hotels.com — 48/100 (Υψηλός κίνδυνος απορρήτου)
Τελευταία ανάλυση
Hotels.com (Expedia Group) · hotels.com
Λεπτομέρειες αναφοράς
Υψηλός κίνδυνος απορρήτουΗ Hotels.com (Expedia Group) συλλέγει ένα ασυνήθιστα ευρύ φάσμα προσωπικών δεδομένων — συμπεριλαμβανομένων ευαίσθητων δεδομένων, ηχογραφήσεων και πληροφοριών συνταξιδιωτών — τα μοιράζεται ευρέως με διαφημιστές και μάρκες της Expedia Group και τα χρησιμοποιεί για εκτεταμένους σκοπούς ΤΝ χωρίς δυνατότητα εξαίρεσης, καθιστώντας αυτή μια πολιτική «διψασμένη» για δεδομένα παρά τα αξιοπρεπή μέτρα διασφάλισης μεταφορών.
Η δήλωση απορρήτου της Hotels.com καλύπτει ένα εκτεταμένο οικοσύστημα συλλογής και κοινοποίησης δεδομένων. Ενώ η πολιτική είναι δομημένη και αναφέρεται σε μέτρα προστασίας σχετικά με την ΕΕ (πιστοποίηση DPF, SCC, Global-CBPR), το απίστευτο πλάτος των κατηγοριών δεδομένων, των σκοπών και των τρίτων παραληπτών εγείρει σημαντικά ζητήματα ελαχιστοποίησης. Η χρήση ΤΝ είναι εκτεταμένη χωρίς μηχανισμό εξαίρεσης. Ο νόμιμος συμφέρον επικαλείται ευρέως για μάρκετινγκ και δημιουργία προφίλ. Οι περίοδοι διατήρησης δεν καθορίζονται πέρα από αόριστα κριτήρια. Τα δικαιώματα των χρηστών της ΕΕ περιγράφονται υπό όρους αντί καταφατικά.
Αξιολόγηση ανά κατηγορία
Ανάλυση της πολιτικής σε βασικούς τομείς συμμόρφωσης. Καλό = ισχυρό, μέτριο = μικτό, κακό = ανησυχητικό.
Συλλέγει 15+ κατηγορίες προσωπικών δεδομένων συμπεριλαμβανομένων κυβερνητικών ταυτοτήτων, ηχογραφήσεων, ανακατασκευών ροής κλικ, ευαίσθητων δεδομένων και πληροφοριών συνταξιδιωτών — πολλά χρησιμοποιούνται για 6+ σκοπούς, πολύ πέρα από όσα είναι αναγκαία για την κράτηση ξενοδοχείου.
Η πολιτική είναι λεπτομερής με πίνακες που αντιστοιχίζουν κατηγορίες δεδομένων με σκοπούς και νομικές βάσεις, αλλά είναι υπερβολικά μακροσκελής και χρησιμοποιεί υπό όρους διατύπωση («ορισμένες χώρες και περιοχές») αντί να δηλώνει καταφατικά τα δικαιώματα ΓΚΠΔ για τους χρήστες της ΕΕ.
Τα δεδομένα κοινοποιούνται σε εταιρείες της Expedia Group (κοινοί υπεύθυνοι επεξεργασίας), παρόχους ταξιδιωτικών υπηρεσιών, συνεργάτες στοχευμένης διαφήμισης, πλατφόρμες κοινωνικών δικτύων, επιχειρηματικούς συνεργάτες και μεσίτες δεδομένων — ορισμένοι λειτουργούν ως ανεξάρτητοι υπεύθυνοι επεξεργασίας με δικές τους ξεχωριστές πολιτικές απορρήτου.
Η πιστοποίηση DPF με εφεδρικές SCC και η συμμετοχή στο Global-CBPR παρέχουν νόμιμους μηχανισμούς μεταφοράς, αλλά οι μεταγενέστερες μεταφορές σε πολλαπλούς διαφημιστές τρίτους και πλατφόρμες κοινωνικών δικτύων δεν αξιολογούνται ή ανακοινώνονται μεμονωμένα.
Η ΤΝ χρησιμοποιείται εκτενώς σε 13+ κατηγορίες συμπεριλαμβανομένης της παραγωγής περιεχομένου, προτάσεων και τιμολόγησης, όλα δικαιολογούμενα από νόμιμο συμφέρον — δεν υπάρχει μηχανισμός εξαίρεσης για την επεξεργασία ΤΝ και καμία ρητή δήλωση σχετικά με το αν τα δεδομένα εκπαιδεύουν θεμελιώδη μοντέλα.
Τα δικαιώματα ΓΚΠΔ αναφέρονται αλλά περιγράφονται υπό όρους («ορισμένες χώρες και περιοχές παρέχουν στους κατοίκους τους πρόσθετα δικαιώματα») αντί να δηλώνονται ως καθολικά δικαιώματα της ΕΕ· οι λεπτομέρειες των δικαιωμάτων παραπέμπουν σε ξεχωριστή ιστοσελίδα.
Βασικά ευρήματα
Σημαντικές ρήτρες, ζητήματα ή θετικές πρακτικές (κρίσιμα πρώτα)
Υπερβολικά ευρείς ισχυρισμοί νόμιμου συμφέροντος για μάρκετινγκ και δημιουργία προφίλ
Η πολιτική επικαλείται τον νόμιμο συμφέρον ως νομική βάση για επικοινωνίες μάρκετινγκ, στοχευμένη διαφήμιση και δημιουργία εμπλουτισμένων προφίλ χρηστών σε μάρκες της Expedia Group. Βάσει του άρθρου 6(1)(στ) του ΓΚΠΔ, το μάρκετινγκ μέσω νόμιμου συμφέροντος απαιτεί προσεκτική δοκιμασία εξισορρόπησης — ιδιαίτερα για δημιουργία προφίλ και συγχρονισμό δεδομένων μεταξύ μαρκών. Η πολιτική αναφέρει «θα το αξιολογούμε πάντα έναντι του πιθανού αντίκτυπου στα δικαιώματά σας» αλλά δεν παρέχει συγκεκριμένο αποτέλεσμα εξισορρόπησης ή μηχανισμό για τους χρήστες να αμφισβητήσουν αυτή την αξιολόγηση.
Καμία εξαίρεση για επεξεργασία ΤΝ/ΜΧ προσωπικών δεδομένων
Η ενότητα ΤΝ παραθέτει 13+ κατηγορίες χρήσης (τιμολόγηση, ανίχνευση απάτης, παραγωγή περιεχομένου, προτάσεις, ανίχνευση ανωμαλιών κ.λπ.) όλες επεξεργαζόμενες βάσει νόμιμου συμφέροντος. Δεν υπάρχει μηχανισμός εξαίρεσης από την επεξεργασία ΤΝ των προσωπικών σας δεδομένων. Η πολιτική αντιμετωπίζει μόνο την αυτοματοποιημένη λήψη αποφάσεων με νομικά αποτελέσματα, όχι την ευρύτερη επεξεργασία ΤΝ. Οι χρήστες της ΕΕ δεν έχουν τρόπο να αντιταχθούν στη χρήση των δεδομένων τους για παραγωγή χαρακτηριστικών ΤΝ, παραγωγή περιεχομένου ή εμπλουτισμό άλλων εφαρμογών.
Συλλογή δεδομένων συνταξιδιωτών και τρίτων χωρίς μηχανισμούς άμεσης συγκατάθεσης
Η πολιτική συλλέγει «Δεδομένα φίλων, συνδέσεων και συνταξιδιωτών» συμπεριλαμβανομένων δεδομένων για συνταξιδιώτες και προτεινόμενους φίλους. Η νομική βάση που αναφέρεται περιλαμβάνει «Συγκατάθεση (συμπεριλαμβανομένης της συγκατάθεσης που ενδέχεται να έχετε λάβει από φίλους ή συνταξιδιώτες), όπου εφαρμόζεται» — αυτό υπονοεί ότι η Hotels.com βασίζεται στη συγκατάθεση του ατόμου που κάνει την κράτηση για δεδομένα τρίτων, κάτι που είναι νομικά ανεπαρκές βάσει του ΓΚΠΔ. Οι συνταξιδιώτες δεν έχουν άμεσο τρόπο να ενημερωθούν ή να ελέγξουν αυτή την επεξεργασία.
Αόριστες περίοδοι διατήρησης χωρίς συγκεκριμένα χρονοδιαγράμματα
Η ενότητα Διατήρηση Εγγραφών παραθέτει μόνο κριτήρια (διάρκεια σχέσης, νομικές υποχρεώσεις, νομικές κρατήσεις, ανάγκες αντιγράφων ασφαλείας) αλλά δεν παρέχει καθόλου συγκεκριμένες περιόδους διατήρησης. Το άρθρο 5(1)(ε) του ΓΚΠΔ απαιτεί τα προσωπικά δεδομένα να διατηρούνται «όχι περισσότερο από όσο είναι απαραίτητο για τους σκοπούς». Χωρίς καθορισμένες περιόδους, δεν υπάρχει τρόπος αξιολόγησης συμμόρφωσης ή κατανόησης από τους χρήστες πότε θα διαγραφούν τα δεδομένα τους.
Συλλογή ευαίσθητων δεδομένων με ελάχιστη δικαιολόγηση
Η πολιτική συλλέγει «Ευαίσθητα δεδομένα — δεδομένα που ενδέχεται να αποκαλύψουν φυλετική ή εθνοτική καταγωγή, θρησκευτικές ή φιλοσοφικές πεποιθήσεις, σεξουαλικό προσανατολισμό, ή πληροφορίες υγείας ή αναπηρίας» και αναφέρει νομικές υποχρεώσεις και συγκατάθεση ως νομικές βάσεις. Το παράδειγμα που δίνεται (αποδεικτικά ακύρωσης) είναι στενό, αλλά η κατηγορία αναφέρεται ως διαθέσιμη για χρήση Πλατφόρμας, Επικοινωνιών και Ασφάλειας ευρέως. Αυτό δημιουργεί κίνδυνο επέκτασης πεδίου πέρα από τη στενή δικαιολογημένη χρήση.
Εκτεταμένη μεταγενέστερη κοινοποίηση σε ανεξάρτητους υπευθύνους επεξεργασίας χωρίς ισοδύναμες εγγυήσεις
Τα δεδομένα κοινοποιούνται σε συνεργάτες στοχευμένης διαφήμισης, πλατφόρμες κοινωνικών δικτύων και επιχειρηματικούς συνεργάτες που ενδέχεται να λειτουργούν ως ανεξάρτητοι υπεύθυνοι επεξεργασίας. Η πολιτική σημειώνει ότι αυτά τα μέρη «είναι πρωτίστως ανεξάρτητα υπεύθυνα για τη συμμόρφωσή τους με τους ισχύοντες νόμους προστασίας δεδομένων» αλλά δεν περιγράφει ποια συμβατικά ή τεχνικά μέτρα επιβάλλει η Hotels.com σε αυτές τις μεταγενέστερες μεταφορές, πέρα από την αναφορά ευθύνης μεταγενέστερης μεταφοράς DPF για την Expedia, Inc. ειδικά.
Ανακατασκευή δεδομένων ροής κλικ μεταξύ συσκευών και επισκέψεων
Η πολιτική περιγράφει τη συλλογή δεδομένων ροής κλικ για να «ανακατασκευάσει τη διαδρομή σας στον ιστότοπο μοντελοποιημένη στον χρόνο και την τοποθεσία των ενεργειών σας, και περιλαμβάνει δεδομένα από διαφορετικές συσκευές, ξεχωριστές επισκέψεις στον ιστότοπο και επισκέψεις στις άλλες πλατφόρμες μας». Αυτό συνιστά δημιουργία προφίλ μεταξύ συσκευών που συνδυάζει δεδομένα από πολλαπλά πλαίσια, εγείροντας ανησυχίες βάσει του άρθρου 22 του ΓΚΠΔ και απαιτήσεων ηλεκτρονικής ιδιωτικότητας, ωστόσο δικαιολογείται αποκλειστικά από νόμιμο συμφέρον και συγκατάθεση «όπου ζητείται».
Περίληψη για τον χρήστη
Τα δεδομένα σας ρέουν πολύ πιο πέρα από την κράτηση ενός ξενοδοχείου — κοινοποιούνται σε ολόκληρη την Expedia Group, χρησιμοποιούνται για την εκπαίδευση συστημάτων ΤΝ και αποστέλλονται σε διαφημιστές για στοχευμένη διαφήμιση, χωρίς δυνατότητα εξαίρεσης από την επεξεργασία ΤΝ.
Στάση συμμόρφωσης
Μικτή στάση συμμόρφωσης: ισχυρή στους μηχανισμούς διεθνών μεταφορών (DPF, SCC, CBPR) αλλά αδύναμη στην ελαχιστοποίηση δεδομένων, τον περιορισμό σκοπού και τη διαφάνεια ΤΝ. Οι ισχυρισμοί νόμιμου συμφέροντος για μάρκετινγκ είναι επιθετικοί και ενδέχεται να μην αντέξουν έλεγχο βάσει του άρθρου 6(1)(στ) του ΓΚΠΔ (GDPR).
Μεταφορές ΕΕ
Τα δεδομένα μεταφέρονται στις ΗΠΑ και άλλες χώρες. Υπάρχει πιστοποίηση DPF με εφεδρικές SCC, κάτι που είναι επαρκές βάσει της ισχύουσας νομοθεσίας της ΕΕ, αλλά το πλάτος των μεταγενέστερων μεταφορών σε διαφημιστές τρίτους και πλατφόρμες κοινωνικών δικτύων δημιουργεί κίνδυνο εάν αυτά τα μέρη δεν διαθέτουν ισοδύναμες εγγυήσεις.
Εντοπισμένα σήματα
Συγκεκριμένα δεδομένα και πρακτικές που εντοπίστηκαν στο κείμενο
Αποσπάσματα αποδείξεων
Απευθείας αποσπάσματα από την πολιτική που υποστηρίζουν αυτά τα ευρήματα
We may reconstruct your site journey modeled on the timing and location of your actions, and include data from different devices, distinct site visits, and visits to our other platforms.
We will not engage in automated decision-making that involves a decision with legal or similarly significant effects solely based on automated processing of personal data, unless: you explicitly consented to the processing, the processing is necessary for entering into a contract, or when otherwise authorized by applicable law.
Consent (including consent you may have received from friends or co-travelers), where applicable
We will retain your personal data in accordance with all applicable laws, for as long as it may be relevant to fulfill the purposes set forth in this Privacy Statement, unless a longer retention period is required or permitted by law.
These third-party service providers are primarily independently responsible for their compliance with applicable data protection laws.
Certain countries and regions allow us to process personal data on the basis of legitimate interests... this interest will typically be to operate or improve our platform and communicate with you as necessary to provide our services to you... to undertake marketing, or for the purpose of detecting or preventing illegal activities.
Λείπει ή ασαφές
- Δεν καθορίζονται συγκεκριμένες περίοδοι διατήρησης δεδομένων
- Δεν υπάρχει σύνοψη ή αναφορά ΑΔΠΕ για επεξεργασία υψηλού κινδύνου
- Δεν υπάρχει ρητή εξαίρεση για χρήση προσωπικών δεδομένων σε εκπαίδευση ΤΝ/ΜΧ
- Δεν υπάρχουν λεπτομέρειες για μηχανισμό ειδοποίησης δικαιωμάτων συνταξιδιωτών
- Δεν υπάρχει περιγραφή αξιολόγησης αντικτύπου προστασίας δεδομένων για επεξεργασία ευαίσθητων δεδομένων
- Δεν καθορίζεται ποιοι διαφημιστές τρίτοι λαμβάνουν δεδομένα
- Δεν υπάρχει σαφής μηχανισμός αντίταξης στην επεξεργασία νόμιμου συμφέροντος πέρα από το μάρκετινγκ
- Δεν υπάρχουν πληροφορίες για ιστορικό παραβιάσεων δεδομένων ή χρονοδιάγραμμα ειδοποίησης
Ερωτήσεις προς υποβολή
- Ποια συγκεκριμένη δοκιμασία εξισορρόπησης έχει διενεργήσει η Hotels.com για να δικαιολογήσει τον νόμιμο συμφέρον για μάρκετινγκ και δημιουργία προφίλ μεταξύ μαρκών, και μπορείτε να παρέχετε την τεκμηρίωση;
- Πώς μπορούν οι χρήστες της ΕΕ να εξαιρεθούν από τη χρήση των προσωπικών τους δεδομένων για παραγωγή χαρακτηριστικών ΤΝ, παραγωγή περιεχομένου και εμπλουτισμό μοντέλων;
- Ποιος μηχανισμός υπάρχει για την ειδοποίηση συνταξιδιωτών των οποίων τα δεδομένα συλλέγετε μέσω του ατόμου που κάνει την κράτηση, και πώς μπορούν να ασκήσουν τα δικαιώματά τους βάσει του ΓΚΠΔ ανεξάρτητα;
- Ποιες είναι οι συγκεκριμένες περίοδοι διατήρησης για κάθε κατηγορία προσωπικών δεδομένων, όχι μόνο τα κριτήρια καθορισμού τους;
- Ποιοι συνεργάτες στοχευμένης διαφήμισης και πλατφόρμες κοινωνικών δικτύων λαμβάνουν προσωπικά δεδομένα, και ποιες συγκεκριμένες εγγυήσεις (πέρα από την πιστοποίηση DPF) ισχύουν για αυτές τις μεταγενέστερες μεταφορές;
- Έχει διενεργηθεί Αξιολόγηση Αντικτύπου Προστασίας Δεδομένων για την ανακατασκευή ροής κλικ μεταξύ συσκευών και την επεξεργασία κατηγοριών ευαίσθητων δεδομένων;
Κοινοποίηση αυτής της ανάλυσης
Οποιοσδήποτε με αυτόν τον σύνδεσμο μπορεί να δει το αποτέλεσμα παραπάνω.
Δημιουργήθηκε από το DentroChat
100% ευρωπαϊκό AI chat για όλους
Συνομιλήστε με AI, εργαστείτε με αρχεία, δημιουργήστε εικόνες και αναζητήστε στο διαδίκτυο. Τα δεδομένα παραμένουν στην Ευρώπη.
Άλλες πολιτικές απορρήτου που αναλύθηκαν
Προβολή όλωνpolicies.tinder.com
48/100
Υψηλός κίνδυνος απορρήτουTinder collects a massive amount of highly sensitive personal data—including sexual orientation, biometric face data, and precise location—and shares it widely across Match Group companies and advertising partners, making it a concerning privacy choice despite offering standard EU rights.
Προβολή αναφοράς →whatsapp.com
45/100
Υψηλός κίνδυνος απορρήτουΤο WhatsApp συλλέγει εκτεταμένα μεταδεδομένα σχετικά με τη χρήση και τη συσκευή σας και τα μοιράζεται ευρέως στις εταιρείες της οικογένειας της Meta, καθιστώντας το μια ανησυχητική επιλογή απορρήτου παρά την κρυπτογράφηση από άκρο σε άκρο των μηνυμάτων του.
Προβολή αναφοράς →european-alternatives.eu
45/100
Υψηλός κίνδυνος απορρήτουEuropean Alternatives collects minimal data and uses privacy-friendly tools, but its privacy policy is an unfinished template with placeholder text for critical sections like data storage, retention, and deletion — making it non-compliant as-is.
Προβολή αναφοράς →gemini.com
52/100
Μέτριος κίνδυνος απορρήτουGemini collects extensive personal and financial data as a regulated crypto exchange, shares it widely with third parties for marketing and analytics, and transfers it globally, though it provides standard GDPR rights and SCCs for EU users.
Προβολή αναφοράς →