Σύμβαση επεξεργασίας δεδομένων (άρθρο 28 GDPR)

• Αποτελεί μέρος των Όρων χρήσης.*

Υπεύθυνος επεξεργασίας: η επιχείρηση που χρησιμοποιεί το Drin («Πελάτης»). Εκτελών την επεξεργασία: Drin (δοκιμαστικά στοιχεία), Οδός Δοκιμής 1, 105 57 Αθήνα, ΑΦΜ 000000000 («Drin»).

1. Αντικείμενο και διάρκεια

Το Drin επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του Πελάτη, μόνο για να παρέχει την υπηρεσία που περιγράφουν οι Όροι χρήσης, και για όσο ισχύει ο λογαριασμός του Πελάτη.

2. Φύση και σκοπός

Αποθήκευση και οργάνωση στοιχείων πελατών και ραντεβού· προετοιμασία κειμένων υπενθυμίσεων και ευχών· αυτόματη αποστολή email όταν το επιλέγει ο Πελάτης· σελίδα εγγραφής πελατών (QR) και σελίδα επιβεβαίωσης/ακύρωσης ραντεβού· ημερολόγιο ραντεβού (iCalendar) με μυστικό σύνδεσμο.

3. Κατηγορίες υποκειμένων και δεδομένων

• Υποκείμενα: πελάτες του Πελάτη· χρήστες (προσωπικό) του Πελάτη.
• Δεδομένα: όνομα και επώνυμο, κινητό, email, ημερομηνία γενεθλίων, ονομαστική εορτή, ραντεβού (ημερομηνία, ώρα, κατάσταση), απαντήσεις σε υπενθυμίσεις, σημειώσεις που γράφει ο Πελάτης, καταγραφή συγκατάθεσης (τι, πότε, με ποιον τρόπο), μηνύματα που ετοιμάστηκαν ή στάλθηκαν.
• Ειδικές κατηγορίες: το Drin δεν ζητά δεδομένα υγείας. Η ύπαρξη ραντεβού σε ιατρείο ή οδοντιατρείο μπορεί όμως να θεωρηθεί δεδομένο υγείας. Ο Πελάτης φροντίζει να υπάρχει νόμιμη βάση (άρθρο 9 GDPR) και να μη γράφει στοιχεία υγείας σε σημειώσεις ή μηνύματα.

4. Υποχρεώσεις του Drin

Το Drin:

1. επεξεργάζεται τα δεδομένα μόνο με τεκμηριωμένες εντολές του Πελάτη (οι ρυθμίσεις και οι ενέργειές του στην εφαρμογή αποτελούν τέτοιες εντολές)·
2. δεσμεύει όσους έχουν πρόσβαση σε εμπιστευτικότητα·
3. λαμβάνει τα μέτρα ασφαλείας του Παραρτήματος·
4. χρησιμοποιεί υπεργολάβους μόνο σύμφωνα με την ενότητα 5·
5. βοηθά τον Πελάτη να απαντά σε αιτήματα υποκειμένων (πρόσβαση, διόρθωση, διαγραφή, φορητότητα)· ο Πελάτης μπορεί να διορθώνει και να διαγράφει πελάτες απευθείας στην εφαρμογή·
6. ενημερώνει τον Πελάτη για παραβίαση δεδομένων χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 48 ωρών από τη στιγμή που τη διαπιστώσει, με όσα στοιχεία διαθέτει·
7. βοηθά τον Πελάτη σε εκτίμηση αντικτύπου και διαβούλευση με την Αρχή, όπου χρειάζεται·
8. με τη λήξη της σύμβασης, κατ’ επιλογή του Πελάτη επιστρέφει (εξαγωγή) ή διαγράφει τα δεδομένα εντός 30 ημερών, εκτός αν ο νόμος επιβάλλει διατήρηση·
9. θέτει στη διάθεση του Πελάτη τις πληροφορίες που χρειάζονται για να αποδειχθεί η συμμόρφωση και επιτρέπει ελέγχους, με εύλογη προειδοποίηση.

Πρόσβαση προσωπικού του Drin σε λογαριασμό Πελάτη γίνεται μόνο για υποστήριξη ή ασφάλεια και καταγράφεται (ποιος, πότε, τι). Ο Πελάτης μπορεί να ζητήσει το σχετικό ιστορικό.

5. Υπεργολάβοι

Ο Πελάτης εγκρίνει τους παρακάτω υπεργολάβους:

Το Drin ενημερώνει τον Πελάτη τουλάχιστον 30 ημέρες πριν προσθέσει ή αλλάξει υπεργολάβο· ο Πελάτης μπορεί να αντιταχθεί και, αν δεν βρεθεί λύση, να καταγγείλει τη σύμβαση. Κάθε υπεργολάβος δεσμεύεται με υποχρεώσεις προστασίας δεδομένων αντίστοιχες με αυτές της παρούσας.

6. Υποχρεώσεις του Πελάτη

Ο Πελάτης εξασφαλίζει νόμιμη βάση για κάθε επεξεργασία (π.χ. συγκατάθεση για ευχές και προωθητικά μηνύματα), ενημερώνει τους πελάτες του για την επεξεργασία, και δίνει στο Drin μόνο εντολές σύμφωνες με τον νόμο.

Παράρτημα: μέτρα ασφαλείας

• Βάση δεδομένων σε υποδομή εντός της ΕΕ.
• Κρυπτογράφηση σε όλες τις συνδέσεις (HTTPS με HSTS).
• Σύνδεση χωρίς κωδικούς πρόσβασης: κωδικός μίας χρήσης (αποθηκεύεται μόνο κρυπτογραφημένος, λήγει σε 10 λεπτά, έως 3 προσπάθειες) ή passkey.
• Όρια αιτημάτων στη σύνδεση και στις δημόσιες φόρμες.
• Αυστηρός διαχωρισμός δεδομένων ανά επιχείρηση, με έλεγχο ιδιότητας μέλους σε κάθε αίτημα· αυτόματοι έλεγχοι (tests) ότι μια επιχείρηση δεν βλέπει δεδομένα άλλης.
• Άμεση αφαίρεση πρόσβασης όταν ένας χρήστης αφαιρείται από επιχείρηση.
• Μυστικοί, μη μαντέψιμοι σύνδεσμοι για τις δημόσιες σελίδες (εγγραφή, επιβεβαίωση ραντεβού, ημερολόγιο), με δυνατότητα αντικατάστασης.
• Καταγραφή ενεργειών διαχειριστών· στις λίστες σφαλμάτων τα email πελατών εμφανίζονται μερικώς κρυμμένα.
• Πολιτικές ασφάλειας περιεχομένου (CSP) στην εφαρμογή και την ιστοσελίδα.