Πολιτική Απορρήτου και Ενημέρωση για την Επεξεργασία Δεδομένων Προσωπικού Χαρακτήρα της Thanxful

1. Με μια ματιά

Η Thanxful είναι μια εφαρμογή που σας επιτρέπει να τηρείτε ένα προσωπικό ημερολόγιο ευγνωμοσύνης και, εφόσον το επιθυμείτε, να λαμβάνετε ενοράσεις υποστηριζόμενες από τεχνητή νοημοσύνη σχετικά με όσα γράφετε. Το ημερολόγιό σας ανήκει σε εσάς. Έχουμε πρόσβαση σε όσα γράφετε αποκλειστικά για τη λειτουργία της Υπηρεσίας· ποτέ δεν τα πωλούμε, δεν τα χρησιμοποιούμε για διαφημιστικούς σκοπούς και δεν επιτρέπουμε τη χρήση τους για την εκπαίδευση οποιουδήποτε μοντέλου τεχνητής νοημοσύνης.

2. Ταυτότητα Υπευθύνου Επεξεργασίας

Η εφαρμογή Thanxful παρέχεται από τον Kadir Alan, ο οποίος δραστηριοποιείται στην Τουρκία υπό την ιδιότητα της ατομικής επιχείρησης (şahıs şirketi).

Ως ατομική επιχείρηση, υπολειπόμαστε των ορίων εγγραφής στο Μητρώο Υπευθύνων Επεξεργασίας Δεδομένων (VERBİS) του KVKK καθώς και του ορίου διορισμού Υπευθύνου Προστασίας Δεδομένων κατ' άρθρο 37 του GDPR· συνεπώς, δεν υφίσταται για εμάς υποχρέωση εγγραφής στο VERBİS ούτε διορισμού DPO. Σε περίπτωση μεταβολής των ανωτέρω, η παρούσα πολιτική θα επικαιροποιηθεί. Εάν επιθυμείτε διεύθυνση φυσικής επίδοσης, μπορείτε να μας γράψετε στη διεύθυνση [email protected]· η διεύθυνση επίδοσης θα κοινοποιηθεί κατόπιν αιτήματός σας.

3. Πεδίο εφαρμογής

Η παρούσα πολιτική καλύπτει τα ακόλουθα:

• Την εφαρμογή Thanxful για iOS (com.aota.thanxful και beta com.aota.thanxful.beta) που διατίθεται στο Apple App Store.
• Τον ιστότοπο thanxful.app (σελίδες προβολής, τα παρόντα νομικά κείμενα και το συνδεόμενο περιεχόμενο).

Οι πρακτικές απορρήτου των υπηρεσιών τρίτων στις οποίες ενδέχεται να ανακατευθύνεστε μέσω της εφαρμογής ή του ιστοτόπου (π.χ. Apple App Store, OpenAI, RevenueCat) διέπονται από τις πολιτικές της εκάστοτε υπηρεσίας· για τα ζητήματα αυτά ο Υπεύθυνος Επεξεργασίας δεν φέρει ευθύνη.

4. Κατηγορίες Δεδομένων Προσωπικού Χαρακτήρα που Υποβάλλονται σε Επεξεργασία

Επεξεργαζόμαστε αποκλειστικά τα δεδομένα προσωπικού χαρακτήρα που είναι αναγκαία για την παροχή της Υπηρεσίας. Τα δεδομένα συγκεντρώνονται σε έξι κατηγορίες:

4.1 Δεδομένα ταυτότητας

Κατά τη δημιουργία λογαριασμού επεξεργαζόμαστε τα ακόλουθα δεδομένα:

• Διεύθυνση ηλεκτρονικού ταχυδρομείου (υποχρεωτικό).
• Όνομα/εμφανιζόμενο όνομα (προαιρετικό· δύνασθε ανά πάσα στιγμή να το τροποποιήσετε ή να το αφήσετε κενό).
• Φωτογραφία προφίλ (προαιρετικό· αποθηκεύεται στο Firebase Storage).
• Το αναγνωριστικό χρήστη Firebase που παράγεται αυτομάτως από το σύστημα.
• Σε περίπτωση χρήσης της επιλογής Sign in with Apple: το ηλεκτρονικό σας ταχυδρομείο (πραγματικό ή η ιδιωτική διεύθυνση αναμετάδοσης της Apple) και, εφόσον επιλέξετε να το κοινοποιήσετε, το πλήρες όνομά σας. Η Apple δεν μας διαβιβάζει το Apple ID σας.

4.2 Περιεχόμενο ημερολογίου — ενδέχεται να συνιστά ειδική κατηγορία δεδομένων προσωπικού χαρακτήρα

Για κάθε αποθηκευμένη καταχώρισή σας επεξεργαζόμαστε τα ακόλουθα δεδομένα:

• Κείμενο καταχώρισης (έως 3.000 χαρακτήρες).
• Μορφοποίηση εμπλουτισμένου κειμένου (έντονη γραφή, πλάγια γραφή, λίστες — έως 30.000 χαρακτήρες, κωδικοποιημένο).
• Προαιρετική επιλογή διάθεσης.
• Πληροφορίες σχετικά με την προτροπή (prompt) στην οποία ανταποκριθήκατε (εφόσον υφίσταται).
• Τοπική ημερολογιακή ημερομηνία.

Το περιεχόμενο του ημερολογίου είναι προσωπικό και ευαίσθητο. Σύμφωνα με το άρθρο 6 του KVKK και το άρθρο 9 του GDPR, τα κείμενα του ημερολογίου ενδέχεται να περιλαμβάνουν ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που αφορούν στην υγεία σας, στις θρησκευτικές σας πεποιθήσεις, στις πολιτικές σας απόψεις, στη σεξουαλική σας ζωή ή στη συμμετοχή σας σε συνδικαλιστική οργάνωση. Για τον λόγο αυτό, η επεξεργασία του περιεχομένου του ημερολογίου σας με τεχνητή νοημοσύνη εξαρτάται αποκλειστικά από τη ρητή συγκατάθεσή σας (βλ. §6).

4.3 Δεδομένα προφίλ και προτιμήσεων

• Πληροφορίες σερί (τρέχον και μεγαλύτερο σερί).
• Χρόνος τελευταίας δραστηριότητας και ζώνη ώρας (η ζώνη ώρας IANA της συσκευής σας, π.χ. Europe/Istanbul).
• Προτίμηση γλώσσας (η επιλογή σας από κατάλογο 30 γλωσσών).
• Προτίμηση θέματος (Espresso, Cosmos, Oat κ.λπ.).
• Ρυθμίσεις ειδοποιήσεων: αν οι υπενθυμίσεις είναι ενεργοποιημένες, ώρα υπενθύμισης και ζώνη ώρας.
• Κατάσταση συνδρομής: αν διαθέτετε ενεργή premium συνδρομή (μέσω RevenueCat· βλ. §7).
• Αρχείο ρητής συγκατάθεσης τεχνητής νοημοσύνης — αρχείο μόνο προσθήκης (append-only), στο οποίο καταγράφονται οι ενέργειες παροχής, άρνησης ή ανάκλησης της συγκατάθεσής σας, η πηγή τους (onboarding, μετά την καταχώριση, μετά την αγορά ή στις Ρυθμίσεις), η χρονοσφραγίδα και ο αριθμός των εμφανισθέντων προτροπών. Το αρχείο αυτό τηρείται κατ' εφαρμογή της Κατευθυντήριας Οδηγίας 5.1.2(i) της Επιθεώρησης Apple App Store.

4.4 Δεδομένα συσκευής και χρήσης

Κατά τη χρήση της εφαρμογής, τα ακόλουθα δεδομένα υφίστανται αυτόματη επεξεργασία:

• Στοιχεία συσκευής: μοντέλο, έκδοση λειτουργικού συστήματος, έκδοση εφαρμογής, τοπικές ρυθμίσεις, χώρα, ζώνη ώρας και το εσωτερικό αναγνωριστικό στιγμιοτύπου εφαρμογής του Firebase.
• Διακριτικό ειδοποιήσεων FCM (token) — το διακριτικό που εκχωρείται στη συσκευή σας από το Firebase Cloud Messaging για την αποστολή υπενθυμίσεων. Αποθηκεύεται στο Firestore συνδεδεμένο με τον λογαριασμό σας και ανανεώνεται κατόπιν επανεγκατάστασης ή αποσύνδεσης.
• Δεδομένα συμβάντων: μεταδεδομένα όπως ποια οθόνη προβάλατε στην εφαρμογή, αν αποθηκεύσατε καταχώριση, αν ανοίξατε ενόραση ή αν εκκινήσατε αγορά — ωστόσο το περιεχόμενο των καταχωρίσεών σας δεν περιλαμβάνεται στα αρχεία αυτά.
• Αναφορές κατάρρευσης μέσω του Firebase Crashlytics (ίχνος στοίβας, κατάσταση συσκευής κατά τη στιγμή της κατάρρευσης). Σε εκδόσεις debug το Crashlytics είναι απενεργοποιημένο· είναι ενεργό στις εκδόσεις που διανέμονται στους χρήστες.

Τα ακόλουθα δεδομένα δεν υπόκεινται σε επεξεργασία:

• Η διεύθυνση IP σας εντός της εφαρμογής (το Firebase Analytics δεν μας γνωστοποιεί τη συγκεκριμένη πληροφορία).
• Το διαφημιστικό σας αναγνωριστικό (IDFA) — χρησιμοποιείται η έκδοση του Firebase χωρίς AdSupport και τα σήματα εξατομίκευσης διαφημίσεων είναι απενεργοποιημένα.

4.5 Δεδομένα συνδρομής

Κατά την αγορά συνδρομής Thanxful:

• Η συναλλαγή πραγματοποιείται από την Apple (App Store). Η μέθοδος πληρωμής σας ή τα στοιχεία της κάρτας σας δεν διαβιβάζονται σε εμάς.
• Η RevenueCat διαχειρίζεται τον κύκλο ζωής της συνδρομής για λογαριασμό μας. Το δεδομένο που κοινοποιείται στη RevenueCat είναι το αναγνωριστικό χρήστη Firebase σας· η RevenueCat μας διαβιβάζει το αναγνωριστικό προϊόντος, την κατάσταση, την τελευταία ημερομηνία ισχύος και την ημερομηνία ανανέωσης.

4.6 Επικοινωνία και ανατροφοδότηση

• Μηνύματα υποστήριξης που αποστέλλετε στη διεύθυνση [email protected].
• Αιτήματα χαρακτηριστικών και αναφορές σφαλμάτων που υποβάλλετε εντός της εφαρμογής (περιορισμένα σε ημερήσια βάση προς αποφυγή κατάχρησης). Αποθηκεύονται το κείμενο που συντάξατε, το αναγνωριστικό χρήστη σας και ο χρόνος υποβολής. Κατά τη διαγραφή του λογαριασμού σας, η ανατροφοδότηση ανωνυμοποιείται (το αναγνωριστικό χρήστη αντικαθίσταται με "deleted_user")· το ίδιο το κείμενο δεν διαγράφεται, αλλά καταργείται η σύνδεσή του με εσάς.

4.7 Δοκιμή onboarding (πριν από τη δημιουργία λογαριασμού)

Εάν επιθυμείτε να δοκιμάσετε μία ενόραση τεχνητής νοημοσύνης χωρίς να δημιουργήσετε λογαριασμό, υφίστανται επεξεργασία τα ακόλουθα δεδομένα:

• UUID συσκευής που παράγεται από τη συσκευή σας (δεν πρόκειται για IDFA).
• Διεύθυνση IP κατακερματισμένη με SHA-256 (η ανεπεξέργαστη διεύθυνση IP δεν αποθηκεύεται).
• Διακριτικό Apple DeviceCheck (για την αποτροπή επανάληψης της δοκιμής ανά συσκευή).

Τα δεδομένα αυτά υφίστανται βραχυπρόθεσμη επεξεργασία αποκλειστικά για τον περιορισμό της δοκιμής (μία ανά συσκευή ημερησίως, 20 ανά παγκόσμια IP ημερησίως) και την αποτροπή κατάχρησης.

4.8 Ασφάλεια

• Ο κωδικός κλειδώματος εφαρμογής (εφόσον επιλέξετε την ενεργοποίησή του) αποθηκεύεται αποκλειστικά στο Keychain του iOS της συσκευής σας· δεν εξέρχεται από το τηλέφωνό σας. Τα βιομετρικά σας δεδομένα (Face ID / Touch ID) παραμένουν στο Secure Enclave της Apple· δεν διαβιβάζονται σε εμάς.

5. Σκοποί Επεξεργασίας και Νομικές Βάσεις

Ο σκοπός κάθε δραστηριότητας επεξεργασίας δεδομένων και η νομική της βάση κατά τα άρθρα 5-6 του KVKK και το άρθρο 6 του GDPR παρατίθενται κατωτέρω σε πινακοποιημένη μορφή:

Δεν προβαίνουμε σε κατάρτιση προφίλ, δεν διενεργούμε αυτοματοποιημένη λήψη αποφάσεων με σημαντικές για εσάς συνέπειες και δεν πωλούμε ούτε εκμισθώνουμε τα δεδομένα προσωπικού χαρακτήρα σας.

6. Επεξεργασία του Περιεχομένου του Ημερολογίου σας με Τεχνητή Νοημοσύνη

Η παρούσα ενότητα συντάχθηκε ειδικά για εσάς, υπό την ιδιότητα του προσώπου στο οποίο ανήκει το ημερολόγιο, καθώς και κατ' εφαρμογή της Κατευθυντήριας Οδηγίας 5.1.2(i) της Επιθεώρησης Apple App Store.

Τι λαμβάνει χώρα;

Σε περίπτωση παροχής της ρητής συγκατάθεσής σας, η Thanxful διαβιβάζει επιλεγμένες καταχωρίσεις του ημερολογίου σας σε τρίτους παρόχους τεχνητής νοημοσύνης· οι πάροχοι αυτοί παράγουν τα ακόλουθα:

• Άμεση ενόραση — σύντομη αντανάκλαση επί μίας μεμονωμένης καταχώρισης.
• Εβδομαδιαία περίληψη — συνοπτική ανάλυση των τελευταίων 7 ημερών.
• Μηνιαία περίληψη — εμβριθής ανάλυση των τελευταίων 30 ημερών.

Από ποιους υποβάλλονται σε επεξεργασία οι καταχωρίσεις σας;

• OpenAI (κύριος πάροχος) — μοντέλα gpt-4o-mini και gpt-4o. Οι διακομιστές βρίσκονται στις ΗΠΑ.
• Google Gemini (εφεδρικός πάροχος, σε περίπτωση μη διαθεσιμότητας του OpenAI) — επί της παγκόσμιας υποδομής της Google.

Ποια δεδομένα διαβιβάζονται;

• Κείμενα καταχωρίσεων της υπό ανάλυση χρονικής περιόδου.
• Το εμφανιζόμενο όνομά σας (ώστε η ενόραση να σας απευθύνεται με το όνομά σας).
• Η γλωσσική σας προτίμηση (ώστε η ενόραση να παράγεται στη γλώσσα σας).

Ποια δεδομένα δεν διαβιβάζονται;

• Η διεύθυνση ηλεκτρονικού ταχυδρομείου σας.
• Πληροφορίες σερί, κατάσταση συνδρομής ή λοιπά δεδομένα προφίλ.
• Οποιαδήποτε δεδομένα άλλου χρήστη.

Χρόνοι διατήρησης από την πλευρά των παρόχων

• Η OpenAI διατηρεί τα αιτήματα που λαμβάνονται μέσω του API για έως 30 ημέρες με σκοπό τον εντοπισμό κατάχρησης και ακολούθως τα διαγράφει. Η OpenAI δεν χρησιμοποιεί τα δεδομένα του API για την εκπαίδευση μοντέλων. (Πηγή: OpenAI API Terms.)
• Η Google Gemini, εξ ορισμού, δεν χρησιμοποιεί τα δεδομένα του API για την εκπαίδευση μοντέλων. (Πηγή: Google Gemini API Terms.)

Η ρητή συγκατάθεσή σας

• Η ρητή συγκατάθεσή σας ζητείται κατά την πρώτη πιθανή ενεργοποίηση της τεχνητής νοημοσύνης — κατά το onboarding, μετά την αποθήκευση μιας καταχώρισης ή μετά από αγορά premium.
• Η συγκατάθεσή σας τηρείται σε αρχείο ελέγχου μόνο προσθήκης (users/{uid}/aiConsent).
• Δύνασθε να ανακαλέσετε τη συγκατάθεσή σας ανά πάσα στιγμή: Ρυθμίσεις → Ρητή Συγκατάθεση ΤΝ. Η ανάκληση διακόπτει αμέσως κάθε μελλοντική επεξεργασία. Οι ενοράσεις που έχουν ήδη παραχθεί παραμένουν στο ιστορικό σας μέχρι τη διαγραφή τους ή τη διαγραφή του λογαριασμού σας.
• Δεδομένου ότι το ημερολόγιό σας ενδέχεται να εμπεριέχει ειδικές κατηγορίες δεδομένων κατά το άρθρο 6 του KVKK και το άρθρο 9 του GDPR, η νομική βάση για τη διαβίβαση στους παρόχους τεχνητής νοημοσύνης είναι η ρητή συγκατάθεσή σας.

Οι ενοράσεις τεχνητής νοημοσύνης δεν συνιστούν ιατρική, νομική ή θεραπευτική συμβουλή

Οι ενοράσεις είναι αυτόματα παραγόμενα κείμενα. Ενδέχεται να είναι εσφαλμένες, παραπλανητικές ή εκτός πλαισίου. Δεν υποκαθιστούν τη συμβουλή αδειούχου θεραπευτή, ιατρού, δικηγόρου ή άλλου επαγγελματία. Σε περίπτωση δυσχέρειας, σας συνιστούμε να απευθυνθείτε σε αρμόδιο επαγγελματία ή, σε περίπτωση έκτακτης ανάγκης, στις τοπικές υπηρεσίες έκτακτης ανάγκης.

7. Κοινοποίηση και Τρίτα Μέρη

Τα δεδομένα προσωπικού χαρακτήρα σας κοινοποιούνται αποκλειστικά στους κάτωθι παρόχους υπηρεσιών και μόνο για τους αναφερόμενους σκοπούς. Έκαστος πάροχος δεσμεύεται συμβατικά να επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα σας αποκλειστικά κατόπιν εντολών μας και να εφαρμόζει κατάλληλα μέτρα ασφαλείας.

Σημείωση σχετικά με τη Meta / Facebook: στο αρχείο Info.plist περιλαμβάνεται η δήλωση FacebookAppID: 2198469434228743 αποκλειστικά για την ενεργοποίηση του σχήματος URL "κοινοποίηση στις Instagram Stories". Δεν χρησιμοποιείται Facebook SDK· κανένα δεδομένο δεν αποστέλλεται στη Meta. Όταν επιλέγετε να κοινοποιήσετε — και μόνον τότε — η εικόνα της επιλογής σας διαβιβάζεται στην εφαρμογή Instagram μέσω του Φύλλου Κοινοποίησης (Share Sheet) του iOS.

Αιτήματα αρμόδιων αρχών

Τα δεδομένα προσωπικού χαρακτήρα σας γνωστοποιούνται στις αρμόδιες αρχές αποκλειστικά στο πλαίσιο έγκυρης νομικής διαδικασίας στην Τουρκία ή έγκυρης νομικής διαδικασίας χώρας με δικαιοδοσία επί ημών. Στον βαθμό που αυτό επιτρέπεται από τον νόμο, σας ενημερώνουμε σχετικά με τα εν λόγω αιτήματα.

Δεν υφίσταται πώληση δεδομένων

Τα δεδομένα προσωπικού χαρακτήρα σας δεν πωλούνται. Σύμφωνα με τους ορισμούς του CCPA/CPRA, δεν "κοινοποιούνται" για σκοπούς συμπεριφορικής διαφήμισης εκτός πλαισίου.

8. Διαβιβάσεις στο Εξωτερικό

Ο λογαριασμός σας και το ημερολόγιό σας τηρούνται εντός της Ευρωπαϊκής Ένωσης (Google Cloud europe-west1, Βέλγιο).

Ορισμένοι από τους παρόχους υπηρεσιών μας εδρεύουν στις Ηνωμένες Πολιτείες της Αμερικής:

• Η OpenAI και η Google Gemini λαμβάνουν τις καταχωρίσεις του ημερολογίου σας (αποκλειστικά εφόσον παρέχετε συγκατάθεση) για σκοπούς επεξεργασίας τεχνητής νοημοσύνης.
• Η RevenueCat επεξεργάζεται την κατάσταση της συνδρομής σας.
• Ορισμένες υπηρεσίες της Apple και του Firebase λειτουργούν επί παγκόσμιας υποδομής.

Οι νομικοί μηχανισμοί στους οποίους βασίζονται οι διαβιβάσεις αυτές είναι:

• Στο πλαίσιο του GDPR: οι Τυποποιημένες Συμβατικές Ρήτρες (SCC) της Επιτροπής 2021/914 της ΕΕ που ενσωματώνονται στις συμβάσεις επεξεργασίας δεδομένων με κάθε πάροχο· τεχνικά μέτρα κατά τη διάρκεια και μετά τη διαβίβαση (κρυπτογράφηση, έλεγχος πρόσβασης). Για τους παρόχους που είναι πιστοποιημένοι κατά το EU–US Data Privacy Framework, λαμβάνεται επίσης υπόψη η εν λόγω απόφαση επάρκειας.
• Στο πλαίσιο του UK GDPR: το UK International Data Transfer Addendum (IDTA) που προσαρτάται στις ίδιες SCC.
• Στο πλαίσιο του KVKK: ισχύει το ακόλουθο πολλαπλό σύνολο εγγυήσεων:
  1. Η ρητή συγκατάθεσή σας κατά το άρθρο 9 του KVKK για τη διαβίβαση του περιεχομένου του ημερολογίου σας στις ΗΠΑ σε περίπτωση ενεργοποίησης της λειτουργίας τεχνητής νοημοσύνης·
  2. Οι συμβάσεις επεξεργασίας δεδομένων (DPA) που έχουν συναφθεί με κάθε πάροχο — ιδίως η Google Cloud / Firebase DPA (η οποία ενσωματώνει SCC), το OpenAI API Data Processing Addendum και η RevenueCat DPA — ως συμβατικές εγγυήσεις·
  3. Τα τεχνικά μέτρα που απαριθμούνται στην §11 (κρυπτογράφηση, App Check, ελαχιστοποίηση δεδομένων προσωπικού χαρακτήρα στα αρχεία καταγραφής).

Στόχος μας είναι η υπογραφή του υποδείγματος Standart Sözleşme (Τυποποιημένη Σύμβαση) που δημοσιεύει η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα της Τουρκίας με κάθε πάροχο που αποδέχεται την υπογραφή του, καθώς και η υποβολή ενημέρωσης προς την Αρχή εντός 5 εργάσιμων ημερών από την ημερομηνία υπογραφής. Στις περιπτώσεις στις οποίες ο πάροχος δεν αποδέχεται το υπόδειγμα της Αρχής και χρησιμοποιεί τη δική του DPA, εφαρμόζεται το ανωτέρω σύνολο εγγυήσεων.

Δύνασθε να ζητήσετε αντίγραφο των εγγυήσεων διαβίβασης αποστέλλοντας μήνυμα στη διεύθυνση [email protected].

9. Χρόνος Διατήρησης

Τα δεδομένα προσωπικού χαρακτήρα διατηρούνται μόνο για όσο χρονικό διάστημα κρίνεται αναγκαίο.

Όταν διαγράφετε τον λογαριασμό σας (Ρυθμίσεις → Για προχωρημένους → Διαγραφή Λογαριασμού ή μέσω ηλεκτρονικού ταχυδρομείου), το προφίλ σας, οι καταχωρίσεις, οι ενοράσεις, τα επιτεύγματά σας, το αρχείο συγκατάθεσης ΤΝ και τα διακριτικά FCM αφαιρούνται αμέσως από τα ενεργά μας συστήματα. Όσον αφορά τις προσωρινές μνήμες των παρόχων υπηρεσιών, τα αντίγραφα ασφαλείας και τα αρχεία καταγραφής, η ολοκλήρωση της διαγραφής ενδέχεται να διαρκέσει έως 30 ημέρες.

10. Τα Δικαιώματά σας

Αναλόγως της χώρας στην οποία διαμένετε, σας αναγνωρίζονται όλα ή ορισμένα από τα ακόλουθα δικαιώματα:

Άρθρο 11 του KVKK (κάτοικοι Τουρκίας):

• Πληροφόρηση σχετικά με την επεξεργασία ή μη των δεδομένων προσωπικού χαρακτήρα σας.
• Αίτηση πληροφοριών σε περίπτωση επεξεργασίας.
• Πληροφόρηση σχετικά με τον σκοπό της επεξεργασίας και αν αυτή πραγματοποιείται σύμφωνα με τον σκοπό.
• Πληροφόρηση σχετικά με τους τρίτους προς τους οποίους διαβιβάζονται τα δεδομένα στην ημεδαπή ή την αλλοδαπή.
• Δικαίωμα διόρθωσης σε περίπτωση ελλιπούς ή εσφαλμένης επεξεργασίας.
• Δικαίωμα διαγραφής ή καταστροφής κατά το άρθρο 7 του KVKK.
• Δικαίωμα γνωστοποίησης των αιτημάτων διόρθωσης, διαγραφής ή καταστροφής στους τρίτους προς τους οποίους έχουν διαβιβαστεί τα δεδομένα.
• Δικαίωμα εναντίωσης σε αποτέλεσμα εις βάρος σας που προκύπτει από αυτοματοποιημένη ανάλυση.
• Δικαίωμα αποζημίωσης σε περίπτωση ζημίας λόγω παράνομης επεξεργασίας.

GDPR (κάτοικοι ΕΕ/ΕΟΧ και ΗΒ):

• Πρόσβαση (Αρ. 15), διόρθωση (Αρ. 16), διαγραφή (Αρ. 17), περιορισμός επεξεργασίας (Αρ. 18), φορητότητα δεδομένων (Αρ. 20), εναντίωση (Αρ. 21), ανάκληση της ρητής συγκατάθεσής σας (Αρ. 7). Η οθόνη αυτοεξυπηρέτησης για εξαγωγή δεδομένων δεν είναι ακόμη διαθέσιμη· σε περίπτωση αιτήματος μέσω ηλεκτρονικού ταχυδρομείου, σας αποστέλλουμε τις καταχωρίσεις σας και τα δεδομένα προφίλ σε δομημένη μορφή JSON εντός 30 ημερών.

CCPA / CPRA (κάτοικοι Καλιφόρνιας):

• Δικαίωμα πληροφόρησης σχετικά με τις κατηγορίες προσωπικών πληροφοριών που συλλέγονται, τις πηγές, τους σκοπούς και τους τρίτους.
• Δικαίωμα διαγραφής και διόρθωσης.
• Δικαίωμα εναντίωσης στην πώληση/κοινοποίηση προσωπικών πληροφοριών — δεν πωλούμε ούτε κοινοποιούμε δεδομένα· δεν υφίσταται περίπτωση εναντίωσης.
• Δικαίωμα περιορισμού της χρήσης ευαίσθητων προσωπικών πληροφοριών — οι ευαίσθητες πληροφορίες (περιεχόμενο ημερολογίου σας) δεν χρησιμοποιούνται πέραν των σκοπών που αναφέρονται στην §5.
• Δικαίωμα μη διάκρισης λόγω άσκησης των δικαιωμάτων σας.

Πώς μπορείτε να ασκήσετε τα δικαιώματά σας;

Αποστείλατε ηλεκτρονικό μήνυμα στη διεύθυνση [email protected] με θέμα Αίτημα Απορρήτου και αναφέρατε ποιο δικαίωμά σας επιθυμείτε να ασκήσετε. Ενδέχεται να ζητήσουμε πρόσθετα στοιχεία για την επαλήθευση της ταυτότητάς σας (συνήθως ζητώντας απάντηση από τη διεύθυνση ηλεκτρονικού ταχυδρομείου που έχετε καταχωρίσει στον λογαριασμό σας). Σύμφωνα με το άρθρο 13 του KVKK και το άρθρο 12 του GDPR, το αίτημά σας ολοκληρώνεται εντός 30 ημερών το αργότερο. Σε περίπτωση που απαιτείται παράταση, σας ενημερώνουμε για τους λόγους και τον αναμενόμενο χρόνο απάντησης.

Εάν επιθυμείτε να υποβάλετε αίτημα μέσω εκπροσώπου στο πλαίσιο του CCPA, ενδέχεται να επικοινωνήσουμε εντούτοις μαζί σας προκειμένου να επαληθεύσουμε το έγγραφο εξουσιοδότησης του εκπροσώπου.

Η άσκηση των δικαιωμάτων αυτών είναι δωρεάν, εκτός εάν το αίτημά σας είναι προδήλως αβάσιμο ή υπερβολικό.

Φορείς υποβολής καταγγελιών

• Τουρκία: Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (KVKK) — https://www.kvkk.gov.tr/
• ΕΕ/ΕΟΧ: Η αρχή προστασίας δεδομένων της χώρας στην οποία διαμένετε — https://edpb.europa.eu/about-edpb/about-edpb/members_en
• Ηνωμένο Βασίλειο: Information Commissioner's Office — https://ico.org.uk/
• Καλιφόρνια: California Privacy Protection Agency — https://cppa.ca.gov/

11. Μέτρα Ασφάλειας Δεδομένων

Η ασφάλεια των δεδομένων λαμβάνεται υπόψη ήδη από το στάδιο του σχεδιασμού. Τα εφαρμοζόμενα τεχνικά και οργανωτικά μέτρα περιλαμβάνουν:

• Κρυπτογράφηση κατά τη διαβίβαση — όλη η κίνηση στο δίκτυο κρυπτογραφείται με TLS 1.2+.
• Κρυπτογράφηση σε κατάσταση ηρεμίας — κρυπτογράφηση AES-256 από την πλευρά του διακομιστή Google Cloud.
• Επαλήθευση ταυτότητας — Firebase Auth· οι κωδικοί πρόσβασης ουδέποτε αποθηκεύονται σε μορφή απλού κειμένου.
• App Check — Apple App Attest στην έκδοση παραγωγής· τα αιτήματα από μη αξιόπιστες πηγές απορρίπτονται.
• Apple DeviceCheck — αποτρέπει την κατάχρηση κατά τις δοκιμές onboarding.
• Αυστηροί κανόνες ασφαλείας Firestore — έκαστος χρήστης διαβάζει και εγγράφει αποκλειστικά τα δικά του δεδομένα.
• Απομόνωση ευαίσθητων δεδομένων — ο κωδικός κλειδώματος εφαρμογής τηρείται αποκλειστικά στο Keychain του iOS· τα βιομετρικά δεδομένα παραμένουν στο Apple Secure Enclave.
• Αρχεία καταγραφής με ελαχιστοποιημένα δεδομένα προσωπικής ταυτοποίησης (PII) — το περιεχόμενο του ημερολογίου δεν περιλαμβάνεται στα αρχεία καταγραφής διακομιστή· καταγράφονται μόνο τα μεταδεδομένα που είναι αναγκαία για τη λειτουργία και την αποσφαλμάτωση (αναγνωριστικό χρήστη, τύπος συμβάντος, κατάσταση).
• Διαχείριση μυστικών κλειδιών — τα κλειδιά API (OpenAI, RevenueCat, Apple DeviceCheck) αποθηκεύονται στο Firebase Secret Manager· δεν περιλαμβάνονται στον κώδικα.

Δεδομένου ότι κανένα σύστημα δεν είναι απολύτως ασφαλές, σε περίπτωση εντοπισμού παραβίασης δεδομένων προσωπικού χαρακτήρα:

• Πραγματοποιείται γνωστοποίηση στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εντός 72 ωρών, σύμφωνα με το άρθρο 12 παράγραφος 5 του KVKK·
• Πραγματοποιούνται οι απαιτούμενες κοινοποιήσεις προς τους κατοίκους ΕΕ/ΕΟΧ απευθείας και προς τις αρμόδιες αρχές, σύμφωνα με τα άρθρα 33-34 του GDPR.

12. Παιδιά

Η Thanxful δεν απευθύνεται σε παιδιά κάτω των 13 ετών. Για τη χρήση της Υπηρεσίας πρέπει να έχετε συμπληρώσει τουλάχιστον το 13ο έτος της ηλικίας σας (βλ. Όροι Χρήσης §3). Εάν είστε μεταξύ 13 και 16 ετών (η ηλικία ψηφιακής συγκατάθεσης σε ορισμένα κράτη μέλη της ΕΕ), η νομοθεσία της χώρας στην οποία διαμένετε ενδέχεται να απαιτεί τη συγκατάθεση γονέα ή κηδεμόνα. Σύμφωνα με το άρθρο 15 του Τουρκικού Αστικού Κώδικα (TMK), οι ανήλικοι κάτω των 18 ετών δεν διαθέτουν πλήρη δικαιοπρακτική ικανότητα και απαιτείται η συναίνεση γονέα ή κηδεμόνα για χρήστη κάτω των 18 ετών.

Δεν συλλέγονται εν γνώσει μας δεδομένα προσωπικού χαρακτήρα από παιδιά κάτω των 13 ετών. Εάν, ως γονέας ή κηδεμόνας, εκτιμάτε ότι το παιδί σας έχει κοινοποιήσει πληροφορίες χωρίς τη γνώση σας, αποστείλατε μήνυμα στη διεύθυνση [email protected]· οι πληροφορίες θα διαγραφούν.

Η ηλικιακή κατάταξη της εφαρμογής στο App Store (4+) υποδηλώνει ότι η εφαρμογή είναι κατάλληλη ως προς το περιεχόμενο για όλες τις ηλικίες (δεν περιλαμβάνει βία, σεξουαλικό περιεχόμενο ή υβριστική γλώσσα). Η εν λόγω κατάταξη περιεχομένου δεν μεταβάλλει τη συμβατική απαγόρευση για ηλικία κάτω των 13 ετών.

Δεν υφίσταται ξεχωριστή πύλη ηλικίας (age gate) κατά το onboarding για τους χρήστες, και η ελάχιστη ηλικία επιβάλλεται μέσω της γραπτής σύμβασης — πρόκειται για διαδεδομένη πρακτική στις εφαρμογές ημερολογίου/ευεξίας.

13. Γνωστοποιήσεις Καλιφόρνιας (CCPA / CPRA)

Εάν είστε κάτοικος Καλιφόρνιας, η παρούσα ενότητα εφαρμόζεται σε εσάς συμπληρωματικά προς τα λοιπά μέρη της παρούσας πολιτικής.

Κατηγορίες προσωπικών πληροφοριών που συλλέγονται (τελευταίοι 12 μήνες)

Τα δικαιώματά σας στην Καλιφόρνια

• Πληροφόρηση / πρόσβαση — βλ. §10.
• Διαγραφή / διόρθωση — βλ. §10.
• Εναντίωση στην πώληση/κοινοποίηση — δεν πωλούμε ούτε κοινοποιούμε τις προσωπικές πληροφορίες σας· δεν υφίσταται περίπτωση εναντίωσης.
• Περιορισμός χρήσης ευαίσθητων πληροφοριών — οι ευαίσθητες πληροφορίες (περιεχόμενο ημερολογίου σας) χρησιμοποιούνται αποκλειστικά για τους σκοπούς που εκτίθενται στην §6 και με τη ρητή συγκατάθεσή σας.
• Μη διάκριση — η άσκηση των δικαιωμάτων αυτών δεν περιορίζει την πρόσβασή σας στην Υπηρεσία, δεν συνεπάγεται διαφορετική τιμολόγηση ούτε διαφορετική ποιότητα παροχής.

Για την υποβολή αιτήματος, αποστείλατε μήνυμα στη διεύθυνση [email protected] με θέμα California Privacy Request. Επαληθεύουμε την ταυτότητά σας μέσω της διεύθυνσης ηλεκτρονικού ταχυδρομείου που έχετε καταχωρίσει στον λογαριασμό.

Δεν προσφέρεται οικονομικό κίνητρο σε αντάλλαγμα προσωπικών πληροφοριών.

14. Cookies και Συναφείς Τεχνολογίες

Εντός της εφαρμογής iOS: δεν χρησιμοποιούνται διαδικτυακά cookies. Η εφαρμογή αποθηκεύει αποκλειστικά στη συσκευή σας μικρές προτιμήσεις στο UserDefaults (όπως θέμα, γλώσσα, προτίμηση ειδοποιήσεων) και τον κωδικό κλειδώματος εφαρμογής στο Keychain του iOS. Τα δεδομένα αυτά δεν κοινοποιούνται σε εμάς ή σε τρίτα μέρη.

Στο thanxful.app: κατά την ημερομηνία έναρξης ισχύος της παρούσας πολιτικής, ο ιστότοπος προβολής δεν χρησιμοποιεί cookies, web-beacons ή ιχνηλάτες αναλυτικών στοιχείων τρίτων. Σε περίπτωση μελλοντικής προσθήκης, η παρούσα ενότητα θα ενημερωθεί, θα εμφανιστεί στον ιστότοπο πλαίσιο συγκατάθεσης για cookies (cookie banner) και η αλλαγή θα αντιμετωπιστεί ως ουσιώδης τροποποίηση κατά την §15.

15. Τροποποιήσεις της Πολιτικής

Η παρούσα πολιτική ενδέχεται να επικαιροποιείται από καιρού εις καιρόν. Για ουσιώδεις τροποποιήσεις (μεταβολές που επηρεάζουν τα δικαιώματά σας ή τον τρόπο επεξεργασίας των δεδομένων σας) θα ενημερώνεστε μέσω ηλεκτρονικού ταχυδρομείου και ειδοποίησης εντός της εφαρμογής τουλάχιστον 30 ημέρες πριν από την έναρξη ισχύος της τροποποίησης. Για μη ουσιώδεις τροποποιήσεις (διορθώσεις πληκτρολόγησης, διευκρινίσεις) το έγγραφο επικαιροποιείται και αναπροσαρμόζεται η Ημερομηνία Έναρξης Ισχύος στην κορυφή.

Σε περίπτωση μη αποδοχής της νέας έκδοσης, δύνασθε να παύσετε τη χρήση της Υπηρεσίας και να διαγράψετε τον λογαριασμό σας πριν από την ημερομηνία έναρξης ισχύος.

16. Επικοινωνία

Για κάθε ερώτηση, αίτημα ή καταγγελία σχετικά με το απόρρητο:

• Ηλεκτρονικό ταχυδρομείο: [email protected] (θέμα: Απόρρητο)
• Υπεύθυνος Επεξεργασίας: Kadir Alan — ατομική επιχείρηση (şahıs şirketi), Τουρκία

Εάν απαιτείται διεύθυνση φυσικής επίδοσης, παρακαλούμε επικοινωνήστε αρχικά μαζί μας στη διεύθυνση [email protected]· η διεύθυνση κοινοποιείται κατόπιν αιτήματός σας.

Οι εποπτικές αρχές στις οποίες δύνασθε να υποβάλετε καταγγελία απαριθμούνται στην §10.

17. Γλωσσάρι

• KVKK — Νόμος αριθ. 6698 για την Προστασία Δεδομένων Προσωπικού Χαρακτήρα (Τουρκία).
• GDPR — Γενικός Κανονισμός Προστασίας Δεδομένων της Ευρωπαϊκής Ένωσης 2016/679.
• CCPA / CPRA — California Consumer Privacy Act, όπως τροποποιήθηκε με τον California Privacy Rights Act.
• COPPA — Children's Online Privacy Protection Act (ΗΠΑ, κάτω των 13 ετών).
• FCM — Firebase Cloud Messaging (υποδομή ειδοποιήσεων).
• Ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα / ευαίσθητα δεδομένα — κατηγορίες δεδομένων που αφορούν στην υγεία, στη θρησκεία, στις πολιτικές απόψεις, στη σεξουαλική ζωή κ.λπ. και απαιτούν ενισχυμένη προστασία κατά το άρθρο 6 του KVKK και το άρθρο 9 του GDPR.
• Υπεύθυνος επεξεργασίας — το φυσικό ή νομικό πρόσωπο που καθορίζει τους σκοπούς και τα μέσα επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και είναι υπεύθυνο για τη δημιουργία και τη διαχείριση του συστήματος αρχειοθέτησης (εν προκειμένω: Kadir Alan).
• Ρητή συγκατάθεση — η συγκατάθεση που παρέχεται για συγκεκριμένο θέμα, βασίζεται σε ενημέρωση και εκφράζεται ελεύθερα.

Σας ευχαριστούμε για την εμπιστοσύνη σας στο ταξίδι ευγνωμοσύνης σας μαζί μας.

— Thanxful