Πολιτική Απορρήτου

Η Reservation Ltd. λειτουργεί την πλατφόρμα SaaS πολλαπλών μισθωτών Ordering.Tools για ψηφιακά μενού και διαδικτυακές παραγγελίες, εξυπηρετώντας επιχειρήσεις φιλοξενίας και εστίασης. Η Reservation Ltd. λειτουργεί επίσης το Reservation.Tools (διαχείριση κρατήσεων) — ξεχωριστό προϊόν με δική του πολιτική απορρήτου. Ανάλογα με το πλαίσιο επεξεργασίας, η Reservation Ltd. ενεργεί είτε ως υπεύθυνος επεξεργασίας είτε ως εκτελών την επεξεργασία.

Υπεύθυνος Προστασίας Δεδομένων (DPO): Η Reservation Ltd. δεν έχει ορίσει DPO καθώς οι δραστηριότητες επεξεργασίας της εταιρείας δεν πληρούν τα υποχρεωτικά όρια του άρθρου 37 GDPR. Όλα τα ερωτήματα προστασίας δεδομένων πρέπει να απευθύνονται στο [email protected].

Συνιστούμε να επικοινωνήσετε μαζί μας πριν υποβάλετε καταγγελία στην CPDP — στις περισσότερες περιπτώσεις μπορούμε να επιλύσουμε το ζήτημα άμεσα και γρήγορα.

Σύμφωνα με τον GDPR της ΕΕ και τη βουλγαρική νομοθεσία περί προστασίας δεδομένων, υπάρχει σημαντική νομική διάκριση μεταξύ υπεύθυνου επεξεργασίας δεδομένων (η οντότητα που αποφασίζει γιατί και πώς υφίστανται επεξεργασία τα προσωπικά δεδομένα) και εκτελούντος την επεξεργασία (η οντότητα που επεξεργάζεται δεδομένα για λογαριασμό υπεύθυνου επεξεργασίας).

Εάν έχετε ερώτηση σχετικά με το πώς ένα συγκεκριμένο Κατάστημα χρησιμοποιεί τα δεδομένα σας ή επιθυμείτε να ασκήσετε δικαιώματα σε σχέση με τις παραγγελίες σας, επικοινωνήστε απευθείας με το Κατάστημα. Θα συνδράμουμε τα Καταστήματα στην εκπλήρωση των αιτημάτων όπου είναι τεχνικά εφικτό.

Συμμορφωνόμαστε με τις αρχές του άρθρου 5 GDPR: νομιμότητα, αντικειμενικότητα και διαφάνεια· περιορισμός του σκοπού· ελαχιστοποίηση δεδομένων· ακρίβεια· περιορισμός της αποθήκευσης· ακεραιότητα και εμπιστευτικότητα· λογοδοσία. Διατηρούμε Μητρώο Δραστηριοτήτων Επεξεργασίας διαθέσιμο στην εποπτική αρχή κατόπιν αιτήματος.

5.1 Κάτοχοι Λογαριασμών Διαχειριστών Καταστημάτων (Υπεύθυνος = Reservation Ltd.)

Ιδιοκτήτες, διευθυντές και προσωπικό Καταστημάτων που είναι συνδρομητές του Ordering.Tools.

• Ταυτοποίηση: Όνομα, email, τηλέφωνο
• Έλεγχος ταυτότητας: Κωδικός πρόσβασης (αποθηκευμένος με hash, ποτέ σε απλό κείμενο)
• Προφίλ: Ρόλος, γλώσσα, ζώνη ώρας
• Συνεδρία/τεχνικά: Διεύθυνση IP, browser, OS, τελευταία είσοδος
• Αρχεία ελέγχου: Καταγραφές ενεργειών στην πλατφόρμα
• Τιμολόγηση: Επωνυμία επιχείρησης, EIK/ΑΦΜ (νομικά πρόσωπα), διεύθυνση τιμολόγησης — επεξεργασία μέσω τρίτων παρόχων πληρωμών· δεν αποθηκεύουμε δεδομένα καρτών

5.2 Επισκέπτες του www.ordering.tools (Υπεύθυνος = Reservation Ltd.)

• Τεχνικά δεδομένα: Διεύθυνση IP, browser, σελίδες που προβλήθηκαν, referrer
• Cookies: Δείτε την Ενότητα 11

5.3 Παραλήπτες Ειδοποιήσεων Προϊόντων/Υπηρεσιών (Υπεύθυνος = Reservation Ltd.)

Εγγεγραμμένοι Διαχειριστές Καταστημάτων που λαμβάνουν περιοδικές ειδοποιήσεις σχετικά με νέα χαρακτηριστικά, αλλαγές υπηρεσιών και μηνύματα προϊόντων. Δεν διατηρούμε δημόσια φόρμα εγγραφής σε newsletter και δεν στέλνουμε διαφημιστικά μηνύματα σε μη εγγεγραμμένους χρήστες. Οι παραλήπτες μπορούν να καταργήσουν την εγγραφή τους ανά πάσα στιγμή μέσω συνδέσμων στα μηνύματα.

5.4 Τελικοί Πελάτες των Καταστημάτων (Υπεύθυνος = Κατάστημα; Εκτελών = Reservation Ltd.)

Άτομα που κάνουν παραγγελίες σε Καταστήματα χρησιμοποιώντας το Ordering.Tools — μέσω σελίδων μενού στο web, κωδικών QR ή ενσωματωμένου widget παραγγελιών του Καταστήματος.

• Ταυτοποίηση: Όνομα, email, τηλέφωνο
• Δεδομένα παραγγελίας: Παραγγελθέντα είδη, τροποποιητές, ειδικές οδηγίες, ώρα παραγγελίας, αριθμός τραπεζιού
• Στοιχεία παράδοσης: Διεύθυνση, σημειώσεις παράδοσης (εάν η παράδοση είναι ενεργή στο Κατάστημα)
• Ιστορικό παραγγελιών: Παλαιότερες παραγγελίες στο αντίστοιχο Κατάστημα
• Εξωτερικά αναγνωριστικά: Stripe customer ID (παράγεται/αποθηκεύεται από τον λογαριασμό Stripe του Καταστήματος)· αναφορές συναλλαγών MyPOS/Borica

Τι ΔΕΝ συλλέγουμε: Δεν συλλέγουμε ειδικές κατηγορίες δεδομένων κατά το άρθρο 9 GDPR (φυλετική/εθνοτική καταγωγή, πολιτικές απόψεις, θρησκευτικές πεποιθήσεις, γενετικά, βιομετρικά, δεδομένα υγείας, σεξουαλικός προσανατολισμός). Εξαίρεση: εάν τα Καταστήματα συλλέγουν διατροφικές πληροφορίες (π.χ. «αλλεργία στους ξηρούς καρπούς»), μπορεί να περιέχουν έμμεσες πληροφορίες υγείας — η ευθύνη βαρύνει το Κατάστημα ως υπεύθυνο επεξεργασίας.

Δεδομένα πληρωμών: Η Reservation Ltd. δεν αποθηκεύει ούτε επεξεργάζεται δεδομένα καρτών πληρωμής. Οι πληρωμές διεξάγονται απευθείας μεταξύ του Τελικού Πελάτη και του ίδιου του λογαριασμού πληρωμών του Καταστήματος στο Stripe (μέσω Stripe Connect Standard Direct Charges), MyPOS (ενσωματωμένο checkout) ή Borica APGW (βουλγαρικές τράπεζες). Δείτε την Ενότητα 7.5.

5.5 Υποβολές Φόρμας Επικοινωνίας (Υπεύθυνος = Reservation Ltd.)

Επισκέπτες του ιστότοπου που υποβάλλουν φόρμες επικοινωνίας παρέχουν όνομα, email και κείμενο μηνύματος. Τα δεδομένα υποβάλλονται σε επεξεργασία για την απάντηση σε ερωτήματα. Οι υποβολές διατηρούνται έως 12 μήνες μετά την επίλυση.

5.6 Ειδοποιήσεις σε Πραγματικό Χρόνο (Pusher)

Για ενημερώσεις κατάστασης παραγγελιών και push ειδοποιήσεις του Συστήματος Οθόνης Κουζίνας (KDS), η πλατφόρμα χρησιμοποιεί μηνύματα σε πραγματικό χρόνο. Τα tokens push ειδοποιήσεων χρησιμοποιούνται αποκλειστικά για ειδοποιήσεις σχετικές με την υπηρεσία και δεν κοινοποιούνται σε τρίτους για διαφημιστικούς σκοπούς.

Στάθμιση εννόμου συμφέροντος: Όπου βασιζόμαστε στο έννομο συμφέρον, έχουμε διενεργήσει δοκιμή στάθμισης συγκρίνοντας το συμφέρον μας με τα δικαιώματα και τις ελευθερίες σας. Μπορείτε να αντιταχθείτε σε τέτοια επεξεργασία ανά πάσα στιγμή (Ενότητα 10).

Υπο-εκτελών την επεξεργασία είναι τρίτο μέρος στο οποίο αναθέτουμε συγκεκριμένες λειτουργίες επεξεργασίας δεδομένων. Οι υπο-εκτελούντες ενεργούν αυστηρά σύμφωνα με τις οδηγίες μας και δεσμεύονται συμβατικά από υποχρεώσεις εμπιστευτικότητας και ασφάλειας μέσω Συμβάσεων Επεξεργασίας Δεδομένων (DPAs).

7.1 Τρέχουσα λίστα υπο-εκτελούντων

7.2 Αλλαγές στη λίστα υπο-εκτελούντων

Μπορούμε να προσθέσουμε, αφαιρέσουμε ή αντικαταστήσουμε υπο-εκτελούντες. Όταν προσθέτουμε νέο υπο-εκτελούντα που επεξεργάζεται προσωπικά δεδομένα Διαχειριστών Καταστημάτων ή Τελικών Πελατών, ενημερώνουμε αυτή την Πολιτική Απορρήτου και ειδοποιούμε τα Καταστήματα μέσω email σε εύλογο χρόνο, επιτρέποντας αντιρρήσεις σύμφωνα με την DPA.

7.3 Αποκάλυψη που απαιτείται από τον νόμο

Μπορεί να αποκαλύψουμε δεδομένα σε κρατικές αρχές όταν αυτό απαιτείται από τον νόμο (δικαστικές εντολές, οδηγίες αρμόδιων αρχών). Επαληθεύουμε τη νομιμότητα κάθε αιτήματος και αποκαλύπτουμε μόνο όσα απαιτούνται ρητά.

7.4 Πάροχοι πληρωμών — ΔΕΝ είναι υπο-εκτελούντες μας

Οι πληρωμές που γίνονται αποδεκτές από τα Καταστήματα μέσω της πλατφόρμας ακολουθούν μοντέλο «διευκολυντή». Η Reservation Ltd. δεν είναι μέρος των πληρωμών και δεν επεξεργάζεται δεδομένα καρτών πληρωμής:

• Stripe (Connect Standard): Τα Καταστήματα διατηρούν δικούς τους λογαριασμούς Stripe συνδεδεμένους μέσω OAuth (scope=read_write). Τα δεδομένα καρτών ρέουν απευθείας μεταξύ Τελικών Πελατών και του λογαριασμού Stripe του Καταστήματος μέσω Direct Charges με το header Stripe-Account. Δεν είμαστε ο επίσημος έμπορος και δεν λαμβάνουμε προμήθειες συναλλαγών στις πληρωμές παραγγελιών.
• MyPOS (ενσωματωμένο checkout): Τα Καταστήματα διατηρούν δικούς τους λογαριασμούς εμπόρου MyPOS με μοναδικά Store IDs και πιστοποιητικά. Η πλατφόρμα ανακατευθύνει τους Τελικούς Πελάτες σε φόρμες πληρωμής χρησιμοποιώντας τα διαπιστευτήρια εμπόρου του Καταστήματος.
• Borica APGW: Πληρωμές με βουλγαρικές τραπεζικές κάρτες διεξάγονται απευθείας μεταξύ Τελικών Πελατών και της αποδέκτριας τράπεζας του Καταστήματος μέσω της πύλης Borica με επαλήθευση υπογραφής.

Σε όλες τις περιπτώσεις, οι πάροχοι πληρωμών ενεργούν ως υπο-εκτελούντες του Καταστήματος ως υπεύθυνου επεξεργασίας, όχι της Reservation Ltd. Το Stripe Billing χρησιμοποιείται ξεχωριστά για την ίδια τη συνδρομητική χρέωση των Διαχειριστών Καταστημάτων από τη Reservation Ltd. (δείτε Ενότητα 5.1).

7.5 Ενσωματωμένα widgets παραγγελιών σε ιστότοπους Καταστημάτων

Όταν Καταστήματα ενσωματώνουν widgets του Ordering.Tools στους δικούς τους ιστότοπους, το widget συνδέεται με την πλατφόρμα μας εμφανίζοντας μενού και δεχόμενο παραγγελίες. Δεδομένα που συλλέγονται μέσω widgets (όνομα, τηλέφωνο, email, διεύθυνση, λεπτομέρειες παραγγελίας) επεξεργάζονται σύμφωνα με την πολιτική απορρήτου του Καταστήματος, με εμάς να ενεργούμε ως εκτελών την επεξεργασία.

Η κύρια υποδομή και οι περισσότεροι υπο-εκτελούντες βρίσκονται στην ΕΕ/ΕΟΧ:

• Hosting και υποδομή — AWS, eu-west-1 (Ιρλανδία)
• Μηνύματα σε πραγματικό χρόνο — Pusher (Ηνωμένο Βασίλειο, υπό την απόφαση επάρκειας UK)

Για ορισμένες υπηρεσίες (CDN/WAF, παρακολούθηση σφαλμάτων, λειτουργίες AI, γεωκωδικοποίηση), τα δεδομένα ενδέχεται να επεξεργάζονται από παρόχους ΗΠΑ. Αυτές οι μεταφορές προστατεύονται σύμφωνα με τα άρθρα 44–49 GDPR μέσω:

• EU–U.S. Data Privacy Framework (DPF): Επαληθεύστε την πιστοποίηση του παρόχου στο dataprivacyframework.gov
• Τυποποιημένες Συμβατικές Ρήτρες (SCC): Ρήτρες εγκεκριμένες από την Ευρωπαϊκή Επιτροπή για παρόχους εκτός DPF

Δεν μεταφέρουμε δεδομένα σε τρίτες χώρες εκτός ΕΕ/ΕΟΧ, Ηνωμένου Βασιλείου και ΗΠΑ.

Δικαίωμα διαγραφής και αντίγραφα ασφαλείας: Το δικαίωμα στη λήθη ισχύει και για τα αντίγραφα ασφαλείας. Μετά τη διαγραφή από την παραγωγική βάση δεδομένων, τα δεδομένα αφαιρούνται οριστικά από τα αντίγραφα ασφαλείας εντός των κύκλων περιστροφής (έως 30 ημέρες). Μέχρι τότε, τα αντίγραφα ασφαλείας διατηρούν δεδομένα μόνο για ανάκαμψη μετά από συμβάν.

Σύμφωνα με τα άρθρα 15–22 GDPR έχετε τα ακόλουθα δικαιώματα:

Για να ασκήσετε οποιοδήποτε δικαίωμα, επικοινωνήστε στο: [email protected]

Απαντούμε εντός 30 ημερών. Πολύπλοκα ή πολυάριθμα αιτήματα μπορεί να παρατείνουν αυτόν τον χρόνο έως 60 επιπλέον ημέρες, με ειδοποίηση. Η άσκηση των δικαιωμάτων είναι δωρεάν εκτός εάν τα αιτήματα είναι προφανώς αβάσιμα ή υπερβολικά.

Η πλατφόρμα Ordering.Tools χρησιμοποιεί μόνο cookies απολύτως απαραίτητα για τη λειτουργία. Δεν χρησιμοποιούμε διαφημιστικά ή marketing cookies τρίτων και δεν προφιλάρουμε μεμονωμένους επισκέπτες.

11.1 Απολύτως απαραίτητα cookies (χωρίς συγκατάθεση)

Μπορείτε να διαχειριστείτε ή να αποκλείσετε cookies μέσω των ρυθμίσεων του browser σας. Ο αποκλεισμός των απολύτως απαραίτητων cookies θα επηρεάσει τη λειτουργικότητα της πλατφόρμας.

Εφαρμόζουμε τεχνικά και οργανωτικά μέτρα αντίστοιχα του επιπέδου κινδύνου, σύμφωνα με το άρθρο 32 GDPR:

• Κρυπτογράφηση κατά τη μεταφορά: Όλη η κίνηση της πλατφόρμας μέσω HTTPS/TLS
• Κρυπτογράφηση εν ηρεμία: Αντίγραφα ασφαλείας και αποθηκευμένα αρχεία είναι κρυπτογραφημένα
• Έλεγχος πρόσβασης: Έλεγχος πρόσβασης βάσει ρόλων (RBAC)· ελάχιστα δικαιώματα για εσωτερικούς admins
• Έλεγχος ταυτότητας: Hashed κωδικοί (bcrypt/argon2), JWT-based συνεδρίες, υποστήριξη OAuth
• Αρχεία ελέγχου: Καταγραφές ενεργειών admin ανά Κατάστημα
• Απομόνωση πολλαπλών μισθωτών: Διαχωρισμός σε επίπεδο βάσης δεδομένων ανά Λογαριασμό και Κατάστημα (Doctrine filters)
• Αυτοματοποιημένα αντίγραφα ασφαλείας: Με ορισμένη πολιτική περιστροφής
• Υποδομή προτεραιότητας ΕΕ: Hosting στο eu-west-1 (Ιρλανδία)
• Διαχείριση υπο-εκτελούντων: DPA με κάθε πάροχο· περιοδική επανεκτίμηση ασφαλείας
• Προστασία από bots: Cloudflare WAF και Turnstile
• Αντιμετώπιση συμβάντων: Εσωτερικό σχέδιο αντιμετώπισης παραβίασης συμπεριλαμβανομένης ειδοποίησης CPDP εντός 72 ωρών σύμφωνα με το άρθρο 33 GDPR

Η Reservation Ltd. δεν εμπλέκεται σε αυτοματοποιημένη λήψη αποφάσεων (συμπεριλαμβανομένου του profiling) που παράγει νομικά αποτελέσματα ή επηρεάζει σημαντικά άτομα, όπως ορίζεται στο άρθρο 22 GDPR.

Η πλατφόρμα χρησιμοποιεί AI σε περιορισμένη, στενή ικανότητα:

• Δημιουργία περιγραφών προϊόντων (μόνο στο admin): Όταν ένας Διαχειριστής Καταστήματος κάνει κλικ στο «Δημιουργία περιγραφής» στον επεξεργαστή προϊόντων admin, το όνομα προϊόντος, η κατηγορία και η υφιστάμενη περιγραφή αποστέλλονται στο API της OpenAI (μοντέλο: gpt-4o-mini), το οποίο επιστρέφει πρόχειρη περιγραφή. Ο Διαχειριστής επανεξετάζει και επεξεργάζεται πριν αποθηκεύσει. Δεν αποστέλλονται προσωπικά δεδομένα Τελικών Πελατών στην OpenAI. Η OpenAI επιβεβαιώνει ότι τα δεδομένα API δεν χρησιμοποιούνται για εκπαίδευση μοντέλων.

Αυτή η χρήση εκτείνεται εκτός των κατηγοριών «υψηλού κινδύνου» του Νόμου ΕΕ για την AI (Παράρτημα III). Δεν χρησιμοποιούμε AI για αυτοματοποιημένες αποφάσεις σχετικά με άτομα, μετριασμό περιεχομένου, profiling ή βιομετρική επεξεργασία. Εάν η χρήση AI επεκταθεί, αυτή η ενότητα θα ενημερωθεί και οι Διαχειριστές Καταστημάτων θα ειδοποιηθούν.

Σύμφωνα με τον Νόμο ΕΕ για τα Δεδομένα (Κανονισμός 2023/2854, εφαρμοστέος από Σεπτέμβριο 2025), οι Διαχειριστές Καταστημάτων έχουν το δικαίωμα να αλλάξουν παρόχους και να μεταφέρουν τα δεδομένα τους χωρίς δέσμευση:

• Εξαγωγή δεδομένων: Τα Καταστήματα μπορούν να ζητήσουν πλήρη εξαγωγή των δεδομένων μενού, βάσης πελατών και ιστορικού παραγγελιών σε δομημένη, μηχαναγνώσιμη μορφή (CSV/JSON). Εκπληρώνουμε αιτήματα εξαγωγής εντός 30 ημερών δωρεάν.
• Μέγιστη προειδοποίηση εξόδου: 60 ημέρες. Οι συμβάσεις δεν μπορούν να δεσμεύουν τα Καταστήματα πέραν αυτής της περιόδου προειδοποίησης.
• Χωρίς τέλη μετάβασης: Από Ιανουάριο 2027, δεν επιτρέπονται τέλη για μετάβαση σε άλλο πάροχο. Μέχρι τότε, ισχύουν μόνο τέλη που δεν υπερβαίνουν το πραγματικό κόστος.
• Συνεχιζόμενη πρόσβαση: Κατά την περίοδο προειδοποίησης εξόδου, τα Καταστήματα διατηρούν πλήρη πρόσβαση σε δεδομένα και πλατφόρμα.

Υποβάλετε αιτήματα εξαγωγής δεδομένων ή μετάβασης στο [email protected].

Το Ordering.Tools δεν απευθύνεται σε παιδιά. Δεν συλλέγουμε εν γνώσει μας προσωπικά δεδομένα από παιδιά κάτω των 14 ετών (η ηλικία συγκατάθεσης κατά το βουλγαρικό δίκαιο για υπηρεσίες κοινωνίας της πληροφορίας). Οι Διαχειριστές Καταστημάτων είναι υπεύθυνοι να διασφαλίσουν ότι οι σελίδες παραγγελιών τους συμμορφώνονται με τους ισχύοντες κανόνες όπου παιδιά ενδέχεται να αλληλεπιδρούν με τα μενού τους.

Μπορούμε να ενημερώσουμε αυτή την Πολιτική Απορρήτου για να αντικατοπτρίσει νέα χαρακτηριστικά, νέους υπο-εκτελούντες ή νομοθετικές αλλαγές. Σημαντικές αλλαγές κοινοποιούνται σε εγγεγραμμένους Διαχειριστές Καταστημάτων μέσω email ή/και ειδοποίησης εντός πλατφόρμας πριν τεθούν σε ισχύ. Μη ουσιώδεις αλλαγές (διορθώσεις τυπογραφικών, ενημερώσεις επικοινωνίας) δημοσιεύονται απευθείας. Η ημερομηνία ισχύος εμφανίζεται στην κορυφή αυτής της σελίδας.

Για ερωτήματα σχετικά με το απόρρητο, αιτήματα δικαιωμάτων GDPR ή άλλα ερωτήματα προσωπικών δεδομένων:

Για αιτήματα σχετικά με τις παραγγελίες σας ή το προφίλ πελάτη σας σε συγκεκριμένη σελίδα Καταστήματος, επικοινωνήστε απευθείας με αυτό το Κατάστημα. Είναι ο υπεύθυνος επεξεργασίας.

Αυτή η Πολιτική Απορρήτου συντάχθηκε σε συμμόρφωση με τον Κανονισμό (ΕΕ) 2016/679 (GDPR), τον Νόμο ΕΕ για την AI, τον Νόμο ΕΕ για τα Δεδομένα και την εφαρμοστέα βουλγαρική νομοθεσία.