Πολιτική Απορρήτου & Cookies

1. Υπεύθυνος Επεξεργασίας Δεδομένων (Controller)

Σύμφωνα με το άρθρο 13 του GDPR, σας ενημερώνουμε ότι Υπεύθυνος Επεξεργασίας των προσωπικών σας δεδομένων είναι:

Λόγω του μεγέθους της επιχείρησης (ατομική επιχείρηση χωρίς συστηματική παρακολούθηση μεγάλης κλίμακας ή επεξεργασία ειδικών κατηγοριών δεδομένων), δεν υφίσταται υποχρέωση ορισμού Υπευθύνου Προστασίας Δεδομένων (DPO) κατά το άρθρο 37 GDPR. Όλες οι αρμοδιότητες προστασίας δεδομένων ασκούνται απευθείας από τον Υπεύθυνο Επεξεργασίας.

2. Πεδίο Εφαρμογής

Η παρούσα Πολιτική ισχύει για κάθε επεξεργασία προσωπικών δεδομένων που λαμβάνει χώρα στο πλαίσιο της χρήσης:

• της δημόσιας ιστοσελίδας exetaseis-ithageneia.gr (landing, blog, φόρμα ενδιαφέροντος, demo quiz)·
• της εφαρμογής app.exetaseis-ithageneia.gr (dashboard, θεωρία, εξάσκηση, προσομοιώσεις, AI Assistant, διαχείριση προφίλ)·
• των εφαρμογών κινητών συσκευών για iOS και Android, οι οποίες λειτουργούν ως WebView wrappers στις παραπάνω υπηρεσίες.

3. Κατηγορίες Δεδομένων που Συλλέγουμε

Δεν συλλέγουμε ειδικές κατηγορίες δεδομένων κατά την έννοια του άρθρου 9 GDPR (δεδομένα υγείας, φυλετική ή εθνοτική καταγωγή, πολιτικές πεποιθήσεις, θρησκεία, βιομετρικά δεδομένα κ.λπ.).

4. Σκοποί Επεξεργασίας & Νομική Βάση (Άρθρο 6 GDPR)

5. Πάροχοι Υπηρεσιών (Sub-processors)

Για την παροχή της υπηρεσίας χρησιμοποιούμε επιλεγμένους εκτελούντες την επεξεργασία (data processors) με τους οποίους έχουμε συνάψει συμβάσεις σύμφωνα με το άρθρο 28 GDPR (Data Processing Addendum). Η ενημέρωση του παρακάτω πίνακα γίνεται όταν προστίθενται ή αντικαθίστανται πάροχοι:

Δεν πωλούμε προσωπικά δεδομένα και δεν τα διαβιβάζουμε σε τρίτους εκτός των ανωτέρω παρόχων που συμβατικά υποχρεούνται να ενεργούν αποκλειστικά κατ' εντολή μας.

6. Διεθνείς Μεταφορές Δεδομένων

Η κύρια αποθήκευση δεδομένων (PostgreSQL) γίνεται εντός του Ευρωπαϊκού Οικονομικού Χώρου (Ιρλανδία, AWS eu-west-1). Ορισμένοι πάροχοι (§ 5) έχουν έδρα στις ΗΠΑ. Για τις μεταφορές αυτές βασιζόμαστε σε:

• Απόφαση επάρκειας EU-US Data Privacy Framework (Εκτελεστική Απόφαση Επιτροπής 2023/1795) για παρόχους που έχουν αυτο-πιστοποιηθεί στο πλαίσιο.
• Τυποποιημένες Συμβατικές Ρήτρες (SCCs) της Επιτροπής (Εκτ. Απόφαση 2021/914) για τις λοιπές μεταφορές.
• Συμπληρωματικά τεχνικά μέτρα (κρυπτογράφηση εν στάσει & εν κινήσει, αυστηρός έλεγχος πρόσβασης).

Μπορείτε να ζητήσετε αντίγραφο των τυποποιημένων ρητρών στέλνοντας email στο info@exetaseis-ithageneia.gr.

7. Cookies & Παρόμοιες Τεχνολογίες

Σύμφωνα με τον Ν. 3471/2006 (e-Privacy, όπως ενσωματώθηκε από την Οδηγία 2002/58/ΕΚ) και τις κατευθυντήριες οδηγίες της ΑΠΔΠΧ, διακρίνουμε στην Πλατφόρμα δύο κατηγορίες cookies: τεχνικά αναγκαία (τοποθετούνται χωρίς συγκατάθεση επειδή είναι απαραίτητα για τη λειτουργία της υπηρεσίας) και μη αναγκαία marketing / analytics (τοποθετούνται μόνο μετά τη ρητή σας συγκατάθεση μέσω του Cookie Banner κατά την πρώτη επίσκεψή σας).

Μπορείτε να ελέγξετε, να αλλάξετε ή να ανακαλέσετε τη συγκατάθεσή σας ανά πάσα στιγμή πατώντας τον σύνδεσμο «Ρυθμίσεις Cookies» στο υποσέλιδο (footer) κάθε σελίδας. Η ανάκληση δεν επηρεάζει τη νομιμότητα της επεξεργασίας που έλαβε χώρα πριν από αυτήν (άρθρο 7§3 GDPR).

Εφόσον αρνηθείτε ή ανακαλέσετε τη συγκατάθεσή σας στο Cookie Banner, δεν τοποθετούνται marketing/analytics cookies και δεν αποστέλλονται δεδομένα στη Meta ή σε υπηρεσίες analytics. Η λειτουργικότητα της Πλατφόρμας δεν επηρεάζεται. Μπορείτε επίσης να διαγράψετε χειροκίνητα όλα τα cookies από τις ρυθμίσεις του browser σας ανά πάσα στιγμή· η αυθεντικοποίηση θα τερματιστεί και θα απαιτηθεί νέα είσοδος.

8. Χρόνος Διατήρησης Δεδομένων

9. Ασφάλεια Δεδομένων (Άρθρο 32 GDPR)

Εφαρμόζουμε τα ακόλουθα τεχνικά και οργανωτικά μέτρα:

• Κρυπτογράφηση εν κινήσει: TLS 1.3 για κάθε σύνδεση HTTPS, HSTS με preload, Strict CSP headers.
• Κρυπτογράφηση εν στάσει: AES-256 για τα δεδομένα στο Supabase/AWS.
• Hash κωδικών πρόσβασης: bcrypt με salt — ποτέ αποθήκευση σε plaintext.
• Αυθεντικοποίηση πολλαπλών παραγόντων: διαθέσιμη μέσω Google Sign-In + 2FA.
• Έλεγχος πρόσβασης: Row-Level Security (RLS) στο Supabase, principle of least privilege για service accounts.
• OAuth PKCE flow για cross-subdomain authentication με httpOnly + Secure cookies.
• Rate limiting ενάντια σε brute-force, credential stuffing και AI quota exhaustion.
• Origin validation και CSRF protection σε όλα τα state-changing endpoints.
• SSRF guards σε endpoints που χειρίζονται user-supplied URLs.
• Sentry error tracking με PII scrubbing.
• Tακτικές ενημερώσεις εξαρτήσεων & npm audit· Stripe webhook signature verification.

10. Δεδομένα Παιδιών

Σύμφωνα με το άρθρο 21 Ν. 4624/2019, η ηλικία αυτόνομης συγκατάθεσης για υπηρεσίες κοινωνίας της πληροφορίας στην Ελλάδα είναι τα 15 έτη. Ανήλικοι κάτω των 15 ετών μπορούν να εγγραφούν μόνον με ρητή συγκατάθεση και υπό την επίβλεψη του προσώπου που ασκεί τη γονική μέριμνα. Εφόσον αντιληφθούμε ότι έχουμε συλλέξει δεδομένα ανηλίκου χωρίς την απαραίτητη συγκατάθεση, θα τα διαγράψουμε άμεσα.

11. Τα Δικαιώματά σας ως Υποκείμενο των Δεδομένων

Σύμφωνα με τα άρθρα 15–22 και 77 του GDPR, διαθέτετε τα ακόλουθα δικαιώματα:

• Δικαίωμα ενημέρωσης & πρόσβασης (Άρθρα 13–15): να λάβετε επιβεβαίωση για το αν επεξεργαζόμαστε δεδομένα σας και αντίγραφο αυτών.
• Δικαίωμα διόρθωσης (Άρθρο 16): να ζητήσετε τη διόρθωση ανακριβών ή τη συμπλήρωση ελλιπών δεδομένων.
• Δικαίωμα διαγραφής («δικαίωμα στη λήθη», Άρθρο 17): να ζητήσετε τη διαγραφή των δεδομένων όταν δεν υπάρχει νόμιμος λόγος διατήρησης.
• Δικαίωμα περιορισμού επεξεργασίας (Άρθρο 18): σε ορισμένες περιπτώσεις, να ζητήσετε να σταματήσει η ενεργή επεξεργασία διατηρώντας τα δεδομένα.
• Δικαίωμα φορητότητας (Άρθρο 20): να λάβετε τα δεδομένα σας σε δομημένο, ευρέως χρησιμοποιούμενο, αναγνώσιμο μορφότυπο (JSON) και να τα μεταβιβάσετε σε άλλον υπεύθυνο επεξεργασίας.
• Δικαίωμα εναντίωσης (Άρθρο 21): να εναντιωθείτε στην επεξεργασία βάσει εννόμου συμφέροντος.
• Δικαίωμα ανάκλησης συγκατάθεσης (Άρθρο 7§3): να ανακαλέσετε ανά πάσα στιγμή κάθε συγκατάθεση που έχετε δώσει (π.χ. για newsletter), χωρίς αναδρομική επίπτωση στη νομιμότητα της προηγούμενης επεξεργασίας.
• Δικαίωμα μη υποβολής σε αυτοματοποιημένη απόφαση (Άρθρο 22): βλ. § 13.
• Δικαίωμα υποβολής καταγγελίας (Άρθρο 77): βλ. § 12.

12. Πώς να Ασκήσετε τα Δικαιώματά σας & Δικαίωμα Καταγγελίας

Για την άσκηση οποιουδήποτε δικαιώματος, αποστείλετε email στο info@exetaseis-ithageneia.gr με θέμα «GDPR — άσκηση δικαιωμάτων». Δεσμευόμαστε να απαντήσουμε εντός ενός (1) μηνός από την παραλαβή του αιτήματος (ή έως 3 μηνών για περίπλοκα αιτήματα, ενημερώνοντάς σας σχετικά). Η άσκηση δικαιωμάτων είναι δωρεάν· σε εξαιρετικές περιπτώσεις προδήλως αβάσιμων ή υπερβολικών αιτημάτων μπορούμε να επιβάλουμε εύλογο τέλος ή να αρνηθούμε.

Διατηρείτε επίσης το δικαίωμα να υποβάλετε καταγγελία στην εποπτική αρχή:

13. Αυτοματοποιημένη Λήψη Αποφάσεων & Τεχνητή Νοημοσύνη

Σύμφωνα με τον Καν. (ΕΕ) 2024/1689 (EU AI Act) σας ενημερώνουμε ότι ορισμένες λειτουργίες της Πλατφόρμας υποστηρίζονται από μοντέλα τεχνητής νοημοσύνης (Claude Haiku 4.5 και Sonnet 4.6 της Anthropic, PBC):

• AI Assistant: chatbot υποστήριξης βασισμένος στην Anthropic API.
• Αξιολόγηση γραπτού/προφορικού λόγου: ενδεικτική βαθμολόγηση (essays, speaking, ανοιχτές απαντήσεις).
• Επιμέλεια εκπαιδευτικού περιεχομένου από τη διαχειριστική ομάδα.

Δεν εφαρμόζεται αποκλειστικά αυτοματοποιημένη λήψη απόφασης κατά την έννοια του άρθρου 22 GDPR που να παράγει νομικά αποτελέσματα ή να σας επηρεάζει σημαντικά. Όλες οι αξιολογήσεις AI είναι ενδεικτικές υποστηρικτικές βαθμολογίες· μπορείτε ανά πάσα στιγμή να ζητήσετε ανθρώπινο επανέλεγχο.

Τα δεδομένα που αποστέλλονται μέσω της εμπορικής API της Anthropic δεν χρησιμοποιούνται για εκπαίδευση των μοντέλων, σύμφωνα με τους Όρους Υπηρεσίας Επιχειρήσεων της Anthropic. Τα δεδομένα διατηρούνται από την Anthropic για περιορισμένο χρονικό διάστημα (συνήθως έως 30 ημέρες) για σκοπούς ασφαλείας & συμμόρφωσης.

14. Εμπορική Επικοινωνία & Newsletter

Δεν αποστέλλουμε διαφημιστικά email χωρίς ρητή προηγούμενη συγκατάθεση. Εφόσον επιλέξετε να εγγραφείτε σε newsletter ή ενημερώσεις, μπορείτε ανά πάσα στιγμή να αποσυρθείτε:

• μέσω του συνδέσμου «Unsubscribe» που υπάρχει σε κάθε email·
• με αίτημα στο info@exetaseis-ithageneia.gr.

Τα transactional emails (επιβεβαίωση εγγραφής, παραστατικά πληρωμής, ειδοποιήσεις ασφαλείας) αποστέλλονται βάσει εκτέλεσης σύμβασης ή έννομης υποχρέωσης και δεν προϋποθέτουν συγκατάθεση.

15. Παραβιάσεις Δεδομένων (Άρθρα 33–34 GDPR)

Σε περίπτωση παραβίασης ασφαλείας προσωπικών δεδομένων που ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες σας, θα ειδοποιήσουμε:

• την ΑΠΔΠΧ εντός 72 ωρών από τη διαπίστωση·
• εσάς απευθείας μέσω email χωρίς αδικαιολόγητη καθυστέρηση, εφόσον υφίσταται υψηλός κίνδυνος.

16. Αλλαγές στην Πολιτική

Διατηρούμε το δικαίωμα να ενημερώνουμε την παρούσα Πολιτική για να αντανακλά αλλαγές στις πρακτικές μας ή απαιτήσεις του νόμου. Η ημερομηνία «Τελευταία ενημέρωση» στην κορυφή θα επικαιροποιείται. Σε περίπτωση ουσιωδών αλλαγών (π.χ. νέοι σκοποί επεξεργασίας, νέοι sub-processors εκτός ΕΟΧ), θα σας ενημερώσουμε με email τουλάχιστον 30 ημερολογιακές ημέρες πριν την έναρξη ισχύος.

17. Επικοινωνία