Πολιτική Απορρήτου

1. Υπεύθυνος Επεξεργασίας

Υπεύθυνος επεξεργασίας δεδομένων είναι η εταιρεία Kosmopoulos Business Consultant (εφεξής "Εταιρεία"), με έδρα: Σικελιανού Αγγέλου 7, Αιγάλεω 12243, Αττική. Υπεύθυνος: Κοσμόπουλος Χρήστος.
Email επικοινωνίας: ckosmopoulos@kosmopoulostax.gr

2. Δεδομένα που Συλλέγουμε

• Στοιχεία ταυτοποίησης: Ονοματεπώνυμο, email, τηλέφωνο, εταιρεία, ΑΦΜ
• Κωδικοί TaxisNet: Αποθηκεύονται κρυπτογραφημένα (AES-256-GCM) αποκλειστικά για άντληση δεδομένων από ΑΑΔΕ
• Φορολογικά δεδομένα ΑΑΔΕ: Οφειλές, μισθωτήρια, φορολογικές δηλώσεις (Ε1, Ε2, Ε3, εκκαθαριστικά), δηλώσεις Ε9/ENFIA, ΦΕΝΠ, συμφωνητικά μισθώσεων
• Οικονομικά στοιχεία: Μηνιαία έσοδα/έξοδα, αναφορές κερδοφορίας (P&L), δείκτες KPI, φορολογικοί υπολογισμοί
• Έγγραφα: Αρχεία που ανεβάζετε ή σας αποστέλλουμε μέσω του portal
• Μηνύματα: Επικοινωνία μέσω του ενσωματωμένου chat
• Δεδομένα AI βοηθού: Ερωτήσεις και απαντήσεις μέσω του ενσωματωμένου AI assistant (δεν αποθηκεύονται μόνιμα)
• Push notifications: Subscription tokens για ειδοποιήσεις (εφόσον ενεργοποιηθούν από τον χρήστη)
• Τεχνικά δεδομένα: Ημερομηνία/ώρα σύνδεσης, διεύθυνση IP

3. Σκοπός Επεξεργασίας

• Παροχή υπηρεσιών φοροτεχνικής και λογιστικής υποστήριξης
• Ασφαλής διαμοιρασμός εγγράφων μεταξύ εσάς και του συμβούλου
• Αυτοματοποιημένη άντληση φορολογικών δεδομένων από ΑΑΔΕ (οφειλές, μισθωτήρια, Ε9/ENFIA, ΦΕΝΠ, συμφωνητικά)
• Δημιουργία οικονομικών αναφορών (P&L) και φορολογικών υπολογισμών
• Παροχή AI βοηθού για ερωτήσεις σχετικά με τα δεδομένα σας
• Αποστολή ειδοποιήσεων (email, SMS, push notifications) για ενημέρωσή σας
• Επικοινωνία σχετικά με τις υπηρεσίες μας
• Τήρηση αρχείου ενεργειών για λόγους ασφαλείας
• Αυτόματα αντίγραφα ασφαλείας (backups) για προστασία δεδομένων

4. Νομική Βάση Επεξεργασίας

Η επεξεργασία των δεδομένων σας βασίζεται στις ακόλουθες νομικές βάσεις του Κανονισμού (ΕΕ) 2016/679 (GDPR):

• Άρθρο 6(1)(β): Εκτέλεση σύμβασης — παροχή φοροτεχνικών και λογιστικών υπηρεσιών
• Άρθρο 6(1)(στ): Έννομο συμφέρον — ασφάλεια συστήματος, audit logs, rate limiting
• Άρθρο 6(1)(γ): Νομική υποχρέωση — φορολογική διατήρηση εγγράφων σύμφωνα με τον ΚΦΔ
• Άρθρο 6(1)(α): Συγκατάθεση — SMS/email marketing (μπορείτε να την ανακαλέσετε ανά πάσα στιγμή)

5. Ασφάλεια Δεδομένων

• Όλα τα έγγραφα κρυπτογραφούνται με AES-256-GCM πριν αποθηκευτούν
• Η επικοινωνία γίνεται μέσω HTTPS/TLS
• Η βάση δεδομένων και τα αρχεία αποθηκεύονται σε servers εντός Ευρωπαϊκής Ένωσης (Frankfurt, Germany). Η εφαρμογή φιλοξενείται στο Vercel με EU edge nodes
• Εφαρμόζονται μέτρα rate limiting και access control
• Οι συνεδρίες λήγουν αυτόματα μετά από 2 ώρες

6. Τα Δικαιώματά σας (GDPR)

Σύμφωνα με τον Κανονισμό (ΕΕ) 2016/679 (GDPR), έχετε δικαίωμα:

• Πρόσβασης — να λάβετε αντίγραφο των δεδομένων σας (Άρθρο 15)
• Διόρθωσης — να ζητήσετε διόρθωση ανακριβών δεδομένων (Άρθρο 16)
• Διαγραφής — να ζητήσετε μόνιμη διαγραφή των δεδομένων σας (Άρθρο 17)
• Φορητότητας — να λάβετε τα δεδομένα σας σε μηχαναγνώσιμη μορφή (Άρθρο 20)
• Περιορισμού της Επεξεργασίας — να ζητήσετε τον περιορισμό της επεξεργασίας των δεδομένων σας, ιδίως όταν αμφισβητείτε την ακρίβειά τους, όταν η επεξεργασία είναι παράνομη, όταν δεν χρειαζόμαστε πλέον τα δεδομένα αλλά τα χρειάζεστε για νομικές αξιώσεις, ή όταν έχετε υποβάλει ένσταση κατά της επεξεργασίας (Άρθρο 18)
• Εναντίωσης — να αντιταχθείτε στην επεξεργασία (Άρθρο 21)

Δικαίωμα εναντίωσης για έννομο συμφέρον: Εάν η επεξεργασία των δεδομένων σας βασίζεται στο έννομο συμφέρον μας (Άρθρο 6(1)(στ) GDPR), έχετε δικαίωμα να αντιταχθείτε ανά πάσα στιγμή επικοινωνώντας με τον Υπεύθυνο Επεξεργασίας στο ckosmopoulos@kosmopoulostax.gr. Σε περίπτωση εναντίωσης, θα παύσουμε την επεξεργασία εκτός εάν αποδείξουμε επιτακτικούς νόμιμους λόγους που υπερισχύουν των συμφερόντων σας.

Για άσκηση των δικαιωμάτων σας, επικοινωνήστε στο ckosmopoulos@kosmopoulostax.gr

7. Χρόνος Διατήρησης

Τα δεδομένα διατηρούνται για όσο χρονικό διάστημα διαρκεί η συνεργασία μας. Μετά τη λήξη, εφαρμόζονται οι ακόλουθοι χρόνοι διατήρησης ανά κατηγορία:

8. Κοινοποίηση σε Τρίτους

Τα δεδομένα σας δεν πωλούνται ή κοινοποιούνται σε τρίτους, εκτός από τους παρόχους υποδομής που είναι απαραίτητοι για τη λειτουργία του portal, οι οποίοι δεσμεύονται με συμφωνίες επεξεργασίας δεδομένων (DPA).

9. Εκτελούντες την Επεξεργασία

Χρησιμοποιούμε τους ακόλουθους παρόχους υπηρεσιών (εκτελούντες την επεξεργασία) με τους οποίους έχουμε συνάψει Συμφωνίες Επεξεργασίας Δεδομένων (DPA):

Ορισμένοι από τους ανωτέρω παρόχους (Resend, Neon, Twilio, Vercel, Anthropic) ενδέχεται να επεξεργάζονται δεδομένα στις ΗΠΑ. Οι εν λόγω διαβιβάσεις πραγματοποιούνται σύμφωνα με το Άρθρο 46(2)(γ) του GDPR, βάσει Τυποποιημένων Συμβατικών Ρητρών (Standard Contractual Clauses — SCCs) που έχουν εγκριθεί από την Ευρωπαϊκή Επιτροπή, διασφαλίζοντας επαρκές επίπεδο προστασίας των προσωπικών σας δεδομένων.

10. Αρχή Προστασίας Δεδομένων

Αν θεωρείτε ότι παραβιάζονται τα δικαιώματά σας, μπορείτε να υποβάλετε καταγγελία στην:

11. Cookies

Το portal χρησιμοποιεί αποκλειστικά απαραίτητα (essential) cookies για τη λειτουργία του. Δεν χρησιμοποιούνται cookies παρακολούθησης ή διαφήμισης.

12. Οικονομικά Δεδομένα & Αναφορές

Στο πλαίσιο παροχής συμβουλευτικών υπηρεσιών, η πλατφόρμα επεξεργάζεται τα ακόλουθα οικονομικά δεδομένα:

• Δεδομένα που συλλέγονται: Μηνιαία οικονομικά στοιχεία (έσοδα, έξοδα, κέρδη), δείκτες KPI, σημειώσεις συμβούλου
• Νομική βάση: Άρθρο 6(1)(β) ΓΚΠΔ — Εκτέλεση σύμβασης παροχής συμβουλευτικών υπηρεσιών
• Πρόσβαση: Μόνο ο διαχειριστής (σύμβουλος) και ο συγκεκριμένος πελάτης
• Διατήρηση: Καθ' όλη τη διάρκεια της σύμβασης + 5 έτη (φορολογική νομοθεσία, Ν.4174/2013)
• Ασφάλεια: Κρυπτογράφηση AES-256-GCM, ελεγχόμενη πρόσβαση μέσω Row Level Security (RLS)
• Εξαγωγή: Δυνατότητα λήψης σε PDF/Excel

13. Γνωστοποίηση Παραβίασης Δεδομένων

Σε περίπτωση παραβίασης προσωπικών δεδομένων που ενδέχεται να θέσει σε κίνδυνο τα δικαιώματα και τις ελευθερίες σας, εφαρμόζουμε τις ακόλουθες διαδικασίες:

• Γνωστοποίηση στην ΑΠΔΠΧ (Άρθρο 33 GDPR): Ενημερώνουμε την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εντός 72 ωρών από τη στιγμή που λαμβάνουμε γνώση της παραβίασης, παρέχοντας πλήρη περιγραφή του συμβάντος, τις κατηγορίες δεδομένων που επηρεάστηκαν και τα μέτρα αντιμετώπισης.
• Ενημέρωση Υποκειμένων Δεδομένων (Άρθρο 34 GDPR): Εάν η παραβίαση ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες σας, σας ενημερώνουμε αμέσως μέσω email με σαφή περιγραφή της φύσης της παραβίασης, τις πιθανές συνέπειες και τα μέτρα που λάβαμε ή προτείνουμε.
• Εσωτερικές Διαδικασίες Αντιμετώπισης: Διατηρούμε εσωτερικό πρωτόκολλο διαχείρισης περιστατικών ασφαλείας που περιλαμβάνει άμεσο εντοπισμό και περιορισμό της παραβίασης, αξιολόγηση του κινδύνου, τεκμηρίωση του συμβάντος και λήψη διορθωτικών μέτρων για την αποφυγή επανάληψης.