Σύμβαση Επεξεργασίας Δεδομένων (DPA) — Elevator Matrix

ΠΡΟΣΧΕΔΙΟ προς έλεγχο από δικηγόρο. Έκδοση 0.2 — Οκτώβριος 2026. Η παρούσα αποτελεί αναπόσπαστο μέρος των Όρων Χρήσης και συνάπτεται κατά το άρθρο 28 του Κανονισμού (ΕΕ) 2016/679 (GDPR).

1. Μέρη και ρόλοι

• Υπεύθυνος Επεξεργασίας: η εταιρεία-πελάτης που δημιουργεί λογαριασμό στο Elevator Matrix (εφεξής «ο Πελάτης»).
• Εκτελών την Επεξεργασία: ο πάροχος του Elevator Matrix (εφεξής «ο Πάροχος»), Θεσσαλονίκη.

2. Αντικείμενο, διάρκεια, φύση και σκοπός της επεξεργασίας

• Αντικείμενο: φιλοξενία, αποθήκευση, συγχρονισμός, δημιουργία αντιγράφων ασφαλείας και εμφάνιση των δεδομένων που καταχωρεί ο Πελάτης στην υπηρεσία, καθώς και επεξεργασία μέσω βοηθητικών λειτουργιών AI κατόπιν ενέργειας του χρήστη.
• Διάρκεια: όσο διαρκεί η σύμβαση παροχής της υπηρεσίας και έως 30 ημέρες μετά τη λήξη της (περίοδος εξαγωγής/διαγραφής).
• Σκοπός: η παροχή της υπηρεσίας διαχείρισης εταιρείας ανελκυστήρων στον Πελάτη.

3. Είδη δεδομένων και κατηγορίες υποκειμένων

• Υποκείμενα: πελάτες του Πελάτη (ιδιοκτήτες/διαχειριστές κτιρίων, εταιρείες κοινοχρήστων), επαφές τους, πρόσωπα που αναφέρουν βλάβες, χρήστες/εργαζόμενοι του Πελάτη (τεχνικοί, γραφείο).
• Δεδομένα: ονοματεπώνυμα, τηλέφωνα, email, διευθύνσεις κτιρίων, στοιχεία τιμολόγησης (ΑΦΜ, ΔΟΥ), ιστορικό συντηρήσεων και βλαβών, φωτογραφίες εγκαταστάσεων, ψηφιακές υπογραφές παραλαβής, αρχεία κλήσεων (αριθμός, ώρα, διάρκεια), δεδομένα τοποθεσίας χρηστών (μόνο εφόσον ο χρήστης ενεργοποιήσει τη σχετική λειτουργία), στοιχεία αδειών συντηρητών.
• Δεν προβλέπεται επεξεργασία ειδικών κατηγοριών δεδομένων (άρθρο 9 GDPR). Ο Πελάτης οφείλει να μην καταχωρεί τέτοια δεδομένα.

4. Υποχρεώσεις του Παρόχου

Ο Πάροχος:

1. Επεξεργάζεται τα δεδομένα μόνο βάσει τεκμηριωμένων οδηγιών του Πελάτη (οι οδηγίες ενσωματώνονται στη λειτουργία της υπηρεσίας και στις ενέργειες των χρηστών του Πελάτη), εκτός αν υποχρεούται διαφορετικά από το δίκαιο της ΕΕ ή κράτους μέλους — οπότε ενημερώνει τον Πελάτη πριν την επεξεργασία, εφόσον επιτρέπεται.
2. Διασφαλίζει ότι τα πρόσωπα που έχουν πρόσβαση στα δεδομένα δεσμεύονται από υποχρέωση εμπιστευτικότητας.
3. Λαμβάνει τα κατάλληλα τεχνικά και οργανωτικά μέτρα του Παραρτήματος Α.
4. Τηρεί τους όρους της παραγράφου 6 για την πρόσληψη υπο-εκτελούντων.
5. Συνδράμει τον Πελάτη, με κατάλληλα μέτρα, στην ικανοποίηση των δικαιωμάτων των υποκειμένων (πρόσβαση, διόρθωση, διαγραφή, φορητότητα) — η υπηρεσία παρέχει ενσωματωμένη επεξεργασία/διαγραφή εγγραφών και εξαγωγή δεδομένων.
6. Συνδράμει τον Πελάτη στη συμμόρφωση με τα άρθρα 32–36 GDPR (ασφάλεια, γνωστοποίηση παραβιάσεων, εκτίμηση αντικτύπου).
7. Γνωστοποιεί στον Πελάτη κάθε παραβίαση προσωπικών δεδομένων χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 48 ωρών από τη διαπίστωσή της, με τις διαθέσιμες πληροφορίες.
8. Κατ' επιλογή του Πελάτη, διαγράφει ή επιστρέφει όλα τα δεδομένα μετά τη λήξη της παροχής υπηρεσιών και διαγράφει τα αντίγραφα εντός 30 ημερών, εκτός αν το δίκαιο απαιτεί διατήρηση.
9. Θέτει στη διάθεση του Πελάτη κάθε πληροφορία που απαιτείται για την απόδειξη συμμόρφωσης και επιτρέπει ελέγχους, με προηγούμενη έγγραφη ειδοποίηση 30 ημερών, μία φορά ετησίως ή μετά από παραβίαση, με κόστος του Πελάτη.
10. Δεν έχει πρόσβαση, ως διαχείριση πλατφόρμας, στα επιχειρησιακά δεδομένα του Πελάτη παρά μόνο σε συγκεντρωτικές μετρήσεις χρήσης, εκτός αν ο Πελάτης ζητήσει εγγράφως υποστήριξη που το απαιτεί.

5. Υποχρεώσεις του Πελάτη

Ο Πελάτης εγγυάται ότι έχει νόμιμη βάση για την επεξεργασία, ενημερώνει τα υποκείμενα όπως απαιτεί ο νόμος, καταχωρεί μόνο τα αναγκαία δεδομένα, διαχειρίζεται τους χρήστες και τους ρόλους τους με επιμέλεια και απαντά στα αιτήματα των υποκειμένων.

6. Υπο-εκτελούντες

Ο Πελάτης παρέχει γενική έγκριση για τη χρήση των υπο-εκτελούντων του Παραρτήματος Β. Ο Πάροχος ενημερώνει για κάθε σκοπούμενη προσθήκη ή αντικατάσταση τουλάχιστον 30 ημέρες πριν, και ο Πελάτης μπορεί να αντιταχθεί εγγράφως· αν δεν βρεθεί λύση, ο Πελάτης μπορεί να καταγγείλει τη σύμβαση χωρίς κόστος. Ο Πάροχος επιβάλλει στους υπο-εκτελούντες τις ίδιες υποχρεώσεις προστασίας δεδομένων και παραμένει πλήρως υπεύθυνος έναντι του Πελάτη.

7. Διαβιβάσεις εκτός ΕΟΧ

Διαβίβαση σε τρίτη χώρα γίνεται μόνο βάσει απόφασης επάρκειας ή τυποποιημένων συμβατικών ρητρών της Ευρωπαϊκής Επιτροπής, με συμπληρωματικά μέτρα όπου απαιτείται.

8. Ευθύνη

Η ευθύνη κάθε μέρους διέπεται από το άρθρο 82 GDPR και τους Όρους Χρήσης.

9. Εφαρμοστέο δίκαιο

Ελληνικό δίκαιο· αρμόδια τα δικαστήρια της Θεσσαλονίκης.

Παράρτημα Α — Τεχνικά και οργανωτικά μέτρα

• Κρυπτογράφηση κατά τη μεταφορά (TLS 1.2+). Κρυπτογραφημένη αποθήκευση διαπιστευτηρίων στις συσκευές.
• Απομόνωση δεδομένων ανά εταιρεία με κανόνες πρόσβασης στον server (multi-tenant rules) και έλεγχο ρόλων (ιδιοκτήτης, γραφείο, υπεύθυνος, τεχνικός, λογιστής).
• Ταυτοποίηση με email/κωδικό, δυνατότητα επαναφοράς κωδικού, αυτόματη λήξη συνεδριών.
• Ημερήσια αντίγραφα ασφαλείας με κυλιόμενη διατήρηση 14 ημερών· δοκιμή επαναφοράς ανά εξάμηνο.
• Καταγραφή προσβάσεων και σφαλμάτων (logs) έως 12 μήνες.
• Ενημερώσεις ασφαλείας λογισμικού και υποδομής· ελάχιστα δικαιώματα για το προσωπικό.
• Διαδικασία διαχείρισης περιστατικών και γνωστοποίησης παραβιάσεων.

Παράρτημα Β — Κατάλογος υπο-εκτελούντων

• Amazon Web Services — περιοχή Φρανκφούρτης (ΕΕ): φιλοξενία servers και βάσης δεδομένων, αντίγραφα ασφαλείας, αποστολή email (Amazon SES), χάρτες (Amazon Location Service).
• Anthropic (ΗΠΑ) — μοντέλα τεχνητής νοημοσύνης (Claude) για τις λειτουργίες AI, μόνο κατόπιν ενέργειας χρήστη· τα δεδομένα δεν χρησιμοποιούνται για εκπαίδευση.
• Apple (Apple Push Notification service) — παράδοση ειδοποιήσεων στο iPhone (μόνο τίτλος/κείμενο ειδοποίησης).
• Enable Banking — σύνδεση τράπεζας μόνο για ανάγνωση κινήσεων, μόνο εφόσον τη συνδέσει ο Πελάτης.
• Πάροχος ηλεκτρονικής τιμολόγησης — μόνο εφόσον τον επιλέξει ο Πελάτης στις Ρυθμίσεις.
• Πάροχος τηλεφωνίας VoIP — μόνο εφόσον συνδεθεί από τον Πελάτη.

Η διαβίβαση παραστατικών στη φορολογική αρχή (π.χ. ΑΑΔΕ / myDATA) γίνεται με εντολή του Πελάτη, βάσει της νομικής του υποχρέωσης· η αρχή δεν είναι υπο-εκτελών.