Σύμβαση Επεξεργασίας Δεδομένων

Η παρούσα σύμβαση («Σύμβαση») ισχύει ανάμεσα στην επιχείρηση που έχει λογαριασμό στο nomic («Πελάτης», υπεύθυνος επεξεργασίας) και την nomic ΜΟΝΟΠΡΟΣΩΠΗ Ι.Κ.Ε. («nomic», εκτελών την επεξεργασία). Αποτελεί αναπόσπαστο μέρος των Όρων Χρήσης και γίνεται αποδεκτή μαζί τους, με τη δημιουργία λογαριασμού. Καλύπτει τα προσωπικά δεδομένα που ο Πελάτης καταχωρεί ή συλλέγει μέσω του nomic (εργαζόμενοι, πελάτες, προμηθευτές). Δεν αφορά τα δεδομένα για τα οποία το nomic είναι το ίδιο υπεύθυνος επεξεργασίας (λογαριασμός, συνδρομή) — γι' αυτά ισχύει η Πολιτική Απορρήτου. Αν χρειάζεσαι υπογεγραμμένο αντίτυπο, ζήτησέ το στο info@nomic.gr.

1. Αντικείμενο και διάρκεια

Το nomic επεξεργάζεται τα δεδομένα αποκλειστικά για να παρέχει την υπηρεσία που περιγράφουν οι Όροι Χρήσης, για όσο διαρκεί ο λογαριασμός του Πελάτη και μέχρι τη διαγραφή των δεδομένων κατά το άρθρο 10. Η φύση, ο σκοπός, τα είδη δεδομένων και οι κατηγορίες προσώπων περιγράφονται στο Παράρτημα 1.

2. Οδηγίες του Πελάτη

• Το nomic επεξεργάζεται τα δεδομένα μόνο βάσει καταγεγραμμένων οδηγιών του Πελάτη. Οδηγίες είναι οι Όροι, η Σύμβαση αυτή, οι ρυθμίσεις που κάνει ο Πελάτης μέσα στην εφαρμογή και όσα ζητά εγγράφως από την υποστήριξη.
• Αν το nomic υποχρεωθεί από νόμο της ΕΕ ή ελληνικό νόμο σε άλλη επεξεργασία, ενημερώνει πρώτα τον Πελάτη, εκτός αν ο νόμος το απαγορεύει.
• Αν το nomic κρίνει ότι μια οδηγία παραβιάζει τη νομοθεσία προστασίας δεδομένων, ενημερώνει αμέσως τον Πελάτη.
• Το nomic δεν πουλά τα δεδομένα, δεν τα χρησιμοποιεί για διαφήμιση ούτε για εκπαίδευση μοντέλων τεχνητής νοημοσύνης. Μπορεί να παράγει ανώνυμα, συγκεντρωτικά στατιστικά χρήσης για τη βελτίωση της υπηρεσίας.

3. Υποχρεώσεις του Πελάτη

• Ο Πελάτης είναι υπεύθυνος για τη νομιμότητα των δεδομένων που καταχωρεί: έχει νομική βάση, ενημερώνει τους εργαζομένους και τους πελάτες του (υποδείγματα στη σελίδα GDPR για το μαγαζί σου) και απαντά στα αιτήματά τους.
• Καταχωρεί μόνο όσα χρειάζεται. Το nomic δεν προορίζεται για ειδικές κατηγορίες δεδομένων (υγεία, θρησκεία, συνδικαλιστική δράση, ποινικά μητρώα κ.λπ.)· ο Πελάτης δεν τα γράφει σε σημειώσεις ή σχόλια.
• Ορίζει ποιος έχει πρόσβαση (χρήστες και δικαιώματα), κρατά ασφαλείς τους κωδικούς, τα PIN και τους προσωπικούς συνδέσμους, και αφαιρεί όποιον αποχωρεί.

4. Εμπιστευτικότητα

Πρόσβαση στα δεδομένα έχουν μόνο τα πρόσωπα του nomic που τη χρειάζονται για υποστήριξη, συντήρηση ή ασφάλεια. Όλα δεσμεύονται με υποχρέωση εμπιστευτικότητας, που ισχύει και μετά τη λήξη της συνεργασίας τους.

5. Ασφάλεια

Το nomic εφαρμόζει τα τεχνικά και οργανωτικά μέτρα του Παραρτήματος 2 (GDPR άρθρο 32) και τα επανεξετάζει τακτικά. Μπορεί να τα αλλάζει, εφόσον το επίπεδο προστασίας δεν μειώνεται.

6. Υπο-εκτελούντες

• Ο Πελάτης δίνει γενική άδεια στο nomic να χρησιμοποιεί τους υπο-εκτελούντες της σελίδας Υπο-εκτελούντες.
• Για κάθε νέο υπο-εκτελούντα το nomic ειδοποιεί τουλάχιστον 30 ημέρες νωρίτερα (email ή μέσα στην εφαρμογή). Ο Πελάτης μπορεί να προβάλει εύλογη αντίρρηση μέσα σε αυτό το διάστημα· αν δεν βρεθεί λύση, μπορεί να διακόψει τη συνδρομή και να λάβει πίσω το αναλογούν προπληρωμένο ποσό.
• Το nomic δεσμεύει κάθε υπο-εκτελούντα με σύμβαση που προβλέπει ισοδύναμες υποχρεώσεις προστασίας και παραμένει υπεύθυνο απέναντι στον Πελάτη για τις πράξεις του.

7. Διαβιβάσεις εκτός ΕΟΧ

Η βάση δεδομένων και οι διακομιστές βρίσκονται στην ΕΕ. Όπου υπο-εκτελών επεξεργάζεται δεδομένα εκτός ΕΟΧ, η διαβίβαση γίνεται μόνο με τις εγγυήσεις του κεφαλαίου V του GDPR (απόφαση επάρκειας ή Τυποποιημένες Συμβατικές Ρήτρες), όπως αναφέρεται ανά πάροχο στη σελίδα Υπο-εκτελούντες.

8. Δικαιώματα των προσώπων

Η εφαρμογή δίνει στον Πελάτη τα εργαλεία για να δει, διορθώσει, εξαγάγει και διαγράψει δεδομένα. Αν εργαζόμενος ή πελάτης του απευθυνθεί απευθείας στο nomic, το nomic προωθεί το αίτημα στον Πελάτη χωρίς καθυστέρηση και δεν απαντά το ίδιο επί της ουσίας. Όπου ο Πελάτης δεν μπορεί να ικανοποιήσει ένα αίτημα μόνος του, το nomic τον βοηθά.

9. Παραβίαση δεδομένων

Αν το nomic διαπιστώσει παραβίαση προσωπικών δεδομένων του Πελάτη, τον ενημερώνει χωρίς αδικαιολόγητη καθυστέρηση και πάντως εντός 48 ωρών από τη στιγμή που το αντιλήφθηκε, στο email του ιδιοκτήτη του λογαριασμού. Η ενημέρωση περιλαμβάνει όσα είναι γνωστά: τι συνέβη, ποια δεδομένα και πόσα πρόσωπα αφορά, πιθανές συνέπειες, μέτρα που λήφθηκαν. Το nomic συνεργάζεται ώστε ο Πελάτης να προλάβει τις δικές του προθεσμίες (72 ώρες προς την Αρχή).

10. Λήξη: επιστροφή και διαγραφή

• Ο Πελάτης μπορεί να εξαγάγει τα δεδομένα του όσο έχει λογαριασμό και για 30 ημέρες μετά το κλείσιμό του.
• Μετά από αίτημα διαγραφής, το nomic σβήνει τα δεδομένα από τα ενεργά συστήματα σε έως 30 ημέρες· από τα αντίγραφα ασφαλείας φεύγουν στον επόμενο κύκλο ανακύκλωσής τους. Χωρίς αίτημα, τα δεδομένα κλειστού λογαριασμού διαγράφονται το αργότερο σε 12 μήνες.
• Εξαιρούνται όσα το nomic οφείλει να κρατήσει από τον νόμο (π.χ. παραστατικά συνδρομής).

11. Συνδρομή και έλεγχος

• Το nomic βοηθά τον Πελάτη, στο μέτρο που το αφορά, σε εκτιμήσεις αντικτύπου και διαβουλεύσεις με την Αρχή (GDPR άρθρα 35–36).
• Το nomic θέτει στη διάθεση του Πελάτη κάθε πληροφορία που χρειάζεται για να αποδείξει τη συμμόρφωση με το άρθρο 28 και απαντά σε εύλογα ερωτηματολόγια ασφάλειας.
• Αν αυτά δεν αρκούν, ο Πελάτης μπορεί να διενεργήσει έλεγχο, ο ίδιος ή με ελεγκτή που δεσμεύεται με εμπιστευτικότητα, έως μία φορά τον χρόνο (ή μετά από παραβίαση), με ειδοποίηση 30 ημερών, σε εργάσιμες ώρες, με δικά του έξοδα και χωρίς πρόσβαση σε δεδομένα άλλων πελατών.

12. Ευθύνη και ισχύς

Κάθε μέρος ευθύνεται κατά το άρθρο 82 του GDPR. Κατά τα λοιπά ισχύουν οι περιορισμοί ευθύνης των Όρων Χρήσης. Σε περίπτωση σύγκρουσης για θέματα προσωπικών δεδομένων υπερισχύει η Σύμβαση αυτή. Αλλαγές γνωστοποιούνται όπως οι αλλαγές των Όρων.

Παράρτημα 1 — Περιγραφή της επεξεργασίας

Παράρτημα 2 — Τεχνικά και οργανωτικά μέτρα

Πρόσβαση και διαχωρισμός

• Κάθε μαγαζί βλέπει μόνο τα δικά του δεδομένα: ο διαχωρισμός επιβάλλεται μέσα στη βάση δεδομένων (row-level security), όχι μόνο στην οθόνη.
• Ρόλοι και δικαιώματα ανά χρήστη (π.χ. Πρόγραμμα, Προσωπικό, Οικονομικά, Ταμείο)· οι συνδέσεις με τρίτους και τα κλειδιά τους αλλάζουν μόνο από τον ιδιοκτήτη.
• Οι κωδικοί αποθηκεύονται μόνο ως κρυπτογραφικό αποτύπωμα· ισχύουν κανόνες ισχυρού κωδικού. Τα ταμεία/tablet μπαίνουν με προσωπικό PIN, με κλείδωμα που μεγαλώνει μετά από λάθος προσπάθειες και αυτόματη έξοδο.
• Οι προσωπικοί σύνδεσμοι (εργαζομένου, ταμείου, πρόσκλησης) είναι μακριά τυχαία κλειδιά, ανακαλούνται από τον ιδιοκτήτη και δεν καταγράφονται σε εργαλεία στατιστικών.

Κρυπτογράφηση και υποδομή

• Κρυπτογράφηση κατά τη μεταφορά (HTTPS/TLS) και κατά την αποθήκευση στη βάση και στα αρχεία.
• Φιλοξενία σε κέντρα δεδομένων στην ΕΕ, σε παρόχους με πιστοποιήσεις ασφάλειας (π.χ. SOC 2 / ISO 27001).
• Τα κλειδιά σύνδεσης με ΑΑΔΕ, τράπεζα και Viva μένουν στον διακομιστή· ο browser δεν τα διαβάζει ποτέ. Στοιχεία καρτών δεν αποθηκεύονται στο nomic.
• Τακτικά αυτόματα αντίγραφα ασφαλείας της βάσης.

Λειτουργία

• Όρια ρυθμού και προστασία από αυτοματοποιημένη κατάχρηση στις δημόσιες φόρμες και στα σημεία σύνδεσης· οι αυτόματες εργασίες (webhooks, συγχρονισμοί) επαληθεύονται με μυστικά κλειδιά.
• Ιστορικό ενεργειών: ποιος καταχώρισε ή άλλαξε τι, και καταγραφή κινήσεων ταμείου.
• Πρόσβαση της ομάδας του nomic σε δεδομένα παραγωγής μόνο σε εξουσιοδοτημένα πρόσωπα, για υποστήριξη ή ασφάλεια. Έλεγχος κώδικα και αυτοματοποιημένες δοκιμές πριν από κάθε ανέβασμα.
• Ελαχιστοποίηση: στα εργαλεία τεχνητής νοημοσύνης στέλνονται μόνο όσα χρειάζονται για τη συγκεκριμένη λειτουργία.
• Διαδικασία αντιμετώπισης περιστατικών, με ενημέρωση του Πελάτη κατά το άρθρο 9.