Προσάρτημα Επεξεργσης Δεδομένων (DPA)

Το παρόν Προσάρτημα Επεξεργασίας Δεδομένων («DPA») αποτελεί μέρος των Όρων Χρήσης / κύριας σύμβασης μεταξύ του Πελάτη («Υπεύθυνος Επεξεργασίας») και της Qiq LLC («Εκτελών την Επεξεργασία» ή «Εταιρεία») σχετικά με τη χρήση της πλατφόρμας SaaS Qiq smart και συναφών υπηρεσιών (συλλογικά «Υπηρεσίες»). Σε περίπτωση σύγκρουσης, υπερισχύουν οι διατάξεις του παρόντος DPA ως προς την προστασία δεδομένων.

1. Ορισμοί

Οι όροι «Προσωπικά Δεδομένα», «Επεξεργασία», «Υπεύθυνος Επεξεργασίας», «Εκτελών την Επεξεργασία», «Υποεκτελών», «Παραβίαση Προσωπικών Δεδομένων», «Αρχή Εποπτείας» κ.λπ. έχουν το νόημα που τους αποδίδει ο Γενικός Κανονισμός (ΕΕ) 2016/679 («GDPR»). «Συμφωνία» είναι οι Όροι Χρήσης/κύρια σύμβαση με τον Πελάτη.

2. Πεδίο Εφαρμογής & Ρόλοι

Για τη χρήση των Υπηρεσιών, ο Πελάτης ενεργεί ως Υπεύθυνος Επεξεργασίας και η Qiq LLC ως Εκτελών την Επεξεργασία. Η Qiq LLC επεξεργάζεται Προσωπικά Δεδομένα μόνο για λογαριασμό του Πελάτη και σύμφωνα με το παρόν DPA.

3. Τεκμηριωμένες Οδηγίες

• Η Qiq LLC επεξεργάζεται Προσωπικά Δεδομένα μόνο βάσει τεκμηριωμένων οδηγιών του Πελάτη.
• Αν η Qiq LLC θεωρεί ότι οδηγία παραβιάζει τη νομοθεσία, ενημερώνει τον Πελάτη χωρίς καθυστέρηση.

4. Λεπτομέρειες Επεξεργασίας (Παράρτημα A)

Οι κατηγορίες υποκειμένων, τύποι δεδομένων, σκοποί, διάρκεια και φύση επεξεργασίας περιγράφονται στο Παράρτημα A.

5. Ασφάλεια

Η Qiq LLC εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα (TOMs), όπως κρυπτογράφηση σε μεταφορά & ανάπαυση, έλεγχο πρόσβασης (MFA, ελάχιστα δικαιώματα), διαχωρισμό περιβαλλόντων, καταγραφή/παρακολούθηση, αντίγραφα ασφαλείας και σχέδιο αντιμετώπισης περιστατικών. Ενδεικτική λίστα στο Παράρτημα A3.

6. Εμπιστευτικότητα & Προσωπικό

Εξουσιοδοτημένο προσωπικό δεσμεύεται με υποχρεώσεις εμπιστευτικότητας και λαμβάνει κατάλληλη εκπαίδευση προστασίας δεδομένων.

7. Υποεκτελούντες (Sub-processors)

Ο Πελάτης εξουσιοδοτεί τη χρήση των υποεκτελούντων που αναφέρονται στο Παράρτημα B. Η Qiq LLC ενημερώνει για ουσιώδεις αλλαγές (π.χ. προσθήκες/αντικαταστάσεις) με εύλογη προειδοποίηση (π.χ. 15–30 ημέρες) ώστε ο Πελάτης να δύναται να προβάλλει αντιρρήσεις.

8. Δικαιώματα Υποκειμένων

Η Qiq LLC συνδράμει τον Πελάτη στη διαχείριση αιτημάτων πρόσβασης, διόρθωσης, διαγραφής, περιορισμού, φορητότητας, και εναντίωσης, καθώς και στην ενημέρωση υποκειμένων όπου απαιτείται.

9. Παραβιάσεις Προσωπικών Δεδομένων

Η Qiq LLC γνωστοποιεί στον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση τυχόν παραβίαση και παρέχει διαθέσιμες πληροφορίες για τη φύση του συμβάντος, τις κατηγορίες/κατά προσέγγιση ποσότητες δεδομένων, τις πιθανές συνέπειες και τα μέτρα μετριασμού.

10. Συνδρομή σε DPIA & Συνεργασία με Αρχές

Η Qiq LLC παρέχει εύλογη συνδρομή για Εκτιμήσεις Αντικτύπου (DPIA) και συνεργάζεται με Αρχές, όπου απαιτείται.

11. Διεθνείς Μεταφορές

Όπου υπάρχουν διαβιβάσεις εκτός ΕΟΧ/ΗΒ, εφαρμόζονται οι εκάστοτε ισχύουσες Τυποποιημένες Συμβατικές Ρήτρες (SCCs) και συμπληρωματικά μέτρα, σύμφωνα με τον GDPR. Η Qiq LLC θα διασφαλίζει ισοδύναμο επίπεδο προστασίας.

12. Διαγραφή ή Επιστροφή Δεδομένων

Μετά τη λήξη/καταγγελία της Συμφωνίας, η Qiq LLC, κατ’ επιλογή του Πελάτη, διαγράφει ή επιστρέφει τα Προσωπικά Δεδομένα εντός 30 ημερών, εκτός αν απαιτείται διατήρηση από το νόμο.

13. Έλεγχοι & Πληροφόρηση

Κατόπιν αιτήματος και σε εύλογα διαστήματα, η Qiq LLC καθιστά διαθέσιμες πληροφορίες που αποδεικνύουν συμμόρφωση με το παρόν DPA και επιτρέπει ελέγχους/επιθεωρήσεις από τον Πελάτη ή ορισμένο ελεγκτή, υπό προϋποθέσεις εμπιστευτικότητας και εύλογων ορίων.

14. Ευθύνη

Η ευθύνη των μερών ως προς την προστασία δεδομένων κατανέμεται σύμφωνα με το ισχύον δίκαιο και τη Συμφωνία. Κάθε μέρος ευθύνεται για πράξεις/παραλείψεις του που αντιβαίνουν στο παρόν ή στη νομοθεσία.

15. Εφαρμοστέο Δίκαιο & Ιεραρχία

Το παρόν DPA διέπεται από το εφαρμοστέο δίκαιο που ορίζεται στη Συμφωνία, με την επιφύλαξη των απαιτήσεων του GDPR. Οι SCCs διέπονται από το δίκαιο που προβλέπεται στις ίδιες. Σε περίπτωση σύγκρουσης, υπερισχύει το DPA για θέματα προστασίας δεδομένων.

16. Επικοινωνία & Ειδοποιήσεις

• Εκτελών (Qiq LLC): 809 Cuesta Dr Ste B, Mountain View, CA 94040, USA — Email: info@qiq.one
• Νομική μορφή: Qiq LLC (State of New Mexico, USA)
• Ιστότοπος: https://qiq.one

Παράρτημα A — Λεπτομέρειες Επεξεργασίας & Μέτρα Ασφάλειας

A1. Υποκείμενα Δεδομένων

• Τελικοί πελάτες επιχειρήσεων-πελατών της Qiq (π.χ. πελάτες που κάνουν κρατήσεις).
• Χρήστες/προσωπικό/διαχειριστές των επιχειρήσεων-πελατών.
• Επαφές τιμολόγησης και υποστήριξης.

A2. Κατηγορίες Προσωπικών Δεδομένων

• Στοιχεία ταυτοποίησης & επικοινωνίας (όνομα, email, τηλέφωνο).
• Δεδομένα κρατήσεων/ραντεβού, προτιμήσεις, σημειώσεις που εισάγει ο πελάτης.
• Τεχνικά/χρήσης (IP, user agent, logs, timestamps).
• Τιμολόγηση/χρέωση (tokens/IDs παρόχου πληρωμών· όχι πρωτογενή στοιχεία κάρτας).
• Περιεχόμενο υποστήριξης (tickets, συνημμένα, μεταδεδομένα).

A3. Σκοποί & Φύση Επεξεργασίας

• Παροχή και λειτουργία της SaaS πλατφόρμας Qiq smart.
• Επικοινωνίες συναλλαγών (π.χ. επιβεβαιώσεις/υπενθυμίσεις), υποστήριξη, συντήρηση.
• Τιμολόγηση/χρέωση, πρόληψη κατάχρησης, ασφάλεια, analytics επιδόσεων.

A4. Διάρκεια & Διατήρηση

Για όλη τη διάρκεια της Συμφωνίας και όσο απαιτείται για νόμιμες υποχρεώσεις. Τα δεδομένα διαγράφονται/ανωνυμοποιούνται σύμφωνα με πολιτικές retention του Πελάτη ή κατόπιν αιτήματος, εκτός αν ο νόμος απαιτεί διατήρηση.

A5. Τεχνικά & Οργανωτικά Μέτρα (ενδεικτικά)

• Κρυπτογράφηση σε μεταφορά (TLS 1.2+) και ανάπαυση (DB/volumes όπου εφαρμόζεται).
• Διαχείριση πρόσβασης: MFA, RBAC, ελάχιστα δικαιώματα, διαχωρισμός καθηκόντων.
• Διαχείριση μυστικών/κλειδιών, τακτικά patches, vulnerability scans.
• Καταγραφή/παρακολούθηση συμβάντων, alerting, σχέδιο απόκρισης περιστατικών.
• Backups, έλεγχοι ακεραιότητας, δοκιμές ανάκαμψης, data segregation.
• Secure SDLC, change management, code reviews.

Παράρτημα B — Εγκεκριμένοι Υποεκτελούντες

• Hetzner Online GmbH (ΕΕ — ενεργός): hosting, compute, storage και δικτυακές υπηρεσίες.
• Pointer / pointer.gr (Ελλάδα — ενεργός): reverse proxy, DNS/domain υπηρεσίες και λειτουργικά/security logs.
• Resend (υπό προϋποθέσεις): αποστολή εσωτερικών ειδοποιήσεων leads όταν ρυθμιστεί.
• Stripe (μελλοντικός): επεξεργασία πληρωμών/συνδρομών μόνο όταν ενεργοποιηθεί paid checkout.
• Amazon Web Services — SES/S3 (μελλοντικός/υπό προϋποθέσεις): email ή object storage μόνο όταν ρυθμιστεί.

Οι ενεργοί και υπό προϋποθέσεις πάροχοι εφαρμόζονται μόνο στα live components που τους χρησιμοποιούν. Οι μελλοντικοί δεν λαμβάνουν δεδομένα πριν ενεργοποιηθούν. Όπου απαιτείται διαβίβαση ΕΟΧ/ΗΒ προς τρίτη χώρα, πρέπει να συμπληρώνονται το κατάλληλο module SCC 2021, τα παραρτήματα και η αξιολόγηση διαβίβασης.

Η δημόσια DPA αποτελεί πλαίσιο και γίνεται δεσμευτική μόνο όταν γίνει αποδεκτή ή υπογραφεί μαζί με την αντίστοιχη σύμβαση υπηρεσίας, παραγγελία ή onboarding πελάτη.

Εάν υφίσταται ασυμφωνία μεταξύ της ελληνικής και της αγγλικής έκδοσης, υπερισχύει η αγγλική.