Σύμβαση επεξεργασίας δεδομένων

1. Μέρη και πεδίο

• Εκτελών την επεξεργασία: Ioannis Sakkoulas, ατομική επιχείρηση με τον διακριτικό τίτλο addSynapse, Petrou Foumi 23, Heraklion, Crete 71307, Greece. ΑΦΜ: 119679877. Υπεύθυνος επεξεργασίας: ο πελάτης που έχει τον λογαριασμό addSynapse (για λογαριασμό με πολλά μέλη, η επιχείρηση στην οποία ανήκει ο λογαριασμός).
• Η Σύμβαση καλύπτει τα προσωπικά δεδομένα που επεξεργαζόμαστε για λογαριασμό του πελάτη κατά την παροχή της υπηρεσίας («δεδομένα πελάτη»). Δεν καλύπτει δεδομένα για τα οποία είμαστε υπεύθυνος επεξεργασίας (λογαριασμοί, χρέωση, ασφάλεια), που περιγράφει η Πολιτική απορρήτου.
• Γίνεται αποδεκτή μαζί με τους Όρους κατά τη δημιουργία του λογαριασμού, και καταγράφουμε ποια έκδοση έγινε αποδεκτή. Σε περίπτωση σύγκρουσης με τους Όρους σε θέματα προστασίας δεδομένων, υπερισχύει η Σύμβαση.

2. Αντικείμενο, διάρκεια, φύση και σκοπός

• Αντικείμενο: η παροχή των υπηρεσιών addSynapse που συνδέονται με το κατάστημα του πελάτη — βοηθοί AI που διαβάζουν δεδομένα καταστήματος, απαντούν σε ερωτήσεις και ετοιμάζουν αλλαγές· η σύνδεση Store Manager μεταξύ του βοηθού AI του πελάτη και του καταστήματός του· ο Sales Agent της βιτρίνας· η αναζήτηση.
• Φύση: λήψη, διαβίβαση, αποθήκευση, οργάνωση, ανάκτηση, απόκρυψη (redaction) και διαγραφή δεδομένων· αποστολή του περιεχομένου αιτημάτων σε παρόχους μοντέλων AI· εφαρμογή εγκεκριμένων αλλαγών στο κατάστημα μέσω του πρόσθετου.
• Σκοπός: μόνο η παροχή, η ασφάλεια και η υποστήριξη της υπηρεσίας για τον πελάτη, και η χρέωσή της.
• Διάρκεια: όσο παρέχουμε την υπηρεσία και μέχρι τη διαγραφή των δεδομένων όπως περιγράφεται στην ενότητα «Διαγραφή και επιστροφή».

3. Είδη δεδομένων και υποκείμενα

• Υποκείμενα: οι πελάτες και επισκέπτες του καταστήματος· το προσωπικό του πελάτη που χρησιμοποιεί την υπηρεσία.
• Είδη δεδομένων: όνομα, email, τηλέφωνο, ταχυδρομική διεύθυνση και σημειώσεις παραγγελίας πελατών του καταστήματος σε προσχέδια παραγγελιών· email σε περιορισμούς κουπονιών· ανώνυμες αναφορές πελατών και συνόψεις παραγγελιών σε αναφορές· ό,τι πληκτρολογεί ο πελάτης ή το προσωπικό του σε συνομιλία ή ανεβάζει σε αρχείο· μηνύματα επισκεπτών στη συνομιλία βιτρίνας· ονόματα και email χρηστών του προσωπικού. Η υπηρεσία δεν προορίζεται για ειδικές κατηγορίες δεδομένων (άρθρο 9 ΓΚΠΔ)· ο πελάτης δεν πρέπει να τις καταχωρίζει, αλλά μπορεί να εμφανιστούν σε όσα πληκτρολογούν τα πρόσωπα.

4. Εντολές του πελάτη

• Επεξεργαζόμαστε δεδομένα πελάτη μόνο με τις καταγεγραμμένες εντολές του: τους Όρους και την παρούσα Σύμβαση, τις ρυθμίσεις του και τα αιτήματα και τις εγκρίσεις του στην υπηρεσία. Σε αυτές περιλαμβάνονται οι διαβιβάσεις στους υπεργολάβους επεξεργασίας παρακάτω.
• Ενημερώνουμε τον πελάτη αν, κατά τη γνώμη μας, μια εντολή παραβιάζει τη νομοθεσία προστασίας δεδομένων, και μπορούμε να αναστείλουμε την εκτέλεσή της μέχρι να επιβεβαιωθεί ή να αλλάξει. Αν ο νόμος μας υποχρεώνει σε διαφορετική επεξεργασία, ενημερώνουμε πρώτα τον πελάτη, εκτός αν ο νόμος το απαγορεύει.

5. Εχεμύθεια

Πρόσβαση στα δεδομένα πελάτη έχουν μόνο πρόσωπα που εξουσιοδοτούμε, μόνο όσο χρειάζεται για την υπηρεσία, και καθένα δεσμεύεται από υποχρέωση εχεμύθειας.

6. Ασφάλεια

Εφαρμόζουμε τα τεχνικά και οργανωτικά μέτρα του Παραρτήματος 1, λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος και τους κινδύνους για τα υποκείμενα (άρθρο 32 ΓΚΠΔ). Μπορούμε να τα βελτιώνουμε· δεν μειώνουμε το συνολικό επίπεδο προστασίας.

7. Υπεργολάβοι επεξεργασίας

• Ο πελάτης εγκρίνει τους υπεργολάβους του Παραρτήματος 2. Επιβάλλουμε σε καθέναν υποχρεώσεις προστασίας δεδομένων ισοδύναμες με την παρούσα Σύμβαση και παραμένουμε υπεύθυνοι απέναντι στον πελάτη για την εκτέλεσή τους.
• Πριν προσθέσουμε ή αντικαταστήσουμε υπεργολάβο, ενημερώνουμε τον πελάτη με email και ενημερώνουμε τον κατάλογο τουλάχιστον 30 ημέρες νωρίτερα. Ο πελάτης μπορεί να αντιταχθεί για εύλογους λόγους προστασίας δεδομένων μέσα σε αυτό το διάστημα. Τότε αναζητούμε λύση· αν δεν βρεθεί, ο πελάτης μπορεί να καταγγείλει την επηρεαζόμενη υπηρεσία πριν ισχύσει η αλλαγή.
• Ο βοηθός AI που συνδέει ο πελάτης στο Store Manager for WooCommerce (για παράδειγμα το Claude της Anthropic ή το ChatGPT της OpenAI) είναι υπηρεσία του ίδιου του πελάτη, που χρησιμοποιείται με τη σύμβαση του πελάτη με τον πάροχό της· δεν είναι υπεργολάβος μας. Απλώς του επιστρέφουμε αποτελέσματα εργαλείων κατόπιν αιτήματος του πελάτη.

8. Διεθνείς διαβιβάσεις

Όπου υπεργολάβος επεξεργάζεται δεδομένα πελάτη εκτός Ευρωπαϊκού Οικονομικού Χώρου, φροντίζουμε η διαβίβαση να καλύπτεται από απόφαση επάρκειας (μαζί με το EU-US Data Privacy Framework για πιστοποιημένους αποδέκτες) ή από τις Τυποποιημένες συμβατικές ρήτρες ΕΕ στους όρους επεξεργασίας του υπεργολάβου. Το Παράρτημα 2 δείχνει τον μηχανισμό για καθέναν.

9. Συνδρομή σε αιτήματα υποκειμένων και στη συμμόρφωση

• Αν ένα υποκείμενο μας απευθυνθεί για δεδομένα πελάτη, προωθούμε το αίτημα στον πελάτη χωρίς αδικαιολόγητη καθυστέρηση και δεν απαντάμε οι ίδιοι, παρά μόνο για να πούμε ότι το προωθήσαμε.
• Βοηθάμε τον πελάτη να απαντήσει σε αιτήματα (πρόσβαση, διαγραφή, διόρθωση, εξαγωγή) με τα μέσα της υπηρεσίας — εξαγωγή δεδομένων, διαγραφή sites ή συνομιλιών και αναζήτηση στα αρχεία μας κατόπιν αιτήματος — και συνδράμουμε σε εκτιμήσεις αντικτύπου και διαβουλεύσεις με αρχές, στον βαθμό που αφορούν την υπηρεσία μας.

10. Παραβιάσεις δεδομένων

• Γνωστοποιούμε στον πελάτη κάθε παραβίαση που αφορά δεδομένα πελάτη χωρίς αδικαιολόγητη καθυστέρηση αφότου λάβουμε γνώση, με στόχο τις 48 ώρες. Αυτό είναι χωριστό από — και προηγείται της — δικής του υποχρέωσης να ενημερώσει την αρχή εντός 72 ωρών.
• Η γνωστοποίηση περιγράφει, στον βαθμό που είναι γνωστά: τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό υποκειμένων και εγγραφών, τις πιθανές συνέπειες, τα μέτρα που λήφθηκαν ή προτείνονται και ένα πρόσωπο επικοινωνίας. Συμπληρώνουμε πληροφορίες όσο γίνονται διαθέσιμες, λαμβάνουμε τα αναγκαία μέτρα περιορισμού και βοηθάμε τον πελάτη να ενημερώσει την αρχή και τα υποκείμενα.

11. Διαγραφή και επιστροφή στη λήξη

• Πριν λήξει η υπηρεσία, ο πελάτης μπορεί να εξαγάγει τα δεδομένα του λογαριασμού (Ρυθμίσεις → Απόρρητο → Εξαγωγή) και να ζητήσει εξαγωγή των καταγραφών δραστηριότητας και των συνομιλιών· τα δεδομένα του καταστήματος μένουν στο κατάστημα.
• Όταν ο πελάτης διαγράψει site ή τον λογαριασμό του, η υπηρεσία σταματά αμέσως· τις επόμενες 30 ημέρες μπορούμε, κατόπιν αιτήματός του, να τα επαναφέρουμε ή να δώσουμε την εξαγωγή. Μετά τα δεδομένα διαγράφονται από τα ενεργά μας συστήματα (αμέσως, αν το ζητήσει ο πελάτης). Τα αντίγραφα ασφαλείας λήγουν το αργότερο 730 ημέρες μετά. Κρατάμε μόνο ό,τι επιβάλλει ο νόμος (στοιχεία χρέωσης), ανωνυμοποιημένο όπου είναι δυνατό.

12. Πληροφόρηση και έλεγχοι

• Παρέχουμε τις πληροφορίες που αποδεικνύουν τη συμμόρφωση με το άρθρο 28 ΓΚΠΔ: την παρούσα Σύμβαση, τα παραρτήματα, τη σελίδα ασφάλειας και απαντήσεις σε εύλογα ερωτηματολόγια ασφάλειας.
• Ο πελάτης, ή ανεξάρτητος ελεγκτής με υποχρέωση εχεμύθειας, μπορεί να ελέγξει τη συμμόρφωσή μας μία φορά τον χρόνο με γραπτή ειδοποίηση 30 ημερών, σε εργάσιμες ώρες και χωρίς πρόσβαση σε δεδομένα άλλων πελατών — και επιπλέον μετά από παραβίαση δεδομένων ή όταν το ζητήσει εποπτική αρχή. Κάθε μέρος φέρει τα έξοδά του.

13. Ευθύνη

Η ευθύνη κάθε μέρους κατά την παρούσα Σύμβαση ακολουθεί την ενότητα ευθύνης των Όρων· τίποτα δεν περιορίζει τα δικαιώματα των υποκειμένων κατά το άρθρο 82 ΓΚΠΔ.

14. Παράρτημα 1 — Τεχνικά και οργανωτικά μέτρα

Τα μέτρα που εφαρμόζουμε στην πράξη (ελεγμένα στον κώδικα και στις ρυθμίσεις μας):

15. Παράρτημα 2 — Υπεργολάβοι επεξεργασίας

• Anthropic (Anthropic Ireland, Limited· επεξεργασία στις ΗΠΑ· Τυποποιημένες συμβατικές ρήτρες ΕΕ) και, μόνο για sites ρυθμισμένα σε μοντέλο OpenAI, OpenAI (OpenAI Ireland Ltd· επεξεργασία στις ΗΠΑ· Τυποποιημένες συμβατικές ρήτρες ΕΕ) — απαντήσεις AI.
• netcup GmbH (Γερμανία, ΕΕ) — φιλοξενία, βάση δεδομένων και μηχανή αναζήτησης.
• Resend (Plus Five Five, Inc., ΗΠΑ· Τυποποιημένες συμβατικές ρήτρες ΕΕ) — αποστολή των email που στέλνουμε στους χρήστες του πελάτη (για παράδειγμα email λογαριασμού, χρέωσης και υποστήριξης).
• Αντίγραφα ασφαλείας: Τα αντίγραφα ασφαλείας (κρυπτογραφημένα) φυλάσσονται στον δικό μας server στην ΕΕ (στον πάροχο φιλοξενίας παραπάνω).
• Λεπτομέρειες, μηχανισμοί διαβίβασης και σύνδεσμοι: Πολιτική απορρήτου — Υπεργολάβοι. Το Stripe επεξεργάζεται δεδομένα χρέωσης στο πλαίσιο του δικού μας ρόλου ως υπεύθυνου επεξεργασίας και δεν είναι υπεργολάβος για δεδομένα πελάτη.

16. Παράρτημα 3 — Επεξεργασία ανά υπηρεσία

Διάρκεια διατήρησης κάθε κατηγορίας: Πολιτική απορρήτου — Πόσο κρατάμε τα δεδομένα.