Αρχική / Σύμβαση επεξεργασίας δεδομένων
Σύμβαση επεξεργασίας δεδομένων
Τελευταία ενημέρωση: 30 Οκτωβρίου 2026
Η σύμβαση ισχύει για κάθε πελάτη της φιλοξενούμενης κονσόλας Vardion και αποτελεί μέρος της σύμβασης υπηρεσιών του. Σε εγκατάσταση στον διακομιστή του πελάτη το Vardion δεν επεξεργάζεται δεδομένα του πελάτη και η σύμβαση δεν εφαρμόζεται.
1. Μέρη και ρόλοι
Ο πελάτης είναι ο υπεύθυνος επεξεργασίας. Η Kartia IKE, Δορυλαίου 10-12, 11521 Αθήνα, Γ.Ε.ΜΗ. 170727601000 («Vardion»), είναι ο εκτελών την επεξεργασία κατά το άρθρο 28 του Κανονισμού (ΕΕ) 2016/679 (ΓΚΠΔ).
2. Αντικείμενο, διάρκεια και σκοπός
Το Vardion επεξεργάζεται δεδομένα προσωπικού χαρακτήρα μόνο για να παρέχει τη φιλοξενούμενη κονσόλα στον πελάτη: αποθήκευση των μητρώων, των αξιολογήσεων και των ευρημάτων του χώρου εργασίας του, οι παθητικοί έλεγχοι που ορίζει ο πελάτης, τα μηνύματα που στέλνει η κονσόλα και η υποστήριξη που ζητά ο πελάτης. Η επεξεργασία διαρκεί όσο η σύμβαση υπηρεσιών.
3. Κατηγορίες δεδομένων και υποκειμένων
| Δεδομένα | Τι περιέχουν | Υποκείμενα |
|---|---|---|
| Λογαριασμοί χρηστών | Όνομα, διεύθυνση email, ρόλος, χώροι εργασίας, ρυθμίσεις σύνδεσης | Οι χρήστες της κονσόλας που ορίζει ο πελάτης |
| Μητρώα του προγράμματος ασφάλειας | Ονόματα και ρόλοι υπευθύνων, μέλη της ομάδας κρίσης με τον τρόπο επικοινωνίας τους, ανατεθειμένες εργασίες, σχόλια, υπογραφές εγγράφων | Το προσωπικό και οι συνεργάτες του πελάτη |
| Ευρήματα διαρροών λογαριασμών | Λογαριασμός (διεύθυνση email), πηγή και ημερομηνία | Το προσωπικό του πελάτη |
| Αρχεία ιδιωτικότητας και αιτήματα υποκειμένων | Όσα καταχωρίζει ο πελάτης· ένα αίτημα υποκειμένου καταγράφεται με κωδικό αναφοράς και όχι με διεύθυνση email | Υποκείμενα των δεδομένων του πελάτη |
| Αρχείο ενεργειών | Ποιος λογαριασμός έκανε ποια αλλαγή και πότε | Οι χρήστες της κονσόλας |
| Αρχεία τεκμηρίωσης | Ό,τι περιέχουν τα έγγραφα που ανεβάζει ο πελάτης | Όπως ορίζει ο πελάτης |
| Λίστα προσωπικού και αποδοχές πολιτικών | Όνομα, εταιρικό email, τμήμα, πότε στάλθηκε, άνοιξε και έγινε αποδεκτός ο σύνδεσμος κάθε πολιτικής, ολοκλήρωση εκπαίδευσης | Το προσωπικό του πελάτη |
| Αιτήματα τεκμηρίων από τη σελίδα εμπιστοσύνης του πελάτη | Όνομα, εταιρικό email, οργανισμός και τι ζητήθηκε | Όσοι υποβάλλουν αίτημα |
| Φορολογική υπόσταση προμηθευτών από την ΑΑΔΕ | ΑΦΜ, επωνυμία, νομική μορφή, κατάσταση και ημερομηνίες έναρξης και διακοπής, με το πρόσωπο που ρώτησε | Οι προμηθευτές του πελάτη, μαζί με ατομικές επιχειρήσεις |
| Εκπαίδευση ευαισθητοποίησης και προσομοιώσεις phishing | Ποιο μέλος του προσωπικού ολοκλήρωσε ποιο μάθημα και πότε· οι προσομοιώσεις phishing κρατούν μόνο πλήθη ανά τμήμα, ποτέ ποιο άτομο έκανε κλικ | Το προσωπικό του πελάτη |
| Υποθέσεις απόκρισης σε περιστατικά | Όσα καταχωρίζει ο πελάτης: γεγονότα και αποφάσεις με τα πρόσωπα που τα κατέγραψαν, η επικοινωνία με την αρχή, την αστυνομία ή τον ασφαλιστή μαζί με τους αριθμούς αναφοράς τους, ποιος συνέλεξε, παρέλαβε και έλεγξε κάθε τεκμήριο | Το προσωπικό του πελάτη και όσοι εμπλέκονται στο περιστατικό |
| Αιτήματα αρχείων και σύνδεσμοι κοινής χρήσης | Όνομα και διεύθυνση email του παραλήπτη, τι ζητήθηκε ή μοιράστηκε, τα αρχεία που ανέβηκαν και πότε χρησιμοποιήθηκε κάθε σύνδεσμος και έγινε κάθε λήψη | Οι άνθρωποι του πελάτη και των πελατών του στους οποίους στέλνονται |
| Παραλήπτες σύνοψης και ενημερώσεων για ευπάθειες | Οι διευθύνσεις email που ορίζει ο πελάτης, ή ο συνεργάτης που του παρέχει την κονσόλα, για τη μηνιαία σύνοψη και τις ενημερώσεις για ευπάθειες υπό εκμετάλλευση. Κάθε αποστολή καταγράφεται με την ημερομηνία της και πόσα μηνύματα στάλθηκαν | Οι επαφές του πελάτη |
Η κονσόλα δεν αποθηκεύει κωδικούς ή μυστικά που βρίσκει ένας έλεγχος· καταγράφει μόνο ότι υπάρχει εύρημα και πού.
Με ενεργούς τους ελέγχους περιεχομένου, η κονσόλα διαβάζει δείγματα από τις εκτεθειμένες αποθήκες δεδομένων του πελάτη και κρατά μόνο το πλήθος των προσωπικών δεδομένων τους ανά είδος, τον αριθμό των αντικειμένων που διαβάστηκαν και τα ονόματά τους.
4. Οδηγίες
Το Vardion επεξεργάζεται τα δεδομένα μόνο με τεκμηριωμένες οδηγίες του πελάτη. Οδηγίες αποτελούν η σύμβαση, οι ρυθμίσεις που ορίζει ο πελάτης στην κονσόλα και τα αιτήματά του προς την υποστήριξη. Αν μια οδηγία παραβιάζει κατά τη γνώμη του Vardion τον ΓΚΠΔ, το Vardion ενημερώνει αμέσως τον πελάτη.
5. Εμπιστευτικότητα
Πρόσβαση στα δεδομένα έχουν μόνο τα πρόσωπα του Vardion που διαχειρίζονται τη φιλοξενούμενη κονσόλα ή απαντούν σε αίτημα υποστήριξης, και όλα δεσμεύονται με υποχρέωση εμπιστευτικότητας.
6. Μέτρα ασφάλειας
Το Vardion εφαρμόζει τα μέτρα του άρθρου 32 ΓΚΠΔ που περιγράφει η σελίδα ασφάλειας, μεταξύ άλλων:
- κρυπτογράφηση κατά τη μεταφορά: η κονσόλα σερβίρεται μόνο μέσω HTTPS και τα μηνύματά της στέλνονται πάντα μέσω TLS ή STARTTLS·
- κάθε χώρος εργασίας κρατά χωριστά τα δεδομένα του, και κάθε λογαριασμός βλέπει μόνο τους χώρους εργασίας που του έχουν δοθεί·
- κωδικοί κατακερματισμένοι με scrypt, διακριτικά πρόσβασης αποθηκευμένα μόνο ως SHA-256 και επαλήθευση σε δύο βήματα·
- αρχείο ενεργειών αλυσιδωτό με κατακερματισμό, που δείχνει ποια εγγραφή άλλαξε, διαγράφηκε ή προστέθηκε·
- η κονσόλα δεν φορτώνει σενάρια, γραμματοσειρές ή εικόνες τρίτων.
7. Υπεργολάβοι επεξεργασίας
Ο πελάτης εγκρίνει γενικά τους υπεργολάβους του πίνακα. Το Vardion ενημερώνει τον πελάτη με email τουλάχιστον 30 ημέρες πριν προσθέσει ή αντικαταστήσει υπεργολάβο, και ο πελάτης μπορεί να αντιταχθεί για εύλογο λόγο. Κάθε υπεργολάβος δεσμεύεται με σύμβαση με τις ίδιες υποχρεώσεις προστασίας δεδομένων.
| Υπεργολάβος επεξεργασίας | Σκοπός | Τοποθεσία |
|---|---|---|
| OVH SAS (OVHcloud) | Φιλοξενία της φιλοξενούμενης κονσόλας και του δωρεάν ελέγχου domain | ΕΕ |
| Sinch Mailjet SAS (Mailjet) | Αποστολή των email της κονσόλας και του δωρεάν ελέγχου: προσκλήσεις, επαναφορές κωδικού, αναφορές και ειδοποιήσεις | Γαλλία |
| Google Ireland Limited (Google Workspace) | Λήψη και απάντηση των email προς τις διευθύνσεις του Vardion | Ιρλανδία |
| Cloudflare, Inc. | Φιλοξενία και παράδοση του ιστότοπου getvardion.com και DNS των domains του Vardion | Ηνωμένες Πολιτείες, με παράδοση από το πλησιέστερο κέντρο δεδομένων |
8. Πηγές που ερωτώνται
Όταν ο πελάτης ενεργοποιεί τον έλεγχο διαρροών για ένα domain του πεδίου εφαρμογής του, η κονσόλα ρωτά τις παρακάτω πηγές. Δεν επεξεργάζονται δεδομένα για λογαριασμό του Vardion: λαμβάνουν μόνο το domain και επιστρέφουν όσα καταγράφουν οι ίδιες.
| Πηγή | Τι απαντά | Τι λαμβάνει | Τι επιστρέφει |
|---|---|---|---|
| XposedOrNot | Λογαριασμοί ενός domain που εμφανίζονται σε διαρροές | Το domain | Τους λογαριασμούς (διευθύνσεις email) του domain που καταγράφει |
| Hudson Rock | Λογαριασμοί ενός domain σε αρχεία κακόβουλου λογισμικού υποκλοπής (infostealer) | Το domain | Τους λογαριασμούς του domain που καταγράφει |
| Have I Been Pwned | Όπως το XposedOrNot, μόνο με κλειδί που ορίζει ο πελάτης | Το domain | Τους λογαριασμούς του domain που καταγράφει |
9. Συνδρομή στον πελάτη
Το Vardion συνδράμει τον πελάτη στην απάντηση αιτημάτων των υποκειμένων, στις εκτιμήσεις αντικτύπου και στις διαβουλεύσεις με την εποπτική αρχή, στον βαθμό που αφορούν την επεξεργασία της κονσόλας. Οι περισσότερες ενέργειες γίνονται από τον ίδιο τον πελάτη στην κονσόλα: εξαγωγή, διόρθωση και διαγραφή.
10. Παραβίαση δεδομένων
Το Vardion ενημερώνει τον πελάτη για παραβίαση δεδομένων προσωπικού χαρακτήρα στη φιλοξενούμενη κονσόλα χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 48 ωρών αφότου λάβει γνώση της. Η ενημέρωση περιέχει όσα στοιχεία του άρθρου 33 παρ. 3 ΓΚΠΔ είναι γνωστά και το Vardion συμπληρώνει τα υπόλοιπα μόλις γίνουν γνωστά.
11. Λήξη: επιστροφή και διαγραφή
Ο πελάτης μπορεί οποτεδήποτε να εξαγάγει τα δεδομένα του από την κονσόλα σε ανοιχτές μορφές. Μετά τη λήξη της σύμβασης, το Vardion παραδίδει στον πελάτη, αν το ζητήσει, πλήρη εξαγωγή του χώρου εργασίας του και διαγράφει τα δεδομένα εντός 30 ημερών, εκτός αν ο νόμος απαιτεί τήρησή τους. Επιβεβαιώνει τη διαγραφή γραπτώς. Τα αντίγραφα ασφαλείας που λήφθηκαν πριν από τη διαγραφή κρατούν τα δεδομένα μέχρι να αντικατασταθούν στον κύκλο τους.
12. Έλεγχοι
Το Vardion θέτει στη διάθεση του πελάτη τις πληροφορίες που αποδεικνύουν τη συμμόρφωση με το άρθρο 28 ΓΚΠΔ και επιτρέπει ελέγχους από τον πελάτη ή ελεγκτή που ορίζει, με εύλογη προειδοποίηση και σε συνεννόηση για τον χρόνο, χωρίς να εκτίθενται δεδομένα άλλων πελατών.
13. Διαβιβάσεις
Τα δεδομένα της κονσόλας αποθηκεύονται στην ΕΕ. Όταν ένας υπεργολάβος επεξεργάζεται δεδομένα εκτός του Ευρωπαϊκού Οικονομικού Χώρου, η διαβίβαση βασίζεται σε απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής ή στις τυποποιημένες συμβατικές ρήτρες.
14. Επικοινωνία
Για τη σύμβαση και για κάθε θέμα προστασίας δεδομένων: support@getvardion.com.