Συμφωνία Επεξεργασίας Δεδομένων — Παράρτημα
Μεταξύ:
- Υπεύθυνος Επεξεργασίας («Το Σχολείο»): Το εκπαιδευτικό ίδρυμα που λειτουργεί στην πλατφόρμα Thess LMS.
- Εκτελών την Επεξεργασία («Thess LMS»): Ο πάροχος της πλατφόρμας.
Ημερομηνία ισχύος: Κατά την αποδοχή των όρων κατά την εγγραφή (η χρονική σήμανση καταγράφεται).
1. Αντικείμενο και διάρκεια
Το Thess LMS επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του Σχολείου για την παροχή πλατφόρμας διαχείρισης μάθησης. Η επεξεργασία αρχίζει όταν το Σχολείο δημιουργεί τον λογαριασμό του και συνεχίζεται καθ' όλη τη διάρκεια της συνδρομής. Κατά τη λήξη, τα δεδομένα αντιμετωπίζονται όπως περιγράφεται στην Ενότητα 10.
2. Φύση και σκοπός της επεξεργασίας
Το Thess LMS επεξεργάζεται προσωπικά δεδομένα για να:
- Ταυτοποιεί χρήστες και διαχειρίζεται πρόσβαση.
- Αποθηκεύει και εμφανίζει ακαδημαϊκά αρχεία (βαθμοί, παρουσίες, αξιολογήσεις).
- Επιτρέπει εσωτερική επικοινωνία (μηνύματα, ροές δραστηριοτήτων, ειδοποιήσεις).
- Δημιουργεί κουίζ με τεχνητή νοημοσύνη (κανένα προσωπικό δεδομένο δεν αποστέλλεται στην AI — μόνο παράμετροι κουίζ).
- Παρακολουθεί αποτελέσματα τεστ κατάταξης και επίπεδα γλωσσομάθειας CEFR.
- Διαχειρίζεται αρχεία διδάκτρων και πληρωμών σε επίπεδο σχολείου.
- Παρέχει διοικητικά εργαλεία (αναφορές, στατιστικά, αρχεία ασφαλείας).
3. Κατηγορίες υποκειμένων δεδομένων
- Μαθητές
- Εκπαιδευτικοί
- Γονείς / Κηδεμόνες
- Επόπτες και γραμματείς σχολείου
4. Τύποι προσωπικών δεδομένων που υποβάλλονται σε επεξεργασία
Δεδομένα ταυτοποίησης: Όνομα, email, ρόλος, κατάσταση λογαριασμού.
Δεδομένα επικοινωνίας: Αριθμός τηλεφώνου, διεύθυνση, όνομα γονέα/κηδεμόνα. Αυτά τα πεδία κρυπτογραφούνται σε κατάσταση αδράνειας.
Ακαδημαϊκά δεδομένα: Βαθμοί, παρουσίες, βαθμολογίες κουίζ, αποτελέσματα κατάταξης, επίπεδα CEFR, δελτία βαθμολογίας, πόντοι συμπεριφοράς, υποβολές εργασιών.
Δεδομένα επικοινωνίας: Εσωτερικά μηνύματα, αναρτήσεις δραστηριοτήτων, ειδοποιήσεις.
Τεχνικά δεδομένα: Διεύθυνση IP, user agent, δεδομένα περιόδου λειτουργίας (για ασφάλεια και έλεγχο).
Οικονομικά δεδομένα (επίπεδο σχολείου): Αρχεία διδάκτρων, ιστορικό πληρωμών.
5. Υποχρεώσεις εκτελούντος
Το Thess LMS οφείλει να:
- Επεξεργάζεται προσωπικά δεδομένα μόνο βάσει τεκμηριωμένων οδηγιών του Σχολείου.
- Μην μεταφέρει δεδομένα εκτός ΕΕ/ΕΟΧ χωρίς κατάλληλες εγγυήσεις (εφαρμόζονται Τυποποιημένες Συμβατικές Ρήτρες ΕΕ για υπο-εκτελούντες με έδρα τις ΗΠΑ).
- Εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα ασφαλείας (βλ. Ενότητα 8).
- Βοηθά το Σχολείο στην ανταπόκριση σε αιτήματα υποκειμένων δεδομένων (πρόσβαση, διόρθωση, διαγραφή, φορητότητα).
- Ενημερώνει το Σχολείο για οποιαδήποτε παραβίαση προσωπικών δεδομένων χωρίς αδικαιολόγητη καθυστέρηση (βλ. Ενότητα 9).
- Διαγράφει ή επιστρέφει όλα τα προσωπικά δεδομένα κατά τη λήξη (βλ. Ενότητα 10).
- Θέτει στη διάθεση όλες τις πληροφορίες που απαιτούνται για την απόδειξη συμμόρφωσης και επιτρέπει ελέγχους (βλ. Ενότητα 11).
6. Εμπιστευτικότητα
Όλα τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται προσωπικά δεδομένα έχουν δεσμευτεί για εχεμύθεια. Η πρόσβαση σε προσωπικά δεδομένα περιορίζεται βάσει ρόλου (ιδιοκτήτης σχολείου, επόπτης, εκπαιδευτικός, γραμματέας), ενώ τα ευαίσθητα πεδία (τηλέφωνο, διεύθυνση, ημερομηνία γέννησης, στοιχεία γονέα, σημειώσεις) περιορίζονται επιπλέον μόνο σε διοικητικούς ρόλους.
7. Υπο-εκτελούντες
Το Thess LMS χρησιμοποιεί τους ακόλουθους υπο-εκτελούντες:
| Υπο-εκτελών | Χώρα | Σκοπός | Δεδομένα που υποβάλλονται σε επεξεργασία | Μηχανισμός μεταφοράς |
|---|---|---|---|---|
| OpenAI | ΗΠΑ | Δημιουργία κουίζ με AI | Παράμετροι κουίζ, επίπεδο CEFR — κανένα PII μαθητή | Τυποποιημένες Συμβατικές Ρήτρες ΕΕ |
| Viva Wallet | Ελλάδα (ΕΕ) | Επεξεργασία πληρωμών | Δεδομένα τιμολόγησης σχολείου | Δικαιοδοσία ΕΕ |
| ΑΑΔΕ / MyData | Ελλάδα (ΕΕ) | Φορολογική αναφορά | Δεδομένα τιμολογίων | Νομική υποχρέωση |
| Sentry | ΗΠΑ | Παρακολούθηση σφαλμάτων | Stack traces — PII απενεργοποιημένο | Τυποποιημένες Συμβατικές Ρήτρες ΕΕ |
| MXroute | ΗΠΑ | Αποστολή email | Όνομα, email, περιεχόμενο μηνύματος | Τυποποιημένες Συμβατικές Ρήτρες ΕΕ |
| Cloudflare R2 | ΕΕ (Δυτική Ευρώπη) | Αποθήκευση αρχείων | Αρχεία χρηστών (εργασίες, έγγραφα, εικόνες) | Δικαιοδοσία ΕΕ |
Το Σχολείο ενημερώνεται για αλλαγές υπο-εκτελούντων μέσω ενημερώσεων της παρούσας συμφωνίας. Κανένα προσωπικό δεδομένο μαθητή δεν αποστέλλεται στο OpenAI — μόνο εκπαιδευτικές παράμετροι (λίστες λέξεων, γραμματικά θέματα, επίπεδα CEFR).
8. Μέτρα ασφαλείας
Το Thess LMS εφαρμόζει τα ακόλουθα μέτρα:
- Κρυπτογράφηση σε αδράνεια: Τηλέφωνο, διεύθυνση, στοιχεία γονέα, ημερομηνία γέννησης και σημειώσεις κρυπτογραφούνται με AES-256 μέσω του επιπέδου κρυπτογράφησης του Laravel.
- Κατακερματισμός κωδικών πρόσβασης: Όλοι οι κωδικοί πρόσβασης κατακερματίζονται με bcrypt (δεν αποθηκεύονται ποτέ σε απλό κείμενο).
- Ταυτοποίηση δύο παραγόντων: Υποχρεωτική για ιδιοκτήτες σχολείων, επόπτες, εκπαιδευτικούς και γραμματείς. Email OTP με ισχύ 10 λεπτών και cookies αξιόπιστης συσκευής 90 ημερών (υπογεγραμμένα με HMAC, δεσμευμένα σε user-agent).
- Απομόνωση βάσης δεδομένων: Τα δεδομένα κάθε σχολείου αποθηκεύονται σε ξεχωριστή βάση δεδομένων (αρχιτεκτονική πολλαπλών ενοικιαστών).
- Καταγραφή ελέγχου: Οι διοικητικές ενέργειες (αλλαγές χρηστών, παρουσίες, βαθμοί, αλλαγές ρόλων) καταγράφονται με ενεργούντα, χρονική σήμανση, διεύθυνση IP και λεπτομέρειες αλλαγών. Διατηρούνται για 12 μήνες.
- Έλεγχοι πλαστοπροσωπίας: Λειτουργία μόνο ανάγνωσης κατά τη διάρκεια πλαστοπροσωπίας. Όλες οι περίοδοι καταγράφονται με IP, user agent, χρονικές σημάνσεις έναρξης/λήξης και διάρκεια.
- Διαχείριση περιόδων λειτουργίας: Περίοδοι αποθηκευμένες σε βάση δεδομένων, αυτόματη εκκαθάριση μετά τη λήξη.
- Έλεγχος πρόσβασης: Δικαιώματα βάσει ρόλου. Ευαίσθητα πεδία ορατά μόνο σε διοικητικούς ρόλους.
- Χωρίς εξάρτηση από εξωτερικά CDN: Όλα τα frontend assets φιλοξενούνται τοπικά. Καμία διεύθυνση IP χρήστη δεν εκτίθεται σε δίκτυα παράδοσης περιεχομένου τρίτων.
- Υποδομή: Κρυπτογραφημένα αντίγραφα ασφαλείας που διαχειρίζονται σε επίπεδο υποδομής με όρους φιλοξενίας συμβατούς με την ΕΕ.
9. Ειδοποίηση παραβίασης
Σε περίπτωση παραβίασης προσωπικών δεδομένων, το Thess LMS οφείλει να:
- Ενημερώσει το Σχολείο χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 72 ωρών από τη στιγμή που λαμβάνει γνώση της παραβίασης.
- Παρέχει λεπτομέρειες, συμπεριλαμβανομένων: φύση της παραβίασης, κατηγορίες δεδομένων που επηρεάστηκαν, κατά προσέγγιση αριθμός εγγραφών, πιθανές συνέπειες και μέτρα που ελήφθησαν για μετριασμό.
- Βοηθήσει το Σχολείο στην ειδοποίηση της εποπτικής αρχής και των επηρεαζόμενων υποκειμένων δεδομένων εάν απαιτείται.
10. Διαγραφή δεδομένων κατά τη λήξη
Κατά τη λήξη της συνδρομής:
- Βάση δεδομένων σχολείου: Διαγράφεται εξ ολοκλήρου (όλα τα δεδομένα ενοικιαστή διαγράφονται μόνιμα).
- Αρχεία σχολείου: Όλα τα μεταφορτωμένα αρχεία (avatars, συνημμένα, έγγραφα) διαγράφονται μόνιμα.
- Λογαριασμός χρέωσης με τιμολόγια: Τα προσωπικά δεδομένα ανωνυμοποιούνται. Τα αρχεία τιμολογίων διατηρούνται για φορολογική συμμόρφωση (ελληνικό δίκαιο, ελάχιστο 5 έτη).
- Λογαριασμός χρέωσης χωρίς τιμολόγια: Διαγράφεται εξ ολοκλήρου.
- Ενεργές συνδρομές: Σημειώνονται ως ληγμένες.
Η διαγραφή δεδομένων είναι μη αναστρέψιμη. Το Σχολείο είναι υπεύθυνο για την εξαγωγή τυχόν δεδομένων που επιθυμεί να διατηρήσει πριν από τη λήξη.
11. Δικαιώματα ελέγχου
Το Σχολείο έχει το δικαίωμα να ζητήσει αποδεικτικά στοιχεία συμμόρφωσης με την παρούσα συμφωνία. Το Thess LMS θα θέσει στη διάθεση:
- Το αρχείο ασφαλείας (προσβάσιμο στους ιδιοκτήτες σχολείων στο
/school-settings/oversight). - Αρχείο ελέγχου πλαστοπροσωπίας με χρονικές σημάνσεις, διάρκεια και διευθύνσεις IP.
- Αποδεικτικά κρυπτογράφησης, ελέγχων πρόσβασης και πολιτικών διατήρησης.
- Τεκμηρίωση υπο-εκτελούντων και μηχανισμών μεταφοράς.
Επίσημοι έλεγχοι μπορούν να διενεργηθούν κατόπιν εύλογης προειδοποίησης και κατά τις εργάσιμες ώρες, όχι περισσότερο από μία φορά ανά έτος.
12. Ευθύνες σχολείου
Το Σχολείο, ως Υπεύθυνος Επεξεργασίας, είναι υπεύθυνο για:
- Τη λήψη έγκυρων συγκαταθέσεων από μαθητές, γονείς και κηδεμόνες πριν από τη δημιουργία λογαριασμών στην πλατφόρμα. Σύμφωνα με τον Ελληνικό Νόμο 4624/2019 (Άρθ. 21), η ηλικία ψηφιακής συγκατάθεσης είναι 15 — απαιτείται γονική συγκατάθεση για χρήστες κάτω των 15.
- Τη διασφάλιση ότι τα προσωπικά δεδομένα που εισάγονται στην πλατφόρμα είναι ακριβή και νόμιμα.
- Την ανταπόκριση σε αιτήματα πρόσβασης, διόρθωσης, διαγραφής και φορητότητας υποκειμένων δεδομένων.
- Την προώθηση αιτημάτων εξαγωγής δεδομένων στο Thess LMS (εκπληρώνονται εντός 30 ημερών).
- Την ενημέρωση των χρηστών σχετικά με την επεξεργασία των δεδομένων τους (μέσω της Πολιτικής Απορρήτου του Σχολείου).
13. Υπεύθυνος Προστασίας Δεδομένων
Για οποιοδήποτε θέμα σχετικό με την παρούσα συμφωνία ή ερωτήματα προστασίας δεδομένων, επικοινωνήστε με τον Υπεύθυνο Προστασίας Δεδομένων του Thess LMS στο dpo@thesslms.com.
14. Εφαρμοστέο δίκαιο
Η παρούσα συμφωνία διέπεται από τον Ελληνικό Νόμο 4624/2019, τον Γενικό Κανονισμό Προστασίας Δεδομένων (ΕΕ) 2016/679 και οποιαδήποτε εφαρμόσιμη καθοδήγηση από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ). Οι διαφορές θα επιλύονται υπό ελληνική δικαιοδοσία.