Πολιτική GDPR

1. Ο ΓΚΠΔ και η δέσμευσή μας

Ο Γενικός Κανονισμός για την Προστασία Δεδομένων (ΓΚΠΔ, GDPR) είναι ένας ολοκληρωμένος νόμος για την προστασία δεδομένων, που ρυθμίζει πώς συλλέγονται, υποβάλλονται σε επεξεργασία και αποθηκεύονται τα δεδομένα προσωπικού χαρακτήρα των προσώπων στον Ευρωπαϊκό Οικονομικό Χώρο (ΕΟΧ).

Η Printedin δεσμεύεται πλήρως να συμμορφώνεται με τον ΓΚΠΔ. Επεξεργαζόμαστε τα δεδομένα προσωπικού χαρακτήρα νόμιμα, αντικειμενικά και με διαφάνεια. Συλλέγουμε δεδομένα μόνο για καθορισμένους, ρητούς και νόμιμους σκοπούς και φροντίζουμε να είναι επαρκή, συναφή και να περιορίζονται σε ό,τι είναι αναγκαίο.

2. Στοιχεία του υπευθύνου επεξεργασίας

Σύμφωνα με τον ΓΚΠΔ, η Printedin ενεργεί ως υπεύθυνος επεξεργασίας για τα δεδομένα προσωπικού χαρακτήρα των χρηστών μας. Αυτό σημαίνει ότι εμείς καθορίζουμε τους σκοπούς και τα μέσα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα.

3. Νομική βάση της επεξεργασίας

Σύμφωνα με το άρθρο 6 του ΓΚΠΔ, επεξεργαζόμαστε δεδομένα προσωπικού χαρακτήρα στις εξής νομικές βάσεις:

Όπου στηριζόμαστε στη συγκατάθεση ως νομική βάση, έχεις το δικαίωμα να την ανακαλέσεις οποιαδήποτε στιγμή. Η ανάκληση δεν θίγει τη νομιμότητα της επεξεργασίας που έγινε πριν από αυτήν.

4. Κατηγορίες δεδομένων προσωπικού χαρακτήρα

Επεξεργαζόμαστε τις εξής κατηγορίες δεδομένων προσωπικού χαρακτήρα:

5. Δικαιώματα του υποκειμένου των δεδομένων

Σύμφωνα με τον ΓΚΠΔ, έχεις τα εξής δικαιώματα σχετικά με τα δεδομένα προσωπικού χαρακτήρα που σε αφορούν. Απαντάμε σε κάθε έγκυρο αίτημα μέσα σε 30 ημέρες (με δυνατότητα παράτασης κατά 60 ημέρες για σύνθετα αιτήματα):

5.1 Δικαίωμα πρόσβασης (άρθρο 15)

Έχεις το δικαίωμα να λάβεις επιβεβαίωση για το αν επεξεργαζόμαστε δεδομένα προσωπικού χαρακτήρα που σε αφορούν και να ζητήσεις αντίγραφό τους σε κοινώς χρησιμοποιούμενη ηλεκτρονική μορφή.

5.2 Δικαίωμα διόρθωσης (άρθρο 16)

Έχεις το δικαίωμα να ζητήσεις τη διόρθωση ανακριβών δεδομένων προσωπικού χαρακτήρα ή τη συμπλήρωση ελλιπών δεδομένων. Τα περισσότερα στοιχεία μπορείς να τα ενημερώσεις απευθείας από τις ρυθμίσεις του προφίλ σου.

5.3 Δικαίωμα διαγραφής (άρθρο 17)

Έχεις το δικαίωμα να ζητήσεις τη διαγραφή των δεδομένων προσωπικού χαρακτήρα που σε αφορούν («δικαίωμα στη λήθη»), με την επιφύλαξη των νομικών υποχρεώσεων που ισχύουν (π.χ. φορολογικά αρχεία που πρέπει να διατηρηθούν).

5.4 Δικαίωμα περιορισμού της επεξεργασίας (άρθρο 18)

Μπορείς να ζητήσεις τον περιορισμό της επεξεργασίας των δεδομένων σου όσο επαληθεύουμε την ακρίβειά τους ή εξετάζουμε τα έννομα συμφέροντά μας, ή όταν η επεξεργασία είναι παράνομη αλλά αντιτίθεσαι στη διαγραφή.

5.5 Δικαίωμα στη φορητότητα των δεδομένων (άρθρο 20)

Έχεις το δικαίωμα να λάβεις τα δεδομένα προσωπικού χαρακτήρα που σε αφορούν, σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανήματα μορφότυπο (JSON ή CSV) και να τα διαβιβάσεις σε άλλον υπεύθυνο επεξεργασίας.

5.6 Δικαίωμα εναντίωσης (άρθρο 21)

Έχεις το δικαίωμα να αντιταχθείς σε επεξεργασία που στηρίζεται σε έννομα συμφέροντα ή γίνεται για σκοπούς απευθείας εμπορικής προώθησης. Θα σταματήσουμε την επεξεργασία, εκτός αν αποδείξουμε επιτακτικούς και νόμιμους λόγους που υπερισχύουν των συμφερόντων σου.

5.7 Δικαιώματα σχετικά με την αυτοματοποιημένη λήψη αποφάσεων (άρθρο 22)

Δεν χρησιμοποιούμε αυτοματοποιημένη λήψη αποφάσεων ούτε κατάρτιση προφίλ που παράγει έννομα αποτελέσματα για σένα ή σε επηρεάζει σημαντικά με παρόμοιο τρόπο.

6. Δραστηριότητες επεξεργασίας

Τηρούμε αρχείο των δραστηριοτήτων επεξεργασίας, όπως απαιτεί το άρθρο 30 του ΓΚΠΔ. Οι κύριες δραστηριότητες επεξεργασίας μας είναι:

• Εγγραφή χρηστών: Επεξεργασία ονόματος, email και κωδικού πρόσβασης για τη δημιουργία λογαριασμού.
• Σχεδιασμός προϊόντων: Επεξεργασία των εικόνων και των κειμένων που ανεβάζεις για τη δημιουργία προεπισκοπήσεων του σχεδίου.
• Εκτέλεση παραγγελιών: Επεξεργασία διευθύνσεων και δεδομένων πληρωμής για την εκτύπωση και την αποστολή.
• Εξυπηρέτηση πελατών: Επεξεργασία της επικοινωνίας και των δεδομένων λογαριασμού για την επίλυση ερωτημάτων.
• Μάρκετινγκ: Επεξεργασία διευθύνσεων email για να σου υπενθυμίσουμε ένα σχέδιο που άφησες μισοτελειωμένο (με βάση τη συγκατάθεση, από τις ρυθμίσεις ειδοποιήσεών σου).
• Απαντήσεις σε ερωτήματα: Αποστολή της αλληλογραφίας σου μαζί μας και των στοιχείων της εργασίας που αφορά σε πάροχο υπηρεσιών τεχνητής νοημοσύνης, που συντάσσει ένα προσχέδιο απάντησης για να το ελέγξουμε (εκτέλεση σύμβασης και έννομο συμφέρον).
• Ανάλυση: Επεξεργασία δεδομένων χρήσης για τη βελτίωση των υπηρεσιών μας (με βάση τη συγκατάθεση).
• Διαφήμιση: Επεξεργασία επισκέψεων σε σελίδες και αγορών για τη μέτρηση της διαφήμισης και τη δημιουργία κοινών (με βάση τη συγκατάθεση).

6.1 Άλλοι εκτελούντες την επεξεργασία

Συνεργαζόμαστε με τις εξής κατηγορίες άλλων εκτελούντων την επεξεργασία, όλες με κατάλληλες συμβάσεις επεξεργασίας δεδομένων:

7. Διεθνείς διαβιβάσεις δεδομένων

Αποθηκεύουμε και επεξεργαζόμαστε τα δεδομένα προσωπικού χαρακτήρα κυρίως εντός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ). Όταν είναι αναγκαίες διαβιβάσεις εκτός ΕΟΧ, εξασφαλίζουμε επαρκή προστασία μέσω:

• Αποφάσεων επάρκειας: Διαβιβάσεις σε χώρες για τις οποίες η ΕΕ έχει εκδώσει απόφαση επάρκειας.
• Τυποποιημένων συμβατικών ρητρών: Συμβατικοί όροι εγκεκριμένοι από την ΕΕ, που εξασφαλίζουν ισοδύναμη προστασία των δεδομένων.
• Συμπληρωματικών μέτρων: Πρόσθετα τεχνικά και οργανωτικά μέτρα όπου χρειάζεται (κρυπτογράφηση, ψευδωνυμοποίηση).

8. Μέτρα προστασίας δεδομένων

Σύμφωνα με το άρθρο 32 του ΓΚΠΔ, εφαρμόζουμε κατάλληλα τεχνικά και οργανωτικά μέτρα για να εξασφαλίσουμε επίπεδο ασφάλειας κατάλληλο για τον κίνδυνο:

8.1 Τεχνικά μέτρα

• Κρυπτογράφηση TLS 1.2 ή 1.3 για όλα τα δεδομένα μεταξύ του προγράμματος περιήγησής σου και των διακομιστών μας
• Αντίγραφα ασφαλείας εκτός του διακομιστή, κρυπτογραφημένα με AES-256 πριν φύγουν από αυτόν
• Κωδικοί πρόσβασης που αποθηκεύονται μόνο ως αλατισμένα hash PBKDF2-HMAC-SHA256 (600.000 επαναλήψεις)
• Αυτοματοποιημένοι έλεγχοι, μαζί και έλεγχοι ασφάλειας, πριν από κάθε νέα έκδοση
• Τμηματοποίηση δικτύου και προστασία με τείχος προστασίας
• Καταγραφή των συνδέσεων και των αλλαγών σε λογαριασμούς και παραγγελίες σε αρχείο ελέγχου

8.2 Οργανωτικά μέτρα

• Εκπαίδευση και ευαισθητοποίηση του προσωπικού για την προστασία δεδομένων
• Έλεγχος πρόσβασης με βάση την αρχή των ελάχιστων προνομίων
• Συμφωνίες εμπιστευτικότητας με όλους τους εργαζόμενους και τους συνεργάτες
• Εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων για επεξεργασία υψηλού κινδύνου
• Τακτικές επανεξετάσεις και έλεγχοι των δραστηριοτήτων επεξεργασίας
• Διαδικασίες αντιμετώπισης περιστατικών και πρωτόκολλα κλιμάκωσης

9. Γνωστοποίηση παραβίασης δεδομένων

Σύμφωνα με τα άρθρα 33 και 34 του ΓΚΠΔ, έχουμε θεσπίσει διαδικασίες αντιμετώπισης παραβιάσεων δεδομένων:

• Εποπτικές αρχές: Θα γνωστοποιούμε στην αρμόδια εποπτική αρχή, μέσα σε 72 ώρες αφότου λάβουμε γνώση, κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα που ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των προσώπων. Για υποκείμενα των δεδομένων στο Ηνωμένο Βασίλειο, αυτή είναι το Information Commissioner’s Office (ICO). Για υποκείμενα των δεδομένων στον Ευρωπαϊκό Οικονομικό Χώρο, είναι η αρμόδια αρχή του σχετικού κράτους μέλους — δεν είμαστε εγκατεστημένοι στην ΕΕ, οπότε η γνωστοποίηση δεν γίνεται μέσω μίας επικεφαλής εποπτικής αρχής.
• Θιγόμενα πρόσωπα: Θα ενημερώνουμε χωρίς αδικαιολόγητη καθυστέρηση τα θιγόμενα υποκείμενα των δεδομένων, όταν μια παραβίαση ενδέχεται να προκαλέσει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες τους.
• Τεκμηρίωση: Κάθε παραβίαση δεδομένων καταγράφεται στο μητρώο παραβιάσεών μας, ανεξάρτητα από τη σοβαρότητά της, μαζί με τα πραγματικά περιστατικά, τις συνέπειες και τα διορθωτικά μέτρα που λήφθηκαν.

10. Επικοινωνία για την προστασία δεδομένων

Δεν έχουμε ορίσει υπεύθυνο προστασίας δεδομένων (ΥΠΔ), και ο ΓΚΠΔ δεν μας υποχρεώνει να ορίσουμε: το άρθρο 37 παράγραφος 1 απαιτεί ΥΠΔ μόνο από δημόσιες αρχές και από υπευθύνους επεξεργασίας που παρακολουθούν πρόσωπα σε μεγάλη κλίμακα ή επεξεργάζονται ειδικές κατηγορίες δεδομένων σε μεγάλη κλίμακα. Για την προστασία δεδομένων είναι υπεύθυνη η διοίκηση της επιχείρησης, η οποία απαντά σε αυτά τα αιτήματα. Μπορείς να επικοινωνήσεις μαζί μας εδώ:

11. Εποπτική αρχή και καταγγελίες

Αν θεωρείς ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που σε αφορούν από εμάς παραβιάζει τη νομοθεσία για την προστασία δεδομένων, έχεις το δικαίωμα να υποβάλεις καταγγελία σε εποπτική αρχή (άρθρο 77). Ποια αρχή είναι αυτή εξαρτάται από το πού βρίσκεσαι εσύ, όχι από το πού βρισκόμαστε εμείς:

11.1 Αν βρίσκεσαι στον Ευρωπαϊκό Οικονομικό Χώρο

Μπορείς να υποβάλεις καταγγελία στην εποπτική αρχή του κράτους μέλους όπου ζεις, όπου εργάζεσαι ή όπου έλαβε χώρα η εικαζόμενη παράβαση. Επειδή είμαστε εγκατεστημένοι στο Ηνωμένο Βασίλειο και όχι στην Ένωση, καμία αρχή δεν ενεργεί ως επικεφαλής εποπτική αρχή για εμάς — αρμόδια είναι η εθνική αρχή της χώρας σου. Στην Ελλάδα αυτή είναι η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), Λεωφ. Κηφισίας 1–3, 115 23 Αθήνα, www.dpa.gr, και στην Κύπρο το Γραφείο Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, Ιάσονος 1, 1082 Λευκωσία, www.dataprotection.gov.cy. Τα τρέχοντα στοιχεία επικοινωνίας κάθε εθνικής αρχής δημοσιεύει το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων:

11.2 Αν βρίσκεσαι στο Ηνωμένο Βασίλειο

Το Information Commissioner’s Office είναι η εποπτική αρχή για το Ηνωμένο Βασίλειο. Τα παρακάτω στοιχεία είναι του ίδιου του ICO — δεν είναι τα δικά μας στοιχεία επικοινωνίας· για να επικοινωνήσεις μαζί μας, δες την ενότητα «Επικοινωνία για την προστασία δεδομένων» παραπάνω.

Η άσκηση αυτού του δικαιώματος δεν σου κοστίζει τίποτα και δεν προϋποθέτει να επικοινωνήσεις πρώτα μαζί μας — προτιμούμε όμως να διορθώσουμε ένα πρόβλημα παρά να χρειαστεί να φτάσεις ως εκεί. Αν μας γράψεις στο privacy@printedin.com, θα σου απαντήσουμε μέσα σε 30 ημέρες.