01, Εισαγωγή

Τι είναι αυτό το κείμενο

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων («ΣΕΔ») αποτελεί μέρος της σύμβασης παροχής υπηρεσιών μεταξύ της Dabster Labs (ο «Εκτελών την Επεξεργασία») και του πελάτη (ο «Υπεύθυνος Επεξεργασίας»). Διέπει την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο των υπηρεσιών αυτοματοποίησης που παρέχει η Dabster Labs, σύμφωνα με το άρθρο 28 του Γενικού Κανονισμού για την Προστασία Δεδομένων της ΕΕ (GDPR).

02, Ορισμοί

Οι νομικοί όροι

Οι όροι «Δεδομένα Προσωπικού Χαρακτήρα», «Επεξεργασία», «Υποκείμενο των Δεδομένων», «Υπεύθυνος Επεξεργασίας» και «Εκτελών την Επεξεργασία» έχουν την έννοια που τους αποδίδει ο Γενικός Κανονισμός για την Προστασία Δεδομένων (ΕΕ) 2016/679 («GDPR»).

03, Αντικείμενο της επεξεργασίας

Τι επεξεργαζόμαστε, και γιατί

Η Dabster Labs επεξεργάζεται δεδομένα προσωπικού χαρακτήρα αποκλειστικά για λογαριασμό του Υπευθύνου Επεξεργασίας, με σκοπό την παροχή των υπηρεσιών αυτοματοποίησης που περιγράφονται στην Περιγραφή Έργου.

Αντικείμενο: υπηρεσίες αυτοματοποίησης, διασύνδεσης και ροών εργασίας, όπως ορίζονται στην Περιγραφή Έργου.

Διάρκεια: η διάρκεια της σύμβασης παροχής υπηρεσιών, καθώς και κάθε διατήρηση μετά τη λήξη που επιβάλλει ο νόμος (βλέπε ενότητα 11).

Φύση και σκοπός: αυτοματοποιημένη επεξεργασία επιχειρηματικών δεδομένων, διασύνδεση των συστημάτων του Υπευθύνου Επεξεργασίας, παραγωγή αναφορών και συνεχής υποστήριξη της υπηρεσίας.

Κατηγορίες Υποκειμένων των Δεδομένων: εργαζόμενοι, πελάτες, υποψήφιοι πελάτες και επαφές του Υπευθύνου Επεξεργασίας, στον βαθμό που αφορούν τις αυτοματοποιημένες ροές.

Κατηγορίες Δεδομένων Προσωπικού Χαρακτήρα: στοιχεία επικοινωνίας (όνομα, ηλεκτρονική διεύθυνση, τηλέφωνο, θέση, εταιρεία), εγγραφές πελατολογίου, μεταδεδομένα επικοινωνίας, επιχειρηματικά έγγραφα και κάθε άλλο δεδομένο που ο Υπεύθυνος Επεξεργασίας δρομολογεί μέσα από την αυτοματοποίηση.

04, Υποχρεώσεις του Εκτελούντος την Επεξεργασία

Σε τι δεσμευόμαστε

• Επεξεργαζόμαστε δεδομένα προσωπικού χαρακτήρα μόνο βάσει καταγεγραμμένων εντολών του Υπευθύνου Επεξεργασίας, εκτός αν το απαιτεί το δίκαιο της ΕΕ ή κράτους μέλους. Στην περίπτωση αυτή ενημερώνουμε τον Υπεύθυνο Επεξεργασίας για τη νομική απαίτηση πριν από την επεξεργασία, εκτός αν ο νόμος απαγορεύει την ενημέρωση για σοβαρούς λόγους δημοσίου συμφέροντος.
• Διασφαλίζουμε ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα δεσμεύονται από κατάλληλες υποχρεώσεις εμπιστευτικότητας.
• Εφαρμόζουμε κατάλληλα τεχνικά και οργανωτικά μέτρα (κρυπτογραφημένη μετάδοση, έλεγχο πρόσβασης, δικαιώματα ελάχιστου προνομίου, καταγραφή ενεργειών) ώστε το επίπεδο ασφάλειας να είναι ανάλογο του κινδύνου, σύμφωνα με το άρθρο 32 του GDPR.
• Συνδράμουμε τον Υπεύθυνο Επεξεργασίας, λαμβάνοντας υπόψη τη φύση της επεξεργασίας, στην εκπλήρωση της υποχρέωσής του να απαντά σε αιτήματα Υποκειμένων των Δεδομένων (πρόσβαση, διόρθωση, διαγραφή, περιορισμό, φορητότητα, εναντίωση).
• Συνδράμουμε τον Υπεύθυνο Επεξεργασίας στη συμμόρφωση με τα άρθρα 32 έως 36 του GDPR (ασφάλεια, γνωστοποίηση παραβίασης, εκτιμήσεις αντικτύπου, προηγούμενη διαβούλευση).
• Κατ’ επιλογή του Υπευθύνου Επεξεργασίας, διαγράφουμε ή επιστρέφουμε όλα τα δεδομένα προσωπικού χαρακτήρα με τη λήξη της υπηρεσίας και διαγράφουμε τα υπάρχοντα αντίγραφα, εκτός αν το δίκαιο της ΕΕ ή κράτους μέλους επιβάλλει τη διατήρησή τους.
• Θέτουμε στη διάθεση του Υπευθύνου Επεξεργασίας κάθε πληροφορία απαραίτητη για την απόδειξη της συμμόρφωσης με τις υποχρεώσεις του άρθρου 28.
• Επιτρέπουμε και συμβάλλουμε σε ελέγχους, συμπεριλαμβανομένων επιθεωρήσεων, που διενεργεί ο Υπεύθυνος Επεξεργασίας ή ελεγκτής εντεταλμένος από αυτόν, με εύλογη προειδοποίηση και σε συχνότητα που δεν διαταράσσει υπέρμετρα τη λειτουργία μας.
• Ενημερώνουμε αμέσως τον Υπεύθυνο Επεξεργασίας αν, κατά την άποψή μας, κάποια εντολή παραβιάζει τον GDPR ή άλλη ισχύουσα νομοθεσία προστασίας δεδομένων.

05, Υπεργολάβοι επεξεργασίας

Ποιοι άλλοι μπορεί να εμπλέκονται

Ο Υπεύθυνος Επεξεργασίας παρέχει με το παρόν στη Dabster Labs γενική γραπτή εξουσιοδότηση να αναθέτει σε υπεργολάβους επεξεργασίας για τους σκοπούς της ενότητας 03, υπό τις παρακάτω προϋποθέσεις. Οι σημερινοί υπεργολάβοι μας είναι:

• Πάροχος υποδομής (Γερμανία, ΕΕ), οι διακομιστές που τρέχουν τα δικά μας συστήματα
• Πάροχος φιλοξενίας ιστότοπου (ΕΕ), φιλοξενία αυτού του ιστότοπου
• Μηχανή αυτοματοποιημένων ροών εργασίας (Γερμανία, ΕΕ), σε δική μας υποδομή
• ElevenLabs (Ηνωμένες Πολιτείες), υποδομή φωνητικού βοηθού, ενεργοποιείται μόνο μετά από συγκατάθεση του Υποκειμένου των Δεδομένων για φωνή. Η ElevenLabs, Inc. είναι ενεργός πιστοποιημένος συμμετέχων στο EU-U.S. Data Privacy Framework, οπότε η διαβίβαση καλύπτεται από την απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής της 10ης Ιουλίου 2023 κατά το άρθρο 45 του GDPR. Η σύμβαση επεξεργασίας του ενσωματώνει επιπλέον τις Τυποποιημένες Συμβατικές Ρήτρες της απόφασης (ΕΕ) 2021/914 της Επιτροπής κατά το άρθρο 46(2)(γ) ως εφεδρική εγγύηση.

Ενημερώνουμε τον Υπεύθυνο Επεξεργασίας για κάθε σκοπούμενη αλλαγή στη λίστα αυτή, δηλαδή προσθήκη ή αντικατάσταση υπεργολάβου, με προειδοποίηση τουλάχιστον 30 ημερών, ώστε να έχει τη δυνατότητα να εναντιωθεί. Αν εναντιωθεί για εύλογους λόγους προστασίας δεδομένων, τα μέρη συζητούν καλόπιστα, και αν δεν βρεθεί λύση, ο Υπεύθυνος Επεξεργασίας μπορεί να τερματίσει το επηρεαζόμενο τμήμα της υπηρεσίας.

Όλοι οι υπεργολάβοι δεσμεύονται από γραπτές συμβάσεις που επιβάλλουν υποχρεώσεις προστασίας δεδομένων ισοδύναμες με αυτές της παρούσας ΣΕΔ.

06, Διεθνείς διαβιβάσεις

Δεδομένα εκτός συνόρων

Η επεξεργασία γίνεται κατά κύριο λόγο εντός ΕΕ και ΕΟΧ. Όπου δεδομένα προσωπικού χαρακτήρα διαβιβάζονται εκτός ΕΟΧ, σήμερα μόνο προς την ElevenLabs (Ηνωμένες Πολιτείες) για τον προαιρετικό φωνητικό βοηθό, η Dabster Labs διασφαλίζει ότι ισχύει μία από τις παρακάτω εγγυήσεις του Κεφαλαίου V του GDPR:

• Η απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής της 10ης Ιουλίου 2023 για το EU-U.S. Data Privacy Framework (άρθρο 45 του GDPR), που ισχύει για την ElevenLabs, Inc. ως ενεργό πιστοποιημένο συμμετέχοντα, ή
• Τυποποιημένες Συμβατικές Ρήτρες κατά το άρθρο 46(2)(γ), ή
• Ειδικά για δεδομένα φωνητικού βοηθού: ρητή συγκατάθεση του Υποκειμένου των Δεδομένων κατά το άρθρο 49(1)(α), η οποία λαμβάνεται πριν από κάθε διαβίβαση.

07, Μέτρα ασφάλειας

Πώς προστατεύουμε τα δεδομένα

Σύμφωνα με το άρθρο 32 του GDPR, εφαρμόζουμε τα ακόλουθα τεχνικά και οργανωτικά μέτρα:

• Κρυπτογράφηση των δεδομένων κατά τη μετάδοση (TLS 1.2 και άνω) και σε ηρεμία, όπου το υποστηρίζει η υποκείμενη υποδομή
• Έλεγχος πρόσβασης βάσει ρόλων, δικαιώματα ελάχιστου προνομίου και ταυτοποίηση δύο παραγόντων για τη διαχειριστική πρόσβαση
• Τακτικοί έλεγχοι ασφάλειας, ενημερώσεις εξαρτήσεων και διαχείριση διορθώσεων
• Καταγραφή των διαχειριστικών ενεργειών επί των δεδομένων του Υπευθύνου Επεξεργασίας
• Τεκμηριωμένες διαδικασίες αντιμετώπισης περιστατικών (βλέπε ενότητα 08)
• Έλεγχος ιστορικού και συμφωνίες εμπιστευτικότητας για κάθε πρόσωπο με πρόσβαση στα δεδομένα του Υπευθύνου Επεξεργασίας
• Τακτικά αντίγραφα ασφαλείας και δοκιμασμένες διαδικασίες επαναφοράς

08, Γνωστοποίηση παραβίασης δεδομένων

Αν κάτι πάει στραβά

Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα που αφορά δεδομένα του Υπευθύνου Επεξεργασίας, η Dabster Labs:

• Ενημερώνει τον Υπεύθυνο Επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός 48 ωρών από τη στιγμή που λαμβάνει γνώση της παραβίασης.
• Παρέχει στον Υπεύθυνο Επεξεργασίας κάθε διαθέσιμη πληροφορία που χρειάζεται για να εκπληρώσει τις δικές του υποχρεώσεις γνωστοποίησης κατά τα άρθρα 33 και 34 του GDPR, δηλαδή: τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό των Υποκειμένων των Δεδομένων και των εγγραφών που επηρεάζονται, τις πιθανές συνέπειες και τα μέτρα που λήφθηκαν ή προτείνονται.
• Συνεργάζεται πλήρως με τον Υπεύθυνο Επεξεργασίας για τη διερεύνηση, τον περιορισμό και την αποκατάσταση της παραβίασης.

Η Dabster Labs ενημερώνει απευθείας την εποπτική της αρχή μόνο όταν η παραβίαση αφορά δεδομένα για τα οποία η ίδια είναι Υπεύθυνος Επεξεργασίας, για παράδειγμα δεδομένα των δικών της εργαζομένων ή του δικού της μάρκετινγκ.

09, Δικαιώματα των Υποκειμένων των Δεδομένων

Βοήθεια στα αιτήματα

Όταν ένα Υποκείμενο των Δεδομένων απευθύνεται απευθείας στη Dabster Labs για να ασκήσει τα δικαιώματά του κατά τον GDPR επί δεδομένων του Υπευθύνου Επεξεργασίας, προωθούμε το αίτημα στον Υπεύθυνο Επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση και τον συνδράμουμε ώστε να απαντήσει εντός των προθεσμιών του GDPR, συνήθως 30 ημερών κατά το άρθρο 12(3).

10, Έλεγχοι και επιθεωρήσεις

Επαλήθευση της συμμόρφωσης

Ο Υπεύθυνος Επεξεργασίας έχει δικαίωμα να ελέγχει τη συμμόρφωση της Dabster Labs με την παρούσα ΣΕΔ, είτε απευθείας είτε μέσω ανεξάρτητου ελεγκτή. Εμείς:

• Παρέχουμε στον Υπεύθυνο Επεξεργασίας αντίγραφα σχετικών πιστοποιήσεων ασφάλειας, πολιτικών και εκθέσεων ελέγχου, κατόπιν αιτήματος.
• Επιτρέπουμε επιτόπιες ή εξ αποστάσεως επιθεωρήσεις με γραπτή προειδοποίηση τουλάχιστον 14 ημερών, οι οποίες διενεργούνται σε κανονικές εργάσιμες ώρες και με τρόπο που δεν διαταράσσει υπέρμετρα τη λειτουργία μας.
• Συνεργαζόμαστε πλήρως με τις επιθεωρήσεις αυτές και παρέχουμε εύλογη πρόσβαση στα σχετικά συστήματα και πρόσωπα.

Ο Υπεύθυνος Επεξεργασίας επιβαρύνεται με το δικό του κόστος ελέγχου, εκτός αν ο έλεγχος εντοπίσει ουσιώδη μη συμμόρφωση. Στην περίπτωση αυτή η Dabster Labs επιβαρύνεται με το εύλογο κόστος αποκατάστασης και επανελέγχου.

11, Λήξη

Όταν η συνεργασία τελειώνει

Με τη λήξη της σύμβασης παροχής υπηρεσιών, ο Υπεύθυνος Επεξεργασίας επιλέγει γραπτώς αν η Dabster Labs θα επιστρέψει όλα τα δεδομένα προσωπικού χαρακτήρα ή θα τα διαγράψει. Η Dabster Labs τότε επιστρέφει ή διαγράφει τα δεδομένα, και κάθε υπάρχον αντίγραφο, εντός 30 ημερών από τη λήψη της εντολής, εκτός αν το δίκαιο της ΕΕ ή κράτους μέλους απαιτεί μεγαλύτερη διατήρηση. Τα αντίγραφα ασφαλείας που περιέχουν τα δεδομένα αντικαθίστανται στον κανονικό κύκλο εναλλαγής αντιγράφων, συνήθως εντός 90 ημερών.

12, Επικοινωνία

Επικοινωνία για προστασία δεδομένων

Η Dabster Labs δεν πληροί τα κατώφλια για υποχρεωτικό ορισμό Υπευθύνου Προστασίας Δεδομένων κατά το άρθρο 37 του GDPR. Η παρακάτω επαφή χειρίζεται κάθε ερώτημα προστασίας δεδομένων.

Για ερωτήματα σχετικά με τη ΣΕΔ: info@dabsterlabs-ai.cy

Dabster Labs, Λευκωσία, Κύπρος