Privacy Policy

Effective date: April 18, 2026 · Last updated: July 6, 2026

Scootie ("we", "us", or "our") operates the Scootie mobile application (the "App"), an electric scooter sharing service based in Nikiti, Sithonia, Greece. This Privacy Policy explains how we collect, use, and protect your personal information.

We process your data in accordance with the EU General Data Protection Regulation (GDPR, Regulation (EU) 2016/679) and Greek implementing Law 4624/2019.

Data controller: Scootie, AFM 147540570, Ormylia 63088, Halkidiki, Greece. Privacy contact: info@scootie.boo.

1. Information We Collect

Account Information: When you register, we collect your email address and password (stored securely with bcrypt hashing).

Location Data: While using the App, we collect your device's GPS coordinates to show nearby scooters, track active rides, and ensure scooters are parked in designated zones. Location data is collected only while the App is in use.

Payment Information: Payments are processed securely through Stripe. We do not store your credit card numbers, bank details, or other financial data on our servers. Stripe's privacy policy applies to payment processing: stripe.com/privacy.

Ride Data: We record ride start/end times, duration, route coordinates, and parking photos to provide the service, calculate charges, and ensure proper scooter parking.

Age Verification Data: Where age verification is required (riders must be 17+ under Greek Law 4784/2020), verification is performed by our identity-verification provider (Didit). Your identity document is processed by the provider; we store only the verification result (verified / not verified) and your date of birth — never the document image.

Device Information: We may collect device type, operating system version, and push notification tokens to deliver notifications and improve the App.

2. How We Use Your Information & Lawful Basis (GDPR Art. 6)

Each processing purpose below is paired with the lawful basis we rely on:

• Operate the rental service (account, ride start/end, route, parking photo, billing) — contract performance, Art. 6(1)(b)
• Process payments and manage your wallet — contract performance, Art. 6(1)(b)
• Verify minimum rider age (17+) — legal obligation, Art. 6(1)(c) (Greek Law 4784/2020)
• Enforce geofence and parking zones; verify end-of-ride photos — contract performance, Art. 6(1)(b)
• Send ride receipts and balance alerts — contract performance, Art. 6(1)(b)
• Send promotional notifications — consent, Art. 6(1)(a). You can withdraw consent at any time in the app's Notifications settings.
• Detect and prevent fraud, abuse, or scooter damage — legitimate interest, Art. 6(1)(f)
• Comply with tax, accounting, and legal obligations — legal obligation, Art. 6(1)(c)

3. Biometric Data

If you enable biometric sign-in (Face ID or fingerprint), authentication is handled entirely by your device's secure hardware. We do not collect, store, or transmit any biometric data. Only a success/failure result is returned to the App.

4. Data Sharing & International Transfers

We do not sell your personal data. We share data with the following sub-processors strictly to operate the service:

• Stripe (US/EU) — payment processing. Stripe is GDPR-compliant and certified under the EU-U.S. Data Privacy Framework. stripe.com/privacy
• Google Maps (Google Ireland Limited, EU) — map display and reverse-geocoding
• Sentry (US/EU regions) — crash reporting and error monitoring; we configure Sentry to scrub PII from breadcrumbs and error context
• Expo / Apple Push / Google FCM — push notification delivery (notification content is non-identifying)
• Prelude (prelude.so, US) — SMS phone-number verification: delivery and validation of one-time sign-up codes. Your phone number is processed solely to verify it.
• Didit (identity-verification provider) — age verification: processes your identity document to confirm you meet the minimum rider age. We receive and store only the verification outcome and your date of birth.
• Brevo (formerly Sendinblue, EU) — transactional email (e.g. welcome and password-reset messages)
• Law enforcement / regulatory authorities — only when compelled by valid Greek or EU legal process, or to protect a person's vital interests in an emergency

Scooter IoT telemetry (GPS position, battery, lock state) is processed on our own self-hosted infrastructure within the EU — no third-party telemetry processor is used.

Where data is transferred outside the EU/EEA, we rely on the EU-U.S. Data Privacy Framework where the recipient is certified, or on Standard Contractual Clauses (SCCs) approved by the European Commission. You may request a copy of the transfer safeguards by emailing info@scootie.boo.

5. Data Retention

Different categories of data are retained for different periods, as required by their purpose and by Greek law:

• Account profile (email, name, phone) — for the lifetime of your active account. Anonymised on account deletion (typically within 30 days of your request).
• Ride records (start/end, duration, route, cost) — retained in anonymised form for 5 years to satisfy Greek tax and accounting obligations (Law 4308/2014).
• End-of-ride parking photos — automatically deleted 90 days after the ride ends, unless flagged for an ongoing damage or parking-violation dispute, in which case retained for the duration of the dispute plus 1 year.
• Payment records (transaction IDs, amounts, descriptions) — 5 years for Greek tax compliance. Card numbers and bank details are never stored by us; they remain with Stripe.
• Age verification — we keep only the verification outcome and date of birth for as long as the account exists; the document itself stays with the verification provider under its own retention rules.
• Telemetry and fleet operational logs — 45 days rolling.
• Push notification tokens — cleared on logout or device deregistration.

You may request earlier deletion of any category not required by law. Where retention is mandated (e.g. tax records), we retain the minimum necessary and remove direct identifiers where possible.

6. Data Security

We use industry-standard security measures including HTTPS encryption, JWT token authentication, secure password hashing, and server-side input validation to protect your data.

7. Your Rights (GDPR)

As a service operating in the EU, you have the right to:

• Access the personal data we hold about you (Art. 15) — available in-app via Settings → Privacy & Safety → Export My Data
• Rectification — request correction of inaccurate data (Art. 16)
• Erasure — request deletion of your data (Art. 17) — available in-app via Settings → Privacy & Safety → Delete Account
• Restriction of processing (Art. 18)
• Object to processing based on legitimate interest (Art. 21)
• Data portability — receive your data in a structured, machine-readable format (Art. 20) — JSON export available in-app
• Withdraw consent at any time without affecting the lawfulness of past processing (Art. 7(3))
• Lodge a complaint with the Greek Data Protection Authority (Hellenic DPA / Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα) at www.dpa.gr, Kifissias Avenue 1-3, 11523 Athens, +30 210 6475600, complaints@dpa.gr (Art. 77)

To exercise any of these rights, contact us at info@scootie.boo. We respond within 30 days as required by Art. 12(3).

8. Minimum Age

You must be at least 17 years old to use this service; riders under 18 require the consent of a parent or legal guardian. This age threshold is above the minimum age for valid GDPR consent under Greek Law 4624/2019 (Article 21, set at 15), so no additional digital-consent step is required for data processing: the service is strictly 17+.

We do not knowingly collect personal data from anyone under 17. If you believe someone under 17 has registered for the service, please contact us at info@scootie.boo and we will delete the account and associated data.

9. Changes to This Policy

We may update this Privacy Policy from time to time. We will notify you of significant changes through the App or by email. Continued use of the App after changes constitutes acceptance of the updated policy.

10. Contact Us

If you have questions about this Privacy Policy or your personal data:

Email: info@scootie.boo
Data Controller: Scootie
AFM (VAT): 147540570
Address: Ormylia 63088, Halkidiki, Greece

You may also lodge a complaint directly with the Greek Data Protection Authority — Hellenic DPA, Kifissias Avenue 1-3, 11523 Athens, www.dpa.gr.

Πολιτική Απορρήτου

Ημερομηνία ισχύος: 18 Απριλίου 2026 · Τελευταία ενημέρωση: 6 Ιουλίου 2026

Η Scootie («εμείς») λειτουργεί την εφαρμογή Scootie (η «Εφαρμογή»), υπηρεσία κοινόχρηστων ηλεκτρικών πατινιών με έδρα τη Νικήτη Σιθωνίας. Η παρούσα Πολιτική Απορρήτου εξηγεί πώς συλλέγουμε, χρησιμοποιούμε και προστατεύουμε τα προσωπικά σας δεδομένα.

Επεξεργαζόμαστε τα δεδομένα σας σύμφωνα με τον Γενικό Κανονισμό Προστασίας Δεδομένων της ΕΕ (GDPR, Κανονισμός (ΕΕ) 2016/679) και τον εφαρμοστικό Ν. 4624/2019.

Υπεύθυνος επεξεργασίας: Scootie, ΑΦΜ 147540570, Ορμύλια 63088, Χαλκιδική, Ελλάδα. Επικοινωνία για θέματα απορρήτου: info@scootie.boo.

1. Ποια δεδομένα συλλέγουμε

Στοιχεία λογαριασμού: Κατά την εγγραφή συλλέγουμε τη διεύθυνση email και τον κωδικό πρόσβασης (αποθηκεύεται με ασφαλή κατακερματισμό bcrypt).

Δεδομένα θέσης: Κατά τη χρήση της Εφαρμογής συλλέγουμε τις συντεταγμένες GPS της συσκευής σας για την εμφάνιση κοντινών πατινιών, την παρακολούθηση ενεργών διαδρομών και τον έλεγχο στάθμευσης στις καθορισμένες ζώνες. Η θέση συλλέγεται μόνο όσο η Εφαρμογή χρησιμοποιείται.

Στοιχεία πληρωμής: Οι πληρωμές διεκπεραιώνονται με ασφάλεια από τη Stripe. Δεν αποθηκεύουμε αριθμούς καρτών, τραπεζικά στοιχεία ή άλλα χρηματοοικονομικά δεδομένα στους διακομιστές μας. Για την επεξεργασία πληρωμών ισχύει η πολιτική απορρήτου της Stripe: stripe.com/privacy.

Δεδομένα διαδρομών: Καταγράφουμε ώρα έναρξης/λήξης, διάρκεια, συντεταγμένες διαδρομής και φωτογραφίες στάθμευσης για την παροχή της υπηρεσίας, τον υπολογισμό χρεώσεων και τον έλεγχο ορθής στάθμευσης.

Δεδομένα επαλήθευσης ηλικίας: Όπου απαιτείται επαλήθευση ηλικίας (οι αναβάτες πρέπει να είναι 17+ βάσει του Ν. 4784/2020), αυτή διενεργείται από τον πάροχο επαλήθευσης ταυτότητας (Didit). Το έγγραφο ταυτότητας επεξεργάζεται ο πάροχος· εμείς αποθηκεύουμε μόνο το αποτέλεσμα (επαληθεύτηκε / δεν επαληθεύτηκε) και την ημερομηνία γέννησης — ποτέ την εικόνα του εγγράφου.

Στοιχεία συσκευής: Ενδέχεται να συλλέγουμε τύπο συσκευής, έκδοση λειτουργικού και διακριτικά push ειδοποιήσεων για την αποστολή ειδοποιήσεων και τη βελτίωση της Εφαρμογής.

2. Σκοποί επεξεργασίας & Νομική βάση (άρθρο 6 GDPR)

Κάθε σκοπός επεξεργασίας συνοδεύεται από τη νομική βάση στην οποία στηριζόμαστε:

• Λειτουργία της υπηρεσίας ενοικίασης (λογαριασμός, έναρξη/λήξη διαδρομής, διαδρομή, φωτογραφία στάθμευσης, χρέωση) — εκτέλεση σύμβασης, άρθρο 6(1)(β)
• Επεξεργασία πληρωμών και διαχείριση πορτοφολιού — εκτέλεση σύμβασης, άρθρο 6(1)(β)
• Επαλήθευση ελάχιστης ηλικίας αναβάτη (17+) — έννομη υποχρέωση, άρθρο 6(1)(γ) (Ν. 4784/2020)
• Εφαρμογή ζωνών geofence και στάθμευσης· έλεγχος φωτογραφιών τερματισμού — εκτέλεση σύμβασης, άρθρο 6(1)(β)
• Αποστολή αποδείξεων διαδρομής και ειδοποιήσεων υπολοίπου — εκτέλεση σύμβασης, άρθρο 6(1)(β)
• Αποστολή προωθητικών ειδοποιήσεων — συγκατάθεση, άρθρο 6(1)(α). Μπορείτε να την ανακαλέσετε οποτεδήποτε από τις ρυθμίσεις Ειδοποιήσεων της εφαρμογής.
• Εντοπισμός και πρόληψη απάτης, κατάχρησης ή φθοράς πατινιών — έννομο συμφέρον, άρθρο 6(1)(στ)
• Συμμόρφωση με φορολογικές, λογιστικές και νομικές υποχρεώσεις — έννομη υποχρέωση, άρθρο 6(1)(γ)

3. Βιομετρικά δεδομένα

Εάν ενεργοποιήσετε βιομετρική σύνδεση (Face ID ή δακτυλικό αποτύπωμα), η αυθεντικοποίηση γίνεται εξ ολοκλήρου από το ασφαλές υλικό της συσκευής σας. Δεν συλλέγουμε, δεν αποθηκεύουμε και δεν διαβιβάζουμε βιομετρικά δεδομένα. Στην Εφαρμογή επιστρέφεται μόνο το αποτέλεσμα επιτυχίας/αποτυχίας.

4. Κοινοποίηση δεδομένων & Διεθνείς διαβιβάσεις

Δεν πωλούμε τα προσωπικά σας δεδομένα. Τα κοινοποιούμε στους ακόλουθους εκτελούντες την επεξεργασία, αποκλειστικά για τη λειτουργία της υπηρεσίας:

• Stripe (ΗΠΑ/ΕΕ) — επεξεργασία πληρωμών. Συμμορφώνεται με τον GDPR και είναι πιστοποιημένη στο EU-U.S. Data Privacy Framework. stripe.com/privacy
• Google Maps (Google Ireland Limited, ΕΕ) — εμφάνιση χάρτη και αντίστροφη γεωκωδικοποίηση
• Sentry (ΗΠΑ/ΕΕ) — αναφορά σφαλμάτων και παρακολούθηση κρασαρισμάτων· η Sentry ρυθμίζεται ώστε να αφαιρεί προσωπικά δεδομένα από τα διαγνωστικά
• Expo / Apple Push / Google FCM — παράδοση push ειδοποιήσεων (το περιεχόμενο δεν είναι ταυτοποιήσιμο)
• Prelude (prelude.so, ΗΠΑ) — επαλήθευση αριθμού κινητού μέσω SMS: αποστολή και επικύρωση κωδικών μίας χρήσης κατά την εγγραφή. Ο αριθμός σας επεξεργάζεται αποκλειστικά για την επαλήθευσή του.
• Didit (πάροχος επαλήθευσης ταυτότητας) — επαλήθευση ηλικίας: επεξεργάζεται το έγγραφο ταυτότητάς σας για την επιβεβαίωση της ελάχιστης ηλικίας αναβάτη. Λαμβάνουμε και αποθηκεύουμε μόνο το αποτέλεσμα και την ημερομηνία γέννησης.
• Brevo (πρώην Sendinblue, ΕΕ) — συναλλακτικά email (π.χ. καλωσόρισμα, επαναφορά κωδικού)
• Διωκτικές / εποπτικές αρχές — μόνο κατόπιν έγκυρης ελληνικής ή ενωσιακής νομικής διαδικασίας, ή για την προστασία ζωτικών συμφερόντων προσώπου σε έκτακτη ανάγκη

Η τηλεμετρία IoT των πατινιών (θέση GPS, μπαταρία, κατάσταση κλειδώματος) επεξεργάζεται σε δικές μας, αυτο-φιλοξενούμενες υποδομές εντός ΕΕ — δεν χρησιμοποιείται τρίτος επεξεργαστής τηλεμετρίας.

Όπου δεδομένα διαβιβάζονται εκτός ΕΕ/ΕΟΧ, βασιζόμαστε στο EU-U.S. Data Privacy Framework όταν ο αποδέκτης είναι πιστοποιημένος, ή σε Τυποποιημένες Συμβατικές Ρήτρες (SCCs) εγκεκριμένες από την Ευρωπαϊκή Επιτροπή. Μπορείτε να ζητήσετε αντίγραφο των εγγυήσεων διαβίβασης στο info@scootie.boo.

5. Διατήρηση δεδομένων

Οι διάφορες κατηγορίες δεδομένων διατηρούνται για διαφορετικά διαστήματα, ανάλογα με τον σκοπό τους και το ελληνικό δίκαιο:

• Προφίλ λογαριασμού (email, όνομα, τηλέφωνο) — για όσο διάστημα ο λογαριασμός είναι ενεργός. Ανωνυμοποιείται με τη διαγραφή του λογαριασμού (συνήθως εντός 30 ημερών από το αίτημά σας).
• Εγγραφές διαδρομών (έναρξη/λήξη, διάρκεια, διαδρομή, κόστος) — διατηρούνται ανωνυμοποιημένες για 5 έτη, για φορολογικές και λογιστικές υποχρεώσεις (Ν. 4308/2014).
• Φωτογραφίες στάθμευσης τερματισμού — διαγράφονται αυτόματα 90 ημέρες μετά τη διαδρομή, εκτός εάν σχετίζονται με εκκρεμή διαφορά ζημιάς ή παράβασης στάθμευσης, οπότε διατηρούνται για τη διάρκεια της διαφοράς συν 1 έτος.
• Στοιχεία πληρωμών (αναγνωριστικά συναλλαγών, ποσά, περιγραφές) — 5 έτη για φορολογική συμμόρφωση. Αριθμοί καρτών και τραπεζικά στοιχεία δεν αποθηκεύονται ποτέ από εμάς· παραμένουν στη Stripe.
• Επαλήθευση ηλικίας — διατηρούμε μόνο το αποτέλεσμα και την ημερομηνία γέννησης για όσο υπάρχει ο λογαριασμός· το ίδιο το έγγραφο παραμένει στον πάροχο επαλήθευσης βάσει των δικών του κανόνων διατήρησης.
• Τηλεμετρία και λειτουργικά αρχεία στόλου — κυλιόμενο διάστημα 45 ημερών.
• Διακριτικά push ειδοποιήσεων — διαγράφονται κατά την αποσύνδεση ή την απεγγραφή της συσκευής.

Μπορείτε να ζητήσετε νωρίτερη διαγραφή οποιασδήποτε κατηγορίας δεν απαιτείται εκ του νόμου. Όπου η διατήρηση είναι υποχρεωτική (π.χ. φορολογικά αρχεία), διατηρούμε το ελάχιστο αναγκαίο και αφαιρούμε άμεσα αναγνωριστικά όπου είναι εφικτό.

6. Ασφάλεια δεδομένων

Χρησιμοποιούμε πρότυπα μέτρα ασφαλείας, όπως κρυπτογράφηση HTTPS, αυθεντικοποίηση με JWT tokens, ασφαλή κατακερματισμό κωδικών και επικύρωση εισόδου στον διακομιστή.

7. Τα δικαιώματά σας (GDPR)

Ως υπηρεσία που λειτουργεί στην ΕΕ, έχετε δικαίωμα:

• Πρόσβασης στα προσωπικά δεδομένα που τηρούμε για εσάς (άρθρο 15) — διαθέσιμο στην εφαρμογή: Ρυθμίσεις → Απόρρητο & Ασφάλεια → Εξαγωγή δεδομένων
• Διόρθωσης ανακριβών δεδομένων (άρθρο 16)
• Διαγραφής των δεδομένων σας (άρθρο 17) — διαθέσιμο στην εφαρμογή: Ρυθμίσεις → Απόρρητο & Ασφάλεια → Διαγραφή λογαριασμού
• Περιορισμού της επεξεργασίας (άρθρο 18)
• Εναντίωσης σε επεξεργασία βάσει έννομου συμφέροντος (άρθρο 21)
• Φορητότητας — λήψη των δεδομένων σας σε δομημένη, μηχαναγνώσιμη μορφή (άρθρο 20) — εξαγωγή JSON στην εφαρμογή
• Ανάκλησης συγκατάθεσης οποτεδήποτε, χωρίς να θίγεται η νομιμότητα της προηγούμενης επεξεργασίας (άρθρο 7(3))
• Καταγγελίας στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (www.dpa.gr, Λ. Κηφισίας 1-3, 11523 Αθήνα, +30 210 6475600, complaints@dpa.gr) (άρθρο 77)

Για την άσκηση των δικαιωμάτων σας, επικοινωνήστε στο info@scootie.boo. Απαντάμε εντός 30 ημερών, όπως απαιτεί το άρθρο 12(3).

8. Ελάχιστη ηλικία

Πρέπει να είστε τουλάχιστον 17 ετών για να χρησιμοποιήσετε την υπηρεσία· οι αναβάτες κάτω των 18 χρειάζονται τη συγκατάθεση γονέα ή νόμιμου κηδεμόνα. Το όριο αυτό υπερβαίνει την ελάχιστη ηλικία έγκυρης συγκατάθεσης κατά τον GDPR βάσει του Ν. 4624/2019 (άρθρο 21, όριο 15 ετών), επομένως δεν απαιτείται πρόσθετο βήμα ψηφιακής συγκατάθεσης για την επεξεργασία δεδομένων: η υπηρεσία είναι αυστηρά 17+.

Δεν συλλέγουμε εν γνώσει μας προσωπικά δεδομένα ατόμων κάτω των 17. Εάν πιστεύετε ότι έχει εγγραφεί άτομο κάτω των 17, επικοινωνήστε στο info@scootie.boo και θα διαγράψουμε τον λογαριασμό και τα σχετικά δεδομένα.

9. Τροποποιήσεις της Πολιτικής

Ενδέχεται να επικαιροποιούμε την παρούσα Πολιτική κατά διαστήματα. Για σημαντικές αλλαγές θα ενημερώνεστε μέσω της Εφαρμογής ή με email. Η συνέχιση της χρήσης μετά τις αλλαγές συνιστά αποδοχή της επικαιροποιημένης πολιτικής.

10. Επικοινωνία

Για ερωτήσεις σχετικά με την παρούσα Πολιτική ή τα δεδομένα σας:

Email: info@scootie.boo
Υπεύθυνος επεξεργασίας: Scootie
ΑΦΜ: 147540570
Διεύθυνση: Ορμύλια 63088, Χαλκιδική, Ελλάδα

Μπορείτε επίσης να υποβάλετε καταγγελία απευθείας στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα — Λ. Κηφισίας 1-3, 11523 Αθήνα, www.dpa.gr.