- Σκοπός και πεδίο εφαρμογής
H Ανώνυμη Εταιρία με την επωνυμία «CREDIBLE SERVICES ΑΝΩΝΥΜΗ ΕΤΑΙΡΕΙΑ ΠΑΡΟΧΗΣ ΥΠΗΡΕΣΙΩΝ ΔΙΑΧΕΙΡΙΣΤΙΚΗΣ ΚΑΙ ΣΥΜΒΟΥΛΕΥΤΙΚΗΣ ΥΠΟΣΤΗΡΙΞΗΣ» και το διακριτικό τίτλο «CREDIBLE SERVICES A.E.», που εδρεύει στην Ιωσήφ Μομφερράτου 142, Αθήνα, Τ.Κ. 11474 (εφεξής «η Εταιρία») επιθυμεί να διεξάγει τις επιχειρηματικές της δράσεις σε συμφωνία με τις αρχές και τη νομοθεσία περί προστασίας προσωπικών δεδομένων και λαμβάνει τα απαραίτητα μέτρα για την ασφάλεια των προσωπικών δεδομένων που επεξεργάζεται για την λειτουργία της και την εκτέλεση των εταιρικών σκοπών της.
Η παρούσα Πολιτική ισχύει για όλα τα άτομα των οποίων τα δεδομένα επεξεργαζόμαστε είτε με την ιδιότητά μας ως Υπευθύνου Επεξεργασίας είτε ως Εκτελούντος την Επεξεργασία, συμπεριλαμβανομένων των πελατών, συνεργατών, αντιδίκων των πελατών μας, οφειλετών, προμηθευτών, συνεταίρων, επενδυτών και μετόχων καθώς και υποψηφίων, τωρινών και πρώην εργαζομένων και των εξαρτωμένων τους. Η Πολιτική αυτή καθορίζει τα πρότυπά μας για τη διαχείριση και προστασία των προσωπικών δεδομένων από την Εταιρία μας ή για λογαριασμό της. Ισχύει για κάθε δραστηριότητά μας που εμπεριέχει την επεξεργασία πληροφοριών σχετικά με φυσικά πρόσωπα που διεξάγουμε σε κάθε τομέα/τμήμα δραστηριότητάς μας. Όλοι οι Εργαζόμενοι της Εταιρίας και τα στελέχη της Διοίκησης έχουν σημαντικές ευθύνες σχετικά με την προστασία της ιδιωτικότητας και των προσωπικών δεδομένων και είναι εκπαιδευμένοι, ώστε να τηρούν την παρούσα Πολιτική και τις απαιτήσεις της σχετικής νομοθεσίας περί προστασίας προσωπικών δεδομένων. Ενσωματώνουμε τα πρότυπα προστασίας προσωπικών δεδομένων στις δραστηριότητες, διεργασίες, τεχνολογίες και στις σχέσεις μας με τρίτα πρόσωπα που χρησιμοποιούν προσωπικά δεδομένα ενώ σχεδιάζουμε σχετικούς ελέγχους ασφάλειας στις επεξεργασίες και τεχνολογίες μας που είναι συνεπείς με τις αρχές προστασίας δεδομένων και την εφαρμοστέα νομοθεσία.
- Περιεχόμενο
- Ορισμοί
Νομοθεσία Προστασίας Προσωπικών Δεδομένων: Ο Γενικός Κανονισμός Προστασίας Δεδομένων ΕΕ 619/2016 (ΓΚΠΔ) και ο Ελληνικός Νόμος 4624/2019 για την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων, όπως ισχύει, καθώς και κάθε δευτερογενές δίκαιο / γνωμοδοτήσεις / αποφάσεις /κατευθύνσεις / οδηγίες που εκδόθηκαν από την Ελληνική Αρχή Προστασίας Δεδομένων και οποιαδήποτε άλλη αρμόδια Εποπτική Αρχή προστασίας Δεδομένων.
Προσωπικά Δεδομένα: Όλα τα δεδομένα για ένα αναγνωρισμένο ή μη αναγνωρισμένο άτομο, συμπεριλαμβανομένων των δεδομένων που αναγνωρίζουν το άτομο ή που θα μπορούσαν να χρησιμοποιηθούν για να το αναγνωρίσουν, εντοπίσουν, παρακολουθήσουν ή επικοινωνήσουν μαζί του. Ειδικότερα, τα προσωπικά δεδομένα περιλαμβάνουν εξίσου τις πληροφορίες άμεσης αναγνώρισης, όπως όνομα, επώνυμο ή μοναδικό τίτλο εργασίας, και τις πληροφορίες έμμεσης αναγνώρισης, όπως ημερομηνία γέννησης, τηλεφωνικό νούμερο κινητού ή σταθερού αλλά και κωδικοποιημένα δεδομένα.
Ειδικές κατηγορίες δεδομένων (επίσης γνωστές ως ευαίσθητα προσωπικά δεδομένα): αφορούν κυρίως δεδομένα σχετικά με θρησκευτικές, φιλοσοφικές, πολιτικές ή συνδικαλιστικές απόψεις ή δραστηριότητες, την υγεία, γενετική ή βιομετρική πληροφόρηση, τη φυλετική και εθνική καταγωγή, δεδομένα σχετικά με τη σεξουαλική ζωή ενός ατόμου ή τον σεξουαλικό προσανατολισμό, ποινικές διαδικασίες και καταδίκες.
Επεξεργασία: Κάθε πράξη που επιχειρείται στα προσωπικά δεδομένα και έχει την έννοια που αποδίδεται από τη Νομοθεσία Προστασίας Προσωπικών Δεδομένων, ανεξάρτητα με το αν αυτή είναι αυτοματοποιημένη ή μη, συμπεριλαμβανομένης ενδεικτικά της συλλογής, καταγραφής, οργάνωσης, κατανομής, αποθήκευσης, προσαρμογής ή αλλοίωσης, ανάκτησης, εκμετάλλευσης, χρήσης, αποκάλυψης με διαβίβαση, διακίνησης ή οποιασδήποτε άλλης ενέργειας που τα καθιστά διαθέσιμα, συσχέτισης ή διασύνδεσης, περιορισμού, αποκλεισμού, διαγραφής ή καταστροφής τους.
Ανωνυμοποίηση: Η μεταβολή, αποκοπή, εξάλειψη ή άλλος περιορισμός ή μετατροπή των προσωπικών δεδομένων, ώστε να καταστεί αδύνατη η χρήση τους για αναγνώριση, εντοπισμό ή επικοινωνία με το υποκείμενο.
Το υποκείμενο δεδομένων: είναι φυσικό πρόσωπο στο οποίο αφορούν τα προσωπικά δεδομένα.
Ο υπεύθυνος επεξεργασίας: είναι το νομικό πρόσωπο που αποφασίζει για το σκοπό, τα μέσα, το περιεχόμενο και τη διαδικασία επεξεργασίας δεδομένων προσωπικού χαρακτήρα.
Ο εκτελών την επεξεργασία: είναι ένα φυσικό ή νομικό πρόσωπο που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα σύμφωνα με τις οδηγίες του υπευθύνου επεξεργασίας δεδομένων.
Τρίτο Πρόσωπο: Οποιαδήποτε έννομη οντότητα, οργανισμός ή υποκείμενο που δεν ανήκει στην Εταιρία μας, ή για το οποίο η Εταιρία μας δεν έχει ελεγκτικό ενδιαφέρον, ή που δεν εργάζεται για την Εταιρία μας.
Ως διαβίβαση: νοείται η με οποιοδήποτε τρόπο παροχή πρόσβασης στα προσωπικά δεδομένα.
Ως αρχείο δεδομένων νοείται κάθε σύνολο προσωπικών δεδομένων που είναι διαρθρωμένο κατά τρόπο που να επιτρέπει την ταυτοποίηση του εν λόγω προσώπου από τα δεδομένα, π.χ. οποιοδήποτε εργαλείο πληροφορικής που περιέχει προσωπικά δεδομένα.
Περιστατικό Ασφαλείας: Kάθε τυχαία, παράνομη ή μη εξουσιοδοτημένη απώλεια, καταστροφή, αλλοίωση, πρόσβαση, χρήση, αποκάλυψη, ζημία ή φθορά στα προσωπικά δεδομένα ή άλλως οποιοδήποτε περιστατικό, το οποίο βάσιμα δύναται να οδηγήσει σε τυχαία, παράνομη ή μη εξουσιοδοτημένη απώλεια, καταστροφή, αλλοίωση, πρόσβαση, χρήση, αποκάλυψη, ζημία ή φθορά στα προσωπικά δεδομένα ή η εύλογη υποψία της εταιρίας μας ότι αυτό συνέβη.
Η εκτίμηση αντικτύπου στα προσωπικά δεδομένα: είναι μια συστηματική διαδικασία για τον εντοπισμό, την αξιολόγηση και την τεκμηρίωση των κινδύνων και των επιπτώσεων των δραστηριοτήτων επεξεργασίας δεδομένων προσωπικού χαρακτήρα.
- Γενικές υποχρεώσεις κατά την επεξεργασία προσωπικών δεδομένων
- Αρχές επεξεργασίας δεδομένων
Η Εταιρία μας, όταν επεξεργάζεται δεδομένα προσωπικού χαρακτήρα, συμμορφώνεται με τις ακόλουθες αρχές:
- Νομιμότητα, Αντικειμενικότητα, Διαφάνεια
Τα δεδομένα υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων. Ο τυχόν εκτελών την επεξεργασία πρέπει να διασφαλίζει τη συμμόρφωση με την παρούσα πολιτική και τους σχετικούς νόμους και κανονισμούς.
Επεξεργαζόμαστε τα προσωπικά δεδομένα των υποκειμένων σύμφωνα με τις ακόλουθες νομικές βάσεις:
α) για την εκτέλεση σύμβασης, στην οποία το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος,
β) προκειμένου να ληφθούν μέτρα σχετικά με το αίτημα του υποκειμένου των δεδομένων πριν από τη σύναψη της σύμβασης,
γ) για τη συμμόρφωση με τις νομικές υποχρεώσεις μας,
δ) για την υλοποίηση των εννόμων συμφερόντων μας ή τρίτου, εάν αυτά υπερισχύουν των δικαιωμάτων και ελευθεριών του προσώπου στο οποίο αναφέρονται τα δεδομένα,
ε) για την εκπλήρωση τυχόν καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που τυχόν μας έχει ανατεθεί,
στ) για την εκτέλεση των υποχρεώσεων και την άσκηση συγκεκριμένων δικαιωμάτων μας ή του υποκειμένου των δεδομένων στον τομέα του εργατικού δικαίου και του δικαίου κοινωνικής ασφάλισης και κοινωνικής προστασίας,
ζ) για την προστασία των ζωτικών συμφερόντων του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου,
η) για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων ή όταν τα δικαστήρια ενεργούν υπό τη δικαιοδοτική τους ιδιότητα.
θ) εάν το υποκείμενο των δεδομένων έχει γενικά καταστήσει τα προσωπικά του δεδομένα δημόσια προσβάσιμα, π.χ. πληροφορίες που δίδονται σε εφημερίδα ή τηλεφωνικούς καταλόγους ή που αναρτώνται σε ιστοσελίδες, και δεν έχει απαγορεύσει την επεξεργασία τους,
ι) όπου απαιτείται, εάν το υποκείμενο των δεδομένων μας παρέχει την συγκατάθεσή του σύμφωνα με το άρθρο 7 του ΓΚΠΔ. Το υποκείμενο μπορεί να ανακαλέσει την συγκατάθεσή του οποιαδήποτε στιγμή, όπως επίσης προβλέπεται στο παραπάνω άρθρο.
Πριν την συλλογή και επεξεργασία προσωπικών δεδομένων, ενημερώνουμε τα υποκείμενα μέσω μιας ξεκάθαρης, ευδιάκριτης, και εύκολα προσβάσιμης ειδοποίησης επεξεργασίας δεδομένων ή με παρόμοια μέσα, για (α) την εταιρική οντότητα ή οντότητες που είναι υπεύθυνες για την επεξεργασία και για τον εκτελούντα την επεξεργασία, (β) τα στοιχεία επικοινωνίας του Υπευθύνου Προστασίας Δεδομένων, (γ) το είδος των επεξεργαζόμενων προσωπικών δεδομένων (δ) τους σκοπούς της επεξεργασίας, (ε) τις κατηγορίες παραλήπτη δεδομένων, συμπεριλαμβανομένων τυχόν απαιτήσεων να αποκαλυφθούν προσωπικά δεδομένα σε Δημόσιες Αρχές, (στ) το χρονικό διάστημα τήρησης των δεδομένων, (ζ) το έννομο συμφέρον της Εταιρίας για την επεξεργασία των προσωπικών δεδομένων, κατά περίπτωση, (η) τις λεπτομέρειες μίας σχεδιαζόμενης διασυνοριακής μεταφοράς, (θ) εάν εφαρμόζεται αυτοματοποιημένη λήψη αποφάσεων και τη σημασία της επεξεργασίας για το υποκείμενο των δεδομένων, (ι) οδηγίες σχετικά με τα δικαιώματα του υποκειμένου των δεδομένων.
Όταν συλλέγονται προσωπικά δεδομένα από άλλες πηγές και όχι απαραίτητα υπό τη διεύθυνση της Εταιρίας μας, προτού αποκτηθούν τα δεδομένα, εξακριβώνουμε γραπτώς ότι ο πάροχος των δεδομένων έχει ενημερώσει τα υποκείμενα για τους τρόπους και τους σκοπούς με τους οποίους η Εταιρία σκοπεύει να χρησιμοποιήσει τις πληροφορίες και προσπαθούμε να εξασφαλίζουμε ότι οι συνεργάτες μας συμμορφώνονται με τις απαιτήσεις της νομοθεσίας προστασίας δεδομένων και με την παρούσα Πολιτική.
Εξασφαλίζουμε ότι οι απαραίτητοι μηχανισμοί διαφάνειας, συμπεριλαμβανομένων, όπου είναι δυνατό, μηχανισμών που υποστηρίζουν τα αιτήματα άσκησης ατομικών δικαιωμάτων, εισάγονται στις υποστηρικτικές τεχνολογίες. Όλα τα άτομα των οποίων τα προσωπικά δεδομένα επεξεργαζόμαστε, θα έχουν το δικαίωμα σε αντίγραφο της παρούσας Πολιτικής κατόπιν αιτήματός τους στον Υπεύθυνο Προστασίας Δεδομένων στις διευθύνσεις που αναφέρονται παρακάτω. Επίσης, χορηγείται ειδική ενημέρωση στους εργαζομένους και συνεργάτες μας για την επεξεργασία των προσωπικών τους δεδομένων από την Εταιρία μας.
- Περιορισμός Σκοπού Επεξεργασίας
Τα προσωπικά δεδομένα συλλέγονται και επεξεργάζονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς. Η επεξεργασία των προσωπικών δεδομένων πρέπει να γίνεται με καλή πίστη και τα δεδομένα που συλλέγονται ή αποθηκεύονται πρέπει να είναι απαραίτητα για την εκπλήρωση του σκοπού της επεξεργασίας τους. Εξασφαλίζουμε ότι η εν λόγω αρχή περιορισμού σκοπού έχει ενσωματωθεί στις υποστηρικτικές τεχνολογίες.
Εάν ταυτοποιηθούν νέοι εύλογοι εταιρικοί σκοποί για προσωπικά δεδομένα που έχουν ήδη συλλεχθεί, εξασφαλίζουμε ότι, είτε ο νέος εταιρικός σκοπός είναι συμβατός με τον αρχικό σκοπό επεξεργασίας των δεδομένων, όπως αυτός περιγράφεται στην ενημέρωση επεξεργασίας δεδομένων ή σε άλλο μηχανισμό διαφάνειας που παρασχέθηκε προηγούμενα στο υποκείμενο, είτε αποκτούμε τη συναίνεση του ατόμου για τη νέα χρήση των προσωπικών του δεδομένων.
Δεν εφαρμόζουμε την παραπάνω αρχή σε ανώνυμα δεδομένα ή όπου χρησιμοποιούμε προσωπικά δεδομένα αποκλειστικά και μόνο για σκοπούς ιστορικής και επιστημονικής έρευνας ή για στατιστικούς σκοπούς και μια αρμόδια Επιτροπή Ελέγχου ή άλλος ικανός ελεγκτής, έχει αποφανθεί ότι ο κίνδυνος μιας τέτοιας χρήσης για την ιδιωτικότητα ή άλλα δικαιώματα των ατόμων είναι αποδεκτός και υπάρχει σεβασμός στην υπάρχουσα Νομοθεσία.
- Ποιότητα δεδομένων
Διασφαλίζουμε ότι τα προσωπικά δεδομένα που επεξεργαζόμαστε είναι ακριβή ολόκληρα και επικαιροποιημένα. Λαμβάνουμε εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση προσωπικών δεδομένων, τα οποία είναι ανακριβή ή ελλιπή, σε σχέση με τον σκοπό επεξεργασίας. Μηχανισμοί περιοδικού ελέγχου δεδομένων έχουν ενσωματωθεί στις υποστηρικτικές τεχνολογίες για να επικυρώνουν την ακρίβεια των δεδομένων σε σχέση με την πηγή και τα συστήματα συλλογής τους. Εξασφαλίζουμε ότι τα προσωπικά δεδομένα επικυρώνονται ως ακριβή και ενήμερα πριν την συλλογή, χρήση ή άλλη επεξεργασία τους. Όταν λαμάνουν χώρα αλλαγές στα προσωπικά δεδομένα από την Εταιρία μας ή τρίτα πρόσωπα που εργάζονται για την εταιρία μας, εξασφαλίζουμε ότι αυτές οι αλλαγές επικοινωνούνται εγκαίρως, όπου αυτό είναι δυνατό, στους απαιτούμενους αποδέκτες.
2.2.1.4. Ελαχιστοποίηση των δεδομένων και περιορισμός της περιόδου αποθήκευσης
Επεξεργαζόμαστε τα κατάλληλα, συναφή και αναγκαία δεδομένα για συγκεκριμένους σκοπούς επεξεργασίας. Πριν την επεξεργασία προσωπικών δεδομένων, καθορίζουμε και καταγράφουμε τον ειδικό, έννομο επιχειρησιακό σκοπό για τον οποίο αυτή είναι απαραίτητη και τη χρονική περίοδο τήρησης των σχετικών δεδομένων. Καθορίζουμε και καταγράφουμε το χρονικό διάστημα, για το οποίο τα προσωπικά δεδομένα είναι απαραίτητα για καθορισμένους επιχειρησιακούς σκοπούς ή/και σύμφωνα με την σχετική ισχύουσα νομοθεσία. Δεν συλλέγουμε, χρησιμοποιούμε ή μοιραζόμαστε περισσότερα προσωπικά δεδομένα από ό,τι χρειάζεται, ή τηρούμε προσωπικά Δεδομένα σε αναγνωρίσιμη μορφή για περισσότερο χρονικό διάστημα από αυτό που είναι απαραίτητο για αυτούς τους καθορισμένους επιχειρησιακούς σκοπούς. Ανωνυμοποιούμε τα δεδομένα, όταν οι επιχειρησιακές απαιτήσεις καθιστούν αναγκαίο οι πληροφορίες σχετικά με τη δραστηριότητα ή διεργασία να τηρούνται για μεγαλύτερο χρονικό διάστημα. Εξασφαλίζουμε ότι αυτές οι αναγκαίες απαιτήσεις έχουν ενσωματωθεί στις τεχνολογίες που χρησιμοποιεί η Εταιρεία και ότι έχουν ενημερωθεί τα τρίτα πρόσωπα που υποστηρίζουν τη δραστηριότητα ή την επεξεργασία. Για τα ανωτέρω εφαρμόζουμε σχετική Πολιτική και Πρόγραμμα τήρησης και καταστροφής δεδομένων.
2.2.1.5. Ασφάλεια, Ακεραιότητα, Εμπιστευτικότητα και Διαθεσιμότητα
Τα προσωπικά δεδομένα υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με την χρήση κατάλληλων τεχνικών και οργανωτικών μέτρων.
Eφαρμόζουμε πρόγραμμα και ελέγχους ασφάλειας πληροφοριών ανάλογα με την ευαισθησία των πληροφοριών και το μέγεθος του κινδύνου της δραστηριότητας, λαμβάνοντας υπόψη τις βέλτιστες πρακτικές της σύγχρονης τεχνολογίας και το κόστος της εφαρμογής. Οι πολιτικές λειτουργικής ασφάλειας μας περιλαμβάνουν, μεταξύ άλλων, πρότυπα επιχειρησιακής συνέχειας και ανάκτησης λόγω καταστροφής, διαχείριση ταυτότητας και πρόσβασης, ταξινόμηση πληροφοριών, διαχείριση περιστατικών ασφάλειας και παραβίασης πληροφοριών, έλεγχο πρόσβασης δικτύου, φυσική ασφάλεια, έλεγχο ευαλωτότητας και διείσδυσης και διαχείριση κινδύνων. Ενδεικτικά:
- Ταξινομούμε τα δεδομένα ανάλογα με το επίπεδο ευαισθησίας τους και απαιτούμε την κατάλληλη επισήμανση και προστασία τους.
- Τα εμπιστευτικά δεδομένα κρυπτογραφούνται χρησιμοποιώντας τα τρέχοντα πρότυπα κρυπτογράφησης.
- Προσωπικά δεδομένα σε έντυπα αντίγραφα αποθηκεύονται σε κλειδωμένα συρτάρια/ντουλάπια.
- Εφαρμόζεται η αρχή της «ελάχιστης πρόσβασης», δηλαδή ο χρήστης έχει την ελάχιστη πρόσβαση που απαιτείται για την εκτέλεση των καθηκόντων του. Οι λογαριασμοί κάθε είδους απενεργοποιούνται κατά την αποχώρηση του εργαζομένου ή όταν τα εργασιακά καθήκοντα δεν απαιτούν πλέον πρόσβαση.
- Χρήση πολύπλοκων κωδικών πρόσβασης στα συστήματα για υψηλό επίπεδο ασφάλειας. Οποιοσδήποτε προεπιλεγμένος κωδικός πρόσβασης αλλάζει κατά τη διάρκεια ή αμέσως μετά την ολοκλήρωση της διαδικασίας εγκατάστασης.
- Υλική/φυσική ασφάλεια: Τα γραφεία ασφαλείας είναι στελεχωμένα κατά τις εργάσιμες ώρες. Ο χώρος της Εταιρίας διαθέτει σύστημα βιντεοεπιτήρησης για την προστασία προσώπων και αγαθών.
- Η τυχόν απομακρυσμένη πρόσβαση γίνεται μέσω Εικονικού Ιδιωτικού Δικτύου (VPN) με κατάλληλα πρότυπα κρυπτογράφησης.
- Τα συστήματα διαθέτουν εγκεκριμένο και υποστηριζόμενο λογισμικό έναντι κακόβουλων προγραμμάτων, το οποίο έχει ρυθμιστεί για τον αυτόματο καθαρισμό των μολυσμένων αρχείων.
- Διαχείριση απειλών και τρωτών σημείων: Η Εταιρία διενεργεί αξιολογήσεις τρωτότητας σε όλους τους νέους τύπους κατασκευής συστημάτων και σε υφιστάμενα συστήματα, συμπεριλαμβανομένων των συστημάτων της εσωτερικής, εξωτερικής και κρίσιμης υποδομής, για τον εντοπισμό λανθασμένων ρυθμίσεων, τρωτών σημείων και έκθεσης σε κινδύνους από τρωτά σημεία που μπορούν να αξιοποιηθούν.
- Δοκιμές διείσδυσης: Διενεργούνται τακτικές δοκιμές διείσδυσης για να διασφαλίζεται η αποτελεσματικότητα της κατάστασης ασφαλείας της Εταιρίας.
- Ασφάλεια δικτύου: Το δίκτυο της Εταιρείας διαθέτει κατάλληλα τείχη προστασίας, εργαλεία ανίχνευσης εισβολών και σάρωσης τρωτών σημείων.
- Η Εταιρεία διαθέτει Πολιτική Διαχείρισης και Αντιμετώπισης Περιστατικών Παραβίασης Προσωπικών Δεδομένων.
- Τα συστήματα και οι υποδομές της Εταιρείας διαθέτουν καθορισμένες διαδικασίες ανάκαμψης και δοκιμάζονται για να διασφαλίζεται η ικανότητα ανάκαμψης. Επίσης, για τις πληροφορίες που είναι αποθηκευμένες στα συστήματα της Εταιρείας δημιουργούνται αντίγραφα ασφαλείας σε τακτική βάση, ώστε να διασφαλίζεται η δυνατότητα ανάκτησής τους σε περίπτωση σφάλματος χρήστη ή λογισμικού, βλάβης του συστήματος ή άλλης καταστροφής. Τα αντίγραφα ασφαλείας αποθηκεύονται ασφαλώς σε μια εξωτερική εγκατάσταση.
- Όπου είναι απαραίτητο, έχουν υπογραφεί οι κατάλληλες συμβάσεις για την προστασία των προσωπικών δεδομένων με συνεργάτες, προμηθευτές και εργαζομένους. Οι εργαζόμενοι έχουν, επίσης, ενημερωθεί και εκπαιδευτεί για την σύννομη επεξεργασία των προσωπικών δεδομένων. Οι νέοι τρίτοι προμηθευτές ή συνεργάτες αξιολογούνται ως προς το επίπεδο προστασίας προσωπικών δεδομένων που εξασφαλίζουν, λαμβάνοντας υπόψιν την ευαισθησία και κρισιμότητα των προσωπικών δεδομένων.
2.2.1.6. Εκτίμηση αντικτύπου στα προσωπικά δεδομένα
Η Εταιρία μας διεξάγει εκτίμηση αντικτύπου στα προσωπικά δεδομένα, κάθε φορά που η προγραμματισμένη δραστηριότητα επεξεργασίας ή εισαγωγή μιας νέας τεχνολογίας μπορεί να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων. Σκοπός της εκτίμησης του αντικτύπου είναι να αξιολογηθούν και να μετριαστούν οι κίνδυνοι για το απόρρητο των δεδομένων. Η αξιολόγηση διενεργείται πριν ξεκινήσουν οι εργασίες επεξεργασίας υψηλού κινδύνου.
Οι δραστηριότητες επεξεργασίας υψηλού κινδύνου περιλαμβάνουν:
α) συστηματική και εκτενή αξιολόγηση των προσωπικών στοιχείων του υποκειμένου των δεδομένων. Ειδικότερα, εάν τα προσωπικά δεδομένα υποβάλλονται αυτόματα σε επεξεργασία, εάν η επεξεργασία περιλαμβάνει τη διαμόρφωση της προσωπικότητας και εάν οι αποφάσεις που επηρεάζουν τα δικαιώματα και τις υποχρεώσεις του υποκειμένου των δεδομένων βασίζονται στην αξιολόγηση αυτή,
β) επεξεργασία ευαίσθητων προσωπικών δεδομένων σε μεγάλη κλίμακα,
γ) συστηματική και ευρείας κλίμακας παρακολούθηση (λ.χ. βιντεοπαρακολούθηση) μίας προσβάσιμης στο κοινό περιοχής.
Η εκτίμηση του αντικτύπου στα προσωπικά δεδομένα τεκμηριώνεται δεόντως και πραγματοποιείται με τη βοήθεια του υπευθύνου προστασίας δεδομένων. Όταν η εκτίμηση του αντικτύπου στα προσωπικά δεδομένα οδηγεί στο συμπέρασμα ότι υπάρχει υψηλός κίνδυνος για τα υποκείμενα των δεδομένων, η εποπτική αρχή ενημερώνεται και γνωμοδοτεί σχετικά με τα κατάλληλα μέτρα για τη μείωση των κινδύνων.
Κάθε νέο σύστημα και διαδικασία θα συμμορφώνεται με τις ακόλουθες αρχές:
Αρχές προστασίας των δεδομένων από τον σχεδιασμό:
α) Θα λαμβάνονται τεχνικά και οργανωτικά μέτρα για τη διασφάλιση της συστηματικής και ασφαλούς διαχείρισης του κύκλου ζωής των προσωπικών δεδομένων από τη συλλογή έως την επεξεργασία και έως τη διαγραφή.
β) Τα συστήματα επεξεργασίας δεδομένων θα αποσκοπούν στη συλλογή όσο το δυνατόν λιγότερων προσωπικών δεδομένων για την εκπλήρωση του σκοπού για τον οποίο συλλέχθηκαν τα δεδομένα.
γ) Όταν η ανωνυμοποίηση των δεδομένων δεν παρεμποδίζει τον σκοπό της επεξεργασίας δεδομένων, τα προσωπικά δεδομένα θα καθίστανται ανώνυμα κατά τρόπο που το πρόσωπο στο οποίο αναφέρονται τα δεδομένα να μη μπορεί πλέον να ταυτοποιείται.
δ) Εφόσον τα προσωπικά δεδομένα δεν μπορούν να είναι ανώνυμα, θα λαμβάνονται μέτρα ασφαλείας ανάλογα με τη φύση των δεδομένων, όπως η ψευδωνυμοποίηση, η κρυπτογράφηση ή ο περιορισμός πρόσβασης.
ε) Τα προσωπικά δεδομένα καθίστανται προσβάσιμα μόνο σε εκείνα τα πρόσωπα που απαιτείται για να εκτελούν καθορισμένους ρόλους και ευθύνες.
στ) Συστηματικός έλεγχος ποιότητας των προσωπικών δεδομένων με την δημιουργία διαδικασιών για την ανίχνευση και διόρθωση ψευδών ή ελλιπών προσωπικών δεδομένων.
ζ) Τα υποκείμενα των δεδομένων θα διαθέτουν διαφανή και αποτελεσματικά μέσα ελέγχου σχετικά με τα προσωπικά τους δεδομένα.
Αρχές προστασίας δεδομένων εξ ορισμού
Τα συστήματα επεξεργασίας δεδομένων ρυθμίζονται κατά τρόπον ώστε να εφαρμόζονται αυτομάτως οι αυστηρότερες ρυθμίσεις απορρήτου, δηλαδή εξ ορισμού. Εκτενέστερη επεξεργασία δεδομένων προσωπικού χαρακτήρα επιτρέπεται μόνο εάν το υποκείμενο των δεδομένων επιλέξει ή συμφωνεί με ένα χαμηλότερο επίπεδο προστασίας, π.χ. μέσω της χειροκίνητης αλλαγής των ρυθμίσεων απορρήτου σε έναν ιστότοπο και συνεπώς με τη ρητή συγκατάθεσή του στην εκτεταμένη επεξεργασία (“opt-in”).
2.2.1.7. Διαβίβαση δεδομένων προσωπικού χαρακτήρα
Διαβιβάζουμε προσωπικά δεδομένα εφαρμόζοντας τα κατάλληλα τεχνικά και οργανωτικά μέτρα, μόνο εφόσον αυτό είναι απαραίτητο για την εκπλήρωση των σκοπών και δραστηριοτήτων μας, ερείδεται σε συγκεκριμένη νόμιμη βάση και εφόσον υποχρεούμαστε από το νόμο ή δικαστική απόφαση. Τα δεδομένα προσωπικού χαρακτήρα πρέπει να παρέχονται ανωνύμως, εφόσον κρίνεται σκόπιμο.
Εάν ο ρόλος του προσώπου, στο οποίο διαβιβάζονται προσωπικά δεδομένα, είναι να επεξεργάζεται αυτά για ή εκ μέρους της Εταιρίας μας, προτού το πρόσωπο λάβει τα προσωπικά δεδομένα, εμείς: (α) ολοκληρώνουμε το νομικό έλεγχο προστασίας δεδομένων για να αξιολογήσουμε τις πρακτικές προστασίας δεδομένων και τους κινδύνους που σχετίζονται με αυτά τα πρόσωπα, (β) αποκτούμε εγγυήσεις μέσω συμβολαίου από τα πρόσωπα αυτά δυνάμει του άρθρου 28 του ΓΚΠΔ, μεταξύ άλλων, ότι θα επεξεργάζονται τα προσωπικά δεδομένα σύμφωνα με τις οδηγίες της Εταιρίας μας, την παρούσα Πολιτική και τη νομοθεσία προστασίας προσωπικών δεδομένων, ότι θα ενημερώνουν έγκαιρα την Εταιρία μας για οποιοδήποτε περιστατικό ασφαλείας, συμπεριλαμβανομένης της όποιας ανικανότητας να συμμορφωθούν με την παρούσα Πολιτική και την υπάρχουσα νομοθεσία και ότι θα συνεργάζονται για την έγκαιρη επανόρθωση του όποιου τεκμηριωμένου περιστατικού ασφαλείας.
Εφόσον απαιτηθεί να διαβιβασθούν προσωπικά δεδομένα εκτός Ε.Ε., αυτό θα υλοποιηθεί, εάν υπάρχει απόφαση της Ευρωπαϊκής Επιτροπής περί εξασφάλισης επαρκούς επιπέδου προστασίας δεδομένων στην τρίτη χώρα ή υπό την προϋπόθεση ότι πληρούνται οι έτερες εγγυήσεις του ΓΚΠΔ.
Κατά την διαβίβαση των δεδομένων η Εταιρία θα λαμβάνει τα κατάλληλα τεχνικά και οργανωτικά μέτρα για την ελαχιστοποίηση του κινδύνου ακούσιας ή σκόπιμης παραβίασης, καταστροφής ή απώλειας προσωπικών δεδομένων.
2.2.2 Δικαιώματα των υποκειμένων των δεδομένων
Κάθε υποκείμενο δεδομένων έχει τα ακόλουθα δικαιώματα υπό τις προϋποθέσεις του ΓΚΠΔ:
α) Το δικαίωμα ενημέρωσης,
β) Το δικαίωμα πρόσβασης,
γ) Το δικαίωμα διόρθωσης,
δ) Το δικαίωμα διαγραφής,
ε) Το δικαίωμα περιορισμού της επεξεργασίας,
στ) Το δικαίωμα στη φορητότητα δεδομένων,
ζ) Το δικαίωμα εναντίωσης,
η) Δικαιώματα σχετικά με την αυτοματοποιημένη ατομική λήψη αποφάσεων και την κατάρτιση προφίλ.
Οποιοδήποτε άτομο, του οποίου τα προσωπικά δεδομένα επεξεργαζόμαστε εντός των πλαισίων της παρούσας Πολιτικής, δύναται να ασκεί τα παραπάνω δικαιώματα, να θέτει ερωτήσεις, να κάνει παράπονα ή να εκφράσει ανησυχίες στην Εταιρία μας, απευθυνόμενο στον Υπεύθυνο Προστασίας Δεδομένων με τους τρόπους που αναφέρονται παρακάτω.
Επίσης, οι εργαζόμενοι και οι συνεργάτες μας είναι υποχρεωμένοι να ενημερώνουν εγκαίρως τον Υπεύθυνο Προστασίας Δεδομένων, για τα οποιαδήποτε αιτήματά σας, τις οποιεσδήποτε ερωτήσεις, παράπονα ή ανησυχίες σχετικά με τις επεξεργασίες δεδομένων και τις διαδικασίες προστασίας τους που εφαρμόζει η Εταιρία μας.
Ο Υπεύθυνος Προστασίας Δεδομένων θα ελέγχει και θα διερευνά τα ανωτέρω ζητήματα, ενδεχομένως και σε συνεργασία με τη Νομική Υπηρεσία και την αρμόδια εποπτική αρχή, είτε αυτά ελήφθησαν απευθείας από εσάς είτε από τους εργαζομένους και συνεργάτες μας είτε από άλλα τρίτα πρόσωπα. Θα απαντήσουμε στο αίτημα, ερώτημα, παράπονο ή ανησυχία που θέσατε στην Εταιρία μας εντός τριάντα (30) ημερολογιακών ημερών, εκτός κι εάν κάποιος νόμος απαιτήσει απάντηση σε μικρότερο χρονικό διάστημα ή εκτός κι εάν οι συνθήκες απαιτούν μεγαλύτερη χρονική περίοδο. Στην περίπτωση αυτή ο αιτών θα ειδοποιηθεί γραπτώς.
Για περισσότερες πληροφορίες σχετικά με το περιεχόμενο κάθε δικαιώματος, μπορείτε να ανατρέξετε στην Πολιτική της Εταιρίας για θέματα χειρισμού των αιτημάτων των υποκειμένων των δεδομένων.
2.2.3. Καταγραφή παραβίασης δεδομένων
Κάθε παράβαση αυτής της Πολιτικής, της νομοθεσίας και των κανονισμών προστασίας δεδομένων συνιστά παραβίαση προσωπικών δεδομένων. Ενδεικτικά συμβάντα είναι η παράνομη καταστροφή, απώλεια, αλλοίωση, η μη εξουσιοδοτημένη αποκάλυψη, καθώς και η επεξεργασία δεδομένων χωρίς την κατάλληλη νόμιμη βάση ή για σκοπούς ασύμβατους με εκείνους της αρχικής συλλογής και επεξεργασίας.
Το πρόσωπο που ανακαλύπτει ή υποψιάζεται την παραβίαση προσωπικών δεδομένων λαμβάνει τα κατάλληλα μέτρα για την προστασία των προσωπικών δεδομένων από περαιτέρω επιπτώσεις και αναφέρει την παραβίαση στον Υπεύθυνο Προστασίας Δεδομένων χωρίς καθυστέρηση.
Ο Υπεύθυνος Προστασίας Δεδομένων συστηματικά καταγράφει τις παραβιάσεις που του αποκαλύφθηκαν και αξιολογεί τους λόγους των παραβιάσεων. Επιπλέον, ο Υπεύθυνος Προστασίας Δεδομένων λαμβάνει περαιτέρω απαιτούμενα μέτρα για την αποκατάσταση της κατάστασης και την αποτροπή της επανάληψης των παραβιάσεων. Για περισσότερες πληροφορίες μπορείτε να ανατρέξετε στην Πολιτική Διαχείρισης Παραβιάσεων Δεδομένων της Εταιρίας.
2.2.4. Ειδοποίηση για παραβίαση δεδομένων
Η Εταιρία πρέπει να ειδοποιήσει την αρμόδια εποπτική αρχή για την παραβίαση δεδομένων εντός 72 ωρών από τη στιγμή που λαμβάνει γνώση της παραβίασης ή υποψιάζεται την παραβίαση, εφόσον αυτή ενδέχεται να θέσει σε κίνδυνο τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων.
Επιπλέον, εάν η παραβίαση των προσωπικών δεδομένων είναι πιθανό να θέσει σε υψηλό κίνδυνο τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων, το υποκείμενο των δεδομένων πρέπει να ενημερώνεται χωρίς καθυστέρηση. Περισσότερες σχετικές πληροφορίες αναφέρονται στην Πολιτική Διαχείρισης Παραβιάσεων Δεδομένων της Εταιρίας.
2.2.5. Τεκμηρίωση των αρχείων δεδομένων
Η Εταιρία τηρεί κατάλογο όλων των βάσεων δεδομένων και των αρχείων που περιέχουν προσωπικά δεδομένα. Ο κατάλογος περιλαμβάνει τις ακόλουθες ελάχιστες πληροφορίες:
α) το όνομα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας δεδομένων ή εκτελούντος την επεξεργασία αντίστοιχα,
β) όνομα και στοιχεία επικοινωνίας του Υπευθύνου Προστασίας Δεδομένων,
γ) περιγραφή της βάσης δεδομένων ή του αρχείου και της δραστηριότητας επεξεργασίας,
δ) τον σκοπό της επεξεργασίας,
ε) περιγραφή των κατηγοριών επεξεργαζόμενων προσωπικών δεδομένων, π.χ. όνομα, επώνυμο, στοιχεία ταυτότητας / διαβατηρίου, ΑΦΜ, ημερομηνία γέννησης, στοιχεία επικοινωνίας (π.χ. ταχυδρομική ή ηλεκτρονική διεύθυνση, τηλέφωνο), οικονομικά στοιχεία, περιουσιακά στοιχεία, δεδομένα που αναφέρονται σε δικαστικά και εξώδικα έγγραφα
στ) περιγραφή των κατηγοριών των προσώπων στα οποία αναφέρονται τα δεδομένα, όπως πελάτες, οφειλέτες, αντίδικοι πελατών, συνεργάτες, προμηθευτές, εργαζόμενοι
ζ) περιγραφή των κατηγοριών των αποδεκτών δεδομένων, στους οποίους έχουν διαβιβαστεί ή πρόκειται να γνωστοποιηθούν τα προσωπικά δεδομένα, συμπεριλαμβανομένων των αποδεκτών σε τρίτες χώρες,
η) τις προβλεπόμενες προθεσμίες για τη διαγραφή των διαφόρων κατηγοριών δεδομένων, όπου είναι δυνατόν,
θ) γενική περιγραφή των τεχνικών και οργανωτικών μέτρων ασφαλείας, όπου είναι δυνατόν,
2.2.6. Κατάρτιση και ευαισθητοποίηση
Κάθε υπάλληλος της Εταιρίας εκπαιδεύεται σε θέματα προστασίας και ασφάλειας δεδομένων. Μια πρώτη εκπαιδευτική συνεδρία πραγματοποιείται κατά την έναρξη της απασχόλησης εντός της Εταιρίας και οι επακόλουθες εκπαιδεύσεις θα πραγματοποιούνται σε τακτά χρονικά διαστήματα.
2.3. Υπεύθυνος Προστασίας Δεδομένων (DPO)
Η Εταιρία έχει ορίσει Υπεύθυνο Προστασίας Δεδομένων για την παρακολούθηση της τήρησης των διατάξεων της παρούσας Πολιτικής Προστασίας Προσωπικών Δεδομένων και της συμμόρφωσης της Εταιρίας με τον Γενικό Κανονισμό. Τα υποκείμενα των δεδομένων μπορούν να επικοινωνούν με τον Υπεύθυνο Προστασίας Δεδομένων αναφορικά με θέματα που άπτονται της παρούσας Πολιτικής και λοιπών ζητημάτων προστασίας προσωπικών δεδομένων τους με τους ακόλουθους τρόπους:
Στοιχεία Υπευθύνου Προστασίας Δεδομένων: Εύα Κουφάκη, τηλ: +30 210 6424524, email: gdpr@credible.gr , διεύθυνση: Ιωσήφ Μομφερράτου 142, Αθήνα, Τ.Κ. 11474, Website: www.credible.gr
2.4. Εποπτεύουσα Αρχή
Εποπτεύουσα Ελληνική Αρχή για την παρακολούθηση εφαρμογής του Γενικού Κανονισμού έχει οριστεί η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), διεύθυνση: Λεωφόρος Κηφισιάς 1-3, Αθήνα, Τ.Κ. 11523 τηλ: +302106475600, φαξ: +302106475628, email: contact@dpa.gr, Website: www.dpa.gr.
2.5. Αναθεώρηση Πολιτικής Προστασίας Προσωπικών Δεδομένων
Οποιαδήποτε αλλαγή και επικαιροποίηση της παρούσας Πολιτικής θα αναρτηθεί στον Δικτυακό Τόπο της Εταιρείας www.credible.gr και θα φέρει ημερομηνία αναθεώρησης.
Αθήνα, Δεκέμβριος 2023
