Σύμβαση Επεξεργασίας Δεδομένων
1. Συμβαλλόμενοι, αντικείμενο και ιεραρχία
Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων (το «DPA») συνάπτεται μεταξύ:
- του επαγγελματία διαιτολόγου–διατροφολόγου ή του διαιτολογικού γραφείου που χρησιμοποιεί την πλατφόρμα Nutrix, ως Υπευθύνου Επεξεργασίας (ο «Υπεύθυνος»), και
- της Έλενας Κατσαρλίνου, Διαιτολόγου – Διατροφολόγου (ατομική επιχείρηση), ΑΦΜ 148141323, με έδρα Βασ. Αλεξάνδρου 39, 121 31 Περιστέρι, ως Εκτελούσας την Επεξεργασία (η «Εκτελούσα» ή ο «Πάροχος»).
Το DPA αποτελεί αναπόσπαστο παράρτημα των Όρων Χρήσης Επαγγελματία (έκδοση tenant-terms-v1) και συνάπτεται με την ίδια πράξη αποδοχής. Σε περίπτωση σύγκρουσης, υπερισχύει το παρόν DPA ως προς κάθε ζήτημα προστασίας δεδομένων προσωπικού χαρακτήρα.
2. Ορισμοί
Οι όροι «δεδομένα προσωπικού χαρακτήρα», «ειδικές κατηγορίες δεδομένων», «επεξεργασία», «υπεύθυνος επεξεργασίας», «εκτελών την επεξεργασία», «υποκείμενο των δεδομένων», «παραβίαση δεδομένων» και «εποπτική αρχή» έχουν την έννοια που τους αποδίδει ο ΓΚΠΔ. «Δεδομένα Υπευθύνου» είναι τα δεδομένα προσωπικού χαρακτήρα που η Εκτελούσα επεξεργάζεται για λογαριασμό του Υπευθύνου στο πλαίσιο της Πλατφόρμας.
3. Ρόλοι των μερών
Ο Υπεύθυνος καθορίζει τους σκοπούς και τον τρόπο επεξεργασίας των δεδομένων των πελατών του. Φέρει την ευθύνη για τη νομιμότητα της συλλογής, τη νόμιμη βάση, την ενημέρωση των υποκειμένων (άρθρα 13–14 ΓΚΠΔ) και την τήρηση του αρχείου δραστηριοτήτων του (άρθρο 30 παρ. 1).
Η Εκτελούσα επεξεργάζεται τα δεδομένα αυτά αποκλειστικά κατ' εντολή του Υπευθύνου, για την παροχή της Πλατφόρμας, και τηρεί το δικό της αρχείο κατά το άρθρο 30 παρ. 2.
Η Εκτελούσα ενεργεί ως αυτοτελής υπεύθυνος επεξεργασίας (και εκτός του πεδίου του παρόντος DPA) ως προς: (α) τα στοιχεία λογαριασμού και τιμολόγησης του ίδιου του Υπευθύνου· (β) τα αρχεία ελέγχου ασφαλείας που τηρεί για λόγους λογοδοσίας· (γ) συγκεντρωτικά και ανωνυμοποιημένα στοιχεία χρήσης, από τα οποία δεν είναι δυνατή η ταυτοποίηση φυσικού προσώπου.
Η Ανεξάρτητη Αρχή Δημοσίων Εσόδων (ΑΑΔΕ), προς την οποία διαβιβάζονται παραστατικά μέσω myDATA, ενεργεί ως ανεξάρτητος αποδέκτης βάσει νομικής υποχρέωσης και δεν αποτελεί υπο-εκτελούντα της Εκτελούσας.
4. Αντικείμενο, διάρκεια, φύση και σκοπός της επεξεργασίας
Το αντικείμενο, η διάρκεια, η φύση, ο σκοπός της επεξεργασίας, το είδος των δεδομένων και οι κατηγορίες υποκειμένων περιγράφονται αναλυτικά στο Παράρτημα Ι.
Η επεξεργασία διαρκεί για όσο ισχύει η σύμβαση μεταξύ των μερών και, εν συνεχεία, μόνο για το διάστημα που προβλέπεται στο άρθρο 14.
5. Εντολές του Υπευθύνου
- Η Εκτελούσα επεξεργάζεται τα Δεδομένα Υπευθύνου αποκλειστικά βάσει τεκμηριωμένων εντολών του Υπευθύνου. Η χρήση των λειτουργιών της Πλατφόρμας από τον Υπεύθυνο, καθώς και οι παρόντες Όροι, συνιστούν πλήρεις τεκμηριωμένες εντολές.
- Η Εκτελούσα δεν χρησιμοποιεί τα Δεδομένα Υπευθύνου για δικούς της σκοπούς. Ρητά αποκλείονται: η πώληση ή διάθεση σε τρίτους, η διαφημιστική στόχευση, η δημιουργία προφίλ, και η εκπαίδευση συστημάτων τεχνητής νοημοσύνης ή μοντέλων μηχανικής μάθησης.
- Εάν η Εκτελούσα υποχρεωθεί από το δίκαιο της Ένωσης ή κράτους μέλους να προβεί σε επεξεργασία πέραν των εντολών, ενημερώνει τον Υπεύθυνο πριν από την επεξεργασία, εκτός αν το δίκαιο αυτό απαγορεύει την ενημέρωση για λόγους δημοσίου συμφέροντος.
- Η Εκτελούσα ενημερώνει αμέσως τον Υπεύθυνο εάν κρίνει ότι εντολή του παραβιάζει τον ΓΚΠΔ ή άλλη διάταξη περί προστασίας δεδομένων.
6. Ειδικές κατηγορίες δεδομένων (άρθρο 9 ΓΚΠΔ)
Τα μέρη αναγνωρίζουν ρητά ότι η επεξεργασία περιλαμβάνει, εκ φύσεως και σε ευρεία έκταση, δεδομένα που αφορούν την υγεία κατά την έννοια του άρθρου 4 σημ. 15 και του άρθρου 9 παρ. 1 ΓΚΠΔ, ενδεικτικά: μετρήσεις σύστασης σώματος και δερματοπτυχών, εργαστηριακές εξετάσεις, κλινικές παθήσεις, φαρμακευτική αγωγή, αλλεργίες, ομάδα αίματος, φωτογραφίες σώματος, δεδομένα ύπνου και καρδιακών παλμών, καθώς και κλινικές σημειώσεις.
Η επεξεργασία αυτή αντιμετωπίζεται σε κάθε περίπτωση με αυξημένα μέτρα προστασίας κατά το Παράρτημα ΙΙ.
- Ο Υπεύθυνος εγγυάται ότι διαθέτει έγκυρη εξαίρεση κατά το άρθρο 9 παρ. 2 ΓΚΠΔ, κατά κανόνα ρητή συγκατάθεση (στοιχ. α΄) ή/και παροχή υπηρεσιών υγείας από επαγγελματία που δεσμεύεται από επαγγελματικό απόρρητο (στοιχ. η΄ σε συνδυασμό με την παρ. 3), και ότι τηρεί την αντίστοιχη τεκμηρίωση.
- Η Πλατφόρμα υποστηρίζει τεχνικά τον Υπεύθυνο με ρητή συγκατάθεση δεδομένων υγείας ανά υποκείμενο, καταγραφόμενη αμετάκλητα (append-only). Εφόσον η συγκατάθεση δεν έχει δοθεί ή ανακληθεί, οι σχετικές λειτουργίες κλειδώνονται από τον διακομιστή και όχι μόνο στη διεπαφή.
- Για τα δεδομένα δραστηριότητας από συστήματα υγείας της συσκευής, το υποκείμενο επιλέγει ανά επιμέρους μέτρηση τι κοινοποιείται (η επιλογή εφαρμόζεται στην εφαρμογή της συσκευής)· ο διακομιστής επιβάλλει τον γενικό διακόπτη κοινοποίησης δραστηριότητας και την πύλη συγκατάθεσης δεδομένων υγείας: όταν η κοινοποίηση είναι ανενεργή, καμία μέτρηση δεν αποθηκεύεται.
- Για τις φωτογραφίες προόδου σώματος εφαρμόζεται χωριστό καθεστώς: η πρόσβαση του Υπευθύνου χορηγείται από το ίδιο το υποκείμενο, ανακαλείται άμεσα και χωρίς εμπόδια, και οι προβολές καταγράφονται σε αρχείο ελέγχου.
7. Εμπιστευτικότητα
Η Εκτελούσα διασφαλίζει ότι κάθε πρόσωπο εξουσιοδοτημένο να επεξεργάζεται τα Δεδομένα Υπευθύνου έχει αναλάβει δέσμευση εμπιστευτικότητας ή τελεί υπό κατάλληλη εκ του νόμου υποχρέωση, και ότι δεσμεύεται τόσο κατά τη διάρκεια όσο και μετά τη λήξη της σχέσης του με την Εκτελούσα. Η πρόσβαση χορηγείται κατ' εφαρμογή της αρχής της ελάχιστης αναγκαίας γνώσης και μόνο στις περιπτώσεις του άρθρου 13.1 των Όρων Χρήσης Επαγγελματία.
8. Ασφάλεια της επεξεργασίας (άρθρο 32)
Η Εκτελούσα εφαρμόζει τα τεχνικά και οργανωτικά μέτρα του Παραρτήματος ΙΙ, λαμβάνοντας υπόψη τις εξελίξεις της τεχνολογίας, το κόστος εφαρμογής, τη φύση και τους κινδύνους της επεξεργασίας.
Το Παράρτημα ΙΙ διακρίνει ρητά μεταξύ μέτρων που εφαρμόζονται σήμερα και μέτρων υπό υλοποίηση. Η Εκτελούσα δεν δηλώνει ως εφαρμοζόμενο κανένα μέτρο που δεν είναι ενεργό κατά την ημερομηνία ισχύος. Τα μέτρα δύνανται να επικαιροποιούνται, εφόσον δεν μειώνεται το συνολικό επίπεδο ασφάλειας.
9. Υπο-εκτελούντες
- Ο Υπεύθυνος παρέχει γενική έγγραφη έγκριση για την προσφυγή σε υπο-εκτελούντες. Οι υπο-εκτελούντες κατά την ημερομηνία ισχύος απαριθμούνται στο Παράρτημα ΙΙΙ και θεωρούνται εγκεκριμένοι με την αποδοχή του παρόντος.
- Η Εκτελούσα ενημερώνει τον Υπεύθυνο για κάθε σκοπούμενη προσθήκη ή αντικατάσταση υπο-εκτελούντος τουλάχιστον τριάντα (30) ημέρες πριν, μέσω email στη δηλωμένη διεύθυνσή του και μέσω του Πίνακα Ελέγχου.
- Ο Υπεύθυνος δικαιούται να αντιταχθεί αιτιολογημένα εντός της προθεσμίας αυτής, για λόγους που άπτονται της προστασίας δεδομένων. Εφόσον δεν βρεθεί εύλογη λύση, ο Υπεύθυνος δικαιούται να τερματίσει τη σύμβαση χωρίς κύρωση, με πλήρες δικαίωμα εξαγωγής των δεδομένων του.
- Η Εκτελούσα επιβάλλει σε κάθε υπο-εκτελούντα, με σύμβαση, τις ίδιες τουλάχιστον υποχρεώσεις προστασίας δεδομένων με τις παρούσες, και ευθύνεται έναντι του Υπευθύνου για τις πράξεις και παραλείψεις του υπο-εκτελούντος ως για δικές της.
10. Συνδρομή στα δικαιώματα των υποκειμένων
- Η Εκτελούσα συνδράμει τον Υπεύθυνο, με κατάλληλα τεχνικά και οργανωτικά μέτρα, στην ανταπόκριση σε αιτήματα άσκησης δικαιωμάτων (άρθρα 15–22 ΓΚΠΔ), λαμβάνοντας υπόψη τη φύση της επεξεργασίας.
- Η Πλατφόρμα παρέχει στον Υπεύθυνο άμεσα εργαλεία για: πρόσβαση και διόρθωση των δεδομένων πελάτη, διαγραφή πελάτη με αλυσιδωτή διαγραφή των σχετικών εγγραφών, και ανάκληση της συγκατάθεσης δεδομένων υγείας.
- Για αιτήματα φορητότητας (άρθρο 20) και για πλήρη εξαγωγή του Χώρου Εργασίας, ο Υπεύθυνος εξάγει ο ίδιος από τον Πίνακα Ελέγχου αντίγραφο σε δομημένο μορφότυπο: ανά πελάτη, ή ολόκληρου του Χώρου Εργασίας σε ενιαίο αρχείο που περιλαμβάνει τα δεδομένα της βάσης και τα αποθηκευμένα αρχεία, εκτός από τις φωτογραφίες προόδου σώματος για τις οποίες ο πελάτης δεν έχει χορηγήσει πρόσβαση στον Υπεύθυνο. Όπου αυτό δεν είναι εφικτό, η Εκτελούσα εκτελεί την εξαγωγή κατόπιν ταυτοποιημένου αιτήματος εντός δέκα (10) εργάσιμων ημερών.
- Εάν αίτημα υποκειμένου υποβληθεί απευθείας στην Εκτελούσα, αυτή δεν απαντά επί της ουσίας αλλά το διαβιβάζει αμελλητί στον Υπεύθυνο.
- Η συνδρομή παρέχεται χωρίς πρόσθετη χρέωση για εύλογο αριθμό αιτημάτων· για επαναλαμβανόμενα ή προδήλως υπερβολικά αιτήματα η Εκτελούσα δύναται να χρεώσει εύλογο διοικητικό κόστος, κατόπιν προηγούμενης ενημέρωσης.
11. Συνδρομή στις υποχρεώσεις των άρθρων 32–36
Η Εκτελούσα συνδράμει τον Υπεύθυνο στη διασφάλιση της συμμόρφωσης με τις υποχρεώσεις ασφάλειας (άρθρο 32), γνωστοποίησης παραβιάσεων (άρθρα 33–34), εκτίμησης αντικτύπου (άρθρο 35) και προηγούμενης διαβούλευσης (άρθρο 36), θέτοντας στη διάθεσή του τις αναγκαίες πληροφορίες για την περιγραφή της επεξεργασίας, των υπο-εκτελούντων και των μέτρων ασφαλείας.
Δεδομένης της μεγάλης κλίμακας επεξεργασίας δεδομένων υγείας, ο Υπεύθυνος καλείται να αξιολογήσει εάν υποχρεούται σε εκτίμηση αντικτύπου (DPIA) κατά το άρθρο 35 παρ. 3 στοιχ. β΄ και τον σχετικό κατάλογο της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Η Εκτελούσα διαθέτει στον Υπεύθυνο τεχνική περιγραφή προς τον σκοπό αυτό.
12. Παραβίαση δεδομένων προσωπικού χαρακτήρα
- Η Εκτελούσα γνωστοποιεί στον Υπεύθυνο κάθε παραβίαση που αφορά τα Δεδομένα Υπευθύνου χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός σαράντα οκτώ (48) ωρών από τη στιγμή που λαμβάνει γνώση αυτής.
- Η γνωστοποίηση περιλαμβάνει, στον βαθμό που είναι διαθέσιμα: τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό των θιγόμενων υποκειμένων και εγγραφών, τις πιθανές συνέπειες, τα ληφθέντα ή προτεινόμενα μέτρα, και σημείο επικοινωνίας. Ελλείπουσες πληροφορίες παρέχονται σταδιακά, χωρίς περαιτέρω καθυστέρηση.
- Η γνωστοποίηση προς την εποπτική αρχή και προς τα υποκείμενα βαρύνει τον Υπεύθυνο. Η Εκτελούσα δεν προβαίνει σε τέτοια γνωστοποίηση για λογαριασμό του χωρίς εντολή του, εκτός αν υποχρεούται από τον νόμο.
- Η Εκτελούσα τεκμηριώνει κάθε περιστατικό και συνεργάζεται εύλογα στη διερεύνηση και τον περιορισμό των συνεπειών του.
13. Τοποθεσία επεξεργασίας και διαβιβάσεις εκτός ΕΟΧ
- Η βάση δεδομένων, τα αποθηκευμένα αρχεία και οι διακομιστές εκτέλεσης της Πλατφόρμας φιλοξενούνται σε υποδομή εντός της Ευρωπαϊκής Ένωσης (περιοχή
europe-west1, Βέλγιο). Η κύρια αποθήκευση των Δεδομένων Υπευθύνου γίνεται εντός ΕΕ. - Ορισμένες επιμέρους λειτουργίες συνεπάγονται διαβίβαση περιορισμένων δεδομένων σε αποδέκτες εκτός ΕΟΧ, όπως εξειδικεύεται στο Παράρτημα ΙΙΙ, ιδίως η αποστολή ειδοποιήσεων σε συσκευές, οι αναφορές σφαλμάτων της εφαρμογής και η προαιρετική αναζήτηση κινούμενων εικόνων στη συνομιλία.
- Για κάθε τέτοια διαβίβαση, η Εκτελούσα διασφαλίζει κατάλληλες εγγυήσεις κατά το κεφάλαιο V ΓΚΠΔ, κατά κανόνα τις Τυποποιημένες Συμβατικές Ρήτρες της Εκτελεστικής Απόφασης (ΕΕ) 2021/914, συνοδευόμενες από εκτίμηση επιπτώσεων της διαβίβασης όπου απαιτείται.
- Η Εκτελούσα δεν διαβιβάζει δεδομένα υγείας, κλινικές σημειώσεις, φωτογραφίες ή διατροφικά πλάνα σε αποδέκτες εκτός ΕΟΧ, πέραν όσων ρητά αναφέρονται στο Παράρτημα ΙΙΙ.
14. Διαγραφή ή επιστροφή των δεδομένων
- Κατά τη λήξη της παροχής των υπηρεσιών, η Εκτελούσα, κατ' επιλογή του Υπευθύνου, επιστρέφει ή διαγράφει τα Δεδομένα Υπευθύνου.
- Πριν από τον προγραμματισμό της οριστικής διαγραφής, η Εκτελούσα διενεργεί εξαγωγή των Δεδομένων Υπευθύνου (δεδομένα βάσης και αποθηκευμένα αρχεία) και τη θέτει στη διάθεση του Υπευθύνου· η Πλατφόρμα δεν επιτρέπει διαγραφή Χώρου Εργασίας χωρίς εξαγωγή από την Εκτελούσα.
- Τα δεδομένα διατηρούνται σε κατάσταση αναστολής επί τριάντα (30) ημερολογιακές ημέρες (περίοδος χάριτος, αναστρέψιμη), και εν συνεχεία διαγράφονται οριστικά και μη αναστρέψιμα: οι εγγραφές βάσης, τα αποθηκευμένα αρχεία, καθώς και οι λογαριασμοί πρόσβασης όλων των χρηστών του Χώρου Εργασίας (του Υπευθύνου, των πελατών του και τυχόν συνεργατών), μαζί με τις αντίστοιχες εγγραφές ευρετηρίου.
- Εξαιρέσεις. Διατηρούνται μετά τη διαγραφή: (α) τα αρχεία ελέγχου ασφαλείας της Εκτελούσας, ως τεκμήριο λογοδοσίας κατά το άρθρο 5 παρ. 2 ΓΚΠΔ, περιέχουν αναγνωριστικά ενεργειών και όχι δεδομένα υγείας· (β) δεδομένα των οποίων η διατήρηση επιβάλλεται από το δίκαιο της Ένωσης ή κράτους μέλους, ιδίως φορολογικά παραστατικά. Τα δεδομένα αυτά παραμένουν υπό τους όρους εμπιστευτικότητας του παρόντος και δεν χρησιμοποιούνται για άλλον σκοπό.
- Η Εκτελούσα βεβαιώνει εγγράφως την ολοκλήρωση της διαγραφής, κατόπιν αιτήματος του Υπευθύνου.
15. Αποδείξεις συμμόρφωσης, έλεγχοι και επιθεωρήσεις
- Η Εκτελούσα θέτει στη διάθεση του Υπευθύνου κάθε πληροφορία απαραίτητη για την απόδειξη της συμμόρφωσης με το άρθρο 28 ΓΚΠΔ.
- Ο Υπεύθυνος δικαιούται να διενεργεί έλεγχο έως μία φορά ανά ημερολογιακό έτος, με προηγούμενη έγγραφη ειδοποίηση τουλάχιστον τριάντα (30) ημερών, κατά τις εργάσιμες ώρες και κατά τρόπο που δεν διαταράσσει τη λειτουργία της Εκτελούσας. Πρόσθετος έλεγχος επιτρέπεται εφόσον έχει προηγηθεί επιβεβαιωμένη παραβίαση ή το επιβάλλει εποπτική αρχή.
- Ο έλεγχος δεν επιτρέπεται να παρέχει πρόσβαση σε δεδομένα άλλων πελατών της Εκτελούσας ούτε σε εμπορικά απόρρητα τρίτων. Ο ελεγκτής δεσμεύεται από εμπιστευτικότητα.
- Η Εκτελούσα δύναται να ανταποκριθεί προσκομίζοντας έγκυρες πιστοποιήσεις ή εκθέσεις ανεξάρτητου ελεγκτή (δικές της ή των υπο-εκτελούντων της), εφόσον αυτές καλύπτουν επαρκώς το αντικείμενο του ελέγχου.
- Το κόστος του ελέγχου βαρύνει τον Υπεύθυνο, εκτός αν αποκαλυφθεί ουσιώδης μη συμμόρφωση της Εκτελούσας.
16. Ευθύνη
Η ευθύνη των μερών ως προς τα υποκείμενα και τις εποπτικές αρχές διέπεται από τα άρθρα 82–84 ΓΚΠΔ. Οι περιορισμοί ευθύνης των Όρων Χρήσης Επαγγελματία δεν εφαρμόζονται στις αξιώσεις υποκειμένων και στα διοικητικά πρόστιμα που επιβάλλονται δυνάμει του ΓΚΠΔ, στο μέτρο που ο περιορισμός τους δεν επιτρέπεται από αναγκαστικού δικαίου διατάξεις. Στην εσωτερική τους σχέση, τα μέρη φέρουν την ευθύνη κατά τον λόγο της συμβολής τους στη ζημία.
17. Διάρκεια, τροποποίηση και εφαρμοστέο δίκαιο
- Το DPA ισχύει για όσο η Εκτελούσα επεξεργάζεται Δεδομένα Υπευθύνου και, ως προς τις υποχρεώσεις εμπιστευτικότητας και διαγραφής, και μετά τη λήξη της.
- Κάθε ουσιώδης τροποποίηση φέρει νέα έκδοση (π.χ.
tenant-dpa-v2), γνωστοποιείται τριάντα (30) ημέρες πριν και απαιτεί εκ νέου ρητή αποδοχή. Επικαιροποιήσεις του Παραρτήματος ΙΙ που ενισχύουν την ασφάλεια, καθώς και του Παραρτήματος ΙΙΙ κατά τη διαδικασία του άρθρου 9, δεν συνιστούν ουσιώδη τροποποίηση. - Εφαρμοστέο είναι το ελληνικό δίκαιο και ο ΓΚΠΔ. Αρμόδια εποπτική αρχή είναι η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
ΠΑΡΑΡΤΗΜΑ Ι: Περιγραφή της επεξεργασίας
Α. Κατηγορίες υποκειμένων
- Πελάτες του Υπευθύνου: ενήλικες και, κατόπιν γονικής συγκατάθεσης, ανήλικοι.
- Ενδιαφερόμενοι που υποβάλλουν αίτημα ραντεβού γνωριμίας μέσω δημόσιας σελίδας κράτησης, χωρίς να έχουν λογαριασμό.
- Προσωπικό και συνεργάτες του Υπευθύνου με πρόσβαση στον Πίνακα Ελέγχου.
Β. Κατηγορίες δεδομένων
| Κατηγορία | Ενδεικτικά δεδομένα | Άρθρο 9; |
|---|---|---|
| Ταυτοποίησης και επικοινωνίας | Ονοματεπώνυμο, email, τηλέφωνο, περιοχή, ημερομηνία γέννησης, φύλο, εικόνα προφίλ | — |
| Ανθρωπομετρικά και σύστασης σώματος | Βάρος, ύψος, ποσοστό λίπους, μυϊκή μάζα, ενυδάτωση, περιφέρειες, δερματοπτυχές 7 σημείων | ΝΑΙ |
| Ιατρικό ιστορικό | Κλινικές παθήσεις, φαρμακευτική αγωγή, συμπληρώματα, αλλεργίες, δυσανεξίες, ομάδα αίματος | ΝΑΙ |
| Εργαστηριακά | Πάνελ βιοχημικών δεικτών ανά ημερομηνία εξέτασης | ΝΑΙ |
| Κλινικές σημειώσεις | Ιδιωτικές σημειώσεις συνεδρίας του Υπευθύνου, μη ορατές στον πελάτη | ΝΑΙ |
| Διατροφικά | Ανάκληση 24ώρου, διατροφικά πλάνα, θερμιδικοί στόχοι, στόχος ενυδάτωσης, προτιμήσεις | ΝΑΙ |
| Εικόνας | Φωτογραφίες προόδου σώματος, φωτογραφίες γευμάτων, αναφορές λιπομέτρησης | ΝΑΙ |
| Δραστηριότητας και ευεξίας | Βήματα, θερμίδες, λεπτά άσκησης, απόσταση, προπονήσεις, ώρες ύπνου, καρδιακοί παλμοί ηρεμίας, από συστήματα υγείας της συσκευής | ΝΑΙ |
| Επικοινωνίας | Μηνύματα συνομιλίας (κείμενο, εικόνες, φωνητικά, συνημμένα), ειδοποιήσεις | ΝΑΙ (κατά περιεχόμενο) |
| Ραντεβού | Ημερομηνία, ώρα, τύπος, κατάσταση, στοιχεία ακύρωσης, σύνδεσμος τηλεδιάσκεψης | — |
| Οικονομικά | Παραστατικά, ποσά, οφειλές, τρόπος πληρωμής | — |
| Συγκαταθέσεων | Έκδοση, χρονοσήμανση, κατάσταση συγκατάθεσης: αμετάκλητο ιστορικό | — |
| Τεχνικά | Αναγνωριστικά συσκευής για ειδοποιήσεις, ενεργές συνεδρίες, διεύθυνση IP, χρόνος τελευταίας πρόσβασης | — |
Δεν συλλέγονται: στοιχεία πιστωτικών/χρεωστικών καρτών, ΑΜΚΑ, γενετικά ή βιομετρικά δεδομένα ταυτοποίησης, δεδομένα γεωγραφικού εντοπισμού σε πραγματικό χρόνο, δεδομένα σχετικά με φυλετική/εθνοτική καταγωγή, πολιτικά φρονήματα, θρησκευτικές πεποιθήσεις, συνδικαλιστική συμμετοχή, σεξουαλική ζωή ή γενετήσιο προσανατολισμό.
Γ. Φύση και σκοπός
Συλλογή, καταχώριση, οργάνωση, διάρθρωση, αποθήκευση, μεταβολή, ανάκτηση, χρήση, διαβίβαση σε αποδέκτες που ορίζει ο Υπεύθυνος, περιορισμός και διαγραφή, αποκλειστικά με σκοπό την παροχή, συντήρηση, υποστήριξη και ασφάλεια της Πλατφόρμας προς τον Υπεύθυνο, ώστε αυτός να παρέχει τις διαιτολογικές του υπηρεσίες.
Δ. Διάρκεια και περίοδοι διατήρησης
| Δεδομένα | Διατήρηση |
|---|---|
| Φάκελος πελάτη, μετρήσεις, πλάνα, εργαστηριακά, σημειώσεις, φωτογραφίες | Έως τη διαγραφή τους από τον Υπεύθυνο, δεν εφαρμόζεται αυτόματη λήξη. Ο Υπεύθυνος ορίζει στην Πλατφόρμα περίοδο διατήρησης (5, 7, 10 ή 15 έτη) και λαμβάνει ετήσια υπενθύμιση ελέγχου των φακέλων που την έχουν υπερβεί |
| Εικόνες συνομιλίας | 180 ημέρες από την αποστολή, αυτόματη διαγραφή (το κείμενο διατηρείται) |
| Ιστορικό δεδομένων δραστηριότητας | Παράθυρο συγχρονισμού έως 90 ημερών· τα συγχρονισμένα διατηρούνται έως τη διαγραφή του πελάτη |
| Πρόσβαση αδρανούς πελάτη | Αυτόματη αναστολή μετά από 365 ημέρες αδράνειας, όχι διαγραφή δεδομένων |
| Ραντεβού με φορολογικό αποτύπωμα | Ανωνυμοποίηση αντί διαγραφής, κατά το άρθρο 17 παρ. 3 στοιχ. β΄ ΓΚΠΔ |
| Παραστατικά | Κατά τη φορολογική νομοθεσία |
| Ιστορικό συγκαταθέσεων | Αμετάκλητο, για όσο διαρκεί η σχέση, τεκμήριο λογοδοσίας |
| Ολόκληρος ο Χώρος Εργασίας μετά τη λήξη | 30 ημέρες περίοδος χάριτος, μετά οριστική διαγραφή |
| Αρχεία ελέγχου ασφαλείας | Επιβιώνουν της διαγραφής· διατηρούνται για όσο ισχύει η σύμβαση και έως πέντε (5) έτη μετά τη λήξη της, οπότε η Εκτελούσα τα διαγράφει με ετήσιο χειροκίνητο έλεγχο |
Σημείωση διαφάνειας. Η Πλατφόρμα δεν εφαρμόζει σήμερα αυτόματη λήξη στα δεδομένα υγείας των πελατών· αυτά διατηρούνται έως ότου ο Υπεύθυνος τα διαγράψει. Η ρύθμιση περιόδου διατήρησης και η ετήσια υπενθύμιση δεν διαγράφουν τίποτα αυτόματα. Ο Υπεύθυνος οφείλει να ορίσει και να εφαρμόζει δική του πολιτική διατήρησης, σύμφωνα με την αρχή του περιορισμού της περιόδου αποθήκευσης (άρθρο 5 παρ. 1 στοιχ. ε΄ ΓΚΠΔ) και τους κανόνες τήρησης αρχείου του επαγγέλματός του.
ΠΑΡΑΡΤΗΜΑ ΙΙ: Τεχνικά και οργανωτικά μέτρα
Α. Μέτρα που εφαρμόζονται
| Τομέας | Μέτρο |
|---|---|
| Απομόνωση πελατών | Κάθε γραφείο διαθέτει αυστηρά διακριτό χώρο δεδομένων. Η απομόνωση επιβάλλεται σε δύο ανεξάρτητα επίπεδα: (α) στους κανόνες πρόσβασης του διακομιστή, όπου κάθε ανάγνωση/εγγραφή απαιτεί αντιστοιχία του αναγνωριστικού γραφείου με το διαπιστευτήριο του χρήστη· (β) στον κώδικα της εφαρμογής, ο οποίος λειτουργεί κατά την αρχή fail-closed, απουσία έγκυρου πλαισίου γραφείου προκαλεί σφάλμα αντί για εγγραφή σε λανθασμένη θέση. Δεν υφίσταται κανόνας που να επιτρέπει διασταυρούμενη πρόσβαση μεταξύ γραφείων. |
| Έλεγχος πρόσβασης | Ρόλοι (διαιτολόγος / πελάτης / διαχειριστής πλατφόρμας) αποδίδονται αποκλειστικά από τον διακομιστή· ο χρήστης δεν μπορεί να μεταβάλει τον ρόλο του. Άρνηση κατά προεπιλογή (default deny) σε κάθε διαδρομή δεδομένων. Ο πελάτης έχει πρόσβαση αποκλειστικά στον δικό του φάκελο. |
| Κρυπτογράφηση | Κρυπτογράφηση κατά τη μεταφορά (TLS) σε κάθε επικοινωνία και κατά την αποθήκευση (AES-256) σε βάση δεδομένων και αρχεία, από τον πάροχο υποδομής. |
| Απομόνωση απορρήτων | Τα διαπιστευτήρια τρίτων συστημάτων του Υπευθύνου (myDATA, ημερολόγιο) αποθηκεύονται σε θέση απροσπέλαστη από κάθε πρόγραμμα περιήγησης ή εφαρμογή και είναι προσβάσιμα μόνο από διεργασίες διακομιστή. Στη διεπαφή εμφανίζονται μόνο μη ευαίσθητα υπολείμματα. |
| Πύλη συγκατάθεσης υγείας | Η πρόσβαση σε δεδομένα υγείας κλειδώνεται στον διακομιστή βάσει της κατάστασης συγκατάθεσης του υποκειμένου. Η ανάκληση επιφέρει άμεσο περιορισμό, χωρίς εξάρτηση από τη συμπεριφορά της εφαρμογής. |
| Φωτογραφίες σώματος | Δεν εκτίθενται ποτέ απευθείας. Η προβολή γίνεται μέσω συνδέσμων περιορισμένης χρονικής ισχύος, χορηγείται από το υποκείμενο, ανακαλείται άμεσα, και οι προβολές καταγράφονται σε αρχείο ελέγχου μόνο-προσθήκης. |
| Ελαχιστοποίηση | Ο διακομιστής επιβάλλει τον γενικό διακόπτη κοινοποίησης δραστηριότητας, όταν είναι ανενεργός, καμία μέτρηση δεν αποθηκεύεται. Η επιλογή ανά επιμέρους μέτρηση εφαρμόζεται στην εφαρμογή της συσκευής πριν από την αποστολή. |
| Διαχείριση συνεδριών | Στην εφαρμογή πελάτη: προβολή ενεργών συσκευών και ανάκληση πρόσβασης. Η καθολική ανάκληση ακυρώνει τα διαπιστευτήρια ανανέωσης και διαγράφει τα αναγνωριστικά ειδοποιήσεων, ώστε ανακληθείσα συσκευή να μη λαμβάνει ούτε προεπισκοπήσεις μηνυμάτων. (Αντίστοιχη προβολή για τον λογαριασμό του Επαγγελματία: υπό υλοποίηση, Β.) |
| Προστασία συσκευής | Προαιρετικό κλείδωμα της εφαρμογής με βιομετρικά ή κωδικό συσκευής σε κάθε άνοιγμα· εκκαθάριση τοπικών διαπιστευτηρίων κατά την αποσύνδεση. |
| Αρχεία ελέγχου | Καταγραφή ενεργειών διαχείρισης (εξαγωγή, διαγραφή, μεταβολή ρόλων, αλλαγή ιδιοκτήτη) σε αρχείο μόνο-προσθήκης, με ταυτότητα ενεργούντος, χρόνο και διεύθυνση IP. Ιστορικό συγκαταθέσεων μόνο-προσθήκης. |
| Προστασία από κατάχρηση | Περιορισμός ρυθμού αιτημάτων στα βασικά δημόσια σημεία εισόδου (έλεγχος λογαριασμού, κράτηση, επαναφορά κωδικού, αντιστοίχιση γραφείου, φόρμα επικοινωνίας)· περιορισμός προσπαθειών επαναφοράς κωδικού. (Επέκταση στη δημόσια διαθεσιμότητα ραντεβού: υπό υλοποίηση, Β.) |
| Αποτροπή απαρίθμησης | Ο δημόσιος κατάλογος αντιστοίχισης δεν περιέχει καθόλου προσωπικά δεδομένα (μόνο κρυπτογραφικές συνόψεις) και οι δημόσιες αποκρίσεις δεν αποκαλύπτουν πληροφορίες πέραν της ύπαρξης αντιστοίχισης, με ομοιόμορφη μορφή απόκρισης. |
| Ακεραιότητα διαγραφής | Η διαγραφή πελάτη είναι αλυσιδωτή στις συνδεδεμένες συλλογές, τα αρχεία, τον λογαριασμό πρόσβασης και την εγγραφή ευρετηρίου, με ανωνυμοποίηση μόνο όπου το επιβάλλει η φορολογική νομοθεσία. Η εγγραφή ευρετηρίου ακολουθεί τον λογαριασμό και σε κάθε αλλαγή διεύθυνσης email, ώστε να μη μένουν έωλες αντιστοιχίσεις. Κατά την οριστική διαγραφή γραφείου, η εκκαθάριση καλύπτει τους λογαριασμούς πρόσβασης όλων των χρηστών του και το σύνολο των εγγραφών ευρετηρίου του. |
| Αντίγραφα ασφαλείας | Ανάκτηση της βάσης δεδομένων σε οποιοδήποτε χρονικό σημείο των τελευταίων 7 ημερών, καθημερινό αντίγραφο της βάσης με διατήρηση 14 ημερών και προστασία της βάσης από διαγραφή. Τα αποθηκευμένα αρχεία δεν περιλαμβάνονται (Β). |
| Αυτοεξυπηρέτηση εξαγωγής | Ο Υπεύθυνος εξάγει από τον Πίνακα Ελέγχου τα δεδομένα ενός πελάτη ή ολόκληρο τον Χώρο Εργασίας (δεδομένα βάσης και αποθηκευμένα αρχεία, εκτός από τις φωτογραφίες προόδου σώματος για τις οποίες ο πελάτης δεν έχει χορηγήσει πρόσβαση στον Υπεύθυνο), με επανεπιβεβαίωση ταυτότητας και σύνδεσμο λήψης περιορισμένης ισχύος. |
| Οργανωτικά | Δέσμευση εμπιστευτικότητας προσωπικού· πρόσβαση κατ' ελάχιστη αναγκαία γνώση· πρόσβαση σε δεδομένα Υπευθύνου μόνο για υποστήριξη, αποκατάσταση βλάβης ή εκ του νόμου υποχρέωση. Οι μεταβολές καταγράφονται στο αρχείο ελέγχου· η καταγραφή των αναγνώσεων υποστήριξης είναι υπό υλοποίηση (Β). |
Β. Μέτρα υπό υλοποίηση
Τα ακόλουθα δεν εφαρμόζονται πλήρως και δηλώνονται για λόγους διαφάνειας. Δεν δεσμεύεται ημερομηνία ολοκλήρωσης· κάθε ολοκλήρωση αποτυπώνεται με επικαιροποίηση του παρόντος Παραρτήματος.
| Μέτρο | Κατάσταση |
|---|---|
| Επαλήθευση γνησιότητας εφαρμογής (App Check) | Ενεργή στην εφαρμογή πελάτη Android· δεν επιβάλλεται στα δημόσια σημεία εισόδου |
| Αντίγραφα ασφαλείας αποθηκευμένων αρχείων | Τα αποθηκευμένα αρχεία (φωτογραφίες, συνημμένα) δεν έχουν αντίγραφο ασφαλείας. Δεν δηλώνεται στόχος ανάκτησης (RPO/RTO) |
| Τεκμηριωμένη δοκιμή επαναφοράς | Δεν έχει διενεργηθεί |
| Επιβεβαίωση τοποθεσίας αποθήκευσης αρχείων | Ο χώρος αποθήκευσης αρχείων δεν έχει επιβεβαιωθεί ως κλειδωμένος σε περιοχή ΕΕ |
| Καταγραφή αναγνώσεων υποστήριξης/διαχείρισης | Καταγράφονται οι μεταβολές· οι αναγνώσεις δεδομένων Υπευθύνου από τον Πάροχο (π.χ. προβολή νήματος υποστήριξης) δεν καταγράφονται ακόμη |
| Διαχείριση συνεδριών για τον λογαριασμό Επαγγελματία | Διαθέσιμη στην εφαρμογή πελάτη· δεν διατίθεται ακόμη στον Πίνακα Ελέγχου |
| Περιορισμός ρυθμού στη δημόσια διαθεσιμότητα | Εκκρεμεί στη δημόσια διαθεσιμότητα ραντεβού |
| Ανεξάρτητη πιστοποίηση ασφαλείας (π.χ. ISO 27001) | Δεν υφίσταται |
ΠΑΡΑΡΤΗΜΑ ΙΙΙ: Εγκεκριμένοι υπο-εκτελούντες
Α. Ενεργοί
| Υπο-εκτελών | Υπηρεσία | Δεδομένα | Τοποθεσία |
|---|---|---|---|
| Google Ireland Ltd | Βάση δεδομένων, ταυτοποίηση, αποθήκευση αρχείων, εκτέλεση κώδικα, φιλοξενία | Το σύνολο των Δεδομένων Υπευθύνου | ΕΕ, europe-west1 |
| Google Cloud, υπηρεσία οπτικής αναγνώρισης | Αυτόματη ανάγνωση αναφορών λιπομέτρησης | Δεδομένα υγείας: εικόνα αναφοράς σύστασης σώματος, ονοματεπώνυμο | ΕΕ, αποκλειστικά ευρωπαϊκό σημείο πρόσβασης (eu-vision), επιβαλλόμενο στον κώδικα |
| Google LLC | Ειδοποιήσεις σε συσκευές Android | Αναγνωριστικό συσκευής, τίτλος και σύνοψη ειδοποίησης (ενδέχεται να περιέχει όνομα, ώρα ραντεβού, προεπισκόπηση μηνύματος) | ΗΠΑ, ΤΣΡ |
| Apple Inc. | Ειδοποιήσεις σε συσκευές iOS | Ως ανωτέρω | ΗΠΑ, ΤΣΡ |
| Πάροχος υπηρεσιών email του domain nutrix.gr (securemail.pro) |
Αποστολή email (επιβεβαιώσεις, υπενθυμίσεις, παραστατικά) | Email και ονοματεπώνυμο παραλήπτη, στοιχεία ραντεβού, συνημμένα αρχεία: διατροφικά πλάνα και παραστατικά | Ελλάδα / ΕΕ |
| Google LLC | Αναφορές σφαλμάτων της εφαρμογής πελάτη Android (Firebase Crashlytics) | Μοντέλο και λειτουργικό σύστημα συσκευής, έκδοση εφαρμογής, ίχνος σφάλματος, αναγνωριστικό εγκατάστασης· όχι δεδομένα υγείας | ΗΠΑ, ΤΣΡ |
| Giphy, Inc. | Προαιρετική αναζήτηση κινούμενων εικόνων στη συνομιλία | Κατά την αναζήτηση: μόνο ο όρος αναζήτησης, μέσω ενδιάμεσου διακομιστή, χωρίς διεύθυνση IP ή ταυτότητα χρήστη. Κατά την προβολή: οι επιλεγμένες εικόνες φορτώνονται απευθείας από τις συσκευές προς τους διακομιστές της Giphy (τεχνικά αναγνωριστικά σύνδεσης) | ΗΠΑ, ΤΣΡ |
Β. Ανενεργοί: ενεργοποιούνται μόνο κατόπιν αιτήματος του Υπευθύνου
| Υπο-εκτελών | Υπηρεσία | Δεδομένα | Τοποθεσία |
|---|---|---|---|
| Yuboto | Υπενθυμίσεις SMS (πρόσθετη υπηρεσία) | Αριθμός τηλεφώνου, κείμενο υπενθύμισης | ΕΕ / Ελλάδα |
| Twilio Inc. | Εναλλακτικός πάροχος SMS | Ως ανωτέρω | ΗΠΑ, ΤΣΡ. Απαιτεί χωριστή ενημέρωση πριν την ενεργοποίηση |
| Google Ireland Ltd | Ημερολόγιο και τηλεδιάσκεψη: σύνδεση με τον δικό σας λογαριασμό | Τίτλος, ώρα και συμμετέχοντες ραντεβού | ΕΕ |
Γ. Αποδέκτες που δεν αποτελούν υπο-εκτελούντες
- Ανεξάρτητη Αρχή Δημοσίων Εσόδων (ΑΑΔΕ): παραλαμβάνει δεδομένα παραστατικών βάσει νομικής υποχρέωσης του Υπευθύνου, ως ανεξάρτητος υπεύθυνος επεξεργασίας.
- Αποδέκτες που ορίζει ο ίδιος ο Υπεύθυνος: π.χ. ο λογιστής του, εφόσον του διαβιβάζει στοιχεία εκτός Πλατφόρμας.