Σύμβαση Επεξεργασίας Δεδομένων (DPA)

Έκδοση 1.0 · Ισχύει από 23/10/2026

1. Μέρη και πεδίο

1.1. Υπεύθυνος επεξεργασίας: ο πελάτης-επιχείρηση που αποδέχτηκε τους Όρους («Πελάτης»). Εκτελών την επεξεργασία: ο ΦΙΛΙΠΠΟΣ ΜΕΡΤΖΑΝΑΚΗΣ, ατομική επιχείρηση με διακριτικό τίτλο aionAI («Εκτελών»).

1.2. Η παρούσα ισχύει για τα προσωπικά δεδομένα που επεξεργάζεται ο Εκτελών για λογαριασμό του Πελάτη κατά την παροχή της Υπηρεσίας («Δεδομένα Πελάτη»). Δεν ισχύει για δεδομένα που ο Εκτελών επεξεργάζεται ως υπεύθυνος (λογαριασμός, χρέωση, ασφάλεια), τα οποία περιγράφει η Πολιτική Απορρήτου.

1.3. Σε περίπτωση σύγκρουσης με τους Όρους υπερισχύει η παρούσα ως προς την προστασία δεδομένων.

2. Περιγραφή της επεξεργασίας (άρθ. 28 §3)

3. Υποχρεώσεις του Εκτελούντος

Ο Εκτελών:

α) επεξεργάζεται τα Δεδομένα Πελάτη μόνο βάσει τεκμηριωμένων εντολών του Πελάτη. Εντολές είναι οι Όροι, η παρούσα και οι ενέργειες του Πελάτη στην Υπηρεσία. Ο Εκτελών ενημερώνει τον Πελάτη αν μια εντολή κατά τη γνώμη του παραβιάζει τον νόμο.

β) διασφαλίζει ότι τα πρόσωπα με πρόσβαση δεσμεύονται με υποχρέωση εμπιστευτικότητας.

γ) λαμβάνει τα μέτρα ασφαλείας του Παραρτήματος Α (άρθ. 32).

δ) δεν χρησιμοποιεί Δεδομένα Πελάτη για εκπαίδευση μοντέλων AI ή για δικούς του σκοπούς. Επιτρέπονται μόνο ανωνυμοποιημένα, συγκεντρωτικά στατιστικά λειτουργίας (π.χ. χρόνοι απόκρισης, πλήθος αιτημάτων).

ε) τηρεί τους όρους για υπεργολάβους (§4).

στ) συνδράμει τον Πελάτη, με κατάλληλα μέτρα, στην απάντηση αιτημάτων υποκειμένων (άρθ. 12–22). Τα αιτήματα υποβάλλονται στο info@aionai.gr και εξυπηρετούνται μέσω τεκμηριωμένης διαδικασίας, ακόμη και όταν δεν υπάρχει αυτοεξυπηρέτηση στην εφαρμογή. Ο Εκτελών προωθεί χωρίς καθυστέρηση αιτήματα που λαμβάνει απευθείας και δεν γνωστοποιεί δεδομένα σε μη εξουσιοδοτημένο αιτούντα.

ζ) συνδράμει τον Πελάτη στις υποχρεώσεις των άρθ. 32–36 (ασφάλεια, γνωστοποίηση παραβιάσεων, DPIA, προηγούμενη διαβούλευση), λαμβάνοντας υπόψη τη φύση της επεξεργασίας.

η) γνωστοποιεί παραβίαση δεδομένων στον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, μέσα σε 48 ώρες αφότου λάβει γνώση. Η γνωστοποίηση περιέχει τις πληροφορίες του άρθ. 33 §3 όσο είναι διαθέσιμες.

θ) θέτει στη διάθεση του Πελάτη τις πληροφορίες που απαιτούνται για την απόδειξη της συμμόρφωσης και επιτρέπει ελέγχους (§7).

4. Υπεργολάβοι (υπο-εκτελούντες)

4.1. Ο Πελάτης παρέχει γενική γραπτή άδεια για τη χρήση των υπεργολάβων που αναφέρονται στη σελίδα Υπεργολάβοι.

4.2. Ο Εκτελών ενημερώνει τον Πελάτη για κάθε προσθήκη ή αντικατάσταση υπεργολάβου τουλάχιστον 30 ημέρες πριν, με email ή ειδοποίηση στην εφαρμογή. Ο Πελάτης μπορεί να εναντιωθεί με εύλογη αιτιολόγηση μέσα σε αυτή την προθεσμία. Αν δεν βρεθεί λύση, ο Πελάτης μπορεί να λύσει τη σύμβαση χωρίς κόστος, με επιστροφή του αναλογούντος ποσού για την περίοδο που δεν έχει χρησιμοποιηθεί.

4.3. Ο Εκτελών επιβάλλει σε κάθε υπεργολάβο γραπτώς υποχρεώσεις προστασίας δεδομένων ουσιωδώς ισοδύναμες με την παρούσα και παραμένει υπεύθυνος έναντι του Πελάτη για αυτόν.

5. Διαβιβάσεις εκτός ΕΟΧ

Διαβιβάσεις εκτός ΕΟΧ επιτρέπονται μόνο με τις προϋποθέσεις του Κεφαλαίου V GDPR: εφαρμοστέα απόφαση επάρκειας (π.χ. EU-US Data Privacy Framework, Ηνωμένο Βασίλειο) ή κατάλληλες εγγυήσεις, όπως οι Τυποποιημένες Συμβατικές Ρήτρες (Απόφαση 2021/914), με αξιολόγηση και συμπληρωματικά μέτρα όπου απαιτείται. Η χώρα φιλοξενίας δεν αρκεί από μόνη της για την αξιολόγηση πρόσβασης από τρίτες χώρες. Η τοποθεσία, η συμβατική οντότητα και ο μηχανισμός ανά υπεργολάβο αναφέρονται στη λίστα υπεργολάβων.

6. Υποχρεώσεις του Πελάτη

Ο Πελάτης εγγυάται ότι έχει νόμιμη βάση για την επεξεργασία των Δεδομένων Πελάτη και για τη διαβίβασή τους στον Εκτελούντα, ότι έχει ενημερώσει τα υποκείμενα, και ότι έχει λάβει όπου απαιτείται συναίνεση, ιδίως για εικόνες προσώπων. Δεν εισάγει ειδικές κατηγορίες δεδομένων ή δεδομένα παιδιών χωρίς προηγούμενη γραπτή συμφωνία.

7. Έλεγχοι

7.1. Ο Εκτελών παρέχει, κατόπιν εύλογου αιτήματος, ενημερωμένη περιγραφή των μέτρων ασφαλείας και, όταν υπάρχουν, εκθέσεις ελέγχου ή πιστοποιήσεις.

7.2. Ο Πελάτης μπορεί να διενεργήσει τους ελέγχους και τις επιθεωρήσεις που απαιτούνται από το άρθ. 28 παρ. 3 στ.η GDPR, ο ίδιος ή μέσω εντεταλμένου ελεγκτή με υποχρέωση εμπιστευτικότητας. Για συνήθεις ελέγχους συντονίζουμε εύλογη προειδοποίηση, χρόνο και τρόπο που προστατεύει την ασφάλεια και τα δεδομένα άλλων πελατών. Δεν εφαρμόζεται απόλυτο ετήσιο όριο ή υποχρεωτική αναμονή σε περιστατικό, τεκμηριωμένη ένδειξη μη συμμόρφωσης ή απαίτηση αρμόδιας αρχής. Τυχόν συμφωνία για εύλογα έξοδα δεν μπορεί να καταστήσει το νόμιμο δικαίωμα ελέγχου ανεφάρμοστο.

8. Ευθύνη

Η ευθύνη των μερών διέπεται από το άρθ. 82 GDPR και τους περιορισμούς των Όρων, στο μέτρο που επιτρέπει ο νόμος.

9. Λήξη: επιστροφή και διαγραφή

Με τη λήξη της παροχής, κατ' επιλογή του Πελάτη, ο Εκτελών επιστρέφει τα Δεδομένα Πελάτη (εξαγωγή μέσα σε 30 ημέρες, Όροι §12) ή τα διαγράφει χωρίς επιστροφή, εκτός αν το δίκαιο της Ένωσης ή κράτους-μέλους επιβάλλει διατήρηση. Μετά την περίοδο αυτή ο Εκτελών διαγράφει τα Δεδομένα Πελάτη από τα ενεργά συστήματα: βάσεις δεδομένων, αρχεία, συνομιλίες, μνήμη και παράγωγα αναζήτησης, καθώς και αντίγραφα στους υπεργολάβους σύμφωνα με τις σχετικές εντολές.

Τα αντίγραφα ασφαλείας διαγράφονται με τον κύκλο τους, μέσα σε 7 ημέρες. Δεν χρησιμοποιούνται για άλλον σκοπό και, σε επαναφορά, επανεφαρμόζονται οι ολοκληρωμένες διαγραφές. Κατόπιν αιτήματος ο Εκτελών βεβαιώνει γραπτώς τη διαγραφή, αναφέροντας τυχόν νόμιμη εξαίρεση. Τα δεδομένα που τηρούνται αυτοτελώς για χρέωση ή νόμιμες υποχρεώσεις διέπονται από την Πολιτική Απορρήτου.

Παράρτημα Α: Τεχνικά και οργανωτικά μέτρα

Έλεγχος πρόσβασης

• Αυθεντικοποίηση χρηστών μέσω Supabase Auth. Τα tokens επαληθεύονται σε κάθε αίτημα του API.
• Απομόνωση δεδομένων ανά χώρο εργασίας με Row-Level Security στη βάση και έλεγχο μέλους/ρόλου στον server. Οι πελάτες ή το AI δεν μπορούν να επιλέξουν άλλο χώρο εργασίας.
• Ρόλοι owner / editor / viewer. Οι ιδιωτικές συνομιλίες είναι προσβάσιμες μόνο από τον δημιουργό τους.
• Λειτουργίες worker και διαχείρισης εκτελούνται μόνο με κλειδί υπηρεσίας στον server. Δεν υπάρχει πρόσβαση από τον browser.
• Έλεγχος ταυτότητας δύο παραγόντων και ελάχιστα δικαιώματα για το προσωπικό σε όλες τις κονσόλες παρόχων.

Κρυπτογράφηση

• TLS 1.2+ σε κάθε μεταφορά. Κρυπτογράφηση αποθήκευσης στη βάση και στο storage.
• Πρόσθετη κρυπτογράφηση σε επίπεδο εφαρμογής για στοιχεία σύνδεσης με τρίτες υπηρεσίες.

Ασφάλεια εφαρμογής

• Επικύρωση εισόδων με σχήματα. Όρια μεγέθους στα αρχεία. Προστασία SSRF στην ανάγνωση ιστοσελίδων.
• Το AI δεν αποτελεί όριο εξουσιοδότησης: εργαλεία με παρενέργειες απαιτούν ρητή έγκριση του χρήστη.
• Όρια ρυθμού αιτημάτων ανά χρήστη στις λειτουργίες AI, render και ανεβάσματος αρχείων.

Διαθεσιμότητα και ανθεκτικότητα

• Καθημερινά αντίγραφα ασφαλείας της βάσης. Περιοδική δοκιμή επαναφοράς.
• Παρακολούθηση σφαλμάτων και διαθεσιμότητας.

Οργανωτικά

• Υποχρέωση εμπιστευτικότητας για το προσωπικό. Ενημέρωση για προστασία δεδομένων και AI.
• Διαδικασία διαχείρισης περιστατικών και μητρώο παραβιάσεων.
• Αρχείο δραστηριοτήτων επεξεργασίας (άρθ. 30). Αξιολόγηση υπεργολάβων πριν την ένταξή τους.
• Ελαχιστοποίηση: τα δεδομένα στέλνονται στους παρόχους AI μόνο όσο χρειάζεται για κάθε αίτημα. Δεν εκπαιδεύονται μοντέλα με αυτά.

Παράρτημα Β: Υπεργολάβοι

Σύμφωνα με τη σελίδα Υπεργολάβοι, όπως ισχύει κάθε φορά.