Σύμβαση επεξεργασίας δεδομένων (άρθρο 28 ΓΚΠΔ)

1. Ρόλοι

Για τα προσωπικά δεδομένα που φτάνουν στο κατάστημα, ο έμπορος είναι ο υπεύθυνος επεξεργασίας και η NXDPRO Solutions ο εκτελών την επεξεργασία, κατά την έννοια του άρθρου 28 του Κανονισμού (ΕΕ) 2016/679 (ΓΚΠΔ).

2. Ο εκτελών την επεξεργασία

Εκτελούσα την επεξεργασία είναι η NXDPRO Solutions:

Επωνυμία

NXDPRO Solutions

Διεύθυνση

Pontidos 17

Αριθμός εγγραφής

00000000

Αριθμός ΦΠΑ / ΑΦΤ

00000000

Email

[email protected]

3. Αντικείμενο και φύση της επεξεργασίας

• Αντικείμενο: η φιλοξενία και λειτουργία του ηλεκτρονικού καταστήματος του εμπόρου στο NXDPRO Commerce.
• Διάρκεια: όσο ισχύει ο λογαριασμός και έως τη διαγραφή των δεδομένων κατά την ενότητα 8.
• Φύση και σκοπός: αποθήκευση, εμφάνιση, αποστολή email, διαβίβαση στους παρόχους που ενεργοποιεί ο έμπορος, αντίγραφα ασφαλείας και διαγραφή, μόνο για να λειτουργεί το κατάστημα.
• Κατηγορίες υποκειμένων: οι πελάτες του καταστήματος, όσοι εγγράφονται στο newsletter, γράφουν στο κατάστημα ή γράφουν κριτικές, και οι επισκέπτες του (η διεύθυνση IP τους στα αρχεία καταγραφής και στα όρια ασφαλείας). Τα δεδομένα των μελών της ομάδας του εμπόρου ως χρηστών της πλατφόρμας τα επεξεργάζεται η NXDPRO Solutions για δικό της λογαριασμό, σύμφωνα με την Πολιτική απορρήτου.
• Δεδομένα: στοιχεία ταυτότητας και επικοινωνίας, διευθύνσεις αποστολής, παραγγελίες, στοιχεία τιμολόγησης επιχειρήσεων, μηνύματα, αιτήματα υπαναχώρησης, συγκαταθέσεις newsletter, κριτικές προϊόντων (όνομα και πόλη), αντίγραφα των email που στέλνει το κατάστημα, διευθύνσεις IP (αποδοχή όρων, μηνύματα, αρχεία καταγραφής, όρια ασφαλείας), στοιχεία πληρωμών με τον αριθμό της κάρτας κρυμμένο όπως τον επιστρέφει ο πάροχος (για παράδειγμα τα 6 πρώτα και τα 4 τελευταία ψηφία, ποτέ ολόκληρος), ετικέτες μεταφορικών. Ειδικές κατηγορίες δεδομένων δεν προβλέπονται.
• Διευθύνσεις που δεν δέχονται email: ο έμπορος συμφωνεί ότι οι οριστικές επιστροφές και οι καταγγελίες των email του καταστήματός του τροφοδοτούν τη λίστα διευθύνσεων που δεν δέχονται email, την οποία η NXDPRO Solutions κρατά για δικό της λογαριασμό ως κρυπτογραφικά αποτυπώματα, κοινή για όλα τα καταστήματα (όπως λέει η Πολιτική απορρήτου), και ότι τα newsletter του καταστήματος παραλείπουν τις διευθύνσεις της.

4. Υποχρεώσεις του εκτελούντος

Η NXDPRO Solutions:

• επεξεργάζεται τα δεδομένα μόνο με τεκμηριωμένες εντολές του εμπόρου, όπως τις δίνει με τις ρυθμίσεις και τις ενέργειές του στη διαχείριση, και ως προς τις διαβιβάσεις σε τρίτες χώρες· αν ο νόμος της επιβάλλει άλλη επεξεργασία, ενημερώνει πρώτα τον έμπορο, εκτός αν ο νόμος το απαγορεύει· αν μια εντολή της φαίνεται παράνομη, ενημερώνει τον έμπορο·
• δεσμεύει όσους έχουν πρόσβαση στα δεδομένα με υποχρέωση εμπιστευτικότητας·
• λαμβάνει τα μέτρα ασφαλείας του Παραρτήματος 2 (άρθρο 32 ΓΚΠΔ)·
• βοηθά τον έμπορο να απαντά στα αιτήματα των υποκειμένων, κυρίως με τα εργαλεία «Αιτήματα απορρήτου» της διαχείρισης (εξαγωγή και διαγραφή των δεδομένων ενός πελάτη)·
• βοηθά τον έμπορο στις υποχρεώσεις των άρθρων 32 έως 36 ΓΚΠΔ, με τις πληροφορίες που διαθέτει·
• ενημερώνει τον έμπορο χωρίς αδικαιολόγητη καθυστέρηση, και το αργότερο μέσα σε [συμπληρώνεται: ώρες] ώρες, αφού αντιληφθεί παραβίαση δεδομένων του καταστήματός του, με όσα στοιχεία έχει·
• θέτει στη διάθεση του εμπόρου τις πληροφορίες που χρειάζεται για να αποδείξει τη συμμόρφωση και επιτρέπει ελέγχους με εύλογη προειδοποίηση, χωρίς να διακινδυνεύονται τα δεδομένα άλλων καταστημάτων.

5. Υποεκτελούντες

Ο έμπορος δίνει γενική άδεια να χρησιμοποιούνται οι υποεκτελούντες του Παραρτήματος 1, που έχει δική του έκδοση και δείχνει κάθε πάροχο που μπορεί να χρησιμοποιήσει η πλατφόρμα και αν τον χρησιμοποιεί σήμερα. Πριν προστεθεί υποεκτελών ή αρχίσει να χρησιμοποιείται κάποιος του καταλόγου που δεν χρησιμοποιούνταν, η NXDPRO Solutions ενημερώνει τον κάτοχο του λογαριασμού με email και στη διαχείριση· ο έμπορος μπορεί να αντιταχθεί μέσα σε [συμπληρώνεται: ημέρες] ημέρες και, αν δεν βρεθεί λύση, να κλείσει τον λογαριασμό του. Κάθε υποεκτελών δεσμεύεται με υποχρεώσεις που προστατεύουν τα δεδομένα τουλάχιστον όσο αυτή η σύμβαση, και η NXDPRO Solutions παραμένει πλήρως υπεύθυνη απέναντι στον έμπορο για την εκπλήρωση των υποχρεώσεών του.

6. Υπηρεσίες που ενεργοποιεί ο έμπορος

Πάροχοι πληρωμών, μεταφορικές, η ΑΑΔΕ, εργαλεία στατιστικών και διαφήμισης και τα συστήματα που συνδέει ο έμπορος με webhooks λαμβάνουν δεδομένα μόνο όταν ο έμπορος τα ενεργοποιεί, με τη δική του σύμβαση με κάθε πάροχο. Ο έμπορος τα αναφέρει στη δική του πολιτική απορρήτου.

7. Διαβιβάσεις εκτός ΕΟΧ

Όπου υποεκτελών επεξεργάζεται δεδομένα εκτός του Ευρωπαϊκού Οικονομικού Χώρου, η διαβίβαση στηρίζεται σε απόφαση επάρκειας ή σε τυποποιημένες συμβατικές ρήτρες (κεφάλαιο V ΓΚΠΔ). [Ο νομικός σύμβουλος επιβεβαιώνει τις εγγυήσεις κάθε υποεκτελούντος.]

8. Επιστροφή και διαγραφή

Ο έμπορος μπορεί να κατεβάσει οποιαδήποτε στιγμή την εξαγωγή όλου του καταστήματος (προϊόντα, παραγγελίες, πελάτες, μηνύματα, συνδρομητές, φωτογραφίες). Όταν κλείσει το κατάστημα, μένει 30 ημέρες για να ξανανοίξει· έπειτα τα δεδομένα διαγράφονται, εκτός από τα φορολογικά στοιχεία που ο νόμος υποχρεώνει τον έμπορο να κρατά, τα οποία κρατάμε για λογαριασμό του, ανωνυμοποιημένα όσο γίνεται, έως το τέλος του 6ου έτους μετά το έτος τους, και του τα δίνουμε όταν τα ζητήσει. Τα αντίγραφα ασφαλείας λήγουν μέσα σε 35 ημέρες.

9. Υποχρεώσεις του εμπόρου

Ο έμπορος έχει νόμιμη βάση για κάθε επεξεργασία που ζητά, ενημερώνει τους πελάτες του με τη δική του πολιτική απορρήτου (η πλατφόρμα δίνει πρότυπο) και δεν ζητά από την πλατφόρμα επεξεργασία που ο νόμος δεν επιτρέπει.

10. Ευθύνη

Η ευθύνη των μερών ακολουθεί το άρθρο 82 ΓΚΠΔ και τους όρους χρήσης (Όροι χρήσης για εμπόρους). [Ο νομικός σύμβουλος ελέγχει.]

Παράρτημα 1: Υποεκτελούντες

Ο ίδιος κατάλογος, με την έκδοσή του: Υποεκτελούντες την επεξεργασία. Μια νέα έκδοση του καταλόγου ισχύει όπως ορίζει η ενότητα 5.

Πάροχοι της πλατφόρμας

Τους χρησιμοποιεί η NXDPRO Solutions για όλα τα καταστήματα.

Υπηρεσίες που επιλέγει ο έμπορος

Η πλατφόρμα τους στέλνει δεδομένα μόνο για τα καταστήματα που τις ενεργοποιούν, με τη σύμβαση που έχει ο έμπορος με κάθε πάροχο. Ο έμπορος τις αναφέρει στη δική του πολιτική απορρήτου (το πρότυπο της πλατφόρμας το κάνει αυτόματα).

Όπου ένας πάροχος επεξεργάζεται δεδομένα εκτός του Ευρωπαϊκού Οικονομικού Χώρου, η διαβίβαση στηρίζεται στις εγγυήσεις των δικών του όρων επεξεργασίας δεδομένων (απόφαση επάρκειας, όπως το Πλαίσιο Προστασίας Δεδομένων ΕΕ–ΗΠΑ, ή τυποποιημένες συμβατικές ρήτρες). [Ο νομικός σύμβουλος επιβεβαιώνει τις εγγυήσεις κάθε παρόχου.]

Παράρτημα 2: Μέτρα ασφαλείας

• HTTPS σε κάθε σύνδεση, με HSTS στη διεύθυνση της πλατφόρμας.
• Κάθε κατάστημα βλέπει μόνο τα δικά του δεδομένα· η διαχείριση δεν απαντά ποτέ στη διεύθυνση ενός καταστήματος.
• Κωδικοί πρόσβασης ως κρυπτογραφικά αποτυπώματα, κλειδιά παρόχων και επαλήθευση δύο βημάτων κρυπτογραφημένα.
• Ρόλοι πρόσβασης ανά μέλος της ομάδας, επαλήθευση δύο βημάτων, ιστορικό ενεργειών, όρια στις προσπάθειες σύνδεσης.
• Τα στοιχεία των καρτών δεν περνούν από την πλατφόρμα: ο πελάτης τα δίνει στη σελίδα του παρόχου πληρωμών.
• Αντίγραφο της βάσης δεδομένων κάθε νύχτα (και των φωτογραφιών όταν το επιτρέπει ο χώρος), στον ίδιο server· ένα ανά ημέρα για 7 ημέρες και ένα ανά εβδομάδα έως 35 ημέρες· αντίγραφο σε άλλη τοποθεσία δεν υπάρχει ακόμη. Αρχεία καταγραφής της εφαρμογής 30 ημέρες, χωρίς emails και ονόματα πελατών· αρχεία καταγραφής του server και του τείχους προστασίας του (διεύθυνση IP, browser, σελίδα) 90 ημέρες.
• Παρακολούθηση της λειτουργίας με ειδοποιήσεις και αυτόματη διαγραφή παλιών δεδομένων στα διαστήματα της πολιτικής απορρήτου κάθε καταστήματος.