Συμφωνητικό Επεξεργασίας Δεδομένων

Εκτελών:I HAVE A DREAM ΙΚΕ — Αριάδνης 25, 71202 Ηράκλειο, Ελλάδα
Έκδοση: 1.2 — Τελευταία ενημέρωση: 21 Ιουνίου 2026

Το παρόν Συμφωνητικό Επεξεργασίας Δεδομένων (“DPA”) αποτελεί μέρος και ενσωματώνεται στους Όρους Χρήσης μεταξύ του Υπεύθυνου και του Εκτελούντος. Σε περίπτωση σύγκρουσης μεταξύ του παρόντος DPA και των Όρων Χρήσης ως προς την επεξεργασία προσωπικών δεδομένων, υπερισχύει το παρόν DPA.

Συμβαλλόμενα Μέρη

Υπεύθυνος Επεξεργασίας (“Υπεύθυνος”): Ο Πελάτης — η επιχειρηματική οντότητα ή ατομική επιχείρηση που έχει αποδεχθεί τους Όρους Χρήσης του Sync by Etherly και ενεργεί ως Υπεύθυνος Επεξεργασίας για τα προσωπικά δεδομένα κρατήσεων και επισκεπτών που υποβάλλονται σε επεξεργασία μέσω της Υπηρεσίας.

Εκτελών την Επεξεργασία (“Εκτελών”): I HAVE A DREAM ΙΚΕ, Αριάδνης 25, 71202 Ηράκλειο, Ελλάδα — ο φορέας λειτουργίας του Sync by Etherly.

1. Αντικείμενο και Διάρκεια

Ο Εκτελών παρέχει πλατφόρμα αυτοματοποίησης (middleware) που ανακτά δεδομένα κρατήσεων από τρίτα συστήματα διαχείρισης καναλιών/κρατήσεων και διαβιβάζει τα σχετικά δεδομένα σε παρόχους τιμολόγησης για την αυτοματοποιημένη δημιουργία φορολογικών παραστατικών για λογαριασμό του Υπεύθυνου.

Το παρόν DPA εφαρμόζεται για όλη τη διάρκεια ισχύος της συμφωνίας βάσει των Όρων Χρήσης και έως ότου όλα τα προσωπικά δεδομένα διαγραφούν ή επιστραφούν σύμφωνα με την Ενότητα 9 του παρόντος DPA.

2. Φύση και Σκοπός της Επεξεργασίας

Ο Εκτελών επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του Υπεύθυνου για τους ακόλουθους σκοπούς:

• Ανάκτηση και αποθήκευση δεδομένων κρατήσεων και επισκεπτών από τρίτα συστήματα κρατήσεων (π.χ. Hosthub) μέσω API
• Διαβίβαση δεδομένων κρατήσεων και επισκεπτών σε παρόχους τιμολόγησης για τη δημιουργία φορολογικών παραστατικών
• Αυτοματοποιημένη δημιουργία παραστατικών, συμπεριλαμβανομένων τιμολογίων, αποδείξεων και συναφών φορολογικών εγγραφών
• Επεξεργασία logs για ακεραιότητα συστήματος, ασφάλεια και επίλυση προβλημάτων (με απόκρυψη/αφαίρεση PII πριν την αποθήκευση, όπου είναι εφικτό)
• Λειτουργίες ανωνυμοποίησης στο πλαίσιο αιτημάτων υποκειμένων (DSAR) κατόπιν τεκμηριωμένης εντολής του Υπεύθυνου
• Ανάκτηση δεδομένων κρατήσεων και επισκεπτών από πλατφόρμες τρίτων (συμπεριλαμβανομένου του Airbnb) μέσω του εξουσιοδοτημένου Chrome Browser Extension της Υπηρεσίας, που εκκινεί άμεσα από το ενεργό session του Υπεύθυνου, και διαβίβαση των δεδομένων αυτών στην Υπηρεσία

Ο Εκτελών δεν επεξεργάζεται προσωπικά δεδομένα για δικούς του σκοπούς, για διαφήμιση, ή για οποιονδήποτε άλλο σκοπό πέραν της παροχής της Υπηρεσίας όπως περιγράφεται στους Όρους Χρήσης.

3. Κατηγορίες Προσωπικών Δεδομένων

Οι ακόλουθες κατηγορίες προσωπικών δεδομένων ενδέχεται να υποβληθούν σε επεξεργασία βάσει του παρόντος DPA (ανάλογα με όσα παρέχονται από το σύστημα κρατήσεων και/ή εισάγονται από τον Υπεύθυνο):

• Ονοματεπώνυμο επισκέπτη
• Email επισκέπτη
• Τηλέφωνο επισκέπτη
• Ταχυδρομική διεύθυνση επισκέπτη
• Ημερομηνίες διαμονής (άφιξη και αναχώρηση)
• Αναγνωριστικά ακινήτου, αναφορές/κωδικοί κράτησης και μεταδεδομένα κράτησης ειδικά της πλατφόρμας (π.χ. αναγνωριστικά πλατφόρμας πηγής, στοιχεία αριθμού επισκεπτών)
• Σημειώσεις κράτησης (ενδέχεται να περιλαμβάνουν προσωπικά δεδομένα αν εισαχθούν από τον Υπεύθυνο ή τους επισκέπτες)
• Χρηματικά ποσά και δεδομένα φορολογικής/λογιστικής ταξινόμησης που απαιτούνται για τη δημιουργία παραστατικών

Ο Εκτελών δεν συλλέγει ή επεξεργάζεται σκοπίμως ειδικές κατηγορίες προσωπικών δεδομένων (Άρθρο 9 GDPR) ή δεδομένα που αφορούν ποινικές καταδίκες και αδικήματα (Άρθρο 10 GDPR) βάσει του παρόντος DPA.

4. Κατηγορίες Υποκειμένων Δεδομένων

Τα υποκείμενα δεδομένων είναι οι επισκέπτες και πελάτες του Υπεύθυνου — φυσικά πρόσωπα που έχουν πραγματοποιήσει κράτηση σε ακίνητο που διαχειρίζεται ο Υπεύθυνος.

5. Υποχρεώσεις του Εκτελούντος

Σύμφωνα με το Άρθρο 28(3) GDPR, ο Εκτελών οφείλει:

5.1 Επεξεργασία μόνο κατόπιν τεκμηριωμένων οδηγιών

Να επεξεργάζεται προσωπικά δεδομένα μόνο κατόπιν τεκμηριωμένων οδηγιών του Υπεύθυνου, συμπεριλαμβανομένων οδηγιών για διαβιβάσεις προς τρίτη χώρα ή διεθνή οργανισμό, εκτός αν απαιτείται από ενωσιακό ή εθνικό δίκαιο. Η χρήση της Υπηρεσίας και η παραμετροποίησή της από τον Υπεύθυνο συνιστούν τεκμηριωμένες οδηγίες για τους σκοπούς του παρόντος DPA.

5.2 Εμπιστευτικότητα

Να διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται τα προσωπικά δεδομένα έχουν δεσμευθεί με υποχρέωση εμπιστευτικότητας ή υπάγονται σε αντίστοιχη νόμιμη υποχρέωση. Η πρόσβαση σε προσωπικά δεδομένα περιορίζεται σε προσωπικό που τη χρειάζεται για την παροχή της Υπηρεσίας.

5.3 Μέτρα Ασφάλειας

Να εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα ώστε να εξασφαλίζεται επίπεδο ασφάλειας ανάλογο με τον κίνδυνο, συμπεριλαμβανομένων:

• Κρυπτογράφηση δεδομένων κατά τη μεταφορά (TLS/HTTPS)
• Κρυπτογράφηση ευαίσθητων διαπιστευτηρίων και λειτουργικών μυστικών (AES-256-GCM)
• Λογική απομόνωση ανά tenant ώστε να αποτρέπεται πρόσβαση μεταξύ tenants
• Έλεγχος πρόσβασης με ρόλους και περιορισμένα διοικητικά δικαιώματα
• Απόκρυψη/μάσκα PII στα logs πριν την αποθήκευση, όπου είναι εφικτό (π.χ. ονόματα, emails, ΑΦΜ, IBAN)
• Audit trails για λειτουργίες σχετικές με privacy (π.χ. PrivacyEventLog) με περιορισμένη πρόσβαση
• Κρυπτογραφημένα αντίγραφα ασφαλείας με ορισμένη πολιτική διατήρησης και rotation
• Εργαλεία ανωνυμοποίησης/διαγραφής για DSAR κατόπιν οδηγίας του Υπεύθυνου

5.4 Υπεκτελούντες την Επεξεργασία

Ο Υπεύθυνος παρέχει γενική εξουσιοδότηση για την ανάθεση σε Υπεκτελούντες που αναφέρονται στο Παράρτημα 1, Τμήμα Α. Ο Εκτελών ενημερώνει τον Υπεύθυνο τουλάχιστον τριάντα (30) ημέρες πριν από την προσθήκη ή αντικατάσταση Υπεκτελούντος, μέσω email ή/και ειδοποίησης εντός εφαρμογής. Ο Υπεύθυνος μπορεί να υποβάλει τεκμηριωμένη αντίρρηση εντός δεκατεσσάρων (14) ημερών από την ενημέρωση.

Αν τα μέρη δεν επιλύσουν την αντίρρηση πριν από την ημερομηνία ισχύος της αλλαγής, ο Υπεύθυνος μπορεί να τερματίσει το επηρεαζόμενο μέρος της Υπηρεσίας σύμφωνα με τους Όρους Χρήσης. Αν δεν ληφθεί αντίρρηση, η αλλαγή θεωρείται αποδεκτή.

Όταν ο Εκτελών αναθέτει σε Υπεκτελούντες, επιβάλλει συμβατικά τις ίδιες υποχρεώσεις προστασίας δεδομένων που προβλέπονται στο παρόν DPA. Οι διατάξεις της παρούσας ενότητας εφαρμόζονται μόνο σε Υπεκτελούντες (Τμήμα Α Παραρτήματος 1), όχι σε τρίτους παρόχους ή ανεξάρτητους Υπεύθυνους που επιλέγει ο Πελάτης (Τμήμα Β).

5.5 Συνδρομή για δικαιώματα υποκειμένων

Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, να συνδράμει τον Υπεύθυνο με κατάλληλα τεχνικά και οργανωτικά μέτρα, στο μέτρο του δυνατού, ώστε να ανταποκρίνεται στις υποχρεώσεις του σχετικά με αιτήματα βάσει του Κεφαλαίου III GDPR.

Ο Εκτελών θα διαβιβάζει στον Υπεύθυνο οποιοδήποτε αίτημα υποκειμένου που λαμβάνει απευθείας, χωρίς αδικαιολόγητη καθυστέρηση.

5.6 Συνδρομή για υποχρεώσεις του Υπεύθυνου (Άρθρα 32–36)

Να συνδράμει τον Υπεύθυνο στην τήρηση των υποχρεώσεων των Άρθρων 32–36 GDPR, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που διαθέτει ο Εκτελών, συμπεριλαμβανομένων θεμάτων ασφάλειας, γνωστοποίησης παραβιάσεων, DPIA και διαβουλεύσεων με εποπτικές αρχές, όπου απαιτείται.

5.7 Διαγραφή ή Επιστροφή Δεδομένων

Κατ' επιλογή του Υπεύθυνου, να διαγράφει ή να επιστρέφει όλα τα προσωπικά δεδομένα μετά τη λήξη της παροχής υπηρεσιών που σχετίζονται με την επεξεργασία και να διαγράφει τυχόν αντίγραφα, εκτός αν απαιτείται διατήρηση από ενωσιακό ή εθνικό δίκαιο. Βλ. Ενότητα 9 για τις διαδικασίες διατήρησης και διαγραφής.

5.8 Παροχή πληροφοριών και έλεγχοι (audits)

Να καθιστά διαθέσιμες στον Υπεύθυνο πληροφορίες που είναι εύλογα αναγκαίες για την απόδειξη συμμόρφωσης με το Άρθρο 28 GDPR και να επιτρέπει ελέγχους, υπό τις ακόλουθες προϋποθέσεις:

• Ο Εκτελών μπορεί να ικανοποιεί αιτήματα ελέγχου αρχικά μέσω τεκμηρίωσης, πολιτικών, πιστοποιήσεων, αναφορών ασφαλείας και απομακρυσμένου ελέγχου (remote audit)
• Επιτόπιος έλεγχος επιτρέπεται μόνο εφόσον απαιτείται αντικειμενικά και δεν μπορεί να ικανοποιηθεί με ηπιότερο μέσο, με εύλογη προηγούμενη ειδοποίηση (τουλάχιστον 30 ημέρες), κατά τις εργάσιμες ώρες, χωρίς να τίθεται σε κίνδυνο η ασφάλεια, η εμπιστευτικότητα ή τα δικαιώματα άλλων πελατών
• Ο Υπεύθυνος (ή ο ελεγκτής του) δεσμεύεται από υποχρεώσεις εμπιστευτικότητας
• Οι έλεγχοι περιορίζονται σε μία φορά ανά 12μηνο, εκτός αν απαιτηθεί από αρμόδια εποπτική αρχή ή μετά από επιβεβαιωμένη παραβίαση δεδομένων προσωπικού χαρακτήρα
• Εκτός αν απαιτείται διαφορετικά από τον νόμο, ο Υπεύθυνος επιβαρύνεται με τα δικά του κόστη και ο Εκτελών μπορεί να χρεώνει εύλογα κόστη για ουσιώδη πρόσθετη υποστήριξη πέραν της συνήθους τεκμηρίωσης

6. Υποχρεώσεις του Υπεύθυνου

Ο Υπεύθυνος οφείλει:

• Να διαθέτει έγκυρη νομική βάση για την επεξεργασία των προσωπικών δεδομένων που αναθέτει βάσει του παρόντος DPA
• Να παρέχει ακριβείς και πλήρεις οδηγίες και να διασφαλίζει ορθή παραμετροποίηση της Υπηρεσίας
• Να παρέχει στα υποκείμενα κατάλληλες ενημερώσεις (privacy notices) για την επεξεργασία των δεδομένων τους
• Να απαντά σε αιτήματα υποκειμένων εντός των προθεσμιών που ορίζει η νομοθεσία
• Να διατηρεί έγκυρα API credentials και να διασφαλίζει σωστή παραμετροποίηση των τρίτων συστημάτων που συνδέονται με την Υπηρεσία
• Να ενημερώνει άμεσα τον Εκτελούντα για οποιοδήποτε αίτημα υποκειμένου ή/και ερώτημα εποπτικής αρχής σχετίζεται με επεξεργασία που πραγματοποιεί ο Εκτελών βάσει του παρόντος DPA

7. Γνωστοποίηση Παραβίασης Προσωπικών Δεδομένων

Ο Εκτελών γνωστοποιεί στον Υπεύθυνο κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση από τη στιγμή που λαμβάνει γνώση, και το ταχύτερο ευλόγως δυνατό, ώστε ο Υπεύθυνος να μπορεί να αξιολογήσει και να εκπληρώσει τις υποχρεώσεις του βάσει των Άρθρων 33–34 GDPR.

Η γνωστοποίηση θα περιλαμβάνει, στο μέτρο που είναι διαθέσιμες κατά τον χρόνο της γνωστοποίησης, πληροφορίες για τη φύση της παραβίασης, τις πιθανές συνέπειες, τα μέτρα που ελήφθησαν ή προτείνονται και στοιχεία επικοινωνίας του σημείου επαφής του Εκτελούντος για θέματα προστασίας δεδομένων.

Ο Υπεύθυνος είναι υπεύθυνος για τη γνωστοποίηση στην αρμόδια εποπτική αρχή και στα υποκείμενα όπου απαιτείται βάσει των Άρθρων 33–34 GDPR.

8. Διεθνείς Διαβιβάσεις

Ο Εκτελών προτίθεται να φιλοξενεί τα πρωτεύοντα δεδομένα της Υπηρεσίας εντός της Ευρωπαϊκής Ένωσης / Ευρωπαϊκού Οικονομικού Χώρου. Ορισμένοι υπερεκτελούντες ή τρίτοι πάροχοι ενδέχεται να επεξεργάζονται περιορισμένα προσωπικά δεδομένα εκτός ΕΟΧ, όπως περιγράφεται στο Παράρτημα 1. Όπου υπάρχει διαβίβαση σε τρίτη χώρα, ο Εκτελών διασφαλίζει την ύπαρξη κατάλληλων εγγυήσεων, συμπεριλαμβανομένων Τυποποιημένων Συμβατικών Ρητρών (SCCs) κατ' Άρθρο 46 παρ. 2γ GDPR και, όπου απαιτείται, συμπληρωματικών μέτρων.

9. Διατήρηση και Διαγραφή Δεδομένων

Ο Εκτελών διατηρεί προσωπικά δεδομένα για τις παρακάτω περιόδους, εκτός αν ο Υπεύθυνος ρυθμίσει μικρότερη διάρκεια ή αν η νομοθεσία απαιτεί μεγαλύτερη:

• Λειτουργικά αρχεία κρατήσεων & επισκεπτών: σύμφωνα με τις ρυθμίσεις του Υπεύθυνου και τις λειτουργικές ανάγκες (υποστηρίζεται ανωνυμοποίηση DSAR εντός εφαρμογής).
• API & application logs: έως 120 ημέρες (PII αφαιρείται/αποκρύπτεται πριν την αποθήκευση όπου είναι εφικτό).
• Logs privacy & ασφάλειας / audit logs: διατηρούνται όσο απαιτείται για λογοδοσία και ασφάλεια, με περιορισμένη πρόσβαση.
• Ανηγμένα/ανωνυμοποιημένα δεδομένα:μπορούν να διατηρούνται επ' αόριστον εφόσον είναι μη αναστρέψιμα ανωνυμοποιημένα και δεν αποτελούν πλέον προσωπικά δεδομένα κατά GDPR.

Με τον τερματισμό των Όρων Χρήσης, ο Εκτελών, κατ' επιλογή του Υπεύθυνου: (α) διαγράφει τα προσωπικά δεδομένα που επεξεργάζεται για λογαριασμό του Υπεύθυνου εντός εύλογου χρονικού διαστήματος (όχι πέραν των 90 ημερών), εκτός αν ισχύουν νομικές υποχρεώσεις διατήρησης, και/ή (β) παρέχει στον Υπεύθυνο αντίγραφο των προσωπικών δεδομένων σε δομημένο, κοινώς χρησιμοποιούμενο μορφότυπο, κατόπιν έγγραφου αιτήματος που υποβάλλεται εντός 30 ημερών από τον τερματισμό.

Ο Εκτελών μπορεί να διατηρεί ανωνυμοποιημένα ή συγκεντρωτικά δεδομένα που δεν μπορούν πλέον να αποδοθούν σε φυσικό πρόσωπο. Τα δεδομένα αυτά δεν υπάγονται στο παρόν DPA. Στο μέτρο που ο Εκτελών υπάγεται σε υποχρεώσεις νόμιμης διατήρησης για δικά του φορολογικά/λογιστικά αρχεία, μπορεί να τα διατηρεί για την απαιτούμενη νόμιμη περίοδο. Ελάχιστα λειτουργικά μεταδεδομένα (π.χ. document IDs, timestamps, status) μπορούν να διατηρούνται για λογοδοσία, επίλυση προβλημάτων και ιχνηλασιμότητα, σύμφωνα με τις ανωτέρω περιόδους διατήρησης.

10. Περιορισμός Ευθύνης

Η ευθύνη κάθε μέρους βάσει του παρόντος DPA υπόκειται στους περιορισμούς και τις εξαιρέσεις ευθύνης που προβλέπονται στους Όρους Χρήσης. Τίποτα στο παρόν DPA δεν περιορίζει ευθύνη στον βαθμό που δεν επιτρέπεται από το εφαρμοστέο δίκαιο.

11. Εφαρμοστέο Δίκαιο

Το παρόν DPA διέπεται από το ελληνικό δίκαιο και το εφαρμοστέο ενωσιακό δίκαιο. Κάθε διαφορά που προκύπτει από το παρόν DPA υπάγεται στην αποκλειστική δικαιοδοσία των δικαστηρίων Ηρακλείου, Κρήτης, Ελλάδα.

12. Σημείο Επικοινωνίας

Για κάθε θέμα σχετικά με το παρόν DPA:

I HAVE A DREAM ΙΚΕ
Αριάδνης 25, 71202 Ηράκλειο, Ελλάδα
privacy@etherly.app

Παράρτημα 1 — Υπεκτελούντες την Επεξεργασία και τρίτοι πάροχοι

Τμήμα Α — Υπεκτελούντες την Επεξεργασία

Ο Υπεύθυνος παρέχει γενική εξουσιοδότηση στον Εκτελούντα να χρησιμοποιεί τους ακόλουθους Υπεκτελούντες, οι οποίοι επεξεργάζονται δεδομένα αποκλειστικά για λογαριασμό του Εκτελούντος και υπό τις οδηγίες του, βάσει συμβάσεων επεξεργασίας δεδομένων:

Ο Εκτελών δεν επιτρέπει στους παρόχους τεχνητής νοημοσύνης να χρησιμοποιούν προσωπικά δεδομένα του Υπεύθυνου ή των υποκειμένων για εκπαίδευση γενικών μοντέλων, εκτός εάν υπάρχει ρητή έγγραφη εντολή του Υπεύθυνου.

Τμήμα Β — Τρίτοι πάροχοι που επιλέγει ή εξουσιοδοτεί ο Υπεύθυνος

Οι παρακάτω πάροχοι δεν αποτελούν Υπεκτελούντες του Εκτελούντος. Ενεργοποιούνται υπό τις οδηγίες και ευθύνη του ίδιου του Υπεύθυνου, ο οποίος διατηρεί δική του σχέση, λογαριασμό ή νομική υποχρέωση απέναντί τους:

Παράρτημα 2 — Αποδοχή

Το παρόν DPA αποτελεί αναπόσπαστο μέρος των Όρων Χρήσης και ισχύει αυτόματα κατά τη σύναψη ή ανανέωση οποιασδήποτε σύμβασης για τη Υπηρεσία. Χρησιμοποιώντας την Υπηρεσία, ο Πελάτης (υπό την ιδιότητα Υπεύθυνου Επεξεργασίας) δηλώνει ότι έχει αναγνώσει, κατανοεί και αποδέχεται τους όρους του παρόντος DPA, καθώς και ότι έχει νόμιμη εξουσία για λογαριασμό της οντότητάς του.

Δεν απαιτείται ξεχωριστή χειρόγραφη υπογραφή για ηλεκτρονική αποδοχή. Η Εταιρεία διατηρεί αρχεία αποδοχής βάσει της ηλεκτρονικής επιβεβαίωσης συνδρομής. Οργανισμοί που επιθυμούν υπογεγραμμένο αντίγραφο για τα αρχεία τους μπορούν να το ζητήσουν στο privacy@etherly.app.