Συμφωνία Επεξεργασίας Δεδομένων

Yollty S.A. · 74, rue du Canal, L-4051 Esch-sur-Alzette, Μεγάλο Δουκάτο του Λουξεμβούργου · R.C.S. Luxembourg B205415

Η παρούσα Συμφωνία Επεξεργασίας Δεδομένων («DPA») αποτελεί μέρος της Σύμβασης μεταξύ της Yollty και του Εταιρικού Πελάτη για τη χρήση της πλατφόρμας Yollty Hub, όπως ορίζεται στους Γενικούς Όρους και Προϋποθέσεις Πώλησης της Yollty («Όροι»). Καθορίζει τον τρόπο με τον οποίο η Yollty επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του Εταιρικού Πελάτη, σύμφωνα με τις απαιτήσεις του άρθρου 28 του Γενικού Κανονισμού για την Προστασία Δεδομένων.

Συμβαλλόμενα Μέρη

• Ο Εταιρικός Πελάτης, όπως προσδιορίζεται κατά την ηλεκτρονική εγγραφή ή στην αίτηση συνδρομής, ενεργώντας ως υπεύθυνος επεξεργασίας («Υπεύθυνος Επεξεργασίας»).
• Η Yollty S.A., μια ανώνυμη εταιρεία (société anonyme) που διέπεται από το δίκαιο του Λουξεμβούργου, με έδρα στη διεύθυνση 74, rue du Canal, L-4051 Esch-sur-Alzette, Μεγάλο Δουκάτο του Λουξεμβούργου, εγγεγραμμένη στο Μητρώο Εμπορίου και Εταιρειών (R.C.S.) του Λουξεμβούργου με αριθμό B205415, ενεργώντας ως εκτελούσα την επεξεργασία («Εκτελούσα την Επεξεργασία»).

Ορισμοί

Όροι που δεν ορίζονται στην παρούσα DPA έχουν την έννοια που τους αποδίδεται στους Όρους ή στον ΓΚΠΔ.

• «ΓΚΠΔ» σημαίνει τον Κανονισμό (ΕΕ) 2016/679 και, κατά περίπτωση, τον ΓΚΠΔ του Ηνωμένου Βασιλείου και τον Νόμο περί Προστασίας Δεδομένων του Ηνωμένου Βασιλείου του 2018.
• «Νομοθεσία περί Προστασίας Δεδομένων» σημαίνει τον ΓΚΠΔ και οποιονδήποτε άλλο νόμο περί προστασίας δεδομένων ή ιδιωτικότητας που εφαρμόζεται στην επεξεργασία βάσει της παρούσας Συμφωνίας Επεξεργασίας Δεδομένων (DPA), συμπεριλαμβανομένων των νόμων που ενσωματώνουν την Οδηγία για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες (ePrivacy Directive).
• «Δεδομένα Πελατών του Hub» σημαίνει τα προσωπικά δεδομένα των Τελικών Πελατών που συλλέγονται μέσω ή εισάγονται στο Yollty Hub, όπως περιγράφεται στο Παράρτημα 1.
• «Τελικοί Πελάτες» σημαίνει τους πελάτες του Εταιρικού Πελάτη και οποιαδήποτε άλλα φυσικά πρόσωπα των οποίων τα προσωπικά δεδομένα υποβάλλονται σε επεξεργασία μέσω του Yollty Hub.
• «Παραβίαση Προσωπικών Δεδομένων» σημαίνει την παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ αδείας κοινολόγηση ή πρόσβαση στα Δεδομένα Πελατών του Hub.
• «Εκτελών την Επεξεργασία» σημαίνει οποιοδήποτε τρίτο μέρος που απασχολείται από την Yollty για την επεξεργασία Δεδομένων Πελατών του Hub για λογαριασμό της.

Η παρούσα DPA ισχύει μόνο για το Yollty Hub. Δεν ισχύει για την πλατφόρμα Yollty Classic, για την οποία ισχύει το Άρθρο 22.2.1 των Όρων.

1. Ρόλοι των μερών

1.1. Ο Επιχειρηματικός Πελάτης είναι ο υπεύθυνος επεξεργασίας των Δεδομένων Πελατών του Hub και η Yollty είναι ο εκτελών την επεξεργασία τους.

1.2. Το αντικείμενο, η διάρκεια, η φύση και ο σκοπός της επεξεργασίας, οι τύποι προσωπικών δεδομένων και οι κατηγορίες των υποκειμένων των δεδομένων περιγράφονται στο Παράρτημα 1.

1.3. Η Yollty ενεργεί ως ανεξάρτητος υπεύθυνος επεξεργασίας, και όχι ως εκτελών την επεξεργασία, για: (α) τα δεδομένα λογαριασμού, επικοινωνίας και τιμολόγησης του Επιχειρηματικού Πελάτη και των χρηστών του πίνακα ελέγχου του· (β) δεδομένα χρήσης, υποστήριξης και ασφάλειας σχετικά με τη λειτουργία του Yollty Hub, όπως αρχεία καταγραφής πρόσβασης και αναφορές σφαλμάτων· και (γ) συγκεντρωτικά δεδομένα από τα οποία δεν μπορεί να ταυτοποιηθεί κανένας Τελικός Πελάτης, τα οποία η Yollty μπορεί να χρησιμοποιεί για τη λειτουργία, την ασφάλεια και τη βελτίωση του Yollty Hub. Η πολιτική απορρήτου της Yollty περιγράφει αυτή την επεξεργασία.

2. Εντολές

2.1. Η Yollty επεξεργάζεται τα Δεδομένα Πελατών του Hub μόνο βάσει τεκμηριωμένων εντολών του Επιχειρηματικού Πελάτη, συμπεριλαμβανομένων των διαβιβάσεων προσωπικών δεδομένων σε τρίτη χώρα, εκτός εάν απαιτείται από το δίκαιο της ΕΕ ή κράτους μέλους. Σε αυτή την περίπτωση, η Yollty θα ενημερώνει τον Επιχειρηματικό Πελάτη για αυτή τη νομική απαίτηση πριν από την επεξεργασία, εκτός εάν ο νόμος το απαγορεύει.

2.2. Οι Όροι, η παρούσα DPA και η χρήση και παραμετροποίηση του Yollty Hub από τον Επιχειρηματικό Πελάτη (συμπεριλαμβανομένων των ρυθμίσεων, των καμπανιών, των αυτοματισμών και των τμημάτων του) αποτελούν τις πλήρεις εντολές του Επιχειρηματικού Πελάτη.

2.3. Η Yollty θα ενημερώνει αμέσως τον Επιχειρηματικό Πελάτη εάν, κατά την κρίση της, μια εντολή παραβιάζει τη Νομοθεσία περί Προστασίας Δεδομένων.

3. Εμπιστευτικότητα

Η Yollty διασφαλίζει ότι όλα τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται Δεδομένα Πελατών του Hub δεσμεύονται από υποχρέωση εμπιστευτικότητας και έχουν πρόσβαση σε αυτά μόνο στον βαθμό που απαιτείται για την παροχή των Υπηρεσιών Yollty.

4. Ασφάλεια

4.1. Η Yollty εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για την προστασία των Δεδομένων Πελατών του Hub, λαμβάνοντας υπόψη την τεχνολογική εξέλιξη, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας. Αυτά τα μέτρα περιγράφονται στο Παράρτημα 2.

4.2. Η Yollty ενδέχεται να επικαιροποιεί αυτά τα μέτρα με την πάροδο του χρόνου, υπό την προϋπόθεση ότι εξακολουθούν να διασφαλίζουν επίπεδο ασφάλειας ανάλογο προς τον κίνδυνο, όπως απαιτείται από το Άρθρο 32 του ΓΚΠΔ.

5. Εκτελούντες την Επεξεργασία

5.1. Ο Επιχειρηματικός Πελάτης παρέχει στην Yollty γενική εξουσιοδότηση για την απασχόληση Εκτελούντων την Επεξεργασία. Οι Εκτελούντες την Επεξεργασία που χρησιμοποιούνται κατά την ημερομηνία της παρούσας DPA αναφέρονται στο Παράρτημα 3.

5.2. Η Yollty θα ενημερώνει τον Επιχειρηματικό Πελάτη για οποιαδήποτε προτεινόμενη προσθήκη ή αντικατάσταση Εκτελούντος την Επεξεργασία τουλάχιστον 30 ημέρες νωρίτερα, μέσω email ή μέσω του Yollty Hub. Ο Επιχειρηματικός Πελάτης μπορεί να προβάλει αντιρρήσεις για βάσιμους λόγους προστασίας δεδομένων εντός αυτής της περιόδου. Εάν τα μέρη δεν μπορούν να επιλύσουν την αντίρρηση, ο Επιχειρηματικός Πελάτης μπορεί να καταγγείλει τη Σύμβαση χωρίς να οφείλεται αποζημίωση, και η Yollty θα επιστρέψει τυχόν τέλη που έχουν καταβληθεί προκαταβολικά για την περίοδο μετά την καταγγελία.

5.3. Η Yollty επιβάλλει σε κάθε Εκτελούντα την Επεξεργασία, μέσω γραπτής σύμβασης, υποχρεώσεις προστασίας δεδομένων που παρέχουν τουλάχιστον το ίδιο επίπεδο προστασίας με την παρούσα Συμφωνία Επεξεργασίας Δεδομένων (DPA) (οι οποίες ενδέχεται να είναι οι τυπικοί όροι επεξεργασίας δεδομένων του Εκτελούντος την Επεξεργασία), και παραμένει πλήρως υπεύθυνη έναντι του Επιχειρηματικού Πελάτη για την απόδοση των Εκτελούντων την Επεξεργασία της, με την επιφύλαξη της Ρήτρας 13.

5.4. Υπηρεσίες τις οποίες ο Επιχειρηματικός Πελάτης επιλέγει να συνδέσει με το Yollty Hub, όπως το σύστημα σημείων πώλησης (για παράδειγμα Square, Loyverse ή Epos Now), το Επιχειρηματικό Προφίλ Google ή ο πάροχος ονόματος τομέα του, δεν αποτελούν Εκτελούντες την Επεξεργασία. Η Yollty ανταλλάσσει Δεδομένα Πελατών του Hub με αυτές τις υπηρεσίες κατόπιν εντολής του Επιχειρηματικού Πελάτη όταν ο τελευταίος ενεργοποιεί τη σύνδεση, και η συμφωνία του Επιχειρηματικού Πελάτη με τον πάροχο διέπει την επεξεργασία που πραγματοποιεί ο πάροχος. Ομοίως, όταν ένας Εκτελών την Επεξεργασία που αναφέρεται στο Παράρτημα 3 επεξεργάζεται επίσης Δεδομένα Πελατών του Hub ως ανεξάρτητος υπεύθυνος επεξεργασίας, για παράδειγμα η Google ή η Apple αφού ένας Τελικός Πελάτης έχει αποθηκεύσει μια κάρτα στο Google Wallet ή στο Apple Wallet του, αυτό το μέρος της επεξεργασίας διέπεται από τους όρους του παρόχου με τον Τελικό Πελάτη, όπως οι όροι του λογαριασμού τους στην Apple ή την Google, και δεν πραγματοποιείται για λογαριασμό της Yollty ή του Επιχειρηματικού Πελάτη.

6. Διεθνείς μεταφορές

6.1. Η Yollty αποθηκεύει τα Δεδομένα Πελατών του Hub στην Ευρωπαϊκή Ένωση (Google Cloud, περιοχή Βελγίου). Ορισμένοι Εκτελούντες την Επεξεργασία που αναφέρονται στο Παράρτημα 3 επεξεργάζονται περιορισμένα Δεδομένα Πελατών του Hub εκτός του Ευρωπαϊκού Οικονομικού Χώρου, όπως περιγράφεται εκεί.

6.2. Όταν τα Δεδομένα Πελατών του Hub μεταφέρονται σε χώρα εκτός του Ευρωπαϊκού Οικονομικού Χώρου ή του Ηνωμένου Βασιλείου που δεν καλύπτεται από απόφαση επάρκειας, η Yollty διασφαλίζει ότι η μεταφορά προστατεύεται από κατάλληλες εγγυήσεις, όπως οι Τυποποιημένες Συμβατικές Ρήτρες (“SCCs”) της Ευρωπαϊκής Επιτροπής και, για μεταφορές από το Ηνωμένο Βασίλειο, το Συμπλήρωμα Διεθνούς Μεταφοράς Δεδομένων του Ηνωμένου Βασιλείου.

7. Αιτήματα υποκειμένων των δεδομένων

7.1. Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, η Yollty συνδράμει τον Επιχειρηματικό Πελάτη, μέσω των λειτουργιών του Yollty Hub ή άλλως, στην ανταπόκριση σε αιτήματα των Τελικών Πελατών για την άσκηση των δικαιωμάτων πρόσβασης, διόρθωσης, διαγραφής, περιορισμού, φορητότητας και εναντίωσης.

7.2. Όταν το Yollty Hub παρέχει λειτουργίες που επιτρέπουν στους Τελικούς Πελάτες να ασκούν οι ίδιοι τα δικαιώματά τους, όπως η αλλαγή των προτιμήσεων επικοινωνίας ή η διαγραφή του λογαριασμού τους, ο Επιχειρηματικός Πελάτης δίνει εντολή στην Yollty να εκτελεί αυτά τα αιτήματα αυτόματα μέσω των εν λόγω λειτουργιών, καθώς καθίστανται διαθέσιμες κατά καιρούς, και το αποτέλεσμα εμφανίζεται στο Yollty Hub. Εάν η Yollty λάβει οποιοδήποτε άλλο αίτημα απευθείας, θα το προωθήσει στον Επιχειρηματικό Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και δεν θα απαντήσει η ίδια, παρά μόνο για να επιβεβαιώσει ότι το αίτημα έχει προωθηθεί.

8. Παραβιάσεις Προσωπικών Δεδομένων

8.1. Η Yollty ενημερώνει τον Επιχειρηματικό Πελάτη χωρίς αδικαιολόγητη καθυστέρηση, και σε κάθε περίπτωση εντός 48 ωρών, αφότου λάβει γνώση μιας Παραβίασης Προσωπικών Δεδομένων που επηρεάζει τα Δεδομένα Πελατών του Hub.

8.2. Η γνωστοποίηση θα περιγράφει, στο μέτρο που είναι γνωστό τη δεδομένη στιγμή, τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό των Τελικών Πελατών και των αρχείων που αφορά, τις πιθανές συνέπειες και τα μέτρα που έχουν ληφθεί ή προταθεί. Η Yollty θα παρέχει περαιτέρω πληροφορίες μόλις αυτές καταστούν διαθέσιμες.

8.3. Η Yollty λαμβάνει εύλογα μέτρα για τον περιορισμό και την αποκατάσταση της παραβίασης και συνδράμει τον Επιχειρηματικό Πελάτη στην εκπλήρωση των υποχρεώσεών του για ενημέρωση της εποπτικής αρχής και των Τελικών Πελατών.

9. Συνδρομή στη συμμόρφωση

Λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις διαθέσιμες πληροφορίες, η Yollty παρέχει εύλογη συνδρομή στον Επιχειρηματικό Πελάτη για την εκπλήρωση των υποχρεώσεών του βάσει των Άρθρων 32 έως 36 του ΓΚΠΔ, συμπεριλαμβανομένων των εκτιμήσεων αντικτύπου σχετικά με την προστασία δεδομένων και των προηγούμενων διαβουλεύσεων με τις εποπτικές αρχές, εφόσον αυτές αφορούν το Yollty Hub.

10. Έλεγχοι

10.1. Η Yollty παρέχει στον Επιχειρηματικό Πελάτη, κατόπιν έγγραφου αιτήματος, τις πληροφορίες που είναι εύλογα απαραίτητες για την απόδειξη της συμμόρφωσης με το Άρθρο 28 του ΓΚΠΔ, σε μορφή που επιλέγει η Yollty, όπως η παρούσα DPA και τα Παραρτήματά της, μια γραπτή σύνοψη των μέτρων ασφαλείας της ή απαντήσεις σε ερωτηματολόγιο ασφαλείας. Η Yollty δεν υποχρεούται να αποκαλύψει πληροφορίες που είναι εμπιστευτικές, που αφορούν άλλους πελάτες της ή που θα μπορούσαν να θέσουν σε κίνδυνο την ασφάλεια του Yollty Hub. Ο Επιχειρηματικός Πελάτης μπορεί να υποβάλει τέτοιο αίτημα το πολύ μία φορά ανά έτος, εκτός εάν έχει συμβεί Παραβίαση Προσωπικών Δεδομένων.

10.2. Όταν αυτές οι πληροφορίες δεν επαρκούν, ο Επιχειρηματικός Πελάτης μπορεί να διενεργήσει έλεγχο, ή να αναθέσει τη διενέργειά του σε ανεξάρτητο ελεγκτή που δεσμεύεται από υποχρέωση εμπιστευτικότητας, το πολύ μία φορά ανά έτος (εκτός εάν απαιτείται από εποπτική αρχή ή εάν ο έλεγχος ακολουθεί Παραβίαση Προσωπικών Δεδομένων), με έγγραφη ειδοποίηση τουλάχιστον 30 ημερών, κατά τις κανονικές εργάσιμες ώρες και χωρίς να διαταράσσεται η λειτουργία της Yollty. Κάθε μέρος επιβαρύνεται με τα δικά του έξοδα, εκτός εάν ο έλεγχος αποκαλύψει ουσιώδη παραβίαση της παρούσας DPA από την Yollty.

11. Επιστροφή και διαγραφή δεδομένων

11.1. Με τη λήξη της Σύμβασης, ο Επιχειρηματικός Πελάτης μπορεί να εξάγει τα Δεδομένα Πελατών του Hub από το Yollty Hub εντός 30 ημερών.

11.2. Μετά την πάροδο αυτής της περιόδου, η Yollty διαγράφει τα Δεδομένα Πελατών του Hub, συμπεριλαμβανομένων των υπαρχόντων αντιγράφων, εκτός εάν η νομοθεσία της ΕΕ ή κράτους μέλους απαιτεί τη διατήρησή τους. Τα αντίγραφα ασφαλείας αντικαθίστανται σύμφωνα με τον κύκλο αντιγράφων ασφαλείας της Yollty και, σε κάθε περίπτωση, εντός 30 ημερών. Όταν ο Επιχειρηματικός Πελάτης διαγράφει έναν Τελικό Πελάτη κατά τη διάρκεια της Σύμβασης, η Yollty διατηρεί ένα μονόδρομο hash του αριθμού τηλεφώνου του εν λόγω Τελικού Πελάτη, από το οποίο δεν είναι δυνατή η ανάκτηση του αριθμού, και το χρησιμοποιεί αποκλειστικά για την πρόληψη απάτης και κατάχρησης του προγράμματος του Επιχειρηματικού Πελάτη, καθώς και για την προστασία της ασφάλειας του Yollty Hub, για παράδειγμα ώστε να μην παρέχονται εκ νέου προνόμια καλωσορίσματος εάν το ίδιο άτομο εγγραφεί ξανά. Το hash διαγράφεται μαζί με τα υπόλοιπα Δεδομένα Πελατών του Hub σύμφωνα με την παρούσα Ρήτρα.

12. Υποχρεώσεις του Επιχειρηματικού Πελάτη

12.1. Ο Επιχειρηματικός Πελάτης είναι υπεύθυνος για τη διασφάλιση νόμιμης βάσης για την επεξεργασία των Δεδομένων Πελατών του Hub. Αυτό περιλαμβάνει τη λήψη συγκατάθεσης από τους Τελικούς Πελάτες πριν από την αποστολή επικοινωνιών μάρκετινγκ μέσω email, SMS ή ειδοποιήσεων push, καθώς και την ενημέρωσή τους σύμφωνα με τις απαιτήσεις της Νομοθεσίας περί Προστασίας Δεδομένων.

12.2. Όταν ο Εταιρικός Πελάτης εισάγει στοιχεία επικοινωνίας των Τελικών Πελατών στο Yollty Hub, εγγυάται ότι αυτά τα στοιχεία συλλέχθηκαν νόμιμα και ότι διαθέτει έγκυρη νομική βάση, συμπεριλαμβανομένης οποιασδήποτε απαιτούμενης συγκατάθεσης, για την επεξεργασία τους και για την αποστολή επικοινωνιών σε αυτούς τους Τελικούς Πελάτες μέσω του Yollty Hub.

12.3. Ο Εταιρικός Πελάτης δεν επιτρέπεται να χρησιμοποιεί το Yollty Hub για την επεξεργασία ειδικών κατηγοριών προσωπικών δεδομένων (όπως δεδομένα υγείας), εκτός εάν έχει συμφωνηθεί εγγράφως με την Yollty.

12.4. Ο Εταιρικός Πελάτης ορίζει ένα πρόσωπο επικοινωνίας για θέματα προστασίας δεδομένων κατά την εγγραφή του, στο Yollty Hub ή μέσω email προς την Yollty, και διατηρεί αυτές τις πληροφορίες ενημερωμένες. Εάν έχει ορίσει Υπεύθυνο Προστασίας Δεδομένων, παρέχει τα στοιχεία επικοινωνίας του.

12.5. Η Yollty διαθέτει στο Yollty Hub μια προεπιλεγμένη ειδοποίηση απορρήτου για τους Τελικούς Πελάτες, η οποία εκδίδεται στο όνομα του Εταιρικού Πελάτη. Εκτός εάν ο Εταιρικός Πελάτης παρέχει τη δική του ειδοποίηση απορρήτου στο Yollty Hub, ο Εταιρικός Πελάτης υιοθετεί την προεπιλεγμένη ειδοποίηση ως δική του και η Yollty την εμφανίζει στους Τελικούς Πελάτες εντός της εφαρμογής. Ο Εταιρικός Πελάτης παραμένει υπεύθυνος για τον έλεγχο ότι η ειδοποίηση που χρησιμοποιεί περιγράφει με ακρίβεια την επεξεργασία του, ιδίως οποιαδήποτε επεξεργασία δεδομένων των Τελικών Πελατών εκτός του Yollty Hub, καθώς και για τη διατήρηση των στοιχείων του που εμφανίζονται στην ειδοποίηση σε ενημερωμένη κατάσταση.

13. Ευθύνη

Η ευθύνη κάθε μέρους στο πλαίσιο της παρούσας DPA υπόκειται στους περιορισμούς και τις εξαιρέσεις ευθύνης που ορίζονται στους Όρους, στον βαθμό που επιτρέπεται από τη νομοθεσία περί προστασίας δεδομένων.

14. Σειρά προτεραιότητας

Σε περίπτωση σύγκρουσης μεταξύ της παρούσας DPA και των Όρων σχετικά με την επεξεργασία των Δεδομένων Πελατών του Hub, υπερισχύει η παρούσα DPA.

15. Διάρκεια και εφαρμοστέο δίκαιο

15.1. Η παρούσα DPA τίθεται σε ισχύ κατά την ημερομηνία σύναψης της Σύμβασης και παραμένει σε ισχύ για όσο διάστημα η Yollty επεξεργάζεται Δεδομένα Πελατών του Hub για λογαριασμό του Εταιρικού Πελάτη.

15.2. Η παρούσα Συμφωνία Επεξεργασίας Δεδομένων (DPA) διέπεται από το δίκαιο του Λουξεμβούργου. Οποιαδήποτε διαφορά υπόκειται στην αποκλειστική δικαιοδοσία των δικαστηρίων του Λουξεμβούργου.

15.3. Το πρόσωπο επικοινωνίας της Yollty για θέματα προστασίας δεδομένων είναι ο Αλέξανδρος Τρεπεκλής ([email protected]).

Παράρτημα 1 – Περιγραφή της επεξεργασίας

• Αντικείμενο: παροχή της πλατφόρμας πιστότητας και αφοσίωσης πελατών Yollty Hub στον Εταιρικό Πελάτη.
• Διάρκεια: η διάρκεια της Σύμβασης, συν την περίοδο εξαγωγής 30 ημερών και την περίοδο διαγραφής που ορίζεται στην παράγραφο 11.
• Φύση και σκοπός: φιλοξενία και διαχείριση του προγράμματος πιστότητας του Εταιρικού Πελάτη, εγγραφή Τελικών Πελατών, καταγραφή επισκέψεων, αγορών, πόντων και ανταμοιβών, έκδοση καρτών Google Wallet και Apple Wallet, συλλογή και διαχείριση της συγκατάθεσης και των προτιμήσεων επικοινωνίας των Τελικών Πελατών, αποστολή ειδοποιήσεων push, email και SMS για λογαριασμό του Εταιρικού Πελάτη, τμηματοποίηση και αυτοματισμοί, παραπομπές, αιτήματα για σχόλια και αξιολογήσεις, διασυνδέσεις POS, αναφορές και πληροφορίες, προωθητικές ενέργειες και «τροχοί της τύχης», check-in και εξαργύρωση μέσω tablet προσωπικού, επαλήθευση τηλεφώνου και email.
• Κατηγορίες υποκειμένων των δεδομένων: οι Τελικοί Πελάτες του Εταιρικού Πελάτη (μέλη προγραμμάτων πιστότητας), συμπεριλαμβανομένων των επαφών που εισάγονται από τον Εταιρικό Πελάτη, καθώς και το προσωπικό του Εταιρικού Πελάτη, στον βαθμό που καταγράφονται σε συναλλαγές, check-in και εξαργυρώσεις.
• Τύποι προσωπικών δεδομένων: ονοματεπώνυμο, διεύθυνση ηλεκτρονικού ταχυδρομείου, αριθμός τηλεφώνου, ημερομηνία γέννησης, φύλο και φωτογραφία προφίλ (εάν συλλέγονται), προτιμώμενη γλώσσα, αναγνωριστικά κάρτας πιστότητας και ψηφιακού πορτοφολιού, ιστορικό επισκέψεων και συναλλαγών (ημερομηνία, κατάστημα, ποσό, αγορασθέντα προϊόντα), πόντοι, βαθμίδες και ανταμοιβές, κουπόνια, προωθητικές ενέργειες και αποτελέσματα «τροχού της τύχης», συγκατάθεση και προτιμήσεις επικοινωνίας, μαζί με τη διεύθυνση IP και τις πληροφορίες προγράμματος περιήγησης που καταγράφονται κατά την παροχή της συγκατάθεσης, σχόλια και αξιολογήσεις, πληροφορίες παραπομπής, αναγνωριστικά συσκευής για ειδοποιήσεις push, μηνύματα που αποστέλλονται και η κατάσταση παράδοσής τους, αναγνωριστικά πελατών από συνδεδεμένα συστήματα σημείων πώλησης (POS), ονόματα και αναγνωριστικά προσωπικού, καθώς και οποιαδήποτε άλλα προσωπικά δεδομένα επιλέγει να συλλέξει ή να εισαγάγει ο Εταιρικός Πελάτης μέσω του Yollty Hub, για παράδειγμα μέσω προσαρμοσμένων χαρακτηριστικών μελών ή εισαγόμενων λιστών επαφών, υπό την επιφύλαξη της παραγράφου 12.3.
• Ειδικές κατηγορίες δεδομένων: καμία, εκτός εάν συμφωνηθεί εγγράφως σύμφωνα με την παράγραφο 12.3.
• Συχνότητα: συνεχή, για όλη τη διάρκεια της Σύμβασης.

Παράρτημα 2 – Τεχνικά και οργανωτικά μέτρα ασφαλείας

Η Yollty εφαρμόζει τα ακόλουθα μέτρα:

• κρυπτογράφηση δεδομένων κατά τη μεταφορά (TLS) και κατά την αποθήκευση (AES-256, διαχειριζόμενη από το Google Cloud)·
• έλεγχος πρόσβασης βάσει ρόλων, με περιορισμένη πρόσβαση στο εξουσιοδοτημένο προσωπικό (συμπεριλαμβανομένων ορίων πρόσβασης ανά κατάστημα για τους χρήστες του πίνακα ελέγχου και προσωπικό PIN για κάθε χρήστη tablet προσωπικού)·
• λογικός διαχωρισμός των δεδομένων κάθε Εταιρικού Πελάτη (επιβάλλεται σε κάθε ερώτημα βάσης δεδομένων από την εφαρμογή)·
• τακτικά αντίγραφα ασφαλείας (καθημερινά αυτοματοποιημένα αντίγραφα ασφαλείας βάσης δεδομένων που διατηρούνται για 7 ημέρες, με δυνατότητα ανάκτησης σε συγκεκριμένο χρονικό σημείο)·
• καταγραφή και παρακολούθηση της πρόσβασης σε συστήματα παραγωγής (αρχεία καταγραφής ελέγχου Google Cloud· οι αριθμοί τηλεφώνου και οι διευθύνσεις email καλύπτονται ή παραλείπονται από τα αρχεία καταγραφής της εφαρμογής)·
• πρακτικές ασφαλούς ανάπτυξης και τακτικές ενημερώσεις ασφαλείας (τα μυστικά κλειδιά φυλάσσονται σε διαχειριζόμενο χώρο αποθήκευσης μυστικών και οι υπογραφές επαληθεύονται σε όλα τα εισερχόμενα webhooks του σημείου πώλησης)·
• δεσμεύσεις εμπιστευτικότητας για το προσωπικό και τους συνεργάτες·
• τεκμηριωμένη διαδικασία για τον χειρισμό Παραβιάσεων Προσωπικών Δεδομένων.

Παράρτημα 3 – Υπεργολάβοι επεξεργασίας

• Google Cloud EMEA Limited (Google Cloud Platform and Firebase) — Υπηρεσία: φιλοξενία, βάση δεδομένων, αποθήκευση αρχείων, προγραμματισμός εργασιών και ειδοποιήσεις εντός εφαρμογής. Τοποθεσία: Ευρωπαϊκή Ένωση (Βέλγιο). Διασφάλιση: δεν εφαρμόζεται (ΕΕ)· Παράρτημα Επεξεργασίας Δεδομένων Google Cloud, με Τυπικές Συμβατικές Ρήτρες (SCCs) για οποιαδήποτε πρόσβαση εκτός ΕΟΧ.
• ActiveCampaign, LLC (Postmark) — Υπηρεσία: αποστολή email. Τοποθεσία: Ηνωμένες Πολιτείες. Διασφάλιση: Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ· Τυπικές Συμβατικές Ρήτρες (SCCs) (Παράρτημα Επεξεργασίας Δεδομένων Postmark).
• Twilio Inc. — Υπηρεσία: αποστολή SMS και κωδικών επαλήθευσης τηλεφώνου. Τοποθεσία: Ηνωμένες Πολιτείες. Διασφάλιση: Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ· Δεσμευτικοί Εταιρικοί Κανόνες Twilio· Τυπικές Συμβατικές Ρήτρες (SCCs) (Παράρτημα Προστασίας Δεδομένων Twilio).
• Google LLC (Firebase Cloud Messaging) — Υπηρεσία: αποστολή ειδοποιήσεων push. Τοποθεσία: Ηνωμένες Πολιτείες και άλλες τοποθεσίες της Google. Διασφάλιση: Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ· Τυπικές Συμβατικές Ρήτρες (SCCs) (Παράρτημα Επεξεργασίας Δεδομένων Google Cloud).
• Google LLC (Google Wallet API) — Υπηρεσία: πάσα Google Wallet. Τοποθεσία: Ηνωμένες Πολιτείες και άλλες τοποθεσίες της Google. Διασφάλιση: Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ.
• Apple Inc. (Apple Push Notification service) — Υπηρεσία: ενημερώσεις πάσων Apple Wallet (μόνο διακριτικά push συσκευής· το ίδιο το πάσο λαμβάνεται απευθείας από τη Yollty). Τοποθεσία: Ηνωμένες Πολιτείες. Διασφάλιση: απαραίτητο για την εκτέλεση του προγράμματος επιβράβευσης του Εταιρικού Πελάτη για τον Τελικό Πελάτη, ο οποίος επέλεξε να προσθέσει το πάσο του στο Apple Wallet (Άρθρο 49(1)(b) ΓΚΠΔ)· μόνο διακριτικά push συσκευής.
• Google LLC (Firebase Authentication) — Υπηρεσία: σύνδεση Τελικών Πελατών και χρηστών του πίνακα ελέγχου. Τοποθεσία: Ηνωμένες Πολιτείες και άλλες τοποθεσίες της Google. Διασφάλιση: Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ· Τυπικές Συμβατικές Ρήτρες (SCCs) (Παράρτημα Επεξεργασίας Δεδομένων Google Cloud).
• Functional Software, Inc. (Sentry) — Υπηρεσία: παρακολούθηση σφαλμάτων για την εφαρμογή, τον πίνακα ελέγχου και το tablet του προσωπικού. Τοποθεσία: Ευρωπαϊκή Ένωση (Γερμανία). Διασφάλιση: δεν εφαρμόζεται (ΕΕ)· Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ και Τυπικές Συμβατικές Ρήτρες (SCCs) (Παράρτημα Επεξεργασίας Δεδομένων Sentry) για πρόσβαση από τις Ηνωμένες Πολιτείες.
• Ably Realtime Ltd (Ably) — Υπηρεσία: ενημερώσεις σε πραγματικό χρόνο για τον πίνακα ελέγχου και το tablet του προσωπικού. Τοποθεσία: Ηνωμένο Βασίλειο· επεξεργασία παγκοσμίως μέσω Amazon Web Services. Διασφάλιση: απόφαση επάρκειας Ηνωμένου Βασιλείου· Τυπικές Συμβατικές Ρήτρες (SCCs) (Παράρτημα Επεξεργασίας Δεδομένων Ably).

Έκδοση 1.0 · Σε ισχύ από 11 Νοεμβρίου 2026