Σύμβαση επεξεργασίας δεδομένων

Έκδοση 1.0 · Τελευταία ενημέρωση: 5 Οκτωβρίου 2026

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων («ΣΕΔ») συνάπτεται μεταξύ του γυμναστηρίου, στούντιο ή άλλης επιχείρησης που χρησιμοποιεί το MOTVIVO (η «Επιχείρηση») και της LuxArte Ltd, Michail Koutsofta, 17, Anarita 8502, Cyprus, με αριθμό εγγραφής εταιρείας HE 465325 και αριθμό εγγραφής ΦΠΑ 60097364M («LuxArte», «εμείς»), που παρέχει το MOTVIVO. Αποτελεί μέρος της σύμβασης βάσει της οποίας η Επιχείρηση χρησιμοποιεί το MOTVIVO (η «Κύρια Σύμβαση»). Ισχύει από τη στιγμή που η Επιχείρηση την αποδέχεται και για όσο χρόνο η LuxArte επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό της Επιχείρησης.

Η ΣΕΔ ορίζει πώς η LuxArte επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό της Επιχείρησης, όπως απαιτούν το άρθρο 28 του Γενικού Κανονισμού Προστασίας Δεδομένων (ΕΕ) 2016/679 («ΓΚΠΔ» ή «GDPR») και ο κυπριακός Νόμος 125(I)/2018. Όροι όπως «υπεύθυνος επεξεργασίας», «εκτελών την επεξεργασία», «δεδομένα προσωπικού χαρακτήρα», «επεξεργασία», «υποκείμενο των δεδομένων», «παραβίαση δεδομένων προσωπικού χαρακτήρα» και «εποπτική αρχή» έχουν την έννοια που τους αποδίδει ο ΓΚΠΔ.

1. Ρόλοι

• Η Επιχείρηση είναι ο υπεύθυνος επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των μελών της, των υποψήφιων μελών, των παραληπτών δωροκαρτών και του προσωπικού της που καταχωρούνται ή συλλέγονται μέσω του MOTVIVO («Δεδομένα της Επιχείρησης»). Η Επιχείρηση καθορίζει τους σκοπούς και τον τρόπο χρήσης των Δεδομένων της Επιχείρησης.
• Η LuxArte είναι ο εκτελών την επεξεργασία της Επιχείρησης για τα Δεδομένα της Επιχείρησης και τα επεξεργάζεται αποκλειστικά για να της παρέχει το MOTVIVO.
• Η LuxArte είναι αυτοτελής υπεύθυνος επεξεργασίας για τα στοιχεία επικοινωνίας, λογαριασμού και χρέωσης των ιδιοκτητών και διαχειριστών της Επιχείρησης, που χρησιμοποιεί για τη διαχείριση της σχέσης της με την Επιχείρηση (σύμβαση, υποστήριξη, τιμολόγηση, ειδοποιήσεις για την υπηρεσία), όπως περιγράφεται στην πολιτική απορρήτου της στο motvivo.com/privacy. Η επεξεργασία αυτή δεν διέπεται από την παρούσα ΣΕΔ.

2. Εντολές

• Η LuxArte επεξεργάζεται τα Δεδομένα της Επιχείρησης μόνο βάσει καταγεγραμμένων εντολών της Επιχείρησης. Η Κύρια Σύμβαση, η παρούσα ΣΕΔ και ο τρόπος που η Επιχείρηση χρησιμοποιεί και παραμετροποιεί το MOTVIVO (για παράδειγμα οι ρυθμίσεις που επιλέγει, τα email που στέλνει και τα δεδομένα που καταχωρεί) αποτελούν το σύνολο των εντολών της Επιχείρησης. Κάθε πρόσθετη εντολή πρέπει να δίνεται εγγράφως και να συνάδει με την Κύρια Σύμβαση.
• Η LuxArte μπορεί να επεξεργαστεί τα Δεδομένα της Επιχείρησης διαφορετικά μόνο όταν το επιβάλλει το δίκαιο της ΕΕ ή κράτους μέλους. Στην περίπτωση αυτή ενημερώνει την Επιχείρηση πριν από την επεξεργασία, εκτός αν το ίδιο το δίκαιο το απαγορεύει.
• Η LuxArte ενημερώνει αμέσως την Επιχείρηση αν κρίνει ότι μια εντολή παραβιάζει τη νομοθεσία για την προστασία δεδομένων.
• Η LuxArte δεν πωλεί τα Δεδομένα της Επιχείρησης, δεν τα χρησιμοποιεί για διαφήμιση ούτε για να δημιουργεί προφίλ μελών για δικό της λογαριασμό. Μπορεί να χρησιμοποιεί τα Δεδομένα της Επιχείρησης σε συγκεντρωτική, ανωνυμοποιημένη μορφή, από την οποία δεν προκύπτει η ταυτότητα κανενός προσώπου ούτε της Επιχείρησης, για να μετρά και να βελτιώνει το MOTVIVO.

3. Εμπιστευτικότητα

Η LuxArte διασφαλίζει ότι όλα τα πρόσωπα που εξουσιοδοτεί να επεξεργάζονται τα Δεδομένα της Επιχείρησης δεσμεύονται από υποχρέωση εμπιστευτικότητας και έχουν πρόσβαση μόνο στο μέτρο που απαιτεί ο ρόλος τους.

4. Ασφάλεια

Η LuxArte εφαρμόζει και διατηρεί τα τεχνικά και οργανωτικά μέτρα του Παραρτήματος II, που είναι ανάλογα του κινδύνου και περιλαμβάνουν όσα απαιτεί το άρθρο 32 ΓΚΠΔ. Η LuxArte μπορεί να επικαιροποιεί τα μέτρα αυτά ανάλογα με την εξέλιξη της τεχνολογίας, υπό την προϋπόθεση ότι δεν μειώνεται το συνολικό επίπεδο προστασίας.

5. Πρόσβαση για υποστήριξη

Στο πλαίσιο της συνήθους λειτουργίας, το προσωπικό της LuxArte δεν βλέπει τα Δεδομένα της Επιχείρησης. Όταν η Επιχείρηση ζητά βοήθεια ή όταν είναι αναγκαίο για την ασφαλή λειτουργία του MOTVIVO, εξουσιοδοτημένο προσωπικό της LuxArte μπορεί να ανοίξει συνεδρία υποστήριξης στον λογαριασμό της Επιχείρησης. Οι συνεδρίες υποστήριξης έχουν περιορισμένη διάρκεια (μία ώρα, εκτός αν παραταθούν για συγκεκριμένο λόγο που δηλώνεται), επισημαίνονται εμφανώς στην εφαρμογή προσωπικού της Επιχείρησης και καταγράφονται, μαζί με τον λόγο τους, στο αρχείο ελέγχου της LuxArte και στο αρχείο δραστηριότητας της ίδιας της Επιχείρησης.

6. Υπεκτελούντες την επεξεργασία

• Η Επιχείρηση παρέχει στη LuxArte γενική άδεια να χρησιμοποιεί υπεκτελούντες την επεξεργασία. Οι σημερινοί υπεκτελούντες αναφέρονται στο Παράρτημα III.
• Η LuxArte ενημερώνει την Επιχείρηση τουλάχιστον 30 ημέρες πριν προσθέσει ή αντικαταστήσει υπεκτελούντα, με email προς τους διαχειριστές της Επιχείρησης ή με ειδοποίηση μέσα στο MOTVIVO. Μέσα στην προθεσμία αυτή η Επιχείρηση μπορεί να αντιταχθεί για εύλογους λόγους που αφορούν την προστασία δεδομένων. Αν τα μέρη δεν καταφέρουν να επιλύσουν την αντίρρηση, η Επιχείρηση μπορεί, πριν τεθεί σε ισχύ η αλλαγή, να καταγγείλει την Κύρια Σύμβαση για την υπηρεσία που επηρεάζεται, με αναλογική επιστροφή των χρεώσεων που έχει προπληρώσει για την υπόλοιπη περίοδο.
• Η LuxArte επιβάλλει σε κάθε υπεκτελούντα υποχρεώσεις προστασίας δεδομένων που δεν υπολείπονται σε προστασία εκείνων της παρούσας ΣΕΔ, και παραμένει υπεύθυνη έναντι της Επιχείρησης για την εκπλήρωση των υποχρεώσεων των υπεκτελούντων της.

7. Διεθνείς διαβιβάσεις

Η αποθήκευση και η επεξεργασία των Δεδομένων της Επιχείρησης γίνονται σε διακομιστές στην Ευρωπαϊκή Ένωση (Γερμανία). Όταν ένας υπεκτελών επεξεργάζεται Δεδομένα της Επιχείρησης εκτός του Ευρωπαϊκού Οικονομικού Χώρου, η LuxArte διασφαλίζει ότι η διαβίβαση καλύπτεται από απόφαση επάρκειας (όπως το Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ (EU-U.S. Data Privacy Framework) για πιστοποιημένους αποδέκτες) ή από τις Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής, σε συνδυασμό με όποια συμπληρωματικά μέτρα απαιτούνται.

8. Συνδρομή προς την Επιχείρηση για τα δικαιώματα των υποκειμένων των δεδομένων

Το MOTVIVO παρέχει στην Επιχείρηση εργαλεία για να απαντά σε αιτήματα υποκειμένων των δεδομένων, όπως η προβολή και η διόρθωση των στοιχείων ενός προσώπου, η εξαγωγή των κρατήσεων και του ιστορικού του και η διαγραφή του (το πρόσωπο μπορεί επίσης να διαγράψει μόνο του τον λογαριασμό του στην εφαρμογή κρατήσεων). Όταν η Επιχείρηση δεν μπορεί να απαντήσει με τα εργαλεία αυτά, η LuxArte τη συνδράμει, λαμβάνοντας υπόψη τη φύση της επεξεργασίας. Αν η LuxArte λάβει απευθείας από υποκείμενο των δεδομένων αίτημα που αφορά Δεδομένα της Επιχείρησης, το διαβιβάζει στην Επιχείρηση χωρίς αδικαιολόγητη καθυστέρηση και δεν απαντά η ίδια, παρά μόνο για να επιβεβαιώσει ότι το αίτημα διαβιβάστηκε.

9. Συνδρομή προς την Επιχείρηση για τις λοιπές υποχρεώσεις της

Λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που έχει στη διάθεσή της, η LuxArte συνδράμει την Επιχείρηση στις υποχρεώσεις της σχετικά με την ασφάλεια, τη γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα, τις εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων και την προηγούμενη διαβούλευση με την εποπτική αρχή (άρθρα 32 έως 36 ΓΚΠΔ), κυρίως με τις πληροφορίες που περιέχουν η παρούσα ΣΕΔ και τα παραρτήματά της και με απαντήσεις σε εύλογες ερωτήσεις.

10. Παραβιάσεις δεδομένων προσωπικού χαρακτήρα

• Η LuxArte γνωστοποιεί στην Επιχείρηση κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα που αφορά Δεδομένα της Επιχείρησης, χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός 48 ωρών αφότου λάβει γνώση της παραβίασης.
• Η γνωστοποίηση περιγράφει, στον βαθμό που είναι γνωστά εκείνη τη στιγμή, τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό των προσώπων και των αρχείων που αφορά, τις πιθανές συνέπειες και τα μέτρα που ελήφθησαν ή προτείνονται. Αν δεν είναι δυνατόν να παρασχεθούν όλες οι πληροφορίες ταυτόχρονα, η LuxArte τις παρέχει σταδιακά, μόλις γίνονται διαθέσιμες.
• Η LuxArte λαμβάνει εύλογα μέτρα για να περιορίσει και να αντιμετωπίσει την παραβίαση και να αποτρέψει την επανάληψή της. Η γνωστοποίηση παραβίασης δεν συνιστά παραδοχή υπαιτιότητας.

11. Δεδομένα υγείας και άλλες ειδικές κατηγορίες

Αν η Επιχείρηση ενεργοποιήσει το ερωτηματολόγιο υγείας του MOTVIVO, επεξεργάζεται δεδομένα που αφορούν την υγεία. Η Επιχείρηση ευθύνεται να κρίνει αν χρειάζεται τα δεδομένα αυτά, για τις ερωτήσεις που θέτει και για την ύπαρξη νόμιμης βάσης. Το MOTVIVO ζητά τη ρητή συγκατάθεση των μελών πριν απαντήσουν και περιορίζει ποιοι μέσα στην Επιχείρηση μπορούν να δουν τις απαντήσεις. Πέραν αυτού, η Επιχείρηση δεν πρέπει να καταχωρεί ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα (για παράδειγμα σε σημειώσεις ή μηνύματα), εκτός αν αυτό είναι αναγκαίο και νόμιμο.

12. Οι υποχρεώσεις της Επιχείρησης

• Η Επιχείρηση διαθέτει νόμιμη βάση για την επεξεργασία για την οποία δίνει εντολές και παρέχει στα μέλη και στο προσωπικό της την ενημέρωση που απαιτούν τα άρθρα 13 και 14 ΓΚΠΔ (για παράδειγμα με τη δική της δήλωση απορρήτου).
• Η Επιχείρηση διασφαλίζει ότι τα Δεδομένα της Επιχείρησης που καταχωρεί είναι ακριβή και περιορίζονται στα απολύτως αναγκαία, και ότι οι εντολές της είναι σύμφωνες με τη νομοθεσία για την προστασία δεδομένων.
• Η Επιχείρηση φροντίζει για την ασφάλεια των λογαριασμών του προσωπικού της, δίνει σε κάθε μέλος του προσωπικού μόνο τους ρόλους που χρειάζεται και καταργεί την πρόσβαση όσων αποχωρούν.

13. Λήξη της υπηρεσίας: διαγραφή και επιστροφή

Μέχρι τη λήξη της Κύριας Σύμβασης, η Επιχείρηση μπορεί να εξαγάγει τα δεδομένα της από το MOTVIVO. Μετά τη λήξη, η LuxArte διαγράφει τα Δεδομένα της Επιχείρησης εντός 30 ημερών, εκτός αν το δίκαιο της ΕΕ ή κράτους μέλους την υποχρεώνει να τα διατηρήσει, και επιβεβαιώνει τη διαγραφή εφόσον της ζητηθεί. Όσα δεδομένα υπάρχουν στα αντίγραφα ασφαλείας αντικαθίστανται στον κανονικό κύκλο τους (σήμερα 14 ημέρες) και δεν ανακτώνται, παρά μόνο για την αποκατάσταση της υπηρεσίας.

14. Πληροφορίες και έλεγχοι

Η LuxArte θέτει στη διάθεση της Επιχείρησης τις πληροφορίες που απαιτούνται για να αποδειχθεί η συμμόρφωση με το άρθρο 28 ΓΚΠΔ, όπως την παρούσα ΣΕΔ, τα παραρτήματά της και απαντήσεις σε εύλογα ερωτηματολόγια ασφάλειας. Αν αυτά δεν επαρκούν, η Επιχείρηση (ή ανεξάρτητος ελεγκτής που ορίζει η Επιχείρηση και δεσμεύεται από υποχρέωση εμπιστευτικότητας) μπορεί να ελέγξει τη συμμόρφωση της LuxArte μία φορά τον χρόνο ή μετά από παραβίαση δεδομένων προσωπικού χαρακτήρα, με έγγραφη ειδοποίηση τουλάχιστον 30 ημερών, κατά τις ώρες εργασίας, χωρίς διατάραξη της υπηρεσίας και χωρίς πρόσβαση σε δεδομένα άλλων πελατών. Κάθε μέρος βαρύνεται με τα δικά του έξοδα, εκτός αν ο έλεγχος αποκαλύψει ουσιώδη παραβίαση της παρούσας ΣΕΔ από τη LuxArte.

15. Ευθύνη, ιεραρχία και εφαρμοστέο δίκαιο

• Η ευθύνη κάθε μέρους βάσει της παρούσας ΣΕΔ υπόκειται στους περιορισμούς της Κύριας Σύμβασης, εκτός όπου ο νόμος δεν επιτρέπει τον περιορισμό της ευθύνης. Καμία διάταξη της παρούσας ΣΕΔ δεν περιορίζει τα δικαιώματα των υποκειμένων των δεδομένων βάσει του άρθρου 82 ΓΚΠΔ.
• Σε περίπτωση σύγκρουσης μεταξύ της παρούσας ΣΕΔ και της Κύριας Σύμβασης ως προς την επεξεργασία δεδομένων προσωπικού χαρακτήρα, υπερισχύει η παρούσα ΣΕΔ.
• Η LuxArte μπορεί να επικαιροποιεί την παρούσα ΣΕΔ για να ενσωματώνει αλλαγές στη νομοθεσία ή στο MOTVIVO. Για ουσιώδεις αλλαγές ειδοποιεί την Επιχείρηση τουλάχιστον 30 ημέρες πριν. Οι αλλαγές δεν μειώνουν την προστασία των Δεδομένων της Επιχείρησης.
• Η παρούσα ΣΕΔ διέπεται από το δίκαιο της Κυπριακής Δημοκρατίας. Αρμόδια είναι τα δικαστήρια της Κύπρου, με την επιφύλαξη των εξουσιών των εποπτικών αρχών.

Παράρτημα I: Στοιχεία της επεξεργασίας

Παράρτημα II: Τεχνικά και οργανωτικά μέτρα

• Φιλοξενία και τοποθεσία: διακομιστές σε επαγγελματικό κέντρο δεδομένων της Hetzner Online GmbH στη Γερμανία (πιστοποίηση ISO/IEC 27001)· η βάση δεδομένων δεν είναι προσβάσιμη από το διαδίκτυο.
• Κρυπτογράφηση: όλες οι συνδέσεις χρησιμοποιούν HTTPS/TLS· οι κωδικοί πρόσβασης αποθηκεύονται μόνο ως κατακερματισμένες τιμές με salt· τα μυστικά κλειδιά της επαλήθευσης δύο βημάτων αποθηκεύονται κρυπτογραφημένα.
• Διαχωρισμός επιχειρήσεων: κάθε εγγραφή ανήκει σε μία μόνο επιχείρηση, και η εφαρμογή περιορίζει κάθε αίτημα στην επιχείρηση του συνδεδεμένου χρήστη· οι συνδέσεις των μελών τηρούνται χωριστά για κάθε επιχείρηση.
• Έλεγχος πρόσβασης στο MOTVIVO: δικαιώματα βάσει ρόλων (admin, manager, front desk, trainer, member) που επιβάλλονται στον διακομιστή· οι απαντήσεις για την υγεία είναι ορατές μόνο σε ρόλους με το σχετικό δικαίωμα υγείας.
• Πρόσβαση του προσωπικού της LuxArte: ξεχωριστή κονσόλα πλατφόρμας με επαλήθευση δύο βημάτων και κλείδωμα λογαριασμού· οι συνεδρίες υποστήριξης σε μια επιχείρηση έχουν περιορισμένη διάρκεια, επισημαίνονται εμφανώς και καταγράφονται μαζί με τον λόγο τους· πρόσβαση στους διακομιστές μόνο με κλειδί και μόνο για ονομαστικά ορισμένους διαχειριστές.
• Καταγραφή: αμετάβλητα αρχεία ελέγχου (επιτρέπεται μόνο η προσθήκη εγγραφών) για οικονομικά σημαντικές ενέργειες, παρακάμψεις κανόνων από το προσωπικό, αλλαγές πακέτου και πρόσβαση για υποστήριξη.
• Διαθεσιμότητα και αποκατάσταση: νυχτερινά αντίγραφα ασφαλείας της βάσης δεδομένων, που τηρούνται για 14 ημέρες· κάθε νέα έκδοση του λογισμικού μπορεί να αναιρεθεί (rollback).
• Ασφαλής ανάπτυξη: οι αλλαγές στον κώδικα ελέγχονται και καλύπτονται από αυτοματοποιημένες δοκιμές, μεταξύ των οποίων δοκιμές που επαληθεύουν ότι τα δεδομένα κάθε επιχείρησης παραμένουν χωριστά· οι εξαρτήσεις λογισμικού διατηρούνται ενημερωμένες.
• Ελαχιστοποίηση και διαγραφή δεδομένων: τα προαιρετικά πεδία δεν είναι υποχρεωτικά· η διαγραφή ενός προσώπου το ανωνυμοποιεί και αφαιρεί το ελεύθερο κείμενο, τα μηνύματα και τις απαντήσεις του για την υγεία, ενώ οι εγγραφές από τις οποίες εξαρτώνται άλλα δεδομένα (όπως το καθολικό κρατήσεων) διατηρούνται χωρίς στοιχεία που το ταυτοποιούν.
• Email: στέλνονται μέσω παρόχου στην ΕΕ με έλεγχο ταυτότητας αποστολέα (SPF, DKIM, DMARC)· κάθε email περιέχει μόνο ό,τι χρειάζεται για τον σκοπό του.
• Πληρωμές: οι πληρωμές με κάρτα γίνονται στη σελίδα πληρωμής που φιλοξενεί η Stripe· οι αριθμοί καρτών δεν περνούν ποτέ από το MOTVIVO ούτε αποθηκεύονται σε αυτό.
• Προσωπικό: υποχρέωση εμπιστευτικότητας για όλους όσοι έχουν πρόσβαση· η πρόσβαση καταργείται όταν δεν χρειάζεται πλέον.

Παράρτημα III: Υπεκτελούντες την επεξεργασία

Online πληρωμές. Όταν η Επιχείρηση συνδέει τον δικό της λογαριασμό Stripe, τις πληρωμές τις διεκπεραιώνει η Stripe (Stripe Payments Europe, Limited, Ιρλανδία) βάσει της σύμβασης που έχει συνάψει η ίδια η Επιχείρηση με τη Stripe. Κατ’ εντολή της Επιχείρησης, το MOTVIVO στέλνει στη Stripe τη διεύθυνση email του μέλους και τι αγοράζει, και λαμβάνει το αποτέλεσμα της πληρωμής.

Για ερωτήσεις σχετικά με την παρούσα ΣΕΔ: [email protected] · LuxArte Ltd, Michail Koutsofta, 17, Anarita 8502, Cyprus, αριθμός εγγραφής εταιρείας HE 465325, αριθμός εγγραφής ΦΠΑ 60097364M.