Συμφωνία επεξεργασίας δεδομένων

1. Λεπτομέρειες της επεξεργασίας

• Αντικείμενο και διάρκεια: παροχή του Carreh for Business για τη διάρκεια της σύμβασης και έως τη διαγραφή σύμφωνα με την ενότητα 10.
• Φύση και σκοπός: φιλοξενία, οργάνωση, ανάγνωση (συμπεριλαμβανομένης με AI), προβολή, εξαγωγή και διαγραφή αρχείων ταξιδιών και εξόδων, όπως ο Πελάτης διαμορφώνει και οδηγεί.
• Υποκείμενα δεδομένων: οι εργαζόμενοι, οι συνεργάτες και άλλοι χρήστες του Πελάτη, και τα άτομα που αναφέρονται στα ταξιδιωτικά και εξοδολογικά αρχεία τους.
• Προσωπικά δεδομένα: στοιχεία ταυτότητας και επικοινωνίας, ρόλος και τμήμα, αιτήματα ταξιδιού, δρομολόγια, κρατήσεις και ταξιδιωτικά έγγραφα, αποδείξεις, έξοδα, επιστροφές, εγκρίσεις και σχόλια, αρχεία σύνδεσης.
• Special categories: none intended. Travel documents may incidentally contain identity document numbers; the Customer only uploads them where it has a lawful basis.

2. Οδηγίες

Η Carreh επεξεργάζεται προσωπικά δεδομένα μόνο βάσει τεκμηριωμένων οδηγιών του Πελάτη, οι οποίες είναι οι Όροι, αυτή η DPA και η χρήση και διαμόρφωση της Υπηρεσίας από τον Πελάτη, εκτός αν ο νόμος της ΕΕ ή κράτους μέλους ορίζει διαφορετικά· σε αυτή την περίπτωση η Carreh ενημερώνει πρώτα τον Πελάτη, εκτός αν ο νόμος το απαγορεύει. Η Carreh ενημερώνει τον Πελάτη αν θεωρεί μια οδηγία παράνομη.

3. Εμπιστευτικότητα

Όλοι στο Carreh που είναι εξουσιοδοτημένοι να επεξεργάζονται τα προσωπικά δεδομένα δεσμεύονται από εμπιστευτικότητα.

4. Ασφάλεια

Η Carreh εφαρμόζει τα τεχνικά και οργανωτικά μέτρα του Παραρτήματος 1 και τα διατηρεί κατάλληλα για τον κίνδυνο. Η Carreh μπορεί να τα επικαιροποιεί, υπό την προϋπόθεση ότι το συνολικό επίπεδο προστασίας δεν μειώνεται.

5. Υποεκτελούντες

Ο Πελάτης εξουσιοδοτεί την Carreh να χρησιμοποιεί τους υπεργολάβους επεξεργασίας που αναφέρονται εδώ. Η Carreh ενημερώνει τους Ιδιοκτήτες χώρου εργασίας τουλάχιστον 30 ημέρες πριν μέσω email για νέο υπεργολάβο επεξεργασίας. Ο Πελάτης μπορεί να αντιταχθεί για εύλογους λόγους προστασίας δεδομένων· αν δεν βρεθεί λύση, ο Πελάτης μπορεί να τερματίσει την επηρεαζόμενη Υπηρεσία και να λάβει επιστροφή των προπληρωμένων τελών για την υπόλοιπη περίοδο. Η Carreh επιβάλλει σε κάθε υπεργολάβο επεξεργασίας υποχρεώσεις προστασίας δεδομένων ισοδύναμες με αυτή τη ΣΕΠ και παραμένει υπεύθυνη για αυτούς.

6. Διεθνείς μεταφορές

Όταν δεδομένα προσωπικού χαρακτήρα διαβιβάζονται εκτός του Ευρωπαϊκού Οικονομικού Χώρου σε χώρα χωρίς απόφαση επάρκειας, το Carreh βασίζεται στις Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής, με πρόσθετα μέτρα όπου χρειάζεται.

7. Υποστήριξη

Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, το Carreh βοηθά τον Πελάτη να απαντά σε αιτήματα υποκειμένων των δεδομένων (η Υπηρεσία επιτρέπει σε Owners και Admins να βρίσκουν, να εξάγουν, να διορθώνουν και να διαγράφουν εγγραφές), καθώς και σε θέματα ασφάλειας, ειδοποιήσεων παραβίασης, εκτιμήσεων αντικτύπου και διαβουλεύσεων με εποπτικές αρχές.

8. Παραβιάσεις προσωπικών δεδομένων

Η Carreh ειδοποιεί τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση, και το αργότερο εντός 48 ωρών αφότου λάβει γνώση παραβίασης προσωπικών δεδομένων που επηρεάζει προσωπικά δεδομένα του Πελάτη, με τις πληροφορίες που είναι διαθέσιμες τη στιγμή εκείνη, και στη συνέχεια τις επικαιροποιεί καθώς προχωρά η έρευνα.

9. Επιστροφή και διαγραφή

Ο Πελάτης μπορεί να εξάγει τα δεδομένα του ανά πάσα στιγμή. Όταν λήξει η σύμβαση, ο Πελάτης έχει 30 ημέρες για εξαγωγή· η Carreh στη συνέχεια διαγράφει τα προσωπικά δεδομένα εντός 90 ημερών, εκτός αν το δίκαιο της ΕΕ ή κράτους μέλους απαιτεί τη διατήρησή τους. Τα αντίγραφα ασφαλείας αντικαθίστανται σύμφωνα με το κανονικό τους πρόγραμμα.

10. Έλεγχοι

Η Carreh παρέχει τις πληροφορίες που απαιτούνται για να αποδειχθεί η συμμόρφωση με αυτή τη DPA. Ο Πελάτης μπορεί να διενεργεί έλεγχο μία φορά τον χρόνο, με γραπτή ειδοποίηση 30 ημερών, κατά τις ώρες εργασίας, υπό εχεμύθεια και με δικά του έξοδα, ή να βασίζεται στις τρέχουσες ανεξάρτητες πιστοποιήσεις των υπο-εκτελούντων της Carreh, όπου αυτές καλύπτουν την επεξεργασία.

11. Ευθύνη και προτεραιότητα

Οι περιορισμοί ευθύνης στους Όρους ισχύουν για αυτή τη DPA, στο βαθμό που το επιτρέπει ο νόμος. Για την επεξεργασία προσωπικών δεδομένων, αυτή η DPA υπερισχύει των Όρων.

12. Παράρτημα 1: τεχνικά και οργανωτικά μέτρα

• Διαχωρισμός: Το Carreh for Business έχει δικούς του λογαριασμούς, βάση δεδομένων, αποθηκευτικό χώρο και κλειδιά, ξεχωριστά από τις καταναλωτικές εφαρμογές του Carreh. Τα δεδομένα κάθε εταιρείας διατηρούνται ξεχωριστά και κάθε αίτημα ελέγχεται βάσει της εταιρικής ιδιότητας και του ρόλου του χρήστη.
• Έλεγχος πρόσβασης: κωδικοί σύνδεσης μίας χρήσης που αποστέλλονται με email· οι συνεδρίες αποθηκεύονται μόνο ως hashes· το προσωπικό της Carreh χρειάζεται κωδικό email και passkey· εξουσιοδοτημένο προσωπικό ανοίγει περιεχόμενο χώρου εργασίας μόνο για παροχή υποστήριξης, διατήρηση της ασφάλειας της Υπηρεσίας, πρόληψη απάτης και εκπλήρωση νομικών υποχρεώσεων, και κάθε άνοιγμα καταγράφεται στο αρχείο ενεργειών του χώρου εργασίας.
• Παρακολούθηση: οι συνδέσεις και οι ενέργειες καταγράφονται με δίκτυο και συσκευή· αυτόματοι έλεγχοι επισημαίνουν ασυνήθιστες συνδέσεις, διπλότυπες ή τροποποιημένες αποδείξεις και κατάχρηση, και αποκλείουν δίκτυα κατάχρησης.
• Κρυπτογράφηση: TLS κατά τη μεταφορά· κρυπτογράφηση σε κατάσταση ηρεμίας από τον πάροχο φιλοξενίας· μυστικά ελέγχου ταυτότητας κρυπτογραφημένα με AES-256-GCM· κωδικοί και διακριτικά κατακερματισμένα με SHA-256 και μυστικό κλειδί.
• Καταγραφή: ένα αρχείο ενεργειών μόνο για προσθήκη, με ανίχνευση παραποίησης, για συνδέσεις και διαχειριστικές ενέργειες.
• Ανθεκτικότητα: διαχειριζόμενη βάση δεδομένων με ανάκτηση σε χρονικό σημείο και αντίγραφα ασφαλείας· διαδικασίες επαναφοράς δοκιμασμένες πριν από την κυκλοφορία.
• Ανάπτυξη: έλεγχος κώδικα, αυτοματοποιημένοι έλεγχοι, συμπεριλαμβανομένων ελέγχων ότι μια εταιρεία δεν μπορεί να αποκτήσει πρόσβαση στα δεδομένα άλλης· μυστικά κρατούνται εκτός πηγαίου κώδικα.
• Ελαχιστοποίηση: χωρίς διαφημιστικά ιχνηλάτες· οι πάροχοι AI δεν εκπαιδεύονται σε δεδομένα Πελάτη.