Politica de Confidențialitate

1. Operatorul de date

Operatorul datelor cu caracter personal prelucrate prin platforma „Ceva Memorabil" este [DENUMIRE COMPANIE] SRL, cu sediul în [ADRESĂ SEDIU], CIF RO[CIF], e-mail privacy@ceva-memorabil.ro.

Prelucrăm date conform Regulamentului (UE) 2016/679 (GDPR) și Legii nr. 190/2018. Această politică explică ce date colectăm, de ce, cu cine le împărtășim, cât timp le păstrăm și ce drepturi aveți.

2. Categorii de date prelucrate

În funcție de tipul de utilizator, prelucrăm:

• Cumpărători: adresa de e-mail (obligatoriu pentru livrarea voucherului), eventual numele destinatarului dacă este un cadou, codul unic de comandă, valoarea și data tranzacției, informații tehnice (IP, user-agent) generate la accesarea Platformei.
• Parteneri: nume, e-mail, parolă (stocată sub formă de hash bcrypt), numele și adresa locației, numărul de telefon, coordonate geografice, identificator Google Places, datele despre experiențele listate, informații de cont Stripe Connect.
• Plata: datele cardului nu trec prin serverele noastre; sunt colectate și prelucrate direct de Stripe, în calitate de operator independent.

3. Scopurile și temeiurile prelucrării

• Executarea contractului (art. 6 alin. 1 lit. b GDPR): emiterea voucherelor, gestionarea comenzilor, suport pentru utilizare.
• Obligații legale (art. 6 alin. 1 lit. c GDPR): facturare, evidență contabilă, raportare fiscală, răspuns la solicitările autorităților.
• Interes legitim (art. 6 alin. 1 lit. f GDPR): prevenirea fraudei, securitatea Platformei, îmbunătățirea serviciului, comunicări tranzacționale.
• Consimțământ (art. 6 alin. 1 lit. a GDPR): comunicări de marketing, dacă vă abonați explicit. Puteți retrage consimțământul oricând.

4. Destinatari și procesatori

Pentru a opera serviciul, transmitem date strict necesare către următorii procesatori, în baza unor acorduri de prelucrare conforme art. 28 GDPR:

• Stripe Payments Europe Ltd. (Irlanda) — procesare plăți, prevenire fraudă; Stripe Connect pentru plăți către Parteneri.
• Brevo SAS (Franța) — livrare e-mailuri tranzacționale (confirmare comandă, confirmare e-mail partener, voucher).
• Vercel Inc. (SUA, cu infrastructură în UE) — găzduire aplicație, livrare de conținut, stocare imagini (Vercel Blob).
• Neon Inc. (SUA, cu instanțe regionale în UE) — bază de date PostgreSQL.
• Google Ireland Ltd. — Google Calendar (numai dacă Partenerul activează sincronizarea); Google Places (sugestii de adresă în interfața administrativă).

5. Transferuri internaționale

Unii procesatori sunt entități cu sediul în SUA. Transferurile se realizează în temeiul deciziei de adecvare a Comisiei Europene (EU-US Data Privacy Framework) sau, după caz, în baza clauzelor contractuale standard aprobate de Comisie.

6. Perioade de păstrare

• Date de cont Partener: pe durata contului, plus 6 luni după ștergere (pentru a rezolva eventuale reclamații).
• Date despre tranzacții, vouchere, facturi: 10 ani, conform Legii contabilității nr. 82/1991.
• E-mailuri de tip log și jurnale tehnice: maximum 12 luni.
• Tokenuri de confirmare e-mail: până la utilizare sau expirare (24 de ore).
• Date pentru marketing (cu consimțământ): până la retragerea consimțământului.

7. Cookie-uri și tehnologii similare

Folosim un singur cookie esențial, session, pentru autentificarea Partenerilor. Cookie-ul este HttpOnly, SameSite=Lax, cu durată maximă de 7 zile. Nu utilizăm cookie-uri de tracking sau de marketing și nu apelăm la rețele publicitare terțe.

Folosim, de asemenea, un cookie de preferință a limbii (NEXT_LOCALE), strict necesar funcționării interfeței multilingve.

8. Drepturile dumneavoastră

În calitate de persoană vizată, aveți următoarele drepturi:

• Acces — să obțineți o copie a datelor pe care le prelucrăm despre dumneavoastră.
• Rectificare — să corectați date inexacte.
• Ștergere („dreptul de a fi uitat") — în limitele obligațiilor noastre legale de păstrare.
• Restricționare — să limitați prelucrarea în anumite situații.
• Portabilitate — să primiți datele într-un format structurat, utilizat în mod curent.
• Opoziție — față de prelucrarea în baza interesului legitim.
• Retragerea consimțământului — oricând, fără consecințe asupra contractului.

Pentru a vă exercita drepturile, trimiteți o solicitare la privacy@ceva-memorabil.ro. Răspundem în maximum 30 de zile.

9. Plângeri

Aveți dreptul să depuneți o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP):

B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, București, 010336.
Telefon: +40.318.059.211 / +40.318.059.212.
E-mail: anspdcp@dataprotection.ro.
Web: dataprotection.ro.

10. Securitate

Aplicăm măsuri tehnice și organizatorice adecvate: parole stocate sub formă de hash bcrypt, comunicații TLS, control de acces bazat pe rol, jurnalizare a accesului administrativ, copii de siguranță gestionate de Neon. Vom notifica autoritatea competentă și utilizatorii afectați în termen de 72 de ore în cazul unei breșe de securitate cu risc ridicat.

11. Modificări

Putem actualiza această politică pentru a reflecta schimbări legale sau operaționale. Modificările sunt publicate pe această pagină, împreună cu data ultimei actualizări de mai sus. În cazul unor modificări semnificative, vă notificăm prin e-mail.

12. Contact

Pentru orice întrebare privind protecția datelor: privacy@ceva-memorabil.ro.