Συμμόρφωση με τον ΓΚΠΔ

Εισαγωγή

Η Livappy OÜ (Lõkke 12, 10122 Tallinn, Estonia) δεσμεύεται για την πλήρη συμμόρφωση με τον Γενικό Κανονισμό για την Προστασία Δεδομένων (ΓΚΠΔ) της Ευρωπαϊκής Ένωσης σε όλες τις δραστηριότητές της. Η παρούσα Πολιτική Συμμόρφωσης με τον ΓΚΠΔ λειτουργεί τόσο ως εσωτερική κατευθυντήρια γραμμή όσο και ως δημόσια δήλωση του τρόπου με τον οποίο η Livappy διασφαλίζει την προστασία των δεδομένων και της ιδιωτικότητας σύμφωνα με τον ΓΚΠΔ.

Για οποιαδήποτε ερώτηση ή ανησυχία σχετικά με την παρούσα πολιτική ή την προστασία δεδομένων στη Livappy, επικοινωνήστε μαζί μας στο info@livappy.com.

Πεδίο εφαρμογής

Η παρούσα πολιτική εφαρμόζεται σε όλες τις δραστηριότητες επεξεργασίας δεδομένων προσωπικού χαρακτήρα που διενεργεί η Livappy OÜ στο πλαίσιο της παροχής υπηρεσιών σε πρόσωπα εντός της Ευρωπαϊκής Ένωσης. Ως εταιρεία εγκατεστημένη στην ΕΕ, η Livappy υπάγεται στη δικαιοδοσία του ΓΚΠΔ για κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα προσώπων που βρίσκονται στην ΕΕ¹. Στην πράξη, αυτό σημαίνει ότι κάθε πληροφορία προσωπικού χαρακτήρα που συλλέγεται, χρησιμοποιείται, αποθηκεύεται ή με άλλον τρόπο υφίσταται επεξεργασία από τη Livappy – είτε προέρχεται από πελάτες, χρήστες, εργαζομένους ή συνεργάτες σε όλη την ΕΕ – αντιμετωπίζεται σύμφωνα με τις απαιτήσεις του ΓΚΠΔ.

Η Livappy είναι αφοσιωμένη στη διασφάλιση ότι οι αρχές και οι κανόνες του ΓΚΠΔ διέπουν κάθε σχετική επεξεργασία δεδομένων, ανεξάρτητα από τη χώρα της ΕΕ στην οποία διαμένει το υποκείμενο των δεδομένων. Αναγνωρίζουμε ότι ο ΓΚΠΔ προστατεύει τα θεμελιώδη δικαιώματα ιδιωτικότητας των προσώπων στην ΕΕ και μας επιβάλλει υποχρεώσεις κάθε φορά που διαχειριζόμαστε δεδομένα προσωπικού χαρακτήρα προσώπων στην ΕΕ².

Βάσει της παρούσας πολιτικής, οι δραστηριότητες της Livappy που καλύπτονται από τον ΓΚΠΔ περιλαμβάνουν (χωρίς να περιορίζονται σε αυτές): τη συλλογή δεδομένων προσωπικού χαρακτήρα από χρήστες και πελάτες, την αποθήκευση ή φιλοξενία των δεδομένων αυτών (για παράδειγμα, στους διακομιστές μας στο cloud), την ανάλυση δεδομένων προσωπικού χαρακτήρα για επιχειρηματικούς σκοπούς και την κοινοποίηση δεδομένων σε εξουσιοδοτημένους παρόχους υπηρεσιών. Όλες αυτές οι δραστηριότητες εκτελούνται σε συμμόρφωση με τον ΓΚΠΔ και εντός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ) ή βάσει εγκεκριμένων μηχανισμών διαβίβασης όταν τα δεδομένα μεταφέρονται εκτός του ΕΟΧ. Συνοπτικά, εάν η Livappy επεξεργάζεται δεδομένα προσωπικού χαρακτήρα προσώπου στην ΕΕ, η επεξεργασία αυτή εμπίπτει στο πεδίο εφαρμογής της παρούσας πολιτικής και της συμμόρφωσης με τον ΓΚΠΔ.

Διαφάνεια

Η Livappy τηρεί την αρχή της διαφάνειας ενημερώνοντας με σαφήνεια τα υποκείμενα των δεδομένων σχετικά με τον τρόπο που συλλέγουμε, χρησιμοποιούμε και κοινοποιούμε τις πληροφορίες προσωπικού χαρακτήρα τους. Ο ΓΚΠΔ απαιτεί από τους οργανισμούς να είναι ανοιχτοί και ειλικρινείς σχετικά με τα δεδομένα προσωπικού χαρακτήρα που συγκεντρώνουν και τους σκοπούς για τους οποίους αυτά χρησιμοποιούνται³. Σύμφωνα με αυτό, η Livappy παρέχει στα υποκείμενα των δεδομένων ολοκληρωμένες ενημερώσεις για την προστασία της ιδιωτικότητας κάθε φορά που συλλέγουμε δεδομένα προσωπικού χαρακτήρα. Οι ενημερώσεις αυτές (όπως η Πολιτική Απορρήτου μας) περιγράφουν αναλυτικά όλες τις υποχρεωτικές πληροφορίες, μεταξύ των οποίων:

Ταυτότητα του υπευθύνου επεξεργασίας:

Προσδιορίζουμε τη Livappy OÜ ως υπεύθυνο επεξεργασίας και παρέχουμε τα στοιχεία επικοινωνίας μας (διεύθυνση και email) σε όλες τις ανακοινώσεις σχετικά με την ιδιωτικότητα.

Συλλογή και χρήση δεδομένων:

Εξηγούμε ποια δεδομένα προσωπικού χαρακτήρα συλλέγουμε, καθώς και πώς και γιατί τα συλλέγουμε. Αυτό περιλαμβάνει τις κατηγορίες των δεδομένων (π.χ. όνομα, στοιχεία επικοινωνίας, έγγραφα ταυτοποίησης κ.λπ.) και τους σκοπούς για τους οποίους υφίστανται επεξεργασία (όπως η παροχή των υπηρεσιών μας, η επαλήθευση ταυτότητας, η υποστήριξη πελατών, το μάρκετινγκ κ.λπ.).

Νομικές βάσεις:

Για κάθε δραστηριότητα επεξεργασίας, προσδιορίζουμε τη νομική βάση βάσει του ΓΚΠΔ που τη δικαιολογεί – για παράδειγμα, εάν βασιζόμαστε στη συγκατάθεση του χρήστη, στην αναγκαιότητα εκτέλεσης σύμβασης, σε νομική υποχρέωση ή σε έννομα συμφέροντα. Διασφαλίζουμε ότι κανένα δεδομένο προσωπικού χαρακτήρα δεν υφίσταται επεξεργασία χωρίς έγκυρη νομική βάση βάσει των άρθρων 6 και 9 του ΓΚΠΔ.

Διατήρηση δεδομένων:

Ενημερώνουμε τα πρόσωπα για το πόσο χρόνο διατηρούμε τα δεδομένα προσωπικού χαρακτήρα. Η Livappy δεσμεύεται στον περιορισμό της αποθήκευσης, δηλαδή διατηρεί τα δεδομένα προσωπικού χαρακτήρα μόνο για όσο διάστημα είναι αναγκαίο για την εκπλήρωση των δηλωμένων σκοπών ή όσο απαιτείται από τον νόμο, μετά το οποίο τα δεδομένα διαγράφονται με ασφάλεια ή ανωνυμοποιούνται.

Αποδέκτες δεδομένων:

Γνωστοποιούμε τυχόν τρίτα μέρη ή συνεργάτες που ενδέχεται να λάβουν δεδομένα προσωπικού χαρακτήρα. Αυτό περιλαμβάνει την επισήμανση του εάν τα δεδομένα προσωπικού χαρακτήρα κοινοποιούνται στους παρόχους υπηρεσιών ή στους εκτελούντες την επεξεργασία για λογαριασμό μας (για παράδειγμα, παρόχους φιλοξενίας cloud, υπηρεσίες επαλήθευσης ταυτότητας, εργαλεία αναλυτικών στοιχείων) και τη διασφάλιση ότι τα πρόσωπα γνωρίζουν τις κατηγορίες των αποδεκτών.

Δικαιώματα και επικοινωνία:

Ενημερώνουμε τα πρόσωπα για τα δικαιώματά τους ως υποκειμένων των δεδομένων βάσει του ΓΚΠΔ (τα οποία αναλύονται στην επόμενη ενότητα) και παρέχουμε σαφείς οδηγίες για τον τρόπο άσκησης των δικαιωμάτων αυτών, συμπεριλαμβανομένης της επικοινωνίας μαζί μας στο info@livappy.com. Στις ενημερώσεις μας για την ιδιωτικότητα περιλαμβάνουμε επίσης το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή και άλλες απαιτούμενες πληροφορίες.

Όλες οι πληροφορίες σχετικά με την ιδιωτικότητα παρουσιάζονται σε συνοπτική, διαφανή και εύκολα προσβάσιμη μορφή, με σαφή γλώσσα, όπως απαιτεί ο ΓΚΠΔ. Η Livappy παρέχει τις πληροφορίες αυτές κατά τον χρόνο συλλογής των δεδομένων (ή, εάν αυτά λαμβάνονται από τρίτους, στην πρώτη δυνατή ευκαιρία σύμφωνα με τα άρθρα 13 και 14 του ΓΚΠΔ). Δεσμευόμαστε να επικαιροποιούμε τις ενημερώσεις μας για την ιδιωτικότητα κάθε φορά που αλλάζουν οι πρακτικές επεξεργασίας δεδομένων μας και θα ανακοινώνουμε άμεσα κάθε σημαντική αλλαγή, ώστε να διασφαλίζεται συνεχής διαφάνεια. Κατ’ ουσίαν, η Livappy προσπαθεί να διασφαλίσει ότι τα πρόσωπα δεν αγνοούν ποτέ τον τρόπο διαχείρισης των δεδομένων τους, ενισχύοντας την εμπιστοσύνη και ανταποκρινόμενη στα υψηλά πρότυπα διαφάνειας του ΓΚΠΔ³.

Δικαιώματα των υποκειμένων των δεδομένων

Βάσει του ΓΚΠΔ, στα φυσικά πρόσωπα (υποκείμενα των δεδομένων) παρέχονται ισχυρά δικαιώματα σχετικά με τα δεδομένα προσωπικού χαρακτήρα τους, και η Livappy δεσμεύεται πλήρως να διευκολύνει και να τηρεί τα δικαιώματα αυτά. Τα δικαιώματα που παρέχονται στα υποκείμενα των δεδομένων περιλαμβάνουν: το δικαίωμα ενημέρωσης, το δικαίωμα πρόσβασης, το δικαίωμα διόρθωσης, το δικαίωμα διαγραφής («δικαίωμα στη λήθη»), το δικαίωμα περιορισμού της επεξεργασίας, το δικαίωμα στη φορητότητα των δεδομένων, το δικαίωμα εναντίωσης στην επεξεργασία και το δικαίωμα να μην υπόκειται σε απόφαση που βασίζεται αποκλειστικά σε αυτοματοποιημένη επεξεργασία (συμπεριλαμβανομένης της κατάρτισης προφίλ)⁴. Αναγνωρίζουμε όλα αυτά τα δικαιώματα και έχουμε θεσπίσει διαδικασίες για τη διευκόλυνση της άσκησής τους.

Άσκηση των δικαιωμάτων

Η Livappy διαθέτει φιλικές προς τον χρήστη διαδικασίες για την άσκηση των δικαιωμάτων που παρέχει ο ΓΚΠΔ στα φυσικά πρόσωπα. Τα υποκείμενα των δεδομένων μπορούν να υποβάλλουν αιτήματα ανά πάσα στιγμή επικοινωνώντας μαζί μας στο info@livappy.com. Παρέχουμε επίσης ηλεκτρονικές φόρμες ή ρυθμίσεις εντός της εφαρμογής (όπου εφαρμόζεται) για να απλοποιήσουμε την υποβολή αιτημάτων πρόσβασης, διόρθωσης, διαγραφής κ.λπ.

Όταν λαμβάνεται ένα αίτημα, η Livappy:

Επαληθεύει το αίτημα:

Για λόγους ασφάλειας, ενδέχεται να χρειαστεί να επαληθεύσουμε την ταυτότητα του αιτούντος, ώστε να διασφαλιστεί ότι τα δεδομένα προσωπικού χαρακτήρα δεν αποκαλύπτονται σε μη εξουσιοδοτημένο πρόσωπο. Αυτό μπορεί να περιλαμβάνει το αίτημα πρόσθετων πληροφοριών ή ταυτοποίησης, εάν το αίτημα υποβάλλεται από email ή λογαριασμό που δεν μας είναι ήδη γνωστός.

Απαντά εγκαίρως:

Απαντούμε σε όλα τα αιτήματα των υποκειμένων των δεδομένων χωρίς αδικαιολόγητη καθυστέρηση και εντός ενός μηνός από την παραλαβή, όπως απαιτεί ο ΓΚΠΔ⁶. Εάν ένα αίτημα είναι πολύπλοκο ή τα αιτήματα είναι πολυάριθμα, ενδέχεται να παρατείνουμε την προθεσμία αυτή κατά δύο επιπλέον μήνες, αλλά θα ενημερώσουμε τον αιτούντα για την παράταση και τους λόγους της εντός της αρχικής προθεσμίας του ενός μηνός. Σε κάθε περίπτωση, η κατάσταση και το αποτέλεσμα του αιτήματος θα ανακοινώνονται με σαφήνεια.

Ικανοποιεί το αίτημα όταν αυτό είναι εφικτό:

Εάν το αίτημα είναι έγκυρο και δεν εφαρμόζεται κάποια νομική εξαίρεση, η Livappy θα ικανοποιήσει το αίτημα. Για παράδειγμα, θα παρέχουμε αντίγραφο των δεδομένων προσωπικού χαρακτήρα του προσώπου που επεξεργαζόμαστε (δικαίωμα πρόσβασης), θα διορθώνουμε τυχόν ανακρίβειες (διόρθωση), θα διαγράφουμε δεδομένα εφόσον ζητηθεί και εφόσον δεν υπάρχει υπερισχύων νόμιμος λόγος που το εμποδίζει (διαγραφή) ή θα παύουμε ορισμένες επεξεργασίες κατόπιν αιτημάτων εναντίωσης ή περιορισμού, πάντοτε σύμφωνα με τις προϋποθέσεις του ΓΚΠΔ. Όταν ζητείται φορητότητα των δεδομένων, θα παρέχουμε τα δεδομένα προσωπικού χαρακτήρα σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανήματα μορφότυπο.

Εξηγεί κάθε άρνηση ή περιορισμό:

Στη σπάνια περίπτωση που δεν μπορούμε να ικανοποιήσουμε ένα αίτημα (για παράδειγμα, εάν εφαρμόζεται εξαίρεση ή εάν το αίτημα είναι προδήλως αβάσιμο ή υπερβολικό), θα ενημερώσουμε το πρόσωπο για τον συγκεκριμένο λόγο για τον οποίο δεν μπορούμε να ικανοποιήσουμε το αίτημα και για το δικαίωμά του να υποβάλει καταγγελία σε εποπτική αρχή. Δεν επιβάλλουμε καμία χρέωση για την απάντηση σε αιτήματα άσκησης δικαιωμάτων, εκτός εάν ένα αίτημα είναι επαναλαμβανόμενο ή υπερβολικό (οπότε οποιαδήποτε χρέωση ή άρνηση θα γίνεται αυστηρά όπως επιτρέπει ο ΓΚΠΔ).

Διευκολύνει και τεκμηριώνει:

Οι εσωτερικές διαδικασίες της Livappy διασφαλίζουν ότι το προσωπικό είναι εκπαιδευμένο να αναγνωρίζει και να διαχειρίζεται σωστά τα αιτήματα των υποκειμένων των δεδομένων⁷. Τηρούμε αρχεία των αιτημάτων και των απαντήσεων για να αποδεικνύουμε τη συμμόρφωσή μας. Ενημερώνουμε επίσης, όπου είναι αναγκαίο, τυχόν σχετικούς εκτελούντες την επεξεργασία ή αποδέκτες τρίτους (για παράδειγμα, εάν δεδομένα έχουν κοινοποιηθεί και πρέπει να διαγραφούν ή να διορθωθούν, θα κοινοποιούμε το αίτημα στα μέρη αυτά όπως απαιτείται).

Η Livappy σέβεται βαθύτατα τον έλεγχο των προσώπων επί των δεδομένων προσωπικού χαρακτήρα τους. Τηρώντας τα δικαιώματα αυτά και καθιστώντας τη διαδικασία απλή, αποδεικνύουμε τη λογοδοσία μας και τη δέσμευσή μας στην ενδυνάμωση των υποκειμένων των δεδομένων που προωθεί ο ΓΚΠΔ. Η ομάδα μας είναι πάντοτε έτοιμη να συνδράμει τα πρόσωπα στην κατανόηση και την άσκηση των δικαιωμάτων τους.

Προστασία δεδομένων ήδη από τον σχεδιασμό και εξ ορισμού

Η Livappy υιοθετεί την προστασία δεδομένων ήδη από τον σχεδιασμό και την προστασία δεδομένων εξ ορισμού ως θεμελιώδεις αρχές σε όλα τα προϊόντα, τις υπηρεσίες και τις επιχειρηματικές διαδικασίες μας. Αυτό σημαίνει ότι από την ίδια τη σύλληψη κάθε έργου ή συστήματος, ενσωματώνουμε τις παραμέτρους προστασίας δεδομένων και διασφαλίζουμε ότι οι εγγυήσεις ιδιωτικότητας ενσωματώνονται εξ ορισμού και δεν προστίθενται εκ των υστέρων⁸. Η προσέγγισή μας περιλαμβάνει τις ακόλουθες πρακτικές:

Ενσωμάτωση στη φάση του σχεδιασμού:

Κάθε φορά που αναπτύσσουμε ή επικαιροποιούμε λογισμικό, εφαρμογές ή επιχειρηματικές διαδικασίες που αφορούν δεδομένα προσωπικού χαρακτήρα, αξιολογούμε προληπτικά τους κινδύνους για την ιδιωτικότητα και ενσωματώνουμε προστατευτικά μέτρα στο στάδιο του σχεδιασμού. Για παράδειγμα, περιορίζουμε τη συλλογή δεδομένων σε ό,τι είναι αναγκαίο για τον καθορισμένο σκοπό (ελαχιστοποίηση των δεδομένων) και επιλέγουμε αρχιτεκτονικές συστημάτων που διαφυλάσσουν τα δεδομένα προσωπικού χαρακτήρα (όπως η χρήση τεχνικών ψευδωνυμοποίησης ή συνάθροισης, όπου αυτό είναι κατάλληλο).

Προεπιλεγμένες ρυθμίσεις ιδιωτικότητας:

Οι υπηρεσίες της Livappy διαμορφώνονται με προεπιλογές φιλικές προς την ιδιωτικότητα. Αυτό σημαίνει ότι, εκτός εάν ο χρήστης επιλέξει ενεργά διαφορετικά, συλλέγονται και χρησιμοποιούνται τα ελάχιστα αναγκαία δεδομένα προσωπικού χαρακτήρα. Κάθε λειτουργία που θα μπορούσε να επηρεάσει την ιδιωτικότητα ρυθμίζεται εξ ορισμού στις πλέον προστατευτικές ρυθμίσεις⁹. Οι χρήστες δεν υποχρεούνται να συναινέσουν σε πρόσθετη συλλογή δεδομένων για να λειτουργήσει η υπηρεσία – η ιδιωτικότητα είναι η προεπιλεγμένη ρύθμιση.

Εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων (DPIA):

Διενεργούμε εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων για κάθε νέα ή σημαντικά τροποποιημένη δραστηριότητα επεξεργασίας που ενδέχεται να επιφέρει υψηλούς κινδύνους για την ιδιωτικότητα των προσώπων. Μέσω των DPIA εντοπίζουμε έγκαιρα πιθανά ζητήματα ιδιωτικότητας και τα αντιμετωπίζουμε προσαρμόζοντας τον σχεδιασμό μας ή εφαρμόζοντας πρόσθετες εγγυήσεις. Η διαδικασία αυτή διασφαλίζει τη συμμόρφωση με το άρθρο 35 του ΓΚΠΔ και αποδεικνύει την εμπεριστατωμένη εκ των προτέρων εξέταση των κινδύνων για την ιδιωτικότητα.

Εκπαίδευση και ευαισθητοποίηση:

Οι ομάδες μηχανικής και προϊόντος μας λαμβάνουν εκπαίδευση στις αρχές της προστασίας δεδομένων ήδη από τον σχεδιασμό. Καλλιεργούμε μια εσωτερική κουλτούρα όπου οι εργαζόμενοι και οι συνεργάτες γνωρίζουν τις υποχρεώσεις ιδιωτικότητας και εφαρμόζουν με συνέπεια σκέψη προσανατολισμένη στην ιδιωτικότητα κατά τη διαχείριση δεδομένων προσωπικού χαρακτήρα. Πριν από την κυκλοφορία νέων λειτουργιών, διενεργούμε ελέγχους ή λίστες ελέγχου ιδιωτικότητας για να διασφαλίσουμε ότι υπάρχουν οι κατάλληλοι μηχανισμοί συμμόρφωσης.

Συνεχείς επανεξετάσεις και βελτιώσεις:

Η προστασία δεδομένων ήδη από τον σχεδιασμό δεν είναι εφάπαξ προσπάθεια. Η Livappy παρακολουθεί και επανεξετάζει διαρκώς τα συστήματά της, ώστε να διασφαλίζει ότι τηρούν διαχρονικά τα πρότυπα ιδιωτικότητας. Διενεργούμε περιοδικούς ελέγχους και επικαιροποιήσεις των μηχανισμών ασφάλειας και ιδιωτικότητας, προσαρμοζόμαστε στις νέες κανονιστικές κατευθύνσεις και ενσωματώνουμε τα σχόλια των χρηστών για τη βελτίωση της προστασίας των δεδομένων. Εάν επέλθουν αλλαγές στην τεχνολογία ή στη χρήση των δεδομένων, επανεξετάζουμε τους σχεδιασμούς μας ώστε να διατηρείται το υψηλότερο επίπεδο προστασίας δεδομένων εξ ορισμού.

Ενσωματώνοντας την ιδιωτικότητα στον ιστό των δραστηριοτήτων μας, η Livappy δεν συμμορφώνεται μόνο με την απαίτηση του ΓΚΠΔ για προστασία δεδομένων ήδη από τον σχεδιασμό και εξ ορισμού, αλλά οικοδομεί και εμπιστοσύνη με τους χρήστες. Στόχος μας είναι να διασφαλίσουμε ότι η ιδιωτικότητα αποτελεί αναπόσπαστο μέρος της καινοτομίας και των υπηρεσιών της εταιρείας μας – προστατεύοντας τα δεδομένα προσωπικού χαρακτήρα από τη βάση και εξ ορισμού σε κάθε περίπτωση.

Τεχνικά και οργανωτικά μέτρα

Η Livappy έχει εφαρμόσει ένα ολοκληρωμένο σύνολο τεχνικών και οργανωτικών μέτρων ασφάλειας για την προστασία των δεδομένων προσωπικού χαρακτήρα και τη διασφάλιση επιπέδου ασφάλειας κατάλληλου προς τον κίνδυνο, όπως απαιτεί το άρθρο 32 του ΓΚΠΔ¹¹. Αναγνωρίζουμε ότι η διαφύλαξη των δεδομένων προσωπικού χαρακτήρα είναι πρωταρχικής σημασίας και εφαρμόζουμε τις βέλτιστες πρακτικές του κλάδου για την αποτροπή μη εξουσιοδοτημένης πρόσβασης, αποκάλυψης, αλλοίωσης ή απώλειας δεδομένων. Στα βασικά μέτρα περιλαμβάνονται:

Κρυπτογράφηση:

Όλα τα δεδομένα προσωπικού χαρακτήρα που διαχειρίζεται η Livappy προστατεύονται με ισχυρή κρυπτογράφηση, τόσο κατά τη μεταφορά όσο και κατά την αποθήκευση. Χρησιμοποιούμε επικαιροποιημένα πρωτόκολλα κρυπτογράφησης (όπως το TLS) για τα δεδομένα που διακινούνται σε δίκτυα, καθώς και ισχυρούς αλγορίθμους κρυπτογράφησης για την κρυπτογράφηση των δεδομένων που αποθηκεύονται στις βάσεις δεδομένων και στα αντίγραφα ασφαλείας μας. Έτσι διασφαλίζεται ότι, ακόμη και αν τα δεδομένα υποκλαπούν ή προσπελαστούν χωρίς εξουσιοδότηση, θα παραμείνουν μη κατανοητά και ασφαλή¹². Όπου είναι εφικτό, προσφέρουμε μηχανισμούς για την ασφαλή διαχείριση των κλειδιών κρυπτογράφησης, ώστε να αποτρέπεται οποιοδήποτε μεμονωμένο σημείο διακύβευσης.

Έλεγχοι πρόσβασης:

Η Livappy επιβάλλει αυστηρούς μηχανισμούς ελέγχου πρόσβασης, ώστε τα δεδομένα προσωπικού χαρακτήρα να είναι προσβάσιμα μόνο σε εξουσιοδοτημένο προσωπικό με βάση την αρχή της αναγκαίας γνώσης. Έχουμε εφαρμόσει ελέγχους πρόσβασης βάσει ρόλων και συστήματα ταυτοποίησης χρηστών (συμπεριλαμβανομένης της ταυτοποίησης πολλαπλών παραγόντων για ευαίσθητα συστήματα) για να περιορίσουμε ποιος μπορεί να έχει πρόσβαση στα δεδομένα. Η πρόσβαση του προσωπικού σε δεδομένα προσωπικού χαρακτήρα παρέχεται βάσει του εργασιακού ρόλου και ανακαλείται ή προσαρμόζεται άμεσα όταν ο ρόλος αλλάζει. Κάθε εργαζόμενος ή συνεργάτης με πρόσβαση σε δεδομένα προσωπικού χαρακτήρα δεσμεύεται από υποχρεώσεις εμπιστευτικότητας και λαμβάνει εκπαίδευση στην ασφάλεια των δεδομένων.

Καταγραφή και παρακολούθηση:

Τηρούμε αναλυτική καταγραφή της πρόσβασης στα συστήματα και των δραστηριοτήτων επεξεργασίας δεδομένων. Κάθε πρόσβαση σε αποθετήρια δεδομένων προσωπικού χαρακτήρα, καθώς και κάθε σημαντική ενέργεια επί δεδομένων προσωπικού χαρακτήρα, καταγράφεται σε ασφαλή αρχεία ελέγχου. Η Livappy χρησιμοποιεί εργαλεία παρακολούθησης για την εξέταση των αρχείων καταγραφής και τον εντοπισμό τυχόν ανώμαλων ή μη εξουσιοδοτημένων δραστηριοτήτων. Αυτό δεν μας βοηθά μόνο να αποτρέπουμε και να εντοπίζουμε πιθανά περιστατικά ασφάλειας, αλλά παρέχει και αρχείο ελέγχου για την απόδειξη της λογοδοσίας ως προς την πρόσβαση και τις τροποποιήσεις των δεδομένων.

Ασφαλής υποδομή (AWS Cloud):

Οι υπηρεσίες μας φιλοξενούνται στην Amazon Web Services (AWS), έναν αξιόπιστο πάροχο cloud με υψηλά πρότυπα ασφάλειας και πρακτικές σύμφωνες με τον ΓΚΠΔ. Αξιοποιούμε τα χαρακτηριστικά ασφάλειας και τις πιστοποιήσεις συμμόρφωσης της AWS. Για παράδειγμα, επιλέγουμε περιοχές κέντρων δεδομένων στην Ευρώπη για την αποθήκευση δεδομένων προσωπικού χαρακτήρα από την ΕΕ, αξιοποιούμε τα ενσωματωμένα τείχη προστασίας και την ασφάλεια δικτύου της AWS και εφαρμόζουμε τακτικά διορθώσεις και ενημερώσεις λογισμικού. Η AWS παρέχει ισχυρές εγγυήσεις και επιλογές για την προστασία των δεδομένων (συμπεριλαμβανομένου του ελέγχου από τον πελάτη ως προς την τοποθεσία των δεδομένων, την κρυπτογράφηση και τη διαχείριση της πρόσβασης)¹², τις οποίες χρησιμοποιούμε για να ενισχύσουμε τη συνολική στάση ασφάλειάς μας.

Ασφάλεια δικτύου και συστημάτων:

Η Livappy προστατεύει τα πληροφοριακά συστήματά της μέσω μέτρων όπως τείχη προστασίας, συστήματα ανίχνευσης και πρόληψης εισβολών (IDS/IPS), προστασία από κακόβουλο λογισμικό και ασφαλής αρχιτεκτονική δικτύου. Διαχωρίζουμε τα περιβάλλοντα (π.χ. ανάπτυξης, δοκιμών, παραγωγής) για τη μείωση του κινδύνου και εφαρμόζουμε πρακτικές διαχείρισης τρωτοτήτων, συμπεριλαμβανομένων τακτικών σαρώσεων τρωτοτήτων και δοκιμών διείσδυσης. Κάθε εντοπιζόμενο ζήτημα ασφάλειας αντιμετωπίζεται άμεσα.

Οργανωτικές πολιτικές και εκπαίδευση:

Έχουμε θεσπίσει εσωτερικές πολιτικές ασφάλειας και προστασίας δεδομένων που πρέπει να ακολουθούν όλοι οι εργαζόμενοι και οι συνεργάτες. Οι πολιτικές αυτές καλύπτουν την ορθή διαχείριση των δεδομένων προσωπικού χαρακτήρα, τη χρήση συσκευών, τα πρωτόκολλα αναφοράς περιστατικών και άλλα. Διενεργούμε τακτικά προγράμματα εκπαίδευσης και ευαισθητοποίησης, ώστε η ομάδα μας να παραμένει σε επαγρύπνηση και ενημερωμένη σχετικά με τις βέλτιστες πρακτικές κυβερνοασφάλειας και ιδιωτικότητας. Η πρόσβαση σε δεδομένα προσωπικού χαρακτήρα προϋποθέτει τη συμμόρφωση με τις πολιτικές αυτές και οι παραβιάσεις μπορούν να επιφέρουν πειθαρχικά μέτρα.

Τακτικοί έλεγχοι και αξιολογήσεις:

Η Livappy ελέγχει περιοδικά τα μέτρα προστασίας δεδομένων της και διενεργεί αξιολογήσεις κινδύνου, ώστε να διασφαλίζεται η διαρκής αποτελεσματικότητά τους. Επανεξετάζουμε τακτικά τα δικαιώματα πρόσβασης των χρηστών, δοκιμάζουμε τα σχέδια αντιμετώπισης περιστατικών και ενδέχεται να αναθέτουμε σε ανεξάρτητους ελεγκτές την αξιολόγηση των μηχανισμών ασφάλειάς μας. Τυχόν αδυναμίες ή δυνατότητες βελτίωσης που εντοπίζονται αποκαθίστανται άμεσα. Οι έλεγχοι αυτοί μας βοηθούν να διατηρούμε τη συμμόρφωση και να ευθυγραμμιζόμαστε συνεχώς με τα εξελισσόμενα πρότυπα ασφάλειας και τις κανονιστικές κατευθύνσεις.

Επιχειρησιακή συνέχεια και αντίγραφα ασφαλείας:

Για την προστασία από την απώλεια ή καταστροφή δεδομένων, τηρούμε ασφαλείς διαδικασίες λήψης αντιγράφων ασφαλείας και διαθέτουμε σχέδια αποκατάστασης από καταστροφές. Τα αντίγραφα ασφαλείας κρίσιμων δεδομένων προσωπικού χαρακτήρα κρυπτογραφούνται και αποθηκεύονται με ασφάλεια (συμπεριλαμβανομένων αντιγράφων εκτός εγκατάστασης ή στο cloud) και δοκιμάζουμε περιοδικά την αποκατάσταση των δεδομένων. Σε περίπτωση αστοχίας συστήματος ή καταστροφής, η Livappy μπορεί να ανακτήσει τα δεδομένα προσωπικού χαρακτήρα προς αποτροπή μόνιμης απώλειας, σύμφωνα με τις απαιτήσεις ακεραιότητας και διαθεσιμότητας.

Ψευδωνυμοποίηση και ελαχιστοποίηση των δεδομένων:

Όπου είναι κατάλληλο, η Livappy εφαρμόζει ψευδωνυμοποίηση στα δεδομένα προσωπικού χαρακτήρα – αντικαθιστώντας τα πεδία ταυτοποίησης με τεχνητά αναγνωριστικά – για τη μείωση του κινδύνου σε περίπτωση μη εξουσιοδοτημένης πρόσβασης. Τηρούμε επίσης αυστηρά την αρχή της ελαχιστοποίησης των δεδομένων, συλλέγοντας και διατηρώντας μόνο τα δεδομένα προσωπικού χαρακτήρα που είναι αναγκαία για τους καθορισμένους σκοπούς μας¹⁰. Ελαχιστοποιώντας τα δεδομένα που κατέχουμε και διαχωρίζοντας ή ανωνυμοποιώντας δεδομένα όπου είναι εφικτό, περιορίζουμε τον αντίκτυπο κάθε πιθανού ζητήματος ασφάλειας.

Μέσω των μέτρων αυτών και άλλων, η Livappy διασφαλίζει ότι τα δεδομένα προσωπικού χαρακτήρα προστατεύονται ήδη από τον σχεδιασμό και εξ ορισμού ανά πάσα στιγμή¹³. Αξιολογούμε διαρκώς νέες τεχνολογίες και πρακτικές ασφάλειας για να ενισχύσουμε τις προστασίες μας. Δεσμευόμαστε να διατηρούμε ένα πλαίσιο ασφάλειας τελευταίας τεχνολογίας που ανταποκρίνεται ή υπερβαίνει τις απαιτήσεις του ΓΚΠΔ για την ασφάλεια των δεδομένων, διαφυλάσσοντας έτσι την εμπιστοσύνη που μας δείχνουν οι χρήστες και οι πελάτες μας.

Υπεύθυνος Προστασίας Δεδομένων (DPO)

Ο ΓΚΠΔ απαιτεί από ορισμένους οργανισμούς να ορίζουν Υπεύθυνο Προστασίας Δεδομένων όταν πληρούνται συγκεκριμένα κριτήρια, όπως όταν οι βασικές δραστηριότητες συνίστανται σε μεγάλης κλίμακας επεξεργασία ευαίσθητων δεδομένων ή σε τακτική και συστηματική παρακολούθηση προσώπων σε μεγάλη κλίμακα¹⁹. Η Livappy OÜ δεν έχει ακόμη ορίσει Υπεύθυνο Προστασίας Δεδομένων, καθώς η τρέχουσα κλίμακα και φύση της επεξεργασίας δεδομένων μας δεν καθιστούν αυτό υποχρεωτική απαίτηση βάσει του άρθρου 37 του ΓΚΠΔ. Ειδικότερα, οι βασικές δραστηριότητες της Livappy επί του παρόντος δεν περιλαμβάνουν μεγάλης κλίμακας επεξεργασία ειδικών κατηγοριών δεδομένων ή μεγάλης κλίμακας τακτική παρακολούθηση προσώπων που θα επέβαλλε νομικά τον ορισμό DPO¹⁹. Έχουμε αξιολογήσει τις υποχρεώσεις μας και καταλήξαμε ότι, προς το παρόν, δεν απαιτείται τυπικός DPO.

Ωστόσο, η Livappy παραμένει σε επαγρύπνηση ως προς την απαίτηση αυτή. Δεσμευόμαστε να ορίσουμε στο μέλλον κατάλληλα καταρτισμένο DPO εάν οι δραστηριότητες ή οι νομικές υποχρεώσεις μας μεταβληθούν κατά τρόπο που καθιστά αναγκαίο τον DPO. Για παράδειγμα, εάν η επιχειρηματική δραστηριότητα της Livappy επεκταθεί ώστε να επεξεργάζεται ιδιαίτερα ευαίσθητα δεδομένα προσωπικού χαρακτήρα σε μεγάλη κλίμακα, ή εάν αρχίσουμε εκτεταμένες δραστηριότητες κατάρτισης προφίλ/παρακολούθησης, θα επανεξετάσουμε την ανάγκη ορισμού DPO και θα προχωρήσουμε άμεσα στον ορισμό, σύμφωνα με τις προβλέψεις του ΓΚΠΔ.

Τρέχοντα μέτρα προστασίας δεδομένων

Ακόμη και ελλείψει τυπικά ορισμένου DPO, η Livappy διασφαλίζει ότι οι αρμοδιότητες προστασίας δεδομένων ανατίθενται με σαφήνεια εντός του οργανισμού:

Διαθέτουμε αφοσιωμένη ομάδα (ή στέλεχος) ιδιωτικότητας και συμμόρφωσης που επιβλέπει την τήρηση του ΓΚΠΔ και παρέχει συμβουλές για ζητήματα προστασίας δεδομένων. Η ομάδα αυτή παρακολουθεί τις επιδόσεις μας στην προστασία δεδομένων, παρέχει καθοδήγηση σχετικά με τις υποχρεώσεις του ΓΚΠΔ και λειτουργεί ως εσωτερικός συνήγορος της ιδιωτικότητας των χρηστών.
Παρέχουμε στοιχεία επικοινωνίας (info@livappy.com) για όλα τα ερωτήματα ή αιτήματα σχετικά με την προστασία δεδομένων και αντιμετωπίζουμε τις επικοινωνίες αυτές με την ίδια φροντίδα και προσοχή σαν να υπήρχε DPO. Κάθε ερώτημα ή καταγγελία που λαμβάνεται αντιμετωπίζεται επιμελώς και, εφόσον χρειάζεται, κλιμακώνεται στη διοίκηση ή σε νομικό σύμβουλο ειδικευμένο στην ιδιωτικότητα.
Διατηρούμε ανοιχτούς διαύλους επικοινωνίας με τις εποπτικές αρχές όπου απαιτείται και παραμένουμε ενημερωμένοι για τις κανονιστικές κατευθύνσεις, ώστε να διασφαλίζεται η διαρκής συμμόρφωση.

Η Livappy κατανοεί την αξία που μπορεί να προσφέρει ένας DPO, ακόμη και όταν δεν απαιτείται αυστηρά – όπως η ανεξάρτητη επίβλεψη και η εξειδικευμένη γνώση σε θέματα ιδιωτικότητας. Θα συνεχίσουμε να παρακολουθούμε τις υποχρεώσεις μας και δεν θα διστάσουμε να ορίσουμε DPO όταν οι συνθήκες ή η ανάπτυξή μας το καθιστούν σκόπιμο. Στο μεταξύ, δεσμευόμαστε ότι όλες οι ουσιώδεις λειτουργίες ενός DPO (παρακολούθηση της συμμόρφωσης, παροχή συμβουλών για DPIA, εκπαίδευση του προσωπικού κ.λπ.) εκπληρώνονται μέσω των εσωτερικών δομών διακυβέρνησής μας.

Γνωστοποίηση παραβίασης δεδομένων

Παρά τις ισχυρές προστασίες, η Livappy αναγνωρίζει ότι ενδέχεται να συμβούν περιστατικά ασφάλειας. Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα (περιστατικό ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση δεδομένων προσωπικού χαρακτήρα ή πρόσβαση σε αυτά), διαθέτουμε σαφή διαδικασία για τη διαχείριση της παραβίασης και την εκπλήρωση των υποχρεώσεων γνωστοποίησης του ΓΚΠΔ. Το Σχέδιο Αντιμετώπισης Παραβιάσεων Δεδομένων μας περιλαμβάνει τα ακόλουθα βήματα, σύμφωνα με τα άρθρα 33 και 34 του ΓΚΠΔ:

Άμεσος εντοπισμός και εσωτερική ειδοποίηση:

Διαθέτουμε συστήματα και διαδικασίες για τον εντοπισμό και την ειδοποίησή μας σχετικά με πιθανές παραβιάσεις δεδομένων. Οι εργαζόμενοί μας είναι εκπαιδευμένοι να αναγνωρίζουν και να κλιμακώνουν περιστατικά ασφάλειας. Από τη στιγμή που μια παραβίαση πιθανολογείται ή εντοπίζεται, ειδοποιείται η εσωτερική ομάδα αντιμετώπισης (η οποία περιλαμβάνει προσωπικό πληροφορικής, ασφάλειας και διοίκησης). Ορίζουμε συγκεκριμένο υπεύθυνο περιστατικού για την επίβλεψη της έρευνας.

Περιορισμός και αξιολόγηση:

Η Livappy θα περιορίσει ταχέως την παραβίαση για να αποτρέψει περαιτέρω διαρροή δεδομένων (για παράδειγμα, απομονώνοντας τα επηρεαζόμενα συστήματα, ανακαλώντας διακυβευμένα διαπιστευτήρια ή απενεργοποιώντας συγκεκριμένες λειτουργίες). Στη συνέχεια ερευνούμε το περιστατικό για να προσδιορίσουμε τη φύση και την έκταση της παραβίασης, ποια δεδομένα και ποια πρόσωπα επηρεάζονται, καθώς και τους πιθανούς κινδύνους για τα υποκείμενα των δεδομένων. Στο πλαίσιο της αξιολόγησης αυτής, εκτιμούμε την πιθανότητα και τη σοβαρότητα κάθε βλάβης που μπορεί να προκύψει.

Γνωστοποίηση στις αρχές (72 ώρες):

Εάν η παραβίαση ενδέχεται να επιφέρει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, η Livappy θα γνωστοποιήσει το γεγονός στην αρμόδια εποπτική αρχή χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, εντός 72 ωρών από τη στιγμή που θα αποκτήσει γνώση της παραβίασης¹⁴. Καθώς η Livappy έχει την έδρα της στην Εσθονία, επικεφαλής εποπτική αρχή μας είναι κατά πάσα πιθανότητα η Εσθονική Επιθεώρηση Προστασίας Δεδομένων (Andmekaitse Inspektsioon), εκτός εάν η παραβίαση επηρεάζει υποκείμενα των δεδομένων σε περισσότερες χώρες της ΕΕ (οπότε θα συνεργαστούμε με την επικεφαλής αρχή στο πλαίσιο του μηχανισμού μίας στάσης).

Η γνωστοποίηση της παραβίασης στις αρχές θα περιλαμβάνει όλες τις απαιτούμενες πληροφορίες (φύση της παραβίασης, κατηγορίες και κατά προσέγγιση αριθμό των επηρεαζόμενων υποκειμένων των δεδομένων και αρχείων, πιθανές συνέπειες, μέτρα που ελήφθησαν ή προτείνονται για την αντιμετώπιση της παραβίασης κ.λπ.). Εάν δεν είμαστε σε θέση να παράσχουμε όλα τα στοιχεία εντός 72 ωρών, θα παρέχουμε τις πληροφορίες σταδιακά, όπως επιτρέπεται, με αιτιολόγηση της καθυστέρησης^15,16.

Ανακοίνωση στα επηρεαζόμενα πρόσωπα:

Εάν η παραβίαση ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δεδομένα προσωπικού χαρακτήρα ή την ιδιωτικότητα των φυσικών προσώπων, θα ανακοινώσουμε επίσης την παραβίαση στα επηρεαζόμενα υποκείμενα των δεδομένων χωρίς αδικαιολόγητη καθυστέρηση¹⁷. Η ανακοίνωση αυτή θα γίνεται σε σαφή και απλή γλώσσα, περιγράφοντας τη φύση της παραβίασης και παρέχοντας συστάσεις στα πρόσωπα για τον περιορισμό των πιθανών δυσμενών συνεπειών (για παράδειγμα, ενδέχεται να συστήσουμε την επαναφορά των κωδικών πρόσβασης ή την επαγρύπνηση έναντι phishing εάν έχουν εκτεθεί διαπιστευτήρια). Δεν θα ενημερώσουμε τα φυσικά πρόσωπα εάν, λόγω αποτελεσματικών τεχνικών μέτρων (όπως η κρυπτογράφηση των δεδομένων) ή άλλων παραγόντων, τα δεδομένα που παραβιάστηκαν είναι μη κατανοητά ή ο κίνδυνος είναι χαμηλός, εκτός εάν οι αρχές μας δώσουν οδηγία να το πράξουμε.

Αποκατάσταση και πρόληψη στο μέλλον:

Η Livappy θα λάβει αμέσως μέτρα για την αποκατάσταση της αιτίας της παραβίασης. Αυτό μπορεί να περιλαμβάνει τη διόρθωση τρωτοτήτων λογισμικού, την αυστηροποίηση των ελέγχων πρόσβασης, τη βελτίωση της κρυπτογράφησης ή άλλες διορθωτικές ενέργειες, ώστε να διασφαλιστεί ότι παρόμοιο περιστατικό δεν θα επαναληφθεί. Θα τεκμηριώνουμε επίσης τα διδάγματα που αντλήθηκαν και θα επικαιροποιούμε αναλόγως τις πολιτικές ασφάλειας και την εκπαίδευσή μας. Η ανώτατη διοίκηση ενημερώνεται για όλες τις παραβιάσεις και την πορεία της αποκατάστασης, διασφαλίζοντας τη λογοδοσία και την υποστήριξη των αναγκαίων βελτιώσεων.

Τεκμηρίωση:

Σε συμμόρφωση με το άρθρο 33 παράγραφος 5 του ΓΚΠΔ, η Livappy τεκμηριώνει όλες τις παραβιάσεις δεδομένων, ανεξάρτητα από το εάν απαιτούν γνωστοποίηση. Στο εσωτερικό αυτό αρχείο παραβιάσεων καταγράφονται τα πραγματικά περιστατικά που σχετίζονται με την παραβίαση, οι συνέπειές της και τα διορθωτικά μέτρα που ελήφθησαν. Η τεκμηρίωση αυτή επιτρέπει στις εποπτικές αρχές να επαληθεύουν τη συμμόρφωσή μας και μας βοηθά να βελτιώνουμε διαρκώς την αντιμετώπιση περιστατικών ασφάλειας. Ακόμη και για ήσσονος σημασίας περιστατικά, τηρούμε αρχείο στο πλαίσιο των υποχρεώσεων λογοδοσίας μας¹⁸.

Ακολουθώντας αυτή τη δομημένη προσέγγιση, η Livappy διασφαλίζει ότι κάθε παραβίαση δεδομένων αντιμετωπίζεται ταχέως και με διαφάνεια, με απόλυτο στόχο την προστασία των δεδομένων και των δικαιωμάτων των χρηστών μας. Η ετοιμότητά μας για αντιμετώπιση περιστατικών σε 24ωρη βάση και η δέσμευσή μας στην προθεσμία γνωστοποίησης των 72 ωρών αντικατοπτρίζουν τη σοβαρότητα με την οποία αντιμετωπίζουμε την ασφάλεια των δεδομένων προσωπικού χαρακτήρα και τις υποχρεώσεις μας βάσει του ΓΚΠΔ.

Συμβάσεις επεξεργασίας δεδομένων

Η Livappy βασίζεται σε ορισμένους αξιόπιστους τρίτους παρόχους υπηρεσιών (εκτελούντες την επεξεργασία) για την υποστήριξη των υπηρεσιών μας – για παράδειγμα, παρόχους υποδομών cloud, υπηρεσίες επαλήθευσης ταυτότητας και πλατφόρμες αναλυτικών στοιχείων. Σύμφωνα με τις απαιτήσεις του ΓΚΠΔ, η Livappy υπογράφει Συμβάσεις Επεξεργασίας Δεδομένων (DPA) με όλους τους εξωτερικούς εκτελούντες την επεξεργασία που διαχειρίζονται δεδομένα προσωπικού χαρακτήρα για λογαριασμό μας²⁰. Οι DPA αυτές είναι επίσημες συμβάσεις που διασφαλίζουν ότι κάθε εκτελών την επεξεργασία δεσμεύεται στη συμμόρφωση με τον ΓΚΠΔ και προστατεύει τα δεδομένα προσωπικού χαρακτήρα με τα ίδια υψηλά πρότυπα που εφαρμόζουμε και εμείς. Οι βασικές πτυχές της προσέγγισής μας ως προς τις DPA περιλαμβάνουν:

Υποχρεωτικές DPA με όλους τους εκτελούντες την επεξεργασία:

Εφαρμόζουμε πολιτική βάσει της οποίας κανένα δεδομένο προσωπικού χαρακτήρα δεν κοινοποιείται ούτε ανατίθεται σε τρίτο εκτελούντα την επεξεργασία, εκτός εάν υπάρχει DPA σύμφωνη με τον ΓΚΠΔ. Αυτό περιλαμβάνει σημαντικούς συνεργάτες όπως η Amazon Web Services (AWS) για τη φιλοξενία cloud, η Veriff για υπηρεσίες επαλήθευσης ταυτότητας, η Google για εργαλεία ή αναλυτικά στοιχεία βασισμένα στο cloud, και κάθε άλλον προμηθευτή ή συνεργάτη που επεξεργάζεται δεδομένα. Κάθε ένας από αυτούς τους εκτελούντες την επεξεργασία έχει συμφωνήσει συμβατικά να τηρεί τις απαιτήσεις του ΓΚΠΔ, να επεξεργάζεται δεδομένα μόνο βάσει των τεκμηριωμένων οδηγιών της Livappy και να εφαρμόζει κατάλληλα μέτρα ασφάλειας.

Διαβεβαιώσεις και επαρκείς εγγυήσεις:

Σύμφωνα με το άρθρο 28 και την αιτιολογική σκέψη 81 του ΓΚΠΔ, η Livappy αναθέτει εργασίες μόνο σε εκτελούντες την επεξεργασία που παρέχουν επαρκείς εγγυήσεις ως προς την ικανότητά τους να προστατεύουν τα δεδομένα προσωπικού χαρακτήρα²¹. Οι Συμβάσεις Επεξεργασίας Δεδομένων μας προβλέπουν ότι οι εκτελούντες την επεξεργασία πρέπει να εφαρμόζουν όλα τα κατάλληλα τεχνικά και οργανωτικά μέτρα για τη διαφύλαξη των δεδομένων (π.χ. κρυπτογράφηση, ελέγχους πρόσβασης, υποχρεώσεις εμπιστευτικότητας) και να συνδράμουν τη Livappy στην εκπλήρωση των αιτημάτων των υποκειμένων των δεδομένων και των γνωστοποιήσεων παραβιάσεων, όπου απαιτείται²². Ελέγχουμε προσεκτικά τους νέους προμηθευτές ως προς τις πρακτικές προστασίας δεδομένων και τη φήμη τους πριν τους εντάξουμε ως εκτελούντες την επεξεργασία.

Βασικοί όροι των DPA:

Κάθε DPA που υπογράφει η Livappy περιλαμβάνει όλες τις απαιτούμενες ρήτρες σύμφωνα με το άρθρο 28 παράγραφος 3 του ΓΚΠΔ. Σε αυτές περιλαμβάνονται, μεταξύ άλλων: ο εκτελών την επεξεργασία θα επεξεργάζεται δεδομένα προσωπικού χαρακτήρα μόνο βάσει των οδηγιών της Livappy· το προσωπικό που επεξεργάζεται τα δεδομένα δεσμεύεται από εμπιστευτικότητα· ο εκτελών την επεξεργασία θα συμβάλλει στη διασφάλιση της συμμόρφωσης με τις απαιτήσεις ασφάλειας και θα συνδράμει ως προς τα δικαιώματα των υποκειμένων των δεδομένων και τις DPIA· δεν επιτρέπεται η ανάθεση σε υπεκτελούντες την επεξεργασία χωρίς την εξουσιοδότησή μας και αυτοί πρέπει να δεσμεύονται από τις ίδιες υποχρεώσεις· ο εκτελών την επεξεργασία θα επιστρέψει ή θα διαγράψει τα δεδομένα προσωπικού χαρακτήρα κατά τη λήξη της συνεργασίας· και ο εκτελών την επεξεργασία πρέπει να δέχεται ελέγχους και να παρέχει αποδείξεις συμμόρφωσης²². Οι συμβατικοί αυτοί όροι παρέχουν στη Livappy και στους χρήστες μας τη βεβαιότητα ότι τα δεδομένα προσωπικού χαρακτήρα παραμένουν προστατευμένα ακόμη και όταν τα διαχειρίζονται τρίτα μέρη.

Παρακολούθηση και επιβολή:

Η Livappy τηρεί μητρώο όλων των τρεχόντων εκτελούντων την επεξεργασία και της κατάστασης των συμβάσεών μας με αυτούς. Παρακολουθούμε τη συμμόρφωση των εκτελούντων την επεξεργασία – για παράδειγμα, εξετάζοντας τις πιστοποιήσεις ασφάλειάς τους, τις εκθέσεις ελέγχου ή την τήρηση κωδίκων δεοντολογίας. Εάν ένας εκτελών την επεξεργασία δεν εκπληρώνει τις υποχρεώσεις προστασίας δεδομένων του, λαμβάνουμε άμεσα μέτρα που μπορεί να περιλαμβάνουν την απαίτηση αποκατάστασης, την αναστολή της επεξεργασίας δεδομένων ή ακόμη και την καταγγελία της σύμβασης. Επιπλέον, οι DPA μας καθιστούν τους εκτελούντες την επεξεργασία υπεύθυνους για την προστασία των δεδομένων, δηλαδή πρέπει να αποζημιώνουν τη Livappy (και τελικά τους χρήστες μας) για κάθε ζημία που προκαλείται από επεξεργασία εκ μέρους τους η οποία δεν ανταποκρίνεται στα πρότυπα του ΓΚΠΔ.

Υπεκτελούντες την επεξεργασία:

Όταν οι εκτελούντες την επεξεργασία για λογαριασμό μας αναθέτουν περαιτέρω μέρος της επεξεργασίας υπεργολαβικά (για παράδειγμα, εάν η AWS χρησιμοποιεί υπεργολάβους για τη συντήρηση κέντρων δεδομένων), οι υπεκτελούντες αυτοί υποχρεούνται, βάσει των DPA μας, να τηρούν τα ίδια πρότυπα. Οι συμβάσεις της Livappy διασφαλίζουν ότι υπάρχει αλυσίδα υποχρεώσεων σύμφωνων με τον ΓΚΠΔ σε όλα τα επίπεδα της επεξεργασίας δεδομένων.

Σημείωση: Η Livappy έχει συνάψει Σύμβαση Επεξεργασίας Δεδομένων (DPA) με την Google Ireland Limited για την παροχή των υπηρεσιών Google Workspace (email, ημερολόγιο, cloud). Η Google ενεργεί ως εκτελών την επεξεργασία για λογαριασμό της Livappy και κάθε επεξεργασία συμμορφώνεται με τον ΓΚΠΔ, συμπεριλαμβανομένων των Τυποποιημένων Συμβατικών Ρητρών (SCCs) όπου τα δεδομένα ενδέχεται να διαβιβάζονται εκτός ΕΕ.

Διατηρώντας αυστηρές Συμβάσεις Επεξεργασίας Δεδομένων, η Livappy εκπληρώνει το καθήκον της ως υπεύθυνος επεξεργασίας να συνεργάζεται μόνο με εκτελούντες την επεξεργασία που μπορούν να εγγυηθούν την προστασία των δεδομένων προσωπικού χαρακτήρα²³. Η συμβατική αυτή επιμέλεια αποτελεί θεμελιώδες μέρος του προγράμματος συμμόρφωσής μας με τον ΓΚΠΔ και παρέχει διαβεβαίωση στους πελάτες και τους χρήστες μας ότι τα δεδομένα τους θα τυγχάνουν ασφαλούς διαχείρισης όχι μόνο από τη Livappy, αλλά και από κάθε συνεργάτη ή προμηθευτή που εμπλέκεται στην παροχή των υπηρεσιών μας. Επανεξετάζουμε και επικαιροποιούμε τακτικά τις DPA μας σύμφωνα με τις νομικές εξελίξεις και διασφαλίζουμε ότι κάθε νέα συνεργασία ξεκινά με στέρεα σύμβαση προστασίας δεδομένων σε ισχύ.

Στοιχεία επικοινωνίας

Email επικοινωνίας: info@livappy.com

Ημερομηνία έναρξης ισχύος: 10 Σεπτεμβρίου 2025

Διαχειριστής: Livappy OÜ (registrikood 17298558)
Harju maakond, Tallinn, Kesklinna linnaosa, Sakala tn 7-2, 10141, Estonia
Εγγεγραμμένη στο Τμήμα Μητρώου του Επαρχιακού Δικαστηρίου Tartu, κάρτα εμπορικού μητρώου αριθ. 1

Ημερομηνία έναρξης ισχύος και επανεξέταση

Η παρούσα Πολιτική Συμμόρφωσης με τον ΓΚΠΔ ισχύει από την ημερομηνία δημοσίευσής της και έχει εγκριθεί από τη διοίκηση της Livappy. Θα επανεξετάζουμε την πολιτική τουλάχιστον ετησίως, καθώς και επιπροσθέτως όποτε απαιτείται, ώστε να αποτυπώνονται τυχόν αλλαγές στις πρακτικές μας ή στη νομοθεσία. Οι επικαιροποιήσεις θα δημοσιεύονται, ώστε οι εργαζόμενοι, οι πελάτες και οι συνεργάτες να παραμένουν ενημερωμένοι για τον τρόπο με τον οποίο η Livappy τηρεί τη δέσμευσή της για συμμόρφωση με τον ΓΚΠΔ.

Παραπομπές

^1,12 GDPR - Amazon Web Services (AWS) - https://aws.amazon.com/compliance/gdpr-center/

^2,3 EU General Data Protection Regulation Compliance Policy | Policy Library - https://www.policylibrary.gatech.edu/legal/eu-general-data-protection-regulation-compliance-policy

^4,5,6,7 Respect individuals' rights | European Data Protection Board - https://www.edpb.europa.eu/sme-data-protection-guide/respect-individuals-rights_en

^8,9,10 Privacy by Design & by Default: What You Need To Know - https://www.datagrail.io/blog/data-privacy/privacy-by-design-privacy-by-default/

^11,20,21,22 What is a GDPR data processing agreement? - GDPR.eu - https://gdpr.eu/what-is-data-processing-agreement/

¹³ Data protection by design and by default | ICO - https://ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-by-design-and-by-default/

^{14,15,16,17,18} Personal data breaches: a guide | ICO - https://ico.org.uk/for-organisations/report-a-breach/personal-data-breach/personal-data-breaches-a-guide/

¹⁹ Does my company/organisation need to have a Data Protection Officer (DPO)? - European Commission - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/data-protection-officers/does-my-companyorganisation-need-have-data-protection-officer-dpo_en

²³ GDPR Compliance Statement - Free Privacy Policy - https://www.freeprivacypolicy.com/blog/gdpr-compliance-statement/