سیاست حریم خصوصی

این سیاست برای فروشگاه اینترنتی zambilo.de و اپلیکیشن‌های موبایل «Zambilo» برای iOS (Apple App Store) و Android (Google Play Store) اعمال می‌شود (مجموعاً «پلتفرم»).

۱. مسئول پردازش داده‌ها

مسئول به مفهوم مقررات عمومی حفاظت از داده‌ها (DSGVO/GDPR):

Fateme Alipoor Khomearan Weißdornweg 4 22393 Hamburg آلمان تلفن: +49 151 41349312 رایانامه: info@zambilo.de

ما مسئول حفاظت از داده‌ها (Datenschutzbeauftragter) تعیین نکرده‌ایم؛ به تشخیص ما الزام قانونی برای آن وجود ندارد (ماده ۳۸ BDSG).

۲. دامنه اعتبار و اصول

این سیاست شامل پردازش داده‌های شخصی از طریق فروشگاه zambilo.de و اپلیکیشن‌های موبایل است. پلتفرم برای مصرف‌کنندگان نهایی (B2C) است. ما داده‌های شخصی را تنها مطابق GDPR، قانون فدرال حفاظت از داده‌های آلمان (BDSG) و قانون TDDDG پردازش می‌کنیم.

۳. افراد زیر سن قانونی

پلتفرم ما برای افراد بالغ است. افراد زیر ۱۶ سال نباید بدون رضایت سرپرست قانونی داده‌های شخصی برای ما ارسال کنند. ما آگاهانه داده‌های کودکان را جمع‌آوری نمی‌کنیم؛ در صورت اطلاع، این داده‌ها بی‌درنگ حذف می‌شوند. رضایت افراد زیر سن تنها مطابق ماده ۸ GDPR معتبر است.

۴. ثبت‌نام و حساب کاربری

داده‌های پردازش‌شده: نام و نام خانوادگی، نشانی صورتحساب، نشانی‌های تحویل متفاوت، نشانی رایانامه، شماره تلفن یا موبایل، زبان انتخابی، تنظیمات اطلاع‌رسانی رایانامه‌ای و تاریخچه سفارش‌های شما.

هدف: ایجاد و مدیریت حساب کاربری، انجام سفارش‌ها و رابطه تجاری، ارتباط با شما.

مبنای قانونی: ماده ۶ بند ۱ (b) GDPR (قرارداد و اقدامات پیش‌از‌قراردادی)؛ در صورت بررسی صحت اطلاعات، ماده ۶ بند ۱ (f) GDPR (منافع مشروع در پیشگیری از تقلب و سوءاستفاده)؛ در موارد الزام قانونی، ماده ۶ بند ۱ (c) GDPR.

داشتن حساب کاربری برای استفاده از پلتفرم لازم است؛ خرید مهمان (بدون حساب) در حال حاضر ارائه نمی‌شود.

۵. احراز هویت با رمز یک‌بارمصرف (OTP)

ورود به حساب و برخی عملیات امنیتی بدون رمزعبور و با رمزهای یک‌بارمصرف (OTP) انجام می‌شود که به نشانی رایانامه یا شماره موبایل ثبت‌شده‌ی شما ارسال می‌شود.

داده‌های پردازش‌شده: نشانی رایانامه یا شماره موبایل، کد OTP تولیدشده (فقط برای مدت کوتاه نگهداری می‌شود)، زمان ثبت و اطلاعات نشست/توکن برای حفظ وضعیت ورود.

دریافت‌کنندگان / ارائه‌دهندگان خدمات: برای ارسال پیامک از Twilio استفاده می‌کنیم (Twilio Inc., 101 Spear Street, San Francisco, CA, USA – سرویس «Twilio Verify»)؛ در این مورد شماره موبایل شما به Twilio منتقل می‌شود. برای ارسال رایانامه از STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin, آلمان استفاده می‌کنیم.

مبنای قانونی: ماده ۶ بند ۱ (b) و (f) GDPR (اجرای قرارداد و منافع مشروع در امنیت حساب).

۶. سفارش، تحویل، صورتحساب و انصراف

داده‌های پردازش‌شده: داده‌های سفارش و سبد خرید، روش و نشانی تحویل، یادداشت سفارش، کدهای تخفیف استفاده‌شده، وضعیت و تاریخچه سفارش، روش و وضعیت پرداخت، داده‌ها و فایل‌های صورتحساب (PDF). صورتحساب‌ها در یک فضای ذخیره‌سازی خصوصی و محافظت‌شده نگهداری می‌شوند و تنها از طریق مسیرهای احراز هویت‌شده قابل دسترسی اند.

انصراف، مرجوعی و ضمانت: در صورت اعلام انصراف یا استفاده از حق ضمانت، داده‌های لازم (اطلاعات سفارش و تماس، مشخصات کالا و ایراد، و در صورت لزوم شماره حساب برای استرداد وجه) پردازش می‌شوند.

مبنای قانونی: ماده ۶ بند ۱ (b) GDPR (قرارداد و ابطال آن) و ماده ۶ بند ۱ (c) GDPR (تعهدات نگهداری تجاری و مالیاتی، به‌ویژه ماده ۱۴۷ AO و ماده ۲۵۷ HGB).

۷. پرداخت آنلاین از طریق Mollie

برای پرداخت‌های آنلاین از Mollie استفاده می‌کنیم:

Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, هلند (ثبت‌شده در اتاق بازرگانی هلند با شماره 30204462). Mollie یک ارائه‌دهنده خدمات پرداخت دارای مجوز و تحت نظارت بانک مرکزی هلند (De Nederlandsche Bank, DNB) است.

داده‌های پردازش‌شده: نام و نشانی، نشانی رایانامه، نشانی صورتحساب و تحویل، شماره و مبلغ سفارش، روش پرداخت، وضعیت پرداخت و شناسه‌های مربوط به پرداخت. همچنین داده‌های لازم برای پرداخت (مانند شماره کارت، تاریخ انقضا، کد امنیتی، IBAN) و داده‌های فنی مانند نشانی IP و اطلاعات دستگاه و مرورگر.

وارد کردن اطلاعات پرداخت: برای پرداخت به صفحه‌ای که Mollie اداره می‌کند هدایت می‌شوید یا اطلاعات خود را در فیلدهای ارائه‌شده توسط Mollie وارد می‌کنید. اطلاعات کامل پرداخت مستقیماً به Mollie منتقل می‌شود و روی سرورهای ما ذخیره نمی‌شود؛ ما تنها وضعیت پرداخت و یک شناسه کوتاه‌شده (مانند نوع کارت و چهار رقم آخر) را دریافت می‌کنیم. بسته به روش پرداخت، Mollie داده‌های لازم را به ارائه‌دهنده مربوطه — مانند بانک شما یا شبکه کارت — منتقل می‌کند.

احراز هویت قوی مشتری: در پرداخت‌های کارتی ممکن است احراز هویت طبق دومین دستورالعمل خدمات پرداخت (PSD2، مانند 3-D Secure) لازم باشد. در این صورت داده‌ها به بانک صادرکننده کارت یا ارائه‌دهنده خدمات پرداخت منتقل می‌شود.

نقش Mollie: Mollie داده‌های پرداخت را به عنوان مسئول مستقل پردازش می‌کند، به‌ویژه برای انجام پرداخت، پیشگیری از تقلب و ایفای تعهدات نظارتی و مبارزه با پولشویی خود. پردازش درون اتحادیه اروپا انجام می‌شود. اطلاعات بیشتر در سیاست حریم خصوصی Mollie: mollie.com/legal/privacy.

مبنای قانونی: ماده ۶ بند ۱ (b) GDPR (اجرای قرارداد خرید شامل پرداخت)، ماده ۶ بند ۱ (f) GDPR (منافع مشروع در پرداخت امن و بدون تقلب) و ماده ۶ بند ۱ (c) GDPR (تعهدات قانونی ارائه‌دهنده خدمات پرداخت).

۸. پیشگیری از تقلب و اعتبارسنجی

پیشگیری از تقلب: Mollie تراکنش‌ها را به صورت خودکار از نظر نشانه‌های تقلب و جرایم مالی بررسی می‌کند. در این فرآیند داده‌های تراکنش، دستگاه و اتصال ارزیابی و به یک امتیاز ریسک تبدیل می‌شوند؛ تلاش‌های مشکوک ممکن است رد یا برای بررسی دستی علامت‌گذاری شوند. Mollie این بررسی را با مسئولیت خود و تا حدی در ایفای تعهدات قانونی انجام می‌دهد. مبنای قانونی: ماده ۶ بند ۱ (f)، (b) و (c) GDPR.

اعتبارسنجی: ما خود هیچ گزارش اعتباری درباره شما دریافت نمی‌کنیم. اگر در آینده روش‌های پرداخت با پیش‌پرداخت از سوی ما (مانند خرید اقساطی، پرداخت پس از دریافت یا دبیت مستقیم از طریق شخص ثالث) ارائه شود، ارائه‌دهنده خدمات پرداخت ممکن است به عنوان مسئول مستقل اعتبارسنجی انجام دهد؛ در آن صورت پیش از انتخاب روش پرداخت به شما اطلاع خواهیم داد و این متن را به‌روز می‌کنیم.

۹. اطلاع‌رسانی، رایانامه و تبلیغات

پیام‌های مرتبط با سفارش: اطلاعیه‌هایی در حساب کاربری شما نمایش می‌دهیم (مانند وضعیت سفارش و پرداخت) و بسته به تنظیمات شما رایانامه‌های مرتبط با معامله ارسال می‌کنیم. در حال حاضر از اعلان‌های Push سیستم عامل استفاده نمی‌کنیم؛ در صورت ارائه در آینده، فقط با اجازه شما در سطح دستگاه فعال می‌شود. مبنای قانونی: ماده ۶ بند ۱ (b) GDPR.

خبرنامه و رایانامه تبلیغاتی: رایانامه تبلیغاتی را تنها با رضایت صریح شما ارسال می‌کنیم (ماده ۶ بند ۱ (a) GDPR)؛ برای تأیید عضویت از روش Double-Opt-in استفاده می‌کنیم و زمان ثبت‌نام، تأیید و نشانی IP را به عنوان سند نگهداری می‌کنیم (ماده ۶ بند ۱ (f) GDPR). اگر از ما خرید کرده باشید، می‌توانیم طبق ماده ۷ بند ۳ UWG نشانی رایانامه شما را برای معرفی کالاهای مشابه خود استفاده کنیم.

لغو: می‌توانید رضایت خود را هر زمان برای آینده لغو کنید یا به استفاده تبلیغاتی اعتراض کنید — از طریق پیوند لغو عضویت https://www.zambilo.de/newsletter/abmelden یا پیام به info@zambilo.de. پس از آن نشانی شما در فهرست مسدودی نگهداری می‌شود تا ارسال بعدی انجام نشود.

۱۰. فرم تماس

اگر از فرم تماس استفاده کنید، داده‌های واردشده (به‌ویژه نام، نشانی رایانامه و متن پیام) را برای پاسخ به درخواست شما پردازش می‌کنیم. برای محافظت در برابر سوءاستفاده خودکار (اسپم/ربات) از Cloudflare Turnstile استفاده می‌کنیم (Cloudflare, Inc., 101 Townsend St., San Francisco, CA, USA). در این فرآیند اطلاعات فنی (از جمله نشانی IP و داده‌های مرورگر) به Cloudflare منتقل می‌شود.

مبنای قانونی: ماده ۶ بند ۱ (b) یا (f) GDPR.

۱۱. لاگ‌های سرور و میزبانی

هنگام دسترسی به پلتفرم، داده‌های فنی دسترسی به صورت خودکار پردازش می‌شوند، به‌ویژه نشانی IP، تاریخ و ساعت، منبع درخواست‌شده، کد وضعیت، حجم داده منتقل‌شده، Referrer و User-Agent. این داده‌ها برای عملکرد امن، پایداری و دفاع در برابر حملات استفاده می‌شوند.

میزبانی / پشتیبان‌گیری: پلتفرم نزد Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, آلمان میزبانی می‌شود؛ سرور در مرکز داده‌ای در فنلاند (هلسینکی، HEL1-DC4) قرار دارد. نسخه‌های پشتیبان رمزنگاری‌شده درون اتحادیه اروپا ذخیره می‌شوند. قرارداد پردازش سفارشی طبق ماده ۲۸ GDPR منعقد شده است. آلمان و فنلاند درون اتحادیه اروپا/EEA قرار دارند و انتقالی به کشور ثالث صورت نمی‌گیرد.

مدت نگهداری لاگ‌ها: ۱۴ روز؛ پس از آن به صورت خودکار حذف می‌شوند. فهرست‌های مسدودی سرویس‌های امنیتی (مانند fail2ban) ممکن است تا پایان دوره مسدودی باقی بمانند.

مبنای قانونی: ماده ۶ بند ۱ (f) GDPR.

۱۲. کوکی‌ها و فناوری‌های مشابه

ما از کوکی و فناوری‌های مشابه (مانند localStorage) استفاده می‌کنیم. برای فناوری‌های کاملاً ضروری به ماده ۲۵ بند ۲ TDDDG استناد می‌کنیم؛ برای موارد غیرضروری پیشاپیش رضایت شما را دریافت می‌کنیم (ماده ۲۵ بند ۱ TDDDG همراه با ماده ۶ بند ۱ (a) GDPR)، که هر زمان از طریق دکمه «تنظیمات کوکی» قابل تغییر یا لغو است.

کوکی‌های کاملاً ضروری در حال استفاده:

نام

هدف

zambilo_access_token, zambilo_refresh_token

ورود/نشست (httpOnly و امن)، لازم برای دسترسی به حساب

zambilo_locale

ذخیره زبان انتخابی شما

zambilo_cookie_consent

ذخیره تصمیم شما درباره کوکی

کوکی‌های Mollie

تنها در صفحه پرداختی که Mollie اداره می‌کند تنظیم می‌شوند؛ لازم برای انجام و ایمن‌سازی پرداخت

کوکی‌های Cloudflare Turnstile

فقط در صفحه تماس، برای محافظت در برابر ربات‌ها

فرآیند پرداخت روی صفحه‌ای که Mollie اداره می‌کند انجام می‌شود. روی صفحات خود ما برای این کار هیچ اسکریپت یا کوکی شخص ثالث بارگذاری نمی‌شود.

دسته‌های اختیاری (تحلیل/بازاریابی): در حال حاضر از کوکی‌های تحلیلی یا تبلیغاتی و هیچ سرویس ردیابی استفاده نمی‌کنیم. در صورت استفاده در آینده، این کار تنها پس از رضایت قبلی شما انجام می‌شود و این متن به‌روز خواهد شد.

۱۳. نمایش نقشه (Google Maps)

در وب‌سایت ممکن است برای نمایش موقعیت خود از نقشه Google Maps استفاده کنیم (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, ایرلند؛ احتمال انتقال به Google LLC در ایالات متحده). نقشه به صورت خودکار بارگذاری نمی‌شود: تنها پس از رضایت شما به دسته «کارکردی» در بنر کوکی یا کلیک صریح روی «بارگذاری نقشه» نمایش داده می‌شود. فقط در آن صورت داده‌هایی (از جمله نشانی IP شما) به گوگل منتقل می‌شود و گوگل ممکن است کوکی تنظیم کند.

مبنای قانونی: ماده ۶ بند ۱ (a) GDPR همراه با ماده ۲۵ بند ۱ TDDDG (رضایت).

۱۴. فونت‌ها

فونت‌های مورد استفاده در پلتفرم از سرورهای خود ما بارگذاری می‌شوند (self-hosted). هیچ اتصالی به سرورهای شخص ثالث (مانند Google Fonts یا CDNها) برقرار نمی‌شود و نشانی IP شما به ثالث منتقل نمی‌شود.

۱۵. استفاده از اپلیکیشن‌های موبایل

• ذخیره‌سازی محلی: توکن‌های ورود/نشست به صورت امن روی دستگاه شما ذخیره می‌شوند (Secure Store/Keystore یا Keychain) و به ثالث منتقل نمی‌شوند.

• دوربین (اسکن بارکد): با اجازه شما، اپلیکیشن از دوربین برای اسکن بارکد کالا (EAN) و باز کردن محصول مربوطه استفاده می‌کند. پردازش تصویر به صورت محلی روی دستگاه انجام می‌شود؛ هیچ تصویری ذخیره یا منتقل نمی‌شود — تنها بارکد شناسایی‌شده برای جستجوی محصول به سرور ما ارسال می‌شود. این اجازه را هر زمان می‌توانید در تنظیمات دستگاه لغو کنید.

• پرداخت در اپلیکیشن: برای پرداخت، اپلیکیشن شما را به صفحه پرداخت Mollie هدایت می‌کند. بسته به دستگاه و انتخاب شما، Apple Pay یا Google Pay قابل استفاده است؛ در این صورت داده‌های پرداخت توسط Apple (Apple Inc./Apple Distribution International Ltd.) یا Google (Google Ireland Limited/Google LLC) و Mollie پردازش می‌شوند. ما اطلاعات کامل کارت را دریافت نمی‌کنیم.

• بدون ردیابی: اپلیکیشن هیچ SDK تحلیلی یا تبلیغاتی ندارد و ردیابی بین‌دستگاهی (Apple App Tracking Transparency / شناسه‌های تبلیغاتی) انجام نمی‌شود. داده‌های دستگاهی که در جریان پرداخت Mollie پردازش می‌شوند فقط برای پرداخت و پیشگیری از تقلب است.

• فروشگاه‌های اپلیکیشن: دریافت و به‌روزرسانی اپلیکیشن از طریق Apple App Store (Apple Distribution International Ltd., ایرلند؛ Apple Inc., ایالات متحده) یا Google Play (Google Ireland Limited, ایرلند؛ Google LLC, ایالات متحده) انجام می‌شود. این ارائه‌دهندگان داده‌ها را با مسئولیت خود و طبق سیاست‌های خود پردازش می‌کنند.

مبنای قانونی: ماده ۶ بند ۱ (b) و (f) GDPR؛ برای دسترسی به دوربین علاوه بر آن، اجازه شما در سطح دستگاه.

۱۶. دریافت‌کنندگان و پردازشگران

داده‌های شما درون مجموعه ما تنها در اختیار بخش‌های مسئول قرار می‌گیرد. علاوه بر آن، از ارائه‌دهندگان خدمات به عنوان پردازشگر (ماده ۲۸ GDPR) استفاده می‌کنیم یا داده‌ها را در صورت لزوم به دریافت‌کنندگان زیر منتقل می‌کنیم:

دریافت‌کننده

هدف

Hetzner Online GmbH, آلمان

میزبانی و پشتیبان‌گیری (سرور در فنلاند، اتحادیه اروپا)

Mollie B.V., هلند

پرداخت، پیشگیری از تقلب، استرداد وجه — با مسئولیت مستقل

Twilio Inc., ایالات متحده

ارسال پیامک رمز یک‌بارمصرف

STRATO AG, آلمان

ارسال رایانامه (OTP، اطلاعیه سفارش و صورتحساب)

Cloudflare, Inc., ایالات متحده

محافظت در برابر ربات و اسپم (Turnstile) در صفحه تماس

Google Ireland Limited, ایرلند

نمایش نقشه در وب‌سایت

شرکت‌های حمل و لجستیک

تحویل کالای سفارش‌داده‌شده (نام و نشانی گیرنده)

مشاور مالیاتی، مراجع و دادگاه‌ها

در صورت الزام قانونی یا برای پیگیری حقوقی

۱۷. انتقال به کشورهای ثالث

برخی از ارائه‌دهندگان نام‌برده (به‌ویژه Twilio، Cloudflare، Google و Apple) ممکن است داده‌ها را به ایالات متحده منتقل یا در آنجا پردازش کنند. در صورت انتقال به کشور ثالث، مبنای آن تصمیم کفایت سطح حفاظت (به‌ویژه EU-US Data Privacy Framework برای دریافت‌کنندگان دارای گواهی) طبق ماده ۴۵ GDPR یا تضمین‌های مناسب مانند بندهای قراردادی استاندارد کمیسیون اروپا طبق ماده ۴۶ GDPR است. پرداخت از طریق Mollie درون اتحادیه اروپا انجام می‌شود. با این حال در پرداخت‌های کارتی ممکن است داده‌ها به شبکه‌های کارت و بانک صادرکننده منتقل شود؛ این امر برای انجام پرداخت ضروری است (ماده ۴۹ بند ۱ (b) GDPR).

۱۸. مدت نگهداری و حذف

• داده‌های حساب: تا زمان حذف حساب کاربری (ببینید زیر)؛

• کدهای OTP: تنها چند دقیقه؛

• نشست‌ها/توکن‌ها: تا خروج یا انقضا؛

• داده‌های سفارش، پرداخت و صورتحساب: به مدت مهلت‌های قانونی نگهداری (به‌ویژه ۱۰ سال طبق ماده ۱۴۷ AO و ماده ۲۵۷ HGB)، سپس حذف؛

• اسناد رضایت (خبرنامه): تا پایان دوره اثبات، عموماً ۳ سال پس از پایان سال لغو رضایت؛

• لاگ‌های سرور: ۱۴ روز؛

• نسخه‌های پشتیبان: در چرخه پشتیبان‌گیری به صورت خودکار بازنویسی یا حذف می‌شوند.

Mollie داده‌های پرداخت را با مسئولیت خود و طبق مهلت‌های معتبر برای ارائه‌دهندگان خدمات پرداخت نگهداری می‌کند.

حذف حساب: می‌توانید حساب خود را هر زمان حذف کنید — در اپلیکیشن‌ها و فروشگاه از طریق گزینه «حذف حساب» (داشبورد ← پروفایل) یا با رایانامه به info@zambilo.de. پس از تأیید، داده‌های شخصی شما حذف یا بی‌نام می‌شوند؛ در نبود سفارش باز، حذف بلافاصله انجام می‌شود، در غیر این صورت حساب مسدود و پس از ۱۴ روز بی‌نام می‌شود. داده‌های مشمول تعهدات قانونی نگهداری تا پایان مهلت مسدود و سپس حذف می‌شوند.

۱۹. حقوق شما

طبق GDPR شما حق دسترسی (ماده ۱۵)، اصلاح (ماده ۱۶)، حذف (ماده ۱۷)، محدودیت پردازش (ماده ۱۸)، قابلیت انتقال داده‌ها (ماده ۲۰) و حق اعتراض به پردازش‌های مبتنی بر ماده ۶ بند ۱ (f) (ماده ۲۱) را دارید. به تبلیغات مستقیم می‌توانید هر زمان بدون ذکر دلیل اعتراض کنید. رضایت‌های داده‌شده را می‌توانید هر زمان برای آینده لغو کنید (ماده ۷ بند ۳ GDPR). برای اعمال حقوق خود کافی است به info@zambilo.de پیام دهید.

۲۰. حق شکایت نزد مرجع نظارتی

شما حق دارید نزد یک مرجع نظارتی حفاظت از داده‌ها شکایت کنید (ماده ۷۷ GDPR). مرجع مستقر در محل فعالیت ما:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit Ludwig-Erhard-Straße 22, 7. OG 20459 Hamburg آلمان

۲۱. الزام به ارائه داده‌ها

ارائه داده‌های لازم برای ثبت‌نام، انعقاد قرارداد، پرداخت و اجرای سفارش برای استفاده از پلتفرم ضروری است. بدون این داده‌ها نمی‌توانیم حساب کاربری نگه داریم، پرداخت انجام دهیم یا سفارش را پردازش کنیم.

۲۲. تصمیم‌گیری خودکار / پروفایلینگ

تصمیمی که منحصراً بر پایه پردازش خودکار باشد و اثر حقوقی یا مشابه قابل توجه داشته باشد (ماده ۲۲ GDPR) نزد ما اتخاذ نمی‌شود. در چارچوب پرداخت، Mollie بررسی خودکار تقلب انجام می‌دهد (بند ۸)؛ اگر این بررسی به رد پرداخت بینجامد، می‌توانید روش پرداخت دیگری انتخاب کنید یا با info@zambilo.de تماس بگیرید تا بررسی انسانی انجام شود و دیدگاه خود را بیان کنید.

۲۳. تغییرات این سیاست

در صورت تغییر وضعیت قانونی یا فرآیندهای پردازش، این سیاست را به‌روز می‌کنیم. نسخه معتبر، نسخه‌ای است که در هر زمان روی پلتفرم منتشر شده است.

Fateme Alipoor Khomearan · Weißdornweg 4, 22393 Hamburg, آلمان · info@zambilo.de