1. Υπεύθυνος επεξεργασίας
Υπεύθυνος επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που συλλέγονται μέσω του ιστότοπου είναι η Kartia IKE, Ιδιωτική Κεφαλαιουχική Εταιρεία, Δορυλαίου 10-12, 11521 Αθήνα, αριθμός Γ.Ε.ΜΗ. 170727601000, που παρέχει το Vardion («Vardion», «εμείς»). Επικοινωνία: support@getvardion.com.
2. Πεδίο
Η πολιτική αφορά τον ιστότοπο getvardion.com και τον δωρεάν έλεγχο domain στο check.getvardion.com. Δεν αφορά το λογισμικό Vardion. Ένας πελάτης που εγκαθιστά το Vardion στη δική του υποδομή είναι ο υπεύθυνος επεξεργασίας των δεδομένων εκεί, και το Vardion δεν τα λαμβάνει. Στη φιλοξενούμενη κονσόλα, το Vardion επεξεργάζεται τα δεδομένα του πελάτη ως εκτελών την επεξεργασία, σύμφωνα με τη σύμβαση επεξεργασίας δεδομένων (ενότητα 4).
Η επίδειξη στο demo.getvardion.com δείχνει μόνο δείγμα δεδομένων. Ορίζει τα cookies σύνδεσης της κονσόλας (πολιτική cookies) και μετρά τα αιτήματα ανά διεύθυνση IP στη μνήμη για έως 10 λεπτά, για να τα περιορίζει. Δεν καταγράφει καμία. Ένας προσωπικός σύνδεσμος την ανοίγει για 7 ημέρες και δεν ονομάζει κανέναν.
3. Δεδομένα που συλλέγονται
| Δεδομένα | Σκοπός | Νομική βάση | Διάρκεια τήρησης |
|---|---|---|---|
| Όνομα, διεύθυνση email, εταιρεία και περιεχόμενο μηνύματος που στέλνεται με email | Απάντηση σε ερώτημα, οργάνωση επίδειξης, συζήτηση συνεργασίας | Ενέργειες πριν από τη σύναψη σύμβασης (άρθρο 6 παρ. 1 στοιχείο β ΓΚΠΔ) και έννομο συμφέρον (άρθρο 6 παρ. 1 στοιχείο στ ΓΚΠΔ) | 24 μήνες από την τελευταία επικοινωνία, ή όσο διαρκεί η σύμβαση που προκύπτει |
| Όνομα, διεύθυνση email, εταιρεία, αριθμός εργαζομένων, ρόλος και σημείωση από τη φόρμα επίδειξης | Οργάνωση της επίδειξης που ζήτησε ο επισκέπτης | Ενέργειες πριν από τη σύναψη σύμβασης (άρθρο 6 παρ. 1 στοιχείο β ΓΚΠΔ) | 12 μήνες από το αίτημα και μετά διαγράφονται |
| Όνομα, εταιρικό email και εταιρεία από τη φόρμα πρόσβασης στην επίδειξη | Αποστολή προσωπικού συνδέσμου για την επίδειξη και απάντηση στον επισκέπτη | Ενέργειες πριν από τη σύναψη σύμβασης (άρθρο 6 παρ. 1 στοιχείο β ΓΚΠΔ) | 12 μήνες από το αίτημα και μετά διαγράφονται |
| Το domain του ελέγχου, με τον βαθμό του, την ημερομηνία και τη γλώσσα, και, όταν τα φέρει ο σύνδεσμος προς τον έλεγχο, η ετικέτα καμπάνιας και το όνομα του ιστότοπου που οδήγησε σε αυτόν | Το αποτέλεσμα από δημόσιες εγγραφές· αρχείο των domains που ελέγχθηκαν και των συνδέσμων που φέρνουν επισκέπτες | Έννομο συμφέρον (άρθρο 6 παρ. 1 στοιχείο στ ΓΚΠΔ) | Όσο προσφέρεται ο έλεγχος. Το αρχείο δεν ονομάζει επισκέπτη. |
| Διεύθυνση email για την αποστολή της αναφοράς του ελέγχου, όταν ενεργοποιηθεί | Αποστολή της αναφοράς που ζήτησε ο επισκέπτης | Εκτέλεση του αιτήματος του επισκέπτη (άρθρο 6 παρ. 1 στοιχείο β ΓΚΠΔ) | Δεν τηρείται μετά την αποστολή, εκτός αν ο επισκέπτης ζητήσει επικοινωνία (επόμενη γραμμή). Η καταγραφή της αποστολής κρατά το domain και την ημερομηνία, όχι τη διεύθυνση. |
| Διεύθυνση email επισκέπτη που επιλέγει «Το Vardion μπορεί να επικοινωνήσει μαζί μου για αυτή την αναφορά», με το domain, τον βαθμό και την ημερομηνία, όταν ενεργοποιηθεί | Επικοινωνία σχετικά με την αναφορά | Συγκατάθεση (άρθρο 6 παρ. 1 στοιχείο α ΓΚΠΔ) | 12 μήνες από τον έλεγχο και μετά διαγράφεται ή νωρίτερα αν ανακληθεί η συγκατάθεση |
| Απαντήσεις στον έλεγχο ετοιμότητας NIS2, ως κλίμακες (τομέας, προσωπικό, κύκλος εργασιών, όμιλος, τα βήματα που έχουν γίνει), με το αποτέλεσμα και την ημέρα, και τίποτα που ταυτοποιεί τον επισκέπτη | Καταμέτρηση του πώς απαντούν οι οργανισμοί | Έννομο συμφέρον (άρθρο 6 παρ. 1 στοιχείο στ ΓΚΠΔ) | Τηρούνται ως πλήθη, που δεν ταυτοποιούν κανέναν |
| Όνομα, εταιρικό email και οργανισμός για την εγγραφή στον δωρεάν χώρο ΕΑΚ, με το όνομα χρήστη και την ημερομηνία κάθε σύνδεσης, όταν ενεργοποιηθεί | Επιβεβαίωση της διεύθυνσης και παροχή του δωρεάν χώρου | Εκτέλεση του αιτήματος του επισκέπτη (άρθρο 6 παρ. 1 στοιχείο β ΓΚΠΔ) | 24 ώρες για εγγραφή που δεν επιβεβαιώθηκε. Για έναν χώρο, μέχρι να κλείσει ή να διαγραφεί μετά από 12 μήνες χωρίς σύνδεση |
| Διεύθυνση IP επισκέπτη του ελέγχου, του ελέγχου ετοιμότητας, της φόρμας επίδειξης, της φόρμας πρόσβασης στην επίδειξη ή της δωρεάν εγγραφής, μόνο ως μονόδρομη σύνοψη της διεύθυνσης και του δικτύου της | Όριο ελέγχων, αιτημάτων επίδειξης και εγγραφών ανά διεύθυνση, ανά δίκτυο και ανά ημέρα | Έννομο συμφέρον (άρθρο 6 παρ. 1 στοιχείο στ ΓΚΠΔ) | Μία ώρα. Μία ημέρα για την εγγραφή |
| Στοιχεία παράδοσης: διεύθυνση IP, ημερομηνία και ώρα, σελίδα, τύπος προγράμματος περιήγησης | Παράδοση και προστασία του ιστότοπου και του ελέγχου | Έννομο συμφέρον (άρθρο 6 παρ. 1 στοιχείο στ ΓΚΠΔ) | Το Vardion δεν τηρεί αρχεία καταγραφής διακομιστή. Οι πάροχοι φιλοξενίας τα επεξεργάζονται για να παραδώσουν κάθε αίτημα. |
Ο ιστότοπος δεν χρησιμοποιεί εργαλεία ανάλυσης επισκεψιμότητας, διαφημιστικές τεχνολογίες ή ενσωματωμένο περιεχόμενο τρίτων. Η πολιτική cookies περιγράφει τη χρήση cookies.
Ο έλεγχος domain μετρά ανά ημέρα πόσοι έλεγχοι ξεκινούν και ολοκληρώνονται και πόσο συχνά ακολουθείται κάθε επόμενο βήμα. Οι μετρήσεις δεν περιέχουν διεύθυνση, domain ή cookie.
4. Αναζητήσεις διαρροών λογαριασμών στην κονσόλα
Ο δωρεάν έλεγχος δεν αναζητά διαρροές λογαριασμών. Η κονσόλα Vardion τις αναζητά μόνο για τα domains που ο πελάτης έχει δηλώσει στο πεδίο εφαρμογής του χώρου εργασίας του. Στέλνει το domain, ποτέ μια διεύθυνση email ή έναν κωδικό, στις πηγές του πίνακα. Κάθε πηγή επιστρέφει τους λογαριασμούς του domain που καταγράφει, και η κονσόλα κρατά για κάθε λογαριασμό μόνο τον λογαριασμό, την πηγή και την ημερομηνία ως εύρημα στον χώρο εργασίας. Κωδικός ή τιμή κατακερματισμού που μπορεί να περιέχει μια απάντηση δεν διαβάζεται και δεν αποθηκεύεται.
| Πηγή | Τι απαντά | Τι λαμβάνει | Τι επιστρέφει |
|---|---|---|---|
| XposedOrNot | Λογαριασμοί ενός domain που εμφανίζονται σε διαρροές | Το domain | Τους λογαριασμούς (διευθύνσεις email) του domain που καταγράφει |
| Hudson Rock | Λογαριασμοί ενός domain σε αρχεία κακόβουλου λογισμικού υποκλοπής (infostealer) | Το domain | Τους λογαριασμούς του domain που καταγράφει |
| Have I Been Pwned | Όπως το XposedOrNot, μόνο με κλειδί που ορίζει ο πελάτης | Το domain | Τους λογαριασμούς του domain που καταγράφει |
Σε εγκατάσταση στον διακομιστή του πελάτη, οι αναζητήσεις γίνονται από εκεί και το Vardion δεν λαμβάνει τίποτα. Στη φιλοξενούμενη κονσόλα, ο πελάτης είναι ο υπεύθυνος επεξεργασίας των λογαριασμών του προσωπικού του και το Vardion τους επεξεργάζεται για λογαριασμό του, σύμφωνα με τη σύμβαση επεξεργασίας δεδομένων. Τα ευρήματα μένουν στον χώρο εργασίας του πελάτη μέχρι να τα διαγράψει ο ίδιος ή να λήξει η σύμβαση.
5. Λίστες προσωπικού και αποδοχή πολιτικών στην κονσόλα
Ένας πελάτης μπορεί να καταχωρίσει το προσωπικό του στην κονσόλα για να του στείλει τις πολιτικές του να τις διαβάσει: το όνομα, το εταιρικό email και το τμήμα κάθε προσώπου, από υπολογιστικό φύλλο, με το χέρι ή από τον κατάλογο Microsoft 365 ή Google Workspace του πελάτη. Η κονσόλα καταγράφει πότε ο σύνδεσμος κάθε έκδοσης πολιτικής στάλθηκε, ανοίχτηκε και έγινε αποδοχή. Καταγράφει επίσης αν το πρόσωπο ολοκλήρωσε την εκπαίδευση που του ανέθεσε ο πελάτης. Κάθε σύνδεσμος λειτουργεί μία φορά και τηρείται μόνο η μονόδρομη σύνοψή του.
Στη φιλοξενούμενη κονσόλα, ο πελάτης είναι ο υπεύθυνος επεξεργασίας αυτών των εγγραφών και το Vardion τις επεξεργάζεται για λογαριασμό του, σύμφωνα με τη σύμβαση επεξεργασίας δεδομένων. Μένουν στον χώρο εργασίας του πελάτη μέχρι να τις διαγράψει ο ίδιος ή να λήξει η σύμβαση. Ένα πρόσωπο που αποχωρεί παραμένει με την ένδειξη ότι αποχώρησε, ώστε η εγγραφή όσων αποδέχθηκε να μένει πλήρης.
6. Αιτήματα τεκμηρίων και αναφορές DMARC στην κονσόλα
Ένας πελάτης μπορεί να δημοσιεύσει σελίδα εμπιστοσύνης και να προσφέρει σε αυτήν φόρμα για αιτήματα τεκμηρίων. Η κονσόλα κρατά το όνομα, το εταιρικό email και τον οργανισμό που συμπληρώνει ο επισκέπτης μαζί με ό,τι ζητά. Τα βλέπει μόνο ο πελάτης. Ένας πελάτης μπορεί επίσης να ζητήσει από την κονσόλα να διαβάζει τις συγκεντρωτικές αναφορές DMARC του, που καταγράφουν τις διευθύνσεις των διακομιστών που στέλνουν email ως τα domains του και πόσα μηνύματα έστειλε ο καθένας. Μια αναφορά δεν περιέχει περιεχόμενο μηνυμάτων και τίποτα τέτοιο δεν τηρείται. Με ενεργούς τους ελέγχους περιεχομένου, η κονσόλα μετρά τα προσωπικά δεδομένα σε δείγματα από τις εκτεθειμένες αποθήκες δεδομένων ενός πελάτη και κρατά μόνο τα πλήθη, ποτέ τα ίδια τα δεδομένα.
Στη φιλοξενούμενη κονσόλα ο πελάτης είναι ο υπεύθυνος επεξεργασίας αυτών των αρχείων και το Vardion τα επεξεργάζεται για λογαριασμό του, σύμφωνα με τη σύμβαση επεξεργασίας δεδομένων. Μένουν στον χώρο εργασίας του πελάτη μέχρι να τα διαγράψει ή να λήξει η σύμβαση.
7. Αποδέκτες
Τα δεδομένα προσωπικού χαρακτήρα κοινοποιούνται μόνο στους παρακάτω εκτελούντες την επεξεργασία, με συμβάσεις που πληρούν το άρθρο 28 ΓΚΠΔ:
| Υπεργολάβος επεξεργασίας | Σκοπός | Τοποθεσία |
|---|---|---|
| OVH SAS (OVHcloud) | Φιλοξενία της φιλοξενούμενης κονσόλας και του δωρεάν ελέγχου domain | ΕΕ |
| Sinch Mailjet SAS (Mailjet) | Αποστολή των email της κονσόλας και του δωρεάν ελέγχου: προσκλήσεις, επαναφορές κωδικού, αναφορές και ειδοποιήσεις | Γαλλία |
| Google Ireland Limited (Google Workspace) | Λήψη και απάντηση των email προς τις διευθύνσεις του Vardion | Ιρλανδία |
| Cloudflare, Inc. | Φιλοξενία και παράδοση του ιστότοπου getvardion.com και DNS των domains του Vardion | Ηνωμένες Πολιτείες, με παράδοση από το πλησιέστερο κέντρο δεδομένων |
Η κονσόλα στέλνει επίσης ένα domain του πεδίου ενός πελάτη, και τίποτα άλλο, στις πηγές διαρροών λογαριασμών της ενότητας 4: XposedOrNot, Hudson Rock και Have I Been Pwned.
Τα δεδομένα προσωπικού χαρακτήρα δεν πωλούνται και δεν διαβιβάζονται για σκοπούς προώθησης.
8. Διαβιβάσεις εκτός Ευρωπαϊκού Οικονομικού Χώρου
Όταν ένας εκτελών την επεξεργασία βρίσκεται εκτός του Ευρωπαϊκού Οικονομικού Χώρου, η διαβίβαση βασίζεται σε απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής ή στις τυποποιημένες συμβατικές ρήτρες.
9. Δικαιώματα του υποκειμένου
Σύμφωνα με τον ΓΚΠΔ, το υποκείμενο των δεδομένων έχει δικαίωμα:
- πρόσβασης στα δεδομένα του·
- διόρθωσης ανακριβών δεδομένων·
- διαγραφής·
- περιορισμού της επεξεργασίας·
- φορητότητας·
- εναντίωσης στην επεξεργασία που βασίζεται σε έννομο συμφέρον·
- ανάκλησης της συγκατάθεσης οποτεδήποτε, χωρίς να θίγεται η επεξεργασία πριν από την ανάκληση.
Τα αιτήματα στέλνονται στο support@getvardion.com και απαντώνται εντός ενός μήνα. Το υποκείμενο μπορεί επίσης να υποβάλει καταγγελία στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, Λεωφόρος Κηφισίας 1-3, 115 23 Αθήνα, www.dpa.gr. Για λογαριασμό που εμφανίζεται σε εύρημα στη φιλοξενούμενη κονσόλα, το αίτημα απευθύνεται στον πελάτη που είναι υπεύθυνος επεξεργασίας. Το Vardion τον συνδράμει.
10. Ασφάλεια
Ο ιστότοπος και ο έλεγχος σερβίρονται μέσω HTTPS. Πρόσβαση στα ερωτήματα και στο αρχείο των domains που ελέγχθηκαν έχει μόνο το προσωπικό που τα χειρίζεται. Το αρχείο των ελέγχων δεν ταυτοποιεί τον επισκέπτη.
11. Αλλαγές
Οι αλλαγές στην πολιτική δημοσιεύονται σε αυτή τη σελίδα με νέα ημερομηνία.