Συμμόρφωση με τον ΓΚΠΔ (GDPR)

Η TWENTYONE WEST COAST TRVL STORIES ΜΟΝΟΠΡΟΣΩΠΗ Ι.Κ.Ε. επεξεργάζεται προσωπικά δεδομένα με δύο διακριτές ιδιότητες, τις οποίες ο Κανονισμός αντιμετωπίζει πολύ διαφορετικά.

Υπεύθυνος επεξεργασίας: αυτός ο ιστότοπος και η δική μας επιχείρηση

Αιτήματα επικοινωνίας, η λίστα του Journal, στοιχεία επικοινωνίας προμηθευτών και πελατών, αρχεία καταγραφής του server. Εμείς αποφασίζουμε για ποιον σκοπό και με ποιον τρόπο γίνεται η επεξεργασία τους, οπότε οι υποχρεώσεις των άρθρων 12 έως 22 βαραίνουν απευθείας εμάς. Η πολιτική απορρήτου αποτελεί την ενημέρωση που απαιτούν τα άρθρα 13 και 14 για αυτή την επεξεργασία.

Εκτελών την επεξεργασία: οι πλατφόρμες που αναπτύσσουμε και λειτουργούμε

Κάθε website, σύστημα e-commerce, εφαρμογή και βάση δεδομένων που παραδίδουμε περιέχει δεδομένα του πελάτη μας, όχι δικά μας. Υπεύθυνος επεξεργασίας είναι ο πελάτης. Εμείς ενεργούμε μόνο με βάση τις καταγεγραμμένες οδηγίες του, στο πλαίσιο γραπτής σύμβασης επεξεργασίας δεδομένων που πληροί το άρθρο 28 παρ. 3. Δεν χρησιμοποιούμε δεδομένα πελατών για δικούς μας σκοπούς, δεν τα αναλύουμε για να αντλήσουμε πληροφορίες και δεν τα μεταφέρουμε από μια συνεργασία σε άλλη.

Το άρθρο 5 ορίζει έξι αρχές. Για εμάς είναι τεχνικοί περιορισμοί στον τρόπο που χτίζουμε, όχι διακήρυξη προθέσεων:

• Νομιμότητα, αντικειμενικότητα και διαφάνεια: όπου ο ιστότοπος ζητά δεδομένα, εξηγεί εκεί, τη στιγμή που τα ζητά, σε τι θα χρησιμεύσουν.
• Περιορισμός του σκοπού: μια διεύθυνση που δόθηκε μαζί με την περιγραφή ενός έργου δεν χρησιμοποιείται για κάτι άσχετο.
• Ελαχιστοποίηση των δεδομένων: η φόρμα επικοινωνίας έχει τέσσερα υποχρεωτικά πεδία, γιατί τόσα χρειάζεται μια απάντηση. Με τον ίδιο τρόπο χτίζουμε και τα συστήματα των πελατών: ένα πεδίο που δεν χρησιμοποιεί κανείς δεν προσφέρει τίποτα, μόνο κίνδυνο.
• Ακρίβεια: διορθώνουμε τα δεδομένα όταν μας το ζητήσετε και ενημερώνουμε για τη διόρθωση όποιον τα έχει λάβει από εμάς.
• Περιορισμός της περιόδου αποθήκευσης: για όλα τα δεδομένα υπάρχει δηλωμένη περίοδος διατήρησης, και την εφαρμόζουμε στην πράξη.
• Ακεραιότητα και εμπιστευτικότητα: TLS παντού, πρόσβαση μόνο όπου είναι αναγκαία, έλεγχος ταυτότητας δύο παραγόντων σε κάθε λογαριασμό που έχει πρόσβαση σε προσωπικά δεδομένα.

Το άρθρο 5 παρ. 2 προσθέτει τη λογοδοσία, δηλαδή να μπορούμε να αποδείξουμε τα παραπάνω. Τηρούμε το αρχείο δραστηριοτήτων επεξεργασίας που απαιτεί το άρθρο 30. Οι αποφάσεις για το πόσο κρατάμε τα δεδομένα και ποιος έχει πρόσβαση σε αυτά είναι γραμμένες. Δεν βασιζόμαστε στη μνήμη μας.

Το Journal είναι έκδοση μεταξύ επιχειρήσεων (B2B) και αποστέλλεται νόμιμα. Αυτό είναι το σημείο του Κανονισμού που εφαρμόζεται λάθος πιο συχνά, γι' αυτό αξίζει να το περιγράψουμε με ακρίβεια.

Απευθύνεται σε επαγγελματίες, σε επαγγελματική διεύθυνση, για θέματα του επαγγελματικού τους πεδίου. Δεν κάνουμε προώθηση προς καταναλωτές. Δεν αγοράζουμε, δεν μισθώνουμε, δεν συλλέγουμε αυτόματα από το διαδίκτυο και δεν εμπλουτίζουμε λίστες. Κάθε διεύθυνση στη λίστα μας μάς δόθηκε απευθείας, με έναν από δύο μόνο τρόπους:

Συγκατάθεση

Πληκτρολογήσατε οι ίδιοι τη διεύθυνσή σας στο πεδίο εγγραφής. Αυτή είναι η σαφής θετική ενέργεια που απαιτεί το άρθρο 4 σημ. 11 ΓΚΠΔ και η προηγούμενη συγκατάθεση που απαιτεί το άρθρο 11 παρ. 1 του ν. 3471/2006.

Έννομο συμφέρον, στο πλαίσιο επιχειρηματικής σχέσης

Μας στείλατε την περιγραφή ενός έργου αφήνοντας επιλεγμένο το κουτάκι του Journal, το οποίο βρίσκεται, με απλή διατύπωση, ακριβώς πάνω από το κουμπί αποστολής. Το άρθρο 6 παρ. 1 στοιχ. στ΄ ΓΚΠΔ επιτρέπει την επεξεργασία που είναι αναγκαία για τους σκοπούς των έννομων συμφερόντων μας, και η αιτιολογική σκέψη 47 αναφέρει ρητά ότι η επεξεργασία για σκοπούς άμεσης εμπορικής προώθησης μπορεί να θεωρηθεί ότι εξυπηρετεί έννομο συμφέρον. Η στάθμιση συμφερόντων καταλήγει υπέρ μας για συγκεκριμένους λόγους: το συμφέρον σας που αφορά η επεξεργασία είναι επαγγελματικό και όχι ιδιωτικό, η διεύθυνση μας δόθηκε για επαγγελματική αλληλογραφία ακριβώς γι' αυτό το θέμα, η επικοινωνία είναι τρία email τον μήνα και η άρνηση κοστίζει ένα μόνο κλικ. Το άρθρο 11 παρ. 2 του ν. 3471/2006, με το οποίο η Ελλάδα ενσωμάτωσε το άρθρο 13 παρ. 2 της Οδηγίας ePrivacy, επιτρέπει το ίδιο στο πεδίο των ηλεκτρονικών επικοινωνιών: για διεύθυνση που αποκτήθηκε στο πλαίσιο επιχειρηματικής συναλλαγής, για παρόμοιες υπηρεσίες, με σαφή και δωρεάν δυνατότητα αντίταξης τόσο κατά τη συλλογή όσο και σε κάθε μεταγενέστερο μήνυμα.

Σύμφωνα με το άρθρο 21 παρ. 2, μπορείτε να αντιταχθείτε στην άμεση εμπορική προώθηση οποτεδήποτε και για οποιονδήποτε λόγο. Σε αντίθεση με τις άλλες αντιρρήσεις, αυτή είναι απόλυτη: δεν γίνεται στάθμιση και δεν μπορούμε να αντιτάξουμε σε αυτήν κανένα δικό μας συμφέρον. Τη σεβόμαστε αμέσως.

Είναι δύο διαφορετικά πράγματα και δικαιούστε όποιο από τα δύο θέλετε. Και τα δύο είναι δωρεάν. Δεν χρειάζεται να δώσετε εξηγήσεις ούτε να έχετε λογαριασμό.

Απεγγραφή

Ένας σύνδεσμος στην αρχή κάθε τεύχους, που λειτουργεί με ένα κλικ. Χωρίς να συνδεθείτε, χωρίς βήμα επιβεβαίωσης, χωρίς σελίδα προτιμήσεων σχεδιασμένη για να σας καθυστερήσει. Από εκείνη τη στιγμή η διεύθυνση σταματά να λαμβάνει το Journal.

Διαγραφή, άρθρο 17

Γράψτε στο hello@twenty-one.co και η διεύθυνση διαγράφεται από την πλατφόρμα αποστολής και από τα δικά μας αρχεία, εντός ενός μηνός και συνήθως μέσα σε λίγες ημέρες. Αυτό που παραμένει είναι μια εγγραφή αποκλεισμού: η ελάχιστη σημείωση ότι με αυτή τη διεύθυνση δεν πρέπει να επικοινωνήσουμε ποτέ ξανά. Τη διατηρούμε αποκλειστικά για να ισχύει η διαγραφή στην πράξη, όπως μας υποχρεώνει το άρθρο 21 παρ. 3.

Το ίδιο ισχύει για την περιγραφή έργου που μας έχετε στείλει. Αν το ζητήσετε, διαγράφεται, με μόνη εξαίρεση ό,τι μας υποχρεώνει να διατηρήσουμε η ελληνική φορολογική και εμπορική νομοθεσία από τη στιγμή που έχει εκδοθεί τιμολόγιο.

Τα άρθρα 15 έως 22 σας δίνουν το δικαίωμα πρόσβασης στα δεδομένα που διατηρούμε για εσάς, διόρθωσης, διαγραφής, περιορισμού της χρήσης τους, λήψης τους σε φορητή, μηχαναγνώσιμη μορφή, αντίταξης σε επεξεργασία που βασίζεται σε έννομο συμφέρον και ανάκλησης της συγκατάθεσης, όπου η επεξεργασία βασίζεται σε αυτήν.

Στείλτε το αίτημα στο hello@twenty-one.co. Δεν χρειάζεται να συμπληρώσετε φόρμα και δεν υπάρχει χρέωση. Απαντάμε εντός ενός μηνός, όπως απαιτεί το άρθρο 12 παρ. 3. Αν ένα αίτημα είναι πράγματι σύνθετο, θα σας ενημερώσουμε μέσα σε αυτόν τον μήνα ότι παρατείνουμε την προθεσμία και για ποιον λόγο. Θα ζητήσουμε όσα στοιχεία χρειάζονται για να βεβαιωθούμε ότι το αίτημα προέρχεται πράγματι από εσάς, και όχι περισσότερα.

Αν τα δεδομένα βρίσκονται σε σύστημα που αναπτύξαμε για πελάτη, ενεργούμε ως εκτελών την επεξεργασία. Θα διαβιβάσουμε το αίτημα στον πελάτη, που είναι ο υπεύθυνος επεξεργασίας και αυτός που οφείλει να απαντήσει, και θα τον βοηθήσουμε να το κάνει, όπως μας υποχρεώνει το άρθρο 28 παρ. 3 στοιχ. ε΄.

Μπορείτε επίσης να υποβάλετε καταγγελία στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, Κηφισίας 1–3, 115 23 Αθήνα, +30 210 6475600, www.dpa.gr, ή στην εποπτική αρχή της χώρας της ΕΕ όπου ζείτε ή εργάζεστε. Θα προτιμούσαμε να απευθυνθείτε πρώτα σε εμάς, αλλά το δικαίωμα είναι δικό σας σε κάθε περίπτωση.

Όσα χρειάζεται συνήθως να γνωρίζει η ομάδα προμηθειών ή η νομική υπηρεσία ενός πελάτη, με τη σειρά που συνήθως τα ρωτά:

• Υπογράφουμε σύμβαση επεξεργασίας δεδομένων με τους όρους του άρθρου 28 παρ. 3 πριν αγγίξουμε οποιοδήποτε προσωπικό δεδομένο, είτε με το δικό μας υπόδειγμα είτε με το δικό σας, όποιο προτιμά ο νομικός σας σύμβουλος.
• Επεξεργαζόμαστε δεδομένα μόνο με βάση καταγεγραμμένες οδηγίες και σας ενημερώνουμε αν μια οδηγία μάς φαίνεται ότι παραβιάζει τον Κανονισμό.
• Όλοι όσοι έχουν πρόσβαση δεσμεύονται εγγράφως από υποχρέωση εμπιστευτικότητας, που ισχύει και μετά τη λήξη της συνεργασίας.
• Οι περαιτέρω εκτελούντες την επεξεργασία (φιλοξενία, αποστολή email, αναφορά σφαλμάτων) κατονομάζονται πριν χρησιμοποιηθούν, και μπορείτε να αντιταχθείτε σε κάθε νέο.
• Τα δεδομένα παραμένουν στον ΕΟΧ εξ ορισμού. Όπου ένα συγκεκριμένο εργαλείο απαιτεί κάτι διαφορετικό, σας το λέμε πριν επιλεγεί, και η διαβίβαση καλύπτεται από τυποποιημένες συμβατικές ρήτρες ή από απόφαση επάρκειας.
• Σας συνδράμουμε στα αιτήματα των υποκειμένων των δεδομένων, στη γνωστοποίηση παραβιάσεων και σε κάθε εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (DPIA) που απαιτεί το σύστημα σύμφωνα με το άρθρο 35.
• Με τη λήξη της συνεργασίας, τα δεδομένα σας επιστρέφονται ή διαγράφονται, κατ' επιλογή σας, και τα αντίγραφα ασφαλείας διαγράφονται σύμφωνα με δηλωμένο χρονοδιάγραμμα.
• Δεν αναθέτουμε την ανάπτυξη σε υπεργολάβους στο εξωτερικό. Όσοι γράφουν τον κώδικα βρίσκονται στην Αθήνα, και δεν στέλνουμε προσωπικά δεδομένα έξω από αυτή την ομάδα για να γλιτώσουμε κόστος με φθηνότερους συνεργάτες.

Το άρθρο 32 ζητά μέτρα κατάλληλα για τον κίνδυνο. Στα δικά μας συστήματα αυτό σημαίνει: TLS σε κάθε σύνδεση, έλεγχο ταυτότητας δύο παραγόντων σε κάθε λογαριασμό, πρόσβαση μόνο στο ελάχιστο αναγκαίο, όριο αιτημάτων και έλεγχο των δεδομένων εισόδου στα δημόσια σημεία πρόσβασης, ενημερώσεις λογισμικού ως τακτική εργασία και όχι ως ξεχωριστό έργο, και αντίγραφα ασφαλείας από τα οποία κάνουμε πράγματι επαναφορά κατά διαστήματα, για να επιβεβαιώνουμε ότι λειτουργούν.

Αν συμβεί παραβίαση στα δικά μας συστήματα, ενημερώνουμε την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εντός 72 ωρών, όπου το απαιτεί το άρθρο 33, και τα πρόσωπα που επηρεάζονται χωρίς αδικαιολόγητη καθυστέρηση, όπου το απαιτεί το άρθρο 34. Αν συμβεί σε σύστημα που λειτουργούμε για πελάτη, ενημερώνουμε τον πελάτη χωρίς αδικαιολόγητη καθυστέρηση, ώστε να τηρήσει τις ίδιες προθεσμίες. Η προθεσμία είναι δική του, και φροντίζουμε να μη χάσει χρόνο εξαιτίας μας.

• Καμία αυτοματοποιημένη λήψη αποφάσεων ή κατάρτιση προφίλ με έννομα ή παρόμοια σημαντικά αποτελέσματα, ούτε στον ιστότοπο ούτε σε όσα αποστέλλουμε.
• Καμία πώληση προσωπικών δεδομένων, ποτέ, σε καμία μορφή, σε κανέναν.
• Καμία συλλογή δεδομένων ειδικών κατηγοριών μέσω του ιστότοπου.
• Κανένα παραπλανητικό τέχνασμα στον σχεδιασμό (dark patterns) εκεί όπου ζητάμε δεδομένα: καμία προεπιλεγμένη συγκατάθεση για παρακολούθηση, καμία απεγγραφή κρυμμένη πίσω από σύνδεση, κανένα κόστος για το «όχι».

Δεν έχουμε ορίσει Υπεύθυνο Προστασίας Δεδομένων (DPO) και δεν υποχρεούμαστε. Η κύρια δραστηριότητά μας είναι η ανάπτυξη λογισμικού, όχι η παρακολούθηση ή η επεξεργασία ειδικών κατηγοριών δεδομένων σε μεγάλη κλίμακα, οπότε το άρθρο 37 παρ. 1 δεν εφαρμόζεται. Την ευθύνη έχει ο διαχειριστής που αναφέρεται παρακάτω, ο οποίος απαντά προσωπικά στα μηνύματα.

Για οποιαδήποτε ερώτηση σχετικά με τα παραπάνω, μπορείτε να γράψετε στο hello@twenty-one.co, να καλέσετε στο 210 3000 463 ή να απευθυνθείτε στην έδρα μας, Πλαταιών 55, 104 35 Αθήνα, Ελλάδα. Τα μηνύματα τα διαβάζει συγκεκριμένος άνθρωπος, όχι σύστημα διαχείρισης αιτημάτων.