένων σχετικά με Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη, το διαβιβάζει στον Πελάτη αμελλητί και απαντά μόνο βάσει των οδηγιών του Πελάτη.

8.3 Η STAK παρέχει στον Πελάτη εύλογη συνδρομή για ό,τι δεν καλύπτουν τα διαθέσιμα εργαλεία.

9. Γνωστοποίηση Παραβίασης Δεδομένων Προσωπικού Χαρακτήρα

9.1 Η STAK ειδοποιεί τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση αφότου λάβει γνώση οποιασδήποτε Παραβίασης Δεδομένων Προσωπικού Χαρακτήρα που επηρεάζει Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη. Το πράττει εντός 24 ωρών από τη στιγμή που λαμβάνει γνώση, όπου αυτό είναι εφικτό, και σε κάθε περίπτωση εντός 48 ωρών.

9.2 Η ειδοποίηση περιλαμβάνει, στον βαθμό που οι πληροφορίες είναι διαθέσιμες:

• (a) τη φύση της παραβίασης·
• (b) τις κατηγορίες των δεδομένων και των Υποκειμένων των Δεδομένων και τον κατά προσέγγιση αριθμό τους·
• (c) τις πιθανές συνέπειες·
• (d) τα μέτρα που ελήφθησαν και προτείνονται για την αντιμετώπιση της παραβίασης·
• (e) ένα σημείο επικοινωνίας στη STAK.

Η STAK παρέχει περαιτέρω πληροφορίες μόλις αυτές καταστούν διαθέσιμες.

9.3 Η STAK λαμβάνει αμέσως εύλογα μέτρα για τον περιορισμό της παραβίασης και των συνεπειών της. Συνεργάζεται με τον Πελάτη για την ενημέρωση των ρυθμιστικών αρχών και των Υποκειμένων των Δεδομένων όπου ο Πελάτης οφείλει να το πράξει, λαμβάνοντας υπόψη τις προθεσμίες που ο νόμος θέτει για τον Πελάτη. Όπου η Ισχύουσα Νομοθεσία απαιτεί από την ίδια τη STAK να γνωστοποιήσει την παραβίαση σε ρυθμιστική αρχή, η STAK το πράττει εντός της απαιτούμενης προθεσμίας και ενημερώνει τον Πελάτη.

9.4 Η γνωστοποίηση παραβίασης από τη STAK ή η συνεργασία της για τον χειρισμό της δεν συνιστά παραδοχή υπαιτιότητας ή ευθύνης.

10. Εκτιμήσεις αντικτύπου και διαβούλευση με ρυθμιστικές αρχές

Κατόπιν αιτήματος του Πελάτη, η STAK παρέχει τις εύλογες πληροφορίες που απαιτούνται για τη διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων ή για διαβούλευση με ρυθμιστική αρχή, στον βαθμό που αφορούν τις Υπηρεσίες.

11. Πληροφορίες και έλεγχοι

11.1 Κατόπιν αιτήματος του Πελάτη, η STAK παρέχει τις πληροφορίες που εύλογα απαιτούνται για την απόδειξη της συμμόρφωσής της με την παρούσα Σύμβαση Επεξεργασίας Δεδομένων. Αυτό περιλαμβάνει τεκμηρίωση ασφάλειας και απαντήσεις σε ένα ερωτηματολόγιο ασφάλειας ετησίως.

11.2 Ο Πελάτης μπορεί, με δικά του έξοδα, να διενεργήσει έλεγχο ή να τον αναθέσει σε ανεξάρτητο ελεγκτή δεσμευμένο από υποχρέωση εμπιστευτικότητας, στις ακόλουθες περιπτώσεις:

• (a) όπου το απαιτεί ρυθμιστική αρχή·
• (b) μετά από Παραβίαση Δεδομένων Προσωπικού Χαρακτήρα που επηρεάζει τα δεδομένα του·
• (c) όπου οι πληροφορίες που παρέχονται σύμφωνα με τη ρήτρα 11.1 δεν επαρκούν.

Ο έλεγχος υπόκειται στους ακόλουθους όρους:

• Ο Πελάτης ειδοποιεί τη STAK για τον έλεγχο τουλάχιστον 30 ημέρες νωρίτερα.
• Διενεργείται κατά τις ώρες εργασίας τις Εργάσιμες Ημέρες.
• Ένας έλεγχος σύμφωνα με την παράγραφο (c) διενεργείται το πολύ μία φορά τον χρόνο.
• Κανένας έλεγχος δεν εκτείνεται στις εγκαταστάσεις των Υπεκτελούντων την Επεξεργασία. Αρκούν αντί αυτού οι πιστοποιήσεις και οι ανεξάρτητες εκθέσεις τους.
• Κανένας έλεγχος δεν περιλαμβάνει πρόσβαση σε δεδομένα άλλων πελατών ή σε οτιδήποτε επηρεάζει την ασφάλειά τους.

12. Επιστροφή και διαγραφή δεδομένων

12.1 Ο Πελάτης μπορεί να εξάγει Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη ανά πάσα στιγμή, καθώς και για 30 ημέρες μετά τη λήξη της Σύμβασης, σύμφωνα με τη ρήτρα 19.5 των Όρων.

12.2 Μετά την περίοδο εξαγωγής, η STAK διαγράφει τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη από το περιβάλλον παραγωγής εντός 30 ημερών, εκτός εάν η Ισχύουσα Νομοθεσία απαιτεί τη διατήρησή τους, και με την επιφύλαξη της αναστολής της διαγραφής βάσει της ρήτρας 19.5 των Όρων για όσο διάστημα έχει γνωστοποιηθεί στη STAK δικαστική διαφορά, έρευνα ή αίτημα αρμόδιας αρχής.

12.3 Τα Αντίγραφα Ασφαλείας τηρούνται για τις ακόλουθες περιόδους διατήρησης:

• (a) επαναφορά σε χρονικό σημείο και ημερήσια Αντίγραφα Ασφαλείας: 35 ημέρες από την ημερομηνία δημιουργίας κάθε Αντιγράφου Ασφαλείας·
• (b) νυχτερινά λογικά Αντίγραφα Ασφαλείας της βάσης δεδομένων (εξαγωγές βάσης δεδομένων): 35 ημέρες·
• (c) μηνιαία Αντίγραφα Ασφαλείας: 12 μήνες από την ημερομηνία δημιουργίας κάθε Αντιγράφου Ασφαλείας·
• (d) παλαιότερες εκδόσεις των αρχείων που έχουν μεταφορτωθεί: 90 ημέρες από την ημερομηνία αντικατάστασης ή διαγραφής τους.

Κανόνες που ισχύουν για τα Αντίγραφα Ασφαλείας αυτά:

• Τα ημερήσια και τα μηνιαία Αντίγραφα Ασφαλείας και τα αντίγραφά τους φυλάσσονται σε θησαυροφυλάκια αντιγράφων ασφαλείας (backup vaults) των οποίων η πολιτική εμποδίζει οποιονδήποτε, συμπεριλαμβανομένου του προσωπικού της ίδιας της STAK, να διαγράψει Αντίγραφο Ασφαλείας πριν λήξει η περίοδος διατήρησής του ή να αλλάξει την περίοδο αυτή, και των οποίων το κλείδωμα σε λειτουργία συμμόρφωσης (compliance mode) του παρόχου φιλοξενίας εμποδίζει τη διαγραφή οποιουδήποτε Αντιγράφου Ασφαλείας τουλάχιστον κατά τις πρώτες 35 ημέρες του.
• Τα νυχτερινά λογικά Αντίγραφα Ασφαλείας προστατεύονται από τροποποίηση και διαγραφή έως τη λήξη της περιόδου διατήρησής τους.
• Η STAK δεν διαγράφει κανένα Αντίγραφο Ασφαλείας πριν λήξει η περίοδος διατήρησής του, ακόμη και κατόπιν αιτήματος του Πελάτη.
• Όλα τα Αντίγραφα Ασφαλείας τίθενται εκτός χρήσης και χρησιμοποιούνται μόνο για τεχνική αποκατάσταση, με την επιφύλαξη της ρήτρας 12.4, ή όπου το απαιτεί ο νόμος.
• Όλα τα Αντίγραφα Ασφαλείας που περιέχουν διαγραμμένα δεδομένα λήγουν όταν παρέλθουν οι περίοδοι αυτές, δηλαδή το πολύ εντός 12 μηνών, και τα διαγραμμένα δεδομένα καταστρέφονται τότε οριστικά.
• Κατόπιν αιτήματος, η STAK ενημερώνει τον Πελάτη για την ημερομηνία κατά την οποία λήγει το τελευταίο Αντίγραφο Ασφαλείας που περιέχει διαγραμμένα δεδομένα, ώστε ο Πελάτης να μπορεί να ενημερώσει το Υποκείμενο των Δεδομένων.

12.4 Εάν η STAK επαναφέρει ένα Αντίγραφο Ασφαλείας κατά τις περιόδους αυτές, εφαρμόζει εκ νέου, πριν τα δεδομένα καταστούν διαθέσιμα, τις διαγραφές που πραγματοποιήθηκαν σύμφωνα με τη ρήτρα 8.1 και τις διαγραφές που έγιναν σύμφωνα με τη ρήτρα 12.2 μετά την ημερομηνία του Αντιγράφου Ασφαλείας αυτού, χρησιμοποιώντας τα αρχεία που τηρεί για τις πράξεις αυτές.

13. Αιτήματα κυβερνητικών αρχών

Εάν η STAK λάβει δεσμευτικό αίτημα από κυβερνητική ή δικαστική αρχή για την κοινολόγηση Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη, ειδοποιεί τον Πελάτη, εκτός εάν ο νόμος απαγορεύει την ειδοποίηση. Η STAK περιορίζει την κοινολόγηση στο ελάχιστο που απαιτεί το αίτημα. Αμφισβητεί τα αιτήματα που εύλογα θεωρεί παράνομα, μέσω των διαθέσιμων νομικών μέσων.

14. Ευθύνη

Η ευθύνη κάθε Μέρους βάσει της παρούσας Σύμβασης Επεξεργασίας Δεδομένων, συμπεριλαμβανομένης της ευθύνης του έναντι του άλλου Μέρους βάσει των τυποποιημένων συμβατικών ρητρών της ρήτρας 7.6, υπόκειται στις διατάξεις περιορισμού ευθύνης της ρήτρας 16 των Όρων, στον βαθμό που το επιτρέπουν οι ρήτρες αυτές και χωρίς να θίγονται τα δικαιώματα των Υποκειμένων των Δεδομένων βάσει αυτών.

15. Διάρκεια και προτεραιότητα

15.1 Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων ισχύει για όσο διάστημα η STAK επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη.

15.2 Όπου η παρούσα Σύμβαση Επεξεργασίας Δεδομένων συγκρούεται με τους Όρους, υπερισχύει σε θέματα που αφορούν τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη.

15.3 Όπου η Ισχύουσα Νομοθεσία Προστασίας Δεδομένων επιβάλλει αυστηρότερη υποχρέωση αναγκαστικού δικαίου από την παρούσα Σύμβαση Επεξεργασίας Δεδομένων, η υποχρέωση αυτή εφαρμόζεται εντός του πεδίου της.

16. Σημείο επικοινωνίας για την προστασία δεδομένων και αρχείο δραστηριοτήτων επεξεργασίας

Η STAK έχει ορίσει σημείο επικοινωνίας για την προστασία δεδομένων, με το οποίο μπορεί κανείς να επικοινωνήσει μέσω ηλεκτρονικού ταχυδρομείου στο [email protected]. Η STAK τηρεί αρχείο των δραστηριοτήτων επεξεργασίας που διενεργεί για λογαριασμό πελατών και το παρέχει στην αρμόδια ρυθμιστική αρχή όπου το απαιτεί ο νόμος.

Παράρτημα 1: Στοιχεία της Επεξεργασίας

• Αντικείμενο: η παροχή των Υπηρεσιών στον Πελάτη βάσει των Όρων.
• Διάρκεια: η διάρκεια της Σύμβασης, η περίοδος εξαγωγής και διαγραφής μετά από αυτήν σύμφωνα με τη ρήτρα 12, οι περίοδοι διατήρησης των Αντιγράφων Ασφαλείας της ρήτρας 12.3 και οι περίοδοι διατήρησης των Υπεκτελούντων την Επεξεργασία που ορίζονται στο Παράρτημα 3.
• Φύση και σκοπός:
  • αποθήκευση και φιλοξενία Δεδομένων Πελάτη·
  • επεξεργασία πωλήσεων, παραγγελιών, κρατήσεων και τιμολογίων·
  • διαχείριση αποθεμάτων, λογιστικής, ανθρώπινου δυναμικού και μισθοδοσίας·
  • αποστολή των μηνυμάτων που ζητά ο Πελάτης μέσω των δικών του λογαριασμών σε Συνδεδεμένους Παρόχους ή μέσω των παρόχων ανταλλαγής μηνυμάτων που χρησιμοποιεί η STAK εφόσον αναφέρονται στο Παράρτημα 3·
  • παροχή Λειτουργιών Τεχνητής Νοημοσύνης όταν χρησιμοποιούνται·
  • Αντίγραφα Ασφαλείας, ασφάλεια και Υποστήριξη.
• Κατηγορίες Υποκειμένων των Δεδομένων:
  • οι Τελικοί Πελάτες, οι επισκέπτες και οι ασθενείς του Πελάτη·
  • οι εργαζόμενοι και οι υποψήφιοι για θέσεις εργασίας του·
  • Χρήστες·
  • οι προμηθευτές του και οι επαφές τους·
  • οδηγοί και κούριερ.
• Κατηγορίες Δεδομένων Προσωπικού Χαρακτήρα:
  • δεδομένα ταυτότητας και επικοινωνίας, όπως όνομα, τηλέφωνο, ηλεκτρονικό ταχυδρομείο, διεύθυνση και τοποθεσία παράδοσης·
  • αρχεία συναλλαγών, παραγγελιών, κρατήσεων και τιμολογίων·
  • αναφορές που συνδέονται με πληρωμές, χωρίς πλήρεις αριθμούς καρτών·
  • δεδομένα προγράμματος πιστότητας, προτιμήσεις και συγκαταθέσεις·
  • δεδομένα για τους εργαζομένους του Πελάτη, όπως ο αριθμός Civil ID, τα στοιχεία διαμονής, ο μισθός, ο διεθνής αριθμός τραπεζικού λογαριασμού (IBAN), η παρουσία και οι άδειες·
  • φωτογραφίες και έγγραφα που μεταφορτώνει ο Πελάτης·
  • αρχεία καταγραφής μηνυμάτων και το ίχνος ελέγχου.
• Ευαίσθητα Δεδομένα Προσωπικού Χαρακτήρα: δεδομένα υγείας και κλινικά δεδομένα όταν χρησιμοποιούνται οι Εφαρμογές κλινικής, με την επιφύλαξη της ρήτρας 7.7 και της ρήτρας 13.4 των Όρων, βάσει της οποίας οι λειτουργίες φακέλων ασθενών δεν πρέπει να χρησιμοποιούνται για ασθενείς που λαμβάνουν υπηρεσίες υγείας στο Κράτος του Κουβέιτ ή στα Ηνωμένα Αραβικά Εμιράτα· και δεδομένα υγείας σε φακέλους ανθρώπινου δυναμικού, όπως ιατρικές βεβαιώσεις ασθένειας. Οι κλινικοί φάκελοι και οι φάκελοι ανθρώπινου δυναμικού κρυπτογραφούνται με χωριστά κλειδιά και τα δεδομένα αυτά είναι ορατά μόνο στους Χρήστες που διαθέτουν τους ρόλους που εξουσιοδοτούνται να τα βλέπουν. Οι κωδικοί διάγνωσης και ιατρικών πράξεων σε ασφαλιστικές απαιτήσεις και προηγούμενες εγκρίσεις, καθώς και οι εικόνες ασφαλιστικών καρτών, προστατεύονται με την κρυπτογράφηση βάσεων δεδομένων και αποθήκευσης του Παραρτήματος 2.

Παράρτημα 2: Τεχνικά και οργανωτικά μέτρα

1. Κρυπτογράφηση:
   • Τα δεδομένα κατά τη μετάδοση κρυπτογραφούνται με TLS έκδοσης 1.2 ή νεότερης και η ταυτότητα του διακομιστή βάσης δεδομένων επαληθεύεται σε κάθε σύνδεση.
   • Τα δεδομένα σε αποθήκευση σε βάσεις δεδομένων, δίσκους, αρχεία, Αντίγραφα Ασφαλείας και στον χώρο αποθήκευσης μυστικών κρυπτογραφούνται με AES-256, με κλειδιά που διαχειρίζονται μέσω του AWS Key Management Service (AWS KMS) ή από τον πάροχο φιλοξενίας.
   • Οι φάκελοι ανθρώπινου δυναμικού και οι κλινικοί φάκελοι κρυπτογραφούνται επιπλέον εντός της εφαρμογής με χωριστά κλειδιά, και τα στοιχεία σύνδεσης για Συνδεδεμένους Παρόχους φυλάσσονται σε χωριστό χώρο αποθήκευσης μυστικών που κρυπτογραφείται με χωριστό κλειδί.
2. Απομόνωση των δεδομένων κάθε πελάτη: κάθε εγγραφή Δεδομένων Πελάτη φέρει το αναγνωριστικό της Επιχείρησης στην οποία ανήκει. Πολιτικές ασφάλειας σε επίπεδο γραμμής (row-level security) στη βάση δεδομένων εφαρμόζονται στον ρόλο της εφαρμογής και ο ρόλος της εφαρμογής δεν έχει δικαίωμα να τις παρακάμψει. Περιορισμοί σύνθετου κλειδιού εμποδίζουν τη σύνδεση εγγραφών μιας Επιχείρησης με εγγραφές άλλης.
3. Έλεγχος πρόσβασης:
   • Η πρόσβαση χορηγείται βάσει της αρχής των ελάχιστων προνομίων.
   • Η πρόσβαση στο περιβάλλον παραγωγής περιορίζεται σε ονομαστικά προσδιορισμένους εργαζομένους της STAK, απαιτεί πολυπαραγοντική ταυτοποίηση και η έναρξη κάθε πρόσβασης καταγράφεται.
   • Η διαχειριστική πρόσβαση στους διακομιστές γίνεται αποκλειστικά μέσω του AWS Systems Manager, χωρίς άμεση σύνδεση (SSH).
4. Ασφάλεια σύνδεσης Χρηστών:
   • Για τους Χρήστες, οι Υπηρεσίες προσφέρουν κλειδιά πρόσβασης (passkeys), εφαρμογές αυθεντικοποίησης και κωδικούς επαλήθευσης που αποστέλλονται σε επαληθευμένο τηλέφωνο.
   • Για τον Πελάτη, προσφέρουν προσαρμόσιμους ρόλους και δικαιώματα, πρόσβαση που περιορίζεται ανά Υποκατάστημα και, στα Πακέτα που τα περιλαμβάνουν, κανόνες αδράνειας συνεδρίας και ειδοποιήσεις προς τους Ιδιοκτήτες για συνδέσεις από νέες συσκευές.
5. Ίχνος ελέγχου: τηρείται ίχνος ελέγχου των αλλαγών που κανένας Χρήστης δεν μπορεί να τροποποιήσει ή να διαγράψει. Καταγράφει τον δράστη, την ώρα, την πηγή και τη διεύθυνση IP. Όταν ο Πελάτης διαγράφει Δεδομένα Προσωπικού Χαρακτήρα Τελικού Πελάτη σύμφωνα με τη ρήτρα 8.1, οι εγγραφές χάνουν τα στοιχεία ταυτοποίησης του προσώπου αυτού αλλά διατηρούν ό,τι έγινε, από ποιον και πότε. Το ίχνος ελέγχου διαγράφεται μαζί με τα Δεδομένα Πελάτη σύμφωνα με τη ρήτρα 12. Οι λογιστικές εγγραφές συνδέονται σε αλυσίδα που αποκαλύπτει οποιαδήποτε παραποίηση.
6. Αντίγραφα Ασφαλείας και αποκατάσταση:
   • αυτοματοποιημένα, συνεχή Αντίγραφα Ασφαλείας επιτρέπουν επαναφορά σε χρονικό σημείο εντός 35 ημερών·
   • τα ημερήσια Αντίγραφα Ασφαλείας τηρούνται για 35 ημέρες και τα μηνιαία Αντίγραφα Ασφαλείας για 12 μήνες και αντιγράφονται σε χωριστή γεωγραφική περιοχή στη Δημοκρατία της Ιρλανδίας. Η πολιτική των θησαυροφυλακίων αντιγράφων ασφαλείας εμποδίζει τη διαγραφή τους πριν λήξει η περίοδος διατήρησής τους ή οποιαδήποτε αλλαγή της περιόδου αυτής, και κλείδωμα σε λειτουργία συμμόρφωσης (compliance mode) εμποδίζει τη διαγραφή οποιουδήποτε Αντιγράφου Ασφαλείας τουλάχιστον κατά τις πρώτες 35 ημέρες του·
   • δημιουργείται κάθε νύχτα λογικό Αντίγραφο Ασφαλείας της βάσης δεδομένων και τηρείται για 35 ημέρες σε αποθηκευτικό χώρο προστατευμένο από τροποποίηση και διαγραφή·
   • η επαναφορά της βάσης δεδομένων από Αντίγραφα Ασφαλείας δοκιμάζεται κάθε μήνα.
7. Δεδομένα πληρωμών: οι Υπηρεσίες έχουν σχεδιαστεί ώστε η STAK να μην αποθηκεύει πλήρεις αριθμούς καρτών. Οι πληρωμές γίνονται σε σελίδες που φιλοξενούνται από Παρόχους Υπηρεσιών Πληρωμών ή στα πιστοποιημένα τερματικά αποδοχής καρτών και τις εφαρμογές τους. Οι οθόνες των Υπηρεσιών δεν περιέχουν πεδία εισαγωγής στοιχείων κάρτας, και οι Υπηρεσίες επιτρέπουν στον Πελάτη να σαρώνει πεδία ελεύθερου κειμένου για αριθμούς καρτών που εισήχθησαν κατά λάθος ώστε να αφαιρεθούν.
8. Δίκτυο και υποδομή: οι βάσεις δεδομένων λειτουργούν σε ιδιωτικά δίκτυα που δεν είναι δημόσια προσβάσιμα, πίσω από τείχη προστασίας. Τείχος προστασίας εφαρμογών ιστού και προστασία από επιθέσεις άρνησης υπηρεσίας παρέχονται μέσω της Cloudflare.
9. Διαχείριση ευπαθειών και ασφαλής ανάπτυξη: ο κώδικας ελέγχεται και εκτελούνται αυτοματοποιημένες δοκιμές πριν από κάθε κυκλοφορία. Οι βιβλιοθήκες λογισμικού ελέγχονται και οι ενημερώσεις ασφαλείας εφαρμόζονται αμελλητί.
10. Παρακολούθηση και αντιμετώπιση περιστατικών:
    • η υποδομή υπολογιστικού νέφους παρακολουθείται αυτόματα όλο το εικοσιτετράωρο, με άμεσες ειδοποιήσεις·
    • κάθε διαχειριστική ενέργεια στην υποδομή υπολογιστικού νέφους καταγράφεται, και οι απειλές και τα υπερβολικά δικαιώματα εντοπίζονται αυτόματα μέσω ειδικών υπηρεσιών της Amazon (AWS CloudTrail, GuardDuty και IAM Access Analyzer)·
    • ισχύουν τεκμηριωμένες διαδικασίες για την αντιμετώπιση Περιστατικών Ασφάλειας και για τη γνωστοποίηση σύμφωνα με τη ρήτρα 9.
11. Επιχειρησιακή συνέχεια: ισχύουν σχέδια συνέχειας και αποκατάστασης, σύμφωνα με τους στόχους αποκατάστασης της Σύμβασης Επιπέδου Υπηρεσιών.
12. Προσωπικό: Οι εργαζόμενοι και οι συνεργάτες της STAK δεσμεύονται από υποχρέωση εμπιστευτικότητας και λαμβάνουν εκπαίδευση ευαισθητοποίησης σε θέματα ασφάλειας.
13. Ασφαλής διαγραφή: τα δεδομένα διαγράφονται σύμφωνα με τη ρήτρα 12 και ο πάροχος φιλοξενίας καταστρέφει τα μέσα αποθήκευσης σύμφωνα με τα πρότυπά του.

Παράρτημα 3: Υπεκτελούντες την Επεξεργασία

Πάροχοι που χρησιμοποιούνται μόνο όταν ενεργοποιούνται. Η STAK έχει ρυθμίσει τους ακόλουθους παρόχους αλλά δεν τους χρησιμοποιεί σήμερα για την Επεξεργασία Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη. Αρχίζει να χρησιμοποιεί οποιονδήποτε από αυτούς μόνο αφού δώσει ειδοποίηση σύμφωνα με τη ρήτρα 6.3, τουλάχιστον 30 ημέρες νωρίτερα, και η ειδοποίηση αναφέρει πού επεξεργάζεται ο πάροχος τα δεδομένα και για πόσο διάστημα τα διατηρεί.

Μόλις η STAK ενεργοποιήσει τον δικό της αριθμό WhatsApp, η Meta αποστέλλει από αυτόν κωδικούς σύνδεσης σε Χρήστες και κωδικούς επαλήθευσης σε Τελικούς Πελάτες που επαληθεύουν τους αριθμούς τηλεφώνου τους στις Δημόσιες Σελίδες. Με τον τρόπο αυτό επεξεργάζεται δεδομένα που η STAK επεξεργάζεται ως Υπεύθυνος Επεξεργασίας σύμφωνα με την Πολιτική Απορρήτου, και όχι Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη.

Εκτός από τους ανωτέρω παρόχους, η STAK δεν χρησιμοποιεί παρόχους γραπτών μηνυμάτων, ειδοποιήσεων push, ψηφιακών πορτοφολιών ή αναζήτησης, επαλήθευσης και χαρτογράφησης διευθύνσεων για την Επεξεργασία Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη.