Συμφωνία Επεξεργασίας Δεδομένων (DPA)

1. Ορισμοί

• «Προσωπικά Δεδομένα του Πελάτη»: τα προσωπικά δεδομένα που επεξεργάζεται η Nebs-Creative για λογαριασμό του Πελάτη δυνάμει της Συμφωνίας.
• «Νομοθεσία Προστασίας Δεδομένων»: ο UK GDPR, ο Data Protection Act 2018 και, όπου ισχύουν για την επεξεργασία, ο GDPR της ΕΕ, οι εφαρμοστέοι νόμοι περί απορρήτου των πολιτειών των ΗΠΑ και άλλοι εφαρμοστέοι νόμοι περί απορρήτου/προστασίας δεδομένων, όπως τροποποιούνται ή αντικαθίστανται.
• «Τυποποιημένες Συμβατικές Ρήτρες της ΕΕ (EU SCCs)»: οι τυποποιημένες συμβατικές ρήτρες της Ευρωπαϊκής Επιτροπής που εγκρίθηκαν με την Εκτελεστική Απόφαση (ΕΕ) 2021/914.
• «Περιορισμένη Διαβίβαση» (Restricted Transfer): διαβίβαση την οποία οι εφαρμοστέοι Νόμοι Προστασίας Δεδομένων θα απαγόρευαν χωρίς την ύπαρξη κατάλληλης εγγύησης.
• «Υποεκτελών την επεξεργασία» (Sub-processor): τρίτο μέρος ή συνδεδεμένη εταιρεία που ανατίθεται από την Nebs-Creative για την επεξεργασία Προσωπικών Δεδομένων του Πελάτη.
• «Μηχανισμός Διαβίβασης» (Transfer Mechanism): η Συμφωνία Διεθνούς Διαβίβασης Δεδομένων του Ηνωμένου Βασιλείου (UK International Data Transfer Agreement), το Παράρτημα του Ηνωμένου Βασιλείου στις Τυποποιημένες Συμβατικές Ρήτρες της ΕΕ (UK Addendum to the EU SCCs), οι Τυποποιημένες Συμβατικές Ρήτρες της ΕΕ (EU SCCs) ή άλλος μηχανισμός που αναγνωρίζεται από τους εφαρμοστέους Νόμους Προστασίας Δεδομένων.
• «Εργάσιμη Ημέρα» (Working Day): από Κυριακή έως Πέμπτη, εξαιρουμένων των επίσημων αργιών του Μπαγκλαντές και κάθε γνωστοποιημένου κλεισίματος του στούντιο.

Οι όροι υπεύθυνος επεξεργασίας, εκτελών την επεξεργασία, υποκείμενο των δεδομένων, προσωπικά δεδομένα, παραβίαση προσωπικών δεδομένων, επεξεργασία και εποπτική αρχή έχουν το νόημα που τους αποδίδεται στον UK GDPR ή τους αντίστοιχους εφαρμοστέους νομικούς όρους.

2. Ρόλοι και πεδίο εφαρμογής

Ο Πελάτης είναι υπεύθυνος επεξεργασίας και η Nebs-Creative είναι εκτελούσα την επεξεργασία όσον αφορά τα Προσωπικά Δεδομένα του Πελάτη. Εάν ο ίδιος ο Πελάτης είναι εκτελών την επεξεργασία για λογαριασμό άλλου υπευθύνου επεξεργασίας, η Nebs-Creative ενεργεί ως υποεκτελούσα την επεξεργασία και ο Πελάτης επιβεβαιώνει ότι είναι εξουσιοδοτημένος να παρέχει τις εντολές που περιλαμβάνονται στην παρούσα ΣΕΔ. Το Παράρτημα 1 περιγράφει την επεξεργασία. Κάθε μέρος παραμένει ανεξάρτητος υπεύθυνος επεξεργασίας για τα συνήθη δεδομένα επαγγελματικής επικοινωνίας που επεξεργάζεται για τη διαχείριση της σχέσης των μερών.

3. Ευθύνες του Πελάτη

• Να διασφαλίζει ότι υπάρχει νόμιμη βάση και ότι έχουν παρασχεθεί οι απαιτούμενες ενημερώσεις/συγκαταθέσεις για την επεξεργασία.
• Να παρέχει μόνο προσωπικά δεδομένα που είναι εύλογα αναγκαία για τις υπηρεσίες και να χρησιμοποιεί δείγματα δεδομένων ή ανωνυμοποιημένα ή ψευδωνυμοποιημένα δεδομένα όπου αυτό είναι δυνατό.
• Να ενημερώνει εγγράφως τη Nebs-Creative πριν από την παροχή δεδομένων ειδικών κατηγοριών, δεδομένων που αφορούν ποινικές καταδίκες και αδικήματα ή δεδομένων παιδιών.
• Να διασφαλίζει ότι οι εντολές που δίνονται στη Nebs-Creative συμμορφώνονται με τους εφαρμοστέους Νόμους Προστασίας Δεδομένων.

4. Υποχρεώσεις της Nebs-Creative

• Να επεξεργάζεται τα Προσωπικά Δεδομένα του Πελάτη μόνο βάσει καταγεγραμμένων εντολών του Πελάτη, συμπεριλαμβανομένων των εντολών σχετικά με διεθνείς διαβιβάσεις, εκτός εάν ο νόμος απαιτεί διαφορετικά.
• Να ενημερώνει τον Πελάτη εάν μια εντολή φαίνεται να παραβιάζει τους εφαρμοστέους Νόμους Προστασίας Δεδομένων, στον βαθμό που αυτό επιτρέπεται από το νόμο.
• Να διασφαλίζει ότι το εξουσιοδοτημένο προσωπικό δεσμεύεται από υποχρεώσεις εμπιστευτικότητας.
• Να διατηρεί κατάλληλα τεχνικά και οργανωτικά μέτρα, συμπεριλαμβανομένων των μέτρων που περιγράφονται στο Παράρτημα 2 μετά την επαλήθευσή τους.
• Να παρέχει εύλογη συνδρομή σε θέματα δικαιωμάτων των υποκειμένων των δεδομένων, υποχρεώσεων ασφάλειας, παραβιάσεων, εκτιμήσεων αντικτύπου σχετικά με την προστασία δεδομένων (DPIA) και διαβούλευσης με ρυθμιστικές αρχές, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις διαθέσιμες πληροφορίες.
• Να καθιστά διαθέσιμες εύλογες πληροφορίες συμμόρφωσης και να επιτρέπει ελέγχους σύμφωνα με τη ρήτρα 9.
• Να μην πωλεί Προσωπικά Δεδομένα του Πελάτη ούτε να τα χρησιμοποιεί για δικούς της σκοπούς, συμπεριλαμβανομένης της εκπαίδευσης μοντέλων τεχνητής νοημοσύνης της Nebs-Creative.

5. Υποεκτελούντες την επεξεργασία

Ο Πελάτης παρέχει γενική εξουσιοδότηση για τη χρήση Υποεκτελούντων την επεξεργασία. Οι τρέχοντες Υποεκτελούντες την επεξεργασία πρέπει να παρατίθενται στο Παράρτημα 3. Η Nebs-Creative θα παρέχει προειδοποίηση τουλάχιστον 14 ημερών για κάθε σκοπούμενη προσθήκη ή αντικατάσταση. Ο Πελάτης μπορεί να προβάλει αντίρρηση για εύλογους λόγους προστασίας δεδομένων. Εάν η αντίρρηση δεν μπορεί εύλογα να επιλυθεί, ο Πελάτης μπορεί να καταγγείλει τις θιγόμενες υπηρεσίες και να λάβει επιστροφή των προπληρωθέντων τελών για υπηρεσίες που δεν έχουν παρασχεθεί. Η Nebs-Creative θα επιβάλλει σε κάθε Υποεκτελούντα την επεξεργασία υποχρεώσεις προστασίας δεδομένων ουσιωδώς ισοδύναμες και παραμένει υπεύθυνη έναντι του Πελάτη για την εκπλήρωση των υποχρεώσεων αυτών από τον Υποεκτελούντα την επεξεργασία, όπως προβλέπεται από το εφαρμοστέο δίκαιο και τη Συμφωνία.

6. Διεθνείς διαβιβάσεις

Ο Πελάτης αναγνωρίζει ότι η ομάδα της Nebs-Creative εργάζεται από το Μπαγκλαντές και ότι οι εγκεκριμένοι Υποεκτελούντες την επεξεργασία ενδέχεται να επεξεργάζονται Προσωπικά Δεδομένα του Πελάτη στις τοποθεσίες που αναφέρονται στο Παράρτημα 3. Κάθε Περιορισμένη Διαβίβαση πρέπει να υποστηρίζεται από έγκυρο Μηχανισμό Διαβίβασης ή άλλη νόμιμη βάση και, όπου απαιτείται, από κατάλληλη εκτίμηση κινδύνου διαβίβασης ή ισοδύναμη εκτίμηση.

Για Περιορισμένες Διαβιβάσεις του Ηνωμένου Βασιλείου που πραγματοποιεί η Nebs-Creative προς αποδέκτη, όπως η νομική οντότητα του στούντιο στο Μπαγκλαντές ή ένας Υποεκτελών την επεξεργασία, η Nebs-Creative θα χρησιμοποιεί την εφαρμοστέα Συμφωνία Διεθνούς Διαβίβασης Δεδομένων του Ηνωμένου Βασιλείου (UK International Data Transfer Agreement), το Παράρτημα του Ηνωμένου Βασιλείου (UK Addendum) με την αντίστοιχη ενότητα των Τυποποιημένων Συμβατικών Ρητρών της ΕΕ (EU SCCs) ή άλλο έγκυρο μηχανισμό. Για διαβιβάσεις του ΕΟΧ όπου απαιτούνται οι Τυποποιημένες Συμβατικές Ρήτρες της ΕΕ (EU SCCs), θα εφαρμόζεται, κατά περίπτωση, η σχετική ενότητα από υπεύθυνο επεξεργασίας σε εκτελούντα την επεξεργασία ή από εκτελούντα σε εκτελούντα την επεξεργασία. Σε περίπτωση σύγκρουσης των υποχρεωτικών όρων διαβίβασης με την παρούσα ΣΕΔ, υπερισχύουν οι υποχρεωτικοί όροι διαβίβασης.

7. Παραβιάσεις προσωπικών δεδομένων

Η Nebs-Creative θα ειδοποιεί τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και, σύμφωνα με την ισχύουσα τυπική Συμφωνία Επεξεργασίας Δεδομένων (DPA), σε κάθε περίπτωση εντός 48 ωρών από τη στιγμή που αντιλαμβάνεται παραβίαση προσωπικών δεδομένων που επηρεάζει τα Προσωπικά Δεδομένα του Πελάτη. Η ειδοποίηση θα παρέχει τις διαθέσιμες πληροφορίες σχετικά με τη φύση, την έκταση, τις πιθανές συνέπειες και τα μέτρα μετριασμού, ενώ περαιτέρω πληροφορίες θα παρέχονται μόλις καταστούν διαθέσιμες. Η Nebs-Creative θα λαμβάνει εύλογα μέτρα για τον περιορισμό και την αποκατάσταση του περιστατικού και θα συνεργάζεται με τον Πελάτη. Εκτός εάν ο νόμος ορίζει διαφορετικά, η Nebs-Creative δεν θα ειδοποιεί ρυθμιστική αρχή ή υποκείμενο των δεδομένων για λογαριασμό του Πελάτη χωρίς εντολή του Πελάτη.

8. Αιτήματα υποκειμένων των δεδομένων

Εάν η Nebs-Creative λάβει αίτημα που σχετίζεται με Προσωπικά Δεδομένα του Πελάτη, θα διαβιβάσει το αίτημα στον Πελάτη εντός 5 Εργάσιμων Ημερών και δεν θα απαντήσει επί της ουσίας, εκτός εάν εξουσιοδοτηθεί από τον Πελάτη ή απαιτείται από το νόμο.

9. Έλεγχοι και πληροφορίες συμμόρφωσης

Η Nebs-Creative θα απαντά σε εύλογα ερωτηματολόγια συμμόρφωσης, κατά κανόνα μία φορά ανά έτος, παρέχοντας πρόσθετες πληροφορίες έπειτα από σχετική παραβίαση ή αίτημα ρυθμιστικής αρχής, όπου αυτό ενδείκνυται. Εάν οι εύλογες γραπτές πληροφορίες δεν επαρκούν για την απόδειξη της συμμόρφωσης, ο Πελάτης ή ανεξάρτητος ελεγκτής, μη ανταγωνιστής, δεσμευμένος από υποχρέωση εμπιστευτικότητας, μπορεί να διενεργήσει έλεγχο, με τους περιορισμούς ως προς την προειδοποίηση, τη συχνότητα, τις ώρες εργασίας και τη μη διατάραξη των δραστηριοτήτων, όπως ορίζονται στη ισχύουσα DPA. Κάθε μέρος φέρει το δικό του κόστος ελέγχου, εκτός εάν η Συμφωνία ή το ισχύον δίκαιο ορίζει διαφορετικά.

10. Επιστροφή και διαγραφή

Όταν λήξουν οι σχετικές υπηρεσίες ή νωρίτερα βάσει γραπτής εντολής, η Nebs-Creative θα επιστρέφει ή θα διαγράφει, κατ’ επιλογή του Πελάτη, τα Προσωπικά Δεδομένα του Πελάτη εντός 30 ημερών και θα διαγράφει τα υφιστάμενα αντίγραφα, εκτός εάν το ισχύον δίκαιο απαιτεί τη διατήρησή τους. Τα δεδομένα που παραμένουν σε τακτικά αντίγραφα ασφαλείας προστατεύονται από την παρούσα DPA έως ότου αντικατασταθούν στον κανονικό κύκλο δημιουργίας αντιγράφων ασφαλείας. Έγγραφη επιβεβαίωση της διαγραφής θα παρέχεται κατόπιν αιτήματος.

11. Όροι ιδιωτικότητας πολιτειών των ΗΠΑ

Στον βαθμό που ισχύον νόμος περί ιδιωτικότητας πολιτείας των ΗΠΑ θεωρεί τη Nebs-Creative πάροχο υπηρεσιών, εργολάβο ή εκτελούντα την επεξεργασία για τα Προσωπικά Δεδομένα του Πελάτη, η Nebs-Creative δεν θα πωλεί ούτε θα κοινοποιεί (share) τα δεδομένα αυτά κατά την έννοια του ισχύοντος νόμου, δεν θα τα διατηρεί, χρησιμοποιεί ή αποκαλύπτει εκτός της επιτρεπόμενης σχέσης παροχής υπηρεσιών, ούτε θα τα συνδυάζει με άλλα προσωπικά δεδομένα, εκτός εάν το επιτρέπει ο νόμος. Η Nebs-Creative θα παρέχει το επίπεδο προστασίας της ιδιωτικότητας που απαιτείται για τον ρόλο της και θα ενημερώνει τον Πελάτη εάν δεν μπορεί πλέον να ανταποκριθεί στις υποχρεώσεις αυτές. Ο Πελάτης μπορεί να λάβει τα εύλογα μέτρα που απαιτούνται από το ισχύον δίκαιο για να παύσει και να αποκατασταθεί τυχόν μη εξουσιοδοτημένη χρήση.

12. Ευθύνη, προτεραιότητα και εφαρμοστέο δίκαιο

Η ευθύνη βάσει της παρούσας DPA υπόκειται στους όρους ευθύνης της Συμφωνίας, στον βαθμό που το επιτρέπουν οι Νόμοι Προστασίας Δεδομένων. Η DPA ισχύει για όσο διάστημα η Nebs-Creative επεξεργάζεται Προσωπικά Δεδομένα του Πελάτη και υπερισχύει των αντικρουόμενων όρων της συμφωνίας σε θέματα προσωπικών δεδομένων. Η τυπική DPA διέπεται από το δίκαιο της Αγγλίας και της Ουαλίας, εκτός εάν υποχρεωτικές ρήτρες διαβίβασης απαιτούν άλλο εφαρμοστέο δίκαιο ή άλλο δικαιοδοτικό forum.

Παράρτημα 1 - Λεπτομέρειες της επεξεργασίας

Παράρτημα 2 - Τεχνικά και οργανωτικά μέτρα

• Έλεγχος ταυτότητας πολλαπλών παραγόντων (MFA) στους λογαριασμούς που χρησιμοποιούνται για πρόσβαση στα Προσωπικά Δεδομένα του Πελάτη, όπου η υπηρεσία το υποστηρίζει.
• Έλεγχοι πρόσβασης ανά έργο· κατάργηση της πρόσβασης με την ολοκλήρωση του έργου· περιοδικοί έλεγχοι των δικαιωμάτων πρόσβασης.
• Ατομικοί λογαριασμοί χρηστών· κοινόχρηστα μυστικά στοιχεία (κωδικοί πρόσβασης) φυλάσσονται σε εγκεκριμένο κρυπτογραφημένο διαχειριστή κωδικών πρόσβασης.
• Κρυπτογράφηση ολόκληρου του δίσκου, κλείδωμα οθόνης, υποστηριζόμενα λειτουργικά συστήματα, αυτόματες ενημερώσεις ασφαλείας και λογισμικό προστασίας από κακόβουλο λογισμικό στις συσκευές που χρησιμοποιούνται για εργασίες πελατών, όπως απαιτείται από την εσωτερική πολιτική.
• Τα Προσωπικά Δεδομένα του Πελάτη αποθηκεύονται μόνο σε εγκεκριμένα εργαλεία· δεν επιτρέπονται αφαιρούμενα μέσα ούτε αποθήκευση σε προσωπικούς λογαριασμούς, εκτός εάν έχει δοθεί ειδική έγκριση.
• Ελαχιστοποίηση δεδομένων και χρήση δειγματικών/ανωνυμοποιημένων/ψευδωνυμοποιημένων δεδομένων όπου είναι δυνατόν.
• Κοινή χρήση αρχείων/συνδέσμων με περιορισμένη πρόσβαση και κρυπτογράφηση κατά τη μεταφορά· κρυπτογράφηση σε αδράνεια από τον πάροχο αποθήκευσης, όπου εφαρμόζεται.
• Κανένα Προσωπικό Δεδομένο του Πελάτη δεν εισάγεται σε εργαλεία τεχνητής νοημοσύνης, εκτός από εγκεκριμένο εργαλείο με τις απαιτούμενες δικλίδες ασφαλείας/ρυθμίσεις και με τη σύμφωνη γνώμη του πελάτη.
• Συμφωνίες εμπιστευτικότητας/πνευματικής ιδιοκτησίας με την ομάδα και εκπαίδευση σε θέματα ασφάλειας/προστασίας δεδομένων.
• Άμεση εσωτερική αναφορά περιστατικών και τήρηση αρχείου περιστατικών.
• Δυνατότητες δημιουργίας αντιγράφων ασφαλείας/ανάκτησης του παρόχου για εγκεκριμένες υπηρεσίες cloud.
• Επιστροφή/διαγραφή των Προσωπικών Δεδομένων του Πελάτη σύμφωνα με τους κανόνες διατήρησης της Συμφωνίας Επεξεργασίας Δεδομένων (DPA).

Παράρτημα 3 - Υπεργολάβοι επεξεργασίας

Υπογραφές (προαιρετικό, όπου ζητείται υπογεγραμμένη ΣΕΔ)