Απόρρητο

ΠΟΛΙΤΙΚΗ ΕΠΕΞΕΡΓΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ (

1. Ρόλοι των μερών

Ο Φορέας  ΕΛΛΗΝΙΚΟ ΙΝΣΤΙΤΟΥΤΟ ΓΥΝΑΙΚΕΣ ΣΤΗΝ ΚΑΡΔΙΟΛΟΓΙΑ ενεργεί ως Υπεύθυνος Επεξεργασίας (Controller) και η EVENTURE ως Εκτελών την Επεξεργασία (Processor) για τα προσωπικά δεδομένα που επεξεργάζεται στο πλαίσιο της ηλεκτρονικής δημοπρασίας. Ο Processor επεξεργάζεται τα δεδομένα αποκλειστικά για λογαριασμό και σύμφωνα με τεκμηριωμένες οδηγίες του Controller.

2. Αντικείμενο, διάρκεια και σκοπός

Η επεξεργασία αφορά την εγγραφή και διαχείριση συμμετεχόντων, τη διενέργεια της δημοπρασίας, την επικοινωνία με πλειοδότες, τη διεκπεραίωση πληρωμών, την έκδοση/υποστήριξη φορολογικών παραστατικών, την ολοκλήρωση παραδόσεων και την τήρηση των αναγκαίων αρχείων για όσο διάστημα απαιτείται από το παρόν, την εφαρμοστέα νομοθεσία ή τεκμηριωμένη οδηγία του Controller.

3. Κατηγορίες δεδομένων και υποκειμένων

Ενδέχεται να υποβάλλονται σε επεξεργασία στοιχεία ταυτοποίησης και επικοινωνίας, στοιχεία λογαριασμού χρήστη, στοιχεία συναλλαγής και παραγγελίας, στοιχεία πληρωμής που είναι αναγκαία για τη συναλλαγή, τεχνικά/λογιστικά στοιχεία χρήσης και στοιχεία που απαιτούνται για την υποστήριξη πελατών. Υποκείμενα είναι ιδίως συμμετέχοντες, πλειοδότες και αγοραστές της δημοπρασίας.

4. Εμπιστευτικότητα και εξουσιοδοτημένο προσωπικό

Ο Processor διασφαλίζει ότι τα πρόσωπα που έχουν πρόσβαση στα δεδομένα δεσμεύονται από υποχρέωση εμπιστευτικότητας και έχουν πρόσβαση μόνο στον βαθμό που απαιτείται για την εκτέλεση των υπηρεσιών.

5. Ασφάλεια επεξεργασίας

Ο Processor λαμβάνει κατάλληλα τεχνικά και οργανωτικά μέτρα, λαμβανομένης υπόψη της φύσης των δεδομένων και των κινδύνων, για την προστασία από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, μη εξουσιοδοτημένη αποκάλυψη ή πρόσβαση. Τα μέτρα περιλαμβάνουν, όπου ενδείκνυται, έλεγχο πρόσβασης, ισχυρή αυθεντικοποίηση, κρυπτογράφηση κατά τη διαβίβαση, καταγραφή ενεργειών, ασφαλή αντίγραφα και διαδικασίες ανάκτησης.

6. Sub-processors

Ο Processor δύναται να χρησιμοποιεί παρόχους auction platform, hosting, cloud, email/SMS, analytics που είναι απολύτως αναγκαία για την υπηρεσία και payment service providers ως sub-processors. Ο Processor επιβάλλει στους sub-processors συμβατικές υποχρεώσεις προστασίας δεδομένων ουσιωδώς αντίστοιχες με τις προβλεπόμενες στο παρόν και εξακολουθεί να ευθύνεται έναντι του Controller για τη συμμόρφωση των sub-processors με τις υποχρεώσεις που τους ανατίθενται, στον βαθμό που απαιτείται από τον GDPR.

7. Δικαιώματα υποκειμένων

Ο Processor συνδράμει τον Controller, στο μέτρο του ευλόγως δυνατού και λαμβάνοντας υπόψη τη φύση της επεξεργασίας, ώστε ο Controller να ανταποκρίνεται σε αιτήματα άσκησης δικαιωμάτων των υποκειμένων. Ο Processor διαβιβάζει χωρίς αδικαιολόγητη καθυστέρηση στον Controller κάθε σχετικό αίτημα που λαμβάνει και δεν απαντά επί της ουσίας εκτός εάν έχει σχετική εντολή ή υποχρέωση από τον νόμο.

8. Παραβίαση προσωπικών δεδομένων

Ο Processor ενημερώνει τον Controller χωρίς αδικαιολόγητη καθυστέρηση μόλις αντιληφθεί περιστατικό παραβίασης προσωπικών δεδομένων που αφορά δεδομένα τα οποία επεξεργάζεται για λογαριασμό του Controller και παρέχει τις διαθέσιμες πληροφορίες που είναι αναγκαίες για τη διαχείριση και, όπου απαιτείται, τη γνωστοποίηση του περιστατικού.

9. Διεθνείς διαβιβάσεις

Ο Processor δεν διαβιβάζει προσωπικά δεδομένα εκτός Ευρωπαϊκού Οικονομικού Χώρου χωρίς να διασφαλίζεται κατάλληλος μηχανισμός διαβίβασης σύμφωνα με τον GDPR. Όπου χρησιμοποιούνται πάροχοι με επεξεργασία εκτός ΕΟΚ, θα εφαρμόζονται οι κατάλληλες εγγυήσεις και θα ενημερώνεται ο Controller σύμφωνα με το εφαρμοστέο πλαίσιο.

10. Υποστήριξη σε κανονιστικές υποχρεώσεις

Ο Processor παρέχει στον Controller τις πληροφορίες που είναι εύλογα αναγκαίες για την απόδειξη συμμόρφωσης με τις υποχρεώσεις του άρθρου 28 GDPR και συνδράμει, όπου απαιτείται και στον εύλογο βαθμό, σε ελέγχους ή ερωτήματα αρμόδιων αρχών.

11. Επιστροφή ή διαγραφή δεδομένων

Με τη λήξη των υπηρεσιών ο Processor επιστρέφει ή διαγράφει τα προσωπικά δεδομένα, σύμφωνα με την επιλογή του Controller, εκτός εάν η διατήρηση επιβάλλεται από το εφαρμοστέο δίκαιο. Τα δεδομένα που πρέπει να διατηρηθούν για νόμιμη υποχρέωση περιορίζονται στον αναγκαίο σκοπό και προστατεύονται έως τη λήξη της νόμιμης περιόδου τήρησης.

12. Έλεγχοι

Ο Controller δύναται, κατόπιν εύλογης προηγούμενης ειδοποίησης και κατά τρόπο που δεν διαταράσσει αδικαιολόγητα τη λειτουργία του Processor ή τρίτων παρόχων, να ζητά πληροφορίες σχετικές με τη συμμόρφωση του Processor με το παρόν και τον GDPR. Ο Processor δύναται να ικανοποιεί το αίτημα μέσω διαθέσιμων πιστοποιήσεων, ελέγχων ή άλλων κατάλληλων αποδεικτικών στοιχείων.