Σύμβαση Επεξεργασίας Δεδομένων (DPA)

ClassDesk — λογισμικό διαχείρισης φροντιστηρίων · Τελευταία ενημέρωση: 22 Οκτωβρίου 2026

1. Συμβαλλόμενα Μέρη

α) Εκτελών την Επεξεργασία (Processor):

β) Υπεύθυνος Επεξεργασίας (Controller):

Το Φροντιστήριο (επιχείρηση παροχής εκπαιδευτικών υπηρεσιών) που εγγράφεται στην πλατφόρμα ClassDesk με τα στοιχεία που δηλώνει στη φόρμα εγγραφής (επωνυμία, διεύθυνση, ΑΦΜ, στοιχεία διαχειριστή).

Το Φροντιστήριο, καταχωρώντας στοιχεία μαθητών και γονέων στο ClassDesk, δηλώνει ότι ενεργεί ως Υπεύθυνος Επεξεργασίας έναντι αυτών και ότι έχει νόμιμη βάση επεξεργασίας (σύμβαση παροχής εκπαιδευτικών υπηρεσιών, συγκατάθεση γονέα/κηδεμόνα).

2. Αντικείμενο, Διάρκεια & Φύση της Επεξεργασίας

Αντικείμενο: η επεξεργασία προσωπικών δεδομένων με σκοπό την παροχή της Υπηρεσίας ClassDesk (διαχείριση μαθητών, τμημάτων, προγράμματος, παρουσιών, βαθμολογιών, διδάκτρων, ενημερώσεων γονέων, αναφορών, πύλης γονέων και μαθητών, συνομιλίας τμήματος).

Διάρκεια: η DPA ισχύει από την αποδοχή της κατά την εγγραφή και μέχρι τη λήξη της σύμβασης παροχής υπηρεσιών (διαγραφή λογαριασμού του Φροντιστηρίου).

Φύση & Σκοπός: αποθήκευση, ανάκτηση, οργάνωση, εμφάνιση, μετάδοση και διαγραφή δεδομένων μέσω της εφαρμογής cloud-based, αποκλειστικά για την παροχή της Υπηρεσίας προς το Φροντιστήριο.

3. Είδος Δεδομένων & Υποκείμενα

Κατηγορίες δεδομένων που επεξεργάζονται:

• Στοιχεία ταυτοποίησης μαθητών (ονοματεπώνυμο, τάξη, σχολείο, τηλέφωνο, e-mail, ημερομηνία γέννησης).
• Στοιχεία γονέων/κηδεμόνων (ονοματεπώνυμο, τηλέφωνο, e-mail).
• Στοιχεία τμημάτων, προγράμματος, παρουσιών/απουσιών.
• Βαθμολογίες, διαγωνίσματα, σχόλια προόδου.
• Οικονομικά στοιχεία διδάκτρων (χρεώσεις, δόσεις, πληρωμές, υπόλοιπα).
• Στοιχεία προσωπικού του Φροντιστηρίου (καθηγητές, διοικητικό προσωπικό): ονόματα, e-mails, τηλέφωνα, ρόλος, διαθεσιμότητα.
• Στοιχεία λογαριασμών της πύλης γονέων και μαθητών (e-mail σύνδεσης, σύνδεση με την καρτέλα του μαθητή).
• Ασκήσεις που στέλνουν οι μαθητές (φωτογραφίες, αρχεία PDF) και οι διορθώσεις των καθηγητών.
• Μηνύματα της συνομιλίας τμήματος και τα στοιχεία ασφάλειάς της: αναφορές, σιγάσεις, απόκρυψη αποστολέα, αποδοχή κανόνων, φραγή αναφορών, αποδεικτικό σβησμένων μηνυμάτων. Η περιγραφή και οι χρόνοι διατήρησης βρίσκονται στην Πολιτική Απορρήτου (ενότητες 2δ και 5).

Κατηγορίες υποκειμένων: μαθητές (συμπεριλαμβανομένων ανηλίκων, που μπορεί να έχουν και δικό τους λογαριασμό στην πύλη) και γονείς/κηδεμόνες τους, εργαζόμενοι/συνεργάτες του Φροντιστηρίου.

Τεχνικά στοιχεία λειτουργίας: για τη λειτουργία, την ασφάλεια, τη συμβατότητα των εκδόσεων και την υποστήριξη της Υπηρεσίας, το ClassDesk καταγράφει για κάθε λογαριασμό την πλατφόρμα και την έκδοση της εφαρμογής και την πρώτη/τελευταία ημέρα χρήσης. Για αυτά τα ελάχιστα τεχνικά στοιχεία το ClassDesk ενεργεί ως αυτοτελής Υπεύθυνος Επεξεργασίας, όπως περιγράφεται στην Πολιτική Απορρήτου· τα διατηρεί έως 90 ημέρες μετά την τελευταία χρήση και δεν τα χρησιμοποιεί για κανέναν άλλο σκοπό.

4. Υποχρεώσεις του ClassDesk (Εκτελούντος)

Το ClassDesk δεσμεύεται να:

• Επεξεργάζεται τα δεδομένα αποκλειστικά κατόπιν τεκμηριωμένων εντολών του Φροντιστηρίου, εκτός εάν επιβάλλεται διαφορετικά από το ενωσιακό ή ελληνικό δίκαιο.
• Διασφαλίζει ότι το προσωπικό που έχει πρόσβαση στα δεδομένα έχει δεσμευτεί εγγράφως για εμπιστευτικότητα ή υπόκειται σε νόμιμη υποχρέωση εχεμύθειας.
• Λαμβάνει όλα τα απαιτούμενα τεχνικά και οργανωτικά μέτρα ασφαλείας (άρθ. 32 GDPR) — βλ. §6.
• Σέβεται τους όρους περί υπεργολαβιών (sub-processors) — βλ. §7.
• Συνδράμει το Φροντιστήριο στην ικανοποίηση των δικαιωμάτων των υποκειμένων (πρόσβαση, διόρθωση, διαγραφή, φορητότητα κ.λπ.) με τα διαθέσιμα τεχνικά μέσα (export Excel, διαγραφή μαθητή από το UI κ.λπ.).
• Συνδράμει το Φροντιστήριο στις υποχρεώσεις των άρθρων 32–36 GDPR (ασφάλεια, γνωστοποίηση παραβίασης, εκτίμηση αντικτύπου).
• Στη λήξη της σύμβασης, διαγράφει ή επιστρέφει όλα τα προσωπικά δεδομένα στο Φροντιστήριο, σύμφωνα με την §10.
• Παρέχει στο Φροντιστήριο όλες τις πληροφορίες που είναι απαραίτητες για την απόδειξη συμμόρφωσης με τις υποχρεώσεις του άρθρου 28.
• Ενημερώνει αμέσως το Φροντιστήριο εάν, κατά τη γνώμη του, μια εντολή του παραβιάζει τον GDPR ή άλλες διατάξεις.

5. Υποχρεώσεις του Φροντιστηρίου (Υπευθύνου)

Το Φροντιστήριο δεσμεύεται να:

• Εξασφαλίζει νόμιμη βάση επεξεργασίας για κάθε δεδομένο που εισάγει στο ClassDesk (σύμβαση παροχής εκπαιδευτικών υπηρεσιών, συγκατάθεση γονέα/κηδεμόνα για δεδομένα ανηλίκων).
• Δημιουργεί λογαριασμό μαθητή μόνο στο πλαίσιο της σύμβασης με τον γονέα/κηδεμόνα. Για μαθητή κάτω των 15 ετών, μόνο με τη γνώση και τη σύμφωνη γνώμη του προσώπου που ασκεί τη γονική μέριμνα ή την επιμέλεια. Το ClassDesk δεν ελέγχει την ηλικία των μαθητών και δεν ζητά το ίδιο αυτή τη σύμφωνη γνώμη.
• Ορίζει ποιος παρακολουθεί τις αναφορές της συνομιλίας τμήματος και φροντίζει να εξετάζονται έγκαιρα (επαναφορά ή διαγραφή του μηνύματος, σίγαση, κλείσιμο της αναφοράς).
• Παρέχει στους γονείς/κηδεμόνες και μαθητές τις απαιτούμενες ενημερώσεις (άρθ. 13–14 GDPR), συμπεριλαμβανομένης της αναφοράς στο ClassDesk ως Εκτελούντος την Επεξεργασία.
• Διασφαλίζει ότι οι εντολές που δίνει στο ClassDesk είναι σύννομες.
• Διατηρεί ασφαλείς τους κωδικούς πρόσβασης των χρηστών του και ενημερώνει το ClassDesk για τυχόν διαρροή.
• Ικανοποιεί τα αιτήματα των υποκειμένων δεδομένων ως πρωτογενώς υπεύθυνο.

6. Τεχνικά & Οργανωτικά Μέτρα Ασφάλειας (άρθ. 32 GDPR)

Το ClassDesk εφαρμόζει τουλάχιστον τα ακόλουθα μέτρα:

• Κρυπτογράφηση κατά τη μεταφορά: HTTPS/TLS 1.2+ για κάθε επικοινωνία.
• Κρυπτογράφηση κατά την αποθήκευση: encryption at rest στη βάση δεδομένων Supabase (AES-256).
• Πολυεπίπεδη απομόνωση: Row-Level Security (RLS) σε επίπεδο βάσης ώστε κανένα φροντιστήριο να μην έχει πρόσβαση σε δεδομένα άλλου.
• Authentication: ισχυροί κωδικοί (8+ χαρακτήρες, μικρά + ΚΕΦΑΛΑΙΑ + αριθμός).
• Role-based access: διαφοροποιημένα δικαιώματα διαχειριστή / γραμματείας / καθηγητή / γονέα / μαθητή (ο γονέας βλέπει αποκλειστικά τα δεδομένα του δικού του παιδιού· ο μαθητής με δικό του λογαριασμό βλέπει τα δικά του δεδομένα και, στη συνομιλία, μόνο τα κανάλια των τμημάτων και των μαθημάτων που παρακολουθεί).
• Ασφάλεια της συνομιλίας τμήματος: φίλτρο λέξεων στα μηνύματα των μαθητών, αναφορά μηνύματος με αυτόματη απόκρυψη όταν αφορά μήνυμα μαθητή, σίγαση, απόκρυψη αποστολέα, ειδοποιήσεις χωρίς το κείμενο του μηνύματος, και άμεση αφαίρεση του κειμένου σβησμένου μηνύματος από τη συνομιλία, με αποδεικτικό 90 ημερών που βλέπουν μόνο η διεύθυνση του Φροντιστηρίου και ο Διαχειριστής Συστήματος.
• Backups: τακτικά αυτοματοποιημένα backup από τον πάροχο φιλοξενίας (Point-in-Time Recovery).
• Logging & monitoring: καταγραφή συνδέσεων και authentication events από τον πάροχο φιλοξενίας (Supabase), καθώς και πλήρες ιστορικό ειδοποιήσεων (ποιος ενημερώθηκε, πότε, για τι) εντός της εφαρμογής.
• Πρόσβαση Διαχειριστή Συστήματος: Ο Διαχειριστής Συστήματος του ClassDesk (super_admin) διαθέτει τεχνική δυνατότητα πρόσβασης σε δεδομένα όλων των φροντιστηρίων μέσω εξειδικευμένου περιβάλλοντος διαχείρισης και υψηλού επιπέδου δικαιωμάτων στη βάση δεδομένων. Η πρόσβαση χρησιμοποιείται αποκλειστικά για: (α) τεχνική υποστήριξη προς το Φροντιστήριο, (β) επίλυση σφαλμάτων και διαγνωστικά, (γ) αναβαθμίσεις, συντήρηση και ασφαλιστικές ενημερώσεις, (δ) διαχείριση συνδρομής (ενεργοποίηση, παύση, ανανέωση), (ε) ανίχνευση και αντιμετώπιση περιστατικών ασφαλείας, (στ) υποστήριξη του Φροντιστηρίου στην εποπτεία της συνομιλίας τμήματος: ο Διαχειριστής βλέπει τις αναφορές μηνυμάτων, τα μηνύματα που αφορούν και τα αποδεικτικά σβησμένων μηνυμάτων, και λαμβάνει ειδοποίηση push για κάθε νέα αναφορά (χωρίς το κείμενο του μηνύματος), εφόσον έχει ενεργές ειδοποιήσεις, ώστε να βοηθά το Φροντιστήριο να απαντά έγκαιρα. Τεχνικά μπορεί να κάνει στη συνομιλία ό,τι και η διεύθυνση του Φροντιστηρίου (αποστολή μηνύματος, που εμφανίζεται ως «Διεύθυνση», επαναφορά ή διαγραφή μηνύματος, σίγαση μαθητή, κλείδωμα της συνομιλίας, αφαίρεση της δυνατότητας αναφορών). Δεν στέλνει μηνύματα στη συνομιλία και τις υπόλοιπες ενέργειες τις κάνει μόνο με εντολή του Φροντιστηρίου. Με την αποδοχή της παρούσας, το Φροντιστήριο δίνει στο ClassDesk πάγια εντολή, σε επείγουσα περίπτωση που αφορά την ασφάλεια μαθητή, να σβήνει ένα μήνυμα (το κείμενό του μένει στο αποδεικτικό) ή να βάζει σίγαση στον αποστολέα του, και να ενημερώνει αμέσως τη διεύθυνση του Φροντιστηρίου, η οποία αποφασίζει για τη συνέχεια. Ο Διαχειριστής δεσμεύεται από αυστηρή υποχρέωση εμπιστευτικότητας και εχεμύθειας, και δεν χρησιμοποιεί τα δεδομένα για άλλους σκοπούς. Το Φροντιστήριο μπορεί ανά πάσα στιγμή να ζητήσει αναφορά πρόσβασης (access log) μέσω email στο support@deskhub.gr.
• Software updates: τακτικές ενημερώσεις dependencies για κλείσιμο γνωστών ευπαθειών.

7. Υπεργολάβοι Επεξεργασίας (Sub-processors)

Το Φροντιστήριο παρέχει γενική εξουσιοδότηση στο ClassDesk να αναθέτει σε υπεργολάβους τμήματα της επεξεργασίας, υπό τον όρο ότι:

• Κάθε υπεργολάβος δεσμεύεται με αντίστοιχες υποχρεώσεις προστασίας δεδομένων.
• Το ClassDesk παραμένει πλήρως υπεύθυνο έναντι του Φροντιστηρίου για τις πράξεις των υπεργολάβων.
• Το Φροντιστήριο ενημερώνεται για κάθε αλλαγή ή προσθήκη υπεργολάβου με δημοσίευση του επικαιροποιημένου καταλόγου στην παρούσα σελίδα (deskhub.gr/dpa.html), όπου αναγράφεται και η ημερομηνία κατάστασής του. Η προθεσμία των 30 ημερών για έγγραφη αντίρρηση εκκινεί από την ημερομηνία αυτή. Το Φροντιστήριο μπορεί να ζητήσει να ειδοποιείται επιπλέον με e-mail.

Τρέχοντες υπεργολάβοι (κατάσταση 22/10/2026):

8. Διεθνείς Διαβιβάσεις

Όταν δεδομένα διαβιβάζονται εκτός ΕΟΧ, εφαρμόζονται οι Τυποποιημένες Συμβατικές Ρήτρες (Standard Contractual Clauses) της Ευρωπαϊκής Επιτροπής (Εκτελεστική Απόφαση 2021/914) ή άλλες κατάλληλες εγγυήσεις σύμφωνα με το Κεφάλαιο V του GDPR.

9. Παραβίαση Δεδομένων

Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, το ClassDesk θα:

• Ενημερώσει το Φροντιστήριο χωρίς αδικαιολόγητη καθυστέρηση (στόχος εντός 48 ωρών) από τη στιγμή που έλαβε γνώση.
• Παράσχει τις απαραίτητες πληροφορίες ώστε το Φροντιστήριο να εκπληρώσει την υποχρέωσή του προς την ΑΠΔΠΧ (γνωστοποίηση εντός 72 ωρών) και τυχόν ενημέρωσης των υποκειμένων.
• Συνδράμει το Φροντιστήριο στη λήψη μέτρων αντιμετώπισης και μετριασμού.

10. Επιστροφή ή Διαγραφή Δεδομένων

Με τη λήξη της σύμβασης, το Φροντιστήριο μπορεί να επιλέξει:

• Εξαγωγή δεδομένων σε δομημένο μορφότυπο (Excel/CSV) μέσω της ενσωματωμένης λειτουργίας export, πριν τη διαγραφή.
• Διαγραφή όλων των δεδομένων εντός 30 ημερών από τη λήξη — εκτός εάν η νομοθεσία επιβάλλει διαφορετικά (π.χ. τα φορολογικά παραστατικά διατηρούνται όσο ορίζει η ελληνική φορολογική νομοθεσία (κατά κανόνα 5 έτη, έως 10 σε ειδικές περιπτώσεις)).

Backups που περιέχουν δεδομένα του Φροντιστηρίου διαγράφονται κατά τον φυσιολογικό κύκλο rotation των backups (μέγιστο 90 ημέρες).

11. Έλεγχοι & Audits

Το ClassDesk θέτει στη διάθεση του Φροντιστηρίου όλες τις πληροφορίες που είναι απαραίτητες για να αποδεικνύεται η συμμόρφωση με τις υποχρεώσεις του άρθρου 28 GDPR. Το Φροντιστήριο δικαιούται να διενεργήσει επιθεωρήσεις (audits) μία φορά ετησίως, με προειδοποίηση 30 ημερών, σε ώρες γραφείου και χωρίς διατάραξη της παραγωγικής λειτουργίας.

Εναλλακτικά, το ClassDesk μπορεί να παρέχει πιστοποιητικά ασφαλείας τρίτου μέρους (π.χ. SOC 2 του Supabase) ως αποδεικτικά συμμόρφωσης.

12. Ευθύνη

Κάθε μέρος ευθύνεται για τις δικές του παραβάσεις του GDPR και της παρούσας DPA. Η ευθύνη του ClassDesk έναντι του Φροντιστηρίου περιορίζεται όπως ορίζεται στους Όρους Χρήσης. Το Φροντιστήριο παραμένει αποκλειστικά υπεύθυνο για τη νομιμότητα της συλλογής και των εντολών επεξεργασίας που δίνει.

13. Διάρκεια — Λήξη

Η DPA τίθεται σε ισχύ με την αποδοχή της κατά την εγγραφή του Φροντιστηρίου και παραμένει σε ισχύ καθ' όλη τη διάρκεια της παροχής της Υπηρεσίας. Με τη λήξη της σύμβασης παροχής υπηρεσιών, λύεται και η DPA — εξαιρουμένων των διατάξεων που εκ φύσεως διατηρούν την ισχύ τους (εμπιστευτικότητα, ευθύνη).

14. Λοιπές Διατάξεις

Η παρούσα DPA διέπεται από το ελληνικό δίκαιο. Για κάθε διαφορά αρμόδια ορίζονται τα Δικαστήρια Θεσσαλονίκης. Σε περίπτωση σύγκρουσης μεταξύ της DPA και των Όρων Χρήσης σε θέματα προστασίας δεδομένων, υπερισχύει η DPA.

Η ηλεκτρονική αποδοχή της παρούσας μέσω της φόρμας εγγραφής (tickbox) ισοδυναμεί με γραπτή σύμβαση κατά την έννοια του άρθ. 28(9) GDPR.