shield_lock Προστασία Δεδομένων

Πολιτική Απορρήτου

Τελευταία ενημέρωση: Νοέμβριος 2026 | Υπεύθυνος Επεξεργασίας: Ostheimer OG, Fabriksgasse 20, 2230 Gänserndorf | office@qr3.app

1. Βασικές Αρχές

Επεξεργαζόμαστε δεδομένα προσωπικού χαρακτήρα σε συμμόρφωση με τον GDPR (EE) 2016/679. Η προστασία των δεδομένων σας αποτελεί κεντρικό μας μέλημα. Το qr3.app αναπτύχθηκε σύμφωνα με την αρχή Privacy by Design: οι διευθύνσεις IP δεν αποθηκεύονται ποτέ — ψευδωνυμοποιούνται αμέσως στο Edge (Cloudflare Workers) με HMAC-SHA-256, μακρόβιο μυστικό, σκοπό και ημέρα UTC, πριν αποθηκευτούν μόνιμα τα δεδομένα.

2. Δεδομένα που Υποβάλλονται σε Επεξεργασία

2.1 Χρήση API (Εγγεγραμμένοι Χρήστες)

  • Δεδομένα Λογαριασμού: Διεύθυνση email, όνομα (μέσω ταυτοποίησης Clerk.com)
  • Δεδομένα Χρέωσης: Stripe Customer ID, κατάσταση συνδρομής (όχι δεδομένα πιστωτικών καρτών — η Stripe τα επεξεργάζεται απευθείας)
  • Δεδομένα Χρήσης: Δημιουργηθέντες κωδικοί QR, ρυθμίσεις παραμέτρων Workspace
  • Νομική Βάση: άρθρο 6 παρ. 1 στοιχ. β) του GDPR (εκτέλεση σύμβασης)

2.2 Αναλυτικά Στοιχεία Σάρωσης (Τελικοί χρήστες που σαρώνουν κωδικούς QR)

  • Ψευδώνυμο IP: HMAC-SHA-256 με μακρόβιο μυστικό, σκοπό και ημέρα UTC — ψευδωνυμοποιημένο δεδομένο προσωπικού χαρακτήρα· δεν ανακτάται άμεσα από το hash, αλλά ο κάτοχος του μυστικού μπορεί να υπολογίσει ξανά γνωστό υποψήφιο IP για την ημέρα
  • Δεδομένα Συσκευής: Τύπος συσκευής, OS, πρόγραμμα περιήγησης (browser) (από το User-Agent, ανωνυμοποιημένα)
  • Γεωγραφικά Δεδομένα: Χώρα, πόλη (από την κεφαλίδα Cloudflare CF-IPCountry — δεν αποθηκεύεται διεύθυνση IP)
  • Νομική Βάση: άρθρο 6 παρ. 1 στοιχ. στ) του GDPR (έννομο συμφέρον των κατόχων των κωδικών QR για τη λήψη στατιστικών στοιχείων)
  • Διατήρηση Δεδομένων: 90 ημέρες, στη συνέχεια αυτόματη διαγραφή

2.3 Επίσκεψη στον Ιστότοπο (qr3.app)

  • Χωρίς cookies παρακολούθησης
  • Αρχεία καταγραφής διακομιστή (Server logs): Η Cloudflare επεξεργάζεται δεδομένα σύνδεσης σύμφωνα με την πολιτική απορρήτου της

Για την καταμέτρηση των προβολών σελίδας ανά γλωσσική έκδοση, το qr3.app χρησιμοποιεί το Cloudflare Web Analytics. Η υπηρεσία αυτή δεν χρησιμοποιεί cookies ή οποιονδήποτε άλλο μηχανισμό αποθήκευσης στην πλευρά του πελάτη, δεν αποθηκεύει διευθύνσεις IP και δεν δημιουργεί προφίλ χρηστών. Τα δεδομένα που συλλέγονται, συγκεντρωτικά, είναι: διαδρομή σελίδας, παραπέμπων (referrer), τύπος προγράμματος περιήγησης και συσκευής, καθώς και χώρα. Πάροχος: Cloudflare, Inc., ως εκτελών την επεξεργασία δεδομένων (Προσθήκη Επεξεργασίας Δεδομένων). Νομική βάση: άρθρο 6 παρ. 1 στοιχ. στ) του GDPR — έννομο συμφέρον για την εμβέλεια ανά γλώσσα. Δεν απαιτείται cookie εξαίρεσης (opt-out), καθώς δεν αποθηκεύονται δεδομένα στη συσκευή σας.

2.4 Στατιστικά Χρήσης και Αρχεία Καταγραφής Webhook (Εγγεγραμμένοι Χρήστες)

  • Στατιστικά Χρήσης: Δραστηριότητα στο dashboard ανά ημέρα (σε ποιες ημέρες UTC ένας χρήστης άνοιξε το dashboard ενός Workspace) και μετρητές χρήσης του API ανά λειτουργία και ημέρα (αριθμός αιτημάτων ενός API key ανά λειτουργία και αποτέλεσμα). Για τη δραστηριότητα στο dashboard αποθηκεύονται τα αναγνωριστικά του χρήστη, του οργανισμού και του Workspace, η ημέρα UTC και η ώρα της πρώτης πρόσβασης εκείνης της ημέρας· για τους μετρητές του API, τα αναγνωριστικά του οργανισμού, του Workspace και του API key, η ημέρα UTC, η λειτουργία, το αποτέλεσμα, ο αριθμός και η ώρα του πρώτου και του τελευταίου αιτήματος της ημέρας — καμία διεύθυνση IP και κανένα User-Agent.
  • Αρχεία Καταγραφής Παράδοσης Webhook: Για κάθε απόπειρα παράδοσης: τύπος συμβάντος, χρόνος, κατάσταση, κωδικός κατάστασης HTTP και χρόνος απόκρισης, τα δεδομένα συμβάντος που στάλθηκαν και το πρώτο kilobyte (1 KB) της απόκρισης του παραλήπτη ή ένα μήνυμα σφάλματος. Στα συμβάντα σάρωσης τα δεδομένα συμβάντος περιέχουν τη χώρα, τον τύπο συσκευής, το λειτουργικό σύστημα, το πρόγραμμα περιήγησης και τη γλώσσα του επισκέπτη· στα συμβάντα κωδικών περιέχουν ολόκληρο τον κωδικό, με τη διεύθυνση προορισμού και τις σημειώσεις. Δεν αποθηκεύονται διεύθυνση IP ούτε User-Agent των επισκεπτών, ωστόσο τα δεδομένα συμβάντος και η απόκριση του παραλήπτη μπορεί να περιέχουν δεδομένα προσωπικού χαρακτήρα.
  • Σκοπός: Λειτουργία, διάγνωση σφαλμάτων και βελτίωση του προϊόντος
  • Νομική Βάση: άρθρο 6 παρ. 1 στοιχ. στ) του GDPR (έννομο συμφέρον για την ασφαλή λειτουργία, τη διάγνωση σφαλμάτων και την περαιτέρω ανάπτυξη της υπηρεσίας)
  • Διατήρηση Δεδομένων: 90 ημέρες (η τρέχουσα ημέρα UTC και οι 89 προηγούμενες), στη συνέχεια αυτόματη διαγραφή· με DELETE /v1/account άμεσα

2.5 Αρχείο Καταγραφής Ελέγχου (Εγγεγραμμένοι Χρήστες)

  • Περιεχόμενο: Για κάθε αλλαγή σε έναν χώρο εργασίας (π.χ. σε κωδικούς, κλειδιά API, μέλη ή webhooks): χρόνος, ενέργεια, ο σχετικός πόρος, οι τιμές που άλλαξαν και ποιος ενήργησε (ID χρήστη ή κλειδιού API). Για κλήσεις απευθείας στο API επιπλέον το ψευδώνυμο IP (HMAC-SHA-256 ανά ημέρα UTC, ξεχωριστός σκοπός) και ο user agent. Δεν αποθηκεύονται διεύθυνση IP, μυστικά (secrets) ή κλειδιά API.
  • Σκοπός: Ιχνηλασιμότητα των αλλαγών για την ομάδα ενός χώρου εργασίας και ασφάλεια της υπηρεσίας
  • Νομική Βάση: άρθρο 6 παρ. 1 στοιχ. στ) του GDPR (έννομο συμφέρον για ιχνηλάσιμες αλλαγές και για την ασφάλεια της υπηρεσίας)
  • Διατήρηση Δεδομένων: ψευδώνυμο IP και user agent 90 ημέρες, η εγγραφή 365 ημέρες (κάθε φορά η τρέχουσα ημέρα UTC και οι προηγούμενες ημέρες), στη συνέχεια αυτόματη διαγραφή· με DELETE /v1/account οι εγγραφές των δικών σας οργανισμών διαγράφονται αμέσως, ενώ σε άλλες ομάδες αφαιρούνται το ψευδώνυμο IP και ο user agent

3. Διαβίβαση σε Τρίτους

Διαβιβάζουμε δεδομένα μόνο στους ακόλουθους παρόχους υπηρεσιών. Εκτός αν αναφέρεται διαφορετικά, επεξεργάζονται τα δεδομένα για λογαριασμό μας (άρθρο 28 GDPR). Όταν δεδομένα καταλήγουν στις ΗΠΑ, αυτό βασίζεται στο Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ (EU-US Data Privacy Framework), βάσει του οποίου είναι πιστοποιημένες οι αμερικανικές εταιρείες αυτών των παρόχων (απόφαση επάρκειας, άρθρο 45 GDPR), και επικουρικά στις Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής στις συμβάσεις επεξεργασίας τους (άρθρο 46 παρ. 2 στοιχ. γ) του GDPR).

  • Cloudflare, Inc. (USA) — Υποδομή, CDN, Workers: φιλοξενία του ιστότοπου, του dashboard και του API, βάση δεδομένων, αποθήκευση αρχείων και ουρές, αποστολή των μηνυμάτων email του συστήματος (Cloudflare Email Service) και Web Analytics (ενότητα 2.3)
  • Clerk, Inc. (USA) — Ταυτοποίηση: διεύθυνση email, όνομα, δεδομένα σύνδεσης και συνεδρίας (μεταξύ αυτών διεύθυνση IP, τοποθεσία που προκύπτει από αυτήν και πρόγραμμα περιήγησης) και email επιβεβαίωσης. Κατά την εγγραφή το Clerk ενσωματώνει προστασία από αυτοματοποιημένες εγγραφές (Cloudflare Turnstile). Αν συνδεθείτε με λογαριασμό Google, το Clerk λαμβάνει από αυτόν τον λογαριασμό το όνομα και τη διεύθυνση email σας.
  • Stripe Payments Europe, Ltd. (Ιρλανδία) — Επεξεργασία πληρωμών και τιμολόγια. Τα στοιχεία πληρωμής τα συλλέγει απευθείας η Stripe· εμείς δεν λαμβάνουμε στοιχεία καρτών. Για την πρόληψη της απάτης, τις δικές της νομικές υποχρεώσεις και την ανάπτυξη των προϊόντων της η Stripe είναι η ίδια υπεύθυνη.
  • Functional Software, Inc. (Sentry) (USA, αποθήκευση στην ΕΕ) — Ανάλυση σφαλμάτων για το API, τις ανακατευθύνσεις και το dashboard: μηνύματα σφάλματος και δείγματα αιτημάτων (μέθοδος, διαδρομή χωρίς παραμέτρους, κωδικός κατάστασης, διάρκεια, εσωτερικά αναγνωριστικά). Αφαιρούμε διευθύνσεις IP, κεφαλίδες, cookies και παραμέτρους πριν από την αποστολή· διευθύνσεις email και κλειδιά μέσα στο κείμενο αποκρύπτονται. Νομική βάση: άρθρο 6 παρ. 1 στοιχ. στ) του GDPR (έννομο συμφέρον για απρόσκοπτη και ασφαλή λειτουργία)
  • Google Cloud EMEA Ltd. (Ιρλανδία· Google Cloud Web Risk) — Έλεγχος διευθύνσεων προορισμού για phishing και κακόβουλο λογισμικό: κατά τη δημιουργία ή αλλαγή ενός κωδικού, κατά τον έλεγχο μέσω του API και κατά τον νυχτερινό επανέλεγχο, η διεύθυνση προορισμού του κωδικού ή οι σύνδεσμοι της σελίδας προορισμού του. Αποστέλλεται μόνο η διεύθυνση, χωρίς δεδομένα λογαριασμών ή επισκεπτών· αν η ίδια η διεύθυνση περιέχει προσωπικά δεδομένα (π.χ. σε μια παράμετρο), αποστέλλονται μαζί της. Νομική βάση: άρθρο 6 παρ. 1 στοιχ. στ) του GDPR (προστασία των επισκεπτών από δόλιους προορισμούς και ασφάλεια της υπηρεσίας)
  • Microsoft (Microsoft 365) — Το γραμματοκιβώτιο office@qr3.app: μηνύματα email προς εμάς, συμπεριλαμβανομένων των απαντήσεων σε email του συστήματος, καθώς και οι απαντήσεις μας. Νομική βάση: άρθρο 6 παρ. 1 στοιχ. β) του GDPR (αιτήματα σχετικά με τη σύμβαση) ή στοιχ. στ) (λοιπά αιτήματα)

Δεν πραγματοποιείται καμία διαβίβαση δεδομένων για διαφημιστικούς σκοπούς.

4. Τα Δικαιώματά σας (άρθρα 15–22 GDPR)

  • Πρόσβαση (άρθρο 15): GET /v1/account/privacy ή μέσω email στο office@qr3.app
  • Φορητότητα Δεδομένων (άρθρο 20): GET /v1/account/export — Εξαγωγή όλων των δεδομένων σε μορφή JSON
  • Διαγραφή (άρθρο 17): DELETE /v1/account ή μέσω email. Ο λογαριασμός σας διαγράφεται αμέσως: οι οργανισμοί των οποίων είστε κάτοχος, με όλα τα workspaces, τους κωδικούς, τα διαβατήρια προϊόντων, τα αρχεία και τα στατιστικά τους (αν ένας τέτοιος οργανισμός έχει άλλον διαχειριστή οργανισμού, αυτός τον αναλαμβάνει μαζί με τα δεδομένα και τη συνδρομή), οι συμμετοχές σας σε άλλους οργανισμούς, η σύνδεσή σας στο Clerk και η εγγραφή πελάτη σας στη Stripe. Μια ενεργή συνδρομή λήγει αμέσως, χωρίς αναλογική επιστροφή χρημάτων. Σε πολύ μεγάλους λογαριασμούς η διαγραφή ολοκληρώνεται μέσα σε λίγες ώρες. Στα αντίγραφα ασφαλείας της βάσης δεδομένων (Cloudflare D1 Time Travel) τα διαγραμμένα δεδομένα παραμένουν ανακτήσιμα έως 30 ημέρες και στη συνέχεια αφαιρούνται οριστικά. Εξαιρούνται τα τιμολόγια, τα οποία διατηρούμε στη Stripe για τη νόμιμη περίοδο διατήρησης των επτά ετών (§ 132 BAO), καθώς και οι αναφορές τρίτων για καταχρηστικούς κωδικούς (πρόληψη κατάχρησης).
  • Περιορισμός (άρθρο 18): Μέσω email στο office@qr3.app
  • Εναντίωση (άρθρο 21): Ανά πάσα στιγμή για λόγους που αφορούν έννομα συμφέροντα

5. Cookies

Το qr3.app χρησιμοποιεί αποκλειστικά τεχνικά απαραίτητα cookies συνεδρίας (ταυτοποίηση μέσω Clerk). Δεν χρησιμοποιούνται cookies μάρκετινγκ ή παρακολούθησης. Ως εκ τούτου, δεν απαιτείται συγκατάθεση σύμφωνα με την οδηγία για τα cookies. Το Cloudflare Web Analytics (βλ. ενότητα 2.3) επίσης δεν χρησιμοποιεί cookies.

6. Ασφάλεια Δεδομένων

Όλα τα δεδομένα μεταδίδονται κρυπτογραφημένα (TLS 1.3). Κρυπτογράφηση βάσης δεδομένων σε κατάσταση ηρεμίας (at-rest) μέσω Cloudflare D1. Τα κλειδιά API (API keys) αποθηκεύονται κατακερματισμένα. Υπογραφές Webhook μέσω HMAC-SHA256.

7. Δικαίωμα Υποβολής Καταγγελίας

Έχετε το δικαίωμα να υποβάλετε καταγγελία στην αυστριακή Αρχή Προστασίας Δεδομένων:
Datenschutzbehörde (dsb.gv.at), Barichgasse 40-42, 1030 Wien

8. Επικοινωνία για Θέματα Προστασίας Δεδομένων

Ostheimer OG
Fabriksgasse 20, 2230 Gänserndorf
office@qr3.app