Σύμβαση επεξεργασίας δεδομένων #

Ημερομηνία ισχύος: 13 Σεπτεμβρίου 2026

Τελευταία ενημέρωση: 13 Σεπτεμβρίου 2026

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων («DPA») αποτελεί μέρος της συμφωνίας μεταξύ του πελάτη («Υπεύθυνος Επεξεργασίας») και του EthicsPortal («Εκτελών την Επεξεργασία») για την παροχή της πλατφόρμας αναφορών του EthicsPortal.

Η αποδοχή από τον οργανισμό ενσωματώνει την παρούσα DPA μαζί με τους Όρους Χρήσης που προσδιορίζονται στο ίδιο αρχείο αποδοχής. Δεν ενσωματώνει το δημόσιο υλικό DORA. Χρηματοοικονομική οντότητα που χρειάζεται ειδικούς όρους DORA πρέπει να συνάψει χωριστή γραπτή παραγγελία DORA υπογεγραμμένη και από τα δύο μέρη.

Υπερισχύει η αγγλική έκδοση της παρούσας DPA. Η μετάφραση παρέχεται μόνο για διευκόλυνση.

Χρειάζεστε υπογεγραμμένο αντίγραφο; Επικοινωνήστε στο legal@ethicsportal.eu για αντιυπογεγραμμένη έκδοση σε PDF.

1. Μέρη #

Υπεύθυνος Επεξεργασίας: Ο οργανισμός που συνδρομεί στο EthicsPortal και καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας προσωπικών δεδομένων μέσω της Υπηρεσίας.

Εκτελών την Επεξεργασία: EthicsPortal, εμπορική επωνυμία που χρησιμοποιεί ο Yaroslav Shmarov, ατομικός επιχειρηματίας (jednoosobowa działalność gospodarcza) εγγεγραμμένος στην Πολωνία (ΑΦΜ/NIP: 5272755790), με έδρα την οδό Obrzeżna 1A, 02-691 Βαρσοβία, Πολωνία. Επικοινωνία: legal@ethicsportal.eu .

2. Αντικείμενο και σκοπός της επεξεργασίας #

Ο Εκτελών επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του Υπευθύνου αποκλειστικά για την παροχή της Υπηρεσίας. Αυτό περιλαμβάνει:

• λήψη και αποθήκευση αναφορών
• ασφαλή επικοινωνία μεταξύ προσώπων που αναφέρουν και χειριστών
• διαχείριση ροής εργασίας υποθέσεων
• παραγωγή αρχείων καταγραφής ελέγχου και τεκμηρίωσης συμμόρφωσης
• αποστολή ειδοποιήσεων μέσω ηλεκτρονικού ταχυδρομείου

Ο Εκτελών δεν επεξεργάζεται προσωπικά δεδομένα που καλύπτονται από την παρούσα DPA για άλλον σκοπό πέρα από την παροχή της Υπηρεσίας σύμφωνα με τις οδηγίες του Υπευθύνου. Η διαχείριση λογαριασμών, η σύναψη συμβάσεων, η τιμολόγηση, η πρόληψη απάτης και οι δραστηριότητες μάρκετινγκ για τους ίδιους επιχειρηματικούς σκοπούς του Εκτελούντος βρίσκονται εκτός της παρούσας DPA και περιγράφονται στην Πολιτική απορρήτου .

3. Τύποι προσωπικών δεδομένων που υφίστανται επεξεργασία #

4. Κατηγορίες υποκειμένων των δεδομένων #

• Πρόσωπα που αναφέρουν
• Χειριστές υποθέσεων
• Διαχειριστές οργανισμού

5. Διάρκεια επεξεργασίας #

Ο Εκτελών επεξεργάζεται προσωπικά δεδομένα για τη διάρκεια της συνδρομής του Υπευθύνου. Μετά τη λήξη:

• Ο Υπεύθυνος μπορεί να εξαγάγει τα δεδομένα του πριν λήξει η συνδρομή.
• Τα δεδομένα αναφορών διατηρούνται σύμφωνα με τη ρυθμισμένη περίοδο διατήρησης (12, 24, 36, 48 ή 60 μήνες μετά το κλείσιμο της αναφοράς) και στη συνέχεια διαγράφονται οριστικά. Αναφορά χωρίς δραστηριότητα για 18 μήνες κλείνει αυτόματα, ώστε να αρχίσει η περίοδος διατήρησης.
• Η λήξη της συνδρομής παύει τη συνήθη πρόσβαση στην Υπηρεσία, αλλά δεν αναιρεί από μόνη της τις τεκμηριωμένες εντολές διατήρησης του Υπευθύνου.
• Μετά τη λήξη της Υπηρεσίας, ο Εκτελών, κατ’ επιλογή του Υπευθύνου, επιστρέφει ή διαγράφει τα προσωπικά δεδομένα και διαγράφει τα υπάρχοντα αντίγραφα, εκτός αν το δίκαιο της ΕΕ ή κράτους μέλους απαιτεί αποθήκευση. Ο Υπεύθυνος μπορεί να δώσει την εντολή πριν ή μετά την ημερομηνία λήξης μέσω των διαθέσιμων ελέγχων διαγραφής οργανισμού ή με γραπτό αίτημα.
• Μέχρι να εκτελεστεί η εντολή, η επεξεργασία περιορίζεται σε ασφαλή αποθήκευση, επιστροφή ή διαγραφή και σε επεξεργασία που απαιτείται από τον νόμο ή την ασφάλεια. Τα αντίγραφα ασφαλείας λήγουν σύμφωνα με τον τεκμηριωμένο κύκλο ζωής, επί του παρόντος το αργότερο 28 ημέρες μετά τη διαγραφή από τα συστήματα παραγωγής.

6. Υποχρεώσεις του Εκτελούντος #

6.1 Εντολές επεξεργασίας #

Ο Εκτελών επεξεργάζεται προσωπικά δεδομένα μόνο βάσει τεκμηριωμένων εντολών του Υπευθύνου.

6.2 Εμπιστευτικότητα #

Όλα τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται προσωπικά δεδομένα δεσμεύονται από υποχρέωση εμπιστευτικότητας.

6.3 Μέτρα ασφαλείας #

Ο Εκτελών εφαρμόζει και διατηρεί τα ακόλουθα τεχνικά και οργανωτικά μέτρα. Η σελίδα Ασφάλεια παρέχει τρέχουσες λειτουργικές λεπτομέρειες, αλλά δεν τροποποιεί τα συμφωνημένα μέτρα, εκτός αν υπογεγραμμένη παραγγελία ενσωματώνει ρητά χρονολογημένη έκδοσή της:

• μη ντετερμινιστική κρυπτογράφηση του κειμένου αναφορών, στοιχείων επικοινωνίας και μηνυμάτων
• μη αποθήκευσης διευθύνσεων IP
• αυτόματης αφαίρεσης μεταδεδομένων αρχείων
• ελέγχου πρόσβασης βάσει ρόλων
• αρχεία ελέγχου μόνο με προσθήκες για καθορισμένα συμβάντα, όχι για κάθε ανάγνωση ή ενέργεια
• περιορισμός ρυθμού για υποβολή αναφορών, αναζήτηση κωδικού πρόσβασης και δημιουργία μηνυμάτων
• HTTPS/TLS για όλες τις συνδέσεις
• προστασίας CSRF

Αναφορές για ευπάθειες και περιστατικά ασφάλειας μπορούν να αποστέλλονται στο security@ethicsportal.eu . Ερωτήματα σχετικά με τα δικαιώματα των υποκειμένων και την προστασία δεδομένων μπορούν να απευθύνονται στο privacy@ethicsportal.eu .

6.4 Υποεκτελούντες #

Ο Εκτελών χρησιμοποιεί τους υποεκτελούντες που αναφέρονται στην ενότητα 8 και θα ειδοποιεί τον Υπεύθυνο τουλάχιστον 30 ημέρες πριν από την προσθήκη ή αντικατάσταση υποεκτελούντος.

6.5 Δικαιώματα υποκειμένων #

Ο Εκτελών βοηθά τον Υπεύθυνο να απαντά σε αιτήματα υποκειμένων δεδομένων, παρέχοντας τις απαραίτητες τεχνικές δυνατότητες στην Υπηρεσία.

6.6 Ειδοποίηση παραβίασης δεδομένων #

Σε περίπτωση παραβίασης προσωπικών δεδομένων, ο Εκτελών θα ειδοποιήσει τον Υπεύθυνο χωρίς αδικαιολόγητη καθυστέρηση μετά τη στιγμή που θα λάβει γνώση και θα συμπληρώνει την ειδοποίηση όταν γίνονται διαθέσιμες περαιτέρω ουσιώδεις πληροφορίες.

6.7 DPIA #

Ο Εκτελών βοηθά τον Υπεύθυνο σε αξιολογήσεις αντικτύπου προστασίας δεδομένων και σε προηγούμενες διαβουλεύσεις με εποπτικές αρχές.

6.8 Διαγραφή και επιστροφή δεδομένων #

Μετά τη λήξη της Υπηρεσίας, ο Εκτελών, κατ’ επιλογή του Υπευθύνου:

• θα επιστρέψει όλα τα προσωπικά δεδομένα στις διαθέσιμες μορφές εξαγωγής της Υπηρεσίας κατά τον χρόνο λήξης, συμπεριλαμβανομένων εξαγωγών υποθέσεων σε PDF και των σχετικών συνημμένων, ή
• θα διαγράψει όλα τα προσωπικά δεδομένα και θα επιβεβαιώσει τη διαγραφή γραπτώς,

εκτός αν το δίκαιο της ΕΕ ή κράτους μέλους απαιτεί περαιτέρω αποθήκευση. Ο Υπεύθυνος μπορεί να γνωστοποιήσει την επιλογή του πριν ή μετά την ημερομηνία λήξης μέσω των διαθέσιμων ελέγχων διαγραφής οργανισμού ή με γραπτό αίτημα. Μέχρι να εκτελεστεί, η επεξεργασία περιορίζεται όπως περιγράφεται στην ενότητα 5 και τα αντίγραφα ασφαλείας απομονώνονται από τη συνήθη χρήση και λήγουν σύμφωνα με τον κύκλο ζωής που περιγράφεται εκεί.

Αν ο Υπεύθυνος χρειάζεται εύλογα επιπλέον μεταφερσιμότητα δεδομένων για μετάβαση ή ρυθμιστικό έλεγχο, ο Εκτελών θα αξιολογήσει το αίτημα με καλή πίστη και, όπου είναι τεχνικά εφικτό, θα το παράσχει κατόπιν χωριστού γραπτού αιτήματος.

6.9 Δικαιώματα ελέγχου #

Ο Εκτελών θέτει στη διάθεση του Υπευθύνου όλες τις πληροφορίες που είναι απαραίτητες για την απόδειξη συμμόρφωσης με το άρθρο 28 ΓΚΠΔ. Τα γραπτά ερωτηματολόγια ασφαλείας συμπληρώνονται ως μέρος αυτής της συνεργασίας και όχι αντ’ αυτής.

Όταν ο Υπεύθυνος επεξεργασίας είναι χρηματοοικονομική οντότητα εντός του πεδίου του Κανονισμού (ΕΕ) 2022/2554 (DORA), ειδική συνεργασία, πρόσβαση, επιθεώρηση, έλεγχος και δικαιώματα αρχών βάσει DORA ισχύουν μόνο στον βαθμό που ορίζονται σε χωριστή γραπτή εντολή DORA υπογεγραμμένη από τα δύο μέρη. Η κατάταξη του Υπευθύνου αποτελεί κανονιστική αξιολόγηση και δεν τροποποιεί μονομερώς την παρούσα DPA ούτε ενεργοποιεί πρόσθετες υποχρεώσεις.

Ο Εκτελών δεν διατηρεί δικά του γραφεία ή κέντρο δεδομένων. Άμεσο αντικείμενο ελέγχου είναι η παρούσα τεκμηρίωση και η εφαρμογή, με άσκηση των δικαιωμάτων εξ αποστάσεως και εγγράφως. Δεν δηλώνεται άμεση πρόσβαση σε περιβάλλοντα προμηθευτών πριν επαληθευτούν τα απαιτούμενα δικαιώματα στην υπογεγραμμένη εντολή DORA.

6.10 Καμία επεξεργασία με ΤΝ ή LLM επί προσωπικών δεδομένων #

Ο Εκτελών δεσμεύεται ότι τα προσωπικά δεδομένα που υφίστανται επεξεργασία στο πλαίσιο της παρούσας DPA — συμπεριλαμβανομένου του περιεχομένου αναφορών, της ταυτότητας του προσώπου που αναφέρει, των μηνυμάτων των χειριστών, των συνημμένων αρχείων και των καταχωρίσεων του αρχείου ελέγχου — δεν διαβιβάζονται σε οποιοδήποτε μεγάλο γλωσσικό μοντέλο, υπηρεσία γενετικής ΤΝ ή ταξινομητή βάσει ΤΝ, είτε λειτουργεί από τον Εκτελούντα είτε από τρίτο μέρος (συμπεριλαμβανομένων, ενδεικτικά, των OpenAI, Anthropic, Google και Mistral). Η Υπηρεσία δεν εκτελεί κατηγοριοποίηση, διαλογή, σύνοψη, μετάφραση ή προτεινόμενες απαντήσεις με ΤΝ επί προσωπικών δεδομένων. Ο Υπεύθυνος μπορεί να βασιστεί σε αυτήν τη δέσμευση κατά την αξιολόγηση των υποχρεώσεων αυτοματοποιημένης λήψης αποφάσεων κατά το άρθρο 22 ΓΚΠΔ και κατά τον καθορισμό του εύρους γνωστοποίησης υποεκτελούντων στις δικές του δηλώσεις απορρήτου και στις Εκτιμήσεις Αντικτύπου (DPIA). Οποιαδήποτε μεταβολή της παρούσας δέσμευσης θα συνιστούσε ουσιώδη μεταβολή της Υπηρεσίας και θα γνωστοποιούνταν στον Υπεύθυνο σύμφωνα με τα άρθρα 6.4 (Υποεκτελούντες) και 11 (Διάρκεια και λήξη).

Η τοπικά φιλοξενούμενη στατιστική μηχανική μετάφραση που εκτελείται εξ ολοκλήρου σε υποδομή που ελέγχεται από τον Εκτελούντα (κανένα δεδομένο δεν φεύγει από την υποδομή, καμία εξωτερική κλήση συμπερασμού) δεν εμπίπτει στο πεδίο του παρόντος περιορισμού και μπορεί να χρησιμοποιηθεί για τη μετάφραση μηνυμάτων προσώπων που αναφέρουν ή χειριστών, εφόσον ο Υπεύθυνος την έχει ενεργοποιήσει.

Η παρούσα δέσμευση αναθεωρείται ετησίως. Η ημερομηνία «Τελευταία ενημέρωση» στην αρχή της παρούσας DPA αντικατοπτρίζει την πιο πρόσφατη επιβεβαίωση. Εάν ο Εκτελών, σε οποιαδήποτε στιγμή, προτίθεται να εισαγάγει επεξεργασία ΤΝ ή LLM σε προσωπικά δεδομένα που εμπίπτουν στο πεδίο της παρούσας DPA, θα ειδοποιήσει τον Υπεύθυνο σύμφωνα με το άρθρο 6.4 και η μεταβολή θα τεθεί σε ισχύ όχι νωρίτερα από τη χρονική περίοδο προειδοποίησης που ορίζεται εκεί.

6.11 Κλειδιά κρυπτογράφησης διαχειριζόμενα από τον πελάτη (BYOK) #

Η Υπηρεσία δεν υποστηρίζει επί του παρόντος κλειδιά κρυπτογράφησης διαχειριζόμενα από τον πελάτη (BYOK, HYOK ή εξωτερική ενσωμάτωση KMS). Ορισμένα πεδία της βάσης δεδομένων κρυπτογραφούνται σε επίπεδο εφαρμογής με κλειδιά του Εκτελούντος· αυτό δεν αποδεικνύει κρυπτογράφηση όλων των συνημμένων ή των αντιγράφων ασφαλείας. Αυτό περιγράφει την τρέχουσα αρχιτεκτονική· δεν δηλώνει ότι τα κλειδιά πελάτη είναι νομικά ασύμβατα με την Οδηγία 2019/1937 ούτε εγγυάται ότι η καταστροφή ενός κλειδιού διαγράφει από μόνη της κάθε αντίγραφο δεδομένων. Βλ. Ασφάλεια .

6.12 Ευθύνη για το προσωπικό, τους υποεκτελούντες και την υποδομή #

Με την επιφύλαξη των περιορισμών ευθύνης της ενότητας 10, ο Εκτελών είναι υπεύθυνος για:

• Προσωπικό. Τις πράξεις και παραλείψεις των εργαζομένων του και κάθε άλλου προσώπου που εξουσιοδοτεί να επεξεργάζεται δεδομένα προσωπικού χαρακτήρα βάσει του παρόντος DPA — καθένα από τα οποία δεσμεύεται από την υποχρέωση εμπιστευτικότητας της ενότητας 6.2 — ως εάν επρόκειτο για δικές του πράξεις και παραλείψεις.
• Υποεκτελούντες. Την εκπλήρωση των υποχρεώσεων των υποεκτελούντων που αναφέρονται στην ενότητα 8. Εάν ένας ορισθείς υποεκτελών δεν εκπληρώσει τις υποχρεώσεις του για την προστασία δεδομένων, ο Εκτελών παραμένει υπεύθυνος έναντι του Υπευθύνου για την εκπλήρωση των υποχρεώσεων του εν λόγω υποεκτελούντος, σύμφωνα με το άρθρο 28 παράγραφος 4 του ΓΚΠΔ.
• Υποδομή. Τη συμμόρφωση με τις υποχρεώσεις ασφάλειας και διαθεσιμότητας της παρούσας DPA για υποδομή υπό τον έλεγχό του. Η κατανομή αυτή δεν εγγυάται την αποτροπή κάθε διακοπής ή επίθεσης· η ευθύνη προϋποθέτει παραβίαση της DPA, των Όρων ή του εφαρμοστέου δικαίου και υπόκειται στην ενότητα 10. Δεν καλύπτει αστοχίες στα συστήματα, τις συσκευές ή το δίκτυο του Υπευθύνου ούτε γεγονότα εκτός του εύλογου ελέγχου του Εκτελούντος.

7. Υποχρεώσεις του Υπευθύνου #

Ο Υπεύθυνος είναι υπεύθυνος για:

• τη διασφάλιση νόμιμης βάσης επεξεργασίας
• την παροχή των απαιτούμενων ενημερώσεων απορρήτου στα υποκείμενα
• τη ρύθμιση κατάλληλων περιόδων διατήρησης
• τον ορισμό εξουσιοδοτημένων χειριστών και διαχειριστών
• την απάντηση σε αιτήματα υποκειμένων δεδομένων

8. Υποεκτελούντες #

Οι ακόλουθοι υποεκτελούντες είναι εξουσιοδοτημένοι κατά την ημερομηνία ισχύος της παρούσας DPA:

Η Stripe χρησιμοποιείται για την τιμολόγηση συνδρομών και την επεξεργασία πληρωμών. Δεν χρησιμοποιείται για την επεξεργασία αναφορών ή δεδομένων υποθέσεων και, συνεπώς, δεν είναι υποεκτελών για την επεξεργασία που καλύπτεται από την παρούσα DPA. Η επεξεργασία δεδομένων συνδρομής και τιμολόγησης περιγράφεται χωριστά στην Πολιτική απορρήτου . Ανάλογα με τη δραστηριότητα επεξεργασίας, η Stripe ενεργεί ως εκτελών την επεξεργασία για το EthicsPortal ή ως ανεξάρτητος υπεύθυνος επεξεργασίας σύμφωνα με τους ισχύοντες όρους και την πολιτική απορρήτου της Stripe.

Ο δημόσιος ιστότοπος που παρέχεται μέσω Cloudflare βρίσκεται επίσης εκτός της επεξεργασίας για λογαριασμό του Υπευθύνου βάσει της παρούσας DPA. Ο ρόλος του για τον δημόσιο ιστότοπο περιγράφεται χωριστά στην Πολιτική απορρήτου .

Κανένας υποεκτελών ΤΝ ή LLM. Κανένα μεγάλο γλωσσικό μοντέλο, υπηρεσία γενετικής ΤΝ ή ταξινομητής βάσει ΤΝ δεν είναι υποεκτελών του Εκτελούντος. Τα προσωπικά δεδομένα που υφίστανται επεξεργασία στο πλαίσιο της παρούσας DPA δεν διαβιβάζονται σε OpenAI, Anthropic, Google, Mistral ή σε οποιονδήποτε άλλο πάροχο συμπερασμού ΤΝ. Δείτε το άρθρο 6.10.

9. Διεθνείς διαβιβάσεις δεδομένων #

Τα βασικά δεδομένα αναφορών και τα συνημμένα φιλοξενούνται στην ΕΕ από τη Hetzner. Η Mailjet μπορεί να λαμβάνει τη διεύθυνση email και τον κωδικό πρόσβασης του αναφέροντος όταν αυτός επιλέγει ειδοποιήσεις μέσω email. Οι δημοσιευμένες αλυσίδες της Mailjet και της AppSignal περιλαμβάνουν παρόχους εκτός ΕΟΧ· η πραγματική πρόσβαση και οι ροές δεδομένων πρέπει να επαληθευτούν για τον συγκεκριμένο λογαριασμό. Για κάθε περιορισμένη διαβίβαση, ο Εκτελών εξασφαλίζει νόμιμο μηχανισμό και εγγυήσεις σύμφωνα με το Κεφάλαιο V του ΓΚΠΔ και γνωστοποιεί ουσιώδεις αλλαγές κατά την ενότητα 6.4. Δεν παρέχεται εγγύηση ότι όλα τα δεδομένα email και τηλεμετρίας παραμένουν στον ΕΟΧ.

10. Ευθύνη #

Η ευθύνη κάθε μέρους βάσει της παρούσας DPA υπόκειται στους περιορισμούς ευθύνης της κύριας συμφωνίας υπηρεσίας. Στον μέγιστο βαθμό που επιτρέπεται από τον νόμο, αξιώσεις που προκύπτουν από ή σχετίζονται με την παρούσα DPA αποτελούν μέρος του ίδιου συνολικού ορίου ευθύνης που ισχύει για την Υπηρεσία.

11. Διάρκεια και λήξη #

Η παρούσα DPA τίθεται σε ισχύ όταν ο Υπεύθυνος αρχίζει να χρησιμοποιεί την Υπηρεσία και παραμένει σε ισχύ όσο ο Εκτελών επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του.

12. Εφαρμοστέο δίκαιο #

Η παρούσα DPA διέπεται από το δίκαιο της Δημοκρατίας της Πολωνίας. Τα δικαστήρια της Βαρσοβίας, Πολωνία, έχουν δικαιοδοσία, με την επιφύλαξη των υποχρεωτικών κανόνων δικαιοδοσίας.

Επικοινωνία #

Για ερωτήσεις σχετικά με την παρούσα DPA ή για να ζητήσετε υπογεγραμμένο αντίγραφο:

EthicsPortal
Yaroslav Shmarov
ul. Obrzeżna 1A, 02-691 Warsaw, Poland
legal@ethicsportal.eu

Τελευταία ενημέρωση: 23 Σεπτεμβρίου 2026