Σύμβαση Επεξεργασίας Δεδομένων (DPA)

Έκδοση 2026-09 · Τελευταία ενημέρωση: 25 Σεπτεμβρίου 2026 · Άρθρο 28 του Κανονισμού (ΕΕ) 2016/679 (GDPR)

Η παρούσα Σύμβαση συνάπτεται μεταξύ της επιχείρησης που αποδέχεται τους όρους μέσω της Πύλης (ο «Υπεύθυνος Επεξεργασίας» ή «Πελάτης») και του ΚΑΛΥΒΑΣ ΑΘΑΝΑΣΙΟΣ (NOESIS), ΑΦΜ 172115563, Αρχαία Επίδαυρος (Καλυβέικα), Αργολίδα, Ελλάδα (ο «Εκτελών την Επεξεργασία» ή «NOESIS»). Αποτελεί αναπόσπαστο μέρος της Σύμβασης Υπηρεσιών και των Όρων χρήσης. Η αποδοχή καταγράφεται με ημερομηνία, ώρα και έκδοση κειμένου.

1. Αντικείμενο, διάρκεια, φύση και σκοπός

Η NOESIS επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του Πελάτη αποκλειστικά για την παροχή των Υπηρεσιών: απάντηση εισερχόμενων κλήσεων από τον φωνητικό βοηθό, καταγραφή παραγγελιών, κρατήσεων και αιτημάτων, απομαγνητοφώνηση και περίληψη συνομιλιών, προαιρετική ηχογράφηση, εμφάνισή τους στην Πύλη, χρέωση και υποστήριξη. Η επεξεργασία διαρκεί όσο η Σύμβαση Υπηρεσιών και για το διάστημα διαγραφής που ορίζεται στο άρθρο 8.

2. Κατηγορίες δεδομένων και υποκειμένων

• Υποκείμενα: πρόσωπα που τηλεφωνούν στην επιχείρηση (πελάτες της), υπάλληλοι και εκπρόσωποι της επιχείρησης που χρησιμοποιούν την Πύλη.
• Δεδομένα καλούντων: αριθμός τηλεφώνου, φωνή (ηχογράφηση, εφόσον ενεργοποιηθεί), περιεχόμενο συνομιλίας σε κείμενο, στοιχεία παραγγελίας ή κράτησης (είδη, ποσά, όνομα, διεύθυνση παράδοσης, ώρα), ημερομηνία και διάρκεια κλήσης.
• Δεδομένα χρηστών Πύλης: email, ρόλος, αρχεία καταγραφής ενεργειών.
• Δεν επιδιώκεται η επεξεργασία ειδικών κατηγοριών δεδομένων. Αν ένας καλών τα αναφέρει αυθόρμητα (π.χ. αλλεργία σε παραγγελία), αντιμετωπίζονται με τα ίδια μέτρα ασφάλειας.

3. Υποχρεώσεις του Εκτελούντος

Η NOESIS:

1. επεξεργάζεται τα δεδομένα μόνο βάσει τεκμηριωμένων οδηγιών του Πελάτη, οι οποίες περιλαμβάνονται στη Σύμβαση Υπηρεσιών, στην παρούσα και στις ρυθμίσεις που ο Πελάτης ορίζει στην Πύλη (π.χ. ενεργοποίηση ηχογράφησης, διάρκεια διατήρησης, ορατότητα σε συνεργάτη, απόκρυψη αριθμού από υπαλλήλους)·
2. διασφαλίζει ότι τα πρόσωπα που επεξεργάζονται τα δεδομένα δεσμεύονται από υποχρέωση εμπιστευτικότητας·
3. εφαρμόζει τα τεχνικά και οργανωτικά μέτρα του Παραρτήματος Α·
4. τηρεί τους όρους του άρθρου 4 για τους υπεργολάβους·
5. συνδράμει τον Πελάτη, με κατάλληλα τεχνικά μέσα, στην ικανοποίηση αιτημάτων των υποκειμένων (πρόσβαση, διαγραφή, φορητότητα): ο Πελάτης μπορεί να αναζητήσει κλήσεις με τον αριθμό του καλούντα, να εξαγάγει τα δεδομένα του και να ζητήσει διαγραφή·
6. συνδράμει τον Πελάτη στην ασφάλεια, στη γνωστοποίηση παραβιάσεων και σε εκτιμήσεις αντικτύπου, λαμβάνοντας υπόψη τις πληροφορίες που διαθέτει·
7. με τη λήξη της Σύμβασης διαγράφει ή επιστρέφει τα δεδομένα κατ’ επιλογή του Πελάτη (άρθρο 8)·
8. θέτει στη διάθεση του Πελάτη κάθε πληροφορία που είναι αναγκαία για την απόδειξη της συμμόρφωσης και επιτρέπει ελέγχους (άρθρο 7)·
9. ενημερώνει αμέσως τον Πελάτη αν κρίνει ότι κάποια οδηγία παραβιάζει τον GDPR ή άλλη διάταξη περί προστασίας δεδομένων.

4. Υπεργολάβοι επεξεργασίας

Ο Πελάτης παρέχει γενική έγκριση για τη χρήση των υπεργολάβων του Παραρτήματος Β. Η NOESIS δεσμεύει κάθε υπεργολάβο με τις ίδιες ουσιαστικά υποχρεώσεις προστασίας δεδομένων και παραμένει πλήρως υπεύθυνη έναντι του Πελάτη για την εκπλήρωσή τους. Για κάθε προσθήκη ή αντικατάσταση υπεργολάβου, η NOESIS ενημερώνει τον Πελάτη μέσω της Πύλης ή με email τουλάχιστον 15 ημέρες πριν· ο Πελάτης μπορεί να αντιταχθεί εγγράφως για εύλογους λόγους, οπότε τα μέρη αναζητούν λύση και, αν δεν βρεθεί, ο Πελάτης μπορεί να καταγγείλει τη Σύμβαση Υπηρεσιών χωρίς ποινή.

5. Διαβιβάσεις εκτός ΕΟΧ

Τα δεδομένα αποθηκεύονται και επεξεργάζονται σε υποδομές εντός της Ευρωπαϊκής Ένωσης. Όπου υπεργολάβος εδρεύει ή μπορεί να έχει πρόσβαση από τρίτη χώρα, η διαβίβαση στηρίζεται στις τυποποιημένες συμβατικές ρήτρες της Ευρωπαϊκής Επιτροπής (Εκτελεστική Απόφαση 2021/914) ή σε απόφαση επάρκειας, με συμπληρωματικά μέτρα όπου απαιτείται.

6. Παραβιάσεις δεδομένων

Η NOESIS ενημερώνει τον Πελάτη για κάθε παραβίαση προσωπικών δεδομένων που αφορά τα δεδομένα του χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός 48 ωρών από τη στιγμή που τη διαπιστώνει, με περιγραφή της φύσης της παραβίασης, των πιθανών συνεπειών και των μέτρων που ελήφθησαν, ώστε ο Πελάτης να μπορεί να τηρήσει την προθεσμία των 72 ωρών προς την εποπτική αρχή.

7. Έλεγχοι

Ο Πελάτης μπορεί, μία φορά ανά έτος ή μετά από παραβίαση, με έγγραφη ειδοποίηση 30 ημερών, να ελέγξει τη συμμόρφωση της NOESIS με την παρούσα, είτε μέσω ερωτηματολογίου και τεκμηρίωσης είτε, εφόσον αυτά δεν επαρκούν, με επιτόπιο έλεγχο σε εργάσιμες ώρες, με σεβασμό στην εμπιστευτικότητα των λοιπών πελατών της NOESIS. Το κόστος του ελέγχου βαρύνει τον Πελάτη, εκτός αν διαπιστωθεί ουσιώδης παράβαση.

8. Διατήρηση και διαγραφή

• Ηχογραφήσεις: διαγράφονται αυτόματα μετά το διάστημα που ορίζει το πλάνο του Πελάτη (προεπιλογή 90 ημέρες). Το αρχείο ήχου σβήνεται από την αποθήκευση και η εγγραφή της κλήσης σημειώνεται ως «ηχογράφηση διαγραμμένη».
• Απομαγνητοφωνήσεις: διαγράφονται αυτόματα μετά το διπλάσιο διάστημα. Η περίληψη της κλήσης παραμένει, χωρίς αυτούσια λόγια.
• Εγγραφή κλήσης (ημερομηνία, διάρκεια, έκβαση, ποσό): διατηρείται όσο απαιτείται για χρέωση και όσο επιβάλλει η φορολογική νομοθεσία.
• Με τη λήξη της Σύμβασης: ο Πελάτης εξάγει τα δεδομένα του από την Πύλη (JSON) εντός 30 ημερών· στη συνέχεια η NOESIS διαγράφει κλήσεις, κείμενα, ηχογραφήσεις, αιτήματα και λογαριασμούς χρηστών, εκτός από ό,τι οφείλει να τηρήσει βάσει νόμου. Η διαγραφή καταγράφεται στο αρχείο ελέγχου.
• Αντίγραφα ασφαλείας της βάσης δεδομένων διατηρούνται έως 30 ημέρες και στη συνέχεια αντικαθίστανται· δεν χρησιμοποιούνται για επαναφορά διαγραμμένων δεδομένων παρά μόνο για αποκατάσταση μετά από βλάβη.

9. Ευθύνη

Κάθε μέρος ευθύνεται για τις ζημίες που προκαλεί με παράβαση της παρούσας ή του GDPR, σύμφωνα με το άρθρο 82 GDPR. Κατά τα λοιπά ισχύουν οι περιορισμοί ευθύνης της Σύμβασης Υπηρεσιών και των Όρων χρήσης, στο μέτρο που το επιτρέπει ο νόμος.

10. Εφαρμοστέο δίκαιο

Ελληνικό δίκαιο· αρμόδια τα δικαστήρια της Αθήνας.

Παράρτημα Α — Τεχνικά και οργανωτικά μέτρα

• Απομόνωση ανά επιχείρηση: κάθε ερώτημα στη βάση δεδομένων περνά από πολιτικές ασφάλειας σε επίπεδο γραμμής (Row Level Security), οι οποίες ελέγχονται αυτόματα με εκατοντάδες δοκιμές σε κάθε αλλαγή του λογισμικού. Καμία επιχείρηση δεν μπορεί να δει δεδομένα άλλης, ούτε την τιμολόγησή της.
• Κρυπτογράφηση: TLS 1.2+ σε κάθε μεταφορά· κρυπτογράφηση κατά την αποθήκευση στη βάση δεδομένων και στα αρχεία ήχου· τα μυστικά των φωνητικών βοηθών αποθηκεύονται κρυπτογραφημένα (AES-256-GCM).
• Αυθεντικοποίηση των βοηθών: κάθε κλήση που φτάνει στην Πύλη φέρει υπογραφή HMAC-SHA256 με μοναδικό μυστικό ανά επιχείρηση και χρονοσφραγίδα· μηνύματα με λάθος υπογραφή ή παλαιότερα των 5 λεπτών απορρίπτονται. Όρια ρυθμού ανά διεύθυνση και ανά βοηθό.
• Πρόσβαση σε ηχογραφήσεις: μόνο μέσω προσωρινών υπογεγραμμένων συνδέσμων διάρκειας 5 λεπτών, μόνο για ιδιοκτήτη και υπαλλήλους· ποτέ για συνεργάτες. Κάθε αναπαραγωγή καταγράφεται.
• Ελαχιστοποίηση: ο αριθμός του καλούντα εμφανίζεται μασκαρισμένος στους υπαλλήλους (ρυθμιζόμενο) και πάντα στους συνεργάτες· τα στατιστικά δεν περιέχουν αριθμούς.
• Καταγραφή: αρχείο ελέγχου (audit log) για αναπαραγωγές, εξαγωγές, διαγραφές, αλλαγές δικαιωμάτων και κάθε πρόσβαση του προσωπικού της NOESIS «ως» επιχείρηση, το οποίο δεν μπορεί να τροποποιηθεί από χρήστες.
• Διατήρηση: αυτόματη, καθημερινή διαγραφή ηχογραφήσεων και κειμένων που έληξαν, με προτεραιότητα στη διαγραφή του αρχείου πριν τη σήμανση στη βάση.
• Ανθεκτικότητα: υποδομή σε κέντρα δεδομένων εντός ΕΕ, ημερήσια αντίγραφα ασφαλείας, παρακολούθηση σφαλμάτων χωρίς προσωπικά δεδομένα.
• Οργανωτικά: πρόσβαση προσωπικού με ονομαστικούς λογαριασμούς και ελάχιστα αναγκαία δικαιώματα, υποχρέωση εμπιστευτικότητας, διαδικασία αντιμετώπισης περιστατικών.

Παράρτημα Β — Εγκεκριμένοι υπεργολάβοι

Οι πάροχοι αναγνώρισης και σύνθεσης ομιλίας και γλωσσικού μοντέλου που χρησιμοποιεί ο φωνητικός βοηθός κάθε εγκατάστασης αναφέρονται ονομαστικά στο Παράρτημα της Σύμβασης Υπηρεσιών του Πελάτη, καθώς μπορεί να διαφέρουν ανά εγκατάσταση.