Συμφωνία επεξεργασίας δεδομένων (DPA)

Το παρόν κείμενο αποτελεί μετάφραση για διευκόλυνση. Σε περίπτωση απόκλισης υπερισχύει το αγγλικό κείμενο, το οποίο βρίσκεται στη διεύθυνση /dpa/.

Σκοπός και χρήση των δεδομένων

Η EuroVPS θα περιγράφει πάντοτε τη φύση και τον σκοπό κάθε συλλογής, επεξεργασίας ή χρήσης δεδομένων στα μέρη που επηρεάζονται από τη συλλογή, την επεξεργασία ή την κατ' άλλον τρόπο χρήση των δεδομένων αυτών. Στην περίπτωση σχέσης με πελάτη, η χρήση των δεδομένων θα περιγράφεται σύμφωνα με τη Συμφωνία Προστασίας Δεδομένων μεταξύ της EuroVPS και του Πελάτη.

Η επεξεργασία πραγματοποιείται στο κέντρο δεδομένων της EuroVPS που επιλέγει ο Πελάτης: Αθήνα ή Άμστερνταμ (ΕΕ), ή Τορόντο (Καναδάς, βάσει της απόφασης επάρκειας της Ευρωπαϊκής Επιτροπής). Κάθε άλλη διαβίβαση των δεδομένων θα απαιτεί την προηγούμενη συγκατάθεση των προσώπων/οργανισμών που συνδέονται με τα δεδομένα αυτά και θα πραγματοποιείται μόνο εφόσον πληρούνται οι ειδικές προϋποθέσεις που ορίζονται στο άρθρο 44 (και σε συναφή άρθρα) του Γενικού Κανονισμού για την Προστασία Δεδομένων, ΓΚΠΔ (GDPR).

Διασφάλιση ποιότητας

Πέρα από τη συμμόρφωση με όλες τις διατάξεις που παραθέτουμε εδώ, θα συμμορφωνόμαστε και με τις νόμιμες υποχρεώσεις μας σύμφωνα με τα άρθρα 28 έως 33 του GDPR. Θα διασφαλίζουμε ειδικά τη συμμόρφωση με τις ακόλουθες απαιτήσεις:

Ένας Επικεφαλής Προστασίας Δεδομένων ορίζεται στον ρόλο του Υπευθύνου Προστασίας Δεδομένων. Θα ενημερώνουμε αμέσως τα ενδιαφερόμενα πρόσωπα για κάθε αλλαγή στον ρόλο αυτόν. Τα στοιχεία του Υπευθύνου Προστασίας Δεδομένων θα είναι εύκολα προσβάσιμα στο website μας.

Θα τηρούμε αυστηρά πρωτόκολλα εμπιστευτικότητας και θα διασφαλίζουμε ότι μόνο συγκεκριμένοι εργαζόμενοι θα έχουν πρόσβαση στη διαδικασία συλλογής δεδομένων. Οι εργαζόμενοι αυτοί θα πληρούν ήδη τις απαιτήσεις εμπιστευτικότητας και θα είναι εξοικειωμένοι με την ασφάλεια της προστασίας δεδομένων. Όποιος έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα θα μπορεί να τα επεξεργάζεται μόνο σύμφωνα με τις οδηγίες των προσώπων που επηρεάζονται από τη χρήση των δεδομένων αυτών (συμπεριλαμβανομένων όσων ορίζονται στο παρόν έγγραφο), εκτός εάν ο νόμος ορίζει διαφορετικά.

Όταν απαιτείται, τα πρόσωπα/οι οργανισμοί των οποίων τα δεδομένα συλλέγουμε, επεξεργαζόμαστε ή χρησιμοποιούμε κατ' άλλον τρόπο ενδέχεται να κληθούν να συνεργαστούν με Εποπτική Αρχή. Ενδέχεται επίσης να κληθούμε και εμείς να συνεργαστούμε μαζί της κατόπιν αιτήματος.

Τα πρόσωπα/οι οργανισμοί αυτοί θα ενημερώνονται αμέσως για κάθε έλεγχο ή μέτρο της Εποπτικής Αρχής που αφορά τη συλλογή, την επεξεργασία ή την κατ' άλλον τρόπο χρήση των δεδομένων τους. Αυτό ισχύει εφόσον ερευνόμαστε για οποιαδήποτε παράβαση σχετική με την επεξεργασία δεδομένων προσωπικού χαρακτήρα.

Εάν κάποιος από τους Πελάτες μας αποτελέσει αντικείμενο ελέγχου από την Εποπτική Αρχή σε σχέση με αδίκημα ή ποινική διαδικασία ή με αξίωση θιγόμενου μέρους, θα καταβάλλουμε κάθε προσπάθεια να τον υποστηρίξουμε στο μέτρο των δυνατοτήτων μας.

Θα παρακολουθούμε τακτικά όλες τις εσωτερικές διαδικασίες, καθώς και τα τεχνικά και οργανωτικά μέτρα, ώστε να διασφαλίζουμε ότι όλα συμμορφώνονται με κάθε εφαρμοστέο δίκαιο προστασίας δεδομένων και ότι τα δικαιώματα όλων των θιγόμενων μερών προστατεύονται.

Τεκμηρίωση που επαληθεύει τα μέτρα που έχουμε λάβει για τον σκοπό αυτόν θα διατίθεται σε όλα τα ενδιαφερόμενα μέρη κατόπιν αιτήματος.

Τεχνικά και οργανωτικά μέτρα σύμφωνα με το άρθρο 32 του GDPR

Πριν από την έναρξη οποιασδήποτε υπηρεσίας που απαιτεί τη συλλογή/επεξεργασία δεδομένων, θα παρουσιάζουμε στα ενδιαφερόμενα πρόσωπα τα τεχνικά και οργανωτικά μέτρα που εφαρμόζονται για την προστασία των δεδομένων αυτών. Κάθε περαιτέρω χρήση των δεδομένων αυτών θα περιορίζεται στους σκοπούς που συμφωνούνται μεταξύ της EuroVPS και του ενδιαφερόμενου μέρους, και τα μέτρα και οι σκοποί αυτοί θα αποτελούν αναπόσπαστο μέρος των όρων παροχής υπηρεσιών που δεσμεύουν την EuroVPS και το ενδιαφερόμενο μέρος. Κάθε τροποποίηση των μέτρων ή των σκοπών αυτών θα συζητείται και θα τίθεται σε ισχύ μόνο κατόπιν αμοιβαίας συμφωνίας μεταξύ της EuroVPS και του ενδιαφερόμενου μέρους.

Θα λαμβάνουμε τα αναγκαία μέτρα ασφάλειας σύμφωνα με όλα τα σχετικά άρθρα του GDPR. Όλα τα μέτρα θα εγγυώνται επίπεδο προστασίας δεδομένων κατάλληλο για το επίπεδο κινδύνου κάθε περίπτωσης, ειδικά όσον αφορά την εμπιστευτικότητα, την ακεραιότητα, τη διαθεσιμότητα και την ανθεκτικότητα των συστημάτων που εφαρμόζονται. Κατά την εξέταση των μέτρων αυτών θα λαμβάνονται υπόψη το κόστος εφαρμογής, το εύρος και ο σκοπός των δεδομένων που συλλέγονται, η κατάσταση της τεχνολογίας, και ο δυνητικός κίνδυνος για τα δικαιώματα και τις ελευθερίες ενός φυσικού προσώπου/οργανισμού και τα δεδομένα του.

Ενδέχεται να αναπτύξουμε περαιτέρω τα τεχνικά και οργανωτικά μέτρα που έχουμε λάβει για την προστασία των δεδομένων που συλλέγουμε, συμπεριλαμβανομένης της εφαρμογής εναλλακτικών μέτρων, υπό την προϋπόθεση ότι δεν υποβαθμίζουν το επίπεδο ασφάλειας των τεχνικών και οργανωτικών μέτρων που ήδη εφαρμόζονται. Όλες οι ουσιώδεις αλλαγές θα τεκμηριώνονται.

Διόρθωση, περιορισμός και διαγραφή δεδομένων

Δεν δικαιούμαστε να διαγράφουμε ή να περιορίζουμε την επεξεργασία δεδομένων για λογαριασμό τρίτων. Εάν μας απευθυνθεί κάποιος για ζήτημα συλλογής δεδομένων, θα τον παραπέμπουμε αμέσως στο ενδιαφερόμενο μέρος.

Θα εκτελούμε χωρίς καθυστέρηση κάθε αίτημα που αφορά το «δικαίωμα στη λήθη», τις πολιτικές διαγραφής, τη διόρθωση, τη φορητότητα και τη γνωστοποίηση δεδομένων.

Υπεργολαβίες

Κατά κανόνα δεν διαβιβάζουμε τα δεδομένα που συλλέγουμε σε τρίτους, αλλά σε περίπτωση που χρησιμοποιήσουμε εξωτερική υπηρεσία η οποία ενδέχεται να έχει πρόσβαση σε τέτοια δεδομένα, θα συνάπτουμε νομικά δεσμευτικές συμβατικές ρυθμίσεις και θα εφαρμόζουμε τα αναγκαία μέτρα ώστε να εγγυόμαστε την προστασία και την ασφάλεια των δεδομένων που έχουμε συλλέξει.

Δικαιώματα ελέγχου

Τα πρόσωπα/οι οργανισμοί των οποίων τα δεδομένα έχουμε συλλέξει θα έχουν το δικαίωμα να διενεργούν ελέγχους κατόπιν συνεννόησης μαζί μας, ή να αναθέτουν τη διενέργεια ελέγχων σε ελεγκτές σε συγκεκριμένες μεμονωμένες περιπτώσεις. Θα έχουν το δικαίωμα να επαληθεύουν τη συμμόρφωση με το παρόν έγγραφο μέσω δειγματοληπτικών ελέγχων, οι οποίοι θα πρέπει να ανακοινώνονται εντός εύλογου χρόνου.

Θα διασφαλίζουμε ότι η συμμόρφωσή μας με τις υποχρεώσεις του άρθρου 28 του GDPR μπορεί να επαληθευτεί. Θα παρέχουμε στα ενδιαφερόμενα πρόσωπα/στους ενδιαφερόμενους οργανισμούς τις σχετικές πληροφορίες κατόπιν αιτήματος, μαζί με τεκμηρίωση της εφαρμογής των τεχνικών και οργανωτικών μέτρων που προστατεύουν τα δεδομένα τους.

Η τεκμηρίωση των μέτρων που αφορούν (ενδεικτικά και όχι περιοριστικά) τη σχέση με το πρόσωπο/τον οργανισμό του οποίου τα δεδομένα συλλέγουμε μπορεί να παρέχεται σύμφωνα με τους εγκεκριμένους κώδικες δεοντολογίας και τις πιστοποιήσεις που ορίζονται στα σχετικά άρθρα του GDPR. Τεκμηρίωση μπορεί επίσης να παρέχεται υπό μορφή εκθέσεων, συμπεριλαμβανομένων όσων διενεργούνται από ανεξάρτητους φορείς (όπως Υπεύθυνος Προστασίας Δεδομένων, τμήμα ασφάλειας πληροφορικής, ελεγκτής ποιότητας κ.λπ.), μαζί με κατάλληλη πιστοποίηση από τμήμα ασφάλειας πληροφορικής ή έλεγχο προστασίας δεδομένων.

Ενδέχεται να απαιτήσουμε πρόσθετες αμοιβές για την υποστήριξη ελέγχου και για τη χρηματοδότηση της παροχής τεκμηρίωσης ή/και πιστοποιήσεων.

Επικοινωνία σε περίπτωση παράβασης

Θα συμμορφωνόμαστε με τις υποχρεώσεις μας σχετικά με την ασφάλεια των δεδομένων προσωπικού χαρακτήρα και με κάθε απαίτηση που αφορά παραβιάσεις δεδομένων, εκτιμήσεις αντικτύπου και προηγούμενες διαβουλεύσεις, όπως ορίζονται στα άρθρα 32 έως 36 του GDPR.

Οι υποχρεώσεις αυτές περιλαμβάνουν:

1. Τη διασφάλιση επαρκών επιπέδων προστασίας με τεχνικά και οργανωτικά μέτρα που λαμβάνουν υπόψη τις διάφορες περιστάσεις και τους σκοπούς της επεξεργασίας δεδομένων, καθώς και την πιθανότητα και τη σοβαρότητα τυχόν παραβάσεων του νόμου λόγω ευπαθειών ασφάλειας. Θα εφαρμόζονται επίσης μέτρα για τον εντοπισμό κάθε παράβασης του νόμου το συντομότερο δυνατόν.
2. Θα αναφέρουμε αμέσως στα ενδιαφερόμενα μέρη κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα που διαπιστώνουμε.
3. Όπου εφαρμόζεται, θα συνδράμουμε τα ενδιαφερόμενα μέρη στις δικές τους υποχρεώσεις ενημέρωσης των θιγόμενων μερών. Θα υπενθυμίζουμε επίσης στα ενδιαφερόμενα μέρη τις υποχρεώσεις τους στην περίπτωση αυτή.
4. Θα συνδράμουμε τα ενδιαφερόμενα μέρη στην εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων.
5. Θα συνδράμουμε τα ενδιαφερόμενα μέρη πριν από τη διαβούλευσή τους με την εποπτική αρχή.
6. Ενδέχεται να χρεώσουμε αμοιβή για την παροχή υποστήριξης στο πλαίσιο αυτό, η οποία δεν περιλαμβάνεται στις υπηρεσίες υποστήριξης που προσφέρουμε κανονικά στους πελάτες μας και δεν απαιτείται λόγω δικών μας παραλείψεων.

Η παροχή οδηγιών

Κάθε οδηγία που μας δίνεται από ενδιαφερόμενα μέρη πρέπει να επιβεβαιώνεται αμέσως εγγράφως από το εν λόγω μέρος.

Θα ενημερώνουμε αμέσως το ενδιαφερόμενο μέρος εάν θεωρούμε ότι μια οδηγία που μας δόθηκε παραβιάζει τη νομοθεσία περί προστασίας δεδομένων. Στην περίπτωση αυτή θα δικαιούμαστε να αναστείλουμε την εκτέλεση της οδηγίας έως ότου τροποποιηθεί κατά τρόπο ώστε να μπορεί να θεωρηθεί σύμφωνη με τη νομοθεσία περί προστασίας δεδομένων.

Διαγραφή και επιστροφή δεδομένων προσωπικού χαρακτήρα

Δεν θα δημιουργούμε αντίγραφα ή διπλότυπα δεδομένων προσωπικού χαρακτήρα χωρίς την προηγούμενη γνώση των προσώπων/οργανισμών των οποίων τα δεδομένα συλλέγουμε, με εξαίρεση τα αντίγραφα ασφαλείας (backup) που απαιτούνται για τη σωστή επεξεργασία των δεδομένων και τα δεδομένα που απαιτούνται για τη συμμόρφωση με διάφορες νόμιμες υποχρεώσεις.

Θα καταστρέφουμε όλα τα έγγραφα και τα σύνολα δεδομένων που αφορούν συγκεκριμένο πρόσωπο/οργανισμό σύμφωνα με τη νομοθεσία περί προστασίας δεδομένων μετά τη λήξη της σχέσης παροχής υπηρεσιών με το πρόσωπο/τον οργανισμό αυτόν ή κατόπιν αιτήματός του. Θα παρέχουμε επίσης στο πρόσωπο/στον οργανισμό κάθε σχετική πληροφορία για τη φύση και τον χρόνο της διαγραφής των δεδομένων αυτών.

Θα διατηρούμε κάθε τεκμηρίωση που αποδεικνύει ότι ο χειρισμός των δεδομένων έγινε με ορθό τρόπο και μετά τη λήξη της σχέσης παροχής υπηρεσιών, σύμφωνα με τις αντίστοιχες περιόδους διατήρησης. Μπορούμε να απαλλαγούμε από την υποχρέωση αυτή παραδίδοντας κάθε τέτοια τεκμηρίωση στα ενδιαφερόμενα μέρη κατά τη λήξη της σχέσης παροχής υπηρεσιών.