Πολιτική Προστασίας Δεδομένων

Τελευταία ενημέρωση: [ημερομηνία]

1. Σκοπός και πεδίο εφαρμογής

Η παρούσα Πολιτική περιγράφει πώς η εταιρεία [NEXION ΕΠΙΚΟΙΝΩΝΙΕΣ (HELLAS) Α.Ε.] (η «Εταιρεία») οργανώνει και προστατεύει την επεξεργασία προσωπικών δεδομένων, σύμφωνα με τον Γενικό Κανονισμό Προστασίας Δεδομένων (ΕΕ 2016/679, «GDPR») και τον ν. 4624/2019. Εφαρμόζεται σε όλο το προσωπικό και τους συνεργάτες της Εταιρείας και καλύπτει τα δεδομένα των εκπροσώπων των επιχειρήσεων-πελατών, των προμηθευτών, των συνεργατών και των υποψηφίων εργαζομένων.

Τα στοιχεία των νομικών προσώπων (επωνυμία, ΑΦΜ, διεύθυνση έδρας) δεν αποτελούν προσωπικά δεδομένα. Τα στοιχεία των φυσικών προσώπων που τα εκπροσωπούν, όμως, προστατεύονται από τον GDPR.

2. Βασικές αρχές

Η Εταιρεία επεξεργάζεται δεδομένα σύμφωνα με τις αρχές του άρθρου 5 του GDPR:

Νομιμότητα, αντικειμενικότητα και διαφάνεια: κάθε επεξεργασία έχει νόμιμη βάση και τα υποκείμενα ενημερώνονται σχετικά.
Περιορισμός του σκοπού: τα δεδομένα συλλέγονται για καθορισμένους σκοπούς και δεν χρησιμοποιούνται για ασύμβατους.
Ελαχιστοποίηση: συλλέγονται μόνο τα δεδομένα που είναι αναγκαία.
Ακρίβεια: τα ανακριβή δεδομένα διορθώνονται ή διαγράφονται χωρίς καθυστέρηση.
Περιορισμός της αποθήκευσης: τα δεδομένα διατηρούνται μόνο όσο χρειάζεται.
Ακεραιότητα και εμπιστευτικότητα: τα δεδομένα προστατεύονται με κατάλληλα τεχνικά και οργανωτικά μέτρα.
Λογοδοσία: η Εταιρεία μπορεί να αποδείξει τη συμμόρφωσή της.

3. Ρόλοι της Εταιρείας

Υπεύθυνος Επεξεργασίας: για τα δεδομένα επαφών που συλλέγει η ίδια (πελάτες, προμηθευτές, επισκέπτες του site, υποψήφιοι, προσωπικό).
Εκτελών την Επεξεργασία: όταν επεξεργάζεται δεδομένα εκ μέρους πελάτη της, π.χ. στο πλαίσιο υπηρεσιών με πρόσβαση σε δικά του δεδομένα. Στην περίπτωση αυτή συνάπτεται Συμφωνία Επεξεργασίας Δεδομένων (DPA) και η Εταιρεία ενεργεί μόνο βάσει των γραπτών εντολών του πελάτη.

4. Υπεύθυνος Προστασίας Δεδομένων (DPO)

Η Εταιρεία δεν υποχρεούται να ορίσει DPO· αρμόδιος για θέματα προστασίας δεδομένων είναι το τμήμα.] Επικοινωνία: [[email protected]].

5. Αρχείο δραστηριοτήτων και εκτίμηση αντικτύπου

Η Εταιρεία τηρεί αρχείο των δραστηριοτήτων επεξεργασίας (άρθρο 30 GDPR) και το επικαιροποιεί όταν αλλάζουν οι σκοποί, τα συστήματα ή οι αποδέκτες. Όταν μια νέα επεξεργασία ενδέχεται να ενέχει υψηλό κίνδυνο για τα δικαιώματα των προσώπων, διενεργείται εκτίμηση αντικτύπου (DPIA) πριν την έναρξή της.

6. Τεχνικά και οργανωτικά μέτρα ασφάλειας

Κρυπτογράφηση των δεδομένων σε μεταφορά (HTTPS/TLS) και, όπου κρίνεται απαραίτητο, σε αποθήκευση.
Έλεγχος πρόσβασης βάσει ρόλων και αρχής του ελάχιστου προνομίου· ισχυροί κωδικοί και [έλεγχος ταυτότητας δύο παραγόντων].
Τακτικά αντίγραφα ασφαλείας και δοκιμή επαναφοράς.
Τακτικές ενημερώσεις ασφαλείας συστημάτων και προστασία από κακόβουλο λογισμικό.
Καταγραφή και παρακολούθηση της πρόσβασης σε κρίσιμα συστήματα.
Φυσική ασφάλεια χώρων και εξοπλισμού, πολιτική «καθαρού γραφείου».
Υποχρέωση εμπιστευτικότητας και τακτική εκπαίδευση του προσωπικού.

7. Εκτελούντες και συνεργάτες

Η Εταιρεία επιλέγει παρόχους (hosting/cloud, email και CRM, analytics, IT, courier, λογιστές) που παρέχουν επαρκείς εγγυήσεις ασφάλειας. Με κάθε Εκτελούντα συνάπτεται γραπτή σύμβαση κατά το άρθρο 28 GDPR, η οποία ορίζει τον σκοπό, τη διάρκεια, τα μέτρα ασφάλειας και την υποχρέωση ενημέρωσης σε περίπτωση παραβίασης. Οι υποεκτελούντες επιτρέπονται μόνο με άδεια και υπό τους ίδιους όρους.

8. Όταν ενεργούμε ως Εκτελών για λογαριασμό πελατών

Επεξεργαζόμαστε τα δεδομένα μόνο βάσει των γραπτών εντολών του πελάτη και του DPA.
Ενημερώνουμε τον πελάτη για παραβίαση χωρίς αδικαιολόγητη καθυστέρηση και εντός [24 ωρών] από τη διαπίστωσή της.
Τον βοηθάμε να ανταποκριθεί σε αιτήματα υποκειμένων και σε ελέγχους των αρχών.
Με τη λήξη της συνεργασίας διαγράφουμε ή επιστρέφουμε τα δεδομένα, κατά την επιλογή του πελάτη.

9. Διαβιβάσεις εκτός ΕΕ/ΕΟΧ

Η επεξεργασία γίνεται κατά κανόνα εντός ΕΕ/ΕΟΧ. Διαβίβαση σε τρίτη χώρα γίνεται μόνο με απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής (π.χ. πλαίσιο EU–US Data Privacy Framework) ή με Τυποποιημένες Συμβατικές Ρήτρες και, όπου χρειάζεται, συμπληρωματικά μέτρα, μετά από αξιολόγηση του κινδύνου.

10. Διαχείριση παραβιάσεων δεδομένων

Κάθε εργαζόμενος αναφέρει αμέσως κάθε πιθανό περιστατικό στο [[email protected]].
Το περιστατικό καταγράφεται και αξιολογείται ως προς τον κίνδυνο για τα πρόσωπα.
Αν υπάρχει κίνδυνος, ενημερώνεται η Αρχή Προστασίας Δεδομένων (ΑΠΔΠΧ) εντός 72 ωρών από τη διαπίστωση.
Αν ο κίνδυνος είναι υψηλός, ενημερώνονται και τα πρόσωπα που επηρεάζονται, με σαφή γλώσσα.
Όλες οι παραβιάσεις, και τα μέτρα αντιμετώπισής τους, καταγράφονται σε σχετικό μητρώο.

11. Διαχείριση αιτημάτων υποκειμένων

Τα αιτήματα άσκησης δικαιωμάτων (πρόσβαση, διόρθωση, διαγραφή, περιορισμός, εναντίωση, φορητότητα) υποβάλλονται στo [email protected]]. Η Εταιρεία ελέγχει την ταυτότητα του αιτούντος και απαντά εντός ενός μήνα, με δυνατότητα παράτασης έως δύο επιπλέον μήνες σε σύνθετες περιπτώσεις, ενημερώνοντας τον αιτούντα. Η άσκηση των δικαιωμάτων είναι δωρεάν, εκτός από προδήλως αβάσιμα ή υπερβολικά αιτήματα.

12. Διατήρηση και διαγραφή

Οι χρόνοι διατήρησης ορίζονται στην Πολιτική Απορρήτου. Μετά τη λήξη τους τα δεδομένα διαγράφονται με ασφαλή τρόπο ή ανωνυμοποιούνται, εκτός αν η νομοθεσία ή η υποστήριξη νομικών αξιώσεων απαιτεί μακρύτερη διατήρηση.

13. Καταγγελία στην Αρχή

Έχετε δικαίωμα καταγγελίας στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), Κηφισίας 1-3, 115 23 Αθήνα, www.dpa.gr, τηλ. 210 6475600.

14. Αναθεώρηση

Η Πολιτική αναθεωρείται τουλάχιστον [ετησίως] και όποτε αλλάζουν οι δραστηριότητες της Εταιρείας ή η νομοθεσία. Η ισχύουσα έκδοση δημοσιεύεται πάντα σε αυτή τη σελίδα.