Επισκόπηση Ασφάλειας

Περιεχόμενα

1. 1. Εν συντομία
2. 2. Πού φυλάσσονται τα δεδομένα σας
3. 3. Κρυπτογράφηση
4. 4. Διαχωρισμός των δεδομένων κάθε επιχείρησης
5. 5. Προστασία σύνδεσης
6. 6. Ίχνος ελέγχου και ανίχνευση παραποίησης
7. 7. Αντίγραφα Ασφαλείας και αποκατάσταση
8. 8. Πληρωμές και χρήματα
9. 9. Τεχνητή νοημοσύνη
10. 10. Η πρόσβαση της ομάδας μας
11. 11. Παρακολούθηση και αντιμετώπιση περιστατικών
12. 12. Πιστοποιήσεις
13. 13. Τι μπορείτε να κάνετε
14. 14. Αναφορά ευπάθειας

Έκδοση: 1.2 · Δημοσιεύθηκε: 16 Οκτωβρίου 2026 · Έναρξη ισχύος: κατά την αποδοχή για νέους Χώρους Εργασίας· για Χώρους Εργασίας που αποδέχθηκαν προγενέστερη Έκδοση, κατά την ημερομηνία που ορίζει η STAK στην ειδοποίησή της δυνάμει της ρήτρας 20 των Όρων Παροχής Υπηρεσιών προς Πελάτες · Κείμενο που υπερισχύει: αγγλικό (ρήτρα 23.9 των Όρων Παροχής Υπηρεσιών προς Πελάτες)

Εκδότης: STAK Global, LLC, εταιρεία περιορισμένης ευθύνης που συστάθηκε στην Πολιτεία του Ντέλαγουερ των Ηνωμένων Πολιτειών Αμερικής (αριθμός φακέλου 10798493), στην οποία ανήκουν η STAK (ستاك) και οι Υπηρεσίες. Επικοινωνία: [email protected].

Η παρούσα Επισκόπηση Ασφάλειας εξηγεί με απλά λόγια πώς προστατεύουμε τα δεδομένα της επιχείρησής σας και πώς διατηρούμε αντίγραφά τους, όπως έχουν τα πράγματα κατά την Ημερομηνία Έναρξης Ισχύος της παρούσας Έκδοσης. Την επικαιροποιούμε όταν αυτό αλλάζει. Έχει μόνο ενημερωτικό χαρακτήρα. Οι συμβατικές δεσμεύσεις μας περιλαμβάνονται στη Σύμβαση Επεξεργασίας Δεδομένων. Οι εκφράσεις που ορίζονται στους Όρους Παροχής Υπηρεσιών προς Πελάτες της STAK έχουν την ίδια έννοια στην παρούσα Επισκόπηση Ασφάλειας.

1. Εν συντομία

• Τα δεδομένα σας κρυπτογραφούνται κατά τη μετάδοσή τους και κατά την αποθήκευσή τους στα συστήματά μας.
• Τα δεδομένα κάθε επιχείρησης διατηρούνται χωριστά από όλες τις άλλες στην ίδια τη βάση δεδομένων.
• Δημιουργούμε συνεχή Αντίγραφα Ασφαλείας και τηρούμε ημερήσια και μηνιαία αντίγραφα σε άλλη χώρα, προστατευμένα από πρόωρη διαγραφή.
• Δεν αποθηκεύουμε αριθμούς καρτών και δεν λαμβάνουμε ούτε κατέχουμε ποτέ τα χρήματά σας.
• Κάθε σημαντική αλλαγή καταγράφεται σε ίχνος ελέγχου που κανένας Χρήστης δεν μπορεί να τροποποιήσει.
• Προς το παρόν δεν διαθέτουμε πιστοποίηση ISO 27001 ούτε έκθεση SOC 2. Θα το αναφέρουμε εδώ όταν τις αποκτήσουμε.

2. Πού φυλάσσονται τα δεδομένα σας

2.1 Οι Υπηρεσίες λειτουργούν στην υποδομή υπολογιστικού νέφους της Amazon Web Services στην περιοχή της Φρανκφούρτης, στην Ομοσπονδιακή Δημοκρατία της Γερμανίας. Τα Αντίγραφα Ασφαλείας αντιγράφονται σε χωριστή περιοχή της Amazon Web Services στη Δημοκρατία της Ιρλανδίας. Ο διαχωρισμός αυτός σημαίνει ότι ένα αντίγραφο των δεδομένων σας μπορεί να διατηρηθεί ακόμη και αν αποτύχει ολόκληρη η κύρια περιοχή φιλοξενίας.

2.2 Ενδέχεται στο μέλλον να μετακινήσουμε τη φιλοξενία σε άλλη περιοχή. Θα σας ειδοποιήσουμε τουλάχιστον 30 ημέρες νωρίτερα. Η προσωρινή λειτουργία των Υπηρεσιών από τα Αντίγραφα Ασφαλείας στη Δημοκρατία της Ιρλανδίας μετά την απώλεια της κύριας περιοχής φιλοξενίας δεν αποτελεί μετακίνηση και θα σας ενημερώσουμε σχετικά αμελλητί.

2.3 Η STAK παρέχεται από τη STAK Global, LLC, εταιρεία που συστάθηκε στις Ηνωμένες Πολιτείες Αμερικής. Ο πάροχος φιλοξενίας μας και ορισμένοι από τους παρόχους υπηρεσιών μας υπόκεινται επίσης στο δίκαιο των Ηνωμένων Πολιτειών. Προστατεύουμε τα δεδομένα σας από παράνομη πρόσβαση οποιασδήποτε κυβέρνησης όπως ορίζεται στη ρήτρα 13 της Σύμβασης Επεξεργασίας Δεδομένων: κοινολογούμε δεδομένα μόνο κατόπιν δεσμευτικού αιτήματος, σας ενημερώνουμε εκτός εάν το απαγορεύει ο νόμος, περιορίζουμε την κοινολόγηση στο ελάχιστο και αμφισβητούμε αιτήματα που εύλογα θεωρούμε παράνομα. Τα δεδομένα σας κρυπτογραφούνται κατά την αποθήκευση και κατά τη μετάδοσή τους.

3. Κρυπτογράφηση

3.1 Κάθε σύνδεση με τις Υπηρεσίες κρυπτογραφείται με TLS έκδοσης 1.2 ή νεότερης και η εφαρμογή επαληθεύει την ταυτότητα του διακομιστή βάσης δεδομένων σε κάθε σύνδεση.

3.2 Οι βάσεις δεδομένων, οι δίσκοι, τα αρχεία, τα Αντίγραφα Ασφαλείας και ο χώρος αποθήκευσης μυστικών κρυπτογραφούνται σε αποθήκευση με AES-256, με κλειδιά που διαχειρίζονται μέσω της υπηρεσίας διαχείρισης κλειδιών της Amazon ή από τον πάροχο φιλοξενίας.

3.3 Οι φάκελοι των εργαζομένων σας και οι κλινικοί φάκελοι κρυπτογραφούνται επιπλέον εντός της εφαρμογής με χωριστά κλειδιά, και τα κλειδιά για τη σύνδεση με Παρόχους Υπηρεσιών Πληρωμών και άλλους παρόχους φυλάσσονται σε χωριστό χώρο αποθήκευσης μυστικών που κρυπτογραφείται με χωριστό κλειδί.

4. Διαχωρισμός των δεδομένων κάθε επιχείρησης

4.1 Κάθε εγγραφή δεδομένων μιας επιχείρησης στη βάση δεδομένων φέρει το αναγνωριστικό της Επιχείρησης στην οποία ανήκει. Η ίδια η βάση δεδομένων επιβάλλει κανόνες ασφάλειας σε επίπεδο γραμμής (row-level security) που εμποδίζουν την εφαρμογή να διαβάζει ή να γράφει εγγραφές άλλης Επιχείρησης. Αποτελεί ανεξάρτητο επίπεδο προστασίας κάτω από τους δικούς ελέγχους της εφαρμογής.

4.2 Ο λογαριασμός βάσης δεδομένων που χρησιμοποιεί η εφαρμογή δεν έχει δικαίωμα να παρακάμψει τους κανόνες αυτούς.

5. Προστασία σύνδεσης

5.1 Μπορείτε να συνδεθείτε με:

• κωδικό επαλήθευσης που αποστέλλεται μέσω WhatsApp σε επαληθευμένο αριθμό·
• κλειδί πρόσβασης (passkey), με αναγνώριση προσώπου ή δακτυλικού αποτυπώματος·
• λογαριασμό Google, Apple ή Microsoft.

Μια εφαρμογή αυθεντικοποίησης μπορεί να χρησιμοποιηθεί ως δεύτερο βήμα μετά τη σύνδεση. Δεν χρησιμοποιούμε κωδικούς πρόσβασης.

5.2 Μπορείτε να απαιτήσετε σύνδεση σε δύο βήματα για συγκεκριμένους ρόλους και οι Ιδιοκτήτες και οι Διαχειριστές ειδοποιούνται όταν οποιοσδήποτε αλλάζει τις μεθόδους επαλήθευσής του. Κάθε πρόσωπο ειδοποιείται όταν ο Λογαριασμός του χρησιμοποιείται από νέα συσκευή. Στα Πακέτα που τα περιλαμβάνουν, μπορείτε επίσης να ορίσετε χρονικό όριο αδράνειας συνεδρίας και οι Ιδιοκτήτες ειδοποιούνται όταν οποιοσδήποτε συνδέεται από νέα συσκευή.

5.3 Κάθε Μέλος Προσωπικού λαμβάνει καθορισμένο ρόλο και δικαιώματα, και η πρόσβασή του μπορεί να περιοριστεί σε συγκεκριμένα Υποκαταστήματα. Το προσωπικό σε κοινόχρηστες Συσκευές χρησιμοποιεί εξαψήφιο προσωπικό αριθμό αναγνώρισης (PIN) και η σύνδεση με αυτόν κλειδώνει μετά από πέντε λανθασμένες προσπάθειες.

6. Ίχνος ελέγχου και ανίχνευση παραποίησης

6.1 Κάθε σημαντική αλλαγή καταγράφεται σε ίχνος ελέγχου, με την ένδειξη ποιος την έκανε, πότε, από πού και από ποια διεύθυνση IP. Κανένας Χρήστης δεν μπορεί να τροποποιήσει ή να διαγράψει το ίχνος αυτό, με την εξαίρεση ότι η εκτέλεση αιτήματος διαγραφής δεδομένων Τελικού Πελάτη αφαιρεί την ταυτότητα του προσώπου αυτού από τις εγγραφές του, διατηρώντας ό,τι έγινε, από ποιον και πότε. Το ίχνος διαγράφεται μαζί με τα Δεδομένα Πελάτη κατά την καταγγελία βάσει των Όρων.

6.2 Οι λογιστικές εγγραφές συνδέονται σε αλυσίδα που αποκαλύπτει οποιαδήποτε μεταγενέστερη αλλαγή τους και μπορείτε να ελέγξετε την ακεραιότητά τους από τη σελίδα Ασφάλειας.

7. Αντίγραφα Ασφαλείας και αποκατάσταση

7.1 Δημιουργούμε συνεχή Αντίγραφα Ασφαλείας των βάσεων δεδομένων, τα οποία επιτρέπουν την επαναφορά τους σε οποιαδήποτε χρονική στιγμή εντός των τελευταίων 35 ημερών. Δημιουργούμε επίσης:

• ημερήσια Αντίγραφα Ασφαλείας, που τηρούνται για 35 ημέρες·
• μηνιαία Αντίγραφα Ασφαλείας, που τηρούνται για 12 μήνες·
• λογικό Αντίγραφο Ασφαλείας της βάσης δεδομένων (εξαγωγή βάσης δεδομένων) κάθε νύχτα, που τηρείται για 35 ημέρες σε κλειδωμένο αποθηκευτικό χώρο.

7.2 Τα ημερήσια και τα μηνιαία Αντίγραφα Ασφαλείας αντιγράφονται στην Ιρλανδία. Η πολιτική των θησαυροφυλακίων αντιγράφων ασφαλείας στη Φρανκφούρτη και την Ιρλανδία εμποδίζει οποιονδήποτε, συμπεριλαμβανομένης της δικής μας ομάδας, να διαγράψει Αντίγραφο Ασφαλείας πριν λήξει η περίοδος διατήρησής του ή να αλλάξει την περίοδο αυτή. Τα θησαυροφυλάκια είναι επίσης κλειδωμένα σε λειτουργία συμμόρφωσης (compliance mode) του παρόχου φιλοξενίας, η οποία έχει σχεδιαστεί ώστε κανείς, συμπεριλαμβανομένου οποιουδήποτε θα μπορούσε να αναλάβει τον έλεγχο ενός από τους λογαριασμούς μας στον πάροχο φιλοξενίας, να μην μπορεί να διαγράψει Αντίγραφο Ασφαλείας κατά τις πρώτες 35 ημέρες του.

7.3 Κάθε μήνα δοκιμάζουμε την επαναφορά της βάσης δεδομένων από Αντίγραφα Ασφαλείας. Στόχος μας είναι να μη χάνονται δεδομένα πέραν των 15 λεπτών εάν αποτύχει μια βάση δεδομένων και πέραν των 24 ωρών εάν χαθεί ολόκληρη η περιοχή φιλοξενίας, σύμφωνα με τους στόχους αποκατάστασης της Σύμβασης Επιπέδου Υπηρεσιών.

7.4 Τηρούμε Αντίγραφα Ασφαλείας για την αποκατάσταση της υπηρεσίας, όχι ως αρχείο για εσάς. Γι’ αυτό παρακαλούμε να εξάγετε τακτικά τα δεδομένα σας από τη σελίδα Πακέτου και χρέωσης ή από κάθε Εφαρμογή.

8. Πληρωμές και χρήματα

8.1 Οι Υπηρεσίες έχουν σχεδιαστεί ώστε οι αριθμοί καρτών να μην διέρχονται από τα συστήματά μας και να μην αποθηκεύονται σε αυτά: η πληρωμή πραγματοποιείται στις δικές σελίδες των Παρόχων Υπηρεσιών Πληρωμών ή στα πιστοποιημένα τερματικά αποδοχής καρτών και τις εφαρμογές τους. Οι οθόνες των Υπηρεσιών δεν περιέχουν πεδίο για αριθμούς καρτών ή τους κωδικούς ασφαλείας τους, και μπορείτε να ζητήσετε, από τη σελίδα Ασφάλειας, τη σάρωση των πεδίων κειμένου για αριθμούς καρτών που εισήχθησαν κατά λάθος.

8.2 Τα χρήματά σας εκκαθαρίζονται απευθείας από τον Πάροχο Υπηρεσιών Πληρωμών στον τραπεζικό σας λογαριασμό. Δεν τα λαμβάνουμε ούτε τα κατέχουμε ποτέ.

8.3 Η αλλαγή του τραπεζικού λογαριασμού που έχει καταχωριστεί στη STAK για τη λήψη εκκαθαρίσεων απαιτεί πρόσθετο βήμα επαλήθευσης και τίθεται σε ισχύ μόνο μετά από 48 ώρες. Οι Ιδιοκτήτες ειδοποιούνται αμέσως ώστε να μπορούν να την ακυρώσουν.

9. Τεχνητή νοημοσύνη

9.1 Τα δεδομένα αποστέλλονται στον πάροχο τεχνητής νοημοσύνης μόνο όταν ένας Χρήστης ζητά μια Λειτουργία Τεχνητής Νοημοσύνης, μεταφορτώνει ένα έγγραφο ώστε να το διαβάσει μία από αυτές, όπως μια απόδειξη, ή όταν μια αυτοματοποίηση που έχει ρυθμίσει ένας Χρήστης εκτελεί ένα βήμα τεχνητής νοημοσύνης, και αποστέλλονται μόνο τα δεδομένα που απαιτούνται για το αίτημα ή το βήμα αυτό.

9.2 Τα δεδομένα σας δεν χρησιμοποιούνται για την εκπαίδευση μοντέλων τεχνητής νοημοσύνης. Οι Λειτουργίες Τεχνητής Νοημοσύνης αλλάζουν μια εγγραφή μόνο μετά από ρητή επιβεβαίωσή σας ή στο πλαίσιο αυτοματοποίησης που έχει ρυθμίσει και ενεργοποιήσει εξουσιοδοτημένος Χρήστης.

10. Η πρόσβαση της ομάδας μας

Η πρόσβαση στο περιβάλλον παραγωγής περιορίζεται σε περιορισμένο αριθμό ονομαστικά προσδιορισμένου προσωπικού, απαιτεί πολυπαραγοντική ταυτοποίηση και η έναρξη κάθε συνεδρίας πρόσβασης καταγράφεται. Η διαχειριστική πρόσβαση στους διακομιστές γίνεται αποκλειστικά μέσω της υπηρεσίας διαχείρισης συστημάτων της Amazon, χωρίς άμεση σύνδεση στους διακομιστές.

Εξετάζουμε τα δεδομένα σας μόνο στις ακόλουθες περιπτώσεις:

• για την παροχή υποστήριξης που ζητάτε·
• για τη λειτουργία, τη συντήρηση και την αποκατάσταση των Υπηρεσιών·
• για τη διερεύνηση Περιστατικού Ασφάλειας ή εικαζόμενης παράβασης της Πολιτικής Αποδεκτής Χρήσης·
• όπου το απαιτεί ο νόμος.

11. Παρακολούθηση και αντιμετώπιση περιστατικών

11.1 Παρακολουθούμε την υποδομή υπολογιστικού νέφους αυτόματα όλο το εικοσιτετράωρο, με άμεσες ειδοποιήσεις προς την ομάδα μας. Κάθε διαχειριστική ενέργεια στην υποδομή υπολογιστικού νέφους καταγράφεται, και οι απειλές και τα υπερβολικά δικαιώματα εντοπίζονται αυτόματα.

11.2 Εάν μια Παραβίαση Δεδομένων Προσωπικού Χαρακτήρα επηρεάζει τα δεδομένα σας, σας ειδοποιούμε χωρίς αδικαιολόγητη καθυστέρηση: εντός 24 ωρών από τη στιγμή που τη μαθαίνουμε, όπου αυτό είναι εφικτό, και σε κάθε περίπτωση εντός 48 ωρών. Σας λέμε τι συνέβη και τι έχουμε κάνει γι’ αυτό.

12. Πιστοποιήσεις

Προς το παρόν δεν διαθέτουμε πιστοποίηση ISO 27001 ούτε έκθεση SOC 2. Δεν διαθέτουμε ούτε πιστοποίηση PCI DSS, διότι οι Υπηρεσίες έχουν σχεδιαστεί ώστε τα δεδομένα καρτών να μην διέρχονται από τα συστήματά μας: υφίστανται επεξεργασία στις δικές σελίδες των Παρόχων Υπηρεσιών Πληρωμών ή στα πιστοποιημένα τερματικά και τις εφαρμογές τους. Οι Πάροχοι Υπηρεσιών Πληρωμών που συνδέετε με τις Υπηρεσίες διαθέτουν τις δικές τους πιστοποιήσεις. Θα αναφέρουμε εδώ κάθε πιστοποίηση που θα αποκτήσουμε στο μέλλον.

Εάν δέχεστε πληρωμές με κάρτα μέσω των σελίδων σας στη STAK, ο αγοραστής παραπέμπεται στη δική σελίδα του Παρόχου Υπηρεσιών Πληρωμών σας ή χρησιμοποιείτε τα πιστοποιημένα τερματικά και τις εφαρμογές του, ώστε οι σελίδες της STAK να μη συλλέγουν ποτέ δεδομένα καρτών. Ελέγξτε τις δικές σας υποχρεώσεις PCI DSS με τον Πάροχο Υπηρεσιών Πληρωμών σας· μια επιχείρηση που χρησιμοποιεί τέτοια ανακατεύθυνση συνήθως συμπληρώνει το συντομότερο ερωτηματολόγιο αυτοαξιολόγησης (SAQ A). Η STAK δεν ισχυρίζεται ότι διαθέτει πιστοποίηση PCI DSS.

13. Τι μπορείτε να κάνετε

• Ενεργοποιήστε τη σύνδεση σε δύο βήματα για Ιδιοκτήτες και Διαχειριστές.
• Παραχωρήστε σε κάθε Μέλος Προσωπικού μόνο τα δικαιώματα που απαιτεί η εργασία του και αφαιρέστε αμέσως την πρόσβαση όποιου αποχωρεί.
• Εξάγετε τακτικά τα δεδομένα σας, τουλάχιστον μία φορά τον μήνα.
• Διατηρείτε τις Συσκευές σημείου πώλησης συνδεδεμένες έως ότου ολοκληρωθεί ο συγχρονισμός των πωλήσεων που καταγράφηκαν εκτός σύνδεσης, πριν διαγράψετε δεδομένα ή αποσυνδεθείτε από οποιαδήποτε Συσκευή.
• Διατηρείτε ενημερωμένα τα λειτουργικά συστήματα και τα προγράμματα περιήγησης των συσκευών σας.
• Ενημερώστε μας αμέσως για οποιαδήποτε ύποπτη δραστηριότητα.

14. Αναφορά ευπάθειας

Εάν ανακαλύψετε ευπάθεια ασφάλειας, στείλτε μας μήνυμα ηλεκτρονικού ταχυδρομείου στο [email protected]. Χειριζόμαστε τις αναφορές εμπιστευτικά. Εξουσιοδοτούμε δοκιμές ασφαλείας καλής πίστης εντός των ορίων της ρήτρας 10 της Πολιτικής Αποδεκτής Χρήσης και δεν υποβάλλουμε καταγγελία ή αξίωση εναντίον όποιου παραμένει εντός των ορίων αυτών και μας αναφέρει την ευπάθεια αμελλητί.