Συμφωνία Επεξεργασίας Δεδομένων

Μέρη

Η παρούσα Συμφωνία Επεξεργασίας Δεδομένων («DPA» ή «Συμφωνία») συνάπτεται από και μεταξύ:

Υπεύθυνος επεξεργασίας δεδομένων («Υπεύθυνος επεξεργασίας» ή «Πελάτης»)

Επεξεργαστής Δεδομένων («Επεξεργαστής» ή «Xygeni»):

Ο Υπεύθυνος Επεξεργασίας και ο Εκτελών την Επεξεργασία αναφέρονται εφεξής ατομικά ως «Μέρος» και συλλογικά ως τα «Μέρη».

Η παρούσα DPA αποτελεί μέρος της Κύριας Συμφωνίας Παροχής Υπηρεσιών ή των Όρων Παροχής Υπηρεσιών («Κύρια Συμφωνία») μεταξύ των Μερών που διέπουν την παροχή από την Xygeni της ασφάλειας των εφαρμογών της και software supply chain security υπηρεσίες (οι «Υπηρεσίες»). Σε περίπτωση σύγκρουσης μεταξύ της παρούσας DPA και της Κύριας Συμφωνίας, η παρούσα DPA υπερισχύει όσον αφορά τα ζητήματα προστασίας δεδομένων.

1. Ορισμοί

Για τους σκοπούς της παρούσας DPA:

• «ΑΕΠ» νοείται ο κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα.
• «ΧΟΠΓΚΝΤ» σημαίνει Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• «Προσωπικά Δεδομένα», «Επεξεργασία», «Υπεύθυνος Επεξεργασίας», «Εκτελών την Επεξεργασία», «Υπερ-επεξεργαστής», «Υποκείμενο των Δεδομένων», «Εποπτική Αρχή», «Παραβίαση Προσωπικών Δεδομένων» θα έχουν την έννοια που τους αποδίδεται στον ΓΚΠΔ.
• «Δεδομένα Πελατών» νοείται οποιαδήποτε Προσωπικά Δεδομένα υποβάλλονται από ή για λογαριασμό του Υπεύθυνου Επεξεργασίας στις Υπηρεσίες ή υποβάλλονται σε επεξεργασία από τον Επεξεργαστή για λογαριασμό του Υπεύθυνου Επεξεργασίας σε σχέση με τις Υπηρεσίες.
• "Υποεπεξεργαστής" νοείται οποιοδήποτε τρίτο μέρος που προσλαμβάνεται από τον Επεξεργαστή, με προηγούμενη εξουσιοδότηση από τον Υπεύθυνο Επεξεργασίας (όπως περιγράφεται στην Παράγραφο 7), για την επεξεργασία Δεδομένων Πελατών εκ μέρους του Υπεύθυνου Επεξεργασίας.
• «SCC» σημαίνει το Standard Συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες σύμφωνα με τον ΓΚΠΔ, όπως εγκρίθηκαν από την Εκτελεστική Πράξη της Ευρωπαϊκής ΕπιτροπήςcisΟδηγία (ΕΕ) 2021/914 της 4ης Ιουνίου 2021.
• "Υπηρεσίες" σημαίνει το application security posture management, software supply chain security, ανίχνευση ευπαθειών και σχετικές υπηρεσίες που παρέχονται από την Xygeni στον Υπεύθυνο Επεξεργασίας βάσει της Κύριας Συμφωνίας.
• «Εφαρμοστέος Νόμος περί Προστασίας Δεδομένων» νοείται ο ΓΚΠΔ, ο LOPDGDD και οποιαδήποτε άλλη ισχύουσα εθνική νομοθεσία περί προστασίας δεδομένων, όπως τροποποιείται κατά καιρούς.

2. Οι ρόλοι των μερών

Τα Μέρη αναγνωρίζουν και συμφωνούν ότι:

• Ο Υπεύθυνος Επεξεργασίας ενεργεί ως ο υπεύθυνος επεξεργασίας δεδομένων σε σχέση με τα Δεδομένα Πελατών και είναι υπεύθυνος για τον καθορισμό των σκοπών και των μέσων επεξεργασίας των Δεδομένων Πελατών που υποβάλλονται στις Υπηρεσίες.
• Ο Επεξεργαστής ενεργεί ως ο επεξεργαστής δεδομένων σε σχέση με τα Δεδομένα Πελατών και επεξεργάζεται τα εν λόγω δεδομένα αποκλειστικά για λογαριασμό και σύμφωνα με τις τεκμηριωμένες οδηγίες του Υπεύθυνου Επεξεργασίας.
• Κάθε Μέρος οφείλει να συμμορφώνεται με τις αντίστοιχες υποχρεώσεις του βάσει του Εφαρμοστέου Νόμου περί Προστασίας Δεδομένων στο πλαίσιο του ρόλου του ως Υπεύθυνος Επεξεργασίας ή Εκτελών την Επεξεργασία.

Όταν η Xygeni επεξεργάζεται προσωπικά δεδομένα για δικούς της σκοπούς (π.χ. διαχείριση λογαριασμού, χρέωση, ανάλυση βελτίωσης υπηρεσιών), ενεργεί ως ανεξάρτητος Υπεύθυνος Επεξεργασίας. Η εν λόγω επεξεργασία διέπεται από την Πολιτική Απορρήτου της Xygeni και δεν καλύπτει το πεδίο εφαρμογής της παρούσας DPA.

3. Αντικείμενο, Φύση και Σκοπός της Επεξεργασίας

Το αντικείμενο, η φύση, η διάρκεια και ο σκοπός της επεξεργασίας, καθώς και οι τύποι των Προσωπικών Δεδομένων που υποβάλλονται σε επεξεργασία και οι κατηγορίες των Υποκειμένων των Δεδομένων, ορίζονται στο Παράρτημα 1 (Λεπτομέρειες Επεξεργασίας) της παρούσας DPA.

Ο Επεξεργαστής θα επεξεργάζεται Δεδομένα Πελάτη μόνο στο βαθμό που είναι απαραίτητο για την παροχή των Υπηρεσιών που περιγράφονται στην Κύρια Συμφωνία και σύμφωνα με τις τεκμηριωμένες οδηγίες του Υπεύθυνου Επεξεργασίας, εκτός εάν απαιτείται από την ισχύουσα νομοθεσία. Σε αυτήν την περίπτωση, ο Επεξεργαστής θα ενημερώνει τον Υπεύθυνο Επεξεργασίας για την εν λόγω νομική απαίτηση πριν από την επεξεργασία, εκτός εάν απαγορεύεται από το νόμο για σημαντικούς λόγους δημόσιου συμφέροντος.

4. Οδηγίες του Ελεγκτή

Ο Υπεύθυνος Επεξεργασίας δίνει εντολή στον Επεξεργαστή να επεξεργάζεται τα Δεδομένα Πελάτη όπως απαιτείται για: (α) την παροχή των Υπηρεσιών σύμφωνα με την Κύρια Συμφωνία· (β) τη συμμόρφωση με τις οδηγίες του Υπεύθυνου Επεξεργασίας που κοινοποιούνται εγγράφως κατά καιρούς· και (γ) την εκπλήρωση των υποχρεώσεων του Επεξεργαστή βάσει της παρούσας DPA.

Ο Επεξεργαστής οφείλει να ενημερώσει αμέσως τον Υπεύθυνο Επεξεργασίας εάν, κατά την εύλογη γνώμη του Επεξεργαστή, μια εντολή από τον Υπεύθυνο Επεξεργασίας παραβιάζει την Εφαρμοστέα Νομοθεσία περί Προστασίας Δεδομένων. Σε αυτήν την περίπτωση, ο Επεξεργαστής δικαιούται να διακόψει την επεξεργασία σύμφωνα με την εν λόγω εντολή έως ότου ο Υπεύθυνος Επεξεργασίας διευκρινίσει ή τροποποιήσει την εντολή.

Ο Υπεύθυνος Επεξεργασίας εγγυάται και δηλώνει ότι: (α) έχει έγκυρη νόμιμη βάση σύμφωνα με το Άρθρο 6 του ΓΚΠΔ (και, όπου εφαρμόζεται, το Άρθρο 9) για την επεξεργασία των σχετικών Προσωπικών Δεδομένων· (β) έχει παράσχει όλες τις απαιτούμενες ειδοποιήσεις και έχει λάβει όλες τις απαιτούμενες συναινέσεις· και (γ) η μεταφορά Δεδομένων Πελάτη στον Επεξεργαστή δεν παραβιάζει κανέναν ισχύοντα νόμο.

5. Υποχρεώσεις του Επεξεργαστή

5.1 Περιορισμοί επεξεργασίας

Ο Επεξεργαστής θα επεξεργάζεται Δεδομένα Πελατών μόνο σύμφωνα με τις τεκμηριωμένες οδηγίες του Υπεύθυνου Επεξεργασίας, εκτός εάν απαιτείται από την ισχύουσα νομοθεσία της ΕΕ ή του κράτους μέλους. Ο Επεξεργαστής δεν θα επεξεργάζεται Δεδομένα Πελατών για δικούς του σκοπούς ούτε θα τα αποκαλύπτει σε τρίτους, εκτός εάν είναι απαραίτητο για την παροχή των Υπηρεσιών ή όπως απαιτείται από το νόμο.

5.2 Εμπιστευτικότητα

Ο Επεξεργαστής διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται Δεδομένα Πελατών έχουν commitέχουν δεσμευτεί να τηρούν την εμπιστευτικότητα ή υπόκεινται σε κατάλληλη νομοθετική υποχρέωση εμπιστευτικότητας. Η πρόσβαση στα Δεδομένα Πελατών θα περιορίζεται στους υπαλλήλους, τους εργολάβους και τους υπεργολάβους επεξεργασίας που χρειάζονται πρόσβαση για τον σκοπό της παροχής των Υπηρεσιών.

5.3 Μέτρα ασφαλείας

Ο Επεξεργαστής εφαρμόζει και διατηρεί κατάλληλα τεχνικά και οργανωτικά μέτρα για την προστασία των Δεδομένων των Πελατών από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και από τυχαία απώλεια, καταστροφή, ζημιά, αλλοίωση ή αποκάλυψη, λαμβάνοντας υπόψη:

• η τρέχουσα κατάσταση και το κόστος εφαρμογής·
• η φύση, το πεδίο εφαρμογής, το πλαίσιο και οι σκοποί της επεξεργασίας·
• τους κινδύνους για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, μη εξουσιοδοτημένη αποκάλυψη ή πρόσβαση σε Δεδομένα Πελατών που διαβιβάζονται, αποθηκεύονται ή υποβάλλονται σε επεξεργασία με άλλο τρόπο.

Τα εν λόγω μέτρα θα πρέπει να περιλαμβάνουν, τουλάχιστον, εκείνα που ορίζονται στο Παράρτημα 2 (Τεχνικά και Οργανωτικά Μέτρα Ασφάλειας) της παρούσας DPA. Η πιστοποίηση ISO 27001 του Επεξεργαστή παρέχει απόδειξη ενός βασικού συστήματος διαχείρισης ασφάλειας πληροφοριών. Ο Επεξεργαστής θα πρέπει να διατηρεί την πιστοποίηση ISO 27001 ή ισοδύναμη καθ' όλη τη διάρκεια ισχύος της παρούσας DPA.

5.4 Δικαιώματα Υποκειμένου Δεδομένων

Ο Εκτελών την Επεξεργασία, λαμβάνοντας υπόψη τη φύση της επεξεργασίας, βοηθά τον Υπεύθυνο Επεξεργασίας με κατάλληλα τεχνικά και οργανωτικά μέτρα, στο μέτρο του δυνατού, για την εκπλήρωση της υποχρέωσης του Υπεύθυνου Επεξεργασίας να ανταποκρίνεται σε αιτήματα για άσκηση επεξεργασίας.cisΔικαιώματα των Υποκειμένων των Δεδομένων βάσει του Εφαρμοστέου Νόμου περί Προστασίας Δεδομένων (συμπεριλαμβανομένων των δικαιωμάτων πρόσβασης, διόρθωσης, διαγραφής, περιορισμού, φορητότητας και αντίρρησης βάσει των άρθρων 15–22 του ΓΚΠΔ).

Ο Επεξεργαστής οφείλει: (α) να ειδοποιεί άμεσα τον Υπεύθυνο Επεξεργασίας εάν ο Επεξεργαστής λάβει αίτημα από Υποκείμενο Δεδομένων σχετικά με Δεδομένα Πελάτη· (β) να μην απαντά σε τέτοια αιτήματα παρά μόνο κατόπιν τεκμηριωμένων οδηγιών του Υπεύθυνου Επεξεργασίας ή όπως απαιτείται από την ισχύουσα νομοθεσία· και (γ) να παρέχει στον Υπεύθυνο Επεξεργασίας εύλογη βοήθεια για την απάντηση σε τέτοια αιτήματα εντός των ισχυουσών νόμιμων προθεσμιών (30 ημέρες σύμφωνα με το Άρθρο 12 του ΓΚΠΔ).

5.5 Βοήθεια με τις υποχρεώσεις του Υπεύθυνου Επεξεργασίας

Ο Επεξεργαστής θα βοηθά τον Υπεύθυνο Επεξεργασίας στη διασφάλιση της συμμόρφωσης με τις υποχρεώσεις που ορίζονται στα Άρθρα 32-36 του ΓΚΠΔ, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που είναι διαθέσιμες στον Επεξεργαστή, μεταξύ άλλων όσον αφορά:

• ασφάλεια της επεξεργασίας (άρθρο 32)·
• κοινοποίηση παραβιάσεων Προσωπικών Δεδομένων στην εποπτική αρχή και επικοινωνία με τα Υποκείμενα των Δεδομένων (Άρθρα 33–34)·
• εκτιμήσεις επιπτώσεων στην προστασία δεδομένων και προηγούμενη διαβούλευση (άρθρα 35–36).

5.6 Διαγραφή ή επιστροφή δεδομένων

Μετά τη λήξη ή τη λήξη της Κύριας Συμφωνίας ή κατόπιν αιτήματος του Υπεύθυνου Επεξεργασίας, ο Επεξεργαστής, κατ' επιλογή του Υπεύθυνου Επεξεργασίας, διαγράφει ή επιστρέφει στον Υπεύθυνο Επεξεργασίας όλα τα Δεδομένα Πελάτη που έχει στην κατοχή του και διαγράφει τα υπάρχοντα αντίγραφα, εκτός εάν η ισχύουσα νομοθεσία της ΕΕ ή του κράτους μέλους απαιτεί την αποθήκευση των Προσωπικών Δεδομένων. Ο Επεξεργαστής επιβεβαιώνει την ολοκλήρωση της διαγραφής εγγράφως εντός 30 ημερών από την αντίστοιχη ενεργοποίηση.

Επεξεργαστή standard Το χρονοδιάγραμμα διατήρησης δεδομένων (που ορίζεται στο Παράρτημα 1) ισχύει εκτός εάν ο Υπεύθυνος Επεξεργασίας υποβάλει προηγούμενο αίτημα διαγραφής.

5.7 Έλεγχος και επίδειξη συμμόρφωσης

Ο Επεξεργαστής οφείλει να θέτει στη διάθεση του Υπεύθυνου Επεξεργασίας όλες τις απαραίτητες πληροφορίες για την απόδειξη της συμμόρφωσης με τις υποχρεώσεις που ορίζονται στην παρούσα DPA και οφείλει να επιτρέπει και να συμβάλλει σε ελέγχους, συμπεριλαμβανομένων των επιθεωρήσεων, που διενεργούνται από τον Υπεύθυνο Επεξεργασίας ή από έναν ελεγκτή που έχει λάβει εντολή από τον Υπεύθυνο Επεξεργασίας.

Ο Επεξεργαστής μπορεί να εκπληρώσει αυτήν την υποχρέωση παρέχοντας:

• αντίγραφο του ισχύοντος πιστοποιητικού ISO 27001 ή της έκθεσης SOC 2 Τύπου II (μόλις ληφθεί)·
• συμπλήρωση του ερωτηματολογίου ασφαλείας του Ελεγκτή (εντός 10 εργάσιμων ημερών από την παραλαβή)·
• εύλογους επιτόπιους ελέγχους κατόπιν προηγούμενης γραπτής ειδοποίησης 30 ημερών, με έξοδα του Ελεγκτή, όχι περισσότερο από μία φορά ανά ημερολογιακό έτος (εκτός εάν υπάρχει εύλογη υποψία μη συμμόρφωσης).

6. Ειδοποίηση παραβίασης προσωπικών δεδομένων

Ο Επεξεργαστής θα ειδοποιεί τον Υπεύθυνο Επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση και, σε κάθε περίπτωση, εντός 48 ωρών από τη στιγμή που θα λάβει γνώση Παραβίασης Προσωπικών Δεδομένων που επηρεάζει τα Δεδομένα Πελάτη. Η εν λόγω ειδοποίηση θα περιλαμβάνει, στο βαθμό που είναι διαθέσιμο τη δεδομένη στιγμή:

• περιγραφή της φύσης της Παραβίασης Προσωπικών Δεδομένων, συμπεριλαμβανομένων των κατηγοριών και του κατά προσέγγιση αριθμού των εμπλεκόμενων Υποκειμένων Δεδομένων και των κατηγοριών και του κατά προσέγγιση αριθμού των εμπλεκόμενων αρχείων Προσωπικών Δεδομένων·
• το όνομα και τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων ή άλλου σημείου επικοινωνίας από το οποίο μπορούν να ληφθούν περισσότερες πληροφορίες·
• περιγραφή των πιθανών συνεπειών της παραβίασης των Προσωπικών Δεδομένων·
• περιγραφή των μέτρων που ελήφθησαν ή προτείνονται να ληφθούν για την αντιμετώπιση της παραβίασης δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων, όπου ενδείκνυται, μέτρων για τον μετριασμό των πιθανών αρνητικών επιπτώσεών της.

Όταν δεν είναι δυνατή η ταυτόχρονη παροχή όλων των παραπάνω πληροφοριών, οι πληροφορίες μπορούν να παρέχονται σταδιακά χωρίς αδικαιολόγητη περαιτέρω καθυστέρηση. Ο Επεξεργαστής συνεργάζεται με τον Υπεύθυνο Επεξεργασίας και λαμβάνει τα εύλογα μέτρα που ενδέχεται να απαιτήσει ο Υπεύθυνος Επεξεργασίας για να βοηθήσει στην έρευνα, τον μετριασμό και την αποκατάσταση της παραβίασης.

Τα Μέρη αναγνωρίζουν ότι η υποχρέωση βάσει του Άρθρου 33 του ΓΚΠΔ να ειδοποιεί την αρμόδια εποπτική αρχή (Agencia Española de Protección de Datos — AEPD ή άλλη σχετική αρχή) εντός 72 ωρών από την ενημέρωση για Παραβίαση Προσωπικών Δεδομένων βαρύνει τον Υπεύθυνο Επεξεργασίας ως υπεύθυνο επεξεργασίας δεδομένων. Η ειδοποίηση του Επεξεργαστή προς τον Υπεύθυνο Επεξεργασίας βάσει της παρούσας Ρήτρας αποσκοπεί στο να επιτρέψει στον Υπεύθυνο Επεξεργασίας να εκπληρώσει αυτήν την κανονιστική υποχρέωση. Η ειδοποίηση του Επεξεργαστή δεν συνιστά παραδοχή υπαιτιότητας ή ευθύνης.

7. Υπεργολάβοι επεξεργασίας

7.1 Γενική εξουσιοδότηση

Ο Υπεύθυνος Επεξεργασίας παραχωρεί στον Επεξεργαστή γενική εξουσιοδότηση να προσλαμβάνει Υπεργολάβους Επεξεργασίας όπως αναφέρονται στο Παράρτημα 3 (Εγκεκριμένοι Υπεργολάβοι Επεξεργασίας) στην παρούσα DPA. Ο Επεξεργαστής επιβάλλει σε κάθε Υπεργολάβο επεξεργασίας υποχρεώσεις προστασίας δεδομένων ισοδύναμες με αυτές που ορίζονται στην παρούσα DPA, ιδίως παρέχοντας επαρκείς εγγυήσεις για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων.

7.2 Αλλαγές στους Υπεργολάβους Επεξεργασίας

Ο Επεξεργαστής θα ειδοποιεί τον Υπεύθυνο Επεξεργασίας για τυχόν σκοπούμενες αλλαγές σχετικά με την προσθήκη ή την αντικατάσταση Υπεργολάβων Επεξεργασίας: (α) ενημερώνοντας τη λίστα Υπεργολάβων Επεξεργασίας που δημοσιεύεται στη διεύθυνση https://xygeni.io/legal/subprocessors με την αναθεωρημένη ημερομηνία «Τελευταίας ενημέρωσης» και (β) παρέχοντας γραπτή ειδοποίηση στον Υπεύθυνο Επεξεργασίας τουλάχιστον δέκα (10) ημέρες πριν από την έναρξη ισχύος της αλλαγής. Ο Υπεύθυνος Επεξεργασίας μπορεί να αντιταχθεί στην αλλαγή για εύλογους λόγους προστασίας δεδομένων εντός επτά (7) ημερών από την εν λόγω ειδοποίηση. Εάν ο Υπεύθυνος Επεξεργασίας αντιταχθεί και τα Μέρη δεν μπορούν να επιλύσουν την αντίρρηση, ο Υπεύθυνος Επεξεργασίας μπορεί να καταγγείλει την Κύρια Συμφωνία με εύλογη προειδοποίηση χωρίς ποινή.

Εάν ο Επεξεργαστής προσλάβει έναν Υπεργολάβο Επεξεργασίας, ο Επεξεργαστής παραμένει πλήρως υπεύθυνος έναντι του Υπεύθυνου Επεξεργασίας για την εκτέλεση των υποχρεώσεων του εν λόγω Υπεργολάβου Επεξεργασίας, στο βαθμό που ο Υπεργολάβος Επεξεργασίας δεν εκπληρώνει τις υποχρεώσεις του περί προστασίας δεδομένων.

7.3 Απαιτήσεις ροής προς τα κάτω για τον υποεπεξεργαστή

Για κάθε Υπεργολάβο Επεξεργασίας, ο Επεξεργαστής θα πρέπει:

• διενεργούν την κατάλληλη δέουσα επιμέλεια πριν από την πρόσληψη του Υπεργολάβου επεξεργασίας·
• συνάπτουν γραπτή συμφωνία επεξεργασίας δεδομένων που επιβάλλει υποχρεώσεις προστασίας δεδομένων όχι λιγότερο προστατευτικές από εκείνες που αναφέρονται στην παρούσα DPA·
• διασφαλίζει ότι τα μέτρα ασφαλείας του Υπεργολάβου επεξεργασίας είναι τουλάχιστον ισοδύναμα με εκείνα που απαιτούνται βάσει της Ρήτρας 5.3 και του Παραρτήματος 2·
• περιλαμβάνουν υποχρεώσεις γνωστοποίησης παραβίασης που απαιτούν από τον Υπεργολάβο Επεξεργασίας να ειδοποιεί τον Επεξεργαστή εντός 24 ωρών από την ενημέρωση του για Παραβίαση Προσωπικών Δεδομένων, ώστε να μπορεί ο Επεξεργαστής να εκπληρώσει την υποχρέωσή του 48 ωρών για γνωστοποίηση στον Υπεύθυνο Επεξεργασίας.

8. Διεθνείς μεταγραφές

Ο Επεξεργαστής δεν θα μεταφέρει Δεδομένα Πελατών σε χώρα εκτός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ), εκτός εάν:

• Η Ευρωπαϊκή Επιτροπή έχει υιοθετήσει μια οδηγία για την επάρκειαcisιόν για την εν λόγω χώρα βάσει του Άρθρου 45 του ΓΚΠΔ· ή
• έχουν εφαρμοστεί κατάλληλες διασφαλίσεις σύμφωνα με το Άρθρο 46 του ΓΚΠΔ, συμπεριλαμβανομένων ενδεικτικά των Standard Συμβατικές ρήτρες που εγκρίθηκαν από την Ευρωπαϊκή Επιτροπή για την εφαρμογή του κανονισμούcisΚανονισμός (ΕΕ) 2021/914 της 4ης Ιουνίου 2021 («ΤΣΚ»).

Όπου απαιτούνται ΤΣΚ, ο Επεξεργαστής, κατόπιν αιτήματος του Υπεύθυνου Επεξεργασίας, εκτελεί τα ισχύοντα ΤΣΚ με τον Υπεύθυνο Επεξεργασίας ή/και με τον σχετικό Υπεργολάβο Επεξεργασίας. Η ισχύουσα ενότητα των ΤΣΚ θα είναι η Ενότητα Δύο (Από Υπεύθυνο Επεξεργασίας προς Επεξεργαστή) για μεταφορές από τον Υπεύθυνο Επεξεργασίας στον Επεξεργαστή και η Ενότητα Τρία (Από Επεξεργαστή προς Υπεργολάβο Επεξεργασίας) για περαιτέρω μεταφορές από τον Επεξεργαστή στους Υπεργολάβους Επεξεργασίας.

Η αρμόδια εποπτική αρχή για τους σκοπούς των ΤΣΚ είναι η Ισπανική Υπηρεσία Προστασίας Δεδομένων (Agencia Española de Protección de Datos — AEPD), εκτός εάν συμφωνηθεί διαφορετικά εγγράφως.

Ο Επεξεργαστής οφείλει να διατηρεί και να θέτει στη διάθεση του Υπεύθυνου Επεξεργασίας, κατόπιν αιτήματος, ένα ενημερωμένο αρχείο όλων των διεθνών μεταφορών Δεδομένων Πελατών και τον ισχύοντα μηχανισμό μεταφοράς για κάθε μία από αυτές.

9. Εκτιμήσεις επιπτώσεων στην προστασία δεδομένων

Όταν μια δραστηριότητα επεξεργασίας είναι πιθανό να οδηγήσει σε υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων και ο Υπεύθυνος Επεξεργασίας υποχρεούται να διενεργήσει Εκτίμηση Επιπτώσεων στην Προστασία Δεδομένων (ΕΕΠΔ) σύμφωνα με το Άρθρο 35 του ΓΚΠΔ, ο Επεξεργαστής παρέχει στον Υπεύθυνο Επεξεργασίας εύλογη βοήθεια και πληροφορίες, όπως απαιτείται, ώστε να μπορέσει ο Υπεύθυνος Επεξεργασίας να διενεργήσει την ΕΕΠΔ. Ο Επεξεργαστής απαντά στα εύλογα αιτήματα του Υπεύθυνου Επεξεργασίας σχετικά με την ΕΕΠΔ εντός 15 εργάσιμων ημερών.

10. Αρχεία Δραστηριοτήτων Επεξεργασίας

Ο Επεξεργαστής τηρεί, κατόπιν αιτήματος του Υπεύθυνου Επεξεργασίας, αρχείο των δραστηριοτήτων επεξεργασίας που εκτελούνται για λογαριασμό του Υπεύθυνου Επεξεργασίας σύμφωνα με το Άρθρο 30(2) του ΓΚΠΔ, συμπεριλαμβανομένων: του ονόματος και των στοιχείων επικοινωνίας του Επεξεργαστή και τυχόν Υπεργολάβων Επεξεργασίας· των κατηγοριών επεξεργασίας που εκτελούνται για λογαριασμό του Υπεύθυνου Επεξεργασίας· των διαβιβάσεων Προσωπικών Δεδομένων σε τρίτη χώρα· και μιας γενικής περιγραφής των τεχνικών και οργανωτικών μέτρων ασφαλείας.

11. Ευθύνη

Η ευθύνη κάθε Μέρους έναντι του άλλου βάσει ή σε σχέση με την παρούσα DPA υπόκειται στους περιορισμούς και τις εξαιρέσεις που ορίζονται στην Κύρια Συμφωνία. Όταν ένα Υποκείμενο Δεδομένων έχει υποστεί ζημία ως αποτέλεσμα επεξεργασίας που παραβιάζει την Εφαρμοστέα Νομοθεσία περί Προστασίας Δεδομένων, κάθε Μέρος ευθύνεται για τη ζημία που προκαλείται από την επεξεργασία του που παραβιάζει τον ΓΚΠΔ σύμφωνα με τα Άρθρα 82-83 του ΓΚΠΔ. Τίποτα στην παρούσα Ρήτρα δεν περιορίζει την ευθύνη κανενός Μέρους έναντι των Υποκειμένων Δεδομένων βάσει της ισχύουσας νομοθεσίας.

12. Διάρκεια και τερματισμός

Η παρούσα DPA θα τεθεί σε ισχύ την ημερομηνία της Κύριας Συμφωνίας (ή την ημερομηνία υπογραφής της παρούσας DPA εάν είναι μεταγενέστερη) και θα παραμείνει σε ισχύ για όλη τη διάρκεια της Κύριας Συμφωνίας. Η λήξη της Κύριας Συμφωνίας για οποιονδήποτε λόγο θα τερματίζει αυτόματα την παρούσα DPA.

Μετά τη λήξη, οι υποχρεώσεις του Επεξεργαστή βάσει της Ρήτρας 5.6 (διαγραφή ή επιστροφή δεδομένων) θα ισχύουν και ο Επεξεργαστής θα ολοκληρώνει τη διαγραφή ή την επιστροφή των Δεδομένων Πελάτη εντός 30 ημερών από τη λήξη. Οι ρήτρες που αφορούν την εμπιστευτικότητα, την ευθύνη, το εφαρμοστέο δίκαιο και τον έλεγχο θα ισχύουν επίσης και μετά τη λήξη.

13. Εφαρμοστέο δίκαιο και δικαιοδοσία

Η παρούσα DPA διέπεται και ερμηνεύεται σύμφωνα με τους νόμους της Ισπανίας. Τα Μέρη υπάγονται στη μη αποκλειστική δικαιοδοσία των δικαστηρίων της Μαδρίτης για την επίλυση οποιασδήποτε διαφοράς που προκύπτει από ή σε σχέση με την παρούσα DPA. Στο βαθμό που οποιαδήποτε διάταξη της παρούσας DPA έρχεται σε αντίθεση με τους SCC, οι SCC υπερισχύουν.

14. Διάφορα

Ολόκληρη η συμφωνία: Η παρούσα DPA, μαζί με τα Παραρτήματά της και την Κύρια Συμφωνία, αποτελεί την πλήρη συμφωνία μεταξύ των Μερών όσον αφορά το αντικείμενο της παρούσας και αντικαθιστά όλες τις προηγούμενες συμφωνίες, συνεννοήσεις ή δηλώσεις σχετικά με την επεξεργασία δεδομένων.

Τροποποιήσεις: Η παρούσα ΣΑΔ μπορεί να τροποποιηθεί μόνο με γραπτή συμφωνία που υπογράφεται από εξουσιοδοτημένους εκπροσώπους και των δύο Μερών.

Διαχωρισμός: Εάν οποιαδήποτε διάταξη της παρούσας DPA κριθεί άκυρη ή μη εκτελεστή, οι υπόλοιπες διατάξεις θα παραμείνουν σε πλήρη ισχύ.

Προβάδισμα: Σε περίπτωση σύγκρουσης μεταξύ της παρούσας DPA και των Παραρτημάτων, υπερισχύει το κυρίως μέρος της DPA, εκτός εάν το Παράρτημα ορίζει ρητά διαφορετικά. Σε περίπτωση σύγκρουσης μεταξύ της παρούσας DPA και των SCC (όπου εφαρμόζεται), υπερισχύουν οι SCC.

ΠΑΡΑΡΤΗΜΑ 1 — Λεπτομέρειες Επεξεργασίας

1. Αντικείμενο

Το αντικείμενο της επεξεργασίας είναι η παροχή από την Xygeni application security posture management, software supply chain security ανάλυση, ανίχνευση ευπαθειών, CI/CD παρακολούθηση ασφάλειας και συναφείς υπηρεσίες όπως περιγράφονται στην Κύρια Συμφωνία.

2. Φύση της Επεξεργασίας

Συλλογή, οργάνωση, διάρθρωση, αποθήκευση, ανάλυση, ανάκτηση, χρήση, γνωστοποίηση μέσω διαβίβασης, συσχέτισης ή συνδυασμού, περιορισμός, διαγραφή ή καταστροφή Δεδομένων Πελατών.

3. Σκοπός Επεξεργασίας

Η επεξεργασία Δεδομένων Πελατών πραγματοποιείται με αποκλειστικό σκοπό την παροχή των Υπηρεσιών στον Υπεύθυνο Επεξεργασίας, συμπεριλαμβανομένων: ανίχνευσης και αναφοράς ευπαθειών ασφαλείας· ανάλυσης κινδύνου στην αλυσίδα εφοδιασμού λογισμικού· CI/CD pipeline security παρακολούθηση· ανίχνευση ανωμαλιών· και υποστήριξη πελατών.

4. Διάρκεια Επεξεργασίας

Ο Επεξεργαστής θα επεξεργάζεται τα Δεδομένα του Πελάτη για όλη τη διάρκεια της Κύριας Συμφωνίας. Μετά τη λήξη της, ο Επεξεργαστής θα διατηρεί τα Δεδομένα του Πελάτη για 3 μήνες μετά την ημερομηνία λήξης της συνδρομής πριν από τη διαγραφή, εκτός εάν ο Υπεύθυνος Επεξεργασίας ζητήσει προηγούμενη διαγραφή. Τα δεδομένα του δοκιμαστικού λογαριασμού διατηρούνται για 1 μήνα μετά τη λήξη της δοκιμαστικής περιόδου.

5. Είδη Προσωπικών Δεδομένων

6. Κατηγορίες Υποκειμένων Δεδομένων

Στα Υποκείμενα Δεδομένων περιλαμβάνονται: υπάλληλοι, εργολάβοι και άλλοι εξουσιοδοτημένοι χρήστες του Υπεύθυνου Επεξεργασίας που έχουν πρόσβαση στις Υπηρεσίες· συνεισφέροντες (προγραμματιστές, λογαριασμοί bot, παράγοντες δημιουργίας) σε αποθετήρια και pipelineπου παρακολουθούνται από τις Υπηρεσίες· και εκπρόσωποι και άτομα επικοινωνίας του Ελεγκτή.

7. Δεδομένα Ειδικής Κατηγορίας

Οι Υπηρεσίες δεν έχουν σχεδιαστεί για την επεξεργασία δεδομένων προσωπικού χαρακτήρα ειδικής κατηγορίας, όπως ορίζονται στο Άρθρο 9 του ΓΚΠΔ. Ο Υπεύθυνος Επεξεργασίας εγγυάται ότι δεν θα υποβάλει δεδομένα προσωπικού χαρακτήρα ειδικής κατηγορίας στις Υπηρεσίες χωρίς προηγούμενη γραπτή συμφωνία με την Xygeni και εφαρμογή κατάλληλων πρόσθετων εγγυήσεων.

ΠΑΡΑΡΤΗΜΑ 2 — Τεχνικά και Οργανωτικά Μέτρα Ασφαλείας

Η Xygeni εφαρμόζει τα ακόλουθα τεχνικά και οργανωτικά μέτρα για την προστασία των Δεδομένων Πελατών, σύμφωνα με το πιστοποιημένο κατά ISO 27001 σύστημα διαχείρισης ασφάλειας πληροφοριών της Xygeni:

Access Control

• Έλεγχος πρόσβασης βάσει ρόλων (RBAC) που εφαρμόζεται σε όλα τα συστήματα που επεξεργάζονται Δεδομένα Πελατών.
• Απαιτείται έλεγχος ταυτότητας πολλαπλών παραγόντων (MFA) για όλο το προσωπικό της Xygeni που έχει πρόσβαση σε συστήματα παραγωγής.
• Η αρχή των ελάχιστων προνομίων εφαρμόζεται σε όλους τους λογαριασμούς χρηστών· τα δικαιώματα πρόσβασης επανεξετάζονται τριμηνιαίως.
• Έλεγχος ταυτότητας βάσει κλειδιού SSH για πρόσβαση στον διακομιστή παραγωγής. Απενεργοποιήθηκε ο έλεγχος ταυτότητας με κωδικό πρόσβασης.

Κρυπτογράφηση δεδομένων

• Δεδομένα πελατών κρυπτογραφημένα κατά τη μεταφορά χρησιμοποιώντας TLS 1.2 ή νεότερη έκδοση.
• Τα δεδομένα πελατών κρυπτογραφούνται σε κατάσταση ηρεμίας χρησιμοποιώντας AES-256 ή ισοδύναμο.
• Κλειδιά κρυπτογράφησης που διαχειρίζονται μέσω της Υπηρεσίας Διαχείρισης Κλειδιών AWS (KMS).

Ασφάλεια Δικτύων

• Συστήματα παραγωγής που φιλοξενούνται στο AWS Virtual Private Cloud (VPC) με τμηματοποίηση δικτύου.
• Το τείχος προστασίας εφαρμογών ιστού (WAF) αναπτύχθηκε για τελικά σημεία που απευθύνονται στο κοινό.
• Συστήματα ανίχνευσης και πρόληψης εισβολών σε ισχύ.
• Τακτικός έλεγχος ευπαθειών και δοκιμές διείσδυσης σε επίπεδα υποδομής και εφαρμογών.

Σωματική ασφάλεια

• Δεδομένα πελατών που φιλοξενούνται σε κέντρα δεδομένων AWS με πιστοποιήσεις SOC 2 Type II και ISO 27001.
• Η φυσική πρόσβαση στις εγκαταστάσεις του κέντρου δεδομένων περιορίζεται σε εξουσιοδοτημένο προσωπικό της AWS με βιομετρικούς ελέγχους.

Διαθεσιμότητα και Ανθεκτικότητα

• Καθημερινά αυτοματοποιημένα αντίγραφα ασφαλείας όλων των Δεδομένων Πελατών, τα οποία διατηρούνται για τουλάχιστον 7 ημέρες.
• Η ακεραιότητα των αντιγράφων ασφαλείας επαληθεύεται περιοδικά.
• Disastοι διαδικασίες ανάκτησης καταγράφονται και δοκιμάζονται ετησίως.

Διαχείριση περιστατικών

• Σχέδιο αντιμετώπισης περιστατικών ασφαλείας που τηρείται και δοκιμάζεται ετησίως.
• Παρακολούθηση και καταγραφή συμβάντων ασφαλείας· οι ειδοποιήσεις εξετάζονται από τη λειτουργία λειτουργιών ασφαλείας.
• Διαδικασίες ειδοποίησης για παραβίαση προσωπικών δεδομένων που εφαρμόζονται για την εκπλήρωση της υποχρέωσης ειδοποίησης 48 ωρών προς τον Υπεύθυνο Επεξεργασίας.

Προσωπικό

• Όλο το προσωπικό της Xygeni με πρόσβαση στα Δεδομένα Πελατών δεσμεύεται από υποχρεώσεις εμπιστευτικότητας.
• Εκπαίδευση ευαισθητοποίησης σε θέματα ασφάλειας που πραγματοποιείται σε ετήσια βάση για όλο το προσωπικό.
• Έλεγχοι ιστορικού που διενεργούνται για προσωπικό με πρόσβαση σε συστήματα παραγωγής, στο βαθμό που επιτρέπεται από την ισχύουσα νομοθεσία.

Διαχείριση τρίτων

• Οι υπεργολάβοι επεξεργασίας αξιολογούνται για συμμόρφωση με την ασφάλεια πριν από την εμπλοκή.
• Συμφωνίες επεξεργασίας δεδομένων σε ισχύ με όλους τους Υπεργολάβους επεξεργασίας.

Πιστοποίηση

• Η Xygeni κατέχει πιστοποίηση ISO 27001 (σύστημα διαχείρισης ασφάλειας πληροφοριών).
• Η Xygeni επιδιώκει την πιστοποίηση SOC 2 Τύπου II. Το πιστοποιητικό θα χορηγηθεί στον Ελεγκτή μετά την ολοκλήρωση.