Πολιτική Απορρήτου

1. Εισαγωγή

Η Coastbook (εφεξής «εμείς», «μας» ή «Πλατφόρμα») δεσμεύεται να προστατεύει τα προσωπικά σας δεδομένα σύμφωνα με τον Γενικό Κανονισμό Προστασίας Δεδομένων (ΕΕ) 2016/679 («GDPR»), τον Ελληνικό Νόμο 4624/2019, καθώς και κάθε άλλη εφαρμοστέα νομοθεσία περί προστασίας δεδομένων.

Η παρούσα Πολιτική Απορρήτου εξηγεί αναλυτικά ποια δεδομένα συλλέγουμε, γιατί τα συλλέγουμε, πώς τα χρησιμοποιούμε, με ποιους τα μοιραζόμαστε, πόσο καιρό τα διατηρούμε και ποια είναι τα δικαιώματά σας. Ισχύει για όλους τους χρήστες της πλατφόρμας, συμπεριλαμβανομένων ιδιοκτητών επιχειρήσεων (beach bars), πελατών που πραγματοποιούν κρατήσεις, και επισκεπτών του ιστότοπου.

Χρησιμοποιώντας την πλατφόρμα Coastbook, αναγνωρίζετε ότι έχετε διαβάσει και κατανοήσει αυτήν την πολιτική. Εάν δεν συμφωνείτε με τον τρόπο που επεξεργαζόμαστε τα δεδομένα σας, παρακαλούμε μην χρησιμοποιείτε τις υπηρεσίες μας.

2. Υπεύθυνος Επεξεργασίας

Υπεύθυνος επεξεργασίας των δεδομένων σας είναι η Coastbook, με έδρα στην Ελλάδα. Για οποιοδήποτε ζήτημα σχετικά με τα προσωπικά σας δεδομένα, μπορείτε να επικοινωνήσετε μαζί μας:

• Email: privacy@coastbook.gr
• Υπεύθυνος Προστασίας Δεδομένων (DPO): dpo@coastbook.gr

Ο Υπεύθυνος Προστασίας Δεδομένων μας είναι διαθέσιμος να απαντήσει σε οποιαδήποτε ερώτηση σχετικά με τον τρόπο επεξεργασίας των προσωπικών σας δεδομένων και να σας βοηθήσει στην άσκηση των δικαιωμάτων σας.

3. Δεδομένα που Συλλέγουμε

Συλλέγουμε διάφορες κατηγορίες προσωπικών δεδομένων ανάλογα με τον τρόπο που αλληλεπιδράτε με την πλατφόρμα μας:

Α. Δεδομένα Πελατών (Κρατήσεις)

• Ονοματεπώνυμο — για την αναγνώριση της κράτησης
• Διεύθυνση email — για αποστολή επιβεβαίωσης, υπενθύμισης και ενημερώσεων
• Τηλέφωνο (προαιρετικό) — για επικοινωνία σε περίπτωση αλλαγής
• Ημερομηνία και ώρα κράτησης, επιλεγμένες ξαπλώστρες και ζώνη
• Ποσό πληρωμής και τρόπος πληρωμής (online ή επιτόπου)

Β. Δεδομένα Πληρωμών

• Οι πληρωμές με κάρτα επεξεργάζονται αποκλειστικά από τη Stripe, Inc.
• Η Coastbook δεν αποθηκεύει αριθμούς καρτών, CVV ή πλήρη στοιχεία πληρωμής
• Αποθηκεύουμε μόνο: ποσό συναλλαγής, κατάσταση πληρωμής, αναγνωριστικό Stripe

Γ. Δεδομένα Λογαριασμού Επιχείρησης

• Όνομα, email και κωδικός πρόσβασης (κρυπτογραφημένος) ιδιοκτήτη
• Επωνυμία, περιγραφή, διεύθυνση, τηλέφωνο, ιστοσελίδα, social media επιχείρησης
• Λογότυπο και φωτογραφία εξωφύλλου
• Στοιχεία Stripe Connect για τη λήψη πληρωμών
• Γεωγραφικές συντεταγμένες (latitude/longitude) τοποθεσίας

Δ. Τεχνικά Δεδομένα

• Διεύθυνση IP
• Τύπος browser και λειτουργικό σύστημα
• Σελίδες που επισκεφτήκατε και χρόνος παραμονής
• URL παραπομπής (referrer)
• Cookies και παρόμοιες τεχνολογίες (βλ. Πολιτική Cookies)

4. Σκοπός Επεξεργασίας

Χρησιμοποιούμε τα δεδομένα σας για τους ακόλουθους συγκεκριμένους σκοπούς:

• Διεκπεραίωση κρατήσεων: Δημιουργία, επιβεβαίωση, τροποποίηση και ακύρωση κρατήσεων ξαπλωστρών
• Επεξεργασία πληρωμών: Χρέωση μέσω Stripe, έκδοση αποδείξεων, διαχείριση επιστροφών χρημάτων
• Επικοινωνία: Αποστολή email επιβεβαίωσης κράτησης, υπενθυμίσεων προ της ημερομηνίας, ημερήσιων αναφορών στους ιδιοκτήτες, ειδοποιήσεων ακύρωσης
• Διαχείριση λογαριασμών: Δημιουργία και συντήρηση λογαριασμών επιχειρήσεων, έλεγχος ταυτότητας, διαχείριση συνδρομών
• Βελτίωση πλατφόρμας: Ανάλυση χρήσης, εντοπισμός σφαλμάτων, βελτιστοποίηση απόδοσης, A/B testing
• Ασφάλεια: Αποτροπή απάτης, ανίχνευση ύποπτης δραστηριότητας, προστασία από κακόβουλη χρήση
• Νομική συμμόρφωση: Τήρηση φορολογικών υποχρεώσεων, ανταπόκριση σε δικαστικές αποφάσεις ή αιτήματα αρχών

5. Νομική Βάση Επεξεργασίας

Κάθε επεξεργασία δεδομένων βασίζεται σε μία από τις ακόλουθες νομικές βάσεις του GDPR:

• Εκτέλεση σύμβασης (Άρθρο 6(1)(b)): Η επεξεργασία είναι απαραίτητη για τη διεκπεραίωση κρατήσεων, πληρωμών και τη λειτουργία λογαριασμών επιχειρήσεων. Χωρίς αυτά τα δεδομένα, δεν μπορούμε να παρέχουμε τις υπηρεσίες μας.
• Έννομο συμφέρον (Άρθρο 6(1)(f)): Για τη βελτίωση της πλατφόρμας, την ανάλυση χρήσης, την πρόληψη απάτης και τη διασφάλιση της ασφάλειας. Πραγματοποιούμε αξιολόγηση εξισορρόπησης (balancing test) για να διασφαλίσουμε ότι τα συμφέροντά μας δεν υπερτερούν των δικαιωμάτων σας.
• Συγκατάθεση (Άρθρο 6(1)(a)): Για cookies ανάλυσης και μάρκετινγκ. Μπορείτε να ανακαλέσετε τη συγκατάθεσή σας ανά πάσα στιγμή μέσω των ρυθμίσεων cookies ή επικοινωνώντας μαζί μας.
• Νομική υποχρέωση (Άρθρο 6(1)(c)): Για τη διατήρηση φορολογικών παραστατικών και λογιστικών εγγράφων σύμφωνα με τον Ελληνικό Κώδικα Φορολογικής Διαδικασίας (Ν. 4174/2013) και τον Κώδικα Βιβλίων και Στοιχείων.

6. Αποδέκτες Δεδομένων

Τα δεδομένα σας μπορεί να κοινοποιηθούν στους ακόλουθους αποδέκτες, αποκλειστικά για τους σκοπούς που περιγράφονται παραπάνω:

• Επιχειρήσεις παραλίας: Οι ιδιοκτήτες λαμβάνουν τα στοιχεία κράτησης (όνομα, email, τηλέφωνο, λεπτομέρειες κράτησης) για την εξυπηρέτησή σας. Οι επιχειρήσεις λειτουργούν ως ανεξάρτητοι υπεύθυνοι επεξεργασίας για τα δεδομένα που λαμβάνουν.
• Stripe, Inc.: Για την επεξεργασία πληρωμών. Η Stripe εδρεύει στις ΗΠΑ και είναι πιστοποιημένη μέσω του EU-US Data Privacy Framework. Πολιτική Απορρήτου Stripe.
• Cloudflare, Inc.: Για CDN (Content Delivery Network), προστασία DDoS και αποθήκευση αρχείων (R2). Πολιτική Απορρήτου Cloudflare.
• Mapbox, Inc.: Για την παροχή χαρτών και γεωχωρικών υπηρεσιών. Πολιτική Απορρήτου Mapbox.
• Πάροχοι email: Για την αποστολή transactional emails (επιβεβαιώσεις, υπενθυμίσεις κ.λπ.).
• Google Analytics: Για ανάλυση χρήσης (μόνο με τη συγκατάθεσή σας). Πολιτική Απορρήτου Google.

Δεν πουλάμε, ενοικιάζουμε ή ανταλλάσσουμε τα προσωπικά σας δεδομένα με τρίτους για δικούς τους εμπορικούς σκοπούς.

7. Διατήρηση Δεδομένων

Διατηρούμε τα δεδομένα σας μόνο για όσο χρονικό διάστημα είναι απαραίτητο για τον σκοπό που συλλέχθηκαν:

• Δεδομένα κρατήσεων πελατών: 3 χρόνια μετά την ημερομηνία κράτησης, για την αντιμετώπιση τυχόν αξιώσεων ή διαφωνιών
• Φορολογικά παραστατικά και αποδείξεις: 5 χρόνια σύμφωνα με τον Ελληνικό Κώδικα Φορολογικής Διαδικασίας (Ν. 4174/2013)
• Δεδομένα λογαριασμού επιχείρησης: Μέχρι τη διαγραφή του λογαριασμού από τον χρήστη, συν 30 ημέρες grace period
• Τεχνικά logs: 90 ημέρες
• Δεδομένα analytics (συγκεντρωτικά): 26 μήνες

Μετά τη λήξη της περιόδου διατήρησης, τα δεδομένα διαγράφονται οριστικά ή ανωνυμοποιούνται πλήρως ώστε να μην μπορούν πλέον να συσχετιστούν με εσάς.

8. Ασφάλεια Δεδομένων

Λαμβάνουμε κατάλληλα τεχνικά και οργανωτικά μέτρα (Άρθρο 32 GDPR) για την προστασία των δεδομένων σας από μη εξουσιοδοτημένη πρόσβαση, απώλεια, καταστροφή ή αλλοίωση:

Τεχνικά μέτρα:

• Κρυπτογράφηση SSL/TLS (TLS 1.2+) σε όλες τις επικοινωνίες
• Ασφαλής αποθήκευση κωδικών πρόσβασης με bcrypt hashing
• CSRF protection σε όλες τις φόρμες
• Αυτόματα αντίγραφα ασφαλείας βάσης δεδομένων
• Firewall εφαρμογής (WAF) μέσω Cloudflare
• PCI DSS συμμόρφωση μέσω Stripe (δεν αποθηκεύουμε δεδομένα καρτών)

Οργανωτικά μέτρα:

• Αρχή ελάχιστου προνομίου (least privilege) — πρόσβαση μόνο σε εξουσιοδοτημένο προσωπικό
• Τακτικοί έλεγχοι ασφαλείας
• Πρωτόκολλο αντιμετώπισης περιστατικών παραβίασης δεδομένων

9. Τα Δικαιώματά σας

Σύμφωνα με τον GDPR (Άρθρα 15-22), έχετε τα ακόλουθα δικαιώματα σχετικά με τα προσωπικά σας δεδομένα:

• Δικαίωμα πρόσβασης (Άρθρο 15): Να μάθετε αν επεξεργαζόμαστε δεδομένα σας, να λάβετε αντίγραφο αυτών και πληροφορίες για την επεξεργασία
• Δικαίωμα διόρθωσης (Άρθρο 16): Να ζητήσετε διόρθωση ανακριβών ή συμπλήρωση ελλιπών δεδομένων
• Δικαίωμα διαγραφής (Άρθρο 17): Να ζητήσετε τη διαγραφή των δεδομένων σας υπό ορισμένες προϋποθέσεις
• Δικαίωμα περιορισμού (Άρθρο 18): Να ζητήσετε περιορισμό της επεξεργασίας ενώ εξετάζεται αμφισβήτηση
• Δικαίωμα φορητότητας (Άρθρο 20): Να λάβετε τα δεδομένα σας σε μηχαναγνώσιμο μορφότυπο (JSON/CSV)
• Δικαίωμα εναντίωσης (Άρθρο 21): Να αντιταχθείτε στην επεξεργασία βάσει εννόμου συμφέροντος ή για direct marketing
• Δικαίωμα ανάκλησης συγκατάθεσης: Να ανακαλέσετε τη συγκατάθεσή σας ανά πάσα στιγμή, χωρίς αυτό να επηρεάζει τη νομιμότητα της προηγούμενης επεξεργασίας

Θα απαντήσουμε στο αίτημά σας εντός 30 ημερών. Σε πολύπλοκες περιπτώσεις, η προθεσμία μπορεί να παραταθεί κατά 60 ημέρες, με σχετική ενημέρωσή σας.

Για αναλυτικές πληροφορίες και οδηγίες σχετικά με κάθε δικαίωμα, επισκεφθείτε τη σελίδα Δικαιώματα GDPR.

10. Διεθνείς Μεταφορές Δεδομένων

Ορισμένοι από τους παρόχους υπηρεσιών μας εδρεύουν εκτός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ), κυρίως στις ΗΠΑ. Σε αυτές τις περιπτώσεις, διασφαλίζουμε ότι τα δεδομένα σας προστατεύονται μέσω:

• EU-US Data Privacy Framework (DPF): Η Stripe και η Cloudflare είναι πιστοποιημένες μέσω του DPF
• Τυποποιημένες Συμβατικές Ρήτρες (SCCs): Όπου δεν υπάρχει απόφαση επάρκειας, χρησιμοποιούμε τις εγκεκριμένες από την Ευρωπαϊκή Επιτροπή SCCs

Μπορείτε να ζητήσετε αντίγραφο των κατάλληλων εγγυήσεων επικοινωνώντας στο privacy@coastbook.gr.

11. Cookies

Χρησιμοποιούμε cookies και παρόμοιες τεχνολογίες για τη λειτουργία, ανάλυση και βελτίωση της πλατφόρμας. Τα cookies κατηγοριοποιούνται σε απαραίτητα, αναλυτικά και μάρκετινγκ. Τα μη απαραίτητα cookies ενεργοποιούνται μόνο με τη ρητή συγκατάθεσή σας.

Για αναλυτικές πληροφορίες σχετικά με τα cookies που χρησιμοποιούμε, τους σκοπούς τους και τον τρόπο διαχείρισής τους, ανατρέξτε στην Πολιτική Cookies.

12. Ανήλικοι

Η πλατφόρμα Coastbook δεν απευθύνεται σε άτομα κάτω των 18 ετών. Δεν συλλέγουμε εν γνώσει μας δεδομένα από ανηλίκους. Οι κρατήσεις πρέπει να πραγματοποιούνται από ενήλικες (18+). Εάν ανακαλύψουμε ότι έχουμε συλλέξει δεδομένα ανηλίκου, θα τα διαγράψουμε αμέσως. Εάν πιστεύετε ότι ένας ανήλικος μας έχει παράσχει προσωπικά δεδομένα, παρακαλούμε επικοινωνήστε στο privacy@coastbook.gr.

13. Αλλαγές στην Πολιτική

Μπορεί να ενημερώσουμε αυτήν την πολιτική κατά καιρούς για να αντικατοπτρίζει αλλαγές στις πρακτικές μας, τη νομοθεσία ή τις υπηρεσίες μας. Σε περίπτωση ουσιαστικών αλλαγών:

• Θα δημοσιεύσουμε την ενημερωμένη πολιτική στον ιστότοπό μας
• Θα ενημερώσουμε την ημερομηνία «Τελευταία ενημέρωση» στην κορυφή
• Για σημαντικές αλλαγές, θα σας ειδοποιήσουμε μέσω email ή ειδοποίησης στην πλατφόρμα

Σας ενθαρρύνουμε να ελέγχετε περιοδικά αυτήν τη σελίδα. Η συνέχιση χρήσης της πλατφόρμας μετά τη δημοσίευση αλλαγών σημαίνει αποδοχή της ενημερωμένης πολιτικής.