Σύμβαση επεξεργασίας δεδομένων

1. Αντικείμενο, διάρκεια και λύση

Η Kymiro επεξεργάζεται προσωπικά δεδομένα αποκλειστικά για την παροχή των συμφωνημένων υπηρεσιών: ψηφιακός κατάλογος, διαβίβαση αιτημάτων πελατών στην επιχείρηση, συνεδρίες τραπεζιού, λογαριασμοί προσωπικού και συνεργατών, καθώς και οι αναφορές στο back office. Η σύμβαση αρχίζει με τη δημιουργία του καταστήματος και λήγει με τη λήξη της κύριας σύμβασης. Λύεται μόνο μαζί με την κύρια σύμβαση.

2. Φύση και σκοπός της επεξεργασίας

Συλλογή, αποθήκευση, οργάνωση, εμφάνιση, διαβίβαση στην επιχείρηση και διαγραφή δεδομένων που δημιουργούνται κατά τη χρήση του ψηφιακού καταλόγου, καθώς και τεχνική λειτουργία, ασφάλεια και υποστήριξη της πλατφόρμας. Δεν γίνεται επεξεργασία για ίδιους σκοπούς της Kymiro.

3. Κατηγορίες δεδομένων και υποκειμένων

Η επεξεργασία αφορά:

• Υποκείμενα: πελάτες της επιχείρησης, εργαζόμενοι της επιχείρησης και πρόσωπα επικοινωνίας της.
• Δεδομένα πελατών: επιλεγμένα προϊόντα, ποσότητες, επιλογές και σημειώσεις, ενδεικτικά ποσά, χρεώσεις κουβέρ και ελάχιστη κατανάλωση, αιτήματα εξυπηρέτησης και κλήσεις σερβιτόρου, αναγνωριστικά συνεδρίας και θέσης, προαιρετικό όνομα εμφάνισης, γλώσσα και προτίμηση εμφάνισης.
• Δεδομένα προσωπικού: όνομα, διεύθυνση email, ρόλος, ανάθεση σε σταθμό, μεταδεδομένα πρόσκλησης και σύνδεσης.
• Τεχνικά δεδομένα: διεύθυνση IP, χρονοσφραγίδες, πληροφορίες συσκευής και προγράμματος περιήγησης, αρχεία σφαλμάτων.
• Δεν ζητούνται ποτέ από τους πελάτες όνομα, διεύθυνση, τηλέφωνο, email ή κάρτα πληρωμής. Δεν υφίστανται επεξεργασία ειδικές κατηγορίες του άρθρου 9 ΓΚΠΔ· οι επιχειρήσεις δεν επιτρέπεται να καταχωρούν τέτοια δεδομένα σε πεδία ελεύθερου κειμένου.

4. Επεξεργασία βάσει τεκμηριωμένων εντολών

Η Kymiro επεξεργάζεται προσωπικά δεδομένα μόνο βάσει τεκμηριωμένων εντολών της επιχείρησης (άρθρο 28 παρ. 3 στοιχ. α ΓΚΠΔ). Οι εντολές δίνονται μέσω της παρούσας σύμβασης, της κύριας σύμβασης και των ρυθμίσεων στο back office. Πρόσθετες εντολές δίνονται εγγράφως στο info@kymiro.com. Η Kymiro ενημερώνει την επιχείρηση εάν κατά την άποψή της μια εντολή παραβιάζει τη νομοθεσία και μπορεί να αναστείλει την εκτέλεσή της έως ότου επιβεβαιωθεί. Εάν το δίκαιο της Ένωσης ή κράτους μέλους επιβάλλει επεξεργασία πέραν των εντολών, η Kymiro ενημερώνει πριν την επεξεργασία, εκτός αν αυτό απαγορεύεται.

5. Εμπιστευτικότητα

Κάθε πρόσωπο που εξουσιοδοτείται από την Kymiro να επεξεργάζεται προσωπικά δεδομένα δεσμεύεται εγγράφως από υποχρέωση εμπιστευτικότητας ή υπόκειται σε αντίστοιχη νόμιμη υποχρέωση και εκπαιδεύεται στην προστασία δεδομένων. Η υποχρέωση εξακολουθεί να ισχύει και μετά τη λήξη της συνεργασίας (άρθρο 28 παρ. 3 στοιχ. β ΓΚΠΔ).

6. Τεχνικά και οργανωτικά μέτρα (άρθρο 32 ΓΚΠΔ)

Η Kymiro διατηρεί επίπεδο ασφάλειας ανάλογο του κινδύνου. Τα ισχύοντα μέτρα είναι:

• Κρυπτογράφηση κατά τη μεταφορά (TLS 1.2+ σε κάθε σύνδεση) και κρυπτογράφηση σε ηρεμία για τη βάση δεδομένων και τα αρχεία.
• Ασφάλεια σε επίπεδο γραμμής σε κάθε πίνακα, ώστε κάθε επιχείρηση να βλέπει μόνο τα δικά της δεδομένα· οι πελάτες φτάνουν μόνο στη συνεδρία της θέσης τους.
• Πρόσβαση βάσει ρόλου: ιδιοκτήτης, υπεύθυνος, σερβιτόρος, προσωπικό σταθμού και συνεργάτης εγκατάστασης βλέπουν μόνο όσα απαιτεί ο ρόλος τους· οι συνεργάτες πωλήσεων αποκλείονται τεχνικά από τα καθημερινά δεδομένα πελατών.
• Ταυτοποίηση με κρυπτογραφημένους κωδικούς, έλεγχος έναντι διαρρευσάντων κωδικών, όρια συχνότητας σε σύνδεση και επαναφορά κωδικού, και βραχύβια διακριτικά πρόσβασης.
• Οι προνομιακές ενέργειες εκτελούνται στον διακομιστή με επανέλεγχο δικαιωμάτων· το πρόγραμμα περιήγησης δεν κατέχει ποτέ διαπιστευτήρια διαχειριστή.
• Καταγραφή ενεργειών ασφαλείας στο back office (αρχείο ελέγχου) με χρήστη και χρονοσφραγίδα.
• Διαχωρισμένα περιβάλλοντα ανάπτυξης και παραγωγής, αυτόματα αντίγραφα ασφαλείας με δυνατότητα επαναφοράς σε χρονικό σημείο και δοκιμές επαναφοράς.
• Ελαχιστοποίηση δεδομένων εκ σχεδιασμού: οι πελάτες παραγγέλνουν χωρίς λογαριασμό και η Kymiro δεν επεξεργάζεται δεδομένα καρτών.
• Διαθεσιμότητα και ανθεκτικότητα μέσω διαχειριζόμενης, πλεονάζουσας υποδομής εντός της Ευρωπαϊκής Ένωσης.
• Τακτική επανεξέταση των μέτρων· η Kymiro μπορεί να τα τροποποιεί εφόσον δεν μειώνεται το επίπεδο προστασίας.

7. Υπεργολάβοι επεξεργασίας

Η επιχείρηση παρέχει γενική έγγραφη εξουσιοδότηση για τη χρήση υπεργολάβων (άρθρο 28 παρ. 2 ΓΚΠΔ). Ο ισχύων κατάλογος δημοσιεύεται στη σελίδα υπεργολάβων και αποτελεί μέρος της σύμβασης. Η Kymiro ενημερώνει για κάθε προσθήκη ή αντικατάσταση τουλάχιστον 30 ημέρες νωρίτερα με email· η επιχείρηση μπορεί να αντιταχθεί εντός της προθεσμίας για βάσιμους λόγους προστασίας δεδομένων, οπότε κάθε μέρος μπορεί να καταγγείλει την επηρεαζόμενη υπηρεσία. Κάθε υπεργολάβος δεσμεύεται από ισοδύναμες υποχρεώσεις και η Kymiro παραμένει πλήρως υπεύθυνη.

8. Διεθνείς διαβιβάσεις

Τα δεδομένα αποθηκεύονται και υφίστανται επεξεργασία εντός της Ευρωπαϊκής Ένωσης. Όπου κατ' εξαίρεση υπεργολάβος έχει πρόσβαση από τρίτη χώρα, η διαβίβαση βασίζεται σε απόφαση επάρκειας ή στις Τυποποιημένες Συμβατικές Ρήτρες της ΕΕ με συμπληρωματικά μέτρα. Η Kymiro δεν διαβιβάζει δεδομένα σε τρίτες χώρες με δική της πρωτοβουλία χωρίς εντολή της επιχείρησης.

9. Συνδρομή στα δικαιώματα των υποκειμένων

Οι πελάτες και το προσωπικό απευθύνουν τα αιτήματά τους στην επιχείρηση ως υπεύθυνο επεξεργασίας. Η Kymiro συνδράμει με κατάλληλα τεχνικά και οργανωτικά μέτρα (άρθρο 28 παρ. 3 στοιχ. ε ΓΚΠΔ): το back office επιτρέπει πρόσβαση, διόρθωση και διαγραφή δεδομένων συνεδριών και αιτημάτων, ενώ οι κάτοχοι λογαριασμού μπορούν να εξάγουν τα δεδομένα τους και να διαγράψουν τον λογαριασμό τους. Αν κάποιο υποκείμενο απευθυνθεί απευθείας στην Kymiro, διαβιβάζουμε το αίτημα στην επιχείρηση χωρίς αδικαιολόγητη καθυστέρηση.

10. Υποστήριξη στα άρθρα 32 έως 36 ΓΚΠΔ

Η Kymiro υποστηρίζει την επιχείρηση στην ασφάλεια της επεξεργασίας, στη γνωστοποίηση περιστατικών παραβίασης και στις εκτιμήσεις αντικτύπου και προηγούμενη διαβούλευση, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις διαθέσιμες πληροφορίες. Η Kymiro ενημερώνει για περιστατικό παραβίασης χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 24 ωρών από τη γνώση του, με τα γνωστά περιστατικά, τις πιθανές συνέπειες και τα μέτρα.

11. Διαγραφή και επιστροφή δεδομένων

Με τη λήξη της κύριας σύμβασης η επιχείρηση μπορεί να εξαγάγει τα δεδομένα της. Στη συνέχεια η Kymiro διαγράφει τα δεδομένα που επεξεργαζόταν για λογαριασμό της εντός 30 ημερών, εκτός αν το δίκαιο επιβάλλει περαιτέρω διατήρηση. Κατά τη διάρκεια της σύμβασης ισχύει το ακόλουθο σχέδιο διαγραφής:

• Κλειστές συνεδρίες τραπεζιού με τα αιτήματα, τις σημειώσεις και τα ονόματα εμφάνισης: αυτόματη διαγραφή 30 ημέρες μετά το κλείσιμο· παραμένουν μόνο ανώνυμα ημερήσια σύνολα έως 90 ημέρες.
• Αιτήματα υποστήριξης: διαγραφή 24 μήνες μετά την υποβολή.
• Εγγραφές αρχείου ελέγχου: διαγραφή 12 μήνες μετά την ενέργεια.
• Προσκλήσεις προσωπικού: διαγραφή μετά τη λήξη ή την αποδοχή τους.
• Δεδομένα λογαριασμού και σύμβασης: διατηρούνται για τη διάρκεια της σύμβασης και έπειτα διαγράφονται, με την επιφύλαξη νόμιμων υποχρεώσεων διατήρησης (10 έτη για λογιστικά παραστατικά κατά § 147 AO και § 257 HGB).
• Μετά τη διαγραφή ενός λογαριασμού διατηρούμε μόνο ψευδωνυμοποιημένες αποδείξεις — ημερομηνία και έκδοση των αποδεκτών συμβάσεων, λογιστικά παραστατικά και την εγγραφή της ίδιας της διαγραφής. Δεν περιέχουν όνομα, email ή τηλέφωνο (άρθρο 17(3)(β) και (ε) ΓΚΠΔ).
• Εκκρεμής νομική υπόθεση (ανοιχτό τιμολόγιο, διαφορά, αίτημα αρχής) αναστέλλει τη διαγραφή για όσο απαιτείται· τα δεδομένα περιορίζονται, δεν χρησιμοποιούνται για άλλο σκοπό και διαγράφονται με τη λήξη της υπόθεσης.

12. Τεκμηρίωση και έλεγχοι

Η Kymiro τηρεί αρχείο δραστηριοτήτων επεξεργασίας για λογαριασμό της επιχείρησης και παρέχει κάθε πληροφορία αναγκαία για την απόδειξη συμμόρφωσης με το άρθρο 28 ΓΚΠΔ. Η επιχείρηση μπορεί να ελέγχει τη συμμόρφωση εντός ωραρίου, με εύλογη προειδοποίηση, χωρίς διατάραξη της λειτουργίας και όχι συχνότερα από μία φορά ετησίως, εκτός αν υπάρχει ειδικός λόγος — κατά κανόνα μέσω τεκμηρίωσης, αυτοδήλωσης ή πιστοποιητικών και κατ' εξαίρεση με επιτόπιο έλεγχο.

13. Ευθύνη και υπεροχή

Η ευθύνη διέπεται από το άρθρο 82 ΓΚΠΔ και την κύρια σύμβαση. Σε περίπτωση αντίθεσης με άλλες συμφωνίες, η παρούσα υπερισχύει για ζητήματα προστασίας δεδομένων. Τυχόν ακυρότητα επιμέρους όρων δεν θίγει τους υπόλοιπους. Εφαρμοστέο είναι το γερμανικό δίκαιο και αρμόδια τα δικαστήρια του Ντίσελντορφ, εκτός αν αναγκαστικού δικαίου διατάξεις του κράτους μέλους της επιχείρησης — π.χ. ελληνικό δίκαιο καταναλωτή ή εποπτείας — ορίζουν διαφορετικά.