Πολιτική Απορρήτου

Πώς συλλέγει, επεξεργάζεται και προστατεύει τα προσωπικά σας δεδομένα η BirdSings — ισχύει παγκοσμίως, με πρόσθετα δικαιώματα για κατοίκους ΕΕ/ΕΟΧ, Ηνωμένου Βασιλείου, Ελβετίας, Καλιφόρνια, Βραζιλίας και άλλων κρατών.

1. Ποιοι είμαστε

Η BirdSings («εμείς», «μας») λειτουργεί την πλατφόρμα στο https://birdsings.com. Υπεύθυνος επεξεργασίας: privacy@birdsings.com. Αιτήματα προς εκπρόσωπο ΕΕ/ΗΒ ή DPO χρησιμοποιούν την ίδια διεύθυνση.

2. Τι συλλέγουμε

• Δεδομένα παραγγελίας: email, όνομα τιμολόγησης, χώρα, IDs ήχων, ID συναλλαγής. Νομική βάση: εκτέλεση σύμβασης (GDPR Άρ. 6(1)(β)).
• Λειτουργικά δεδομένα: γλώσσα, θέμα, καλάθι (στο localStorage του browser, όχι στους server μας εκτός αν συνδεθείτε). Νομική βάση: έννομο συμφέρον (Άρ. 6(1)(στ)).
• Newsletter: email + ρητή συγκατάθεση. Νομική βάση: συγκατάθεση (Άρ. 6(1)(α)). Ανακαλείται οποτεδήποτε.
• Αναλυτικά ιστότοπου: δεν είναι ενεργά αυτή τη στιγμή. Αν προστεθούν προαιρετικά analytics, θα ενεργοποιούνται μόνο με opt-in και η πολιτική θα ενημερωθεί πριν την ενεργοποίηση.
• Σήματα κατά απάτης: hashed IP, χώρα, User-Agent στο checkout. Νομική βάση: έννομο συμφέρον (Αιτ. 47 GDPR).

3. Τι ΔΕΝ συλλέγουμε

• Δεν αποθηκεύουμε στοιχεία κάρτας — η Stripe διαχειρίζεται όλα τα δεδομένα κάρτας στο PCI-DSS Level 1 περιβάλλον της.
• Δεν πουλάμε, νοικιάζουμε, ή εμπορευόμαστε τα δεδομένα σας. (Για κατοίκους Καλιφόρνια: ούτε «sale» ούτε «share» κατά CCPA/CPRA.)
• Δεν σας παρακολουθούμε σε άλλα sites και δεν χρησιμοποιούμε διαφημιστικούς trackers.
• Δεν συλλέγουμε εν γνώσει μας δεδομένα ατόμων κάτω των 16. Επικοινωνήστε για διαγραφή αν συνέβη.

4. Cookies

Τρέχουσα κατάσταση:

• Απαραίτητα (πάντα ενεργά): καλάθι, γλώσσα, θέμα. Χωρίς opt-out.
• Αναλυτικά: δεν φορτώνονται αυτή τη στιγμή. Δεν ορίζονται προαιρετικά στατιστικά cookies.
• Marketing: κανένα. Θα απαιτηθεί ρητή συγκατάθεση αν εισαχθούν.

Αλλάζετε την επιλογή σας οποτεδήποτε διαγράφοντας το consent cookie ή επικοινωνώντας μαζί μας.

5. Tokens κατά πειρατείας

Όταν αγοράζετε, εκδίδουμε token λήψης δεμένο με την παραγγελία σας. Το token καταγράφει το πρώτο IP και User-Agent που κατεβάζει, για αποτροπή κοινής χρήσης λογαριασμών. Η IP χρησιμοποιείται μόνο για αποτροπή απάτης και διαγράφεται 30 ημέρες μετά τη λήξη του token.

6. Τα δικαιώματά σας

Αν διαμένετε σε ΕΕ, ΕΟΧ, Ηνωμένο Βασίλειο, ή Ελβετία (GDPR / UK GDPR / FADP):

• Δικαίωμα πρόσβασης — αντίγραφο των δεδομένων σας.
• Δικαίωμα διόρθωσης.
• Δικαίωμα διαγραφής («δικαίωμα στη λήθη»).
• Δικαίωμα φορητότητας.
• Δικαίωμα περιορισμού ή εναντίωσης σε επεξεργασία βάσει έννομου συμφέροντος.
• Ανάκληση συγκατάθεσης newsletter ανά πάσα στιγμή.
• Δεν υπόκεισθε σε αυτοματοποιημένη λήψη αποφάσεων (δεν εφαρμόζουμε).

Αν διαμένετε στην Καλιφόρνια (CCPA/CPRA): δικαίωμα γνώσης, διαγραφής, διόρθωσης, opt-out από sale/share (δεν πουλάμε / μοιραζόμαστε) και μη-διάκρισης.

Αν διαμένετε σε Βραζιλία (LGPD), Τουρκία (KVKK) ή άλλες δικαιοδοσίες με ανάλογους νόμους: ισοδύναμα δικαιώματα.

Αιτήματα στο privacy@birdsings.com. Απαντάμε εντός 30 ημερών (45 για Καλιφόρνια όπου επιτρέπεται παράταση).

7. Διατήρηση δεδομένων

• Παραστατικά: 10 έτη (απαίτηση ελληνικής φορολογικής νομοθεσίας, άρ. 13 §1 Ν. 4308/2014 — η μέγιστη μεταξύ χωρών πώλησης). Μετά διαγράφονται ή ανωνυμοποιούνται.
• Tokens λήψης: 12 ώρες (ενεργό) + 30 ημέρες (audit log).
• Newsletter: μέχρι την απεγγραφή, μετά ανωνυμοποίηση.
• Σήματα κατά απάτης: 90 ημέρες· σε επιβεβαιωμένο chargeback dispute 24 μήνες.

8. Διεθνείς διαβιβάσεις

Τα δεδομένα ενδέχεται να επεξεργαστούν εκτός της χώρας σας, μεταξύ άλλων στις ΗΠΑ. Στηριζόμαστε σε Standard Contractual Clauses ΕΕ (2021/914), UK International Data Transfer Addendum, Swiss FDPIC clauses και, όπου εφαρμόζεται, σε πιστοποιημένους μηχανισμούς διαβίβασης του κάθε παρόχου.

9. Τρίτοι εκτελούντες την επεξεργασία

• Stripe (πληρωμές) — Ιρλανδία/ΗΠΑ. SCCs + DPF.
• Cloudflare Workers / Static Assets / R2 (hosting, edge delivery και αποθήκευση αρχείων).
• Resend (συναλλακτικά email) — ΗΠΑ. SCCs + DPF.

10. Ασφάλεια

TLS 1.3 in transit, AES-256 at rest. Η Stripe διαχειρίζεται κάρτες. Πρόσβαση στα συστήματα παραγωγής μόνο σε εξουσιοδοτημένο προσωπικό με γραπτή εμπιστευτικότητα. Ειδοποιούμε τους θιγόμενους και την αρμόδια εποπτική αρχή εντός 72 ωρών από τη γνώση παραβίασης δεδομένων, όπου απαιτείται.

11. Καταγγελία

Μπορείτε να καταγγείλετε στην αρμόδια εποπτική αρχή σας:

• Ελλάδα — Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (www.dpa.gr).
• ΕΕ/ΕΟΧ — αρχή της χώρας διαμονής (λίστα: edpb.europa.eu).
• Ηνωμένο Βασίλειο — ICO (ico.org.uk).
• Ελβετία — FDPIC (edoeb.admin.ch).
• Καλιφόρνια — Attorney General (oag.ca.gov/privacy).
• Βραζιλία — ANPD (gov.br/anpd).
• Τουρκία — KVKK (kvkk.gov.tr).

12. Μεταβολές

Ενδέχεται να αναθεωρήσουμε την πολιτική. Ουσιώδεις αλλαγές ανακοινώνονται στο banner του site τουλάχιστον 30 ημέρες πριν την ισχύ, εκτός αν ο νόμος ορίζει βραχύτερο διάστημα.