Συμφωνία Επεξεργασίας Δεδομένων.

1. Συμβαλλόμενα μέρη

Εκτελών την επεξεργασία: Encelyte Ltd, εταιρεία εγγεγραμμένη στην Κύπρο, που λειτουργεί την υπηρεσία Pileform. Έδρα: Λευκωσία, Κύπρος. Επικοινωνία: contact@pileform.com.

Υπεύθυνος επεξεργασίας: εσύ, ο Πελάτης που συνάπτει τους όρους υπηρεσίας Pileform.

2. Αντικείμενο και διάρκεια

Αντικείμενο: επεξεργασία προσωπικών δεδομένων που περιέχονται σε αποδείξεις, τιμολόγια και λογιστικά έγγραφα τα οποία ανεβάζει ο Πελάτης στο Pileform, με σκοπό την εξαγωγή δομημένων δεδομένων και την παραγωγή φύλλων Excel ανά προμηθευτή.

Διάρκεια: καθ’ όλη τη διάρκεια της συμφωνίας υπηρεσίας του Πελάτη με το Pileform, συν τις περιόδους διατήρησης που καθορίζονται στην ενότητα 7.

3. Φύση και σκοπός της επεξεργασίας

Το Pileform εκτελεί οπτική αναγνώριση χαρακτήρων, αναγνώριση γλώσσας, ομαδοποίηση προμηθευτών, συμπερασμό συντελεστή ΦΠΑ και εξαγωγή δομημένων δεδομένων στα έγγραφα που ανεβάζει ο Πελάτης. Η έξοδος επιστρέφεται στον Πελάτη ως φύλλα Excel, με τα αρχικά έγγραφα ενσωματωμένα για ιχνηλασιμότητα ελέγχου.

4. Κατηγορίες προσωπικών δεδομένων

Τα προσωπικά δεδομένα που υφίστανται επεξεργασία ενδέχεται να περιλαμβάνουν, ανάλογα με το περιεχόμενο των ανεβασμένων εγγράφων:

• Ονόματα παραληπτών, πελατών, προμηθευτών και υπογραφόντων που εμφανίζονται σε αποδείξεις και τιμολόγια
• Ταχυδρομικές διευθύνσεις, διευθύνσεις email και τηλέφωνα που εμφανίζονται σε εμπορικά έγγραφα
• Αριθμούς εγγραφής ΦΠΑ και φορολογικά αναγνωριστικά
• Χρηματικά ποσά, ημερομηνίες και αριθμούς αναφοράς
• Περιστασιακά, αριθμούς ταυτοποίησης (π.χ. εθνικά IDs εκτυπωμένα σε ορισμένες αποδείξεις σε κάποιες δικαιοδοσίες)

Δεν υφίστανται σκόπιμα επεξεργασία δεδομένα ειδικών κατηγοριών (άρθρο 9). Ο Πελάτης δηλώνει ότι δεν θα ανεβάζει εν γνώσει του δεδομένα ειδικών κατηγοριών.

5. Κατηγορίες υποκειμένων των δεδομένων

• Τελικοί πελάτες των πελατών του Πελάτη (δηλ. άτομα των οποίων τα ονόματα εμφανίζονται σε αποδείξεις)
• Υπάλληλοι και εξωτερικοί συνεργάτες των πελατών του Πελάτη
• Προμηθευτές και έμποροι των οποίων τα στοιχεία είναι εκτυπωμένα σε αποδείξεις

6. Αλλαγές υπεργολάβων

Το Pileform απασχολεί ένα ελεγμένο σύνολο υπεργολάβων υποδομής, καθένας δεσμευμένος από υποχρεώσεις προστασίας δεδομένων ισοδύναμες με αυτές της παρούσας DPA. Ο τρέχων κατάλογος είναι διαθέσιμος στους ενεργούς πελάτες κατόπιν αιτήματος. Το Pileform θα ειδοποιεί τον Πελάτη γραπτώς (στη διεύθυνση email του λογαριασμού) για οποιαδήποτε σκοπούμενη προσθήκη ή αντικατάσταση υπεργολάβου τουλάχιστον 30 ημέρες πριν την έναρξη ισχύος. Ο Πελάτης μπορεί να αντιταχθεί για εύλογους λόγους προστασίας δεδομένων. Αν τα μέρη δεν μπορούν να επιλύσουν την αντίρρηση, ο Πελάτης μπορεί να τερματίσει την επηρεαζόμενη υπηρεσία με αναλογική επιστροφή προπληρωμένων τελών.

7. Επιστροφή και διαγραφή δεδομένων

• Αρχικά PDF (ανεβασμένα αρχεία): διαγράφονται από την κύρια αποθήκευση 30 ημέρες μετά το ανέβασμα.
• Παραγόμενα φύλλα: διατηρούνται 90 ημέρες από την παραγωγή, μετά διαγράφονται εκτός αν ο Πελάτης κατεβάσει ή αρχειοθετήσει νωρίτερα.
• Διατήρηση φορολογικών αρχείων: η περίοδος που διαμορφώνει ο Πελάτης στις Ρυθμίσεις → Δεδομένα & εξαγωγές εντός της εφαρμογής (προεπιλογή 10 χρόνια σε όλο το σύστημα· εύρος 6–30 χρόνια με προεπιλογές χώρας — Κύπρος / ΗΒ / Ιρλανδία / Μάλτα / Ισπανία / Ελλάδα 6 χρόνια, Ολλανδία 7, Γερμανία / Γαλλία / Ιταλία / Λίβανος 10), σε κρυπτογραφημένη ψυχρή αποθήκευση, για συμμόρφωση με τις ισχύουσες απαιτήσεις φορολογικής τεκμηρίωσης. Ο Πελάτης μπορεί να ζητήσει νωρίτερη διαγραφή για οποιαδήποτε εργασία ξεχωριστά οποτεδήποτε· το Pileform θα την τιμήσει εντός 30 ημερών εκτός αν είναι νομικά υποχρεωμένο να τη διατηρήσει (π.χ. ενεργή ειδοποίηση φορολογικού ελέγχου).
• Στον τερματισμό της συμφωνίας υπηρεσίας: ο Πελάτης μπορεί να εξάγει όλα τα δεδομένα μέσω της λειτουργίας λήψης αρχείου εντός της εφαρμογής. Στη συνέχεια το Pileform θα διαγράψει όλα τα προσωπικά δεδομένα εντός 30 ημερών από τον τερματισμό, με την επιφύλαξη της διαμορφωμένης περιόδου διατήρησης για φορολογικά αρχεία.
• Αντίγραφα ασφαλείας: κρυπτογραφημένα, διατηρούνται 30 ημέρες, σε ξεχωριστή περιοχή από την παραγωγή. Επικαλύπτονται στον κυλιόμενο κύκλο 30 ημερών.

8. Μέτρα ασφάλειας

• TLS 1.3 σε μεταφορά, AES-256 σε ηρεμία, σε όλα τα στρώματα διατήρησης
• Data residency μόνο ΕΕ για κύρια αποθήκευση και επεξεργασία (περιοχή Φρανκφούρτης)
• Απομόνωση επιπέδου σειράς ανά λογαριασμό στη βάση δεδομένων· καμία διασταυρούμενη ορατότητα δεδομένων μεταξύ ενοίκων
• Argon2id (ή bcrypt fallback) για hashing κωδικών
• HTTP-only, Secure, SameSite=Lax cookies συνεδρίας
• Rate limiting σε όλα τα endpoints, ειδικά upload και αυθεντικοποίηση
• Audit log ανά ενέργεια διατηρείται 90 ημέρες για προσπάθειες σύνδεσης, διαθέσιμο στον Πελάτη κατόπιν αιτήματος
• Κανένα third-party script στο workspace (app.pileform.com) — κανένας tag manager, analytics ή session-replay
• Κρυπτογραφημένα νυχτερινά backups, διατηρούνται 30 ημέρες σε ξεχωριστή περιοχή
• Έλεγχος ασφάλειας προμηθευτή για κάθε υπεργολάβο πριν την ένταξη
• Τεκμηριωμένο σχέδιο αντιμετώπισης περιστατικών με κατονομαζόμενο επαφή

9. Δικαιώματα ελέγχου

Ο Πελάτης μπορεί, όχι περισσότερο από μία φορά ανά δώδεκα μήνες, να ζητήσει γραπτή περίληψη των τεχνικών και οργανωτικών μέτρων του Pileform και των πιστοποιήσεων SOC2 / ISO 27001 των κατονομαζόμενων υπεργολάβων. Το Pileform θα απαντήσει εντός 30 ημερών. Έλεγχοι επιτόπου δεν είναι το πρότυπο δεδομένου του μεγέθους του Pileform· μπορεί να αντικατασταθεί από εξωτερικό ελεγκτή υπό NDA με κόστος του Πελάτη όπου ο Πελάτης έχει αποδεδειγμένη ρυθμιστική απαίτηση.

10. Αιτήματα υποκειμένων δεδομένων

Το Pileform θα βοηθήσει τον Πελάτη να ανταποκριθεί σε αιτήματα υποκειμένων δεδομένων βάσει των άρθρων 15–22 του GDPR. Αν ένα υποκείμενο δεδομένων επικοινωνήσει απευθείας με το Pileform, το Pileform θα προωθήσει το αίτημα στον Πελάτη εντός 7 εργάσιμων ημερών και δεν θα απαντήσει ουσιαστικά εκτός αν δοθούν οδηγίες από τον Πελάτη.

11. Παραβίαση προσωπικών δεδομένων

Το Pileform θα ειδοποιήσει τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση, και σε κάθε περίπτωση εντός 72 ωρών από την επίγνωση, για οποιαδήποτε παραβίαση προσωπικών δεδομένων που επηρεάζει τα δεδομένα του Πελάτη. Η ειδοποίηση θα περιλαμβάνει τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό επηρεαζόμενων υποκειμένων και αρχείων, τις πιθανές συνέπειες και τα μέτρα που ελήφθησαν ή προτείνονται.

12. Διεθνείς μεταφορές

Όπου τα προσωπικά δεδομένα μεταφέρονται εκτός Ευρωπαϊκού Οικονομικού Χώρου σε υπεργολάβο, η μεταφορά διέπεται από τις Πρότυπες Συμβατικές Ρήτρες της ΕΕ (Εκτελεστική Απόφαση Επιτροπής (ΕΕ) 2021/914), Module 3 (επεξεργαστής-σε-επεξεργαστή), με κατάλληλα συμπληρωματικά μέτρα (κρυπτογράφηση, έλεγχος πρόσβασης, συμβατικό opt-out από οποιαδήποτε εκπαίδευση στο περιεχόμενο του Πελάτη όπου ο υπεργολάβος προσφέρει δυνατότητες machine learning).

13. Εμπιστευτικότητα

Όλο το προσωπικό του Pileform με πρόσβαση σε προσωπικά δεδομένα δεσμεύεται από υποχρεώσεις εμπιστευτικότητας και έχει λάβει εκπαίδευση με επίγνωση GDPR.

14. Ευθύνη

Το ανώτατο όριο ευθύνης και οι εξαιρέσεις που ορίζονται στους όρους υπηρεσίας του Pileform εφαρμόζονται στην παρούσα DPA, εκτός αν το GDPR ή το εφαρμοστέο δίκαιο επιβάλλει διαφορετικά.

15. Διάρκεια και τερματισμός

Η παρούσα DPA τίθεται σε ισχύ όταν ο Πελάτης αποδεχθεί τους όρους υπηρεσίας του Pileform και συνεχίζει μέχρι τη λήξη της συμφωνίας υπηρεσίας. Στον τερματισμό, οι υποχρεώσεις στην ενότητα 7 (Επιστροφή και διαγραφή δεδομένων) επιζούν.

16. Εφαρμοστέο δίκαιο

Η παρούσα DPA διέπεται από τους νόμους της Δημοκρατίας της Κύπρου και διαβάζεται μαζί με τους Όρους Χρήσης του Pileform.

Αποδοχή. Η χρήση της υπηρεσίας Pileform από τον Πελάτη μετά την παραπάνω ημερομηνία αποτελεί αποδοχή της παρούσας DPA. Αντισυμβληθείσα έκδοση PDF διατίθεται κατόπιν αιτήματος — email στο contact@pileform.com με θέμα «DPA counter-signature».

Ερωτήσεις ή προτάσεις διορθώσεων: contact@pileform.com. Πραγματικός άνθρωπος το διαβάζει.