Privacy Policy

ΠΟΛΙΤΙΚΗ ΑΠΟΡΡΗΤΟΥ

(PRIVACY POLICY)

 

ΤΗΣ ΕΤΑΙΡΕΙΑΣ

«MYPAY  Α.Ε.»

 

 

Ιανουάριος 2026

 

 

1. Εισαγωγή — Σκοπός και Εφαρμογή της Πολιτικής

Η MYPAY Α.Ε. δραστηριοποιείται αποκλειστικά ως Πάροχος Τεχνολογικών Και Τεχνικών Υπηρεσιών (Technical Service Provider – TSP), προσφέροντας λύσεις πληροφορικής, υποστήριξης, διασύνδεσης, εγκατάστασης και συντήρησης συστημάτων, εφαρμογών και τερματικών συσκευών (όπως POS), καθώς και υποδομών ICT. Οι υπηρεσίες της περιορίζονται στην παροχή τεχνολογικής υποστήριξης, διασυνδέσεων και συντήρησης συστημάτων πληρωμών, με αποκλειστικό στόχο τη διευκόλυνση της επικοινωνίας μεταξύ επιχειρήσεων, τραπεζών και λοιπών παρόχων πληρωμών. Η MYPAY Α.Ε. συλλέγει και επεξεργάζεται προσωπικά δεδομένα αποκλειστικά στο πλαίσιο της λειτουργίας της ως τεχνολογικού παρόχου, για την υποστήριξη, διαχείριση και βελτίωση των τεχνολογικών της υποδομών, την ασφάλεια των πληροφοριακών συστημάτων της και τη συμμόρφωση με το ευρωπαϊκό και εθνικό δίκαιο περί προστασίας δεδομένων.

Η παρούσα Πολιτική Απορρήτου καθορίζει τις αρχές, τις διαδικασίες και τα δικαιώματα που διέπουν την επεξεργασία προσωπικών δεδομένων από τη MYPAY, σύμφωνα με τον Κανονισμό (ΕΕ) 2016/679 (Γενικός Κανονισμός για την Προστασία Δεδομένων — GDPR), τον ν. 4624/2019 όπως ισχύει, καθώς και τις ειδικές απαιτήσεις των εποπτικών αρχών, τον Κανονισμό (ΕΕ) 2022/2554 (DORA) όσον αφορά την ασφάλεια των δικτύων και τη λειτουργική ανθεκτικότητα των πληροφοριακών συστημάτων. Η MYPAY εφαρμόζει τα πρότυπα αυτά αποκλειστικά υπό την ιδιότητά της ως τεχνολογικός πάροχος (TSP).

Η παρούσα Πολιτική αυτή εφαρμόζεται σε κάθε μορφή επεξεργασίας προσωπικών δεδομένων που διενεργείται από τη MYPAY, ιδίως:

• Κατά την πρόσβαση και χρήση των τεχνολογικών υποδομών, εφαρμογών, ιστοτόπων και συσκευών POS που διαχειρίζεται η Εταιρεία.
• Κατά τη σύναψη, διαχείριση ή λήξη εμπορικών ή τεχνικών σχέσεων με πελάτες, συνεργάτες, προμηθευτές ή άλλους αντισυμβαλλόμενους.
• Κατά την παροχή τεχνικής υποστήριξης ή εξυπηρέτησης χρηστών και τη διαχείριση αιτημάτων επικοινωνίας ή παραπόνων.
• Κατά τη συμμόρφωση με τις υποχρεώσεις ασφάλειας πληροφοριακών συστημάτων, επιχειρησιακής συνέχειας και προστασίας δεδομένων, σύμφωνα με το DORA και τα ευρωπαϊκά πρότυπα διακυβέρνησης ICT.

Η MYPAY ενεργεί ως Υπεύθυνος Επεξεργασίας για τα προσωπικά δεδομένα φυσικών προσώπων που αφορούν χρήστες των τεχνολογικών υπηρεσιών της, πελάτες, συνεργάτες, εργαζομένους ή επισκέπτες των ψηφιακών πλατφορμών της.

Στο πλαίσιο αυτό της λειτουργικής υποστήριξης των συστημάτων της, εφαρμόζει αυστηρά μέτρα διαφάνειας, ασφάλειας και λογοδοσίας, σύμφωνα με τα άρθρα 5 και 32 του GDPR (νομιμότητα, διαφάνεια, ελαχιστοποίηση, ακρίβεια, περιορισμός σκοπού, ασφάλεια και λογοδοσία) καθώς και τις υποχρεώσεις του Κανονισμού DORA για ασφάλεια, ανθεκτικότητα και διακυβέρνηση ICT.

Η παρούσα Πολιτική Απορρήτου:

• Περιγράφει ποια δεδομένα συλλέγονται, για ποιους σκοπούς και με ποια νομική βάση, στο πλαίσιο των τεχνολογικών λειτουργιών της MYPAY.
• Αναλύει τα δικαιώματα των φυσικών προσώπων και τους τρόπους με τους οποίους μπορούν να τα ασκήσουν.
• Καθορίζει τις προϋποθέσεις διαβίβασης, αποθήκευσης και διαγραφής δεδομένων, με βάση τις αρχές της αναγκαιότητας και ελαχιστοποίησης.
• Περιγράφει τα τεχνικά και οργανωτικά μέτρα ασφάλειας που εφαρμόζει η Εταιρεία, διασφαλίζοντας τη λειτουργική ανθεκτικότητα και την προστασία των πληροφοριών.
• Ορίζει τις ευθύνες του Υπευθύνου Προστασίας Δεδομένων (DPO) στο πλαίσιο της τεχνολογικής διακυβέρνησης και της συμμόρφωσης με το δίκαιο προστασίας δεδομένων.

Η εφαρμογή της παρούσας Πολιτικής είναι υποχρεωτική για όλα τα μέλη του προσωπικού, τους συνεργάτες και τα εξουσιοδοτημένα τρίτα μέρη που παρέχουν υπηρεσίες για λογαριασμό της MYPAY.

Σε κάθε περίπτωση συνεργασίας με τρίτους εκτελούντες την επεξεργασία, η MYPAY εξασφαλίζει τη συμβατική συμμόρφωση με το άρθρο 28 του GDPR και προβλέπει δικαίωμα ελέγχου για τη διασφάλιση της ορθής τήρησης των υποχρεώσεων προστασίας δεδομένων.

Η MYPAY διατηρεί το δικαίωμα να τροποποιεί την Πολιτική αυτή, όποτε απαιτείται λόγω μεταβολών στο κανονιστικό ή τεχνολογικό περιβάλλον ή λόγω αναβάθμισης των υπηρεσιών της.

Οι τροποποιήσεις αναρτώνται με διαφάνεια στον επίσημο ιστότοπο της Εταιρείας (www.mypay.gr) και τίθενται σε ισχύ μετά από εύλογο χρονικό διάστημα ενημέρωσης των χρηστών.

 

2. Ορισμοί και Ερμηνείες

Για τους σκοπούς της παρούσας Πολιτικής, οι όροι που χρησιμοποιούνται έχουν την έννοια που τους αποδίδει ο Γενικός Κανονισμός Προστασίας Δεδομένων (Κανονισμός (ΕΕ) 2016/679 – “GDPR”) και ο ν. 4624/2019, καθώς και οι ακόλουθοι ειδικοί ορισμοί, όπως αυτοί χρησιμοποιούνται ταυτόσημα στην «Πολιτική Επεξεργασίας Δεδομένων για παροχή Υπηρεσίας (DPA)»:

• «Προσωπικά Δεδομένα» σημαίνουν κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Στην περίπτωση της MYPAY, ο όρος αφορά μόνο δεδομένα ταυτοποίησης και επικοινωνίας χρηστών, συνεργατών ή εκπροσώπων επιχειρήσεων, καθώς και τεχνικά δεδομένα λειτουργίας των συστημάτων της (π.χ. IP διεύθυνση, αναγνωριστικό συσκευής POS, δεδομένα συμβάντων – logs). Δεν περιλαμβάνει οικονομικά ή τραπεζικά δεδομένα, όπως στοιχεία καρτών, IBAN, υπόλοιπα λογαριασμών ή συναλλακτικά δεδομένα, τα οποία η MYPAY δεν συλλέγει ούτε επεξεργάζεται.
• «Επεξεργασία» σημαίνει κάθε πράξη ή σειρά πράξεων που πραγματοποιείται σε προσωπικά δεδομένα, όπως η συλλογή, αποθήκευση, οργάνωση, διατήρηση, τροποποίηση, διαβίβαση ή διαγραφή αυτών, αποκλειστικά στο πλαίσιο της τεχνολογικής λειτουργίας και υποστήριξης των υπηρεσιών της MYPAY.
• «Υποκείμενο των Δεδομένων» σημαίνει κάθε φυσικό πρόσωπο του οποίου τα δεδομένα υποβάλλονται σε επεξεργασία από τη MYPAY, περιλαμβανομένων:

• των εμπόρων ή συνεργατών φυσικών προσώπων,
• των εκπροσώπων νομικών προσώπων,
• και των χρηστών των τεχνολογικών εργαλείων ή συσκευών POS που λειτουργούν μέσω των συστημάτων της MYPAY.
  • «Υπεύθυνος Επεξεργασίας» είναι η MYPAY Α.Ε. για όλα τα δεδομένα που συλλέγει και διαχειρίζεται η ίδια προς τον σκοπό της σύναψης, λειτουργίας και υποστήριξης συνεργασιών ή της διαχείρισης των πληροφοριακών της υποδομών. Αντιθέτως, για τα δεδομένα τρίτων που εισάγονται ή υποβάλλονται σε επεξεργασία από τους εμπόρους μέσω των συστημάτων της, η MYPAY ενεργεί ως Εκτελών την Επεξεργασία, βάσει των τεκμηριωμένων οδηγιών των εμπόρων.
  • «Εκτελών την Επεξεργασία» είναι κάθε φυσικό ή νομικό πρόσωπο που επεξεργάζεται προσωπικά δεδομένα για λογαριασμό και υπό τις οδηγίες του Υπεύθυνου Επεξεργασίας. Η MYPAY ενεργεί ως Εκτελών μόνο όταν παρέχει τεχνολογικές υπηρεσίες (π.χ. φιλοξενία, υποστήριξη ή διασύνδεση συστημάτων) που περιλαμβάνουν πρόσβαση σε δεδομένα τα οποία έχει καταχωρίσει ο Έμπορος στα συστήματά της.
  • «Έμπορος» σημαίνει κάθε επαγγελματίας ή επιχείρηση που συνεργάζεται με τη MYPAY για την προμήθεια και χρήση εξοπλισμού POS ή τεχνολογικών υπηρεσιών και λύσεων της MYPAY. Ο Έμπορος αντιμετωπίζεται από τη MYPAY ως Υποκείμενο των Δεδομένων (όταν πρόκειται για φυσικό πρόσωπο) ή ως Υπεύθυνος Επεξεργασίας (όταν καταχωρεί δεδομένα τρίτων μέσω των συστημάτων της).
  • «Συνεργαζόμενος Φορέας» σημαίνει κάθε τρίτο μέρος, φυσικό ή νομικό πρόσωπο, που παρέχει συμπληρωματικές τεχνολογικές, υποστηρικτικές ή συμβουλευτικές υπηρεσίες στη MYPAY (π.χ. πάροχοι φιλοξενίας, τεχνικοί υποστηρικτές, προγραμματιστές ή σύμβουλοι συμμόρφωσης).
    Όλοι οι συνεργαζόμενοι φορείς δεσμεύονται συμβατικά ως Εκτελούντες την Επεξεργασία, σύμφωνα με το άρθρο 28 του GDPR.
  • «Παραβίαση Προσωπικών Δεδομένων» σημαίνει κάθε περιστατικό ασφάλειας που έχει ως αποτέλεσμα την καταστροφή, απώλεια, αλλοίωση, μη εξουσιοδοτημένη κοινολόγηση ή πρόσβαση σε προσωπικά δεδομένα που τηρεί η MYPAY. Η MYPAY εφαρμόζει διαδικασίες ανίχνευσης, αξιολόγησης και κοινοποίησης περιστατικών παραβίασης σύμφωνα με τα άρθρα 33 και 34 του GDPR και τις εσωτερικές της πολιτικές ασφάλειας.
  • «Τεχνικά και Οργανωτικά Μέτρα Ασφάλειας» είναι τα μέτρα που εφαρμόζει η MYPAY για την προστασία των προσωπικών δεδομένων και των πληροφοριακών της υποδομών, περιλαμβάνοντας κρυπτογράφηση, έλεγχο πρόσβασης, ψευδωνυμοποίηση, διαδικασίες επιχειρησιακής συνέχειας και δοκιμές ανθεκτικότητας, σύμφωνα με το άρθρο 32 GDPR και το DORA.
  • «Ψηφιακή επιχειρησιακή ανθεκτικότητα» σημαίνει την ικανότητα της MYPAY να προλαμβάνει, ανιχνεύει, αντιμετωπίζει και αποκαθιστά περιστατικά ασφάλειας ICT, διασφαλίζοντας τη συνεχή, ασφαλή και απρόσκοπτη λειτουργία των τεχνολογικών της συστημάτων.
  • «Πολιτική Επεξεργασίας Δεδομένων (DPA)» σημαίνει το Προσάρτημα Επεξεργασίας Δεδομένων για παροχή Υπηρεσίας, το οποίο εφαρμόζεται συμπληρωματικά με την παρούσα Πολιτική Απορρήτου και αποτελεί αναπόσπαστο μέρος των Όρων και Προϋποθέσεων της MYPAY.

 

3. Νομικές Βάσεις Επεξεργασίας Δεδομένων

Η MYPAY επεξεργάζεται προσωπικά δεδομένα αποκλειστικά όταν συντρέχει τουλάχιστον μία από τις νομικές βάσεις που προβλέπονται από το άρθρο 6 του Κανονισμού (ΕΕ) 2016/679 (GDPR), οι οποίες εφαρμόζονται στο πλαίσιο της δραστηριότητάς της ως παρόχου τεχνολογικών και τεχνικών υπηρεσιών (Technical Service Provider – TSP).

Εκπλήρωση σύμβασης ή προσυμβατικές ενέργειες: Η κύρια νομική βάση αφορά την εκπλήρωση σύμβασης ή την παροχή προσυμβατικών υπηρεσιών, όταν το Υποκείμενο υποβάλλει αίτημα για χρήση των ψηφιακών υπηρεσιών της MYPAY. Περιλαμβάνει την ταυτοποίηση, τη δημιουργία λογαριασμού “Merchant Account” (βλ. τους αντίστοιχους Όρους και Προϋποθέσεις Merchant Account της MYPAY).

Περαιτέρω, η επεξεργασία είναι απαραίτητη για σκοπούς που απορρέουν από τα έννομα συμφέροντα της MYPAY, τα οποία δεν υπερισχύονται από τα δικαιώματα ή ελευθερίες των υποκειμένων, όπως:

• διαχείριση και βελτίωση της λειτουργικότητας των τεχνολογικών συστημάτων,
• παρακολούθηση και διασφάλιση της ασφάλειας των πληροφοριακών υποδομών,
• πρόληψη και διερεύνηση περιστατικών ασφάλειας ή τεχνικών συμβάντων,
• τήρηση ιστορικότητας ενεργειών (logs) για λόγους ασφάλειας και υποστήριξης,
• προστασία των συστημάτων και των υπηρεσιών της MYPAY από κακόβουλη ή μη εξουσιοδοτημένη χρήση.

Συγκατάθεση του Υποκειμένου: Σε περιπτώσεις όπου απαιτείται, η MYPAY συλλέγει και επεξεργάζεται δεδομένα με βάση τη ρητή συγκατάθεση του υποκειμένου, όπως:

• για τη χρήση συγκεκριμένων κατηγοριών cookies,
• για την παραλαβή ενημερωτικών επικοινωνιών ή marketing (όπου εφαρμόζεται).

Το υποκείμενο μπορεί να ανακαλέσει τη συγκατάθεσή του οποτεδήποτε, χωρίς να επηρεάζεται η νομιμότητα της επεξεργασίας που έλαβε χώρα προ της ανάκλησης.

 

4. Κατηγορίες Προσωπικών Δεδομένων που Συλλέγονται

Η MYPAY, στο πλαίσιο της λειτουργίας της ως παρόχου τεχνολογικών και τεχνικών υπηρεσιών (Technical Service Provider – TSP), συλλέγει και επεξεργάζεται αποκλειστικά τις κατηγορίες προσωπικών δεδομένων που είναι απολύτως απαραίτητες για την ορθή παροχή, υποστήριξη και ασφάλεια των τεχνολογικών της συστημάτων, τη διαχείριση των συμβατικών της σχέσεων, καθώς και για τη συμμόρφωσή της με τις απαιτήσεις του Κανονισμού (ΕΕ) 2016/679 («GDPR»), του ν. 4624/2019 και του Κανονισμού (ΕΕ) 2022/2554 («DORA»).

Η συλλογή περιορίζεται αυστηρά στα αναγκαία δεδομένα, σύμφωνα με την αρχή της ελαχιστοποίησης του άρθρου 5 παρ. 1 στοιχ. γ΄ του GDPR, και δεν επεκτείνεται σε πληροφορίες που δεν είναι συναφείς με τη λειτουργία της MYPAY ως παρόχου τεχνολογικών λύσεων.

Στο πλαίσιο της λειτουργικής και τεχνικής της δραστηριότητας, η MYPAY ενδέχεται να επεξεργάζεται τις ακόλουθες κατηγορίες δεδομένων:

1. δεδομένα ταυτοποίησης και επικοινωνίας των συνεργατών, χρηστών των τεχνολογικών της υπηρεσιών ή εκπροσώπων νομικών προσώπων, όπως ονοματεπώνυμο, ιδιότητα, εταιρική θέση, στοιχεία επιχείρησης, στοιχεία επικοινωνίας (τηλέφωνο, ηλεκτρονική διεύθυνση), καθώς και οποιαδήποτε επιβεβαιωτικά στοιχεία απαιτούνται για την ταυτοποίηση στο πλαίσιο της σύναψης ή εκτέλεσης της μεταξύ μας σύμβασης, σύμφωνα με το άρθρο 6 παρ. 1 στοιχ. β΄ GDPR. Ειδικώς ως προς τα στοιχεία επικοινωνίας (ιδίως αριθμούς τηλεφώνου), η MYPAY εφαρμόζει αυξημένες δικλείδες νομιμότητας, ακρίβειας και επικαιροποίησης, σύμφωνα με την αρχή της ακρίβειας του άρθρου 5 παρ. 1 στοιχ. δ΄ του Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR). Σε κάθε περίπτωση, η MYPAY χρησιμοποιεί στοιχεία επικοινωνίας που έχουν δηλωθεί από το ίδιο το υποκείμενο ή από νόμιμα εξουσιοδοτημένο εκπρόσωπο και εφαρμόζει διαδικασίες ελέγχου και επιβεβαίωσης της ορθότητάς τους πριν από κάθε ουσιώδη επικοινωνία.

 

2. τεχνικά και λειτουργικά δεδομένα που προκύπτουν από τη χρήση των συστημάτων και υποδομών της MYPAY, περιλαμβανομένων ενδεικτικά της διεύθυνσης IP, των αναγνωριστικών συσκευών ή τερματικών POS, των δεδομένων καταγραφής συμβάντων (event logs), των στοιχείων διασύνδεσης με τα πληροφοριακά συστήματα, των δεδομένων τηλεμετρίας, καθώς και οποιωνδήποτε πληροφοριών είναι αναγκαίες για τη διασφάλιση της λειτουργικής συνέχειας, την τεχνική υποστήριξη, την ασφάλεια και την ανθεκτικότητα των ICT περιουσιακών στοιχείων, όπως προβλέπεται στα άρθρα 9 έως 15 του Κανονισμού DORA.

 

3. δεδομένα που υποβάλλονται από τους συνεργάτες, χρήστες ή εμπόρους μέσω των συστημάτων επικοινωνίας, της φόρμας υποστήριξης ή των μηχανισμών αναφοράς τεχνικών συμβάντων, ιδίως όταν αυτά είναι απαραίτητα για τη διερεύνηση ή επίλυση θεμάτων, την καταγραφή περιστατικών ασφάλειας ή την απόκριση σε αιτήματα εξυπηρέτησης. Τα δεδομένα αυτά περιορίζονται αυστηρά στο περιεχόμενο που ο ίδιος ο χρήστης παρέχει και υποβάλλονται σε επεξεργασία μόνο για την εξυπηρέτηση του αντίστοιχου σκοπού σύμφωνα με το άρθρο 6 παρ. 1 στοιχ. στ΄ GDPR.

 

4. δεδομένα που τηρούνται στο πλαίσιο της εταιρικής διαχείρισης, της λογιστικής παρακολούθησης και της φορολογικής συμμόρφωσης της MYPAY, όπως προβλέπονται από την ελληνική και ενωσιακή νομοθεσία, σύμφωνα με τις διατάξεις του Κώδικα Φορολογικής Διαδικασίας (ν. 4174/2013), του Κώδικα Φορολογίας Εισοδήματος (ν. 4172/2013), του ν. 4308/2014 περί Ελληνικών Λογιστικών Προτύπων, καθώς και κάθε άλλης σχετικής διάταξης της ελληνικής νομοθεσίας που διέπει την τήρηση λογιστικών στοιχείων από ανώνυμες εταιρείες. Πρόκειται αποκλειστικά για δεδομένα που απαιτούνται για την εφαρμογή του άρθρου 6 παρ. 1 στοιχ. γ΄ GDPR (συμμόρφωση με έννομη υποχρέωση).

 

5. δεδομένα που συλλέγονται κατά την πρόσβαση στον επίσημο ιστότοπο της MYPAY ή κατά τη χρήση των ηλεκτρονικών της υπηρεσιών, συμπεριλαμβανομένων δεδομένων cookies και συναφών στοιχείων ψηφιακής δραστηριότητας, τα οποία συλλέγονται και επεξεργάζονται σύμφωνα με την Πολιτική Cookies της Εταιρείας και την οδηγία ePrivacy (ν. 3471/2006), εφόσον συντρέχει η απαιτούμενη συγκατάθεση σύμφωνα με το άρθρο 6 παρ. 1 στοιχ. α΄ GDPR. Για τη διαχείριση αιτημάτων υποστήριξης και επικοινωνίας, η MYPAY χρησιμοποιεί αποκλειστικά στοιχεία επικοινωνίας που έχουν δηλωθεί από το ίδιο το υποκείμενο των δεδομένων ή που έχουν προηγουμένως επιβεβαιωθεί ως ορθά και επικαιροποιημένα. Όποτε τα στοιχεία επικοινωνίας γνωστοποιούνται στη MYPAY από τρίτο πρόσωπο (ενδεικτικά: έμπορο, συνεργάτη ή τεχνικό πάροχο) στο πλαίσιο τεχνικής υποστήριξης ή επιχειρησιακής λειτουργίας, αυτά χρησιμοποιούνται αποκλειστικά για τον συγκεκριμένο σκοπό και υπό την προϋπόθεση ότι είναι νόμιμα και ακριβή. Σε περίπτωση δήλωσης ή διαπίστωσης ότι αριθμός τηλεφώνου ή άλλο στοιχείο επικοινωνίας ανήκει σε τρίτο πρόσωπο, η MYPAY παύει αμέσως κάθε περαιτέρω επικοινωνία, προβαίνει σε επικαιροποίηση ή διαγραφή του στοιχείου και τεκμηριώνει το σχετικό περιστατικό στο πλαίσιο των υποχρεώσεων λογοδοσίας της.

Η MYPAY δεν συλλέγει ειδικές κατηγορίες προσωπικών δεδομένων κατά το άρθρο 9 GDPR (ευαίσθητα δεδομένα), εκτός εάν το υποκείμενο τα παρέχει οικειοθελώς και μόνο εφόσον αυτό είναι απολύτως αναγκαίο για την άσκηση δικαιώματος ή την υποστήριξη αιτήματος, οπότε η επεξεργασία διενεργείται υπό τις προϋποθέσεις του άρθρου 9 παρ. 2 GDPR και μόνο στον βαθμό που απαιτείται.

Η Εταιρεία δεν συλλέγει ούτε επεξεργάζεται δεδομένα ανηλίκων στο πλαίσιο των τεχνολογικών υπηρεσιών της, δεδομένης της φύσης και του αντικειμένου των παρεχόμενων λύσεων. Αν περιέλθουν σε γνώση της δεδομένα ανηλίκου, η MYPAY προβαίνει χωρίς καθυστέρηση στην ασφαλή διαγραφή τους, σύμφωνα με την Πολιτική Διαγραφής και τα άρθρα 5 και 17 GDPR.

 

5. Πηγές Συλλογής και Τεχνικές Μέθοδοι Επεξεργασίας

Η MYPAY, στο πλαίσιο της δραστηριότητάς της ως παρόχου τεχνολογικών και τεχνικών υπηρεσιών (Technical Service Provider – TSP), συλλέγει και επεξεργάζεται προσωπικά δεδομένα από συγκεκριμένες, απολύτως προσδιορισμένες και νόμιμες πηγές, αποκλειστικά στον βαθμό που η συλλογή αυτή είναι αναγκαία για την παροχή και λειτουργία των τεχνολογικών της συστημάτων, για την εκπλήρωση των συμβατικών της υποχρεώσεων και για τη συμμόρφωσή της με το ισχύον κανονιστικό πλαίσιο, ιδίως τον Κανονισμό (ΕΕ) 2016/679 («GDPR»), τον ν. 4624/2019 και τον Κανονισμό (ΕΕ) 2022/2554 («DORA»).

Η MYPAY δεν λαμβάνει δεδομένα από πηγές που σχετίζονται με την παροχή υπηρεσιών πληρωμών, την εκτέλεση συναλλαγών ή την εποπτεία ιδρυμάτων ηλεκτρονικού χρήματος ή πληρωμών, καθώς δεν δραστηριοποιείται στους τομείς αυτούς ούτε διαθέτει αρμοδιότητες πρόσβασης σε αντίστοιχα δεδομένα.

Τα προσωπικά δεδομένα που επεξεργάζεται η MYPAY προέρχονται αποκλειστικά από τις ακόλουθες κατηγορίες πηγών, σύμφωνα με τις αρχές νομιμότητας, διαφάνειας και λογοδοσίας του άρθρου 5 GDPR:

1. από το ίδιο το υποκείμενο των δεδομένων, στο πλαίσιο της σύναψης ή εκτέλεσης σύμβασης, της παροχής τεχνικής υποστήριξης, της επικοινωνίας με την MYPAY ή της χρήσης των τεχνολογικών της λύσεων. Η παροχή των δεδομένων αυτών είναι πολλές φορές αναγκαία για τη σύναψη ή την ορθή εκτέλεση της σχετικής συνεργασίας κατά την έννοια του άρθρου 6 παράγραφος 1 στοιχείο β΄ του GDPR.

 

2. από τα τεχνολογικά συστήματα, τις υποδομές πληροφορικής και τις συσκευές που υποστηρίζει η MYPAY, ιδίως μέσω αυτόματης καταγραφής δεδομένων όπως διευθύνσεις IP, ταυτοποιητικά στοιχεία συσκευών, δεδομένα καταγραφής συμβάντων («logs») και πληροφορίες λειτουργικής συμπεριφοράς των συστημάτων. Η συλλογή αυτή τελεί υπό το πλαίσιο άρθρου 6 παράγραφος 1 στοιχείο στ΄ του GDPR, καθώς είναι απαραίτητη για τη διασφάλιση της ασφάλειας, ακεραιότητας και ανθεκτικότητας των πληροφοριακών υποδομών, κατά πλήρη συμμόρφωση με τον Κανονισμό DORA.

 

3. από επικοινωνίες που απευθύνονται προς την MYPAY μέσω των καναλιών εξυπηρέτησης, συμπεριλαμβανομένων ηλεκτρονικών μηνυμάτων, αιτημάτων υποστήριξης, αναφορών τεχνικών προβλημάτων ή επικοινωνιών μέσω των επίσημων ψηφιακών καναλιών της Εταιρείας. Τα δεδομένα αυτά επεξεργάζονται αποκλειστικά για τους σκοπούς για τους οποίους παρέχονται, σύμφωνα με την αρχή περιορισμού του σκοπού του άρθρου 5 του GDPR.

 

4. από τεχνικές και λειτουργικές διασυνδέσεις των συστημάτων της MYPAY με εξωτερικούς παρόχους τεχνολογικών υπηρεσιών, όπως παρόχους φιλοξενίας, παρόχους cloud ή υποδομών κυβερνοασφάλειας, πάντοτε με βάση συμβάσεις εκτέλεσης επεξεργασίας κατά το άρθρο 28 του GDPR. Οι πάροχοι αυτοί ενεργούν αποκλειστικά για λογαριασμό και υπό τις τεκμηριωμένες εντολές της MYPAY, σύμφωνα με τις απαιτήσεις ασφάλειας και επιχειρησιακής ανθεκτικότητας του Κανονισμού DORA.

 

5. από τα ψηφιακά ίχνη που δημιουργούνται κατά την πρόσβαση στον επίσημο ιστότοπο της MYPAY ή τη χρήση των ηλεκτρονικών υπηρεσιών της, περιλαμβανομένων των τεχνικά αναγκαίων cookies και συναφών τεχνολογιών. Η επεξεργασία των δεδομένων αυτών διενεργείται σε συμμόρφωση με τον ν. 3471/2006 και την Οδηγία ePrivacy, καθώς και με τις αρχές συγκατάθεσης του άρθρου 6 παράγραφος 1 στοιχείο α΄ GDPR, όπου αυτή απαιτείται.

 

6. από πληροφορίες που προκύπτουν κατά την εφαρμογή πολιτικών ασφάλειας, κατά τη διερεύνηση περιστατικών ασφάλειας, κατά τη διεξαγωγή δοκιμών ανθεκτικότητας ή κατά την παρακολούθηση της λειτουργίας των πληροφοριακών συστημάτων στο πλαίσιο των υποχρεώσεων της MYPAY κατά τα άρθρα 9 έως 15 του Κανονισμού DORA. Οι πληροφορίες αυτές αφορούν αποκλειστικά την τεχνική λειτουργία των υποδομών ICT και δεν περιλαμβάνουν δεδομένα συναλλαγών ή οικονομικά δεδομένα τρίτων.

Η MYPAY δεν λαμβάνει δεδομένα από τρίτες πηγές για σκοπούς αξιολόγησης οικονομικής συμπεριφοράς, επαλήθευσης πιστοληπτικής ικανότητας, παρακολούθησης συναλλαγών, πρόληψης νομιμοποίησης εσόδων από εγκληματικές δραστηριότητες ή οποιονδήποτε άλλο σκοπό που αφορά την εποπτεία χρηματοοικονομικών δραστηριοτήτων. Η MYPAY δεν έχει αρμοδιότητα, πρόσβαση ή εξουσιοδότηση να συλλέγει τέτοια δεδομένα, καθώς δεν δραστηριοποιείται ως χρηματοπιστωτικός οργανισμός, πάροχος υπηρεσιών πληρωμών ή ίδρυμα ηλεκτρονικού χρήματος.

Η συλλογή και επεξεργασία των δεδομένων γίνεται πάντοτε με τεχνικές που είναι αναλογικές, συμβατές με τις αρχές του GDPR και απολύτως προσαρμοσμένες στις υποχρεώσεις του Κανονισμού DORA περί ασφάλειας και ανθεκτικότητας των ψηφιακών λειτουργιών. Η MYPAY εφαρμόζει τεχνικές και οργανωτικές διαδικασίες που αποτρέπουν την αθέμιτη συλλογή δεδομένων, διασφαλίζουν την ακρίβεια και την ενημερότητα των πληροφοριών και εγγυώνται ότι κάθε επεξεργασία διενεργείται εντός του πλαισίου των σκοπών που έχουν συγκεκριμένα καθορισθεί και κοινοποιηθεί στο υποκείμενο.

Σημαντική διευκρίνιση: όταν παρέχονται στη MYPAY στοιχεία επικοινωνίας (ενδεικτικά: αριθμοί τηλεφώνου ή διευθύνσεις ηλεκτρονικού ταχυδρομείου) από τρίτο πρόσωπο στο πλαίσιο συνεργασίας ή τεχνικής υποστήριξης, η MYPAY τα αντιμετωπίζει ως δεδομένα που δύνανται να είναι ανακριβή ή να αφορούν διαφορετικό υποκείμενο. Στην περίπτωση αυτή, η MYPAY περιορίζει τη χρήση τους στο απολύτως αναγκαίο για τον συγκεκριμένο σκοπό, εφαρμόζει έλεγχο ορθότητας και επικαιροποίησης όπου αυτό είναι εφικτό και, εφόσον διαπιστωθεί ή δηλωθεί ότι ανήκουν σε τρίτο πρόσωπο, προβαίνει χωρίς καθυστέρηση σε αποκλεισμό περαιτέρω χρήσης, διόρθωση ή διαγραφή του στοιχείου και τεκμηρίωση του σχετικού περιστατικού.

 

6. Σκοποί Επεξεργασίας — Χρήση των Δεδομένων

Η MYPAY επεξεργάζεται προσωπικά δεδομένα αποκλειστικά για συγκεκριμένους, ρητούς και νόμιμους σκοπούς, οι οποίοι συνάδουν πλήρως με τη λειτουργία της ως παρόχου τεχνολογικών και τεχνικών υπηρεσιών (Technical Service Provider – TSP). Η επεξεργασία διενεργείται πάντοτε κατά τρόπο που να εξασφαλίζει τη συμμόρφωση με τις αρχές νομιμότητας, αντικειμενικότητας, διαφάνειας, ελαχιστοποίησης, ακρίβειας, περιορισμού σκοπού και λογοδοσίας, όπως ορίζονται στο άρθρο 5 του Κανονισμού (ΕΕ) 2016/679 («GDPR»).

Πρώτος και θεμελιώδης σκοπός της επεξεργασίας αποτελεί η ορθή λειτουργία, υποστήριξη, συντήρηση, παραμετροποίηση και διασφάλιση της ποιότητας των τεχνολογικών υπηρεσιών που παρέχει η MYPAY, περιλαμβανομένων των τερματικών POS, των πλατφορμών διαχείρισης, των πληροφοριακών υποδομών, των εφαρμογών λογισμικού και των συστημάτων επικοινωνίας που σχετίζονται με τις τεχνικές υπηρεσίες της. Η επεξεργασία δεδομένων είναι αναγκαία για την αξιολόγηση της λειτουργικής κατάστασης των συστημάτων, την επίλυση τεχνικών προβλημάτων, την παροχή τεχνικής υποστήριξης προς συνεργάτες και χρήστες, καθώς και για τη διασφάλιση της επιχειρησιακής συνέχειας των υπηρεσιών, σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο β΄ GDPR.

Δεύτερος σκοπός αφορά τη διασφάλιση της ασφάλειας, ακεραιότητας και ανθεκτικότητας των πληροφοριακών συστημάτων και υποδομών της MYPAY, κατά πλήρη συμμόρφωση με τις υποχρεώσεις που απορρέουν από τον Κανονισμό (ΕΕ) 2022/2554 («DORA»). Στο πλαίσιο αυτό, η Εταιρεία επεξεργάζεται δεδομένα που συνδέονται με τη λειτουργική συμπεριφορά τεχνικών υποδομών και συσκευών, με τη διαχείριση περιστατικών ασφάλειας, με την πρόληψη και τον εντοπισμό μη εξουσιοδοτημένης πρόσβασης ή κακόβουλης δραστηριότητας, καθώς και με τη διεξαγωγή δοκιμών ανθεκτικότητας, ελέγχων ασφαλείας και μέτρων αποκατάστασης μετά από συμβάντα. Η επεξεργασία αυτή πραγματοποιείται βάσει του άρθρου 6 παράγραφος 1 στοιχείο στ΄ GDPR, ως αναγκαία για τα έννομα συμφέροντα της MYPAY, τα οποία αφορούν την προστασία κρίσιμων τεχνολογικών υποδομών.

Τρίτος σκοπός είναι η διαχείριση των συμβατικών και προ-συμβατικών σχέσεων της MYPAY με συνεργάτες, εμπόρους, προμηθευτές και λοιπούς αντισυμβαλλομένους. Στο πλαίσιο αυτό, η MYPAY επεξεργάζεται δεδομένα που είναι αναγκαία για την ταυτοποίηση και επικοινωνία με τα εν λόγω πρόσωπα, για τη διαχείριση αιτημάτων, την παροχή υποστήριξης, την παρακολούθηση της εκτέλεσης της σύμβασης, καθώς και για την τεκμηρίωση της υλοποίησης των υπηρεσιών της. Η επεξεργασία στηρίζεται στο άρθρο 6 παράγραφος 1 στοιχείο β΄ GDPR.

Τέταρτος σκοπός είναι η συμμόρφωση της MYPAY με τις υποχρεώσεις που απορρέουν από το εφαρμοστέο δίκαιο, συμπεριλαμβανομένων των υποχρεώσεων τήρησης λογιστικών αρχείων, φορολογικής συμμόρφωσης, υποχρεώσεων εταιρικής διακυβέρνησης και τήρησης μητρώων, όπως αυτές καθορίζονται ιδίως από τον Κώδικα Φορολογικής Διαδικασίας (ν. 4174/2013), τον Κώδικα Φορολογίας Εισοδήματος (ν. 4172/2013), τις διατάξεις του ν. 4308/2014 περί Ελληνικών Λογιστικών Προτύπων, τον ν. 4548/2018 περί ανωνύμων εταιρειών, καθώς και κάθε άλλη ειδική διάταξη που διέπει τη λειτουργία και τις υποχρεώσεις κεφαλαιουχικών εταιρειών. Η επεξεργασία στηρίζεται στο άρθρο 6 παράγραφος 1 στοιχείο γ΄ GDPR.

Πέμπτος σκοπός αφορά τη διαχείριση, παρακολούθηση και διασφάλιση της ορθής λειτουργίας των συστημάτων εξυπηρέτησης πελατών και των μηχανισμών επικοινωνίας της MYPAY. Η Εταιρεία επεξεργάζεται τα δεδομένα που παρέχονται μέσω αιτημάτων υποστήριξης, αναφορών τεχνικών ζητημάτων, επικοινωνίας μέσω ηλεκτρονικής αλληλογραφίας ή επικοινωνιακών πλατφορμών, αποκλειστικά για την κάλυψη των συγκεκριμένων αναγκών που αναφέρει το υποκείμενο και σύμφωνα με την αρχή περιορισμού σκοπού του άρθρου 5 GDPR.

Έκτος σκοπός είναι η επεξεργασία δεδομένων για σκοπούς που σχετίζονται με την επιχειρησιακή βελτίωση, την ποιοτική αναβάθμιση και τον σχεδιασμό ή ανασχεδιασμό των παρεχόμενων τεχνολογικών υπηρεσιών της MYPAY. Η επεξεργασία αυτή διενεργείται με βάση το άρθρο 6 παράγραφος 1 στοιχείο στ΄ GDPR, υπό την αυστηρή προϋπόθεση ότι τα δεδομένα χρησιμοποιούνται κατά τρόπο που δεν θίγει τα δικαιώματα και τις ελευθερίες των υποκειμένων, ενίοτε με μορφή ανώνυμης ή ψευδωνυμοποιημένης πληροφορίας, όταν αυτό είναι τεχνικά και λειτουργικά εφικτό.

Έβδομος σκοπός συνδέεται με τη διαχείριση της πρόσβασης στα πληροφοριακά συστήματα της MYPAY, την τεκμηρίωση της χρήσης τους, καθώς και τη διασφάλιση ότι οι χρήστες ενεργούν σύμφωνα με τα πρωτόκολλα ασφάλειας και τις εσωτερικές πολιτικές της Εταιρείας. Η επεξεργασία αυτή είναι αναγκαία για την προστασία των τεχνολογικών υποδομών και τελεί υπό το άρθρο 6 παράγραφος 1 στοιχείο στ΄ GDPR.

Η MYPAY δεν επεξεργάζεται δεδομένα για σκοπούς παρακολούθησης οικονομικών συναλλαγών, αξιολόγησης πιστοληπτικής ικανότητας, επιτήρησης χρηματοοικονομικής συμπεριφοράς, πρόληψης νομιμοποίησης εσόδων από εγκληματικές δραστηριότητες, εκτέλεσης ή εκκαθάρισης πράξεων πληρωμής ή οποιασδήποτε άλλης δραστηριότητας που ανήκει στην αρμοδιότητα εποπτευόμενων χρηματοπιστωτικών ιδρυμάτων. Η MYPAY δεν εκτελεί, δεν διευκολύνει και δεν συμμετέχει σε διαδικασίες που αφορούν υπηρεσίες πληρωμών κατά την έννοια του ν. 4537/2018 ούτε υπηρεσίες ηλεκτρονικού χρήματος κατά την έννοια του ν. 4021/2011.

Η επεξεργασία προσωπικών δεδομένων από τη MYPAY διενεργείται πάντοτε με σεβασμό στα δικαιώματα των υποκειμένων, με εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων και υπό συνθήκες διαρκούς συμμόρφωσης προς το άρθρο 6 GDPR, διασφαλίζοντας ότι κάθε σκοπός επεξεργασίας είναι απολύτως αναγκαίος, θεμιτός και συμβατός με το πλαίσιο των παρεχόμενων τεχνολογικών υπηρεσιών.

 

7. Χρήση Cookies και Παρακολούθησης Συμπεριφοράς

Η MYPAY χρησιμοποιεί cookies και συναφείς τεχνολογίες αποκλειστικά για σκοπούς που αφορούν τη λειτουργία, τη βελτίωση και την ασφαλή χρήση του ιστότοπού της, σύμφωνα με τις διατάξεις του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμός (ΕΕ) 2016/679 – «GDPR»), του ν. 3471/2006 και της Οδηγίας 2002/58/ΕΚ (ePrivacy). Τα cookies εγκαθίστανται μόνο στο μέτρο που είναι τεχνικά αναγκαία ή εφόσον ο χρήστης έχει παράσχει τη ρητή συγκατάθεσή του, σύμφωνα με τις αρχές του άρθρου 6 παράγραφος 1 στοιχείο α΄ GDPR και τις οδηγίες της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

Η MYPAY εφαρμόζει μηχανισμό διαχείρισης συγκατάθεσης (cookie banner) ο οποίος επιτρέπει στον χρήστη να ενημερώνεται με διαφάνεια για τους σκοπούς χρήσης των cookies, να επιλέγει τις προτιμήσεις του ανά κατηγορία και να ανακαλεί ανά πάσα στιγμή τη συγκατάθεσή του χωρίς αναδρομική ισχύ. Η εγκατάσταση των απολύτως απαραίτητων cookies διενεργείται χωρίς συγκατάθεση, σύμφωνα με το άρθρο 4 παράγραφος 5 του ν. 3471/2006.

Τα δεδομένα που προκύπτουν από τη χρήση cookies χρησιμοποιούνται αποκλειστικά για τους σκοπούς για τους οποίους έχουν κατηγοριοποιηθεί και ποτέ για σκοπούς κατάρτισης προφίλ, παρακολούθησης χρηματοοικονομικής συμπεριφοράς ή οποιασδήποτε λειτουργίας συνδεόμενης με υπηρεσίες πληρωμών ή οικονομικές συναλλαγές. Η επεξεργασία των δεδομένων διενεργείται πάντοτε με κατάλληλα τεχνικά και οργανωτικά μέτρα, σύμφωνα με το άρθρο 32 GDPR και τις υποχρεώσεις του Κανονισμού (ΕΕ) 2022/2554 («DORA»), με στόχο τη διασφάλιση της ακεραιότητας, εμπιστευτικότητας και διαθεσιμότητας των πληροφοριακών συστημάτων.

Για πλήρη ενημέρωση σχετικά με τις κατηγορίες cookies που χρησιμοποιεί ο ιστότοπος, τη διάρκεια αποθήκευσης, τους παρόχους και τις αντίστοιχες νομικές βάσεις, οι χρήστες καλούνται να ανατρέξουν στην αναλυτική Πολιτική Cookies της MYPAY, η οποία αποτελεί αναπόσπαστο μέρος της παρούσας Πολιτικής Απορρήτου και δημοσιεύεται στον ιστότοπο της Εταιρείας. Η χρήση του ιστότοπου συνεπάγεται την αποδοχή των Όρων Χρήσης και την εφαρμογή της εκάστοτε ισχύουσας Πολιτικής Cookies.

 

 

 

8. Χρονικά Όρια Διατήρησης και Πολιτική Διαγραφής

Η MYPAY διατηρεί τα προσωπικά δεδομένα μόνο για όσο χρονικό διάστημα είναι απολύτως αναγκαίο για την εκπλήρωση των σκοπών επεξεργασίας για τους οποίους αυτά συλλέχθηκαν, σύμφωνα με την αρχή του περιορισμού της περιόδου αποθήκευσης που προβλέπεται στο άρθρο 5 παράγραφος 1 στοιχείο ε΄ του Κανονισμού (ΕΕ) 2016/679 («GDPR»). Η διάρκεια διατήρησης καθορίζεται βάσει αντικειμενικών και προδιαγεγραμμένων κριτηρίων, τα οποία συνδέονται με τις τεχνολογικές υπηρεσίες που παρέχει η MYPAY, τις απαιτήσεις ασφάλειας και ανθεκτικότητας των πληροφοριακών συστημάτων της, καθώς και τις νομικές της υποχρεώσεις. Τα δεδομένα που συλλέγονται στο πλαίσιο σύναψης ή εκτέλεσης σύμβασης με συνεργάτες ή χρήστες των τεχνολογικών υπηρεσιών της MYPAY διατηρούνται για όσο χρόνο απαιτείται για την εκτέλεση της σύμβασης και για την υποστήριξη ή τεκμηρίωση της συμβατικής σχέσης, καθώς και για την αντιμετώπιση τυχόν νομικών αξιώσεων που δύνανται να ανακύψουν μετά τη λήξη της συνεργασίας. Στο πλαίσιο αυτό, η διατήρηση των σχετικών αρχείων διενεργείται με βάση την προθεσμία παραγραφής των αστικών αξιώσεων, όπως καθορίζεται από την ελληνική νομοθεσία.

• Τα δεδομένα που αφορούν λογιστικές και φορολογικές υποχρεώσεις διατηρούνται για την περίοδο που προβλέπεται από το εφαρμοστέο δίκαιο, ιδίως τον Κώδικα Φορολογικής Διαδικασίας (ν. 4174/2013), τον Κώδικα Φορολογίας Εισοδήματος (ν. 4172/2013) και τον ν. 4308/2014 περί Ελληνικών Λογιστικών Προτύπων, καθώς και κάθε άλλη διάταξη η οποία επιβάλλει συγκεκριμένους χρόνους τήρησης παραστατικών, βιβλίων ή εταιρικών αρχείων. Μετά την παρέλευση των νομίμως απαιτούμενων προθεσμιών, τα δεδομένα διαγράφονται ή ανωνυμοποιούνται κατά τρόπο μη αναστρέψιμο.
• Τα δεδομένα που συλλέγονται στο πλαίσιο σύναψης ή εκτέλεσης σύμβασης με συνεργάτες ή χρήστες των τεχνολογικών υπηρεσιών της MYPAY διατηρούνται για όσο χρόνο απαιτείται για την εκτέλεση της σύμβασης και για την υποστήριξη ή τεκμηρίωση της συμβατικής σχέσης, καθώς και για την αντιμετώπιση τυχόν νομικών αξιώσεων που δύνανται να ανακύψουν μετά τη λήξη της συνεργασίας. Στο πλαίσιο αυτό, η διατήρηση των σχετικών αρχείων διενεργείται με βάση την προθεσμία παραγραφής των αστικών αξιώσεων, όπως καθορίζεται από την ελληνική νομοθεσία.
• Τα δεδομένα που αφορούν λογιστικές και φορολογικές υποχρεώσεις διατηρούνται για την περίοδο που προβλέπεται από το εφαρμοστέο δίκαιο, ιδίως τον Κώδικα Φορολογικής Διαδικασίας (ν. 4174/2013), τον Κώδικα Φορολογίας Εισοδήματος (ν. 4172/2013) και τον ν. 4308/2014 περί Ελληνικών Λογιστικών Προτύπων, καθώς και κάθε άλλη διάταξη η οποία επιβάλλει συγκεκριμένους χρόνους τήρησης παραστατικών, βιβλίων ή εταιρικών αρχείων. Μετά την παρέλευση των νομίμως απαιτούμενων προθεσμιών, τα δεδομένα διαγράφονται ή ανωνυμοποιούνται κατά τρόπο μη αναστρέψιμο.
• Τα τεχνικά και λειτουργικά δεδομένα που συλλέγονται στο πλαίσιο της λειτουργίας των πληροφοριακών συστημάτων και των συσκευών που υποστηρίζει η MYPAY, περιλαμβανομένων των δεδομένων καταγραφής συμβάντων (event logs), των αναγνωριστικών συσκευών, των δεδομένων τηλεμετρίας ή παρακολούθησης κατάστασης υποδομής, διατηρούνται μόνο για όσο χρόνο απαιτείται ώστε να εξασφαλίζεται η επιχειρησιακή συνέχεια, η ασφάλεια, η τεχνική αξιοπιστία και η συμμόρφωση με τις υποχρεώσεις του Κανονισμού (ΕΕ) 2022/2554 («DORA»). Η MYPAY διαγράφει τα εν λόγω δεδομένα όταν παύσουν να είναι επιχειρησιακά ή τεχνικά αναγκαία ή όταν ολοκληρωθούν οι διαδικασίες διερεύνησης περιστατικών ασφάλειας ή άλλων τεχνικών συμβάντων.
• Τα δεδομένα που παρέχονται μέσω των μηχανισμών επικοινωνίας, της φόρμας υποστήριξης ή της ηλεκτρονικής αλληλογραφίας διατηρούνται μόνο για όσο απαιτείται για τη διεκπεραίωση του αιτήματος, για την τεκμηρίωση της παροχής υποστήριξης και για τη συμμόρφωση με τυχόν νόμιμες υποχρεώσεις της MYPAY. Μετά την ολοκλήρωση του σχετικού σκοπού, τα δεδομένα αυτά διαγράφονται με ασφάλεια, εκτός εάν απαιτείται μεγαλύτερη περίοδος διατήρησης για την αντιμετώπιση νομικής ή τεχνικής απαίτησης.
• Τα δεδομένα που συλλέγονται μέσω cookies ή συναφών τεχνολογιών διατηρούνται για τη χρονική διάρκεια που αντιστοιχεί στην κατηγορία του cookie, σύμφωνα με την ειδική Πολιτική Cookies της MYPAY και με τις επιλογές συγκατάθεσης του χρήστη. Η διάρκεια αποθήκευσης, ο σκοπός, ο πάροχος και η νομική βάση κάθε cookie περιγράφονται αναλυτικά στο οικείο ειδικό κείμενο, το οποίο αποτελεί αναπόσπαστο μέρος της παρούσας Πολιτικής.

Η MYPAY εφαρμόζει διαδικασίες ασφαλείας και τεχνικές λύσεις που εξασφαλίζουν την έγκαιρη, πλήρη και μη αναστρέψιμη διαγραφή ή ανωνυμοποίηση των δεδομένων, σύμφωνα με το άρθρο 17 GDPR και τις αρχές που διέπουν την εταιρική διαχείριση ψηφιακών αρχείων και πληροφοριακών περιουσιακών στοιχείων. Οι διαδικασίες αυτές περιλαμβάνουν περιοδικό έλεγχο των χρονικών ορίων διατήρησης, εφαρμογή τεχνικών ασφαλούς διαγραφής, επανεξέταση των πολιτικών retention και διασφάλιση ότι δεν τηρούνται δεδομένα πέραν των αναγκαίων χρονικών ορίων.

Η διατήρηση δεδομένων για οποιονδήποτε σκοπό δεν μπορεί να υπερβαίνει τον χρόνο που απαιτείται για τη τεχνική, λειτουργική, λογιστική, νομική ή συμβατική ανάγκη που τα δικαιολογεί. Μετά την ολοκλήρωση όλων των σχετικών σκοπών, η MYPAY προβαίνει στη διαγραφή ή ανωνυμοποίηση των δεδομένων, εξασφαλίζοντας την πλήρη συμμόρφωση με τα άρθρα 5 και 17 του GDPR.

 

9. Αποδέκτες Δεδομένων και Εσωτερική Πρόσβαση

Η MYPAY δεν κοινοποιεί προσωπικά δεδομένα σε τρίτους, εκτός εάν η κοινοποίηση αυτή είναι απολύτως αναγκαία για την εκτέλεση των τεχνολογικών και τεχνικών υπηρεσιών που παρέχει, επιβάλλεται από ρητή διάταξη νόμου ή προβλέπεται από σύμβαση με το Υποκείμενο των Δεδομένων. Η πρόσβαση και κοινοποίηση δεδομένων δεν επεκτείνεται σε δραστηριότητες που σχετίζονται με υπηρεσίες πληρωμών ή ηλεκτρονικού χρήματος, δεδομένου ότι η MYPAY δεν δραστηριοποιείται ως ίδρυμα πληρωμών ή ηλεκτρονικού χρήματος ούτε παρέχει υπηρεσίες του ν. 4537/2018. Κάθε κοινοποίηση διενεργείται υπό αυστηρούς όρους εμπιστευτικότητας και σύμφωνα με τις αρχές ελαχιστοποίησης, περιορισμού σκοπού και λογοδοσίας του άρθρου 5 του Κανονισμού (ΕΕ) 2016/679 («GDPR»).

Η εσωτερική πρόσβαση στα δεδομένα επιτρέπεται μόνο σε εξουσιοδοτημένα στελέχη της MYPAY, των οποίων τα καθήκοντα συνδέονται άμεσα με τον αντίστοιχο σκοπό επεξεργασίας. Η πρόσβαση ρυθμίζεται μέσω συστημάτων διαχείρισης ρόλων και επιπέδων (role-based access control) και διέπεται από την αρχή του ελάχιστου αναγκαίου προνομίου. Κάθε πρόσβαση καταγράφεται σε αρχεία καταγραφής (audit logs) και υπόκειται σε περιοδικό έλεγχο, σύμφωνα με τις απαιτήσεις του άρθρου 32 GDPR και του Κανονισμού (ΕΕ) 2022/2554 («DORA») αναφορικά με την ιχνηλασιμότητα και τον έλεγχο πρόσβασης.

Η MYPAY δύναται να κοινοποιεί δεδομένα σε αρμόδιες δημόσιες, δικαστικές ή ανεξάρτητες αρχές, όπως η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, η Ανεξάρτητη Αρχή Δημοσίων Εσόδων ή άλλες αρμόδιες αρχές, αποκλειστικά όταν τούτο απαιτείται από το εφαρμοστέο νομικό πλαίσιο ή στο πλαίσιο επίσημης διαδικασίας ή νόμιμου αιτήματος των αρχών αυτών.

Για την υποστήριξη των τεχνολογικών και πληροφοριακών λειτουργιών της, η MYPAY χρησιμοποιεί εξειδικευμένους παρόχους τεχνολογικών υπηρεσιών, όπως παρόχους φιλοξενίας δεδομένων (hosting), παρόχους cloud υποδομών, data centers, υπηρεσίες υποστήριξης πληροφορικής, παρόχους κυβερνοασφάλειας, καθώς και εξωτερικούς τεχνικούς συμβούλους ή ελεγκτές πληροφοριακών συστημάτων. Οι πάροχοι αυτοί ενεργούν ως εκτελούντες την επεξεργασία, σύμφωνα με το άρθρο 28 GDPR, και δεσμεύονται από κατάλληλες συμβάσεις προστασίας δεδομένων, οι οποίες διασφαλίζουν την τήρηση των υποχρεώσεων εμπιστευτικότητας, ασφάλειας, ακεραιότητας και ιχνηλασιμότητας των δεδομένων. Η MYPAY, στο πλαίσιο της τεχνολογικής της λειτουργίας, χρησιμοποιεί επίσης ψηφιακές πλατφόρμες συνεργασίας και διαχείρισης έργων, όπως ενδεικτικά η πλατφόρμα monday.com, αποκλειστικά για σκοπούς οργάνωσης, τεχνικής υποστήριξης, διαχείρισης αιτημάτων και εσωτερικών ροών εργασίας. Οι εν λόγω πλατφόρμες λειτουργούν ως εκτελούντες την επεξεργασία και συμμορφώνονται με τις απαιτήσεις του άρθρου 28 GDPR, καθώς και με τις υποχρεώσεις ασφάλειας και ανθεκτικότητας του Κανονισμού DORA. Η χρήση τέτοιων ψηφιακών εργαλείων περιορίζεται αυστηρά στον σκοπό της διαχείρισης τεχνικών και λειτουργικών διαδικασιών και δεν συνεπάγεται επεξεργασία δεδομένων που σχετίζονται με χρηματοοικονομικές συναλλαγές ή υπηρεσίες πληρωμών.

Η MYPAY ενδέχεται να συνεργάζεται με επαγγελματίες συμβούλους, όπως δικηγόρους, λογιστές, εξωτερικούς ελεγκτές ή συμβούλους διαχείρισης κινδύνου, αποκλειστικά όταν αυτό είναι απαραίτητο για τη διαχείριση νομικών, οικονομικών ή τεχνικών υποχρεώσεων της Εταιρείας. Όλοι οι σύμβουλοι δεσμεύονται από καθήκον εχεμύθειας και επαγγελματικό απόρρητο, καθώς και από συμβατικές υποχρεώσεις προστασίας δεδομένων.

Σε περιπτώσεις δικαστικών ή διοικητικών διαδικασιών, επίσημων αιτημάτων ή ερευνών για αδικήματα, η MYPAY δύναται να κοινοποιεί δεδομένα σε δικαστικές ή διωκτικές αρχές, υπό την προϋπόθεση ότι τέτοια κοινοποίηση επιβάλλεται από τον νόμο και τηρεί την αρχή της αναλογικότητας και της ελάχιστης διαταρακτικότητας για τα δικαιώματα του υποκειμένου.

Σε περίπτωση αναδιοργάνωσης, συγχώνευσης, εξαγοράς ή άλλης εταιρικής μεταβίβασης, τα προσωπικά δεδομένα μπορεί να κοινοποιηθούν στον νόμιμο διάδοχο, υπό τον όρο ότι η νέα οντότητα αναλαμβάνει πλήρως τις υποχρεώσεις προστασίας δεδομένων που απορρέουν από τον GDPR και από την παρούσα Πολιτική.

Η MYPAY δεν πωλεί, δεν ενοικιάζει και δεν διαμοιράζεται προσωπικά δεδομένα για σκοπούς εμπορικής εκμετάλλευσης που δεν συνδέονται με την παροχή των τεχνολογικών της υπηρεσιών. Όλες οι κοινοποιήσεις αξιολογούνται, καταγράφονται και τεκμηριώνονται, και υπόκεινται σε περιοδικούς ελέγχους από τη Μονάδα Συμμόρφωσης και τον Υπεύθυνο Προστασίας Δεδομένων, προκειμένου να διασφαλίζεται η συνεχής προστασία των δικαιωμάτων και ελευθεριών των υποκειμένων.

 

10. Διαβίβαση σε Τρίτες Χώρες και Εγγυήσεις

Η MYPAY, ως Εταιρεία εγκατεστημένη στην Ευρωπαϊκή Ένωση και εποπτευόμενη από την Τράπεζα της Ελλάδος, διατηρεί κατά κανόνα τα προσωπικά δεδομένα των χρηστών της εντός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ), όπου ισχύει το ενιαίο πλαίσιο προστασίας προσωπικών δεδομένων βάσει του GDPR). Αυτό διασφαλίζει το υψηλότερο επίπεδο προστασίας και την άμεση εποπτεία από τις αρμόδιες ευρωπαϊκές αρχές.

Κατά την παρούσα χρονική στιγμή, η MYPAY περιορίζει στο ελάχιστο δυνατό τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε χώρες εκτός ΕΕ/ΕΟΧ και προτιμά παρόχους και συνεργάτες που διατηρούν υποδομές εντός των ευρωπαϊκών γεωγραφικών και νομικών ορίων. Η υποδομή πληροφορικής και τα κέντρα δεδομένων που υποστηρίζουν τις κύριες υπηρεσίες της Εταιρείας βρίσκονται εντός ΕΟΧ, διασφαλίζοντας κανονιστική συνέπεια και άμεση εποπτεία.

Περιπτώσεις εξαιρετικής διαβίβασης: Σε περίπτωση που, για τεχνικούς, λειτουργικούς ή νομικούς λόγους, καταστεί αναγκαία η διαβίβαση δεδομένων σε τρίτη χώρα ή σε διεθνή οργανισμό, η MYPAY θα το πράξει μόνο εφόσον πληρούνται σωρευτικά οι ακόλουθες προϋποθέσεις:

• Η χώρα προορισμού έχει αναγνωριστεί από την Ευρωπαϊκή Επιτροπή ως παρέχουσα επαρκές επίπεδο προστασίας (adequacy decision) βάσει του άρθρου 45 GDPR, ή
• Έχουν εφαρμοστεί πρόσθετα τεχνικά και οργανωτικά μέτρα προστασίας (όπως κρυπτογράφηση τέλος-σε-τέλος, ψευδωνυμοποίηση, περιορισμός πρόσβασης, συνεχής monitoring), εφόσον απαιτείται από τα αποτελέσματα εκτίμησης αντικτύπου μεταφοράς (Transfer Impact Assessment – TIA).
• Δεσμευτικοί Εταιρικοί Κανόνες (Binding Corporate Rules – BCRs) που έχουν εγκριθεί από αρμόδιες εποπτικές αρχές προστασίας δεδομένων, όπου εφαρμόζεται σε ενδοομιλικές μεταφορές.

Εξαιρέσεις για ειδικές καταστάσεις: Κατ’ εξαίρεση, η διαβίβαση μπορεί να γίνει χωρίς απόφαση επάρκειας ή κατάλληλες εγγυήσεις, μόνο σε συγκεκριμένες περιπτώσεις του άρθρου 49 GDPR, όπως:

1. Ρητή συγκατάθεση του Υποκειμένου μετά από ενημέρωση για τους κινδύνους,
2. Απαραίτητη διαβίβαση για την εκτέλεση σύμβασης μεταξύ του Υποκειμένου και του υπευθύνου επεξεργασίας,
3. Σημαντικοί λόγοι δημοσίου συμφέροντος,
4. Προστασία ζωτικών συμφερόντων όταν το Υποκείμενο είναι φυσικά ή νομικά ανίκανο να δώσει συγκατάθεση.

Διαδικασίες διασφάλισης: Κάθε διαβίβαση σε τρίτη χώρα προηγείται από λεπτομερή αξιολόγηση κινδύνου που εξετάζει το νομικό πλαίσιο της χώρας προορισμού, τις πρακτικές του παραλήπτη, τη φύση των δεδομένων και τους δυνητικούς κινδύνους για τα δικαιώματα των υποκειμένων. Η εκτίμηση αυτή επικαιροποιείται περιοδικά και λαμβάνει υπόψη εξελίξεις στο νομικό και πολιτικό περιβάλλον των χωρών προορισμού.

Ενημέρωση υποκειμένων: Κάθε τέτοια διαβίβαση προηγείται από σαφή και λεπτομερή ενημέρωση των υποκειμένων, η οποία περιλαμβάνει τον παραλήπτη, τη χώρα προορισμού, τη νομική βάση της διαβίβασης, τις εφαρμοζόμενες εγγυήσεις, τους πιθανούς κινδύνους και τα σχετικά δικαιώματα του χρήστη, συμπεριλαμβανομένου του δικαιώματος ένστασης.

Η συμμόρφωση με τις απαιτήσεις για διεθνείς διαβιβάσεις αποτελεί αντικείμενο εποπτείας από τον Υπεύθυνο Προστασίας Δεδομένων (DPO), σε συνεργασία με τη Νομική Υπηρεσία και τις Μονάδες Πληροφορικής και Συμμόρφωσης. Εντάσσεται δε στο γενικότερο πλαίσιο ανθεκτικότητας και ελέγχου εξωτερικών εξαρτήσεων, όπως επιτάσσει ο Κανονισμός DORA.

Σε κάθε περίπτωση συνεργασίας με τρίτους παρόχους ή υποδομές εκτός ΕΟΧ, η διαβίβαση πραγματοποιείται μόνο εφόσον υπάρχουν επαρκείς εγγυήσεις προστασίας σύμφωνα με τα άρθρα 45–49 του GDPR, όπως:

(α) αποφάσεις επάρκειας της Ευρωπαϊκής Επιτροπής,

(β) Πρότυπες Συμβατικές Ρήτρες (SCCs),

(γ) Δεσμευτικοί Εταιρικοί Κανόνες (BCRs),

(δ) εγκεκριμένοι μηχανισμοί πιστοποίησης, ή

(ε) τεχνικά μέτρα όπως κρυπτογράφηση και ψευδωνυμοποίηση.

Η MYPAY αναλαμβάνει να διενεργεί Transfer Impact Assessments (TIAs) πριν από κάθε διεθνή διαβίβαση και παρακολουθεί συστηματικά το νομικό πλαίσιο των χωρών προορισμού για να διασφαλίζει ότι η προστασία των δεδομένων παραμένει ισοδύναμη με το ευρωπαϊκό επίπεδο.

 

11. Τεχνικά και Οργανωτικά Μέτρα Ασφάλειας (DORA Compliant)

Η Η MYPAY εφαρμόζει ένα ολοκληρωμένο πλαίσιο τεχνικών και οργανωτικών μέτρων ασφάλειας, σύμφωνο με το άρθρο 32 του Κανονισμού (ΕΕ) 2016/679 («GDPR»), τον ν. 4624/2019, τις κατευθυντήριες οδηγίες του Ευρωπαϊκού Οργανισμού για την Κυβερνοασφάλεια (ENISA) και τις υποχρεώσεις για τη διακυβέρνηση και ανθεκτικότητα των ψηφιακών λειτουργιών που καθορίζονται στα άρθρα 9 έως 15 του Κανονισμού (ΕΕ) 2022/2554 («DORA»). Τα μέτρα αυτά είναι σχεδιασμένα με γνώμονα την προστασία της εμπιστευτικότητας, της ακεραιότητας, της διαθεσιμότητας και της ανθεκτικότητας των πληροφοριακών συστημάτων και δεδομένων που επεξεργάζεται η MYPAY κατά την παροχή των τεχνολογικών και τεχνικών υπηρεσιών της ως Technical Service Provider.

Η MYPAY εφαρμόζει διαδικασίες συνεχούς αξιολόγησης κινδύνων που σχετίζονται με τα πληροφοριακά της συστήματα και με τα δεδομένα που αυτά επεξεργάζονται, λαμβάνοντας υπόψη τη φύση, το αντικείμενο, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τις πιθανές επιπτώσεις από περιστατικά ασφάλειας. Η προσέγγιση αυτή βασίζεται στην αρχή της αναλογικότητας και της λογοδοσίας του άρθρου 5 GDPR, και διασφαλίζει ότι τα μέτρα ασφάλειας είναι κατάλληλα, επικαιροποιημένα και τεχνικά επαρκή.

Στο πλαίσιο των τεχνικών μέτρων, η MYPAY εφαρμόζει εκτεταμένες πρακτικές ελέγχου πρόσβασης στα συστήματά της, με αυστηρή διαχείριση δικαιωμάτων, ταυτοποίηση χρηστών και περιορισμό πρόσβασης μόνο στο προσωπικό που είναι απολύτως απαραίτητο να έχει πρόσβαση σε συγκεκριμένα δεδομένα ή λειτουργίες. Τα πληροφοριακά συστήματα χρησιμοποιούν μηχανισμούς καταγραφής συμβάντων (logging) και παρακολούθησης της συμπεριφοράς των συστημάτων, οι οποίοι επιτρέπουν την έγκαιρη ανίχνευση και αντιμετώπιση συμβάντων ασφάλειας, σε πλήρη συμμόρφωση με τις απαιτήσεις των άρθρων 11 και 12 του Κανονισμού DORA σχετικά με την παρακολούθηση και τη διαχείριση συμβάντων ICT.

Η MYPAY χρησιμοποιεί τεχνολογίες κρυπτογράφησης κατάλληλες για την προστασία δεδομένων σε κατάσταση μεταφοράς και αποθήκευσης, εφαρμόζοντας σύγχρονα πρωτόκολλα ασφαλείας και μεθόδους ισχυρής προστασίας δεδομένων. Επιπλέον, εφαρμόζει πολιτικές ψευδωνυμοποίησης και ελαχιστοποίησης των δεδομένων, όταν αυτό είναι τεχνικά εφικτό και συμβατό με τους επιχειρησιακούς σκοπούς της επεξεργασίας.

Ιδιαίτερη έμφαση δίνεται στη διασφάλιση της επιχειρησιακής συνέχειας των τεχνολογικών υποδομών, με εφαρμογή διαδικασιών ανάκαμψης μετά από συμβάντα (disaster recovery), σχεδίων επιχειρησιακής συνέχειας και μέτρων ανθεκτικότητας, σύμφωνα με τα άρθρα 13 έως 15 του Κανονισμού DORA. Οι διαδικασίες αυτές περιλαμβάνουν τακτικές δοκιμές, αξιολογήσεις της αποτελεσματικότητας των μέτρων και συνεχείς ελέγχους για τη διατήρηση της υψηλής ανθεκτικότητας των πληροφοριακών συστημάτων.

Η MYPAY εφαρμόζει οργανωτικά μέτρα που αφορούν την εκπαίδευση και ευαισθητοποίηση του προσωπικού σε θέματα ασφάλειας πληροφοριών, τη θέσπιση σαφών πολιτικών και διαδικασιών επεξεργασίας δεδομένων, την υποχρέωση τήρησης εμπιστευτικότητας από όλα τα στελέχη της και την τακτική αναθεώρηση των εσωτερικών πρακτικών ασφάλειας. Όλα τα πρόσωπα που έχουν πρόσβαση στα πληροφοριακά συστήματα της MYPAY δεσμεύονται από υποχρεώσεις εμπιστευτικότητας και συμμορφώνονται με τις εσωτερικές πολιτικές ασφάλειας της Εταιρείας.

Η MYPAY συνεργάζεται μόνο με παρόχους τεχνολογικών υπηρεσιών που πληρούν υψηλά πρότυπα ασφάλειας, σύμφωνα με τις απαιτήσεις του άρθρου 28 GDPR και τις υποχρεώσεις τρίτων παρόχων ICT υπηρεσιών κατά τον Κανονισμό DORA. Κάθε συνεργάτης που ενεργεί ως Εκτελών την Επεξεργασία δεσμεύεται με σύμβαση που προβλέπει ρητά τις απαιτήσεις ασφάλειας, τα μέτρα προστασίας, τη διαχείριση περιστατικών και τις διαδικασίες λογοδοσίας.

Το πλαίσιο ασφάλειας της MYPAY αναθεωρείται περιοδικά, υπόκειται σε ελέγχους και επικαιροποιήσεις και διασφαλίζει ότι κάθε τεχνικό ή οργανωτικό μέτρο επιλέγεται και εφαρμόζεται με στόχο την πλήρη συμμόρφωση με τον GDPR και τον Κανονισμό DORA, καθώς και την προστασία των υποκειμένων έναντι κάθε κινδύνου που προκύπτει από την επεξεργασία προσωπικών δεδομένων.

 

 

12. Αυτοματοποιημένη Λήψη Αποφάσεων και Ανάλυση Προφίλ (Profiling)

Η MYPAY δεν εφαρμόζει τεχνικές αυτοματοποιημένης λήψης αποφάσεων ή ανάλυσης προφίλ που παράγουν έννομα αποτελέσματα ή επηρεάζουν ουσιωδώς το Υποκείμενο χωρίς προηγούμενη ανθρώπινη παρέμβαση, σύμφωνα με το άρθρο 22 του Κανονισμού (ΕΕ) 2016/679 («GDPR»). Η MYPAY δύναται να χρησιμοποιεί τεχνολογίες αυτοματοποιημένης επεξεργασίας αποκλειστικά για σκοπούς που συνδέονται με την τεχνική λειτουργία και ασφάλεια των πληροφοριακών της συστημάτων, με σκοπό την ανίχνευση τεχνικών ανωμαλιών, την παρακολούθηση της ορθής λειτουργίας των υποδομών πληροφορικής, ή την αξιολόγηση κινδύνων που αφορούν αποκλειστικά τη λειτουργικότητα των τεχνολογικών υπηρεσιών της. Οι διαδικασίες αυτές δεν αφορούν αξιολόγηση οικονομικής συμπεριφοράς, πιστοληπτικής ικανότητας, συναλλακτικών προτύπων ή οποιαδήποτε λειτουργία που συνδέεται με υπηρεσίες πληρωμών.

Κάθε μορφή αυτοματοποιημένης επεξεργασίας χρησιμοποιείται μόνο ως τεχνικό εργαλείο υποστήριξης και όχι ως μηχανισμός που υποκαθιστά την ανθρώπινη κρίση. Όταν απαιτούνται μηχανισμοί αυτοματοποιημένης επεξεργασίας για σκοπούς λειτουργικής ασφάλειας, αυτοί τελούν υπό ανθρώπινη εποπτεία και συνοδεύονται από διαδικασίες ελέγχου και επανεξέτασης. Η MYPAY διασφαλίζει ότι σε κάθε περίπτωση ο χρήστης έχει δικαίωμα να ζητήσει ανθρώπινη παρέμβαση, να εκφράσει τη θέση του και να αμφισβητήσει την απόφαση, σύμφωνα με το άρθρο 22 παράγραφος 3 GDPR.

Η MYPAY δεν διενεργεί profiling για σκοπούς εμπορικής προώθησης, αξιολόγησης προσωπικών χαρακτηριστικών, συμπεριφορικής στόχευσης, κατάρτισης προφίλ χρηματοοικονομικής συμπεριφοράς ή οποιασδήποτε μορφής αυτοματοποιημένης αξιολόγησης που δεν συνδέεται με τον ρόλο της ως παρόχου τεχνολογικών και τεχνικών υπηρεσιών.

 

13. Προστασία Ανηλίκων και Ειδικές Κατηγορίες Δεδομένων

Η MYPAY Η MYPAY αναγνωρίζει την ιδιαίτερη προστασία που απαιτείται κατά την επεξεργασία δεδομένων ανηλίκων και ειδικών κατηγοριών προσωπικών δεδομένων, σύμφωνα με τα άρθρα 8 και 9 του GDPR και το άρθρο 8 του ν. 4624/2019. Οι τεχνολογικές υπηρεσίες που παρέχει η MYPAY απευθύνονται σε ενήλικες χρήστες, άνω των δεκαοκτώ (18) ετών, δεδομένης της φύσης και του αντικειμένου των υπηρεσιών της. Η MYPAY δεν επιδιώκει ούτε επιτρέπει εν γνώσει της τη χρήση των υπηρεσιών της από ανηλίκους κάτω των δεκαπέντε (15) ετών και δεν συλλέγει εν γνώσει της δεδομένα τέτοιων προσώπων.

Εφόσον διαπιστωθεί ότι έχουν συλλεχθεί δεδομένα ανηλίκου χωρίς την απαιτούμενη γονική συγκατάθεση, η MYPAY προβαίνει χωρίς καθυστέρηση στη διαγραφή τους, εφαρμόζοντας κατάλληλα τεχνικά και οργανωτικά μέτρα για την πρόληψη παρόμοιων περιστατικών στο μέλλον.

Η MYPAY, στο πλαίσιο των τεχνολογικών της λειτουργιών, δεν συλλέγει κατά κανόνα ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα κατά το άρθρο 9 GDPR. Σε εξαιρετικές περιπτώσεις όπου τέτοια δεδομένα παρέχονται από το Υποκείμενο στο πλαίσιο επικοινωνίας ή τεχνικής υποστήριξης (π.χ. περιγραφές συμβάντων), αυτά υποβάλλονται σε επεξεργασία μόνο εφόσον είναι απολύτως απαραίτητα για τον συγκεκριμένο σκοπό και σύμφωνα με τις προβλέψεις του άρθρου 9 παράγραφος 2 GDPR. Τα δεδομένα αυτά διατηρούνται για τον ελάχιστο δυνατό χρόνο και υπό αυστηρά μέτρα προστασίας.

Η MYPAY δεν παρέχει υπηρεσίες βιομετρικής αυθεντικοποίησης και δεν επεξεργάζεται βιομετρικά δεδομένα για σκοπούς μοναδικής ταυτοποίησης, εκτός εάν αυτά συλλέγονται και επεξεργάζονται στο πλαίσιο λειτουργικού χαρακτηριστικού συσκευής του υποκειμένου (π.χ. βιομετρικά unlock μηχανισμών κινητών συσκευών), οπότε παραμένουν στην αποκλειστική κατοχή του ίδιου του χρήστη και δεν υποβάλλονται σε επεξεργασία από τη MYPAY.

Για όλες τις περιπτώσεις κατά τις οποίες μπορεί να απαιτηθεί επεξεργασία δεδομένων ανηλίκων ή ειδικών κατηγοριών δεδομένων, η MYPAY εφαρμόζει ενισχυμένα τεχνικά και οργανωτικά μέτρα, συμπεριλαμβανομένης της περιορισμένης πρόσβασης, της κρυπτογράφησης, της ανάγκης προηγούμενης αξιολόγησης αντικτύπου (DPIA) όταν απαιτείται και της αυστηρής εποπτείας από τον Υπεύθυνο Προστασίας Δεδομένων.

 

14. Δικαιώματα Χρηστών και Τρόπος Άσκησης

Η MYPAY διασφαλίζει ότι κάθε φυσικό πρόσωπο του οποίου τα δεδομένα επεξεργάζεται απολαμβάνει πλήρως τα δικαιώματα που προβλέπονται από τον GDPR και την εθνική νομοθεσία. Η άσκηση των δικαιωμάτων αυτών είναι δωρεάν, εύκολη και διαφανής, και υποστηρίζεται από ψηφιακές πλατφόρμες και διαδικασίες εσωτερικής διαχείρισης με συγκεκριμένα χρονικά όρια απόκρισης.

Δικαίωμα πρόσβασης (άρθρο 15 GDPR): Τα Υποκείμενα έχουν δικαίωμα να λάβουν επιβεβαίωση για το εάν επεξεργάζονται προσωπικά δεδομένα που τα αφορούν και, σε καταφατική περίπτωση, πρόσβαση στα δεδομένα αυτά μαζί με λεπτομερείς πληροφορίες σχετικά με τον σκοπό επεξεργασίας, τις κατηγορίες δεδομένων, τους αποδέκτες, την προβλεπόμενη περίοδο διατήρησης, τα δικαιώματά τους και τις πηγές των δεδομένων. Η Εταιρεία παρέχει αντίγραφο των δεδομένων σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανή μορφότυπο.

Δικαίωμα διόρθωσης (άρθρο 16 GDPR): Τα Υποκείμενα μπορούν να ζητήσουν τη διόρθωση ανακριβών προσωπικών δεδομένων που τα αφορούν ή τη συμπλήρωση ελλιπών δεδομένων. Η MYPAY προσφέρει εργαλεία αυτοεξυπηρέτησης μέσω των ψηφιακών της πλατφορμών για άμεση διόρθωση συγκεκριμένων κατηγοριών δεδομένων, ενώ για πιο πολύπλοκες περιπτώσεις εφαρμόζει διαδικασίες επαλήθευσης.

Δικαίωμα διαγραφής – “Δικαίωμα στη λήθη” (άρθρο 17 GDPR): Τα Υποκείμενα μπορούν να ζητήσουν τη διαγραφή των προσωπικών τους δεδομένων όταν δεν είναι πλέον απαραίτητα για τον σκοπό για τον οποίο συλλέχθηκαν, όταν ανακαλούν τη συγκατάθεσή τους, όταν εναντιώνονται στην επεξεργασία ή όταν τα δεδομένα έχουν επεξεργαστεί παράνομα. Το δικαίωμα αυτό ασκείται με την επιφύλαξη των νομικών υποχρεώσεων διατήρησης που ισχύουν για ιδρύματα ηλεκτρονικού χρήματος.

Δικαίωμα περιορισμού της επεξεργασίας (άρθρο 18 GDPR): Σε περιπτώσεις αμφισβήτησης της ακρίβειας των δεδομένων, παράνομης επεξεργασίας, εξέτασης αιτήματος διαγραφής ή εναντίωσης, τα Υποκείμενα μπορούν να ζητήσουν τον περιορισμό της επεξεργασίας, οπότε τα δεδομένα μπορούν μόνο να αποθηκευτούν χωρίς περαιτέρω επεξεργασία.

Δικαίωμα φορητότητας δεδομένων (άρθρο 20 GDPR): Τα Υποκείμενα έχουν δικαίωμα να λάβουν τα προσωπικά δεδομένα που τα αφορούν σε δομημένο, κοινώς χρησιμοποιούμενο και αναγνώσιμο από μηχανή μορφότυπο (JSON, CSV, XML), καθώς και να ζητήσουν τη διαβίβασή τους απευθείας σε άλλον υπεύθυνο επεξεργασίας, όπου αυτό είναι τεχνικά εφικτό. Η MYPAY παρέχει αυτοματοποιημένα εργαλεία εξαγωγής δεδομένων μέσω API ή ασφαλών ψηφιακών πλατφορμών.

Δικαίωμα εναντίωσης (άρθρο 21 GDPR): Τα Υποκείμενα μπορούν να εναντιωθούν στην επεξεργασία που βασίζεται σε έννομο συμφέρον ή εκτέλεση καθήκοντος δημοσίου συμφέροντος, καθώς και στην επεξεργασία για σκοπούς άμεσης εμπορικής προώθησης. Μετά από εναντίωση, η επεξεργασία παύει, εκτός αν υπάρχουν επιτακτικοί νόμιμοι λόγοι που υπερισχύουν των συμφερόντων του Υποκειμένου.

Δικαίωμα μη υπαγωγής σε αυτοματοποιημένη λήψη αποφάσεων (άρθρο 22 GDPR): Τα Υποκείμενα έχουν δικαίωμα να μην υπάγονται σε τυχόν αποφάσεις που βασίζονται αποκλειστικά σε αυτοματοποιημένη επεξεργασία, όπως αυτές προβλέπονται στο άρθρο 12 της παρούσας και παράγουν νομικά αποτελέσματα ή τα επηρεάζουν σημαντικά. Όπου τέτοιες τεχνικές χρησιμοποιούνται (π.χ. fraud detection), η Εταιρεία διασφαλίζει ανθρώπινη παρέμβαση και δυνατότητα ένστασης.

Ανάκληση συγκατάθεσης: Όπου η επεξεργασία βασίζεται σε συγκατάθεση, τα Υποκείμενα μπορούν να την ανακαλέσουν οποτεδήποτε με την ίδια ευκολία που την παρείχαν. Η ανάκληση γίνεται μέσω των ίδιων καναλιών που χρησιμοποιήθηκαν για την παροχή της συγκατάθεσης ή μέσω ειδικών εργαλείων στην πλατφόρμα.

 

15. Παράπονα — Επικοινωνία με την MYPAY και τις Αρχές

Η MYPAY διατηρεί σταθερή δέσμευση για τη διαφάνεια, την υπευθυνότητα και τη συμμόρφωση με το θεσμικό πλαίσιο προστασίας προσωπικών δεδομένων. Στο πλαίσιο αυτό, έχει θεσπίσει ολοκληρωμένη διαδικασία διαχείρισης παραπόνων που επιτρέπει σε κάθε ενδιαφερόμενο να εκφράσει ανησυχίες, να ασκήσει δικαιώματα ή να αναφέρει ενδεχόμενη παραβίαση απορρήτου, με τρόπο εύκολο, προσβάσιμο και αποτελεσματικό.

Κατηγορίες αιτημάτων: Οι χρήστες και τα Υποκείμενα των δεδομένων μπορούν να απευθύνονται στη MYPAY για:

• Ερωτήματα σχετικά με την επεξεργασία των προσωπικών τους δεδομένων,
• Αιτήματα άσκησης δικαιωμάτων (πρόσβαση, διόρθωση, διαγραφή, περιορισμός, φορητότητα, εναντίωση),
• Ενστάσεις για τον τρόπο επεξεργασίας, τη νομική βάση ή τη συμμόρφωση με τον GDPR,
• Καταγγελίες για εικαζόμενη παραβίαση ή παράνομη επεξεργασία,
• Αναφορές για τεχνικές ανεπάρκειες, διαρροές ή μη εξουσιοδοτημένες ενέργειες,
• Αιτήματα ανάκλησης συγκατάθεσης ή τροποποίησης προτιμήσεων,
• Αναφορές προβλημάτων στη λειτουργία των υπηρεσιών που σχετίζονται με την προστασία δεδομένων.
• Αναφορές λανθασμένων ή ανακριβών στοιχείων επικοινωνίας (ιδίως τηλεφωνικού αριθμού) ή μη εξουσιοδοτημένης επικοινωνίας που αφορά τρίτο πρόσωπο.

Κανάλια υποβολής παραπόνων: Τα παράπονα και αιτήματα μπορούν να υποβληθούν μέσω:

• Ηλεκτρονικής φόρμας στον επίσημο ιστότοπο της Εταιρείας (mypay.gr),
• Άμεσης ηλεκτρονικής επικοινωνίας με τον Υπεύθυνο Προστασίας Δεδομένων (dpo@mypay.gr ), Γραμμής εξυπηρέτησης πελατών (+30 2106850050),
• Μέσω της εφαρμογής κινητής τηλεφωνίας στην ενότητα “Υποστήριξη”,
• Ταχυδρομικώς στην έδρα της MYPAY (Χαριλάου Τρικούπη 4, 30131 Αγρίνιο), με την ένδειξη “Προς DPO — Απόρρητο”,

Διαδικασία διαχείρισης: Η Εταιρεία ακολουθεί δομημένη διαδικασία διαχείρισης που περιλαμβάνει:

• Άμεση παραλαβή και καταγραφή του αιτήματος με μοναδικό αριθμό παρακολούθησης,
• Αρχική αξιολόγηση και κατηγοριοποίηση από εκπαιδευμένο προσωπικό,
• Διαβίβαση στον αρμόδιο λειτουργό ή τμήμα ανάλογα με τη φύση του αιτήματος,
• Λεπτομερή εξέταση και έρευνα από ειδικούς σε θέματα προστασίας δεδομένων,
• Συντονισμό με τον DPO για πολύπλοκα ή ευαίσθητα θέματα,
• Προετοιμασία πλήρους και τεκμηριωμένης απάντησης.

Χρονικά όρια απόκρισης: Η Εταιρεία δεσμεύεται να:

• Επιβεβαιώσει την παραλαβή του αιτήματος εντός 48 ωρών,
• Παρέχει πλήρη απάντηση εντός ενός (1) μηνός από την παραλαβή,
• Ενημερώσει για την πρόοδο σε περίπτωση καθυστέρησης,
• Ζητήσει παράταση έως δύο (2) επιπλέον μήνες για εξαιρετικά πολύπλοκα θέματα.

Δικαίωμα προσφυγής στις αρχές: Εφόσον το Υποκείμενο δεν ικανοποιηθεί από την απάντηση της Εταιρείας ή θεωρεί ότι παραβιάζεται η ιδιωτικότητά του, έχει δικαίωμα να προσφύγει στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ):

Διεύθυνση: Λεωφ. Κηφισίας 1-3, 115 23, Αθήνα

Τηλέφωνο: 210 6475600

Ιστότοπος: www.dpa.gr

E-mail: contact@dpa.gr

Επίσης, δύναται να προσφύγει στα αρμόδια δικαστήρια για αποζημίωση υλικής ή ηθικής βλάβης που τυχόν υπέστη λόγω παραβίασης του GDPR.

Εσωτερική διαχείριση και βελτίωση: Η MYPAY χρησιμοποιεί την ανατροφοδότηση από παράπονα και αιτήματα για:

• Τον εντοπισμό προβλημάτων στις διαδικασίες προστασίας δεδομένων,
• Τη βελτίωση των πολιτικών και διαδικασιών,
• Την εκπαίδευση του προσωπικού,
• Την ενίσχυση των τεχνικών μέτρων ασφάλειας,
• Τη βελτιστοποίηση της εμπειρίας χρήστη.

Όλα τα αιτήματα καταγράφονται, αξιολογούνται και τεκμηριώνονται στο πλαίσιο συμμόρφωσης της Εταιρείας με τις υποχρεώσεις λογοδοσίας του GDPR. Η Εταιρεία τηρεί στατιστικά στοιχεία και τάσεις των αιτημάτων για τη συνεχή βελτίωση των διαδικασιών και των υπηρεσιών της.

Η Εταιρεία συνεργάζεται πλήρως με τις αρμόδιες αρχές, παρέχει όλα τα απαιτούμενα στοιχεία και εφαρμόζει εσωτερικές διαδικασίες για την ανάλυση κάθε παραπόνου, στο πλαίσιο των υποχρεώσεών της βάσει GDPR, DORA και των κανόνων χρηστής διοίκησης που έχει υιοθετήσει. Τηρείται λεπτομερές αρχείο όλων των παραπόνων και των μέτρων που λήφθηκαν για την επίλυσή τους, ως μέρος των υποχρεώσεων λογοδοσίας της Εταιρείας.

Για χρήστες που διαμένουν σε άλλα κράτη-μέλη της ΕΕ/ΕΟΧ, ισχύει το δικαίωμα υποβολής καταγγελίας είτε στην ΑΠΔΠΧ είτε στην εποπτική αρχή του τόπου κατοικίας τους, σύμφωνα με το άρθρο 77 GDPR. Η MYPAY συνεργάζεται με όλες τις ευρωπαϊκές εποπτικές αρχές στο πλαίσιο του μηχανισμού συνεργασίας One-Stop-Shop.

 

16. Υπεύθυνος Προστασίας Δεδομένων — Στοιχεία Επικοινωνίας

Η MYPAY, συμμορφούμενη με τις διατάξεις των άρθρων 37-39 του Γενικού Κανονισμού για την Προστασία Δεδομένων, όπως τροποποιείται κάθε φορά και τίθεται σε ισχύ, έχει ορίσει Υπεύθυνο Προστασίας Δεδομένων (Data Protection Officer — DPO) για την παρακολούθηση, εποπτεία και διασφάλιση της συμμόρφωσης σε όλα τα θέματα προστασίας προσωπικών δεδομένων.

Καθήκοντα και αρμοδιότητες: Ο DPO έχει τις ακόλουθες βασικές αρμοδιότητες:

1. Ενημέρωση και παροχή συμβουλών προς τη Διοίκηση και τους εργαζομένους σχετικά με τις υποχρεώσεις που απορρέουν από τον GDPR και άλλες διατάξεις προστασίας δεδομένων,
2. Παρακολούθηση της συμμόρφωσης με τον GDPR, τον ν. 4624/2019 και άλλες διατάξεις προστασίας δεδομένων της Ένωσης ή του κράτους μέλους,
3. Διενέργεια εκτιμήσεων αντικτύπου για την προστασία δεδομένων (DPIA) και παρακολούθηση της εφαρμογής τους,
4. Συνεργασία με την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και λειτουργία ως σημείο επαφής για θέματα σχετικά με την επεξεργασία,
5. Διαχείριση αιτημάτων και παραπόνων υποκειμένων των δεδομένων,
6. Εκπαίδευση και ευαισθητοποίηση του προσωπικού σε θέματα προστασίας δεδομένων,
7. Συμμετοχή στον σχεδιασμό και την υλοποίηση πολιτικών προστασίας δεδομένων by design και by default.

Στοιχεία επικοινωνίας: Τα Υποκείμενα των δεδομένων, οι εργαζόμενοι και οποιοσδήποτε ενδιαφερόμενος δύναται να επικοινωνήσει απευθείας με τον DPO για οποιοδήποτε ζήτημα αφορά την επεξεργασία προσωπικών δεδομένων:

Υπεύθυνος Προστασίας Δεδομένων (DPO) της MYPAY Α.Ε.

Email: dpo@mypay.gr

Τηλέφωνο: +30 2106850050 (εσωτερικό 150)

Διεύθυνση: Χαριλάου Τρικούπη 4, 30131 Αγρίνιο, Ελλάδα

Ώρες εξυπηρέτησης: Δευτέρα-Παρασκευή, 09:00-17:00

Εμπιστευτικότητα και προσβασιμότητα: Η επικοινωνία με τον DPO είναι εμπιστευτική και δεν απαιτείται η προηγούμενη μεσολάβηση άλλης υπηρεσιακής μονάδας της Εταιρείας. Ο DPO δεσμεύεται να απαντά εγκαίρως και κατά τρόπο τεκμηριωμένο στα αιτήματα που υποβάλλονται, σύμφωνα με τις προβλέψεις του άρθρου 12 του Κανονισμού. Για σύνθετα θέματα που απαιτούν συνεργασία με άλλα τμήματα, ο DPO συντονίζει την απάντηση διασφαλίζοντας την πληρότητα και ακρίβεια των πληροφοριών.

Περιοδική αναθεώρηση: Η Εταιρεία αναθεωρεί περιοδικά τη λειτουργία και αποτελεσματικότητα του DPO, διασφαλίζοντας ότι αυτός/ή διατηρεί τα απαραίτητα προσόντα και ανεξαρτησία για την άσκηση των καθηκόντων του. Τα στοιχεία επικοινωνίας του DPO δημοσιεύονται στον επίσημο ιστότοπο της Εταιρείας και επικαιροποιούνται όποτε απαιτείται.

 

17. Ενημέρωση και Επικαιροποίηση της Πολιτικής

Η MYPAY διατηρεί το δικαίωμα να τροποποιεί την παρούσα Πολιτική Απορρήτου όποτε απαιτείται λόγω αλλαγών στο κανονιστικό πλαίσιο, στις τεχνολογικές εξελίξεις ή στις υπηρεσίες και προϊόντα της.

Οι εκάστοτε ενημερώσεις δημοσιεύονται στον ιστότοπο της Εταιρείας και, εφόσον προβλέπεται, κοινοποιούνται στους χρήστες μέσω email ή εντός της εφαρμογής. Η ημερομηνία τελευταίας αναθεώρησης αναγράφεται πάντοτε στην αρχή του εγγράφου καθώς επίσης και στο υποσέλιδο της παρούσας Πολιτικής.

 

 

 

 

 

Η MYPAY δεσμεύεται να διασφαλίζει την προστασία των προσωπικών δεδομένων που επεξεργάζεται, εφαρμόζοντας υψηλά πρότυπα ασφάλειας, διαφάνειας και λογοδοσίας. Η παρούσα Πολιτική Απορρήτου περιγράφει αναλυτικά το εφαρμοστέο νομικό πλαίσιο, τις αρχές επεξεργασίας, τα δικαιώματα των υποκειμένων, καθώς και τα τεχνικά και οργανωτικά μέτρα προστασίας που εφαρμόζει η MYPAY κατά την παροχή των τεχνολογικών και τεχνικών υπηρεσιών της ως πάροχος τεχνολογικών υπηρεσιών (Technical Service Provider – TSP). Η πολιτική αυτή ενσωματώνει τις απαιτήσεις του Γενικού Κανονισμού (ΕΕ) 2016/679 («GDPR»), του ν. 4624/2019, τις κατευθυντήριες οδηγίες της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, καθώς και τις υποχρεώσεις που απορρέουν από τον Κανονισμό (ΕΕ) 2022/2554 («DORA»), αναφορικά με την ασφάλεια και επιχειρησιακή ανθεκτικότητα των πληροφοριακών και τεχνολογικών συστημάτων.

Η MYPAY επανεξετάζει τακτικά την παρούσα Πολιτική, προκειμένου να ανταποκρίνεται στις τεχνολογικές εξελίξεις, στις απαιτήσεις ασφάλειας και στις αλλαγές του κανονιστικού πλαισίου. Κάθε τροποποίηση θα γνωστοποιείται με τρόπο διαφανή και έγκαιρο μέσω του επίσημου ιστότοπου της Εταιρείας.

Η παρούσα Πολιτική υπερισχύει οποιασδήποτε προγενέστερης έκδοσης και αποτελεί αναπόσπαστο μέρος του πλαισίου που διέπει τη χρήση των τεχνολογικών υπηρεσιών της MYPAY. Σε περίπτωση απόκλισης μεταξύ της ελληνικής έκδοσης και τυχόν μεταφρασμένων εκδόσεων, υπερισχύει η ελληνική.

Η Πολιτική Απορρήτου εγκρίνεται από το Διοικητικό Συμβούλιο της MYPAY Α.Ε. και τίθεται σε ισχύ από την ημερομηνία της έγκρισής της.

 

Τελευταία ενημέρωση: 12/01/2026
Έκδοση: 1.0