Συμφωνία Επεξεργασίας Δεδομένων
Η συμφωνία αυτή ισχύει μεταξύ του Γραφείου που χρησιμοποιεί το eSymvoulos (ο «Υπεύθυνος Επεξεργασίας») και της εταιρείας ESYMVOULOS ΜΟΝΟΠΡΟΣΩΠΗ Ι.Κ.Ε., αρ. ΓΕΜΗ 163699801000, ΑΦΜ 801806609, με έδρα 5ο χλμ. Ρόδου–Λίνδου, Ρόδος, ΤΚ 85100 (η «Εταιρεία») (ο «Εκτελών»), και αποτελεί μέρος των Όρων χρήσης. Ισχύει από την ενεργοποίηση του Γραφείου και όσο ο Εκτελών επεξεργάζεται δεδομένα για λογαριασμό του.
1. Αντικείμενο, φύση και σκοπός
Ο Εκτελών επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του Υπευθύνου αποκλειστικά για να παρέχει την υπηρεσία: αποθήκευση στο μητρώο πελατών, άντληση στοιχείων από πηγές του Δημοσίου με τους κωδικούς που καταχωρεί ο Υπεύθυνος, υπολογισμός επιλεξιμότητας, παραγωγή εγγράφων και αναφορών, επικοινωνίες και ειδοποιήσεις, αντίγραφα ασφαλείας. Η διάρκεια είναι όση της σύμβασης, με τα όσα ορίζονται στην ενότητα 9.
2. Κατηγορίες δεδομένων και υποκειμένων
| Υποκείμενα | Δεδομένα |
|---|---|
| Πελάτες του Υπευθύνου (φυσικά πρόσωπα και εκπρόσωποι ή μέλη νομικών προσώπων) | Στοιχεία ταυτοποίησης και επικοινωνίας, ΑΦΜ και φορολογικά στοιχεία (π.χ. Ε1, Ε3, ΦΠΑ), στοιχεία ακινήτων, εισοδήματος και περιουσίας όπου αντλούνται, στοιχεία εταιρικής σύνθεσης, έγγραφα που ανεβάζει ο Υπεύθυνος |
| Εργαζόμενοι των πελατών | Στοιχεία από ΕΡΓΑΝΗ, όπως ονοματεπώνυμο, ΑΜΚΑ ή ΑΦΜ, ώρες εργασίας και απασχόληση, στο μέτρο που αντλούνται για τον υπολογισμό Ετήσιων Μονάδων Εργασίας |
| Χρήστες του Υπευθύνου | Όνομα, email, ρόλος, κατακερματισμένος κωδικός, ιστορικό ενεργειών |
| Πελάτες και χρήστες του Υπευθύνου | Κωδικοί πρόσβασης σε πηγές του Δημοσίου (αποθηκεύονται κρυπτογραφημένοι) |
Ο Υπεύθυνος δεν καταχωρεί ειδικές κατηγορίες δεδομένων (άρθρο 9 ΓΚΠΔ) πέραν όσων είναι αναγκαία για την υπηρεσία και ευθύνεται για τη νομιμότητά τους.
3. Υποχρεώσεις του Εκτελούντος
- Επεξεργάζεται τα δεδομένα μόνο βάσει καταγεγραμμένων εντολών του Υπευθύνου — τους Όρους χρήσης και τη χρήση της εφαρμογής — εκτός αν το απαιτεί το ενωσιακό ή ελληνικό δίκαιο, οπότε ενημερώνει τον Υπεύθυνο εκτός αν το απαγορεύει ο νόμος.
- Διασφαλίζει ότι όσοι έχουν πρόσβαση δεσμεύονται από εμπιστευτικότητα.
- Εφαρμόζει τα μέτρα ασφαλείας του άρθρου 32 ΓΚΠΔ, όπως περιγράφονται στη σελίδα Ασφάλεια (ο διαχωρισμός των γραφείων, ο έλεγχος πρόσβασης ανά ρόλο και πελάτη, η κρυπτογράφηση των κωδικών πηγών και των αντιγράφων, η καταγραφή ενεργειών, το HTTPS).
- Βοηθά τον Υπεύθυνο, με εύλογα μέσα και λαμβάνοντας υπόψη τη φύση της επεξεργασίας, να ανταποκρίνεται σε αιτήματα υποκειμένων (άρθρα 15–22) και στις υποχρεώσεις των άρθρων 32–36 (ασφάλεια, παραβιάσεις, εκτίμηση αντικτύπου, προηγούμενη διαβούλευση).
- Αν λάβει αίτημα υποκειμένου για δεδομένα του Υπευθύνου, το προωθεί χωρίς καθυστέρηση και δεν απαντά το ίδιο, εκτός αν του ζητηθεί.
- Ενημερώνει αμέσως τον Υπεύθυνο αν κρίνει ότι εντολή του παραβιάζει τον ΓΚΠΔ.
- Τηρεί αρχείο των δραστηριοτήτων επεξεργασίας που διενεργεί ως εκτελών (άρθρο 30(2)).
4. Παραβίαση δεδομένων
Ο Εκτελών ειδοποιεί τον Υπεύθυνο χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 48 ωρών από τη στιγμή που αντιλαμβάνεται παραβίαση προσωπικών δεδομένων που τον αφορά, με τα διαθέσιμα στοιχεία: φύση της παραβίασης, κατηγορίες και κατά προσέγγιση αριθμό υποκειμένων και εγγραφών, πιθανές συνέπειες και μέτρα αντιμετώπισης. Η ειδοποίηση προς την Αρχή και τα υποκείμενα ανήκει στον Υπεύθυνο.
5. Υπεργολάβοι
Ο Υπεύθυνος παρέχει γενική έγκριση για τους υπεργολάβους του παρακάτω πίνακα. Ο Εκτελών τους δεσμεύει με υποχρεώσεις προστασίας δεδομένων ανάλογες με τις παρούσες και παραμένει υπεύθυνος για αυτούς. Για προσθήκη ή αντικατάσταση υπεργολάβου ενημερώνει τον Υπεύθυνο με email τουλάχιστον 30 ημέρες πριν· ο Υπεύθυνος μπορεί να αντιταχθεί για εύλογο λόγο και, αν δεν βρεθεί λύση, να λύσει τη σύμβαση.
| Υπεργολάβος | Σκοπός | Τοποθεσία |
|---|---|---|
| Hetzner Online GmbH (Γερμανία) | Φιλοξενία του server, της βάσης δεδομένων και των αντιγράφων ασφαλείας | ΕΕ· datacenter Falkenstein, Γερμανία |
| Cloudflare, Inc. | DNS και προστασία δικτύου του domain | ΗΠΑ / παγκόσμιο δίκτυο· εγγυήσεις Κεφαλαίου V ΓΚΠΔ |
| Stripe Payments Europe, Ltd (Ιρλανδία) και Stripe, Inc. | Εισπράξεις συνδρομών και αγορών μονάδων. Τα στοιχεία κάρτας δίνονται απευθείας στο Stripe· δεν τα βλέπουμε ούτε τα αποθηκεύουμε | ΕΕ / ΗΠΑ· εγγυήσεις Κεφαλαίου V ΓΚΠΔ |
| Anthropic, PBC | Βοηθός επεξήγησης μέσα στην εφαρμογή και ανάγνωση δημόσιων προσκλήσεων προγραμμάτων. Στέλνονται οι ερωτήσεις του χρήστη προς τον βοηθό και τα κείμενα των προσκλήσεων, όχι ο κατάλογος πελατών | ΗΠΑ· εγγυήσεις Κεφαλαίου V ΓΚΠΔ |
| Functional Software, Inc. (Sentry) | Αναφορά τεχνικών σφαλμάτων. Δεν στέλνονται προσωπικά δεδομένα χρηστών ή πελατών | Περιοχή ΕΕ (Γερμανία)· εταιρεία ΗΠΑ· εγγυήσεις Κεφαλαίου V ΓΚΠΔ |
| Techinfinity (υπηρεσία email) | Αποστολή μηνυμάτων της πλατφόρμας (στοιχεία σύνδεσης, ειδοποιήσεις) | ΕΕ (Γερμανία) |
| Google Ireland Ltd / Google LLC | Gmail για την αποστολή μηνυμάτων σχολίων και αναφοράς προβλημάτων προς την Εταιρεία· και, μόνο αν ο χρήστης συνδέσει το Google Calendar του, συγχρονισμός ραντεβού και προθεσμιών | ΕΕ / ΗΠΑ· εγγυήσεις Κεφαλαίου V ΓΚΠΔ |
6. Διαβιβάσεις εκτός ΕΕ/ΕΟΧ
Διαβιβάσεις σε τρίτες χώρες γίνονται μόνο με τις εγγυήσεις του Κεφαλαίου V ΓΚΠΔ (απόφαση επάρκειας ή τυποποιημένες συμβατικές ρήτρες). Ο Υπεύθυνος εγκρίνει τις διαβιβάσεις προς τους υπεργολάβους του πίνακα.
7. Υποχρεώσεις του Υπευθύνου
Ο Υπεύθυνος διασφαλίζει ότι έχει νόμιμη βάση για την επεξεργασία και τη διαβίβαση των δεδομένων στον Εκτελούντα, ότι έχει ενημερώσει τα υποκείμενα (άρθρα 13–14) και ότι έχει την εξουσιοδότηση των πελατών του για την καταχώριση και χρήση των κωδικών πρόσβασης σε πηγές του Δημοσίου. Δίνει εντολές μόνο μέσω της κανονικής χρήσης της εφαρμογής ή γραπτώς. Ευθύνεται για τη φύλαξη των κωδικών των χρηστών του.
8. Έλεγχοι
Ο Εκτελών θέτει στη διάθεση του Υπευθύνου τις πληροφορίες που χρειάζονται για να αποδείξει τη συμμόρφωση με το άρθρο 28 και επιτρέπει ελέγχους, με εύλογη προειδοποίηση, εντός ωραρίου και χωρίς να διαταράσσεται η λειτουργία ή η εμπιστευτικότητα άλλων γραφείων· κατά προτίμηση με γραπτές απαντήσεις και τεκμηρίωση πριν από επιτόπιο έλεγχο.
9. Λήξη: επιστροφή και διαγραφή
Στη λήξη της σύμβασης ο Υπεύθυνος έχει 30 ημέρες να εξαγάγει τα δεδομένα του. Μετά, ο Εκτελών τα διαγράφει εντός 60 ημερών και διαγράφει τα υπάρχοντα αντίγραφα σε επιπλέον 14 ημέρες (κύκλος αντιγράφων), εκτός αν το ενωσιακό ή ελληνικό δίκαιο απαιτεί τη διατήρησή τους. Ο Υπεύθυνος μπορεί να ζητήσει γραπτή επιβεβαίωση της διαγραφής.
10. Ευθύνη και εφαρμοστέο δίκαιο
Η ευθύνη των μερών από την παρούσα διέπεται από το άρθρο 82 ΓΚΠΔ και, μεταξύ των μερών, από τον περιορισμό ευθύνης των Όρων χρήσης στο μέτρο που το επιτρέπει ο νόμος. Η συμφωνία διέπεται από το ελληνικό δίκαιο. Σε περίπτωση αντίφασης για την επεξεργασία προσωπικών δεδομένων, υπερισχύει η παρούσα.