Σύμβαση Επεξεργασίας Δεδομένων
1. Ρόλοι και αντικείμενο
Ο Πελάτης είναι υπεύθυνος επεξεργασίας για τα προσωπικά δεδομένα των παραστατικών και η Υπηρεσία εκτελών την επεξεργασία. Η επεξεργασία διαρκεί για κάθε αίτημα όσο απαιτείται για την ανάκτηση, προσωρινή μετατροπή ή διαβίβαση των αποτελεσμάτων και, συμβατικά, όσο διαρκεί η παροχή της υπηρεσίας.
2. Φύση και σκοπός
Η Υπηρεσία λαμβάνει κρυπτογραφημένα credentials από τον browser, τα αποκρυπτογραφεί προσωρινά, υποβάλλει read-only αιτήματα στο myDATA, διαβιβάζει τις απαντήσεις στον browser και, κατόπιν εντολής, ανακτά ή δημιουργεί PDF. Δεν αποθηκεύει μόνιμα στη server βάση credentials, εταιρείες ή περιεχόμενο παραστατικών.
3. Δεδομένα και υποκείμενα
Κατηγορίες δεδομένων: στοιχεία εκδότη και λήπτη, ΑΦΜ, επωνυμία ή ονοματεπώνυμο, διεύθυνση, στοιχεία και γραμμές παραστατικού, ποσά, MARK/UID, URLs παρόχων και credentials myDATA.
Υποκείμενα: πελάτες, προμηθευτές, ατομικές επιχειρήσεις, νόμιμοι εκπρόσωποι, επαγγελματικές επαφές και λοιπά πρόσωπα που εμφανίζονται σε παραστατικά.
4. Οδηγίες και υποχρεώσεις Πελάτη
Οι ενέργειες του εξουσιοδοτημένου χρήστη στην εφαρμογή αποτελούν τεκμηριωμένες οδηγίες. Ο Πελάτης εγγυάται ότι οι οδηγίες, τα credentials και η επεξεργασία έχουν νόμιμη βάση και ενημερώνει την Υπηρεσία αν απαιτούνται ειδικοί περιορισμοί. Η Υπηρεσία ενημερώνει τον Πελάτη αν θεωρεί ότι οδηγία παραβιάζει τη νομοθεσία, εκτός αν απαγορεύεται να το πράξει.
5. Εμπιστευτικότητα και ασφάλεια
Πρόσβαση επιτρέπεται μόνο σε εξουσιοδοτημένα πρόσωπα που δεσμεύονται από εμπιστευτικότητα. Τα μέτρα περιλαμβάνουν TLS, κρυπτογράφηση credentials κατά τη μεταφορά, credentials μόνο σε ενεργή μνήμη, έλεγχο ταυτότητας, same-origin checks, CSP/security headers, περιορισμό αιτημάτων, ελαχιστοποίηση logs και απομόνωση περιβαλλόντων.
6. Πάροχοι υπηρεσιών
Ο Πελάτης παρέχει γενική έγγραφη εξουσιοδότηση για τους αναγκαίους παρόχους υποδομής και λειτουργικών email. Η Υπηρεσία επιβάλλει τις κατάλληλες υποχρεώσεις προστασίας και παραμένει υπεύθυνη για την εκπλήρωσή τους. Επικαιροποιημένος κατάλογος διατίθεται κατόπιν αιτήματος και κάθε ουσιώδης αλλαγή γνωστοποιείται όπως προβλέπει η σχετική συμφωνία.
7. Διεθνείς διαβιβάσεις
Η Υπηρεσία και οι υποεκτελούντες εφαρμόζουν τον κατάλληλο μηχανισμό διαβίβασης όπου δεδομένα υποβάλλονται σε επεξεργασία εκτός ΕΟΧ, όπως απόφαση επάρκειας ή ισχύουσες τυποποιημένες συμβατικές ρήτρες, μαζί με συμπληρωματικά μέτρα όπου απαιτείται.
8. Δικαιώματα υποκειμένων
Η Υπηρεσία διαβιβάζει στον Πελάτη αιτήματα που αφορούν δεδομένα για τα οποία εκείνος είναι υπεύθυνος και παρέχει εύλογη τεχνική συνδρομή. Επειδή τα παραστατικά αποθηκεύονται τοπικά, ο Πελάτης έχει την κύρια δυνατότητα πρόσβασης, εξαγωγής, διόρθωσης ή διαγραφής.
9. Παραβίαση δεδομένων
Η Υπηρεσία γνωστοποιεί στον Πελάτη επιβεβαιωμένη παραβίαση προσωπικών δεδομένων χωρίς αδικαιολόγητη καθυστέρηση και παρέχει διαθέσιμες πληροφορίες για φύση, κατηγορίες, πιθανές συνέπειες και μέτρα αντιμετώπισης. Η γνωστοποίηση δεν αποτελεί παραδοχή υπαιτιότητας.
10. DPIA, έλεγχοι και αρχές
Η Υπηρεσία παρέχει εύλογες πληροφορίες για DPIA ή προηγούμενη διαβούλευση και διαθέτει στοιχεία που αποδεικνύουν συμμόρφωση. Έλεγχος γίνεται με εύλογη προειδοποίηση, υπό εμπιστευτικότητα και χωρίς να τίθενται σε κίνδυνο άλλοι πελάτες ή η ασφάλεια της υπηρεσίας.
11. Επιστροφή και διαγραφή
Με τη λήξη, η Υπηρεσία διαγράφει τα server-side δεδομένα που επεξεργάζεται για λογαριασμό του Πελάτη, εκτός αν απαιτείται νόμιμη διατήρηση. Δεν ελέγχει τα δεδομένα IndexedDB ή τα εξαγόμενα αρχεία στη συσκευή του Πελάτη· ο Πελάτης τα διαγράφει από κάθε browser και αντίγραφο.
12. Ευθύνη και σειρά ισχύος
Κάθε μέρος ευθύνεται για τις υποχρεώσεις που του επιβάλλει ο GDPR. Οι Όροι εφαρμόζονται συμπληρωματικά· σε σύγκρουση για προστασία προσωπικών δεδομένων υπερισχύει το παρόν DPA. Καμία ρήτρα δεν περιορίζει δικαιώματα υποκειμένων ή αρμοδιότητες εποπτικής αρχής.