Σύμβαση Επεξεργασίας Δεδομένων (DPA) Estia

Έκδοση προσχεδίου 0.1 — 29 Οκτωβρίου 2026
Το παρόν προσχέδιο δεν τίθεται σε ισχύ πριν από τον τελικό νομικό έλεγχο και τη δημοσίευσή του από τη DELTALOGIC.

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων («DPA») αποτελεί μέρος των Όρων Χρήσης Estia μεταξύ:

• της επιχείρησης που ενεργοποιεί ή χρησιμοποιεί την υπηρεσία («Πελάτης» ή «Υπεύθυνος Επεξεργασίας») και
• της ΔΑΜΑΛΑΣ ΓΕΩΡΓΙΟΣ ΜΟΝΟΠΡΟΣΩΠΗ Ι.Κ.Ε., με διακριτικό τίτλο DELTALOGIC, ΑΦΜ 801203301, Γ.Ε.ΜΗ. 151658303000, Σοφούλη Θ. 68, 17342 Άγιος Δημήτριος («DELTALOGIC» ή «Εκτελών την Επεξεργασία»).

1. Αντικείμενο και σειρά εφαρμογής

Το DPA εφαρμόζεται όταν η DELTALOGIC επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του Πελάτη κατά την παροχή του Estia. Σε περίπτωση αντίφασης για θέματα προστασίας δεδομένων, το DPA υπερισχύει των γενικών Όρων. Ο Γενικός Κανονισμός Προστασίας Δεδομένων (ΕΕ) 2016/679 («ΓΚΠΔ») και η εφαρμοστέα ελληνική νομοθεσία εφαρμόζονται πλήρως.

2. Ρόλοι των μερών

Ο Πελάτης καθορίζει τους σκοπούς και τα βασικά μέσα επεξεργασίας των δεδομένων που εισάγει ή παράγει στο Estia και είναι υπεύθυνος για:

• τη νόμιμη βάση και τη διαφάνεια προς εργαζομένους, πελάτες και άλλα υποκείμενα,
• την ακρίβεια, αναγκαιότητα και ελαχιστοποίηση των δεδομένων,
• τα δικαιώματα και τους λογαριασμούς των εξουσιοδοτημένων χρηστών,
• τις νόμιμες εντολές προς τη DELTALOGIC.

Η DELTALOGIC επεξεργάζεται τα δεδομένα μόνο για να παρέχει, ασφαλίζει, συντηρεί και υποστηρίζει την υπηρεσία, σύμφωνα με τις τεκμηριωμένες εντολές του Πελάτη, τους Όρους και το παρόν DPA.

Η DELTALOGIC παραμένει ανεξάρτητος υπεύθυνος επεξεργασίας για δικά της δεδομένα λογαριασμού, σύμβασης, χρέωσης, ασφάλειας και συμμόρφωσης, όπως εξηγείται στην Πολιτική Απορρήτου.

3. Διάρκεια, φύση και σκοπός

Η επεξεργασία διαρκεί όσο παρέχεται η υπηρεσία και για την εγκεκριμένη περίοδο διατήρησης μετά τη λήξη. Περιλαμβάνει αποθήκευση, οργάνωση, ανάκτηση, εμφάνιση, διαβίβαση σύμφωνα με ενεργοποιημένες λειτουργίες, δημιουργία αντιγράφων ασφαλείας, υποστήριξη, ασφάλεια, εξαγωγή και διαγραφή ή ανωνυμοποίηση.

Σκοπός είναι η λειτουργία του Estia ως επαγγελματικού συστήματος παραγγελιών, καταλόγων, κρατήσεων, delivery, χρηστών, παραστατικών, εκτυπώσεων, αναφορών και των συνδέσεων που ο Πελάτης ζητά να ενεργοποιηθούν.

4. Κατηγορίες υποκειμένων και δεδομένων

Υποκείμενα

• εργαζόμενοι, συνεργάτες, διανομείς και εξουσιοδοτημένοι χρήστες του Πελάτη,
• πελάτες, παραλήπτες delivery και επισκέπτες καταστήματος,
• πρόσωπα που κάνουν κρατήσεις ή επικοινωνούν με την επιχείρηση,
• εκπρόσωποι προμηθευτών και συνεργατών, όπου καταχωρίζονται από τον Πελάτη.

Δεδομένα

• στοιχεία ταυτότητας και επικοινωνίας,
• ρόλοι, δικαιώματα, ενέργειες χρηστών και αρχεία ελέγχου,
• στοιχεία παραγγελίας, προϊόντων, modifiers, σχολίων και προτιμήσεων,
• διευθύνσεις και οδηγίες delivery, στοιχεία κράτησης και τραπεζιού,
• δεδομένα πληρωμής ή παραστατικού που απαιτούνται για την επιχειρησιακή ροή, όχι πλήρη στοιχεία κάρτας που τηρούνται από τρίτους παρόχους πληρωμών,
• δεδομένα συσκευής, εφαρμογής, συμβάντων, σφαλμάτων και ασφάλειας,
• τοποθεσία όταν ο Πελάτης χρησιμοποιεί λειτουργία που τη χρειάζεται, όπως Driver.

Ο Πελάτης δεν πρέπει να χρησιμοποιεί το Estia για ειδικές κατηγορίες δεδομένων ή δεδομένα ποινικών καταδικών, εκτός αν υπάρχει σαφής ανάγκη, κατάλληλη νομική βάση και προηγούμενη συμφωνία με τη DELTALOGIC.

5. Τεκμηριωμένες εντολές

Οι Όροι, οι ρυθμίσεις του Πελάτη, οι ενέργειες των εξουσιοδοτημένων χρηστών και τα νόμιμα αιτήματα υποστήριξης αποτελούν τεκμηριωμένες εντολές. Αν η DELTALOGIC θεωρεί ότι μια εντολή παραβιάζει το δίκαιο προστασίας δεδομένων, ενημερώνει τον Πελάτη και μπορεί να αναστείλει την εκτέλεσή της μέχρι να διευκρινιστεί.

Η DELTALOGIC δεν πωλεί δεδομένα του Πελάτη, δεν τα χρησιμοποιεί για δική της στοχευμένη διαφήμιση και δεν τα συνδυάζει με δεδομένα άλλων πελατών για ανεξάρτητους σκοπούς.

6. Εμπιστευτικότητα και πρόσβαση

Πρόσβαση στα δεδομένα έχουν μόνο πρόσωπα που τη χρειάζονται για την παροχή ή υποστήριξη της υπηρεσίας, δεσμεύονται από εμπιστευτικότητα και λαμβάνουν κατάλληλη ενημέρωση. Τα αιτήματα υποστήριξης δεν επιτρέπουν γενική ή απεριόριστη πρόσβαση στα δεδομένα.

7. Ασφάλεια

Η DELTALOGIC εφαρμόζει τεχνικά και οργανωτικά μέτρα ανάλογα με τον κίνδυνο, όπως περιγράφονται στο Παράρτημα Β. Τα μέτρα αξιολογούνται και μπορούν να εξελίσσονται χωρίς να μειώνεται ουσιωδώς το συνολικό επίπεδο προστασίας.

Ο Πελάτης είναι υπεύθυνος για ασφαλείς κωδικούς, σωστούς ρόλους, προστασία συσκευών, άμεση ανάκληση πρόσβασης και νόμιμη διαχείριση των χρηστών του.

8. Υποεκτελούντες

Ο Πελάτης παρέχει γενική έγγραφη εξουσιοδότηση για χρήση υποεκτελούντων που είναι αναγκαίοι για την υπηρεσία. Η DELTALOGIC:

• επιβάλλει στους υποεκτελούντες υποχρεώσεις προστασίας δεδομένων ουσιωδώς αντίστοιχες με το παρόν DPA,
• παραμένει υπεύθυνη απέναντι στον Πελάτη για την εκπλήρωση των υποχρεώσεων του υποεκτελούντος,
• διατηρεί ενημερωμένο κατάλογο υποεκτελούντων,
• ενημερώνει τουλάχιστον 30 ημέρες πριν από την προσθήκη ή αντικατάσταση υποεκτελούντος, όπου αυτό είναι πρακτικά και νομικά εφικτό.

Ο Πελάτης μπορεί να προβάλει τεκμηριωμένη αντίρρηση για λόγους προστασίας δεδομένων εντός της προθεσμίας. Τα μέρη θα αναζητήσουν εύλογη λύση. Αν δεν υπάρχει λύση, μπορεί να διακοπεί μόνο η επηρεαζόμενη λειτουργία ή, αν αυτό δεν είναι εφικτό, η σύμβαση σύμφωνα με τους Όρους.

Οι βασικοί υποεκτελούντες αναφέρονται στο Παράρτημα Γ.

9. Διεθνείς διαβιβάσεις

Η βασική φιλοξενία του Estia γίνεται στο Microsoft Azure στην περιοχή North Europe. Αν υποεκτελών επεξεργάζεται δεδομένα εκτός ΕΟΧ, η DELTALOGIC εξασφαλίζει νόμιμο μηχανισμό διαβίβασης, όπως απόφαση επάρκειας ή Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής, και εφαρμόζει συμπληρωματικά μέτρα όπου απαιτείται.

10. Αιτήματα υποκειμένων

Η DELTALOGIC, λαμβάνοντας υπόψη τη φύση της επεξεργασίας, βοηθά τον Πελάτη με κατάλληλα τεχνικά και οργανωτικά μέτρα να απαντά σε αιτήματα πρόσβασης, διόρθωσης, διαγραφής, περιορισμού, εναντίωσης ή φορητότητας.

Αν η DELTALOGIC λάβει αίτημα που αφορά δεδομένα για τα οποία ο Πελάτης είναι υπεύθυνος, το διαβιβάζει στον Πελάτη και δεν απαντά επί της ουσίας χωρίς εξουσιοδότηση, εκτός αν υποχρεούται από τον νόμο.

11. Περιστατικά παραβίασης

Η DELTALOGIC ενημερώνει τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση αφού λάβει γνώση παραβίασης προσωπικών δεδομένων που επηρεάζει δεδομένα του Πελάτη. Η ενημέρωση περιλαμβάνει τις διαθέσιμες πληροφορίες για τη φύση, τις πιθανές συνέπειες και τα μέτρα αντιμετώπισης και συμπληρώνεται σταδιακά όταν δεν είναι δυνατή η άμεση πλήρης ενημέρωση.

Η ενημέρωση δεν αποτελεί αναγνώριση ευθύνης. Ο Πελάτης είναι υπεύθυνος για γνωστοποίηση στην εποπτική αρχή και στα υποκείμενα, όπου απαιτείται, με τη συνδρομή της DELTALOGIC.

12. Βοήθεια συμμόρφωσης

Η DELTALOGIC παρέχει εύλογη βοήθεια για εκτιμήσεις αντικτύπου, προηγούμενη διαβούλευση και υποχρεώσεις ασφάλειας, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που διαθέτει. Πρόσθετη, εξατομικευμένη εργασία μπορεί να χρεώνεται εύλογα αν δεν οφείλεται σε παραβίαση των υποχρεώσεων της DELTALOGIC και αφού ενημερωθεί ο Πελάτης.

13. Έλεγχοι και πληροφορίες

Η DELTALOGIC διαθέτει τις πληροφορίες που είναι εύλογα αναγκαίες για να αποδεικνύεται η συμμόρφωση με το άρθρο 28 ΓΚΠΔ. Κατά προτεραιότητα παρέχονται υπάρχουσες πιστοποιήσεις, αναφορές, πολιτικές και απαντήσεις σε ερωτηματολόγια.

Αν αυτά δεν επαρκούν, ο Πελάτης μπορεί να ζητήσει έλεγχο μία φορά ανά έτος, με εύλογη προειδοποίηση, περιορισμένο στο σχετικό αντικείμενο και χωρίς πρόσβαση σε δεδομένα άλλων πελατών, μυστικά ασφαλείας ή συστήματα που θα τεθούν σε κίνδυνο. Συχνότερος έλεγχος επιτρέπεται μετά από σοβαρό περιστατικό ή απαίτηση αρμόδιας αρχής.

14. Επιστροφή, εξαγωγή και διαγραφή

Κατά τη διάρκεια της ενεργής υπηρεσίας και για τη συμφωνημένη περίοδο μετά τη λήξη, ο Πελάτης μπορεί να προβάλλει ή να εξάγει διαθέσιμα δεδομένα μέσω των παρεχόμενων λειτουργιών.

Μετά τη λήξη δωρεάν δοκιμής ή πληρωμένης συνδρομής και της αντίστοιχης περιόδου χάριτος, σταματούν οι νέες καταχωρίσεις, αλλά τα δεδομένα διατηρούνται για προβολή και εξαγωγή για 12 μήνες. Ο Πελάτης ενημερώνεται 30 ημέρες πριν από την τελική διαγραφή ή ανωνυμοποίηση.

Μετά την περίοδο αυτή, η DELTALOGIC διαγράφει ή ανωνυμοποιεί τα δεδομένα και τα αντίγραφα, εκτός αν η νομοθεσία απαιτεί διατήρηση. Η διαγραφή από κυλιόμενα backups ολοκληρώνεται σύμφωνα με τον κανονικό κύκλο αντικατάστασής τους. Τα νόμιμα αρχεία σύμβασης, τιμολόγησης, αποδοχής και ασφάλειας μπορούν να διατηρηθούν ανεξάρτητα ως δεδομένα της DELTALOGIC ως υπευθύνου επεξεργασίας.

15. Ευθύνη

Η ευθύνη κάθε μέρους για παραβίαση του παρόντος DPA ακολουθεί τον ΓΚΠΔ, την εφαρμοστέα νομοθεσία και τους συμφωνημένους Όρους Χρήσης. Κανένας συμβατικός περιορισμός δεν εφαρμόζεται όπου ο νόμος δεν τον επιτρέπει.

16. Επικοινωνία

Για θέματα του DPA: info@deltalogic.gr.

Παράρτημα Α — Λεπτομέρειες επεξεργασίας

Παράρτημα Β — Τεχνικά και οργανωτικά μέτρα

Η τρέχουσα παραγωγική εγκατάσταση περιλαμβάνει:

• φιλοξενία στο Microsoft Azure North Europe,
• ιδιωτική PostgreSQL βάση χωρίς δημόσια δικτυακή πρόσβαση,
• αυτοματοποιημένα Azure backups με διατήρηση επτά ημερών,
• κρυπτογράφηση δεδομένων σε κατάσταση ηρεμίας,
• HTTPS και ελάχιστο TLS 1.2 για μεταφορά,
• απενεργοποιημένη δημόσια πρόσβαση blobs και shared keys,
• Azure Key Vault με role-based access control και purge protection,
• διαχωρισμό περιβαλλόντων και περιορισμό δικαιωμάτων,
• ελεγχόμενη πρόσβαση προσωπικού και καταγραφή συμβάντων,
• Azure monitoring/logging, με τρέχουσα βασική διατήρηση 30 ημερών,
• διαδικασίες διαχείρισης περιστατικών, ενημερώσεων και ανάκλησης πρόσβασης.

Δεν δηλώνεται ενεργό geo-redundancy, high availability ή εγγυημένο failover, εφόσον δεν είναι ενεργοποιημένα στην τρέχουσα εγκατάσταση.

Παράρτημα Γ — Βασικοί υποεκτελούντες

Η Cloudflare Turnstile χρησιμοποιείται για ασφάλεια φορμών και η Google Analytics 4 μόνο για προαιρετικά analytics του δημόσιου ιστοτόπου. Δεν χρησιμοποιούνται για επεξεργασία του επιχειρησιακού περιεχομένου του Πελάτη ως μέρος των βασικών λειτουργιών Estia. Οι λεπτομέρειες περιγράφονται στην Πολιτική Απορρήτου και την Πολιτική Cookies.

Οι e-food, Wolt, φορολογικοί πάροχοι και πάροχοι πληρωμών είναι ανεξάρτητες ή πρόσθετες υπηρεσίες που συνδέονται μόνο κατόπιν αιτήματος του Πελάτη και επικοινωνίας με τη DELTALOGIC. Ο ακριβής ρόλος κάθε μέρους εξαρτάται από τη συγκεκριμένη σύνδεση και τους όρους του αντίστοιχου παρόχου.