Σύμβαση Ανάθεσης Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα

(κατ’ άρθρο 28 του Κανονισμού (ΕΕ) 2016/679 — «ΓΚΠΔ»)

Η παρούσα αποτελεί αναπόσπαστο παράρτημα των Όρων Χρήσης Υπηρεσιών B2B της Εταιρείας.

ΣΥΜΒΑΛΛΟΜΕΝΟΙ

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων (η «Σύμβαση Επεξεργασίας» ή «DPA») καταρτίζεται μεταξύ:

1. του Επιχειρηματικού Πελάτη, ήτοι του φυσικού ή νομικού προσώπου που δημιουργεί λογαριασμό ή χρησιμοποιεί την Πλατφόρμα δυνάμει των Όρων Χρήσης, με στοιχεία όπως αυτά δηλώνονται στο Έντυπο Εγγραφής / λογαριασμό (εφεξής ο «Υπεύθυνος Επεξεργασίας» ή «Πελάτης»), και

2. της εταιρείας «Tabb Pay Ιδιωτική Κεφαλαιουχική Εταιρεία» (διακριτικός τίτλος «TabbPay»), με αρ. Γ.Ε.ΜΗ. 194779301000, Α.Φ.Μ. 803333569, Δ.Ο.Υ. ΚΕΦΟΔΕ ΑΤΤΙΚΗΣ, που εδρεύει στον Δήμο Γαλατσίου Αττικής, οδός Φαρρών αρ. 39, Τ.Κ. 11147, e-mail privacy@tabbpay.com (εφεξής ο «Εκτελών την Επεξεργασία» ή «TabbPay» ή η «Εταιρεία»),

(εκάστη ομού «Μέρος» και αμφότερες τα «Μέρη»).

ΠΡΟΟΙΜΙΟ

(Α) Η Εταιρεία παρέχει στον Πελάτη πλατφόρμα λογισμικού ως υπηρεσία (SaaS) για την ηλεκτρονική παραγγελιοληψία και πληρωμή μέσω κωδικού QR, καθώς και συναφείς λειτουργίες (διαχείριση προσωπικού, αναγνώριση επαναλαμβανόμενου πελάτη, προγράμματα επιβράβευσης), όπως περιγράφονται στους Όρους Χρήσης (η «Κύρια Σύμβαση»).

(Β) Στο πλαίσιο της παροχής των ως άνω υπηρεσιών, η Εταιρεία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό και κατ’ εντολή του Πελάτη. Ως προς την επεξεργασία αυτή, ο Πελάτης ενεργεί ως Υπεύθυνος Επεξεργασίας και η Εταιρεία ως Εκτελών την Επεξεργασία κατά την έννοια του ΓΚΠΔ.

(Γ) Η παρούσα ρυθμίζει την επεξεργασία αυτή σύμφωνα με το άρθρο 28 παρ. 3 ΓΚΠΔ και αποτελεί αναπόσπαστο τμήμα της Κύριας Σύμβασης. Σε περίπτωση σύγκρουσης, ως προς ζητήματα προστασίας δεδομένων προσωπικού χαρακτήρα υπερισχύει η παρούσα.

(Δ) Διευκρινίζεται ότι, ως προς τα δεδομένα του ίδιου του Πελάτη (στοιχεία λογαριασμού, τιμολόγησης, ασφάλειας) η Εταιρεία ενεργεί ως αυτοτελής Υπεύθυνος Επεξεργασίας και η σχετική επεξεργασία διέπεται από την Πολιτική Απορρήτου της και όχι από την παρούσα.

Συμφωνούνται και γίνονται αμοιβαίως αποδεκτά τα ακόλουθα:

ΟΡΙΣΜΟΙ

Όροι με κεφαλαίο αρχικό γράμμα που δεν ορίζονται κατωτέρω έχουν την έννοια που τους αποδίδει ο ΓΚΠΔ ή η Κύρια Σύμβαση.

• «ΓΚΠΔ»: ο Κανονισμός (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα.
• «Νομοθεσία Προστασίας Δεδομένων»: ο ΓΚΠΔ, ο ν. 4624/2019, ο ν. 3471/2006 και η λοιπή ισχύουσα εθνική και ενωσιακή νομοθεσία, καθώς και οι αποφάσεις και οδηγίες της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (η «ΑΠΔΠΧ»), όπως εκάστοτε ισχύουν.
• «Δεδομένα Προσωπικού Χαρακτήρα»: τα δεδομένα προσωπικού χαρακτήρα που η Εταιρεία επεξεργάζεται για λογαριασμό του Πελάτη δυνάμει της παρούσας, όπως εξειδικεύονται στο Παράρτημα Α.
• «Επεξεργασία», «Υπεύθυνος Επεξεργασίας», «Εκτελών την Επεξεργασία», «Υποκείμενο των Δεδομένων», «Παραβίαση Δεδομένων Προσωπικού Χαρακτήρα»: όπως ορίζονται στο άρθρο 4 ΓΚΠΔ.
• «Υποεκτελών την Επεξεργασία»: κάθε τρίτος που η Εταιρεία προσλαμβάνει για την εκτέλεση συγκεκριμένων δραστηριοτήτων επεξεργασίας για λογαριασμό του Πελάτη.
• «Πλατφόρμα»: το σύνολο των υπηρεσιών λογισμικού της Εταιρείας (πίνακας ελέγχου σε dashboard.tabbpay.com, διεπαφές api.tabbpay.com, εμπειρία επισκεπτών σε app.tabbpay.com, εφαρμογή TabbPay Staff).
• «Επισκέπτες» / «Προσωπικό»: οι κατηγορίες υποκειμένων του Παραρτήματος Α.

ΑΡΘΡΟ 1 — ΑΝΤΙΚΕΙΜΕΝΟ ΚΑΙ ΡΟΛΟΙ ΤΩΝ ΜΕΡΩΝ

1.1 Η παρούσα ρυθμίζει την εκ μέρους της Εταιρείας επεξεργασία Δεδομένων Προσωπικού Χαρακτήρα για λογαριασμό του Πελάτη στο πλαίσιο της Κύριας Σύμβασης.

1.2 Ο Πελάτης είναι ο Υπεύθυνος Επεξεργασίας και καθορίζει τους σκοπούς και τον τρόπο της επεξεργασίας. Η Εταιρεία είναι ο Εκτελών την Επεξεργασία και ενεργεί μόνο κατ’ εντολή του Πελάτη.

1.3 Έκαστο Μέρος συμμορφώνεται με τις υποχρεώσεις που του αναλογούν βάσει της Νομοθεσίας Προστασίας Δεδομένων.

ΑΡΘΡΟ 2 — ΔΙΑΡΚΕΙΑ

2.1 Η παρούσα τίθεται σε ισχύ κατά την αποδοχή της Κύριας Σύμβασης (δημιουργία λογαριασμού) ή κατά την υπογραφή της, όποιο επέλθει πρώτο, και παραμένει σε ισχύ για όσο χρόνο η Εταιρεία επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα για λογαριασμό του Πελάτη.

ΑΡΘΡΟ 3 — ΑΝΤΙΚΕΙΜΕΝΟ, ΦΥΣΗ ΚΑΙ ΣΚΟΠΟΣ ΤΗΣ ΕΠΕΞΕΡΓΑΣΙΑΣ

3.1 Το αντικείμενο, η διάρκεια, η φύση και ο σκοπός της επεξεργασίας, το είδος των Δεδομένων Προσωπικού Χαρακτήρα και οι κατηγορίες των Υποκειμένων των Δεδομένων περιγράφονται στο Παράρτημα Α.

3.2 Η Εταιρεία δεν επεξεργάζεται τα Δεδομένα Προσωπικού Χαρακτήρα για ίδιους σκοπούς ούτε για σκοπούς διαφορετικούς από εκείνους της παροχής των υπηρεσιών της Κύριας Σύμβασης.

ΑΡΘΡΟ 4 — ΥΠΟΧΡΕΩΣΕΙΣ ΤΟΥ ΥΠΕΥΘΥΝΟΥ ΕΠΕΞΕΡΓΑΣΙΑΣ

4.1 Ο Πελάτης εγγυάται ότι διαθέτει νόμιμη βάση επεξεργασίας (άρθρα 6 και, κατά περίπτωση, 9 ΓΚΠΔ) για κάθε διαβίβαση Δεδομένων Προσωπικού Χαρακτήρα προς την Εταιρεία και για κάθε εντολή επεξεργασίας που της δίδει.

4.2 Ο Πελάτης εγγυάται ότι έχει παράσχει στα Υποκείμενα των Δεδομένων (Επισκέπτες, Προσωπικό) τις απαιτούμενες ενημερώσεις (άρθρα 13–14 ΓΚΠΔ) και, όπου απαιτείται, έχει λάβει έγκυρη συγκατάθεση.

4.3 Οι εντολές του Πελάτη πρέπει να είναι σύννομες. Ο Πελάτης ευθύνεται για την ακρίβεια, ποιότητα και νομιμότητα των Δεδομένων Προσωπικού Χαρακτήρα και για τον τρόπο απόκτησής τους.

ΑΡΘΡΟ 5 — ΥΠΟΧΡΕΩΣΕΙΣ ΤΟΥ ΕΚΤΕΛΟΥΝΤΟΣ ΤΗΝ ΕΠΕΞΕΡΓΑΣΙΑ

Η Εταιρεία, σύμφωνα με το άρθρο 28 παρ. 3 ΓΚΠΔ:

5.1 (α) Εντολές. Επεξεργάζεται τα Δεδομένα Προσωπικού Χαρακτήρα μόνο βάσει των τεκμηριωμένων εντολών του Πελάτη — συμπεριλαμβανομένων των διαβιβάσεων προς τρίτη χώρα — εκτός εάν υποχρεούται προς τούτο από το ενωσιακό ή εθνικό δίκαιο· στην περίπτωση αυτή ενημερώνει τον Πελάτη πριν την επεξεργασία, εκτός εάν το δίκαιο αυτό το απαγορεύει για λόγους δημοσίου συμφέροντος. Η Κύρια Σύμβαση και η παρούσα συνιστούν τις πλήρεις τεκμηριωμένες εντολές του Πελάτη. Εάν εντολή του Πελάτη παραβιάζει κατά την κρίση της Εταιρείας τη Νομοθεσία Προστασίας Δεδομένων, η Εταιρεία τον ενημερώνει αμελλητί.

5.2 (β) Εμπιστευτικότητα. Διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται τα Δεδομένα Προσωπικού Χαρακτήρα έχουν αναλάβει δέσμευση εμπιστευτικότητας ή τελούν υπό κατάλληλη εκ του νόμου υποχρέωση εχεμύθειας.

5.3 (γ) Ασφάλεια. Λαμβάνει όλα τα απαιτούμενα τεχνικά και οργανωτικά μέτρα κατά το άρθρο 32 ΓΚΠΔ, όπως περιγράφονται στο Παράρτημα Β.

5.4 (δ) Υποεκτελούντες. Δεν προσλαμβάνει Υποεκτελούντα χωρίς προηγούμενη γενική έγγραφη εξουσιοδότηση του Πελάτη, κατά τα οριζόμενα στο Άρθρο 7 και το Παράρτημα Γ.

5.5 (ε) Συνδρομή στα δικαιώματα. Συνδράμει τον Πελάτη, με κατάλληλα τεχνικά και οργανωτικά μέτρα, στην ανταπόκριση σε αιτήματα άσκησης δικαιωμάτων των Υποκειμένων (άρθρα 12–23 ΓΚΠΔ), κατά το Άρθρο 9.

5.6 (στ) Συνδρομή στη συμμόρφωση. Συνδράμει τον Πελάτη στη διασφάλιση της συμμόρφωσης προς τις υποχρεώσεις των άρθρων 32–36 ΓΚΠΔ (ασφάλεια, γνωστοποίηση παραβιάσεων, εκτίμηση αντικτύπου, προηγούμενη διαβούλευση), λαμβανομένης υπόψη της φύσης της επεξεργασίας και των πληροφοριών που διαθέτει.

5.7 (ζ) Επιστροφή/διαγραφή. Κατά τη λήξη της παροχής των υπηρεσιών, διαγράφει ή επιστρέφει τα Δεδομένα Προσωπικού Χαρακτήρα κατά το Άρθρο 12.

5.8 (η) Έλεγχοι. Θέτει στη διάθεση του Πελάτη κάθε αναγκαία πληροφορία για την απόδειξη της συμμόρφωσης και επιτρέπει και διευκολύνει ελέγχους, κατά το Άρθρο 11.

ΑΡΘΡΟ 6 — ΑΣΦΑΛΕΙΑ ΤΗΣ ΕΠΕΞΕΡΓΑΣΙΑΣ

6.1 Η Εταιρεία εφαρμόζει τα τεχνικά και οργανωτικά μέτρα του Παραρτήματος Β, τα οποία, λαμβανομένων υπόψη των εξελίξεων της τεχνολογίας, του κόστους εφαρμογής και των κινδύνων, διασφαλίζουν επίπεδο ασφάλειας ανάλογο προς τον κίνδυνο (άρθρο 32 ΓΚΠΔ).

6.2 Η Εταιρεία δύναται να επικαιροποιεί τα μέτρα αυτά, υπό την προϋπόθεση ότι το επίπεδο ασφάλειας δεν υποβαθμίζεται.

ΑΡΘΡΟ 7 — ΥΠΟΕΚΤΕΛΟΥΝΤΕΣ ΤΗΝ ΕΠΕΞΕΡΓΑΣΙΑ

7.1 Ο Πελάτης παρέχει γενική έγγραφη εξουσιοδότηση για την πρόσληψη Υποεκτελούντων. Οι εγκεκριμένοι κατά την κατάρτιση της παρούσας Υποεκτελούντες παρατίθενται στο Παράρτημα Γ.

7.2 Η Εταιρεία ενημερώνει τον Πελάτη για κάθε σκοπούμενη προσθήκη ή αντικατάσταση Υποεκτελούντος τουλάχιστον δεκατέσσερις (14) ημέρες πριν, παρέχοντας τη δυνατότητα στον Πελάτη να αντιταχθεί για εύλογο και τεκμηριωμένο λόγο σχετιζόμενο με την προστασία δεδομένων. Σε περίπτωση αντίρρησης που δεν δύναται να αρθεί, ο Πελάτης δικαιούται να καταγγείλει το επηρεαζόμενο τμήμα των υπηρεσιών.

7.3 Η Εταιρεία επιβάλλει σε κάθε Υποεκτελούντα, με έγγραφη σύμβαση, υποχρεώσεις προστασίας δεδομένων τουλάχιστον ισοδύναμες με τις προβλεπόμενες στην παρούσα (άρθρο 28 παρ. 4 ΓΚΠΔ), και ευθύνεται έναντι του Πελάτη για την εκπλήρωση των υποχρεώσεων του Υποεκτελούντος.

ΑΡΘΡΟ 8 — ΔΙΕΘΝΕΙΣ ΔΙΑΒΙΒΑΣΕΙΣ

8.1 Τα Δεδομένα Προσωπικού Χαρακτήρα υποβάλλονται κατά κύριο λόγο σε επεξεργασία εντός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ).

8.2 Όπου διαβίβαση προς τρίτη χώρα είναι αναγκαία (βλ. Παράρτημα Γ), αυτή λαμβάνει χώρα μόνον εφόσον υφίσταται κατάλληλη εγγύηση του άρθρου 46 ΓΚΠΔ — ιδίως οι Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής (Απόφαση 2021/914) — και, όπου ενδείκνυται, συμπληρωματικά μέτρα.

ΑΡΘΡΟ 9 — ΣΥΝΔΡΟΜΗ ΣΤΑ ΔΙΚΑΙΩΜΑΤΑ ΤΩΝ ΥΠΟΚΕΙΜΕΝΩΝ

9.1 Η Εταιρεία διαβιβάζει αμελλητί στον Πελάτη κάθε αίτημα Υποκειμένου των Δεδομένων που λαμβάνει απευθείας και δεν απαντά σε αυτό αυτοτελώς, παρά μόνον κατ’ εντολή του Πελάτη.

9.2 Η Εταιρεία παρέχει στον Πελάτη εύλογη συνδρομή — με τα διαθέσιμα τεχνικά μέσα της Πλατφόρμας — ώστε ο Πελάτης να ανταποκρίνεται στα αιτήματα πρόσβασης, διόρθωσης, διαγραφής, περιορισμού, φορητότητας και εναντίωσης εντός των προθεσμιών του ΓΚΠΔ.

ΑΡΘΡΟ 10 — ΠΑΡΑΒΙΑΣΗ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ

10.1 Η Εταιρεία ειδοποιεί τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και, εφόσον είναι εφικτό, εντός σαράντα οκτώ (48) ωρών από τη στιγμή που λαμβάνει γνώση Παραβίασης Δεδομένων Προσωπικού Χαρακτήρα που αφορά Δεδομένα τα οποία επεξεργάζεται για λογαριασμό του Πελάτη.

10.2 Η ειδοποίηση περιλαμβάνει, στο μέτρο του δυνατού, τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό των θιγόμενων Υποκειμένων, τις πιθανές συνέπειες και τα ληφθέντα ή προτεινόμενα μέτρα. Η Εταιρεία συνδράμει τον Πελάτη στην εκπλήρωση των υποχρεώσεών του κατά τα άρθρα 33 και 34 ΓΚΠΔ. Η γνωστοποίηση προς την ΑΠΔΠΧ και τα Υποκείμενα αποτελεί ευθύνη του Πελάτη ως Υπευθύνου Επεξεργασίας.

ΑΡΘΡΟ 11 — ΕΛΕΓΧΟΙ

11.1 Η Εταιρεία θέτει στη διάθεση του Πελάτη κάθε πληροφορία αναγκαία για την απόδειξη της συμμόρφωσης προς το άρθρο 28 ΓΚΠΔ.

11.2 Ο Πελάτης δικαιούται να διενεργεί έλεγχο (audit), αυτοπροσώπως ή μέσω εντεταλμένου ελεγκτή που δεσμεύεται από εμπιστευτικότητα, άπαξ ετησίως ή/και κατόπιν τεκμηριωμένου αιτήματος εποπτικής αρχής ή μετά από Παραβίαση Δεδομένων, κατόπιν εύλογης έγγραφης ειδοποίησης τουλάχιστον τριάντα (30) ημερών και κατά τρόπο που δεν διαταράσσει αδικαιολόγητα τη λειτουργία της Εταιρείας.

11.3 Η Εταιρεία δύναται να ανταποκρίνεται στην υποχρέωση ελέγχου παρέχοντας επικαιροποιημένες πιστοποιήσεις, εκθέσεις ανεξάρτητων ελεγκτών ή ερωτηματολόγια, εφόσον αυτά τεκμηριώνουν επαρκώς τη συμμόρφωση.

ΑΡΘΡΟ 12 — ΕΠΙΣΤΡΟΦΗ ΚΑΙ ΔΙΑΓΡΑΦΗ ΔΕΔΟΜΕΝΩΝ

12.1 Κατά τη λήξη ή λύση της Κύριας Σύμβασης, η Εταιρεία, κατ’ επιλογή του Πελάτη, διαγράφει ή επιστρέφει τα Δεδομένα Προσωπικού Χαρακτήρα και διαγράφει τα υφιστάμενα αντίγραφα, εκτός εάν το ενωσιακό ή εθνικό δίκαιο επιβάλλει τη διατήρησή τους.

12.2 Διευκρινίζεται ότι αρχεία που υπόκεινται σε υποχρεωτική διατήρηση βάσει της φορολογικής και λογιστικής νομοθεσίας (ιδίως ν. 4308/2014 και ν. 4174/2013 — έξι έτη) δεν διαγράφονται πριν τη λήξη της σχετικής περιόδου· έως τότε τίθενται υπό περιορισμό επεξεργασίας (άρθρο 18 ΓΚΠΔ) και εν συνεχεία διαγράφονται. Τα αντίγραφα ασφαλείας ανακυκλώνονται εντός τριάντα (30) ημερών.

ΑΡΘΡΟ 13 — ΕΥΘΥΝΗ

13.1 Η ευθύνη εκάστου Μέρους δυνάμει της παρούσας υπόκειται στους περιορισμούς ευθύνης της Κύριας Σύμβασης, στο μέτρο που επιτρέπεται από τη Νομοθεσία Προστασίας Δεδομένων.

13.2 Η κατανομή ευθύνης έναντι Υποκειμένων ή εποπτικών αρχών διέπεται από το άρθρο 82 ΓΚΠΔ. Έκαστο Μέρος ευθύνεται για τη ζημία που προκαλείται από τη δική του παράβαση των υποχρεώσεών του.

ΑΡΘΡΟ 14 — ΛΟΙΠΕΣ ΔΙΑΤΑΞΕΙΣ

14.1 Σχέση με την Κύρια Σύμβαση. Η παρούσα αποτελεί αναπόσπαστο τμήμα της Κύριας Σύμβασης. Ως προς ζητήματα προστασίας δεδομένων προσωπικού χαρακτήρα, σε περίπτωση σύγκρουσης υπερισχύει η παρούσα.

14.2 Τροποποιήσεις. Τροποποιήσεις γίνονται εγγράφως. Η Εταιρεία δύναται να επικαιροποιεί τα Παραρτήματα ώστε να αντικατοπτρίζουν αλλαγές στις υπηρεσίες ή στη νομοθεσία, με την επιφύλαξη του Άρθρου 7 ως προς τους Υποεκτελούντες.

14.3 Διασωστική ρήτρα. Η τυχόν ακυρότητα όρου δεν θίγει το κύρος των λοιπών.

14.4 Εφαρμοστέο δίκαιο — Δικαιοδοσία. Η παρούσα διέπεται από το ελληνικό δίκαιο. Αρμόδια ορίζονται τα Δικαστήρια των Αθηνών, με την επιφύλαξη τυχόν ρήτρας επίλυσης διαφορών της Κύριας Σύμβασης.

14.5 Γλώσσα. Η ελληνική εκδοχή είναι η δεσμευτική· η αγγλική παρέχεται προς διευκόλυνση.

ΥΠΟΓΡΑΦΕΣ

Η παρούσα Σύμβαση Ανάθεσης Επεξεργασίας αποτελεί αναπόσπαστο τμήμα των Όρων Χρήσης και γίνεται αποδεκτή ηλεκτρονικά από τον Επιχειρηματικό Πελάτη κατά τη δημιουργία λογαριασμού / αποδοχή των Όρων· δεν απαιτείται χωριστή έγγραφη υπογραφή. Αντίγραφο με υπογραφή διατίθεται στους Επιχειρηματικούς Πελάτες κατόπιν αιτήματος στο privacy@tabbpay.com.

ΠΑΡΑΡΤΗΜΑ Α — ΠΕΡΙΓΡΑΦΗ ΤΗΣ ΕΠΕΞΕΡΓΑΣΙΑΣ

Αντικείμενο: η επεξεργασία Δεδομένων Προσωπικού Χαρακτήρα που είναι αναγκαία για την παροχή της Πλατφόρμας στον Πελάτη.

Διάρκεια: για όσο χρόνο ισχύει η Κύρια Σύμβαση, υπό τους όρους του Άρθρου 12.

Φύση και σκοπός: φιλοξενία, αποθήκευση, καταγραφή, διαβίβαση και εν γένει επεξεργασία δεδομένων με σκοπό: την παραγγελιοληψία και πληρωμή στο κατάστημα· τη διαχείριση τραπεζιών, μενού και συνεδριών· την προαιρετική επαλήθευση κινητού, αναγνώριση επαναλαμβανόμενου πελάτη και λειτουργία προγράμματος επιβράβευσης· τη διαχείριση προσωπικού, βαρδιών, φιλοδωρημάτων και αξιολογήσεων· και την προώθηση παραγγελιών στο σύστημα POS του Πελάτη, όπου ενεργοποιείται.

Κατηγορίες Υποκειμένων: (i) Επισκέπτες (πελάτες-καταναλωτές του Πελάτη)· (ii) Προσωπικό (υπάλληλοι/συνεργάτες του Πελάτη).

Είδη Δεδομένων Προσωπικού Χαρακτήρα:

• Επισκέπτες (βασικά): αναγνωριστικό συνεδρίας, αναγνωριστικό συσκευής, διακριτικό σύνδεσης συσκευής, διεύθυνση IP, User-Agent, περιεχόμενο και σημειώσεις παραγγελίας, αναφορά πληρωμής, ποσό/κατανομή φιλοδωρήματος, βαθμολογία/αξιολόγηση.
• Επισκέπτες (προαιρετική ταυτότητα/επιβράβευση): κατακερματισμένη (salted SHA-256) τιμή αριθμού κινητού· κατακερματισμένες τιμές email ή/και αποτυπώματος κάρτας (PSP)· προαιρετικό εμφανιζόμενο όνομα· χρονοσφραγίδες επαλήθευσης/συγκατάθεσης· καθολικό πόντων επιβράβευσης. Ο αρχικός αριθμός κινητού υφίσταται επεξεργασία μόνο παροδικά για την αποστολή εφάπαξ κωδικού μέσω SMS.
• Προσωπικό: ονοματεπώνυμο/εμφανιζόμενο όνομα, email, τηλέφωνο (προαιρετικά), ρόλος/κατάσταση/στοιχεία απασχόλησης, κατακερματισμένο με bcrypt PIN συσκευής, διαπιστευτήρια ειδοποιήσεων push, δεδομένα απόδοσης.

Ειδικές κατηγορίες (άρθρο 9 ΓΚΠΔ): δεν ζητούνται. Τυχόν διατροφικές/αλλεργιογόνες πληροφορίες σε σημειώσεις παραγγελίας εισάγονται οικειοθελώς από τον Επισκέπτη για την εκτέλεση της παραγγελίας.

ΠΑΡΑΡΤΗΜΑ Β — ΤΕΧΝΙΚΑ ΚΑΙ ΟΡΓΑΝΩΤΙΚΑ ΜΕΤΡΑ (άρθρο 32 ΓΚΠΔ)

• Κρυπτογράφηση κατά τη μεταφορά (TLS 1.2+) και σε ηρεμία (βάσεις δεδομένων και αποθήκευση αντικειμένων).
• Έλεγχος πρόσβασης βάσει ρόλων με αρχή ελάχιστων προνομίων· καταγραφή της πρόσβασης στην παραγωγή.
• Ψευδωνυμοποίηση: αριθμοί κινητού/email/αποτυπώματα καρτών τηρούνται ως salted SHA-256 και όχι σε μορφή απλού κειμένου· τα PIN συσκευής τηρούνται ως κατακερματισμένες τιμές bcrypt.
• Διακριτικά σύνδεσης συσκευής υπογεγραμμένα με HMAC, με δυνατότητα ανάκλησης ανά συσκευή.
• Παρακολούθηση σφαλμάτων με απενεργοποιημένη αποστολή PII (sendDefaultPii: false) και απόκρυψη ευαίσθητων πεδίων (beforeSend).
• Εφάπαξ κωδικοί SMS: τηρούνται μόνο ως hash, σε προσωρινή μνήμη, για έως 5 λεπτά.
• Αυτοματοποιημένες ημερήσιες σαρώσεις διατήρησης/διαγραφής δεδομένων.
• Τακτικές (τριμηνιαίες) επανεξετάσεις δικαιωμάτων πρόσβασης και Υποεκτελούντων· αντίγραφα ασφαλείας με κύκλο ανακύκλωσης 30 ημερών.

ΠΑΡΑΡΤΗΜΑ Γ — ΕΓΚΕΚΡΙΜΕΝΟΙ ΥΠΟΕΚΤΕΛΟΥΝΤΕΣ

Ο κατάλογος επικαιροποιείται κατά το Άρθρο 7. Πηγή αληθείας σε λειτουργικό επίπεδο: ο Κατάλογος Υποεκτελούντων και η Πολιτική Απορρήτου.

Γλώσσα. Η ελληνική εκδοχή της παρούσας είναι η νομικά δεσμευτική· η αγγλική παρέχεται προς διευκόλυνση.