Πολιτική απορρήτου

1. Ποιος είναι υπεύθυνος για τα δεδομένα

Το Ombrelo έχει δύο διαφορετικούς ρόλους, ανάλογα με τα δεδομένα:

• Δεδομένα πελατών μιας επιχείρησης. Όταν ένας πελάτης ανοίγει το μενού μιας επιχείρησης από το QR, παραγγέλνει, πληρώνει ή κάνει κράτηση, υπεύθυνος επεξεργασίας είναι η επιχείρηση (π.χ. το beach bar). Το Ombrelo είναι εκτελών την επεξεργασία: επεξεργάζεται τα δεδομένα για λογαριασμό της και σύμφωνα με τις οδηγίες της, βάσει της Σύμβασης επεξεργασίας δεδομένων (άρθρο 28 ΓΚΠΔ). Για αιτήματα σχετικά με αυτά τα δεδομένα, απευθύνσου πρώτα στην επιχείρηση· αν έρθουν σε εμάς, θα τα προωθήσουμε και θα τη βοηθήσουμε να απαντήσει.
• Δεδομένα λογαριασμών και ιστότοπου. Για τα δεδομένα των ιδιοκτητών και του προσωπικού που χρησιμοποιούν τον πίνακα ελέγχου, για τη συνδρομή και την τιμολόγηση, και για τους επισκέπτες αυτού του ιστότοπου, υπεύθυνος επεξεργασίας είναι το Ombrelo.

2. Στοιχεία επικοινωνίας

[Επωνυμία εταιρείας], ΑΦΜ [ΑΦΜ], [Διεύθυνση]. Για θέματα προσωπικών δεδομένων: [email]. Υπεύθυνος προστασίας δεδομένων (DPO): [όνομα και email, ή «δεν απαιτείται ορισμός DPO»].

3. Δεδομένα των πελατών μιας επιχείρησης

Αυτά επεξεργαζόμαστε για λογαριασμό της επιχείρησης όταν κάποιος χρησιμοποιεί το μενού της:

Δεν ζητάμε από τον πελάτη όνομα, email ή τοποθεσία για να παραγγείλει, και δεν φτιάχνουμε προφίλ του.

4. Δεδομένα ιδιοκτητών και προσωπικού

• Λογαριασμός: όνομα, email, κωδικός (αποθηκεύεται μόνο κρυπτογραφημένος με bcrypt, δεν τον βλέπουμε), ρόλος. Αν συνδέεσαι με Google, παίρνουμε από τη Google μόνο το email σου και την επιβεβαίωση ότι είναι δικό σου, όχι τον κωδικό σου ή τις επαφές σου.
• Στοιχεία επιχείρησης: όνομα και διεύθυνση καταστήματος, θέση στον χάρτη, ζώνη ώρας, μενού, ρυθμίσεις.
• Φορολογικά και τιμολόγηση: επωνυμία, ΑΦΜ, ΔΟΥ, διεύθυνση και email τιμολόγησης, ιστορικό συνδρομής και πληρωμών (μέσω Stripe).
• Βάρδιες: ονόματα και ώρες εργασίας του προσωπικού, αν η επιχείρηση χρησιμοποιεί τις βάρδιες. Αυτά τα καταχωρεί η επιχείρηση, που είναι και ο υπεύθυνος επεξεργασίας τους.
• Αρχεία δραστηριότητας: συνδέσεις και σημαντικές αλλαγές (π.χ. ποιος άλλαξε μια τιμή), για ασφάλεια και υποστήριξη.
• Επικοινωνία: ό,τι μας γράφεις όταν ζητάς βοήθεια.

5. Επισκέπτες αυτού του ιστότοπου

Στις δημόσιες σελίδες μετράμε τις επισκέψεις με το Umami, χωρίς cookies και χωρίς να αποθηκεύεται η διεύθυνση IP: σελίδα, από πού ήρθες, τύπος browser και συσκευής, γλώσσα και χώρα. Νόμιμη βάση είναι το έννομο συμφέρον μας να ξέρουμε πώς χρησιμοποιείται ο ιστότοπος (άρθρο 6 παρ. 1 στ ΓΚΠΔ). [Πάροχος: Umami Cloud ή δική μας εγκατάσταση, και πού φιλοξενούνται τα δεδομένα] Δεν χρησιμοποιούμε εργαλεία διαφήμισης. Ο διακομιστής κρατά για λίγο τεχνικά αρχεία (διεύθυνση IP, ώρα, σελίδα) για ασφάλεια. Δες και την Πολιτική cookies.

6. Σκοποί και νομικές βάσεις

Δεν πουλάμε δεδομένα, δεν δείχνουμε διαφημίσεις και δεν παίρνουμε αποφάσεις που βασίζονται αποκλειστικά σε αυτοματοποιημένη επεξεργασία με έννομα αποτελέσματα για σένα.

7. Επεξεργασία με τεχνητή νοημοσύνη

Για τη μετάφραση του μενού και των σημειώσεων, την ανάγνωση μενού από φωτογραφία, τον AI σερβιτόρο, τον AI διευθυντή και τον AI σύμβουλο χρησιμοποιούμε μοντέλα της Anthropic (Claude). Στέλνουμε μόνο το κείμενο που χρειάζεται κάθε φορά: το μενού, το μήνυμα του πελάτη, ή συγκεντρωτικά νούμερα πωλήσεων και αποθήκης. Δεν στέλνουμε στοιχεία πληρωμών ή τηλέφωνα.

Σύμφωνα με τους εμπορικούς όρους της, η Anthropic δεν χρησιμοποιεί αυτά τα δεδομένα για να εκπαιδεύσει τα μοντέλα της και τα διαγράφει μετά από περιορισμένο χρονικό διάστημα [επιβεβαίωση όρων και χρόνου διατήρησης του παρόχου]. Οι απαντήσεις του AI είναι βοηθητικές και μπορεί να έχουν λάθη.

8. Σε ποιους δίνονται δεδομένα

• Υπεκτελούντες που μας βοηθούν να λειτουργεί η Υπηρεσία (φιλοξενία, Stripe, Anthropic, πάροχος SMS/WhatsApp, πάροχος myDATA). Η πλήρης λίστα βρίσκεται στη Σύμβαση επεξεργασίας δεδομένων.
• Η υπηρεσία καιρού Open-Meteo λαμβάνει μόνο τις συντεταγμένες του καταστήματος, όχι προσωπικά δεδομένα.
• Η ίδια η επιχείρηση, για τα δεδομένα των πελατών της.
• Δημόσιες αρχές, μόνο όταν το απαιτεί ο νόμος (π.χ. ΑΑΔΕ για τα φορολογικά παραστατικά).

9. Διαβιβάσεις εκτός ΕΟΧ

Ορισμένοι πάροχοι (π.χ. Anthropic, Stripe) μπορεί να επεξεργάζονται δεδομένα στις ΗΠΑ. Οι διαβιβάσεις γίνονται με βάση την απόφαση επάρκειας για το Πλαίσιο Προστασίας Δεδομένων ΕΕ–ΗΠΑ, όπου ο πάροχος είναι πιστοποιημένος, ή με τυποποιημένες συμβατικές ρήτρες (άρθρο 46 ΓΚΠΔ) και πρόσθετα μέτρα όπου χρειάζονται.

10. Πόσο κρατάμε τα δεδομένα

11. Ασφάλεια

• Κρυπτογραφημένη σύνδεση (HTTPS/TLS) σε κάθε σελίδα και κάθε κλήση.
• Κωδικοί αποθηκευμένοι μόνο ως κρυπτογραφικό αποτύπωμα (bcrypt).
• Ρόλοι και δικαιώματα: κάθε μέλος του προσωπικού βλέπει μόνο ό,τι χρειάζεται, και κάθε επιχείρηση μόνο τα δικά της δεδομένα.
• Η πρόσβαση του προσωπικού μας στους λογαριασμούς καταγράφεται και είναι εξ ορισμού μόνο για ανάγνωση.
• Τα στοιχεία καρτών δεν περνούν από τους διακομιστές μας.
• Όριο αιτημάτων στα δημόσια σημεία της Υπηρεσίας και αντίγραφα ασφαλείας.

12. Τα δικαιώματά σου

Έχεις δικαίωμα:

• να μάθεις ποια δεδομένα σου επεξεργαζόμαστε και να πάρεις αντίγραφο (άρθρο 15),
• να ζητήσεις διόρθωση (άρθρο 16) ή διαγραφή (άρθρο 17),
• να ζητήσεις περιορισμό της επεξεργασίας (άρθρο 18),
• να πάρεις τα δεδομένα σου σε μορφή που διαβάζεται από υπολογιστή (άρθρο 20),
• να αντιταχθείς σε επεξεργασία που βασίζεται σε έννομο συμφέρον (άρθρο 21),
• να ανακαλέσεις τη συγκατάθεσή σου οποτεδήποτε, χωρίς να επηρεάζεται ό,τι έγινε πριν.

Γράψε μας στο [email]. Απαντάμε μέσα σε έναν μήνα. Αν είσαι πελάτης μιας επιχείρησης, το αίτημα πηγαίνει στην επιχείρηση· αν έρθει σε εμάς, θα το προωθήσουμε. Επειδή δεν ξέρουμε το όνομά σου, ίσως χρειαστεί να μας δώσεις τον κωδικό της παραγγελίας ή να κάνεις το αίτημα από την ίδια συσκευή, ώστε να βρούμε τα δεδομένα σου (άρθρο 11).

13. Καταγγελία στην ΑΠΔΠΧ

Αν πιστεύεις ότι παραβιάζονται τα δικαιώματά σου, μπορείς να υποβάλεις καταγγελία στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), Λεωφ. Κηφισίας 1–3, 115 23 Αθήνα, www.dpa.gr. Θα το εκτιμούσαμε αν μας έγραφες πρώτα, για να προσπαθήσουμε να το λύσουμε.

14. Παιδιά

Η Υπηρεσία απευθύνεται σε επιχειρήσεις. Δεν ζητάμε εν γνώσει μας δεδομένα παιδιών κάτω των 15 ετών. Η πώληση αλκοόλ σε ανηλίκους απαγορεύεται και είναι ευθύνη της επιχείρησης να την ελέγχει.

15. Αλλαγές σε αυτή την πολιτική

Αν αλλάξει κάτι σημαντικό, θα ενημερώσουμε τις επιχειρήσεις με email ή μέσα στον πίνακα ελέγχου και θα αλλάξουμε την ημερομηνία στην κορυφή αυτής της σελίδας.