Sensitive data, υψηλό risk exposure
«Διαχειρίζομαι ιατρικά δεδομένα ασθενών. Έχω HIPAA-style obligations αλλά στην ΕΕ. Δεν μπορώ να ρισκάρω €100.000+ πρόστιμα — χρειάζομαι σωστό setup από την αρχή.»
GDPR που προστατεύει — όχι απλά «τσεκάρει» κουτάκια.
Πλήρες GDPR audit & implementation για website, marketing systems, email, cookie consent. Schrems II Transfer Impact Assessment, Records of Processing Activities (Art. 30), Data Processing Agreements management. Specialized για healthcare, legal, financial services — όπου το GDPR δεν είναι «nice to have».
Από το 2018 που μπήκε σε ισχύ, το GDPR έχει επιβάλει πρόστιμα €5+ δισ. — και αυξάνονται. Στην Ελλάδα, η ΑΠΔΠΧ έχει κρίνει εκατοντάδες υποθέσεις, από €5.000 σε small businesses έως €5εκ. σε large enterprises. Η συμμόρφωση δεν είναι «πρόβλημα του IT» — είναι business risk που χρειάζεται structured approach. Δεν είμαστε δικηγόροι (χρειάζεστε & δικηγόρο) — είμαστε technical implementers που εξασφαλίζουν ότι τα συστήματά σας πραγματικά εφαρμόζουν αυτό που ο νομικός σύμβουλος συστήνει.
Σε ποιους απευθύνεται
Healthcare / Legal / Financial Practice Owner
SaaS / Tech Founder
E-commerce / Marketing Manager
3 τυπικές περιπτώσεις πελατών μας
Δεν είμαστε δικηγόροι — είμαστε technical implementers με βαθιά κατανόηση του GDPR. Δουλεύουμε δίπλα στον νομικό σύμβουλό σας: αυτός ορίζει τι πρέπει να γίνει, εμείς το υλοποιούμε σωστά στα συστήματά σας. Παρακάτω 3 τυπικές περιπτώσεις.
B2B SaaS με EU customers, US infrastructure
«Έχω AWS US-East, Stripe, HubSpot, Mailchimp — όλα US-based. Οι enterprise EU customers ζητάνε DPA & Schrems II assessment πριν αγοράσουν. Χάνω deals επειδή δεν έχω τα papers.»
Cookie banner που σπάει conversion
«Έβαλα Cookiebot, αλλά οι conversions έπεσαν 40%. Δεν ξέρω αν τρέχω σωστή consent strategy ή αν χάνω data αδικαιολόγητα. Και ο νομικός μου λέει ότι κάτι δεν είναι σωστό.»
Πότε χρειάζεστε αυτή την υπηρεσία
6 ξεκάθαρα signals ότι ήρθε η ώρα
Αν αναγνωρίζετε 2+ από τα παρακάτω, η συμμόρφωση είναι urgent — όχι future planning. Σε regulated industries (healthcare, legal, financial), έστω 1 σημάδι αρκεί.
Δεν έχετε Records of Processing Activities (Art. 30 GDPR)
Cookie banner απλά λέει «OK» — χωρίς granular consent options
Χρησιμοποιείτε US tools (HubSpot, Mailchimp, Slack) χωρίς Schrems II assessment
Δεν έχετε Data Processing Agreements (DPAs) με όλους τους processors
Privacy Policy γενικότητες αντί για concrete data flows
Επεξεργάζεστε health/financial/biometric data χωρίς explicit consent
Τι θα έχετε στο τέλος
Συγκεκριμένα παραδοτέα — όχι «θα το δούμε»
Καμία γενικότητα. Αυτά τα 4 deliverables είναι το core του engagement. Documentation που στέκεται σε ΑΠΔΠΧ έλεγχο, technical implementation που πραγματικά εφαρμόζει την policy.
AUDIT
Full GDPR Compliance Audit
60+ checkpoints σε website, marketing tools, email systems, CRM, analytics, third-party processors. PDF report 30-50 σελίδες με risk classification (high/medium/low) και priority remediation roadmap.
DOCS
Records of Processing Activities (Art. 30)
Πλήρης τεκμηρίωση όλων των data processing activities, purposes, legal bases, data categories, recipients, retention periods, transfer mechanisms. Standalone document που στέκεται σε ΑΠΔΠΧ inspection.
TECH
Technical implementation (cookie consent, privacy)
Cookiebot ή self-hosted Klaro setup με granular consent (analytics/marketing/personalization separately), Privacy Policy που reflect-άρει actual data flows, Data Subject Request workflow (access, rectification, erasure, portability).
DPA
DPA management & Schrems II assessments
Complete inventory όλων των data processors (sub-processors), signed DPAs, Standard Contractual Clauses για US transfers, Transfer Impact Assessments (TIAs) για high-risk transfers (Mailchimp, HubSpot, AWS US, etc).
Τι είναι το GDPR — με απλά λόγια
Ο Γενικός Κανονισμός Προστασίας Δεδομένων (GDPR — Regulation EU 2016/679) είναι το ισχυρότερο privacy law στον κόσμο, σε ισχύ από Μάιο 2018 σε όλη την ΕΕ. Καθορίζει πώς οι επιχειρήσεις μπορούν να συλλέγουν, αποθηκεύουν, επεξεργάζονται & μεταβιβάζουν personal data — από email addresses μέχρι behavioral cookies και HR records. Στην Ελλάδα η εφαρμογή ελέγχεται από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ).
Πρόστιμα: €20εκ. ή 4% του global annual turnover (όποιο είναι μεγαλύτερο) για major violations, €10εκ. ή 2% για minor. Η ΑΠΔΠΧ έχει επιβάλει εκατοντάδες πρόστιμα από €5.000 για small businesses έως €5εκ. για large enterprises. Πέρα από πρόστιμα: data breach notifications μέσα σε 72 ώρες, public disclosure obligations, individual lawsuits από affected users (GDPR Art. 82). Το cost of non-compliance έχει γίνει σημαντικά υψηλότερο από το cost of compliance.
Γιατί χρειάζεστε GDPR compliance τώρα
- Νομική υποχρέωση — δεν είναι optional, εφαρμόζεται από Μάιο 2018 σε όλες τις EU επιχειρήσεις
- Προστασία από πρόστιμα — €20εκ. ή 4% turnover είναι maximum, αλλά συνήθη πρόστιμα €5K-€500K καταστρέφουν small businesses
- Enterprise customers απαιτούν DPAs — χάνετε B2B deals αν δεν έχετε standard documents έτοιμα
- Schrems II compliance για US transfers — αν χρησιμοποιείτε AWS, Stripe, HubSpot χωρίς TIA, είστε σε violation
- Trust signal για customers — privacy-conscious users προτιμάνε businesses που σέβονται data rights
- Foundation για NIS2 & AI Act compliance — άλλες EU regulations χτίζουν πάνω στο GDPR — με GDPR-ready είστε halfway για τα επόμενα requirements
Πώς δουλεύουμε — βήμα προς βήμα
- Discovery & current state assessment
Ξεκινάμε με 90-min meeting μαζί σας & νομικό σύμβουλο. Καταλαβαίνουμε business model, types of data, processing activities, current state of compliance, existing documentation. Δεν προχωράμε χωρίς clear understanding.
- Data flow mapping
Καταγράφουμε ΟΛΑ τα data flows: από user input στη site, μέχρι analytics tools, CRM, email systems, payment processors, support tickets, backup systems. Κάθε personal data point πρέπει να ξέρουμε από πού έρχεται, πού πάει, και ποιος έχει access.
- Third-party processor inventory
Λίστα όλων των vendors που επεξεργάζονται personal data: Google Analytics, Meta Pixel, HubSpot, Mailchimp, Stripe, AWS, Cloudflare. Identification country of processing, existing DPA status, sub-processors, transfer mechanisms (SCCs, adequacy decisions).
- Risk assessment & gap analysis
Σύγκριση current state vs GDPR requirements. Risk classification (high/medium/low) ανά processing activity. Gap report με concrete remediation actions, prioritized by risk & effort. Schrems II Transfer Impact Assessments για US-based processors.
- Records of Processing Activities (Art. 30)
Δημιουργία formal RoPA document: purposes, categories of data, categories of recipients, transfers to third countries, retention periods, security measures. Έγγραφο που στέκεται σε ΑΠΔΠΧ inspection.
- Privacy Policy & Cookie Notice rewrite
Όχι generic templates — custom Privacy Policy που reflect-άρει actual data processing, σε γλώσσα που user καταλαβαίνει (όχι legal jargon). Cookie notice με granular consent options. Bilingual (EL + EN) όπου χρειάζεται.
- Technical implementation
Cookiebot, OneTrust ή self-hosted Klaro setup. Granular consent (necessary/preferences/statistics/marketing separately). GA4 & Meta Pixel που σέβονται consent (no fire-on-page-load). Server-side tracking όπου εφαρμόζεται. Data Subject Request workflow (access, deletion, portability).
- DPAs & SCCs management
Sign DPAs με όλους τους processors που δεν έχουν ήδη. Standard Contractual Clauses (2021 modules) για non-EU transfers. Transfer Impact Assessments (TIAs) για high-risk US transfers. Document binder ready για audits.
- Training & ongoing maintenance
Training για το team σας (1-2 ώρες) σε data protection basics, breach response, DSR handling. Quarterly compliance reviews — νέα tools προστίθενται, νέοι risks emerge. Annual full re-audit για να μένουμε aligned με regulatory changes.
Εργαλεία & frameworks που χρησιμοποιούμε
Στο GDPR compliance, η επιλογή εργαλείων είναι κρίσιμη — αρκετά «privacy tools» είναι US-based και προσθέτουν risks αντί να τα μειώνουν. Δουλεύουμε με EU-first ή self-hosted alternatives παντού όπου είναι δυνατόν. Cookiebot έχει EU operations αλλά parent company US — προτιμάμε Klaro ή Iubenda (IT) για strict-compliance contexts.
Klaro (self-hosted)
Iubenda (IT)
Cookiebot (DK/US)
Server-side GTM
Plausible (EU-hosted)
Matomo (self-hosted)
Standard Contractual Clauses
Transfer Impact Assessment (TIA)
RoPA Documentation
Συχνές ερωτήσεις
Δεν είμαστε δικηγόροι — δεν μπορούμε να σας δώσουμε νομική συμβουλή ή να σας εκπροσωπήσουμε σε ΑΠΔΠΧ διαδικασίες. Είμαστε technical implementers με βαθιά κατανόηση του GDPR. Δουλεύουμε δίπλα σε νομικό σύμβουλο: αυτός ορίζει τι πρέπει να γίνει νομικά, εμείς το υλοποιούμε σωστά στα συστήματά σας. Πολλά νομικά γραφεία γράφουν Privacy Policies που δεν εφαρμόζονται technically — είμαστε εμείς που εξασφαλίζουμε ότι το συστημα όντως κάνει αυτό που λέει η policy.
Initial audit (60+ checkpoints): 2-3 εβδομάδες για small business, 4-6 εβδομάδες για mid-market με complex tech stack. Implementation phase (cookie consent, RoPA, DPAs, technical fixes): 4-8 εβδομάδες ανάλογα με scope. Συνολική διάρκεια end-to-end: συνήθως 2-4 μήνες. Μετά, monthly maintenance ώρες 5-15 ώρες/μήνα για ongoing compliance.
Όχι by default. Αυτά είναι US-based services, υπό τον CLOUD Act. Μετά το Schrems II ruling (Ιούλ. 2020), data transfers σε ΗΠΑ απαιτούν: (1) Standard Contractual Clauses, (2) Transfer Impact Assessment, (3) supplementary measures (encryption, anonymization, ή avoid the transfer). Πολλοί think «έχω signed DPA, είμαι OK» — αλλά SCCs solo δεν αρκούν post-Schrems II. Στο audit, identifyάρουμε όλα τα US transfers και αξιολογούμε εναλλακτικές EU-based.
Notification στην ΑΠΔΠΧ μέσα σε 72 ώρες είναι υποχρεωτικό (Art. 33). Notification σε affected users όταν είναι «high risk to rights and freedoms» (Art. 34). Δεν χειρίζομαστε ενεργό breach — εκείνη τη στιγμή χρειάζεστε νομικό & cybersecurity expert ταυτόχρονα. Μπορούμε όμως να βοηθήσουμε post-breach με root cause analysis, technical remediation, documentation για regulator. Καλύτερη απάντηση: prevention. Το audit μας identify-άρει high-risk processing activities πριν γίνουν incidents.
GDPR — Myth Busting
4 παρανοήσεις που σας εκθέτουν νομικά.
Το GDPR είναι από τα πιο παρεξηγημένα regulatory frameworks. «Privacy experts» στο LinkedIn πουλάνε scaremongering, ενώ άλλοι λένε «δεν έχει σημασία στην Ελλάδα». Η αλήθεια είναι πιο nuanced — και πιο urgent από όσο νομίζουν οι περισσότεροι.
«Είμαι μικρή επιχείρηση. Δεν θα με ελέγξει η ΑΠΔΠΧ.»
ΑλήθειαΛάθος. Η ΑΠΔΠΧ έχει επιβάλει πρόστιμα από €5.000 σε small businesses (μικρά εμπορικά καταστήματα, dental clinics, accounting firms) μέχρι €5εκ. σε large corporations. Έλεγχοι ξεκινούν συχνά από complaint χρήστη — ένας customer που δεν παίρνει deletion response μπορεί να σας οδηγήσει σε έλεγχο. Επιπλέον: NIS2 directive (Οκτ. 2024) επεκτείνει cybersecurity obligations σε mid-sized businesses, με GDPR ως foundation.
«Έβαλα Cookiebot. Είμαι GDPR compliant.»
ΑλήθειαCookie consent είναι ένα κομμάτι ενός μεγαλύτερου puzzle. GDPR απαιτεί επιπλέον: Records of Processing Activities (Art. 30), DPAs με όλους τους processors, lawful basis για κάθε processing activity, data minimization, retention policies, breach response procedures, Data Subject Request handling, training, security measures. Το cookie tool καλύπτει 5-10% των requirements. Επίσης: Cookiebot misconfigured (συχνότερο σφάλμα) δεν προστατεύει — fires tracking scripts πριν consent.
«Έχω signed DPA με Mailchimp/HubSpot. Είμαι covered για US transfers.»
ΑλήθειαInsufficient post-Schrems II (Ιούλ. 2020). Το ECJ ruling ακύρωσε το Privacy Shield και έκρινε ότι Standard Contractual Clauses solo δεν αρκούν για US transfers — απαιτούνται supplementary measures (encryption, anonymization, ή avoid the transfer). Μετά Data Privacy Framework (Ιούλ. 2023), μερικά US companies είναι certified — αλλά ισχύει υπό αμφισβήτηση (Schrems III pending). Καλύτερη πρακτική: Transfer Impact Assessment per processor + EU-based alternatives όπου δυνατόν.
«GDPR καταστρέφει το marketing — δεν μπορώ να κάνω τίποτα.»
ΑλήθειαGDPR καθάρισε το marketing — έβγαλε το spam & intrusive tactics. Brands με σωστή consent strategy & transparent data practices έχουν ΥΨΗΛΟΤΕΡΟ engagement post-GDPR (users όντως θέλουν communication). Re-permission campaigns συνήθως κρατάνε 30-50% των emails — σε λιγότερα contacts αλλά με 2-3x καλύτερο engagement. GDPR είναι competitive advantage για όσους τη σέβονται & red flag για όσους δεν τη σέβονται.
Ενδεικτικά αποτελέσματα από συνεργασίες
60+
Audit checkpoints
Πλήρης assessment 60+ areas: cookie consent, data flows, processors, retention, security measures, DSR workflows, breach procedures.
2-4μήνες
End-to-end implementation
Από initial audit μέχρι full compliance: 2-4 μήνες ανάλογα με tech stack complexity & data volume — έτοιμοι για ΑΠΔΠΧ inspection.
€20εκ.
Maximum penalty avoided
€20εκ. ή 4% global turnover είναι το theoretical max prison. Σωστή compliance υλοποίηση κάτω από €15K = προστατεύει και την επιχείρηση και τη φήμη σας.
Ενδεικτική επένδυση GDPR Compliance
Όλες οι τιμές καλύπτουν τη δική μας τεχνική & documentation εργασία. Cookiebot/Iubenda subscription (αν χρησιμοποιηθεί): €10-€80/μήνα ανάλογα με tier. Klaro self-hosted: μηδέν recurring κόστος. Νομικός σύμβουλος (αν χρειαστεί): ξεχωριστά.
GDPR Audit only (one-off, no implementation)
€690 – €1.200
Full implementation project (one-off, 2-4 μήνες)
€1.500 – €2.500
Maintenance retainer (quarterly reviews)
€190 – €490/μήνα
Enterprise (DPO-as-a-Service, multi-entity)
Custom proposal