Συμφωνία Επεξεργασίας Δεδομένων (DPA)

1. Συμβαλλόμενα Μέρη

2. Αντικείμενο της Συμφωνίας

Η παρούσα Συμφωνία Επεξεργασίας Δεδομένων («Συμφωνία» ή «DPA») διέπει τους όρους και τις προϋποθέσεις υπό τις οποίες ο Εκτελών την Επεξεργασία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του Υπευθύνου Επεξεργασίας σε σχέση με την παροχή της πλατφόρμας SaaS Helionix – μια λύση λογισμικού για τη διαχείριση κατασκευαστικών έργων και την παρακολούθηση παρουσίας εργατικού δυναμικού.

Η παρούσα DPA καταρτίζεται σύμφωνα με τον Κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (Γενικός Κανονισμός για την Προστασία Δεδομένων – «ΓΚΠΔ»), ιδίως το Άρθρο 28, και τον Βουλγαρικό Νόμο περί Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

3. Κατηγορίες Υποβαλλομένων Δεδομένων

3.1 Δεδομένα Εργαζομένων

*Οι συντεταγμένες GPS υποβάλλονται σε προσωρινή επεξεργασία μόνο για επικύρωση geofence (σύγκριση της τοποθεσίας του εργαζομένου με τα όρια του έργου). Δεν χρησιμοποιούνται για συνεχή παρακολούθηση και δεν αποθηκεύονται ως τυπική εγγραφή παρουσίας στον διακομιστή. Σε λειτουργία εκτός σύνδεσης, οι συντεταγμένες μπορεί να παραμείνουν προσωρινά στη συσκευή ή σε εκκρεμή συγχρονισμό έως την ολοκλήρωση της επικύρωσης ή της εκκαθάρισης.

3.2 Δεδομένα Οργανισμού (Υπεύθυνος Επεξεργασίας)

3.3 Ρητώς ΕΞΑΙΡΟΥΜΕΝΕΣ Κατηγορίες

Για σαφήνεια, μια απλή φωτογραφία προφίλ εργαζομένου που χρησιμοποιείται μόνο για ανθρώπινη οπτική ταυτοποίηση για σκοπούς Υγείας και Ασφάλειας στην Εργασία του έργου περιλαμβάνεται στα Δεδομένα Εργαζομένων παραπάνω. Η αναγνώριση προσώπου, τα βιομετρικά πρότυπα, η αυτοματοποιημένη σύγκριση προσώπων και η βιομετρική επαλήθευση παραμένουν εκτός.

4. Σκοπός και Διάρκεια της Επεξεργασίας

4.1 Σκοποί Επεξεργασίας

• Παροχή των υπηρεσιών SaaS της Helionix
• Διαχείριση παρουσίας προσωπικού και χρόνου εργασίας
• Οικονομικοί υπολογισμοί (μισθοδοσία, τιμολόγηση)
• Τεχνική υποστήριξη κατόπιν αιτήματος του Υπευθύνου Επεξεργασίας

4.2 Διάρκεια

*Εκτός από λογιστικά έγγραφα που διατηρούνται για 10 έτη βάσει νόμου

5. Υποχρεώσεις του Εκτελούντος την Επεξεργασία

5.3 Τεχνικά και Οργανωτικά Μέτρα

5.4 Υπεκτελούντες την Επεξεργασία

Ο Υπεύθυνος Επεξεργασίας παρέχει γενική γραπτή άδεια στον Εκτελούντα να χρησιμοποιεί υπεκτελούντες που είναι απαραίτητοι για την παροχή της Πλατφόρμας, σύμφωνα με το Άρθρο 28(2) και 28(4) του ΓΚΠΔ. Ο τρέχων δημόσιος Κατάλογος Υπεκτελούντων είναι διαθέσιμος στη διεύθυνση /el/subprocessors.

Οι υπό όρους πάροχοι που αναφέρονται στον Κατάλογο Υπεκτελούντων, συμπεριλαμβανομένων παρόχων analytics, προστασίας από κατάχρηση, map/geofence UI και rate limiting, επεξεργάζονται προσωπικά δεδομένα μόνο όταν έχει ενεργοποιηθεί η σχετική λειτουργία ή ρύθμιση περιβάλλοντος. Ο Εκτελών επιβάλλει στους υπεκτελούντες υποχρεώσεις προστασίας δεδομένων όχι λιγότερο προστατευτικές από αυτές της παρούσας DPA και παραμένει υπεύθυνος για την εκτέλεσή τους όπως απαιτείται από το Άρθρο 28(4) ΓΚΠΔ.

5.6 Ειδοποίηση για Παραβίαση Δεδομένων

6. Διεθνείς Διαβιβάσεις Δεδομένων

Ο Εκτελών χρησιμοποιεί παρόχους υποδομής και υπεκτελούντες που περιγράφονται στον Κατάλογο Υπεκτελούντων. Όταν προσωπικά δεδομένα διαβιβάζονται εκτός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ), ο Εκτελών βασίζεται σε κατάλληλους μηχανισμούς διαβίβασης και συμπληρωματικά μέτρα όπου απαιτείται από το εφαρμοστέο δίκαιο.

6.1 Κύρια Τοποθεσία Δεδομένων

• Βάση δεδομένων: Περιοχή έργου Supabase όπως έχει διαμορφωθεί για το παραγωγικό έργο
• Φιλοξενία εφαρμογής: Τοποθεσίες υποδομής Vercel όπως έχουν διαμορφωθεί και γνωστοποιούνται από τη Vercel
• Πάροχοι τιμολόγησης και email: Υποδομή και υπεκτελούντες της Stripe και της Resend όπως περιγράφονται στους εφαρμοστέους όρους τους και στον Κατάλογο Υπεκτελούντων

6.2 Διαβιβάσεις σε Τρίτες Χώρες

Όταν δεδομένα πρέπει να διαβιβαστούν εκτός ΕΟΧ (π.χ. σε υπεκτελούντες με έδρα τις ΗΠΑ για τεχνική υποστήριξη), ο Εκτελών βασίζεται σε έναν ή περισσότερους νόμιμους μηχανισμούς διαβίβασης κατάλληλους για τον σχετικό πάροχο και τη δραστηριότητα επεξεργασίας:

• Τυποποιημένες Συμβατικές Ρήτρες (ΤΣΡ) – όπως εγκρίθηκαν από την Ευρωπαϊκή Επιτροπή με την Απόφαση (ΕΕ) 2021/914
• Απόφαση Επάρκειας – όταν η Ευρωπαϊκή Επιτροπή έχει αποφασίσει ότι τρίτη χώρα παρέχει επαρκές επίπεδο προστασίας δεδομένων

Ο Εκτελών τηρεί τεκμηρίωση προμηθευτών και μπορεί να παρέχει σχετικές πληροφορίες που είναι εύλογα διαθέσιμες από τους παρόχους του, με την επιφύλαξη περιορισμών εμπιστευτικότητας και ασφάλειας.

7. Δικαιώματα Ελέγχου

Σύμφωνα με το άρθρο 28(3)(η) του ΓΚΠΔ, ο Υπεύθυνος Επεξεργασίας έχει το δικαίωμα να επαληθεύει τη συμμόρφωση του Εκτελούντος την Επεξεργασία με την παρούσα Συμφωνία.

7.1 Αιτήματα Πληροφόρησης

Ο Υπεύθυνος Επεξεργασίας μπορεί να ζητήσει τις ακόλουθες πληροφορίες ανά πάσα στιγμή:

• Τεκμηρίωση των εφαρμοσμένων μέτρων ασφαλείας
• Κατάλογος εξουσιοδοτημένου προσωπικού με πρόσβαση σε προσωπικά δεδομένα
• Τρέχων κατάλογος υπεκτελούντων και των τοποθεσιών τους
• Αντίγραφα πιστοποιήσεων και εκθέσεων συμμόρφωσης

Ο Εκτελών την Επεξεργασία απαντά σε αιτήματα πληροφοριών εντός δεκατεσσάρων (14) εργάσιμων ημερών.

7.2 Περιορισμοί Ελέγχου SaaS

8. Υποχρεώσεις του Υπευθύνου Επεξεργασίας

Ο Υπεύθυνος Επεξεργασίας αναγνωρίζει και συμφωνεί με τις ακόλουθες υποχρεώσεις βάσει της παρούσας Συμφωνίας και της εφαρμοστέας νομοθεσίας περί προστασίας δεδομένων:

8.1 Νομιμότητα της Επεξεργασίας

• Ο Υπεύθυνος Επεξεργασίας εγγυάται ότι διαθέτει έγκυρη νομική βάση (π.χ. έννομο συμφέρον, σύμβαση, συγκατάθεση) για όλα τα προσωπικά δεδομένα που παρέχονται στον Εκτελούντα
• Ο Υπεύθυνος Επεξεργασίας είναι αποκλειστικά υπεύθυνος για τη λήψη κάθε απαιτούμενης συγκατάθεσης από τους εργαζόμενους για παρακολούθηση παρουσίας και επικύρωση γεωτοποθεσίας
• Ο Υπεύθυνος είναι υπεύθυνος να ενημερώνει τους εργαζομένους και να διαθέτει έγκυρη νομική βάση πριν ενεργοποιήσει φωτογραφίες προφίλ εργαζομένων για οπτική ταυτοποίηση για Υγεία και Ασφάλεια στην Εργασία του έργου.
• Ο Υπεύθυνος Επεξεργασίας δεν θα ανεβάζει ή επεξεργάζεται ειδικές κατηγορίες δεδομένων (Άρθρο 9 ΓΚΠΔ) μέσω της Πλατφόρμας

8.2 Υποχρεώσεις Διαφάνειας

• Ο Υπεύθυνος Επεξεργασίας θα παρέχει επαρκείς ειδοποιήσεις απορρήτου στα υποκείμενα των δεδομένων (εργαζόμενους) πριν τα δεδομένα τους υποβληθούν σε επεξεργασία μέσω της Πλατφόρμας
• Οι εν λόγω ειδοποιήσεις θα προσδιορίζουν τον Εκτελούντα (POWERENT Ltd. / Helionix) ως εκτελούντα επεξεργασία του Υπευθύνου για την Πλατφόρμα και θα περιγράφουν τις κατηγορίες δεδομένων που υποβάλλονται σε επεξεργασία

8.3 Ακρίβεια Δεδομένων

Ο Υπεύθυνος Επεξεργασίας είναι υπεύθυνος για τη διασφάλιση της ακρίβειας και της πληρότητας όλων των προσωπικών δεδομένων που εισάγονται στην Πλατφόρμα. Ο Εκτελών δεν ευθύνεται για τυχόν σφάλματα, παραλείψεις ή ανακρίβειες στα δεδομένα που παρέχονται από τον Υπεύθυνο.

8.4 Οδηγίες

Οι τεκμηριωμένες οδηγίες του Υπευθύνου Επεξεργασίας προς τον Εκτελούντα θεωρούνται ως η τυπική χρήση της Πλατφόρμας όπως περιγράφεται στους Όρους Χρήσης. Τυχόν πρόσθετες ή μη τυπικές οδηγίες επεξεργασίας πρέπει να παρέχονται γραπτώς και ενδέχεται να υπόκεινται σε πρόσθετες χρεώσεις.

9. Λήξη και Διαγραφή Δεδομένων

9.4 Εξαιρέσεις Νόμιμης Διατήρησης

10. Συνδρομή στην Άσκηση Δικαιωμάτων Υποκειμένων

Σύμφωνα με το άρθρο 28(3)(ε) του ΓΚΠΔ, ο Εκτελών συνδράμει τον Υπεύθυνο Επεξεργασίας στην εκπλήρωση της υποχρέωσής του να ανταποκρίνεται σε αιτήματα υποκειμένων δεδομένων που ασκούν τα δικαιώματά τους βάσει του Κεφαλαίου III του ΓΚΠΔ.

10.1 Υποστηριζόμενα Δικαιώματα

10.2 Χρονοδιάγραμμα Απόκρισης

• Ο Υπεύθυνος Επεξεργασίας είναι αποκλειστικά υπεύθυνος για την απάντηση σε αιτήματα υποκειμένων δεδομένων εντός της νόμιμης προθεσμίας 30 ημερών (Άρθρο 12(3) ΓΚΠΔ)
• Ο Εκτελών θα παρέχει τεχνική βοήθεια εντός 5 εργάσιμων ημερών από τη λήψη γραπτού αιτήματος από τον Υπεύθυνο
• Αιτήματα υποκειμένων δεδομένων που λαμβάνονται απευθείας από τον Εκτελούντα θα προωθούνται στον Υπεύθυνο εντός 48 ωρών

10.3 Περιορισμός Ευθύνης

11. Εφαρμοστέο Δίκαιο και Δικαιοδοσία

11.1 Εφαρμοστέο Δίκαιο

Η παρούσα Συμφωνία διέπεται και ερμηνεύεται σύμφωνα με τη νομοθεσία της Δημοκρατίας της Βουλγαρίας, χωρίς να λαμβάνονται υπόψη οι διατάξεις περί σύγκρουσης νόμων. Ο ΓΚΠΔ (Κανονισμός (ΕΕ) 2016/679) και ο Βουλγαρικός Νόμος περί Προστασίας Δεδομένων εφαρμόζονται σε όλα τα ζητήματα προστασίας δεδομένων.

11.2 Εποπτική Αρχή

11.3 Επίλυση Διαφορών

• Τα μέρη θα επιχειρήσουν να επιλύσουν τυχόν διαφορές που προκύπτουν από την παρούσα Συμφωνία μέσω διαπραγματεύσεων με καλή πίστη
• Εάν οι διαπραγματεύσεις αποτύχουν, οποιοδήποτε μέρος μπορεί να υποβάλει τη διαφορά στα αρμόδια δικαστήρια της Στάρα Ζαγόρα, Βουλγαρία, με την επιφύλαξη υποχρεωτικών δικαιωμάτων και αρμόδιων αρχών προστασίας δεδομένων
• Για θέματα προστασίας δεδομένων, το υποκείμενο των δεδομένων μπορεί επίσης να υποβάλει καταγγελία στην εποπτική αρχή της χώρας διαμονής του

11.4 Περιορισμός Ευθύνης

Εκτός από περιπτώσεις βαριάς αμέλειας ή εκ προθέσεως παράπτωμα, η συνολική ευθύνη του Εκτελούντος βάσει της παρούσας Συμφωνίας δεν θα υπερβαίνει τα συνολικά τέλη που καταβλήθηκαν από τον Υπεύθυνο κατά τους δώδεκα (12) μήνες πριν από την αξίωση. Αυτός ο περιορισμός δεν επηρεάζει οποιαδήποτε υποχρεωτική νόμιμη ευθύνη βάσει του ΓΚΠΔ.

12. Ηλεκτρονική Αποδοχή

Η παρούσα Συμφωνία συνάπτεται ηλεκτρονικά μέσω της πλατφόρμας. Το σύστημα του Εκτελούντος την Επεξεργασία τηρεί αρχείο:

• Χρονική σήμανση αποδοχής (UTC)
• Διεύθυνση IP του αποδέκτη
• User agent (πληροφορίες προγράμματος περιήγησης)
• Αριθμός έκδοσης DPA
• Δεδομένα οργανισμού του Υπευθύνου

Η ηλεκτρονική αποδοχή έχει την ίδια νομική ισχύ και αποδεικτική αξία με την ιδιόχειρη υπογραφή, σύμφωνα με τον βουλγαρικό νόμο περί ηλεκτρονικού εγγράφου και ηλεκτρονικών υπηρεσιών εμπιστοσύνης και τον Κανονισμό (ΕΕ) 910/2014 περί ηλεκτρονικής ταυτοποίησης και υπηρεσιών εμπιστοσύνης (eIDAS).