Πολιτική Απορρήτου

Η παρούσα πολιτική εξηγεί ποια δεδομένα προσωπικού χαρακτήρα επεξεργαζόμαστε όταν χρησιμοποιείτε την εφαρμογή παραγγελίας φαγητού και προγράμματος επιβράβευσης, γιατί τα επεξεργαζόμαστε, με ποιους τα μοιραζόμαστε και ποια δικαιώματα έχετε.

Σε περίπτωση διαφοράς μεταξύ ελληνικού και αγγλικού κειμένου, υπερισχύει το ελληνικό.

1. Ποιοι είμαστε

Υπεύθυνος επεξεργασίας: STIQ ΜΟΝΟΠΡΟΣΩΠΗ Ι.Κ.Ε., ΑΦΜ 801766890, ως αποκλειστικός υπεύθυνος επεξεργασίας για όλα τα εμπορικά σήματα της εφαρμογής.
Υπεύθυνος προστασίας δεδομένων (DPO): Δεν έχει διοριστεί Υπεύθυνος Προστασίας Δεδομένων. Δεν απαιτείται διορισμός. Για κάθε ζήτημα προστασίας δεδομένων απευθυνθείτε στο privacy@stiq.gr.
Email απορρήτου: privacy@stiq.gr

Η εφαρμογή αναπτύσσεται και λειτουργεί από τη STIQ ΜΟΝΟΠΡΟΣΩΠΗ Ι.Κ.Ε., η οποία είναι υπεύθυνη επεξεργασίας για το σύνολο των δεδομένων των χρηστών. Σήμερα φιλοξενεί ένα εμπορικό σήμα: Protein Garden.

2. Πεδίο εφαρμογής

Η πολιτική καλύπτει:

• την εφαρμογή Protein Garden για iOS και Android

• τα συστήματα διακομιστή που εξυπηρετούν την εφαρμογή

• τις δημόσιες ιστοσελίδες όρων, απορρήτου, διαγραφής λογαριασμού και λήψης δεδομένων

Δεν καλύπτει ιστότοπους τρίτων που ανοίγετε από την εφαρμογή (π.χ. εφαρμογή χαρτών που επιλέγετε εσείς).

3. Πίνακας επεξεργασίας

4. Από πού προέρχονται τα δεδομένα

• Από εσάς: εγγραφή, προφίλ, καλάθι, παραγγελία, συνομιλία, συγκαταθέσεις, αλλεργίες που δηλώνετε.

• Από τη συσκευή: διακριτικό ειδοποιήσεων, αναγνωριστικό εγκατάστασης, θέση όταν την επιτρέψετε, αναγνωριστικά Firebase.

• Από τρίτους: Google ή Apple κατά την κοινωνική είσοδο· Viva για την κατάσταση πληρωμής· Grubtech για την κατάσταση κουζίνας· μηχανή STIQ για ετικέτες τμημάτων.

5. Αποδέκτες και εκτελούντες την επεξεργασία

Ο παρακάτω πίνακας είναι πλήρης. Δεν χρησιμοποιούμε άλλους παρόχους πληρωμών ούτε πάροχο SMS.

Η ανεπίσημη βιβλιοθήκη Google Translate χρησιμοποιείται σε εργαλεία διαχειριστή, όχι στην εφαρμογή καταναλωτή.

6. Διαβιβάσεις σε τρίτες χώρες

Η υποδομή μας βρίσκεται στην Ευρωπαϊκή Ένωση. Η βάση δεδομένων (Amazon RDS), ο διακομιστής εφαρμογής, η αποθήκευση αρχείων (Amazon S3) και η επεξεργασία παρασκηνίου λειτουργούν στην περιοχή eu-central-1 (Φρανκφούρτη). Η υπηρεσία μηνυμάτων πραγματικού χρόνου (Pusher) λειτουργεί στο cluster eu. Για τα δεδομένα αυτά δεν λαμβάνει χώρα διαβίβαση εκτός ΕΟΧ.

Ορισμένοι αποδέκτες που αναφέρονται στην ενότητα 5 ενδέχεται, στο πλαίσιο της λειτουργίας τους, να επεξεργάζονται δεδομένα εκτός ΕΟΧ — ιδίως η Google (Firebase, Maps, Sign-In), η Apple, η Amazon SES, η Grubtech και η Viva Wallet. Στον βαθμό που συμβαίνει τέτοια διαβίβαση, αυτή στηρίζεται:

• στην απόφαση επάρκειας για το Πλαίσιο Προστασίας Δεδομένων ΕΕ–ΗΠΑ, όπου ο συγκεκριμένος αποδέκτης είναι πιστοποιημένος· ή

• σε Τυποποιημένες Συμβατικές Ρήτρες (Εκτελεστική Απόφαση (ΕΕ) 2021/914), συνοδευόμενες από εκτίμηση επιπτώσεων της διαβίβασης και τυχόν πρόσθετα μέτρα.

Μπορείτε να ζητήσετε αντίγραφο ή περιγραφή των εγγυήσεων που ισχύουν για συγκεκριμένο αποδέκτη στο privacy@stiq.gr.

7. Χρόνος τήρησης

Το σύστημα εφαρμόζει σήμερα:

• πόντους επιβράβευσης: 12 μήνες από την ημερομηνία που κερδήθηκαν

• κουπόνια: απενεργοποίηση μετά την ημερομηνία λήξης που αναγράφεται

• καλάθια: 14 ημέρες αδράνειας

• απλήρωτες προσωρινές παραγγελίες: 30 λεπτά

• επισκέψεις POS: 30 λεπτά

• ανενεργές συσκευές push: 90 ημέρες

• τεχνικά αρχεία ανταλλαγής παραγγελιών με το σύστημα κουζίνας (Grubtech): 30 ημέρες

• διαγραφή λογαριασμού από την εφαρμογή: άμεσο κλείδωμα εισόδου· ανωνυμοποίηση εντός 30 ημερών ή νωρίτερα αν την εγκρίνει διαχειριστής

Συγκεντρωτικά: γεγονότα analytics 14 μήνες· αρχεία καταγραφής API, πληρωμών και εισόδου 12 μήνες· συνομιλίες υποστήριξης 24 μήνες από το τελευταίο μήνυμα· αυτόματα αντίγραφα ασφαλείας βάσης 35 ημέρες κυλιόμενα. Οι αναλυτικές εγγραφές διαγράφονται επίσης όταν ανακαλέσετε τη συγκατάθεση και κατά την ανωνυμοποίηση· οι συνομιλίες κατά την ανωνυμοποίηση.

8. Τα δικαιώματά σας

Έχετε τα δικαιώματα των άρθρων 15–22 ΓΚΠΔ: πρόσβαση, διόρθωση, διαγραφή, περιορισμός, εναντίωση, φορητότητα, ανάκληση συγκατάθεσης, και εναντίωση σε αυτοματοποιημένη λήψη αποφάσεων όπου εφαρμόζεται.

Πώς τα ασκείτε:

• Στην εφαρμογή: Προφίλ → Απόρρητο και νομικά → λήψη δεδομένων / αίτημα διαγραφής / διαγραφή λογαριασμού

• Δημόσιες ιστοσελίδες διαγραφής λογαριασμού και λήψης δεδομένων, προσβάσιμες και χωρίς την εφαρμογή

• Email: info@stiq.gr

Απαντάμε εντός ενός μηνός (αρ. 12 ΓΚΠΔ).

Η διαγραφή λογαριασμού από την εφαρμογή σας αποσυνδέει αμέσως. Τα δεδομένα ανωνυμοποιούνται όταν εγκρίνει η ομάδα μας ή αυτόματα στις 30 ημέρες, εκτός αν εκκρεμεί ενεργή παραγγελία. Η ανωνυμοποίηση αφαιρεί τα στοιχεία επικοινωνίας από τις παραγγελίες και διαγράφει πόντους, σφραγίδες, κουπόνια, vouchers και τις χρήσεις τους, καλάθια, συσκευές, αναλυτικά γεγονότα, συνομιλίες υποστήριξης μαζί με τα συνημμένα τους, αξιολογήσεις, διεύθυνση, δηλωθέντα αλλεργιογόνα στο ιστορικό παραγγελιών, ρυθμίσεις ειδοποιήσεων και αρχεία εισόδου. Οι παραγγελίες παραμένουν χωρίς στοιχεία ταυτοποίησης για όσο απαιτεί η φορολογική νομοθεσία. Αντίγραφο ενδέχεται να παραμείνει στα αυτόματα αντίγραφα ασφαλείας της βάσης έως 35 ημέρες μετά την ανωνυμοποίηση, χωρίς να επαναφέρεται σε ενεργή χρήση· τα αντίγραφα χρησιμοποιούνται αποκλειστικά για αποκατάσταση σε περίπτωση βλάβης. Για τα αντίγραφα που κρατούν οι αποδέκτες (Firebase, Grubtech, Viva) διαβιβάζουμε το αίτημά σας και σας ενημερώνουμε για την έκβαση. Το αρχείο φορητότητας (stiq_my_data.json) περιλαμβάνει προφίλ, παραγγελίες, πόντους, σφραγίδες, κουπόνια, vouchers, συνομιλίες, συγκαταθέσεις και αναλυτικά γεγονότα.

Η ανάκληση της συγκατάθεσης εξατομίκευσης σταματά τις προτάσεις «Perfect for you». Η ανάκληση των αναλυτικών σταματά αμέσως τη δική μας μέτρηση χρήσης και τα Firebase Analytics / Crashlytics και διαγράφει τα γεγονότα χρήσης που έχουν αποθηκευτεί για εσάς. Η ανάκληση της εμπορικής επικοινωνίας σταματά τις προωθητικές ειδοποιήσεις και τα διαφημιστικά email.

9. Καταγγελία στην ΑΠΔΠΧ

Έχετε δικαίωμα καταγγελίας στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), Λεωφ. Κηφισίας 1-3, 115 23 Αθήνα, https://www.dpa.gr, contact@dpa.gr, +30 210 6475600.

10. Αναγνωριστικά συσκευής και «cookies»

Δείτε την πολιτική αναγνωριστικών συσκευής και cookies. Για αποθήκευση ή ανάγνωση στη συσκευή (SDK, τοπική αποθήκευση, διακριτικά) η μόνη βιώσιμη βάση είναι η συγκατάθεση (Ν. 3471/2006 αρ. 4 §5). Δεν επικαλούμαστε έννομο συμφέρον για αυτά.

11. Παιδιά

Η ηλικία έγκυρης συγκατάθεσης για υπηρεσίες της κοινωνίας της πληροφορίας στην Ελλάδα είναι 15 έτη (Ν. 4624/2019). Κάθε νέος λογαριασμός (με email ή μέσω Google / Apple) απαιτεί ημερομηνία γέννησης, και η εφαρμογή δεν δέχεται εγγραφή ατόμων κάτω των 15 ετών. Αν διαπιστώσουμε ότι έχει δημιουργηθεί λογαριασμός από ανήλικο κάτω των 15, τον διαγράφουμε. Αν είστε γονέας ή κηδεμόνας και έχετε σχετική ανησυχία, επικοινωνήστε στο privacy@stiq.gr.

12. Αυτοματοποιημένη λήψη αποφάσεων και κατάρτιση προφίλ

• Δεν εφαρμόζουμε εξατομικευμένη τιμολόγηση.

• Η ράγα «Ιδανικό για εσάς» προτείνει προϊόντα με βάση το ιστορικό σας, μόνο αν έχετε συγκατάθεση εξατομίκευσης. Δεν παράγει έννομα αποτελέσματα τύπου απόρριψης παραγγελίας.

• Οι προτάσεις «Perfect for you» υπολογίζονται στα δικά μας συστήματα από το ιστορικό παραγγελιών, τις προτιμήσεις και τις αξιολογήσεις σας. Δεν παράγουν έννομα αποτελέσματα ούτε σας επηρεάζουν σημαντικά κατά την έννοια του αρ. 22 ΓΚΠΔ: δεν επηρεάζουν τιμές, δικαιώματα ή πρόσβαση στην υπηρεσία.

13. Ασφάλεια

Λαμβάνουμε τεχνικά και οργανωτικά μέτρα ανάλογα με τον κίνδυνο (αρ. 32 ΓΚΠΔ). Ενδεικτικά:

• Οι κωδικοί πρόσβασης αποθηκεύονται μόνο σε κατακερματισμένη (hashed) μορφή· ποτέ σε αναγνώσιμη.

• Η πρόσβαση στην υπηρεσία γίνεται με προσωρινά διακριτικά που ανακαλούνται αμέσως κατά την αποσύνδεση ή το κλείδωμα του λογαριασμού.

• Οι ρυθμίσεις σύνδεσης με τρίτους παρόχους αποθηκεύονται κρυπτογραφημένες.

• Στη συσκευή σας, το διακριτικό εισόδου φυλάσσεται στον ασφαλή χώρο αποθήκευσης του λειτουργικού συστήματος και εξαιρείται από τα αντίγραφα ασφαλείας της συσκευής.

• Η επικοινωνία εφαρμογής–διακομιστή γίνεται αποκλειστικά μέσω κρυπτογραφημένης σύνδεσης (HTTPS), με δυνατότητα πρόσθετης κρυπτογράφησης του περιεχομένου.

• Η οθόνη πληρωμής δεν επιτρέπει λήψη στιγμιότυπου οθόνης.

• Τα στοιχεία της κάρτας σας εισάγονται και επεξεργάζονται αποκλειστικά στο περιβάλλον της Viva Wallet· δεν φτάνουν ποτέ στους διακομιστές μας.

Δεν διαθέτουμε πιστοποίηση ISO 27001 ή SOC 2 και δεν προβάλλουμε τέτοιο ισχυρισμό.

14. Αλλαγές

Θα ενημερώνουμε την ημερομηνία «τελευταία ενημέρωση» και σας ειδοποιούμε εντός της εφαρμογής 15 ημέρες πριν από κάθε αλλαγή, και με email για ουσιώδεις αλλαγές. Δεν αλλάζουμε τη βάση επεξεργασίας χωρίς νέα ενημέρωση όπου απαιτείται.

15. Επικοινωνία

STIQ ΜΟΝΟΠΡΟΣΩΠΗ Ι.Κ.Ε., Παπανικολή 2, Χαλάνδρι 15232 · info@stiq.gr · +30 210 700 4650