Συμφωνία επεξεργασίας δεδομένων

Το DPA καταρτίζεται μεταξύ [CUSTOMER_LEGAL_NAME_AND_ADDRESS] («Πελάτης») και [LEGAL_NAME] ΙΚΕ, [REGISTERED_ADDRESS] («Meteorack»). Ο Πελάτης ενεργεί ως υπεύθυνος επεξεργασίας ή ως εκτελών με εξουσιοδότηση του υπευθύνου· η Meteorack ως εκτελών ή υπεκτελών αντίστοιχα για προσωπικά δεδομένα πελάτη. Καλύπτει αγοραζόμενες υπηρεσίες του παραρτήματος A. Για αυτοτελείς controller δραστηριότητες της Meteorack ισχύει χωριστή ενημέρωση/νόμιμη βάση. Το DPA υπερισχύει της κύριας σύμβασης σε επεξεργασία, οι εφαρμοστέες SCCs υπερισχύουν σε δικό τους πεδίο και ο αναγκαστικός νόμος υπερισχύει όλων.

Επεξεργαζόμαστε μόνο τεκμηριωμένες οδηγίες: σύμβαση, διαμόρφωση υπηρεσιών και εξουσιοδοτημένα αιτήματα, περιλαμβανομένων διαβιβάσεων. Αν νόμος ΕΕ/κράτους μέλους απαιτεί άλλη επεξεργασία, ενημερώνουμε προηγουμένως εκτός νόμιμης απαγόρευσης για σημαντικό δημόσιο συμφέρον. Ενημερώνουμε αμέσως αν οδηγία παραβιάζει GDPR/εφαρμοστέο δίκαιο και ζητούμε νόμιμη διόρθωση· δεν υποκαθιστούμε τον υπεύθυνο. Ο Πελάτης ορίζει νόμιμους σκοπούς, βάσεις και ειδικές προϋποθέσεις, ενημερώνει πρόσωπα, περιορίζει δεδομένα και έχει δικαίωμα ανάθεσης. Δεν επιβάλλεται γενική απαλλαγή της Meteorack από τις δικές της υποχρεώσεις.

Πρόσωπα με πρόσβαση δεσμεύονται από εμπιστευτικότητα ή κατάλληλη νόμιμη υποχρέωση. Δικαιώματα δίνονται βάσει ανάγκης και επανελέγχονται/ανακαλούνται. Η πρόσβαση υποστήριξης πρέπει να περιορίζεται, να εγκρίνεται όπου απαιτείται και να καταγράφεται. Εξασφαλίζουμε σχετική εκπαίδευση και διαδικασίες αποχώρησης προσωπικού. Τα μέτρα είναι συμβατική πρόταση μέχρι να επαληθευθεί το παράρτημα B.

Εφαρμόζουμε κατάλληλα μέτρα άρθρου 32 για εμπιστευτικότητα, ακεραιότητα, διαθεσιμότητα και ανθεκτικότητα, αξιολογώντας κίνδυνο, φύση/όγκο δεδομένων και κόστος. Το παράρτημα B περιγράφει συγκεκριμένους ελέγχους και τυχόν περιορισμούς. Δεν υποβαθμίζουμε ουσιωδώς τη συμφωνημένη προστασία. Δεν ισχυριζόμαστε καθολική κρυπτογράφηση, πιστοποίηση ή συγκεκριμένα RPO/RTO χωρίς αποδεικτικά. Σημαντικό κενό ασφαλείας απαιτεί αντιμετώπιση/νόμιμο περιορισμό επεξεργασίας· ενημέρωση μόνο δεν το θεραπεύει.

Προτείνεται γενική γραπτή εξουσιοδότηση αποκλειστικά για τη συμπληρωμένη, αποδεκτή λίστα C. Δεν εξουσιοδοτούνται άγνωστα ονόματα ή μη αποδεκτές υπηρεσίες. Πριν από νέο/αντικατάσταση υπεκτελούντος δίνουμε [SUBPROCESSOR_NOTICE: προτεινόμενες 30 ημέρες] και στοιχεία υπηρεσίας, δεδομένων, τοποθεσίας και εγγυήσεων. Ο Πελάτης μπορεί να προβάλει τεκμηριωμένη αντίρρηση προστασίας δεδομένων εντός του διαστήματος. Αναζητούμε εύλογη εναλλακτική· αν δεν υπάρχει, δεν επιβάλλουμε σιωπηρή χρήση και επιτρέπουμε λήξη του επηρεαζόμενου μέρους με επιστροφή μη δεδουλευμένων προπληρωμών/νόμιμη μεταφορά. Επείγουσα αλλαγή απαιτεί πραγματική αναγκαιότητα, άμεση ενημέρωση και διατήρηση νόμιμων δικαιωμάτων.

Δεσμεύουμε τον υπεκτελούντα με τουλάχιστον τις ίδιες υποχρεώσεις προστασίας δεδομένων μέσω γραπτής σύμβασης, ιδίως επαρκή μέτρα, και παραμένουμε πλήρως υπεύθυνοι έναντι Πελάτη για την εκπλήρωσή τους κατά το άρθρο 28(4). Όταν ο Πελάτης είναι εκτελών, εξασφαλίζει άδεια του δικού του υπευθύνου. Οι controller suppliers καταγράφονται χωριστά, όχι αυτόματα ως customer subprocessors.

Κάθε διαβίβαση/remote access εκτός ΕΟΧ χρειάζεται καταγραφή στο C και νόμιμο μηχανισμό Κεφαλαίου V. Όπου απαιτούνται SCCs, συμπληρώνονται πραγματικά μέρη, ενότητα 2 ή 3 κατά ρόλο, παραρτήματα, αρμόδια αρχή και συμπληρωματικά μέτρα/assessment. Δεν τροποποιούνται SCCs ασύμβατα ούτε υποκαθίστανται με το παρόν DPA. Region ΕΕ δεν αποδεικνύει απουσία third-country access. Εξετάζουμε δεσμευτικά αιτήματα αρχών, αμφισβητούμε όπου υπάρχουν νόμιμοι λόγοι και ενημερώνουμε όπου επιτρέπεται· δεν εγγυόμαστε ότι κανένα νόμιμο αίτημα δεν θα εκτελεστεί.

Βοηθούμε με κατάλληλα τεχνικά/οργανωτικά μέτρα, όσο είναι δυνατό, τον Πελάτη να εκπληρώνει Κεφάλαιο III. Αίτημα που αφορά customer data διαβιβάζεται χωρίς αδικαιολόγητη καθυστέρηση στο [CUSTOMER_PRIVACY_CONTACT]. Δεν απαντάμε ουσιαστικά χωρίς οδηγία, εκτός δικής μας νόμιμης υποχρέωσης. Παρέχουμε στοιχεία εντοπισμού, export/διόρθωσης/διαγραφής και εφαρμόζουμε οδηγίες σε παραγωγή, backups και restores με τεκμηριωμένες εξαιρέσεις. Η μηνιαία προθεσμία δικαιωμάτων δεν μετατρέπεται σε δική μας μηνιαία άδεια καθυστέρησης.

Ειδοποιούμε τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση αφού αντιληφθούμε παραβίαση customer personal data, στο [CUSTOMER_SECURITY_CONTACT] με ασφαλές κανάλι. Δεν περιμένουμε 72 ώρες ή ολοκληρωμένη έρευνα. Παρέχουμε φύση, κατηγορίες/κατά προσέγγιση αριθμό προσώπων και αρχείων, επαφή, πιθανές συνέπειες, μέτρα και διαθέσιμες ενημερώσεις σταδιακά. Προστατεύουμε αποδεικτικά, περιορίζουμε το περιστατικό και βοηθούμε τον υπεύθυνο στην εκτίμηση κινδύνου και ειδοποιήσεις αρχής/προσώπων. Ο κανόνας 72 ωρών του υπευθύνου δεν περιορίζει τη δική μας έγκαιρη ειδοποίηση. Δεν αναλαμβάνουμε ανακοίνωση για λογαριασμό Πελάτη χωρίς οδηγία, εκτός νόμου.

Λαμβάνοντας υπόψη φύση επεξεργασίας και διαθέσιμες πληροφορίες, βοηθούμε στις υποχρεώσεις άρθρων 32–36, DPIA και προηγούμενη διαβούλευση. Εύλογο προδηλωμένο κόστος για πρόσθετη εξατομικευμένη βοήθεια μπορεί να συμφωνηθεί, χωρίς να εμποδίζει υποχρεωτική βοήθεια, επείγουσες προθεσμίες ή αποκατάσταση δικής μας παράβασης. [ASSISTANCE_PRICING] συμπληρώνεται· δεν προϋποτίθεται ακριβή συνδρομή για άσκηση δικαιώματος.

Θέτουμε στη διάθεση του Πελάτη όλες τις αναγκαίες πληροφορίες συμμόρφωσης άρθρου 28 και επιτρέπουμε/συνεισφέρουμε σε ελέγχους, περιλαμβανομένων επιθεωρήσεων από αυτόν ή εξουσιοδοτημένο ελεγκτή. Προηγούνται διαθέσιμα πρόσφατα τεκμήρια όπου επαρκούν. Εύλογη ειδοποίηση, εμπιστευτικότητα και προστασία άλλων tenants δεν αποκλείουν πραγματικό έλεγχο, επείγουσα έρευνα ή πρόσβαση αρχής. Δεν επιβάλλεται γενικός περιορισμός «μία φορά τον χρόνο» έναντι νόμιμης ανάγκης. [AUDIT_CONTACT_AND_COST] συμπληρώνεται με ανάλογο κόστος και μη χρέωση για δική μας αποδεδειγμένη παράβαση.

Κατ' επιλογή Πελάτη, μετά τη λήξη υπηρεσιών επιστρέφουμε ή διαγράφουμε δεδομένα και διαγράφουμε υφιστάμενα αντίγραφα, εκτός αν δίκαιο ΕΕ/κράτους μέλους απαιτεί διατήρηση. Νόμιμη εξαίρεση καταγράφει διάταξη, κατηγορία, διάρκεια και περιορισμένη πρόσβαση. Τα Data Act retrieval/export δικαιώματα προηγούνται προγραμματισμένης τελικής διαγραφής. Συμφωνούνται μορφές και χρονοδιάγραμμα [SERVICE_RETURN_ERASURE_SCHEDULE], χωριστά από account deactivation.

Σημερινό εμπόδιο: B2 backup versions κλειδώνονται 45 ημέρες COMPLIANCE με manifests που επιτρέπουν σύνδεση με tenant/object. Αυτό δεν αποτελεί νομικά απαιτούμενη διατήρηση μόνο επειδή το lock επιλέχθηκε τεχνικά. Απαιτείται νόμιμη/τεχνική λύση ή ειδική αξιολόγηση πριν από υπογραφή· δεν αρκεί συναίνεση πελάτη για άρση δικαιωμάτων. Προτεινόμενοι έλεγχοι: απομόνωση από συνήθη χρήση, διαγραφή στην πρώτη νόμιμα/τεχνικά διαθέσιμη στιγμή, τεκμηρίωση μέγιστου διαστήματος και failures, καταγραφή εκκρεμών deletions και επανεφαρμογή πριν από επαναφορά δεδομένων σε ενεργή χρήση. Παρέχουμε επιβεβαίωση completion και γνωστοποιούμε περιορισμένα υπόλοιπα/λόγους. Δεν εγγυόμαστε «όλα διαγράφονται σε 45 ημέρες» ή εφαρμογή μη υπαρκτού reaper.

Το DPA ισχύει όσο επεξεργαζόμαστε customer personal data· υποχρεώσεις εμπιστευτικότητας/διαγραφής/ελέγχου επιβιώνουν όσο απαιτείται. Κύρια συμβατικά caps δεν περιορίζουν δικαιώματα προσώπων άρθρου 82, αναγκαστική ευθύνη ή εξουσίες αρχής. Τροποποιήσεις είναι τεκμηριωμένες και δεν μειώνουν ασύμβατα προστασία. Συμπληρώνονται ημερομηνία, εξουσιοδοτημένοι εκπρόσωποι, acceptance record και A/B/C πριν εφαρμοστεί: [DPA_EXECUTION].

Αντικείμενο: παροχή των επιλεγμένων υπηρεσιών. Φύση: λήψη, αποθήκευση, οργάνωση, αναζήτηση, μετάδοση, αντιγραφή/backup, ανάκτηση και διαγραφή σύμφωνα με οδηγίες. Σκοπός: λειτουργία/προστασία/υποστήριξη υπηρεσίας για τον Πελάτη. Διάρκεια: συμβατική διάρκεια, νόμιμη μεταφορά/ανάκτηση και συμπληρωμένο retention/erasure schedule. Οι οδηγίες δεν περιλαμβάνουν ανεξάρτητη διαφήμιση ή γενική εκπαίδευση AI.

Συμπληρώνει ο Πελάτης [DATA_SUBJECTS_AND_CATEGORIES], controller contact και ειδικές κατηγορίες/ποινικά/παιδικά δεδομένα. Δεν θεωρούμε τέτοια δεδομένα επιτρεπτά χωρίς έλεγχο πρόσθετων προϋποθέσεων/μέτρων. Ακριβή projects/υπηρεσίες και συχνότητα επεξεργασίας [PROCESSING_DETAILS] προσαρτώνται στην παραγγελία.

Προτεινόμενη ελάχιστη συμβατική βάση, προς owner verification: έλεγχος ταυτοποίησης/least privilege και tenant isolation, ασφαλής μετάδοση, κατάλληλη προστασία secrets/κλειδιών, περιορισμένη staff πρόσβαση, logging χωρίς περιττά payloads, patch/change management, incident handling, backup με επαληθευμένη ανάκτηση, περιοδική αξιολόγηση αποτελεσματικότητας και data minimisation/deletion. Συμπληρώστε υπεύθυνο, scope, απόδειξη, συχνότητα ελέγχου και επαναφορά ανά μέτρο στο [SECURITY_CONTROL_REGISTER].

Στοιχεία που έχουμε: αυτοφιλοξενούμενη παραγωγή FSN1, account-vault encryption από source και identity/session revocation από Auth. Δεν αποδεικνύουν λειτουργικό MFA για κάθε administrator, καθολική at-rest encryption, αποτελεσματικότητα όλων των role checks, όλους τους backup/restore ελέγχους ή συγκεκριμένο RPO/RTO. B2 SSE/default encryption παραμένει άγνωστο. Υφιστάμενα raw IP/user-agent, query SQL και indefinite journals απαιτούν minimisation/retention controls. Απαιτείται fresh redacted control evidence πριν από υπογραφή, όχι live audit στο πλαίσιο συγγραφής.

Το ακόλουθο είναι μητρώο υποψηφίων από επιβεβαιωμένες λειτουργίες/εκκρεμότητες, όχι πλήρης εγκεκριμένη subprocessor list. Για κάθε πραγματικό υπεκτελούντα συμπληρώστε ακριβή νομική οντότητα, υπηρεσία, customer data, όλες τις χώρες processing/access, DPA/transfer mechanism και ημερομηνία authorisation. Καμία άγνωστη εγγραφή δεν είναι εξουσιοδότηση.

Ory/ClickHouse/Yugabyte/Ceph ως αυτοφιλοξενούμενο λογισμικό δεν είναι εξωτερικοί υπεκτελούντες λόγω ονόματος. Google/Azure/AWS/Vercel/Netlify/DigitalOcean είναι πηγές σύγκρισης, όχι τεκμηριωμένοι σημερινοί Meteorack subprocessors. Υπηρεσίες που ο ίδιος ο Πελάτης συμβάλλεται χωριστά χρειάζονται δικό του role mapping. [FINAL_SUBPROCESSOR_REGISTER] παραμένει blocker.