Πολιτική Απορρήτου
& Προστασία Δεδομένων

1. Υπεύθυνος Επεξεργασίας Δεδομένων

Υπεύθυνος επεξεργασίας των προσωπικών σας δεδομένων είναι:

2. Ποια Δεδομένα Συλλέγουμε

2α. Στοιχεία που δίνετε εσείς

• Ονοματεπώνυμο, email, αριθμός τηλεφώνου
• Κωδικός πρόσβασης (αποθηκεύεται κρυπτογραφημένος)
• Μήνυμα επικοινωνίας μέσω της φόρμας επαφής
• Φωτογραφία προφίλ (μόνο εφόσον συνδεθείτε μέσω Google)

2β. Στοιχεία που συλλέγονται αυτόματα

• Ιστορικό ραντεβού και κρατήσεων στο studio
• Πλάνο προπόνησης και εναπομείναντα sessions
• Ειδοποιήσεις push (μόνο εφόσον δώσετε ρητή συγκατάθεση)
• Cookies λειτουργικότητας (session, προτιμήσεις)

3. Σκοπός & Νομική Βάση Επεξεργασίας

• Διαχείριση ραντεβού: Κράτηση, επιβεβαίωση, ακύρωση sessions
• Επικοινωνία: Απάντηση σε ερωτήματα που υποβάλλετε
• Παρακολούθηση προόδου: Καταγραφή sessions και πλάνου προπόνησης
• Push ειδοποιήσεις: Μόνο με τη ρητή σας συγκατάθεση
• Νομική συμμόρφωση: Τήρηση υποχρεώσεων βάσει νόμου

4. Cookies & Αποθήκευση Δεδομένων Browser

Σημείωση: Χρησιμοποιούμε δύο τύπους αποθήκευσης: HTTP cookies και browser localStorage. Και τα δύο χρειάζονται την ίδια συγκατάθεση.

Απαραίτητα (πάντα ενεργά)

• supabase-auth-token: HTTP cookie - Διατήρηση σύνδεσης χρήστη
• horos-gdpr: Browser localStorage - Αποθήκευση επιλογής cookie consent

Λειτουργικά (με συγκατάθεση)

• horosPendingPlan: Browser localStorage - Προσωρινή αποθήκευση επιλογής πλάνου πριν την εγγραφή

Σημαντικό: Τα στοιχεία localStorage δεν διαγράφονται αν διαγράψετε τα HTTP cookies από το browser. Πρέπει να διαγράψετε τα localStorage δεδομένα ξεχωριστά μέσω των ρυθμίσεων του browser.

Δεν χρησιμοποιούμε cookies διαφήμισης, tracking τρίτων ή analytics.

5. Διαβίβαση Δεδομένων σε Τρίτους

• Supabase Inc. (ΗΠΑ): Πάροχος βάσης δεδομένων και authentication με σύμφωνο Data Processing Agreement (DPA) και Standard Contractual Clauses (SCCs) για μεταφορά εκτός ΕΕ. Δείτε το DPA →
• Formspree Inc.: Επεξεργασία φόρμας επικοινωνίας — αποστολή email.
• Google LLC: Σύνδεση μέσω Google OAuth (μόνο εφόσον το επιλέξετε).

Δεν πωλούμε, δεν μισθώνουμε και δεν κοινοποιούμε τα δεδομένα σας σε άλλα τρίτα μέρη για εμπορικούς σκοπούς.

6. Χρόνος Διατήρησης Δεδομένων

• Λογαριασμός χρήστη: Για όσο διάστημα είστε ενεργό μέλος + 1 έτος μετά τη λήξη συμμετοχής
• Ιστορικό ραντεβού: 3 έτη για λογιστικούς/φορολογικούς σκοπούς
• Φόρμα επικοινωνίας: Έως 1 έτος από την αποστολή
• Cookies: Session cookies διαγράφονται με το κλείσιμο browser. Persistent cookies έως 1 έτος.

7. Τα Δικαιώματά σας (GDPR)

Ως υποκείμενο δεδομένων έχετε τα ακόλουθα δικαιώματα:

• Πρόσβαση (άρθρο 15): Λήψη αντιγράφου των δεδομένων σας
• Διόρθωση (άρθρο 16): Διόρθωση ανακριβών στοιχείων
• Διαγραφή (άρθρο 17): Αίτημα διαγραφής λογαριασμού και δεδομένων
• Περιορισμός (άρθρο 18): Περιορισμός της επεξεργασίας
• Φορητότητα (άρθρο 20): Λήψη δεδομένων σε δομημένη μορφή
• Εναντίωση (άρθρο 21): Εναντίωση σε επεξεργασία βάσει έννομου συμφέροντος
• Ανάκληση συγκατάθεσης: Οποτεδήποτε, χωρίς αναδρομική ισχύ

Για άσκηση δικαιωμάτων επικοινωνήστε στο [email protected]. Απαντούμε εντός 30 ημερών.

7β. Ηλικιακό Όριο & Ανήλικοι

Βάσει του Ν. 4624/2019 (άρθρο 21), η ελάχιστη ηλικία για παροχή συγκατάθεσης επεξεργασίας δεδομένων στην Ελλάδα είναι 15 έτη. Για ασκούμενους κάτω των 18 ετών απαιτείται ρητή γραπτή συγκατάθεση γονέα ή κηδεμόνα. Δεν συλλέγουμε εν γνώσει μας δεδομένα ατόμων κάτω των 15 ετών. Εάν αντιληφθούμε τέτοια περίπτωση, θα διαγράψουμε άμεσα τα δεδομένα.

7γ. Δεδομένα Σχετικά με την Υγεία

Τα δεδομένα φυσικής κατάστασης, τραυματισμών ή ιατρικού ιστορικού που κοινοποιείτε στον trainer σας στο πλαίσιο της προπόνησης μπορεί να εμπίπτουν στην κατηγορία ειδικών κατηγοριών δεδομένων (άρθρο 9 GDPR). Αυτά επεξεργάζονται αποκλειστικά για τη διασφάλιση της ασφάλειάς σας κατά την άσκηση, βάσει ρητής συγκατάθεσής σας και εννόμου συμφέροντος (πρόληψη τραυματισμών). Δεν κοινοποιούνται σε τρίτους.

7δ. Δεδομένα Πληρωμών (Επερχόμενο)

7ε. Αυτοματοποιημένη Λήψη Αποφάσεων

Βάσει του άρθρου 22 GDPR, σας ενημερώνουμε ότι δεν κάνουμε χρήση αυτοματοποιημένης λήψης αποφάσεων ή profiling που να παράγει έννομα αποτελέσματα εις βάρος σας. Όλες οι αποφάσεις που αφορούν το πλάνο σας και τις κρατήσεις λαμβάνονται από ανθρώπινο παράγοντα.

7στ. Παραβίαση Δεδομένων

Σε περίπτωση παραβίασης δεδομένων που ενδέχεται να θέσει σε κίνδυνο τα δικαιώματα και ελευθερίες σας, δεσμευόμαστε:

• Να ειδοποιήσουμε την ΑΠΔΠΧ εντός 72 ωρών από τη διαπίστωσή της (άρθρο 33 GDPR)
• Να σας ενημερώσουμε χωρίς αδικαιολόγητη καθυστέρηση εφόσον η παραβίαση ενέχει υψηλό κίνδυνο (άρθρο 34 GDPR)
• Να λάβουμε άμεσα διορθωτικά μέτρα για την αποτροπή περαιτέρω ζημίας

8. Ασφάλεια Δεδομένων

Εφαρμόζουμε τεχνικά και οργανωτικά μέτρα για την προστασία των δεδομένων σας:

• Κρυπτογράφηση δεδομένων κατά τη μεταφορά (HTTPS/TLS)
• Κρυπτογραφημένη αποθήκευση κωδικών (bcrypt)
• Έλεγχος πρόσβασης με Row Level Security (Supabase RLS)
• Περιορισμένη πρόσβαση διαχειριστών μέσω 2FA

9. Δικαίωμα Καταγγελίας

Εφόσον θεωρείτε ότι παραβιάζονται τα δικαιώματά σας, έχετε δικαίωμα καταγγελίας στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ):

10. Αλλαγές στην Πολιτική

Ενδέχεται να ενημερώνουμε την παρούσα πολιτική περιοδικά. Σε περίπτωση ουσιωδών αλλαγών, θα ενημερώνεστε μέσω email ή ειδοποίησης στην εφαρμογή. Η συνεχιζόμενη χρήση της υπηρεσίας μετά την ενημέρωση συνιστά αποδοχή της νέας πολιτικής.