Σύμβαση Επεξεργασίας Δεδομένων

Έκδοση: 7 Νοεμβρίου 2026 · Σχέδιο προς νομικό έλεγχο

Σύμφωνα με το άρθρο 28 του Κανονισμού (ΕΕ) 2016/679 («GDPR»), μεταξύ:

• της επιχείρησης που δημιουργεί λογαριασμό στο Roeon και αποδέχεται την παρούσα ηλεκτρονικά («Πελάτης» ή «Υπεύθυνος επεξεργασίας»), και
• της [ΕΠΩΝΥΜΙΑ], [ΔΙΕΥΘΥΝΣΗ], ΑΦΜ [ΑΦΜ] («Roeon» ή «Εκτελών την επεξεργασία»).

Η παρούσα αποτελεί μέρος των Όρων Χρήσης και υπερισχύει σε ό,τι αφορά την επεξεργασία προσωπικών δεδομένων για λογαριασμό του Πελάτη.

1. Αντικείμενο και διάρκεια

Το Roeon επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του Πελάτη μόνο για να του παρέχει την υπηρεσία διαχείρισης e-shop που περιγράφουν οι Όροι Χρήσης, για όσο διαρκεί η συνδρομή και μέχρι τη διαγραφή των δεδομένων κατά το άρθρο 10.

2. Αρχή λειτουργίας: τα δεδομένα μένουν στο e-shop

Η υπηρεσία είναι σχεδιασμένη ώστε να μην αποθηκεύονται μόνιμα στο Roeon προσωπικά δεδομένα των πελατών του e-shop:

• Τα στοιχεία πελατών και παραγγελιών διαβάζονται από το e-shop τη στιγμή που χρειάζονται, εμφανίζονται στους χρήστες του Πελάτη ή χρησιμοποιούνται για μια ενέργεια, και δεν γράφονται σε βάση δεδομένων, προσωρινή μνήμη (cache) ή αρχεία καταγραφής.
• Μόνιμα κρατούνται μόνο αναγνωριστικά (π.χ. αριθμός παραγγελίας, αριθμός voucher, κωδικός προϊόντος) και τεχνικά στοιχεία (π.χ. κατάσταση αποστολής, ποσό αντικαταβολής, ημερομηνίες).
• Τα αρχεία που ανεβάζει ο Πελάτης (π.χ. αρχεία αντικαταβολών κούριερ) διαβάζονται στη μνήμη· από αυτά κρατούνται μόνο αριθμός αποστολής, ποσό, ημερομηνία και η παραγγελία που αντιστοιχεί, όχι ονόματα παραληπτών.

Τα δεδομένα όμως περνούν από τους servers του Roeon κατά την επεξεργασία, γι' αυτό το Roeon είναι εκτελών την επεξεργασία και ισχύει η παρούσα.

3. Είδος και σκοπός της επεξεργασίας

Κατ' εντολή του Πελάτη, μέσα από την εφαρμογή:

• προβολή και αναζήτηση παραγγελιών, πελατών και διευθύνσεων του e-shop·
• αλλαγές στο e-shop: κατάσταση παραγγελίας (με ή χωρίς email από το e-shop στον πελάτη), σημειώσεις, ποσότητες και προϊόντα, εκπτώσεις, στοιχεία πελατών και διευθύνσεων, κατάλογος, μεταφορείς·
• έκδοση, εκτύπωση, ακύρωση και παρακολούθηση vouchers: αποστολή στοιχείων παραλήπτη (ονοματεπώνυμο, διεύθυνση, τηλέφωνο, ποσό αντικαταβολής, σημειώσεις) στην κούριερ του Πελάτη, με τα δικά του στοιχεία σύνδεσης·
• αυτόματος καθημερινός έλεγχος της πορείας των αποστολών (μόνο με τον αριθμό voucher)·
• picking και εκτυπώσεις (λίστες συλλογής, παραγγελίες) που δημιουργούνται στον browser του χρήστη·
• αντιστοίχιση αρχείων αντικαταβολών και αλλαγή κατάστασης στις παραγγελίες που εξοφλήθηκαν·
• αναφορές και πίνακες (π.χ. πωλήσεις ανά προϊόν, χάρτης παραδόσεων ανά πόλη)·
• υποστήριξη του Πελάτη, μόνο όταν το ζητήσει, με καταγραφή.

4. Κατηγορίες δεδομένων και υποκειμένων

• Υποκείμενα: πελάτες και παραλήπτες παραγγελιών του e-shop του Πελάτη.
• Δεδομένα: ονοματεπώνυμο, email, τηλέφωνα, διευθύνσεις αποστολής και τιμολόγησης (με ΑΦΜ/ΔΟΥ όπου υπάρχουν), εταιρεία, στοιχεία παραγγελιών (προϊόντα, ποσά, τρόπος πληρωμής και αποστολής, σημειώσεις), αριθμοί αποστολής και πορεία τους.
• Ειδικές κατηγορίες (άρθρο 9): δεν προορίζονται να υποβάλλονται σε επεξεργασία. Ο Πελάτης δεν πρέπει να καταχωρεί τέτοια δεδομένα σε σημειώσεις ή άλλα ελεύθερα πεδία.

5. Υποχρεώσεις του Roeon

Το Roeon:

• επεξεργάζεται τα δεδομένα μόνο με τεκμηριωμένες εντολές του Πελάτη (οι εντολές είναι η χρήση της εφαρμογής από τους χρήστες του, οι ρυθμίσεις του και η παρούσα). Αν κρίνει ότι μια εντολή παραβιάζει τον νόμο, ενημερώνει αμέσως τον Πελάτη·
• δεσμεύει όσους έχουν πρόσβαση σε εμπιστευτικότητα και δίνει πρόσβαση μόνο όπου χρειάζεται·
• λαμβάνει τα μέτρα ασφαλείας του άρθρου 32 GDPR (Παράρτημα 2)·
• τηρεί τους όρους για υπεργολάβους (άρθρο 7)·
• βοηθά τον Πελάτη, με τα κατάλληλα τεχνικά και οργανωτικά μέτρα, να απαντά σε αιτήματα άσκησης δικαιωμάτων. Αν λάβει απευθείας αίτημα υποκειμένου, το διαβιβάζει στον Πελάτη χωρίς να απαντήσει επί της ουσίας·
• βοηθά τον Πελάτη στις υποχρεώσεις των άρθρων 32-36 (ασφάλεια, γνωστοποίηση παραβιάσεων, εκτίμηση αντικτύπου, προηγούμενη διαβούλευση), λαμβάνοντας υπόψη τη φύση της επεξεργασίας·
• θέτει στη διάθεση του Πελάτη τις πληροφορίες που χρειάζονται για να αποδείξει τη συμμόρφωση και επιτρέπει ελέγχους (άρθρο 9).

6. Υποχρεώσεις του Πελάτη

Ο Πελάτης:

• έχει νόμιμη βάση για την επεξεργασία και ενημερώνει τους πελάτες του, μεταξύ άλλων ότι χρησιμοποιεί πάροχο λογισμικού διαχείρισης παραγγελιών και τις κούριερ για τις αποστολές·
• δίνει νόμιμες εντολές και ελέγχει τα στοιχεία πριν από ενέργειες με συνέπειες για τους πελάτες του·
• διαχειρίζεται τους χρήστες και τα δικαιώματά τους στην εφαρμογή και αφαιρεί όσους δεν πρέπει πια να έχουν πρόσβαση·
• έχει τις δικές του συμβάσεις με τις κούριερ, που λαμβάνουν δεδομένα ως δικοί του αποδέκτες και όχι ως υπεργολάβοι του Roeon.

7. Υπεργολάβοι

• Ο Πελάτης δίνει γενική έγγραφη άδεια για τους υπεργολάβους του Παραρτήματος 1.
• Το Roeon ενημερώνει τον Πελάτη με email και μέσα στην εφαρμογή τουλάχιστον 30 ημέρες πριν από την προσθήκη ή την αντικατάσταση υπεργολάβου. Ο Πελάτης μπορεί να αντιταχθεί για εύλογους λόγους προστασίας δεδομένων· αν δεν βρεθεί λύση, μπορεί να καταγγείλει τη σύμβαση με επιστροφή του ποσού για τον χρόνο που δεν χρησιμοποιήθηκε.
• Κάθε υπεργολάβος δεσμεύεται με σύμβαση με τις ίδιες υποχρεώσεις προστασίας δεδομένων. Το Roeon ευθύνεται έναντι του Πελάτη για τους υπεργολάβους του.

8. Διαβιβάσεις εκτός ΕΟΧ

Δεν γίνονται διαβιβάσεις εκτός του Ευρωπαϊκού Οικονομικού Χώρου. Αν χρειαστεί στο μέλλον, θα γίνει μόνο με εγγυήσεις των άρθρων 44 επ. GDPR και με ενημέρωση κατά το άρθρο 7.

9. Έλεγχοι

Το Roeon παρέχει στον Πελάτη, κατόπιν αιτήματος, γραπτή περιγραφή των μέτρων ασφαλείας και απαντήσεις σε εύλογα ερωτηματολόγια. Επιτόπιος έλεγχος γίνεται με προειδοποίηση τουλάχιστον 30 ημερών, σε εργάσιμες ώρες, όχι συχνότερα από μία φορά τον χρόνο (εκτός αν συμβεί παραβίαση ή το ζητήσει αρχή), με δέσμευση εμπιστευτικότητας και χωρίς πρόσβαση σε δεδομένα άλλων πελατών. [Το κόστος βαρύνει τον Πελάτη, εκτός αν διαπιστωθεί ουσιώδης παράβαση.]

10. Παραβίαση δεδομένων

Το Roeon ενημερώνει τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο μέσα σε [48] ώρες από τη στιγμή που αντιληφθεί παραβίαση που αφορά δεδομένα του, με όσα στοιχεία διαθέτει (φύση, κατηγορίες και κατά προσέγγιση πλήθος, πιθανές συνέπειες, μέτρα), και συμπληρώνει τις πληροφορίες σταδιακά. Λαμβάνει αμέσως μέτρα περιορισμού.

11. Λήξη: επιστροφή και διαγραφή

Τα δεδομένα των πελατών του e-shop βρίσκονται ήδη στο e-shop του Πελάτη, οπότε δεν απαιτείται επιστροφή. Με τη λήξη: τα στοιχεία σύνδεσης με το e-shop και τις κούριερ διαγράφονται αμέσως· τα αναγνωριστικά και τεχνικά στοιχεία (π.χ. vouchers, αντικαταβολές) διαγράφονται μέσα σε 30 ημέρες· τα αντίγραφα ασφαλείας ανακυκλώνονται μέσα σε 30 ημέρες. Εξαίρεση αποτελούν όσα πρέπει να διατηρηθούν κατά τον νόμο. Κατά τη διάρκεια της σύμβασης, τα στοιχεία αποστολών και αντικαταβολών διατηρούνται έως 24 μήνες.

12. Ευθύνη

Για την ευθύνη των μερών ισχύει το άρθρο 82 GDPR και, στον βαθμό που επιτρέπεται, οι περιορισμοί των Όρων Χρήσης.

13. Λοιπά

Η παρούσα ισχύει όσο ισχύουν οι Όροι Χρήσης. Αλλαγές γίνονται όπως οι αλλαγές των Όρων Χρήσης, με νέα αποδοχή. Εφαρμοστέο δίκαιο το ελληνικό, αρμόδια τα δικαστήρια [ΠΟΛΗ].

Παράρτημα 1: Υπεργολάβοι

Δεν είναι υπεργολάβοι του Roeon, αλλά αποδέκτες του Πελάτη: οι εταιρείες κούριερ με τις οποίες έχει σύμβαση ο Πελάτης (π.χ. ACS, Speedex) και ο πάροχος φιλοξενίας του e-shop του.

Παράρτημα 2: Τεχνικά και οργανωτικά μέτρα ασφαλείας

• Ελαχιστοποίηση: καμία μόνιμη αποθήκευση δεδομένων πελατών του e-shop· από τους πελάτες του e-shop ζητούνται μόνο τα πεδία που χρειάζεται η κάθε οθόνη.
• Κρυπτογράφηση στη μεταφορά: HTTPS (TLS) σε όλη την εφαρμογή και στις κλήσεις προς e-shop και κούριερ· επικοινωνία με το module του e-shop υπογεγραμμένη με HMAC-SHA256, με προστασία από επανάληψη (χρονοσφραγίδα και nonce) και φίλτρο διευθύνσεων IP.
• Κρυπτογράφηση μυστικών: κλειδιά Webservice, μυστικά module και κωδικοί κούριερ κρυπτογραφημένα με AES-256-GCM, με κλειδιά εκτός βάσης δεδομένων· δεν επιστρέφονται ποτέ στον browser και δεν γράφονται σε αρχεία καταγραφής ή μηνύματα σφάλματος.
• Διαχωρισμός πελατών: κάθε εγγραφή της βάσης ανήκει σε έναν λογαριασμό και η βάση επιβάλλει τον διαχωρισμό με row-level security· ο λογαριασμός προκύπτει πάντα από τη σύνδεση του χρήστη, ποτέ από το αίτημα.
• Έλεγχος πρόσβασης: ρόλοι και δικαιώματα ανά χρήστη, έλεγχος σε κάθε αίτημα στον server· κωδικοί με Argon2· cookies σύνδεσης HttpOnly, Secure, SameSite=Strict· όρια προσπαθειών σύνδεσης· προστασία CSRF με έλεγχο προέλευσης· διαχειριστές της πλατφόρμας με υποχρεωτικό δεύτερο παράγοντα (TOTP).
• Πρόσβαση υποστήριξης: μόνο με αιτιολογία, για 15 έως 60 λεπτά, μόνο ανάγνωση, με καταγραφή.
• Καταγραφές: αρχεία καταγραφής χωρίς προσωπικά δεδομένα πελατών e-shop (επιτρέπονται μόνο αναγνωριστικά και τεχνικά πεδία)· ιστορικό ενεργειών ανά λογαριασμό μόνο με προσθήκη εγγραφών.
• Ασφάλεια εξωτερικών κλήσεων: οι κλήσεις προς διευθύνσεις καταστημάτων ελέγχονται ώστε να μη φτάνουν σε εσωτερικά δίκτυα.
• Διαθεσιμότητα: αντίγραφα ασφαλείας με περιστροφή 30 ημερών και έλεγχο επαναφοράς· servers στην ΕΕ.
• Οργανωτικά: δέσμευση εμπιστευτικότητας του προσωπικού, πρόσβαση στην παραγωγή μόνο όπου χρειάζεται, διαδικασία αντιμετώπισης περιστατικών, έλεγχος του κώδικα με αυτοματοποιημένα τεστ πριν από κάθε αλλαγή.