Συμμόρφωση GDPR & Σύμβαση Εκτελούντος την Επεξεργασία

Στο πλαίσιο του GDPR, η επεξεργασία δεδομένων στο EduCore αφορά δύο ρόλους: το φροντιστήριο που καθορίζει γιατί και πώς επεξεργάζονται τα δεδομένα των μαθητών και κηδεμόνων του (Υπεύθυνος Επεξεργασίας / Controller) και την EduCore που παρέχει το λογισμικό και επεξεργάζεται τα δεδομένα αποκλειστικά κατ' εντολή του φροντιστηρίου (Εκτελών την Επεξεργασία / Processor). Το παρόν κείμενο λειτουργεί ως Σύμβαση Εκτελούντος την Επεξεργασία (Data Processing Agreement) κατά την έννοια του άρθρου 28 GDPR και συμπληρώνει τους Όρους Χρήσης.

Τα δικαιώματά σας ως υποκείμενο των δεδομένων

Κάθε φυσικό πρόσωπο του οποίου τα δεδομένα τηρούνται στο EduCore (μαθητής, κηδεμόνας, καθηγητής, χρήστης) διατηρεί, σύμφωνα με τα άρθρα 15–22 GDPR, τα ακόλουθα δικαιώματα:

• Δικαίωμα πρόσβασης — να ενημερωθείτε ποια δεδομένα σας τηρούνται και για ποιον σκοπό.
• Δικαίωμα διόρθωσης — να ζητήσετε τη διόρθωση ανακριβών ή τη συμπλήρωση ελλιπών δεδομένων.
• Δικαίωμα διαγραφής («δικαίωμα στη λήθη») — να ζητήσετε τη διαγραφή των δεδομένων σας, εφόσον δεν υφίσταται νόμιμος λόγος διατήρησής τους.
• Δικαίωμα περιορισμού της επεξεργασίας υπό ορισμένες προϋποθέσεις.
• Δικαίωμα φορητότητας — να λάβετε τα δεδομένα σας σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανήματα μορφότυπο.
• Δικαίωμα εναντίωσης στην επεξεργασία που βασίζεται σε έννομο συμφέρον ή σε σκοπούς άμεσης εμπορικής προώθησης.
• Δικαίωμα ανάκλησης της συγκατάθεσης ανά πάσα στιγμή, χωρίς να θίγεται η νομιμότητα της επεξεργασίας που προηγήθηκε της ανάκλησης.

Δεδομένου ότι Υπεύθυνος Επεξεργασίας των δεδομένων σας είναι το φροντιστήριο, τα ως άνω αιτήματα υποβάλλονται κατ' αρχήν απευθείας στο φροντιστήριο. Η EduCore, ως Εκτελών, υποστηρίζει το φροντιστήριο στην ικανοποίηση των αιτημάτων αυτών (βλ. ενότητα 12).

1. Αντικείμενο & Πεδίο Εφαρμογής

Η παρούσα Σύμβαση ρυθμίζει την επεξεργασία προσωπικών δεδομένων που πραγματοποιεί η EduCore για λογαριασμό του φροντιστηρίου κατά την παροχή των υπηρεσιών της πλατφόρμας (διαχείριση μαθητών, κηδεμόνων, καθηγητών, προγράμματος, παρουσιών, πληρωμών, επικοινωνίας και σχετικών λειτουργιών). Εφαρμόζεται σε κάθε επεξεργασία δεδομένων που καταχωρούνται ή δημιουργούνται μέσω της πλατφόρμας και δεσμεύει αμφότερα τα Μέρη καθ' όλη τη διάρκεια της συνεργασίας.

2. Ρόλοι των Μερών

Για την αποφυγή αμφιβολιών, οι ρόλοι των Μερών ορίζονται ως εξής:

• Φροντιστήριο — Υπεύθυνος Επεξεργασίας (Controller): καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας, αποφασίζει ποια δεδομένα καταχωρεί και εξασφαλίζει τη νόμιμη βάση επεξεργασίας (π.χ. εκτέλεση σύμβασης, συγκατάθεση, έννομο συμφέρον).
• EduCore — Εκτελών την Επεξεργασία (Processor): επεξεργάζεται τα δεδομένα αποκλειστικά βάσει των τεκμηριωμένων εντολών του φροντιστηρίου και δεν τα χρησιμοποιεί για δικούς της σκοπούς.

Η EduCore δεν πωλεί, δεν ενοικιάζει και δεν αξιοποιεί εμπορικά τα δεδομένα των φροντιστηρίων.

3. Διάρκεια της Επεξεργασίας

Η επεξεργασία διαρκεί όσο ισχύει η συνδρομητική σχέση μεταξύ του φροντιστηρίου και της EduCore. Μετά τη λήξη της, τα δεδομένα διατηρούνται μόνο για το διάστημα που απαιτείται για την επιστροφή ή διαγραφή τους (βλ. ενότητα 15) ή για τη συμμόρφωση με νομικές υποχρεώσεις του φροντιστηρίου.

4. Φύση & Σκοπός της Επεξεργασίας

Η επεξεργασία περιλαμβάνει τη συλλογή, καταχώρηση, αποθήκευση, οργάνωση, ανάκτηση, εμφάνιση, τροποποίηση και διαγραφή δεδομένων, με σκοπό τη λειτουργική υποστήριξη του φροντιστηρίου: εγγραφές και διαχείριση μαθητών, οργάνωση τμημάτων και ωρολογίου προγράμματος, καταγραφή παρουσιών και βαθμολογιών, διαχείριση διδάκτρων και πληρωμών, επικοινωνία με κηδεμόνες, καθώς και συναφείς εκπαιδευτικές και διοικητικές εργασίες.

5. Κατηγορίες Δεδομένων & Υποκειμένων

Τα υποκείμενα των δεδομένων περιλαμβάνουν:

• Μαθητές — στοιχεία ταυτότητας & επικοινωνίας, εκπαιδευτικά στοιχεία (τμήματα, παρουσίες, βαθμοί), οικονομικά (δίδακτρα).
• Κηδεμόνες / Γονείς — στοιχεία ταυτότητας & επικοινωνίας, οικονομικά στοιχεία που σχετίζονται με πληρωμές.
• Καθηγητές & προσωπικό — στοιχεία ταυτότητας & επικοινωνίας, στοιχεία απασχόλησης/ωραρίου, στοιχεία αμοιβής.
• Χρήστες της πλατφόρμας — στοιχεία λογαριασμού και πρόσβασης.

6. Υποχρεώσεις του Φροντιστηρίου (ως Υπευθύνου)

• Να διασφαλίζει νόμιμη βάση επεξεργασίας για κάθε κατηγορία δεδομένων που καταχωρεί, συμπεριλαμβανομένης της γονικής συγκατάθεσης για ανηλίκους.
• Να ενημερώνει τα υποκείμενα (μαθητές/κηδεμόνες/καθηγητές) για την επεξεργασία των δεδομένων τους.
• Να καταχωρεί μόνο δεδομένα αναγκαία για τους δηλωμένους σκοπούς (αρχή ελαχιστοποίησης).
• Να διαχειρίζεται τα δικαιώματα των υποκειμένων και να παρέχει στην EduCore σαφείς εντολές όπου απαιτείται.
• Να τηρεί ασφαλή τα διαπιστευτήρια πρόσβασης των χρηστών του και να αποδίδει ρόλους βάσει της αρχής της αναγκαιότητας.

7. Υποχρεώσεις της EduCore (ως Εκτελούντος)

• Να επεξεργάζεται τα δεδομένα μόνο βάσει των τεκμηριωμένων εντολών του φροντιστηρίου.
• Να εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα ασφάλειας (ενότητα 9).
• Να διασφαλίζει ότι τα πρόσωπα που επεξεργάζονται δεδομένα δεσμεύονται από εμπιστευτικότητα.
• Να συνδράμει το φροντιστήριο στην ανταπόκριση σε αιτήματα υποκειμένων και στις υποχρεώσεις ασφάλειας/γνωστοποίησης.
• Να ειδοποιεί το φροντιστήριο σε περίπτωση παραβίασης δεδομένων (ενότητα 13).
• Να διαγράφει ή να επιστρέφει τα δεδομένα κατά τη λήξη της συνεργασίας (ενότητα 15).

8. Εμπιστευτικότητα

Η EduCore διασφαλίζει ότι κάθε πρόσωπο εξουσιοδοτημένο να επεξεργάζεται τα δεδομένα δεσμεύεται από υποχρέωση εμπιστευτικότητας και έχει πρόσβαση μόνο στα δεδομένα που είναι απαραίτητα για τα καθήκοντά του. Η πρόσβαση στην πλατφόρμα ελέγχεται ανά ρόλο.

9. Τεχνικά & Οργανωτικά Μέτρα Ασφάλειας (άρθρο 32)

Η EduCore εφαρμόζει, με βάση την κατάσταση της τεχνολογίας και τη φύση των δεδομένων, μέτρα όπως:

• Πλήρης απομόνωση δεδομένων ανά φροντιστήριο (πολυμισθωτική/multi-tenant αρχιτεκτονική) — τα δεδομένα κάθε φροντιστηρίου είναι διακριτά και δεν αναμειγνύονται με άλλα.
• Κρυπτογράφηση ευαίσθητων πεδίων (π.χ. ΑΦΜ, ΑΜΚΑ) με αλγόριθμο AES-256.
• Έλεγχος πρόσβασης ανά ρόλο (role-based access control), ώστε κάθε χρήστης να βλέπει μόνο ό,τι του αναλογεί.
• Καταγραφή ενεργειών (audit log) για τις κρίσιμες μεταβολές δεδομένων.
• Ήπια διαγραφή (soft-delete) κρίσιμων εγγραφών, ώστε να αποφεύγεται η ακούσια απώλεια δεδομένων.
• Κρυπτογραφημένη μεταφορά δεδομένων μέσω HTTPS/TLS.

10. Υποεκτελούντες (Sub-processors)

Για την παροχή των υπηρεσιών, η EduCore αξιοποιεί περιορισμένο αριθμό αξιόπιστων υποεκτελούντων, οι οποίοι δεσμεύονται από ισοδύναμες υποχρεώσεις προστασίας δεδομένων:

• Πάροχος φιλοξενίας (hosting): Papaki — υποδομές εντός Ευρωπαϊκής Ένωσης.
• Υπηρεσία αποστολής email (SMTP): Papaki.
• Υπηρεσίες τεχνητής νοημοσύνης: OpenAI, L.L.C. (ΗΠΑ) — αποκλειστικά για τις προαιρετικές λειτουργίες AI (βοηθός οδηγιών, προτάσεις κατάταξης προγράμματος, προτάσεις απαντήσεων σε κριτικές). Διαβιβάζονται μόνο τα ελάχιστα αναγκαία: ερωτήσεις των χρηστών-προσωπικού και ψευδωνυμοποιημένα δεδομένα προγράμματος (κωδικοί αντί ονομάτων). Προσωπικά δεδομένα μαθητών και κηδεμόνων (ονόματα, τηλέφωνα, email, ΑΦΜ, ΑΜΚΑ) δεν αποστέλλονται ποτέ — ο σχεδιασμός των λειτουργιών το αποκλείει. Βάσει των όρων του OpenAI API, τα δεδομένα δεν χρησιμοποιούνται για εκπαίδευση μοντέλων.

Οι προαιρετικές διασυνδέσεις που ενεργοποιεί το ίδιο το φροντιστήριο με δικούς του λογαριασμούς και διαπιστευτήρια (π.χ. πάροχοι SMS, πύλες πληρωμών, myDATA/ΑΑΔΕ) λειτουργούν ως εκτελούντες ή αποδέκτες του φροντιστηρίου και δεν αποτελούν υποεκτελούντες της EduCore.

Το φροντιστήριο, με την αποδοχή της παρούσας, παρέχει γενική εξουσιοδότηση για τη χρήση των ως άνω υποεκτελούντων. Σε περίπτωση προσθήκης ή αντικατάστασης υποεκτελούντος, η EduCore θα ενημερώνει το φροντιστήριο εγκαίρως ώστε να μπορεί να ασκήσει τυχόν αντιρρήσεις.

11. Διεθνείς Διαβιβάσεις

Η φιλοξενία και η κύρια επεξεργασία των δεδομένων πραγματοποιείται εντός της Ευρωπαϊκής Ένωσης.

Εξαίρεση — λειτουργίες AI: κατά τη χρήση των προαιρετικών λειτουργιών τεχνητής νοημοσύνης (βλ. ενότητα 10), τα ελάχιστα αναγκαία δεδομένα (ερωτήσεις προσωπικού, ψευδωνυμοποιημένα δεδομένα προγράμματος — ποτέ προσωπικά δεδομένα μαθητών/κηδεμόνων) διαβιβάζονται στην OpenAI, L.L.C. στις ΗΠΑ. Η διαβίβαση πραγματοποιείται με τις κατάλληλες εγγυήσεις του κεφαλαίου V GDPR (συμμετοχή της OpenAI στο EU-U.S. Data Privacy Framework και/ή τυποποιημένες συμβατικές ρήτρες μέσω του Data Processing Addendum της OpenAI), σε συνδυασμό με την ελαχιστοποίηση και ψευδωνυμοποίηση που περιγράφεται ανωτέρω. Κάθε άλλη μελλοντική διαβίβαση εκτός ΕΕ/ΕΟΧ θα γίνεται μόνο με ισοδύναμες εγγυήσεις και κατόπιν ενημέρωσης του φροντιστηρίου.

12. Υποστήριξη σε Αιτήματα Δικαιωμάτων Υποκειμένων

Όταν ένα υποκείμενο ασκεί τα δικαιώματά του (πρόσβαση, διόρθωση, διαγραφή, φορητότητα κ.λπ.), το αίτημα απευθύνεται στο φροντιστήριο ως Υπεύθυνο. Η EduCore παρέχει τα τεχνικά εργαλεία και εύλογη συνδρομή ώστε το φροντιστήριο να ανταποκριθεί εντός των προθεσμιών του GDPR. Η EduCore δεν ανταποκρίνεται απευθείας σε τέτοια αιτήματα χωρίς εντολή του φροντιστηρίου, εκτός αν επιβάλλεται από τον νόμο.

13. Παραβίαση Δεδομένων

Σε περίπτωση που η EduCore αντιληφθεί παραβίαση προσωπικών δεδομένων (personal data breach), ειδοποιεί το επηρεαζόμενο φροντιστήριο χωρίς αδικαιολόγητη καθυστέρηση και κατά το δυνατόν εντός 72 ωρών από τη διαπίστωσή της, παρέχοντας τις διαθέσιμες πληροφορίες για τη φύση και την έκταση του περιστατικού. Η ενημέρωση της Αρχής και των υποκειμένων, όπου απαιτείται, αποτελεί ευθύνη του φροντιστηρίου ως Υπευθύνου, με τη συνδρομή της EduCore.

14. Έλεγχοι & Συμμόρφωση

Η EduCore θέτει στη διάθεση του φροντιστηρίου τις πληροφορίες που είναι εύλογα αναγκαίες για την απόδειξη της συμμόρφωσης με τις υποχρεώσεις του άρθρου 28 GDPR. Τυχόν έλεγχοι διενεργούνται κατόπιν εύλογης προειδοποίησης, εντός ωραρίου λειτουργίας και με τρόπο που δεν διαταράσσει τη λειτουργία των υπηρεσιών ή την ασφάλεια δεδομένων άλλων φροντιστηρίων.

15. Επιστροφή & Διαγραφή Δεδομένων

Κατά τη λήξη της συνεργασίας, και κατόπιν αιτήματος του φροντιστηρίου, η EduCore επιστρέφει τα δεδομένα σε κοινώς χρησιμοποιούμενο μορφότυπο ή/και τα διαγράφει με ασφάλεια, εκτός εάν η διατήρησή τους επιβάλλεται από τον νόμο. Το φροντιστήριο μπορεί επίσης να εξάγει δεδομένα μέσω των δυνατοτήτων εξαγωγής της πλατφόρμας.

16. Ειδικές / Ευαίσθητες Κατηγορίες Δεδομένων (άρθρο 9)

Η πλατφόρμα δεν προορίζεται για συστηματική επεξεργασία ειδικών κατηγοριών δεδομένων (π.χ. δεδομένα υγείας). Εάν το φροντιστήριο επιλέξει να καταχωρήσει τέτοια δεδομένα (π.χ. σημειώσεις για μαθησιακές ιδιαιτερότητες), φέρει την αποκλειστική ευθύνη εξασφάλισης της αυξημένης νόμιμης βάσης του άρθρου 9 GDPR (π.χ. ρητή συγκατάθεση) και της αναγκαιότητας της επεξεργασίας.

17. Σχέση με τους Όρους Χρήσης

Η παρούσα Σύμβαση αποτελεί αναπόσπαστο τμήμα των Όρων Χρήσης της EduCore. Σε περίπτωση αντίφασης ως προς ζητήματα προστασίας δεδομένων, υπερισχύει το παρόν κείμενο. Δείτε επίσης την Πολιτική Cookies.

18. Εφαρμοστέο Δίκαιο & Δικαιοδοσία

Η παρούσα Σύμβαση διέπεται από το ελληνικό δίκαιο και τον GDPR. Για κάθε διαφορά που τυχόν προκύψει αρμόδια είναι τα δικαστήρια της έδρας της EduCore, με την επιφύλαξη τυχόν αναγκαστικού δικαίου υπέρ των καταναλωτών ή των υποκειμένων των δεδομένων.

19. Επικοινωνία

Για κάθε ερώτημα σχετικά με την παρούσα Σύμβαση ή την προστασία δεδομένων στο EduCore, μπορείτε να επικοινωνήσετε στο info@educore.gr. Για αιτήματα που αφορούν τα δικαιώματά σας ως υποκειμένου, απευθυνθείτε πρωτίστως στο φροντιστήριό σας ως Υπεύθυνο Επεξεργασίας.

Το παρόν κείμενο έχει ενημερωτικό χαρακτήρα και δεν υποκαθιστά εξατομικευμένη νομική συμβουλή. Τα πεδία εντός αγκυλών «[ ]» συμπληρώνονται από τα επίσημα στοιχεία της εταιρείας.