Πολιτική Απορρήτου

ΠΟΛΙΤΙΚΗ ΑΠΟΡΡΗΤΟΥ CALLBUDDIE

1. Εισαγωγή 

Η παρούσα Πολιτική αφορά την συνδρομητική υπηρεσία CallBuddie (εφεξής: «CallBuddie»). Η συνδρομητική υπηρεσία τούτη παρέχεται μέσω της ιστοσελίδας callbuddie.com που διαχειρίζεται η εταιρεία με την επωνυμία «CallBuddie ΙΔΙΩΤΙΚΗ ΚΕΦΑΛΑΙΟΥΧΙΚΗ ΕΤΑΙΡΕΙΑ», που εδρεύει στη Βάρη Αττικής, οδός Μάνου Χατζιδάκη, αριθμός 1, με Α.Φ.Μ. 803275771 και αριθμό Γ.Ε.ΜΗ. 193600101000 (εφεξής: «η Εταιρεία»).

Στο πλαίσιο χρήσης της συνδρομητικής υπηρεσίας μας, ενδέχεται να επεξεργαστούμε προσωπικά δεδομένα σας. Η Εταιρεία, αποδίδοντας μεγάλη σημασία στην σύννομη επεξεργασία, στην ασφάλεια και στην προστασία των προσωπικών σας δεδομένων, τελεί σε πλήρη συμμόρφωση με τον Γενικό Κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, και την ελληνική νομοθεσία (εφεξής: «ΓΚΠΔ»). 

Παρακαλούμε να διαβάσετε προσεκτικά την παρούσα, καθώς περιέχει όλα όσα πρέπει να γνωρίζετε σχετικά με την επεξεργασία των προσωπικών δεδομένων σας. Η Πολιτική αυτή έχει θεσπιστεί και ισχύει για την εκ μέρους σας χρήση των παρεχόμενων από εμάς υπηρεσιών και αποτελεί μέρος των όρων και προϋποθέσεων που διέπουν τις μεταξύ μας σχέσεις. Με την αποδοχή αυτών των όρων και προϋποθέσεων, αποδέχεστε ρητά την παρούσα Πολιτική.

2. Ποια δεδομένα συλλέγουμε και πώς 

Η Εταιρεία, κατά την παροχή της συνδρομητικής υπηρεσίας CallBuddie, συλλέγει τις ακόλουθες κατηγορίες δεδομένων:

α) Δεδομένα επαγγελματία-πελάτη

Η Εταιρεία συλλέγει τα προσωπικά δεδομένα που εισάγει ο επαγγελματίας-πελάτης κατά την έγγραφή του, όπως στοιχεία ταυτότητας και επικοινωνίας (π.χ. ονοματεπώνυμο, ηλεκτρονική διεύθυνση και τηλέφωνο επικοινωνίας), στοιχεία τιμολόγησης και δεδομένα χρήσης της υπηρεσίας (π.χ. λεπτά, ενεργοποιήσεις και υποστηρικτικά αιτήματα).

β) Δεδομένα καλούντων

Η Εταιρεία επεξεργάζεται, για λογαριασμό του επαγγελματία-πελάτη, προσωπικά δεδομένα των προσώπων που καλούν τον επαγγελματία και αλληλεπιδρούν με τον ψηφιακό βοηθό. Η επεξεργασία αυτή πραγματοποιείται βάσει σύμβασης επεξεργασίας δεδομένων (DPA) και σύμφωνα με τις αρχές ασφαλούς επεξεργασίας του ΓΚΠΔ.

Στα δεδομένα αυτά περιλαμβάνονται, ενδεικτικά, ο αριθμός του καλούντος, η μεταγραφή της συνομιλίας σε κείμενο, η περίληψη της κλήσης, στοιχεία ραντεβού, όπως ονοματεπώνυμο και τηλέφωνο, εφόσον δηλωθούν από τον καλούντα, στοιχεία μηνυμάτων, καθώς και δεδομένα χρήσης ή χρέωσης, όπως διάρκεια και κόστος κλήσης.

Τα δεδομένα των καλούντων προβάλλονται στον επαγγελματία-πελάτη μέσω dashboard. Η πρόσβαση της Εταιρείας στο dashboard είναι περιορισμένη και πραγματοποιείται μόνο στον βαθμό που είναι αναγκαίο για συγκεκριμένους σκοπούς, όπως τεχνική υποστήριξη, διερεύνηση δυσλειτουργιών, έλεγχος χρεώσεων και ορίων χρήσης, ανίχνευση κατάχρησης, ασφάλεια της Υπηρεσίας και απάντηση σε αιτήματα δημόσιων αρχών.

3. Αρχές επεξεργασίας  

Η επεξεργασία των δεδομένων σας στηρίζεται στις παρακάτω αρχές: 

• Νομιμότητα, αντικειμενικότητα και διαφάνεια κατά την επεξεργασία (άρθρο 5 παρ. 1α του ΓΚΠΔ)
• Περιορισμός του σκοπού της επεξεργασίας (άρθρο 5 παρ. 1β του ΓΚΠΔ)
• Ελαχιστοποίηση των υπό επεξεργασία δεδομένων (άρθρο 5 παρ. 1γ του ΓΚΠΔ)
• Ακρίβεια και επικαιροποίηση των υπό επεξεργασία δεδομένων (άρθρο 5 παρ. 1δ του ΓΚΠΔ) 
• Περιορισμός του χρόνου διακράτησης των δεδομένων (άρθρο 5 παρ. 1ε του ΓΚΠΔ)
• Ακεραιότητα και εμπιστευτικότητα κατά την επεξεργασία (άρθρο 5 παρ. 1στ του ΓΚΠΔ)
• Συμμόρφωση με το εκάστοτε ισχύον νομοθετικό και κανονιστικό πλαίσιο. 

4. Σκοποί - νόμιμη βάση επεξεργασίας 

Τα προσωπικά δεδομένα του επαγγελματία-πελάτη υποβάλλονται σε επεξεργασία για τον σκοπό της ορθής παροχής των υπηρεσιών μας. Η επεξεργασία βασίζεται στην συναίνεση που παρέχει ο επαγγελματίας κατά την εγγραφή του στην CallBuddie (άρθρο 6 παρ. 1α), καθώς και στην ορθή εκτέλεση της μεταξύ μας σύμβασης (άρθρο 6 παρ. 1β).

Τα προσωπικά δεδομένα των καλούντων χρησιμοποιούνται αποκλειστικά για: 

α) Τεχνική λειτουργία, υποστήριξη και ασφάλεια της πλατφόρμας, όπως ανίχνευση σφαλμάτων, διερεύνηση δυσλειτουργιών, ανίχνευση κατάχρησης, αντιμετώπιση spam/scam κλήσεων και εφαρμογή ορίων χρήσης. Η επεξεργασία αυτή βασίζεται σε σύμβαση επεξεργασίας δεδομένων (DPA) που έχει υπογραφεί μεταξύ της Εταιρείας και του επαγγελματία.

β) Τιμολόγηση και παρακολούθηση κατανάλωσης, όπως υπολογισμός διάρκειας χρήσης, κόστους και ορίων χρήσης. Η επεξεργασία αυτή πραγματοποιείται για την εκτέλεση της σύμβασης με τον επαγγελματία-πελάτη και βασίζεται σε έννομο συμφέρον της Εταιρείας (άρθρο 6 παρ. 1στ).

Η Εταιρεία δεν χρησιμοποιεί τα δεδομένα των τελικών καλούντων για εκπαίδευση μοντέλων AI, fine-tuning, profiling, διαφημιστική στόχευση, πώληση σε τρίτους ή αυτοματοποιημένη λήψη αποφάσεων με έννομες ή παρόμοια σημαντικές συνέπειες. 

Τα δεδομένα API που διαβιβάζονται στον πάροχο γλωσσικού μοντέλου, κατά την ενότητα 5, δεν χρησιμοποιούνται για την εκπαίδευση των μοντέλων του.  

5. Ποιοι έχουν πρόσβαση στα δεδομένα σας 

Πρόσβαση στα προσωπικά δεδομένα έχουν μόνο τα πρόσωπα και οι πάροχοι που είναι αναγκαίοι για την παροχή, λειτουργία, υποστήριξη, ασφάλεια και τιμολόγηση της υπηρεσίας. 

Η Εταιρεία επιλέγει παρόχους που είναι αναγκαίοι για τη λειτουργία της υπηρεσίας και συνάπτει, όπου απαιτείται, συμβάσεις επεξεργασίας δεδομένων ή άλλες κατάλληλες συμβατικές δεσμεύσεις. 

Όταν προσωπικά δεδομένα διαβιβάζονται εκτός Ευρωπαϊκού Οικονομικού Χώρου, η διαβίβαση πραγματοποιείται βάσει κατάλληλων εγγυήσεων, όπως Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής, αποφάσεις επάρκειας ή άλλοι νόμιμοι μηχανισμοί που προβλέπονται από τον ΓΚΠΔ. 

Για τη λειτουργία της πλατφόρμας, η Εταιρεία χρησιμοποιεί τους ακόλουθους παρόχους/υπο-εκτελούντες: 

Η Εταιρεία μπορεί επίσης να γνωστοποιεί δεδομένα σε δημόσιες, δικαστικές, εποπτικές ή άλλες αρμόδιες αρχές, εφόσον αυτό απαιτείται από την ισχύουσα νομοθεσία ή από νόμιμο αίτημα αρμόδιας αρχής. 

Η ιστοσελίδα, η πλατφόρμα ή/και οι υπηρεσίες της CallBuddie ενδέχεται να περιέχουν συνδέσμους, πρόσθετα, διασυνδέσεις ή παραπομπές προς ιστοσελίδες, εφαρμογές ή υπηρεσίες τρίτων μερών. Η εκ μέρους σας χρήση των προσθέτων ή συνδέσμων αυτών ενδέχεται να έχει ως αποτέλεσμα τη συλλογή δεδομένων σας από τα τρίτα αυτά μέρη, τα οποία δεν ελέγχουμε και για το λόγο αυτό δεν μπορούμε να εγγυηθούμε την προστασία των δεδομένων σας από τα τρίτα αυτά μέρη, ούτε φέρουμε ευθύνη για τυχόν δική τους μη συμμόρφωση με το εκάστοτε ισχύον νομοθετικό και κανονιστικό πλαίσιο προστασίας δεδομένων προσωπικού χαρακτήρα. Παρακαλούμε προτού κάνετε χρήση των προσθέτων ή ιστοτόπων τρίτων μερών να ενημερωθείτε για την δική τους πολιτική προστασίας απορρήτου και δεδομένων προσωπικού χαρακτήρα. 

6. Για πόσο χρονικό διάστημα διατηρούμε τα δεδομένα σας 

Η Εταιρεία διατηρεί τα προσωπικά δεδομένα μόνο για όσο χρονικό διάστημα είναι αναγκαίο για τους σκοπούς για τους οποίους συλλέχθηκαν, εκτός εάν απαιτείται μεγαλύτερη διατήρηση από την ισχύουσα νομοθεσία.

Ενδεικτικά: 

• Προσωπικά δεδομένα που εισάγει ο επαγγελματίας: Διατηρούνται για όσο χρονικό απαιτείται για την εκτέλεση της μεταξύ μας σύμβασης, με βάση την αρχή της ελάχιστης διάρκειας της επεξεργασίας και με ανώτατο χρονικό όριο τα 5 έτη από τη λήξη της συνεργασίας μας.
• Ηχογραφήσεις και μεταγραφές κλήσεων: Διατηρούνται για περιόδους που καθορίζονται από τον πελάτη (τυπικά 30 ημέρες). 
• Λογιστικά και φορολογικά αρχεία: Διατηρούνται κατά κανόνα για τουλάχιστον πέντε (5) έτη από τη λήξη του αντίστοιχου φορολογικού έτους και, όπου απαιτείται, για μεγαλύτερο χρονικό διάστημα σύμφωνα με την ισχύουσα φορολογική και λογιστική νομοθεσία
• Cookies: Διαγράφονται εντός δεκατριών μηνών ή νωρίτερα κατά προτίμηση του χρήστη. 

Μετά τη λήξη του αναγκαίου χρόνου διατήρησης, τα προσωπικά δεδομένα διαγράφονται οριστικά ή ανωνυμοποιούνται. 

7. Ασφάλεια δεδομένων  

Η Εταιρεία λαμβάνει κατάλληλα τεχνικά και οργανωτικά μέτρα, σύμφωνα με το άρθρο 32 ΓΚΠΔ, με σκοπό την προστασία των προσωπικών δεδομένων από μη εξουσιοδοτημένη ή παράνομη επεξεργασία, τυχαία απώλεια, καταστροφή, αλλοίωση ή μη εξουσιοδοτημένη πρόσβαση. 

Τα μέτρα αυτά περιλαμβάνουν, ενδεικτικά: 

α) Ψευδωνυμοποίηση και κρυπτογράφηση: 

• Κρυπτογράφηση εν στάσει: η βάση δεδομένων είναι κρυπτογραφημένη σε επίπεδο δίσκου (AES-256 μέσω AWS). Τα backups κρυπτογραφούνται κατά τη μεταφορά και αποθηκεύονται κρυπτογραφημένα στο object storage. 
• Κρυπτογράφηση εν κινήσει: TLS 1.2 και 1.3 αποκλειστικά σε όλες τις δημόσιες διεπαφές, με σύγχρονες σουίτες (ECDHE με AES-GCM/CHACHA20). Πιστοποιητικά Let's Encrypt με αυτόματη ανανέωση. HTTP redirect σε HTTPS υποχρεωτικός. 
• API keys, OAuth tokens και credentials αποθηκεύονται με δικαιώματα 0600 σε χρήστη root, εκτός του πηγαίου κώδικα. OAuth tokens ενσωματωμένων υπηρεσιών (Google Calendar) κρυπτογραφούνται στη βάση με ξεχωριστό κλειδί. 
• Στο σύστημα παρακολούθησης σφαλμάτων (Sentry) εφαρμόζεται aggressive PII scrubbing: τηλέφωνα αντικαθίστανται με [PHONE], emails με [EMAIL], headers ταυτοποίησης με [REDACTED] πριν φύγουν από τον server. 

β) Εμπιστευτικότητα, ακεραιότητα, διαθεσιμότητα, αξιοπιστία: 

• Εμπιστευτικότητα: Row-Level Security σε επίπεδο βάσης (κάθε επαγγελματίας βλέπει αποκλειστικά τα δικά του δεδομένα), role-based access control στο dashboard (owner / staff / public), middleware ταυτοποίησης σε κάθε αίτημα. Ταυτοποίηση με email/password (bcrypt μέσω διαχειριζόμενης υπηρεσίας ταυτοποίησης) ή Google OAuth. Sessions σε httpOnly secure cookies. Audit log για κάθε διοικητική ενέργεια. 
• Ακεραιότητα: Cryptographically-signed JWT για sessions, HMAC υπογραφές webhook σε εισερχόμενες κλήσεις από προμηθευτές, idempotency keys σε κρίσιμες εγγραφές, timing-safe σύγκριση secrets, header-only authentication scheme για τα tool webhooks (όχι secrets σε URLs). 
• Διαθεσιμότητα: Process supervisor (PM2) με αυτόματο restart διεργασιών, fail2ban για προστασία SSH από brute-force, πολλαπλά επίπεδα rate limiting (nginx, application layer, ανά IP και ανά client), μετριασμός DDoS και WAF μέσω παρόχου CDN, captcha και honeypot σε δημόσιες φόρμες. 
• Αξιοπιστία: Ενεργό σύστημα παρακολούθησης σφαλμάτων (Sentry) με ειδοποιήσεις σε πραγματικό χρόνο, λειτουργικές ειδοποιήσεις μέσω χωριστού καναλιού. 

γ) Δυνατότητα αποκατάστασης: 

• Ημερήσιο αυτοματοποιημένο backup της βάσης δεδομένων (pg_dump), διπλά αποθηκευμένο: τοπικά στον server και σε εκτός host κρυπτογραφημένο object storage (Cloudflare R2), με 14-ήμερη διατήρηση και αυτόματη περιστροφή. 
• Ημερήσιο archive του πηγαίου κώδικα σε εκτός host storage. 
• RTO (Recovery Time Objective): < 4 ώρες για πλήρη επαναφορά εφαρμογής σε νέο VPS. RPO (Recovery Point Objective): < 24 ώρες. 

δ) Δοκιμή και αξιολόγηση: 

• Αυτόματος έλεγχος εξαρτήσεων για ευπάθειες σε κάθε deployment. 
• Εσωτερική επανεξέταση των μέτρων μετά από κάθε σημαντική αλλαγή υποδομής. 

Η πρόσβαση σε δεδομένα είναι ονομαστική, περιορισμένη στα απολύτως αναγκαία πρόσωπα και χορηγείται βάσει της αρχής «need-to-know». Χρησιμοποιούνται αποκλειστικά για τους σκοπούς που περιγράφονται στην παρούσα Πολιτική και στο μέτρο που είναι αναγκαίο για την παροχή, υποστήριξη και ασφάλεια της υπηρεσίας. 

8. Τα δικαιώματά σας  

Σύμφωνα με όσα προβλέπονται από τον ΓΚΠΔ έχετε τα ακόλουθα δικαιώματα, ως υποκείμενα των δεδομένων που συλλέγουμε και επεξεργαζόμαστε: 

1. Δικαίωμα ενημέρωσης και πρόσβασης στα δεδομένα που σας αφορούν και λήψης πληροφοριών για αυτά, καθώς και για την προέλευση τους, τους σκοπούς επεξεργασίας τους, τους αποδέκτες ή τις κατηγορίες αποδεκτών τους και το χρονικό διάστημα τήρησής τους (άρθρα 12, 13, 14 και 15 ΓΚΠΔ).
2. Δικαίωμα διόρθωσης ανακριβών δεδομένων και συμπλήρωσης ελλιπών δεδομένων (άρθρο 16 ΓΚΠΔ).
3. Δικαίωμα διαγραφής των δεδομένων˙ το δικαίωμα αυτό, ωστόσο, τελεί υπό την επιφύλαξη της διακράτησης των εν λόγω δεδομένων για ελάχιστο συγκεκριμένο χρονικό διάστημα, προς συμμόρφωσή μας με έννομη υποχρέωση, ή για τη διαφύλαξη των νομίμων δικαιωμάτων μας, βάσει του εκάστοτε ισχύοντος νομοθετικού και κανονιστικού πλαισίου (άρθρο 17 ΓΚΠΔ).
4. Δικαίωμα περιορισμού της επεξεργασίας των δεδομένων, στην περίπτωση που, είτε αμφισβητείται η ακρίβεια τους, είτε η επεξεργασία τους είναι παράνομη, είτε δε συντρέχει πλέον ο σκοπός της επεξεργασίας και υπό την προϋπόθεση ότι δεν υφίσταται νόμιμος λόγος για τη διακράτησή τους (άρθρο 18 ΓΚΠΔ). 
5. Δικαίωμα φορητότητας των δεδομένων, δηλαδή μεταφοράς αυτών σε άλλον υπεύθυνο επεξεργασίας, υπό την προϋπόθεση ότι η επεξεργασία βασίζεται στη συγκατάθεσή σας και διενεργείται με αυτοματοποιημένα μέσα. Η ικανοποίηση του εν λόγω δικαιώματος τελεί υπό την επιφύλαξη των νομίμων δικαιωμάτων και υποχρεώσεών μας για διακράτηση των δεδομένων (άρθρο 20 ΓΚΠΔ).
6. Δικαίωμα εναντίωσης στην επεξεργασία των δεδομένων σας για λόγους που σχετίζονται με την ιδιαίτερη κατάσταση τους, στις περιπτώσεις όπου τα δεδομένα υφίστανται επεξεργασία για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή για τους σκοπούς των εννόμων συμφερόντων που επιδιώκουμε εμείς, ή τρίτο μέρος. Μετά την εκ μέρους σας άσκηση του εν λόγω δικαιώματος, δεν θα υποβάλλουμε πλέον τα δεδομένα σας σε επεξεργασία, εκτός εάν καταδείξουμε επιτακτικούς και νόμιμους λόγους για την επεξεργασία, οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών σας ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων (άρθρο 21 ΓΚΠΔ).

Τα αιτήματα σας σχετικά με τα προσωπικά σας δεδομένα και την άσκηση των δικαιωμάτων σας υποβάλλονται στην ηλεκτρονική διεύθυνση [email protected]. Δεσμευόμαστε να πράξουμε κάθε τι αναγκαίο για να ανταποκριθούμε στα αιτήματά σας σύμφωνα με τις προϋποθέσεις που τάσσονται από το ισχύον νομοθετικό και κανονιστικό πλαίσιο˙ ωστόσο, η ικανοποίηση ενός δικαιώματός σας μπορεί να μην είναι εφικτή, ιδίως όταν η άσκησή τους περιορίζεται από άλλες διατάξεις. Στην περίπτωση αυτή θα σας ενημερώσουμε για τους λόγους για τους οποίους το δικαίωμά σας δεν κατέστη δυνατόν να ικανοποιηθεί. 

Τόσο οι πληροφορίες που σας παρέχουμε σύμφωνα με τα άρθρα 13 και 14 ΓΚΠΔ και κάθε ανακοίνωση, όσο και οι ενέργειές μας για να ανταποκριθούμε στα αιτήματά σας που αφορούν την άσκηση των δικαιωμάτων σας σύμφωνα με τα άρθρα 15 έως 22 και το άρθρο 34 ΓΚΠΔ, παρέχονται δωρεάν. Σε περίπτωση, όμως που τα αιτήματα σας είναι προδήλως αβάσιμα ή υπερβολικά, ιδίως λόγω του επαναλαμβανόμενου χαρακτήρα τους, δικαιούμαστε είτε να επιβάλλουμε σε βάρος σας εύλογο τέλος για τις ενέργειές μας, λαμβάνοντας υπόψη τα διοικητικά μας έξοδα κατά περίπτωση, ή να αρνηθούμε να δώσουμε συνέχεια στο αίτημά σας. 

9. Επικοινωνία για ερωτήσεις ή σχόλια 

Για κάθε ζήτημα που αφορά την παρούσα Πολιτική, την επεξεργασία προσωπικών δεδομένων από την Εταιρεία  ή την άσκηση των δικαιωμάτων σας, καθώς και σε περίπτωση που θεωρείτε ότι η Εταιρεία  δεν έχει τηρήσει τις αρχές και υποχρεώσεις που προβλέπονται στην παρούσα Πολιτική, μπορείτε να επικοινωνείτε μαζί μας στην ηλεκτρονική διεύθυνση: [email protected]

10. Ισχύς και αναθεώρηση της Πολιτικής 

Η παρούσα Πολιτική ισχύει από την ανάρτησή της στην πλατφόρμα. Η Εταιρεία  δύναται να τροποποιεί ή να επικαιροποιεί την παρούσα Πολιτική για τη συμμόρφωσή της με το εκάστοτε νομοθετικό και κανονιστικό πλαίσιο ή για την βελτιστοποίησή της. Κάθε τροποποίηση θα ενσωματώνεται στην εκάστοτε ισχύουσα έκδοση της Πολιτικής, η οποία θα αναρτάται στην πλατφόρμα της Εταιρείας και θα ισχύει από την ανάρτησή της. Με την εκ μέρους σας χρήση της πλατφόρμας και των υπηρεσιών μας, μετά την ανάρτηση της αναθεωρημένης Πολιτικής, δηλώνετε ότι συμφωνείτε με τις τους όρους αυτής.