Πολιτική Απορρήτου

1. Ποιοι είμαστε (Υπεύθυνος Επεξεργασίας)

Υπεύθυνος επεξεργασίας για τα προσωπικά δεδομένα που συλλέγονται μέσω αυτής της ιστοσελίδας είναι ο/η [Νόμιμη Επωνυμία], ΑΦΜ [ΑΦΜ], ΓΕΜΗ [ΓΕΜΗ], με έδρα [Διεύθυνση], Σκάλα Κεφαλονιάς, Ελλάδα («εμείς», «μας», «Sally's Bar»). Επικοινωνία για θέματα απορρήτου: privacy@sallysbar.gr.

2. Τι δεδομένα συλλέγουμε

Συλλέγουμε τα παρακάτω δεδομένα, μόνο όσα χρειάζονται για κάθε σκοπό:

• Λογαριασμός: email, όνομα, κωδικός (κρυπτογραφημένος), τηλέφωνο, ημ. γέννησης, χώρα, φύλο, διεύθυνση, πόλη, τ.κ., συναίνεση marketing.
• Κρατήσεις & παραγγελίες: ημερομηνία, ώρα, αριθμός ατόμων, στοιχεία επικοινωνίας, περιεχόμενο παραγγελίας, ποσά, σημειώσεις.
• Πρόγραμμα πιστότητας & gamification: πόντοι, επίπεδο (tier), επισκέψεις, ιστορικό ανταμοιβών, scratch cards, συμμετοχή σε αποστολές.
• QR / Καμπάνιες Marketing: χρονοσφραγίδα σκαναρίσματος, χώρα/περιοχή/πόλη (από τα headers του CDN), ζώνη ώρας, συντεταγμένες πόλης, συσκευή/browser/OS, UTM tags, παραπομπή (referrer), γλώσσα περιηγητή, hashed IP (SHA-256 — η αρχική IP δεν αποθηκεύεται).
• Αιτήσεις εργασίας: ονοματεπώνυμο, email, τηλέφωνο, βιογραφικό (αρχείο + κείμενο), θέση.
• Push notifications: endpoint push, δημόσια κλειδιά κρυπτογράφησης, user-agent. Δεν στέλνουμε push χωρίς ρητή συναίνεσή σας.
• Τηλεφωνικές κλήσεις & AI ρεσεψιονίστ: όταν καλείτε τα νούμερά μας (+30 694 627 2083, +44 7441 475768, +1 207 503 7391), καταγράφονται: αριθμός σας (caller ID), χρονοσφραγίδα και διάρκεια. Αν η κλήση απαντηθεί από τον AI receptionist μας, καταγράφονται επίσης η ηχογράφηση της συνομιλίας και μια γραπτή μεταγραφή (transcript) για λόγους ποιότητας, εκπαίδευσης προσωπικού και απόδειξης/επίλυσης διαφορών κρατήσεων. Στην αρχή κάθε AI κλήσης ακούτε σαφή προφορική ενημέρωση («η κλήση καταγράφεται για λόγους ποιότητας και εξυπηρέτησης»). Αν δεν επιθυμείτε να ηχογραφηθείτε, μπορείτε να το δηλώσετε άμεσα και η κλήση θα τερματιστεί ή θα μεταφερθείτε σε άνθρωπο στο +30 694 627 2083 — δεν θα διατηρηθεί ηχογράφηση. Μπορείτε επίσης ανά πάσα στιγμή κατά τη διάρκεια της κλήσης να ζητήσετε μεταφορά σε άνθρωπο.
• Σύνδεση Messenger / Instagram: αν επιλέξετε να συνδέσετε τον λογαριασμό σας Messenger ή Instagram (π.χ. για +20 πόντους bonus), αποθηκεύουμε το Page-Scoped ID (PSID) ή IG-scoped ID που παρέχει η Meta μέσω webhook. Το χρησιμοποιούμε μόνο για να σας στέλνουμε μηνύματα όταν έχετε δώσει συναίνεση.
• Marketing μηνύματα & unsubscribe: αν έχετε δώσει συναίνεση marketing, καταγράφουμε κάθε μήνυμα που σας στέλνουμε (SMS, WhatsApp, Viber, Messenger, Instagram, Push, Email), την κατάσταση παράδοσης και την τυχόν απάντησή σας. Μπορείτε ανά πάσα στιγμή να απαντήσετε «STOP» / «παυση» (για SMS/WA) ή να πατήσετε τον σύνδεσμο unsubscribe στα email — η συναίνεσή σας αποσύρεται αυτόματα.
• Κλικ σε σύντομα URL (sallysbar.gr/s/xxxxx): μετράμε ανώνυμα τον αριθμό κλικ σε κάθε σύντμηση URL που στέλνουμε σε καμπάνιες, για να μετρήσουμε την απόδοση. Δεν σχετίζεται με προσωπικές σας πληροφορίες.
• Τεχνικά logs: χρονικά logs σφαλμάτων, request IDs. Διατηρούνται έως 30 ημέρες.

Δεν επεξεργαζόμαστε ειδικές κατηγορίες δεδομένων (υγεία, πεποιθήσεις κ.λπ.) και δεν τα ζητάμε.

3. Νομική βάση & σκοποί επεξεργασίας

4. Cookies & παρόμοιες τεχνολογίες

• Απαραίτητα cookies: συνεδρία σύνδεσης (Supabase auth), προτίμηση γλώσσας, CSRF. Δεν απαιτούν συναίνεση.
• Τοπική αποθήκευση PWA: service worker για offline + install. Διαγράφεται απεγκαθιστώντας την εφαρμογή.
• Marketing/analytics: δεν χρησιμοποιούμε Google Analytics ή tracking pixels τρίτων στις δημόσιες σελίδες. Τα QR scan analytics συλλέγονται server-side μόνο όταν σκανάρετε ένα δικό μας QR.

5. Επεξεργαστές τρίτων (subprocessors)

Χρησιμοποιούμε τους παρακάτω πάροχους, που λειτουργούν ως εκτελούντες επεξεργασία σύμφωνα με το GDPR:

• Supabase (EU, Frankfurt) — βάση δεδομένων, auth, αποθήκευση αρχείων (CVs, ηχογραφήσεις).
• Cloudflare (EU edge) — hosting, CDN, DDoS, geo-IP headers για analytics.
• Resend (EU/US) — transactional + marketing email (επιβεβαιώσεις, καμπάνιες, digests).
• Vonage (UK/EU) — Messaging API (SMS, WhatsApp, Viber, Messenger, Instagram) και Voice API (εισερχόμενες κλήσεις).
• Vapi (US) — AI voice orchestration — συνδέει STT + LLM + TTS σε πραγματικό χρόνο για τις AI τηλεφωνικές κλήσεις. Δείτε την πολιτική τους: vapi.ai/privacy.
• OpenAI (US) — GPT-4o-mini για τον AI receptionist και για AI δημιουργία μηνυμάτων καμπάνιας. Τα δεδομένα κλήσης χρησιμοποιούνται μόνο για την απόκριση· δεν χρησιμοποιούνται για εκπαίδευση μοντέλου.
• ElevenLabs (US) — Text-to-Speech για τη φωνή του AI receptionist (multilingual v2, EL + EN).
• Deepgram (US) — Speech-to-Text σε πραγματικό χρόνο για τον AI receptionist (Nova-3 streaming).
• Anthropic (Claude) (US) — δημιουργία περιεχομένου από διαχειριστή (events/jobs/quests). Δεν αποστέλλονται προσωπικά δεδομένα πελατών.
• Meta Platforms Ireland (EU) — Messenger & Instagram webhooks για τη σύνδεση λογαριασμού (PSID / IG-ID capture). Το Meta δεν βλέπει δικά μας δεδομένα πέρα από το φυσιολογικό messaging σε Page/IG.
• Telegram — εσωτερικές ειδοποιήσεις προσωπικού για παραγγελίες/κρατήσεις.
• Photon / OpenStreetMap (EU) — address autocomplete (αντί για Google Maps).

Διεθνείς μεταφορές προς τις ΗΠΑ βασίζονται στο EU–US Data Privacy Framework ή Standard Contractual Clauses.

6. Διατήρηση δεδομένων

• Λογαριασμός: όσο είναι ενεργός + 12 μήνες μετά την αδράνεια.
• Παραγγελίες / αποδείξεις: 10 έτη (φορολογική υποχρέωση).
• Κρατήσεις: 24 μήνες.
• QR scan logs: 24 μήνες, aggregated analytics επ' αόριστον.
• Αιτήσεις εργασίας: 12 μήνες (ή λιγότερο αν ζητηθεί).
• Ηχογραφήσεις AI τηλεφωνικών κλήσεων: έως 90 ημέρες (για ποιότητα & επίλυση διαφορών κράτησης), μετά διαγράφονται αυτόματα. Εγγραφή κλήσης που δεν περιλαμβάνει κράτηση διαγράφεται σε 30 ημέρες. Transcript (κείμενο): 24 μήνες. Μπορείτε να ζητήσετε άμεση διαγραφή οποτεδήποτε στο privacy@sallysbar.gr.
• Outbound marketing μηνύματα (marketing_log): 24 μήνες — για dedup, analytics, απόδειξη συναίνεσης.
• Εισερχόμενες απαντήσεις πελατών (SMS/WA κ.λπ.): 12 μήνες.
• Click analytics σύντομων URL: 12 μήνες, aggregated επ' αόριστον.
• Messenger/IG linking IDs: όσο διατηρείτε τον λογαριασμό σας ενεργό.
• Logs σφαλμάτων: 30 ημέρες.

7. Τα δικαιώματά σας (GDPR)

Έχετε δικαίωμα:

• πρόσβασης στα δεδομένα σας (Άρθρο 15)
• διόρθωσης (Άρθρο 16)
• διαγραφής / «δικαίωμα στη λήθη» (Άρθρο 17)
• περιορισμού (Άρθρο 18)
• φορητότητας (Άρθρο 20)
• εναντίωσης (Άρθρο 21)
• ανάκλησης συναίνεσης ανά πάσα στιγμή

Στείλτε email στο privacy@sallysbar.gr. Απαντάμε εντός 30 ημερών.

Μπορείτε επίσης να υποβάλετε καταγγελία στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (dpa.gr) ή στην αρμόδια αρχή της χώρας σας.

8. Ασφάλεια

Χρησιμοποιούμε HTTPS παντού, hashed passwords (bcrypt/argon), hashed IP για analytics, περιορισμένη πρόσβαση (role-based), encryption-in-transit και encryption-at-rest μέσω Supabase και Cloudflare. Σε περίπτωση παραβίασης δεδομένων, ειδοποιούμε την ΑΠΔΠΧ εντός 72 ωρών και εσάς αν η παραβίαση σας αφορά άμεσα.

8α. Αυτοματοποιημένες αποφάσεις & AI

Δεν λαμβάνουμε αυτοματοποιημένες αποφάσεις με έννομες συνέπειες για εσάς. Ο AI receptionist μας μπορεί να καταγράψει μια αίτηση κράτησης, αλλά κάθε κράτηση επιβεβαιώνεται από άνθρωπο πριν πάρει κωδικό επιβεβαίωσης — δεν υπάρχει πλήρως αυτοματοποιημένη απόφαση που σας επηρεάζει. Έχετε δικαίωμα να ζητήσετε ανθρώπινη παρέμβαση σε κάθε στάδιο, καλώντας +30 694 627 2083 ή στέλνοντας email στο info@sallysbar.gr.

9. Παιδιά

Η υπηρεσία μας δεν απευθύνεται σε άτομα κάτω των 18 ετών. Αν πιστεύετε ότι παιδί παρείχε στοιχεία χωρίς γονική συναίνεση, επικοινωνήστε μαζί μας για άμεση διαγραφή.

10. Αλλαγές στην πολιτική

Ενδέχεται να ενημερώσουμε αυτή την πολιτική. Ουσιώδεις αλλαγές θα κοινοποιηθούν μέσω email ή banner στον ιστότοπο.