Σύμβαση Επεξεργασίας Δεδομένων (DPA)
Έκδοση 1.1 · ισχύει από 20/10/2026
Σύμβαση κατά το άρθρο 28 παρ. 3 του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ, Κανονισμός 2016/679). Ο Πελάτης είναι ο «Υπεύθυνος» επεξεργασίας και ο Πάροχος (NETWORK MARKETPLACE Μ.Ι.Κ.Ε.) ο «Εκτελών». Ισχύει όσο ισχύουν οι Όροι Χρήσης.
- Οδηγίες. Ο Εκτελών επεξεργάζεται τα δεδομένα μόνο με έγγραφες οδηγίες του Υπευθύνου. Οδηγίες είναι η παρούσα σύμβαση και οι ρυθμίσεις που κάνει ο Υπεύθυνος στην εφαρμογή. Αν μια οδηγία παραβιάζει τον νόμο, ο Εκτελών τον ενημερώνει αμέσως.
- Αποδέκτες που ορίζει ο Υπεύθυνος. Ο Υπεύθυνος δίνει οδηγία στον Εκτελούντα να κοινοποιεί δεδομένα στους αποδέκτες που ο ίδιος ορίζει μέσα στην εφαρμογή: στο ΕΡΓΑΝΗ, στον λογιστή-συνεργάτη που συνδέει, στις διευθύνσεις email για αναφορές και ενημερώσεις (π.χ. στοιχεία πρόσληψης προς τον λογιστή για την αναγγελία) και στις κοινές συσκευές χτυπήματος που ενεργοποιεί. Οι αποδέκτες αυτοί δεν είναι υποεκτελούντες του Εκτελούντος· τη σχέση με αυτούς τη ρυθμίζει ο Υπεύθυνος. Ο Υπεύθυνος μπορεί να ανακαλέσει κάθε τέτοια πρόσβαση από την εφαρμογή.
- Εμπιστευτικότητα. Όσοι έχουν πρόσβαση στα δεδομένα δεσμεύονται γραπτά για εμπιστευτικότητα.
- Ασφάλεια. Ο Εκτελών εφαρμόζει τα μέτρα του Παραρτήματος Β (άρθρο 32 ΓΚΠΔ) και τα ενημερώνει χωρίς να μειώνεται το επίπεδο προστασίας.
- Υποεκτελούντες. Ο Υπεύθυνος δίνει γενική άδεια για τους υποεκτελούντες του Παραρτήματος Γ. Για νέο υποεκτελούντα ή αλλαγή ειδοποιείται με email 30 ημέρες νωρίτερα· σε αντίρρηση με βάσιμο λόγο μπορεί να καταγγείλει χωρίς χρέωση. Ο Εκτελών δεσμεύει κάθε υποεκτελούντα με τις ίδιες υποχρεώσεις και ευθύνεται για αυτόν.
- Διαβιβάσεις εκτός ΕΟΧ. Γίνονται μόνο με απόφαση επάρκειας (π.χ. EU-US Data Privacy Framework) ή Τυποποιημένες Συμβατικές Ρήτρες (Απόφαση 2021/914), με συμπληρωματικά μέτρα όπου χρειάζονται.
- Δικαιώματα υποκειμένων. Ο Εκτελών βοηθά τον Υπεύθυνο να απαντήσει σε αιτήματα πρόσβασης, διόρθωσης, διαγραφής, περιορισμού και φορητότητας (άρθρα 15–20). Αιτήματα που φτάνουν απευθείας στον Εκτελούντα τα διαβιβάζει στον Υπεύθυνο μέσα σε 5 εργάσιμες ημέρες.
- Παραβίαση. Ο Εκτελών ενημερώνει τον Υπεύθυνο χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο μέσα σε 24 ώρες αφού την αντιληφθεί, με όσα στοιχεία χρειάζονται για τη γνωστοποίηση στην ΑΠΔΠΧ μέσα σε 72 ώρες (άρθρο 33).
- Συνδρομή. Ο Εκτελών βοηθά σε εκτίμηση αντικτύπου και προηγούμενη διαβούλευση (άρθρα 35–36), όσο επιτρέπει η φύση της υπηρεσίας.
- Λήξη. Μετά τη λήξη ο Υπεύθυνος έχει 30 ημέρες για εξαγωγή. Στη συνέχεια ο Εκτελών διαγράφει τα δεδομένα και, μέσα σε 14 ημέρες, τα αντίγραφα ασφαλείας, και βεβαιώνει γραπτά τη διαγραφή, εκτός αν ο νόμος επιβάλλει διατήρηση.
- Έλεγχοι. Ο Εκτελών παρέχει τις πληροφορίες που αποδεικνύουν τη συμμόρφωση και δέχεται έλεγχο με ειδοποίηση 15 ημερών, έως μία φορά τον χρόνο, με έξοδα του Υπευθύνου.
Παράρτημα Α — Περιγραφή επεξεργασίας
| Σκοπός | Καταγραφή χρόνου εργασίας και διαβίβαση στο ΕΡΓΑΝΗ ΙΙ (Ψηφιακή Κάρτα Εργασίας και οργάνωση χρόνου εργασίας), ειδοποιήσεις, διορθώσεις, αναφορές προς τον λογιστή, ίχνος ελέγχου |
|---|---|
| Υποκείμενα | Εργαζόμενοι, υποψήφιοι προς πρόσληψη, διαχειριστές και λογιστές του Υπευθύνου |
| Δεδομένα ταυτότητας | Ονοματεπώνυμο, ΑΦΜ, ΑΜΚΑ, ΑΜΑ, όνομα χρήστη, ρόλος, παράρτημα· στην πρόσληψη με σύνδεσμο και όσα συμπληρώνει ο εργαζόμενος (π.χ. στοιχεία ταυτότητας, διεύθυνση, IBAN) για τη διαβίβασή τους στον λογιστή |
| Δεδομένα εργασίας | Ώρες προσέλευσης και αποχώρησης, βάρδιες, πρόγραμμα εργασίας, ημέρες και είδος άδειας, αριθμοί πρωτοκόλλου ΕΡΓΑΝΗ, αιτιολογίες και σημειώσεις διορθώσεων |
| Τεχνικά δεδομένα | Διεύθυνση IP στο ίχνος ελέγχου, τύπος συσκευής για ειδοποιήσεις, συνεδρίες |
| Στοιχεία πρόσληψης | Όσα συμπληρώνει ο εργαζόμενος με τον σύνδεσμο πρόσληψης: πατρώνυμο, μητρώνυμο, ημερομηνία γέννησης, φύλο, ΔΟΥ, αριθμός ταυτότητας/διαβατηρίου, διεύθυνση, κινητό, email, IBAN, οικογενειακή κατάσταση, αριθμός παιδιών (κρυπτογραφημένα) |
| Διαπιστευτήρια | Κωδικοί και PIN χρηστών (μόνο hash), χρήστης και κωδικός API ΕΡΓΑΝΗ (κρυπτογραφημένα) |
| Δεν συλλέγονται | Θέση (GPS), βιομετρικά, φωτογραφίες, αιτίες άδειας ή δεδομένα υγείας |
| Διάρκεια | Όσο ισχύει η συνδρομή, συν 30 ημέρες για εξαγωγή και 14 ημέρες για τα αντίγραφα ασφαλείας |
Παράρτημα Β — Τεχνικά και οργανωτικά μέτρα
- Κρυπτογράφηση στη μεταφορά (HTTPS/TLS) σε όλες τις συνδέσεις.
- Κρυπτογράφηση AES-256-GCM των διαπιστευτηρίων ΕΡΓΑΝΗ και των στοιχείων πρόσληψης, με ξεχωριστό κλειδί ανά πελάτη και κύριο κλειδί εκτός βάσης.
- Κωδικοί χρηστών μόνο ως hash, υποχρεωτική αλλαγή προσωρινού κωδικού, όριο αποτυχημένων συνδέσεων.
- Συνεδρίες με cookie HttpOnly, λήξη και άμεση ακύρωση όταν απενεργοποιείται ο χρήστης· προστασία CSRF και CSP.
- Απομόνωση πελατών σε δύο επίπεδα: κάθε ερώτημα φιλτράρεται ανά πελάτη και η βάση απορρίπτει διασταυρούμενες εγγραφές.
- Ρόλοι με ελάχιστα δικαιώματα: ο εργαζόμενος βλέπει μόνο τα δικά του, ο λογιστής δεν διαχειρίζεται χρήστες ή διαπιστευτήρια.
- Ίχνος ελέγχου που δεν αλλάζει ούτε σβήνεται (κλειδωμένο στη βάση), χωρίς κωδικούς.
- Ημερήσια αντίγραφα ασφαλείας με διατήρηση 14 ημερών, συν αντίγραφα του παρόχου υποδομής.
- Σύνδεσμοι πρόσληψης μίας χρήσης με λήξη 7 ημερών· ο server κρατά μόνο το hash τους.
- Ελαχιστοποίηση: χωρίς GPS, βιομετρικά, φωτογραφίες ή analytics τρίτων.
- Πρόσβαση στην υποδομή μόνο από τον διαχειριστή του Παρόχου, με διπλό έλεγχο ταυτότητας.
Παράρτημα Γ — Υποεκτελούντες
| Υποεκτελών | Εργασία | Τοποθεσία / βάση διαβίβασης |
|---|---|---|
| Railway Corporation, ΗΠΑ | Φιλοξενία εφαρμογής, βάσης και αντιγράφων | Περιοχή EU West· η Railway δηλώνει τις ΗΠΑ ως κύρια τοποθεσία επεξεργασίας — DPF ή SCC 2021/914 |
| Resend Inc. (ή Brevo SAS) | Αποστολή email (ειδοποιήσεις, αναφορές στον λογιστή) | ΗΠΑ (Resend: DPF ή SCC) / ΕΕ (Brevo) |
| Papaki (φιλοξενία email) και Google (Gmail) | Γραμματοκιβώτιο υποστήριξης info@erganigo.gr: μόνο ό,τι μας στέλνει ο Πελάτης ή οι χρήστες του | ΕΕ (Papaki) / ΗΠΑ (Google: DPF ή SCC) |
| Google (FCM), Apple, Mozilla | Παράδοση ειδοποιήσεων push· το περιεχόμενο στέλνεται κρυπτογραφημένο από άκρο σε άκρο (Web Push) | Ανάλογα με τη συσκευή του χρήστη |
Το Π.Σ. ΕΡΓΑΝΗ ΙΙ δεν είναι υποεκτελών αλλά δημόσια αρχή-αποδέκτης. Ο εργοδότης διαβιβάζει εκεί λόγω νομικής υποχρέωσης (άρθρο 6 παρ. 1γ ΓΚΠΔ).