Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων (η «ΣΕΔ») αποτελεί μέρος των Όρων Παροχής Υπηρεσιών μεταξύ του πελάτη που χρησιμοποιεί το PulseDesk (ο «Πελάτης», ο υπεύθυνος επεξεργασίας) και της Londonist Yazılım ve Teknolojileri A.Ş. (το «PulseDesk», ο εκτελών την επεξεργασία). Εφαρμόζεται κάθε φορά που το PulseDesk επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του Πελάτη μέσω της υπηρεσίας PulseDesk. Τίθεται σε ισχύ όταν ο Πελάτης αποδέχεται τους Όρους και δεν απαιτεί χωριστή υπογραφή· αντίγραφο υπογεγραμμένο και από τα δύο μέρη διατίθεται κατόπιν αιτήματος.
1. Ορισμοί
- Νομοθεσία για την Προστασία Δεδομένων νοείται κάθε νόμος για τα δεδομένα προσωπικού χαρακτήρα που εφαρμόζεται στην επεξεργασία, συμπεριλαμβανομένων του Γενικού Κανονισμού για την Προστασία Δεδομένων (ΕΕ) 2016/679 («ΓΚΠΔ» / «GDPR»), του UK GDPR και του Data Protection Act 2018 του Ηνωμένου Βασιλείου, του Τουρκικού Νόμου αριθ. 6698 για την Προστασία Δεδομένων Προσωπικού Χαρακτήρα («KVKK»), του Digital Personal Data Protection Act 2023 της Ινδίας και άλλων εθνικών νόμων.
- Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη νοούνται τα δεδομένα προσωπικού χαρακτήρα που επεξεργάζεται το PulseDesk για λογαριασμό του Πελάτη κατά την παροχή της υπηρεσίας.
- Υπο-εκτελών την επεξεργασία νοείται τρίτος που προσλαμβάνεται από το PulseDesk για την επεξεργασία Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη.
- Παραβίαση Δεδομένων Προσωπικού Χαρακτήρα νοείται η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση σε Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη.
- Όροι όπως «υπεύθυνος επεξεργασίας», «εκτελών την επεξεργασία», «υποκείμενο των δεδομένων» και «επεξεργασία» έχουν την έννοια που τους αποδίδει ο ΓΚΠΔ (και οι αντίστοιχοι όροι σε άλλους νόμους της Νομοθεσίας για την Προστασία Δεδομένων, όπως «υπεύθυνος επεξεργασίας δεδομένων» και «εκτελών την επεξεργασία δεδομένων» στον KVKK).
2. Ρόλοι και πεδίο εφαρμογής
- Ο Πελάτης είναι ο υπεύθυνος επεξεργασίας και το PulseDesk είναι ο εκτελών την επεξεργασία των Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη. Όταν ο ίδιος ο Πελάτης ενεργεί ως εκτελών την επεξεργασία για άλλον υπεύθυνο επεξεργασίας, το PulseDesk είναι ο υπο-εκτελών την επεξεργασία του και ο Πελάτης παραμένει υπεύθυνος έναντι του εν λόγω υπευθύνου επεξεργασίας.
- Το αντικείμενο, η φύση, ο σκοπός και η διάρκεια της επεξεργασίας, οι τύποι δεδομένων προσωπικού χαρακτήρα και οι κατηγορίες υποκειμένων των δεδομένων ορίζονται στο Παράρτημα 1.
3. Οδηγίες του Πελάτη
- Το PulseDesk επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη μόνο βάσει καταγεγραμμένων οδηγιών του Πελάτη. Οι παρόντες Όροι, η παρούσα ΣΕΔ και η διαμόρφωση και χρήση της υπηρεσίας από τον Πελάτη (για παράδειγμα οι λειτουργίες που ενεργοποιεί, οι ρυθμίσεις διατήρησης και τα δικαιώματα που παραχωρεί) αποτελούν το σύνολο των οδηγιών του Πελάτη.
- Το PulseDesk θα ενημερώνει τον Πελάτη εάν, κατά τη γνώμη του, μια οδηγία παραβιάζει τη Νομοθεσία για την Προστασία Δεδομένων και μπορεί να αναστείλει την εκτέλεση της οδηγίας έως ότου αυτή επιβεβαιωθεί ή τροποποιηθεί.
- Εάν ο νόμος υποχρεώνει το PulseDesk να επεξεργαστεί Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη με διαφορετικό τρόπο, θα ενημερώσει πρώτα τον Πελάτη, εκτός εάν ο νόμος το απαγορεύει.
4. Υποχρεώσεις του Πελάτη
Ο Πελάτης ευθύνεται για τη νομιμότητα της επεξεργασίας για την οποία δίνει οδηγίες. Ειδικότερα, ο Πελάτης εγγυάται ότι:
- διαθέτει έγκυρη νόμιμη βάση για την παρακολούθηση και την επεξεργασία των δεδομένων των εργαζομένων του και άλλων χρηστών και έχει διενεργήσει κάθε απαιτούμενη εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων·
- έχει ενημερώσει τα υποκείμενα των δεδομένων με σαφήνεια και εκ των προτέρων - στη δική του ενημέρωση απορρήτου - για τα δεδομένα που συλλέγονται μέσω του PulseDesk, τους σκοπούς, τις περιόδους διατήρησης και το ποιος έχει πρόσβαση σε αυτά, και έχει λάβει κάθε απαιτούμενη συγκατάθεση ή έγκριση από εκπροσώπους των εργαζομένων·
- χρησιμοποιεί την υπηρεσία μόνο σε συσκευές που του ανήκουν ή τις οποίες δικαιούται να διαχειρίζεται και δεν τη χρησιμοποιεί για κρυφή παρακολούθηση, σύμφωνα με την Πολιτική Αποδεκτής Χρήσης·
- ρυθμίζει την υπηρεσία με αναλογικό τρόπο (για παράδειγμα στιγμιότυπα οθόνης, τοποθεσία και εγγραφές συσκέψεων) και διατηρεί κατάλληλες ρυθμίσεις δικαιωμάτων·
- εγγράφεται σε εποπτικές αρχές ή τις ενημερώνει, όπου το απαιτεί η τοπική του νομοθεσία (για παράδειγμα εγγραφή στο VERBİS σύμφωνα με τον KVKK).
5. Υποχρεώσεις του PulseDesk
Το PulseDesk:
- θα επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη μόνο για τους σκοπούς που ορίζονται στο Παράρτημα 1 και ποτέ για δικούς του σκοπούς μάρκετινγκ, διαφήμισης ή κατάρτισης προφίλ, και δεν θα τα πωλεί·
- θα διασφαλίζει ότι το προσωπικό του που έχει πρόσβαση σε Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη δεσμεύεται από υποχρέωση εμπιστευτικότητας και έχει πρόσβαση σε αυτά μόνο όταν αυτό είναι αναγκαίο για την παροχή ή την υποστήριξη της υπηρεσίας·
- θα εφαρμόζει και θα διατηρεί τα τεχνικά και οργανωτικά μέτρα που περιγράφονται στο Παράρτημα 2, τα οποία μπορούν να επικαιροποιούνται εφόσον δεν μειώνεται το συνολικό επίπεδο προστασίας·
- θα συνδράμει τον Πελάτη, λαμβάνοντας υπόψη τη φύση της επεξεργασίας, σε σχέση με αιτήματα υποκειμένων των δεδομένων, την ασφάλεια, τις γνωστοποιήσεις παραβιάσεων, τις εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων και τις προηγούμενες διαβουλεύσεις με εποπτικές αρχές.
6. Αιτήματα υποκειμένων των δεδομένων
Η υπηρεσία επιτρέπει στον Πελάτη να προβάλλει, να εξάγει και να διαγράφει τα δεδομένα των χρηστών του. Εάν το PulseDesk λάβει απευθείας από υποκείμενο των δεδομένων αίτημα που αφορά Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη, θα το διαβιβάσει στον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και δεν θα απαντήσει το ίδιο, παρά μόνο για να επιβεβαιώσει ότι το αίτημα διαβιβάστηκε, εκτός εάν ο Πελάτης το εξουσιοδοτήσει διαφορετικά.
7. Υπο-εκτελούντες την επεξεργασία
- Ο Πελάτης παρέχει στο PulseDesk γενική άδεια να προσλαμβάνει Υπο-εκτελούντες την επεξεργασία. Ο τρέχων κατάλογος δημοσιεύεται στη σελίδα Υπο-εκτελούντες την επεξεργασία.
- Το PulseDesk θα επιβάλλει σε κάθε Υπο-εκτελούντα την επεξεργασία υποχρεώσεις προστασίας δεδομένων που δεν παρέχουν μικρότερη προστασία από την παρούσα ΣΕΔ και παραμένει υπεύθυνο για την εκτέλεση των υποχρεώσεών τους.
- Το PulseDesk θα ειδοποιεί τουλάχιστον 30 ημέρες νωρίτερα για κάθε νέο Υπο-εκτελούντα την επεξεργασία, επικαιροποιώντας τον κατάλογο και ενημερώνοντας τους κατόχους των οργανισμών. Ο Πελάτης μπορεί να προβάλει αντίρρηση για εύλογους λόγους προστασίας δεδομένων εντός 15 ημερών από την ειδοποίηση. Τα μέρη θα συζητήσουν την αντίρρηση καλόπιστα· εάν δεν μπορεί να επιλυθεί, ο Πελάτης μπορεί να καταγγείλει το επηρεαζόμενο μέρος της υπηρεσίας χωρίς ποινή και να λάβει επιστροφή των προκαταβληθεισών χρεώσεων για την υπόλοιπη περίοδο.
8. Διεθνείς διαβιβάσεις
Τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη φιλοξενούνται στο Ηνωμένο Βασίλειο. Το PulseDesk και οι Υπο-εκτελούντες την επεξεργασία μπορούν να τα επεξεργάζονται σε άλλες χώρες που αναφέρονται στη σελίδα των Υπο-εκτελούντων την επεξεργασία. Για κάθε διαβίβαση που απαιτεί εγγυήσεις σύμφωνα με τη Νομοθεσία για την Προστασία Δεδομένων, το PulseDesk θα εφαρμόζει κατάλληλο μηχανισμό διαβίβασης, όπως τις τυποποιημένες συμβατικές ρήτρες της ΕΕ (ενότητα δύο ή τρία, κατά περίπτωση), το Παράρτημα Διεθνούς Διαβίβασης Δεδομένων του Ηνωμένου Βασιλείου (UK International Data Transfer Addendum) και, για διαβιβάσεις που υπόκεινται στον KVKK, τις τυποποιημένες συμβάσεις και την ειδοποίηση που απαιτεί το άρθρο 9 του KVKK, μαζί με συμπληρωματικά μέτρα όπου χρειάζεται.
9. Παραβιάσεις Δεδομένων Προσωπικού Χαρακτήρα
Το PulseDesk θα ενημερώνει τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός 48 ωρών αφότου λάβει γνώση Παραβίασης Δεδομένων Προσωπικού Χαρακτήρα που αφορά Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη. Η ενημέρωση θα περιγράφει, στον βαθμό που είναι γνωστά, τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό των επηρεαζόμενων υποκειμένων των δεδομένων και αρχείων, τις πιθανές συνέπειες και τα μέτρα που ελήφθησαν ή προτείνονται. Οι πληροφορίες μπορούν να παρέχονται σταδιακά. Το PulseDesk θα λαμβάνει εύλογα μέτρα για τον περιορισμό και την αποκατάσταση της παραβίασης. Ο Πελάτης είναι υπεύθυνος για τη γνωστοποίηση στις εποπτικές αρχές και την ανακοίνωση στα υποκείμενα των δεδομένων όπου απαιτείται (για παράδειγμα εντός 72 ωρών σύμφωνα με τον ΓΚΠΔ και τον KVKK). Η ενημέρωση δεν συνιστά αναγνώριση υπαιτιότητας.
10. Έλεγχοι
Το PulseDesk θα θέτει στη διάθεση του Πελάτη τις πληροφορίες που είναι εύλογα αναγκαίες για την απόδειξη της συμμόρφωσης με την παρούσα ΣΕΔ, συμπεριλαμβανομένων απαντήσεων σε ερωτηματολόγια ασφαλείας. Εάν αυτό δεν επαρκεί ή εάν το απαιτεί εποπτική αρχή, ο Πελάτης μπορεί να ελέγξει τη συμμόρφωση του PulseDesk μία φορά ανά περίοδο 12 μηνών, με έγγραφη ειδοποίηση τουλάχιστον 30 ημερών, κατά τις κανονικές ώρες εργασίας, με δικά του έξοδα και υπό κατάλληλους όρους εμπιστευτικότητας, είτε ο ίδιος είτε μέσω ανεξάρτητου ελεγκτή που δεν είναι ανταγωνιστής του PulseDesk. Οι έλεγχοι δεν πρέπει να θέτουν σε κίνδυνο την ασφάλεια των δεδομένων άλλων πελατών.
11. Επιστροφή και διαγραφή
Κατά τη διάρκεια της συνδρομής, ο Πελάτης μπορεί να εξάγει και να διαγράφει Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη μέσω της υπηρεσίας. Μετά τη λήξη της συμφωνίας, ο Πελάτης έχει 30 ημέρες για να εξαγάγει τα δεδομένα του. Στη συνέχεια το PulseDesk θα διαγράψει τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη από τα ενεργά του συστήματα εντός επιπλέον 30 ημερών και από τα αντίγραφα ασφαλείας εντός 90 ημερών, εκτός εάν ο νόμος απαιτεί τη διατήρησή τους, οπότε το PulseDesk θα τα τηρεί εμπιστευτικά και θα τα επεξεργάζεται μόνο για τον σκοπό αυτό.
12. Ευθύνη και διάρκεια
Οι περιορισμοί ευθύνης των Όρων εφαρμόζονται στην παρούσα ΣΕΔ, εκτός εάν η Νομοθεσία για την Προστασία Δεδομένων δεν το επιτρέπει. Η παρούσα ΣΕΔ ισχύει για όσο διάστημα το PulseDesk επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη. Εάν η παρούσα ΣΕΔ έρχεται σε σύγκρουση με τους Όρους, η παρούσα ΣΕΔ υπερισχύει για θέματα προστασίας δεδομένων. Διέπεται από το ίδιο δίκαιο και την ίδια δικαιοδοσία με τους Όρους, εκτός εάν η Νομοθεσία για την Προστασία Δεδομένων ή οι ρήτρες διαβίβασης ορίζουν διαφορετικά.
Παράρτημα 1 - Στοιχεία της επεξεργασίας
Σκοπός: η παροχή της υπηρεσίας PulseDesk στον Πελάτη: αυτόματη καταγραφή χρόνου και δραστηριότητας, ανάλυση παραγωγικότητας και παρουσίας, στιγμιότυπα οθόνης (εάν είναι ενεργοποιημένα), χρόνος εκτός σύνδεσης, έργα, προγράμματα εργασίας και βάρδιες, διαχείριση αδειών και απουσιών, επίσημες αργίες, συνομιλίες, κλήσεις και συσκέψεις (συμπεριλαμβανομένων εγγραφών, απομαγνητοφωνήσεων και περιλήψεων από AI, εφόσον χρησιμοποιούνται), έγγραφα και drive, ανακοινώσεις, αναφορές, ειδοποιήσεις, ο βοηθός AI Lucy, υποστήριξη και ασφάλεια.
Φύση της επεξεργασίας: συλλογή μέσω της εφαρμογής υπολογιστή και του πίνακα ελέγχου, αποθήκευση, οργάνωση, ανάλυση, εμφάνιση σε εξουσιοδοτημένους χρήστες, μετάδοση, εξαγωγή και διαγραφή.
Διάρκεια: για τη διάρκεια της συνδρομής και έως τη διαγραφή σύμφωνα με την ενότητα 11.
Υποκείμενα των δεδομένων: οι εργαζόμενοι, οι εξωτερικοί συνεργάτες, οι προϊστάμενοι και οι διαχειριστές του Πελάτη που χρησιμοποιούν το PulseDesk· επισκέπτες συσκέψεων που προσκαλούνται από χρήστες· πρόσωπα που αναφέρονται σε περιεχόμενο που ανεβάζει ο Πελάτης.
Κατηγορίες δεδομένων προσωπικού χαρακτήρα:
- Δεδομένα ταυτότητας και επικοινωνίας: όνομα, εταιρικό email, τηλέφωνο, θέση εργασίας, τμήμα, προϊστάμενος, φωτογραφία προφίλ, γλώσσα και ζώνη ώρας·
- Δεδομένα λογαριασμού: κατακερματισμός κωδικού πρόσβασης, ρόλοι και δικαιώματα, πληροφορίες σύνδεσης και συσκευής, έκδοση της εφαρμογής υπολογιστή·
- Δεδομένα δραστηριότητας εργασίας: χρόνοι εργασίας, άφιξη και αποχώρηση, ενεργές εφαρμογές και τίτλοι παραθύρων, διευθύνσεις ιστότοπων, χρόνος αδράνειας, απουσίας και ιδιωτικός χρόνος, καταχωρίσεις χρόνου εκτός σύνδεσης, χαρακτηρισμοί παραγωγικότητας·
- Στιγμιότυπα της οθόνης, εάν ο Πελάτης τα ενεργοποιήσει·
- Κατά προσέγγιση τοποθεσία (βάσει IP ή τοποθεσίας συσκευής), εάν ο Πελάτης την ενεργοποιήσει·
- Δεδομένα προγραμματισμού: προγράμματα εργασίας, βάρδιες, αιτήματα και υπόλοιπα αδειών, επίσημες αργίες και λόγοι απουσίας·
- Δεδομένα προσωπικού που ο Πελάτης επιλέγει να καταχωρίσει, όπως ημερομηνία πρόσληψης, ημερομηνία γέννησης, χώρα εργασίας, ωριαία αμοιβή και έγγραφα·
- Δεδομένα επικοινωνίας: μηνύματα συνομιλίας και αρχεία, ιστορικό κλήσεων και συσκέψεων, εγγραφές, απομαγνητοφωνήσεις και περιλήψεις, ανακοινώσεις·
- Δεδομένα βοηθού: ερωτήσεις που υποβάλλονται στη Lucy και οι απαντήσεις που παράγονται·
- Τεχνικά δεδομένα: διευθύνσεις IP, αρχεία καταγραφής και συμβάντα παραβίασης της εφαρμογής υπολογιστή.
Ειδικές κατηγορίες: Το PulseDesk δεν έχει σχεδιαστεί για την επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα. Ωστόσο, λόγοι απουσίας, έγγραφα προσωπικού ή μηνύματα που καταχωρίζει ο Πελάτης ενδέχεται να περιέχουν τέτοια δεδομένα (για παράδειγμα πληροφορίες υγείας σχετικές με αναρρωτική άδεια). Ο Πελάτης αποφασίζει αν θα καταχωρίζει τέτοια δεδομένα και ευθύνεται για την ύπαρξη νόμιμης βάσης.
Παράρτημα 2 - Τεχνικά και οργανωτικά μέτρα
- Κρυπτογράφηση κατά τη μεταφορά: όλες οι συνδέσεις με τον πίνακα ελέγχου, το API και την εφαρμογή υπολογιστή χρησιμοποιούν HTTPS/TLS.
- Έλεγχος πρόσβασης: δικαιώματα βάσει ρόλων που επιβάλλονται στον διακομιστή για κάθε αίτημα· αυστηρός διαχωρισμός των δεδομένων κάθε πελάτη· οι ευαίσθητες προβολές (στιγμιότυπα οθόνης, φάκελοι προσωπικού, τοποθεσία) περιορίζονται σε εξουσιοδοτημένους ρόλους.
- Ταυτοποίηση: οι κωδικοί πρόσβασης αποθηκεύονται με ισχυρό αλγόριθμο μονόδρομου κατακερματισμού· υπογεγραμμένα διακριτικά περιόδου σύνδεσης με ημερομηνία λήξης· κωδικοί μεταβίβασης μίας χρήσης για την εφαρμογή υπολογιστή.
- Προστατευμένα αρχεία: τα στιγμιότυπα οθόνης και άλλα ευαίσθητα αρχεία δεν είναι δημόσια προσβάσιμα και παρέχονται μέσω υπογεγραμμένων συνδέσμων περιορισμένης διάρκειας· τα στιγμιότυπα οθόνης διαγράφονται σύμφωνα με τη ρύθμιση διατήρησης του Πελάτη.
- Υποδομή: φιλοξενία σε επαγγελματικό κέντρο δεδομένων στο Λονδίνο, Ηνωμένο Βασίλειο· η πρόσβαση στη βάση δεδομένων περιορίζεται σε ταυτοποιημένους λογαριασμούς υπηρεσίας· η διαχειριστική πρόσβαση περιορίζεται σε εξουσιοδοτημένο προσωπικό.
- Αντίγραφα ασφαλείας: τακτικά αντίγραφα ασφαλείας της βάσης δεδομένων που αποθηκεύονται χωριστά ώστε να είναι δυνατή η αποκατάσταση.
- Προσωπικό: υποχρεώσεις εμπιστευτικότητας· πρόσβαση βάσει της αρχής της αναγκαιότητας· ελάχιστα προνόμια για τη διαχειριστική πρόσβαση.
- Ακεραιότητα της εφαρμογής υπολογιστή: αυτόματες ενημερώσεις· εντοπισμός και καταγραφή των απόπειρων κλεισίματος ή απεγκατάστασης της εφαρμογής, οι οποίες αναφέρονται στους διαχειριστές του Πελάτη.
- Λειτουργίες AI: στον πάροχο AI αποστέλλονται μόνο δεδομένα στα οποία έχει πρόσβαση ο χρήστης που υποβάλλει το αίτημα· ο πάροχος δεν τα χρησιμοποιεί για εκπαίδευση· η χρήση καταγράφεται χωρίς αποθήκευση του περιεχομένου των συνομιλιών στους διακομιστές μας.
- Διαχείριση περιστατικών: διαδικασίες για τον εντοπισμό, τη διερεύνηση, τον περιορισμό και τη γνωστοποίηση Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα.
Παράρτημα 3 - Υπο-εκτελούντες την επεξεργασία
Οι εξουσιοδοτημένοι Υπο-εκτελούντες την επεξεργασία αναφέρονται στη σελίδα Υπο-εκτελούντες την επεξεργασία.