Σύμβαση Επεξεργασίας Δεδομένων

1. Συμβαλλόμενα Μέρη

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων ("DPA") συνάπτεται μεταξύ του Πελάτη («Υπεύθυνος Επεξεργασίας Δεδομένων») και της YARDtwin Ltd, εγγεγραμμένης στην Ιρλανδία («Εκτελών την Επεξεργασία»), από κοινού τα «Συμβαλλόμενα Μέρη». Η παρούσα DPA αποτελεί αναπόσπαστο μέρος και υπόκειται στους όρους του YARDtwin Όροι Χρήσης.

2. Πεδίο Εφαρμογής & Σκοπός

Ο Εκτελών την Επεξεργασία επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του Υπευθύνου αποκλειστικά για τον σκοπό παροχής της πλατφόρμας διαχείρισης αυλής YARDtwin: προγραμματισμός αποβαθρών, λειτουργίες πύλης, οπτικοποίηση ψηφιακού διδύμου αυλής, διαχείριση μεταφορέων και οδηγών, GMP-συμμορφούμενο ιστορικό ελέγχου, αναλυτικά στοιχεία και ενσωματώσεις. Η επεξεργασία εκτελείται για τη διάρκεια της συνδρομής του Υπευθύνου και οποιασδήποτε περιόδου διατήρησης απαιτείται από την Ενότητα 11.

3. Κατηγορίες Υποκειμένων Δεδομένων

• Υπάλληλοι και διαχειριστές του Υπευθύνου (ονομαστικοί χρήστες της πλατφόρμας)
• Οδηγοί και προσωπικό logistics που πραγματοποιούν check-in στις πύλες του Υπευθύνου
• Εκπρόσωποι μεταφορέων και επαφές αποστολής
• Προσωπικό ασφαλείας πύλης και χειριστές αποθήκης

4. Τύποι Προσωπικών Δεδομένων

• Δεδομένα ταυτότητας: ονόματα, διευθύνσεις email, αριθμοί τηλεφώνου, θέση/τίτλος εργασίας, επωνυμία και διεύθυνση εταιρείας
• Δεδομένα ταυτοποίησης: κωδικοί πρόσβασης κατακερματισμένοι με bcrypt (12 γύροι), JWT tokens πρόσβασης & ανανέωσης, χρονικές σημάνσεις συνεδρίας, διευθύνσεις IP, αναγνωριστικά SSO (Google, Microsoft)
• Λειτουργικά δεδομένα: ραντεβού, κατανομές αποβαθρών, κινήσεις ρυμουλκούμενων, αρχεία επιθεωρήσεων, έγγραφα, ανάθεση εργασιών, αριθμοί κυκλοφορίας οχημάτων
• Δεδομένα οδηγών: αριθμοί αδειών οδήγησης, εικόνες αδειών, προαιρετικές φωτογραφίες προσώπου για βιομετρική επαλήθευση πύλης (δεδομένα ειδικής κατηγορίας, Άρθρο 9 GDPR — επεξεργάζονται μόνο όταν ο Υπεύθυνος έχει ενεργοποιήσει βιομετρική επαλήθευση στην πύλη και έχει λάβει ρητή συγκατάθεση κατά τη στιγμή της καταγραφής)
• Δεδομένα ελέγχου: ενέργειες χρηστών, χρονικές σημάνσεις, διευθύνσεις IP, συμβολοσειρές user-agent, διαφορές παλαιών/νέων τιμών, εγγραφές με σήμανση GMP

5. Υποχρεώσεις του Εκτελούντος την Επεξεργασία

• Επεξεργασία δεδομένων προσωπικού χαρακτήρα μόνο βάσει τεκμηριωμένων οδηγιών του Υπευθύνου Επεξεργασίας (το UI της πλατφόρμας και το API αποτελούν τεκμηριωμένες οδηγίες)
• Διασφάλιση ότι τα εξουσιοδοτημένα πρόσωπα που επεξεργάζονται δεδομένα δεσμεύονται από συμφωνίες εμπιστευτικότητας
• Εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων ασφαλείας (Άρθ. 32) — βλ. Ενότητα 7 κατωτέρω
• Μη ανάθεση σε υπεργολάβους επεξεργασίας χωρίς προηγούμενη γραπτή έγκριση· παροχή 30 ημερών προειδοποίησης για κάθε νέο υπεργολάβο επεξεργασίας (δικαίωμα εναντίωσης)
• Υποστήριξη του Υπευθύνου Επεξεργασίας στη διαχείριση αιτημάτων υποκειμένων δεδομένων (Άρθ. 15–22) μέσω των DSAR endpoints που περιγράφονται στην Ενότητα 9
• Γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα στον Υπεύθυνο Επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση και εντός 72 ωρών (Ενότητα 8)
• Διαγραφή ή επιστροφή όλων των δεδομένων προσωπικού χαρακτήρα κατά τη λήξη των υπηρεσιών (Ενότητα 11)
• Παροχή όλων των απαραίτητων πληροφοριών για την απόδειξη συμμόρφωσης και υποστήριξη ελέγχων (Ενότητα 12)

6. Υπεργολάβοι Επεξεργασίας

Ο Εκτελών την Επεξεργασία χρησιμοποιεί επί του παρόντος τους ακόλουθους υπεργολάβους επεξεργασίας, καθένας εκ των οποίων λειτουργεί βάσει Συμφωνίας Επεξεργασίας Δεδομένων και (όπου εφαρμόζεται) Τυποποιημένων Συμβατικών Ρητρών 2021:

Οι πελάτες ειδοποιούνται τουλάχιστον 30 ημέρες πριν από την προσθήκη οποιουδήποτε νέου υπεργολάβου επεξεργασίας, με δικαίωμα εναντίωσης και καταγγελίας χωρίς ποινή.

7. Μέτρα Ασφαλείας (Άρθ. 32)

• Κρυπτογράφηση κατά τη μεταφορά: TLS 1.2+ σε κάθε endpoint· πιστοποιητικά διαχειριζόμενα από Microsoft Azure (DigiCert)
• Κρυπτογράφηση σε κατάσταση ηρεμίας: Διαφανής κρυπτογράφηση δεδομένων Azure Postgres Flexible Server· κρυπτογράφηση Azure Blob Storage
• Κρυπτογράφηση σε επίπεδο πεδίου: AES-256-GCM για βιομετρικά δεδομένα (εικόνες διπλώματος οδήγησης, εικόνες υπογραφής), κλειδιά αποθηκευμένα στο Azure Key Vault
• Κατακερματισμός κωδικών πρόσβασης: bcrypt, 12 γύροι
• Αυθεντικοποίηση: Tokens πρόσβασης JWT (λήξη 1 ώρας) + tokens ανανέωσης (λήξη 7 ημερών, εναλλαγή κατά τη χρήση)· SSO μέσω Google και Microsoft ισοδύναμο MFA
• Απομόνωση μισθωτών: εφαρμόζεται σε κάθε διαδρομή API, ελέγχεται με 25-διανυσματικό έλεγχο cross-tenant σε κάθε έκδοση
• Έλεγχος πρόσβασης βάσει ρόλων: έξι ρόλοι (admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin), middleware ελάχιστων προνομίων
• Τείχος Προστασίας Εφαρμογών Web: Azure Front Door + διαχειριζόμενο WAF (OWASP Core Rule Set, προστασία bot, L7 DDoS)
• Περιορισμός ρυθμού αιτημάτων: όρια ανά διαδρομή, αυστηρότερα στα endpoints αυθεντικοποίησης· παρακολούθηση προσπαθειών σε μνήμη και με μόνιμη αποθήκευση
• Ίχνος ελέγχου: μόνο προσθήκη στο επίπεδο εφαρμογής, διατήρηση 6 ετών, καταχωρίσεις σχετικές με GMP επισημαίνονται ξεχωριστά, ψευδωνυμοποίηση (όχι διαγραφή) κατά αίτηση διαγραφής βάσει Άρθ. 17 υπό Άρθ. 17(3)(β)
• Συνεχής παρακολούθηση: Azure Application Insights, ειδοποίηση απόκλισης σχήματος (παράθυρο 15 λεπτών), ολοκληρωμένος έλεγχος /health/db-write, εργαζόμενος ανίχνευσης ανωμαλιών παραβίασης (εκρήξεις αποτυχημένων συνδέσεων, επιθέσεις πολλαπλών IP, συνδέσεις από αλλαγή χώρας, ρυθμός 5xx)
• Αλυσίδα εφοδιασμού λογισμικού: npm audit, Trivy, Semgrep, gitleaks, OWASP ZAP σε κάθε PR. Μυστικά: Azure Key Vault με πρόσβαση μέσω διαχειριζόμενης ταυτότητας App Service· χωρίς μυστικά σε κώδικα, αρχεία env ή εικόνες container

8. Γνωστοποίηση Παραβίασης Προσωπικών Δεδομένων

Ο Εκτελών την Επεξεργασία υποχρεούται να ειδοποιεί τον Υπεύθυνο Επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 72 ωρών από τη στιγμή που λαμβάνει γνώση παραβίασης προσωπικών δεδομένων που αφορά τα δεδομένα του Υπευθύνου (Άρθ. 33). Η γνωστοποίηση περιλαμβάνει τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό των υποκειμένων, τις πιθανές συνέπειες, τα μέτρα που ελήφθησαν ή προτείνονται, και την αναφορά στο μητρώο παραβιάσεων. Ανιχνευμένες ανωμαλίες δρομολογούνται στο Azure Monitor Action Group yardtwin-breach-actions. Επιβεβαιωμένα περιστατικά καταγράφονται στον πίνακα μητρώου παραβιάσεων με αντίστροφη μέτρηση 72 ωρών DPC.

9. Δικαιώματα Υποκειμένων Δεδομένων

Ο Εκτελών την Επεξεργασία παρέχει στον Υπεύθυνο Επεξεργασίας τα ακόλουθα σημεία πρόσβασης για την εκπλήρωση των δικαιωμάτων των υποκειμένων εντός της προθεσμίας 30 ημερών του Άρθ. 12(3):

• POST /api/v1/dsar/export/by-email — εξαγωγή σε μηχαναγνώσιμη μορφή που καλύπτει το Άρθ. 15 (πρόσβαση) και το Άρθ. 20 (φορητότητα)
• POST /api/v1/dsar/erase/by-email — ψευδωνυμοποίηση σε όλους τους πίνακες PII, με διατήρηση αρχείων καταγραφής ελέγχου σύμφωνα με το Άρθ. 17(3)(β)
• Πύλη αυτοεξυπηρέτησης αιτημάτων στη διεύθυνση /data-request

10. Διεθνείς Διαβιβάσεις

Τα λειτουργικά δεδομένα αποθηκεύονται εντός του Ευρωπαϊκού Οικονομικού Χώρου (Microsoft Azure, Κεντρική Σουηδία + Ανατολική Νορβηγία). Διαβιβάσεις σε υπεκτελούντες επεξεργασία εκτός ΕΟΧ (Resend, Anthropic) διέπονται από Τυποποιημένες Συμβατικές Ρήτρες 2021 με τεκμηριωμένες Εκτιμήσεις Αντίκτυπου Διαβίβασης. Η Stripe συμβάλλεται μέσω Stripe Ireland (κύρια οντότητα ΕΟΧ).

11. Διάρκεια, Καταγγελία & Επιστροφή Δεδομένων

Η παρούσα DPA παραμένει σε ισχύ καθ' όλη τη διάρκεια της σύμβασης παροχής υπηρεσιών. Κατά τη λήξη:

• Ο Υπεύθυνος Επεξεργασίας μπορεί να εξαγάγει όλα τα δεδομένα του εντός 30 ημερών μέσω των λειτουργιών εξαγωγής του προϊόντος ή κατόπιν αιτήματος
• Μετά από 30 ημέρες, ο Εκτελών την Επεξεργασία θα διαγράψει όλα τα λειτουργικά προσωπικά δεδομένα του Υπευθύνου
• Τα αρχεία καταγραφής ελέγχου διατηρούνται για 6 χρόνια μετά το συμβάν σε ψευδωνυμοποιημένη κατάσταση, όπως απαιτείται από 21 CFR Part 11 / EU GMP Annex 11 (υπερισχύουσα νομική υποχρέωση Άρθ. 17(3)(β))
• Τα αντίγραφα ασφαλείας διαγράφονται εντός 7 ημερών από τη λειτουργική διαγραφή, σύμφωνα με το παράθυρο αποκατάστασης συγκεκριμένης χρονικής στιγμής

12. Δικαιώματα Ελέγχου

Ο Εκτελών την Επεξεργασία θέτει στη διάθεση του Υπευθύνου Επεξεργασίας όλες τις πληροφορίες που απαιτούνται για την απόδειξη συμμόρφωσης με το Άρθ. 28 GDPR. Οι πελάτες μπορούν να ζητήσουν: αντίγραφα σχετικών πιστοποιητικών ασφαλείας και εκθέσεων ελέγχου (εφόσον υπάρχουν), το τρέχον μητρώο υπεκτελούντων επεξεργασία, την τελευταία έκθεση δοκιμών παλινδρόμησης απομόνωσης μισθωτή, την τελευταία περίληψη εξωτερικής δοκιμής διείσδυσης (όταν εκδοθεί, βλ. GDPR Policy 11.1), και απαντήσεις σε ερωτηματολόγιο ασφαλείας προμηθευτή. Λογικοί επιτόπιοι ή εξ αποστάσεως έλεγχοι μπορούν να διευθετηθούν με τουλάχιστον 30 ημέρες προειδοποίηση, διεξαγόμενοι από τον Υπεύθυνο Επεξεργασίας ή ανεξάρτητο τρίτο μέρος δεσμευμένο από εμπιστευτικότητα. Ο Εκτελών την Επεξεργασία θα δώσει προτεραιότητα σε εκθέσεις ISO 27001 / SOC 2 Type II ως υποκατάστατα αποδεικτικά στοιχεία μόλις εκδοθούν οι αντίστοιχες πιστοποιήσεις.

13. Ευθύνη & Εφαρμοστέο Δίκαιο

Η ευθύνη βάσει της παρούσας DPA υπόκειται στους περιορισμούς που ορίζονται στους Όρους Υπηρεσίας του YARDtwin Όροι Χρήσης. Η παρούσα DPA διέπεται από τους νόμους της Ιρλανδίας και τον Γενικό Κανονισμό Προστασίας Δεδομένων της ΕΕ (GDPR). Τυχόν διαφορές υπάγονται στην αποκλειστική δικαιοδοσία των δικαστηρίων της Ιρλανδίας.

14. Επικοινωνία

Για ερωτήσεις σχετικά με την παρούσα DPA, για αίτηση αντισυνυπογεγραμμένου αντιγράφου ή για την άσκηση οποιουδήποτε από τα παραπάνω δικαιώματα, επικοινωνήστε με admin@yardtwin.com ή με τον Υπεύθυνο Προστασίας Δεδομένων στη διεύθυνση dpo@yardtwin.com. Βρίσκεται σε εξέλιξη η σύμβαση εξωτερικού μερικής απασχόλησης DPO (GDPR Policy 11.2)· έως τον διορισμό, τα μηνύματα στο dpo@yardtwin.com δρομολογούνται στο admin@yardtwin.com.