ΜΕΡΟΣ Γ: ΠΡΟΣΤΑΣΙΑ ΠΡΟΣΩΠΙΚΩΝ ΔΕΔΟΜΕΝΩΝ ΚΑΙ ΔΕΔΟΜΕΝΩΝ ΥΓΕΙΑΣ

21. Υπεύθυνος επεξεργασίας και εφαρμοζόμενο πλαίσιο

Υπεύθυνος επεξεργασίας είναι το Greek Goes Keto, υπό την ευθύνη του Απόλλωνα Γ. Καψάλη, με εγκατάσταση στη Βοσνία και Ερζεγοβίνη. Για κάθε αίτημα απορρήτου χρησιμοποιείται η φόρμα επικοινωνίας του greekgoesketo.gr με επιλογή θέματος «Προσωπικά δεδομένα». Όταν απαιτείται εκπρόσωπος στην Ευρωπαϊκή Ένωση σύμφωνα με το άρθρο 27 GDPR, η επικοινωνία με τον ορισμένο εκπρόσωπο γίνεται μέσω της ίδιας επιλογής και των στοιχείων που εμφανίζονται στην ενότητα απορρήτου του ιστότοπου.

Η επεξεργασία διέπεται από τον Νόμο περί Προστασίας Προσωπικών Δεδομένων της Βοσνίας και Ερζεγοβίνης, Επίσημη Εφημερίδα 12/25, και, όταν ο ιστότοπος προσφέρει υπηρεσίες σε πρόσωπα στην Ευρωπαϊκή Ένωση ή παρακολουθεί τη συμπεριφορά τους εκεί, από τον GDPR στον βαθμό που εφαρμόζεται.

22. Κατηγορίες δεδομένων που συλλέγονται

1. Στοιχεία ταυτοποίησης και επικοινωνίας: ονοματεπώνυμο, email, τηλέφωνο, χώρα, γλώσσα και στοιχεία λογαριασμού.
2. Στοιχεία παραγγελίας και συναλλαγής: υπηρεσία, τιμή, νόμισμα, ημερομηνία, αριθμός συναλλαγής, κατάσταση πληρωμής, στοιχεία τιμολόγησης και περιορισμένα στοιχεία πρόληψης απάτης.
3. Διατροφικό και λειτουργικό ιστορικό: στόχοι, προτιμήσεις, ωράρια, πρόσληψη τροφής, άσκηση, ύπνος, εργασία, ταξίδια και συνήθειες.
4. Δεδομένα υγείας: διαγνώσεις, συμπτώματα, φάρμακα, συμπληρώματα, αλλεργίες, εξετάσεις, βάρος, ύψος, σύσταση σώματος, κύκλος, εμμηνόπαυση, εγκυμοσύνη, γονιμότητα, ορμονικά στοιχεία, τραυματισμοί και άλλο αναγκαίο ιστορικό.
5. Δεδομένα επικοινωνίας: email, μηνύματα, σημειώσεις συνεδρίας, αιτήματα υποστήριξης, παράπονα και ιστορικό αλλαγών.
6. Τεχνικά δεδομένα: διεύθυνση IP, αναγνωριστικά συσκευής ή συνεδρίας, αρχεία καταγραφής ασφαλείας, τύπος προγράμματος περιήγησης, προτιμήσεις cookies και αποδεικτικά συγκατάθεσης.

23. Πηγές δεδομένων

Τα δεδομένα λαμβάνονται κυρίως απευθείας από τον πελάτη μέσω φόρμας, checkout, email, μηνύματος ή συνεδρίας. Για ανήλικο μπορούν να παρέχονται από γονέα ή νόμιμο κηδεμόνα. Σε εταιρικό πρόγραμμα, η εταιρεία μπορεί να παρέχει μόνο τα απολύτως αναγκαία στοιχεία οργάνωσης ή εγγραφής. Δεδομένα υγείας εργαζομένου δεν λαμβάνονται από εργοδότη ούτε κοινοποιούνται σε αυτόν χωρίς ειδική νόμιμη βάση.

24. Σκοποί και νομικές βάσεις

Δεν πραγματοποιείται αποκλειστικά αυτοματοποιημένη λήψη απόφασης που παράγει νομικό ή παρόμοια σημαντικό αποτέλεσμα για τον πελάτη. Εργαλεία λογισμικού μπορεί να υποστηρίζουν υπολογισμούς ή οργάνωση, αλλά η τελική επαγγελματική κρίση δεν ανατίθεται αποκλειστικά σε αυτοματοποιημένο σύστημα.

25. Ειδικές κατηγορίες και ρητή συγκατάθεση

Τα δεδομένα υγείας, γονιμότητας, ορμονικής κατάστασης και σεξουαλικής ζωής αποτελούν ειδικές κατηγορίες προσωπικών δεδομένων. Συλλέγονται μόνο στον βαθμό που είναι αναγκαία για τη συγκεκριμένη υπηρεσία και υποβάλλονται σε επεξεργασία βάσει ξεχωριστής ρητής συγκατάθεσης, εκτός αν σε συγκεκριμένη περίπτωση εφαρμόζεται άλλη νόμιμη εξαίρεση.

1. Τα δεδομένα υγείας δεν πωλούνται, δεν χρησιμοποιούνται για διαφημιστική στόχευση και δεν κοινοποιούνται σε εργοδότη ή ασφαλιστική εταιρεία χωρίς ειδική νόμιμη βάση.
2. Η συγκατάθεση μπορεί να ανακληθεί οποτεδήποτε. Η ανάκληση δεν επηρεάζει τη νομιμότητα της προηγούμενης επεξεργασίας.
3. Αν τα δεδομένα υγείας είναι αντικειμενικά αναγκαία για το εξατομικευμένο πλάνο, η ανάκληση μπορεί να καταστήσει αδύνατη τη συνέχιση. Τότε η υπηρεσία τερματίζεται και εφαρμόζεται ο αναλογικός κανόνας επιστροφής για το μη παρασχεθέν μέρος.
4. Μόνο τα απολύτως αναγκαία στοιχεία διατηρούνται μετά την ανάκληση όταν απαιτούνται από νόμο ή για θεμελίωση, άσκηση ή υπεράσπιση νομικής αξίωσης.

26. Αποδέκτες και πάροχοι επεξεργασίας

Πρόσβαση έχουν μόνο εξουσιοδοτημένα πρόσωπα και αναγκαίοι συνεργάτες που δεσμεύονται από εμπιστευτικότητα. Ανάλογα με τη λειτουργία της υπηρεσίας, μπορεί να χρησιμοποιούνται πάροχοι φιλοξενίας, ηλεκτρονικού εμπορίου, πληρωμών, email, cloud αποθήκευσης, ασφαλούς επικοινωνίας, τηλεδιάσκεψης, λογιστικής, κυβερνοασφάλειας και τεχνικής υποστήριξης.

1. Οι πάροχοι λαμβάνουν μόνο τα δεδομένα που είναι αναγκαία για τον ρόλο τους και δεσμεύονται με κατάλληλους όρους επεξεργασίας και ασφάλειας.
2. Η χρήση WhatsApp, Viber, Teams, Messenger ή άλλης πλατφόρμας γίνεται σύμφωνα με την επιλογή του πελάτη και τις πολιτικές του αντίστοιχου παρόχου. Ο πελάτης δεν πρέπει να αποστέλλει περισσότερα δεδομένα από όσα χρειάζονται.
3. Σε Corporate Wellness, ο εργοδότης λαμβάνει μόνο συγκεντρωτικές ή αποτελεσματικά ανωνυμοποιημένες αναφορές, εκτός αν το πρόσωπο ζητήσει ρητά διαφορετικά και αυτό είναι νόμιμο.
4. Δεδομένα μπορεί να κοινοποιηθούν σε αρχή, δικαστήριο ή επαγγελματικό σύμβουλο όταν απαιτείται από νόμο ή είναι αναγκαίο για νομική αξίωση.

27. Διαβιβάσεις σε άλλες χώρες

Οι υπηρεσίες παρέχονται από τη Βοσνία και Ερζεγοβίνη και ορισμένοι τεχνολογικοί πάροχοι μπορεί να επεξεργάζονται δεδομένα σε άλλες χώρες. Όταν μια διαβίβαση υπόκειται σε περιορισμούς διεθνούς διαβίβασης, χρησιμοποιείται ο νόμιμος μηχανισμός που αντιστοιχεί στην περίπτωση, όπως απόφαση επάρκειας, τυποποιημένες συμβατικές ρήτρες, κατάλληλη συμβατική εγγύηση ή ειδική εξαίρεση που επιτρέπεται από τον νόμο, μαζί με πρόσθετα μέτρα όπου απαιτούνται.

28. Χρόνοι διατήρησης

1. Ενεργός φάκελος, πλάνο, εξετάσεις και λειτουργικές σημειώσεις: κατά τη διάρκεια της υπηρεσίας και έως 24 μήνες από την ολοκλήρωση της τελευταίας ενεργής υποστήριξης, εκτός αν ζητηθεί νωρίτερα διαγραφή ή απαιτείται μεγαλύτερη περιορισμένη τήρηση.
2. Συμβάσεις, αποδεικτικά αποδοχής, παράπονα και επικοινωνία που σχετίζεται με αξίωση: για τον χρόνο που απαιτείται από την αντίστοιχη νόμιμη παραγραφή και για όσο εκκρεμεί διαφορά.
3. Φορολογικά και λογιστικά αρχεία: για την περίοδο που απαιτεί η εφαρμοζόμενη φορολογική και λογιστική νομοθεσία.
4. Λογαριασμός πελάτη: μέχρι να ζητηθεί διαγραφή ή μετά από 24 μήνες αδράνειας, εκτός αν η διατήρηση είναι αναγκαία για ενεργή σύμβαση ή νόμιμη υποχρέωση.
5. Newsletter: μέχρι την ανάκληση συγκατάθεσης ή την οριστική κατάργηση της λίστας.
6. Cookies και αρχεία συγκατάθεσης: σύμφωνα με τις Ρυθμίσεις Cookies. Το αποδεικτικό της επιλογής διατηρείται για όσο είναι αναγκαίο για συμμόρφωση και κατ’ ανώτατο όριο 5 έτη, εκτός αν απαιτείται διαφορετικά.
7. Αντίγραφα ασφαλείας: απομονώνονται και αντικαθίστανται στον συνήθη κύκλο ασφαλείας, κατά κανόνα μέσα σε 90 ημέρες, εκτός αν απαιτείται μεγαλύτερη τήρηση για διερεύνηση περιστατικού.

29. Ασφάλεια και περιστατικά παραβίασης

Εφαρμόζονται μέτρα ανάλογα με τον κίνδυνο, όπως περιορισμός πρόσβασης, ισχυρός έλεγχος ταυτότητας, ενημερωμένο λογισμικό, κρυπτογράφηση όπου είναι κατάλληλη, ασφαλή αντίγραφα, καταγραφή συμβάντων, συμβάσεις εμπιστευτικότητας και ελεγχόμενη διαγραφή. Κανένα σύστημα δεν είναι απολύτως απρόσβλητο.

Πιθανή παραβίαση αξιολογείται και τεκμηριώνεται. Η αρμόδια Αρχή Προστασίας Δεδομένων ενημερώνεται, όπου απαιτείται, χωρίς αδικαιολόγητη καθυστέρηση και κατά κανόνα μέσα σε 72 ώρες από τη γνώση του περιστατικού. Το επηρεαζόμενο πρόσωπο ενημερώνεται χωρίς καθυστέρηση όταν υπάρχει πιθανός υψηλός κίνδυνος για τα δικαιώματα και τις ελευθερίες του.

30. Δικαιώματα του προσώπου

1. Πρόσβαση στα δεδομένα και πληροφορίες για την επεξεργασία.
2. Διόρθωση ανακριβών ή συμπλήρωση ελλιπών δεδομένων.
3. Διαγραφή, όταν δεν υπάρχει υπέρτερος νόμιμος λόγος διατήρησης.
4. Περιορισμός της επεξεργασίας όπου προβλέπεται.
5. Φορητότητα για δεδομένα που δόθηκαν βάσει σύμβασης ή συγκατάθεσης και υποβάλλονται σε αυτοματοποιημένη επεξεργασία.
6. Εναντίωση σε επεξεργασία που βασίζεται σε έννομο συμφέρον και απόλυτο δικαίωμα εναντίωσης σε άμεσο marketing.
7. Ανάκληση συγκατάθεσης με τρόπο εξίσου εύκολο με τη χορήγησή της.
8. Υποβολή καταγγελίας στην Agencija za zaštitu ličnih podataka u Bosni i Hercegovini και, όταν εφαρμόζεται ο GDPR, σε αρμόδια εποπτική αρχή στην Ευρωπαϊκή Ένωση.

Το αίτημα υποβάλλεται μέσω της φόρμας επικοινωνίας με θέμα «Προσωπικά δεδομένα». Μπορεί να ζητηθεί αναλογική επαλήθευση ταυτότητας. Απάντηση παρέχεται χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο μέσα σε 30 ημέρες. Σε σύνθετο ή πολυάριθμο αίτημα η προθεσμία μπορεί να παραταθεί έως 60 επιπλέον ημέρες, με έγκαιρη αιτιολόγηση.

31. Ανήλικοι

Πρόσωπο κάτω των 18 ετών δεν συνάπτει μόνο του σύμβαση. Υπηρεσία για ανήλικο αγοράζεται και εποπτεύεται από γονέα ή νόμιμο κηδεμόνα. Για συγκατάθεση παιδιού σε υπηρεσία της κοινωνίας της πληροφορίας εφαρμόζεται το ηλικιακό όριο και η επαλήθευση γονικής έγκρισης που απαιτεί ο εφαρμοζόμενος νόμος. Συλλέγονται μόνο τα δεδομένα που είναι αναγκαία για την ασφαλή παροχή.