Πολιτική απορρήτου

Η προστασία της ιδιωτικής ζωής και η ασφάλεια των δεδομένων αποτελούν βασική προτεραιότητα για τη Silphora Ltd κατά την παροχή των υπηρεσιών της μέσω του ηλεκτρονικού καταστήματος προϊόντων προσωπικής φροντίδας, κλωστοϋφαντουργικών και καλλυντικών προϊόντων. Η παρούσα Πολιτική Απορρήτου έχει αναπτυχθεί με σκοπό να παρέχει σαφείς, πλήρης και εύκολα κατανοητές πληροφορίες σχετικά με τους τρόπους με τους οποίους συλλέγουμε, χρησιμοποιούμε, αποθηκεύουμε και προστατεύουμε τα προσωπικά δεδομένα των πελατών. Δεσμευόμαστε να επεξεργαζόμαστε κάθε πληροφορία με αυστηρή τήρηση των αρχών της νομιμότητας, της διαφάνειας και της ελαχιστοποίησης των δεδομένων, όπως ορίζονται στον Κανονισμό (ΕΕ) 2016/679 και στον Νόμο για την προστασία των προσωπικών δεδομένων. Στις επόμενες ενότητες θα βρείτε λεπτομερή περιγραφή των κατηγοριών δεδομένων που επεξεργαζόμαστε σε σχέση με την εγγραφή προφίλ χρηστών, την εκτέλεση παραγγελιών, την παράδοση προϊόντων, την επικοινωνία με πελάτες και τη διεξαγωγή μάρκετινγκ καμπανιών. Η πολιτική εξηγεί τα νομικά θεμέλια για κάθε επεξεργασία, τους συγκεκριμένους χρόνους αποθήκευσης, τα εφαρμοστέα μέτρα ασφαλείας και τους τρόπους άσκησης των νόμιμων δικαιωμάτων από τα υποκείμενα των δεδομένων. Ενθαρρύνουμε κάθε χρήστη να διαβάσει προσεκτικά τις παρεχόμενες πληροφορίες και, σε περίπτωση που προκύψουν ερωτήσεις ή χρειαστούν πρόσθετες διευκρινίσεις, η ομάδα του Διαχειριστή είναι πάντα στη διάθεσή σας μέσω των αναφερόμενων καναλιών επικοινωνίας. Πιστεύουμε ότι η διαφάνεια και η υπευθυνότητα κατά την επεξεργασία των προσωπικών δεδομένων αποτελούν τη βάση για την οικοδόμηση εμπιστοσύνης και μακροπρόθεσμων σχέσεων με τους πελάτες.

Τμήμα I - Πληροφορίες για τον διαχειριστή και την εποπτική αρχή

Άρθρο 1. (1) Το παρόν ηλεκτρονικό κατάστημα διαχειρίζεται και διοικείται από:
Επωνυμία: Silphora Ltd

АФМ: BG206511765

Έδρα και διεύθυνση διοίκησης: Λεωφ. Βουλγαρίας 4, περιοχή Σέβερεν, Πλόβντιβ, 4003, Βουλγαρία 

Ταχυδρομική διεύθυνση: Λεωφ. Βουλγαρίας 4, περιοχή Σέβερεν, Πλόβντιβ, 4003, Βουλγαρία 

Τηλέφωνο: +30 699 815 4021

Email: support@silphora.gr

(2) Πληροφορίες για την εποπτική αρχή:

Όνομα: Επιτροπή Προστασίας Προσωπικών Δεδομένων

Έδρα και διεύθυνση διοίκησης: Λεωφ. Προφ. Τσβέταν Λαζάροφ 2, Σόφια 1592, Βουλγαρία

Ταχυδρομική διεύθυνση: Λεωφ. Προφ. Τσβέταν Λαζάροφ 2, Σόφια 1592, Βουλγαρία

Τηλέφωνο: 02 915 3 518;

Website: www.cpdp.bg

(3) Τα υποκείμενα των δεδομένων έχουν το δικαίωμα να υποβάλλουν καταγγελίες και στην αρμόδια αρχή της χώρας διαμονής τους:

Ονομασία: Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα

Διεύθυνση: Κηφισίας 1-3, Τ.Κ. 115 23, Αθήνα

Τηλέφωνο: +30 210 6475600

Email: contact@dpa.gr

Website: www.dpa.gr

Ονομασία: Γραφείο Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα

Έδρα και διεύθυνση διοίκησης: Κυπράνορος 15, 1061 Λευκωσία

Ταχυδρομική διεύθυνση: Τ.Θ. 23378, 1682 Λευκωσία

Τηλέφωνο: +357 22818456

Email: commissioner@dataprotection.gov.cy

Website: www.dataprotection.gov.cy

Τμήμα II - Ορισμοί και όροι

Άρθρο 2. Οι όροι που χρησιμοποιούνται στην παρούσα Πολιτική Απορρήτου ερμηνεύονται σύμφωνα με τις παρακάτω έννοιες, εκτός εάν από το πλαίσιο προκύπτει διαφορετικά.

«Διαχειριστής» σημαίνει Silphora Ltd, η οποία, ανεξάρτητα ή σε συνεργασία με άλλους οργανισμούς, καθορίζει τους σκοπούς και τον τρόπο επεξεργασίας των προσωπικών δεδομένων των πελατών. Ο διαχειριστής φέρει την πλήρη ευθύνη για τη νόμιμη συλλογή, αποθήκευση και χρήση των πληροφοριών που σχετίζονται με τη δραστηριότητα του ηλεκτρονικού καταστήματος.

«Προσωπικά δεδομένα» είναι κάθε πληροφορία που αφορά συγκεκριμένο φυσικό πρόσωπο και μέσω της οποίας το πρόσωπο αυτό μπορεί να αναγνωριστεί άμεσα ή έμμεσα. Η αναγνώριση μπορεί να γίνει μέσω ενός στοιχείου ή μέσω συνόλου χαρακτηριστικών, όπως όνομα, διεύθυνση, αριθμός τηλεφώνου, email, δεδομένα τοποθεσίας και άλλα. Για τους σκοπούς του ηλεκτρονικού καταστήματος, προσωπικά δεδομένα είναι, για παράδειγμα: τα τρία ονόματα του πελάτη, η διεύθυνση παράδοσης, ο αριθμός τηλεφώνου επικοινωνίας με τον courier, η διεύθυνση email για την επιβεβαίωση της παραγγελίας, καθώς και οι τεχνικές πληροφορίες για τη συσκευή που χρησιμοποιείται κατά την είσοδο στην πλατφόρμα.

Η «επεξεργασία» περιλαμβάνει κάθε ενέργεια ή σειρά ενεργειών που πραγματοποιούνται με προσωπικά δεδομένα, ανεξάρτητα από το αν γίνονται αυτόματα ή με άλλο τρόπο. Η επεξεργασία περιλαμβάνει: τη συλλογή και καταγραφή δεδομένων, την ταξινόμηση και αποθήκευσή τους, την τροποποίηση και ενημέρωσή τους, τη χρήση τους για συγκεκριμένους σκοπούς, την παροχή τους σε τρίτους, τον περιορισμό της πρόσβασης σε αυτά, καθώς και την τελική διαγραφή ή καταστροφή τους. Στο πλαίσιο του ηλεκτρονικού καταστήματος, η επεξεργασία περιλαμβάνει όλες τις δραστηριότητες που είναι απαραίτητες για την παραλαβή παραγγελιών, την οργάνωση της παράδοσης, την εξυπηρέτηση πελατών, την αποστολή διαφημιστικών μηνυμάτων και τη διατήρηση της ασφάλειας της πλατφόρμας.

«Υποκείμενο δεδομένων» είναι κάθε φυσικό πρόσωπο, του οποίου τα προσωπικά δεδομένα υποβάλλονται σε επεξεργασία από τον Διαχειριστή. Για τους σκοπούς της παρούσας Πολιτικής, υποκείμενα δεδομένων είναι τόσο οι εγγεγραμμένοι χρήστες με μόνιμο προφίλ στην πλατφόρμα, όσο και οι επισκέπτες που πραγματοποιούν μεμονωμένες αγορές, υποβάλλουν ερωτήματα ή εγγράφονται σε ενημερωτικά δελτία.

«Αποδέκτης» είναι το πρόσωπο ή ο οργανισμός στον οποίο ο Διαχειριστής παρέχει προσωπικά δεδομένα, ανεξάρτητα από το αν ο οργανισμός αυτός είναι ανεξάρτητος διαχειριστής ή ενεργεί ως υπεύθυνος επεξεργασίας. Ανάλογα με τον συγκεκριμένο σκοπό της παροχής, αποδέκτες μπορεί να είναι εταιρείες ταχυμεταφορών, πάροχοι υπηρεσιών πληρωμών, τραπεζικά ιδρύματα, λογιστικές εταιρείες, τεχνικοί συνεργάτες που υποστηρίζουν τη λειτουργικότητα της πλατφόρμας, καθώς και κρατικές αρχές, εφόσον υπάρχει νομική υποχρέωση.

«Συγκατάθεση» σημαίνει κάθε ελεύθερη, συγκεκριμένη, ενημερωμένη και σαφή δήλωση βούλησης, με την οποία το υποκείμενο των δεδομένων συναινεί στην επεξεργασία των προσωπικών δεδομένων που το αφορούν για συγκεκριμένο σκοπό. Η συγκατάθεση παρέχεται μέσω σαφούς ενέργειας, όπως για παράδειγμα η επιλογή ενός ειδικού πεδίου κατά την εγγραφή, το πάτημα ενός κουμπιού για εγγραφή ή η ενεργοποίηση μιας συγκεκριμένης ρύθμισης στο προφίλ χρήστη.

«Επεξεργαστής προσωπικών δεδομένων» είναι ένα πρόσωπο ή ένας οργανισμός που επεξεργάζεται προσωπικά δεδομένα για λογαριασμό και σύμφωνα με τις οδηγίες του Διαχειριστή βάσει γραπτής συμφωνίας. Ο Επεξεργαστής υποχρεούται να ενεργεί αποκλειστικά σύμφωνα με τις τεκμηριωμένες οδηγίες του Διαχειριστή και να εφαρμόζει τα κατάλληλα τεχνικά και οργανωτικά μέτρα για την προστασία των δεδομένων. Παραδείγματα επεξεργαστών προσωπικών δεδομένων είναι οι πάροχοι υπηρεσιών αποθήκευσης στο cloud, τα συστήματα διαχείρισης περιεχομένου της πλατφόρμας, οι πλατφόρμες αποστολής ενημερωτικών δελτίων ή εξωτερικοί ειδικοί που παρέχουν τεχνική υποστήριξη.

«Εποπτική αρχή» είναι μια ανεξάρτητη κρατική αρχή που ασκεί έλεγχο στην εφαρμογή των κανόνων για την προστασία των δεδομένων προσωπικού χαρακτήρα και εξετάζει καταγγελίες πολιτών σε περίπτωση παραβάσεων. Για τη Δημοκρατία της Βουλγαρίας, η εποπτική αρχή είναι η Επιτροπή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

«Παραβίαση της ασφάλειας των προσωπικών δεδομένων» είναι ένα περιστατικό που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, μη εξουσιοδοτημένη αποκάλυψη ή πρόσβαση σε προσωπικά δεδομένα. Σε περίπτωση διαπίστωσης τέτοιας παραβίασης, ο Διαχειριστής λαμβάνει μέτρα για τον περιορισμό των συνεπειών και ενημερώνει την αρμόδια εποπτική αρχή, καθώς και, όταν είναι απαραίτητο, τα υποκείμενα των δεδομένων που έχουν επηρεαστεί.

«Προφίλ» σημαίνει μια μορφή αυτοματοποιημένης επεξεργασίας προσωπικών δεδομένων, μέσω της οποίας αναλύονται ή προβλέπονται ορισμένα χαρακτηριστικά που σχετίζονται με ένα φυσικό πρόσωπο, όπως προτιμήσεις, ενδιαφέροντα, συμπεριφορά ή οικονομική κατάσταση. Για τους σκοπούς του ηλεκτρονικού καταστήματος, η προφίλ μπορεί να εφαρμόζεται μόνο όταν υπάρχει έγκυρη νομική βάση και με σκοπό την παροχή εξατομικευμένου περιεχομένου ή προτάσεων για προϊόντα.

Η «ανωνυμοποίηση» είναι μια διαδικασία κατά την οποία τα προσωπικά δεδομένα υποβάλλονται σε επεξεργασία με τρόπο που αποκλείει οριστικά τη δυνατότητα σύνδεσής τους με συγκεκριμένο φυσικό πρόσωπο. Μετά την ολοκλήρωση της ανωνυμοποίησης, τα δεδομένα παύουν να θεωρούνται προσωπικά και δεν εμπίπτουν στο πεδίο εφαρμογής της παρούσας Πολιτικής.

«Ψευδωνυμοποίηση» σημαίνει την επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά τρόπο ώστε να μην μπορούν πλέον να συσχετιστούν με συγκεκριμένο υποκείμενο των δεδομένων χωρίς τη χρήση πρόσθετων πληροφοριών. Αυτές οι πρόσθετες πληροφορίες αποθηκεύονται χωριστά και υπόκεινται σε τεχνικά και οργανωτικά μέτρα που διασφαλίζουν ότι τα προσωπικά δεδομένα δεν συνδέονται με ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο.

Τα «cookies» είναι μικρά αρχεία κειμένου που αποθηκεύονται στη συσκευή του χρήστη όταν επισκέπτεται το ηλεκτρονικό κατάστημα και χρησιμεύουν για την αναγνώριση του χρήστη σε επόμενες επισκέψεις. Τα cookies επιτρέπουν την αποθήκευση των προτιμήσεων, την παρακολούθηση της συμπεριφοράς στην πλατφόρμα, τη διασφάλιση της ασφάλειας και την εξατομίκευση του περιεχομένου.

«Ηλεκτρονικό κατάστημα» ή «Πλατφόρμα» είναι ένα ξεχωριστό σύνολο συστηματικά συνδεδεμένων ιστοσελίδων και άλλων ψηφιακών πόρων, προσβάσιμων μέσω μιας ενιαίας διεύθυνσης στο διαδίκτυο και λειτουργούντων μέσω τυποποιημένων πρωτοκόλλων δικτύου. Η πλατφόρμα περιλαμβάνει κειμενικό περιεχόμενο, εικόνες, αρχεία πολυμέσων, σενάρια και άλλα στοιχεία λογισμικού που είναι απαραίτητα για την παρουσίαση προϊόντων προσωπικής φροντίδας , κλωστοϋφαντουργικών και καλλυντικών προϊόντων, τη λήψη παραγγελιών και την επικοινωνία με τους πελάτες.

Τμήμα III - Αρχές επεξεργασίας προσωπικών δεδομένων

Άρθρο 3. (1) Ο διαχειριστής επεξεργάζεται τα προσωπικά δεδομένα νόμιμα, με καλή πίστη και με διαφάνεια έναντι του υποκειμένου των δεδομένων, εξασφαλίζοντας πλήρη ενημέρωση σχετικά με τα δεδομένα που συλλέγονται, τους σκοπούς της επεξεργασίας και τα δικαιώματα των ενδιαφερομένων προσώπων.

(2) Η επεξεργασία πραγματοποιείται μόνο όταν υπάρχει έγκυρη νομική βάση, όπως ορίζεται στην ισχύουσα νομοθεσία, όπως η εκτέλεση σύμβασης, η τήρηση νομικής υποχρέωσης, η συγκατάθεση ή το έννομο συμφέρον του Διαχειριστή.

(3) Η διαφάνεια διασφαλίζεται μέσω της παροχής σαφών, εύκολα προσβάσιμων και κατανοητών πληροφοριών σχετικά με την επεξεργασία, μεταξύ άλλων μέσω της παρούσας Πολιτικής Απορρήτου, των ειδοποιήσεων σε συγκεκριμένες στιγμές συλλογής δεδομένων και της δυνατότητας άμεσης επικοινωνίας με τον Διαχειριστή.

(4) Ο Διαχειριστής δεν επιτρέπει κρυφές, παραπλανητικές ή ασαφείς πρακτικές κατά τη συλλογή και χρήση προσωπικών δεδομένων, καθώς κάθε επεξεργασία βασίζεται σε εκ των προτέρων ανακοινωμένους και τεκμηριωμένους σκοπούς.

Άρθρο 4. (1) Τα προσωπικά δεδομένα συλλέγονται για συγκεκριμένους, ρητά καθορισμένους και νόμιμους σκοπούς που σχετίζονται με τη λειτουργία του ηλεκτρονικού καταστήματος, όπως η πώληση προϊόντων προσωπικής φροντίδας, κλωστοϋφαντουργικών και καλλυντικών προϊόντων, η παράδοση παραγγελιών, η επικοινωνία με τους πελάτες, η λογιστική καταγραφή και η παροχή ενημερωτικών δελτίων.

(2) Τα συλλεχθέντα δεδομένα δεν υποβάλλονται σε περαιτέρω επεξεργασία με τρόπο ασυμβίβαστο με τους αρχικά δηλωθέντες σκοπούς, εκτός εάν υπάρχει νέα ρητή συγκατάθεση του υποκειμένου των δεδομένων ή νομική απαίτηση για περαιτέρω επεξεργασία.

(3) Σε περίπτωση που προκύψει ανάγκη επεξεργασίας προσωπικών δεδομένων για σκοπό διαφορετικό από τον αρχικό, ο Διαχειριστής προβαίνει σε προκαταρκτική αξιολόγηση της συμβατότητας μεταξύ του νέου και του παλαιού σκοπού, λαμβάνοντας υπόψη τη φύση των δεδομένων, το πλαίσιο της συλλογής τους, τις προσδοκίες των υποκειμένων και την πιθανή επίδραση στα δικαιώματά τους. Όταν ο νέος σκοπός δεν είναι συμβατός με τον αρχικό και δεν προβλέπεται από το νόμο, ο Διαχειριστής ενημερώνει τα υποκείμενα των δεδομένων και ζητά τη ρητή συγκατάθεσή τους πριν από την έναρξη της επεξεργασίας.

Άρθρο 5. (1) Ο Διαχειριστής επεξεργάζεται μόνο τα προσωπικά δεδομένα που είναι κατάλληλα, συναφή και περιορίζονται στο απαραίτητο για την επίτευξη του συγκεκριμένου σκοπού της επεξεργασίας.

(2) Κατά το σχεδιασμό των εντύπων εγγραφής, παραγγελίας και συνδρομής στο ενημερωτικό δελτίο, ο Διαχειριστής αποφεύγει τη συλλογή περιττών πληροφοριών, διαχωρίζοντας τα υποχρεωτικά πεδία από τα προαιρετικά και παρέχοντας τη δυνατότητα ολοκλήρωσης των βασικών διαδικασιών χωρίς την παροχή μη υποχρεωτικών δεδομένων.

(3) Πριν από την εισαγωγή νέων λειτουργιών ή αλλαγών στην επεξεργασία, ο Διαχειριστής αξιολογεί την ανάγκη για πρόσθετα δεδομένα, αναζητώντας κατά προτεραιότητα εναλλακτικές τεχνικές λύσεις που ελαχιστοποιούν τον όγκο των συλλεγόμενων πληροφοριών.

(4) Διενεργείται τακτική επανεξέταση των ήδη συλλεχθέντων δεδομένων με σκοπό τον εντοπισμό και τη διαγραφή πληροφοριών που δεν είναι πλέον απαραίτητες για τον αρχικό σκοπό ή έχουν καταστεί άνευ αντικειμένου λόγω της λήξης της προθεσμίας αποθήκευσης.

(5) Στο πλαίσιο του ηλεκτρονικού καταστήματος, ο Διαχειριστής δεν συλλέγει δεδομένα σχετικά με την κατάσταση της υγείας, τις θρησκευτικές πεποιθήσεις, τις πολιτικές απόψεις ή άλλες ειδικές κατηγορίες προσωπικών δεδομένων, καθώς αυτά δεν είναι απαραίτητα για την παροχή των υπηρεσιών.

Άρθρο 6. (1) Ο Διαχειριστής λαμβάνει εύλογα μέτρα για να εξασφαλίσει την ακρίβεια και την επικαιρότητα των προσωπικών δεδομένων που υποβάλλονται σε επεξεργασία, διορθώνοντας ή διαγράφοντας εγκαίρως ανακριβείς ή ελλιπείς πληροφορίες.

(2) Τα υποκείμενα των δεδομένων έχουν τη δυνατότητα ανά πάσα στιγμή να ενημερώνουν τις πληροφορίες στο προφίλ χρήστη τους, να διορθώνουν λάθη στα στοιχεία παράδοσης ή να ενημερώνουν τον Διαχειριστή για αλλαγές μέσω φόρμας άσκησης δικαιωμάτων ή άμεσης επικοινωνίας με την ομάδα εξυπηρέτησης πελατών.

(3) Σε περίπτωση διαπίστωσης ανακρίβειας στα προσωπικά δεδομένα κατά τη διάρκεια της επεξεργασίας μιας παραγγελίας, της επικοινωνίας με μια εταιρεία ταχυμεταφορών ή άλλης ενέργειας, ο Διαχειριστής επικοινωνεί αμέσως με το σχετικό υποκείμενο για επιβεβαίωση ή διόρθωση των πληροφοριών.

Άρθρο 7. (1) Τα προσωπικά δεδομένα αποθηκεύονται σε μορφή που επιτρέπει την ταυτοποίηση του υποκειμένου των δεδομένων για χρονικό διάστημα που δεν υπερβαίνει το αναγκαίο για την επίτευξη των σκοπών για τους οποίους υποβάλλονται σε επεξεργασία.

(2) Οι συγκεκριμένες προθεσμίες αποθήκευσης καθορίζονται ανάλογα με τη νομική βάση της επεξεργασίας, τη φύση των δεδομένων, τις ισχύουσες νομικές απαιτήσεις και τα έννομα συμφέροντα του Διαχειριστή, όπως περιγράφονται λεπτομερώς στην Ενότητα VI της παρούσας Πολιτικής.

(3) Μετά τη λήξη της καθορισμένης προθεσμίας, τα προσωπικά δεδομένα διαγράφονται ανεπανόρθωτα ή υποβάλλονται σε επεξεργασία κατά τρόπο που δεν επιτρέπει την επακόλουθη ταυτοποίηση του υποκειμένου, εκτός εάν ο νόμος απαιτεί μακρύτερη αποθήκευση για λογιστικούς, φορολογικούς ή νομικούς σκοπούς.

Άρθρο 8. (1) Ο διαχειριστής εφαρμόζει τα κατάλληλα τεχνικά και οργανωτικά μέτρα για να εξασφαλίσει το κατάλληλο επίπεδο ασφάλειας των προσωπικών δεδομένων, συμπεριλαμβανομένης της προστασίας από μη εξουσιοδοτημένη ή παράνομη επεξεργασία, τυχαία απώλεια, καταστροφή ή ζημία.

(2) Τα μέτρα προστασίας καθορίζονται λαμβάνοντας υπόψη τις σύγχρονες τεχνικές εξελίξεις, το κόστος εφαρμογής, τη φύση και τον όγκο των δεδομένων που υποβάλλονται σε επεξεργασία, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τον βαθμό κινδύνου για τα δικαιώματα και τις ελευθερίες των υποκειμένων. Λεπτομερής περιγραφή των εφαρμοζόμενων μέτρων ασφαλείας παρουσιάζεται στο Τμήμα X της παρούσας Πολιτικής.

Άρθρο 9. (1) Ο διαχειριστής διακρίνει σαφώς την επεξεργασία προσωπικών δεδομένων που είναι απαραίτητη για την εκτέλεση της σύμβασης εξ αποστάσεως πώλησης από την επεξεργασία που δεν είναι υποχρεωτική για την παροχή της βασικής υπηρεσίας.

(2) Για την εκτέλεση της σύμβασης υποβάλλονται σε επεξεργασία δεδομένα όπως στοιχεία ταυτότητας και επικοινωνίας, δεδομένα για παραγγελίες και παραδόσεις, πληροφορίες πληρωμών και λογιστικής, τα οποία είναι απολύτως απαραίτητα για την αποδοχή, την επεξεργασία, την παράδοση και την τιμολόγηση της παραγγελίας.

(3) Η επεξεργασία που δεν είναι απαραίτητη για την εκτέλεση της σύμβασης, όπως η αποστολή διαφημιστικών μηνυμάτων, η ανάλυση των προτιμήσεων των καταναλωτών μέσω αναλυτικών εργαλείων και η εξατομίκευση του διαφημιστικού περιεχομένου, πραγματοποιείται μόνο με την ύπαρξη έγκυρης συγκατάθεσης ή άλλης εφαρμοστέας νομικής βάσης.

(4) Η άρνηση ή η ανάκληση της συγκατάθεσης για μη υποχρεωτική επεξεργασία δεν περιορίζει τη δυνατότητα υποβολής παραγγελιών, την πρόσβαση στο προφίλ χρήστη, τη λήψη των παραγγελθέντων προϊόντων ή την υποχρεωτική επικοινωνία που σχετίζεται με την εκτέλεση της σύμβασης.

(5) Ο διαχειριστής δεν επιτρέπει την επιδείνωση των όρων, της ποιότητας των υπηρεσιών ή την επιβολή δυσμενών συνεπειών λόγω άρνησης παροχής συγκατάθεσης για μη υποχρεωτική επεξεργασία προσωπικών δεδομένων.

Τμήμα IV - Κατηγορίες προσωπικών δεδομένων και σκοποί της επεξεργασίας

Άρθρο 10. (1) Ο διαχειριστής συλλέγει και επεξεργάζεται προσωπικά δεδομένα μόνο σε σχέση με την παροχή των υπηρεσιών του ηλεκτρονικού καταστήματος, την πώληση και παράδοση προϊόντων προσωπικής φροντίδας, κλωστοϋφαντουργικών και καλλυντικών προϊόντων, τη διατήρηση προφίλ χρηστών, την επικοινωνία με τους πελάτες και την τήρηση των νομικών υποχρεώσεων.

(2) Ο όγκος των δεδομένων που συλλέγονται περιορίζεται στο ελάχιστο απαραίτητο, σύμφωνα με την αρχή της ελαχιστοποίησης των δεδομένων, καθώς επεξεργάζεται μόνο πληροφορίες που σχετίζονται άμεσα με συγκεκριμένο σκοπό και δεν μπορούν να αντικατασταθούν με λιγότερο επεμβατικές εναλλακτικές λύσεις.

(3) Ο διαχειριστής επεξεργάζεται τα δεδομένα βάσει ρητά καθορισμένης νομικής βάσης σύμφωνα με τις απαιτήσεις του Κανονισμού (ΕΕ) 2016/679, ενώ για κάθε κατηγορία δεδομένων και σκοπό επεξεργασίας προσδιορίζεται η αντίστοιχη νομική βάση.

Άρθρο 11. (1) Ανάλογα με το ρόλο και την αλληλεπίδραση με το ηλεκτρονικό κατάστημα, ο Διαχειριστής συλλέγει και επεξεργάζεται τις ακόλουθες κατηγορίες προσωπικών δεδομένων:

 

(2) Η δημοσίευση των κριτικών των χρηστών δεν είναι υποχρεωτική και γίνεται κατ' επιλογή του πελάτη. Κατά τη δημοσίευση, ο πελάτης μπορεί να επιλέξει αν η κριτική θα εμφανίζεται με το πραγματικό του όνομα, ψευδώνυμο ή ανώνυμα, στο μέτρο που αυτό είναι τεχνικά εφικτό. Ο πελάτης έχει το δικαίωμα να ζητήσει ανά πάσα στιγμή την τροποποίηση ή τη διαγραφή μιας κριτικής που έχει δημοσιεύσει, όταν υπάρχει νόμιμος λόγος για αυτό, συμπεριλαμβανομένης της άσκησης των δικαιωμάτων του σύμφωνα με τον Κανονισμό (ΕΕ) 2016/679 (GDPR), και το αίτημα εξετάζεται εντός των προβλεπόμενων από το νόμο προθεσμιών.

Άρθρο 12. (1) Ο διαχειριστής δεν συλλέγει και δεν επεξεργάζεται ειδικές κατηγορίες προσωπικών δεδομένων κατά την έννοια του άρθρου 9 του Κανονισμού (ΕΕ) 2016/679, συμπεριλαμβανομένων δεδομένων που αποκαλύπτουν φυλετική ή εθνοτική καταγωγή, πολιτικές απόψεις, θρησκευτικές ή φιλοσοφικές πεποιθήσεις, συμμετοχή σε συνδικαλιστικές οργανώσεις, γενετικά δεδομένα, βιομετρικά δεδομένα με σκοπό τη μοναδική ταυτοποίηση, δεδομένα σχετικά με την κατάσταση της υγείας, τη σεξουαλική ζωή ή τον σεξουαλικό προσανατολισμό.

(2) Παρόλο που το ηλεκτρονικό κατάστημα προσφέρει προϊόντα προσωπικής φροντίδας, κλωστοϋφαντουργικά και καλλυντικά προϊόντα που μπορεί να σχετίζονται με συγκεκριμένες δερματικές παθήσεις ή αλλεργίες, ο Διαχειριστής δεν ζητά και δεν συλλέγει πληροφορίες σχετικά με την κατάσταση της υγείας των πελατών, αλλεργίες ή ιατρικά δεδομένα οποιουδήποτε είδους.

(3) Σε περίπτωση που ένα υποκείμενο δεδομένων παρέχει οικειοθελώς πληροφορίες που εμπίπτουν στο πεδίο εφαρμογής της παραγράφου 1, για παράδειγμα μέσω ελεύθερου κειμένου σε αλληλογραφία ή κριτική, ο Διαχειριστής ενημερώνει αμέσως το υποκείμενο ότι οι πληροφορίες αυτές δεν είναι απαραίτητες για την παροχή των υπηρεσιών και λαμβάνει μέτρα για τη διαγραφή τους χωρίς αδικαιολόγητη καθυστέρηση, εκτός εάν υπάρχει ρητή συγκατάθεση σύμφωνα με το άρθρο 9, παράγραφος 2 του Κανονισμού (ΕΕ) 2016/679.

Άρθρο 13. (1) Το ηλεκτρονικό κατάστημα προορίζεται για άτομα άνω των 18 ετών και δεν αποσκοπεί στη συλλογή προσωπικών δεδομένων από ανηλίκους.

(2) Κατά τη δημιουργία ενός προφίλ χρήστη ή την πραγματοποίηση μιας παραγγελίας, το υποκείμενο των δεδομένων δηλώνει ότι έχει συμπληρώσει το 18ο έτος της ηλικίας του, ενώ ο Διαχειριστής διατηρεί το δικαίωμα να ζητήσει επιπλέον επαλήθευση σε περίπτωση βάσιμης αμφιβολίας.

(3) Σε περίπτωση που διαπιστωθεί ότι προσωπικά δεδομένα ατόμου κάτω των 18 ετών έχουν συλλεχθεί χωρίς έγκυρη συγκατάθεση γονέα ή νόμιμου εκπροσώπου, ο Διαχειριστής λαμβάνει αμέσως μέτρα για τη διαγραφή των δεδομένων αυτών και την απενεργοποίηση του ενδεχόμενου προφίλ που έχει δημιουργηθεί.

(4) Οι γονείς και οι νόμιμοι εκπρόσωποι ανηλίκων έχουν το δικαίωμα να επικοινωνήσουν με τον Διαχειριστή για να τον ενημερώσουν σχετικά με παράνομα συλλεγμένα δεδομένα ατόμων που βρίσκονται υπό τη γονική τους μέριμνα.

Άρθρο 14. (1) Ο Διαχειριστής δεν εφαρμόζει αυτοματοποιημένη λήψη αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, κατά την έννοια του άρθρου 22 του Κανονισμού (ΕΕ) 2016/679, η οποία έχει νομικές συνέπειες για το υποκείμενο των δεδομένων ή το επηρεάζει σημαντικά.

(2) Για τους σκοπούς της βελτίωσης της εμπειρίας των χρηστών και της παροχής σχετικών συστάσεων, ο Διαχειριστής μπορεί να πραγματοποιεί περιορισμένη ανάλυση της συμπεριφοράς των χρηστών με βάση το ιστορικό των παραγγελιών, τα προϊόντα που έχουν προβληθεί και τις προτιμήσεις που έχουν εκφραστεί, η οποία δεν οδηγεί σε αυτοματοποιημένες αποφάσεις με νομικές ή σημαντικές συνέπειες.

(3) Η ανάλυση της παραγράφου 2 πραγματοποιείται μόνο εάν υπάρχει έγκυρη συγκατάθεση ή άλλη ισχύουσα νομική βάση και βασίζεται σε συγκεντρωτικά δεδομένα σχετικά με την αλληλεπίδραση με την πλατφόρμα, χωρίς να επηρεάζει την πρόσβαση στις βασικές λειτουργίες του ηλεκτρονικού καταστήματος.

(4) Ο υποκείμενος των δεδομένων έχει το δικαίωμα να αντιταχθεί ανά πάσα στιγμή στην επεξεργασία για σκοπούς ανάλυσης και συστάσεων, χωρίς αυτό να περιορίζει τη δυνατότητά του να πραγματοποιεί παραγγελίες ή να χρησιμοποιεί τις υπηρεσίες της πλατφόρμας.

(5) Σε περίπτωση μελλοντικής εισαγωγής αυτοματοποιημένης λήψης αποφάσεων ή προφίλ με νομικές ή σημαντικές συνέπειες, ο Διαχειριστής θα επικαιροποιήσει την παρούσα Πολιτική, θα παράσχει λεπτομερείς πληροφορίες σχετικά με τη λογική, τη σημασία και τις προβλεπόμενες συνέπειες μιας τέτοιας επεξεργασίας και θα εξασφαλίσει τη δυνατότητα ανθρώπινης παρέμβασης, έκφρασης άποψης και αμφισβήτησης της απόφασης.

Άρθρο 15. (1) Κάθε επεξεργασία προσωπικών δεδομένων από τον Διαχειριστή βασίζεται σε τουλάχιστον μία από τις έγκυρες νομικές βάσεις που ορίζονται στο Άρθρο 6, παρ. 1 του Κανονισμού (ΕΕ) 2016/679, ενώ η συγκεκριμένη βάση για κάθε κατηγορία δεδομένων και σκοπό επεξεργασίας αναφέρεται στον πίνακα του Άρθρο11.

(2) Όταν η επεξεργασία βασίζεται σε έννομο συμφέρον του Διαχειριστή, έχει πραγματοποιηθεί δοκιμή ισορροπίας, η οποία επιβεβαιώνει ότι το επιδιωκόμενο συμφέρον δεν υπερισχύει των δικαιωμάτων και των ελευθεριών των υποκειμένων των δεδομένων, ενώ έχουν ληφθεί τα κατάλληλα μέτρα για την ελαχιστοποίηση των επιπτώσεων στην ιδιωτική ζωή.

(3) Στις περιπτώσεις όπου η επεξεργασία βασίζεται στη συγκατάθεση του υποκειμένου των δεδομένων, η συγκατάθεση αυτή παρέχεται ελεύθερα, συγκεκριμένα, εν επιγνώσει των συνεπειών και με σαφήνεια, μέσω σαφούς επιβεβαιωτικής ενέργειας, και το υποκείμενο των δεδομένων διατηρεί το δικαίωμα να ανακαλέσει τη συγκατάθεσή του ανά πάσα στιγμή χωρίς αρνητικές συνέπειες για την πρόσβαση στις βασικές υπηρεσίες..

Τμήμα V - Χρόνοι αποθήκευσης προσωπικών δεδομένων

Άρθρο 16. (1) Ο διαχειριστής αποθηκεύει τα προσωπικά δεδομένα για το χρονικό διάστημα που είναι αντικειμενικά απαραίτητο για την επίτευξη των σκοπών για τους οποίους τα δεδομένα συλλέχθηκαν και υποβλήθηκαν σε επεξεργασία, λαμβάνοντας υπόψη τη νομική βάση για την επεξεργασία, τη φύση των δεδομένων, τις ισχύουσες νομικές απαιτήσεις και τα έννομα συμφέροντα των μερών.

(2) Μετά τη λήξη της καθορισμένης περιόδου αποθήκευσης, τα προσωπικά δεδομένα διαγράφονται ανεπανόρθωτα μέσω ασφαλούς διαγραφής από όλα τα συστήματα και τα αντίγραφα ασφαλείας ή υποβάλλονται σε επεξεργασία με τρόπο που δεν επιτρέπει την επακόλουθη ταυτοποίηση του υποκειμένου.

(3) Σε περιπτώσεις όπου η νομοθεσία απαιτεί μακρύτερη αποθήκευση ορισμένων κατηγοριών δεδομένων για λογιστικούς, φορολογικούς ή νομικούς σκοπούς, ο Διαχειριστής τηρεί τις υποχρεωτικές ελάχιστες προθεσμίες, ακόμη και όταν ο αρχικός σκοπός της επεξεργασίας έχει ήδη επιτευχθεί.

(4) Ο καθορισμός των συγκεκριμένων προθεσμιών πραγματοποιείται ανάλογα με την κατηγορία των δεδομένων, λαμβάνοντας υπόψη τους ακόλουθους παράγοντες: σκοπός της επεξεργασίας, είδος της νομικής βάσης, βαθμός ευαισθησίας των δεδομένων, προθεσμίες παραγραφής για την άσκηση νομικών αξιώσεων, απαιτήσεις της λογιστικής και φορολογικής νομοθεσίας, ύπαρξη τρεχουσών νομικών ή συμβατικών σχέσεων με το υποκείμενο.

Άρθρο 17.

Οι συγκεκριμένες προθεσμίες για την αποθήκευση των διαφόρων κατηγοριών προσωπικών δεδομένων είναι οι εξής:

 

Άρθρο 18. (1) Σε περίπτωση εν εξελίξει νομικής διαφοράς, διαδικασίας ενώπιον δικαστηρίου ή διοικητικού οργάνου, έρευνας ή διαδικασίας για τη διαπίστωση, άσκηση ή υπεράσπιση νομικών αξιώσεων, ο Διαχειριστής αναστέλλει προσωρινά την αυτόματη διαγραφή των προσωπικών δεδομένων που σχετίζονται με τη διαδικασία έως την οριστική περάτωση της υπόθεσης.

(2) Η παράταση της προθεσμίας της παραγράφου 1 εφαρμόζεται μόνο για τα δεδομένα που σχετίζονται άμεσα με τη συγκεκριμένη νομική υπόθεση, ενώ τα υπόλοιπα δεδομένα του ίδιου υποκειμένου συνεχίζουν να υποβάλλονται σε επεξεργασία σύμφωνα με τις συνήθεις προθεσμίες αποθήκευσης.

(3) Το υποκείμενο των δεδομένων ενημερώνεται για την παράταση της προθεσμίας αποθήκευσης, παρέχοντάς του πληροφορίες σχετικά με τη νομική βάση, τη φύση της νομικής υπόθεσης (χωρίς αποκάλυψη εμπιστευτικών λεπτομερειών) και την αναμενόμενη διάρκεια της παράτασης.

Άρθρο 19. (1) Ο διαχειριστής τηρεί εσωτερικό μητρώο των κατηγοριών δεδομένων και των εφαρμοστέων προθεσμιών αποθήκευσης, το οποίο ενημερώνεται τακτικά σε περίπτωση αλλαγών στη νομοθεσία, στις επιχειρηματικές διαδικασίες ή στην τεχνική υποδομή.

(2) Η διαδικασία διαγραφής ή ανωνυμοποίησης των δεδομένων πραγματοποιείται αυτοματοποιημένα μέσω τεχνικών μηχανισμών, όπου αυτό είναι δυνατό, ή μέσω περιοδικών χειροκίνητων ελέγχων και ενεργειών από εξουσιοδοτημένο προσωπικό.

(3) Κατά τη διαγραφή προσωπικών δεδομένων από τα βασικά συστήματα, διασφαλίζεται ότι τα ίδια δεδομένα διαγράφονται και από όλα τα αντίγραφα ασφαλείας κατά την επόμενη ενημέρωση των αρχείων, με τη μέγιστη περίοδο πλήρους διαγραφής να μην υπερβαίνει τις 90 ημέρες από τη στιγμή της αρχικής διαγραφής.

Άρθρο 20. Ο υποκείμενος των δεδομένων έχει το δικαίωμα να ζητήσει ανά πάσα στιγμή πληροφορίες σχετικά με την ισχύουσα περίοδο αποθήκευσης των συγκεκριμένων προσωπικών του δεδομένων, ενώ ο Διαχειριστής παρέχει απάντηση εντός 30 ημερών από την παραλαβή του αιτήματος, η οποία περιλαμβάνει λεπτομέρειες σχετικά με την κατηγορία των δεδομένων, τη νομική βάση, την αρχική ημερομηνία καταγραφής και την αναμενόμενη ημερομηνία διαγραφής.

Τμήμα VI - Δικαιώματα των υποκειμένων των δεδομένων

Άρθρο 21. (1) Κάθε υποκείμενο δεδομένων διαθέτει συγκεκριμένα δικαιώματα όσον αφορά τα προσωπικά του δεδομένα, τα οποία μπορεί να ασκήσει ανά πάσα στιγμή υποβάλλοντας αίτημα στον Διαχειριστή.

(2) Η άσκηση των δικαιωμάτων είναι δωρεάν, εκτός από τις περιπτώσεις προδήλως αβάσιμων ή υπερβολικών αιτημάτων, στις οποίες ο Διαχειριστής μπορεί να επιβάλει εύλογη χρέωση ή να αρνηθεί να προβεί σε ενέργεια.

(3) Οι αιτήσεις υποβάλλονται μέσω ηλεκτρονικού ταχυδρομείου στη διεύθυνση που αναφέρεται στην Ενότητα I, μέσω της φόρμας επικοινωνίας στην πλατφόρμα ή μέσω γραπτής αλληλογραφίας στη φυσική διεύθυνση του Διαχειριστή.

(4) Κατά την υποβολή αιτήματος, ο Διαχειριστής μπορεί να ζητήσει πρόσθετες πληροφορίες που είναι απαραίτητες για την επιβεβαίωση της ταυτότητας του υποκειμένου, όταν υπάρχουν βάσιμες αμφιβολίες ή όταν η φύση του αιτήματος απαιτεί πρόσθετη επαλήθευση.

Άρθρο 22. Το υποκείμενο έχει το δικαίωμα να λάβει επιβεβαίωση σχετικά με το αν ο Διαχειριστής επεξεργάζεται τα προσωπικά του δεδομένα και, σε περίπτωση θετικής απάντησης, να έχει πρόσβαση σε αυτά μαζί με πληροφορίες σχετικά με τους σκοπούς της επεξεργασίας, τις κατηγορίες δεδομένων, τους αποδέκτες, την περίοδο αποθήκευσης, την πηγή των δεδομένων και τα υπάρχοντα δικαιώματα. Το αντίγραφο των δεδομένων παρέχεται δωρεάν σε ηλεκτρονική μορφή, ενώ σε περίπτωση αίτησης για επαναλαμβανόμενα αντίγραφα μπορεί να επιβληθεί διοικητικό τέλος.

Άρθρο 23. (1) Το υποκείμενο έχει το δικαίωμα να ζητήσει τη διόρθωση ανακριβών δεδομένων προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, ο διαχειριστής να επικαιροποιήσει τις πληροφορίες εντός εύλογου χρονικού διαστήματος.

(2) Το υποκείμενο μπορεί επίσης να ζητήσει τη συμπλήρωση ελλιπών δεδομένων μέσω της υποβολής πρόσθετης δήλωσης, η οποία είναι ιδιαίτερα σημαντική για την ακρίβεια των δεδομένων παράδοσης ή επικοινωνίας σε μελλοντικές παραγγελίες.

(3) Οι χρήστες με καταχωρημένο προφίλ μπορούν να ενημερώσουν οι ίδιοι το μεγαλύτερο μέρος των δεδομένων τους μέσω των ρυθμίσεων του προφίλ, χωρίς να είναι απαραίτητη η υποβολή επίσημης αίτησης.

Άρθρο 24. (1) Το υποκείμενο μπορεί να ζητήσει τη διαγραφή των προσωπικών του δεδομένων, όταν τα δεδομένα δεν είναι πλέον απαραίτητα για τους σκοπούς για τους οποίους συλλέχθηκαν, όταν έχει ανακληθεί η συγκατάθεση για την επεξεργασία, όταν τα δεδομένα έχουν υποστεί παράνομη επεξεργασία ή όταν υπάρχει νομική υποχρέωση διαγραφής.

(2) Ο διαχειριστής διαγράφει τα δεδομένα εντός 30 ημερών από την παραλαβή του αιτήματος, εκτός εάν υπάρχει νόμιμος λόγος για τη διατήρησή τους, όπως υποχρεώσεις βάσει της λογιστικής και φορολογικής νομοθεσίας, ανάγκη προστασίας σε περίπτωση νομικών αξιώσεων ή άλλη νομική απαίτηση.

(3) Σε περίπτωση άρνησης διαγραφής, ο Διαχειριστής παρέχει λεπτομερή εξήγηση του νομικού λόγου για τον οποίο τα δεδομένα πρέπει να διατηρηθούν, μαζί με πληροφορίες για την αναμενόμενη περίοδο πρόσθετης αποθήκευσης..

Άρθρο 25. Το υποκείμενο μπορεί να ζητήσει περιορισμό της επεξεργασίας, κατά τον οποίο τα δεδομένα αποθηκεύονται, αλλά δεν χρησιμοποιούνται ενεργά, στις ακόλουθες περιπτώσεις: όταν αμφισβητεί την ακρίβεια των δεδομένων κατά τη διάρκεια της επαλήθευσης όταν η επεξεργασία είναι παράνομη, αλλά δεν επιθυμεί τη διαγραφή· όταν ο Διαχειριστής δεν χρειάζεται πλέον τα δεδομένα, αλλά αυτά είναι απαραίτητα για τον υποκείμενο για νομικές αξιώσεις· όταν έχει υποβληθεί ένσταση κατά της επεξεργασίας μέχρι να διευκρινιστεί εάν οι λόγοι του Διαχειριστή υπερισχύουν.

Άρθρο 26. (1) Το υποκείμενο έχει το δικαίωμα να λάβει τα προσωπικά δεδομένα που έχει παράσχει στον Διαχειριστή, σε δομημένο, ευρέως χρησιμοποιούμενο και κατάλληλο για μηχανική ανάγνωση μορφότυπο, όπως CSV, JSON ή XML.

(2) Εάν είναι τεχνολογικά εφικτό, ο Διαχειριστής μπορεί να μεταφέρει τα δεδομένα απευθείας σε άλλο διαχειριστή, σύμφωνα με τις οδηγίες του υποκειμένου.

(3) Το δικαίωμα φορητότητας εφαρμόζεται μόνο για δεδομένα που υποβάλλονται σε επεξεργασία βάσει συγκατάθεσης ή σύμβασης και μόνο όταν η επεξεργασία πραγματοποιείται με αυτοματοποιημένο τρόπο, χωρίς να περιλαμβάνει δεδομένα που εξάγονται ή παράγονται από το σύστημα του Διαχειριστή.

Άρθρο 27. (1) Το υποκείμενο μπορεί να αντιταχθεί στην επεξεργασία προσωπικών δεδομένων που βασίζεται σε έννομο συμφέρον του Διαχειριστή, οπότε η επεξεργασία διακόπτεται, εκτός εάν αποδειχθούν πειστικοί νόμιμοι λόγοι που υπερισχύουν των συμφερόντων και των δικαιωμάτων του υποκειμένου.

(2) Σε περίπτωση αντίρρησης κατά της επεξεργασίας για σκοπούς άμεσου μάρκετινγκ, ο Διαχειριστής διακόπτει αμέσως και άνευ όρων κάθε χρήση των δεδομένων για σκοπούς μάρκετινγκ, συμπεριλαμβανομένης της αποστολής ενημερωτικών δελτίων και διαφημιστικών μηνυμάτων.

(3) Η ένσταση δεν επηρεάζει την επεξεργασία δεδομένων που είναι απαραίτητη για την εκπλήρωση συμβατικών υποχρεώσεων ή τη συμμόρφωση με νομικές απαιτήσεις.

Άρθρο 28. (1) Όταν η επεξεργασία βασίζεται εξ ολοκλήρου στη συγκατάθεση, το υποκείμενο μπορεί να την ανακαλέσει ανά πάσα στιγμή με την ίδια ευκολία με την οποία δόθηκε.

(2) Η ανάκληση μπορεί να πραγματοποιηθεί μέσω συνδέσμου διαγραφής στο ενημερωτικό δελτίο, στις ρυθμίσεις του προφίλ χρήστη, μέσω email ή άλλου διαθέσιμου καναλιού επικοινωνίας.

(3) Η ανάκληση της συγκατάθεσης δεν επηρεάζει τη νομιμότητα της επεξεργασίας που έχει πραγματοποιηθεί μέχρι τη στιγμή της ανάκλησης, ούτε την επεξεργασία δεδομένων για άλλο νομικό λόγο, όπως η εκτέλεση σύμβασης ή νομικής υποχρέωσης.

(4) Μετά την ανάκληση της συγκατάθεσης για διαφημιστικά μηνύματα, το υποκείμενο συνεχίζει να έχει πλήρη πρόσβαση σε όλες τις λειτουργίες της πλατφόρμας και τη δυνατότητα να πραγματοποιεί παραγγελίες χωρίς περιορισμούς.

Άρθρο 29. (1) Ο διαχειριστής εξετάζει τα αιτήματα και παρέχει πληροφορίες σχετικά με τις ενέργειες που έχουν αναληφθεί εντός ενός μηνός από την παραλαβή τους.

(2) Εάν είναι απαραίτητο, η προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, λαμβάνοντας υπόψη την πολυπλοκότητα και τον αριθμό των αιτήσεων, για το οποίο το υποκείμενο ενημερώνεται εντός του πρώτου μήνα, μαζί με τους λόγους της καθυστέρησης.

(3) Σε περίπτωση άρνησης να ληφθούν μέτρα σχετικά με το αίτημα, ο διαχειριστής ενημερώνει το υποκείμενο για τους λόγους εντός της ίδιας προθεσμίας ενός μηνός, εξηγώντας του τη δυνατότητα υποβολής καταγγελίας στην εποπτική αρχή και αναζήτησης δικαστικής προστασίας.

Άρθρο 30. (1) Το υποκείμενο έχει το δικαίωμα να υποβάλει καταγγελία στην Επιτροπή Προστασίας Προσωπικών Δεδομένων, εάν θεωρεί ότι η επεξεργασία των προσωπικών του δεδομένων παραβιάζει την ισχύουσα νομοθεσία.

(2) Η καταγγελία μπορεί να υποβληθεί γραπτώς στη διεύθυνση της Επιτροπής Προστασίας Προσωπικών Δεδομένων, που αναφέρεται στην Ενότητα Ι, ή ηλεκτρονικά μέσω της επίσημης ιστοσελίδας της Επιτροπής.

(3) Η άσκηση του δικαιώματος καταγγελίας στην εποπτική αρχή δεν περιορίζει σε καμία περίπτωση την πρόσβαση του υποκειμένου στις υπηρεσίες της πλατφόρμας και δεν οδηγεί σε δυσμενή μεταχείριση ή διάκριση εκ μέρους του Διαχειριστή.

(4) Το υποκείμενο διατηρεί επίσης το δικαίωμα να ζητήσει δικαστική προστασία, ανεξάρτητα από την υποβολή καταγγελίας στον ΥΠΔ.

Τμήμα VII - Αποδέκτες προσωπικών δεδομένων (τρίτα μέρη)

Άρθρο 31. (1) Ο Διαχειριστής παρέχει προσωπικά δεδομένα σε τρίτους μόνο όταν αυτό είναι απαραίτητο για την εκπλήρωση συμβατικών υποχρεώσεων, τη συμμόρφωση με νομικές απαιτήσεις ή τη διασφάλιση της ομαλής λειτουργίας της πλατφόρμας.

(2) Όλοι οι παραλήπτες που επεξεργάζονται δεδομένα για λογαριασμό του Διαχειριστή ενεργούν ως υπεύθυνοι επεξεργασίας προσωπικών δεδομένων βάσει γραπτών συμφωνιών που εγγυώνται την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων για την προστασία των δεδομένων.

(3) Οι παραλήπτες δεν έχουν το δικαίωμα να χρησιμοποιούν τα προσωπικά δεδομένα για δικούς τους σκοπούς, εκτός από εκείνους που έχουν εξουσιοδοτηθεί ρητά από τον Διαχειριστή, και υποχρεούνται να τα επεξεργάζονται μόνο σύμφωνα με τις τεκμηριωμένες οδηγίες..

Άρθρο 32. Ο διαχειριστής παρέχει προσωπικά δεδομένα στις ακόλουθες κατηγορίες αποδεκτών σε σχέση με τους αναφερόμενους σκοπούς:

1. Υπηρεσίες ταχυμεταφορών και logistics (ELTA Courier, Geniki, BoxNow για παραδόσεις στην Ελλάδα, Kronos Express για παραδόσεις στην Κύπρο) - λαμβάνουν όνομα, διεύθυνση παράδοσης και  τηλέφωνο επικοινωνίας με σκοπό τη φυσική παράδοση των παραγγελθέντων προϊόντων στον πελάτη.

2. Πάροχοι υπηρεσιών πληρωμών (Stripe) - επεξεργάζονται δεδομένα συναλλαγών με σκοπό την επαλήθευση και την εκτέλεση πληρωμών μέσω πιστωτικών και χρεωστικών καρτών, ενώ ο Διαχειριστής δεν αποθηκεύει πλήρη δεδομένα τραπεζικών καρτών.

3. Τεχνολογικοί συνεργάτες (πάροχοι υπηρεσιών hosting, πλατφόρμας, συστημάτων διαχείρισης περιεχομένου) - έχουν πρόσβαση σε τεχνικά δεδομένα και αρχεία καταγραφής με σκοπό τη διασφάλιση της σταθερότητας, της ασφάλειας και της ομαλής λειτουργίας της πλατφόρμας.

4. Λογιστικές και ελεγκτικές υπηρεσίες - λαμβάνουν δεδομένα τιμολογίων και πληροφορίες για συναλλαγές με σκοπό την εκπλήρωση των υποχρεώσεων του Διαχειριστή σύμφωνα με τη λογιστική και φορολογική νομοθεσία.

5. Πλατφόρμες μάρκετινγκ και ανάλυσης (Google Analytics, Meta Pixel) - συλλέγουν τεχνικά δεδομένα και πληροφορίες σχετικά με τη συμπεριφορά στην πλατφόρμα με σκοπό την ανάλυση της αλληλεπίδρασης των χρηστών και τη διεξαγωγή διαφημιστικών καμπανιών, ενώ η επεξεργασία βασίζεται στη συγκατάθεση μέσω του μηχανισμού διαχείρισης των cookies.

6. Νομικοί σύμβουλοι και δικηγορικά γραφεία - λαμβάνουν δεδομένα όταν απαιτείται νομική προστασία, συμβουλές ή σε διαδικασίες που σχετίζονται με καταγγελίες, συμβατικές διαφορές ή άσκηση δικαιωμάτων.

7. Κρατικές και ρυθμιστικές αρχές (Επιτροπή Προστασίας Προσωπικών Δεδομένων, Εθνική Υπηρεσία Δημοσίων Εσόδων, δικαστήρια) - λαμβάνουν δεδομένα μόνο όταν υπάρχει νομική υποχρέωση, επίσημη αίτηση βάσει πράξης αρμόδιας αρχής ή στο πλαίσιο διαδικασίας ενώπιον διοικητικής ή δικαστικής αρχής.

Άρθρο 33. (1) Ο διαχειριστής επιλέγει συνεργάτες που έχουν λάβει τα απαραίτητα μέτρα για την προστασία των προσωπικών δεδομένων και που αποδεικνύουν συμμόρφωση με τις απαιτήσεις της ισχύουσας νομοθεσίας για την προστασία των δεδομένων.

(2) Κατά την επιλογή των υπευθύνων επεξεργασίας δεδομένων προσωπικού χαρακτήρα λαμβάνονται υπόψη οι τεχνικές δυνατότητές τους, τα οργανωτικά μέτρα, η εμπειρία τους στον σχετικό τομέα και η φήμη τους όσον αφορά την τήρηση των προτύπων ασφάλειας και εμπιστευτικότητας.

Τμήμα VIII - Διεθνείς διαβιβάσεις δεδομένων

Άρθρο 34. (1) Κατά τη διάρκεια της παροχής των υπηρεσιών, τα προσωπικά δεδομένα ενδέχεται να διαβιβάζονται σε αποδέκτες που είναι εγκατεστημένοι εκτός της Ευρωπαϊκής Ένωσης και του Ευρωπαϊκού Οικονομικού Χώρου, κάτι που συμβαίνει κατά τη χρήση συγκεκριμένων τεχνολογικών πλατφορμών και εργαλείων.

(2) Κάθε διαβίβαση δεδομένων προς τρίτη χώρα πραγματοποιείται με αυστηρή τήρηση των απαιτήσεων του κεφαλαίου V του κανονισμού (ΕΕ) 2016/679, διασφαλίζοντας ότι το επίπεδο προστασίας δεν υποβαθμίζεται σε σχέση με αυτό της Ευρωπαϊκής Ένωσης.

(3) Ο υπεύθυνος επεξεργασίας δεν διαβιβάζει δεδομένα σε τρίτες χώρες για τις οποίες δεν υπάρχουν κατάλληλοι νομικοί μηχανισμοί και πρόσθετα τεχνικά μέτρα που να εξασφαλίζουν επαρκή προστασία.

(4) Σε περίπτωση διαβίβασης δεδομένων προσωπικού χαρακτήρα σε παρόχους ή αποδέκτες που είναι εγκατεστημένοι εκτός της Ευρωπαϊκής Ένωσης ή του Ευρωπαϊκού Οικονομικού Χώρου, ο υπεύθυνος επεξεργασίας εφαρμόζει τα κατάλληλα εγγυητικά μέτρα σύμφωνα με τον κανονισμό (ΕΕ) 2016/679, συμπεριλαμβανομένων των τυποποιημένων συμβατικών ρητρών (Standard Contractual Clauses – SCC) που έχουν εγκριθεί από την Ευρωπαϊκή Επιτροπή ή άλλους έγκυρους μηχανισμούς προστασίας που προβλέπονται στο κεφάλαιο V του GDPR, με σκοπό την εξασφάλιση επαρκούς επιπέδου προστασίας των προσωπικών δεδομένων.

Άρθρο 35. Η διαβίβαση δεδομένων προσωπικού χαρακτήρα εκτός της ΕΕ/ΕΟΧ πραγματοποιείται προς τους ακόλουθους αποδέκτες με τις αναφερόμενες εγγυήσεις:

1. Stripe (πάροχος υπηρεσιών πληρωμών με διακομιστές στις Ηνωμένες Πολιτείες και την Ευρωπαϊκή Ένωση) - η διαβίβαση βασίζεται σε τυποποιημένες συμβατικές ρήτρες που έχουν εγκριθεί από την Ευρωπαϊκή Επιτροπή, συμπληρωμένες με τεχνικά μέτρα κρυπτογράφησης των δεδομένων και περιορισμένης πρόσβασης σε ευαίσθητες πληροφορίες.

2. Google LLC (Google Analytics για ανάλυση ιστού με διακομιστές στις Ηνωμένες Πολιτείες) - η διαβίβαση βασίζεται σε τυποποιημένες συμβατικές ρήτρες και συμμόρφωση με το πλαίσιο προστασίας δεδομένων μεταξύ της ΕΕ και των ΗΠΑ (EU-US Data Privacy Framework), έχοντας πραγματοποιήσει αξιολόγηση κινδύνου και εφαρμόσει πρόσθετα μέτρα για την ψευδωνυμοποίηση των διευθύνσεων IP.

3. Meta Platforms, Inc. (Meta Pixel για σκοπούς μάρκετινγκ με διακομιστές στις Ηνωμένες Πολιτείες) - η μεταφορά βασίζεται σε τυποποιημένες συμβατικές ρήτρες και συμμόρφωση με το πλαίσιο προστασίας δεδομένων προσωπικού χαρακτήρα μεταξύ της ΕΕ και των ΗΠΑ, ενώ η επεξεργασία πραγματοποιείται μόνο με ρητή συγκατάθεση μέσω του μηχανισμού διαχείρισης cookies.

Άρθρο 36. (1) Πριν από κάθε διαβίβαση δεδομένων σε τρίτη χώρα, ο διαχειριστής αξιολογεί το νομικό πλαίσιο της χώρας παραλήπτη, αναλύοντας τη νομοθεσία σχετικά με την πρόσβαση των δημόσιων αρχών στα δεδομένα, την ύπαρξη νομικών μέσων προστασίας και την πρακτική εφαρμογή.

(2) Με βάση την αξιολόγηση της προηγούμενης παραγράφου, εφαρμόζονται πρόσθετα τεχνικά και οργανωτικά μέτρα, τα οποία περιλαμβάνουν κρυπτογράφηση των δεδομένων κατά τη διαβίβαση και την αποθήκευση, περιορισμό του όγκου των διαβιβαζόμενων δεδομένων στο απολύτως απαραίτητο, έλεγχο της πρόσβασης με βάση την αρχή των ελάχιστων προνομίων και συμβατικές ρήτρες που απαγορεύουν την πρόσβαση από δημόσιους φορείς χωρίς νομική βάση.

(3) Ο διαχειριστής επανεξετάζει τακτικά την εκτίμηση του κινδύνου σε περίπτωση αλλαγών στη νομοθεσία των χωρών παραληπτών ή σε περίπτωση εμφάνισης νέων περιστάσεων που θα μπορούσαν να επηρεάσουν το επίπεδο προστασίας των μεταφερόμενων δεδομένων.

Άρθρο 37. Τα υποκείμενα των δεδομένων έχουν το δικαίωμα να λάβουν πληροφορίες σχετικά με τις συγκεκριμένες χώρες στις οποίες διαβιβάζονται τα δεδομένα τους, καθώς και αντίγραφο των μηχανισμών προστασίας, υποβάλλοντας αίτημα σύμφωνα με την Ενότητα VI της παρούσας Πολιτικής.

Τμήμα IX - Μέτρα ασφαλείας

Άρθρο 38. (1) Ο διαχειριστής εφαρμόζει ένα σύνολο τεχνικών και οργανωτικών μέτρων για να εξασφαλίσει το κατάλληλο επίπεδο ασφάλειας των προσωπικών δεδομένων, ανάλογα με τη φύση, τον όγκο και τους σκοπούς της επεξεργασίας, καθώς και με το βαθμό κινδύνου για τα δικαιώματα και τις ελευθερίες των υποκειμένων.

(2) Τα μέτρα προστασίας αναθεωρούνται και επικαιροποιούνται τακτικά, λαμβάνοντας υπόψη τις σύγχρονες τεχνολογικές εξελίξεις, τις νέες απειλές στον κυβερνοχώρο και τις αλλαγές στις κατηγορίες δεδομένων που υποβάλλονται σε επεξεργασία.

(3) Κατά τον καθορισμό των κατάλληλων μέτρων, ο υπεύθυνος επεξεργασίας λαμβάνει υπόψη το κόστος εφαρμογής, τις τεχνολογικές δυνατότητες και την ισορροπία μεταξύ αποτελεσματικότητας και πρακτικής εφικτότητας..

Άρθρο 39. Ο διαχειριστής εφαρμόζει τα ακόλουθα τεχνικά μέτρα για την προστασία των προσωπικών δεδομένων:

1. Κρυπτογράφηση των επικοινωνιών - όλες οι επικοινωνίες μεταξύ του προγράμματος περιήγησης του χρήστη και των διακομιστών της πλατφόρμας πραγματοποιούνται μέσω κρυπτογραφημένων συνδέσεων SSL/TLS (πρωτόκολλο HTTPS), το οποίο αποτρέπει την υποκλοπή δεδομένων κατά τη διάρκεια της μεταφοράς τους.

2. Προστασία κωδικών πρόσβασης - οι κωδικοί πρόσβασης των χρηστών αποθηκεύονται σε κρυπτογραφημένη μορφή μέσω αλγορίθμων κατακερματισμού, οι οποίοι καθιστούν αδύνατη την ανάκτηση του αρχικού κωδικού πρόσβασης, ακόμη και σε περίπτωση μη εξουσιοδοτημένης πρόσβασης στη βάση δεδομένων.

3. Έλεγχος πρόσβασης - η πρόσβαση στα προσωπικά δεδομένα περιορίζεται μέσω ενός συστήματος μοναδικών αναγνωριστικών και επιπέδων εξουσιοδότησης, καθώς μόνο οι υπάλληλοι με συγκεκριμένα καθήκοντα έχουν άδεια να προβάλλουν ή να επεξεργάζονται τα σχετικά δεδομένα.

4. Τείχη προστασίας και συστήματα ανίχνευσης απειλών - η πλατφόρμα προστατεύεται μέσω τειχών προστασίας και συστημάτων παρακολούθησης, τα οποία εντοπίζουν και αποκλείουν ύποπτη δραστηριότητα, απόπειρες μη εξουσιοδοτημένης πρόσβασης, επιθέσεις DDoS και άλλες απειλές στον κυβερνοχώρο.

5. Αντίγραφα ασφαλείας και αποκατάσταση - δημιουργούνται τακτικά αντίγραφα ασφαλείας των δεδομένων, τα οποία αποθηκεύονται σε προστατευμένο και απομονωμένο περιβάλλον, επιτρέποντας γρήγορη αποκατάσταση σε περίπτωση τεχνικής βλάβης, βλάβης υλικού ή συμβάντος ασφαλείας.

6. Ενημερώσεις λογισμικού - το σύστημα διαχείρισης της πλατφόρμας (Shopify και οι εφαρμογές που χρησιμοποιούνται) και όλες οι σχετικές εφαρμογές διατηρούνται ενημερωμένες μέσω της έγκαιρης εγκατάστασης διορθώσεων ασφαλείας και ενημερώσεων.
   

Άρθρο 40. Ο διαχειριστής εφαρμόζει τα ακόλουθα οργανωτικά μέτρα για την προστασία των προσωπικών δεδομένων:

1. Αρχή των ελάχιστων προνομίων - κάθε υπάλληλος ή εξωτερικός συνεργάτης έχει πρόσβαση μόνο σε εκείνο το μέρος των προσωπικών δεδομένων που είναι απολύτως απαραίτητο για την εκτέλεση της συγκεκριμένης εργασίας του, χωρίς δυνατότητα προβολής ή επεξεργασίας μη σχετικών πληροφοριών.

2. Εκπαίδευση του προσωπικού - οι υπάλληλοι που έχουν πρόσβαση σε προσωπικά δεδομένα παρακολουθούν υποχρεωτικά εκπαίδευση σχετικά με τις απαιτήσεις της νομοθεσίας για την προστασία των δεδομένων, τις εσωτερικές πολιτικές και διαδικασίες ασφάλειας, καθώς και τις βέλτιστες πρακτικές για την πρόληψη περιστατικών.

3. Συμφωνίες εμπιστευτικότητας - όλοι οι υπάλληλοι και οι εξωτερικοί συνεργάτες υπογράφουν συμφωνίες εμπιστευτικότητας, οι οποίες τους υποχρεώνουν να τηρούν εμπιστευτικές τις πληροφορίες στις οποίες έχουν πρόσβαση κατά την εκτέλεση των καθηκόντων τους.

4. Εσωτερικές πολιτικές και διαδικασίες - έχουν αναπτυχθεί και εφαρμόζονται τεκμηριωμένες διαδικασίες για την επεξεργασία δεδομένων, τη διαχείριση συμβάντων, την έγκριση πρόσβασης, την αρχειοθέτηση και τη διαγραφή πληροφοριών.

5. Φυσική ασφάλεια - η τεχνική υποδομή των συνεργατών φιλοξενίας βρίσκεται σε προστατευμένα κέντρα δεδομένων με ελεγχόμενη πρόσβαση, βιντεοεπιτήρηση, κλιματισμό και συστήματα πυρανίχνευσης.
   

Άρθρο 41. (1) Ο διαχειριστής διενεργεί περιοδικούς ελέγχους και αξιολογήσεις της αποτελεσματικότητας των εφαρμοζόμενων μέτρων ασφαλείας μέσω εσωτερικών ελέγχων, δοκιμών ευπάθειας και ανάλυσης των περιστατικών που έχουν συμβεί.

(2) Σε περίπτωση εντοπισμού νέων κινδύνων ή αδυναμιών στην προστασία, λαμβάνονται αμέσως διορθωτικά μέτρα, τα οποία περιλαμβάνουν τεχνικές βελτιώσεις, επικαιροποίηση των διαδικασιών ή επιπλέον εκπαίδευση του προσωπικού.

Άρθρο 42. (1) Σε περίπτωση διαπίστωσης παραβίασης της ασφάλειας των προσωπικών δεδομένων, η οποία ενδέχεται να θέσει σε κίνδυνο τα δικαιώματα και τις ελευθερίες των υποκειμένων, ο Διαχειριστής ενημερώνει την Επιτροπή Προστασίας Προσωπικών Δεδομένων το αργότερο 72 ώρες μετά τη διαπίστωση του συμβάντος.

(2) Η κοινοποίηση περιλαμβάνει περιγραφή της φύσης της παραβίασης, των κατηγοριών και του κατά προσέγγιση αριθμού των υποκειμένων και των αρχείων δεδομένων που έχουν επηρεαστεί, των πιθανών συνεπειών, των μέτρων που έχουν ληφθεί ή προγραμματιστεί για τον περιορισμό των επιπτώσεων και των στοιχείων επικοινωνίας με τον Διαχειριστή.

(3) Όταν η παραβίαση ενδέχεται να δημιουργήσει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας ενημερώνει τα επηρεαζόμενα υποκείμενα χωρίς αδικαιολόγητη καθυστέρηση μέσω ατομικού ηλεκτρονικού μηνύματος ή δημόσιας ανακοίνωσης, ανάλογα με τις περιστάσεις.

(4) Η ειδοποίηση προς τα υποκείμενα περιλαμβάνει περιγραφή του συμβάντος, συγκεκριμένες συστάσεις για προστασία (αλλαγή κωδικών πρόσβασης, παρακολούθηση τραπεζικών συναλλαγών), στοιχεία επικοινωνίας με τον Διαχειριστή για περαιτέρω ερωτήσεις και πληροφορίες σχετικά με το δικαίωμα προσφυγής στην εποπτική αρχή.

(5) Ο Διαχειριστής τηρεί μητρώο όλων των παραβιάσεων της ασφάλειας, ανεξάρτητα από το αν έχουν αναφερθεί στην ΕΠΠΔ, το οποίο περιλαμβάνει χρονολόγιο του συμβάντος, ανάλυση των αιτίων, εκτίμηση των συνεπειών και κατάλογο των διορθωτικών μέτρων που έχουν ληφθεί.

Τμήμα X - Χρήση cookies και τεχνολογιών παρακολούθησης

Άρθρο 43. (1) Για να εξασφαλίσει βέλτιστη εμπειρία χρήστη, τεχνική σταθερότητα και εξατομικευμένο περιεχόμενο, η πλατφόρμα χρησιμοποιεί cookies και παρόμοιες τεχνολογίες παρακολούθησης.

(2) Τα cookies είναι μικρά αρχεία κειμένου που αποθηκεύονται στη συσκευή του χρήστη κατά την επίσκεψή του στην πλατφόρμα και χρησιμεύουν για την αναγνώριση κατά τις επόμενες επισκέψεις, την απομνημόνευση των προτιμήσεων, τη διασφάλιση της ασφάλειας και την ανάλυση της αλληλεπίδρασης με το ηλεκτρονικό κατάστημα.

(3) Λεπτομερείς πληροφορίες σχετικά με τους τύπους των cookies που χρησιμοποιούνται, τους συγκεκριμένους σκοπούς τους, τους χρόνους αποθήκευσης, τους παρόχους και τους μηχανισμούς διαχείρισης είναι διαθέσιμες στην ξεχωριστή Πολιτική cookies της πλατφόρμας.

Άρθρο 44. (1) Κατά την πρώτη πρόσβαση στην πλατφόρμα, ο χρήστης βλέπει έναν διαδραστικό μηχανισμό διαχείρισης της συγκατάθεσης (cookie banner), ο οποίος απαιτεί ενεργή δράση πριν από την ενεργοποίηση οποιωνδήποτε cookies, με εξαίρεση εκείνα που είναι απολύτως απαραίτητα για τη λειτουργία των βασικών υπηρεσιών.

(2) Ο χρήστης έχει τη δυνατότητα να επιλέξει μεταξύ των ακόλουθων επιλογών:

1. Αποδοχή όλων των cookies - παρέχει συγκατάθεση για την πλήρη λειτουργικότητα της πλατφόρμας, συμπεριλαμβανομένων των αναλυτικών και μάρκετινγκ εργαλείων.

2. Απόρριψη των μη υποχρεωτικών cookies - η πλατφόρμα λειτουργεί μόνο με τα απολύτως απαραίτητα τεχνικά στοιχεία για την εκτέλεση παραγγελιών και τη βασική πλοήγηση.

3. Προσαρμοσμένες ρυθμίσεις - πρόσβαση σε λεπτομερή πίνακα ελέγχου για ατομική επιλογή ανά κατηγορία cookies.

(3) Η καταγεγραμμένη συγκατάθεση παραμένει σε ισχύ για περίοδο 12 μηνών, μετά την οποία, κατά την επόμενη επίσκεψη, το σύστημα απαιτεί νέα επιβεβαίωση.

(4) Τα cookies μάρκετινγκ και ανάλυσης, συμπεριλαμβανομένων, ενδεικτικά, των Google Analytics και Meta (Facebook) Pixel, δεν ενεργοποιούνται και δεν χρησιμοποιούνται πριν από τη λήψη έγκυρης, ρητής και ενημερωμένης συγκατάθεσης από τον χρήστη, η οποία παρέχεται μέσω μηχανισμού διαχείρισης cookies.

Άρθρο 45. (1) Ο χρήστης μπορεί ανά πάσα στιγμή να αλλάξει τη συγκατάθεσή του ή να ανακαλέσει την άδεια χρήσης συγκεκριμένων κατηγοριών cookies μέσω του πίνακα ελέγχου που βρίσκεται στο κάτω μέρος κάθε σελίδας της πλατφόρμας.

(2) Η ανάκληση της συγκατάθεσης για αναλυτικά ή διαφημιστικά cookies δεν περιορίζει την πρόσβαση στις βασικές λειτουργίες του ηλεκτρονικού καταστήματος, τη δυνατότητα πραγματοποίησης παραγγελιών ή τη χρήση του προφίλ χρήστη.

(3) Ανεξάρτητα από τις ρυθμίσεις στην πλατφόρμα, ο χρήστης μπορεί να αποκλείσει ή να διαγράψει τα cookies απευθείας μέσω των ρυθμίσεων του χρησιμοποιούμενου προγράμματος περιήγησης, λαμβάνοντας υπόψη ότι η απενεργοποίηση όλων των cookies μπορεί να οδηγήσει σε περιορισμένη λειτουργικότητα ορισμένων ενοτήτων.

Άρθρο 46. Ορισμένα cookies τοποθετούνται από εξωτερικούς παρόχους υπηρεσιών, όπως το Google Analytics και το Meta Pixel, οι οποίοι μπορούν να μεταφέρουν δεδομένα εκτός της Ευρωπαϊκής Ένωσης σύμφωνα με τους όρους που περιγράφονται στην Ενότητα VIII, ενώ η επεξεργασία πραγματοποιείται μόνο με τη ρητή συγκατάθεσή σας μέσω του μηχανισμού διαχείρισης cookies.

Τμήμα XI - Αλλαγές στην Πολιτική Απορρήτου

Άρθρο 47. (1) Ο διαχειριστής διατηρεί το δικαίωμα να ενημερώνει την παρούσα Πολιτική Απορρήτου περιοδικά, προκειμένου να αντανακλά τις αλλαγές στις πρακτικές επεξεργασίας δεδομένων, την εισαγωγή νέων λειτουργιών, τις τεχνολογικές βελτιώσεις ή τη συμμόρφωση με τις αλλαγές στην ισχύουσα νομοθεσία.

(2) Κάθε ενημέρωση πραγματοποιείται με αυστηρή τήρηση των αρχών της διαφάνειας και της καλής πίστης, διασφαλίζοντας ότι τα υποκείμενα των δεδομένων ενημερώνονται εγκαίρως για τις αλλαγές και τις συνέπειές τους.

(3) Η ενημερωμένη έκδοση της Πολιτικής περιλαμβάνει σαφή αναφορά της ημερομηνίας της τελευταίας τροποποίησης στην αρχή ή στο τέλος του εγγράφου, ενώ ο Διαχειριστής διατηρεί αρχείο των προηγούμενων εκδόσεων, το οποίο είναι διαθέσιμο κατόπιν αιτήματος.

Άρθρο 48. (1) Κατά την εισαγωγή αλλαγών που επηρεάζουν τα δικαιώματα των υποκειμένων, τις κατηγορίες των επεξεργαζόμενων δεδομένων, τους σκοπούς της επεξεργασίας, τους αποδέκτες ή τους μηχανισμούς προστασίας, ο Διαχειριστής ενημερώνει τους χρήστες με τους ακόλουθους τρόπους:

1. Αποστολή ατομικού ηλεκτρονικού μηνύματος στους εγγεγραμμένους χρήστες τουλάχιστον 14 ημέρες πριν από την έναρξη ισχύος των αλλαγών.

2. Δημοσίευση σαφούς και ευδιάκριτης συστηματικής ειδοποίησης κατά την πρώτη είσοδο στην πλατφόρμα μετά την ενημέρωση, η οποία ενημερώνει για τις αλλαγές και παρέχει άμεση σύνδεση με τη νέα έκδοση της Πολιτικής.

3. Δημοσίευση μηνύματος στην αρχική σελίδα του ηλεκτρονικού καταστήματος για περίοδο τουλάχιστον 30 ημερών.

(2) Όταν οι αλλαγές επιβάλλουν νέα νομική βάση για την επεξεργασία, όπως για παράδειγμα η μετάβαση από έννομο συμφέρον σε απαίτηση συγκατάθεσης, ο Διαχειριστής διακόπτει την αντίστοιχη επεξεργασία έως ότου λάβει ρητή επιβεβαίωση από το υποκείμενο.

(3) Μικρές τεχνικές διορθώσεις, διορθώσεις ορθογραφικών λαθών ή επικαιροποιήσεις των στοιχείων επικοινωνίας δεν απαιτούν προηγούμενη ειδοποίηση, αλλά αναγράφονται στην ημερομηνία της τελευταίας αλλαγής.

Άρθρο 49. (1) Οι αλλαγές τίθενται σε ισχύ από την ημερομηνία δημοσίευσής τους στην πλατφόρμα, εκτός εάν στις ίδιες τις αλλαγές αναφέρεται άλλη, μεταγενέστερη ημερομηνία εφαρμογής.

(2) Η συνέχιση της χρήσης της πλατφόρμας μετά τη δημοσίευση της επικαιροποιημένης Πολιτικής θεωρείται ως αποδοχή των αλλαγών εκ μέρους του υποκειμένου, υπό την προϋπόθεση ότι έχει ενημερωθεί δεόντως σύμφωνα με τις διατάξεις του προηγούμενου άρθρου.

(3) Εάν ο χρήστης δεν επιθυμεί να αποδεχτεί τις ουσιώδεις αλλαγές στην Πολιτική, έχει το δικαίωμα να διακόψει τη χρήση των υπηρεσιών, να διαγράψει το προφίλ χρήστη του και να ζητήσει τη διαγραφή των προσωπικών του δεδομένων σύμφωνα με τους όρους του Τμήματος VI, το οποίο δικαίωμα μπορεί να ασκηθεί εντός της προθεσμίας προειδοποίησης των 14 ημερών.

Τμήμα XII - Τελικές διατάξεις

Άρθρο 50. (1) Η παρούσα Πολιτική Απορρήτου τίθεται σε ισχύ στις 02.01.2026 και ισχύει για όλα τα προσωπικά δεδομένα που συλλέγονται και υποβάλλονται σε επεξεργασία μέσω του ηλεκτρονικού καταστήματος, ανεξάρτητα από το αν έχουν συλλεχθεί πριν ή μετά την ημερομηνία αυτή.

(2) Η Πολιτική αποτελεί αναπόσπαστο μέρος των σχέσεων μεταξύ του Διαχειριστή και των χρηστών της πλατφόρμας και εφαρμόζεται μαζί με τους Γενικούς Όρους Χρήσης του ηλεκτρονικού καταστήματος.

(3) Σε περίπτωση αντίφασης μεταξύ των διατάξεων της παρούσας Πολιτικής και των Γενικών Όρων σχετικά με θέματα που αφορούν την προστασία των προσωπικών δεδομένων, υπερισχύουν οι ρήτρες της Πολιτικής Απορρήτου ως ειδικού εγγράφου για το θέμα αυτό.

Άρθρο 51. Εκτός από την παρούσα γενική Πολιτική Απορρήτου, κατόπιν αιτήματος, ο Διαχειριστής παρέχει ειδοποιήσεις απορρήτου σε συγκεκριμένες στιγμές συλλογής δεδομένων, όπως κατά την εγγραφή προφίλ, την ολοκλήρωση παραγγελίας, την εγγραφή σε ενημερωτικό δελτίο ή την υποβολή αιτήματος.

Άρθρο 52. (1) Η παρούσα Πολιτική ρυθμίζεται και ερμηνεύεται σύμφωνα με τον Κανονισμό (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, τον Νόμο για την προστασία των δεδομένων προσωπικού χαρακτήρα της Δημοκρατίας της Βουλγαρίας και την ισχύουσα βουλγαρική και ευρωπαϊκή νομοθεσία.

(2) Όλες οι διαφορές που προκύπτουν σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα ή την εφαρμογή της παρούσας Πολιτικής επιλύονται κατά προτεραιότητα μέσω διαπραγματεύσεων και διαμεσολάβησης μεταξύ των μερών με σκοπό την επίτευξη αμοιβαία αποδεκτής λύσης.

(3) Εάν δεν είναι δυνατή η επίτευξη συμφωνίας με ειρηνικό τρόπο, η διαφορά παραπέμπεται για επίλυση στο αρμόδιο βουλγαρικό δικαστήριο σύμφωνα με τους διαδικαστικούς κανόνες για τον καθορισμό της δικαιοδοσίας.

(4) Τα υποκείμενα των δεδομένων διατηρούν το δικαίωμά τους να υποβάλουν καταγγελία στην Επιτροπή Προστασίας Προσωπικών Δεδομένων, ανεξάρτητα από τη διεξαγωγή διαπραγματεύσεων ή δικαστικών διαδικασιών.

(5) Οι διατάξεις του παρόντος άρθρου σχετικά με το εφαρμοστέο βουλγαρικό δίκαιο και το αρμόδιο βουλγαρικό δικαστήριο δεν περιορίζουν ούτε θίγουν τα δικαιώματα των υποκειμένων των δεδομένων σύμφωνα με τον κανονισμό (ΕΕ) 2016/679 να ασκούν τα δικαιώματά τους και να ζητούν προστασία από την αρμόδια εποπτική αρχή ή το αρμόδιο δικαστήριο του κράτους μέλους στο οποίο έχουν τη συνήθη διαμονή τους, συμπεριλαμβανομένης της Δημοκρατίας της Ελλάδας ή της Κύπρου, όταν αυτό ισχύει σύμφωνα με το ευρωπαϊκό δίκαιο

Άρθρο 53. (1) Σε περίπτωση που κάποια από τις διατάξεις της παρούσας Πολιτικής κριθεί άκυρη, ανίσχυρη ή μη εφαρμόσιμη από αρμόδια αρχή, αυτό δεν επηρεάζει την εγκυρότητα και την εφαρμοσιμότητα των υπόλοιπων ρητρών.

(2) Η άκυρη ή μη εφαρμόσιμη διάταξη αντικαθίσταται από μια έγκυρη ρήτρα, η οποία αντανακλά στο μέγιστο βαθμό τον αρχικό σκοπό και την οικονομική λογική, χωρίς να παραβιάζει τις απαιτήσεις της εφαρμοστέας νομοθεσίας.

(3) Ο διαχειριστής υποχρεούται να επικαιροποιήσει αμέσως την Πολιτική σε περίπτωση που διαπιστωθεί η ακυρότητα μιας ρήτρας, ενημερώνοντας τους υποκείμενους των δεδομένων για την αλλαγή σύμφωνα με τη διαδικασία του Τμήματος XI.

Άρθρο 54. (1) Κατά την ερμηνεία των διατάξεων της παρούσας Πολιτικής λαμβάνονται υπόψη ο σκοπός κάθε ρήτρας, η συνήθης έννοια των χρησιμοποιούμενων λέξεων και εκφράσεων, η συστηματική θέση της διάταξης στη δομή του εγγράφου, καθώς και οι γενικές αρχές προστασίας των δεδομένων προσωπικού χαρακτήρα.

(2) Σε περίπτωση αμφιβολίας ή ασάφειας κατά την εφαρμογή συγκεκριμένης διάταξης, η ερμηνεία γίνεται υπέρ της ευρύτερης προστασίας των δικαιωμάτων και ελευθεριών των υποκειμένων των δεδομένων.

(3) Οι τίτλοι των τμημάτων και των άρθρων χρησιμεύουν μόνο για τη διευκόλυνση της πλοήγησης και δεν επηρεάζουν την ερμηνεία του περιεχομένου των αντίστοιχων ρητρών.

Άρθρο 55. (1) Η παρούσα Πολιτική Απορρήτου συντάχθηκε αρχικά στη βουλγαρική γλώσσα.

(2) Για χρήστες με συνήθη τόπο διαμονής στην επικράτεια της Δημοκρατίας της Ελλάδας και της Δημοκρατίας της Κύπρου, η Πολιτική μπορεί να παρασχεθεί και στην ελληνική γλώσσα.

(3) Σε περίπτωση διαφορών μεταξύ των γλωσσικών εκδόσεων, εφαρμόζονται οι επιτακτικές διατάξεις για την προστασία των προσωπικών δεδομένων σύμφωνα με το δίκαιο της Ευρωπαϊκής Ένωσης και το δίκαιο της χώρας της συνήθους διαμονής του υποκειμένου των δεδομένων.

ΗΜΕΡΟΜΗΝΙΑ ΕΝΑΡΞΗΣ ΙΣΧΥΟΣ: 02.01.2026

ΤΕΛΕΥΤΑΙΑ ΕΝΗΜΕΡΩΣΗ: 02.01.2026