Πολιτική Απορρήτου

1. Υπεύθυνος Επεξεργασίας

Ο υπεύθυνος επεξεργασίας των προσωπικών σας δεδομένων είναι ο VICTOR BERTHELIUS PATO, με NIF 54052380B, ο οποίος δρα ως ελεύθερος επαγγελματίας υπό την εμπορική επωνυμία Frihet, με φορολογική κατοικία στην C/ Cervera n9, Radazul 38109, S/C de Tenerife. Μπορείτε να επικοινωνήσετε για θέματα προστασίας δεδομένων μέσω του email support@frihet.io.

2. Δεδομένα που Συλλέγουμε

Συλλέγουμε τους ακόλουθους τύπους δεδομένων: Δεδομένα λογαριασμού: όνομα, διεύθυνση email, κωδικός πρόσβασης (κρυπτογραφημένος), όνομα εταιρείας και φορολογικά δεδομένα που παρέχετε κατά την εγγραφή σας. Δεδομένα χρήσης: πληροφορίες σχετικά με το πώς χρησιμοποιείτε την Υπηρεσία, συμπεριλαμβανομένων επισκέψεων σε σελίδες, λειτουργιών που χρησιμοποιήθηκαν, συχνότητας χρήσης και προτιμήσεων ρυθμίσεων. Δεδομένα πληρωμής: τα δεδομένα της πιστωτικής ή χρεωστικής σας κάρτας επεξεργάζονται απευθείας από την Stripe· η Frihet δεν αποθηκεύει τους πλήρεις αριθμούς καρτών στους διακομιστές της. Τεχνικά δεδομένα: διεύθυνση IP, τύπος προγράμματος περιήγησης, λειτουργικό σύστημα, αναγνωριστικά συσκευής και δεδομένα σύνδεσης. Business data: information you store in Frihet as part of your business operations, including client and vendor records (names, email addresses, phone numbers, postal addresses), invoices, quotes, expenses, products, CRM contact persons, activity logs, notes, and financial summaries. This data is accessible via the Frihet web app, REST API, and MCP server based on your authentication credentials.

3. Νομική Βάση Επεξεργασίας

Επεξεργαζόμαστε τα προσωπικά σας δεδομένα βάσει των ακόλουθων νομικών βάσεων: Εκτέλεση σύμβασης (άρθρο 6.1.β ΓΚΠΔ): η επεξεργασία είναι απαραίτητη για την παροχή της Υπηρεσίας που έχετε συνάψει. Συγκατάθεση (άρθρο 6.1.α ΓΚΠΔ): για την αποστολή εμπορικών επικοινωνιών και ενημερωτικών δελτίων (newsletters), την οποία μπορείτε να ανακαλέσετε ανά πάσα στιγμή. Έννομο συμφέρον (άρθρο 6.1.στ ΓΚΠΔ): για τη βελτίωση της Υπηρεσίας, την πρόληψη απάτης και την ασφάλεια της πλατφόρμας. Νομική υποχρέωση (άρθρο 6.1.γ ΓΚΠΔ): για τη συμμόρφωση με τις ισχύουσες φορολογικές και νομικές υποχρεώσεις.

4. Σκοποί Επεξεργασίας

Χρησιμοποιούμε τα δεδομένα σας για τους ακόλουθους σκοπούς: παροχή και διαχείριση της συμβεβλημένης Υπηρεσίας· επεξεργασία πληρωμών και τιμολόγηση· επικοινωνία μαζί σας σχετικά με τον λογαριασμό σας, ενημερώσεις της Υπηρεσίας και τεχνική υποστήριξη· αποστολή εμπορικών επικοινωνιών (με προηγούμενη συγκατάθεση)· βελτίωση και εξατομίκευση της εμπειρίας χρήστη· στατιστική και συγκεντρωτική ανάλυση της χρήσης της Υπηρεσίας· συμμόρφωση με νομικές και φορολογικές υποχρεώσεις· ανίχνευση και πρόληψη απάτης και καταχρήσεων.

5. Αποδέκτες των Δεδομένων

Μοιραζόμαστε τα δεδομένα σας μόνο με τους ακόλουθους παρόχους υπηρεσιών, απαραίτητους για την παροχή της Υπηρεσίας: Stripe (επεξεργασία πληρωμών, έδρα στις ΗΠΑ, συμμορφώνεται με το DPF). Firebase/Google Cloud (υποδομή και πιστοποίηση, έδρα στις ΗΠΑ, συμμορφώνεται με το DPF). Resend (αποστολή συναλλακτικών email, έδρα στις ΗΠΑ). Google Analytics 4 (ανάλυση ιστού με cookies, ενεργοποιείται μόνο κατόπιν προηγούμενης συγκατάθεσης του χρήστη, έδρα στις ΗΠΑ, συμμορφώνεται με το DPF). Vercel Inc. (φιλοξενία ιστοσελίδων και ανάλυση χωρίς cookies, έδρα στις ΗΠΑ). PostHog (ανάλυση προϊόντος, ενεργοποιείται μόνο κατόπιν προηγούμενης συγκατάθεσης του χρήστη, έδρα στις ΗΠΑ). Umami (ανάλυση ιστού, αυτο-φιλοξενούμενο στην ΕΕ, χωρίς cookies, σεβαστό στην ιδιωτικότητα). Όλοι οι πάροχοι έχουν επιλεγεί διασφαλίζοντας ότι προσφέρουν επαρκή μέτρα ασφαλείας και συμμορφώνονται με την ισχύουσα νομοθεσία περί προστασίας δεδομένων. OpenAI (ChatGPT integration, only when you connect Frihet to ChatGPT; based in the US, DPF certified). Google Gemini (AI-powered features within Frihet such as document analysis and smart categorization; based in the US, DPF certified, the Google Workspace add-on uses Gemini Developer API, subject to that API’s applicable terms).

6. Διεθνείς Μεταφορές

Ορισμένοι από τους παρόχους υπηρεσιών μας βρίσκονται εκτός του Ευρωπαϊκού Οικονομικού Χώρου, συγκεκριμένα στις Ηνωμένες Πολιτείες. Αυτές οι μεταφορές πραγματοποιούνται βάσει: του Πλαισίου Προστασίας Δεδομένων ΕΕ-ΗΠΑ (Data Privacy Framework) για τους συμμετέχοντες παρόχους· τυποποιημένων συμβατικών ρητρών που έχουν εγκριθεί από την Ευρωπαϊκή Επιτροπή· ή αποφάσεων επάρκειας της Ευρωπαϊκής Επιτροπής, όταν υπάρχουν. Μπορείτε να ζητήσετε επιπρόσθετες πληροφορίες σχετικά με τις ισχύουσες εγγυήσεις για αυτές τις μεταφορές στέλνοντας email στο support@frihet.io.

7. Περίοδος Διατήρησης

Διατηρούμε τα προσωπικά σας δεδομένα για το διάστημα που είναι απαραίτητο για τους σκοπούς για τους οποίους συλλέχθηκαν: Δεδομένα λογαριασμού και περιεχόμενο χρήστη: κατά τη διάρκεια ισχύος του λογαριασμού σας και μετά την ακύρωση, έως ότου ζητήσετε τη διαγραφή ή την εξαγωγή τους επικοινωνώντας με το support@frihet.io. Τα αιτήματα διαγραφής εξετάζονται χειροκίνητα και δεν εκτελούνται αυτόματα σε σταθερό χρονοδιάγραμμα. Δεδομένα τιμολόγησης: για το χρονικό διάστημα που απαιτείται νομικά για τη φορολογική συμμόρφωση (επί του παρόντος 4 έτη σύμφωνα με τον Ισπανικό Γενικό Φορολογικό Νόμο). Δεδομένα χρήσης και ανάλυσης: σε ανωνυμοποιημένη και συγκεντρωτική μορφή, χωρίς χρονικό περιορισμό. Επικοινωνίες μάρκετινγκ: έως ότου αποσύρετε τη συγκατάθεσή σας.

8. Τα Δικαιώματά σας (ARCO-POL)

Σύμφωνα με τον ΓΚΠΔ και τον LOPDGDD, έχετε τα ακόλουθα δικαιώματα: Πρόσβαση: να γνωρίζετε ποια προσωπικά δεδομένα επεξεργαζόμαστε για εσάς. Διόρθωση: να διορθώνετε ανακριβή ή ελλιπή δεδομένα. Διαγραφή (δικαίωμα στη λήθη): να ζητάτε τη διαγραφή των δεδομένων σας όταν δεν είναι πλέον απαραίτητα. Εναντίωση: να αντιτίθεστε στην επεξεργασία των δεδομένων σας σε ορισμένες περιπτώσεις. Φορητότητα: να λαμβάνετε τα δεδομένα σας σε δομημένη και κοινώς χρησιμοποιούμενη μορφή (CSV, JSON). Περιορισμός: να ζητάτε τον περιορισμό της επεξεργασίας σε ορισμένες περιπτώσεις. Μπορείτε να ασκήσετε αυτά τα δικαιώματα στέλνοντας ένα email στο support@frihet.io, επισυνάπτοντας αντίγραφο του εγγράφου ταυτότητάς σας. Απαντάμε εντός μέγιστης προθεσμίας 30 ημερών. Έχετε επίσης το δικαίωμα να υποβάλετε καταγγελία στην Ισπανική Υπηρεσία Προστασίας Δεδομένων (www.aepd.es).

9. Cookies και Αναλυτικά Στοιχεία

Στο frihet.io χρησιμοποιούμε τα ακόλουθα εργαλεία ανάλυσης: Umami (αυτο-φιλοξενούμενο στην ΕΕ, χωρίς cookies, χωρίς αναγνωρίσιμα προσωπικά δεδομένα, σύμφωνα με τον ΓΚΠΔ χωρίς να απαιτείται συγκατάθεση). Google Analytics 4 (χρησιμοποιεί cookies παρακολούθησης, ενεργοποιείται μόνο κατόπιν ρητής συγκατάθεσης του χρήστη μέσω του banner cookies μας). PostHog (ανάλυση προϊόντος, ενεργοποιείται μόνο κατόπιν συγκατάθεσης). Vercel Analytics και SpeedInsights (χωρίς cookies, ανώνυμες μετρήσεις απόδοσης). Κατά την πρώτη επίσκεψή σας στον ιστότοπό μας, εμφανίζεται ένα banner συγκατάθεσης για cookies. Τα εργαλεία που χρησιμοποιούν cookies (GA4, PostHog) ενεργοποιούνται μόνο εάν ο χρήστης συμφωνήσει ρητά. Μπορείτε να ανακαλέσετε τη συγκατάθεσή σας ανά πάσα στιγμή από τις ρυθμίσεις cookies. Στην εφαρμογή μας web (app.frihet.io), χρησιμοποιούμε τοπική αποθήκευση (localStorage) για να αποθηκεύσουμε τις προτιμήσεις γλώσσας και συνεδρίας σας, κάτι που είναι απολύτως απαραίτητο για τη λειτουργία της Υπηρεσίας.

10. AI, API, and Developer Integrations

Frihet provides programmatic access to your business data through a REST API (api.frihet.io) and an MCP server (mcp.frihet.io) that can be used with AI assistants such as Claude, ChatGPT, Cursor, and other compatible tools. Data accessible via API and AI tools: When you or an authorized AI assistant connects to Frihet via API or MCP, the following data categories may be accessed based on your API key permissions: business profile information (company name, plan type); client and vendor contact data (names, email addresses, phone numbers, postal addresses); invoice and quote details (line items, amounts, dates, status); expense records (descriptions, amounts, categories); product catalog (names, prices); CRM data (contact persons, activity logs, notes); financial summaries (monthly revenue, expenses, profit); and webhook configurations (endpoint URLs, subscribed events). Data minimized in third-party AI integrations: When Frihet is accessed through third-party AI platforms (such as OpenAI ChatGPT), certain sensitive data categories are automatically excluded or redacted from tool responses. Specifically, government-issued tax identifiers (NIF, CIF, VAT numbers) and signing credentials are not transmitted through these integrations. Users who need to manage tax identifiers should use the Frihet web application directly at app.frihet.io. AI processing: Frihet uses Google Gemini for AI-powered features including document analysis, smart categorization, and business intelligence. Your business data processed by these AI features is not used to train AI models. Data sent to AI services is governed by our data processing agreements with the respective providers. OAuth and API authentication: API access requires authentication via API key (fri_ prefix) or OAuth 2.0 with PKCE. OAuth access tokens expire after 1 hour; refresh tokens after 30 days. Tokens can be revoked at any time from your Frihet account settings. No training on your data: Neither Frihet nor any of our AI service providers use your business data to train, fine-tune, or improve AI or machine learning models. Your data is processed solely to provide the requested service functionality.

11. Επικοινωνία με τον Υπεύθυνο Επεξεργασίας

Για οποιαδήποτε ερώτηση σχετική με την επεξεργασία των προσωπικών σας δεδομένων ή την άσκηση των δικαιωμάτων σας, μπορείτε να επικοινωνήσετε με τον υπεύθυνο επεξεργασίας στο: support@frihet.io. VICTOR BERTHELIUS PATO, C/ Cervera n9, Radazul 38109, S/C de Tenerife. Δεσμευόμαστε να ανταποκριθούμε στα αιτήματά σας με τη μέγιστη επιμέλεια και διαφάνεια.

12. Frihet Chrome Extension

This section describes version 3.1.1 of the Frihet Chrome extension publication candidate. It does not mean that the extension is available in the Chrome Web Store.

The extension lets you capture and review expenses, select documents and look up records in the connected workspace. A Frihet account and appropriate permissions are required. The interface is available in Spanish and English.

To connect, the extension opens an authorization window on app.frihet.io. After signing in with your Frihet account, you choose the workspace and review the permissions before authorizing the connection. The extension receives a credential limited to searching records and, when your role and consent permit, preparing and confirming expenses in that workspace. It does not require a general-purpose API key or receive your password or the web application’s Firebase tokens. The connection can keep working after you close the ERP tab. It lasts for a maximum of 30 days from your authorization; short-lived access credentials are renewed using a rotating credential. Current permissions and the validity of the authorization are checked on the server. You can revoke it using “Disconnect” in the extension. Signing out of or switching workspaces in the ERP does not by itself revoke this independent connection. If you disconnect while offline, the extension blocks local use and retains only the credential needed to retry revocation when it runs with a connection. Revocation does not delete expenses or documents already saved.

Page capture occurs after your explicit action. Visible or selected text is processed locally to propose expense fields. You can correct them before confirming. Incomplete fields require review. On confirmation, the reviewed fields are sent to Frihet through the extension’s authenticated service. Full page text is not sent. The source address is retained as an origin reference without username, password, query parameters or fragment; a path may contain identifiers, so review the displayed source. A web capture does not attach a receipt copy. The extension does not collect general browsing history or read pages in the background.

If you select a PDF or image, the file is sent to Frihet for storage and processing by its document capture service, including the AI field extraction described in this policy. Processing starts when you select the file and may retain a draft and document before you confirm an expense. Proposed fields, including withholding tax where review is required, must be checked before confirmation. Documents, drafts and expenses stored in Frihet follow the service’s general retention periods and applicable legal requirements; deleting a local extension copy does not delete those server records.

The extension stores preferences and confirmed captures awaiting a response in chrome.storage.local, scoped to the corresponding user and workspace. It also retains an opaque fingerprint and the identifier of document submissions for which it has not received a response, so it can recover the same operation when you select the file again. These fingerprints do not contain a copy of the file or its name and are deleted when the response is recovered or, at the latest, after seven days when cleanup runs. The OAuth refresh credential is stored in the extension’s local storage and the short-lived access credential in session storage. Access is restricted to extension contexts through TRUSTED_CONTEXTS. This does not encrypt the local file or protect it from someone with access to the system profile. The extension does not store general-purpose API keys or Firebase tokens. You can delete pending copies in the extension and remove its local data by uninstalling it. Uninstalling deletes local data, but does not by itself send a revocation to the server; to revoke the connection beforehand, use “Disconnect”.

A submission without acknowledgement remains in Pending and is retried when you request it. Retries preserve the operation identity to avoid duplicates. Changing account or workspace does not authorize sending captures to another workspace. The pending copy is removed after a confirmed response or a review response that did not create an expense. Items older than seven days are removed when the extension runs again or performs periodic maintenance; a closed browser cannot perform cleanup. Full files are not retained in this local queue.

Typed search queries are sent to the connected Frihet workspace and the extension displays a bounded selection of records. Address-bar search may run as you type after activating “frh”. Received data and providers involved in processing are governed by this general policy. The extension has no advertising or analytics of its own.

Data is used for the visible capture, review, search and recovery functions. It is not sold or used for advertising or creditworthiness decisions. For questions or to exercise your rights, contact support@frihet.io.

13. Frihet for Google Workspace

Frihet for Google Workspace lets you prepare an expense draft from an attachment in the Gmail message you have open or a file you select in Google Drive. You need a Frihet account and permission to create expenses in the chosen workspace. The add-on prepares the document; you review and correct the data in Frihet before recording the expense.

Connection and permissions. Connection links your Google account to your Frihet user and workspace. We store your Google identifier and email, Frihet user and workspace, authorized scope, and the dates and status needed to manage that link. Frihet's permission to prepare drafts lasts for a maximum of 30 days and can be revoked with Disconnect. We do not receive your Google password. Temporary credentials provided by Google for an action are used during that request and are not stored in Frihet's database. Connecting your accounts does not automatically import documents.

What we read and when. In Gmail, clicking Find attachments retrieves the open message's structure, headers and attachment metadata to list supported documents. We do not download the message body text or scan the mailbox. The selected attachment's content is copied to Frihet when you ask to prepare that document. Some attachments embedded in the message body must be uploaded through Frihet. In Drive, we use your current selection and the permission granted for that file; we check its name, type, size and version before importing it, without browsing the rest of Drive. Supported files are PDF, JPEG, PNG and WebP up to 10 MiB; native Google documents are not exported and shortcuts are not followed.

Full documents and AI extraction. Preparing a document sends its full content to Frihet and to Google through the Gemini Developer API to extract text and propose draft fields. This includes personal, tax or banking information contained in the file: it is not redacted before this extraction. This is a separate flow from API and MCP responses to external assistants described in this policy. The notice is shown before document preparation and again when you choose to retry a failed transfer. Processing and original retention start before you confirm the expense; if extraction fails, the original and a draft may remain available for manual review. You can correct or discard the proposal in Frihet.

Storage, providers and location. Frihet uses Google Cloud/Firebase to store the document, draft and operation records, and Cloudflare R2 to retain copies of the original. Primary document storage in Google Cloud Storage is configured in the US-CENTRAL1 region, in the United States. Processing through Gemini Developer API and Cloudflare R2 is also subject to the applicable provider terms; this integration does not offer storage and processing exclusively within the European Union. The international transfers section of this policy applies. You can request information about recipients and applicable safeguards at support@frihet.io.

Recovery and diagnostics. We retain operation identifiers, document and source fingerprints, and processing metadata to recover pending results and prevent duplicates. Automatic retries work on the document you already asked to prepare; they do not authorize access to other messages or files. If you choose Retry preparation, the selected document may be downloaded and processed again. Your connection and current Frihet permissions are checked during processing. AI diagnostic traces in the Langfuse instance managed by Frihet include a user identifier and limited technical information; they exclude the full document, extracted text and field values. These identifiers are not considered anonymous data.

Retention and deletion. Connection expiry and data deletion are separate processes. Connection records are scheduled for cleanup after expiry. Temporary queue copies are removed when processing finishes or the work is due to be discarded; pending work has a processing window of up to 24 hours. Cleanup runs periodically and may be delayed by incidents, so these windows do not guarantee immediate physical deletion. Retained originals, drafts, extracted data, expenses and records needed to recover operations are not deleted when those windows end. They follow the retention section of this policy: for the duration of the account and, after cancellation, until you request deletion, subject to manual review and exceptions required by legal obligations. You can request export or deletion at support@frihet.io. Discarding an expense proposal is not a request to delete all its copies.

Google also applies its own security and abuse-prevention measures to Gemini Developer API. Its abuse monitoring policy provides for retaining requests and responses for 55 days and allows authorized personnel to review suspicious activity. This period is separate from Frihet's retention of originals and does not mean documents are deleted from Frihet after 55 days.

Data protection and security mechanisms. To protect sensitive user data obtained through Google Workspace APIs, Frihet enforces technical and organizational security measures: - Data in transit: All data exchanged between your client, Google Workspace APIs, and Frihet infrastructure is encrypted in transit using HTTPS and Transport Layer Security (TLS 1.3, minimum TLS 1.2). - Data at rest: Stored documents, attachments, drafts, extracted information, and related metadata are encrypted at rest using industry-standard AES-256 encryption in Google Cloud Storage, Firebase Firestore, and Cloudflare R2. - Access controls and governance: Access to systems and databases processing Workspace data is restricted strictly under the principle of least privilege and role-based access control (RBAC). Administrative access requires mandatory Multi-Factor Authentication (MFA), hardware security keys where applicable, and comprehensive audit logging. Direct production data access is restricted to authorized personnel solely for troubleshooting and customer-requested support. - AI and Machine Learning models disclosure: Frihet does not use, retain, or share user data or content obtained through Google Workspace APIs to develop, train, fine-tune, or improve generalized artificial intelligence (AI) and/or machine learning (ML) models. Data processed via the Gemini Developer API is utilized strictly for document understanding and field extraction for the specific document selected by the user, and is not used to train foundation models.

Limited Use of Google data. Information received from Google is used for the visible connection, import, extraction, review and recovery features you request, and to secure those operations. It is not sold or used for advertising. Frihet's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy and the Google Workspace API User Data and Developer Policy, including the Limited Use requirements.

Disconnecting and your rights. You can disconnect the link in Frihet and revoke Gmail or Drive access permissions from your Google account. Disconnecting or allowing Frihet's permission to expire prevents new operations through that link, but does not undo a transfer that has already taken place. Revoking Google permissions limits new access under those permissions; it does not delete copies you have already imported. Disconnecting, allowing permission to expire or uninstalling the add-on does not automatically delete saved documents, drafts or expenses. Contact support@frihet.io for questions, export, deletion or other rights described in this policy.