隐私政策

1.谁负责处理

Hournook 由 Theocharis Panagiotis Siozos（ΣΙΩΖΟΣ ΘΕΟΧΑΡΗΣ ΠΑΝΑΓΙΩΤΗΣ），以 DevTaskHub.com 为商号经营的个体经营者，地址：Markou Mpotsari 83, 546 44 Thessaloniki, Greece。希腊税号（ΑΦΜ）169481343，希腊商业总登记处（Γ.Ε.ΜΗ.）登记号 186989906000（下称“我们”）提供。

如对隐私有任何疑问或需行使您的权利，请发送电子邮件至 devtaskhub@devtaskhub.com。由于法律并未要求我们针对自身业务任命数据保护官，因此我们未设该职位；隐私请求由商家所有人直接处理。

2.两种角色：控制者和处理者

Hournook 的使用者分为两类，我们对每类人员的角色不同：

• 拥有 Hournook 账户的商家及其团队成员。对于他们的账户、账单、支持和安全数据，我们是控制者。本政策描述的就是这类处理。
• 通过预约页面预约或由商家自行添加的这些商家的客户。由商家决定为何以及如何使用这些数据，因此商家是控制者，而我们依据我们的数据处理协议作为其处理者行事。适用于您的是该商家自己的隐私声明。

如您在某商家处预约后希望查看、更正或删除您的信息，请直接联系该商家；商家可在其仪表板中完成这些操作。如您致函我们，我们会将您的请求转交该商家并协助其答复。

3.处理哪些数据

账户数据（我们是控制者）

• 姓名、电子邮件地址、电子邮件是否已验证、语言。
• 您的密码，仅以加盐的单向哈希值形式存储，因此我们无法读取。
• 您在注册时接受我们条款的时间及版本。
• 登录会话，包括 IP 地址和浏览器类型，用于保持您的登录状态并保护您的账户。

商家数据（就账单而言我们是控制者；其余方面我们是处理者）

• 商家名称、类别、地址、您选择公开的联系方式、时区、预约页面设置、徽标和照片。
• 服务、价格、营业时间、停业日、预约规则、员工及其角色。

客户和预约数据（我们是处理者）

• 预约人的姓名、电子邮件地址和电话号码，其添加的任何留言，以及商家撰写的私人备注。
• 服务、员工、日期、时间、时长、价格、状态和变更记录（例如改期或取消以及操作人），以及预订方式（预约页面、嵌入式小部件或二维码，以及在可获得时的来源网站或推广活动标签）。

账单数据（我们是控制者）

• 订阅状态以及 Stripe 客户和订阅标识符。银行卡信息在 Stripe 的页面上输入；我们从不接收或存储完整的卡号。
• 税务和会计法律要求的发票和付款记录。

安全和服务记录（我们是控制者）

• 重要操作（例如登录、设置更改、导出和删除）的审计日志，包括 IP 地址和请求标识符。
• 用于阻止滥用的短期速率限制计数器。
• 我们的托管服务商保存的技术服务器日志。
• 预约页面统计：带有流量来源的预订步骤计数（例如“页面浏览”或“预订完成”）。这些统计不使用 Cookie，且不包含姓名、联系方式、IP 地址或设备标识符。

支持

• 您发给我们的电子邮件以及我们的回复。

我们不购买个人数据，不使用跟踪或广告 Cookie，也不使用对访客进行画像的分析服务。

4.我们为何使用这些数据及法律依据

• 向商家提供服务：账户、预约页面、日历、客户列表、团队功能、导出和服务邮件（验证、密码重置、邀请、账单通知）：为履行我们与您之间的合同所必需（GDPR 第 6 条第 1 款 (b) 项）。
• 处理客户和预约数据：仅依据商家的指示，按照数据处理协议进行（GDPR 第 28 条）。商家对其自身的法律依据负责。
• 计费、开票和会计：合同（第 6 条第 1 款 (b) 项）以及我们依据希腊税务和会计法律承担的法定义务（第 6 条第 1 款 (c) 项）。
• 安全以及防范欺诈和滥用：审计日志、速率限制和服务器日志：我们维护服务及其用户安全的正当利益（第 6 条第 1 款 (f) 项）。
• 支持：答复您的消息：合同，或如您不是客户，则为我们答复的正当利益（第 6 条第 1 款 (b) 项或 (f) 项）。
• 改进 Hournook：使用关于功能使用情况的汇总、不可识别个人身份的信息：我们的正当利益（第 6 条第 1 款 (f) 项）。
• 法律主张和主管机关的要求：在确立、行使或抗辩法律主张或遵守法律所必需时（第 6 条第 1 款 (c) 项和 (f) 项）。

5.不出售、不做广告、不作自动化决策

我们不出售或出租个人数据，不将客户或账户数据用于广告，未经您同意也不发送营销邮件。我们不作出仅基于自动化处理（包括画像）且对您产生法律效力或类似重大影响的决策。

6.谁会接收数据

个人数据仅与下列服务商共享，他们依据数据处理协议按照我们的指示处理数据，且仅限于各自所需的范围：

Stripe 还依据其自身的隐私政策，作为独立控制者处理付款数据（例如用于防范欺诈和遵守金融监管）。在法律要求或允许时，我们也可能向主管机关、法院或专业顾问（例如我们的会计师或律师）披露数据。

7.向欧洲经济区以外传输

我们的部分服务商位于美国，或可能从美国访问数据。当个人数据被传输至欧洲经济区以外时，我们依据欧盟委员会的充分性认定（适用于根据欧盟—美国数据隐私框架获得认证的服务商），或依据欧盟委员会的标准合同条款，并辅以服务商提供的额外保障措施，例如传输中和静态存储时的加密。您可以向我们索取有关这些保障措施的更多信息。

8.数据保存期限

• 账户和商家数据：在账户存续期间保存。商家账户或用户账户被删除后，其数据会立即从我们的生产系统中删除，并在 30 天内从我们数据库服务商的备份中删除。
• 客户和预约数据：在商家保存期间保存，直至商家删除该客户或商家被删除。
• 登录会话：30 天无活动后过期，随后删除。
• 邮箱验证和密码重置链接：过期 7 天后删除。
• 我们发送的邮件：内容在 180 天后清除。对于预约邮件，投递记录（收件人、类型、状态和日期）会随预约一起保留；账户邮件的记录在 180 天后删除。
• 审计日志：IP 地址在 180 天后移除，条目在两年后删除。
• 速率限制计数器：过期后一小时内删除。
• 预约页面统计（匿名）：约 13 个月后删除。
• 发票和账单记录：在希腊税务和会计法律要求的期限内保存：通常为自纳税年度结束起五年，如法律延长该期限则相应延长。
• 支持邮件：在处理您的请求所需的期间内保存，并在此后最多保存两年，除非法律主张需要更长期限。

9.您的权利

根据 GDPR，您有权：

• 访问您的个人数据并获取副本；
• 要求更正不准确的数据；
• 在不再有理由保留时要求删除您的数据；
• 在特定情况下要求限制处理；
• 以结构化、机器可读的格式获取您提供给我们的数据（可携带权）；
• 基于与您的特定情况相关的理由，随时反对基于我们正当利益的处理；以及
• 撤回您给予的任何同意，但不影响撤回前的处理。

商家可以自行完成大部分操作：在设置中编辑信息，从仪表板导出数据，以及在设置中删除商家或用户账户。其他事项请发送电子邮件至 devtaskhub@devtaskhub.com。我们会在一个月内答复（对于复杂请求可再延长两个月，届时我们会告知原因）。我们可能会先请您确认身份。

您还有权向监管机构投诉，特别是向您居住地、工作地或侵权行为发生地所在欧盟国家的监管机构投诉。在希腊，该机构为希腊数据保护局（Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα），地址：雅典基菲西亚斯大道 1–3 号，邮编 115 23，网站 www.dpa.gr。我们希望您能先给我们一个解决您关切问题的机会。

10.您是否必须向我们提供数据？

创建账户时，我们需要您的姓名、电子邮件地址和密码；没有这些信息，我们无法提供服务。其他所有信息均为可选，或是您的商家选择添加的信息。

11.安全

我们采用加密连接（HTTPS 及 HSTS）、加密的数据库连接、强单向密码哈希、页面脚本无法读取的登录 Cookie、严格隔离各商家的数据、基于角色的团队成员权限、敏感操作的速率限制、内容安全策略和审计日志。我们的服务商会对静态存储的数据进行加密。没有任何在线服务是绝对安全的；如发生个人数据泄露，我们将在要求时于 72 小时内通知监管机构，不无故拖延地通知受影响的商家，并在法律要求时直接通知您。

12.Cookie

我们仅使用登录和保障会话安全所必需的 Cookie，并使用浏览器的本地存储记住您选择的浅色或深色主题。我们不使用分析、广告或社交媒体 Cookie，因此不显示 Cookie 横幅。详情请参阅Cookie 政策。

13.儿童

Hournook 账户面向商家，仅限成年人创建。我们不会为自身目的故意收集儿童的数据。为儿童提供预约的商家（例如课外辅导）作为控制者，负责合法收集儿童的数据。

14.本政策的变更

当我们的处理活动发生变化时，我们将更新本政策。页面顶部的日期和版本显示最近一次更改的时间；对于重大变更，我们还会提前通过电子邮件通知账户所有者。

15.联系方式

Theocharis Panagiotis Siozos（ΣΙΩΖΟΣ ΘΕΟΧΑΡΗΣ ΠΑΝΑΓΙΩΤΗΣ），以 DevTaskHub.com 为商号经营的个体经营者，地址：Markou Mpotsari 83, 546 44 Thessaloniki, Greece。希腊税号（ΑΦΜ）169481343，希腊商业总登记处（Γ.Ε.ΜΗ.）登记号 186989906000。电子邮件：devtaskhub@devtaskhub.com。