Πολιτική Απορρήτου

1. Υπεύθυνος Επεξεργασίας

Υπεύθυνος επεξεργασίας των προσωπικών σας δεδομένων είναι η CLINICBRAIN (στο εξής «εμείς», «μας», «η εταιρεία»), με έδρα στην Ελλάδα.

Στοιχεία επικοινωνίας για θέματα προστασίας δεδομένων:

• Email: info@clinicbrain.gr
• Τίτλος υπηρεσίας: «Υπάλληλος AI» — τηλεφωνική γραμματεία AI για ιατρεία

Δεν έχουμε υποχρέωση ορισμού Υπευθύνου Προστασίας Δεδομένων (DPO) βάσει του άρθρου 37 GDPR, καθώς δεν πληρούμε τα κριτήρια. Ωστόσο, για κάθε ερώτημα σχετικά με τα προσωπικά σας δεδομένα μπορείτε να επικοινωνείτε στο παραπάνω email.

2. Ποια δεδομένα συλλέγουμε

Συλλέγουμε διαφορετικές κατηγορίες δεδομένων ανάλογα με τον τρόπο που αλληλεπιδράτε με την υπηρεσία:

2.1 Δεδομένα ιστοσελίδας

• Φόρμα επικοινωνίας / demo: ονοματεπώνυμο, τηλέφωνο, email, τύπος επιχείρησης, ανάγκη/στόχος.
• Τεχνικά δεδομένα: διεύθυνση IP, browser, λειτουργικό σύστημα, ώρα επίσκεψης (συλλέγονται μόνο από τους τεχνικούς logs του παρόχου φιλοξενίας).

2.2 Δεδομένα τηλεφωνικής γραμματείας AI

• Αριθμός τηλεφώνου καλούντος (caller ID).
• Ώρα και διάρκεια κλήσης.
• Ηχογράφηση και απομαγνητοφώνηση (transcript) της συνομιλίας με τον AI assistant.
• Σκοπός κλήσης / αποτέλεσμα (π.χ. κράτηση ραντεβού, πληροφορία, αναπάντητη).
• Στοιχεία ραντεβού: όνομα, ώρα, υπηρεσία, τυχόν επιπρόσθετες πληροφορίες που δίνετε εθελοντικά.

Σημαντικό: Η υπηρεσία είναι σχεδιασμένη να μην συλλέγει ευαίσθητα δεδομένα υγείας (διαγνώσεις, παθήσεις, ιατρικό ιστορικό) πέραν του απολύτως απαραίτητου για την οργάνωση του ραντεβού. Δεν παρέχουμε ιατρικές συμβουλές και δεν υποκαθιστούμε γιατρό.

2.3 Δεδομένα λογαριασμού (Dashboard)

• Email και κωδικός πρόσβασης (κρυπτογραφημένος).
• Ρυθμίσεις επιχείρησης (όνομα, ωράρια, υπηρεσίες).

3. Νομική βάση επεξεργασίας

Η επεξεργασία των δεδομένων σας στηρίζεται στις ακόλουθες νομικές βάσεις (άρθρο 6 GDPR):

• Συγκατάθεση (άρθρο 6 §1 α') — για cookies analytics/marketing, για την ηχογράφηση της κλήσης (ενημερώνεστε στην αρχή κάθε κλήσης) και για την αποστολή ενημερωτικών email.
• Εκτέλεση σύμβασης (άρθρο 6 §1 β') — για την παροχή της υπηρεσίας κράτησης ραντεβού και διαχείρισης λογαριασμού.
• Έννομο συμφέρον (άρθρο 6 §1 στ') — για ασφάλεια, πρόληψη απάτης, βελτίωση υπηρεσίας και τεχνική υποστήριξη.
• Νομική υποχρέωση (άρθρο 6 §1 γ') — όπου απαιτείται από φορολογική, εμπορική ή άλλη νομοθεσία.

4. Αποδέκτες / Εκτελούντες την Επεξεργασία

Για την παροχή της υπηρεσίας συνεργαζόμαστε με τους εξής εκτελούντες την επεξεργασία (data processors). Όλοι δεσμεύονται από συμφωνία εμπιστευτικότητας και επεξεργάζονται δεδομένα μόνο κατ' εντολή μας:

• Hostinger International Ltd (Κύπρος / ΕΕ) — φιλοξενία διακομιστή (VPS) και βάσης δεδομένων.
• Vercel Inc. (ΗΠΑ) — φιλοξενία ιστοσελίδας (static hosting). Μεταφορά βάσει SCC.
• Supabase Inc. (ΗΠΑ / ΕΕ) — βάση δεδομένων και αυθεντικοποίηση. Μεταφορά βάσει SCC.
• Modulus (Ελλάδα / ΕΕ) — τηλεφωνική υποδομή (αριθμοδότηση & call routing).
• OpenAI Ireland Ltd / OpenAI L.L.C. (Ιρλανδία / ΗΠΑ) — επεξεργασία φυσικής γλώσσας (LLM). Μεταφορά βάσει SCC.
• ElevenLabs Inc. (ΗΠΑ) — σύνθεση φωνής (text-to-speech). Μεταφορά βάσει SCC.
• Deepgram Inc. (ΗΠΑ) — μετατροπή φωνής σε κείμενο (speech-to-text). Μεταφορά βάσει SCC.
• Google Ireland Ltd (Ιρλανδία) — Google Calendar (για ραντεβού) και Google Fonts.
• Calendly LLC (ΗΠΑ) — προγραμματισμός demo (μόνο όσοι ζητάτε demo). Μεταφορά βάσει SCC.
• Meta / Telegram — εφόσον ο πελάτης έχει ζητήσει ενσωμάτωση ειδοποιήσεων.
• Meta Platforms Ireland Ltd (Ιρλανδία / ΗΠΑ) — Meta Pixel για μέτρηση και βελτιστοποίηση διαφημίσεων στην ιστοσελίδα, μόνο με τη συγκατάθεσή σας (βλ. Πολιτική Cookies). Μεταφορά βάσει SCC.

Δεν πωλούμε ούτε ενοικιάζουμε προσωπικά δεδομένα σε τρίτους για διαφημιστικούς σκοπούς.

5. Χρήση Google API Services (Google Calendar)

Όταν επιλέγετε να συνδέσετε τον λογαριασμό σας Google στο dashboard του Υπαλλήλου AI, η χρήση και μεταφορά πληροφοριών που λαμβάνονται από Google APIs σε οποιαδήποτε άλλη εφαρμογή θα συμμορφώνεται με την Google API Services User Data Policy, συμπεριλαμβανομένων των απαιτήσεων Limited Use.

5.1 Τι δεδομένα ζητάμε (OAuth scopes)

• https://www.googleapis.com/auth/calendar.events.owned — δημιουργία και διαχείριση events σε ημερολόγια που σας ανήκουν.
• openid και email — για να εμφανίζουμε ποιος Google λογαριασμός είναι συνδεδεμένος.

5.2 Πώς τα χρησιμοποιούμε

Δημιουργούμε ή ενημερώνουμε events στο ημερολόγιό σας αποκλειστικά όταν ένας πελάτης σας κλείσει, αλλάξει ή ακυρώσει ραντεβού μέσω του AI υπαλλήλου. Δεν διαβάζουμε άλλα events, δεν αναλύουμε προσωπικές εκδηλώσεις και δεν χρησιμοποιούμε δεδομένα Google για κανέναν άλλο σκοπό.

5.3 Συμμόρφωση με Limited Use

Δεσμευόμαστε ρητά:

• Τα δεδομένα Google χρησιμοποιούνται μόνο για την παροχή της λειτουργίας κράτησης ραντεβού στο Calendar σας.
• Δεν μεταβιβάζουμε δεδομένα Google σε τρίτους, εκτός αν είναι απαραίτητο για την παροχή της υπηρεσίας (π.χ. ο πάροχος βάσης δεδομένων μας) και ισχύουν ισοδύναμα μέτρα προστασίας.
• Δεν χρησιμοποιούμε δεδομένα Google για διαφημίσεις, ούτε τα πουλάμε.
• Δεν επιτρέπουμε σε ανθρώπους να διαβάζουν δεδομένα Google, εκτός αν: (α) έχει δοθεί ρητή συγκατάθεσή σας, (β) είναι απαραίτητο για λόγους ασφαλείας (π.χ. έρευνα κατάχρησης), (γ) είναι ανωνυμοποιημένα και συγκεντρωτικά, ή (δ) απαιτείται από νόμο.

5.4 Πώς αποθηκεύεται το token

Αποθηκεύουμε μόνο το OAuth refresh token που εκδίδει η Google, μέσα στη βάση δεδομένων μας (Supabase, στην ΕΕ, με κρυπτογράφηση δεδομένων εν ηρεμία). Το token επιτρέπει στον server μας να δημιουργεί events εκ μέρους σας χωρίς να ξαναζητά τον κωδικό σας. Δεν διατηρούμε αντίγραφα του ημερολογίου σας.

5.5 Πώς αποσυνδέετε ή διαγράφετε

Έχετε τον πλήρη έλεγχο ανά πάσα στιγμή:

• Πατήστε «Αποσύνδεση» στη σελίδα Ρυθμίσεις του dashboard σας — διαγράφει αμέσως το token μας.
• Ανακαλέστε την πρόσβαση από myaccount.google.com/permissions.
• Στείλτε αίτημα συνολικής διαγραφής στο info@clinicbrain.gr — απαντούμε εντός 30 ημερών.

6. Διεθνείς διαβιβάσεις

Ορισμένοι από τους παραπάνω παρόχους είναι εγκατεστημένοι εκτός ΕΟΧ (κυρίως ΗΠΑ). Για κάθε τέτοια διαβίβαση εφαρμόζονται οι Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής (Standard Contractual Clauses — SCC) σύμφωνα με τα άρθρα 44–49 GDPR.

7. Χρόνος διατήρησης

• Στοιχεία επικοινωνίας / leads: έως 24 μήνες από την τελευταία επικοινωνία.
• Καταγραφές κλήσεων και transcripts: 12 μήνες (εκτός αν ο πελάτης ορίσει μικρότερο χρόνο).
• Στοιχεία ραντεβού: όσο διατηρείται το αντίστοιχο event στο ημερολόγιο, και επιπλέον έως 6 μήνες για ιστορικό.
• Στοιχεία λογαριασμού: όσο διαρκεί η συνεργασία, και επιπλέον έως 12 μήνες μετά τη διαγραφή για τεκμηρίωση.
• Φορολογικά / λογιστικά παραστατικά: 5 έτη, σύμφωνα με τη φορολογική νομοθεσία.
• Logs ασφαλείας: έως 90 ημέρες.

8. Δικαιώματά σας

Ως υποκείμενο των δεδομένων έχετε τα ακόλουθα δικαιώματα (άρθρα 15–22 GDPR):

• Δικαίωμα πρόσβασης — να γνωρίζετε ποια δεδομένα σας τηρούμε.
• Δικαίωμα διόρθωσης — να ζητήσετε διόρθωση ανακριβών δεδομένων.
• Δικαίωμα διαγραφής («δικαίωμα στη λήθη») — να ζητήσετε διαγραφή των δεδομένων σας.
• Δικαίωμα περιορισμού της επεξεργασίας.
• Δικαίωμα φορητότητας — να λάβετε τα δεδομένα σας σε δομημένη μορφή.
• Δικαίωμα εναντίωσης στην επεξεργασία.
• Δικαίωμα ανάκλησης συγκατάθεσης ανά πάσα στιγμή, χωρίς να θίγεται η νομιμότητα της προηγούμενης επεξεργασίας.
• Δικαίωμα μη αυτοματοποιημένης λήψης απόφασης — δεν προβαίνουμε σε αυτοματοποιημένη λήψη αποφάσεων με νομικές συνέπειες για εσάς.

Για άσκηση των δικαιωμάτων σας, στείλτε αίτημα στο info@clinicbrain.gr. Απαντούμε εντός 30 ημερών.

9. Δικαίωμα καταγγελίας

Εφόσον θεωρείτε ότι η επεξεργασία των δεδομένων σας παραβιάζει τον GDPR ή την ελληνική νομοθεσία, έχετε δικαίωμα να υποβάλετε καταγγελία στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ):

• Διεύθυνση: Λεωφ. Κηφισίας 1-3, 11523, Αθήνα
• Τηλ.: +30 210 6475600
• Web: www.dpa.gr
• Email: contact@dpa.gr

10. Ασφάλεια δεδομένων

Εφαρμόζουμε κατάλληλα τεχνικά και οργανωτικά μέτρα για την προστασία των δεδομένων σας: κρυπτογράφηση μεταφοράς (TLS/HTTPS), περιορισμένη πρόσβαση μόνο σε εξουσιοδοτημένο προσωπικό, τακτικά backups, παρακολούθηση logs ασφαλείας και έλεγχο των third-party παρόχων.

11. Παιδιά

Η υπηρεσία απευθύνεται σε επαγγελματίες υγείας (ενήλικες) και δεν προορίζεται για χρήση από ανηλίκους κάτω των 16 ετών. Δεν συλλέγουμε εν γνώσει μας δεδομένα ανηλίκων.

12. Cookies

Για τη χρήση cookies στην ιστοσελίδα μας, παρακαλούμε δείτε την αναλυτική Πολιτική Cookies.

13. Αλλαγές στην πολιτική

Διατηρούμε το δικαίωμα να ενημερώνουμε αυτή την πολιτική. Οι ουσιώδεις αλλαγές θα ανακοινώνονται στην ιστοσελίδα. Η ημερομηνία τελευταίας ενημέρωσης φαίνεται στην κορυφή του κειμένου.

14. Εφαρμοστέο δίκαιο

Η παρούσα πολιτική διέπεται από το ελληνικό δίκαιο και τον GDPR. Αρμόδια για τυχόν διαφορές είναι τα δικαστήρια της Αθήνας.