Σύμβαση Επεξεργασίας Δεδομένων (DPA)

ClassDesk — λογισμικό διαχείρισης φροντιστηρίων · Τελευταία ενημέρωση: 3 Ιουλίου 2026

1. Συμβαλλόμενα Μέρη

α) Εκτελών την Επεξεργασία (Processor):

β) Υπεύθυνος Επεξεργασίας (Controller):

Το Φροντιστήριο (επιχείρηση παροχής εκπαιδευτικών υπηρεσιών) που εγγράφεται στην πλατφόρμα ClassDesk με τα στοιχεία που δηλώνει στη φόρμα εγγραφής (επωνυμία, διεύθυνση, ΑΦΜ, στοιχεία διαχειριστή).

Το Φροντιστήριο, καταχωρώντας στοιχεία μαθητών και γονέων στο ClassDesk, δηλώνει ότι ενεργεί ως Υπεύθυνος Επεξεργασίας έναντι αυτών και ότι έχει νόμιμη βάση επεξεργασίας (σύμβαση παροχής εκπαιδευτικών υπηρεσιών, συγκατάθεση γονέα/κηδεμόνα).

2. Αντικείμενο, Διάρκεια & Φύση της Επεξεργασίας

Αντικείμενο: η επεξεργασία προσωπικών δεδομένων με σκοπό την παροχή της Υπηρεσίας ClassDesk (διαχείριση μαθητών, τμημάτων, προγράμματος, παρουσιών, βαθμολογιών, διδάκτρων, ενημερώσεων γονέων, αναφορών).

Διάρκεια: η DPA ισχύει από την αποδοχή της κατά την εγγραφή και μέχρι τη λήξη της σύμβασης παροχής υπηρεσιών (διαγραφή λογαριασμού του Φροντιστηρίου).

Φύση & Σκοπός: αποθήκευση, ανάκτηση, οργάνωση, εμφάνιση, μετάδοση και διαγραφή δεδομένων μέσω της εφαρμογής cloud-based, αποκλειστικά για την παροχή της Υπηρεσίας προς το Φροντιστήριο.

3. Είδος Δεδομένων & Υποκείμενα

Κατηγορίες δεδομένων που επεξεργάζονται:

• Στοιχεία ταυτοποίησης μαθητών (ονοματεπώνυμο, τάξη, σχολείο, τηλέφωνο, e-mail, ημερομηνία γέννησης).
• Στοιχεία γονέων/κηδεμόνων (ονοματεπώνυμο, τηλέφωνο, e-mail).
• Στοιχεία τμημάτων, προγράμματος, παρουσιών/απουσιών.
• Βαθμολογίες, διαγωνίσματα, σχόλια προόδου.
• Οικονομικά στοιχεία διδάκτρων (χρεώσεις, δόσεις, πληρωμές, υπόλοιπα).
• Στοιχεία προσωπικού του Φροντιστηρίου (καθηγητές, διοικητικό προσωπικό): ονόματα, e-mails, τηλέφωνα, ρόλος, διαθεσιμότητα.

Κατηγορίες υποκειμένων: μαθητές (συμπεριλαμβανομένων ανηλίκων) και γονείς/κηδεμόνες τους, εργαζόμενοι/συνεργάτες του Φροντιστηρίου.

4. Υποχρεώσεις του ClassDesk (Εκτελούντος)

Το ClassDesk δεσμεύεται να:

• Επεξεργάζεται τα δεδομένα αποκλειστικά κατόπιν τεκμηριωμένων εντολών του Φροντιστηρίου, εκτός εάν επιβάλλεται διαφορετικά από το ενωσιακό ή ελληνικό δίκαιο.
• Διασφαλίζει ότι το προσωπικό που έχει πρόσβαση στα δεδομένα έχει δεσμευτεί εγγράφως για εμπιστευτικότητα ή υπόκειται σε νόμιμη υποχρέωση εχεμύθειας.
• Λαμβάνει όλα τα απαιτούμενα τεχνικά και οργανωτικά μέτρα ασφαλείας (άρθ. 32 GDPR) — βλ. §6.
• Σέβεται τους όρους περί υπεργολαβιών (sub-processors) — βλ. §7.
• Συνδράμει το Φροντιστήριο στην ικανοποίηση των δικαιωμάτων των υποκειμένων (πρόσβαση, διόρθωση, διαγραφή, φορητότητα κ.λπ.) με τα διαθέσιμα τεχνικά μέσα (export Excel, διαγραφή μαθητή από το UI κ.λπ.).
• Συνδράμει το Φροντιστήριο στις υποχρεώσεις των άρθρων 32–36 GDPR (ασφάλεια, γνωστοποίηση παραβίασης, εκτίμηση αντικτύπου).
• Στη λήξη της σύμβασης, διαγράφει ή επιστρέφει όλα τα προσωπικά δεδομένα στο Φροντιστήριο, σύμφωνα με την §10.
• Παρέχει στο Φροντιστήριο όλες τις πληροφορίες που είναι απαραίτητες για την απόδειξη συμμόρφωσης με τις υποχρεώσεις του άρθρου 28.
• Ενημερώνει αμέσως το Φροντιστήριο εάν, κατά τη γνώμη του, μια εντολή του παραβιάζει τον GDPR ή άλλες διατάξεις.

5. Υποχρεώσεις του Φροντιστηρίου (Υπευθύνου)

Το Φροντιστήριο δεσμεύεται να:

• Εξασφαλίζει νόμιμη βάση επεξεργασίας για κάθε δεδομένο που εισάγει στο ClassDesk (σύμβαση παροχής εκπαιδευτικών υπηρεσιών, συγκατάθεση γονέα/κηδεμόνα για δεδομένα ανηλίκων).
• Παρέχει στους γονείς/κηδεμόνες και μαθητές τις απαιτούμενες ενημερώσεις (άρθ. 13–14 GDPR), συμπεριλαμβανομένης της αναφοράς στο ClassDesk ως Εκτελούντος την Επεξεργασία.
• Διασφαλίζει ότι οι εντολές που δίνει στο ClassDesk είναι σύννομες.
• Διατηρεί ασφαλείς τους κωδικούς πρόσβασης των χρηστών του και ενημερώνει το ClassDesk για τυχόν διαρροή.
• Ικανοποιεί τα αιτήματα των υποκειμένων δεδομένων ως πρωτογενώς υπεύθυνο.

6. Τεχνικά & Οργανωτικά Μέτρα Ασφάλειας (άρθ. 32 GDPR)

Το ClassDesk εφαρμόζει τουλάχιστον τα ακόλουθα μέτρα:

• Κρυπτογράφηση κατά τη μεταφορά: HTTPS/TLS 1.2+ για κάθε επικοινωνία.
• Κρυπτογράφηση κατά την αποθήκευση: encryption at rest στη βάση δεδομένων Supabase (AES-256).
• Πολυεπίπεδη απομόνωση: Row-Level Security (RLS) σε επίπεδο βάσης ώστε κανένα φροντιστήριο να μην έχει πρόσβαση σε δεδομένα άλλου.
• Authentication: ισχυροί κωδικοί (8+ χαρακτήρες, μικρά + ΚΕΦΑΛΑΙΑ + αριθμός).
• Role-based access: διαφοροποιημένα δικαιώματα διαχειριστή / καθηγητή / γονέα (ο γονέας βλέπει αποκλειστικά τα δεδομένα του δικού του παιδιού, read-only).
• Backups: τακτικά αυτοματοποιημένα backup από τον πάροχο φιλοξενίας (Point-in-Time Recovery).
• Logging & monitoring: καταγραφή συνδέσεων και authentication events από τον πάροχο φιλοξενίας (Supabase), καθώς και πλήρες ιστορικό ειδοποιήσεων (ποιος ενημερώθηκε, πότε, για τι) εντός της εφαρμογής.
• Πρόσβαση Διαχειριστή Συστήματος: Ο Διαχειριστής Συστήματος του ClassDesk (super_admin) διαθέτει τεχνική δυνατότητα πρόσβασης σε δεδομένα όλων των φροντιστηρίων μέσω εξειδικευμένου περιβάλλοντος διαχείρισης και υψηλού επιπέδου δικαιωμάτων στη βάση δεδομένων. Η πρόσβαση χρησιμοποιείται αποκλειστικά για: (α) τεχνική υποστήριξη προς το Φροντιστήριο, (β) επίλυση σφαλμάτων και διαγνωστικά, (γ) αναβαθμίσεις, συντήρηση και ασφαλιστικές ενημερώσεις, (δ) διαχείριση συνδρομής (ενεργοποίηση, παύση, ανανέωση), (ε) ανίχνευση και αντιμετώπιση περιστατικών ασφαλείας. Ο Διαχειριστής δεσμεύεται από αυστηρή υποχρέωση εμπιστευτικότητας και εχεμύθειας, και δεν χρησιμοποιεί τα δεδομένα για άλλους σκοπούς. Το Φροντιστήριο μπορεί ανά πάσα στιγμή να ζητήσει αναφορά πρόσβασης (access log) μέσω email στο support@deskhub.gr.
• Software updates: τακτικές ενημερώσεις dependencies για κλείσιμο γνωστών ευπαθειών.

7. Υπεργολάβοι Επεξεργασίας (Sub-processors)

Το Φροντιστήριο παρέχει γενική εξουσιοδότηση στο ClassDesk να αναθέτει σε υπεργολάβους τμήματα της επεξεργασίας, υπό τον όρο ότι:

• Κάθε υπεργολάβος δεσμεύεται με αντίστοιχες υποχρεώσεις προστασίας δεδομένων.
• Το ClassDesk παραμένει πλήρως υπεύθυνο έναντι του Φροντιστηρίου για τις πράξεις των υπεργολάβων.
• Το Φροντιστήριο ενημερώνεται με προειδοποίηση τουλάχιστον 30 ημερών για κάθε αλλαγή/προσθήκη υπεργολάβου και έχει δικαίωμα έγγραφης αντίρρησης.

Τρέχοντες υπεργολάβοι (κατάσταση 3/7/2026):

8. Διεθνείς Διαβιβάσεις

Όταν δεδομένα διαβιβάζονται εκτός ΕΟΧ, εφαρμόζονται οι Τυποποιημένες Συμβατικές Ρήτρες (Standard Contractual Clauses) της Ευρωπαϊκής Επιτροπής (Εκτελεστική Απόφαση 2021/914) ή άλλες κατάλληλες εγγυήσεις σύμφωνα με το Κεφάλαιο V του GDPR.

9. Παραβίαση Δεδομένων

Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, το ClassDesk θα:

• Ενημερώσει το Φροντιστήριο χωρίς αδικαιολόγητη καθυστέρηση (στόχος εντός 48 ωρών) από τη στιγμή που έλαβε γνώση.
• Παράσχει τις απαραίτητες πληροφορίες ώστε το Φροντιστήριο να εκπληρώσει την υποχρέωσή του προς την ΑΠΔΠΧ (γνωστοποίηση εντός 72 ωρών) και τυχόν ενημέρωσης των υποκειμένων.
• Συνδράμει το Φροντιστήριο στη λήψη μέτρων αντιμετώπισης και μετριασμού.

10. Επιστροφή ή Διαγραφή Δεδομένων

Με τη λήξη της σύμβασης, το Φροντιστήριο μπορεί να επιλέξει:

• Εξαγωγή δεδομένων σε δομημένο μορφότυπο (Excel/CSV) μέσω της ενσωματωμένης λειτουργίας export, πριν τη διαγραφή.
• Διαγραφή όλων των δεδομένων εντός 30 ημερών από τη λήξη — εκτός εάν η νομοθεσία επιβάλλει διαφορετικά (π.χ. φορολογικά παραστατικά διατηρούνται 5 έτη).

Backups που περιέχουν δεδομένα του Φροντιστηρίου διαγράφονται κατά τον φυσιολογικό κύκλο rotation των backups (μέγιστο 90 ημέρες).

11. Έλεγχοι & Audits

Το ClassDesk θέτει στη διάθεση του Φροντιστηρίου όλες τις πληροφορίες που είναι απαραίτητες για να αποδεικνύεται η συμμόρφωση με τις υποχρεώσεις του άρθρου 28 GDPR. Το Φροντιστήριο δικαιούται να διενεργήσει επιθεωρήσεις (audits) μία φορά ετησίως, με προειδοποίηση 30 ημερών, σε ώρες γραφείου και χωρίς διατάραξη της παραγωγικής λειτουργίας.

Εναλλακτικά, το ClassDesk μπορεί να παρέχει πιστοποιητικά ασφαλείας τρίτου μέρους (π.χ. SOC 2 του Supabase) ως αποδεικτικά συμμόρφωσης.

12. Ευθύνη

Κάθε μέρος ευθύνεται για τις δικές του παραβάσεις του GDPR και της παρούσας DPA. Η ευθύνη του ClassDesk έναντι του Φροντιστηρίου περιορίζεται όπως ορίζεται στους Όρους Χρήσης. Το Φροντιστήριο παραμένει αποκλειστικά υπεύθυνο για τη νομιμότητα της συλλογής και των εντολών επεξεργασίας που δίνει.

13. Διάρκεια — Λήξη

Η DPA τίθεται σε ισχύ με την αποδοχή της κατά την εγγραφή του Φροντιστηρίου και παραμένει σε ισχύ καθ' όλη τη διάρκεια της παροχής της Υπηρεσίας. Με τη λήξη της σύμβασης παροχής υπηρεσιών, λύεται και η DPA — εξαιρουμένων των διατάξεων που εκ φύσεως διατηρούν την ισχύ τους (εμπιστευτικότητα, ευθύνη).

14. Λοιπές Διατάξεις

Η παρούσα DPA διέπεται από το ελληνικό δίκαιο. Για κάθε διαφορά αρμόδια ορίζονται τα Δικαστήρια Θεσσαλονίκης. Σε περίπτωση σύγκρουσης μεταξύ της DPA και των Όρων Χρήσης σε θέματα προστασίας δεδομένων, υπερισχύει η DPA.

Η ηλεκτρονική αποδοχή της παρούσας μέσω της φόρμας εγγραφής (tickbox) ισοδυναμεί με γραπτή σύμβαση κατά την έννοια του άρθ. 28(9) GDPR.