Συμφωνία Επεξεργασίας Δεδομένων του CMS.Kids

1. Αντικείμενο, διάρκεια, φύση και σκοπός

1.1. Η EMODAS επεξεργάζεται, για λογαριασμό του Πελάτη, τα δεδομένα προσωπικού χαρακτήρα που ο Πελάτης και οι χρήστες του καταχωρίζουν στο CMS.Kids.

1.2. Σκοπός: η παροχή της υπηρεσίας CMS.Kids — αρχεία παιδιών και γονέων, ομάδες, πρόγραμμα, παρουσίες, αναφορές, χρεώσεις και τιμολόγια, επικοινωνία με τους γονείς.

1.3. Φύση της επεξεργασίας: αποθήκευση, οργάνωση, εμφάνιση στους χρήστες, μεταβολή, αποστολή email και ειδοποιήσεων push, δημιουργία εγγράφων PDF, διαγραφή.

1.4. Διάρκεια: για όσο χρόνο ο Πελάτης χρησιμοποιεί την υπηρεσία και στη συνέχεια έως τη διαγραφή των δεδομένων σύμφωνα με την ενότητα 8.

2. Υποκείμενα και κατηγορίες δεδομένων

Οι πληροφορίες υγείας (ασθένεια, διατροφή, αλλεργίες) ανήκουν στις ειδικές κατηγορίες δεδομένων και υποβάλλονται σε επεξεργασία μόνο εάν τις καταχωρίσει ο ίδιος ο Πελάτης.

3. Επεξεργασία μόνο βάσει εντολών του Πελάτη

3.1. Η EMODAS επεξεργάζεται τα δεδομένα μόνο βάσει καταγεγραμμένων εντολών του Πελάτη, μεταξύ άλλων όσον αφορά τη διαβίβαση δεδομένων σε τρίτες χώρες. Εντολές αποτελούν η παρούσα Συμφωνία, οι Όροι Χρήσης, οι ενέργειες των χρηστών του Πελάτη στο σύστημα και τα μηνύματα email του Πελάτη προς info@cms.kids.

3.2. Εάν το δίκαιο της Ένωσης ή κράτους μέλους υποχρεώνει την EMODAS σε διαφορετική επεξεργασία, η EMODAS ενημερώνει τον Πελάτη πριν από την επεξεργασία, εκτός εάν το δίκαιο αυτό απαγορεύει την ενημέρωση.

3.3. Η EMODAS ενημερώνει αμέσως τον Πελάτη εάν, κατά την άποψή της, μια εντολή παραβιάζει τον GDPR ή άλλες διατάξεις για την προστασία δεδομένων.

4. Εμπιστευτικότητα

Πρόσβαση στα δεδομένα του Πελάτη έχουν μόνο τα πρόσωπα της EMODAS που τη χρειάζονται για τη λειτουργία και την υποστήριξη της υπηρεσίας. Όλα δεσμεύονται από υποχρέωση εμπιστευτικότητας, συμβατική ή εκ του νόμου.

5. Μέτρα ασφάλειας

Η EMODAS εφαρμόζει τα μέτρα που απαιτεί το άρθρο 32 του GDPR:

• ο διακομιστής και τα δεδομένα βρίσκονται σε κέντρο δεδομένων στη Γερμανία·
• όλες οι συνδέσεις με την υπηρεσία είναι κρυπτογραφημένες (HTTPS, TLS 1.2/1.3, HSTS)·
• η βάση δεδομένων και το εσωτερικό API δεν είναι προσβάσιμα από το διαδίκτυο·
• οι κωδικοί πρόσβασης αποθηκεύονται μόνο ως hash bcrypt· οι σύνδεσμοι μίας χρήσης στα email αποθηκεύονται ως hash και λήγουν εντός 7 ημερών·
• οι συνεδρίες τηρούνται σε cookies με τις σημαίες HttpOnly και Secure·
• η πρόσβαση βασίζεται σε ρόλους (διευθυντής, εκπαιδευτικός, γονέας)· τα στοιχεία επικοινωνίας των γονέων είναι ορατά μόνο στο προσωπικό με ειδική άδεια·
• τα δεδομένα διαφορετικών πελατών διαχωρίζονται σε επίπεδο κάθε ερωτήματος προς τη βάση δεδομένων·
• οι φωτογραφίες και τα αρχεία παρέχονται μόνο σε πιστοποιημένους χρήστες του Πελάτη·
• ο αριθμός προσπαθειών σύνδεσης από μία διεύθυνση IP είναι περιορισμένος·
• τα σενάρια (scripts) τρίτων αποκλείονται (Content Security Policy)· δεν υπάρχουν cookies ανάλυσης ή διαφήμισης·
• τα αρχεία καταγραφής του διακομιστή web έχουν περιορισμένο μέγεθος και οι παλαιότερες εγγραφές διαγράφονται αυτόματα·
• οι ενημερώσεις ασφαλείας του λειτουργικού συστήματος εγκαθίστανται αυτόματα·
• τα αντίγραφα ασφαλείας δημιουργούνται καθημερινά, φυλάσσονται από τη Hetzner στη Γερμανία και διαγράφονται αυτόματα το αργότερο εντός 7 ημερών· τα προσωρινά αντίγραφα που δημιουργούνται πριν από ενημερώσεις του συστήματος διατηρούνται για όχι περισσότερο από 30 ημέρες.

6. Υπεκτελούντες την επεξεργασία

6.1. Ο Πελάτης παρέχει γενική άδεια για τη χρήση των υπεκτελούντων την επεξεργασία που αναφέρονται παρακάτω.

6.2. Η EMODAS ενημερώνει τον Πελάτη με email τουλάχιστον 30 ημέρες πριν από την προσθήκη ή αντικατάσταση υπεκτελούντος. Ο Πελάτης μπορεί να αντιταχθεί εντός της προθεσμίας αυτής· εάν δεν επιτευχθεί συμφωνία, ο Πελάτης μπορεί να διακόψει τη χρήση της υπηρεσίας.

6.3. Η EMODAS επιβάλλει συμβατικά σε κάθε υπεκτελούντα υποχρεώσεις προστασίας δεδομένων όχι λιγότερο αυστηρές από τις παρούσες και παραμένει υπεύθυνη έναντι του Πελάτη για την εκπλήρωσή τους.

6.4. Δεδομένα διαβιβάζονται εκτός ΕΟΧ μόνο με τις εγγυήσεις του Κεφαλαίου V του GDPR: απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής (συμπεριλαμβανομένου του Πλαισίου Προστασίας Δεδομένων ΕΕ–ΗΠΑ) ή τυποποιημένες συμβατικές ρήτρες της ΕΕ.

7. Συνδρομή προς τον Πελάτη

7.1. Η EMODAS συνδράμει τον Πελάτη στην απάντηση αιτημάτων των υποκειμένων των δεδομένων: πρόσβαση, διόρθωση, διαγραφή, περιορισμός της επεξεργασίας, φορητότητα και εναντίωση. Αίτημα που λαμβάνει απευθείας η EMODAS διαβιβάζεται στον Πελάτη χωρίς καθυστέρηση.

7.2. Η EMODAS ενημερώνει τον Πελάτη για παραβίαση δεδομένων προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση αφότου λάβει γνώση αυτής. Η ενημέρωση αναφέρει τι συνέβη, ποια δεδομένα και ποια υποκείμενα επηρεάζονται, τις πιθανές συνέπειες και τα μέτρα που ελήφθησαν. Ό,τι δεν είναι ακόμη γνωστό παρέχεται μόλις καταστεί διαθέσιμο.

7.3. Λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που διαθέτει, η EMODAS συνδράμει τον Πελάτη στις υποχρεώσεις του βάσει των άρθρων 32–36 του GDPR: ασφάλεια, γνωστοποίηση στην εποπτική αρχή και ανακοίνωση στα υποκείμενα, εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων, προηγούμενη διαβούλευση.

8. Διαγραφή ή επιστροφή δεδομένων

Μετά τη λήξη της χρήσης της υπηρεσίας, η EMODAS, κατ’ επιλογή του Πελάτη, επιστρέφει σε αυτόν τα δεδομένα προσωπικού χαρακτήρα ή τα διαγράφει, και διαγράφει όλα τα υφιστάμενα αντίγραφα, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους απαιτεί την αποθήκευσή τους. Αντίγραφο των δεδομένων σε μηχαναγνώσιμη μορφή παρέχεται κατόπιν αιτήματος στο info@cms.kids που υποβάλλεται πριν από το κλείσιμο του χώρου εργασίας. Τα δεδομένα, συμπεριλαμβανομένων των αντιγράφων ασφαλείας, διαγράφονται το αργότερο 30 ημέρες μετά το κλείσιμο.

9. Απόδειξη συμμόρφωσης

Η EMODAS θέτει στη διάθεση του Πελάτη κάθε πληροφορία που απαιτείται για την απόδειξη της συμμόρφωσης με την παρούσα Συμφωνία και το άρθρο 28 του GDPR και επιτρέπει και διευκολύνει ελέγχους, συμπεριλαμβανομένων επιθεωρήσεων, από τον Πελάτη ή από ελεγκτή που αυτός εξουσιοδοτεί. Ο έλεγχος συμφωνείται τουλάχιστον 30 ημέρες νωρίτερα, διενεργείται το πολύ μία φορά τον χρόνο (εκτός μετά από παραβίαση ή κατόπιν αιτήματος εποπτικής αρχής), με έξοδα του Πελάτη και χωρίς πρόσβαση σε δεδομένα άλλων πελατών.

10. Περιορισμός ευθύνης

Η συνολική ευθύνη της EMODAS έναντι του Πελάτη βάσει της παρούσας Συμφωνίας περιορίζεται στο ποσό που κατέβαλε ο Πελάτης για την υπηρεσία κατά τους 12 μήνες πριν από το περιστατικό, και πάντως όχι λιγότερο από 500 €. Ο περιορισμός δεν εφαρμόζεται σε ευθύνη που δεν μπορεί να περιοριστεί κατά το εφαρμοστέο δίκαιο.

11. Τελικές διατάξεις

Η παρούσα Συμφωνία ισχύει μαζί με τους Όρους Χρήσης και υπερισχύει αυτών σε θέματα προστασίας δεδομένων. Η EMODAS ενημερώνει τον Πελάτη για νέα έκδοση με email και η νέα έκδοση γίνεται εκ νέου αποδεκτή στο σύστημα. Η παρούσα Συμφωνία συντάσσεται στη ρωσική, την αγγλική και την ελληνική γλώσσα· σε περίπτωση απόκλισης υπερισχύει η αγγλική έκδοση.