Πολιτική Απορρήτου

Υπεύθυνος επεξεργασίας για τα δεδομένα που αφορούν τον λογαριασμό σας, την τιμολόγηση και τη χρήση της πλατφόρμας είναι το TAPMEO, με έδρα την Ελλάδα. Για κάθε θέμα προσωπικών δεδομένων μπορείτε να επικοινωνείτε στο privacy@nfcnew.eswebs.gr.

Για τα δεδομένα που συλλέγονται μέσω της δημόσιας κάρτας ενός επαγγελματία (π.χ. φόρμα «Άφησέ μου τα στοιχεία σου», επισκέψεις στη σελίδα /c/<slug>), υπεύθυνος επεξεργασίας είναι ο κάτοχος της κάρτας (ο επαγγελματίας ή η επιχείρηση) και το TAPMEO ενεργεί ως εκτελών την επεξεργασία για λογαριασμό του. Για επιχειρήσεις-πελάτες, οι όροι της επεξεργασίας ορίζονται στη σύμβαση DPA.

Δεν ζητάμε και δεν επεξεργαζόμαστε ευαίσθητα δεδομένα (άρθρο 9 GDPR). Παρακαλούμε να μην τα περιλαμβάνετε σε βιογραφικά, φωτογραφίες ή σχόλια leads. Τα δεδομένα που δημοσιεύετε στην κάρτα σας είναι, εξ ορισμού, δημόσια προσβάσιμα σε όποιον έχει τον σύνδεσμο ή σαρώσει το NFC/QR.

Όπου η βάση είναι το έννομο συμφέρον, έχουμε αξιολογήσει ότι δεν υπερισχύουν τα συμφέροντα ή τα δικαιώματα των υποκειμένων, λαμβάνοντας υπόψη τη φύση των δεδομένων (επαγγελματικά στοιχεία, ψευδωνυμοποιημένα analytics) και τις εγγυήσεις ελαχιστοποίησης. Μπορείτε να αντιταχθείτε ανά πάσα στιγμή (βλ. «Δικαιώματά σας»).

Τα στατιστικά της υπηρεσίας λειτουργούν χωρίς cookies και χωρίς client-side tracking scripts τρίτων. Κάθε προβολή ή σάρωση καταγράφεται server-side με τα εξής στοιχεία: κάρτα, πηγή (NFC, QR, link, wallet), ενέργεια, χρονική σήμανση, χονδρική γεωγραφική θέση (χώρα/πόλη από τη IP), τύπος συσκευής, λειτουργικό, browser, host του referrer και ένα ψευδώνυμο hash επισκέπτη.

• Η πλήρης διεύθυνση IP δεν αποθηκεύεται· χρησιμοποιείται μόνο για τον υπολογισμό του ψευδώνυμου hash και της χονδρικής τοποθεσίας.
• Το hash υπολογίζεται με μυστικό salt και ημερήσια περιστροφή (salt + ημέρα + IP + user-agent, SHA-256, περικομμένο), ώστε να μην είναι εφικτή η μακροχρόνια παρακολούθηση ενός ατόμου.
• Δεν γίνεται cross-site tracking, δεν χρησιμοποιούνται pixels διαφήμισης, δεν κοινοποιούνται δεδομένα σε ad networks.
• Τα δεδομένα χρησιμοποιούνται μόνο για συγκεντρωτικά στατιστικά που βλέπει ο κάτοχος της κάρτας.
• Σεβόμαστε τα σήματα Do Not Track (DNT) και Global Privacy Control (GPC) όπου αποστέλλονται· μπορείτε επίσης να ζητήσετε εξαίρεση από τα analytics της κάρτας σας στο privacy email.

Όταν ένας επισκέπτης υποβάλλει τα στοιχεία του μέσω της φόρμας μιας κάρτας, τα δεδομένα παραδίδονται στον κάτοχο της κάρτας και εμφανίζονται στην κονσόλα του. Το TAPMEO αποθηκεύει τα δεδομένα για λογαριασμό του κατόχου, τα εμφανίζει μόνο σε αυτόν (και στα εξουσιοδοτημένα μέλη της ομάδας του) και δεν τα χρησιμοποιεί για δικούς του σκοπούς.

• Η φόρμα εμφανίζει ρητή ενημέρωση και συγκατάθεση πριν την υποβολή· καταγράφουμε το κείμενο συγκατάθεσης και τον χρόνο της.
• Ο κάτοχος της κάρτας οφείλει να χρησιμοποιεί τα leads νόμιμα, να μην τα κοινοποιεί και να διαγράφει όσα δεν χρειάζεται.
• Ο επισκέπτης μπορεί να ζητήσει διαγραφή ή πρόσβαση είτε από τον κάτοχο είτε από εμάς· προωθούμε το αίτημα στον αρμόδιο υπεύθυνο.
• Οι ειδοποιήσεις leads αποστέλλονται με email και εμφανίζονται στο dashboard· τηρούνται μόνο για όσο χρειάζεται η παράδοση.

Χρησιμοποιούμε πιστοποιημένους παρόχους που ενεργούν ως εκτελούντες την επεξεργασία ή, όπου αναφέρεται, ως ανεξάρτητοι υπεύθυνοι. Όλοι δεσμεύονται με συμβάσεις που περιλαμβάνουν τους όρους του άρθρου 28 GDPR. Η τρέχουσα λίστα είναι η ακόλουθη:

Ενδέχεται να αποκαλύψουμε δεδομένα σε δημόσιες αρχές, δικαστήρια ή επαγγελματίες συμβούλους όταν υπάρχει νομική υποχρέωση ή για την άσκηση/υπεράσπιση νομικών αξιώσεων, και σε περίπτωση αναδιοργάνωσης/μεταβίβασης της επιχείρησης (με ενημέρωση και διατήρηση των εγγυήσεων).

Οποιαδήποτε προσθήκη ή αντικατάσταση υποεπεξεργαστή ανακοινώνεται στους επιχειρηματικούς πελάτες τουλάχιστον 30 ημέρες πριν, με δικαίωμα εύλογης αντίρρησης (βλ. DPA).

Η κύρια υποδομή (εφαρμογή, βάση δεδομένων, αρχεία media) βρίσκεται σε servers εντός Ευρωπαϊκής Ένωσης. Όπου απαιτείται μεταφορά δεδομένων εκτός ΕΕ/ΕΟΧ (π.χ. Firebase, Cloudflare, Paddle), βασιζόμαστε σε Τυποποιημένες Συμβατικές Ρήτρες (SCCs 2021/914) και/ή στο EU-US Data Privacy Framework, συνοδευόμενες από τεχνικά και οργανωτικά μέτρα (κρυπτογράφηση κατά τη μεταφορά, ελαχιστοποίηση, περιορισμός σκοπού).

Όταν λήξει ο χρόνος διατήρησης, τα δεδομένα διαγράφονται ή ανωνυμοποιούνται με ασφαλή τρόπο. Δεδομένα που πρέπει να διατηρηθούν για νομική υποχρέωση (π.χ. παραστατικά) παραμένουν περιορισμένα σε πρόσβαση και σκοπό.

Ως υποκείμενο των δεδομένων έχετε, υπό τις προϋποθέσεις του GDPR, τα εξής δικαιώματα:

• Πρόσβαση (άρθρο 15) — αντίγραφο των δεδομένων σας και πληροφορίες για την επεξεργασία.
• Διόρθωση (16) — διόρθωση ανακριβών ή συμπλήρωση ελλιπών δεδομένων (πολλά από αυτά τα αλλάζετε μόνοι σας στις ρυθμίσεις).
• Διαγραφή / «δικαίωμα στη λήθη» (17) — διαγραφή, με τις εξαιρέσεις για νομικές υποχρεώσεις.
• Περιορισμός (18) — περιορισμός της επεξεργασίας όσο εξετάζεται αίτημα.
• Φορητότητα (20) — εξαγωγή δεδομένων σε δομημένο, κοινώς χρησιμοποιούμενο μορφότυπο (CSV/JSON από το dashboard).
• Εναντίωση (21) — εναντίωση σε επεξεργασία που βασίζεται σε έννομο συμφέρον, συμπεριλαμβανομένης της απευθείας εμπορικής προώθησης.
• Ανάκληση συγκατάθεσης (7 παρ. 3) — οποτεδήποτε, χωρίς αναδρομικότητα.
• Μη αυτοματοποιημένη λήψη απόφασης — δεν λαμβάνουμε αποφάσεις με νομικά αποτελέσματα αποκλειστικά με αυτοματοποιημένη επεξεργασία ή profiling.

Στέλνετε το αίτημά σας στο privacy@nfcnew.eswebs.gr από το email του λογαριασμού σας. Απαντάμε εντός 30 ημερών (όπως ορίζει ο GDPR) και ενδέχεται να ζητήσουμε επαλήθευση ταυτότητας για την προστασία των δεδομένων σας. Η άσκηση δικαιωμάτων είναι δωρεάν· σε καταφανώς αβάσιμα ή υπερβολικά αιτήματα μπορεί να εφαρμοστεί εύλογο τέλος ή άρνηση κατά το άρθρο 12(5).

Αν θεωρείτε ότι η επεξεργασία παραβιάζει τον GDPR, μπορείτε να υποβάλετε καταγγελία στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), Λεωφ. Κηφισίας 1-3, 115 23 Αθήνα, https://www.dpa.gr, ή στην αρχή προστασίας δεδομένων της χώρας διαμονής σας. Θα χαρούμε να εξετάσουμε πρώτα το ζήτημα μαζί σας.

• Κρυπτογράφηση κατά τη μεταφορά με TLS 1.2/1.3 (HSTS, αυτόματη ανακατεύθυνση από HTTP).
• Αυθεντικοποίηση μέσω Firebase με επαλήθευση ID token στον server· συνεδρίες σε HttpOnly, Secure, SameSite cookies.
• Έλεγχος πρόσβασης βάσει ρόλων (Owner/Admin/Member, διαχωρισμός admin back-office) και αρχή ελάχιστων δικαιωμάτων.
• Προστασία φορμών από bots (Cloudflare Turnstile), rate limiting και έλεγχοι εισόδου με Zod.
• Ψευδωνυμοποίηση analytics, hashed tokens και περιορισμός των προσωπικών δεδομένων στα απολύτως απαραίτητα.
• Τακτικά backups με κυλιόμενο παράθυρο 30 ημερών και περιοδικοί έλεγχοι αποκατάστασης.
• Καταγραφή ενεργειών διαχείρισης (audit log) και παρακολούθηση σφαλμάτων.

Σε περίπτωση παραβίασης δεδομένων που ενδέχεται να θέσει σε κίνδυνο δικαιώματα, ειδοποιούμε την αρμόδια αρχή εντός 72 ωρών και, όταν απαιτείται, τα επηρεαζόμενα υποκείμενα χωρίς αδικαιολόγητη καθυστέρηση. Για αναφορές ευπαθειών: security@nfcnew.eswebs.gr (υπεύθυνη αποκάλυψη — δεν λαμβάνουμε νομικά μέτρα κατά ερευνητών που ενεργούν καλή τη πίστει).

Η υπηρεσία απευθύνεται σε ενήλικες επαγγελματίες και δεν σχεδιάστηκε για παιδιά. Δεν συλλέγουμε εν γνώσει μας δεδομένα ατόμων κάτω των 18 ετών. Αν διαπιστώσετε τέτοια περίπτωση, επικοινωνήστε στο privacy email και θα προβούμε σε διαγραφή.

Επικαιροποιούμε την Πολιτική όταν αλλάζουν οι πρακτικές ή ο νόμος. Για ουσιαστικές αλλαγές ενημερώνουμε με email ή ειδοποίηση στο dashboard τουλάχιστον 30 ημέρες πριν, εκτός αν απαιτείται ταχύτερη προσαρμογή για νομικούς λόγους. Η έκδοση και η ημερομηνία εμφανίζονται στην κορυφή της σελίδας· διατηρούμε αρχείο προηγούμενων εκδόσεων κατόπιν αιτήματος.

Ερωτήσεις, αιτήματα και καταγγελίες: privacy@nfcnew.eswebs.gr. Για θέματα DPA επιχειρήσεων: dpa@nfcnew.eswebs.gr.