Σύμβαση επεξεργασίας δεδομένων

1. Αντικείμενο, φύση και σκοπός

Επεξεργαζόμαστε δεδομένα προσωπικού χαρακτήρα μόνο για την παροχή της Υπηρεσίας στον Πελάτη: διαχείριση λογαριασμών και θέσεων, παροχή εκπαίδευσης στις γνώσεις στον τομέα της ΤΝ, βαθμολόγηση τεστ και αξιολογήσεων, έκδοση και επαλήθευση πιστοποιητικών, αποστολή e-mail, τήρηση των αποδεικτικών εκπαίδευσης και του αρχείου ελέγχου, καθώς και παροχή αναφορών και εξαγωγών. Η επεξεργασία συνίσταται σε συλλογή, αποθήκευση, οργάνωση, χρήση, διαβίβαση στους υπεκτελούντες την επεξεργασία που αναφέρονται παρακάτω, διαγραφή και τις λοιπές πράξεις που απαιτούνται για τους σκοπούς αυτούς.

2. Διάρκεια

Η παρούσα DPA ισχύει για όσο χρόνο επεξεργαζόμαστε δεδομένα προσωπικού χαρακτήρα για τον Πελάτη: κατά τη διάρκεια της συνδρομής και την επακόλουθη περίοδο έως τη διαγραφή που περιγράφεται στην ενότητα 11.

3. Υποκείμενα των δεδομένων και κατηγορίες δεδομένων

• Υποκείμενα των δεδομένων: εργαζόμενοι του Πελάτη στους οποίους έχει ανατεθεί θέση και οι διαχειριστές του Πελάτη.
• Δεδομένα ταυτοποίησης και επικοινωνίας: όνομα, e-mail, τμήμα, θέση εργασίας και προτιμώμενη γλώσσα.
• Δεδομένα λογαριασμού: κατακερματισμός κωδικού πρόσβασης (Argon2id), δεδομένα επαλήθευσης σε δύο βήματα εφόσον χρησιμοποιείται, χρόνοι σύνδεσης και διευθύνσεις IP.
• Δεδομένα εκπαίδευσης: ανατεθειμένα μαθήματα, πρόοδος και χρόνος στα κεφάλαια, απαντήσεις σε τεστ και αξιολογήσεις, αποτελέσματα και προσπάθειες, πιστοποιητικά, αποδοχές της πολιτικής ΤΝ του Πελάτη.
• Καταγραφές που εισάγει ο Πελάτης: το μητρώο εργαλείων ΤΝ και άλλα δεδομένα που εισάγουν οι διαχειριστές.
• Αρχείο ελέγχου σημαντικών ενεργειών με ώρα και δημιουργό.

Η Υπηρεσία δεν έχει σχεδιαστεί για ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα (άρθρο 9 ΓΚΠΔ) και ο Πελάτης δεν πρέπει να τις εισάγει.

4. Εντολές του Πελάτη

Επεξεργαζόμαστε τα δεδομένα μόνο βάσει των τεκμηριωμένων εντολών του Πελάτη. Η παρούσα DPA, οι Όροι παροχής υπηρεσιών και οι ρυθμίσεις και ενέργειες των διαχειριστών του Πελάτη στην Υπηρεσία αποτελούν τις πλήρεις εντολές του Πελάτη. Θα ενημερώνουμε τον Πελάτη αν θεωρούμε ότι μια εντολή παραβιάζει τη νομοθεσία για την προστασία δεδομένων, και μπορούμε να επεξεργαζόμαστε δεδομένα διαφορετικά μόνο όταν το απαιτεί το δίκαιο της Ένωσης ή κράτους μέλους· στην περίπτωση αυτή θα ενημερώνουμε εκ των προτέρων τον Πελάτη, εκτός αν ο νόμος το απαγορεύει.

5. Εμπιστευτικότητα

Πρόσβαση στα δεδομένα έχουν μόνο πρόσωπα που τη χρειάζονται για τη λειτουργία ή την υποστήριξη της Υπηρεσίας, και δεσμεύονται από υποχρέωση εμπιστευτικότητας.

6. Μέτρα ασφαλείας

• Η Υπηρεσία και όλα τα δεδομένα λειτουργούν σε διακομιστή σε κέντρο δεδομένων στη Γερμανία (ΕΕ).
• Κρυπτογραφημένες συνδέσεις (HTTPS)· κωδικοί πρόσβασης αποθηκευμένοι μόνο ως κατακερματισμοί Argon2id· υπογεγραμμένα cookies συνεδρίας μόνο για HTTP.
• Αυστηρός διαχωρισμός των πελατών: κάθε αίτημα ελέγχεται έναντι του συνδεδεμένου χρήστη και της εταιρείας του.
• Επαλήθευση σε δύο βήματα για τους διαχειριστές, υποχρεωτική για τους δικούς μας λογαριασμούς υποστήριξης και διαθέσιμη σε κάθε διαχειριστή του Πελάτη.
• Περιορισμός συχνότητας για τη σύνδεση, την επαναφορά κωδικού πρόσβασης και την επαλήθευση πιστοποιητικών.
• Τα αποθηκευμένα μυστικά, όπως τα διαπιστευτήρια του αποστολέα e-mail και τα κλειδιά επαλήθευσης σε δύο βήματα, είναι κρυπτογραφημένα (AES-256-GCM).
• Οι απαντήσεις των τεστ βαθμολογούνται στον διακομιστή· οι σωστές απαντήσεις δεν φτάνουν ποτέ στο πρόγραμμα περιήγησης.
• Αρχείο ελέγχου σημαντικών ενεργειών και αρχείο συμβάντων ασφαλείας που τηρείται για 30 ημέρες.
• Αντίγραφα ασφαλείας με διατήρηση έως 30 ημερών και τεκμηριωμένη διαδικασία για περιστατικά ασφαλείας.

7. Πρόσβαση υποστήριξης

Εξουσιοδοτημένο προσωπικό υποστήριξης της MadHoney μπορεί να συνδεθεί στον λογαριασμό διαχειριστή του Πελάτη για να ρυθμίσει τον λογαριασμό ή να επιλύσει πρόβλημα κατόπιν αιτήματος του Πελάτη, ή όπου απαιτείται για την προστασία της Υπηρεσίας. Η πρόσβαση αυτή περιορίζεται στον πίνακα διαχείρισης (ποτέ κεφάλαια, τεστ ή πιστοποιητικά για λογαριασμό εργαζομένων), είναι χρονικά περιορισμένη και καταγράφεται στο αρχείο ελέγχου του Πελάτη.

8. Υπεκτελούντες την επεξεργασία

• Hostinger International Ltd. (Κύπρος) - μίσθωση του εικονικού ιδιωτικού διακομιστή στον οποίο λειτουργεί η Υπηρεσία· κέντρο δεδομένων στη Γερμανία (ΕΕ).
• ZONER a.s. (Τσεχική Δημοκρατία) - διακομιστής SMTP για την παράδοση e-mail (προσκλήσεις, υπενθυμίσεις, ειδοποιήσεις)· κέντρα δεδομένων στο Μπρνο.

Ο Πελάτης παρέχει γενική άδεια για τη χρήση υπεκτελούντων την επεξεργασία. Επιβάλλουμε σε καθέναν από αυτούς υποχρεώσεις προστασίας δεδομένων ισοδύναμες με την παρούσα DPA. Θα ενημερώνουμε τους διαχειριστές του Πελάτη με e-mail τουλάχιστον 30 ημέρες πριν από την προσθήκη ή την αντικατάσταση υπεκτελούντος την επεξεργασία· ο Πελάτης μπορεί να αντιταχθεί για βάσιμο λόγο και, αν δεν μπορούμε να επιλύσουμε την αντίρρηση, να ακυρώσει τη συνδρομή πριν η αλλαγή τεθεί σε ισχύ.

Η Paddle.com Market Ltd επεξεργάζεται δεδομένα πληρωμής και χρέωσης ως ανεξάρτητος υπεύθυνος επεξεργασίας (Merchant of Record) και δεν λαμβάνει δεδομένα για τους εργαζομένους του Πελάτη.

9. Συνδρομή προς τον Πελάτη

Οι διαχειριστές μπορούν να βλέπουν, να διορθώνουν, να εξάγουν και να διαγράφουν τα δεδομένα των εργαζομένων τους απευθείας στην Υπηρεσία. Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, θα βοηθάμε επίσης τον Πελάτη να απαντά σε αιτήματα υποκειμένων των δεδομένων και να συμμορφώνεται με τις υποχρεώσεις του από τα άρθρα 32 έως 36 του ΓΚΠΔ (ασφάλεια, γνωστοποίηση παραβιάσεων, εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων και προηγούμενη διαβούλευση). Τα αιτήματα εργαζομένων που φτάνουν σε εμάς προωθούνται στον Πελάτη.

10. Παραβιάσεις δεδομένων προσωπικού χαρακτήρα

Θα γνωστοποιούμε στους διαχειριστές του Πελάτη μια παραβίαση δεδομένων προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 48 ωρών αφότου λάβουμε γνώση, με τις διαθέσιμες πληροφορίες σύμφωνα με το άρθρο 33 παράγραφος 3 του ΓΚΠΔ, και θα τις συμπληρώνουμε καθώς γίνονται γνωστά περαιτέρω στοιχεία. Θα λαμβάνουμε μέτρα για τον περιορισμό της παραβίασης και τον μετριασμό των συνεπειών της.

11. Διαγραφή και επιστροφή δεδομένων

Κατά τη διάρκεια της συνδρομής ο Πελάτης μπορεί να εξάγει τις αναφορές, τα αποδεικτικά εκπαίδευσης και το αρχείο ελέγχου του οποιαδήποτε στιγμή. Μετά τη λήξη της συνδρομής οι διαχειριστές μπορούν ακόμη να συνδέονται για 90 ημέρες, μόνο για εξαγωγή δεδομένων· στη συνέχεια η εταιρεία και όλα τα δεδομένα της διαγράφονται αυτόματα, εκτός αν ο Πελάτης ζητήσει νωρίτερη διαγραφή. Τα αντίγραφα στα αντίγραφα ασφαλείας αντικαθίστανται εντός 30 ημερών. Δεδομένα που οφείλουμε να διατηρούμε βάσει νόμου (π.χ. τιμολόγια) δεν καλύπτονται από την παρούσα ενότητα.

12. Έλεγχοι

Θα θέτουμε στη διάθεση του Πελάτη τις πληροφορίες που απαιτούνται για την απόδειξη της συμμόρφωσης με την παρούσα DPA και θα επιτρέπουμε ελέγχους, συμπεριλαμβανομένων επιθεωρήσεων, από τον Πελάτη ή από ελεγκτή που δεσμεύεται από εμπιστευτικότητα. Οι έλεγχοι πραγματοποιούνται κατόπιν εύλογης προηγούμενης γραπτής ειδοποίησης, κατά τις ώρες εργασίας, το πολύ μία φορά τον χρόνο (εκτός μετά από παραβίαση δεδομένων προσωπικού χαρακτήρα) και με έξοδα του Πελάτη, χωρίς να διαταράσσεται η Υπηρεσία ή να υπάρχει πρόσβαση σε δεδομένα άλλων πελατών.

13. Υποχρεώσεις του Πελάτη

Ο Πελάτης είναι υπεύθυνος να διαθέτει νομική βάση για την επεξεργασία, να ενημερώνει τους εργαζομένους του και για τη νομιμότητα των δεδομένων και των εντολών που μας δίνει.

14. Ευθύνη και εφαρμοστέο δίκαιο

Η ευθύνη βάσει της παρούσας DPA ακολουθεί τους Όρους παροχής υπηρεσιών, εκτός αν ο ΓΚΠΔ ορίζει διαφορετικά. Η παρούσα DPA διέπεται από το δίκαιο της Τσεχικής Δημοκρατίας· οι διαφορές που απορρέουν από αυτήν επιλύονται από τα αρμόδια δικαστήρια της Τσεχικής Δημοκρατίας με κατά τόπον αρμοδιότητα σύμφωνα με την έδρα μας. Επικοινωνία για θέματα προστασίας δεδομένων: sales@guard-ai.eu.