Πολιτική Απορρήτου

Ημερομηνία έναρξης ισχύος: 2026-05-14 Τελευταία ενημέρωση: 2026-05-14 Έκδοση: 3.1

Υπεύθυνος επεξεργασίας: Carsu B.V., Harderwijkerweg 145, 3852 AB Ermelo, Κάτω Χώρες (KvK 92122167). Επικοινωνία για θέματα απορρήτου: privacy@carsu.com

1. Σε ποιους εφαρμόζεται

Η Carsu B.V. («Carsu», «εμείς») λειτουργεί μια πλατφόρμα SaaS για την αγορά ανταλλακτικών και υπηρεσιών αυτοκινήτου (automotive aftermarket). Η παρούσα πολιτική εξηγεί πώς επεξεργαζόμαστε προσωπικά δεδομένα, σε συμμόρφωση με τον Γενικό Κανονισμό Προστασίας Δεδομένων (ΓΚΠΔ/GDPR), τον UK GDPR, την οδηγία ePrivacy και το εφαρμοστέο εθνικό δίκαιο προστασίας δεδομένων. Εφαρμόζεται σε:

• Χρήστες της πλατφόρμας (ιδιοκτήτες συνεργείων και το προσωπικό τους)·
• Τελικούς πελάτες αυτών των συνεργείων των οποίων τα δεδομένα επεξεργαζόμαστε μέσω της πλατφόρμας μας·
• Επισκέπτες του ιστότοπου στα www.carsu.com και app.carsu.com.

Τυχόν θυγατρικές, συνδεδεμένες ή εταιρείες του ομίλου της Carsu B.V. που επεξεργάζονται προσωπικά δεδομένα σε σχέση με τις υπηρεσίες μας τηρούν την παρούσα πολιτική.

2. Ο ρόλος μας

Όταν η Carsu ενεργεί ως Εκτελών την επεξεργασία, το συνεργείο παραμένει υπεύθυνο για τη νομιμότητα της επεξεργασίας, συμπεριλαμβανομένης της λήψης τυχόν απαιτούμενων συγκαταθέσεων.

3. Δεδομένα που επεξεργαζόμαστε

Από εσάς ή από το συνεργείο: όνομα, email, τηλέφωνο, επωνυμία επιχείρησης, ΑΦΜ/VAT, διεύθυνση χρέωσης, αριθμό κυκλοφορίας, στοιχεία οχήματος, ιστορικό επισκευών, ραντεβού, μηνύματα, αναγνωριστικά πληρωμής (τα στοιχεία κάρτας αποστέλλονται απευθείας στη Stripe — δεν τα αποθηκεύουμε).

Από τα Google APIs, με τη συγκατάθεσή σας μέσω OAuth (προαιρετικός συγχρονισμός ημερολογίου): συμβάντα ημερολογίου που επιλέγετε να εισαγάγετε από το Google Calendar σας, συμπεριλαμβανομένων τίτλου συμβάντος, ώρας έναρξης και λήξης, τοποθεσίας, περιγραφής, διευθύνσεων email συμμετεχόντων και προτύπων επανάληψης. Έχουμε πρόσβαση σε αυτά τα δεδομένα αποκλειστικά μέσω του Google API χρησιμοποιώντας το πεδίο εφαρμογής calendar.events.readonly. Δεν λαμβάνουμε ποτέ τον κωδικό πρόσβασής σας στο Google και δεν εγγράφουμε ποτέ συμβάντα στο Google Calendar σας. Μπορείτε να αποσυνδέσετε την ενσωμάτωση ανά πάσα στιγμή (βλ. §8 και §11).

Αυτόματα συλλεγόμενα: διεύθυνση IP, δεδομένα συσκευής και προγράμματος περιήγησης, σελίδες που επισκεφτήκατε, χρήση λειτουργιών, διάρκεια συνεδρίας, cookies (βλ. §10).

4. Νομικές βάσεις

Στηριζόμαστε στη σύμβαση (Άρθρο 6 παρ. 1(β)) για την παροχή της υπηρεσίας, στο έννομο συμφέρον (Άρθρο 6 παρ. 1(στ)) για ασφάλεια, πρόληψη απάτης, βελτίωση του προϊόντος και επικοινωνίες σχετικές με την υπηρεσία, στη συγκατάθεση (Άρθρο 6 παρ. 1(α)) για μάρκετινγκ, μη ουσιώδη cookies και προαιρετικές ενσωματώσεις τρίτων όπως ο συγχρονισμός Google Calendar, και στη νομική υποχρέωση (Άρθρο 6 παρ. 1(γ)) για φορολογικές, λογιστικές και αιτήσεις αρχών επιβολής του νόμου.

5. Πώς χρησιμοποιούμε τα δεδομένα

Για τη λειτουργία και βελτίωση της πλατφόρμας· για την επεξεργασία πληρωμών· για την αποστολή μηνυμάτων για λογαριασμό των συνεργείων· για τον συγχρονισμό και την εμφάνιση των συμβάντων Google Calendar σας στη σελίδα ημερολογίου της Carsu (όπου το έχετε εξουσιοδοτήσει)· για την παροχή υποστήριξης (συμπεριλαμβανομένης της μετάφρασης με τη βοήθεια τεχνητής νοημοσύνης μέσω Intercom — η Intercom δεν χρησιμοποιεί τα δεδομένα σας για την εκπαίδευση των μοντέλων της)· για τη δημιουργία ανωνυμοποιημένων συγκεντρωτικών στατιστικών (§7.4)· για τη διασφάλιση της ασφάλειας και την πρόληψη απάτης· για την εκπλήρωση νομικών υποχρεώσεων· και — μόνο με τη συγκατάθεσή σας — για σκοπούς μάρκετινγκ.

Χρήση τεχνητής νοημοσύνης (AI). Τα χαρακτηριστικά AI που διαθέτουμε (μετάφραση Intercom· Anthropic για αποπροσωποποιημένη λειτουργική χρήση) δεν παράγουν νομικά ή παρόμοια σημαντικά αποτελέσματα για εσάς και δεν αποτελούν αυτοματοποιημένη λήψη αποφάσεων κατά την έννοια του Άρθρου 22 GDPR. Κατηγοριοποιούμε τη χρήση AI ως ελάχιστου κινδύνου (minimal risk) βάσει του EU AI Act. Μπορείτε να εξαιρεθείτε από τη μετάφραση με υποστήριξη AI στέλνοντας email στο support@carsu.com. Τα δεδομένα που λαμβάνονται από τα Google APIs εξαιρούνται από κάθε επεξεργασία AI και μηχανικής μάθησης (βλ. §5a).

5a. Google API Services User Data Policy — Limited Use

Η χρήση και η μεταφορά από την Carsu σε οποιαδήποτε άλλη εφαρμογή πληροφοριών που λαμβάνονται από τα Google APIs συμμορφώνεται με την Google API Services User Data Policy, συμπεριλαμβανομένων των απαιτήσεων Limited Use. Συγκεκριμένα, χρησιμοποιούμε τα δεδομένα Google Calendar αποκλειστικά για την παροχή και βελτίωση της λειτουργίας συγχρονισμού ημερολογίου που είναι ορατή σε εσάς στην πλατφόρμα Carsu. Δεν:

• Μεταφέρουμε δεδομένα χρηστών Google σε τρίτους εκτός εάν είναι απαραίτητο για την παροχή ή βελτίωση λειτουργιών που απευθύνονται στους χρήστες, για συμμόρφωση με το εφαρμοστέο δίκαιο, ή στο πλαίσιο μιας συγχώνευσης, εξαγοράς ή πώλησης περιουσιακών στοιχείων με προηγούμενη ειδοποίηση προς εσάς·
• Χρησιμοποιούμε δεδομένα χρηστών Google για την προβολή διαφημίσεων, συμπεριλαμβανομένων διαφημίσεων retargeting, εξατομικευμένων ή με βάση τα ενδιαφέροντα·
• Πωλούμε δεδομένα χρηστών Google σε τρίτους, μεσίτες δεδομένων ή μεταπωλητές πληροφοριών·
• Χρησιμοποιούμε δεδομένα χρηστών Google για την ανάπτυξη, βελτίωση ή εκπαίδευση γενικευμένων ή μη εξατομικευμένων μοντέλων τεχνητής νοημοσύνης ή μηχανικής μάθησης.

Η ανθρώπινη πρόσβαση στα δεδομένα χρηστών Google περιορίζεται σε (α) περιπτώσεις όπου έχουμε λάβει τη συγκεκριμένη συγκατάθεσή σας για την προβολή συγκεκριμένων μηνυμάτων, αρχείων ή συμβάντων· (β) όπου απαιτείται για έρευνες ασφαλείας, πρόληψη κατάχρησης ή για συμμόρφωση με το εφαρμοστέο δίκαιο· (γ) όπου τα δεδομένα έχουν συγκεντρωθεί και ανωνυμοποιηθεί για εσωτερικές λειτουργίες σύμφωνα με την παρούσα Πολιτική· ή (δ) όπου απαιτείται για την παροχή υποστήριξης πελατών κατόπιν ρητού αιτήματός σας.

6. Επικοινωνίες

Μηνύματα σχετικά με την υπηρεσία (ειδοποιήσεις ασφαλείας, χρέωση, αλλαγές όρων) αποστέλλονται με βάση τη σύμβαση ή το έννομο συμφέρον και δεν είναι δυνατή η εξαίρεση από αυτά. Οι επικοινωνίες μάρκετινγκ αποστέλλονται μόνο με τη συγκατάθεσή σας και μπορούν να ανακληθούν ανά πάσα στιγμή μέσω του συνδέσμου κατάργησης εγγραφής (unsubscribe) ή με email στο privacy@carsu.com.

7. Κοινοποίηση δεδομένων

7.1 Υπο-εκτελούντες την επεξεργασία

Χρησιμοποιούμε τους ακόλουθους υπο-εκτελούντες την επεξεργασία βάσει Συμβάσεων Επεξεργασίας Δεδομένων κατά το Άρθρο 28 GDPR:

Η Google LLC αποτελεί επίσης πηγή δεδομένων προς τα πάνω (upstream) (όχι υπο-εκτελών την επεξεργασία) όταν εξουσιοδοτείτε την προαιρετική ενσωμάτωση Google Calendar. Τα δεδομένα ρέουν από την Google προς την Carsu με βάση τη συγκατάθεσή σας OAuth και διέπονται από τα §3, §5 και §5a της παρούσας Πολιτικής. Τα δεδομένα ημερολογίου δεν μεταφέρονται σε κανέναν από τους υπο-εκτελούντες που αναφέρονται παραπάνω.

7.2 Αλλαγές υπο-εκτελούντων

Ενημερώνουμε τους χρήστες της πλατφόρμας τουλάχιστον 30 ημέρες πριν από την ανάθεση ή αντικατάσταση υπο-εκτελούντος. Τα δικαιώματα εναντίωσης ορίζονται στη Σύμβαση Επεξεργασίας Δεδομένων (DPA) στους Όρους και Προϋποθέσεις μας (Παράρτημα Α, §A5).

7.3 Άλλοι αποδέκτες

Ενδέχεται να κοινοποιήσουμε προσωπικά δεδομένα σε επαγγελματίες συμβούλους υπό υποχρεώσεις εμπιστευτικότητας, σε αρχές επιβολής του νόμου όπου απαιτείται από τον νόμο, και σε σχέση με συγχώνευση ή εξαγορά (με προηγούμενη ενημέρωση).

7.4 Ανωνυμοποιημένα στατιστικά

Ενδέχεται να κοινοποιήσουμε μη αναστρέψιμα ανωνυμοποιημένα, συγκεντρωτικά στατιστικά σε συνεργάτες του κλάδου. Οι αποδέκτες δεσμεύονται συμβατικά να μην επιχειρήσουν επαναπροσδιορισμό ταυτότητας. Επειδή τα δεδομένα αυτά βρίσκονται εκτός του πεδίου εφαρμογής του GDPR (Αιτιολογική σκέψη 26), δεν συνιστούν διαβίβαση προσωπικών δεδομένων. Τα δεδομένα που λαμβάνονται από τα Google APIs εξαιρούνται από τα ανωνυμοποιημένα στατιστικά σύμφωνα με τη δέσμευσή μας περί Limited Use (§5a).

Δεν πωλούμε προσωπικά δεδομένα.

8. Τα δικαιώματά σας

Έχετε τα δικαιώματα πρόσβασης, διόρθωσης, διαγραφής, περιορισμού, φορητότητας, εναντίωσης και ανάκλησης της συγκατάθεσης ανά πάσα στιγμή — χωρίς να επηρεάζεται η νομιμότητα της προηγούμενης επεξεργασίας. Στείλτε email στο privacy@carsu.com για την άσκησή τους. Θα επαληθεύσουμε την ταυτότητά σας και θα απαντήσουμε εντός 30 ημερών (με δυνατότητα παράτασης κατά δύο μήνες για σύνθετα αιτήματα).

Εάν ένα συνεργείο επεξεργάζεται τα δεδομένα σας μέσω της πλατφόρμας μας, το κύριο σημείο επαφής σας είναι το συνεργείο (ως Υπεύθυνος επεξεργασίας). Θα τους συνδράμουμε στον χειρισμό του αιτήματός σας.

Ενσωμάτωση Google Calendar — ανάκληση και διαγραφή. Μπορείτε να ανακαλέσετε την πρόσβαση της Carsu στον λογαριασμό Google σας ανά πάσα στιγμή είτε (α) αποσυνδέοντας την ενσωμάτωση από τις ρυθμίσεις του λογαριασμού Carsu σας, είτε (β) αφαιρώντας την εφαρμογή Carsu από τον λογαριασμό Google σας στη διεύθυνση myaccount.google.com/permissions. Η ανάκληση σταματά αμέσως κάθε περαιτέρω συγχρονισμό. Τα δεδομένα συμβάντων ημερολογίου που είναι ήδη αποθηκευμένα στην προσωρινή μνήμη των διακομιστών μας διαγράφονται εντός 30 ημερών από την αποσύνδεση (βλ. §11). Για άμεση διαγραφή, στείλτε email στο privacy@carsu.com.

9. Διεθνείς διαβιβάσεις

Η κύρια υποδομή μας βρίσκεται στον ΕΟΧ. Όπου δεδομένα διαβιβάζονται εκτός ΕΟΧ ή Ηνωμένου Βασιλείου, βασιζόμαστε στις Standard Contractual Clauses (Απόφαση 2021/914) ή στο UK IDTA/Addendum, συμπληρωμένα με κρυπτογράφηση (TLS 1.2+ κατά τη μεταφορά, AES-256 κατά την αποθήκευση) και αξιολογήσεις επιπτώσεων διαβίβασης. Οι διαβιβάσεις ΕΕ–Ηνωμένου Βασιλείου βασίζονται στην απόφαση επάρκειας του Ηνωμένου Βασιλείου (ανανεώθηκε τον Ιούλιο 2025). Μπορείτε να ζητήσετε αντίγραφο των εφαρμοστέων SCCs στο privacy@carsu.com.

10. Cookies

Ιστότοπος. Τα cookies στον ιστότοπο www.carsu.com περιγράφονται στην Πολιτική Cookies μας.

Εντός εφαρμογής. Κατά τη σύνδεσή σας στην πλατφόρμα Carsu χρησιμοποιούμε ένα cookie συνεδρίας, ένα cookie προστασίας CSRF και μία προτίμηση γλώσσας (όλα απολύτως απαραίτητα). Χρησιμοποιούμε Mixpanel για αναλυτικά στοιχεία προϊόντος με βάση το έννομο συμφέρον (Άρθρο 6 παρ. 1(στ))· μπορείτε να εναντιωθείτε στέλνοντας email στο privacy@carsu.com, και θα σταματήσουμε τη συλλογή συμβάντων και θα διαγράψουμε τα σχετικά αρχεία εντός 30 ημερών. Ένας διακόπτης εξαίρεσης (opt-out) εντός της εφαρμογής βρίσκεται στον οδικό χάρτη (roadmap).

11. Διατήρηση

Μετά τη λήξη της περιόδου διατήρησης διαγράφουμε ή ανωνυμοποιούμε μη αναστρέψιμα τα δεδομένα. Τα δεδομένα Google API διαγράφονται και δεν ανωνυμοποιούνται, σύμφωνα με τη δέσμευσή μας περί Limited Use.

12. Ασφάλεια

Εφαρμόζουμε τεχνικά και οργανωτικά μέτρα σύμφωνα με το Άρθρο 32 GDPR, συμπεριλαμβανομένης της κρυπτογράφησης κατά τη μεταφορά και την αποθήκευση, του ελέγχου πρόσβασης βάσει ρόλων με την αρχή των ελάχιστων προνομίων, του MFA για όλες τις προσβάσεις διαχειριστή και πλατφόρμας, τακτικών αξιολογήσεων ευπαθειών, καταγραφής προσβάσεων και τεκμηριωμένης απόκρισης σε περιστατικά. Εργαζόμαστε για την επίτευξη των SOC 2 Type II και ISO 27001. Υπεύθυνη αναφορά ευπαθειών: security.txt ή security@carsu.com.

Τα διακριτικά OAuth για την πρόσβαση στα Google APIs αποθηκεύονται κρυπτογραφημένα κατά την αποθήκευση και είναι προσβάσιμα μόνο από τα συστατικά της πλατφόρμας που εκτελούν τον συγχρονισμό ημερολογίου.

13. Παραβιάσεις δεδομένων

Όταν μια παραβίαση είναι πιθανό να προκαλέσει κίνδυνο για τα δικαιώματά σας, ενημερώνουμε την εποπτική αρχή εντός 72 ωρών (Άρθρο 33) και, όπου ο κίνδυνος είναι υψηλός, ενημερώνουμε εσάς απευθείας χωρίς αδικαιολόγητη καθυστέρηση (Άρθρο 34). Όταν η Carsu ενεργεί ως Εκτελών την επεξεργασία, ενημερώνουμε τον Υπεύθυνο επεξεργασίας (συνεργείο) χωρίς αδικαιολόγητη καθυστέρηση.

14. Κάτοικοι Ηνωμένου Βασιλείου

Οι κάτοικοι Ηνωμένου Βασιλείου έχουν τα ίδια δικαιώματα που περιγράφονται στο §8. Οι διαβιβάσεις μεταξύ ΕΕ και Ηνωμένου Βασιλείου βασίζονται στην απόφαση επάρκειας της ΕΕ για το Ηνωμένο Βασίλειο (ανανεώθηκε τον Ιούλιο 2025, ισχύει έως το 2031). Όπου το δίκαιο προστασίας δεδομένων του Ηνωμένου Βασιλείου έρχεται σε σύγκρουση με την παρούσα πολιτική για κατοίκους Ηνωμένου Βασιλείου, υπερισχύει το δίκαιο του Ηνωμένου Βασιλείου.

15. Ανήλικοι

Οι υπηρεσίες μας είναι B2B και δεν απευθύνονται σε παιδιά. Δεν συλλέγουμε εν γνώσει μας δεδομένα από άτομα κάτω των 16 ετών (ή κάτω των 14 στην Ιταλία, σύμφωνα με το D.Lgs. 101/2018). Εάν ανακαλύψουμε τέτοια δεδομένα, τα διαγράφουμε άμεσα.

16. Αλλαγές

Ενημερώνουμε την παρούσα πολιτική όταν αλλάζουν οι πρακτικές, η τεχνολογία ή οι νομικές υποχρεώσεις μας. Οι ουσιώδεις αλλαγές κοινοποιούνται μέσω email ή εντός της πλατφόρμας τουλάχιστον 30 ημέρες νωρίτερα.

17. Καταγγελίες

Μπορείτε να υποβάλετε καταγγελία στην Ολλανδική Autoriteit Persoonsgegevens (Ολλανδική Αρχή Προστασίας Δεδομένων) (autoriteitpersoonsgegevens.nl) — τη βασική εποπτική μας αρχή υπό τον μηχανισμό μίας στάσης (one-stop-shop) του GDPR — ή στην αρχή προστασίας δεδομένων της χώρας διαμονής σας στην ΕΕ (για κατοίκους Ελλάδας: Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), www.dpa.gr). Προτιμούμε να επικοινωνήσετε πρώτα μαζί μας στο privacy@carsu.com ώστε να επιχειρήσουμε να επιλύσουμε το ζήτημά σας απευθείας.

18. Σχετικά έγγραφα

Η παρούσα πολιτική πρέπει να διαβάζεται σε συνδυασμό με τους Όρους και Προϋποθέσεις μας (συμπεριλαμβανομένης της Σύμβασης Επεξεργασίας Δεδομένων στο Παράρτημα Α) και την Πολιτική Cookies.

19. Επικοινωνία

Απόρρητο: privacy@carsu.com Νομικά: legal@carsu.com Ασφάλεια: security@carsu.com Γενικά: hello@carsu.com Ταχυδρομείο: Carsu B.V., Harderwijkerweg 145, 3852 AB Ermelo, Κάτω Χώρες