Παράρτημα 1. Σύμβαση Επεξεργασίας Δεδομένων

1.1 Η παρούσα ΣΕΔ εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από τη stayi για λογαριασμό του Πελάτη στο πλαίσιο της παροχής των Υπηρεσιών (τα «Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη»).

1.2 Το αντικείμενο, η φύση και ο σκοπός της επεξεργασίας, τα είδη των δεδομένων προσωπικού χαρακτήρα και οι κατηγορίες υποκειμένων των δεδομένων περιγράφονται στο Προσάρτημα 1. Η επεξεργασία διαρκεί καθ’ όλη τη διάρκεια της Σύμβασης και στη συνέχεια έως την επιστροφή ή τη διαγραφή των Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη σύμφωνα με το άρθρο 11.

2.1 Ο Πελάτης διασφαλίζει ότι διαθέτει νομική βάση για την επεξεργασία των Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη, ότι έχει παράσχει στα υποκείμενα των δεδομένων όλες τις πληροφορίες που απαιτεί η Νομοθεσία Προστασίας Δεδομένων και ότι οι εντολές του προς τη stayi συμμορφώνονται με τη Νομοθεσία Προστασίας Δεδομένων.

3.1 Η stayi επεξεργάζεται τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη μόνο βάσει καταγεγραμμένων εντολών του Πελάτη, μεταξύ άλλων όσον αφορά τις διαβιβάσεις σε τρίτες χώρες, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους· στην περίπτωση αυτή, η stayi ενημερώνει τον Πελάτη για την εν λόγω νομική απαίτηση πριν από την επεξεργασία, εκτός εάν το εν λόγω δίκαιο απαγορεύει την ενημέρωση αυτή για σοβαρούς λόγους δημόσιου συμφέροντος.

3.2 Η Σύμβαση και η παραμετροποίηση των Υπηρεσιών από τον Πελάτη αποτελούν το σύνολο των εντολών του Πελάτη. Η stayi ενημερώνει αμέσως τον Πελάτη εάν, κατά την άποψή της, κάποια εντολή παραβιάζει τη Νομοθεσία Προστασίας Δεδομένων.

4.1 Ο Πελάτης αναγνωρίζει ότι η stayi δικαιούται να διατηρεί και να επεξεργάζεται δεδομένα που παράγονται από τη χρήση των Υπηρεσιών, περιλαμβανομένων των δεδομένων αλληλεπίδρασης των Επισκεπτών, για τους σκοπούς της ανάλυσης, της ανάπτυξης και της βελτίωσης των Υπηρεσιών, καθώς και της απόδοσης των κρατήσεων που πραγματοποιούνται μέσω των Εμπειριών Συνεργατών στη μονάδα του Πελάτη και στη συνομιλία στην οποία εμφανίστηκε μια προσφορά, του υπολογισμού και της κατανομής της Προμήθειας και της τήρησης του Καθολικού Συνεργατών, και την εξουσιοδοτεί προς τούτο. Όσον αφορά την επεξεργασία αυτή, η stayi ενεργεί ως ανεξάρτητος υπεύθυνος επεξεργασίας και φέρει αποκλειστικά την ευθύνη για τη συμμόρφωση με τη Νομοθεσία Προστασίας Δεδομένων.

4.2 Η stayi δεν πωλεί τα δεδομένα αυτά, δεν τα χρησιμοποιεί για σκοπούς διαφήμισης και δεν τα χρησιμοποιεί για την ταυτοποίηση μεμονωμένων υποκειμένων των δεδομένων. Η εμφάνιση στους Επισκέπτες, εντός των Υπηρεσιών, προσφορών Ταξιδιωτικών Συνεργατών και Τοπικών Παρόχων που σχετίζονται με τα αιτήματά τους, περιλαμβανομένων προσφορών για τις οποίες καταβάλλεται Προμήθεια (Όροι και Προϋποθέσεις, άρθρο 8A), αποτελεί μέρος των Υπηρεσιών που παρέχονται στον Πελάτη και δεν αποτελεί διαφήμιση κατά την έννοια του παρόντος άρθρου. Η stayi δεν καταρτίζει προφίλ Επισκεπτών για τον σκοπό αυτό και δεν χρησιμοποιεί τα δεδομένα μιας διαμονής, ενός δωματίου ή μιας μονάδας για την επιλογή προσφορών για άλλη διαμονή, άλλο δωμάτιο ή άλλη μονάδα.

4.3 Η stayi τηρεί το Καθολικό Συνεργατών ως λογιστικά της αρχεία για το χρονικό διάστημα και με τη μορφή που ορίζονται στο άρθρο 11.4 των Όρων και Προϋποθέσεων.

5.1 Η stayi διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη έχουν αναλάβει δέσμευση τήρησης εμπιστευτικότητας ή τελούν υπό τη δέουσα κανονιστική υποχρέωση τήρησης εμπιστευτικότητας.

6.1 Η stayi εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα σύμφωνα με το άρθρο 32 ΓΚΠΔ, όπως περιγράφονται στο Προσάρτημα 2. Η stayi δικαιούται να επικαιροποιεί τα μέτρα αυτά κατά καιρούς, υπό την προϋπόθεση ότι το συνολικό επίπεδο προστασίας δεν μειώνεται ουσιωδώς.

7.1 Ο Πελάτης παρέχει στη stayi γενική γραπτή άδεια να προσλαμβάνει υπεκτελούντες την επεξεργασία. Οι υπεκτελούντες την επεξεργασία που έχουν προσληφθεί κατά την ημερομηνία της αποδοχής, περιλαμβανομένων των δικών τους υπεκτελούντων την επεξεργασία όπου η stayi βασίζεται σε αυτούς για τις Υπηρεσίες, αναγράφονται στο Προσάρτημα 3, Μέρος B, με την επωνυμία και τη διεύθυνση του καθενός, την επεξεργασία που διενεργεί, τον τόπο επεξεργασίας και τον μηχανισμό διαβίβασης που χρησιμοποιείται σύμφωνα με το άρθρο 8. Με την αποδοχή της παρούσας ΣΕΔ ο Πελάτης παρέχει την άδειά του για την πρόσληψή τους. Η stayi τηρεί τον κατάλογο αυτό επικαιροποιημένο και θέτει την τρέχουσα έκδοσή του στη διάθεση του Πελάτη ανά πάσα στιγμή στη διεύθυνση stayi.app/subprocessors.

7.2 Η stayi ειδοποιεί τον Πελάτη με μήνυμα ηλεκτρονικού ταχυδρομείου (email) στη διεύθυνση ειδοποιήσεών του (Όροι και Προϋποθέσεις, άρθρο 21.4) τουλάχιστον τριάντα (30) ημέρες πριν από την προσθήκη ή την αντικατάσταση υπεκτελούντος την επεξεργασία, αναφέροντας τις πληροφορίες που απαριθμούνται στο άρθρο 7.1. Ο Πελάτης δικαιούται να αντιταχθεί εγγράφως εντός της προθεσμίας αυτής για εύλογους λόγους που αφορούν την προστασία των δεδομένων. Εντός δεκαπέντε (15) ημερών από την αντίρρηση, η stayi είτε προτείνει μέτρο που την αντιμετωπίζει είτε επιβεβαιώνει ότι ο υπεκτελών την επεξεργασία δεν θα επεξεργάζεται Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη. Εάν δεν συμβεί κανένα από τα δύο, ο Πελάτης δικαιούται να καταγγείλει τη Σύμβαση ως προς τις θιγόμενες Υπηρεσίες με ισχύ πριν από την πρόσληψη του υπεκτελούντος την επεξεργασία, και εφαρμόζεται το άρθρο 9.5 των Όρων και Προϋποθέσεων. Εάν ο Πελάτης δεν αντιταχθεί εντός της προθεσμίας προειδοποίησης, η αλλαγή θεωρείται εγκεκριμένη. Όταν ένας υπεκτελών την επεξεργασία πρέπει να αντικατασταθεί επειγόντως για λόγους ασφάλειας ή συνέχειας των Υπηρεσιών, η stayi δικαιούται να ειδοποιήσει τον Πελάτη με συντομότερη προειδοποίηση, αναφέροντας τους λόγους, και η προθεσμία για την άσκηση του δικαιώματος αντίρρησης του Πελάτη αρχίζει από την ειδοποίηση αυτή.

7.3 Η stayi επιβάλλει σε κάθε υπεκτελούντα την επεξεργασία, με έγγραφη σύμβαση, τις ίδιες υποχρεώσεις όσον αφορά την προστασία των δεδομένων με αυτές που προβλέπονται στην παρούσα ΣΕΔ, ιδίως την παροχή επαρκών διαβεβαιώσεων για την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων κατά τρόπο ώστε η επεξεργασία να πληροί τις απαιτήσεις του ΓΚΠΔ, και εξακολουθεί να ευθύνεται πλήρως έναντι του Πελάτη για την εκτέλεση των υποχρεώσεων κάθε υπεκτελούντος την επεξεργασία.

8.1 Η stayi δεν διαβιβάζει Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη σε χώρα εκτός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ), εκτός εάν τηρούνται οι προϋποθέσεις που θεσπίζονται στο Κεφάλαιο V ΓΚΠΔ, μεταξύ άλλων μέσω απόφασης επάρκειας ή τυποποιημένων συμβατικών ρητρών που έχει εκδώσει η Ευρωπαϊκή Επιτροπή.

9.1 Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, η stayi επικουρεί τον Πελάτη με κατάλληλα τεχνικά και οργανωτικά μέτρα, στον βαθμό που αυτό είναι δυνατό, για την εκπλήρωση της υποχρέωσης του Πελάτη να απαντά σε αιτήματα για την άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων. Η stayi προωθεί αμελλητί στον Πελάτη κάθε αίτημα που λαμβάνει σχετικά με Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη.

10.1 Η stayi ενημερώνει τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση, μόλις αντιληφθεί παραβίαση δεδομένων προσωπικού χαρακτήρα που αφορά Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη, και παρέχει τις πληροφορίες που ο Πελάτης ευλόγως απαιτεί για να εκπληρώσει τις υποχρεώσεις του δυνάμει των άρθρων 33 και 34 ΓΚΠΔ.

10.2 Λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που διαθέτει, η stayi παρέχει εύλογη συνδρομή στον Πελάτη για τη διασφάλιση της συμμόρφωσης προς τις υποχρεώσεις του που απορρέουν από τα άρθρα 32 έως 36 ΓΚΠΔ.

11.1 Με τη λύση της Σύμβασης, η stayi, κατ’ επιλογή του Πελάτη, διαγράφει ή επιστρέφει τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη εντός εύλογου χρονικού διαστήματος και διαγράφει τα υφιστάμενα αντίγραφα, εκτός εάν το δίκαιο της Ένωσης ή του κράτους μέλους απαιτεί την αποθήκευσή τους.

11.2 Τα δεδομένα που διατηρεί η stayi ως ανεξάρτητος υπεύθυνος επεξεργασίας δυνάμει του άρθρου 4 διαγράφονται ή ανωνυμοποιούνται σύμφωνα με την Πολιτική Απορρήτου της stayi, με την επιφύλαξη των οριζόμενων στο άρθρο 11.3.

11.3 Το Καθολικό Συνεργατών δεν διαγράφεται ούτε ανωνυμοποιείται με τη λύση της Σύμβασης. Η stayi το ψευδωνυμοποιεί, αφαιρώντας κάθε συσχέτιση με Επισκέπτες, δωμάτια, διαμονές και συνομιλίες και κάθε διεύθυνση ηλεκτρονικού ταχυδρομείου (email) Επισκέπτη, και το διατηρεί για το χρονικό διάστημα που ορίζεται στο άρθρο 11.4 των Όρων και Προϋποθέσεων, με μοναδικό κλειδί τον κωδικό κράτησης του Ταξιδιωτικού Συνεργάτη, ο οποίος συνδέει μια εγγραφή με τα αρχεία του ίδιου του Ταξιδιωτικού Συνεργάτη.

11.4 Τα στοιχεία των αιτημάτων κράτησης που επεξεργάζεται η stayi για λογαριασμό του Πελάτη κατά την προώθηση του αιτήματος ενός Επισκέπτη σε Τοπικό Πάροχο διατηρούνται ως εξής: τα στοιχεία ελεύθερου κειμένου, όπως ένα σημείο παραλαβής, ένας προορισμός ή η εναλλακτική λύση που προτείνει ένας Τοπικός Πάροχος, διαγράφονται τριάντα (30) ημέρες μετά την ημερομηνία της υπηρεσίας· η διεύθυνση ηλεκτρονικού ταχυδρομείου (email) ενός Επισκέπτη και οι συσχετίσεις με το δωμάτιο, τη διαμονή και τη συνομιλία του Επισκέπτη διαγράφονται δεκατρείς (13) μήνες μετά την καταγραφή τους. Η διεύθυνση email του Επισκέπτη ανήκει στα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη, χρησιμοποιείται μόνο για την αποστολή στον Επισκέπτη αυτόν της έκβασης της συγκεκριμένης κράτησης και δεν αποτελεί μέρος του Καθολικού Συνεργατών.

12.1 Η stayi θέτει στη διάθεση του Πελάτη κάθε απαραίτητη πληροφορία προς απόδειξη της συμμόρφωσης προς την παρούσα ΣΕΔ και επιτρέπει και διευκολύνει τους ελέγχους, περιλαμβανομένων των επιθεωρήσεων, που διενεργούνται από τον Πελάτη ή από ανεξάρτητο ελεγκτή εντεταλμένο από τον Πελάτη, υπό την προϋπόθεση εύλογης προειδοποίησης, κατάλληλων δεσμεύσεων εμπιστευτικότητας και συχνότητας και εύρους που είναι εύλογα υπό τις περιστάσεις. Οι δαπάνες κάθε ελέγχου βαρύνουν τον Πελάτη.

13.1 Οι περιορισμοί ευθύνης που προβλέπονται στους Όρους και Προϋποθέσεις εφαρμόζονται στην παρούσα ΣΕΔ στον βαθμό που το επιτρέπει η Νομοθεσία Προστασίας Δεδομένων. Σε περίπτωση σύγκρουσης μεταξύ της παρούσας ΣΕΔ και οποιουδήποτε άλλου μέρους της Σύμβασης, η παρούσα ΣΕΔ υπερισχύει όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα.

Αντικείμενο της επεξεργασίας είναι η παροχή των Υπηρεσιών στον Πελάτη.

Η φύση της επεξεργασίας περιλαμβάνει τη συλλογή, την καταχώριση, την αποθήκευση, τη διάρθρωση, την ανάκτηση, τη χρήση, τη μετάδοση, την ανάλυση και τη διαγραφή, μεταξύ άλλων με αυτοματοποιημένα μέσα και με τεχνολογίες τεχνητής νοημοσύνης.

Σκοπός της επεξεργασίας είναι η παροχή της υπηρεσίας του ψηφιακού βοηθού τεχνητής νοημοσύνης (AI concierge) στους Επισκέπτες, η μετάδοση των αιτημάτων των Επισκεπτών στον Πελάτη και η παροχή αναφορών και σχετικών λειτουργιών στον Πελάτη. Όταν οι Εμπειρίες Συνεργατών είναι ενεργοποιημένες, ο σκοπός περιλαμβάνει επίσης την εμφάνιση στους Επισκέπτες προσφορών Ταξιδιωτικών Συνεργατών και Τοπικών Παρόχων, την προώθηση, μέσω ηλεκτρονικού ταχυδρομείου (email), υπηρεσιών μηνυμάτων, SMS ή αυτοματοποιημένης τηλεφωνικής κλήσης, των αιτημάτων κράτησης των Επισκεπτών στους Τοπικούς Παρόχους που έχει ορίσει ο Πελάτης, τη λήψη της απάντησης του Τοπικού Παρόχου και την ενημέρωση του προσωπικού του Πελάτη, του δωματίου του Επισκέπτη και, όταν ο Επισκέπτης δίνει διεύθυνση email για τον σκοπό αυτό, του Επισκέπτη σχετικά με την κατάσταση της κράτησης.

Οι κατηγορίες υποκειμένων των δεδομένων είναι οι Επισκέπτες και οι λοιποί χρήστες των Υπηρεσιών, οι Εξουσιοδοτημένοι Χρήστες και το προσωπικό του Πελάτη, το προσωπικό και οι εκπρόσωποι των συνεργατών και των Τοπικών Παρόχων του Πελάτη με τους οποίους γίνεται επικοινωνία μέσω των Υπηρεσιών, περιλαμβανομένων των προσώπων που απαντούν σε αυτοματοποιημένες τηλεφωνικές κλήσεις, καθώς και άλλοι τρίτοι με τους οποίους γίνεται επικοινωνία μέσω των Υπηρεσιών κατ’ εντολή του Πελάτη.

Τα είδη των δεδομένων προσωπικού χαρακτήρα είναι το περιεχόμενο των αλληλεπιδράσεων με κείμενο και φωνή και οι απομαγνητοφωνήσεις τους, τα αιτήματα και οι σχετικές επικοινωνίες, οι απαντήσεις σε ερωτηματολόγια, τα δεδομένα χρήσης, τα τεχνικά δεδομένα και τα δεδομένα συσκευών, καθώς και τα στοιχεία επικοινωνίας του προσωπικού του Πελάτη και των τρίτων που έχει καταχωρίσει ο Πελάτης. Όταν οι Εμπειρίες Συνεργατών είναι ενεργοποιημένες, περιλαμβάνουν επίσης τη διεύθυνση ηλεκτρονικού ταχυδρομείου (email) ενός Επισκέπτη, όταν ο Επισκέπτης την εισάγει στην οθόνη για να λαμβάνει ενημερώσεις για την κράτηση· τα στοιχεία ενός αιτήματος κράτησης, δηλαδή την προσφορά, την ημερομηνία, την ώρα, τον αριθμό ατόμων και τον αριθμό δωματίου και, για τις υπηρεσίες μεταφοράς, το σημείο παραλαβής και τον προορισμό· τα επαγγελματικά στοιχεία επικοινωνίας των Τοπικών Παρόχων και του προσωπικού τους· και το περιεχόμενο των απαντήσεών τους, περιλαμβανομένων της ηχογράφησης, της απομαγνητοφώνησης και της ανάλυσης των αυτοματοποιημένων τηλεφωνικών κλήσεων. Ο πάροχος τηλεφωνίας διατηρεί την ηχογράφηση, την απομαγνητοφώνηση και την ανάλυση για διάστημα έως τριάντα (30) ημερών. Δεν προβλέπεται η επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα.

Η διάρκεια της επεξεργασίας είναι η διάρκεια της Σύμβασης και τα χρονικά διαστήματα που ορίζονται στο άρθρο 11.

Η stayi διατηρεί μέτρα κατάλληλα για τον κίνδυνο, τα οποία περιλαμβάνουν, κατά περίπτωση, τη φιλοξενία των Υπηρεσιών σε ασφαλή κέντρα δεδομένων που βρίσκονται εντός του Ευρωπαϊκού Οικονομικού Χώρου· την κρυπτογράφηση των δεδομένων προσωπικού χαρακτήρα κατά τη μετάδοση και κατά την αποθήκευση· τον λογικό διαχωρισμό των δεδομένων κάθε πελάτη, μαζί με ελέγχους αυθεντικοποίησης και εξουσιοδότησης για κάθε πρόσβαση στις Υπηρεσίες· τον περιορισμό της πρόσβασης στα δεδομένα προσωπικού χαρακτήρα στο προσωπικό που έχει ανάγκη να τα γνωρίζει, το οποίο υπόκειται σε υποχρεώσεις εμπιστευτικότητας· την ασφαλή διαχείριση διαπιστευτηρίων και μυστικών κλειδιών (secrets)· ελεγχόμενες διαδικασίες διαχείρισης αλλαγών και θέσης σε παραγωγή (deployment)· την προστασία των δημόσιων διεπαφών από καταχρήσεις· τακτικά αντίγραφα ασφαλείας και καταγραφή συμβάντων (logging)· και διαδικασίες για τον χειρισμό παραβιάσεων δεδομένων προσωπικού χαρακτήρα και αιτημάτων των υποκειμένων των δεδομένων.

Η stayi προσλαμβάνει υπεκτελούντες την επεξεργασία που είναι απαραίτητοι για τη λειτουργία των Υπηρεσιών, στις ακόλουθες κατηγορίες: φιλοξενία και υποδομή υπολογιστικού νέφους· υπηρεσίες δικτύου, διανομής περιεχομένου και συνδεσιμότητας· αυθεντικοποίηση και διαχείριση ταυτότητας· τεχνολογίες τεχνητής νοημοσύνης, αναγνώρισης ομιλίας και σύνθεσης ομιλίας, περιλαμβανομένων των ψηφιακών άβαταρ τεχνητής νοημοσύνης· ηλεκτρονικές επικοινωνίες, περιλαμβανομένων του ηλεκτρονικού ταχυδρομείου (email), των υπηρεσιών μηνυμάτων (συμπεριλαμβανομένου του Viber), των SMS και της τηλεφωνίας, περιλαμβανομένων των αυτοματοποιημένων τηλεφωνικών κλήσεων που διεξάγονται από σύστημα τεχνητής νοημοσύνης· διαχείριση συσκευών· παρακολούθηση εφαρμογών και μετρήσεις· και επεξεργασία πληρωμών. Οι υπεκτελούντες την επεξεργασία που έχουν προσληφθεί κατονομάζονται στο Μέρος B, και η stayi ενημερώνει τον Πελάτη για κάθε προσθήκη ή αντικατάσταση σύμφωνα με το άρθρο 7.2.

Οι Ταξιδιωτικοί Συνεργάτες δεν είναι υπεκτελούντες την επεξεργασία. Η stayi δεν τους κοινολογεί Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη. Ως ανεξάρτητος υπεύθυνος επεξεργασίας (Όροι και Προϋποθέσεις, άρθρο 8A.8), η stayi τους κοινολογεί μόνο ένα αδιαφανές αναγνωριστικό αναφοράς, το οποίο μόνο η stayi μπορεί να συνδέσει με την προέλευση μιας κράτησης· οι Ταξιδιωτικοί Συνεργάτες ενεργούν ως ανεξάρτητοι υπεύθυνοι επεξεργασίας για τις κρατήσεις που πραγματοποιούν οι Επισκέπτες σε αυτούς.