GDPR — Προστασία Δεδομένων

Τελευταία ενημέρωση: Οκτώβριος 2026

Τι είναι η σελίδα αυτή, και τι δεν είναι. Είναι προσυμβατική ενημέρωση: περιγράφει τις δεσμεύσεις που αναλαμβάνουμε, ώστε ο Υπεύθυνος Προστασίας Δεδομένων ενός φορέα να μπορεί να τις αξιολογήσει πριν από κάθε ανάθεση, τότε δηλαδή που χρειάζεται την απάντηση. Δεν είναι η ίδια η σύμβαση. Το δεσμευτικό κείμενο είναι η Σύμβαση Επεξεργασίας που υπογράφεται με τον φορέα σας: εκεί οι προθεσμίες, τα μέτρα και οι υπεργολάβοι προσδιορίζονται για το συγκεκριμένο έργο, και σε περίπτωση απόκλισης υπερισχύει η σύμβαση. Οι αριθμοί εδώ είναι οι προεπιλογές μας, όχι όροι σε ισχύ.

1. Δύο διαφορετικά σύνολα δεδομένων

Η σελίδα αυτή αφορά τα δεδομένα που βρίσκονται μέσα στην πλατφόρμα e-ROE ενός φορέα. Για τα δεδομένα του παρόντος ιστοτόπου — τη φόρμα επικοινωνίας και τα στατιστικά — ισχύει η Πολιτική Απορρήτου, όπου υπεύθυνος επεξεργασίας είμαστε εμείς.

2. Ποιος είναι τι

Ο φορέας που χρησιμοποιεί το e-ROE είναι ο υπεύθυνος επεξεργασίας: αυτός αποφασίζει τους σκοπούς και τα μέσα, και για τους δημόσιους φορείς η νομική βάση της επεξεργασίας ορίζεται από το άρθρο 5 του ν. 4624/2019. Ο δικός μας ρόλος εξαρτάται από τον τρόπο εγκατάστασης και δεν είναι θέμα διαπραγμάτευσης — προκύπτει από τα πραγματικά περιστατικά:

Ο ρόλος μας ανά τρόπο εγκατάστασης

Τρόπος εγκατάστασης	Ο ρόλος μας
Στις υποδομές του φορέα, χωρίς καμία πρόσβασή μας	Ούτε υπεύθυνος ούτε εκτελών. Δεν επεξεργαζόμαστε δεδομένα· παρέχουμε λογισμικό.
Στις υποδομές του φορέα, με σύμβαση υποστήριξης που δίνει πρόσβαση	Εκτελών την επεξεργασία για τις ενέργειες υποστήριξης — η πρόσβαση εκεί είναι συστηματική και αναπόφευκτη.
Φιλοξενία από εμάς (ή από πάροχο που ορίζουμε)	Εκτελών την επεξεργασία. Η αποθήκευση αρκεί από μόνη της, ακόμη και για κρυπτογραφημένα δεδομένα που δεν μπορούμε να διαβάσουμε.
Ο ιστότοπος e-roe.gr	Υπεύθυνος επεξεργασίας — δείτε την Πολιτική Απορρήτου.

Δεν χρησιμοποιούμε ποτέ δεδομένα φορέα για δικούς μας σκοπούς — ούτε για στατιστικά, ούτε για βελτίωση προϊόντος, ούτε για εκπαίδευση μοντέλων. Αν το κάναμε, θα γινόμασταν υπεύθυνος επεξεργασίας για την ενέργεια αυτή, κατά το άρθρο 28 παρ. 10 του ΓΚΠΔ.

3. Η Σύμβαση Επεξεργασίας (DPA)

Όπου είμαστε εκτελούντες, υπογράφεται σύμβαση κατά το άρθρο 28 παρ. 3 του ΓΚΠΔ. Δεχόμαστε να υπογράψουμε το δικό σας κείμενο· διαθέτουμε και δικό μας, δομημένο στις τυποποιημένες συμβατικές ρήτρες της Απόφασης (ΕΕ) 2021/915. Η σύμβαση προσδιορίζει το αντικείμενο, τη διάρκεια, τη φύση και τον σκοπό, τα είδη δεδομένων και τις κατηγορίες υποκειμένων — συγκεκριμένα, όχι με τη γενική φράση «δεδομένα προσωπικού χαρακτήρα», που το ΕΣΠΔ έχει κρίνει ανεπαρκή — και περιλαμβάνει:

• (α) επεξεργασία μόνο βάσει τεκμηριωμένων εντολών σας, συμπεριλαμβανομένων των διαβιβάσεων·
• (β) δέσμευση εμπιστευτικότητας για κάθε πρόσωπο που έχει πρόσβαση·
• (γ) τα μέτρα ασφαλείας του άρθρου 32·
• (δ) υπεργολαβία μόνο με προηγούμενη γραπτή έγκρισή σας, με ενεργητική ενημέρωση για κάθε μεταβολή — μια δημοσιευμένη σελίδα δεν αρκεί — και με μεταβίβαση των ίδιων υποχρεώσεων· απέναντί σας ευθυνόμαστε πλήρως·
• (ε) συνδρομή για την ικανοποίηση των δικαιωμάτων των υποκειμένων·
• (στ) συνδρομή για τα άρθρα 32-36 (ασφάλεια, παραβιάσεις, ΕΑΠΔ, προηγούμενη διαβούλευση)·
• (ζ) διαγραφή ή επιστροφή των δεδομένων κατ' επιλογή σας στη λήξη·
• (η) διάθεση κάθε αναγκαίας πληροφορίας και διενέργεια ελέγχων.

Επιπλέον, αναλαμβάνουμε να σας ενημερώσουμε αμέσως αν κρίνουμε ότι εντολή σας παραβιάζει τον ΓΚΠΔ ή την εθνική νομοθεσία.

4. Υπεργολάβοι επεξεργασίας

Η αλυσίδα έχει τρεις κρίκους και τους δηλώνουμε: ο φορέας είναι ο υπεύθυνος επεξεργασίας, εμείς ο εκτελών, και ο πάροχος υποδομής ο υπεργολάβος.

Φιλοξενία και ηλεκτρονική αλληλογραφία

OVH Hosting Limited, Δουβλίνο, Ιρλανδία, αρ. καταχώρισης 468585 — εταιρεία εγκατεστημένη στην ΕΕ. Το DPA του παρόχου (έκδοση 17.10.2025) είναι σε ισχύ. Ο διακομιστής βρίσκεται σε κέντρο δεδομένων στη Γαλλία.

Κάθε προσθήκη ή αντικατάσταση υπεργολάβου σας γνωστοποιείται εκ των προτέρων και μπορείτε να αντιταχθείτε. Λέμε όμως και πού σταματά αυτή η δέσμευση, γιατί μια υπόσχεση που δεν μπορούμε να τηρήσουμε είναι χειρότερη από μια ειλικρινή: για αλλαγές στους δικούς του υπεργολάβους ο πάροχος υποδομής μας ειδοποιεί 30 ημέρες πριν (ή 90 όταν ο νέος υπεργολάβος δεν βρίσκεται σε χώρα με απόφαση επάρκειας) και δεχόμαστε αντίρρηση εντός 15 ημερών — αλλά ο πάροχος δεν υποχρεούται να ανακαλέσει την αλλαγή. Αν δεν την ανακαλέσει, η θεραπεία είναι η καταγγελία της υπηρεσίας που επηρεάζεται, όχι η αποτροπή της αλλαγής. Το ίδιο ισχύει επομένως και απέναντί σας.

Ο πάροχος παραμένει πλήρως υπεύθυνος έναντί μας για τους υπεργολάβους του (άρθρο 7.4 του DPA), και ο πλήρης κατάλογός τους δημοσιεύεται από τον ίδιο· θα σας τον παραδώσουμε με τη σύμβαση.

4α. Αιτήματα αρχών τρίτων χωρών

Αξίζει να αναφερθεί ρητά, γιατί είναι από τα λίγα σημεία όπου η σύμβαση δίνει περισσότερα από τον νόμο: κατά το άρθρο 4.3 του DPA, όταν αρχή μη ευρωπαϊκής χώρας ζητά προσωπικά δεδομένα που ο πάροχος επεξεργάζεται για λογαριασμό ευρωπαίου πελάτη, ο πάροχος αντιτάσσεται στο αίτημα. Τρεις εξαιρέσεις προβλέπονται — διεθνής συμφωνία δικαστικής συνδρομής, δεδομένα αποθηκευμένα σε κέντρο δεδομένων εκτός ΕΕ, ή περίπτωση του άρθρου 49 ΓΚΠΔ — και η δεύτερη δεν συντρέχει εδώ, αφού το κέντρο δεδομένων είναι στη Γαλλία. Κατά το άρθρο 4.2 ο πάροχος ελέγχει επίσης την αρμοδιότητα της αρχής και μας ενημερώνει προηγουμένως, εκτός αν ο νόμος το απαγορεύει.

5. Ασφάλεια (άρθρο 32)

• Ψευδωνυμοποίηση και κρυπτογράφηση — TLS στη μεταφορά, κρυπτογράφηση ευαίσθητων πεδίων και μυστικών στη βάση.
• Εμπιστευτικότητα και ακεραιότητα — δικαιώματα με βάση τον ρόλο και τη θέση στο οργανόγραμμα, ταυτοποίηση δύο παραγόντων, σάρωση κάθε αρχείου για κακόβουλο λογισμικό, αμετάβλητο ιστορικό ελέγχου κάθε ενέργειας.
• Διαθεσιμότητα — αντίγραφα ασφαλείας και διαδικασία επαναφοράς· υψηλή διαθεσιμότητα όπου προβλέπεται από το πακέτο.
• Τακτική δοκιμή και αξιολόγηση — αυτοματοποιημένοι έλεγχοι σε κάθε αλλαγή κώδικα, στατική ανάλυση και έλεγχος ευπαθειών των εξαρτήσεων.

6. Παραβίαση δεδομένων

Σας ειδοποιούμε εντός 24 ωρών από τη στιγμή που εμείς αντιληφθούμε παραβίαση που αφορά δεδομένα σας. Η προθεσμία δεν είναι αυθαίρετη: οι 72 ώρες του άρθρου 33 παρ. 1 τρέχουν για εσάς, και θεωρείται ότι λαμβάνετε γνώση τη στιγμή που σας ενημερώνουμε — μια δέσμευση 72 ωρών από πλευράς μας θα κατανάλωνε ολόκληρο το περιθώριό σας.

Η αφετηρία είναι η γνώση μας, και αυτό δεν είναι λεπτομέρεια. Το άρθρο 33 παρ. 2 δεσμεύει τον εκτελούντα «χωρίς αδικαιολόγητη καθυστέρηση» από τη στιγμή που αντιλαμβάνεται την παραβίαση, και το ίδιο ισχύει ένα επίπεδο πάνω: όταν το περιστατικό ξεκινά στην υποδομή, η δική μας γνώση εξαρτάται από την ειδοποίηση του παρόχου — και το άρθρο 5.1 του DPA του δεσμεύει «χωρίς αδικαιολόγητη καθυστέρηση», χωρίς αριθμό ωρών. Δεν μπορούμε επομένως να υποσχεθούμε 24 ώρες από το περιστατικό· υποσχόμαστε 24 ώρες από τη γνώση, και σας λέμε από τι εξαρτάται εκείνη.

Η ενημέρωση είναι κλιμακωτή: ό,τι γνωρίζουμε αμέσως, και συμπληρωματικά στοιχεία καθώς προχωρά η διερεύνηση. Δεν αξιολογούμε εμείς τον κίνδυνο για τα υποκείμενα — αυτό είναι δική σας κρίση — και δεν ειδοποιούμε την Αρχή χωρίς εντολή σας· σημειωτέον ότι η πλατφόρμα υποβολής της ΑΠΔΠΧ δέχεται γνωστοποιήσεις μόνο από υπευθύνους επεξεργασίας.

Αν ο φορέας σας υπάγεται και στον ν. 5160/2024 (NIS2), θυμηθείτε ότι τρέχει παράλληλη προθεσμία: έγκαιρη προειδοποίηση σε 24 ώρες, γνωστοποίηση σε 72 και τελική έκθεση σε έναν μήνα, προς το αρμόδιο CSIRT. Οι δύο διαδικασίες δεν υποκαθιστούν η μία την άλλη.

7. Δικαιώματα υποκειμένων

Τα αιτήματα απευθύνονται σε εσάς ως υπεύθυνο επεξεργασίας. Η πλατφόρμα σας επιτρέπει να εντοπίσετε και να εξαγάγετε τα δεδομένα ενός προσώπου μόνοι σας· όπου χρειάζεται, συνδράμουμε με τεχνικά μέσα εντός χρόνου που σας επιτρέπει να τηρήσετε τη δική σας προθεσμία του ενός μηνός. Δεν απαντάμε εμείς σε υποκείμενα, εκτός αν μας το ζητήσετε εγγράφως.

8. Επιστροφή και διαγραφή

Στη λήξη της σύμβασης επιλέγετε επιστροφή ή διαγραφή, κατά το άρθρο 28 παρ. 3 στοιχ. ζ΄. Η σειρά έχει σημασία: πρώτα παραδίδουμε πλήρες αντίγραφο σε ανοιχτή, μηχαναγνώσιμη μορφή, το επιβεβαιώνετε, και μετά διαγράφουμε — μαζί με τα αντίγραφα ασφαλείας, εντός του κύκλου διατήρησής τους, με βεβαίωση διαγραφής.

«Διαγράφουμε τα πάντα» θα ήταν λάθος υπόσχεση, και η αιτία είναι δική σας νομοθεσία και όχι δική μας επιφύλαξη. Το ίδιο το στοιχείο ζ΄ εξαιρεί την περίπτωση που «το δίκαιο της Ένωσης ή του κράτους μέλους απαιτεί την αποθήκευση», και εδώ οι διατάξεις που ενεργοποιούνται είναι σοβαρές:

• Ν. 4610/2019 άρθρο 162 παρ. 5 περ. α΄ — «Απαγορεύεται … οποιαδήποτε καταστροφή δημόσιων αρχείων χωρίς την έγγραφη άδεια των Γ.Α.Κ.». Για υλικό που συνιστά δημόσιο αρχείο, η διαγραφή δεν είναι απλώς αναβαλλόμενη: απαγορεύεται χωρίς άδεια των Γενικών Αρχείων του Κράτους. Ο ν. 1946/1991, που συχνά ακόμη αναφέρεται, καταργήθηκε στα άρθρα 1-45 του με το άρθρο 201 του ν. 4610/2019.
• Ν. 4610/2019 άρθρο 161 παρ. 3 περ. β΄ — τα «ημιενεργά» αρχεία «δεν μπορεί να υποστούν εκκαθάριση διότι δεν έχει λήξει ο χρόνος διατήρησης». Ο χρόνος αυτός ορίζεται ανά τύπο εγγράφου και ανά τύπο φορέα από τα Π.Δ. 106/1979, 162/1979, 768/1980, 87/1981 και 480/1985 — δεν είναι ένας αριθμός που μπορούμε να υπολογίσουμε εμείς.
• Π.Δ. 25/2014 άρθρο 11 — η εκκαθάριση ηλεκτρονικών εγγράφων είναι τεκμηριωμένη διοικητική ενέργεια με πρωτόκολλο καταστροφής, και απαιτεί προηγουμένως να διαπιστωθεί ότι τα δεδομένα είναι «αυθεντικά, ακέραια, ευανάγνωστα, αξιόπιστα και εξαγώγιμα».
• Ν. 4412/2016 άρθρο 45 παρ. 4 (Βιβλίο ΙΙ: άρθρο 277 παρ. 4) — ο φάκελος δημόσιας σύμβασης τηρείται τουλάχιστον τρία έτη από την παραλαβή του αντικειμένου, και το αντίγραφο της σύμβασης τουλάχιστον για τη διάρκειά της.
• Κανονισμός (ΕΕ) 2021/1060 άρθρο 82 — για συγχρηματοδοτούμενη δαπάνη, πέντε έτη από την 31η Δεκεμβρίου του έτους της τελευταίας πληρωμής προς τον δικαιούχο· η προθεσμία διακόπτεται σε περίπτωση δικαστικής διαδικασίας ή αιτήματος της Επιτροπής, οπότε είναι εξ ορισμού ανοιχτή.
• Ν. 5104/2024 άρθρο 13 παρ. 2 (Κώδικας Φορολογικής Διαδικασίας — αντικατέστησε τον ν. 4987/2022) — πέντε έτη, ή έως την παραγραφή του δικαιώματος προσδιορισμού φόρου, ή έως την τελεσιδικία της υπόθεσης, όποιο είναι μεγαλύτερο.

Τρεις πρακτικές συνέπειες, που καλό είναι να συμφωνηθούν στη σύμβαση και όχι στη λήξη της: τον χρόνο τον ορίζετε εσείς, γιατί μόνο εσείς γνωρίζετε την πηγή χρηματοδότησης, την ημερομηνία τελευταίας πληρωμής και αν εκκρεμεί δίκη· η αφετηρία είναι γεγονός και όχι ημερομηνία, άρα μια ρήτρα «Χ έτη και μετά διαγραφή» θα είναι λάθος και προς τις δύο κατευθύνσεις· και η διαγραφή μπορεί να απαιτεί την άδεια τρίτου. Γι' αυτό η δέσμευσή μας διατυπώνεται ως: θέτουμε τα δεδομένα εκτός χρήσης, σε καθορισμένη και εξαγώγιμη μορφή με περιορισμένη πρόσβαση, και τα διαγράφουμε οριστικά όταν μας βεβαιώσετε ότι αυτό είναι νόμιμο.

Ανεξάρτητα από τα ανωτέρω, όπου η νομοθεσία επιβάλλει σε εμάς τη διατήρηση στοιχείου της συνεργασίας (λογιστικά παραστατικά), αυτό διατηρείται για τον χρόνο που ορίζει ο νόμος και μόνο γι' αυτόν τον σκοπό.

9. Έλεγχοι

Δικαιούστε να ελέγξετε τη συμμόρφωσή μας, κατά το άρθρο 28 παρ. 3 στοιχ. η΄. Στην πράξη παρέχουμε τεκμηρίωση των μέτρων και απαντάμε σε ερωτηματολόγια ασφαλείας· επιτόπιος έλεγχος διενεργείται κατόπιν εύλογης προειδοποίησης και υπό εμπιστευτικότητα, ώστε να μην εκτεθούν δεδομένα άλλων φορέων.

10. Νομοθετικό πλαίσιο

• Κανονισμός (ΕΕ) 2016/679 (ΓΚΠΔ) — ιδίως τα άρθρα 5, 24, 28, 29, 32, 33 και 34.
• Ν. 4624/2019 — μέτρα εφαρμογής: άρθρο 4 (ορισμοί), άρθρο 5 (νομική βάση για δημόσιους φορείς), άρθρο 6 (υποχρεωτικός DPO για κάθε δημόσιο φορέα — αφορά εσάς, όχι εμάς), άρθρα 24-26 (περαιτέρω επεξεργασία και διαβιβάσεις), άρθρα 31-35 (περιορισμοί δικαιωμάτων), άρθρο 39 (διοικητικά πρόστιμα — οι δημόσιοι φορείς δεν εξαιρούνται).
• Ν. 3471/2006 — ηλεκτρονικές επικοινωνίες.
• Ν. 5160/2024 — κυβερνοασφάλεια (NIS2), όπου εφαρμόζεται στον φορέα σας.
• Ν. 4610/2019 άρθρα 160-201 — Γενικά Αρχεία του Κράτους, εκκαθάριση και απαγόρευση καταστροφής δημόσιων αρχείων.
• Ν. 4727/2020 άρθρα 85-88 — κυβερνητικά νέφη, ταξινόμηση δεδομένων, πηγαίος κώδικας.

Δεν αρκούμαστε στη διατύπωση «συμμορφωνόμαστε με τον GDPR»: η συμμόρφωση αποδεικνύεται με τη σύμβαση, τα μέτρα και τα αρχεία, και αυτά είναι διαθέσιμα προς έλεγχο.

11. Επικοινωνία

Για θέματα προστασίας δεδομένων και για το κείμενο της σύμβασης επεξεργασίας: dpo@e-roe.gr, τηλ. +306937085785.