Politica de confidențialitate

Operatorul datelor cu caracter personal colectate prin platforma Un Milion de Fapte Bune este:

TRANQUILITY SRL CUI: 45797188 Reg. Com.: J1/295/2022 Sediu: Str. Samuel Micu, Nr. 8, Bl. 21, Ap. 15, Alba Iulia, Jud. Alba, România

Reprezentant legal: Voda Sergiu, Administrator

Adresă de contact: contact@1miliondefaptebune.ro

Societatea este operator în sensul Regulamentului (UE) 2016/679 (GDPR) pentru toate prelucrările descrise în prezenta politică. Pentru activitatea curentă a platformei nu există un operator asociat în sensul art. 26 GDPR.

Societatea a desemnat un responsabil cu protecția datelor (DPO), care poate fi contactat la adresa dpo@1miliondefaptebune.ro pentru orice aspect legat de prelucrarea datelor tale și de exercitarea drepturilor tale.

Politica se aplică prelucrărilor efectuate prin:

• site-ul https://1miliondefaptebune.ro;
• conturile de utilizator create pe platformă;
• donațiile cu recompensă (obținerea voucherelor), donațiile către cauze și modulele opționale (licitații caritabile, oferte condiționate de un prag minim de participanți), atunci când sunt active;
• spațiile dedicate partenerilor / sponsorilor și organizațiilor neguvernamentale (ONG);
• comunicările tranzacționale transmise de platformă (de exemplu, confirmarea donației sau livrarea voucherului).

Unele funcționalități ale platformei sunt opționale și pot fi activate, dezactivate sau introduse în timp. Prezenta politică descrie și aceste module, astfel încât prelucrările aferente să fie acoperite din momentul în care devin disponibile, fără a fi necesară o nouă versiune a documentului.

Politica nu acoperă site-urile terțe accesate prin linkuri externe, inclusiv pagina de donație găzduită de Stripe pe domeniul stripe.com. Pentru acele site-uri se aplică politicile proprii ale operatorilor respectivi.

Date cu caracter personal — orice informație referitoare la o persoană fizică identificată sau identificabilă.

Prelucrare — orice operațiune efectuată asupra datelor (colectare, stocare, consultare, transmitere, ștergere etc.).

Operator — entitatea care stabilește scopurile și mijloacele prelucrării (în cazul de față, Societatea / Operatorul).

Persoană împuternicită — terțul care prelucrează date în numele și pe seama operatorului, în baza unui contract conform art. 28 GDPR.

Persoană vizată — persoana fizică ale cărei date sunt prelucrate (utilizator, reprezentant al unui partener sau ONG, beneficiar al unei cauze, operator de predare produs etc.).

### 4.1 Date pe care ni le furnizezi direct

### 4.2 Date generate automat prin utilizarea platformei

### 4.3 Date pe care nu le solicităm

În fluxurile standard nu solicităm cod numeric personal (CNP), seria și numărul actului de identitate sau date biometrice. Datele cardului bancar se introduc exclusiv pe pagina securizată Stripe. Societatea nu stochează numărul complet al cardului și nu are acces la codul CVV.

Fiecare prelucrare are un temei juridic propriu, ales conform naturii activității. Nu folosim consimțământul ca temei generic.

Acolo unde ne întemeiem pe interesul legitim, am evaluat că acesta nu este depășit de drepturile și libertățile tale. Poți obține detalii despre această evaluare scriindu-ne la adresa dedicată protecției datelor.

Modulul de cauze poate implica, în funcție de situația prezentată, date care intră sub incidența art. 9 GDPR (de exemplu informații despre starea de sănătate, situația socială sau alte aspecte sensibile ale unui beneficiar persoană fizică).

Atunci când o astfel de prelucrare are loc, ea se desfășoară pe baza consimțământului explicit al persoanei vizate sau, după caz, al reprezentantului ei legal (art. 9 alin. 2 lit. a GDPR), obținut anterior publicării printr-un formular dedicat disponibil pe site și documentat corespunzător. Aplicăm strict principiul minimizării: publicăm doar informațiile necesare prezentării cauzei, iar documentele justificative cu caracter sensibil rămân accesibile exclusiv personalului autorizat și nu sunt afișate public.

Dacă nu există un temei valabil conform art. 9 pentru o anumită informație sensibilă, aceasta nu este prelucrată sau este anonimizată înainte de orice publicare.

Majoritatea datelor provin direct de la tine. În plus:

• la verificarea unui partener putem consulta surse publice oficiale pentru validarea datelor de firmă (de exemplu informații asociate CUI-ului);
• datele tehnice (IP, user-agent, evenimente de utilizare) sunt generate automat în interacțiunea cu platforma;
• în cadrul cauzelor, anumite date pot fi furnizate de persoana care propune cauza, cu privire la beneficiar, în condițiile descrise la capitolul 6.

### 8.1 Persoane împuternicite (procesatori)

Lucrăm cu furnizori selectați care prelucrează date în numele nostru, în baza unor contracte de prelucrare conforme art. 28 GDPR, încheiate cu fiecare dintre aceștia:

Lista poate evolua. Modificările relevante sunt reflectate prin actualizarea prezentei politici.

Google Analytics 4 și telemetria opțională de analiză rulează doar după ce utilizatorul acceptă categoria „Analiză” în bannerul / setările de cookie-uri. Retragerea consimțământului oprește încărcarea scripturilor de analiză.

### 8.2 Parteneri și ONG-uri

Partenerul care onorează un voucher are acces la datele necesare validării (de exemplu codul voucherului și informațiile afișate pe ofertă). Pentru Recompensele fizice/experiențe, Partenerii (sponsorii) scanează exclusiv valabilitatea Codului QR. Platforma nu transferă automat datele dumneavoastră personale (nume, e-mail) către Partener, excepție făcând cazurile în care este necesară o programare/rezervare nominală la locația partenerului. ONG-urile și beneficiarii desemnați pot accesa, în panoul dedicat, date agregate și informații legate de donațiile care îi vizează direct. Acești destinatari acționează ca operatori independenți pentru prelucrările proprii ulterioare.

### 8.3 Autorități publice

Putem divulga date autorităților competente atunci când legea ne obligă sau pentru exercitarea ori apărarea unui drept în justiție.

Nu vindem datele tale și nu le punem la dispoziția terților pentru marketingul lor.

O parte dintre furnizori (de exemplu Stripe) pot prelucra date în afara Spațiului Economic European. În aceste cazuri ne bazăm pe clauzele contractuale standard aprobate de Comisia Europeană. Poți solicita informații suplimentare despre garanțiile aplicate scriindu-ne la adresa dedicată protecției datelor.

Păstrăm datele doar pe durata necesară scopului, după care le ștergem sau le anonimizăm.

În calitate de persoană vizată, ai următoarele drepturi:

• Dreptul de acces: poți afla dacă prelucrăm date despre tine și poți obține o copie a acestora, împreună cu informații despre scopuri, destinatari și durata de păstrare.
• Dreptul la rectificare: poți cere corectarea datelor inexacte sau completarea celor incomplete.
• Dreptul la ștergere: poți cere ștergerea datelor atunci când nu mai sunt necesare, ți-ai retras consimțământul sau te-ai opus prelucrării, în limitele permise de lege. Anumite date pot fi totuși păstrate dacă o obligație legală ne impune acest lucru (de exemplu documentele contabile).
• Dreptul la restricționare: poți cere suspendarea temporară a prelucrării, de exemplu cât timp verificăm exactitatea datelor sau temeinicia unei opoziții.
• Dreptul la portabilitate: acolo unde prelucrarea se bazează pe contract sau consimțământ și este automatizată, poți primi datele într-un format structurat, utilizat în mod curent și care poate fi citit automat, sau poți cere transmiterea lor către alt operator, când este tehnic posibil.
• Dreptul la opoziție: te poți opune prelucrărilor întemeiate pe interesul nostru legitim, din motive legate de situația ta particulară. Vom înceta prelucrarea, cu excepția cazului în care demonstrăm motive legitime imperioase sau nevoia de a constata, exercita ori apăra un drept în justiție.
• Dreptul de a-ți retrage consimțământul: acolo unde prelucrarea se bazează pe consimțământ (de exemplu analytics, coordonate GPS sau marketing), îl poți retrage oricând, fără a afecta legalitatea prelucrării efectuate anterior retragerii.
• Dreptul de a nu fi supus unor decizii automate cu efect semnificativ (a se vedea capitolul 14).

Cum ne contactezi: trimite un email la dpo@1miliondefaptebune.ro, cu subiectul „Cerere GDPR” și o descriere a solicitării. Putem cere informații suplimentare pentru a-ți confirma identitatea, în scopul protejării datelor tale.

Termen de răspuns: răspundem în cel mult 30 de zile. În cazuri complexe sau cu cereri numeroase, termenul poate fi prelungit cu până la 60 de zile, cu informarea ta în prealabil.

Ștergerea contului: o poți solicita la aceeași adresă. Unele date pot fi reținute în temeiul obligațiilor legale.

Folosim cookies și tehnologii similare pentru funcționarea platformei și, cu consimțământul tău, pentru analiză. Cookie-urile strict necesare nu necesită consimțământ. Cele de analiză se activează doar după acceptarea în bannerul de cookies și pot fi gestionate ulterior din setările browserului sau din panoul de preferințe. Detaliile complete, inclusiv lista cookie-urilor și a furnizorilor de analiză, se află în Politica de cookies.

Aplicăm măsuri tehnice și organizatorice proporționale riscului, printre care:

• conexiuni criptate HTTPS / TLS pentru transmiterea datelor;
• control al accesului bazat pe roluri și principiul privilegiului minim;
• autentificare a utilizatorilor și stocarea parolelor sub formă de hash de către furnizorul de autentificare;
• jurnalizarea acțiunilor administrative;
• limitarea ratei de acces la API-urile publice, pentru reducerea abuzului;
• proceduri de backup și restaurare la nivelul furnizorilor de infrastructură;
• procesarea plăților exclusiv printr-un furnizor specializat (Stripe), fără stocarea datelor complete ale cardului de către noi;
• selecția atentă a furnizorilor și încheierea de contracte de prelucrare conform art. 28 GDPR;
• revizuirea periodică a accesurilor;
• un proces de răspuns la incidente, inclusiv notificarea autorității de supraveghere în termen de 72 de ore de la luarea la cunoștință, atunci când un incident de securitate o impune (art. 33 GDPR);
• minimizarea datelor colectate.

Nicio măsură de securitate nu poate elimina complet riscurile asociate transmiterii datelor pe internet. Lucrăm pentru a reduce aceste riscuri la un nivel rezonabil.

Nu luăm decizii bazate exclusiv pe prelucrarea automată care să producă efecte juridice asupra ta sau să te afecteze în mod similar semnificativ. Moderarea ofertelor și verificarea partenerilor implică o revizuire umană.

Platforma se adresează persoanelor cu vârsta de cel puțin 18 ani. Nu colectăm în mod intenționat date de la minori. Dacă afli că un minor ne-a furnizat date, te rugăm să ne contactezi pentru ștergere.

În modulul de cauze pot apărea date despre persoane vulnerabile, inclusiv minori beneficiari. Accesul la aceste date este restricționat personalului autorizat, se bazează pe un temei valabil conform capitolului 6 și respectă principiul minimizării.

Putem actualiza această politică pentru a reflecta schimbări legale, tehnice sau operaționale. Data „Ultima actualizare” din partea de sus indică versiunea curentă. Pentru modificări importante putem afișa o notificare pe site sau putem informa prin email utilizatorii înregistrați.

Dacă apreciezi că prelucrarea datelor tale încalcă GDPR, te poți adresa autorității de supraveghere:

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) Web: https://www.dataprotection.ro

Te încurajăm să ne contactezi mai întâi la dpo@1miliondefaptebune.ro, pentru o rezolvare directă și rapidă.

Pentru orice întrebare legată de această politică sau de datele tale personale:

TRANQUILITY SRL Întrebări generale: contact@1miliondefaptebune.ro Protecția datelor și DPO: dpo@1miliondefaptebune.ro

Documente conexe: Politica de cookies, Termeni și condiții.