Συμφωνία επεξεργασίας δεδομένων

Σχέδιο — εκκρεμεί νομικός έλεγχος · Ημερομηνία ισχύος: 1 Νοεμβρίου 2026

Η παρούσα Συμφωνία επεξεργασίας δεδομένων («ΣΕΔ») αποτελεί μέρος των Όρων χρήσης μεταξύ του γραφείου που χρησιμοποιεί το Estate CRM («Πελάτης», ως υπεύθυνος επεξεργασίας) και της TKOCY LTD, αριθμός εγγραφής HE399700, Kiriakou Matsi 9, 4712 Limassol, Cyprus («Εκτελών»). Ορίζει τους όρους που απαιτεί το άρθρο 28 του Γενικού Κανονισμού Προστασίας Δεδομένων (ΕΕ) 2016/679 («ΓΚΠΔ») και ο κυπριακός Νόμος 125(Ι)/2018. Οι όροι που ορίζονται στον ΓΚΠΔ έχουν εδώ την ίδια σημασία.

1. Πεδίο εφαρμογής και ρόλοι

1. Η ΣΕΔ εφαρμόζεται στα προσωπικά δεδομένα που επεξεργάζεται ο Εκτελών για λογαριασμό του Πελάτη κατά την παροχή του Estate CRM («Προσωπικά Δεδομένα Πελάτη»).
2. Ο Πελάτης είναι ο υπεύθυνος επεξεργασίας και ο Εκτελών ο εκτελών την επεξεργασία. Όπου ο ίδιος ο Πελάτης ενεργεί ως εκτελών για άλλον υπεύθυνο, ο Εκτελών είναι υπεργολάβος του και ο Πελάτης ευθύνεται να μεταβιβάζει τις σχετικές εντολές.
3. Η ΣΕΔ δεν καλύπτει δεδομένα για τα οποία ο Εκτελών είναι ο ίδιος υπεύθυνος επεξεργασίας (όπως τα δεδομένα λογαριασμού και χρέωσης των χρηστών), τα οποία περιγράφονται στην Πολιτική απορρήτου.

2. Αντικείμενο, διάρκεια, φύση και σκοπός

1. Αντικείμενο: φιλοξενία και επεξεργασία των επαγγελματικών δεδομένων ακινήτων του Πελάτη στο Estate CRM.
2. Διάρκεια: όσο ο Πελάτης χρησιμοποιεί την Υπηρεσία και στη συνέχεια μέχρι τη διαγραφή σύμφωνα με την ενότητα 10.
3. Φύση: συλλογή (και μέσω δημόσιων φορμών αιτημάτων, e-mail πυλών και εντύπων υπόδειξης που χρησιμοποιεί ο Πελάτης), καταχώριση, οργάνωση, αποθήκευση, ανάκτηση, αντιστοίχιση ζητήσεων πελατών με ακίνητα, αναζήτηση, αποστολή e-mail, SMS και ειδοποιήσεων κατ’ εντολή του Πελάτη, δημοσίευση στοιχείων ακινήτων που επιλέγει να δημοσιεύσει ο Πελάτης, περιορισμός, διαγραφή και καταστροφή.
4. Σκοπός: η παροχή της Υπηρεσίας στον Πελάτη σύμφωνα με τους Όρους, συμπεριλαμβανομένων της υποστήριξης, της ασφάλειας, των αντιγράφων ασφαλείας και της αντιμετώπισης προβλημάτων.
5. Το Παράρτημα 1 περιγράφει τα υποκείμενα και τις κατηγορίες δεδομένων.

3. Υποχρεώσεις του Πελάτη

1. Ο Πελάτης ευθύνεται για τη νομιμότητα της επεξεργασίας, όπως την ύπαρξη νόμιμης βάσης, την ενημέρωση των υποκειμένων και την τήρηση των κανόνων για διαφημιστικά μηνύματα και συγκατάθεση στα μηνύματα που στέλνει.
2. Οι εντολές του Πελάτη είναι οι Όροι και η ΣΕΔ, οι ρυθμίσεις και η χρήση της Υπηρεσίας από τον Πελάτη και κάθε περαιτέρω γραπτή εντολή που συμφωνούν τα μέρη.

4. Υποχρεώσεις του Εκτελούντος

1. Ο Εκτελών επεξεργάζεται τα Προσωπικά Δεδομένα Πελάτη μόνο βάσει καταγεγραμμένων εντολών του Πελάτη, και ως προς τις διαβιβάσεις εκτός ΕΟΧ, εκτός αν το απαιτεί το δίκαιο της ΕΕ ή κράτους μέλους· στην περίπτωση αυτή ενημερώνει τον Πελάτη πριν από την επεξεργασία, εκτός αν ο νόμος το απαγορεύει.
2. Ο Εκτελών ενημερώνει αμέσως τον Πελάτη αν, κατά τη γνώμη του, μια εντολή παραβιάζει τον ΓΚΠΔ ή άλλη νομοθεσία προστασίας δεδομένων.
3. Ο Εκτελών δεν πωλεί τα Προσωπικά Δεδομένα Πελάτη, δεν τα χρησιμοποιεί για δικούς του σκοπούς (και για διαφήμιση ή εκπαίδευση μοντέλων AI) και δεν τα συνδυάζει με δεδομένα άλλων πελατών.

5. Εμπιστευτικότητα

Ο Εκτελών διασφαλίζει ότι όλοι όσοι εξουσιοδοτεί να επεξεργάζονται Προσωπικά Δεδομένα Πελάτη δεσμεύονται από υποχρέωση εμπιστευτικότητας (συμβατική ή εκ του νόμου) και ότι η πρόσβαση περιορίζεται σε όσους τη χρειάζονται για την παροχή, υποστήριξη ή ασφάλεια της Υπηρεσίας.

6. Ασφάλεια

1. Ο Εκτελών εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα σύμφωνα με το άρθρο 32 ΓΚΠΔ, λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος και τη φύση, το πεδίο, το πλαίσιο και τους σκοπούς της επεξεργασίας. Τα μέτρα αναφέρονται στο Παράρτημα 2.
2. Ο Εκτελών μπορεί να επικαιροποιεί τα μέτρα καθώς εξελίσσεται η τεχνολογία, υπό την προϋπόθεση ότι δεν μειώνεται το συνολικό επίπεδο ασφάλειας.
3. Ο Πελάτης ευθύνεται για τα μέτρα ασφάλειας που ελέγχει ο ίδιος: τα στοιχεία σύνδεσης των Χρηστών του, τους ρόλους και τα δικαιώματα πρόσβασης, την πολιτική σύνδεσης δύο βημάτων και τις συσκευές που χρησιμοποιούνται.

7. Υπεργολάβοι επεξεργασίας

1. Ο Πελάτης παρέχει γενική άδεια στον Εκτελούντα να χρησιμοποιεί υπεργολάβους επεξεργασίας. Ο τρέχων κατάλογος δημοσιεύεται στη σελίδα υπεργολάβων (Παράρτημα 3).
2. Ο Εκτελών ενημερώνει τον Πελάτη για κάθε σκοπούμενη προσθήκη ή αντικατάσταση υπεργολάβου τουλάχιστον 30 ημέρες νωρίτερα, με e-mail στους ιδιοκτήτες του λογαριασμού ή μέσα στην Υπηρεσία. Ο Πελάτης μπορεί να αντιταχθεί για εύλογους λόγους προστασίας δεδομένων εντός της προθεσμίας αυτής. Αν τα μέρη δεν επιλύσουν την αντίρρηση, ο Πελάτης μπορεί να καταγγείλει το σχετικό μέρος της Υπηρεσίας και να λάβει επιστροφή των προπληρωμένων τελών για το διάστημα μετά την καταγγελία.
3. Ο Εκτελών επιβάλλει σε κάθε υπεργολάβο, με γραπτή σύμβαση, υποχρεώσεις προστασίας δεδομένων τουλάχιστον ισοδύναμες με τη ΣΕΔ και παραμένει υπεύθυνος έναντι του Πελάτη για την εκτέλεσή τους.
4. Οι προαιρετικές λειτουργίες που ενεργοποιεί ένας Χρήστης (όπως γραφή με AI, συγχρονισμός Google Calendar ή ειδοποιήσεις Telegram) χρησιμοποιούν τους σχετικούς υπεργολάβους μόνο όταν είναι ενεργές.

8. Συνδρομή

1. Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, ο Εκτελών συνδράμει τον Πελάτη με κατάλληλα μέτρα στην ικανοποίηση αιτημάτων υποκειμένων (πρόσβαση, διόρθωση, διαγραφή, περιορισμός, φορητότητα, εναντίωση). Τα περισσότερα αιτήματα ο Πελάτης μπορεί να τα διεκπεραιώσει απευθείας στην Υπηρεσία (επεξεργασία, συγχώνευση και διαγραφή επαφών). Αν ένα υποκείμενο απευθυνθεί απευθείας στον Εκτελούντα, αυτός διαβιβάζει το αίτημα στον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και δεν απαντά ο ίδιος χωρίς εντολή.
2. Ο Εκτελών συνδράμει τον Πελάτη, με βάση τις πληροφορίες που διαθέτει, στις υποχρεώσεις του από τα άρθρα 32 έως 36 ΓΚΠΔ (ασφάλεια, γνωστοποίηση παραβιάσεων, εκτιμήσεις αντικτύπου και προηγούμενη διαβούλευση). [Ο νομικός να αποφασίσει αν η εκτεταμένη συνδρομή χρεώνεται.]

9. Παραβιάσεις δεδομένων

1. Ο Εκτελών ενημερώνει τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση αφού λάβει γνώση παραβίασης που αφορά Προσωπικά Δεδομένα Πελάτη, με στόχο εντός 48 ωρών.
2. Η ενημέρωση περιγράφει, στον βαθμό που είναι γνωστά: τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό υποκειμένων και εγγραφών, τις πιθανές συνέπειες, τα μέτρα που λήφθηκαν ή προτείνονται και ένα σημείο επικοινωνίας. Όσες πληροφορίες δεν είναι ακόμη διαθέσιμες δίνονται μόλις γίνουν.
3. Ο Εκτελών λαμβάνει εύλογα μέτρα για τον περιορισμό της παραβίασης και των συνεπειών της και την καταγράφει. Η γνωστοποίηση στην εποπτική αρχή και στα υποκείμενα είναι απόφαση του Πελάτη ως υπευθύνου· ο Εκτελών συνδράμει.

10. Διαγραφή ή επιστροφή

1. Με τη λήξη της Υπηρεσίας ο Πελάτης μπορεί να ζητήσει εξαγωγή των Προσωπικών Δεδομένων Πελάτη εντός 30 ημερών, σε κοινή μηχαναγνώσιμη μορφή.
2. Μετά τις 30 ημέρες ο Εκτελών διαγράφει τα Προσωπικά Δεδομένα Πελάτη από την ενεργή Υπηρεσία, και τα αντίγραφα ασφαλείας που τα περιέχουν λήγουν εντός 60 ακόμη ημερών, εκτός αν το δίκαιο της ΕΕ ή κράτους μέλους απαιτεί αποθήκευση. Κατόπιν αιτήματος ο Εκτελών επιβεβαιώνει γραπτώς τη διαγραφή.

11. Έλεγχοι

1. Ο Εκτελών θέτει στη διάθεση του Πελάτη τις πληροφορίες που χρειάζονται για να αποδειχθεί η συμμόρφωση με το άρθρο 28 ΓΚΠΔ, κατ’ αρχάς απαντώντας σε εύλογες γραπτές ερωτήσεις και παρέχοντας τεκμηρίωση των μέτρων του.
2. Αν αυτό δεν αρκεί ή το απαιτεί εποπτική αρχή, ο Πελάτης (ή ανεξάρτητος ελεγκτής που δεσμεύεται από εμπιστευτικότητα) μπορεί να διενεργήσει έλεγχο, με προειδοποίηση τουλάχιστον 30 ημερών, σε εργάσιμες ώρες, το πολύ μία φορά ανά 12 μήνες (εκτός μετά από παραβίαση), χωρίς να τίθενται σε κίνδυνο δεδομένα άλλων πελατών ή η ασφάλεια της Υπηρεσίας. Κάθε μέρος φέρει τα έξοδά του [— επιβεβαίωση από τον νομικό].

12. Διεθνείς διαβιβάσεις

1. Η Υπηρεσία φιλοξενείται στην ΕΕ. Προσωπικά Δεδομένα Πελάτη διαβιβάζονται εκτός ΕΟΧ μόνο σε υπεργολάβους του Παραρτήματος 3 και μόνο όταν η διαβίβαση καλύπτεται από απόφαση επάρκειας (και από το Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ για πιστοποιημένες εταιρείες) ή από τις Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής (Απόφαση (ΕΕ) 2021/914), με συμπληρωματικά μέτρα όπου απαιτείται.
2. Αν ένας μηχανισμός διαβίβασης ακυρωθεί, τα μέρη συνεργάζονται για να εφαρμοστεί άλλος έγκυρος μηχανισμός, αλλιώς ο Εκτελών διακόπτει τη διαβίβαση.

13. Ευθύνη και σειρά ισχύος

1. Η ευθύνη βάσει της ΣΕΔ υπόκειται στους περιορισμούς των Όρων, εκτός όπου ο ΓΚΠΔ δεν επιτρέπει περιορισμό [— προς εξέταση από τον νομικό].
2. Σε περίπτωση σύγκρουσης της ΣΕΔ με τους Όρους σε θέματα προστασίας δεδομένων υπερισχύει η ΣΕΔ. Αν εφαρμόζονται οι Τυποποιημένες Συμβατικές Ρήτρες και συγκρούονται με τη ΣΕΔ, υπερισχύουν οι Ρήτρες.

14. Διάρκεια

Η ΣΕΔ ισχύει όσο ο Εκτελών επεξεργάζεται Προσωπικά Δεδομένα Πελάτη και λήγει αυτόματα μόλις τα δεδομένα διαγραφούν ή επιστραφούν σύμφωνα με την ενότητα 10.

Παράρτημα 1 — Στοιχεία της επεξεργασίας

Υποκείμενα των δεδομένων

• Πελάτες και υποψήφιοι πελάτες του Πελάτη: αγοραστές, πωλητές, ενοικιαστές, εκμισθωτές·
• ιδιοκτήτες ακινήτων και εκπρόσωποί τους·
• ενδιαφερόμενοι που στέλνουν αιτήματα μέσω σελίδων κοινοποίησης, του ιστοτόπου του Πελάτη, πυλών ή e-mail·
• το προσωπικό και οι συνεργάτες του Πελάτη (όπως καταγράφονται σε συμφωνίες, κατανομές προμήθειας και δραστηριότητες)·
• άλλα πρόσωπα που καταγράφει ο Πελάτης, όπως συναγοραστές ή δικηγόροι.

Κατηγορίες προσωπικών δεδομένων

• Στοιχεία επικοινωνίας: ονόματα, εταιρεία, διευθύνσεις e-mail, τηλέφωνα, υπηκοότητα, προτιμώμενη γλώσσα, διεύθυνση όπου καταχωρίζεται·
• ενδιαφέροντα για ακίνητα: ζητήσεις (τύπος, περιοχή, προϋπολογισμός, εμβαδόν, χαρακτηριστικά), αντιστοιχίσεις και η κατάστασή τους, ακίνητα που προβλήθηκαν ή άρεσαν·
• στοιχεία ακινήτων και ιδιοκτησίας που συνδέουν πρόσωπο με ακίνητο, και αναθέσεις·
• επικοινωνίες και ιστορικό: αιτήματα και το κείμενό τους, σημειώσεις, κλήσεις, συναντήσεις, υποδείξεις και αποτέλεσμα, καταγεγραμμένα e-mail, SMS και μηνύματα, συμφωνίες και προμήθειες·
• στοιχεία συγκατάθεσης και προώθησης (όπως ημερομηνία συγκατάθεσης GDPR, κατάσταση ειδοποιήσεων και διαγραφής)·
• αριθμοί εγγράφων ταυτότητας (ταυτότητα ή διαβατήριο), όπου τους καταχωρίζει ο Πελάτης·
• υπογραφές σε έντυπα υπόδειξης, με την ώρα και τη διεύθυνση IP της υπογραφής·
• κάθε άλλο δεδομένο που καταχωρίζει ο Πελάτης σε ελεύθερο κείμενο ή προσαρμοσμένα πεδία.

Ειδικές κατηγορίες

Η Υπηρεσία δεν έχει σχεδιαστεί για ειδικές κατηγορίες δεδομένων (άρθρο 9 ΓΚΠΔ) ή δεδομένα ποινικών καταδικών (άρθρο 10). Ο Πελάτης δεν πρέπει να τα καταχωρίζει.

Συχνότητα

Συνεχής, για όσο διαρκεί η Υπηρεσία.

Παράρτημα 2 — Τεχνικά και οργανωτικά μέτρα

1. Διαχωρισμός πελατών. Τα δεδομένα κάθε πελάτη φέρουν το αναγνωριστικό του γραφείου. Η εφαρμογή φιλτράρει κάθε ερώτημα με το γραφείο του συνδεδεμένου χρήστη και σε αμφιβολία δεν επιστρέφει δεδομένα. Ως δεύτερο τείχος, πολιτικές row-level security της PostgreSQL σε κάθε πίνακα πελατών επιτρέπουν μόνο τις γραμμές του τρέχοντος γραφείου· η εφαρμογή στην παραγωγή συνδέεται με ρόλο βάσης που δεν μπορεί να τις παρακάμψει. Αυτοματοποιημένοι έλεγχοι επαληθεύουν και τα δύο επίπεδα για κάθε πίνακα.
2. Έλεγχος πρόσβασης στην εφαρμογή. Οι ρόλοι (ιδιοκτήτης, διευθυντής, σύμβουλος, βοηθός) και τα δικαιώματα ελέγχονται στον διακομιστή. Οι σύμβουλοι μπορούν να περιορίζονται στις δικές τους επαφές. Οι αριθμοί εγγράφων ταυτότητας δεν εμφανίζονται στις λίστες.
3. Ταυτοποίηση. Κωδικοί αποθηκευμένοι ως μη αναστρέψιμα hash με κανόνες ισχύος· περιορισμός προσπαθειών σύνδεσης· προαιρετική σύνδεση δύο βημάτων με εφαρμογή επαλήθευσης (κωδικοί ανάκτησης μίας χρήσης, προστατευμένοι), την οποία οι ιδιοκτήτες μπορούν να κάνουν υποχρεωτική· υποχρεωτική για τους διαχειριστές της πλατφόρμας. Νέα συνεδρία σε κάθε σύνδεση.
4. Κρυπτογράφηση. Όλη η κίνηση μέσω TLS (HTTPS), μέσω Cloudflare προς τον διακομιστή μας. Τα μυστικά αποθηκεύονται κρυπτογραφημένα στη βάση: μυστικά σύνδεσης δύο βημάτων, κλειδιά API SMS των πελατών, κλειδιά σύνδεσης ημερολογίου και διαπιστευτήρια πλατφόρμας. [Επιβεβαιώστε αν οι δίσκοι του διακομιστή / η αποθήκευση R2 κρυπτογραφούνται και προσθέστε το εδώ.]
5. Αρχεία. Τα πρωτότυπα αρχεία φυλάσσονται σε ιδιωτικό χώρο και κατεβαίνουν μόνο μέσω της εφαρμογής με ταυτοποίηση. Οι δημόσιες φωτογραφίες βρίσκονται σε διαδρομές που δεν μαντεύονται. Οι δημόσιες σελίδες ακινήτων δείχνουν μόνο δημόσια πεδία και κατά προσέγγιση τοποθεσία.
6. Καταγραφή και λογοδοσία. Οι αλλαγές σε ακίνητα, επαφές και ζητήσεις καταγράφονται με το ποιος, πότε και τις παλιές και νέες τιμές (οι ευαίσθητες τιμές αποκρύπτονται). Οι συνεδρίες υποστήριξης «σύνδεση ως» του προσωπικού μας καταγράφονται και επισημαίνονται εμφανώς στην εφαρμογή.
7. Αντίγραφα ασφαλείας και ανάκτηση. Νυχτερινά αντίγραφα της βάσης, κρυπτογραφημένα κατά τη μεταφορά, που διατηρούνται 14 ημέρες στον διακομιστή και 60 ημέρες εκτός διακομιστή σε αποθήκευση στην ΕΕ [επιβεβαίωση περιοχής R2]· κάθε αντίγραφο επαληθεύεται μετά τη λήψη του και η επαναφορά δοκιμάζεται [επιβεβαίωση συχνότητας].
8. Φιλοξενία. Διακομιστές στην ΕΕ (Γερμανία). Οι υπηρεσίες της εφαρμογής ακούν μόνο στην τοπική διεπαφή πίσω από τον web server· ο ρόλος της βάσης δεν έχει δικαιώματα superuser.
9. Παρακολούθηση. Έλεγχοι λειτουργίας βάσης, cache, χρονοπρογραμματιστή και ουράς με ειδοποιήσεις· παρακολούθηση σφαλμάτων που αφαιρεί προσωπικά δεδομένα (χωρίς IP, cookies, περιεχόμενο αιτημάτων ή ονόματα· οι τιμές SQL αφαιρούνται).
10. Ελαχιστοποίηση προς τρίτους. Η γραφή με AI στέλνει μόνο τα δημόσια στοιχεία του ακινήτου και το ελάχιστο πλαίσιο πελάτη για προσχέδια μηνυμάτων· τίποτα δεν αποθηκεύεται χωρίς έλεγχο από τον χρήστη. Ο συγχρονισμός ημερολογίου δεν στέλνει ποτέ τηλέφωνα ή e-mail πελατών.
11. Ανάπτυξη. Οι αλλαγές κώδικα ελέγχονται αυτόματα πριν τη διάθεση, με ελέγχους διαχωρισμού πελατών· οι βιβλιοθήκες διατηρούνται ενημερωμένες.
12. Προσωπικό. Όσοι έχουν πρόσβαση δεσμεύονται από εμπιστευτικότητα και η πρόσβαση περιορίζεται σε ό,τι χρειάζεται ο ρόλος τους. [Προσθέστε: εκπαίδευση προσωπικού, ασφάλεια συσκευών, διαδικασία αντιμετώπισης περιστατικών.]

Παράρτημα 3 — Υπεργολάβοι επεξεργασίας

Δείτε τον τρέχοντα κατάλογο στη σελίδα υπεργολάβων.