Σύμβαση επεξεργασίας δεδομένων συνδρομητικού γραφείου

Γενικό υπόδειγμα · έκδοση 31/10/2026 · άρθρο 28 ΓΚΠΔ.

Συμβαλλόμενοι είναι το συνδρομητικό γραφείο ως υπεύθυνος επεξεργασίας και ο φορέας της πλατφόρμας ως εκτελών. Τα στοιχεία τους, οι αρμόδιες επαφές και η διάρκεια της υπηρεσίας προσδιορίζονται στη συμφωνία συνδρομής. Το υπόδειγμα συμπληρώνει τη συμφωνία συνδρομής και απαιτεί σύναψη μεταξύ των συμβαλλομένων.

Αντικείμενο και εντολές

Ο εκτελών παρέχει φιλοξενία, αποθήκευση, οργάνωση, επικοινωνία, ανάκτηση και διαγραφή δεδομένων για την υποστήριξη της υπηρεσίας του γραφείου. Ενεργεί μόνο βάσει τεκμηριωμένων εντολών του υπευθύνου, περιλαμβανομένων των διαβιβάσεων σε τρίτη χώρα. Αν νόμος επιβάλλει άλλη επεξεργασία, ενημερώνει προηγουμένως τον υπεύθυνο, εκτός αν αυτό απαγορεύεται νόμιμα. Ενημερώνει αμέσως αν θεωρεί εντολή αντίθετη στη νομοθεσία προστασίας δεδομένων.

Ο υπεύθυνος καθορίζει σκοπούς, νόμιμες βάσεις και εξουσίες εκπροσώπησης, ενημερώνει τα πρόσωπα και διαθέτει μόνο αναγκαία, νόμιμα δεδομένα. Ο εκτελών δεν τα χρησιμοποιεί για διαφήμιση ή άλλους δικούς του σκοπούς.

Εμπιστευτικότητα και ασφάλεια

Πρόσβαση έχουν μόνο εξουσιοδοτημένα πρόσωπα με υποχρέωση εχεμύθειας. Εφαρμόζονται τα μέτρα του Παραρτήματος Β, με πρόσβαση ανά αρμοδιότητα, 2FA για το γραφείο, κρυπτογράφηση, καταγραφή ενεργειών και έλεγχο αντιγράφων. Τα μέτρα επανεξετάζονται ανάλογα με τον κίνδυνο, χωρίς να μειώνεται ουσιωδώς η προστασία.

Υποεκτελούντες και διαβιβάσεις

Ο υπεύθυνος παρέχει γενική γραπτή άδεια για τους παρόχους του Παραρτήματος Γ. Πριν από προσθήκη ή αντικατάσταση ο εκτελών ενημερώνει γραπτώς, ώστε να παρέχεται πραγματική δυνατότητα αντίρρησης. Η διαφωνία επιλύεται πριν δοθεί η νέα πρόσβαση. Στον υποεκτελούντα επιβάλλονται αντίστοιχες υποχρεώσεις άρθρου 28· ο εκτελών παραμένει υπεύθυνος έναντι του γραφείου για την εκπλήρωσή τους. Διαβίβαση εκτός ΕΟΧ γίνεται μόνο με εφαρμοστέα νόμιμη εγγύηση.

Συνδρομή και έλεγχος

Ο εκτελών βοηθά, με κατάλληλα τεχνικά και οργανωτικά μέτρα και τις πληροφορίες που διαθέτει, στην άσκηση δικαιωμάτων και στις υποχρεώσεις των άρθρων 32–36. Διαβιβάζει τα αιτήματα χωρίς να αποφασίζει αντί του υπευθύνου. Διαθέτει τις αναγκαίες πληροφορίες συμμόρφωσης και επιτρέπει ελέγχους και επιθεωρήσεις από τον υπεύθυνο ή εξουσιοδοτημένο ελεγκτή, με προστασία των δεδομένων άλλων γραφείων και χωρίς να ματαιώνεται ο έλεγχος.

Περιστατικά

Ο εκτελών ειδοποιεί τον υπεύθυνο αμελλητί μόλις λάβει γνώση παραβίασης, χωρίς να αναμένει πλήρη διερεύνηση. Παρέχει τα διαθέσιμα στοιχεία και συμπληρώσεις, περιορίζει τη ζημία και διαφυλάσσει τεκμήρια. Ο υπεύθυνος κρίνει τη γνωστοποίηση στην Αρχή και στα πρόσωπα κατά τα άρθρα 33–34. Ισχύει η διαδικασία παραβίασης.

Λήξη και διαγραφή

Με τη λήξη, ο εκτελών κατ’ επιλογή του υπευθύνου επιστρέφει ή διαγράφει τα δεδομένα και διαγράφει τα αντίγραφα, εκτός από συγκεκριμένη υποχρέωση νόμιμης διατήρησης. Η απλή διακοπή πρόσβασης δεν αποτελεί απόδειξη διαγραφής. Η ολοκλήρωση και οι τυχόν αιτιολογημένες εκκρεμότητες γνωστοποιούνται στο γραφείο.

Τα αντίγραφα ακολουθούν την πολιτική διατήρησης, μένουν εκτός συνήθους χρήσης και δεν τροποποιούνται επιλεκτικά. Σε επαναφορά εφαρμόζονται ξανά οι διαγραφές και ανακλήσεις πριν από χρήση. Δεν συμφωνείται ανυπόστατη καθολική εγγύηση διαγραφής κάθε αντιγράφου εντός 30 ημερών. Οι ελάχιστες αποδείξεις της σύμβασης διατηρούνται για 5 έτη από τη λήξη της, αποκλειστικά για την υποστήριξη νομικών αξιώσεων.

Μελλοντικές αλλαγές των όρων γνωστοποιούνται με email. Δεν ζητείται νέα αποδοχή των όρων. Η αρχική σύναψη και οι τεκμηριωμένες εντολές εξακολουθούν να απαιτούνται· η ενημέρωση δεν αποτελεί άδεια νέου σκοπού ή παράκαμψη δικαιωμάτων και υποχρεώσεων του άρθρου 28.

Παραρτήματα

Α — Αντικείμενο και κατηγορίες. Διάρκεια: όσο παρέχεται η υπηρεσία και όσο απαιτείται για νόμιμη επιστροφή ή διαγραφή. Πράξεις: συλλογή κατ’ εντολή, αποθήκευση, οργάνωση, διάθεση σε δικαιούχους, ασφαλής επικοινωνία, δημιουργία αντιγράφων και διαγραφή. Πρόσωπα: πελάτες, εκπρόσωποι, χρήστες γραφείου και τρίτοι που περιλαμβάνονται νόμιμα στα δεδομένα. Κατηγορίες: στοιχεία ταυτότητας και επικοινωνίας, οικονομικά, φορολογικά και ασφαλιστικά δεδομένα, έγγραφα, μηνύματα, στοιχεία πρόσβασης, εξουσιοδοτήσεων και ασφάλειας. Ειδικές κατηγορίες επιτρέπονται μόνο με τεκμηριωμένη αναγκαιότητα, κατάλληλη προϋπόθεση άρθρου 9 και ανάλογα μέτρα.

Β — Μέτρα. Ενσωματώνονται τα τεχνικά και οργανωτικά μέτρα της ίδιας έκδοσης και η πολιτική διατήρησης.

Γ — Υποεκτελούντες. Ενσωματώνεται το μητρώο εκτελούντων της ίδιας έκδοσης, με τους παρόχους, το αντικείμενο και τις διαβιβάσεις τους. Υποστηρικτική υπηρεσία αποκτά πρόσβαση σε δεδομένα του συνδρομητή μόνο αφού καλυφθεί από την απαιτούμενη συμβατική και οργανωτική εξουσιοδότηση.