Σύμβαση Επεξεργασίας Δεδομένων

Τελευταία ενημέρωση: 24 Οκτωβρίου 2026

Μέρη και ρόλοι

Η σύμβαση αυτή αποτελεί μέρος των Όρων Χρήσης μεταξύ του ιατρείου σας («Πελάτης», ο υπεύθυνος επεξεργασίας) και της Hypermetron, της εταιρείας που λειτουργεί το HyperCRM (ο εκτελών την επεξεργασία) — η Hypermetron είναι επίσης το μέρος που συμβάλλεται με το ιατρείο σας και το τιμολογεί, και είναι υπεύθυνος επεξεργασίας για αυτή τη σχέση χρέωσης. Διέπει την επεξεργασία προσωπικών δεδομένων για λογαριασμό σας και είναι γραμμένη ώστε να ικανοποιεί το άρθρο 28 του ΓΚΠΔ. Για τα πλήρη στοιχεία της νομικής μας οντότητας, ή για αντίγραφο με υπογραφή για τον φάκελο συμμόρφωσής σας, γράψτε στο hello@hypercrm.app.

Τι επεξεργαζόμαστε και γιατί

• Αντικείμενο: η παροχή της υπηρεσίας διαχείρισης ιατρείου HyperCRM.
• Διάρκεια: όσο ο λογαριασμός σας είναι ανοιχτός, συν το παράθυρο διαγραφής παρακάτω.
• Φύση και σκοπός: ραντεβού, τήρηση κλινικού αρχείου, φόρμες, αποθήκευση αρχείων και έκδοση αποδείξεων και τιμολογίων, όπως τα ρυθμίζετε εσείς, καθώς και, όπου το ενεργοποιεί ένας επαγγελματίας υγείας, αποστολή των ραντεβού του σε ημερολόγιο της επιλογής του (βλ. Συγχρονισμός ημερολογίου παρακάτω).
• Κατηγορίες δεδομένων: δημογραφικά ασθενών, κλινικές σημειώσεις, απαντήσεις φορμών, έγγραφα, απεικονίσεις και τρισδιάστατες σαρώσεις, ραντεβού, αποδείξεις και τιμολόγια — περιλαμβανομένων δεδομένων υγείας, που είναι ειδικής κατηγορίας κατά το άρθρο 9.
• Κατηγορίες υποκειμένων: οι ασθενείς και το προσωπικό σας.

Οι υποχρεώσεις μας

Αναλαμβάνουμε να:

1. επεξεργαζόμαστε δεδομένα μόνο με τις τεκμηριωμένες οδηγίες σας, περιλαμβανομένων των μεταφορών, εκτός αν το απαιτεί ο νόμος — και όπου το απαιτεί, να σας ενημερώσουμε πρώτα, εκτός αν μας απαγορεύεται νομικά;
2. διασφαλίζουμε ότι όλοι όσοι εξουσιοδοτούμε δεσμεύονται από υποχρέωση εμπιστευτικότητας;
3. εφαρμόζουμε κατάλληλα τεχνικά και οργανωτικά μέτρα ασφάλειας — που παρατίθενται συγκεκριμένα στη σελίδα ασφάλειας: ταυτοποίηση με passkey, πρόσβαση βάσει ρόλων, ιστορικό ελέγχου κάθε αλλαγής σε καρτέλα, ιδιωτική αποθήκευση αρχείων μέσω βραχύβιων υπογεγραμμένων συνδέσμων, και κρυπτογράφηση κατά τη μεταφορά και σε ηρεμία;
4. αναθέτουμε σε υπεργολάβους μόνο με τους όρους παρακάτω;
5. σας βοηθούμε να απαντάτε σε αιτήματα υποκειμένων — πρόσβαση, διόρθωση, διαγραφή, φορητότητα και εναντίωση;
6. σας βοηθούμε να εκπληρώνετε τις δικές σας υποχρεώσεις για ασφάλεια, γνωστοποίηση παραβιάσεων και εκτιμήσεις αντικτύπου (άρθρα 32 έως 36);
7. διαγράφουμε ή επιστρέφουμε τα προσωπικά δεδομένα στο τέλος της υπηρεσίας, όπως περιγράφεται παρακάτω;
8. διαθέτουμε τις πληροφορίες που χρειάζεστε για να αποδείξετε συμμόρφωση και να υποβαλλόμαστε σε ελέγχους όπως περιγράφεται παρακάτω.

Υπεργολάβοι

Δίνετε γενική εξουσιοδότηση να αναθέτουμε στους υπεργολάβους που δημοσιεύονται στους υπεργολάβους επεξεργασίας, όπου ονομάζεται ο καθένας, τι επεξεργάζεται, και αν είναι απαραίτητος ή ενεργός μόνο όταν τον ενεργοποιεί ένα ιατρείο.

Θα σας δίνουμε τουλάχιστον 30 ημέρες προειδοποίηση πριν προσθέσουμε ή αντικαταστήσουμε υπεργολάβο, διάστημα στο οποίο μπορείτε να εναντιωθείτε για εύλογους λόγους προστασίας δεδομένων. Επιβάλλουμε σε κάθε υπεργολάβο υποχρεώσεις αντίστοιχες με αυτές της παρούσας σύμβασης και παραμένουμε υπεύθυνοι έναντί σας για την εκτέλεσή τους.

Συγχρονισμός ημερολογίου: δεδομένα που πηγαίνουν όπου επιλέγετε

Κάθε επαγγελματίας υγείας μπορεί να στέλνει τα δικά του ραντεβού σε ημερολόγιο εκτός HyperCRM. Υπάρχουν δύο τρόποι. Μπορεί να συνδέσει τον δικό του λογαριασμό Google, όπου δημιουργούμε ξεχωριστό ημερολόγιο με το όνομα του ιατρείου σας. Ή μπορεί να δημιουργήσει έναν ιδιωτικό σύνδεσμο ημερολογίου, που τον διαβάζει οποιαδήποτε εφαρμογή ημερολογίου (Apple Calendar, Outlook, Google Calendar και άλλες).

• Τι αποστέλλεται: για κάθε ραντεβού, το όνομα του ασθενούς, η υπηρεσία, η ώρα έναρξης και λήξης, η έδρα ή η αίθουσα, και ένας σύνδεσμος προς το HyperCRM που ανοίγει μόνο μετά από σύνδεση. Ένα αίτημα ραντεβού που το ιατρείο δεν έχει ακόμη επιβεβαιώσει εμφανίζεται ως «Αίτημα ραντεβού» με την υπηρεσία, χωρίς το όνομα του ασθενούς. Ο δεσμευμένος χρόνος εμφανίζεται ως «Μη διαθέσιμο». Δεν στέλνουμε ποτέ σημειώσεις, τηλέφωνα, διευθύνσεις email ή οποιοδήποτε άλλο μέρος του κλινικού αρχείου.
• Πρόκειται για δεδομένα υγείας. Το όνομα ενός ασθενούς μαζί με μια υπηρεσία και μια ώρα σε ιατρείο μπορεί να αποκαλύπτει πληροφορίες για την υγεία του. Πρέπει να αντιμετωπίζεται ως δεδομένο ειδικής κατηγορίας κατά το άρθρο 9.
• Ποιος αποφασίζει. Κάθε επαγγελματίας αποφασίζει ο ίδιος αν θα συνδέσει το δικό του ημερολόγιο ή θα δημιουργήσει σύνδεσμο, από τις ρυθμίσεις του λογαριασμού του. Θεωρούμε την ενεργοποίηση από έναν επαγγελματία οδηγία του ιατρείου σας στο πλαίσιο της παρούσας σύμβασης. Ο κάτοχος του ιατρείου βλέπει στις Ρυθμίσεις → Ομάδα ποιος έχει συνδέσει ημερολόγιο. Το ιατρείο σας παραμένει υπεύθυνος επεξεργασίας. Ευθύνεται να ενημερώνει την ομάδα του πότε ο συγχρονισμός είναι κατάλληλος και πότε όχι, καθώς και για τη νομική βάση και την προϋπόθεση του άρθρου 9 για αυτή τη γνωστοποίηση.
• Ο αποδέκτης είναι δική σας επιλογή, όχι δική μας. Η Google, η Apple, η Microsoft ή όποιος άλλος πάροχος ημερολογίου λαμβάνει τα δεδομένα βάσει της δικής του σύμβασης με τον επαγγελματία ή με το ιατρείο σας. Δεν ενεργεί για λογαριασμό μας. Γι' αυτό δεν είναι υπεργολάβος μας και δεν τον καλύπτουν οι όροι για υπεργολάβους παραπάνω.
• Μεταφορές. Οι πάροχοι αυτοί μπορεί να τηρούν τα δεδομένα εκτός ΕΟΧ, και στις Ηνωμένες Πολιτείες. Το αν η μεταφορά είναι αποδεκτή, για παράδειγμα βάσει του Πλαισίου Προστασίας Δεδομένων ΕΕ-ΗΠΑ, το κρίνει το ιατρείο σας.
• Μόνο προς μία κατεύθυνση. Δεν διαβάζουμε τίποτα από αυτά τα ημερολόγια. Από τη Google ζητάμε μόνο άδεια να διαχειριζόμαστε το ημερολόγιο που δημιουργούμε, καθώς και τη διεύθυνση email του λογαριασμού. Δεν βλέπουμε τα άλλα ημερολόγια ή τα συμβάντα του επαγγελματία.
• Ο ιδιωτικός σύνδεσμος είναι κλειδί πρόσβασης. Όποιος τον έχει βλέπει αυτά τα ραντεβού χωρίς σύνδεση. Πρέπει να φυλάσσεται όπως ένας κωδικός. Ο επαγγελματίας μπορεί να δημιουργήσει νέο σύνδεσμο, οπότε ο παλιός σταματά αμέσως, ή να τον απενεργοποιήσει. Αν ο σύνδεσμος προστεθεί σε ημερολόγιο στο cloud, οι διακομιστές του παρόχου τον διαβάζουν και κρατούν αντίγραφο.
• Τι αποθηκεύουμε. Για τη Google: ένα μακροχρόνιο κλειδί ανανέωσης (refresh token), που μας επιτρέπει να ενημερώνουμε αυτό το ημερολόγιο, κρυπτογραφημένο (AES-256-GCM)· το αναγνωριστικό του ημερολογίου που δημιουργήσαμε· τη διεύθυνση email του λογαριασμού Google· και ποιο ραντεβού έχει συμβάν σε ποιο ημερολόγιο (αναγνωριστικά και ένα άθροισμα ελέγχου, ποτέ ονόματα). Για τον σύνδεσμο: μόνο μια μη αναστρέψιμη σύνοψή του (hash). Δεν μπορούμε να δείξουμε ξανά έναν σύνδεσμο αφού δημιουργηθεί.

Διαγραφή. Όταν ένας επαγγελματίας αποσυνδέει τη Google, διαγράφουμε το ημερολόγιο του HyperCRM από τον λογαριασμό του και παραιτούμαστε από την πρόσβασή μας. Έπειτα διαγράφουμε το κλειδί και τις σχετικές εγγραφές μας. Το ίδιο γίνεται αυτόματα όταν ένα μέλος αφαιρείται από το ιατρείο σας ή όταν κλείνει ο λογαριασμός σας. Αν ο επαγγελματίας έχει ήδη αφαιρέσει την πρόσβασή μας από τη Google, δεν μπορούμε πια να φτάσουμε στο ημερολόγιο και πρέπει να το διαγράψει ο ίδιος εκεί. Όταν ένας σύνδεσμος απενεργοποιείται ή αντικαθίσταται, επιστρέφει κενό ημερολόγιο, οπότε οι εφαρμογές τον αδειάζουν στην επόμενη ανανέωση. Τη σύνοψη ενός ανακληθέντος συνδέσμου τη διαγράφουμε μετά από 90 ημέρες. Όταν διαγράφεται ένας ασθενής, αφαιρούμε το όνομά του από τα συγχρονισμένα συμβάντα στη Google. Αν εκείνη τη στιγμή η σύνδεση του επαγγελματία χρειάζεται επανασύνδεση, το όνομα αφαιρείται μόλις συνδεθεί ξανά. Οι εφαρμογές που χρησιμοποιούν ιδιωτικό σύνδεσμο το αφαιρούν στην επόμενη ανανέωσή τους. Τα αντίγραφα που κρατά η ίδια η εταιρεία του ημερολογίου, όπως το ιστορικό συμβάντων ή τα email ειδοποιήσεων, είναι εκτός του ελέγχου μας.

Παραβιάσεις δεδομένων

Θα σας ειδοποιήσουμε χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός 72 ωρών από τη στιγμή που αντιληφθούμε παραβίαση που αφορά τα δεδομένα σας, με τις πληροφορίες που χρειάζεστε για τα άρθρα 33 και 34. Δεν θα περιμένουμε να έχουμε πλήρη εικόνα πριν σας πούμε ότι κάτι συνέβη.

Διεθνείς μεταφορές

Ορισμένοι υπεργολάβοι μας βρίσκονται εκτός ΕΟΧ, κυρίως στις Ηνωμένες Πολιτείες. Οι πάροχοι αυτοί προσφέρουν τις τυπικές εγγυήσεις για τέτοιες μεταφορές — Τυποποιημένες Συμβατικές Ρήτρες και, όπου εφαρμόζεται, συμμετοχή στο Πλαίσιο Προστασίας Δεδομένων ΕΕ–ΗΠΑ. Ζητήστε το και θα σας δώσουμε την τεκμηρίωση μεταφοράς που διατηρούμε για κάθε πάροχο. Αυτό δεν αφορά τους παρόχους ημερολογίου που επιλέγουν οι επαγγελματίες σας για τον συγχρονισμό, για τους οποίους ισχύει η ενότητα παραπάνω.

Έλεγχος

Θα διαθέτουμε, κατόπιν εύλογου αιτήματός σας, την τεκμηρίωση που απαιτείται για να αποδειχθεί η συμμόρφωσή μας. Δεν διαθέτουμε έκθεση SOC 2 ούτε πιστοποιητικό ISO 27001, και δεν θα υπονοήσουμε το αντίθετο.

Επιστροφή και διαγραφή

Μπορείτε να κάνετε εξαγωγή οποτεδήποτε, δωρεάν και άμεσα: ο κατάλογος ασθενών, οι αναφορές και το ιστορικό ενεργειών σε CSV, κάθε αρχείο με λήψη. Τα υπόλοιπα της καρτέλας, δηλαδή οι κλινικές σημειώσεις, τα ραντεβού, οι αποδείξεις και τα τιμολόγια, τα οδοντιατρικά και περιοδοντικά διαγράμματα, οι σειρές ραντεβού και οι παραπέμποντες, δεν εξάγονται ακόμη από εσάς: ζητήστε τα μας και σας τα ετοιμάζουμε, πριν κλείσετε τον λογαριασμό. Μετά το κλείσιμο του λογαριασμού διαγράφουμε τα προσωπικά δεδομένα σας εντός 30 ημερών, εκτός όπου ο νόμος μας υποχρεώνει να τα διατηρήσουμε. Το παράθυρο αυτό υπάρχει ώστε ένα κατά λάθος κλείσιμο να είναι ανακτήσιμο — δεν είναι περίοδος διατήρησης στην οποία πρέπει να βασιστείτε για υποχρέωση τήρησης κλινικού αρχείου, που παραμένει στο ιατρείο σας. Μια συνδρομή που λήγει ή ακυρώνεται δεν κλείνει τον λογαριασμό και δεν διαγράφει τίποτα: τα δεδομένα διατηρούνται, μόνο για ανάγνωση, μέχρι να τον κλείσετε.

Αλλαγές και εφαρμοστέο δίκαιο

Θα ενημερώνουμε τη σύμβαση αυτή καθώς αλλάζουν το προϊόν και οι επεξεργαστές μας, και η ημερομηνία στην κορυφή θα αντικατοπτρίζει πάντα την τρέχουσα έκδοση. Διέπεται από το ίδιο δίκαιο με τους Όρους Χρήσης.