Ασφάλεια και επεξεργασία δεδομένων

Για τα δεδομένα των επισκεπτών ενός καταστήματος («αγοραστές»), ο έμπορος είναι ο υπεύθυνος επεξεργασίας και η OneSite Agency ο εκτελών την επεξεργασία. Για τους λογαριασμούς των ίδιων των εμπόρων και τον ιστότοπό μας, υπεύθυνοι επεξεργασίας είμαστε εμείς. Οι Όροι Παροχής Υπηρεσιών μας αποτελούν τη σύμβαση επεξεργασίας δεδομένων· δεν υπάρχει ξεχωριστό έγγραφο προς υπογραφή.

Δεδομένα αγοραστών, που φυλάσσονται ανά κατάστημα και μόνο για αυτό:

• Συνομιλίες: ό,τι πληκτρολόγησε ή υπαγόρευσε ο αγοραστής και τα προϊόντα που εμφανίστηκαν και επιλέχθηκαν (πίνακες queries, events). Η υπαγόρευση μετατρέπεται σε κείμενο στους δικούς μας διακομιστές· ο ήχος δεν αποθηκεύεται.
• Επισκέψεις: referrer, ετικέτες UTM, τύπος συσκευής, πρόγραμμα περιήγησης, λειτουργικό σύστημα, ζώνη ώρας και κατά προσέγγιση χώρα και πόλη που προκύπτουν από τη διεύθυνση IP (πίνακας visits). Η ίδια η διεύθυνση IP δεν αποθηκεύεται.
• Στοιχεία επικοινωνίας που επιλέγει να αφήσει ένας αγοραστής μετά από αίτημα που το κατάστημα δεν μπόρεσε να απαντήσει (πίνακας misses): αποθηκεύονται κρυπτογραφημένα με AES-GCM, με το κλειδί εκτός της βάσης δεδομένων, μαζί με έναν κατακερματισμό με κλειδί που χρησιμεύει μόνο για να τα βρούμε ξανά σε αίτημα διαγραφής ή δεδομένων. Τα αιτήματα για άνθρωπο — «Μιλήστε με άνθρωπο», ερώτηση για παραγγελία που ο βοηθός δεν μπόρεσε να απαντήσει, «ειδοποιήστε με όταν είναι διαθέσιμο» (πίνακας handoffs) — αποθηκεύονται με τον ίδιο τρόπο, με τα λόγια του αγοραστή καθαρισμένα από άλλες επαφές· τα βλέπουν μόνο οι άνθρωποι του καταστήματος, στα Εισερχόμενα του πίνακά τους, και διαγράφονται με το ίδιο χρονοδιάγραμμα.
• Σημειώσεις ολοκλήρωσης αγοράς και αιτήματα για τα δεδομένα ενός αγοραστή (πίνακες checkout_notes, data_exports).
• Εγγραφές παραγγελιών του καταστήματος (πίνακες purchase_orders, purchase_lines, purchase_discounts, purchase_cart): σύνολα, γραμμές και κωδικοί έκπτωσης. Δεν περιέχουν ταυτότητα αγοραστή· ο σύνδεσμός τους με μια συνομιλία αφαιρείται όταν λήγουν τα αρχεία του αγοραστή.

Δεδομένα εμπόρου και καταστήματος:

• Κατάλογος, ενσωματώσεις και εμπλουτισμός προϊόντων, τα στοιχεία του εμπόρου για παράδοση, πληρωμή και επιστροφές, σελίδες βιτρίνας και μεταφορτωμένες εικόνες, μηνιαία δαπάνη μοντέλου και οι ενέργειες του εμπόρου στον πίνακα ελέγχου (πίνακες products, embeddings, product_enrichment, facts, pages, storefront_*, budget_month, cabinet_deeds και παρόμοιοι, όλοι συνδεδεμένοι με το κατάστημα).
• Λογαριασμοί εμπόρων που συνδέονται στον ιστότοπό μας: διεύθυνση email, κωδικός που αποθηκεύεται μόνο ως κατακερματισμός Argon2id, γλώσσα, καθώς και ώρα, διεύθυνση IP και πρόγραμμα περιήγησης κάθε σύνδεσης (πίνακες accounts, memberships, sessions).
• Σύνδεση με την πλατφόρμα: ο τομέας του καταστήματος, η κατάσταση της συνδρομής και τα κλειδιά πρόσβασης που χρειάζονται για κλήσεις στο API της πλατφόρμας· για άμεσους πελάτες, τα αναγνωριστικά πελάτη και συνδρομής του Stripe. Τα στοιχεία κάρτας δεν φτάνουν ποτέ σε εμάς.
• Αιτήσεις που στάλθηκαν από τον ιστότοπό μας και, για καταστήματα που έφερε συνεργάτης παραπομπής, η δεδουλευμένη προμήθεια (πίνακες applications, partner_accruals).

Γνώση που δεν συνδέεται με κανένα κατάστημα και, εκ κατασκευής, δεν φέρει αναγνωριστικό καταστήματος: βαθμολογίες από κατατάξεις άλλων ιστότοπων, πίνακας αντιστοίχισης IP σε τοποθεσία, χαρακτηριστικά ανά τίτλο που προκύπτουν από τους τίτλους, και δημόσιες βαθμολογίες και κριτικές βιβλίων που διαβάζονται από δημόσιες σελίδες άλλων ιστότοπων. Οι κριτικές περιλαμβάνουν το εμφανιζόμενο όνομα και το κείμενο του συντάκτη και κρατιούνται μόνο όσο η πηγή τις εμφανίζει ακόμη (βλ. παρακάτω).

Δεν εκπαιδεύουμε ούτε βελτιστοποιούμε γλωσσικά μοντέλα με δεδομένα εμπόρων ή αγοραστών και δεν πουλάμε δεδομένα. Τα δεδομένα των καταστημάτων που εγκατέστησαν μέσω Shopify δεν χρησιμοποιούνται για κανενός είδους μάθηση.

• Αρχεία αγοραστών (συνομιλίες, συμβάντα, επισκέψεις, επαφές, σημειώσεις ολοκλήρωσης, αιτήματα δεδομένων): διαγράφονται 395 ημέρες (13 μήνες) μετά την καταγραφή τους, από νυχτερινή εργασία. Η περίοδος είναι επιλογή προϊόντος: οι αναφορές του ιδιοκτήτη συγκρίνουν έναν μήνα με τον ίδιο μήνα του προηγούμενου έτους.
• Κριτικές που αντιγράφηκαν από άλλους ιστότοπους: διαγράφονται 30 ημέρες αφότου τις εμφάνισε για τελευταία φορά η πηγή. Οι βαθμολογίες παραμένουν, καθώς δεν περιέχουν πρόσωπο.
• Ένα κατάστημα μετά την απεγκατάσταση: τα δεδομένα διατηρούνται ώστε μια επανεγκατάσταση να τα επαναφέρει, μέχρι το Shopify να στείλει 48 ώρες αργότερα την ειδοποίηση διαγραφής (shop/redact)· τότε διαγράφονται όλα για το κατάστημα. Για άμεση συνδρομή, το κατάστημα διαγράφεται 30 ημέρες μετά τη λήξη της συνδρομής.
• Λογαριασμός εμπόρου: όσο υπάρχει ο λογαριασμός, και διαγράφεται εντός 30 ημερών από αίτημα.
• Αντίγραφα ασφαλείας της βάσης: νυχτερινά, κρυπτογραφημένα, φυλάσσονται 14 ημέρες στον ίδιο διακομιστή, ώστε τα διαγραμμένα δεδομένα να φεύγουν από τα αντίγραφα εντός 14 ημερών.

• Ο έμπορος βλέπει στον πίνακα ελέγχου τα δεδομένα του δικού του καταστήματος. Κάθε εγγραφή αποθηκεύεται κάτω από το κατάστημα στο οποίο ανήκει και διαβάζεται μόνο για λογαριασμό του· ένα κατάστημα δεν βλέπει ποτέ τα δεδομένα άλλου, και ένα μητρώο όλων των πινάκων και των κρυφών μνημών καταγράφει ποια ανήκουν σε κατάστημα και ποια είναι κοινή γνώση, με έλεγχο μέσω δοκιμής.
• Ο χειριστής μας έχει πρόσβαση στα συστήματα παραγωγής· η πρόσβαση περιορίζεται στον χειριστή.
• Ο συνεργάτης παραπομπής που έφερε ένα κατάστημα βλέπει τον τομέα του, αν πληρώνει και τη δεδουλευμένη προμήθεια.
• Οι υπεκτελούντες την επεξεργασία παρακάτω, μόνο ό,τι περιγράφεται για τον καθένα.

Ό,τι αποθηκεύουμε βρίσκεται στους διακομιστές μας στην Hetzner Online GmbH στη Νυρεμβέργη της Γερμανίας. Η αναζήτηση, οι ενσωματώσεις κειμένου και η αναγνώριση ομιλίας τρέχουν σε αυτούς τους διακομιστές, χωρίς τρίτους. Υπεκτελούντες την επεξεργασία:

• Hetzner Online GmbH, Γερμανία: φιλοξενία.
• DeepSeek (Κίνα): το γλωσσικό μοντέλο (για καταστήματα εκτός ΕΕ, ΕΟΧ και Ηνωμένου Βασιλείου). Για να συνθέσει μια απάντηση λαμβάνει το κείμενο της συνομιλίας, δεδομένα προϊόντων από τον κατάλογο του καταστήματος, κείμενα δημόσιων κριτικών βιβλίων, χωρίς τα ονόματα των συντακτών τους και μια φωτογραφία που ο αγοραστής επιλέγει να επισυνάψει, σε καταστήματα που έχουν ενεργοποιήσει την αναζήτηση με φωτογραφία (δεν την αποθηκεύουμε). Δεν λαμβάνει ποτέ ονόματα αγοραστών, στοιχεία επικοινωνίας, διευθύνσεις IP και δεδομένα παραγγελιών. Τα αιτήματα αποστέλλονται μέσω κρυπτογραφημένης σύνδεσης.
• Για καταστήματα στην ΕΕ, στον ΕΟΧ και στο Ηνωμένο Βασίλειο: οι απαντήσεις συντάσσονται χωρίς γλωσσικό μοντέλο, στους δικούς μας διακομιστές· κανένα δεδομένο αγοραστών δεν φτάνει σε πάροχο μοντέλου.
• Shopify: η πλατφόρμα στην οποία λειτουργεί η εφαρμογή και η χρέωση των εγκαταστάσεων. Stripe: η χρέωση των εμπόρων που εγγράφονται απευθείας σε εμάς.
• PostHog, cloud ΕΕ: αναλυτικά χρήσης στον ιστότοπο και τον πίνακα ελέγχου μας, όχι μέσα στον βοηθό σε μια βιτρίνα.
• Telegram: όταν είναι ενεργοποιημένο, εσωτερικές ειδοποιήσεις στην ομάδα μας για νέες αιτήσεις εμπόρων.

Ποιος πάροχος εξυπηρετεί ποια καταστήματα αποφασίζεται σε ένα σημείο του κώδικά μας, με βάση τη ζώνη δεδομένων του καταστήματος, και οι καταχωρίσεις για το γλωσσικό μοντέλο παραπάνω παράγονται από αυτό το σημείο, ώστε η σελίδα να μη λέει κάτι που ο κώδικας δεν κάνει. Προσθέτουμε ή αλλάζουμε υπεκτελούντα στην Πολιτική Απορρήτου, με ημερομηνία, πριν ξεκινήσει.

Ο έμπορος αποφασίζει για τα δεδομένα των αγοραστών, οπότε οι αγοραστές γράφουν πρώτα στο κατάστημα· αν γράψουν σε εμάς, προωθούμε το αίτημα και βοηθάμε τον έμπορο να το απαντήσει. Μέσω Shopify τα τρία τυπικά αιτήματα διεκπεραιώνονται αυτόματα:

• Αίτημα δεδομένων (customers/data_request): εντός 30 ημερών στέλνουμε στον ιδιοκτήτη του καταστήματος τα δεδομένα που έχουμε για τον πελάτη, ως αρχείο αναγνώσιμο από μηχανή.
• Διαγραφή πελάτη (customers/redact): διαγράφουμε την επαφή που άφησε ο πελάτης, τις συνομιλίες που συνδέονται με αυτήν και τις παραγγελίες που αναφέρονται στο αίτημα.
• Διαγραφή καταστήματος (shop/redact): διαγράφουμε ό,τι έχουμε για το κατάστημα.

Οι έμποροι γράφουν στη διεύθυνση παρακάτω και απαντάμε εντός 30 ημερών. Αγοραστές και έμποροι μπορούν επίσης να υποβάλουν καταγγελία σε αρχή προστασίας δεδομένων.

Μία μόνο διαδρομή εξυπηρετεί τόσο μια ειδοποίηση διαγραφής της πλατφόρμας όσο και μια αφαίρεση από τον χειριστή. Κάθε πίνακας που ανήκει σε κατάστημα παραπέμπει στο κατάστημα με διαδοχικό κλειδί, οπότε η διαγραφή της μίας γραμμής του καταστήματος αφαιρεί ό,τι του ανήκει σε μία συναλλαγή, όλα ή τίποτα. Οι εικόνες που μεταφορτώθηκαν στον κατασκευαστή βιτρίνας βρίσκονται σε δίσκο και αφαιρούνται πρώτες· μια αποτυχημένη διαγραφή επαναλαμβάνεται. Έμποροι που μένουν χωρίς καταστήματα αφαιρούνται μετά το κατάστημα.

Τι παραμένει μετά τη διαγραφή ενός καταστήματος, εκ σχεδιασμού:

• Δεδουλευμένες προμήθειες προς συνεργάτη παραπομπής: ποσό και τομέας, με διαγραμμένο το αναγνωριστικό καταστήματος. Δεν περιέχουν αγοραστές.
• Το αρχείο ενεργειών του χειριστή, που πρέπει να επιβιώνει του αντικειμένου του ως απόδειξη του ποιος ενεργοποίησε, απενεργοποίησε ή διέγραψε ένα κατάστημα, συμπεριλαμβανομένης της ίδιας της διαγραφής.
• Η γνώση ανεξάρτητη από καταστήματα που περιγράφεται παραπάνω, χωρίς αναγνωριστικό καταστήματος ή αγοραστή. Τα αντίγραφα ασφαλείας λήγουν εντός 14 ημερών.

• Η κίνηση προς και από τους διακομιστές μας κρυπτογραφείται με TLS. Τα αντίγραφα ασφαλείας είναι κρυπτογραφημένα (AES-256) και αναγνώσιμα μόνο από τον λογαριασμό διαχειριστή του διακομιστή.
• Οι κωδικοί αποθηκεύονται μόνο ως κατακερματισμοί Argon2id και τα διακριτικά σύνδεσης μόνο ως αποτυπώματα SHA-256. Οι επαφές αγοραστών αποθηκεύονται κρυπτογραφημένες (AES-GCM) και το κλειδί φυλάσσεται εκτός βάσης δεδομένων.
• Οι ειδοποιήσεις του Shopify και του Stripe γίνονται δεκτές μόνο με έγκυρη υπογραφή. Τα αρχεία κάθε καταστήματος κρατιούνται χωριστά και διαβάζονται μόνο για λογαριασμό του.
• Η πρόσβαση στα συστήματα παραγωγής περιορίζεται στον χειριστή μας. Όταν ο χειριστής ανοίγει τον πίνακα ελέγχου ενός εμπόρου για ζήτημα υποστήριξης, το άνοιγμα καταγράφεται με το ποιος άνοιξε ποιο κατάστημα.

Ερωτήσεις ασφάλειας, αναφορές ευπάθειας και αιτήματα δεδομένων πηγαίνουν στη διεύθυνση παρακάτω· συνήθως απαντάμε εντός μίας εργάσιμης ημέρας. Αν μια παραβίαση αφορά προσωπικά δεδομένα που κρατάμε, ενημερώνουμε τους εμπλεκόμενους εμπόρους χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο 72 ώρες αφότου τη μάθουμε.