Ενημέρωση περί απορρήτου

Η παρούσα ενημέρωση περί απορρήτου εξηγεί τον τρόπο με τον οποίο η Montandor Andorra S.L.U. ("Montandor", "εμείς") συλλέγει, χρησιμοποιεί, διατηρεί και προστατεύει τα προσωπικά σας δεδομένα όταν επισκέπτεστε τον ιστότοπο securitshop.com, υποβάλλετε παραγγελία ή αλληλεπιδράτε με τον ειδικό διαχειριστή χώρας σας μέσω της συνομιλίας της μπουτίκ. Έχει συνταχθεί σύμφωνα με το ανδορανό δίκαιο προστασίας δεδομένων (Llei Qualificada de Protecció de Dades, LQPD), τον Γενικό Κανονισμό για την Προστασία Δεδομένων της ΕΕ (EU 2016/679) όταν ο επισκέπτης βρίσκεται εντός της Ευρωπαϊκής Ένωσης, καθώς και τους ισχύοντες εθνικούς κανόνες προστασίας δεδομένων σε ολόκληρη την Ευρώπη, όπου αυτοί εφαρμόζονται.

1. Υπεύθυνος επεξεργασίας δεδομένων

Montandor Andorra S.L.U., με καταστατική έδρα στην Av. de les Nacions Unides 40, Edifici Monday – Oficina 211, AD700 Escaldes-Engordany, Πριγκιπάτο της Ανδόρας. Για οποιοδήποτε ερώτημα σχετικά με το απόρρητο ή για να ασκήσετε τα δικαιώματά σας, στείλτε email στη διεύθυνση [email protected] ή χρησιμοποιήστε τη συνομιλία της μπουτίκ επιλέγοντας την κατηγορία "Απόρρητο". Απαντάμε εντός των προθεσμιών που ορίζει η ισχύουσα νομοθεσία και σε κάθε περίπτωση εντός τριάντα (30) ημερών.

2. Δεδομένα που συλλέγουμε

Συλλέγουμε τέσσερις κατηγορίες δεδομένων, αυστηρά περιορισμένες σε ό,τι είναι απαραίτητο για την εκτέλεση της παραγγελίας σας και τη διαχείριση της εμπορικής σχέσης:

• Δεδομένα λογαριασμού και παραγγελίας: πλήρες ονοματεπώνυμο, επωνυμία εταιρείας (εάν υπάρχει), διευθύνσεις τιμολόγησης και αποστολής, email, τηλέφωνο, αναγνωριστικά παραγγελίας, ιστορικό αγορών. Τα δεδομένα αυτά είναι απαραίτητα για τη σύναψη και την εκτέλεση της σύμβασης πώλησης.
• Δεδομένα πληρωμής: δεν αποθηκεύουμε ποτέ πλήρεις αριθμούς καρτών. Η πληρωμή διεκπεραιώνεται από τον πάροχό μας που είναι πιστοποιημένος κατά PCI-DSS Level 1. Διατηρούμε μόνο το διακριτικό (token) της συναλλαγής, τα τέσσερα τελευταία ψηφία της κάρτας, το δίκτυο (Visa, Mastercard, Amex), την ημερομηνία λήξης και την κατάσταση πληρωμής, για λογιστικούς σκοπούς και σκοπούς καταπολέμησης της απάτης.
• Δεδομένα παράδοσης: διεύθυνση αποστολής, κωδικός θύρας, οδηγίες παράδοσης, αριθμός παρακολούθησης μεταφορέα (Chronopost, DHL Express). Κοινοποιούνται μόνο στον μεταφορέα μας και στον πάροχο υπηρεσιών εφοδιαστικής 3PL για την εκτέλεση της παράδοσης.
• Τεχνικά δεδομένα σύνδεσης: διεύθυνση IP, user agent, κατά προσέγγιση χώρα, σελίδα που προβλήθηκε, χρονοσήμανση. Τροφοδοτεί τα αρχεία καταγραφής πρόσβασής μας για λόγους ασφάλειας, πρόληψης απάτης και τεχνικής διάγνωσης.

Δεν συλλέγουμε κανένα ευαίσθητο δεδομένο κατά την έννοια του άρθρου 9 του GDPR (εθνοτική καταγωγή, πολιτικές πεποιθήσεις, θρησκεία, υγεία, σεξουαλικός προσανατολισμός, συμμετοχή σε συνδικαλιστική οργάνωση, βιομετρικά ή γενετικά δεδομένα).

3. Σκοποί και νομική βάση

4. Περίοδοι διατήρησης

• Δεδομένα παραγγελίας και τιμολόγησης: διάρκεια της εμπορικής σχέσης πλέον δέκα (10) ετών, σύμφωνα με τις ανδορανές και γαλλικές λογιστικές υποχρεώσεις.
• Δεδομένα πληρωμής: δεκατρείς (13) μήνες για το διακριτικό (token) της συναλλαγής και τα στοιχεία καταπολέμησης της απάτης, σύμφωνα με τις κατευθυντήριες γραμμές της CNIL και τις απαιτήσεις PCI-DSS.
• Ανενεργός λογαριασμός πελάτη: τρία (3) έτη μετά την τελευταία σύνδεση, στη συνέχεια διαγραφή ή ανωνυμοποίηση (με την επιφύλαξη υπολειπόμενων λογιστικών υποχρεώσεων).
• Τεχνικά αρχεία καταγραφής πρόσβασης: δώδεκα (12) μήνες, στη συνέχεια αυτόματη διαγραφή.
• Συγκεντρωτική μέτρηση επισκεψιμότητας: δεκατρείς (13) κυλιόμενοι μήνες.
• Ενημερωτικό δελτίο: έως ότου διαγραφείτε, άμεσα μέσω του συνδέσμου σε κάθε μήνυμα.

5. Αποδέκτες και εκτελούντες την επεξεργασία

Τα δεδομένα που συλλέγονται υποβάλλονται σε επεξεργασία από την εσωτερική μας ομάδα και από περιορισμένο αριθμό τεχνικών εκτελούντων την επεξεργασία που είναι αυστηρά απαραίτητοι για την εκτέλεση της παραγγελίας σας:

• Φιλοξενία υποδομής: Microsoft Azure, περιοχή West Europe. Τα δεδομένα αποθηκεύονται εντός της ΕΕ.
• Πληρωμή: οι πληρωμές με κάρτα διεκπεραιώνονται μέσω της Redsys (Redsys Servicios de Procesamiento, S.L., Ισπανία — ΕΕ), της πύλης πληρωμών μας με πιστοποίηση PCI-DSS Level 1, η οποία διαχειρίζεται τη συλλογή δεδομένων κάρτας, την έγκριση συναλλαγής, το 3-D Secure (PSD2 SCA) και τον έλεγχο απάτης. Η αποδέκτρια τράπεζα είναι η Creand (Creand Crèdit Andorrà, S.A., Ανδόρα), καθώς η Ανδόρα επωφελείται από απόφαση επάρκειας της European Commission (2010/625/EU). Ουδέποτε λαμβάνουμε ή αποθηκεύουμε πλήρεις αριθμούς καρτών.
• Εφοδιαστική και αποστολή: πάροχος υπηρεσιών εφοδιαστικής 3PL στη Γαλλία (αποθήκη Grisolles, 82170) και μεταφορείς (Chronopost, DHL Express) για την παράδοση τελευταίου μιλίου.
• Συναλλακτικό email: Mailgun (ΕΕ), για την παράδοση επιβεβαιώσεων, τιμολογίων και ειδοποιήσεων αποστολής.
• Υπηρεσίες Microsoft 365: εσωτερικό επαγγελματικό email, ημερολόγια, τεκμηρίωση. Μισθωτής (tenant) Montandor.
• Ναύλοι αποστολής πολλαπλών μεταφορέων: Upela (Upela SAS, Γαλλία), συγκεντρωτής μεταφορέων που αντλεί στοιχεία από Chronopost, Colissimo, DPD, MondialRelay, UPS, FedEx και DHL. Αποστέλλονται μόνο τα δεδομένα που είναι αυστηρά απαραίτητα για την προσφορά: ταχυδρομικός κώδικας προορισμού, πόλη, βάρος και διαστάσεις δέματος. Κανένα προσωπικό δεδομένο δεν αποστέλλεται σε αυτό το στάδιο.
• Αυτόματη συμπλήρωση διεύθυνσης: Google Maps Platform — Maps JavaScript API και Places API (Google Ireland Limited). Το script της Google φορτώνεται μόνο μετά την πρώτη σας αλληλεπίδραση με το πεδίο "διεύθυνση αποστολής". Βλ. policies.google.com/privacy.
• Αναζήτηση γαλλικών επιχειρήσεων (SIRET / SIREN): γαλλικό κρατικό μητρώο επιχειρήσεων μέσω recherche-entreprises.api.gouv.fr (DataGouv, Direction interministérielle du numérique). Δημόσια δεδομένα INSEE/Sirene που επαναχρησιμοποιούνται υπό την Licence Ouverte 2.0. Για αγορές B2B στη Γαλλία, συμπληρώνεται από το API του societe.com (Société.com SAS, Γαλλία).
• Επικύρωση αριθμού ΦΠΑ ΕΕ: σύστημα VIES της Ευρωπαϊκής Επιτροπής (DG TAXUD), βάσει του Κανονισμού (ΕΕ) αριθ. 904/2010 του Συμβουλίου. Αποστέλλεται μόνο ο αριθμός ΦΠΑ που εισάγετε.

Κάθε εκτελών την επεξεργασία δεσμεύεται από Σύμβαση Επεξεργασίας Δεδομένων (DPA) που καλύπτει τις απαιτούμενες συμβατικές, οργανωτικές και τεχνικές διασφαλίσεις, με εξαίρεση τις δημόσιες υπηρεσίες που επαναχρησιμοποιούνται υπό ανοιχτή άδεια (DataGouv, VIES) οι οποίες δεν στηρίζονται σε διμερή DPA. Ο τρέχων κατάλογος είναι διαθέσιμος κατόπιν αιτήματος στη διεύθυνση [email protected].

6. Διεθνείς διαβιβάσεις

Τα δεδομένα που συλλέγονται αποθηκεύονται και υποβάλλονται σε επεξεργασία εντός του Ευρωπαϊκού Οικονομικού Χώρου (Microsoft Azure West Europe, γαλλική αποθήκη εφοδιαστικής). Ενδέχεται να πραγματοποιηθεί διαβίβαση προς το Πριγκιπάτο της Ανδόρας για εσωτερικές διοικητικές εργασίες — η Ανδόρα επωφελείται από απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής (2010/625/EU), που εγγυάται επίπεδο προστασίας που θεωρείται ισοδύναμο. Καμία διαβίβαση προς τρίτη χώρα χωρίς απόφαση επάρκειας δεν πραγματοποιείται χωρίς τυποποιημένες συμβατικές ρήτρες ή ισοδύναμες διασφαλίσεις.

7. Ασφάλεια

Εφαρμόζουμε εύλογα τεχνικά και οργανωτικά μέτρα για την προστασία των δεδομένων σας: κρυπτογράφηση από άκρο σε άκρο TLS 1.3, πληρωμή με διακριτικά (tokenised) (PCI-DSS Level 1), αυστηρό έλεγχο πρόσβασης στα εσωτερικά συστήματα, καταγραφή πρόσβασης, έλεγχο ταυτότητας πολλαπλών παραγόντων για λογαριασμούς διαχειριστών, καθημερινά κρυπτογραφημένα αντίγραφα ασφαλείας, διαχωρισμό των περιβαλλόντων παραγωγής και δοκιμών, περιοδικούς ελέγχους ασφάλειας. Σε περίπτωση παραβίασης που ενδέχεται να επιφέρει κίνδυνο για τα δικαιώματα και τις ελευθερίες σας, ειδοποιούμε την αρμόδια εποπτική αρχή εντός 72 ωρών και, όπου ο κίνδυνος είναι υψηλός, σας ενημερώνουμε απευθείας.

8. Αυτοματοποιημένες αποφάσεις και κατάρτιση προφίλ

Καμία απόφαση που παράγει έννομα αποτελέσματα ή επηρεάζει σημαντικά τους επισκέπτες δεν λαμβάνεται με πλήρως αυτοματοποιημένη επεξεργασία. Εφαρμόζουμε αυτοματοποιημένους κανόνες καταπολέμησης της απάτης στις συναλλαγές πληρωμής (επαλήθευση διεύθυνσης, ανίχνευση ύποπτης συμπεριφοράς)· κάθε απόφαση αποκλεισμού ή ακύρωσης μπορεί να αμφισβητηθεί με αποστολή email στη διεύθυνση [email protected] και ενεργοποιεί ανθρώπινη επανεξέταση από μέλος της ομάδας μας.

9. Τα δικαιώματά σας

Βάσει του GDPR και του ανδορανού LQPD, έχετε τα ακόλουθα δικαιώματα σχετικά με τα δεδομένα που σας αφορούν:

• Δικαίωμα πρόσβασης στα δεδομένα σας.
• Δικαίωμα διόρθωσης ανακριβών δεδομένων.
• Δικαίωμα διαγραφής ("δικαίωμα στη λήθη") υπό τους όρους που θέτει ο νόμος.
• Δικαίωμα περιορισμού της επεξεργασίας.
• Δικαίωμα φορητότητας των δεδομένων σας προς άλλον υπεύθυνο επεξεργασίας.
• Δικαίωμα εναντίωσης στην επεξεργασία που βασίζεται σε έννομο συμφέρον.
• Δικαίωμα ανάκλησης της συγκατάθεσης ανά πάσα στιγμή για επεξεργασία που βασίζεται στη συγκατάθεση (π.χ. ενημερωτικό δελτίο).
• Δικαίωμα καθορισμού οδηγιών για μετά τον θάνατο.
• Δικαίωμα υποβολής καταγγελίας στην Ανδορανή Αρχή Προστασίας Δεδομένων (APDA), στη γαλλική CNIL ή στην τοπική σας εποπτική αρχή της ΕΕ.

Για να ασκήσετε τα δικαιώματά σας, στείλτε email στη διεύθυνση [email protected] ή χρησιμοποιήστε τη συνομιλία της μπουτίκ επιλέγοντας "Απόρρητο". Ενδέχεται να ζητηθεί εύλογη απόδειξη ταυτότητας για την αποτροπή υποδύσεως τρίτου προσώπου.

10. Τροποποιήσεις της παρούσας ενημέρωσης

Η παρούσα ενημέρωση ενδέχεται να εξελιχθεί. Η ημερομηνία τελευταίας ενημέρωσης εμφανίζεται στην κορυφή της σελίδας. Ουσιώδεις αλλαγές (αλλαγή υπευθύνου επεξεργασίας, αλλαγή σκοπών, προσθήκη νέου σημαντικού εκτελούντος την επεξεργασία) θα επισημαίνονται μέσω ειδικού ενημερωτικού πλαισίου (banner) για τριάντα (30) ημέρες.