Σύμβαση Επεξεργασίας Δεδομένων

1. Πεδίο Εφαρμογής

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων («ΣΕΔ») αποτελεί μέρος των Όρων Χρήσης μεταξύ του ManuHive και του οργανισμού που χρησιμοποιεί την Υπηρεσία (ο «Πελάτης»). Τίθεται σε ισχύ όταν ο Πελάτης αποδέχεται τους Όρους Χρήσης· δεν απαιτείται χωριστή υπογραφή.

Καλύπτει τα δεδομένα προσωπικού χαρακτήρα που επεξεργάζεται το ManuHive για λογαριασμό του Πελάτη όταν παρέχει την Υπηρεσία («Δεδομένα Πελάτη»). Δεν καλύπτει τα δεδομένα που επεξεργάζεται το ManuHive για δικούς του σκοπούς, όπως η διαχείριση λογαριασμών, η χρέωση, η ασφάλεια και τα αναλυτικά στοιχεία του ιστότοπού μας· αυτή την επεξεργασία την περιγράφει η Πολιτική Απορρήτου μας.

Εάν η παρούσα ΣΕΔ και οι Όροι Χρήσης συγκρούονται ως προς την προστασία των δεδομένων προσωπικού χαρακτήρα, υπερισχύει η παρούσα ΣΕΔ.

Πελάτης που χρειάζεται υπογεγραμμένο αντίγραφο, για παράδειγμα για τα αρχεία του ή για έλεγχο, μπορεί να το ζητήσει στη διεύθυνση της ενότητας 15.

2. Ορισμοί

Οι όροι «υπεύθυνος επεξεργασίας», «εκτελών την επεξεργασία», «δεδομένα προσωπικού χαρακτήρα», «επεξεργασία», «υποκείμενο των δεδομένων», «παραβίαση δεδομένων προσωπικού χαρακτήρα» και «εποπτική αρχή» έχουν την έννοια που τους δίνει ο Γενικός Κανονισμός για την Προστασία Δεδομένων (ΕΕ) 2016/679 («GDPR»). «Νομοθεσία για την Προστασία Δεδομένων» σημαίνει τον GDPR, τον Ν. 4624/2019 και κάθε άλλη νομοθεσία για την προστασία δεδομένων της Ευρωπαϊκής Ένωσης ή των κρατών μελών της που εφαρμόζεται στην επεξεργασία, και, για Πελάτη εγκατεστημένο εκτός της Ευρωπαϊκής Ένωσης, τη νομοθεσία για την προστασία δεδομένων της χώρας του, στον βαθμό που εφαρμόζεται στην επεξεργασία. «Υποεκτελών την επεξεργασία» είναι άλλος εκτελών την επεξεργασία στον οποίο το ManuHive αναθέτει την επεξεργασία Δεδομένων Πελάτη. Κατά τα λοιπά ισχύουν οι ορισμοί των Όρων Χρήσης.

3. Ρόλοι

Ο Πελάτης είναι ο υπεύθυνος επεξεργασίας των Δεδομένων Πελάτη και το ManuHive είναι ο εκτελών την επεξεργασία. Όπου ο ίδιος ο Πελάτης επεξεργάζεται τα δεδομένα για λογαριασμό άλλου υπευθύνου επεξεργασίας, το ManuHive ενεργεί ως υποεκτελών την επεξεργασία, και ο Πελάτης μεταβιβάζει τις εντολές και τις πληροφορίες που απαιτεί η παρούσα ΣΕΔ.

Ο Πελάτης ευθύνεται για τη νομιμότητα της επεξεργασίας που αποφασίζει. Πρέπει να έχει νομική βάση για τα δεδομένα που εισάγει· να παρέχει στο προσωπικό του, στους πελάτες του και σε κάθε άλλο πρόσωπο του οποίου τα δεδομένα εισάγει την ενημέρωση που απαιτεί ο νόμος (για παράδειγμα, ότι καταγράφονται οι χρόνοι των βημάτων εργασίας τους)· και να διασφαλίζει ότι οι εντολές του συμμορφώνονται με τη Νομοθεσία για την Προστασία Δεδομένων και με το εργατικό δίκαιο, συμπεριλαμβανομένης κάθε υποχρέωσης ενημέρωσης ή διαβούλευσης με τους εκπροσώπους των εργαζομένων. Πελάτης εγκατεστημένος εκτός της Ευρωπαϊκής Ένωσης ενημερώνει γραπτώς το ManuHive για κάθε απαίτηση του δικαίου της χώρας του που υπερβαίνει την παρούσα ΣΕΔ.

4. Στοιχεία της Επεξεργασίας

• Αντικείμενο και διάρκεια: η παροχή της Υπηρεσίας στον Πελάτη, για όσο τη χρησιμοποιεί, και η περίοδος διαγραφής της ενότητας 11.
• Φύση και σκοπός: αποθήκευση, οργάνωση, εμφάνιση, ανάκτηση, αποστολή (για παράδειγμα email ειδοποιήσεων) και διαγραφή δεδομένων, ώστε ο Πελάτης να σχεδιάζει και να εκτελεί την παραγωγή, να διαχειρίζεται παραγγελίες, απόθεμα, αγορές και παραδόσεις, και να αναλύει την απόδοσή του· καθώς και υποστήριξη όταν τη ζητά ο Πελάτης.
• Υποκείμενα των δεδομένων: οι χρήστες του Πελάτη (το προσωπικό και οι συνεργάτες του), όσοι εργάζονται στις μηχανές του, οι οδηγοί του, τα πρόσωπα επικοινωνίας των πελατών, των προμηθευτών και των μεταφορικών εταιρειών του, και τα πρόσωπα στα οποία στέλνει συνδέσμους παρακολούθησης παραγγελιών ή προσφορές.
• Είδη δεδομένων προσωπικού χαρακτήρα: ονόματα, διευθύνσεις email, αριθμοί τηλεφώνου και θέσεις εργασίας· λογαριασμοί χρηστών, ρόλοι, αρχεία συνδέσεων και PIN· αρχεία εργασίας (ποιος ξεκίνησε, έθεσε σε παύση ή ολοκλήρωσε ποιο βήμα εργασίας, πότε και για πόσο) και οι δείκτες απόδοσης που υπολογίζονται από αυτά για κάθε άτομο· διευθύνσεις και δρομολόγια παραδόσεων, φωτογραφίες και σημειώσεις παραδόσεων, και η θέση ενός οδηγού που την κοινοποιεί ενώ εκτελεί δρομολόγιο (τηρείται μόνο έως το τέλος του δρομολογίου, το πολύ 24 ώρες)· στοιχεία επικοινωνίας των πελατών, των προμηθευτών και των μεταφορικών εταιρειών του Πελάτη· σχόλια, σημειώσεις και αρχεία που επιλέγει να ανεβάσει ο Πελάτης· και το αρχείο ελέγχου για το ποιος άλλαξε τι.
• Ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα (όπως δεδομένα υγείας ή βιομετρικά δεδομένα) και δεδομένα σχετικά με ποινικές καταδίκες δεν πρέπει να εισάγονται: οι Όροι Χρήσης δεν το επιτρέπουν χωρίς προηγούμενη γραπτή συμφωνία μας.

5. Εντολές

Το ManuHive επεξεργάζεται Δεδομένα Πελάτη μόνο βάσει καταγεγραμμένων εντολών του Πελάτη. Οι Όροι Χρήσης, η παρούσα ΣΕΔ και η χρήση και ρύθμιση της Υπηρεσίας από τον Πελάτη (τα δεδομένα που εισάγει, οι ρυθμίσεις που επιλέγει, τα πρόσωπα που προσκαλεί και οι ενσωματώσεις που ενεργοποιεί) αποτελούν τις πλήρεις εντολές του Πελάτη κατά την έναρξη ισχύος της παρούσας ΣΕΔ. Περαιτέρω εντολές πρέπει να δίνονται γραπτώς και να είναι εφικτές μέσα στην Υπηρεσία.

Το ManuHive επεξεργάζεται Δεδομένα Πελάτη με άλλον τρόπο μόνο όπου το απαιτεί το δίκαιο της Ευρωπαϊκής Ένωσης ή κράτους μέλους. Στην περίπτωση αυτή ενημερώνει τον Πελάτη πριν από την επεξεργασία, εκτός εάν το δίκαιο αυτό το απαγορεύει.

Το ManuHive ενημερώνει αμέσως τον Πελάτη εάν, κατά τη γνώμη του, μια εντολή παραβιάζει τη Νομοθεσία για την Προστασία Δεδομένων.

6. Εμπιστευτικότητα και Ασφάλεια

Όποιος στο ManuHive έχει πρόσβαση σε Δεδομένα Πελάτη δεσμεύεται από υποχρέωση εμπιστευτικότητας και έχει πρόσβαση σε αυτά μόνο στον βαθμό που χρειάζεται για να παρέχει την Υπηρεσία, να διεκπεραιώσει αίτημα του Πελάτη ή να εκπληρώσει νομική υποχρέωση.

Το ManuHive εφαρμόζει τα τεχνικά και οργανωτικά μέτρα του Παραρτήματος 1 για την προστασία των Δεδομένων Πελάτη, σύμφωνα με το Άρθρο 32 GDPR. Μπορεί να τα μεταβάλλει καθώς εξελίσσεται η τεχνολογία, υπό την προϋπόθεση ότι δεν μειώνεται το συνολικό επίπεδο προστασίας.

Η ασφάλεια είναι κοινή. Το ManuHive είναι υπεύθυνο για την ασφάλεια της Υπηρεσίας. Ο Πελάτης είναι υπεύθυνος για τον τρόπο που χρησιμοποιεί την Υπηρεσία: σε ποιους δίνει πρόσβαση και με ποιον ρόλο, την αφαίρεση πρόσβασης όταν κάποιος αποχωρεί, τη διατήρηση των κωδικών πρόσβασης, των PIN και των συσκευών στις μηχανές του υπό τον έλεγχό του, καθώς και τη μυστικότητα των συνδέσμων και κλειδιών που δημιουργεί στην Υπηρεσία (σύνδεσμοι παρακολούθησης παραγγελιών, σύνδεσμοι Power BI, Tableau και Excel, ροές ημερολογίου, κλειδιά API και διαπιστευτήρια ERP) και την ανάκληση ή ανανέωσή τους εάν εκτεθούν.

7. Υποεκτελούντες την Επεξεργασία

Ο Πελάτης παρέχει στο ManuHive γενική άδεια να χρησιμοποιεί υποεκτελούντες την επεξεργασία. Οι τρέχοντες υποεκτελούντες αναφέρονται στο Παράρτημα 2.

Το ManuHive ειδοποιεί τον Πελάτη τουλάχιστον 30 ημέρες πριν προσθέσει ή αντικαταστήσει υποεκτελούντα, με email στους διαχειριστές του Χώρου Εργασίας ή με ειδοποίηση μέσα στην Υπηρεσία. Ο Πελάτης μπορεί να αντιταχθεί για εύλογους λόγους προστασίας δεδομένων εντός της προθεσμίας αυτής. Εάν η αντίρρηση δεν μπορεί να επιλυθεί, ο Πελάτης μπορεί να σταματήσει να χρησιμοποιεί το επηρεαζόμενο μέρος της Υπηρεσίας, και το ManuHive επιστρέφει όσα τέλη έχουν προκαταβληθεί για το χρονικό διάστημα μετά από αυτό.

Το ManuHive δεσμεύει κάθε υποεκτελούντα, με γραπτή σύμβαση, σε υποχρεώσεις προστασίας δεδομένων που παρέχουν τουλάχιστον το ίδιο επίπεδο προστασίας με την παρούσα ΣΕΔ. Όπως απαιτεί το Άρθρο 28 παράγραφος 4 GDPR, το ManuHive παραμένει υπεύθυνο έναντι του Πελάτη για την εκπλήρωση των υποχρεώσεων των υποεκτελούντων του.

Οι υπηρεσίες που συνδέει ο ίδιος ο Πελάτης, όπως το σύστημα ERP του, οι δικές του διευθύνσεις webhook ή εργαλεία επιχειρηματικής ευφυΐας, καθώς και τα πρόσωπα στα οποία στέλνει συνδέσμους παρακολούθησης, προσφορές ή email, λαμβάνουν δεδομένα με εντολή του Πελάτη. Δεν είναι υποεκτελούντες την επεξεργασία του ManuHive.

8. Τοποθεσία και Διεθνείς Διαβιβάσεις

Η βάση δεδομένων και ο χώρος αποθήκευσης αρχείων όπου βρίσκονται τα Δεδομένα Πελάτη φιλοξενούνται στην Ευρωπαϊκή Ένωση, στην Ιρλανδία.

Ορισμένοι υποεκτελούντες είναι εγκατεστημένοι στις Ηνωμένες Πολιτείες ή στη Σιγκαπούρη ή ενδέχεται να έχουν πρόσβαση σε δεδομένα από εκεί. Κάθε διαβίβαση δεδομένων προσωπικού χαρακτήρα εκτός του Ευρωπαϊκού Οικονομικού Χώρου καλύπτεται από απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής (όπως το Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ, για πιστοποιημένες εταιρείες) ή από τις Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής, όπως ορίζεται στους όρους επεξεργασίας δεδομένων κάθε υποεκτελούντα.

Το ManuHive είναι εγκατεστημένο στην Ελλάδα και υπόκειται στο δίκαιο της Ευρωπαϊκής Ένωσης και της Ελλάδας. Η Supabase Pte. Ltd., που λειτουργεί τη βάση δεδομένων και τον χώρο αποθήκευσης αρχείων, είναι εταιρεία που διέπεται από το δίκαιο της Σιγκαπούρης· η υποδομή που χρησιμοποιεί λειτουργεί από την Amazon Web Services στην Ιρλανδία και υπόκειται στο δίκαιο της ΕΕ και, μέσω των εταιρειών αυτών, ενδεχομένως και στο δίκαιο της Σιγκαπούρης και των Ηνωμένων Πολιτειών. Οι λοιποί υποεκτελούντες υπόκεινται στο δίκαιο των χωρών που αναφέρονται στο Παράρτημα 2. Αν δημόσια αρχή εκτός της Ευρωπαϊκής Ένωσης ζητήσει από το ManuHive δεδομένα του Πελάτη, το ManuHive τα παρέχει μόνο όπου το επιτρέπει διεθνής συμφωνία ή το δίκαιο της ΕΕ, δεν δίνει περισσότερα από όσα απαιτούνται και ενημερώνει πρώτα τον Πελάτη, εκτός αν αυτό απαγορεύεται. Οι δεσμεύσεις των ίδιων των υποεκτελούντων για τέτοια αιτήματα περιγράφονται στους όρους επεξεργασίας δεδομένων τους.

9. Συνδρομή προς τον Πελάτη

Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, το ManuHive βοηθά τον Πελάτη, στο μέτρο του δυνατού, να απαντά σε αιτήματα υποκειμένων των δεδομένων που ασκούν τα δικαιώματά τους (πρόσβαση, διόρθωση, διαγραφή, περιορισμός, φορητότητα και εναντίωση). Οι διαχειριστές μπορούν να βλέπουν, να διορθώνουν, να εξάγουν και να διαγράφουν μόνοι τους τα περισσότερα δεδομένα στην Υπηρεσία.

Εάν το ManuHive λάβει τέτοιο αίτημα απευθείας, το διαβιβάζει στον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση, και το αργότερο εντός τριών εργάσιμων ημερών, και δεν απαντά το ίδιο, εκτός εάν ο νόμος ορίζει διαφορετικά.

Με τις πληροφορίες που έχει στη διάθεσή του, το ManuHive βοηθά επίσης τον Πελάτη να εκπληρώνει τις υποχρεώσεις του για την ασφάλεια, τις παραβιάσεις δεδομένων προσωπικού χαρακτήρα, τις εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων και την προηγούμενη διαβούλευση με εποπτική αρχή (Άρθρα 32 έως 36 GDPR). Το ManuHive μπορεί να χρεώνει εύλογο κόστος για βοήθεια που υπερβαίνει όσα προβλέπουν η Υπηρεσία και η παρούσα ΣΕΔ, εκτός εάν η βοήθεια χρειάζεται επειδή το ManuHive παραβίασε την παρούσα ΣΕΔ.

10. Παραβιάσεις Δεδομένων Προσωπικού Χαρακτήρα

Το ManuHive ειδοποιεί τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, εντός 48 ωρών αφότου λάβει γνώση παραβίασης δεδομένων προσωπικού χαρακτήρα που αφορά Δεδομένα Πελάτη. Η ειδοποίηση αποστέλλεται στις διευθύνσεις email των διαχειριστών του Χώρου Εργασίας.

Η ειδοποίηση περιγράφει, στον βαθμό που υπάρχουν οι πληροφορίες, τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό των υποκειμένων των δεδομένων και των εγγραφών που αφορά, τις πιθανές συνέπειες και τα μέτρα που λήφθηκαν ή προτείνονται. Όσες πληροφορίες δεν είναι ακόμη διαθέσιμες αποστέλλονται μόλις γίνουν.

Το ManuHive λαμβάνει εύλογα μέτρα για να περιορίσει την παραβίαση και τις συνέπειές της. Ο Πελάτης, ως υπεύθυνος επεξεργασίας, αποφασίζει αν θα ειδοποιήσει την εποπτική αρχή και τα θιγόμενα πρόσωπα· το ManuHive δεν τα ειδοποιεί για λογαριασμό του Πελάτη, εκτός εάν το απαιτεί ο νόμος ή το ζητήσει ο Πελάτης. Μια ειδοποίηση δεν αποτελεί παραδοχή υπαιτιότητας ή ευθύνης.

11. Διαγραφή και Επιστροφή Δεδομένων

Όσο χρησιμοποιεί την Υπηρεσία, ο Πελάτης μπορεί να εξάγει τα δεδομένα του ανά πάσα στιγμή: εξαγωγές PDF και CSV στις αντίστοιχες σελίδες, και πλήρη εξαγωγή του Χώρου Εργασίας από τις Ρυθμίσεις.

Όταν ένας διαχειριστής διαγράφει τον Χώρο Εργασίας από τις Ρυθμίσεις, οι εγγραφές του διαγράφονται αμέσως και οριστικά, και τα αρχεία που έχουν ανέβει σε αυτόν εντός 30 ημερών. Όταν η χρήση της Υπηρεσίας από τον Πελάτη λήγει με οποιονδήποτε άλλο τρόπο, το ManuHive διατηρεί τα δεδομένα για 30 ημέρες ώστε ο Πελάτης να μπορεί να ζητήσει εξαγωγή, και στη συνέχεια τα διαγράφει. Και τα δύο ισχύουν εκτός εάν το δίκαιο της Ευρωπαϊκής Ένωσης ή κράτους μέλους απαιτεί από το ManuHive να διατηρήσει τα δεδομένα.

Ο λογαριασμός σύνδεσης ενός μέλους (όνομα και διεύθυνση email) διαγράφεται αυτόματα 30 ημέρες αφότου πάψει να ανήκει σε οποιονδήποτε Χώρο Εργασίας, εκτός εάν αρχεία κάποιου Χώρου Εργασίας εξακολουθούν να αναφέρουν το πρόσωπο αυτό· τότε διατηρείται έως ότου ζητήσει τη διαγραφή του το ίδιο το πρόσωπο ή ο Πελάτης, και μπορεί πάντα να διαγραφεί νωρίτερα κατόπιν αιτήματος. Ό,τι υπάρχει στα αντίγραφα ασφαλείας του παρόχου φιλοξενίας διαγράφεται όταν αυτά λήγουν, στον κανονικό κύκλο τους.

12. Έλεγχοι και Πληροφορίες

Το ManuHive θέτει στη διάθεση του Πελάτη τις πληροφορίες που χρειάζονται για να αποδειχθεί η συμμόρφωση με το Άρθρο 28 GDPR: την παρούσα ΣΕΔ, τα μέτρα του Παραρτήματος 1 και απαντήσεις σε εύλογες ερωτήσεις ασφαλείας, μία φορά τον χρόνο ή μετά από παραβίαση δεδομένων προσωπικού χαρακτήρα.

Ο Πελάτης, ή ανεξάρτητος ελεγκτής που ορίζει και που δεσμεύεται από υποχρέωση εμπιστευτικότητας, μπορεί επίσης να ελέγξει τη συμμόρφωση του ManuHive με την παρούσα ΣΕΔ. Ο Πελάτης ειδοποιεί γραπτώς τουλάχιστον 30 ημέρες νωρίτερα· ο έλεγχος γίνεται το πολύ μία φορά τον χρόνο (εκτός εάν το απαιτεί εποπτική αρχή ή έχει συμβεί παραβίαση δεδομένων προσωπικού χαρακτήρα), σε εργάσιμες ώρες, χωρίς πρόσβαση σε δεδομένα άλλων πελατών και με δαπάνη του Πελάτη. Οι υποεκτελούντες ελέγχονται μέσω των πιστοποιήσεων και των εκθέσεων ελέγχου που διαθέτουν.

13. Ευθύνη

Οι περιορισμοί και οι εξαιρέσεις ευθύνης της Ενότητας 12 των Όρων Χρήσης ισχύουν για όλες τις αξιώσεις που απορρέουν από ή σχετίζονται με την παρούσα ΣΕΔ, και υπολογίζονται μαζί με όλες τις αξιώσεις βάσει των Όρων Χρήσης, στον βαθμό που το επιτρέπει ο νόμος. Δεν περιορίζουν ευθύνη που δεν μπορεί να περιοριστεί κατά το εφαρμοστέο δίκαιο, ούτε την ευθύνη οποιουδήποτε μέρους έναντι των υποκειμένων των δεδομένων βάσει του Άρθρου 82 GDPR.

14. Διάρκεια, Αλλαγές και Εφαρμοστέο Δίκαιο

Η παρούσα ΣΕΔ ισχύει για όσο το ManuHive επεξεργάζεται Δεδομένα Πελάτη, ακόμη και μετά τη λήξη των Όρων Χρήσης, έως ότου τα δεδομένα διαγραφούν.

Το ManuHive μπορεί να ενημερώνει την παρούσα ΣΕΔ, για παράδειγμα όταν αλλάζει ο νόμος ή ο κατάλογος των υποεκτελούντων. Οι αλλαγές ανακοινώνονται όπως περιγράφουν οι Όροι Χρήσης. Αλλαγή που μειώνει την προστασία των Δεδομένων Πελάτη ανακοινώνεται τουλάχιστον 30 ημέρες πριν τεθεί σε ισχύ, και ο Πελάτης μπορεί να σταματήσει να χρησιμοποιεί την Υπηρεσία πριν από τότε.

Η παρούσα ΣΕΔ διέπεται από το ίδιο δίκαιο, και οι διαφορές υπάγονται στα ίδια δικαστήρια, με τους Όρους Χρήσης. Εάν κάποια διάταξη είναι άκυρη, οι υπόλοιπες παραμένουν σε ισχύ. Η παρούσα ΣΕΔ δημοσιεύεται στα αγγλικά, τα ελληνικά και τα γερμανικά· εάν οι εκδόσεις διαφέρουν, υπερισχύει η αγγλική.

15. Επικοινωνία

Ερωτήσεις για την παρούσα ΣΕΔ, αιτήματα για υπογεγραμμένο αντίγραφο, αντιρρήσεις για υποεκτελούντα και αιτήματα ελέγχου:

manuhiveos@gmail.com

16. Πρόσθετοι Όροι για Συγκεκριμένες Χώρες

Οι όροι αυτοί ισχύουν επιπλέον όπου ο Πελάτης ή η επεξεργασία υπόκειται στο δίκαιο που αναφέρεται.

• Ηνωμένο Βασίλειο και Ελβετία: για δεδομένα προσωπικού χαρακτήρα που υπόκεινται στον UK GDPR, οι διαβιβάσεις εκτός του Ηνωμένου Βασιλείου γίνονται με το Παράρτημα Διεθνούς Διαβίβασης Δεδομένων στις Τυποποιημένες Συμβατικές Ρήτρες της ΕΕ, που εξέδωσε ο Information Commissioner του Ηνωμένου Βασιλείου, ή με την Επέκταση του Ηνωμένου Βασιλείου στο Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ. Για δεδομένα προσωπικού χαρακτήρα που υπόκεινται στον ελβετικό Ομοσπονδιακό Νόμο για την Προστασία Δεδομένων, οι Τυποποιημένες Συμβατικές Ρήτρες της ΕΕ ισχύουν με τις αλλαγές που απαιτεί το ελβετικό δίκαιο (ο FADP στη θέση του GDPR, ο FDPIC ως εποπτική αρχή, και η Ελβετία λογίζεται ως κράτος μέλος ώστε τα πρόσωπα στην Ελβετία να μπορούν να ασκούν εκεί τα δικαιώματά τους), ή το Πλαίσιο Προστασίας Δεδομένων Ελβετίας-ΗΠΑ.
• Καλιφόρνια: όπου το ManuHive επεξεργάζεται προσωπικές πληροφορίες ως πάροχος υπηρεσιών κατά τον California Consumer Privacy Act (CCPA), δεν τις πωλεί ούτε τις κοινοποιεί· δεν τις διατηρεί, χρησιμοποιεί ή αποκαλύπτει για σκοπό άλλον από την παροχή της Υπηρεσίας ή εκτός της άμεσης επιχειρηματικής σχέσης του με τον Πελάτη· δεν τις συνδυάζει με προσωπικές πληροφορίες από άλλες πηγές, εκτός όπου το επιτρέπει ο CCPA· συμμορφώνεται με τον CCPA και παρέχει το επίπεδο προστασίας που αυτός απαιτεί· και ενημερώνει τον Πελάτη αν δεν μπορεί πλέον να τηρεί τις υποχρεώσεις αυτές. Ο Πελάτης μπορεί να λαμβάνει εύλογα μέτρα ώστε το ManuHive να χρησιμοποιεί τις προσωπικές πληροφορίες σύμφωνα με τις υποχρεώσεις του Πελάτη κατά τον CCPA και, κατόπιν ειδοποίησης, να σταματά και να αποκαθιστά κάθε μη εξουσιοδοτημένη χρήση.
• Ισραήλ: για τους σκοπούς του Κανονισμού 3 των Κανονισμών Προστασίας της Ιδιωτικότητας (Διαβίβαση Δεδομένων σε Βάσεις Δεδομένων στο Εξωτερικό), 5761-2001, το ManuHive αναλαμβάνει να λαμβάνει επαρκή μέτρα για την προστασία της ιδιωτικότητας των υποκειμένων των δεδομένων και να μη διαβιβάζει Δεδομένα Πελάτη σε τρίτους πέραν των υποεκτελούντων που ο Πελάτης έχει εγκρίνει βάσει της παρούσας ΣΕΔ.
• Κολομβία: όπου ο Πελάτης υπόκειται στον Νόμο 1581 του 2012, το ManuHive, ως εκτελών την επεξεργασία (encargado), επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα σύμφωνα με τις αρχές του νόμου αυτού και την πολιτική επεξεργασίας πληροφοριών του Πελάτη, μόνο για τους σκοπούς που έχουν εγκρίνει τα υποκείμενα των δεδομένων, διασφαλίζει την ασφάλεια των βάσεων δεδομένων και τηρεί την εμπιστευτικότητα της επεξεργασίας.
• Τοπικές συμβάσεις διαβίβασης: όπου το δίκαιο του Πελάτη απαιτεί συγκεκριμένη σύμβαση για την αποστολή δεδομένων προσωπικού χαρακτήρα στο ManuHive (για παράδειγμα τις τυποποιημένες ρήτρες της SDAIA της Σαουδικής Αραβίας, της KVKK της Τουρκίας ή της ANPD της Βραζιλίας, ή τη σύμβαση διαβίβασης του Βιετνάμ), το ManuHive την υπογράφει κατόπιν αιτήματος του Πελάτη, στη μορφή που ορίζει ο νόμος αυτός.
• Υποχρεώσεις του Πελάτη: ο Πελάτης κάνει κάθε εγγραφή, δήλωση, αίτηση άδειας, λήψη συγκατάθεσης ή εκτίμηση αντικτύπου που απαιτεί το δικό του δίκαιο πριν στείλει δεδομένα προσωπικού χαρακτήρα στο ManuHive (για παράδειγμα στην Αλγερία, τη Μποτσουάνα, την Ακτή Ελεφαντοστού, το Μαρόκο, το Ομάν, το Κεμπέκ, την Τανζανία ή την Τυνησία). Το ManuHive του δίνει τις πληροφορίες που χρειάζεται γι' αυτό: το Παράρτημα 1, το Παράρτημα 2 και την ενότητα 8.

Παράρτημα 1. Τεχνικά και Οργανωτικά Μέτρα

Το ManuHive προστατεύει τα Δεδομένα Πελάτη με τα ακόλουθα μέτρα:

• Φιλοξενία και κρυπτογράφηση: η βάση δεδομένων, η σύνδεση χρηστών και ο χώρος αποθήκευσης αρχείων λειτουργούν στη Supabase στην Ευρωπαϊκή Ένωση (Ιρλανδία), σε περιβάλλον που η Supabase λειτουργεί σύμφωνα με το SOC 2. Τα δεδομένα κρυπτογραφούνται κατά τη μεταφορά (HTTPS) και κατά την αποθήκευση.
• Διαχωρισμός πελατών: κανόνες Row-Level Security σε κάθε πίνακα περιορίζουν κάθε συνδεδεμένο πρόσωπο στα δεδομένα του δικού του Χώρου Εργασίας, και οι λειτουργίες της βάσης δεδομένων ελέγχουν τη συμμετοχή στον Χώρο Εργασίας στον οποίο ενεργούν. Αυτοματοποιημένοι έλεγχοι προσπαθούν να φτάσουν στα δεδομένα άλλου Χώρου Εργασίας και πρέπει να απορρίπτονται.
• Έλεγχος πρόσβασης: η πρόσβαση στην Υπηρεσία ακολουθεί τους ρόλους που ορίζουν οι διαχειριστές του Πελάτη, ώστε κάθε άτομο να βλέπει ό,τι χρειάζεται ο ρόλος του. Μόνο οι διαχειριστές μπορούν να διαβάσουν το αρχείο ελέγχου και τα PIN, και μόνο οι διαχειριστές και το προσωπικό αποστολών βλέπουν πού βρίσκεται ένας οδηγός.
• Σύνδεση: οι κωδικοί πρόσβασης αποθηκεύονται μόνο ως κατακερματισμένες τιμές (bcrypt)· οι κωδικοί που επιλέγονται στην εφαρμογή ελέγχονται έναντι γνωστών διαρρευσμένων κωδικών χωρίς ο κωδικός να φεύγει από τη συσκευή· οι φόρμες εγγραφής, σύνδεσης και κωδικού πρόσβασης ελέγχονται από το Cloudflare Turnstile, που ξεχωρίζει τους ανθρώπους από τα αυτοματοποιημένα προγράμματα, και ο διακομιστής σύνδεσης απορρίπτει αυτά τα αιτήματα χωρίς έγκυρο έλεγχο· η αυθεντικοποίηση δύο παραγόντων είναι διαθέσιμη σε κάθε χρήστη και, μόλις ενεργοποιηθεί, απαιτείται για τον διαχειριστή της πλατφόρμας· η διαγραφή του Χώρου Εργασίας, η ενεργοποίηση, ανανέωση ή προβολή του συνδέσμου Power BI, Tableau και Excel και η δημιουργία κλειδιού API απαιτούν κωδικό δύο παραγόντων στην ίδια σύνδεση· κάθε PIN συνδυάζει γράμματα και αριθμούς· οι επαναλαμβανόμενες λανθασμένες προσπάθειες PIN μπλοκάρονται για κάποιο διάστημα· η σύνδεση ενός λογαριασμού σε μια συσκευή λήγει μετά από 30 ημέρες χωρίς χρήση· ένα tablet σε μια μηχανή συνδέεται με το PIN της μηχανής και παίρνει δικό του κλειδί, που λήγει μετά από 30 ημέρες χωρίς χρήση, όταν αλλάξει το PIN της μηχανής ή όταν ένας διαχειριστής αποσυνδέσει το tablet.
• Αρχείο ελέγχου: οι αλλαγές σε εγγραφές και ρυθμίσεις, οι συνδέσεις και οι εξαγωγές δεδομένων καταγράφονται σε αρχείο ελέγχου μόνο προσθήκης, όπου κάθε εγγραφή συνδέεται με την προηγούμενη με SHA-256, ώστε να εντοπίζεται κάθε αλλοίωση.
• Ιστότοπος και δίκτυο: όλη η κίνηση κρυπτογραφείται με HTTPS και HSTS· ο ιστότοπος λειτουργεί πίσω από το Cloudflare και στέλνει αυστηρές κεφαλίδες ασφαλείας, μεταξύ των οποίων Content Security Policy.
• Μυστικά: τα διαπιστευτήρια ERP φυλάσσονται κρυπτογραφημένα σε θησαυροφυλάκιο μυστικών, τα κλειδιά API αποθηκεύονται μόνο ως κατακερματισμένες τιμές, και το κλειδί υπηρεσίας της βάσης δεδομένων χρησιμοποιείται μόνο στους διακομιστές μας. Οι εξαγωγές δεν περιλαμβάνουν ποτέ κωδικούς πρόσβασης, PIN, κλειδιά API ή διαπιστευτήρια σύνδεσης. Οι διαχειριστές μπορούν να ανακαλούν ή να ανανεώνουν συνδέσμους παρακολούθησης παραγγελιών, συνδέσμους Power BI, Tableau και Excel, ροές ημερολογίου και κλειδιά API.
• Έλεγχοι αλλαγών: οι αλλαγές στην Υπηρεσία ελέγχονται με αυτοματοποιημένους ελέγχους· οι αλλαγές στη βάση δεδομένων ελέγχονται επιπλέον με ελέγχους βάσης δεδομένων για τον διαχωρισμό μεταξύ Χώρων Εργασίας και για κάθε διαδρομή διαγραφής. Ενεργούμε βάσει των ελέγχων ασφαλείας του παρόχου της βάσης δεδομένων μας.
• Όρια και παρακολούθηση: η σύνδεση με PIN, το δημόσιο API, ο σύνδεσμος Power BI, Tableau και Excel και οι συνδέσεις δεδομένων μηχανών έχουν όρια ρυθμού αιτημάτων, και τα σφάλματα καταγράφονται και εξετάζονται.
• Περιστατικά: γραπτή διαδικασία για τον χειρισμό περιστατικών ασφαλείας και παραβιάσεων δεδομένων προσωπικού χαρακτήρα, που περιλαμβάνει την ειδοποίηση των πελατών όπως περιγράφει η ενότητα 10.
• Αυτόματη διαγραφή: τα αρχεία ενός διαγραμμένου Χώρου Εργασίας, οι λογαριασμοί που δεν ανήκουν σε κανέναν Χώρο Εργασίας για 30 ημέρες, η θέση ενός οδηγού μόλις τελειώσει το δρομολόγιο και τα PIN προσκλήσεων μόλις χρησιμοποιηθούν διαγράφονται αυτόματα κάθε ημέρα, κάτι που ελέγχουν αυτοματοποιημένοι έλεγχοι.

Παράρτημα 2. Υποεκτελούντες την Επεξεργασία

Το ManuHive χρησιμοποιεί τους ακόλουθους υποεκτελούντες την επεξεργασία. Ο καθένας επεξεργάζεται δεδομένα προσωπικού χαρακτήρα μόνο για να παρέχει το δικό του μέρος της Υπηρεσίας.

• Supabase Pte. Ltd. (Σιγκαπούρη): βάση δεδομένων, σύνδεση χρηστών, αποθήκευση αρχείων και λειτουργίες διακομιστή. Τα δεδομένα αποθηκεύονται στην Ευρωπαϊκή Ένωση (Ιρλανδία), σε υποδομή της Amazon Web Services· οι λειτουργίες διακομιστή μπορεί να εκτελούνται στην περιοχή που βρίσκεται πλησιέστερα στο πρόσωπο που χρησιμοποιεί την Υπηρεσία.
• Cloudflare, Inc. (Ηνωμένες Πολιτείες): φιλοξενεί και παραδίδει τον ιστότοπο και τον προστατεύει από επιθέσεις, μαζί με τον έλεγχο στις φόρμες εγγραφής, σύνδεσης και κωδικού πρόσβασης που ξεχωρίζει τους ανθρώπους από τα αυτοματοποιημένα προγράμματα (Turnstile). Βλέπει τις διευθύνσεις IP των επισκεπτών και τις σελίδες που ανοίγουν, και προωθεί τα email που αποστέλλονται στη διεύθυνση ειδοποιήσεών μας.
• Resend (Plus Five Five, Inc., Ηνωμένες Πολιτείες): στέλνει τα email της Υπηρεσίας, όπως προσκλήσεις, email σύνδεσης και κωδικού πρόσβασης, ειδοποιήσεις και αναφορές, από την περιοχή της στην ΕΕ. Λαμβάνει τις διευθύνσεις email των παραληπτών και το περιεχόμενο των email.
• Google LLC (Ηνωμένες Πολιτείες) και η συνδεδεμένη της εταιρεία Google Ireland Limited (Ιρλανδία): χάρτες, αναζήτηση διευθύνσεων και σχεδιασμός δρομολογίων (Google Maps Platform), που λαμβάνουν διευθύνσεις και τις θέσεις των στάσεων παράδοσης· σύνδεση με Google, για όσους την επιλέγουν· αναλυτικά στοιχεία ιστότοπου (Google Analytics 4, βλ. ενότητα 10 της Πολιτικής Απορρήτου)· και το γραμματοκιβώτιο υποστήριξής μας (Gmail).
• Stripe Payments Europe, Limited (Ιρλανδία), μέλος του ομίλου Stripe (Ηνωμένες Πολιτείες): πληρωμές για τα πλάνα επί πληρωμή. Λαμβάνει τη διεύθυνση email του διαχειριστή χρέωσης και την επωνυμία της εταιρείας· τα στοιχεία της κάρτας εισάγονται στη σελίδα της ίδιας της Stripe.

Οι υπηρεσίες που συνδέει ο ίδιος ο Πελάτης δεν είναι υποεκτελούντες την επεξεργασία (ενότητα 7). Οι αλλαγές σε αυτόν τον κατάλογο ανακοινώνονται όπως περιγράφει η ενότητα 7.