Συμφωνία Επεξεργασίας Δεδομένων (DPA)

Για τους σκοπούς της παρούσας DPA και σύμφωνα με τους ορισμούς του Άρθρου 4 του ΓΚΠΔ και του UK GDPR, ορίζονται οι εξής ρόλοι:

• Πελάτης — Υπεύθυνος Επεξεργασίας (Controller): Ο Πελάτης ενεργεί ως Υπεύθυνος Επεξεργασίας σε σχέση με τα προσωπικά δεδομένα τα οποία εισάγει, αποθηκεύει, επεξεργάζεται ή διαχειρίζεται μέσω της Πλατφόρμας. Καθορίζει αυτοτελώς και υπό αποκλειστική ευθύνη του τους σκοπούς και τα μέσα επεξεργασίας.
• Online Marketer LTD — Εκτελών την Επεξεργασία (Processor): Η Online Marketer LTD ενεργεί ως Εκτελών την Επεξεργασία και επεξεργάζεται προσωπικά δεδομένα αποκλειστικά κατ' εντολή και για λογαριασμό του Υπευθύνου Επεξεργασίας, όπως αυτές εκφράζονται μέσω των ρυθμίσεων λογαριασμού, του εκάστοτε Συμφωνητικού ή γραπτών οδηγιών του Πελάτη.

Το αντικείμενο της παρούσας DPA αφορά την επεξεργασία προσωπικών δεδομένων από τον Εκτελούντα για λογαριασμό και κατ' εντολή του Υπευθύνου, στο πλαίσιο των ακόλουθων σκοπών:

• Αποθήκευση και διαχείριση επαφών (contacts), opportunities και leads στην Πλατφόρμα.
• Εκτέλεση CRM workflows, αυτοματισμών και sequences που έχει διαμορφώσει και ενεργοποιήσει ο Υπεύθυνος Επεξεργασίας.
• Επικοινωνία με τις επαφές του Υπευθύνου μέσω email, SMS, WhatsApp ή άλλων ενσωματωμένων καναλιών, σύμφωνα με τις εντολές του.
• Παραγωγή αναφορών (reports), στατιστικών και analytics χρήσης.
• Παροχή τεχνικής υποστήριξης, συντήρησης και αναβάθμισης της Πλατφόρμας.

Η επεξεργασία πραγματοποιείται αποκλειστικά κατ' εντολή του Υπευθύνου, για τη διάρκεια της σύμβασης και τις περιόδους διατήρησης που ορίζονται στα άρθρα Α.17 των Όρων Χρήσης και Γ.10 της Πολιτικής Απορρήτου.

Κατηγορίες προσωπικών δεδομένων:

• Στοιχεία ταυτοποίησης: ονοματεπώνυμο, τίτλος εργασίας, επωνυμία εταιρείας.
• Στοιχεία επικοινωνίας: email, τηλέφωνο, ταχυδρομική διεύθυνση, ΑΦΜ.
• Δημογραφικά δεδομένα: ηλικιακή κατηγορία, γεωγραφική τοποθεσία, γλώσσα επικοινωνίας.
• Συναλλακτικά δεδομένα: ιστορικό αγορών, πληρωμές, κατάσταση σταδίων pipeline, τιμολόγια.
• Δεδομένα συμπεριφοράς: αλληλεπιδράσεις με campaigns, click-tracking, engagement metrics.
• Δεδομένα επικοινωνίας: ιστορικό email, SMS, conversations, voicemails όπου εφαρμόζεται.

Ο Εκτελών δεσμεύεται ρητώς σύμφωνα με το Άρθρο 28(3) ΓΚΠΔ:

• Νομιμότητα Επεξεργασίας: Εξασφάλιση έγκυρης νόμιμης βάσης επεξεργασίας κατά Άρθρο 6 ΓΚΠΔ (ρητή συγκατάθεση, εκτέλεση σύμβασης, έννομο συμφέρον, νομική υποχρέωση).
• Δική του Πολιτική Απορρήτου: Διάθεση επικαιροποιημένης Πολιτικής Απορρήτου που ενημερώνει τα Υποκείμενα σύμφωνα με τα Άρθρα 13 και 14 ΓΚΠΔ.
• Cookies και Συγκατάθεση: Εφαρμογή cookie banner, λήψη απαιτούμενων συγκαταθέσεων και πλήρης συμμόρφωση με Οδηγία ePrivacy (2002/58/ΕΚ) και εθνικές μεταφορές της.
• Αποζημίωση Εκτελούντος: Πλήρης αποζημίωση για κάθε αξίωση, ζημία, πρόστιμο ή κόστος (συμπεριλαμβανομένων εύλογων νομικών εξόδων) που προκύπτει από παραβίαση υποχρεώσεων του Υπευθύνου — συμπεριλαμβανομένων αξιώσεων τρίτων ή Υποκειμένων Δεδομένων.

Ο Υπεύθυνος Επεξεργασίας παρέχει γενική προηγούμενη συγκατάθεση στη χρήση των sub-processors που αναφέρονται στο άρθρο Α.13 των Όρων Χρήσης. Ο Εκτελών δεσμεύεται:

• Να ενημερώνει τον Υπεύθυνο για οποιαδήποτε αλλαγή στη λίστα sub-processors τουλάχιστον τριάντα (30) ημέρες πριν, με δυνατότητα αιτιολογημένης αντίθεσης εντός της ίδιας προθεσμίας.
• Να εξασφαλίζει ότι κάθε sub-processor δεσμεύεται με συμβατικές υποχρεώσεις ισοδύναμες με τις παρούσες.
• Να παραμένει πλήρως υπεύθυνος έναντι του Υπευθύνου για ενέργειες ή παραλείψεις sub-processors, ως εάν είχαν διενεργηθεί από τον ίδιο.

Σε αιτιολογημένη αντίθεση που δεν δύναται να αρθεί, ο Υπεύθυνος δικαιούται καταγγελία με επιστροφή αναλογούντων προπληρωμένων ποσών.

Μεταφορές προσωπικών δεδομένων εκτός ΕΟΧ ή Ηνωμένου Βασιλείου πραγματοποιούνται πάντοτε βάσει ενός ή περισσοτέρων από τους ακόλουθους μηχανισμούς:

• Τυποποιημένες Συμβατικές Ρήτρες (Standard Contractual Clauses — SCCs): όπως εγκρίθηκαν από την Ευρωπαϊκή Επιτροπή με την Εκτελεστική Απόφαση (ΕΕ) 2021/914 της 4ης Ιουνίου 2021.
• UK International Data Transfer Agreement (IDTA): ή αντίστοιχο UK Addendum στις EU SCCs, για μεταφορές που αφορούν το Ηνωμένο Βασίλειο.
• Αποφάσεις Επάρκειας: της Ευρωπαϊκής Επιτροπής ή του UK ICO, που αναγνωρίζουν επαρκές επίπεδο προστασίας στην εκάστοτε τρίτη χώρα.
• EU-US Data Privacy Framework (DPF): όπου εφαρμόζεται και εφόσον ο παραλήπτης είναι πιστοποιημένος βάσει του πλαισίου αυτού.

Αναλυτικός κατάλογος sub-processors και χωρών εγκατάστασης: άρθρο Α.13 των Όρων Χρήσης.

Ο Υπεύθυνος Επεξεργασίας διατηρεί δικαίωμα ελέγχου (audit) της συμμόρφωσης του Εκτελούντος, υπό τους ακόλουθους όρους:

• (α) Προειδοποίηση: Γραπτή ειδοποίηση τουλάχιστον 30 ημερών πριν, με αναφορά πεδίου εφαρμογής, διάρκειας και τυχόν εξωτερικών ελεγκτών.
• (β) Χρόνος Διενέργειας: Κατά εργάσιμες ώρες (Δευτέρα–Παρασκευή, 09:00–18:00 EET) και χωρίς εύλογη διατάραξη επιχειρηματικών δραστηριοτήτων.
• (γ) Εμπιστευτικότητα: Ο Υπεύθυνος και τυχόν εξωτερικοί ελεγκτές δεσμεύονται εγγράφως με υποχρεώσεις εμπιστευτικότητας ισοδύναμες με τις παρούσες.
• (δ) Εναλλακτικές Μορφές Διαβεβαίωσης: Ο Υπεύθυνος δύναται να αποδεχθεί ανεξάρτητες πιστοποιήσεις (SOC 2 Type II, ISO 27001, ISO 27018) εφόσον διαθέσιμες μέσω HighLevel ή άλλων sub-processors.
• (ε) Συχνότητα: Μέγιστο 1 audit ανά 12 μήνες, εκτός εποπτικής απαίτησης ή τεκμηριωμένης παραβίασης.
• (στ) Κόστος: Βαρύνει τον Υπεύθυνο — εκτός αν ο έλεγχος αποκαλύψει ουσιαστική μη συμμόρφωση του Εκτελούντος, οπότε τα εύλογα έξοδα μετακυλίονται.

Σε λήψη αιτήματος Υποκειμένου (πρόσβαση, διόρθωση, διαγραφή, φορητότητα, εναντίωση, ανάκληση συγκατάθεσης) που αφορά δεδομένα του Υπευθύνου:

• Ο Εκτελών ειδοποιεί αμελλητί τον Υπεύθυνο χωρίς απευθείας απάντηση στον αιτούντα, εκτός εάν απαιτείται από το εφαρμοστέο δίκαιο.
• Ο Εκτελών συνδράμει τεχνικά τον Υπεύθυνο στην ικανοποίηση αιτημάτων εντός εύλογου χρόνου, σύμφωνα με το Άρθρο 28(3)(ε) ΓΚΠΔ.
• Ο Υπεύθυνος παραμένει αποκλειστικά υπεύθυνος για έγκαιρη ικανοποίηση εντός των προθεσμιών ΓΚΠΔ (30 ημέρες, παρατάσιμες έως 60 σε σύνθετες περιπτώσεις).

Κατά τη λήξη ή τερματισμό σύμβασης, και εντός τριάντα (30) ημερών:

• Ο Υπεύθυνος επιλέγει: επιστροφή (export) σε CSV/JSON ή οριστική διαγραφή από τα συστήματα του Εκτελούντος.
• Χωρίς επιλογή εντός 30 ημερών: ο Εκτελών προχωρά αυτόματα σε οριστική διαγραφή.
• Εξαιρούνται δεδομένα υπό νομική υποχρέωση: φορολογικά παραστατικά (6 έτη) ή technical logs (12 μήνες).
• Με ολοκλήρωση διαγραφής, παρέχεται έγγραφη επιβεβαίωση κατόπιν αιτήματος.

Αναλυτικές λεπτομέρειες εξαγωγής δεδομένων: άρθρα Α.14 και Α.17 των Όρων Χρήσης.

Η ευθύνη των μερών υπόκειται στους περιορισμούς του άρθρου Α.15 των Όρων Χρήσης (cap: ποσά τελευταίων 3 μηνών). Ειδικότερα:

• Έκαστο μέρος ευθύνεται για τις παραβιάσεις των δικών του υποχρεώσεων από ΓΚΠΔ, UK GDPR και παρούσα DPA.
• Ο Υπεύθυνος αποζημιώνει πλήρως τον Εκτελούντα για κάθε αξίωση, ζημία, διοικητικό πρόστιμο ή κόστος (συμπεριλαμβανομένων εύλογων νομικών εξόδων) από αξιώσεις τρίτων ή Υποκειμένων που οφείλονται σε παραβίαση υποχρεώσεων του Υπευθύνου βάσει του άρθρου Δ.5.
• Σε κοινή ευθύνη κατά Άρθρο 82(4) ΓΚΠΔ, έκαστο μέρος φέρει την ευθύνη για το μερίδιο της δικής του υπαιτιότητας, στο βαθμό που αυτή μπορεί να προσδιοριστεί.

Η παρούσα DPA ισχύει αυτόματα από την ημερομηνία υπογραφής του πρώτου Συμφωνητικού και παραμένει σε ισχύ για όσο ο Εκτελών επεξεργάζεται δεδομένα για λογαριασμό του Υπευθύνου, πλέον 30 ημερών κατά Δ.10 και Α.17 των Όρων Χρήσης.