Σύμβαση Επεξεργασίας Δεδομένων (DPA)

1. Πεδίο και ρόλοι

Ο Πελάτης είναι υπεύθυνος επεξεργασίας των προσωπικών δεδομένων που διέρχονται από τον φωνητικό agent, τους αυτοματισμούς και τον χώρο εργασίας του στο portal. Η AiAnchor τα επεξεργάζεται αποκλειστικά ως εκτελούσα, βάσει τεκμηριωμένων εντολών του Πελάτη, για τους σκοπούς του όρου 2. Για τα δικά της δεδομένα λογαριασμών και χρεώσεων, η AiAnchor είναι αυτοτελώς υπεύθυνος επεξεργασίας, κατά την Πολιτική Απορρήτου.

2. Αντικείμενο, διάρκεια, φύση και σκοπός

3. Κατηγορίες υποκειμένων και δεδομένων

• Υποκείμενα: οι καλούντες του Πελάτη (τρίτοι) και το προσωπικό του Πελάτη που χρησιμοποιεί το portal ή εμφανίζεται στις ροές κλήσεων.
• Προσωπικά δεδομένα: ηχητικές εγγραφές κλήσεων, απομαγνητοφωνήσεις, περιλήψεις και ανάλυση συναισθήματος/lead που παράγει το AI, αριθμοί τηλεφώνου καλούντων, ονόματα και στοιχεία επικοινωνίας που δίνονται στην κλήση, στοιχεία ραντεβού, λογαριασμοί χρηστών portal.
• Ειδικές κατηγορίες: δεν προβλέπονται. Ο Πελάτης δεν επιτρέπεται να διαμορφώνει ροές που ζητούν δεδομένα ειδικών κατηγοριών χωρίς χωριστή έγγραφη συμφωνία (βλ. Όρους, όρος 6).

4. Επεξεργασία βάσει εντολών

Επεξεργαζόμαστε προσωπικά δεδομένα μόνο βάσει τεκμηριωμένων εντολών του Πελάτη (σύμβαση, διαμόρφωση agent, έγγραφες οδηγίες), εκτός αν το απαιτεί δίκαιο της ΕΕ ή κράτους μέλους, οπότε ενημερώνουμε τον Πελάτη πριν την επεξεργασία εκτός αν ο νόμος το απαγορεύει. Ενημερώνουμε τον Πελάτη αν, κατά την άποψή μας, εντολή του παραβιάζει τη νομοθεσία προστασίας δεδομένων.

5. Εμπιστευτικότητα και ασφάλεια (άρθ. 32)

• Το εξουσιοδοτημένο προσωπικό δεσμεύεται από υποχρεώσεις εμπιστευτικότητας.
• Κρυπτογράφηση κατά τη μεταφορά (TLS) σε όλα τα συστήματα· κρυπτογράφηση σε κατάσταση ηρεμίας στους παρόχους βάσης δεδομένων και αποθήκευσης.
• Απομόνωση tenants στο portal: κάθε χώρος εργασίας Πελάτη είναι διαχωρισμένος (Supabase row-level security). PLACEHOLDER: επιβεβαίωση εφαρμογής RLS σε όλους τους πίνακες.
• Πρόσβαση βάσει ρόλων και ελάχιστου προνομίου· η πρόσβαση σε δεδομένα παραγωγής περιορίζεται σε εξουσιοδοτημένο προσωπικό. PLACEHOLDER: επιβεβαίωση MFA στους λογαριασμούς διαχειριστών.
• Τα payloads των webhooks μεταξύ συστημάτων επαληθεύονται με υπογραφή. PLACEHOLDER: επιβεβαίωση κατάστασης υλοποίησης.
• Καταγραφή διαχειριστικής πρόσβασης και δραστηριότητας επεξεργασίας. PLACEHOLDER: επιβεβαίωση κάλυψης audit log.

6. Υπο-εκτελούντες

Ο Πελάτης παρέχει γενική εξουσιοδότηση για τους κατωτέρω υπο-εκτελούντες. Θα ειδοποιούμε τουλάχιστον 30 ημέρες πριν την προσθήκη ή αντικατάσταση υπο-εκτελούντος (email ή ειδοποίηση portal)· ο Πελάτης μπορεί να αντιταχθεί για εύλογους λόγους προστασίας δεδομένων, οπότε τα μέρη αναζητούν λύση και, ελλείψει λύσης, ο Πελάτης μπορεί να καταγγείλει την επηρεαζόμενη υπηρεσία. Κάθε υπο-εκτελών δεσμεύεται με όρους όχι λιγότερο προστατευτικούς από την παρούσα.

7. Συνδρομή στα δικαιώματα των υποκειμένων

Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, συνδράμουμε τον Πελάτη με κατάλληλα τεχνικά και οργανωτικά μέτρα στην ικανοποίηση αιτημάτων υποκειμένων (πρόσβαση, διαγραφή, φορητότητα και λοιπά άρθ. 15–22). Αν καλών επικοινωνήσει απευθείας μαζί μας, προωθούμε το αίτημα στον Πελάτη χωρίς καθυστέρηση και δεν απαντάμε επί της ουσίας χωρίς εντολή. PLACEHOLDER: επιβεβαίωση των δυνατοτήτων του portal για εξαγωγή/διαγραφή ανά καλούντα· προσωρινά τα αιτήματα διεκπεραιώνονται χειροκίνητα.

8. Γνωστοποίηση παραβίασης δεδομένων

Ειδοποιούμε τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση μόλις αντιληφθούμε παραβίαση προσωπικών δεδομένων που αφορά δεδομένα του, και πάντως εντός PLACEHOLDER: επιβεβαίωση δέσμευσης (συνήθως 48 ωρών), παρέχοντας τις πληροφορίες του άρθ. 33(3) GDPR όπως καθίστανται διαθέσιμες: φύση της παραβίασης, κατηγορίες και κατά προσέγγιση αριθμός θιγομένων, πιθανές συνέπειες, ληφθέντα μέτρα. Η γνωστοποίηση στην εποπτική αρχή και στα υποκείμενα παραμένει ευθύνη του Πελάτη ως υπευθύνου· εμείς συνδράμουμε.

9. Διαγραφή και επιστροφή

Κατά τη λήξη, κατ’ επιλογή του Πελάτη, επιστρέφουμε τα προσωπικά δεδομένα του (εξαγωγή portal) και διαγράφουμε τα υπάρχοντα αντίγραφα εντός PLACEHOLDER: επιβεβαίωση παραθύρου (π.χ. 30 ημέρες), εκτός αν δίκαιο της ΕΕ ή ελληνικό δίκαιο απαιτεί τήρηση. Η διαγραφή εκτείνεται στους υπο-εκτελούντες κατά τους όρους διατήρησής τους.

10. Έλεγχοι

Θέτουμε στη διάθεση του Πελάτη τις αναγκαίες πληροφορίες για την απόδειξη συμμόρφωσης με το άρθ. 28 (συμπεριλαμβανομένων πιστοποιήσεων υπο-εκτελούντων, όπως εκθέσεις SOC 2 όπου διατίθενται) και επιτρέπουμε και συμβάλλουμε σε ελέγχους από τον Πελάτη ή εντεταλμένο ελεγκτή, με εύλογη προειδοποίηση, έως μία φορά ετησίως εκτός αν απαιτήσει άλλως εποπτική αρχή ή έχει συμβεί παραβίαση, και υπό όρους εμπιστευτικότητας.

11. Διεθνείς διαβιβάσεις

Διαβιβάσεις εκτός ΕΟΧ γίνονται μόνο με εγγυήσεις του Κεφαλαίου V GDPR: οι ανωτέρω υπο-εκτελούντες στηρίζονται στις Τυποποιημένες Συμβατικές Ρήτρες ΕΕ (και στο EU–US Data Privacy Framework όπου υπάρχει πιστοποίηση). Θα ενημερώνουμε τον Πελάτη για κάθε μεταβολή που επηρεάζει τους μηχανισμούς διαβίβασης.

12. Ευθύνη και υπεροχή

Η ευθύνη ακολουθεί τον περιορισμό ευθύνης της σύμβασης υπηρεσιών. Σε περίπτωση σύγκρουσης της παρούσας με τους Όρους, υπερισχύει η παρούσα για ζητήματα προστασίας δεδομένων. PLACEHOLDER: επιβεβαίωση από νομικό σύμβουλο.

13. Λήψη υπογεγραμμένου αντιγράφου

Στείλτε email στο info@aianchor.online με θέμα «Αίτημα DPA» και τα στοιχεία της εταιρείας σας· επιστρέφουμε υπογεγραμμένο PDF. Η τρέχουσα λίστα υπο-εκτελούντων βρίσκεται πάντα σε αυτή τη σελίδα και στη σελίδα Εμπιστοσύνη & Ασφάλεια.