Data Processing Agreement

1. Σκοπός & Ρόλοι

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων (DPA) εφαρμόζεται όταν ο πελάτης χρησιμοποιεί το Business OS για δεδομένα για τα οποία ενεργεί ως Υπεύθυνος Επεξεργασίας και η Papanastasiou & Co ενεργεί ως Εκτελών την Επεξεργασία.

2. Αντικείμενο Επεξεργασίας

Η επεξεργασία περιορίζεται στην παροχή της SaaS υπηρεσίας Business OS, συμπεριλαμβανομένης αποθήκευσης, οργάνωσης, εμφάνισης, επεξεργασίας και AI υποβοήθησης.

3. Κατηγορίες Δεδομένων

• Στοιχεία λογαριασμού και αναγνώρισης χρήστη
• Επιχειρηματικά δεδομένα, financial models, business plans, prompts
• Αρχεία που ανεβάζει ο χρήστης στο AI Advisor (Excel, PDF, εικόνες) και το περιεχόμενό τους
• AI συνομιλίες — prompts, απαντήσεις, παραγόμενα tasks
• Τεχνικά logs και usage metadata

Σημείωση: Ο πελάτης παραμένει Υπεύθυνος Επεξεργασίας (Controller) για το περιεχόμενο των αρχείων που ανεβάζει. Είναι υποχρέωσή του να διασφαλίσει νόμιμη βάση για την επεξεργασία τυχόν προσωπικών δεδομένων τρίτων που περιέχονται σε αυτά.

4. Οδηγίες Πελάτη

Ο Εκτελών επεξεργάζεται τα δεδομένα μόνο σύμφωνα με τις τεκμηριωμένες οδηγίες του πελάτη, όπως προκύπτουν από τη χρήση της υπηρεσίας και τους Όρους.

5. Υπο-εκτελούντες

Εξουσιοδοτημένοι υπο-εκτελούντες:

• Supabase (EU) — Βάση δεδομένων, αυθεντικοποίηση, storage metadata
• Cloudflare (Global/EU) — Hosting, Workers, R2 Storage (EU region) για αρχεία χρηστών
• Stripe (EU) — Επεξεργασία πληρωμών
• Anthropic (US) — AI ανάλυση. Zero Data Retention (ZDR) ενεργό — τα δεδομένα δεν αποθηκεύονται ούτε χρησιμοποιούνται για εκπαίδευση μοντέλων.

Νέοι υπο-εκτελούντες αποτυπώνονται στην Πολιτική Απορρήτου.

6. Μέτρα Ασφαλείας

• Κρυπτογράφηση μεταφοράς (TLS 1.2+) και at-rest
• Έλεγχοι πρόσβασης με Row Level Security (RLS) σε όλους τους πίνακες
• Λογικός διαχωρισμός δεδομένων ανά χρήστη — κάθε χρήστης βλέπει μόνο τα δικά του δεδομένα
• Hashed credentials (bcrypt) και security logs
• Αρχεία χρηστών: Αποθήκευση σε R2 EU region με signed URLs για πρόσβαση. Διαγραφή αυτόματα μετά από 90 ημέρες.
• AI processing: Τα αρχεία αποστέλλονται στο Anthropic API μόνο κατά την ενεργή συνομιλία. ZDR ενεργό — δεν αποθηκεύονται εκτός της εταιρείας μας.

7. Συνδρομή για GDPR Αιτήματα

Ο Εκτελών θα συνδράμει τον πελάτη στην ικανοποίηση αιτημάτων υποκειμένων δεδομένων και σε υποχρεώσεις συμμόρφωσης.

8. Επιστροφή ή Διαγραφή Δεδομένων

Μετά τη λήξη συνδρομής ή διαγραφή λογαριασμού, τα δεδομένα διαγράφονται σύμφωνα με την Πολιτική Απορρήτου και το retention policy.

9. Παραβίαση Δεδομένων

Σε περίπτωση επιβεβαιωμένης παραβίασης, ο Εκτελών θα ειδοποιήσει τον πελάτη χωρίς αδικαιολόγητη καθυστέρηση, παρέχοντας πληροφορίες για τη φύση του περιστατικού.

10. Επικοινωνία

Η παρούσα DPA λειτουργεί ως βασικό πρότυπο MVP/SaaS. Μπορεί να συμπληρωθεί για enterprise πελάτες.