Ενώ έρευνες για λειτουργικότητα της Carsu, καθίσαμε με έναν ιδιοκτήτη συνεργείου στη Γερμανία που είχε χρόνια δεδομένα πελατών — ονόματα, ιστορικό επισκευών, στοιχεία επικοινωνίας, αρχεία οχημάτων. Όλα αυτά που χρειάζονταν για εποχιακές υπενθυμίσεις, παρακολούθηση μετά τις επισκευές και διατήρηση των πελατών. Ωστόσο, δεν έστειλε ποτέ ένα ενιαίο μήνυμα. Ο λόγος; Φοβόταν να παραβιάσει το GDPR.

Αυτή η συζήτηση έμεινε σε εμάς, γιατί περιγράφει ένα πρόβλημα που βλέπουμε σε όλο το κλάδο. Οι ιδιοκτήτες συνεργείων ξέρουν ότι το GDPR υπάρχει. Ξέρουν ότι τα πρόστιμα είναι πραγματικά. Αλλά χωρίς σαφή καθοδήγηση για το τι επιτρέπεται πραγματικά, η προεπιλεγμένη απάντηση είναι να μην κάνουν τίποτα — και χάνουν τα οφέλη της σχέσης με τους πελάτες που προέρχονται από δομημένη, καλά διαχειριζόμενη δεδομένων.

Αυτό το εγχειρίδιο είναι για κάθε συνεργείο σε αυτή τη θέση. Αν λειτουργείς στην ΕΕ ή τη Βρετανία, είσαι ελεγκτής δεδομένων σύμφωνα με τον Κανονισμό Γενικής Προστασίας Δεδομένων (GDPR). Επεξεργάζεσαι προσωπικά δεδομένα κάθε φορά που ένας πελάτης κάνει κράτηση για service, παραδίδει το αυτοκίνητό του ή πληρώνει ένα τιμολόγιο. Αυτό συνεπάγεται συγκεκριμένες νομικές υποχρεώσεις — αλλά η συμμόρφωση με αυτές είναι πιο απλή από όσο περιμένουν οι περισσότεροι ιδιοκτήτες συνεργείων. Και όπως θα δεις παρακάτω, η σωστή εφαρμογή δεν αποφεύγει απλώς τα πρόστιμα — ξεκλειδώνει την ικανότητα να επικοινωνείς σωστά με τους πελάτες σου.

Από τον Μάρτιο 2026, οι ευρωπαϊκές αρχές προστασίας δεδομένων έχουν επιβάλει περισσότερα από 2.700 πρόστιμα συνολικού ποσού άνω των 6 δισεκατομμυρίων ευρώ. Η πιο συνηθισμένη παραβίαση; Ανεπάρκεια νομικής βάσης για επεξεργασία δεδομένων — ακριβώς το είδος του κενού που αυτός ο έλεγχος βοηθά να κλείσει.

Για μια ευρύτερη ματιά στο γιατί το GDPR σημαίνει κάτι για τον αυτοκινητιστικό αφτερμάρκετ, διάβασε The GDPR Opportunity No One in the Automotive Aftermarket Is Talking About.

Ποια νομική βάση θα πρέπει να χρησιμοποιήσει ένα συνεργείο για την επεξεργασία δεδομένων πελατών;

Σύμφωνα με το Άρθρο 6 του GDPR, χρειάζεσαι έναν έγκυρο λόγο — μια "νομική βάση" — για να επεξεργαστείς τα προσωπικά δεδομένα κάποιου. Για ανεξάρτητα συνεργεία, τρεις από τις έξι διαθέσιμες βάσεις καλύπτουν σχεδόν τα πάντα:

Σύμβαση. Όταν ένας πελάτης φέρνει το αυτοκίνητό του για service, έχετε σύμβαση — ακόμη κι αν είναι άτυπη. Χρειάζεσαι το όνομά του, τα στοιχεία επικοινωνίας και τις πληροφορίες του οχήματος για να εκτελέσεις το έργο. Αυτή είναι η νομική σας βάση για τα δεδομένα κύριων υπηρεσιών. Δεν χρειάζεται έντυπο συναίνεσης.

Θεμιτό συμφέρον. Να στείλεις υπενθύμιση ότι χρειάζονται χειμερινά λάστιχα ή ότι πλησιάζει το διάστημα service; Αυτό είναι ενδεχομένως κοινό συμφέρον σου και του πελάτη. Το θεμιτό συμφέρον μπορεί να καλύψει αυτό, υπό την προϋπόθεση ότι το όφελος για τη δραστηριότητά σου δεν υπερισχύει της ιδιωτικότητας του πελάτη. Μια εποχιακή υπενθύμιση λαστίχων σε έναν υπάρχοντα πελάτη είναι λογική χρήση. Η κοινοποίηση δεδομένων πελατών σε άσχετα τρίτα μέρη δεν είναι — αποτυγχάνει σε πολλαπλές βάσεις GDPR, όχι μόνο στη δοκιμασία ισορροπίας.

Συναίνεση. Μηνύματα ηλεκτρονικού ταχυδρομείου μάρκετινγκ, διαφημιστικά μηνύματα, ενημερωτικά δελτία — ό,τι περισσότερο από τη σχέση άμεσης υπηρεσίας συνήθως χρειάζεται ρητή, ελεύθερα δοθείσα συναίνεση. Ένα σαφές opt-in. Όχι ένα προεπιλεγμένο κουτί. Όχι μια ρήτρα κρυμμένη σε μικρό γράμμα. Για επιπλέον βεβαιότητα, σκέψου διπλό opt-in — ο πελάτης επιβεβαιώνει τη συνδρομή του μέσω ενός ακόλουθου μηνύματος πριν λάβει οποιοδήποτε μάρκετινγκ. Δεν απαιτείται από το GDPR στις περισσότερες δικαιοδοσίες, αλλά παράγει καθαρότερα αρχεία συναίνεσης και ουσιαστικά εξαλείφει τα παράπονα.

Το πιο συνηθισμένο λάθος: η αντιμετώπιση όλων ως βάση συναίνεσης, η οποία δημιουργεί περιττή γραφειοκρατεία και κίνδυνο. Αν έχεις σύμβαση ως βάση, χρησιμοποίησέ την. Κράτησε τη συναίνεση για καταστάσεις που πραγματικά την απαιτούν.

Τι συμβαίνει όταν ένας πελάτης υποβάλει αίτημα πρόσβασης;

Ένας πελάτης στέλνει ένα μήνυμα λέγοντας: "Τι δεδομένα έχεις για μένα;" Σύμφωνα με το GDPR, αυτό είναι ένα Αίτημα Πρόσβασης (SAR). Έχεις έναν ημερολογιακό μήνα να απαντήσεις με:

Τα προσωπικά δεδομένα που κρατάς
Γιατί τα επεξεργάζεσαι
Σε ποιους τα έχεις κοινοποιήσει
Πόσο καιρό σχεδιάζεις να τα κρατήσεις
Από πού προέρχονται τα δεδομένα
Αν υπάρχει αυτοματοποιημένη λήψη αποφάσεων

Τώρα σκέψου πού αποθηκεύει το συνεργείό σου τα δεδομένα. Είναι όλα σε ένα σύστημα; Ή διασκορπισμένα στο DMS, WhatsApp, Viber, email, ένα υπολογιστικό φύλλο και χαρτιά τιμολογίων σε ένα συρόμενο;

Αν δεν μπορείς να συγκεντρώσεις μια πλήρη εικόνα σε έναν μήνα, έχεις δομικό πρόβλημα. Το ίδιο ισχύει για αιτήματα διαγραφής — πρέπει να σβήσεις τα δεδομένα ενός πελάτη σε κάθε σύστημα όπου υπάρχει.

Τα συνεργεία που το χειρίζονται καλά είναι εκείνα με ένα μοναδικό σύστημα αρχείου — μια πλατφόρμα όπου ζουν όλα τα δεδομένα πελατών, αναζητήσιμα και εξάγεται.

Ο έλεγχος GDPR: επτά βήματα που θα πρέπει να κάνει κάθε συνεργείο

1. Δημιούργησε ένα ευρετήριο δεδομένων. Χάρτης τι προσωπικά δεδομένα κρατάς, πού αποθηκεύονται και γιατί. Ένα απλό υπολογιστικό φύλλο που αναφέρει τύπους δεδομένων, θέσεις αποθήκευσης, νομική βάση και περιόδους συγκράτησης αρκεί. Αλλά πρέπει να υπάρχει γραπτώς.

2. Δημοσίευσε μια ανακοίνωση ιδιωτικότητας. Πες στους πελάτες τι κάνεις με τα δεδομένά τους. Ένα τυπωμένο ανακοίνωση στο χώρο αναμονής σας, μια σελίδα στην ιστοσελίδά σας ή και τα δύο. Απλή γλώσσα: τι συλλέγεις, γιατί, σε ποιους το κοινοποιείς, πόσο καιρό το κρατάς και πώς μπορούν να ασκήσουν τα δικαιώματά τους.

3. Κράτησε αρχεία συναίνεσης. Για οποιαδήποτε επεξεργασία βάσει συναίνεσης (μάρκετινγκ, ενημερωτικά δελτία), κράτησε αρχεία του πότε και πώς δόθηκε η συναίνεση. "Μου έδωσαν το email τους" δεν είναι αρχείο συναίνεσης. Ένα opt-in με σφραγίδα χρόνου είναι.

4. Θέσε μια πολιτική διατήρησης δεδομένων. Μην κρατάς δεδομένα για πάντα. Ορίστε πόσο καιρό κρατάτε αρχεία μετά την τελευταία επίσκεψη service — τρία χρόνια είναι συνηθισμένα για δεδομένα service οχήματος, αλλά οι περίοδοι συγκράτησης εξαρτώνται από εθνικά όρια ευθύνης κατά δικαστικής προσφυγής, που διαφέρουν ανά χώρα. Ελέγξου τις τοπικές απαιτήσεις. Μετά την περίοδο συγκράτησης, διάγραψε ή ανωνυμοποίησε.

5. Καθίδρυσε συμφωνίες επεξεργασίας δεδομένων. Κάθε υπηρεσία cloud ή πλατφόρμα τρίτου που χειρίζεται τα δεδομένα των πελατών σου είναι ένας επεξεργαστής δεδομένων. Χρειάζεσαι Συμφωνία Επεξεργασίας Δεδομένων (DPA) με καθένα. Οι περισσότεροι σεβαστοί παροχείς SaaS συμπεριλαμβάνουν αυτό στους όρους τους — αλλά επαληθεύστε ότι η DPA καλύπτει τις συγκεκριμένες δραστηριότητες επεξεργασίας που χρησιμοποιείς το εργαλείο, όχι απλώς τους τυπικούς όρους.

6. Προετοίμασε ένα σχέδιο αντίδρασης στην παραβίαση. Αν τα δεδομένα του πελάτη διακινδυνευτούν, έχεις 72 ώρες για να το αναφέρεις στην αρχή εποπτείας σου. Έχε σχέδιο πριν το χρειαστείς: σε ποιον να επικοινωνήσεις, τι να τεκμηριώσεις και πώς να ειδοποιήσεις τους επηρεασμένους πελάτες.

7. Κτίσε συνειδητοποίηση του προσωπικού. Όλοι όσοι ασχολούνται με δεδομένα πελατών πρέπει να κατανοήσουν τα βασικά. Οι σύμβουλοι service πρέπει να γνωρίζουν να μην μοιράζονται λεπτομέρειες πελατών σε ανοιχτές ομάδες WhatsApp ή Viber. Το διοικητικό προσωπικό πρέπει να γνωρίζει πώς να αναγνωρίσει και να χειριστεί ένα αίτημα δεδομένων. Ένας 30λεπτος περίπατος μια φορά το χρόνο κάνει πολλά.

Ποιος είναι υπεύθυνος στην Ελλάδα;

Στην ΕΕ, η επιβολή ποικίλλει ανά χώρα. Η γαλλική CNIL είναι επιθετική στα cookies. Η ιταλική Garante έχει συγκεκριμένες απαιτήσεις δεδομένων υπαλλήλων. Η ισπανική AEPD έχει επιβάλει περισσότερα από 1.000 πρόστιμα — περισσότερα από οποιαδήποτε άλλη αρχή της ΕΕ. Ίδιος κανονισμός, διαφορετικές κουλτούρες επιβολής. Λάβε αυτό υπόψη αν επεκτείνεσαι σε αγορές.

Πώς η Carsu χειρίζεται το GDPR για συνεργεία

Στη Carsu, η διαχείριση GDPR είναι ενσωματωμένη στην πλατφόρμα συνεργείων — όχι ως πρόσθετο συμμόρφωσης, αλλά ως το στρώμα διακυβέρνησης δεδομένων που κάνει όλα τα άλλα να λειτουργούν σωστά.

Πώς αυτό μοιάζει στην πράξη: ενσωματωμένες πολιτικές συγκράτησης, αυτοματοποιημένη παρακολούθηση συναίνεσης, συμφωνίες επεξεργασίας δεδομένων ως τυπικές και η ικανότητα να απαντήσεις σε ένα αίτημα πρόσβασης με μια ενιαία εξαγωγή αντί να ψάχνεις μέσα από πέντε συστήματα. Όταν ένας πελάτης ρωτά "τι δεδομένα έχεις για μένα;" — είναι ένα κλικ, όχι μια εβδομάδα σκαψίματος μέσα από νήματα WhatsApp, μηνύματα Viber, υπολογιστικά φύλλα και χαρτιά αρχείων.

Το όφελος συμμόρφωσης είναι ένας παρενέργεια της ύπαρξης καθαρών, δομημένων, καλά διακυβερνημένων δεδομένων πελατών — μια ροή κράτησης αντί τριών διαύλων, μια πολιτική συγκράτησης αντί διασκορπισμένων κανόνων σε εργαλεία, ένας αναζητήσιμος αρχείο πελάτη αντί θραυσμάτων σε πέντε θέσεις.

Αν θέλεις να δεις πώς λειτουργεί, επικοίνωνα μαζί μας.

GDPR για συνεργεία: Πώς να χρησιμοποιείτε νόμιμα τα δεδομένα πελατών σας

Πολλά συνεργεία στην Ελλάδα και σε όλη την Ευρώπη κρατούν χρόνια δεδομένων πελατών — ονόματα, στοιχεία επικοινωνίας, ιστορικό υπηρεσιών, αρχεία οχημάτων — αλλά δεν τα αξιοποιούν, από φόβο μήπως παραβιάσουν το GDPR. Το αποτέλεσμα είναι χαμένες ευκαιρίες για υπενθυμίσεις συντήρησης, παρακολούθηση μετά από επισκευές και χτίσιμο σχέσεων με τους πελάτες.

Αν δραστηριοποιείστε στην ΕΕ ή στο ΗΒ, είστε υπεύθυνος επεξεργασίας σύμφωνα με τον Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR). Επεξεργάζεστε προσωπικά δεδομένα κάθε φορά που ένας πελάτης κλείνει ραντεβού, αφήνει όχημα ή πληρώνει τιμολόγιο. Αυτό συνεπάγεται συγκεκριμένες νομικές υποχρεώσεις — αλλά η συμμόρφωση είναι πιο απλή απ’ όσο νομίζουν οι περισσότεροι.

Από τον Μάρτιο του 2026, οι ευρωπαϊκές αρχές έχουν επιβάλει πάνω από 2.700 πρόστιμα, συνολικού ύψους άνω των 6 δισ. ευρώ. Η πιο συχνή παράβαση είναι η ανεπαρκής νομική βάση επεξεργασίας — ακριβώς το κενό που καλύπτει ο παρακάτω οδηγός.

1. Ποια νομική βάση πρέπει να χρησιμοποιεί ένα συνεργείο;

Σύμφωνα με το Άρθρο 6 GDPR, χρειάζεστε έγκυρη νομική βάση για κάθε επεξεργασία προσωπικών δεδομένων. Για ανεξάρτητα συνεργεία, τρεις βάσεις καλύπτουν σχεδόν όλες τις περιπτώσεις:

1.1 Σύμβαση

Όταν ένας πελάτης φέρνει το αυτοκίνητό του για σέρβις ή επισκευή, υπάρχει σύμβαση — ακόμη κι αν είναι άτυπη. Χρειάζεστε:

Όνομα και στοιχεία επικοινωνίας
Στοιχεία οχήματος (π.χ. πινακίδα, VIN, μάρκα/μοντέλο)
Ιστορικό υπηρεσιών

για να εκτελέσετε τη συμφωνημένη εργασία. Αυτή είναι η νομική βάση “εκτέλεση σύμβασης”. Δεν χρειάζεται έντυπο συγκατάθεσης για αυτά τα βασικά δεδομένα υπηρεσίας.

1.2 Νόμιμο συμφέρον

Για επικοινωνίες που συνδέονται άμεσα με τη συντήρηση και την ασφάλεια του οχήματος, μπορείτε συνήθως να βασιστείτε στο νόμιμο συμφέρον, εφόσον κάνετε το τεστ ισορροπίας:

Παραδείγματα χρήσης νόμιμου συμφέροντος που συνήθως θεωρούνται εύλογα:

Υπενθύμιση ότι πλησιάζει προγραμματισμένο σέρβις
Υπενθύμιση για αλλαγή ελαστικών (π.χ. χειμερινά/θερινά)
Follow-up μετά από επισκευή για να βεβαιωθείτε ότι όλα λειτουργούν σωστά

Παραδείγματα που δεν καλύπτονται:

Κοινή χρήση δεδομένων πελατών με άσχετους τρίτους για δικό τους μάρκετινγκ
Μαζικές καμπάνιες σε άτομα που δεν είναι πελάτες σας

Πρέπει να μπορείτε να εξηγήσετε γιατί το συμφέρον της επιχείρησής σας δεν υπερισχύει των δικαιωμάτων και της ιδιωτικότητας του πελάτη.

1.3 Συγκατάθεση

Για επικοινωνίες που ξεπερνούν την άμεση σχέση υπηρεσίας, χρειάζεστε ρητή συγκατάθεση:

Προωθητικά email / SMS
Ενημερωτικά δελτία
Προσφορές από συνεργαζόμενες επιχειρήσεις

Βασικές αρχές συγκατάθεσης:

Σαφές opt-in (ο πελάτης επιλέγει ενεργά)
Όχι προεπιλεγμένα τσεκαρισμένα κουτάκια
Όχι «κρυμμένοι» όροι σε ψιλά γράμματα
Δυνατότητα εύκολης ανάκλησης (unsubscribe)

Για επιπλέον ασφάλεια, μπορείτε να χρησιμοποιήσετε διπλή επιβεβαίωση (double opt-in): ο πελάτης επιβεβαιώνει τη συνδρομή του μέσω email ή SMS πριν αρχίσει να λαμβάνει μάρκετινγκ. Δεν είναι υποχρεωτικό από το GDPR σε όλες τις χώρες, αλλά βοηθά να έχετε καθαρά, αποδείξιμα αρχεία συγκατάθεσης.

Συχνό λάθος: να θεωρείτε ότι όλα χρειάζονται συγκατάθεση. Αν έχετε συμβατική βάση ή νόμιμο συμφέρον, χρησιμοποιήστε τα. Κρατήστε τη συγκατάθεση για πραγματικά προαιρετικές, καθαρά διαφημιστικές ενέργειες.

2. Τι κάνετε όταν ένας πελάτης ζητήσει πρόσβαση στα δεδομένα του;

Αν ένας πελάτης ρωτήσει «Τι δεδομένα έχετε για μένα;», αυτό είναι Αίτημα Πρόσβασης Δεδομένων βάσει Άρθρου 15 GDPR.

Έχετε ένα ημερολογιακό μήνα (Άρθρο 12) για να απαντήσετε με:

Ποια προσωπικά δεδομένα κρατάτε
Για ποιους σκοπούς τα επεξεργάζεστε
Σε ποιους τα έχετε κοινοποιήσει (π.χ. λογιστής, πάροχος λογισμικού)
Για πόσο διάστημα θα τα κρατήσετε (ή τα κριτήρια καθορισμού της περιόδου)
Από πού προήλθαν τα δεδομένα (αν δεν τα δώσε ο ίδιος ο πελάτης)
Αν υπάρχει αυτοματοποιημένη λήψη απόφασης / προφίλ (συνήθως όχι στα κλασικά συνεργεία)

Για να μπορείτε να απαντήσετε:

Ξέρετε πού βρίσκονται τα δεδομένα; Σε ένα κεντρικό σύστημα ή διασκορπισμένα σε:
Σύστημα διαχείρισης συνεργείου (DMS)
WhatsApp / Viber / SMS
Email
Υπολογιστικά φύλλα
Χάρτινα τιμολόγια και δελτία εργασίας

Αν δεν μπορείτε να συγκεντρώσετε πλήρη εικόνα μέσα σε ένα μήνα, έχετε δομικό πρόβλημα οργάνωσης δεδομένων.

Το ίδιο ισχύει για αιτήματα διαγραφής (Άρθρο 17): πρέπει να μπορείτε να διαγράψετε τα δεδομένα του πελάτη παντού όπου υπάρχουν, εκτός αν έχετε νομική υποχρέωση να τα κρατήσετε (π.χ. φορολογικά αρχεία για συγκεκριμένα έτη).

Λύση στην πράξη: ένα κεντρικό σύστημα δεδομένων πελατών, όπου όλα τα στοιχεία είναι:

Συγκεντρωμένα
Αναζητήσιμα
Εξαγώγιμα (export) σε αναγνώσιμη μορφή

3. Λίστα ελέγχου GDPR για συνεργεία – 7 πρακτικά βήματα

3.1 Δημιουργήστε ένα ευρετήριο δεδομένων

Φτιάξτε ένα απλό αρχείο (π.χ. Excel/Google Sheets) που να καταγράφει:

Τύπος δεδομένων (π.χ. όνομα, τηλέφωνο, πινακίδα, ιστορικό εργασιών)
Πού αποθηκεύεται (DMS, email, χαρτί, cloud κ.λπ.)
Νομική βάση (σύμβαση, νόμιμο συμφέρον, συγκατάθεση)
Περίοδος κράτησης (π.χ. 3 ή 5 χρόνια μετά την τελευταία επίσκεψη)

Αυτό το ευρετήριο είναι η βάση για όλα τα υπόλοιπα βήματα συμμόρφωσης.

3.2 Δημοσιεύστε δήλωση προστασίας ιδιωτικότητας

Ετοιμάστε μια κατανοητή πολιτική απορρήτου που να εξηγεί:

Τι δεδομένα συλλέγετε
Γιατί τα συλλέγετε (σκοποί)
Σε ποιους τα κοινοποιείτε (π.χ. λογιστής, πάροχος λογισμικού, πάροχος SMS)
Πόσο καιρό τα κρατάτε
Ποια δικαιώματα έχουν οι πελάτες (πρόσβαση, διόρθωση, διαγραφή, περιορισμός, εναντίωση)
Πώς μπορούν να επικοινωνήσουν μαζί σας για θέματα δεδομένων

Πού να τη βάλετε:

Εκτυπωμένη στην αίθουσα αναμονής / γραφείο υποδοχής
Σε ειδική σελίδα στην ιστοσελίδα σας
Προαιρετικά, σύντομη αναφορά σε φόρμες/ηλεκτρονικά ραντεβού με link στην πλήρη πολιτική

3.3 Φυλάξτε αρχεία συγκατάθεσης

Για κάθε επεξεργασία που βασίζεται σε συγκατάθεση (π.χ. newsletter, προσφορές):

Καταγράψτε πότε δόθηκε η συγκατάθεση (ημερομηνία/ώρα)
Πώς δόθηκε (έντυπο, online φόρμα, email, SMS)
Τι ακριβώς αποδέχτηκε ο πελάτης (π.χ. «δέχομαι να λαμβάνω email με προσφορές από το συνεργείο Χ»)

Παραδείγματα αποδεκτών αποδείξεων:

Καταχώριση στο DMS με timestamp και κείμενο συγκατάθεσης
Export από πλατφόρμα email marketing με log εγγραφής

«Μου έδωσε το email του» δεν αρκεί ως απόδειξη συγκατάθεσης.

3.4 Ορίστε πολιτική κράτησης δεδομένων

Δεν πρέπει να κρατάτε προσωπικά δεδομένα για πάντα, αν δεν υπάρχει λόγος.

Βήματα:

Ελέγξτε τις εθνικές φορολογικές/λογιστικές υποχρεώσεις (π.χ. πόσα χρόνια πρέπει να κρατάτε τιμολόγια στην Ελλάδα).
Ορίστε για κάθε κατηγορία δεδομένων μια περίοδο κράτησης. Ενδεικτικά:

Δεδομένα υπηρεσίας οχήματος: συχνά 3–5 χρόνια μετά την τελευταία επίσκεψη (ανάλογα με τις εθνικές απαιτήσεις παραγραφής/φορολογίας)
Τιμολόγια/λογιστικά: όσο απαιτεί ο νόμος (π.χ. 5 ή 10 χρόνια)

Μετά την περίοδο κράτησης:

Διαγράψτε τα δεδομένα, ή
Ανωνυμοποιήστε τα (ώστε να μην αναγνωρίζεται ο πελάτης, αλλά να κρατήσετε στατιστικά)

3.5 Συνάψτε συμφωνίες επεξεργασίας (DPA)

Κάθε τρίτος που επεξεργάζεται δεδομένα πελατών για λογαριασμό σας είναι εκτελών την επεξεργασία (processor) βάσει Άρθρου 28 GDPR. Συνήθως αυτό περιλαμβάνει:

Πάροχο DMS / λογισμικού συνεργείου
Πλατφόρμα email marketing ή SMS
Cloud storage / backup
Πάροχο τιμολόγησης/λογιστικής (αν επεξεργάζεται δεδομένα για εσάς)

Χρειάζεστε με τον καθένα μια Συμφωνία Επεξεργασίας Δεδομένων (DPA) που να καλύπτει:

Τους τύπους δεδομένων που επεξεργάζονται
Τους σκοπούς επεξεργασίας
Μέτρα ασφάλειας

Ο Έλεγχος GDPR για Ανεξάρτητα Συνεργεία: Ό,τι Πρέπει να Ξέρεις