Data Processing Agreement

Συμφωνία Επεξεργασίας Δεδομένων, έκδοση 1

Σε ισχύ από 2026-09-20. AstroWay API, api.astroway.info.

1. Ποιοι είμαστε και τι καλύπτει αυτό

Αυτή η συμφωνία είναι μεταξύ εσένα, του Πελάτη, που ενεργεί ως υπεύθυνος επεξεργασίας δεδομένων, και Maksym Burkhan, ατομικός επιχειρηματίας (ФОП), Ουκρανία, που λειτουργεί το api.astroway.info ως εκτελών την επεξεργασία δεδομένων σου σύμφωνα με το Άρθρο 28 του GDPR.

Εφαρμόζεται για όσο διάστημα υπάρχει ο λογαριασμός σου και στέλνεις αιτήματα στο API, και διέπει μόνο τα δεδομένα που στέλνεις μέσω του API. Τα δικά σου στοιχεία λογαριασμού είναι ένα ξεχωριστό θέμα, όπου εμείς είμαστε ο υπεύθυνος επεξεργασίας και ισχύει η πολιτική απορρήτου μας.

2. Τι επεξεργαζόμαστε, και γιατί

Αντικείμενο και σκοπός. Στέλνεις δεδομένα γέννησης στο API: μια ημερομηνία, μια ώρα, μια ζώνη ώρας ή διαφορά ώρας, και συντεταγμένες. Υπολογίζουμε ένα αστρολογικό αποτέλεσμα και το επιστρέφουμε. Αυτός είναι ο μοναδικός σκοπός, και η κλήση API είναι η οδηγία σου.

Κατηγορίες υποκειμένων δεδομένων. Οι τελικοί χρήστες σου, ή οποιοσδήποτε του οποίου τη στιγμή γέννησης υποβάλλεις.

Τύποι δεδομένων. Ημερομηνία και ώρα γέννησης, συντεταγμένες, και τα προαιρετικά πεδία name και city. Τα name και city δεν αποθηκεύονται ποτέ: διατηρούνται στη μνήμη για τη διάρκεια του αιτήματος και δεν γράφονται πουθενά.

Διάρκεια. Για τη διάρκεια ζωής του λογαριασμού σου, υπό την επιφύλαξη της ενότητας 9.

Τι καταγράφουμε σχετικά με την κλήση και όχι το άτομο. Endpoint, method, status, latency, byte counts, ένα αλατισμένο μη αναστρέψιμο digest της IP διεύθυνσης του καλούντος και τα πρώτα 16 bits αυτής της διεύθυνσης, το User-Agent, το origin, και μια γενική χώρα, πόλη και πάροχο δικτύου. Τα διατηρούμε για 30 ημέρες.

3. Τι αναλαμβάνουμε

• Επεξεργαζόμαστε τα δεδομένα σου μόνο βάσει των τεκμηριωμένων οδηγιών σου, οι οποίες είναι οι κλήσεις API που κάνεις και οποιαδήποτε γραπτή οδηγία μας στέλνεις, εκτός αν η νομοθεσία της ΕΕ ή κράτους μέλους απαιτεί διαφορετικά, οπότε σε ενημερώνουμε πριν από την επεξεργασία, εκτός αν αυτός ο νόμος το απαγορεύει.
• Αν μια οδηγία μας φαίνεται παράνομη, το δηλώνουμε αμέσως αντί να την εκτελέσουμε σιωπηλά.
• Η υπηρεσία λειτουργεί από ένα άτομο, το οποίο είναι δεσμευμένο από την εμπιστευτικότητα και είναι ο μόνος άνθρωπος με διαχειριστική πρόσβαση.
• Διατηρούμε τα μέτρα ασφαλείας της ενότητας 5.
• Σε βοηθάμε να απαντήσεις σε αίτημα υποκειμένου δεδομένων, και σε βοηθάμε με τις υποχρεώσεις σου βάσει των Άρθρων 32 έως 36, στο βαθμό που αυτό είναι δυνατό και λαμβάνοντας υπόψη τι διατηρούμε. Αυτός ο περιορισμός είναι του ίδιου του νόμου, και εδώ είναι συγκεκριμένος: δεν αποθηκεύουμε όνομα, email ή αναγνωριστικό για τους τελικούς χρήστες σου, οπότε συνήθως δεν μπορούμε να βρούμε τις εγγραφές ενός ατόμου από την πλευρά μας. Εσύ μπορείς, μέσω των δικών σου αρχείων, και το DELETE /v1/me/account διαγράφει οτιδήποτε διατηρούμε για τον λογαριασμό σου.
• Δεν χρησιμοποιούμε τα δεδομένα σου για δικούς μας σκοπούς, δεν τα πουλάμε, και δεν τα χρησιμοποιούμε για την εκπαίδευση μοντέλων.

4. Υπεργολάβοι επεξεργασίας

Δύο, και αποτελούν την υποδομή:

Υπεργολάβος επεξεργασίας	Ρόλος	Τοποθεσία
Hetzner Online GmbH	υπολογιστική ισχύς, βάση δεδομένων και αποθήκευση αρχείων	Νυρεμβέργη, Γερμανία
Cloudflare, Inc.	CDN, DNS και προστασία DDoS, με κανόνες cache περιοχής ΕΕ	Εταιρεία ΗΠΑ, ευρωπαϊκά σημεία εξυπηρετούν την κυκλοφορία της ΕΕ

Επιβάλλουμε σε αυτούς τις ίδιες υποχρεώσεις προστασίας δεδομένων που φέρουμε και εμείς εδώ, και παραμένουμε πλήρως υπεύθυνοι απέναντί σου για ό,τι κάνουν.

Παρέχεις γενική εξουσιοδότηση για αυτούς τους δύο. Θα σε ενημερώσουμε μέσω email πριν προσθέσουμε ή αντικαταστήσουμε κάποιον, και μπορείς να αντιταχθείς για εύλογους λόγους προστασίας δεδομένων· αν δεν μπορέσουμε να επιλύσουμε την αντίρρηση, μπορείς να σταματήσεις να χρησιμοποιείς την υπηρεσία και θα σου επιστρέψουμε το αχρησιμοποίητο μέρος της περιόδου για την οποία πλήρωσες.

Οι πάροχοι πληρωμών και email μας δεν περιλαμβάνονται σκόπιμα σε αυτόν τον πίνακα, επειδή δεν βλέπουν ποτέ δεδομένα που καλύπτονται από αυτή τη συμφωνία. Η Brevo στέλνει συναλλακτικά email σε εσένα, και η Monobank δέχεται πληρωμές με κάρτα, με την LiqPay να προστίθεται τον Οκτώβριο του 2026. Και οι δύο αφορούν τον λογαριασμό σου και όχι τους τελικούς χρήστες σου, οπότε αναφέρονται στην πολιτική απορρήτου αντ’ αυτού.

5. Ασφάλεια

• Η μεταφορά είναι μόνο TLS, και το απλό HTTP ανακατευθύνεται.
• Οι κωδικοί πρόσβασης κατακερματίζονται με bcrypt και τα API keys αποθηκεύονται κατακερματισμένα.
• Οι διευθύνσεις IP αποθηκεύονται μόνο ως αλατισμένο SHA-256, υπολογιζόμενο κατά την εγγραφή της γραμμής. Το salt βρίσκεται στο περιβάλλον του διακομιστή, ποτέ στον κώδικα.
• Οι λογαριασμοί βάσης δεδομένων διαχωρίζονται ανά καταναλωτή, ο καθένας με την πιο περιορισμένη άδεια που λειτουργεί, και η βάση δεδομένων ακούει μόνο σε loopback.
• Τα αντίγραφα ασφαλείας κρυπτογραφούνται με AES-256 πριν φύγουν από το μηχάνημα.
• Η διαχειριστική πρόσβαση γίνεται με SSH key, ένα άτομο, χωρίς κοινά διαπιστευτήρια.

Τι δεν έχουμε, γιατί το να το ισχυριζόμασταν θα ήταν χειρότερο από το να το λέγαμε: δεν κατέχουμε έκθεση SOC 2 και κανένα πιστοποιητικό ISO 27001 δικό μας. Η Hetzner κατέχει ISO/IEC 27001 για το κέντρο δεδομένων όπου βρίσκονται οι διακομιστές μας.

6. Μεταφορές, δηλωμένες σαφώς

Τα δεδομένα σου επεξεργάζονται σε διακομιστές στη Νυρεμβέργη, Γερμανία, και δεν τα αναπαράγουμε εκτός του ΕΟΧ.

Είμαστε ωστόσο εγκατεστημένοι στην Ουκρανία, η οποία δεν έχει απόφαση επάρκειας βάσει του Άρθρου 45. Σύμφωνα με τις Κατευθυντήριες Γραμμές 05/2021 του EDPB, αυτό και μόνο καθιστά αυτή μια μεταφορά σε τρίτη χώρα, όπως και η διαχειριστική πρόσβαση από την Ουκρανία σε αυτούς τους γερμανικούς διακομιστές, επειδή η απομακρυσμένη πρόσβαση μετράει ακόμα και όταν τίποτα δεν αντιγράφεται. Επομένως, δεν σου λέμε ότι δεν υπάρχει διασυνοριακή μεταφορά· υπάρχει, και αυτό είναι που την καλύπτει.

Συνάπτουμε τις Τυποποιημένες Συμβατικές Ρήτρες της Εκτελεστικής Απόφασης (ΕΕ) 2021/914, Ενότητα Δύο (υπεύθυνος επεξεργασίας σε εκτελούντα την επεξεργασία), οι οποίες ενσωματώνονται σε αυτή τη συμφωνία με παραπομπή και υπερισχύουν αυτής σε περίπτωση σύγκρουσης. Οι ενότητες 2, 5 και 4 αυτής της συμφωνίας χρησιμεύουν ως Παραρτήματα I, II και III αντίστοιχα. Ένα υπογεγραμμένο αντίγραφο που ονομάζει και τα δύο μέρη είναι διαθέσιμο κατόπιν αιτήματος στο legal@astroway.info.

Αυτό που μεταφέρεται στην πράξη είναι η πιστοποιημένη διαχειριστική πρόσβαση σε συστήματα στη Γερμανία, όχι η εξαγωγή μιας βάσης δεδομένων.

7. Απόδειξη συμμόρφωσης

Σου παρέχουμε τις πληροφορίες που χρειάζεσαι για να αποδείξεις τη συμμόρφωση με το Άρθρο 28 μέσω αυτής της συμφωνίας και της περιγραφής ασφαλείας μας παραπάνω, και θα συμπληρώσουμε ένα εύλογο γραπτό ερωτηματολόγιο ασφαλείας σε οποιαδήποτε περίοδο δώδεκα μηνών χωρίς χρέωση.

Αν αυτό δεν είναι αρκετό, μπορείς να ελέγξεις τη συμμόρφωση με αυτή τη συμφωνία μία φορά σε οποιαδήποτε περίοδο δώδεκα μηνών, με γραπτή ειδοποίηση τριάντα ημερών, εξ αποστάσεως, κατά τις ώρες λειτουργίας, καλύπτοντας μόνο την επεξεργασία που πραγματοποιούμε για εσένα και ποτέ δεδομένα άλλου πελάτη. Εσύ επιβαρύνεσαι με το κόστος του ελέγχου και οποιουδήποτε ελεγκτή διορίσεις. Αυτά τα όρια δεν ισχύουν όταν μια εποπτική αρχή απαιτεί επιθεώρηση.

8. Σε περίπτωση παραβίασης

Σε ειδοποιούμε χωρίς αδικαιολόγητη καθυστέρηση αφού λάβουμε γνώση παραβίασης προσωπικών δεδομένων που επηρεάζει δεδομένα που επεξεργαζόμαστε για εσένα, μέσω email στη διεύθυνση του λογαριασμού σου. Η πρώτη ειδοποίηση μπορεί να είναι ελλιπής, και θα ακολουθήσουμε με ενημερώσεις καθώς μαθαίνουμε περισσότερα.

Δεν διατηρούμε στοιχεία επικοινωνίας για τους τελικούς χρήστες σου, οπότε η ειδοποίησή τους βάσει του Άρθρου 34 παραμένει δική σου ευθύνη.

9. Τερματισμός

Όταν ο λογαριασμός σου τερματιστεί, πες μας αν θέλεις τα δεδομένα που διατηρούμε για εσένα να επιστραφούν ή να διαγραφούν, και θα το κάνουμε. Αν δεν μας πεις τίποτα, τα διαγράφουμε.

Η μία εξαίρεση είναι αυτό που απαιτεί η φορολογική νομοθεσία να διατηρούμε: αρχεία πληρωμών, για 1095 ημέρες βάσει του §44.3 του Ουκρανικού Φορολογικού Κώδικα. Τρία χρόνια, όχι τα επτά που υπέθετε ένα προηγούμενο σχέδιο αυτού του κειμένου. Το Άρθρο 17(3)(β) του GDPR αφήνει τα αρχεία που διατηρούνται για νομική υποχρέωση εκτός του δικαιώματος διαγραφής, γι’ αυτό ένα αίτημα διαγραφής δεν τα επηρεάζει.

10. Αποδοχή αυτής της συμφωνίας

Το αποδέχεσαι στον πίνακα ελέγχου σου, και το αρχείο αυτής της αποδοχής ονομάζει τον λογαριασμό σου, την έκδοση και τη στιγμή. Το Άρθρο 28(9) απαιτεί η σύμβαση να είναι γραπτή, «συμπεριλαμβανομένης της ηλεκτρονικής μορφής», οπότε αυτό το αρχείο είναι η σύμβαση και δεν υπάρχει τίποτα να περιμένεις. Το PDF που μπορείς να κατεβάσεις φέρει το ίδιο αρχείο. Ένα υπογεγραμμένο έντυπο αντίγραφο είναι διαθέσιμο κατόπιν αιτήματος.

Αν αλλάξουμε ουσιωδώς αυτό το κείμενο, γίνεται μια νέα έκδοση και σου ζητάμε να αποδεχτείς αυτήν· η έκδοση που αποδέκτηκες παραμένει αυτή στην οποία συμφώνησες.