BIRDSings

Πολιτική Απορρήτου

Πώς συλλέγει, επεξεργάζεται και προστατεύει τα προσωπικά σας δεδομένα η BirdSings — ισχύει παγκοσμίως, με πρόσθετα δικαιώματα για κατοίκους ΕΕ/ΕΟΧ, Ηνωμένου Βασιλείου, Ελβετίας, Καλιφόρνια, Βραζιλίας και άλλων κρατών.

1. Ποιοι είμαστε

Η BirdSings («εμείς», «μας») λειτουργεί την πλατφόρμα στο https://birdsings.com. Υπεύθυνος επεξεργασίας: privacy@birdsings.com. Αιτήματα προς εκπρόσωπο ΕΕ/ΗΒ ή DPO χρησιμοποιούν την ίδια διεύθυνση.

2. Τι συλλέγουμε

• Δεδομένα παραγγελίας: email, όνομα τιμολόγησης, χώρα, IDs ήχων, ID συναλλαγής. Νομική βάση: εκτέλεση σύμβασης (GDPR Άρ. 6(1)(β)).
• Λειτουργικά δεδομένα: γλώσσα, θέμα, καλάθι (στο localStorage του browser, όχι στους server μας εκτός αν συνδεθείτε). Νομική βάση: έννομο συμφέρον (Άρ. 6(1)(στ)).
• Newsletter: email + ρητή συγκατάθεση. Νομική βάση: συγκατάθεση (Άρ. 6(1)(α)). Ανακαλείται οποτεδήποτε.
• Αναλυτικά (μόνο αν αποδεχθείτε όλα τα cookies): ψευδωνυμοποιημένες προβολές μέσω Google Analytics 4 με ανωνυμοποίηση IP (anonymizeIp: true). Χωρίς δημογραφικά, χωρίς διαφημιστική προσωποποίηση.
• Σήματα κατά απάτης: hashed IP, χώρα, User-Agent στο checkout. Νομική βάση: έννομο συμφέρον (Αιτ. 47 GDPR).

3. Τι ΔΕΝ συλλέγουμε

• Δεν αποθηκεύουμε στοιχεία κάρτας — η Stripe διαχειρίζεται όλα τα δεδομένα κάρτας στο PCI-DSS Level 1 περιβάλλον της.
• Δεν πουλάμε, νοικιάζουμε, ή εμπορευόμαστε τα δεδομένα σας. (Για κατοίκους Καλιφόρνια: ούτε «sale» ούτε «share» κατά CCPA/CPRA.)
• Δεν σας παρακολουθούμε σε άλλα sites και δεν χρησιμοποιούμε διαφημιστικούς trackers.
• Δεν συλλέγουμε εν γνώσει μας δεδομένα ατόμων κάτω των 16. Επικοινωνήστε για διαγραφή αν συνέβη.

4. Cookies

Τρεις κατηγορίες:

• Απαραίτητα (πάντα ενεργά): καλάθι, γλώσσα, θέμα. Χωρίς opt-out.
• Αναλυτικά (opt-in): GA4 με ανωνυμοποίηση IP. Απενεργοποιημένα εξ ορισμού σε ΕΕ/ΕΟΧ, Ηνωμένο Βασίλειο, Ελβετία.
• Marketing: κανένα. Θα απαιτηθεί ρητή συγκατάθεση αν εισαχθούν.

Αλλάζετε την επιλογή σας οποτεδήποτε διαγράφοντας το consent cookie ή επικοινωνώντας μαζί μας.

5. Tokens κατά πειρατείας

Όταν αγοράζετε, εκδίδουμε token λήψης δεμένο με την παραγγελία σας. Το token καταγράφει το πρώτο IP και User-Agent που κατεβάζει, για αποτροπή κοινής χρήσης λογαριασμών. Η IP χρησιμοποιείται μόνο για αποτροπή απάτης και διαγράφεται 30 ημέρες μετά τη λήξη του token.

6. Τα δικαιώματά σας

Αν διαμένετε σε ΕΕ, ΕΟΧ, Ηνωμένο Βασίλειο, ή Ελβετία (GDPR / UK GDPR / FADP):

• Δικαίωμα πρόσβασης — αντίγραφο των δεδομένων σας.
• Δικαίωμα διόρθωσης.
• Δικαίωμα διαγραφής («δικαίωμα στη λήθη»).
• Δικαίωμα φορητότητας.
• Δικαίωμα περιορισμού ή εναντίωσης σε επεξεργασία βάσει έννομου συμφέροντος.
• Ανάκληση συγκατάθεσης newsletter ανά πάσα στιγμή.
• Δεν υπόκεισθε σε αυτοματοποιημένη λήψη αποφάσεων (δεν εφαρμόζουμε).

Αν διαμένετε στην Καλιφόρνια (CCPA/CPRA): δικαίωμα γνώσης, διαγραφής, διόρθωσης, opt-out από sale/share (δεν πουλάμε / μοιραζόμαστε) και μη-διάκρισης.

Αν διαμένετε σε Βραζιλία (LGPD), Τουρκία (KVKK) ή άλλες δικαιοδοσίες με ανάλογους νόμους: ισοδύναμα δικαιώματα.

Αιτήματα στο privacy@birdsings.com. Απαντάμε εντός 30 ημερών (45 για Καλιφόρνια όπου επιτρέπεται παράταση).

7. Διατήρηση δεδομένων

• Παραστατικά: 10 έτη (απαίτηση ελληνικής φορολογικής νομοθεσίας, άρ. 13 §1 Ν. 4308/2014 — η μέγιστη μεταξύ χωρών πώλησης). Μετά διαγράφονται ή ανωνυμοποιούνται.
• Tokens λήψης: 12 ώρες (ενεργό) + 30 ημέρες (audit log).
• Newsletter: μέχρι την απεγγραφή, μετά ανωνυμοποίηση.
• Σήματα κατά απάτης: 90 ημέρες· σε επιβεβαιωμένο chargeback dispute 24 μήνες.

8. Διεθνείς διαβιβάσεις

Τα δεδομένα ενδέχεται να επεξεργαστούν εκτός της χώρας σας, μεταξύ άλλων στις ΗΠΑ. Στηριζόμαστε σε Standard Contractual Clauses ΕΕ (2021/914), UK International Data Transfer Addendum, Swiss FDPIC clauses και — για ΗΠΑ — στο EU–US Data Privacy Framework. Stripe, Resend, Netlify, Google είναι πιστοποιημένοι DPF.

9. Τρίτοι εκτελούντες την επεξεργασία

• Stripe (πληρωμές) — Ιρλανδία/ΗΠΑ. SCCs + DPF.
• Cloudflare R2 (αποθήκευση αρχείων) — Περιφέρεια ΕΕ.
• Resend (συναλλακτικά email) — ΗΠΑ. SCCs + DPF.
• Netlify (hosting) — ΗΠΑ. SCCs + DPF.
• Google Analytics 4 (προαιρετικό) — ανωνυμοποίηση IP, χωρίς remarketing. DPF.

10. Ασφάλεια

TLS 1.3 in transit, AES-256 at rest. Η Stripe διαχειρίζεται κάρτες. Πρόσβαση στα συστήματα παραγωγής μόνο σε εξουσιοδοτημένο προσωπικό με γραπτή εμπιστευτικότητα. Ειδοποιούμε τους θιγόμενους και την αρμόδια εποπτική αρχή εντός 72 ωρών από τη γνώση παραβίασης δεδομένων, όπου απαιτείται.

11. Καταγγελία

Μπορείτε να καταγγείλετε στην αρμόδια εποπτική αρχή σας:

• Ελλάδα — Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (www.dpa.gr).
• ΕΕ/ΕΟΧ — αρχή της χώρας διαμονής (λίστα: edpb.europa.eu).
• Ηνωμένο Βασίλειο — ICO (ico.org.uk).
• Ελβετία — FDPIC (edoeb.admin.ch).
• Καλιφόρνια — Attorney General (oag.ca.gov/privacy).
• Βραζιλία — ANPD (gov.br/anpd).
• Τουρκία — KVKK (kvkk.gov.tr).

12. Μεταβολές

Ενδέχεται να αναθεωρήσουμε την πολιτική. Ουσιώδεις αλλαγές ανακοινώνονται στο banner του site τουλάχιστον 30 ημέρες πριν την ισχύ, εκτός αν ο νόμος ορίζει βραχύτερο διάστημα.