Σύμβαση επεξεργασίας δεδομένων προσωπικού χαρακτήρα

Μεταξύ του παιδικού σταθμού και της 4V3D OÜ, για την ομαδική υπηρεσία Minute Mission. Έκδοση 1.0, 23 Σεπτεμβρίου 2026.

Αυτό είναι το ελληνικό κείμενο της σύμβασης. Η σύμβαση δημοσιεύεται επίσης στα αγγλικά και στα εστονικά, και αυτά τα δύο κείμενα είναι εκείνα που δεσμεύουν. Οι πελάτες στην Εστονία υπογράφουν το εστονικό κείμενο. Αν αυτή η μετάφραση διαφέρει από το αγγλικό κείμενο, υπερισχύει το αγγλικό κείμενο.

Πώς συνάπτετε αυτή τη σύμβαση

Με δύο τρόπους, με το ίδιο αποτέλεσμα.

• Κατά την παραγγελία. Τσεκάρετε το πεδίο με το οποίο αποδέχεστε αυτή τη σύμβαση, έκδοση 1.0. Η έκδοση και η ημερομηνία καταγράφονται στον λογαριασμό σας, σας στέλνουμε με email αντίγραφο του ακριβούς κειμένου που αποδεχθήκατε, και το κείμενο παραμένει διαθέσιμο στον λογαριασμό σας.
• Σε χαρτί, αν ο φορέας σας χρειάζεται υπογραφή. Ζητήστε το μας στο info@4v3d.ee και σας στέλνουμε το ίδιο κείμενο ως έγγραφο με πίνακα για τα στοιχεία σας. Υπογράψτε το ηλεκτρονικά (με εγκεκριμένη υπογραφή κατά eIDAS, με DocuSign, με Adobe Sign ή με το εθνικό σας σύστημα) και στείλτε το πίσω. Η 4V3D OÜ υπογράφει το ίδιο αρχείο και σας το επιστρέφει. Η σύμβαση αρχίζει να ισχύει με τη μεταγενέστερη από τις δύο υπογραφές.

Εκτελών την επεξεργασία: 4V3D OÜ, registration number 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Εστονία. Εκπρόσωπος: Oskar Viil, μέλος του διοικητικού συμβουλίου. Επικοινωνία: info@4v3d.ee.

1. Τι καλύπτει αυτή η σύμβαση

Ο παιδικός σταθμός (ο υπεύθυνος επεξεργασίας) χρησιμοποιεί το Minute Mission, μια διαδικτυακή εφαρμογή που λειτουργεί η 4V3D OÜ (ο εκτελών την επεξεργασία), στην οποία μια παιδαγωγός κρατά έναν πίνακα με τις αποστολές και τις ανταμοιβές της ομάδας. Για τον σκοπό αυτό, η 4V3D OÜ επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα που περιγράφονται στο Παράρτημα II για λογαριασμό του παιδικού σταθμού και σύμφωνα με τις εντολές του.

Η σύμβαση αυτή περιέχει όλα όσα το Article 28(3) του ΓΚΠΔ, καθώς και του UK GDPR, απαιτεί να συμφωνηθούν εγγράφως μεταξύ υπευθύνου επεξεργασίας και εκτελούντος την επεξεργασία. Ισχύει ανεξάρτητα από το αν ο παιδικός σταθμός είναι εγκατεστημένος στον ΕΟΧ ή στο Ηνωμένο Βασίλειο.

2. Ποιο δίκαιο ισχύει για εσάς

• Παιδικός σταθμός στον ΕΟΧ. Ισχύει ο ΓΚΠΔ. Ισχύει και η ενότητα 3.
• Παιδικός σταθμός στο Ηνωμένο Βασίλειο. Ισχύουν ο UK GDPR και ο Data Protection Act 2018. Οι παρακάτω αναφορές στον ΓΚΠΔ διαβάζονται ως αναφορές στον UK GDPR, οι αναφορές σε εποπτική αρχή ως αναφορές στον Information Commissioner, και η ενότητα 3 δεν ισχύει.
• Παιδικός σταθμός οπουδήποτε αλλού. Για εσάς ισχύει το δικό σας δίκαιο προστασίας δεδομένων, και οι όροι αυτοί δεσμεύουν την 4V3D OÜ ως σύμβαση. Η 4V3D OÜ είναι εγκατεστημένη στην Ευρωπαϊκή Ένωση, οπότε δεσμεύεται έτσι κι αλλιώς από τον ΓΚΠΔ για αυτή την επεξεργασία. Τίποτε εδώ δεν περιορίζει δικαίωμα που σας δίνει το δικό σας δίκαιο.

3. Οι τυποποιημένες συμβατικές ρήτρες της Ευρωπαϊκής Επιτροπής

Όταν ο παιδικός σταθμός είναι εγκατεστημένος στον ΕΟΧ, τα μέρη εφαρμόζουν τις τυποποιημένες συμβατικές ρήτρες μεταξύ υπευθύνων επεξεργασίας και εκτελούντων την επεξεργασία που περιέχονται στο παράρτημα της εκτελεστικής απόφασης της Επιτροπής Decision (EU) 2021/915, στην επίσημη αγγλική τους διατύπωση. Οι ρήτρες αυτές αποτελούν μέρος της παρούσας σύμβασης και τα παρακάτω Παραρτήματα είναι τα παραρτήματά τους. Η Clause 5 (προσχώρηση) δεν εφαρμόζεται. Στην Clause 7.7 ισχύει η Επιλογή 2: γενική έγγραφη εξουσιοδότηση υπεργολάβων επεξεργασίας, με προειδοποίηση 30 ημερών για κάθε αλλαγή. Αν οι ρήτρες και η παρούσα σύμβαση διαφωνούν, υπερισχύουν οι ρήτρες.

4. Τι αναλαμβάνει κάθε πλευρά

Η 4V3D OÜ αναλαμβάνει:

• Να επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα μόνο για την παροχή της υπηρεσίας και μόνο σύμφωνα με τις τεκμηριωμένες εντολές του παιδικού σταθμού, μεταξύ άλλων ως προς τις διαβιβάσεις σε τρίτη χώρα. Αυτές οι εντολές είναι η παρούσα σύμβαση και η χρήση της υπηρεσίας από τον παιδικό σταθμό. Αν το δίκαιο της ΕΕ ή κράτους μέλους υποχρεώσει την 4V3D OÜ σε άλλη επεξεργασία, θα ενημερώσει πρώτα τον παιδικό σταθμό, εκτός αν αυτό το δίκαιο το απαγορεύει.
• Να μη χρησιμοποιεί ποτέ τα δεδομένα για δικούς της σκοπούς, να μην τα πουλά ποτέ, να μην τα χρησιμοποιεί ποτέ για την εκπαίδευση οποιουδήποτε μοντέλου και να μην τα δείχνει ποτέ σε κανέναν πέρα από τους υπεργολάβους επεξεργασίας που κατονομάζονται στο Παράρτημα IV.
• Να διασφαλίζει ότι καθένας που έχει πρόσβαση δεσμεύεται από εμπιστευτικότητα.
• Να τηρεί τα μέτρα ασφάλειας του Παραρτήματος III και να μην τα αποδυναμώνει.
• Να χρησιμοποιεί μόνο τους υπεργολάβους επεξεργασίας του Παραρτήματος IV. Η 4V3D OÜ μπορεί να προσθέσει ή να αντικαταστήσει κάποιον, ενημερώνοντας πρώτα το πρόσωπο επικοινωνίας του παιδικού σταθμού εγγράφως 30 ημέρες νωρίτερα. Ο παιδικός σταθμός μπορεί να αντιταχθεί μέσα σε αυτές τις 30 ημέρες. Αν η αντίρρηση δεν μπορεί να επιλυθεί, ο παιδικός σταθμός μπορεί να τερματίσει την υπηρεσία και του επιστρέφεται το αχρησιμοποίητο μέρος του μήνα.
• Να βοηθά τον παιδικό σταθμό να απαντά σε αίτημα γονέα ή μέλους του προσωπικού. Οι παιδαγωγοί και η διευθύντρια μπορούν ήδη να δουν, να διορθώσουν, να εξαγάγουν και να διαγράψουν τα δεδομένα αυτά μέσα στην υπηρεσία. Αν ένα αίτημα φτάσει αντ' αυτού στην 4V3D OÜ, διαβιβάζεται στο πρόσωπο επικοινωνίας του παιδικού σταθμού εντός πέντε εργάσιμων ημερών και δεν απαντάται απευθείας.
• Να συνδράμει τον παιδικό σταθμό στις υποχρεώσεις του κατά τα Articles 32 to 36 (ασφάλεια, γνωστοποίηση παραβιάσεων, εκτιμήσεις αντικτύπου, προηγούμενη διαβούλευση), λαμβάνοντας υπόψη όσα πράγματι γνωρίζει η 4V3D OÜ.
• Να ενημερώνει το πρόσωπο επικοινωνίας του παιδικού σταθμού για παραβίαση δεδομένων προσωπικού χαρακτήρα εντός 24 ωρών από τη στιγμή που λαμβάνει γνώση, με όσα είναι γνωστά τότε και με τα υπόλοιπα καθώς διαπιστώνονται.
• Με τη λήξη της υπηρεσίας, να διαγράφει τα δεδομένα εντός 30 ημερών ή να τα επιστρέφει πρώτα, αν το ζητήσει ο παιδικός σταθμός. Από τα κρυπτογραφημένα αντίγραφα ασφαλείας εξαφανίζονται εντός 90 ημερών. Η 4V3D OÜ βεβαιώνει εγγράφως πότε έχουν φύγει.
• Να θέτει στη διάθεση του παιδικού σταθμού τις πληροφορίες που χρειάζονται για να αποδειχθεί η τήρηση αυτών των υποχρεώσεων και να επιτρέπει έλεγχο. Στην πράξη αυτό σημαίνει γραπτές απαντήσεις και τεκμηρίωση κατόπιν αιτήματος. Επιτόπιος έλεγχος ή έλεγχος από τρίτο μπορεί να οργανωθεί με προειδοποίηση 30 ημερών, με έξοδα του παιδικού σταθμού, όχι περισσότερο από μία φορά τον χρόνο, εκτός αν έχει συμβεί παραβίαση.
• Να ενημερώνει αμέσως τον παιδικό σταθμό αν μια εντολή φαίνεται να παραβιάζει τη νομοθεσία για την προστασία δεδομένων.

Ο παιδικός σταθμός αναλαμβάνει:

• Να διασφαλίσει ότι έχει νόμιμη βάση για αυτή την επεξεργασία και ότι οι γονείς έχουν ενημερωθεί. Η 4V3D OÜ δεν βλέπει τους γονείς και δεν μπορεί να το κάνει αυτό για εσάς.
• Να περιορίζει τα δεδομένα στην υπηρεσία σε όσα περιγράφει το Παράρτημα II. Ειδικότερα, μην πληκτρολογείτε σε ελεύθερο πεδίο κειμένου το επώνυμο ενός παιδιού, πληροφορίες υγείας, αξιολόγηση ενός παιδιού ή οτιδήποτε αφορά τις συνθήκες μιας οικογένειας.
• Να διατηρεί σωστά τα στοιχεία του λογαριασμού του και να ενημερώνει την 4V3D OÜ όταν αλλάζει το πρόσωπο επικοινωνίας.
• Να διαχειρίζεται τους δικούς του λογαριασμούς προσωπικού: να απενεργοποιεί τον λογαριασμό σύνδεσης μιας παιδαγωγού όταν εκείνη αποχωρεί.

5. Δύο πράγματα που δεν είναι επεξεργασία για λογαριασμό σας

Λέγονται καθαρά εδώ, ώστε να μη χρειαστεί κανείς να μαντέψει αργότερα.

• Λογαριασμοί προσωπικού. Το όνομα, η διεύθυνση email και ο κωδικός πρόσβασης μιας παιδαγωγού ή της διευθύντριας χρειάζονται για να λειτουργήσει καν η υπηρεσία, και η 4V3D OÜ αποφασίζει πώς θα λειτουργεί. Για αυτόν τον στενό σκοπό η 4V3D OÜ είναι υπεύθυνος επεξεργασίας, όχι εκτελών την επεξεργασία, και ισχύει η δική της πολιτική απορρήτου. Οτιδήποτε αφορά τα παιδιά είναι επεξεργασία για λογαριασμό του παιδικού σταθμού και καλύπτεται από την παρούσα σύμβαση.
• Η πληρωμή. Αν ο παιδικός σταθμός πληρώνει με κάρτα, την πληρωμή τη χειρίζεται η Stripe Payments Europe Ltd. Η Stripe λαμβάνει την επωνυμία τιμολόγησης, τη διεύθυνση, τον αριθμό ΦΠΑ, το email και τα στοιχεία κάρτας του παιδικού σταθμού, και κανένα δεδομένο για παιδί. Υπεύθυνος επεξεργασίας αυτών των δεδομένων χρέωσης είναι η 4V3D OÜ. Η Stripe επομένως δεν είναι υπεργολάβος επεξεργασίας κατά την παρούσα σύμβαση και δεν περιλαμβάνεται στο Παράρτημα IV.

6. Διάρκεια, εφαρμοστέο δίκαιο και ευθύνη

Η σύμβαση αυτή ισχύει για όσο η 4V3D OÜ επεξεργάζεται τα δεδομένα του παιδικού σταθμού, και εξακολουθεί να ισχύει μετά τη λήξη της υπηρεσίας μέχρι να διαγραφούν τα δεδομένα.

Εφαρμόζεται το εστονικό δίκαιο και αρμόδια είναι τα δικαστήρια της κομητείας Harju, εκτός αν ο παιδικός σταθμός είναι δημόσιος φορέας του οποίου οι δικοί του κανόνες απαιτούν το εθνικό του δίκαιο και τα δικαστήριά του, οπότε τα μέρη το συμφωνούν έτσι πριν από την υπογραφή.

Η ευθύνη ρυθμίζεται στους Όρους Χρήσης του Minute Mission, τους οποίους η παρούσα σύμβαση συμπληρώνει και δεν αντικαθιστά.

Παράρτημα I. Τα μέρη

Υπεύθυνος επεξεργασίας: ο παιδικός σταθμός, όπως προσδιορίζεται από τα στοιχεία που δίνει κατά την παραγγελία ή συμπληρώνει στο υπογεγραμμένο αντίγραφο. Ρόλος: υπεύθυνος επεξεργασίας των δεδομένων των παιδιών που τηρούνται στον πίνακα της ομάδας.

Εκτελών την επεξεργασία: 4V3D OÜ, registration number 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Εστονία. Επικοινωνία: Oskar Viil, μέλος του διοικητικού συμβουλίου, info@4v3d.ee. Δεν έχει οριστεί υπεύθυνος προστασίας δεδομένων, επειδή ο ΓΚΠΔ δεν το απαιτεί εδώ.

Κάθε πλευρά μπορεί να αλλάξει το πρόσωπο επικοινωνίας της με γραπτή ειδοποίηση προς την άλλη.

Παράρτημα II. Περιγραφή της επεξεργασίας

Παράρτημα III. Μέτρα ασφάλειας

• Τα δεδομένα βρίσκονται στην Ευρωπαϊκή Ένωση. Η εφαρμογή και τα αντίγραφα ασφαλείας της τρέχουν στο κέντρο δεδομένων της Hetzner Online GmbH στο Ελσίνκι της Φινλανδίας (με πιστοποίηση ISO/IEC 27001). Τα email της υπηρεσίας στέλνονται από τη Scaleway SAS στη Γαλλία. Δεν υπάρχει διαβίβαση σε τρίτη χώρα.
• Ό,τι μεταδίδεται είναι κρυπτογραφημένο (HTTPS, με ενεργό Content Security Policy). Οι κωδικοί πρόσβασης δεν αποθηκεύονται ποτέ, μόνο το hash τους, και τα tokens των συνεδριών αποθηκεύονται επίσης ως hash, ώστε ένα αντίγραφο της βάσης δεδομένων να μην είναι μια αρμαθιά λειτουργικά κλειδιά.
• Κάθε ομάδα είναι ξεχωριστός λογαριασμός. Μια παιδαγωγός βλέπει μόνο τα παιδιά της δικής της ομάδας. Η διευθύντρια έχει έναν λογαριασμό σύνδεσης για τις δικές της ομάδες και καμία πρόσβαση στις ομάδες άλλων.
• Φωτογραφίες δεν μπορούν να ανέβουν σε λογαριασμό ομάδας, οι ειδοποιήσεις push είναι απενεργοποιημένες, και οι εικόνες των παιδιών είναι σταθερές, από ένα σύνολο σχεδίων.
• Καθημερινά κρυπτογραφημένα αντίγραφα ασφαλείας, που κρατιούνται 14 ημέρες στον διακομιστή και 90 ημέρες εκτός. Κρυπτογραφούνται με δημόσιο κλειδί που ο ίδιος ο διακομιστής δεν έχει, οπότε ο διακομιστής δεν μπορεί να διαβάσει τα δικά του αντίγραφα. Η επαναφορά από αντίγραφο έχει δοκιμαστεί.
• Η πρόσβαση στον διακομιστή περιορίζεται στο μέλος του διοικητικού συμβουλίου της 4V3D OÜ. Δεν υπάρχει υπάλληλος, συνεργάτης ή άτομο υποστήριξης με πρόσβαση.
• Καμία ανάλυση επισκεψιμότητας, κανένα διαφημιστικό εργαλείο και καμία ιχνηλάτηση οποιουδήποτε είδους. Η μόνη τακτική αναφορά είναι ένας ημερήσιος αριθμός εγγραφών, ενεργών λογαριασμών και σφαλμάτων, που δεν περιέχει ονόματα.
• Περιορισμός ρυθμού στη σύνδεση και στην εγγραφή, και όριο 30 ημερών στο πόσο πίσω μπορεί να τσεκαριστεί μια αποστολή, ώστε ένα λάθος ή μια κατάχρηση να μην μπορεί να ξαναγράψει μήνες ιστορικού.
• Γραπτή επισκόπηση ασφάλειας ολόκληρου του πηγαίου κώδικα έχει γίνει δύο φορές από εξωτερικό μοντέλο, πιο πρόσφατα στις 20 Σεπτεμβρίου 2026, και τα ευρήματά της έχουν κλείσει.

Παράρτημα IV. Υπεργολάβοι επεξεργασίας

Και οι δύο βρίσκονται στην Ευρωπαϊκή Ένωση. Δεν υπάρχει υπεργολάβος επεξεργασίας εκτός ΕΕ, και δεν υπάρχει διεθνής διαβίβαση προς αξιολόγηση.