Πολιτική απορρήτου

Η παρούσα Πολιτική Προστασίας αποτελεί αναπόσπαστο μέρος της Σύμβασης Παροχής Υπηρεσιών που συνάπτεται για τη χρήση της Πλατφόρμας PERPLUS.GR με την αποδοχή των Γενικών Όρων μεταξύ: Κάθε πελάτη/ επιχείρησης που χρησιμοποιεί την πλατφόρμα PERPLUS.GR, (εφεξής ο «Υπεύθυνος Επεξεργασίας») και της Εταιρείας ΤΖΕΧΕΡΙΔΗΣ ΕΥΘΥΜΙΟΣ & ΣΙΑ Ε.Ε., που εδρεύει στην Πυλαία Θεσσαλονίκης, και το διακριτικό τίτλο NOT THE SAME (email: support@notthesame.gr), η οποία είναι δικαιούχος και πάροχος της πλατφόρμας PERPLUS.GR, (εφεξής ο «Εκτελών την Επεξεργασία») ΠΡΟΟΙΜΙΟ (Α) Ο Υπεύθυνος Επεξεργασίας καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα των πελατών του. (Β) Ο Εκτελών την Επεξεργασία παρέχει υπηρεσίες Customer Intelligence, ανάλυσης εμπορικών και συναλλακτικών δεδομένων, που του παρέχει ο Υπεύθυνος, καθώς και υπηρεσίες ομαδοποίησης πελατών (customer segmentation) μέσω της πλατφόρμας PERPLUS.GR. Η παρούσα Πολιτική καθορίζει τα δικαιώματα και τις υποχρεώσεις των μερών σύμφωνα με τον Γενικό Κανονισμό για την Προστασία Δεδομένων (GDPR) στο πλαίσιο της Σύμβασης υπηρεσιών που έχουν συνάψει για τη χρήση της εφαρμογής. Η παρούσα Πολιτική εφαρμόζεται σε κάθε χρήση της πλατφόρμας και αποτελεί αναπόσπαστο μέρος των Όρων Χρήσης αυτής. Η παρούσα Πολιτική εφαρμόζεται σε συνδυασμό με τους Όρους Χρήσης της Πλατφόρμας, την Πολιτική Τεχνητής Νοημοσύνης και κάθε άλλη σχετική εσωτερική ή κανονιστική ρύθμιση. 1. Ορισμοί και Ερμηνεία 1.1. Για τους σκοπούς της παρούσας Σύμβασης: «Δεδομένα Προσωπικού Χαρακτήρα» σημαίνει κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου «Επεξεργασία» σημαίνει κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή «Yπεύθυνος επεξεργασίας»: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους «Εκτελών την επεξεργασία»: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασίας «Ψευδωνυμοποίηση»: η επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά τρόπο ώστε τα δεδομένα να μην μπορούν πλέον να αποδοθούν σε συγκεκριμένο υποκείμενο των δεδομένων χωρίς τη χρήση συμπληρωματικών πληροφοριών, εφόσον οι εν λόγω συμπληρωματικές πληροφορίες διατηρούνται χωριστά και υπόκεινται σε τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλιστεί ότι δεν μπορούν να αποδοθούν σε ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο «Υπηρεσίες» σημαίνει τις υπηρεσίες ανάλυσης δεδομένων και παραγωγής insights μέσω της πλατφόρμας PERPLUS.GR. «Σύστημα Τεχνητής Νοημοσύνης» νοείται κάθε σύστημα που αξιοποιεί αλγοριθμικά ή στατιστικά μοντέλα για την ανάλυση δεδομένων και την παραγωγή προβλέψεων, συστάσεων ή συμπερασμάτων. 1.2. Οι ανωτέρω ορισμοί ερμηνεύονται σύμφωνα με τις αρχές που απορρέουν από διεθνώς αναγνωρισμένα πρότυπα και το ισχύον ευρωπαϊκό κανονιστικό πλαίσιο και ειδικότερα από τον Γενικό Κανονισμό Προστασίας Προσωπικών Δεδομένων (GDPR) 2. Αντικείμενο, Φύση Είδη δεδομένων και Σκοπός Επεξεργασίας 2.1. Ο Εκτελών την Επεξεργασία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα αποκλειστικά για λογαριασμό του Υπεύθυνου Επεξεργασίας και μόνο σύμφωνα με τις τεκμηριωμένες οδηγίες του. 2.2. Η επεξεργασία αφορά ιδίως του ακόλουθους σκοπούς: δημιουργία και διαχείριση λογαριασμών χρηστών, την παροχή, λειτουργία και ασφάλεια της Πλατφόρμας, την υποστήριξη dashboards, reports, analytics και data visualizations, την ανάλυση εμπορικής, διαφημιστικής, e-commerce και επιχειρησιακής απόδοσης, την παραγωγή στρατηγικών συστάσεων, υπηρεσίες ομαδοποίησης πελατών, prioritization, segmentation και insights, την εξυπηρέτηση πελατών, υποστήριξη και τεχνική επίλυση προβλημάτων, την συμμόρφωση με νομικές υποχρεώσεις, την προστασία εννόμων συμφερόντων της Εταιρείας, όπως ασφάλεια, πρόληψη απάτης και τεκμηρίωση. 2.3. Η επεξεργασία δεν περιλαμβάνει αυτοματοποιημένη λήψη αποφάσεων που παράγουν έννομα αποτελέσματα για τα υποκείμενα των δεδομένων. 2.4. Τα δεδομένα προσωπικού χαρακτήρα δεν συλλέγονται απευθείας από τα υποκείμενα των δεδομένων, αλλά παρέχονται αποκλειστικά από τον Υπεύθυνο Επεξεργασίας μέσω εξαγωγών από τα πληροφοριακά του συστήματα (ενδεικτικά ERP και CRM). Συγκεκριμένα, τα δεδομένα προέρχονται: απευθείας από εσάς ως Υπευθύνων Επεξεργασίας, ή από εξουσιοδοτημένους χρήστες της επιχείρησής σας, από αρχεία ή exports που ανεβάζετε στην Πλατφόρμα, από τρίτες πλατφόρμες που συνδέετε στο P+ μέσω API, OAuth ή άλλης νόμιμης τεχνικής διασύνδεσης, από τη χρήση της ίδιας της Πλατφόρμας, από επικοινωνία με την ομάδα υποστήριξης. 2.5. Τα δεδομένα που χρησιμοποιούνται για την δημιουργία του λογαριασμού πρόσβασης αποτελούν: το ονοματεπώνυμο ή display name, email, στοιχεία σύνδεσης και authentication identifiers, στοιχεία ρόλου, οργανισμού, brand ή ομάδας, ρυθμίσεις λογαριασμού και προτιμήσεις χρήστη. 2.6. Τα απαραίτητα δεδομένα εταιρικού προφίλ για την χρήση της πλατφόρμας συνιστούν: επωνυμία επιχείρησης ή brand, στοιχεία δραστηριότητας, κατηγορίας ή εμπορικής παρουσίας, στοιχεία onboarding, ενεργών modules και συνδεδεμένων πηγών, στοιχεία χρήσης της Πλατφόρμας, αλληλεπιδράσεις, logs και συμβάντα ασφαλείας. 2.7. Οι κύριες κατηγορίες δεδομένων που υποβάλλονται σε επεξεργασία αφορούν σε πληροφορίες συναλλακτικού χαρακτήρα, ιστορικό αγορών, πρότυπα συμπεριφοράς πελατών και λοιπά συναφή δεδομένα, τα οποία, κατά κανόνα, υφίστανται επεξεργασία σε ψευδωνυμοποιημένη ή συγκεντρωτική μορφή. Ενδεικτικά περιλαμβάνουν: ● δεδομένα προϊόντων, κατηγοριών, αποθεμάτων, τιμών και περιθωρίων, ● δεδομένα παραγγελιών, τζίρου, συναλλαγών και συνοπτικών οικονομικών μεγεθών, ● δεδομένα καμπανιών, διαφημιστικής δαπάνης, conversions και attribution, ● δεδομένα web analytics και traffic, ● δεδομένα CRM, πελατολογίου ή account scoring, ● δεδομένα benchmarking, ανταγωνισμού, market intelligence και operational planning, ● δεδομένα αναφορών, exports, briefing flows και στρατηγικών προτάσεων. 2.8. Κατ’ εξαίρεση, ενδέχεται να υποβάλλονται συμπληρωματικά δεδομένα από CRM, όπως τύπος πελάτη, γεωγραφική περιοχή, κατηγορία πελάτη και κατάσταση (status). 2.9. Η επεξεργασία των δεδομένων μπορεί να περιλαμβάνει τη χρήση τεχνικών τεχνητής νοημοσύνης (Artificial Intelligence) με σκοπό την εξαγωγή στατιστικών συσχετίσεων, προτύπων συμπεριφοράς και προβλεπτικών συμπερασμάτων (predictive insights). 2.10. Δεν πραγματοποιείται επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα (ευαίσθητων δεδομένων), ούτε δεδομένων όπως ΑΦΜ, τραπεζικά στοιχεία, στοιχεία πληρωμών ή δεδομένα υγείας. 2.11. Η επεξεργασία των δεδομένων πραγματοποιείται αποκλειστικά για σκοπούς επιχειρηματικής ανάλυσης και υποστήριξης λήψης αποφάσεων. Ειδικότερα, τα δεδομένα χρησιμοποιούνται για την αναγνώριση προτύπων αγοραστικής συμπεριφοράς, τη δημιουργία τμηματοποίησης πελατών, την αξιολόγηση της αξίας πελατών και την εξαγωγή επιχειρηματικών συμπερασμάτων που συμβάλλουν στη βελτιστοποίηση εμπορικών και στρατηγικών marketing. 3. Νομική βάση επεξεργασίας Η επεξεργασία των δεδομένων στηρίζεται στην εκτέλεση της σύμβασης μεταξύ της Εταιρείας και των επιχειρήσεων-πελατών της (άρθρο 6§1β GDPR), καθώς και στο έννομο συμφέρον των τελευταίων για την ανάλυση και βελτίωση της επιχειρηματικής τους δραστηριότητας. Σε κάθε περίπτωση, οι επιχειρήσεις-πελάτες υποχρεούνται να διασφαλίζουν ότι διαθέτουν την κατάλληλη νομική βάση για τη συλλογή και διαβίβαση των δεδομένων. 4. Υποχρεώσεις του Εκτελούντος την Επεξεργασία 4.1. Ο Εκτελών την Επεξεργασία υποχρεούται: (α) να συμμορφώνεται με το εφαρμοστέο δίκαιο προστασίας δεδομένων (β) να επεξεργάζεται δεδομένα μόνο κατόπιν εντολών του Υπεύθυνου (γ) να διασφαλίζει την εμπιστευτικότητα των δεδομένων, διατηρώντας κατάλληλα συστήματα και μηχανισμούς ασφαλείας (δ) να επεξεργάζεται δεδομένα αποκλειστικά για τους ακόλουθους σκοπούς: δημιουργία και διαχείριση λογαριασμών χρηστών, την παροχή, λειτουργία και ασφάλεια της Πλατφόρμας, την υποστήριξη dashboards, reports, analytics και data visualizations, την ανάλυση εμπορικής, διαφημιστικής, e-commerce και επιχειρησιακής απόδοσης, την παραγωγή στρατηγικών συστάσεων, υπηρεσίες ομαδοποίησης πελατών, prioritization, segmentation και insights, την εξυπηρέτηση πελατών, υποστήριξη και τεχνική επίλυση προβλημάτων, την συμμόρφωση με νομικές υποχρεώσεις, την προστασία εννόμων συμφερόντων της Εταιρείας, όπως ασφάλεια, πρόληψη απάτης και τεκμηρίωση. (ε) να μην χρησιμοποιεί τα δεδομένα για δικούς του σκοπούς, συμπεριλαμβανομένης της εκπαίδευσης μοντέλων AI, χωρίς προηγούμενη ρητή έγγραφη άδεια του Υπεύθυνου Επεξεργασίας (στ) να διασφαλίζει ότι τα συστήματα τεχνητής νοημοσύνης χρησιμοποιούνται αποκλειστικά για την υποστήριξη επιχειρηματικών αναλύσεων και δεν οδηγούν σε αυτοματοποιημένη λήψη αποφάσεων που παράγουν έννομα αποτελέσματα για τα υποκείμενα των δεδομένων 4.2 Ο Εκτελών διασφαλίζει ότι τα πρόσωπα που έχουν πρόσβαση στα δεδομένα δεσμεύονται από υποχρέωση εμπιστευτικότητας. 5. Ασφάλεια Δεδομένων 5.1. Ο Εκτελών εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας, σύμφωνα με το άρθρο 32 του GDPR, για την προστασία των δεδομένων προσωπικού χαρακτήρα από μη εξουσιοδοτημένη πρόσβαση, απώλεια, αλλοίωση ή καταστροφή. 5.2. Τα μέτρα αυτά περιλαμβάνουν ιδίως έλεγχο πρόσβασης, κρυπτογράφηση όπου απαιτείται, προστασία από μη εξουσιοδοτημένη πρόσβαση, μηχανισμούς παρακολούθησης συστημάτων, χρήση πρωτοκόλλων ασφαλούς μετάδοσης δεδομένων (TLS), role-based access control (RBAC), καταγραφή και παρακολούθηση ενεργειών μέσω logs (audit logs). 5.3. Τα υπό επεξεργασία προσωπικά δεδομένα ενδέχεται να κοινοποιούνται σε: παρόχους υποδομής Cloud και Hosting, παρόχους authentication, storage, database, monitoring και ασφάλειας, τεχνικούς παρόχους API, analytics ή AI, όπου απαιτείται για τη λειτουργία των σχετικών features, νομικούς, λογιστικούς ή ελεγκτικούς συμβούλους, όταν αυτό είναι αναγκαίο, δημόσιες αρχές, όταν απαιτείται από το νόμο. Η διαβίβαση γίνεται μόνο στο μέτρο που είναι αναγκαία και με κατάλληλες συμβατικές και οργανωτικές εγγυήσεις. 6. Υποεκτελούντες (Subprocessors) 6.1 Ο Εκτελών δεν αναθέτει επεξεργασία σε τρίτους χωρίς προηγούμενη έγκριση του Υπεύθυνου. 6.2 Σε περίπτωση χρήσης Υποεκτελούντων, διασφαλίζεται ότι δεσμεύονται από αντίστοιχες υποχρεώσεις προστασίας δεδομένων. 6.3 Ο Εκτελών δύναται να χρησιμοποιεί παρόχους υποδομών cloud (ενδεικτικά Firebase / Google Cloud) αποκλειστικά για τη φιλοξενία και λειτουργία της υπηρεσίας, οι οποίοι δεσμεύονται από αντίστοιχες υποχρεώσεις προστασίας δεδομένων. Δύναται επίσης να χρησιμοποιεί υποεκτελούντες ή τρίτους παρόχους, ενδεικτικά για authentication, monitoring/logging, AI services, email ή transactional notifications. 7. Δικαιώματα Υποκειμένων 7.1. Ο Εκτελών συνδράμει τον Υπεύθυνο στην ικανοποίηση αιτημάτων υποκειμένων δεδομένων. 7.2. Ο Εκτελών ενημερώνει άμεσα τον Υπεύθυνο για κάθε σχετικό αίτημα. 7.3. Τα αιτήματα των υποκειμένων μπορούν να υποβάλλονται στο: support@notthesame.gr 8. Παραβίαση Δεδομένων 8.1. Ο Εκτελών ενημερώνει χωρίς αδικαιολόγητη καθυστέρηση τον Υπεύθυνο σε περίπτωση που γίνει αντιληπτή παραβίαση των δεδομένων που επεξεργάζεται. 8.2. Ο Εκτελών συνεργάζεται και καταβάλλει κάθε προσπάθεια για τον περιορισμό και την αποκατάσταση της παραβίασης. 9. Εκτίμηση Αντικτύπου (DPIA) Ο Εκτελών παρέχει εύλογη συνδρομή στον Υπεύθυνο για τη διενέργεια εκτιμήσεων αντικτύπου και διαβουλεύσεων με αρχές, όπου απαιτείται. 10. Χρόνος Διατήρησης των Δεδομένων 10.1. Τα δεδομένα προσωπικού χαρακτήρα διατηρούνται για όσο χρόνο διαρκεί η παροχή υπηρεσιών από τη χρήση της εφαρμογής και πάντως για χρονικό διάστημα που δεν υπερβαίνει το αναγκαίο για την επίτευξη των σκοπών επεξεργασίας, όπως αυτοί περιγράφονται στην παρούσα Πολιτική, εκτός εάν προβλέπεται διαφορετικά από την ισχύουσα νομοθεσία ή απαιτείται για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων. 10.2. Με τη λήξη της παροχής υπηρεσιών, ο Εκτελών διαγράφει ή επιστρέφει τα δεδομένα, εκτός εάν απαιτείται διατήρησή τους από το νόμο. 10.3. Τα δεδομένα λογαριασμού διατηρούνται έως τη διαγραφή του λογαριασμού και για εύλογο χρονικό διάστημα για λόγους ασφαλείας και συμμόρφωσης. 10.4. Τα τεχνικά logs διατηρούνται για περιορισμένο χρονικό διάστημα αποκλειστικά για λόγους ασφάλειας, ελέγχου και βελτίωσης της υπηρεσίας. 11. Δικαιώματα Ελέγχου Ο Υπεύθυνος δύναται να ζητήσει αποδείξεις συμμόρφωσης και να διενεργεί ελέγχους, κατόπιν εύλογης προειδοποίησης. 12. Εμπιστευτικότητα Τα Μέρη υποχρεούνται να τηρούν εμπιστευτικές όλες τις πληροφορίες που ανταλλάσσονται. 13. Χρήση Τεχνητής Νοημοσύνης 13.1. Η χρήση τεχνητής νοημοσύνης περιορίζεται στην υποστήριξη ανάλυσης δεδομένων και στην παραγωγή προτάσεων ή συστάσεων προς τον Υπεύθυνο Επεξεργασίας, χωρίς αυτοτελή εκτελεστική ισχύ. Ενδεικτικά περιλαμβάνουν την εξαγωγή συσχετίσεων, την αναγνώριση προτύπων και τη δημιουργία προβλέψεων σχετικά με τη συμπεριφορά πελατών. 13.2. Τα αποτελέσματα που παράγονται από τα συστήματα αυτά έχουν κατ’ ανάγκη πιθανολογικό χαρακτήρα και δεν συνιστούν δεσμευτικές ή αυτοματοποιημένες αποφάσεις που παράγουν έννομα αποτελέσματα για φυσικά πρόσωπα. Η αξιολόγηση και αξιοποίηση των αποτελεσμάτων επαφίεται αποκλειστικά στην κρίση της εκάστοτε επιχείρησης-πελάτη. 13.3. Ο Υπεύθυνος Επεξεργασίας διατηρεί την πλήρη ευθύνη για κάθε επιχειρηματική ή εμπορική απόφαση που λαμβάνεται βάσει των αποτελεσμάτων της ανάλυσης. 13.4. Ο Εκτελών την Επεξεργασία δεν εγγυάται την ακρίβεια, πληρότητα ή καταλληλόλητα των παραγόμενων συμπερασμάτων, τα οποία βασίζονται σε πιθανολογικά και στατιστικά μοντέλα. 14. Τροποποιήσεις της Πολιτικής Η Εταιρεία διατηρεί το δικαίωμα να τροποποιεί την παρούσα Πολιτική οποτεδήποτε, με τις αλλαγές να τίθενται σε ισχύ από τη δημοσίευσή τους στην πλατφόρμα. 15. Εφαρμοστέο Δίκαιο και Δικαιοδοσία Η παρούσα Σύμβαση διέπεται από τον Κανονισμό Προστασίας Δεδομένων Προσωπικού Χαρακτήρα Κανονισμός (ΕΕ) 2016/679 (GDPR), όπως έχει ενσωματωθεί και ισχύει στην Ελλάδα σύμφωνα με το Ν. 4624/2019, και το ισχύον ελληνικό δίκαιο. Αρμόδια είναι τα δικαστήρια της Θεσσαλονίκης.