Σύμβαση Επεξεργασίας Δεδομένων

1. Πεδίο εφαρμογής

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων («ΣΕΔ») εφαρμόζεται όταν η «ΠΡΟΣ ΕΠΙΒΕΒΑΙΩΣΗ: επωνυμία, αριθμός ΓΕΜΗ, ΑΦΜ και έδρα» («Didache», «εμείς», «Εκτελών») επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του οργανισμού-πελάτη («Πελάτης», «Υπεύθυνος Επεξεργασίας») κατά την παροχή της Υπηρεσίας.

Αποτελεί μέρος των όρων χρήσης μεταξύ των μερών και ενσωματώνεται σε αυτούς. Γίνεται αποδεκτή όταν ο Πελάτης αποδέχεται τους όρους ή υπογράφει έντυπο παραγγελίας που παραπέμπει σε αυτούς. «ΠΡΟΣ ΕΠΙΒΕΒΑΙΩΣΗ: εάν προσφέρεται αντίγραφο με υπογραφή σε πελάτες που το απαιτούν»

Οι όροι που ορίζονται στον ΓΚΠΔ — υπεύθυνος επεξεργασίας, εκτελών, προσωπικά δεδομένα, επεξεργασία, παραβίαση, υπεργολάβος, εποπτική αρχή — έχουν εδώ την ίδια έννοια.

2. Ρόλοι των μερών

Για τα προσωπικά δεδομένα των Εξουσιοδοτημένων Χρηστών του Πελάτη και της χρήσης της Υπηρεσίας από αυτούς, ο Πελάτης είναι ο υπεύθυνος επεξεργασίας και το Didache ο εκτελών την επεξεργασία.

Ο Πελάτης καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας. Ευθύνεται για τη νομιμότητα των δεδομένων που παρέχει ο ίδιος και οι χρήστες του, για την ύπαρξη νόμιμης βάσης και για την εκπλήρωση των δικών του υποχρεώσεων διαφάνειας προς τους ανθρώπους του.

Όπου το Didache επεξεργάζεται προσωπικά δεδομένα ως υπεύθυνος επεξεργασίας — για παράδειγμα διαχείριση λογαριασμών και επικοινωνίες — η επεξεργασία αυτή διέπεται από την πολιτική απορρήτου μας και όχι από την παρούσα.

3. Επεξεργασία βάσει καταγεγραμμένων εντολών

Το Didache επεξεργάζεται προσωπικά δεδομένα μόνο βάσει των καταγεγραμμένων εντολών του Πελάτη, περιλαμβανομένων των διαβιβάσεων προς τρίτη χώρα, εκτός εάν απαιτείται διαφορετικά από τον νόμο — οπότε θα ενημερώσουμε τον Πελάτη πριν από την επεξεργασία, εκτός εάν ο νόμος το απαγορεύει για σημαντικούς λόγους δημοσίου συμφέροντος.

Οι όροι χρήσης, η παρούσα ΣΕΔ με τα παραρτήματά της και η χρήση των λειτουργιών της Υπηρεσίας από τον Πελάτη συνιστούν το σύνολο των καταγεγραμμένων εντολών του.

Εάν θεωρήσουμε ότι μια εντολή παραβιάζει τη νομοθεσία προστασίας δεδομένων, θα ενημερώσουμε τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και μπορούμε να αναστείλουμε την εκτέλεσή της έως ότου επιβεβαιωθεί ή ανακληθεί.

Δεν πωλούμε προσωπικά δεδομένα και δεν τα χρησιμοποιούμε για δικούς μας σκοπούς, περιλαμβανομένης της ανάπτυξης ή εκπαίδευσης μοντέλων τεχνητής νοημοσύνης.

4. Εμπιστευτικότητα του προσωπικού

Το Didache διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται προσωπικά δεδομένα δεσμεύονται από κατάλληλη υποχρέωση εμπιστευτικότητας, συμβατική ή εκ του νόμου, και έχουν πρόσβαση μόνο στο μέτρο που απαιτείται για τα καθήκοντά τους.

Η πρόσβαση σε συστήματα παραγωγής που τηρούν προσωπικά δεδομένα περιορίζεται στο προσωπικό που τη χρειάζεται. «ΠΡΟΣ ΕΠΙΒΕΒΑΙΩΣΗ: ποιοι έχουν τέτοια πρόσβαση και ποιοι έλεγχοι εφαρμόζονται»

5. Ασφάλεια της επεξεργασίας

Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής, τη φύση, το πεδίο, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους για τα φυσικά πρόσωπα, το Didache εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για επίπεδο ασφάλειας ανάλογο του κινδύνου.

Τα ισχύοντα μέτρα περιγράφονται στο Παράρτημα ΙΙ. Μπορούμε να τα επικαιροποιούμε εφόσον δεν μειώνεται το επίπεδο ασφάλειας.

6. Υπεργολάβοι επεξεργασίας

Ο Πελάτης παρέχει γενική έγγραφη εξουσιοδότηση στο Didache να αναθέτει σε υπεργολάβους. Όσοι απασχολούνται κατά την ημερομηνία της παρούσας απαριθμούνται στο Παράρτημα ΙΙΙ και εξουσιοδοτούνται με την αποδοχή της.

Θα ειδοποιούμε τον Πελάτη τουλάχιστον 30 ημέρες πριν από την προσθήκη ή αντικατάσταση υπεργολάβου. Ο Πελάτης μπορεί να αντιταχθεί για εύλογους λόγους προστασίας δεδομένων εντός της προθεσμίας αυτής. Εάν δεν επιλυθεί η αντίρρηση, ο Πελάτης μπορεί να καταγγείλει το επηρεαζόμενο μέρος της Υπηρεσίας χωρίς ποινή, με αναλογική επιστροφή προπληρωμένων αμοιβών για την περίοδο που δεν χρησιμοποιήθηκε.

Κάθε υπεργολάβος δεσμεύεται με έγγραφη σύμβαση που επιβάλλει υποχρεώσεις προστασίας δεδομένων όχι λιγότερο προστατευτικές από τις παρούσες. Το Didache παραμένει πλήρως υπεύθυνο έναντι του Πελάτη για την εκπλήρωση των υποχρεώσεων κάθε υπεργολάβου.

7. Διεθνείς διαβιβάσεις

Όπου προσωπικά δεδομένα διαβιβάζονται εκτός Ευρωπαϊκού Οικονομικού Χώρου, το Didache διασφαλίζει κατάλληλο μηχανισμό διαβίβασης πριν αυτή λάβει χώρα.

Ο πάροχος AI επεξεργάζεται δεδομένα στις Ηνωμένες Πολιτείες. «ΠΡΟΣ ΕΠΙΒΕΒΑΙΩΣΗ: ο μηχανισμός διαβίβασης — Τυποποιημένες Συμβατικές Ρήτρες ή/και το Πλαίσιο Προστασίας Δεδομένων ΕΕ–ΗΠΑ — και επιβεβαίωση της ενότητας και έκδοσης, μόλις επαληθευτεί η συμβατική κατάσταση»

Ως συμπληρωματικό μέτρο, το Didache δεν διαβιβάζει το όνομα, τη διεύθυνση email ή το αναγνωριστικό χρήστη κανενός Εξουσιοδοτημένου Χρήστη στον πάροχο AI. Αποστέλλονται μόνο το περιεχόμενο της άσκησης, τα κριτήρια και η παραγόμενη απάντηση.

«ΠΡΟΣ ΕΠΙΒΕΒΑΙΩΣΗ: εάν οι Τυποποιημένες Συμβατικές Ρήτρες θα προσαρτηθούν ως παράρτημα και, εάν ναι, ποιες ενότητες και με ποιο περιεχόμενο»

8. Συνδρομή στα δικαιώματα των υποκειμένων

Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, το Didache συνδράμει τον Πελάτη με κατάλληλα τεχνικά και οργανωτικά μέτρα, στο μέτρο του δυνατού, στην εκπλήρωση της υποχρέωσής του να ανταποκρίνεται σε αιτήματα άσκησης δικαιωμάτων του Κεφαλαίου ΙΙΙ του ΓΚΠΔ.

Εάν υποκείμενο επικοινωνήσει απευθείας με το Didache για δεδομένα που επεξεργαζόμαστε για τον Πελάτη, δεν θα απαντήσουμε επί της ουσίας. Θα διαβιβάσουμε το αίτημα στον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και θα τον συνδράμουμε στην απάντηση.

Οι διαχειριστές του Πελάτη μπορούν να έχουν πρόσβαση, να διορθώνουν και να αφαιρούν προσωπικά δεδομένα των χρηστών τους μέσω της Υπηρεσίας. Όπου ένα αίτημα δεν μπορεί να ικανοποιηθεί μέσω της Υπηρεσίας, θα συνδράμουμε κατόπιν έγγραφης εντολής. «ΠΡΟΣ ΕΠΙΒΕΒΑΙΩΣΗ: εάν θα παρασχεθούν εργαλεία αυτοεξυπηρέτησης για εξαγωγή και διαγραφή και έως πότε — η υποχρέωση καλύπτεται σήμερα με χειροκίνητη συνδρομή»

9. Συνδρομή σε ασφάλεια, γνωστοποιήσεις και εκτιμήσεις

Λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που διαθέτουμε, το Didache συνδράμει τον Πελάτη στη συμμόρφωσή του με τα άρθρα 32 έως 36 του ΓΚΠΔ: ασφάλεια της επεξεργασίας, γνωστοποίηση παραβιάσεων στην εποπτική αρχή και στα υποκείμενα, εκτιμήσεις αντικτύπου και προηγούμενη διαβούλευση.

Συνδρομή πέραν της παροχής πληροφοριών που ήδη διαθέτουμε μπορεί να χρεωθεί με τις εκάστοτε ισχύουσες χρεώσεις μας, εκτός εάν απαιτείται λόγω δικής μας παράβασης της παρούσας.

10. Παραβίαση προσωπικών δεδομένων

Το Didache ενημερώνει τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός 72 ωρών αφότου λάβει γνώση παραβίασης προσωπικών δεδομένων που επεξεργάζεται για λογαριασμό του.

Η ενημέρωση περιγράφει, στο μέτρο που είναι γνωστά: τη φύση της παραβίασης και τις κατηγορίες και τον κατά προσέγγιση αριθμό υποκειμένων και εγγραφών· τις πιθανές συνέπειες· τα μέτρα που ελήφθησαν ή προτείνονται· και σημείο επικοινωνίας. Όπου η πλήρης εικόνα δεν είναι άμεσα διαθέσιμη, θα παρέχουμε πληροφορίες σταδιακά χωρίς περαιτέρω καθυστέρηση.

Το Didache δεν προβαίνει σε γνωστοποιήσεις προς εποπτικές αρχές ή υποκείμενα για λογαριασμό του Πελάτη, εκτός εάν απαιτείται από τον νόμο ή δοθεί ρητή έγγραφη εντολή· η σχετική εκτίμηση και γνωστοποίηση παραμένουν ευθύνη του Πελάτη ως υπευθύνου επεξεργασίας.

11. Πληροφόρηση και έλεγχοι

Το Didache θέτει στη διάθεση του Πελάτη τις πληροφορίες που απαιτούνται για την απόδειξη συμμόρφωσης με το άρθρο 28 του ΓΚΠΔ, μεταξύ άλλων απαντώντας σε εύλογα έγγραφα ερωτηματολόγια ασφάλειας και παρέχοντας διαθέσιμη τεκμηρίωση για τα μέτρα του Παραρτήματος ΙΙ.

Όπου οι πληροφορίες αυτές δεν επαρκούν, ο Πελάτης μπορεί να διενεργήσει έλεγχο, ο ίδιος ή μέσω ανεξάρτητου ελεγκτή δεσμευόμενου από εμπιστευτικότητα, το πολύ μία φορά ανά δωδεκάμηνο, με έγγραφη ειδοποίηση τουλάχιστον 30 ημερών, εντός ωραρίου εργασίας και κατά τρόπο που δεν διαταράσσει την Υπηρεσία ούτε θίγει την εμπιστευτικότητα δεδομένων άλλων πελατών. Συχνότεροι έλεγχοι επιτρέπονται εφόσον απαιτηθούν από εποπτική αρχή ή μετά από επιβεβαιωμένη παραβίαση.

Κάθε μέρος φέρει τα δικά του έξοδα, και ο Πελάτης το κόστος τυχόν ελεγκτή που ορίζει.

12. Επιστροφή και διαγραφή

Με τη λύση ή λήξη της Υπηρεσίας, το Didache, κατ' επιλογή του Πελάτη, επιστρέφει τα προσωπικά δεδομένα σε ευρέως χρησιμοποιούμενη μηχαναγνώσιμη μορφή ή τα διαγράφει, εντός «ΠΡΟΣ ΕΠΙΒΕΒΑΙΩΣΗ: αριθμός» ημερών από τη λήξη.

Ο Πελάτης μπορεί να επιλέξει οποτεδήποτε πριν από τη λήξη της προθεσμίας. Ελλείψει εντολής, θα διαγράψουμε τα δεδομένα στο τέλος της περιόδου.

Μπορούμε να διατηρήσουμε δεδομένα στο μέτρο που απαιτεί ο νόμος, οπότε θα τα τηρήσουμε μόνο για όσο απαιτείται και θα εξακολουθήσουμε να τα προστατεύουμε βάσει της παρούσας.

Αντίγραφα σε τακτικά αντίγραφα ασφαλείας διαγράφονται κατά τη συνήθη πορεία του κύκλου τήρησης. «ΠΡΟΣ ΕΠΙΒΕΒΑΙΩΣΗ: ο κύκλος τήρησης αντιγράφων ασφαλείας, μόλις επιβεβαιωθεί»

13. Υποχρεώσεις του Πελάτη

Ο Πελάτης εγγυάται ότι διαθέτει νόμιμη βάση για την επεξεργασία που εντέλλεται και ότι έχει παράσχει στους χρήστες του τις πληροφορίες των άρθρων 13 και 14 του ΓΚΠΔ — περιλαμβανομένου, όπου χρησιμοποιεί τις λειτουργίες αναφορών, ότι η δραστηριότητα και τα αποτελέσματά τους είναι ορατά στους υπευθύνους τους.

Ο Πελάτης δεν θα εντέλλεται επεξεργασία ειδικών κατηγοριών δεδομένων του άρθρου 9 ούτε δεδομένων ποινικών καταδικών, και θα οδηγεί τους χρήστες του να μην εισάγουν τέτοια δεδομένα σε πεδία ελεύθερου κειμένου όπως prompts, υποβολές και συνημμένα. Η Υπηρεσία δεν έχει σχεδιαστεί για τη διαφύλαξή τους.

Ο Πελάτης ευθύνεται για την ακρίβεια των δεδομένων που παρέχει και για την επικαιροποίηση του καταλόγου των Εξουσιοδοτημένων Χρηστών.

14. Ευθύνη

Οι περιορισμοί και εξαιρέσεις ευθύνης των όρων χρήσης ισχύουν και για την παρούσα και για κάθε αξίωση που απορρέει από αυτήν, εκτός όπου η νομοθεσία προστασίας δεδομένων δεν το επιτρέπει.

Ουδέν στην παρούσα περιορίζει την ευθύνη οποιουδήποτε μέρους έναντι υποκειμένου βάσει του άρθρου 82 του ΓΚΠΔ.

15. Ιεράρχηση

Σε περίπτωση σύγκρουσης, η παρούσα υπερισχύει των όρων χρήσης ως προς την επεξεργασία προσωπικών δεδομένων. Όπου συμφωνηθούν Τυποποιημένες Συμβατικές Ρήτρες, αυτές υπερισχύουν της παρούσας ως προς τις διαβιβάσεις που ρυθμίζουν.

16. Εφαρμοστέο δίκαιο

Η παρούσα διέπεται από το δίκαιο που ορίζεται στους όρους χρήσης, με την επιφύλαξη αναγκαστικού δικαίου διατάξεων προστασίας δεδομένων. «ΠΡΟΣ ΕΠΙΒΕΒΑΙΩΣΗ: επιβεβαίωση εναρμόνισης με το εφαρμοστέο δίκαιο των όρων χρήσης»

Παράρτημα Ι — Στοιχεία της επεξεργασίας

Αντικείμενο: παροχή της πλατφόρμας μάθησης Didache στον Πελάτη.

Διάρκεια: η διάρκεια της σύμβασης, πλέον της περιόδου επιστροφής ή διαγραφής της ενότητας 12.

Φύση και σκοπός: φιλοξενία και λειτουργία πλατφόρμας εταιρικής μάθησης, περιλαμβανομένης της παροχής εκπαιδευτικού περιεχομένου, της παραγωγής και αυτόματης βαθμολόγησης υποβολών, του προγραμματισμού εξάσκησης, της καταγραφής προόδου και της παραγωγής αναφορών για τους διαχειριστές και υπευθύνους του Πελάτη.

Κατηγορίες υποκειμένων: εργαζόμενοι και συνεργάτες του Πελάτη με λογαριασμούς ως εκπαιδευόμενοι, υπεύθυνοι ή αξιολογητές, και οι διαχειριστές του Πελάτη.

Κατηγορίες δεδομένων: στοιχεία ταυτότητας και επικοινωνίας (όνομα, email, εικόνα προφίλ, γλώσσα, ζώνη ώρας)· αναγνωριστικά ταυτοποίησης· περιεχόμενο που συντάσσουν οι χρήστες (prompts, υποβολές, συνημμένα και αποθηκευμένα prompts), το οποίο είναι ελεύθερο κείμενο και μπορεί να περιέχει ό,τι εισάγει ο συντάκτης· δεδομένα αξιολόγησης (παραγόμενες απαντήσεις, βαθμολογίες ανά κριτήριο, απαντήσεις κουίζ)· δεδομένα δραστηριότητας και προόδου (πρόοδος μαθημάτων, πόντοι εμπειρίας, εμβλήματα, σερί, προγραμματισμός εξάσκησης, ειδοποιήσεις)· και οργανωτικά αρχεία (ιδιότητα μέλους, ρόλοι και ιστορικό σημαντικών αλλαγών).

Ειδικές κατηγορίες δεδομένων: καμία. Ο Πελάτης δεν επιτρέπεται να εντέλλεται επεξεργασία ειδικών κατηγοριών, και το Παράρτημα ΙΙ δεν περιγράφει μέτρα ειδικά για αυτές.

Συχνότητα επεξεργασίας: συνεχής, καθ' όλη τη διάρκεια της σύμβασης.

Παράρτημα ΙΙ — Τεχνικά και οργανωτικά μέτρα

Έλεγχος πρόσβασης και απομόνωση: κάθε πίνακας της βάσης προστατεύεται με ασφάλεια σε επίπεδο εγγραφής, την οποία επιβάλλει η ίδια η βάση και όχι ο κώδικας της εφαρμογής, ώστε τα δεδομένα ενός οργανισμού να μην είναι προσβάσιμα από άλλον ακόμη κι αν τα ζητούσε η εφαρμογή. Η πρόσβαση εντός οργανισμού διέπεται από ρόλους, και η συμμετοχή σε μαθησιακή δραστηριότητα απαιτεί τον αντίστοιχο ρόλο και όχι απλή ιδιότητα μέλους.

Ταυτοποίηση: οι κωδικοί πρέπει να έχουν τουλάχιστον 12 χαρακτήρες· τα διακριτικά πρόσβασης λήγουν μετά από μία ώρα· τα διακριτικά ανανέωσης εναλλάσσονται. Η δημόσια εγγραφή είναι απενεργοποιημένη — λογαριασμοί υπάρχουν μόνο κατόπιν πρόσκλησης του Πελάτη. Στην παραγωγή, τα διακριτικά συνεδρίας τηρούνται στη μνήμη και δεν εγγράφονται στο πρόγραμμα περιήγησης.

Αποθήκευση: οι εικόνες προφίλ τηρούνται σε ιδιωτικό χώρο αποθήκευσης με επιβαλλόμενους περιορισμούς τύπου και μεγέθους αρχείου, όχι σε δημόσια διεύθυνση. Τα συνημμένα υπόκεινται σε όρια μεγέθους και έκτασης.

Ελαχιστοποίηση δεδομένων προς τον υπεργολάβο AI: δεν διαβιβάζονται στοιχεία ταυτότητας· αποστέλλονται μόνο το περιεχόμενο της άσκησης, τα κριτήρια και η παραγόμενη έξοδος.

Κρυπτογράφηση: τα προσωπικά δεδομένα κρυπτογραφούνται κατά τη μεταφορά μέσω TLS. «ΠΡΟΣ ΕΠΙΒΕΒΑΙΩΣΗ: κρυπτογράφηση σε ηρεμία όπως παρέχεται από κάθε πάροχο φιλοξενίας, να δηλωθεί μόλις επιβεβαιωθεί»

Διαχωρισμός περιβαλλόντων: το staging και η παραγωγή λειτουργούν ως χωριστά έργα με χωριστά διαπιστευτήρια.

Λογοδοσία: οι σημαντικές αλλαγές καταγράφονται σε ιστορικό ενεργειών που προσδιορίζει τον ενεργούντα, την οντότητα και τη μεταβολή.

Ασφαλής ανάπτυξη: οι αλλαγές περνούν αυτοματοποιημένο έλεγχο τύπων, στατικό έλεγχο, έλεγχο ορίου ταυτοποίησης και αυτοματοποιημένη σουίτα δοκιμών πριν από την έκδοση· οι εξαρτήσεις ελέγχονται τακτικά για γνωστές ευπάθειες.

Διαθεσιμότητα: «ΠΡΟΣ ΕΠΙΒΕΒΑΙΩΣΗ: πρόγραμμα και τήρηση αντιγράφων ασφαλείας και ημερομηνία τελευταίας δοκιμής επαναφοράς — τα αντίγραφα είναι ρυθμισμένα αλλά η επαναφορά δεν έχει δοκιμαστεί σε περιβάλλον παραγωγής και το μέτρο δεν πρέπει να δηλωθεί πριν δοκιμαστεί»

Παρακολούθηση: «ΠΡΟΣ ΕΠΙΒΕΒΑΙΩΣΗ: η παρακολούθηση σφαλμάτων και οι ειδοποιήσεις δεν έχουν ακόμη εγκατασταθεί. Το παράρτημα πρέπει να περιγράφει τις πραγματικά υφιστάμενες ρυθμίσεις πριν η ΣΕΔ προσφερθεί σε πελάτη, καθώς ο εντοπισμός παραβιάσεων της ενότητας 10 εξαρτάται από αυτές»

Παράρτημα ΙΙΙ — Εξουσιοδοτημένοι υπεργολάβοι

Οι ακόλουθοι υπεργολάβοι είναι εξουσιοδοτημένοι κατά την ημερομηνία της παρούσας. «ΠΡΟΣ ΕΠΙΒΕΒΑΙΩΣΗ: η ακριβής περιοχή επεξεργασίας για Railway και Sentry, και η επωνυμία του παρόχου email»