Παράρτημα Επεξεργασίας Δεδομένων

1. Μέρη, ρόλοι και αντικείμενο

Το παράρτημα αποτελεί δεσμευτικό μέρος της συνδρομής για επεξεργασία προσωπικών δεδομένων που ο πελάτης αναθέτει μέσω του CRM. Ο πελάτης ενεργεί ως υπεύθυνος επεξεργασίας και ο πάροχος ως εκτελών για φιλοξενία, αποθήκευση, υποστήριξη, οργάνωση και συμφωνημένη μετάπτωση στο πλαίσιο των τεκμηριωμένων εντολών. Αν ο πελάτης ενεργεί για άλλο υπεύθυνο, εξασφαλίζει την αναγκαία εξουσιοδότηση και η σχέση υπεργολαβίας εξειδικεύεται εγγράφως.

Η επεξεργασία διαρκεί όσο η παροχή υπηρεσίας και το συμφωνημένο στάδιο επιστροφής/διαγραφής. Υποκείμενα μπορεί να είναι πελάτες, υποψήφιοι πελάτες, ασφαλισμένοι, δικαιούχοι, εργαζόμενοι και συνεργάτες. Τα δεδομένα περιλαμβάνουν στοιχεία ταυτότητας και επικοινωνίας, ασφαλιστηρίων, πληρωμών, αιτημάτων, εγγράφων και ιστορικού επικοινωνίας, στο συμφωνημένο αναγκαίο πεδίο. Δεν επιτρέπεται ανεξέλεγκτη εισαγωγή ειδικών κατηγοριών ή δεδομένων ποινικών καταδικών· απαιτείται προηγούμενη έγγραφη εξειδίκευση και κατάλληλη νόμιμη βάση.

2. Εντολές και περιορισμός σκοπού

Ο πάροχος επεξεργάζεται δεδομένα μόνο βάσει τεκμηριωμένων εντολών, συμπεριλαμβανομένων διεθνών μεταφορών, εκτός νόμιμης υποχρέωσης. Ενημερώνει για τέτοια υποχρέωση πριν από την επεξεργασία, εκτός αν αυτό απαγορεύεται. Αν θεωρεί εντολή αντίθετη στη νομοθεσία, ενημερώνει αμέσως και ζητά νόμιμη διευκρίνιση. Δεν πωλεί τα δεδομένα, δεν τα χρησιμοποιεί για ανεξάρτητη διαφήμιση ή εκπαίδευση μοντέλων χωρίς χωριστή έγκυρη συμφωνία και νόμιμη βάση.

3. Υποχρεώσεις πελάτη

Ο πελάτης καθορίζει νόμιμους σκοπούς, κατάλληλες βάσεις, ενημερώσεις και δικαιώματα πρόσβασης. Εξασφαλίζει ότι οι εντολές και η μεταφορά από προηγούμενο σύστημα είναι νόμιμες. Για ειδικές κατηγορίες εφαρμόζει τις πρόσθετες απαιτήσεις του νόμου. Οι υποχρεώσεις αυτές δεν αντικαθιστούν τις αυτοτελείς υποχρεώσεις του παρόχου ως εκτελούντος.

4. Εμπιστευτικότητα και μέτρα

Πρόσβαση παρέχεται μόνο σε εξουσιοδοτημένα πρόσωπα με κατάλληλη υποχρέωση εμπιστευτικότητας. Η υποστήριξη αποκτά πρόσβαση μόνο στον αναγκαίο βαθμό. Τα μέτρα αξιολογούνται με βάση τον κίνδυνο και αναθεωρούνται χωρίς ουσιώδη μείωση της συμφωνημένης προστασίας.

Συμφωνημένα τεχνικά και οργανωτικά μέτρα: Απαιτείται οριστικοποίηση πριν από ηλεκτρονική αγορά.

Φιλοξενία και περιοχές επεξεργασίας: Απαιτείται οριστικοποίηση πριν από ηλεκτρονική αγορά.

5. Υποεκτελούντες και διαβιβάσεις

Εγκεκριμένος κατάλογος, λειτουργίες και χώρες: Απαιτείται πλήρης κατάλογος πριν από ηλεκτρονική αγορά.

Ο πελάτης παρέχει γενική έγγραφη άδεια μόνο για τον γνωστοποιημένο κατάλογο. Προσθήκη ή αντικατάσταση γνωστοποιείται τουλάχιστον 30 ημέρες πριν, ώστε να προβληθεί τεκμηριωμένη αντίρρηση προστασίας δεδομένων. Τα μέρη αναζητούν κατάλληλη εναλλακτική· αν δεν είναι εφικτή, μπορεί να λυθεί η επηρεαζόμενη υπηρεσία χωρίς χρέωση μη παρασχεθείσας μελλοντικής περιόδου.

Ο πάροχος δεσμεύει κάθε υποεκτελούντα με αντίστοιχες υποχρεώσεις και παραμένει υπεύθυνος έναντι του πελάτη για την εκπλήρωσή τους όπως απαιτεί ο νόμος. Μεταφορά εκτός ΕΟΧ πραγματοποιείται μόνο με κατάλληλο νόμιμο μηχανισμό, αξιολόγηση και συμπληρωματικά μέτρα όπου χρειάζονται. Το παρόν παράρτημα δεν υποκαθιστά τις απαιτούμενες εγγυήσεις διεθνών μεταφορών.

6. Δικαιώματα, παραβιάσεις και συνεργασία

Ο πάροχος βοηθά τον πελάτη, λαμβάνοντας υπόψη τη φύση επεξεργασίας, να ανταποκρίνεται σε αιτήματα υποκειμένων, υποχρεώσεις ασφάλειας, εκτιμήσεις αντικτύπου και διαβούλευση με αρχή. Αίτημα που λαμβάνει απευθείας διαβιβάζεται στον πελάτη, χωρίς απάντηση επί της ουσίας εκτός εντολής ή νόμιμης υποχρέωσης.

Σε παραβίαση προσωπικών δεδομένων ενημερώνει τον πελάτη χωρίς αδικαιολόγητη καθυστέρηση αφότου λάβει γνώση. Γνωστοποιεί διαθέσιμα στοιχεία για τη φύση, τα επηρεαζόμενα δεδομένα, τις πιθανές συνέπειες, τα μέτρα και το σημείο επικοινωνίας, με συμπληρωματικές ενημερώσεις. Δεν αναμένει αυθαίρετα 72 ώρες για αρχική ειδοποίηση. Ο πελάτης χειρίζεται τις δικές του γνωστοποιήσεις και ενημερώσεις σύμφωνα με τον νόμο.

7. Τεκμηρίωση και έλεγχος

Ο πάροχος διαθέτει τις αναγκαίες πληροφορίες απόδειξης συμμόρφωσης και επιτρέπει νόμιμους ελέγχους από τον πελάτη ή εξουσιοδοτημένο ελεγκτή. Τα μέρη συμφωνούν πρακτικές ρυθμίσεις εμπιστευτικότητας και ασφάλειας χωρίς να ματαιώνουν το δικαίωμα ελέγχου. Δεν αποκαλύπτονται δεδομένα άλλων πελατών ή μυστικά πέρα από το αναγκαίο.

8. Επιστροφή, διαγραφή και αντίγραφα

Με τη λύση, κατ’ επιλογή του πελάτη, επιστρέφονται ή διαγράφονται τα προσωπικά δεδομένα και διαγράφονται αντίγραφα, εκτός νόμιμης υποχρέωσης διατήρησης. Περιορισμένη διατήρηση συνεπάγεται περιορισμό πρόσβασης και χρήσης. Η τεχνική διαγραφή από αντίγραφα ασφαλείας ακολουθεί τον γνωστοποιημένο κύκλο χωρίς επαναφορά σε ενεργή χρήση, εκτός νόμιμης ανάγκης ανάκτησης και επανεφαρμογής διαγραφών.

Επιστροφή και εξαγωγή: Απαιτείται οριστικοποίηση.

Διάρκειες και κύκλος διαγραφής: Απαιτείται οριστικοποίηση.

9. Ευθύνη και προτεραιότητα

Το παράρτημα δεν περιορίζει αναγκαστικές υποχρεώσεις, δικαιώματα υποκειμένων ή αρμοδιότητες εποπτικών αρχών. Για δραστηριότητες όπου ο πάροχος καθορίζει αυτοτελώς σκοπούς, όπως δική του τιμολόγηση, ισχύει η Πολιτική Απορρήτου με τους πραγματικούς ρόλους. Σε σύγκρουση για ανατεθειμένη επεξεργασία υπερισχύει το παρόν παράρτημα.