Πολιτική Απορρήτου

1. Ποιοι είμαστε και τι καλύπτει η πολιτική

Η THREAT-WATCH είναι ο διακριτικός τίτλος της ατομικής επιχείρησης του Κωνσταντίνου Χατζησταύρου, με έδρα την Ελλάδα, ΑΦΜ 186856801, Αρ. Γ.Ε.ΜΗ. 196779406000, διεύθυνση έδρας Άνω Τζουμαγιάς 6, 54453 Θεσσαλονίκη. Επικοινωνία: info@threat-watch.com.

Η πολιτική αυτή καλύπτει την ιστοσελίδα threat-watch.com, το dashboard πελατών της THREAT-WATCH, την εφαρμογή Android της THREAT-WATCH και τις διαχειριζόμενες υπηρεσίες ασφάλειας που παρέχουμε σε οργανισμούς πελάτες (συλλογικά, "οι υπηρεσίες").

2. Οι δύο ρόλοι μας: υπεύθυνος και εκτελών την επεξεργασία

Για τα αιτήματα μέσω της ιστοσελίδας, τον λογαριασμό σας στο dashboard ή στην εφαρμογή, καθώς και για τα δεδομένα καταρρεύσεων και απόδοσης της εφαρμογής, η THREAT-WATCH αποφασίζει πώς και γιατί χρησιμοποιούνται τα δεδομένα, άρα είμαστε ο υπεύθυνος επεξεργασίας.

Όταν παρακολουθούμε και προστατεύουμε τα συστήματα ενός οργανισμού πελάτη, ο οργανισμός αυτός (συνήθως ο εργοδότης σας) είναι ο υπεύθυνος επεξεργασίας για τα προσωπικά δεδομένα στο περιβάλλον του, και η THREAT-WATCH ενεργεί ως εκτελών την επεξεργασία βάσει σύμβασης υπηρεσιών και όρων επεξεργασίας δεδομένων. Χρησιμοποιούμε τα δεδομένα αυτά μόνο σύμφωνα με τις καταγεγραμμένες οδηγίες του πελάτη και για την παροχή των συμφωνημένων υπηρεσιών. Αν είστε υπάλληλος ή χρήστης οργανισμού πελάτη, για ερωτήματα σχετικά με αυτά τα δεδομένα απευθυνθείτε πρώτα στον οργανισμό σας· θα τον βοηθήσουμε να σας απαντήσει.

3. Ιστοσελίδα και επαγγελματικές επαφές: τι συλλέγουμε

Όταν υποβάλλετε τη φόρμα επικοινωνίας, τη φόρμα απόκρισης σε παραβίαση ή τη φόρμα διαγραφής δεδομένων, συλλέγουμε τις πληροφορίες που μας δίνετε (όπως όνομα, διεύθυνση email, εταιρεία και περιεχόμενο μηνύματος) για να απαντήσουμε στο αίτημά σας. Επεξεργαζόμαστε επίσης τη διεύθυνση IP σας κατά την υποβολή, αποκλειστικά για τον περιορισμό του ρυθμού υποβολών και την αποτροπή αυτοματοποιημένης κατάχρησης των φορμών.

Η ίδια η ιστοσελίδα δεν χρησιμοποιεί cookies analytics, διαφήμισης ή παρακολούθησης, και δεν συλλέγουμε προσωπικά δεδομένα από την απλή περιήγηση. Η ιστοσελίδα αποθηκεύει στον browser σας μία μόνο τιμή, για να θυμάται ότι έχετε δει την ειδοποίηση απορρήτου.

Επαγγελματικές επαφές. Επεξεργαζόμαστε επίσης επαγγελματικά στοιχεία επικοινωνίας (όνομα, ρόλο, εταιρεία, επαγγελματικό email) από δημόσιες επαγγελματικές πηγές, για να επικοινωνούμε με οργανισμούς σχετικά με τις υπηρεσίες μας. Μπορείτε να αντιταχθείτε ανά πάσα στιγμή στέλνοντας email στο info@threat-watch.com.

4. Λογαριασμοί dashboard και εφαρμογής: δεδομένα σύνδεσης και λογαριασμού

Για να σας παρέχουμε ασφαλή πρόσβαση στο dashboard και στην εφαρμογή Android, επεξεργαζόμαστε:

• Στοιχεία λογαριασμού: όνομα, εταιρικό email, εταιρεία, ρόλο και δικαιώματα πρόσβασης.
• Δεδομένα ταυτοποίησης: αναγνωριστικά σύνδεσης, κωδικούς πρόσβασης αποθηκευμένους μόνο σε κατακερματισμένη (hashed) μορφή, ρυθμίσεις πολυπαραγοντικής ταυτοποίησης (MFA) και αναγνωριστικά single sign-on όπου τα χρησιμοποιεί ο οργανισμός σας.
• Αρχεία συνεδριών και πρόσβασης: ώρες σύνδεσης, διευθύνσεις IP, στοιχεία συσκευής και browser ή εφαρμογής, session tokens και αποτυχημένες προσπάθειες σύνδεσης, τα οποία διατηρούμε για την προστασία του λογαριασμού σας και τον εντοπισμό κατάχρησης.
• Δραστηριότητα στο dashboard ή στην εφαρμογή, όπως αναφορές που προβλήθηκαν, ειδοποιήσεις που επιβεβαιώθηκαν και ρυθμίσεις που άλλαξαν, καταγεγραμμένη ως ιστορικό ελέγχου (audit trail).

5. Αναφορά σφαλμάτων και παρακολούθηση απόδοσης της εφαρμογής

Η εφαρμογή Android χρησιμοποιεί το Sentry για την αναφορά καταρρεύσεων (crash reporting) και την παρακολούθηση σφαλμάτων και απόδοσης, ώστε να λειτουργεί σωστά και να βελτιώνεται. Είναι ρυθμισμένη ώστε να μην αποστέλλει προσωπικά δεδομένα: οι αναφορές δεν περιέχουν ονόματα, διευθύνσεις email, αναγνωριστικά λογαριασμών ή διευθύνσεις IP. Το Sentry λαμβάνει μόνο τεχνικές πληροφορίες:

• Στοιχεία συσκευής και εφαρμογής: μοντέλο συσκευής, έκδοση λειτουργικού συστήματος, έκδοση εφαρμογής και γλώσσα.
• Δεδομένα απόδοσης: ποιες οθόνες ανοίγουν, πόσο χρόνο χρειάζονται για να φορτώσουν και τα τεχνικά βήματα που οδήγησαν σε ένα σφάλμα.
• Διαγνωστικά δεδομένα: αρχεία καταρρεύσεων (crash logs), αναφορές σφαλμάτων και stack traces.
• Οι πληροφορίες αυτές δεν χρησιμοποιούνται για διαφήμιση, δεν πωλούνται και δεν χρησιμοποιούνται για την παρακολούθηση κανενός σε εφαρμογές ή ιστοσελίδες άλλων εταιρειών.

6. Δεδομένα παρακολούθησης ασφάλειας που επεξεργαζόμαστε για πελάτες

Η παροχή υπηρεσιών MDR, παρακολούθησης SOC, ασφάλειας email, ασφάλειας OT/ICS, backup και ανάκαμψης από καταστροφές, απόκρισης σε περιστατικά, προσομοιώσεων phishing και συμμόρφωσης σημαίνει επεξεργασία δεδομένων ασφάλειας των περιβαλλόντων των πελατών. Ανάλογα με τις υπηρεσίες που έχει συμφωνήσει ένας πελάτης, αυτά μπορεί να περιλαμβάνουν:

• Τηλεμετρία endpoints και servers: ονόματα συσκευών, ονόματα λογαριασμών χρηστών, διεργασίες που εκτελούνται, ονόματα και hashes αρχείων, και συμβάντα ασφαλείας.
• Αρχεία καταγραφής (logs) από συστήματα ταυτοποίησης, firewalls, υπηρεσίες cloud και εφαρμογές, με ονόματα χρηστών, διευθύνσεις IP και συμβάντα πρόσβασης και ταυτοποίησης.
• Μεταδεδομένα δικτυακών συνδέσεων, όπως διευθύνσεις προέλευσης και προορισμού, θύρες και domains.
• Δεδομένα ασφάλειας email: μεταδεδομένα αποστολέα, παραλήπτη και θέματος, καθώς και το περιεχόμενο και τα συνημμένα μηνυμάτων που επισημαίνονται ως ύποπτα ή κακόβουλα.
• Δεδομένα ευπαθειών και ρυθμίσεων των συστημάτων του πελάτη.
• Δεδομένα περιστατικών και ψηφιακής εγκληματολογίας που συλλέγονται κατά τη διερεύνηση και τον περιορισμό ενός περιστατικού.
• Δεδομένα backup: αντίγραφα των συστημάτων και αρχείων του πελάτη, που προστατεύονται για λογαριασμό του.
• Αποτελέσματα προσομοιώσεων phishing και εκπαίδευσης ευαισθητοποίησης: ονόματα συμμετεχόντων, διευθύνσεις email και απαντήσεις.

7. Νομική βάση

Αιτήματα μέσω ιστοσελίδας: το έννομο συμφέρον μας να απαντάμε σε αιτήματα και να λειτουργούμε ένα κανάλι επικοινωνίας προστατευμένο από κατάχρηση και, όπου ακολουθεί συνεργασία, η λήψη μέτρων πριν από τη σύναψη σύμβασης.

Επαγγελματικές επαφές: το έννομο συμφέρον μας να επικοινωνούμε με οργανισμούς σχετικά με τις υπηρεσίες μας, σταθμισμένο έναντι των δικαιωμάτων σας. Μπορείτε να αντιταχθείτε ανά πάσα στιγμή.

Λογαριασμοί, ταυτοποίηση και ιστορικό ελέγχου: η εκτέλεση της σύμβασής μας με τον οργανισμό σας και το έννομο συμφέρον μας να διατηρούμε τις υπηρεσίες ασφαλείς.

Αναφορά σφαλμάτων και παρακολούθηση απόδοσης της εφαρμογής: το έννομο συμφέρον μας να διατηρούμε την εφαρμογή αξιόπιστη και να τη βελτιώνουμε. Οι αναφορές αυτές δεν περιέχουν προσωπικά δεδομένα.

Δεδομένα παρακολούθησης ασφάλειας: οι οδηγίες του οργανισμού πελάτη βάσει της σύμβασης υπηρεσιών· ο πελάτης, ως υπεύθυνος επεξεργασίας, καθορίζει τη δική του νομική βάση.

Λογιστικά αρχεία και συνεργασία με αρχές: η συμμόρφωση με τις νομικές μας υποχρεώσεις βάσει του ελληνικού και ενωσιακού δικαίου.

8. Με ποιους μοιραζόμαστε δεδομένα

Δεν πουλάμε προσωπικά δεδομένα. Τα μοιραζόμαστε μόνο με:

• Παρόχους υπηρεσιών που ενεργούν ως εκτελούντες την επεξεργασία για λογαριασμό μας βάσει σύμβασης: Sentry (αναφορά καταρρεύσεων και παρακολούθηση σφαλμάτων και απόδοσης της εφαρμογής), Checkly (παρακολούθηση διαθεσιμότητας του dashboard και των APIs του), Vercel (φιλοξενία ιστοσελίδας), Resend (αποστολή email των φορμών της ιστοσελίδας), τον συνεργάτη μας στις επιχειρήσεις ασφάλειας και τους υπόλοιπους τεχνολογικούς συνεργάτες που λειτουργούν τμήματα της πλατφόρμας THREAT-WATCH, της φιλοξενίας και της υποδομής backup για λογαριασμό μας, καθώς και τους παρόχους υπηρεσιών AI που περιγράφονται στην ενότητα 12. Ο καθένας μπορεί να χρησιμοποιεί τα δεδομένα μόνο για να μας παρέχει την υπηρεσία του.
• Αρχές, όπως CSIRTs, διωκτικές αρχές ή αρχές προστασίας δεδομένων, όταν ένας πελάτης μάς δίνει εντολή να τις ειδοποιήσουμε ή όταν το απαιτεί ο νόμος.
• Επαγγελματίες συμβούλους, όπως δικηγόρους και λογιστές, όπου χρειάζεται, με υποχρέωση εμπιστευτικότητας.

9. Διεθνείς διαβιβάσεις

Όπου οι πάροχοί μας προσφέρουν φιλοξενία στην ΕΕ, τη χρησιμοποιούμε. Ορισμένοι πάροχοι στους οποίους βασιζόμαστε για την παροχή των υπηρεσιών μας, μεταξύ άλλων ο συνεργάτης μας στις επιχειρήσεις ασφάλειας και πάροχοι υπηρεσιών AI, επεξεργάζονται δεδομένα στις Ηνωμένες Πολιτείες ή σε άλλες χώρες. Η ιστοσελίδα φιλοξενείται επίσης από τη Vercel, με την επεξεργασία των φορμών να εκτελείται στην περιοχή της Φρανκφούρτης, και τα email των φορμών αποστέλλονται μέσω της Resend· και οι δύο είναι εταιρείες των Ηνωμένων Πολιτειών.

Κάθε τέτοια διαβίβαση καλύπτεται από απόφαση επάρκειας της ΕΕ (συμπεριλαμβανομένου του Πλαισίου Προστασίας Δεδομένων ΕΕ-ΗΠΑ για πιστοποιημένες εταιρείες) ή από τις Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής. Οι πελάτες λαμβάνουν τον πλήρη κατάλογο παρόχων, τοποθεσιών και εγγυήσεων στη συμφωνία επεξεργασίας δεδομένων τους.

10. Για πόσο διατηρούμε δεδομένα

• Αιτήματα μέσω ιστοσελίδας: 24 μήνες από την τελευταία επαφή μας, εφόσον δεν ακολουθήσει συνεργασία. Όπου ακολουθεί συνεργασία, για τη διάρκεια της συνεργασίας.
• Επαγγελματικές επαφές: μέχρι να αντιταχθείτε ή μέχρι τα στοιχεία να μην είναι πλέον σχετικά για την επικοινωνία με τον οργανισμό σας.
• Λογαριασμοί και δεδομένα ταυτοποίησης: όσο ο λογαριασμός σας είναι ενεργός. Όταν ένας λογαριασμός κλείνει, τον διαγράφουμε όπως περιγράφεται στη σελίδα Διαγραφή Δεδομένων (threat-watch.com/el/delete-my-data).
• Αρχεία πρόσβασης και ελέγχου: για το διάστημα που ορίζει η σύμβαση υπηρεσιών του πελάτη ή όσο χρειάζεται για τη διερεύνηση περιστατικών ασφαλείας.
• Αναφορές καταρρεύσεων και δεδομένα απόδοσης της εφαρμογής: δεν περιέχουν προσωπικά δεδομένα και διατηρούνται στο Sentry για περιορισμένο διάστημα βάσει των ρυθμίσεων διατήρησής μας, και στη συνέχεια διαγράφονται αυτόματα.
• Δεδομένα παρακολούθησης ασφάλειας: για το διάστημα διατήρησης που ορίζει η σύμβαση υπηρεσιών του πελάτη, και στη συνέχεια διαγράφονται ή επιστρέφονται στον πελάτη.
• Τιμολόγια και λογιστικά αρχεία: για το διάστημα που απαιτεί η ελληνική φορολογική νομοθεσία.

11. Πώς προστατεύουμε τα δεδομένα

Προστατεύουμε τα προσωπικά δεδομένα με τεχνικά και οργανωτικά μέτρα ανάλογα με τον κίνδυνο, όπως κρυπτογράφηση κατά τη μεταφορά, πρόσβαση μόνο για το προσωπικό που τη χρειάζεται για τον ρόλο του, πολυπαραγοντική ταυτοποίηση για διαχειριστική πρόσβαση και καταγραφή της πρόσβασης στα περιβάλλοντα των πελατών.

12. Αυτοματοποιημένη επεξεργασία

Αυτοματοποιημένα εργαλεία βαθμολογούν και ιεραρχούν τις ειδοποιήσεις ασφαλείας και, όπου το επιτρέπει η σύμβαση υπηρεσιών του πελάτη, μπορούν να λαμβάνουν προσυμφωνημένες ενέργειες περιορισμού, όπως η απομόνωση μιας παραβιασμένης συσκευής. Δεν χρησιμοποιούμε προσωπικά δεδομένα για να λαμβάνουμε αποφάσεις που παράγουν έννομα ή παρόμοια σημαντικά αποτελέσματα για εσάς ως άτομο.

Χρησιμοποιούμε επίσης υπηρεσίες AI για να δημιουργούμε επεξηγήσεις σε απλή γλώσσα για ευρήματα ασφάλειας. Δεν λαμβάνουν αποφάσεις για άτομα και οι πάροχοί μας δεν επιτρέπεται να χρησιμοποιούν αυτά τα δεδομένα, συμπεριλαμβανομένων των δεδομένων πελατών, για την εκπαίδευση των μοντέλων τους.

13. Τα δικαιώματά σας

Σύμφωνα με τον GDPR, έχετε το δικαίωμα πρόσβασης, διόρθωσης, διαγραφής ή περιορισμού της επεξεργασίας των προσωπικών σας δεδομένων, το δικαίωμα εναντίωσης στην επεξεργασία (συμπεριλαμβανομένης της χρήσης των επαγγελματικών σας στοιχείων επικοινωνίας, ανά πάσα στιγμή), το δικαίωμα φορητότητας δεδομένων και το δικαίωμα να ανακαλέσετε τη συγκατάθεσή σας ανά πάσα στιγμή, όπου η επεξεργασία βασίζεται σε συγκατάθεση. Μπορείτε να ασκήσετε αυτά τα δικαιώματα στέλνοντας email στο info@threat-watch.com. Για να διαγράψετε τον λογαριασμό σας στο dashboard ή στην εφαρμογή, δείτε το threat-watch.com/el/delete-my-data.

Για δεδομένα που επεξεργαζόμαστε για λογαριασμό οργανισμού πελάτη, θα διαβιβάσουμε το αίτημά σας σε αυτόν τον οργανισμό και θα τον βοηθήσουμε να απαντήσει.

Έχετε επίσης το δικαίωμα να υποβάλετε καταγγελία στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (dpa.gr).

14. Παιδιά

Οι υπηρεσίες μας απευθύνονται σε επιχειρήσεις και το προσωπικό τους. Δεν απευθύνονται σε παιδιά κάτω των 16 ετών και δεν συλλέγουμε εν γνώσει μας προσωπικά τους δεδομένα.

15. Αλλαγές στην πολιτική

Ενδέχεται να ενημερώνουμε την πολιτική αυτή κατά καιρούς. Οι ουσιώδεις αλλαγές θα αποτυπώνονται με ενημερωμένη ημερομηνία "τελευταίας ενημέρωσης" σε αυτή τη σελίδα και, όπου αφορούν χρήστες του dashboard ή της εφαρμογής, θα κοινοποιούνται μέσω των υπηρεσιών ή με email.