Σύμβαση Επεξεργασίας Δεδομένων (DPA)

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων («DPA») συνάπτεται μεταξύ του ιδιοκτήτη/επιχείρησης κομμωτηρίου που χρησιμοποιεί το SalonOS («Υπεύθυνος Επεξεργασίας») και της πλατφόρμας HairdressingNews («Εκτελών την Επεξεργασία»: Επωνυμία 33PLUS PROJECTS ΜΟΝΟΠΡΟΣΩΠΗ ΙΚΕ· Έδρα Αυγουστίνου 12, Άγιοι Θεόδωροι Κορινθίας, ΤΚ 20003· ΑΦΜ 800673638 / ΓΕΜΗ 135221201000). Αποτελεί αναπόσπαστο μέρος των Όρων Χρήσης και ισχύει όποτε το κομμωτήριο καταχωρεί προσωπικά δεδομένα πελατών του (πελατολόγιο, ραντεβού, επικοινωνία) στην πλατφόρμα, σύμφωνα με το άρθρο 28 GDPR (ΕΕ 2016/679).

Διάρκεια: όσο διαρκεί η συνδρομή/λογαριασμός του κομμωτηρίου. Φύση: αποθήκευση, οργάνωση, ανάκτηση, χρήση, διαβίβαση (SMS/email ειδοποιήσεις), διαγραφή. Σκοπός: λειτουργία του συστήματος διαχείρισης κομμωτηρίου — ραντεβού, πελατολόγιο, υπενθυμίσεις, πληρωμές, αναφορές. Ο Εκτελών επεξεργάζεται τα δεδομένα ΜΟΝΟ βάσει τεκμηριωμένων εντολών του Υπευθύνου (η χρήση των λειτουργιών της πλατφόρμας συνιστά εντολή) και όχι για δικούς του σκοπούς.

Υποκείμενα: πελάτες του κομμωτηρίου, προσωπικό του κομμωτηρίου. Δεδομένα: στοιχεία ταυτοποίησης/επικοινωνίας (όνομα, τηλέφωνο, email), ιστορικό ραντεβού και υπηρεσιών, σημειώσεις τεχνικών εργασιών (π.χ. συνταγές χρώματος), προτιμήσεις επικοινωνίας/συγκαταθέσεις SMS, ημερομηνίες (γενέθλια/εορτές εφόσον καταχωρηθούν). Ο Υπεύθυνος εγγυάται ότι δεν καταχωρεί ειδικές κατηγορίες δεδομένων (π.χ. δεδομένα υγείας) πέραν όσων είναι απολύτως αναγκαία και νόμιμα.

Ο Εκτελών: (α) επεξεργάζεται δεδομένα μόνο κατ' εντολή του Υπευθύνου· (β) διασφαλίζει ότι τα εξουσιοδοτημένα πρόσωπα δεσμεύονται από υποχρέωση εμπιστευτικότητας· (γ) λαμβάνει τα κατάλληλα τεχνικά και οργανωτικά μέτρα του άρθρου 32 GDPR· (δ) τηρεί τους όρους για την πρόσληψη υπο-εκτελούντων· (ε) συνδράμει τον Υπεύθυνο στην ικανοποίηση δικαιωμάτων των υποκειμένων· (στ) συνδράμει σε θέματα ασφάλειας, γνωστοποίησης παραβιάσεων και εκτίμησης αντικτύπου· (ζ) διαγράφει ή επιστρέφει τα δεδομένα κατά τη λήξη· (η) θέτει στη διάθεση του Υπευθύνου κάθε αναγκαία πληροφορία για την απόδειξη συμμόρφωσης.

Ο Υπεύθυνος παρέχει γενική έγκριση για τους ακόλουθους υπο-εκτελούντες: Supabase (βάση δεδομένων, αυθεντικοποίηση, αρχεία), Stripe (πληρωμές), Twilio (SMS), Resend (email), Cloudflare (φιλοξενία/παράδοση πολυμέσων), OpenAI (λειτουργίες AI όπου χρησιμοποιούνται), Google (διαφημίσεις AdSense στις δημόσιες σελίδες — όχι στα δεδομένα πελατολογίου). Ο Εκτελών ενημερώνει για σκοπούμενες αλλαγές υπο-εκτελούντων, δίνοντας δυνατότητα εναντίωσης, και δεσμεύει κάθε υπο-εκτελούντα με ισοδύναμες υποχρεώσεις προστασίας δεδομένων.

Εφαρμόζονται: κρυπτογράφηση κατά τη μεταφορά (TLS), έλεγχος πρόσβασης βάσει ρόλων και πολιτικές Row-Level Security ανά κομμωτήριο (απομόνωση tenant), ελάχιστη πρόσβαση προσωπικού, καταγραφή ενεργειών όπου απαιτείται, τακτικά αντίγραφα ασφαλείας από τους παρόχους υποδομής. Κανένα σύστημα δεν είναι απολύτως ασφαλές· ο Εκτελών επανεξετάζει τα μέτρα σε τακτική βάση.

Ο Εκτελών ειδοποιεί τον Υπεύθυνο χωρίς αδικαιολόγητη καθυστέρηση μόλις λάβει γνώση παραβίασης προσωπικών δεδομένων που αφορά τα δεδομένα του κομμωτηρίου, παρέχοντας τις πληροφορίες του άρθρου 33(3) GDPR στο μέτρο που είναι διαθέσιμες (φύση, κατηγορίες/όγκος, πιθανές συνέπειες, μέτρα). Την ευθύνη γνωστοποίησης προς την ΑΠΔΠΧ και τα υποκείμενα φέρει ο Υπεύθυνος.

Ο Εκτελών παρέχει, μέσω των λειτουργιών της πλατφόρμας ή κατόπιν αιτήματος, εύλογη συνδρομή για: ικανοποίηση δικαιωμάτων υποκειμένων (πρόσβαση, διόρθωση, διαγραφή, φορητότητα), εκτιμήσεις αντικτύπου (DPIA) και προηγούμενες διαβουλεύσεις με την εποπτική αρχή, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις διαθέσιμες πληροφορίες.

Κατά τη λήξη της συνδρομής, ο Υπεύθυνος μπορεί να εξαγάγει τα δεδομένα του (εξαγωγές πελατολογίου/αναφορών). Μετά από 30 ημέρες από τη λήξη, ο Εκτελών διαγράφει ή ανωνυμοποιεί τα προσωπικά δεδομένα του πελατολογίου, εκτός αν η διατήρηση επιβάλλεται από νόμο (π.χ. φορολογικά παραστατικά).

Ο Εκτελών θέτει στη διάθεση του Υπευθύνου πληροφορίες συμμόρφωσης και επιτρέπει εύλογους ελέγχους (κατόπιν προειδοποίησης, χωρίς πρόσβαση σε δεδομένα άλλων tenants). Διαβιβάσεις εκτός ΕΟΧ πραγματοποιούνται μόνο με κατάλληλες εγγυήσεις (αποφάσεις επάρκειας, τυποποιημένες συμβατικές ρήτρες — SCCs) ανά υπο-εκτελούντα. Οι υπο-εκτελούντες με έδρα ΗΠΑ (Stripe, Twilio, Resend, OpenAI, Cloudflare, Google) βασίζονται σε SCCs ή/και στο Πλαίσιο Προστασίας Δεδομένων ΕΕ–ΗΠΑ (EU–US DPF)· τα δεδομένα πελατολογίου φιλοξενούνται από το Supabase σε υποδομή εντός ΕΕ (Frankfurt, Γερμανία).

Για θέματα της παρούσας DPA: info@hairdressingnews.com. Εφαρμοστέο δίκαιο: ελληνικό, με την επιφύλαξη του GDPR και του Ν. 4624/2019.