Σύμβαση Επεξεργασίας Δεδομένων

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων («Σύμβαση») συνάπτεται σύμφωνα με το άρθρο 28 του Κανονισμού (ΕΕ) 2016/679 («ΓΚΠΔ») και τον ν. 4624/2019 μεταξύ:

1. του λογιστικού γραφείου που δημιουργεί λογαριασμό γραφείου στο TaxPilot και αποδέχεται την παρούσα κατά την εγγραφή («Γραφείο» ή «Υπεύθυνος επεξεργασίας»), και
2. του παρόχου της Υπηρεσίας («Πάροχος» ή «Εκτελών την επεξεργασία»):

• Επωνυμία: TaxPilot
• Ιστότοπος: https://www.mytaxpilot.gr/

Η Σύμβαση αποτελεί αναπόσπαστο μέρος των Όρων Χρήσης. Σε περίπτωση αντίφασης, για θέματα προστασίας δεδομένων υπερισχύει η Σύμβαση. Οι όροι που δεν ορίζονται εδώ έχουν την έννοια που τους δίνουν οι Όροι Χρήσης και ο ΓΚΠΔ.

1. Αντικείμενο, διάρκεια, φύση και σκοπός

• Αντικείμενο: η επεξεργασία των Δεδομένων Γραφείου από τον Πάροχο για την παροχή της Υπηρεσίας TaxPilot στο Γραφείο.
• Διάρκεια: όσο το Γραφείο χρησιμοποιεί την Υπηρεσία (δοκιμή, συνδρομή ή κατάσταση μόνο ανάγνωσης) και μέχρι τη διαγραφή των δεδομένων κατά το άρθρο 9.
• Φύση: αποθήκευση, οργάνωση, αναζήτηση και εμφάνιση, άντληση στοιχείων από δημόσια συστήματα κατ' εντολή του Γραφείου, αποστολή email κατ' εντολή του, εξαγωγή και διαγραφή.
• Σκοπός: η οργάνωση του πελατολογίου και η εξυπηρέτηση των πελατών του Γραφείου στο πλαίσιο της λογιστικής και φοροτεχνικής του δραστηριότητας.

2. Κατηγορίες υποκειμένων και δεδομένων

Υποκείμενα

• Πελάτες του Γραφείου: φυσικά πρόσωπα, ελεύθεροι επαγγελματίες και ατομικές επιχειρήσεις, καθώς και νόμιμοι εκπρόσωποι, εταίροι και μέλη νομικών προσώπων.
• Πρόσωπα που καταχωρίζονται στα στοιχεία μητρώου ενός πελάτη (π.χ. σύζυγος, γονείς).
• Λογιστές και συνεργάτες του Γραφείου.
• Αντισυμβαλλόμενοι των πελατών, στον βαθμό που εμφανίζονται σε παραστατικά ή αρχεία.

Δεδομένα

• Ταυτότητας: ονοματεπώνυμο, πατρώνυμο και μητρώνυμο, ημερομηνία και τόπος γέννησης, στοιχεία ταυτότητας ή διαβατηρίου, οικογενειακή κατάσταση.
• Αναγνωριστικά: ΑΦΜ, ΔΟΥ, ΑΜΚΑ, αριθμοί μητρώου ασφαλιστικών φορέων, αριθμός ΓΕΜΗ.
• Επικοινωνίας: διευθύνσεις, τηλέφωνα, email.
• Επαγγελματικά: δραστηριότητες (ΚΑΔ), έδρα και εγκαταστάσεις, νομική μορφή.
• Οικονομικά και φορολογικά: παραστατικά και συγκεντρωτικά στοιχεία του myDATA, ΦΠΑ, εισόδημα και τεκμήρια, οφειλές προς την ΑΑΔΕ, ειδοποιητήρια εισφορών e-ΕΦΚΑ, αμοιβές και εισπράξεις του Γραφείου.
• Διαπιστευτήρια πρόσβασης: κωδικοί TAXISnet, myDATA, e-ΕΦΚΑ και άλλων υπηρεσιών που καταχωρίζει το Γραφείο ή ο πελάτης.
• Αρχεία που ανεβάζουν το Γραφείο ή ο πελάτης, μηνύματα, σημειώσεις και εργασίες.

Η Υπηρεσία δεν προορίζεται για ειδικές κατηγορίες δεδομένων (άρθρο 9 ΓΚΠΔ). Αν το Γραφείο ανεβάσει έγγραφα που τις περιέχουν (π.χ. ιατρικές βεβαιώσεις για φορολογικές εκπτώσεις), ευθύνεται για τη νόμιμη βάση της επεξεργασίας τους.

3. Υποχρεώσεις του Γραφείου

• Εξασφαλίζει νόμιμη βάση για την επεξεργασία και ενημερώνει τους πελάτες του σύμφωνα με τα άρθρα 13 και 14 ΓΚΠΔ.
• Καταχωρίζει διαπιστευτήρια πελατών μόνο εφόσον έχει τη σχετική εντολή ή εξουσιοδότησή τους.
• Ορίζει ποιοι Λογιστές έχουν πρόσβαση στο Γραφείο και ανακαλεί την πρόσβαση όσων αποχωρούν.
• Δίνει τις εντολές του για την επεξεργασία μέσω των λειτουργιών της Υπηρεσίας ή γραπτώς.

4. Υποχρεώσεις του Παρόχου

Ο Πάροχος:

1. επεξεργάζεται τα Δεδομένα Γραφείου μόνο βάσει τεκμηριωμένων εντολών του Γραφείου, όπως αποτυπώνονται στη Σύμβαση, στους Όρους Χρήσης και στις ενέργειες που εκτελεί το Γραφείο μέσω της Υπηρεσίας, εκτός αν η επεξεργασία επιβάλλεται από το δίκαιο της Ένωσης ή του κράτους μέλους· στην περίπτωση αυτή ενημερώνει το Γραφείο πριν από την επεξεργασία, εκτός αν ο νόμος το απαγορεύει·
2. ενημερώνει αμέσως το Γραφείο αν κατά την κρίση του μια εντολή παραβιάζει τον ΓΚΠΔ ή άλλη διάταξη για την προστασία δεδομένων·
3. δεν χρησιμοποιεί τα Δεδομένα Γραφείου για δικούς του σκοπούς, για διαφήμιση ή για εκπαίδευση μοντέλων, και δεν τα πωλεί·
4. διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα έχουν δεσμευτεί για εμπιστευτικότητα και έχουν πρόσβαση μόνο όσο απαιτείται για την υποστήριξη που ζητά το Γραφείο, την ασφάλεια ή τη συμμόρφωση με τον νόμο·
5. λαμβάνει τα μέτρα ασφαλείας του άρθρου 32 ΓΚΠΔ (άρθρο 6 της Σύμβασης)·
6. τηρεί τους όρους για τους υποεκτελούντες (άρθρο 5)·
7. συνδράμει το Γραφείο στην ικανοποίηση των δικαιωμάτων των υποκειμένων (άρθρο 8) και στην τήρηση των υποχρεώσεων των άρθρων 32 έως 36 ΓΚΠΔ, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που διαθέτει·
8. διαγράφει ή επιστρέφει τα δεδομένα με τη λήξη της Σύμβασης (άρθρο 9)·
9. θέτει στη διάθεση του Γραφείου τις πληροφορίες που αποδεικνύουν τη συμμόρφωσή του και επιτρέπει ελέγχους (άρθρο 10).

5. Υποεκτελούντες

Το Γραφείο παρέχει γενική γραπτή άδεια στον Πάροχο να χρησιμοποιεί τους παρακάτω υποεκτελούντες. Ο Πάροχος επιβάλλει σε κάθε υποεκτελούντα, με σύμβαση, υποχρεώσεις προστασίας δεδομένων αντίστοιχες με αυτές της Σύμβασης και παραμένει πλήρως υπεύθυνος έναντι του Γραφείου για την τήρησή τους.

Για κάθε προσθήκη ή αντικατάσταση υποεκτελούντος, ο Πάροχος ενημερώνει το Γραφείο τουλάχιστον 30 ημέρες νωρίτερα, με email στον Κάτοχο του γραφείου ή μέσα στην εφαρμογή, και επικαιροποιεί τον πίνακα. Το Γραφείο μπορεί να αντιταχθεί για εύλογους λόγους προστασίας δεδομένων· αν δεν βρεθεί λύση, μπορεί να λύσει τη σύμβαση πριν από την αλλαγή.

Δεν είναι υποεκτελούντες: (α) ο πάροχος email του Γραφείου, όταν το Γραφείο στέλνει μηνύματα από τον δικό του λογαριασμό (ρυθμίσεις SMTP του Γραφείου) — είναι επιλογή και εκτελών του ίδιου του Γραφείου· (β) τα συστήματα της ΑΑΔΕ (TAXISnet, myDATA, Μητρώο), του e-ΕΦΚΑ, του ΓΕΜΗ, του Εθνικού Μητρώου ΑΜΚΑ και τα λοιπά δημόσια μητρώα, προς τα οποία ο Πάροχος απλώς διαβιβάζει κατ' εντολή του Γραφείου τα αιτήματα άντλησης, με τα διαπιστευτήρια που έχει καταχωρίσει το Γραφείο.

6. Μέτρα ασφαλείας

Λαμβάνοντας υπόψη τη φύση των δεδομένων και τους κινδύνους, ο Πάροχος εφαρμόζει ιδίως τα εξής μέτρα:

• Κρυπτογράφηση κατά τη μεταφορά: η πρόσβαση στην Υπηρεσία γίνεται μόνο μέσω HTTPS (TLS).
• Κρυπτογράφηση διαπιστευτηρίων σε αποθήκευση: οι κωδικοί και τα ονόματα χρήστη υπηρεσιών τρίτων (TAXISnet, myDATA, e-ΕΦΚΑ, SMTP κ.ά.) και ο κλειδάριθμος TAXISnet αποθηκεύονται κρυπτογραφημένα στη βάση δεδομένων (AES-256), με κλειδί που φυλάσσεται χωριστά από τη βάση.
• Κωδικοί χρηστών: αποθηκεύονται μόνο σε μορφή hash (bcrypt) και δεν είναι αναγνώσιμοι από κανέναν.
• Απομόνωση ανά Γραφείο: τα ιδιωτικά στοιχεία ενός πελάτη (επικοινωνία, κωδικοί, σημειώσεις, αρχεία) είναι ορατά μόνο στο Γραφείο που τα καταχώρισε. Γραφεία που εξυπηρετούν τον ίδιο πελάτη δεν βλέπουν το ένα τα στοιχεία του άλλου, και ο πελάτης με λογαριασμό στην πύλη εγκρίνει ο ίδιος κάθε νέο λογιστή.
• Έλεγχος πρόσβασης: ρόλοι ανά χρήστη, πρόσβαση στο Γραφείο μόνο με πρόσκληση ή έγκριση του Κατόχου, περιορισμός των αποτυχημένων προσπαθειών σύνδεσης, προστασία των φορμών από bots και δυνατότητα ορίου συσκευών ανά λογαριασμό.
• Διαχωρισμός του demo: το δημόσιο demo λειτουργεί με φανταστικά δεδομένα, χωρίς σύνδεση με πραγματικούς λογαριασμούς και χωρίς εξωτερικές διασυνδέσεις.
• Διαθεσιμότητα και αποκατάσταση: μέτρα για την έγκαιρη αποκατάσταση της διαθεσιμότητας και της πρόσβασης στα δεδομένα σε περίπτωση φυσικού ή τεχνικού συμβάντος.
• Αξιολόγηση: τακτικός έλεγχος της αποτελεσματικότητας των μέτρων και επικαιροποίησή τους όταν αλλάζει η Υπηρεσία.

7. Παραβίαση δεδομένων

Ο Πάροχος ενημερώνει το Γραφείο χωρίς αδικαιολόγητη καθυστέρηση και πάντως εντός 48 ωρών αφότου λάβει γνώση παραβίασης που αφορά Δεδομένα Γραφείου, ώστε το Γραφείο να μπορεί να ενημερώσει την Αρχή Προστασίας Δεδομένων εντός 72 ωρών (άρθρο 33 ΓΚΠΔ) και, όπου απαιτείται, τα υποκείμενα (άρθρο 34). Η ενημέρωση γίνεται στο email του Κατόχου του γραφείου και περιλαμβάνει, στο μέτρο που είναι διαθέσιμα: τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό των υποκειμένων και των εγγραφών, τις πιθανές συνέπειες, τα μέτρα που ελήφθησαν ή προτείνονται και σημείο επικοινωνίας. Όσα στοιχεία δεν είναι ακόμη διαθέσιμα δίνονται σταδιακά. Ο Πάροχος λαμβάνει αμέσως μέτρα περιορισμού και τεκμηριώνει κάθε περιστατικό.

8. Δικαιώματα των υποκειμένων

Η Υπηρεσία επιτρέπει στο Γραφείο να βλέπει, να διορθώνει, να εξάγει και να διαγράφει τα στοιχεία των πελατών του, ώστε να ικανοποιεί τα αιτήματα πρόσβασης, διόρθωσης, διαγραφής και φορητότητας. Αν ο Πάροχος λάβει απευθείας αίτημα υποκειμένου που αφορά Δεδομένα Γραφείου, το διαβιβάζει στο Γραφείο χωρίς καθυστέρηση και δεν απαντά επί της ουσίας χωρίς εντολή του.

9. Λήξη: εξαγωγή και διαγραφή

• Με τη λήξη της δοκιμής ή της συνδρομής, το Γραφείο περνά σε κατάσταση μόνο ανάγνωσης και διατηρεί πρόσβαση και δυνατότητα εξαγωγής των δεδομένων του. Τα δεδομένα δεν διαγράφονται λόγω λήξης.
• Με τη λύση της σύμβασης και κατόπιν γραπτού αιτήματος του Γραφείου, ο Πάροχος διαγράφει τα Δεδομένα Γραφείου εντός 30 ημερών από το αίτημα, αφού δώσει στο Γραφείο τη δυνατότητα να τα εξαγάγει, και επιβεβαιώνει γραπτώς τη διαγραφή.
• Διαγραφή χωρίς αίτημα του Γραφείου (π.χ. ύστερα από μακρά περίοδο χωρίς συνδρομή και χωρίς σύνδεση) γίνεται μόνο αφού ειδοποιηθεί ο Κάτοχος του γραφείου με email τουλάχιστον 60 ημέρες νωρίτερα.
• Η διαγραφή δεν καταλαμβάνει όσα ο Πάροχος οφείλει να τηρεί βάσει νόμου (π.χ. τα στοιχεία τιμολόγησης της συνδρομής). Τυχόν αντίγραφα ασφαλείας διαγράφονται με τον κανονικό κύκλο ανανέωσής τους και μέχρι τότε δεν χρησιμοποιούνται.
• Τα δεδομένα που ο πελάτης καταχωρίζει ο ίδιος στον λογαριασμό του στην πύλη ανήκουν και σε εκείνον· η διαγραφή του Γραφείου δεν διαγράφει τον λογαριασμό του πελάτη ούτε τα δεδομένα του σε άλλα γραφεία.

10. Πληροφορίες και έλεγχοι

Ο Πάροχος θέτει στη διάθεση του Γραφείου κάθε αναγκαία πληροφορία για να αποδείξει τη συμμόρφωσή του με το άρθρο 28 ΓΚΠΔ και επιτρέπει ελέγχους, και επιθεωρήσεις, από το Γραφείο ή από ελεγκτή που αυτό εξουσιοδοτεί. Ο Πάροχος μπορεί να απαντά πρώτα με γραπτή τεκμηρίωση (π.χ. περιγραφή των μέτρων, πιστοποιήσεις των υποεκτελούντων). Επιτόπιοι έλεγχοι γίνονται κατόπιν γραπτής ειδοποίησης τουλάχιστον 30 ημερών, σε εργάσιμες ημέρες και ώρες, έως μία φορά τον χρόνο — εκτός αν έχει προηγηθεί παραβίαση ή το ζητά εποπτική αρχή —, από πρόσωπα δεσμευμένα σε εμπιστευτικότητα και χωρίς να τίθενται σε κίνδυνο τα δεδομένα άλλων γραφείων. Κάθε μέρος φέρει τα δικά του έξοδα.

11. Διαβιβάσεις εκτός ΕΟΧ

Τα Δεδομένα Γραφείου φιλοξενούνται στην Ευρωπαϊκή Ένωση. Διαβίβαση εκτός ΕΟΧ γίνεται μόνο προς υποεκτελούντες του άρθρου 5 και μόνο με τις εγγυήσεις του Κεφαλαίου V ΓΚΠΔ, δηλαδή απόφαση επάρκειας (π.χ. Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ) ή Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής.

12. Ευθύνη

Η ευθύνη των μερών έναντι των υποκειμένων διέπεται από το άρθρο 82 ΓΚΠΔ. Κατά τα λοιπά, εφαρμόζονται οι Όροι Χρήσης.

13. Ισχύς και τροποποιήσεις

Η Σύμβαση ισχύει από την αποδοχή της κατά την εγγραφή του Γραφείου· η Υπηρεσία καταγράφει την ημερομηνία και την έκδοση που αποδέχτηκε το Γραφείο. Τροποποιήσεις γίνονται όπως ορίζουν οι Όροι Χρήσης και δεν μειώνουν το επίπεδο προστασίας των δεδομένων. Η Σύμβαση διέπεται από το ελληνικό δίκαιο.

14. Επικοινωνία

Για θέματα της Σύμβασης επικοινωνήστε μαζί μας μέσω της σελίδας «Υποστήριξη» της εφαρμογής ή των στοιχείων επικοινωνίας του ιστότοπου .