Σύμβαση Επεξεργασίας Δεδομένων

1. Μέρη & αντικείμενο

Η παρούσα συνάπτεται μεταξύ του λογιστικού γραφείου που χρησιμοποιεί την Υπηρεσία («Υπεύθυνος επεξεργασίας», «Γραφείο») και της AVACC TECHNOLOGIES I.K.E., ΑΦΜ 803440129, Καζαντζάκη 59, 153 44 Παλλήνη Αττικής («Εκτελών την επεξεργασία», «Avacc»). Αποτελεί αναπόσπαστο μέρος των Όρων Χρήσης και ισχύει για όσο το Γραφείο διατηρεί λογαριασμό στην Υπηρεσία και για το διάστημα εξαγωγής/διαγραφής που ακολουθεί.

Αντικείμενο: η επεξεργασία των δεδομένων που το Γραφείο εισάγει, μεταφορτώνει ή συγχρονίζει στην Υπηρεσία για τους πελάτες του, αποκλειστικά για την παροχή των λειτουργιών που περιγράφουν οι Όροι Χρήσης.

Όταν το Γραφείο είναι εκτελών του πελάτη του. Όπου το Γραφείο ενεργεί ως εκτελών την επεξεργασία για λογαριασμό πελάτη του, η Avacc ενεργεί ως υπο-εκτελών και η παρούσα εφαρμόζεται αναλόγως. Το Γραφείο εγγυάται ότι διαθέτει τη γενική έγκριση του πελάτη του για τη χρήση υπο-εκτελούντων και ότι τον έχει ενημερώσει για τον κατάλογο του Παραρτήματος Α.

Αποδοχή και εκδόσεις. Η παρούσα γίνεται αποδεκτή ηλεκτρονικά (άρθρο 28 παρ. 9 ΓΚΠΔ), από χρήστη που δηλώνει ότι έχει την εξουσία να δεσμεύσει το Γραφείο. Η αποδοχή καταγράφεται με την ημερομηνία, τον χρήστη, την έκδοση του κειμένου και τα στοιχεία του Γραφείου εκείνη τη στιγμή. Κάθε νέα έκδοση γνωστοποιείται στο Γραφείο τουλάχιστον τριάντα (30) ημέρες πριν τεθεί σε ισχύ.

2. Φύση, σκοπός & διάρκεια της επεξεργασίας

• Φύση: συλλογή από τις πηγές που ορίζει το Γραφείο (ΑΑΔΕ, γραμματοκιβώτιο, μεταφορτώσεις), αποθήκευση, αυτοματοποιημένη ανάγνωση και ταξινόμηση, αντιστοίχιση, παραγωγή αρχείων, εμφάνιση στους χρήστες του Γραφείου, διαγραφή.
• Σκοπός: η υποστήριξη της λογιστικής εργασίας του Γραφείου για τους πελάτες του (αρχειοθέτηση παραστατικών, καθρέφτης myDATA, μαζικές εγγραφές, τραπεζική συμφωνία, υποχρεώσεις).
• Διάρκεια: όσο διαρκεί ο λογαριασμός, συν το διάστημα εξαγωγής και διαγραφής μετά το κλείσιμό του (30 + 30 ημέρες). Η μη ανανέωση της συνδρομής δεν κλείνει τον λογαριασμό· τον περνά σε μόνο προβολή. Ο λογαριασμός κλείνει όταν το ζητήσει το γραφείο (με email στο info@avacc.gr) ή όταν μείνει δώδεκα (12) μήνες σε μόνο προβολή χωρίς ανανέωση· στη δεύτερη περίπτωση ειδοποιούμε τον ιδιοκτήτη με email τριάντα (30) ημέρες πριν.
• Όχι αρχείο βιβλίων: η Υπηρεσία είναι εργαλείο εργασίας. Δεν αποτελεί αρχείο τήρησης βιβλίων ούτε φορολογικό αρχείο του Γραφείου ή των πελατών του· τα βιβλία τηρούνται στο λογιστικό πρόγραμμα του Γραφείου, όπου εισάγονται τα αρχεία της Υπηρεσίας.

3. Είδη δεδομένων & κατηγορίες υποκειμένων

• Είδη δεδομένων: στοιχεία ταυτοποίησης επιχειρήσεων και επαγγελματιών (ΑΦΜ, επωνυμία, ΔΟΥ, ΚΑΔ, διεύθυνση), οικονομικά δεδομένα συναλλαγών (παραστατικά, ποσά, ΦΠΑ, χαρακτηρισμοί, τραπεζικές κινήσεις, IBAN), τα ίδια τα αρχεία των παραστατικών, στοιχεία επικοινωνίας που εμφανίζονται σε παραστατικά ή μηνύματα (email αποστολέα, θέμα, ημερομηνία).
• Κατηγορίες υποκειμένων: οι πελάτες του Γραφείου (όταν είναι φυσικά πρόσωπα ή ατομικές επιχειρήσεις), οι νόμιμοι εκπρόσωποι και το προσωπικό τους, οι συναλλασσόμενοί τους (προμηθευτές, πελάτες, τράπεζες), και τα πρόσωπα που αποστέλλουν παραστατικά στο γραμματοκιβώτιο του Γραφείου.
• Δεν προβλέπεται επεξεργασία ειδικών κατηγοριών δεδομένων (άρθρο 9) ούτε δεδομένων ανηλίκων· αν τέτοια δεδομένα εισαχθούν τυχαία, το Γραφείο ευθύνεται για τη νομιμότητά τους και η Avacc τα διαγράφει κατόπιν εντολής.

4. Υποχρεώσεις του Εκτελούντος

Η Avacc:

• Εντολές: επεξεργάζεται τα δεδομένα μόνο βάσει τεκμηριωμένων εντολών του Γραφείου — οι Όροι Χρήσης, οι ρυθμίσεις που κάνει το Γραφείο στην Υπηρεσία (ποιες πηγές συνδέει, ποιους πελάτες εισάγει, ποια αρχεία ανεβάζει) και οι ενέργειες των χρηστών του συνιστούν τις εντολές αυτές. Ενημερώνει άμεσα το Γραφείο αν κρίνει ότι μια εντολή παραβιάζει τον ΓΚΠΔ.
• Χωρίς ένωση δεδομένων μεταξύ γραφείων: δεν συνενώνει δεδομένα διαφορετικών γραφείων, δεν δημιουργεί κοινά μητρώα συναλλασσομένων και δεν χρησιμοποιεί δεδομένα ή μοτίβα που έμαθε από ένα γραφείο για να υπηρετήσει άλλο. Οι κανόνες που μαθαίνει η Υπηρεσία από τις ενέργειες ενός γραφείου ισχύουν μόνο για αυτό.
• Εμπιστευτικότητα: τα πρόσωπα που έχουν πρόσβαση στα δεδομένα δεσμεύονται από υποχρέωση εμπιστευτικότητας, η οποία καλύπτει και κάθε πληροφορία που εμπίπτει στο επαγγελματικό απόρρητο του λογιστή. Η πρόσβαση προσωπικού της Avacc σε δεδομένα του Γραφείου γίνεται μόνο για υποστήριξη κατόπιν αιτήματος, για ασφάλεια ή όταν το απαιτεί ο νόμος, και καταγράφεται σε μητρώο (ημερομηνία, πρόσωπο, λόγος, εύρος) που τίθεται στη διάθεση του Γραφείου κατόπιν αιτήματος.
• Ασφάλεια: εφαρμόζει τα τεχνικά και οργανωτικά μέτρα του Παραρτήματος Β (άρθρο 32).
• Υπο-εκτελούντες: το Γραφείο παρέχει γενική έγκριση για τους υπο-εκτελούντες του Παραρτήματος Α. Η Avacc ενημερώνει για κάθε προσθήκη ή αντικατάσταση τουλάχιστον τριάντα (30) ημέρες πριν, εντός της Υπηρεσίας ή με email· το Γραφείο μπορεί να εναντιωθεί εγγράφως και, αν δεν βρεθεί λύση, να καταγγείλει τη σύμβαση χωρίς κύρωση. Οι πάροχοι του Παραρτήματος Α χρησιμοποιούν δικούς τους υπο-εκτελούντες, με καταλόγους δημοσιευμένους στους ιστότοπούς τους (Παράρτημα Α), τους οποίους το Γραφείο μπορεί να συμβουλεύεται οποτεδήποτε· οι αλλαγές στους καταλόγους αυτούς δεν γνωστοποιούνται χωριστά. Η Avacc επιβάλλει στους υπο-εκτελούντες ισοδύναμες υποχρεώσεις και παραμένει υπεύθυνη έναντι του Γραφείου.
• Συνδρομή στα δικαιώματα: συνδράμει το Γραφείο, με κατάλληλα τεχνικά μέσα (αναζήτηση, εξαγωγή, διόρθωση, διαγραφή ανά πελάτη ή συναλλασσόμενο), στην ικανοποίηση αιτημάτων υποκειμένων· αιτήματα που φτάνουν απευθείας στη Avacc προωθούνται στο Γραφείο χωρίς καθυστέρηση.
• Παραβίαση δεδομένων: ενημερώνει το Γραφείο χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός σαράντα οκτώ (48) ωρών από τη στιγμή που λαμβάνει γνώση, με τις πληροφορίες του άρθρου 33 παρ. 3 όπως είναι διαθέσιμες, και συνεργάζεται στην αντιμετώπιση.
• Εκτίμηση αντικτύπου & διαβούλευση: παρέχει τις πληροφορίες που χρειάζεται το Γραφείο για εκτίμηση αντικτύπου (άρθρο 35) ή προηγούμενη διαβούλευση (άρθρο 36).
• Διαγραφή / επιστροφή: με το κλείσιμο του λογαριασμού (§2), θέτει στη διάθεση του Γραφείου τα δεδομένα για εξαγωγή επί τριάντα (30) ημέρες (Ρυθμίσεις → «Εξαγωγή όλων των δεδομένων»: όλα τα δεδομένα σε αρχεία CSV και τα πρωτότυπα αρχεία ανά πελάτη) και στη συνέχεια τα διαγράφει εντός τριάντα (30) ημερών, εκτός αν το δίκαιο της ΕΕ ή κράτους μέλους επιβάλλει διατήρηση· τα αντίγραφα ασφαλείας διαγράφονται με τη λήξη του κύκλου τους (Παράρτημα Β)· βεβαιώνει εγγράφως τη διαγραφή κατόπιν αιτήματος.
• Έλεγχοι: θέτει στη διάθεση του Γραφείου κάθε πληροφορία που απαιτείται για την απόδειξη συμμόρφωσης και επιτρέπει ελέγχους από το Γραφείο ή ελεγκτή που αυτό εξουσιοδοτεί, με εύλογη προειδοποίηση (τουλάχιστον 15 εργάσιμες ημέρες), κατά τις εργάσιμες ώρες, όχι συχνότερα από μία φορά τον χρόνο εκτός αν υπάρχει παραβίαση ή αίτημα εποπτικής αρχής, και χωρίς πρόσβαση σε δεδομένα άλλων γραφείων.

5. Υποχρεώσεις του Υπευθύνου

Το Γραφείο:

• εγγυάται ότι διαθέτει νόμιμη βάση για την επεξεργασία των δεδομένων των πελατών και συναλλασσομένων του και ότι έχει ενημερώσει τα υποκείμενα όπως απαιτεί ο νόμος·
• χρησιμοποιεί τα διαπιστευτήρια ΑΑΔΕ και γραμματοκιβωτίου που καταχωρεί σύμφωνα με τους όρους των παρόχων τους και την εξουσιοδότηση κάθε πελάτη·
• ορίζει και διαχειρίζεται τους χρήστες του (μέλη, ρόλοι) και τους κωδικούς τους·
• ελέγχει και οριστικοποιεί τα αποτελέσματα των αυτοματισμών πριν από κάθε λογιστική ή φορολογική χρήση·
• ειδοποιεί τη Avacc αν αντιληφθεί μη εξουσιοδοτημένη πρόσβαση ή σφάλμα ασφαλείας.

6. Διαβιβάσεις εκτός ΕΟΧ

Η βάση δεδομένων και τα αρχεία φιλοξενούνται στη Φρανκφούρτη και η εφαρμογή εκτελείται στο Άμστερνταμ, εντός ΕΕ, και η ανάγνωση εγγράφων με τεχνητή νοημοσύνη γίνεται σε κράτη μέλη της ΕΕ. Όπου υπο-εκτελών επεξεργάζεται δεδομένα σε τρίτη χώρα (Παράρτημα Α), η διαβίβαση στηρίζεται σε απόφαση επάρκειας, όπως το EU-US Data Privacy Framework για πιστοποιημένους αποδέκτες, ή στις Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής, με τα συμπληρωματικά μέτρα που απαιτούνται. Το Γραφείο εξουσιοδοτεί τη Avacc να συνάπτει τις ρήτρες αυτές για λογαριασμό του όπου χρειάζεται.

7. Ευθύνη & διάρκεια

Κάθε μέρος ευθύνεται για τις δικές του παραβάσεις του ΓΚΠΔ, όπως ορίζει το άρθρο 82. Οι περιορισμοί ευθύνης των Όρων Χρήσης εφαρμόζονται και στην παρούσα, στο μέτρο που ο νόμος το επιτρέπει. Η παρούσα λήγει με τη διαγραφή των δεδομένων κατά τον όρο 4· οι υποχρεώσεις εμπιστευτικότητας επιβιώνουν.

Αλλαγές της παρούσας. Νέα έκδοση ισχύει μόνο αφού την αποδεχθεί ρητά ο ιδιοκτήτης ή διαχειριστής του Γραφείου εντός της Υπηρεσίας· μέχρι τότε ισχύει η προηγούμενη και η Υπηρεσία δεν χρησιμοποιείται. Η προθεσμία ενημέρωσης για υπο-εκτελούντες του όρου 4 δεν θίγεται.

Σημείο επικοινωνίας. Η Avacc δεν υποχρεούται να ορίσει Υπεύθυνο Προστασίας Δεδομένων (άρθρο 37 ΓΚΠΔ). Σημείο επικοινωνίας για κάθε θέμα της παρούσας: info@avacc.gr.

8. Παράρτημα Α — Υπο-εκτελούντες

Οι κατάλογοι των υπο-εκτελούντων κάθε παρόχου: Supabase (supabase.com/legal/subprocessors), Vercel (security.vercel.com), Railway (trust.railway.com/item/subprocessors), Google Cloud (cloud.google.com/terms/subprocessors).

Πάροχοι που είναι πηγές δεδομένων με εξουσιοδότηση του Γραφείου (ΑΑΔΕ, πάροχος email του Γραφείου) δεν είναι υπο-εκτελούντες της Avacc.

9. Παράρτημα Β — Τεχνικά & οργανωτικά μέτρα

• Απομόνωση: κάθε εγγραφή δεδομένων ανήκει σε ένα γραφείο· η βάση δεδομένων επιβάλλει τον διαχωρισμό (Row-Level Security) και η εφαρμογή ελέγχει το γραφείο σε κάθε αίτημα.
• Πρόσβαση: αυθεντικοποίηση χρηστών με email/κωδικό, ρόλοι (ιδιοκτήτης, διαχειριστής, μέλος), εγγραφή μόνο με σύνδεσμο ή πρόσκληση, όρια ρυθμού αιτημάτων.
• Διαπιστευτήρια τρίτων: αποθήκευση σε κρυπτογραφημένο θησαυροφυλάκιο, ανάγνωση μόνο από την εφαρμογή, ποτέ επιστροφή στον browser· πρόσβαση σε γραμματοκιβώτια μόνο με δικαιώματα ανάγνωσης.
• Κρυπτογράφηση: TLS σε κάθε μεταφορά· κρυπτογράφηση σε ηρεμία σε επίπεδο υποδομής των παρόχων.
• Αρχεία: ιδιωτικός χώρος ανά γραφείο, φάκελος ανά πελάτη, προσωρινοί υπογεγραμμένοι σύνδεσμοι για προβολή.
• Ιχνηλασιμότητα: αρχείο ενεργειών χρηστών και αυτοματισμών, διαθέσιμο στο Γραφείο εντός της Υπηρεσίας.
• Ελαχιστοποίηση: από τα μηνύματα email κρατούνται μόνο τα συνημμένα-παραστατικά και τα στοιχεία ταυτοποίησης· στα μοντέλα τεχνητής νοημοσύνης αποστέλλεται μόνο ό,τι απαιτεί η συγκεκριμένη εργασία.
• Ανθεκτικότητα: η βάση δεδομένων αντιγράφεται καθημερινά από τον πάροχο φιλοξενίας, με διατήρηση επτά (7) ημερών· τα αντίγραφα διαγράφονται αυτόματα με τη λήξη του κύκλου τους. Τα αρχεία των παραστατικών (PDF, εικόνες) δεν περιλαμβάνονται στα αντίγραφα αυτά· τα πρωτότυπα παραμένουν στην πηγή τους (στο γραμματοκιβώτιο του Γραφείου, από το οποίο η Υπηρεσία μόνο διαβάζει, ή στα αρχεία από τα οποία έγινε η μεταφόρτωση). Εργασίες αυτοματισμών με επανεκκίνηση και ανάκτηση.
• Οργανωτικά: πρόσβαση προσωπικού μόνο για υποστήριξη/ασφάλεια, καταγεγραμμένη σε μητρώο προσβάσεων· αξιολόγηση υπο-εκτελούντων· διαδικασία ενημέρωσης παραβιάσεων εντός 48 ωρών.