Συμφωνία Επεξεργασίας Δεδομένων

Η παρούσα Συμφωνία Επεξεργασίας Δεδομένων («DPA») αποτελεί μέρος των Όρων & Προϋποθέσεων μεταξύ του πελάτη (της επιχείρησης που εγγράφεται συνδρομητικά στο LetsBot, «εσείς») και της BOT FOR DIGITAL SOLUTIONS LIMITED, εταιρείας εγγεγραμμένης στην Αγγλία και την Ουαλία με αριθμό 15477940, με έδρα 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Ηνωμένο Βασίλειο («LetsBot», «εμείς», «εμάς»).

Αποδεχόμενοι τους Όρους & Προϋποθέσεις συνάπτετε επίσης την παρούσα DPA, συμπεριλαμβανομένων των ρητρών διαβίβασης που ενσωματώνονται δια παραπομπής στα Παραρτήματα IV έως VI. Εφαρμόζονται αυτόματα σε κάθε πελάτη από την αποδοχή, πριν από οποιαδήποτε διαβίβαση Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη, και δεν απαιτείται υπογραφή.

Υπογεγραμμένα αντίγραφα και εξατομικευμένα έγγραφα. Κατόπιν αιτήματος στο support@letsbot.net, θα σας παράσχουμε αντίγραφο της παρούσας DPA προσυπογεγραμμένο από εμάς ή εξατομικευμένη συμφωνία ή έγγραφο που χρειάζεται ο οργανισμός σας, όπως ένα συμπληρωμένο σύνολο ρητρών διαβίβασης.

Σειρά υπερίσχυσης. Σε περίπτωση σύγκρουσης, υπερισχύουν οι ρήτρες διαβίβασης των Παραρτημάτων IV έως VI, κατόπιν η παρούσα DPA και κατόπιν οι Όροι & Προϋποθέσεις.

Γλώσσα. Υπερισχύει η αγγλική έκδοση της παρούσας DPA· η αραβική έκδοση παρέχεται για διευκόλυνση. Για τις τυποποιημένες ρήτρες της βραζιλιάνικης ANPD, υπερισχύει το επίσημο πορτογαλικό κείμενο.

• Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη: τα δεδομένα προσωπικού χαρακτήρα που επεξεργαζόμαστε για λογαριασμό σας κατά την παροχή της υπηρεσίας, συμπεριλαμβανομένων των στοιχείων των επαφών σας, των μηνυμάτων, των πολυμέσων και των παραγγελιών. Οι λεπτομέρειες περιλαμβάνονται στο Παράρτημα I.
• Υπεργολάβος επεξεργασίας: κάθε τρίτος που χρησιμοποιούμε για την επεξεργασία Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη.
• Παραβίαση Δεδομένων Προσωπικού Χαρακτήρα: παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ άδειας κοινολόγηση ή πρόσβαση σε Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη.
• Νομοθεσία Προστασίας Δεδομένων: οι νόμοι που εφαρμόζονται στην επεξεργασία, συμπεριλαμβανομένων του GDPR της ΕΕ, του UK GDPR και του Data Protection Act 2018, του Νόμου για την Προστασία Δεδομένων Προσωπικού Χαρακτήρα της Σαουδικής Αραβίας και των κανονισμών του, του LGPD της Βραζιλίας και του Νόμου αριθ. 151 του 2020 της Αιγύπτου και του Εκτελεστικού Κανονισμού του.
• Οι όροι «υπεύθυνος επεξεργασίας», «εκτελών την επεξεργασία», «υποκείμενο των δεδομένων» και «επεξεργασία» έχουν την έννοια που τους αποδίδει η Νομοθεσία Προστασίας Δεδομένων. Ο «εκτελών την επεξεργασία» περιλαμβάνει τον «operador» κατά το LGPD.

1. Είστε ο υπεύθυνος επεξεργασίας των Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη (ή εκτελών την επεξεργασία που ενεργεί για λογαριασμό άλλου υπευθύνου επεξεργασίας) και εμείς είμαστε ο εκτελών την επεξεργασία.
2. Επεξεργαζόμαστε Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη μόνο βάσει των τεκμηριωμένων εντολών σας, μεταξύ άλλων όσον αφορά τις διαβιβάσεις σε άλλες χώρες. Εντολές σας αποτελούν οι Όροι & Προϋποθέσεις, η παρούσα DPA, οι ρυθμίσεις που επιλέγετε στον πίνακα ελέγχου (όπως κανάλια, ενσωματώσεις, λειτουργίες AI και περίοδοι διατήρησης) και κάθε άλλη γραπτή εντολή που συμφωνούμε.
3. Εάν κάποιος νόμος μάς υποχρεώνει να επεξεργαστούμε Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη κατά τρόπο διαφορετικό από τις εντολές σας, θα σας ενημερώσουμε πριν το πράξουμε, εκτός εάν ο νόμος αυτός το απαγορεύει.
4. Θα σας ενημερώσουμε αμέσως εάν θεωρούμε ότι μια εντολή παραβιάζει τη Νομοθεσία Προστασίας Δεδομένων.
5. Είστε υπεύθυνοι για τη νόμιμη συλλογή των δεδομένων και για την ύπαρξη νόμιμης βάσης για την αποστολή μηνυμάτων στις επαφές σας, συμπεριλαμβανομένης κάθε συγκατάθεσης που απαιτεί η Meta ή ο νόμος.
6. Δεν χρησιμοποιούμε Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη για δικούς μας σκοπούς, δεν τα πωλούμε και δεν τα χρησιμοποιούμε για την εκπαίδευση μοντέλων AI.

Πρόσβαση σε Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη έχουν μόνο οι υπάλληλοι και οι συνεργάτες που τη χρειάζονται για να παρέχουν, να υποστηρίζουν ή να προστατεύουν την υπηρεσία, και όλοι δεσμεύονται να τα τηρούν εμπιστευτικά.

Τα πρόσωπα που έχουν πρόσβαση σε Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη εργάζονται κυρίως στην Αίγυπτο, μέσω της συνδεδεμένης μας εταιρείας Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), σύμφωνα με τις εντολές μας και με όρους που δεν παρέχουν μικρότερη προστασία από την παρούσα DPA.

Εφαρμόζουμε τα τεχνικά και οργανωτικά μέτρα του Παραρτήματος II, τα επανεξετάζουμε τακτικά και δεν θα μειώσουμε το συνολικό επίπεδο προστασίας κατά τη διάρκεια της συνδρομής σας.

Επιπλέον, δεσμευόμαστε για:

• κρυπτογραφημένα αντίγραφα ασφαλείας των βάσεων δεδομένων των χώρων εργασίας: κάθε βράδυ για τους επί πληρωμή, δοκιμαστικούς και δωρεάν παραχωρημένους χώρους εργασίας, και με εναλλαγή 10 ημερών για τους λοιπούς χώρους εργασίας, καθώς και ημερήσιο αντίγραφο ασφαλείας της κεντρικής βάσης δεδομένων λογαριασμών. Τα αντίγραφα ασφαλείας φυλάσσονται σε ιδιωτικό χώρο αποθήκευσης, χωριστά από τον διακομιστή παραγωγής, στο Google Cloud στις Ηνωμένες Πολιτείες (us-east1), για 30 ημέρες και στη συνέχεια διαγράφονται·
• τα αρχεία πολυμέσων που ανταλλάσσονται στις συνομιλίες φυλάσσονται σε χώρο αποθήκευσης που δεν μπορεί να περιηγηθεί ή να καταλογογραφηθεί και διατίθενται μέσω μακρών, τυχαίων συνδέσμων που είναι δύσκολο να μαντευτούν (με εξαίρεση τις φωτογραφίες προφίλ των επαφών). Όποιος έχει τον ακριβή σύνδεσμο μπορεί να ανοίξει το αρχείο. Μεταφέρουμε τα πολυμέσα σε υπογεγραμμένους συνδέσμους περιορισμένης χρονικής ισχύος·
• την καταγραφή κάθε εισόδου υποστήριξης σε χώρο εργασίας, καθώς και κάθε σύνδεσης, στο αρχείο ασφαλείας του συγκεκριμένου χώρου εργασίας.

1. Γενική εξουσιοδότηση. Μας εξουσιοδοτείτε να χρησιμοποιούμε τους υπεργολάβους επεξεργασίας που αναφέρονται στη σελίδα υπεργολάβων επεξεργασίας (Παράρτημα III).
2. Προηγούμενη ειδοποίηση. Θα δίνουμε ειδοποίηση τουλάχιστον 30 ημερών πριν προσθέσουμε ή αντικαταστήσουμε υπεργολάβο επεξεργασίας, με e-mail προς όλους όσους έχουν εγγραφεί και με ενημέρωση της σελίδας. Για να εγγραφείτε, γράψτε στο support@letsbot.net με θέμα «Subprocessor updates».
3. Αντίρρηση. Μπορείτε να προβάλετε γραπτώς αντίρρηση κατά την περίοδο ειδοποίησης για εύλογους λόγους προστασίας δεδομένων. Θα επιδιώξουμε να επιλύσουμε την αντίρρησή σας, για παράδειγμα μη χρησιμοποιώντας τον εν λόγω υπεργολάβο για τα δεδομένα σας. Εάν αυτό δεν είναι δυνατό, μπορείτε να καταγγείλετε το επηρεαζόμενο μέρος της υπηρεσίας και να λάβετε επιστροφή τυχόν προπληρωμένων τελών για την υπόλοιπη περίοδο.
4. Έκτακτη αντικατάσταση. Εάν πρέπει να αντικαταστήσουμε άμεσα υπεργολάβο επεξεργασίας για την προστασία της ασφάλειας ή της συνέχειας της υπηρεσίας, θα σας ενημερώσουμε το συντομότερο δυνατό και διατηρείτε το ίδιο δικαίωμα αντίρρησης.
5. Ισοδύναμες υποχρεώσεις. Δεσμεύουμε κάθε τρίτο υπεργολάβο επεξεργασίας με γραπτή σύμβαση που περιέχει υποχρεώσεις προστασίας δεδομένων όχι λιγότερο προστατευτικές από την παρούσα DPA, και παραμένουμε υπεύθυνοι έναντί σας για την εκτέλεσή της.
6. Οι ενσωματώσεις που επιλέγετε, όπως η Meta (WhatsApp, Messenger, Instagram), οι πλατφόρμες ηλεκτρονικού εμπορίου και τα CRM, δεν είναι υπεργολάβοι επεξεργασίας μας. Τις συνδέετε εσείς και επεξεργάζονται δεδομένα σύμφωνα με τους δικούς τους όρους με εσάς.

1. Θα σας ειδοποιούμε για κάθε Παραβίαση Δεδομένων Προσωπικού Χαρακτήρα που αφορά Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός 24 ωρών από τη στιγμή που λάβουμε γνώση της. Αυτό είναι το πρότυπό μας σε κάθε χώρα.
2. Αποστέλλουμε την ειδοποίηση στη διεύθυνση e-mail του κατόχου του λογαριασμού και, όπου είναι δυνατό, στον πίνακα ελέγχου. Στον βαθμό που οι πληροφορίες είναι διαθέσιμες, περιγράφει: τη φύση και την αιτία της παραβίασης· τις κατηγορίες και τον κατά προσέγγιση αριθμό των υποκειμένων των δεδομένων και των εγγραφών· τις πιθανές συνέπειες· τα μέτρα που λήφθηκαν ή προτείνονται για τον περιορισμό της· και το σημείο επικοινωνίας μας.
3. Εάν δεν διαθέτουμε όλες τις πληροφορίες ταυτόχρονα, θα τις παρέχουμε σταδιακά χωρίς αδικαιολόγητη καθυστέρηση και θα σας ενημερώνουμε τακτικά έως ότου κλείσει το περιστατικό.
4. Θα σας βοηθήσουμε να εκπληρώσετε τις δικές σας υποχρεώσεις γνωστοποίησης προς τις αρχές και τα υποκείμενα των δεδομένων, συμπεριλαμβανομένων των προθεσμιών 72 ωρών στην ΕΕ, στο Ηνωμένο Βασίλειο και στη Σαουδική Αραβία, και της προθεσμίας τριών εργάσιμων ημερών στη Βραζιλία.
5. Η ειδοποίηση δεν συνιστά παραδοχή υπαιτιότητας ή ευθύνης.

1. Εάν λάβουμε αίτημα από υποκείμενο των δεδομένων σχετικά με Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη, θα σας το διαβιβάσουμε εντός 48 ωρών και δεν θα απαντήσουμε σε αυτό χωρίς την εξουσιοδότησή σας, παρά μόνο για να δηλώσουμε ότι το έχουμε διαβιβάσει.
2. Ο πίνακας ελέγχου σάς επιτρέπει να εξάγετε, να διορθώνετε και να διαγράφετε επαφές, συνομιλίες και μηνύματα. Όπου τα εργαλεία αυτά δεν επαρκούν, θα σας παρέχουμε εύλογη βοήθεια.
3. Η βοήθειά μας λαμβάνει υπόψη τις νόμιμες προθεσμίες σας, συμπεριλαμβανομένων των έξι εργάσιμων ημερών στην Αίγυπτο.

Θα σας παρέχουμε τις πληροφορίες που εύλογα χρειάζεστε για τη διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων, εκτίμησης κινδύνου διαβίβασης ή προηγούμενης διαβούλευσης με αρχή. Όπου ο νόμος σάς υποχρεώνει να μας κοινοποιήσετε τη σχετική εκτίμηση αντικτύπου, θα την παραλάβουμε.

1. Κατά τη διάρκεια της συνδρομής σας μπορείτε, ανά πάσα στιγμή, να εξαγάγετε τα δεδομένα σας, να διαγράψετε οποιαδήποτε μεμονωμένη συνομιλία (γεγονός που διαγράφει τα μηνύματα και τα πολυμέσα της) ή να διαγράψετε ολόκληρο τον χώρο εργασίας σας από τον πίνακα ελέγχου. Η αναφορά αιτιολογίας είναι προαιρετική.
2. Όταν λήξει η υπηρεσία, τα δεδομένα σας παραμένουν διαθέσιμα για εξαγωγή για 30 ημέρες. Όταν διαγράφεται ένας χώρος εργασίας, διαγράφουμε τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη από τα ενεργά μας συστήματα εντός 30 ημερών, συμπεριλαμβανομένων των πολυμέσων, του αρχειοθετημένου αντιγράφου, των αρχείων και των αποθηκευμένων απαντήσεων που τηρούνται στον πάροχο AI μας, καθώς και των μηνυμάτων που τηρούνται από την υπηρεσία σύνδεσης μέσω κωδικού QR. Τα αντίγραφα στα αντίγραφα ασφαλείας λήγουν εντός επιπλέον 30 ημερών.
3. Διατηρούμε μόνο όσα ο νόμος μάς υποχρεώνει να διατηρούμε και συνεχίζουμε να τα προστατεύουμε σύμφωνα με την παρούσα DPA έως ότου διαγραφούν.
4. Κατόπιν αιτήματος, θα επιβεβαιώσουμε γραπτώς τη διαγραφή.

1. Θα θέτουμε στη διάθεσή σας τις πληροφορίες που απαιτούνται για να αποδειχθεί η συμμόρφωσή μας με την παρούσα DPA και θα απαντούμε σε εύλογα ερωτηματολόγια ασφαλείας.
2. Εάν οι πληροφορίες αυτές δεν επαρκούν, εσείς ή ανεξάρτητος ελεγκτής δεσμευμένος με υποχρέωση εμπιστευτικότητας μπορείτε να μας ελέγξετε μία φορά ανά 12 μήνες, με ειδοποίηση 30 ημερών, κατά τις ώρες λειτουργίας και χωρίς να τίθενται σε κίνδυνο τα δεδομένα άλλων πελατών. Ο περιορισμός αυτός δεν ισχύει μετά από Παραβίαση Δεδομένων Προσωπικού Χαρακτήρα ή όταν τον έλεγχο απαιτεί αρχή.
3. Κάθε μέρος βαρύνεται με τις δικές του δαπάνες, εκτός εάν ο έλεγχος αποκαλύψει ουσιώδη παραβίαση εκ μέρους μας.
4. Θα συνεργαζόμαστε με τις αρμόδιες εποπτικές αρχές, συμπεριλαμβανομένης της Saudi Data and AI Authority (SDAIA), όταν το ζητήσουν.

1. Πού γίνεται η επεξεργασία των δεδομένων. Τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη φιλοξενούνται στο Google Cloud στις Ηνωμένες Πολιτείες (περιοχή us-east1), είναι προσβάσιμα εξ αποστάσεως από το προσωπικό μας, που εργάζεται κυρίως στην Αίγυπτο μέσω της συνδεδεμένης μας εταιρείας, και υποβάλλονται σε επεξεργασία από υπεργολάβους επεξεργασίας στις τοποθεσίες που αναφέρονται στη σχετική σελίδα. Όλοι οι διακομιστές και τα αντίγραφα ασφαλείας μας βρίσκονται στις Ηνωμένες Πολιτείες· δεν προσφέρουμε φιλοξενία σε καμία άλλη περιοχή.
2. Μηχανισμοί διαβίβασης. Οι ρήτρες του Παραρτήματος IV (ΕΕ και Ηνωμένο Βασίλειο), του Παραρτήματος V (Βραζιλία) και του Παραρτήματος VI (Σαουδική Αραβία) αποτελούν μέρος της παρούσας DPA για κάθε πελάτη και διέπουν κάθε διαβίβαση στην οποία εφαρμόζεται ο αντίστοιχος νόμος.
3. Αλλοδαποί νόμοι στους οποίους υπαγόμαστε. Είμαστε εταιρεία του Ηνωμένου Βασιλείου που υπάγεται στο δίκαιο του Ηνωμένου Βασιλείου. Τα δεδομένα φιλοξενούνται σε πάροχο των ΗΠΑ, και οι αρχές των ΗΠΑ μπορούν να απαιτήσουν από παρόχους των ΗΠΑ να κοινολογήσουν δεδομένα βάσει του δικαίου των ΗΠΑ, συμπεριλαμβανομένων του CLOUD Act και του Section 702 του Foreign Intelligence Surveillance Act. Η συνδεδεμένη μας εταιρεία στην Αίγυπτο υπάγεται στο αιγυπτιακό δίκαιο. Δεν γνωρίζουμε κάποιον από αυτούς τους νόμους να μας εμποδίζει να τηρούμε την παρούσα DPA και θα σας ενημερώσουμε αμέσως εάν αυτό αλλάξει.
4. Αιτήματα δημόσιων αρχών. Εάν λάβουμε δεσμευτικό αίτημα δημόσιας αρχής για κοινολόγηση Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη, θα σας ενημερώσουμε, εκτός εάν ο νόμος το απαγορεύει, θα ζητήσουμε από την αρχή να απευθυνθεί σε εσάς, θα αμφισβητήσουμε αιτήματα που είναι παράνομα ή υπερβολικά και θα κοινολογήσουμε μόνο το ελάχιστο απαιτούμενο.

1. Όταν ενεργοποιείτε απαντήσεις AI, πράκτορες AI, μεταγραφή φωνητικών μηνυμάτων ή εργαλεία AI, στέλνουμε τα δεδομένα που χρειάζεται η λειτουργία σε έναν από τους παρόχους υπηρεσιών AI μας, οι οποίοι είναι υπεργολάβοι επεξεργασίας στις Ηνωμένες Πολιτείες: μηνύματα, ιστορικό συνομιλιών, φωνητικά μηνύματα, αρχεία γνώσεων και κατάλογο προϊόντων, καθώς και το όνομα και τον αριθμό της επαφής όπου τα χρησιμοποιεί η λειτουργία.
2. Οι πάροχοι υπηρεσιών AI μας είναι η OpenAI, ο προεπιλεγμένος πάροχος, η οποία χειρίζεται πάντοτε τη μεταγραφή φωνητικών μηνυμάτων και την αποθήκευση και αναζήτηση αρχείων γνώσεων· και η Anthropic (Claude) και η Google (Gemini API), στις οποίες ενδέχεται να δρομολογούμε εργασίες AI αντί της OpenAI ή ως εφεδρεία, ή να στέλνουμε περιορισμένο δείγμα αιτημάτων για σύγκριση της ποιότητας των απαντήσεων. Οι απαντήσεις σύγκρισης δεν αποστέλλονται ποτέ στους πελάτες σας. Ο κατάλογος και οι μηχανισμοί διαβίβασης βρίσκονται στη σελίδα υπεργολάβων επεξεργασίας.
3. Σύμφωνα με τους επιχειρηματικούς τους όρους, κανένας από αυτούς τους παρόχους δεν χρησιμοποιεί δεδομένα που αποστέλλονται μέσω του API του για την εκπαίδευση των μοντέλων του (βλ. τους επιχειρηματικούς όρους της OpenAI, τους Εμπορικούς Όρους της Anthropic και τους Πρόσθετους Όρους του Gemini API), και δεν έχουμε συναινέσει σε καμία χρήση για εκπαίδευση. Κάθε πάροχος διατηρεί προσωρινό αντίγραφο για την παρακολούθηση καταχρήσεων σύμφωνα με τους όρους του, και η OpenAI διατηρεί τις απαντήσεις που παράγει σύμφωνα με την πολιτική δεδομένων του API της.
4. Δεν χρησιμοποιούμε Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη για την εκπαίδευση κανενός μοντέλου. Ό,τι μαθαίνει η λειτουργία «μάθηση από το ιστορικό» παραμένει εντός του χώρου εργασίας σας.
5. Οι λειτουργίες αυτές είναι προαιρετικές και μπορείτε να τις απενεργοποιήσετε ανά πάσα στιγμή. Όταν διαγράφετε τον χώρο εργασίας σας, διαγράφουμε τα αρχεία που είναι αποθηκευμένα γι' αυτόν στην OpenAI.
6. Είστε υπεύθυνοι να ενημερώνετε τους πελάτες σας ότι οι απαντήσεις ενδέχεται να παράγονται από AI, όπου το απαιτεί ο νόμος.

1. Το προσωπικό υποστήριξής μας εισέρχεται στον χώρο εργασίας σας μόνο για την παροχή υποστήριξης.
2. Κάθε είσοδος καταγράφεται στο αρχείο ασφαλείας του χώρου εργασίας σας, το οποίο μπορείτε να ελέγξετε.
3. Εάν ενεργοποιήσετε τον έλεγχο ταυτότητας δύο παραγόντων για τον χώρο εργασίας σας, το προσωπικό μας μπορεί να εισέλθει σε αυτόν μόνο με τη ρητή έγκρισή σας.

Η ευθύνη κάθε μέρους βάσει της παρούσας DPA υπόκειται στους περιορισμούς των Όρων & Προϋποθέσεων, εξαιρουμένης της ευθύνης που δεν μπορεί να περιοριστεί κατά νόμο, και με την επιφύλαξη των δικαιωμάτων των υποκειμένων των δεδομένων βάσει των ρητρών διαβίβασης των Παραρτημάτων IV έως VI, τα οποία δεν περιορίζει καμία διάταξη της παρούσας DPA ή των Όρων & Προϋποθέσεων.

1. Η παρούσα DPA ισχύει για όσο χρόνο επεξεργαζόμαστε Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη.
2. Μπορούμε να επικαιροποιούμε την παρούσα DPA ώστε να συμβαδίζει με τον νόμο ή την υπηρεσία. Θα δίνουμε ειδοποίηση 30 ημερών για κάθε ουσιώδη αλλαγή, και καμία αλλαγή δεν θα μειώσει το επίπεδο προστασίας κατά τη διάρκεια της επί πληρωμή συνδρομής σας.
3. Η παρούσα DPA διέπεται από το δίκαιο της Αγγλίας και της Ουαλίας και αρμόδια είναι τα δικαστήριά τους, με την εξαίρεση ότι κάθε σύνολο ρητρών διαβίβασης των Παραρτημάτων IV έως VI διέπεται από το δίκαιο και τα δικαστήρια που ορίζει.

Για τον Νόμο για την Προστασία Δεδομένων Προσωπικού Χαρακτήρα και τον Εκτελεστικό Κανονισμό του (Άρθρο 17):

• Ο σκοπός, οι κατηγορίες δεδομένων και η διάρκεια της επεξεργασίας περιλαμβάνονται στο Παράρτημα I.
• Σας ειδοποιούμε για παραβίαση χωρίς αδικαιολόγητη καθυστέρηση και εντός 24 ωρών (ενότητα 7).
• Οι αλλοδαποί νόμοι στους οποίους υπαγόμαστε και ο αντίκτυπός τους περιγράφονται στην ενότητα 12.
• Εάν το σαουδαραβικό δίκαιο μάς υποχρεώνει να προβούμε σε κοινολόγηση, θα σας ειδοποιήσουμε σχετικά.
• Οι υπεργολάβοι επεξεργασίας και οι λοιποί αποδέκτες προσδιορίζονται στο Παράρτημα III, και σας ειδοποιούμε πριν από κάθε αλλαγή, με δικαίωμα αντίρρησης (ενότητα 6).
• Διαβιβάζουμε τα αιτήματα υποκειμένων των δεδομένων εντός 48 ωρών (ενότητα 8) και αποδεχόμαστε εκτιμήσεις και ελέγχους (ενότητα 11).
• Ρήτρες διαβίβασης: Παράρτημα VI.

Για τους σκοπούς του LGPD ενεργούμε ως «operador»:

• Επεξεργαζόμαστε δεδομένα σύμφωνα με τις εντολές σας (Άρθρο 39) και τηρούμε αρχείο των πράξεων επεξεργασίας (Άρθρο 37).
• Εφαρμόζουμε τα μέτρα ασφαλείας του Παραρτήματος II, και η υποχρέωσή μας για ασφάλεια εξακολουθεί να ισχύει μετά τη λήξη της επεξεργασίας (Άρθρα 46 και 47).
• Σας ειδοποιούμε για παραβίαση εντός 24 ωρών ώστε να μπορείτε να ειδοποιήσετε την ANPD και τα υποκείμενα των δεδομένων εντός τριών εργάσιμων ημερών (Άρθρο 48).
• Διαγράφουμε τα δεδομένα όταν λήξει η επεξεργασία, σύμφωνα με την ενότητα 10 (Άρθρο 16).
• Καμία διάταξη της παρούσας DPA δεν περιορίζει την ευθύνη μας έναντι των υποκειμένων των δεδομένων όπου την επιβάλλει το LGPD.
• Ρήτρες διαβίβασης: Παράρτημα V. Κατόπιν αιτήματος παρέχουμε περίληψη στα πορτογαλικά της διεθνούς διαβίβασης, την οποία μπορείτε να δημοσιεύσετε για τους πελάτες σας.

Για τον Νόμο αριθ. 151 του 2020 και τον Εκτελεστικό Κανονισμό του:

• Η συνδεδεμένη εταιρεία μας στην Αίγυπτο είναι η Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), αριθμός εμπορικού μητρώου 223572 (γραφείο μητρώου Cairo Investment), Tower 22, 3ος όροφος, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia, Αίγυπτος.
• Λαμβάνουμε κάθε άδεια ή έγκριση που απαιτεί ο νόμος για την επεξεργασία και τις διασυνοριακές διαβιβάσεις μας πριν βασιστούμε σε αυτές, και ορίζουμε υπεύθυνο προστασίας δεδομένων καταχωρισμένο στο Κέντρο Προστασίας Προσωπικών Δεδομένων.
• Επιπλέον της ειδοποίησής σας εντός 24 ωρών, ειδοποιούμε το Κέντρο Προστασίας Προσωπικών Δεδομένων για παραβίαση εντός 72 ωρών, όπου ο νόμος μάς το επιβάλλει ως εκτελούντες την επεξεργασία, σε συντονισμό μαζί σας.
• Συνεργαζόμαστε μαζί σας για να απαντάμε στα αιτήματα των υποκειμένων των δεδομένων εντός έξι εργάσιμων ημερών.
• Είστε υπεύθυνοι για τη λήψη της συγκατάθεσης των υποκειμένων των δεδομένων όπου την απαιτεί ο νόμος, συμπεριλαμβανομένης της συγκατάθεσης για διαβιβάσεις εκτός Αιγύπτου.

Η παρούσα ΣΕΔ περιέχει τους όρους που απαιτεί το άρθρο 28(3) του GDPR της ΕΕ και του UK GDPR: οδηγίες (ενότητα 3), εμπιστευτικότητα (ενότητα 4), ασφάλεια (ενότητα 5 και Παράρτημα II), υπεργολάβοι επεξεργασίας (ενότητα 6), συνδρομή στα αιτήματα των υποκειμένων των δεδομένων (ενότητα 8) καθώς και στην ασφάλεια, τις παραβιάσεις και τις εκτιμήσεις (ενότητες 5, 7 και 9), διαγραφή και επιστροφή (ενότητα 10), και πληροφόρηση και έλεγχοι (ενότητα 11).

Το Ηνωμένο Βασίλειο, όπου είμαστε εγκατεστημένοι, καλύπτεται από απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής. Παρ' όλα αυτά, το Παράρτημα IV (οι Τυποποιημένες Συμβατικές Ρήτρες της ΕΕ και το Προσάρτημα του Ηνωμένου Βασιλείου) ενσωματώνεται για κάθε πελάτη και διέπει κάθε διαβίβαση Προσωπικών Δεδομένων Πελάτη που δεν επιτρέπεται διαφορετικά από τον GDPR της ΕΕ ή τον UK GDPR, συμπεριλαμβανομένων των περαιτέρω διαβιβάσεών μας προς τις Ηνωμένες Πολιτείες.

Τα ακόλουθα μέτρα εφαρμόζονται ήδη σήμερα:

• Κρυπτογράφηση κατά τη μεταφορά: TLS 1.3 στο edge του Cloudflare με HSTS, και πιστοποιητικά TLS στον διακομιστή προέλευσης.
• Κρυπτογράφηση σε κατάσταση αποθήκευσης: προεπιλεγμένη κρυπτογράφηση του Google Cloud με κλειδιά που διαχειρίζεται η Google για δίσκους και κάδους αποθήκευσης, καθώς και κρυπτογράφηση σε επίπεδο εφαρμογής για τα διακριτικά πρόσβασης καναλιών, τα μυστικά ενσωματώσεων και webhook, τα μυστικά ελέγχου ταυτότητας δύο παραγόντων, τις απαντήσεις ερευνών και τα αρχεία συγκατάθεσης.
• Κωδικοί πρόσβασης και διακριτικά: οι κωδικοί πρόσβασης αποθηκεύονται κατακερματισμένοι με bcrypt· τα διακριτικά API αποθηκεύονται ως κατακερματισμοί (hashes).
• Απομόνωση: ξεχωριστή βάση δεδομένων για κάθε χώρο εργασίας.
• Δίκτυο: οι βάσεις δεδομένων και οι κρυφές μνήμες δεν είναι προσβάσιμες από το διαδίκτυο· προστασία DDoS και τείχος προστασίας εφαρμογών web του Cloudflare· προστασία από bots Turnstile στις δημόσιες φόρμες.
• Θωράκιση διακομιστών: απομόνωση λογαριασμών CageFS, τείχος προστασίας και σάρωση κακόβουλου λογισμικού Imunify360, και ενημερώσεις ασφαλείας πυρήνα σε πραγματικό χρόνο (KernelCare).
• Έλεγχος πρόσβασης: ρόλοι και δικαιώματα ανά χρήστη, ξεχωριστός μηχανισμός σύνδεσης για τα εσωτερικά εργαλεία διαχείρισης, έλεγχος ταυτότητας δύο παραγόντων διαθέσιμος σε κάθε χώρο εργασίας, και περιορισμοί IP σύνδεσης.
• Καταγραφή: αρχείο καταγραφής ασφαλείας για κάθε χώρο εργασίας, που καλύπτει συνδέσεις και αποτυχημένες απόπειρες, αλλαγές στον έλεγχο ταυτότητας δύο παραγόντων και στους ρόλους, πρόσβαση υποστήριξης και εναλλαγή κλειδιών API.
• Ενσωματώσεις: επαλήθευση υπογραφής στα εισερχόμενα δεδομένα από Meta, Salla και Zid, και ξεχωριστό μυστικό υπογραφής για κάθε νέο εξερχόμενο webhook.
• Ιδιωτική αποθήκευση: τα έγγραφα, τα συνημμένα e-mail, οι ηχογραφήσεις κλήσεων, τα αντίγραφα ασφαλείας και οι αρχειοθετημένοι χώροι εργασίας φυλάσσονται σε ιδιωτικούς κάδους αποθήκευσης με αποκλεισμένη τη δημόσια πρόσβαση.
• Πολυμέσα συνομιλιών: φυλάσσονται σε χώρο αποθήκευσης που δεν μπορεί να περιηγηθεί ή να καταλογογραφηθεί, και διατίθενται μέσω μακριών, τυχαίων συνδέσμων που είναι δύσκολο να μαντευτούν (εκτός από τις φωτογραφίες προφίλ των επαφών)· η μετάβαση σε υπογεγραμμένους συνδέσμους περιορισμένου χρόνου βρίσκεται σε εξέλιξη.
• Αντίγραφα ασφαλείας: νυχτερινά αντίγραφα ασφαλείας των βάσεων δεδομένων των επί πληρωμή, δοκιμαστικών και δωρεάν παραχωρημένων χώρων εργασίας, εναλλαγή 10 ημερών για τους υπόλοιπους χώρους εργασίας, και ημερήσιο αντίγραφο ασφαλείας της κεντρικής βάσης δεδομένων λογαριασμών· φυλάσσονται για 30 ημέρες σε ιδιωτικό χώρο αποθήκευσης στις Ηνωμένες Πολιτείες (us-east1).
• Διαγραφή: κάθε πελάτης μπορεί να διαγράψει ολόκληρο τον χώρο εργασίας από τον πίνακα ελέγχου, μαζί με τα πολυμέσα του, το αρχειοθετημένο αντίγραφο και τα αρχεία AI στην OpenAI· η διαγραφή μιας συνομιλίας σβήνει τα μηνύματα και τα πολυμέσα της.
• Ελαχιστοποίηση δεδομένων: τα εισερχόμενα φορτία δεδομένων των πλατφορμών διαγράφονται μετά από 14 ημέρες, τα αρχεία καταγραφής διακομιστών μετά από 14 ημέρες, και οι ηχογραφήσεις κλήσεων μετά από 90 ημέρες από προεπιλογή.
• Παρακολούθηση: εξωτερική παρακολούθηση διαθεσιμότητας, και εσωτερική παρακολούθηση μνήμης, βάσεων δεδομένων, συνεδριών και ουρών με ειδοποιήσεις σε πραγματικό χρόνο, στις οποίες οι αριθμοί τηλεφώνου και οι διευθύνσεις e-mail αποκρύπτονται.

Ο τρέχων κατάλογος υπεργολάβων επεξεργασίας, με τα δεδομένα που επεξεργάζονται, τις τοποθεσίες τους και τις εγγυήσεις διαβίβασης, δημοσιεύεται στη σελίδα υπεργολάβων επεξεργασίας μας και αποτελεί μέρος της παρούσας ΣΕΔ.

Οι Τυποποιημένες Συμβατικές Ρήτρες που εκδόθηκαν με την Εκτελεστική Απόφαση (ΕΕ) 2021/914 της Επιτροπής ενσωματώνονται με παραπομπή:

• Ενότητα Δύο (από υπεύθυνο επεξεργασίας σε εκτελούντα την επεξεργασία) όπου είστε υπεύθυνος επεξεργασίας, και Ενότητα Τρία (από εκτελούντα σε εκτελούντα την επεξεργασία) όπου ενεργείτε ως εκτελών την επεξεργασία για λογαριασμό άλλου.
• Ρήτρα 7 (ρήτρα προσχώρησης): περιλαμβάνεται.
• Ρήτρα 9(α): Επιλογή 2 (γενική γραπτή εξουσιοδότηση), με προηγούμενη ειδοποίηση 30 ημερών.
• Ρήτρα 11(α): η προαιρετική διατύπωση δεν εφαρμόζεται.
• Ρήτρα 13: η αρμόδια εποπτική αρχή καθορίζεται βάσει της Ρήτρας 13(α) ανάλογα με την περίπτωσή σας.
• Ρήτρα 17: Επιλογή 1, διέπεται από το δίκαιο της Ιρλανδίας. Ρήτρα 18: τα δικαστήρια της Ιρλανδίας.
• Παράρτημα I.A: τα μέρη της ενότητας 1 (εσείς ως εξαγωγέας δεδομένων, εμείς ως εισαγωγέας δεδομένων). Παράρτημα I.B: το Παράρτημα I της παρούσας ΣΕΔ. Παράρτημα I.C: όπως καθορίζεται βάσει της Ρήτρας 13. Παράρτημα II: το Παράρτημα II της παρούσας ΣΕΔ. Παράρτημα III: το Παράρτημα III της παρούσας ΣΕΔ.

Για διαβιβάσεις που διέπονται από το δίκαιο του Ηνωμένου Βασιλείου, ενσωματώνεται με παραπομπή το Προσάρτημα Διεθνούς Διαβίβασης Δεδομένων στις Τυποποιημένες Συμβατικές Ρήτρες της ΕΕ του ICO: Πίνακας 1, τα παραπάνω μέρη· Πίνακας 2, οι ρήτρες που επιλέχθηκαν παραπάνω· Πίνακας 3, τα Παραρτήματα I έως III· Πίνακας 4, οποιοδήποτε μέρος μπορεί να καταγγείλει το Προσάρτημα όπως ορίζεται στην Ενότητα 19 αυτού.

Για διεθνείς διαβιβάσεις δεδομένων που διέπονται από τον LGPD, με την αποδοχή των Όρων & Προϋποθέσεων τα μέρη υιοθετούν τις τυποποιημένες συμβατικές ρήτρες του Παραρτήματος II της Απόφασης CD/ANPD αριθ. 19/2024 στο σύνολό τους και χωρίς καμία αλλαγή. Υπερισχύει το επίσημο πορτογαλικό κείμενο.

• Ενότητα I: εσείς είστε ο εξαγωγέας (υπεύθυνος επεξεργασίας) και εμείς ο εισαγωγέας (φορέας επεξεργασίας)· η διαβίβαση περιγράφεται στο Παράρτημα I.
• Ενότητα III (μέτρα ασφαλείας): Παράρτημα II.
• Ενότητα IV: καμία πρόσθετη ρήτρα.

Κανένας άλλος όρος της παρούσας ΣΕΔ ή των Όρων & Προϋποθέσεων δεν μπορεί να αποκλείσει, να τροποποιήσει ή να αντιβαίνει σε αυτές τις ρήτρες.

Για διαβιβάσεις προσωπικών δεδομένων εκτός του Βασιλείου, με την αποδοχή των Όρων & Προϋποθέσεων τα μέρη υιοθετούν τις Τυποποιημένες Συμβατικές Ρήτρες για τη Διαβίβαση Προσωπικών Δεδομένων που εκδόθηκαν από την Αρχή Δεδομένων και Τεχνητής Νοημοσύνης της Σαουδικής Αραβίας (SDAIA), Υπόδειγμα 2 (από υπεύθυνο επεξεργασίας σε εκτελούντα την επεξεργασία), χωρίς τροποποίηση.

• Μέρη: εσείς είστε ο εξαγωγέας και εμείς ο εισαγωγέας.
• Προσαρτήματα 1 έως 3 του υποδείγματος: η ενότητα 1, το Παράρτημα I και το Παράρτημα II της παρούσας ΣΕΔ.
• Οι ρήτρες αυτές διέπονται από τους νόμους του Βασιλείου της Σαουδικής Αραβίας και αρμόδια είναι τα δικαστήριά του, όπως προβλέπουν οι ρήτρες.
• Σας ειδοποιούμε για παραβίαση εντός 24 ωρών, διαβιβάζουμε τα αιτήματα των υποκειμένων των δεδομένων εντός 48 ωρών, και συνεργαζόμαστε με τη SDAIA σε κάθε έλεγχο.
• Σας ενημερώνουμε ποιοι υπεργολάβοι επεξεργασίας εκτός του Βασιλείου έχουν προσχωρήσει σε αυτές τις ρήτρες, και ποιοι όχι, πριν βασιστούμε σε αυτούς για τα δεδομένα σας.