Politica de confidențialitate

1. Introducere și operatorul de date

Această Politică de confidențialitate explică ce date cu caracter personal colectează [PLACEHOLDER: COMPANY NAME] S.R.L. (nr. ORC [PLACEHOLDER: ORC NUMBER], sediu social: [PLACEHOLDER: FULL REGISTERED ADDRESS], Timișoara, România) atunci când folosești platforma socială Ciripi la ciripi.com și ca aplicație web progresivă („Serviciul”), de ce le colectăm, cât timp le păstrăm, cu cine le partajăm și ce drepturi ai.

„Ciripi”, „noi”, „nouă” și „al nostru” se referă la [PLACEHOLDER: COMPANY NAME] S.R.L., care acționează ca operator de date pentru toate datele cu caracter personal prelucrate prin intermediul Serviciului.

În prezent nu avem un responsabil cu protecția datelor (DPO) desemnat. Pentru orice solicitare privind protecția datelor, contactează-ne la privacy@ciripi.com.

Această politică se aplică tuturor utilizatorilor, inclusiv membrilor înregistrați și vizitatorilor neînregistrați care navighează pe paginile publice. Trebuie citită împreună cu Termenii și condițiile și cu Politica de cookie-uri.

2. Datele cu caracter personal pe care le colectăm

2.1 Date de cont și de autentificare

• Adresa de e-mail — colectată la înregistrare; folosită pentru autentificare, verificarea adresei de e-mail și comunicări privind serviciul.
• Numele de utilizator — un nume public de afișare (3–20 de caractere), ales de tine.
• Parola — dacă te înregistrezi cu e-mail și parolă, parola ta este prelucrată de Supabase Auth și stocată sub forma unui hash criptografic (bcrypt). Nu stocăm și nu accesăm niciodată parola ta în text clar.
• Identitatea Google OAuth — dacă te autentifici cu Google, primim de la Google adresa ta de e-mail, numele de afișare și adresa URL a pozei de profil. Nu primim parola ta Google.

2.2 Date de profil (toate opționale)

• Fotografia de profil (imagine încărcată, stocată în Supabase Storage)
• Imaginea de copertă (imagine încărcată, stocată în Supabase Storage)
• Textul biografiei (maximum 160 de caractere)
• Interese / etichete de hobby-uri (listă de identificatori de categorii, maximum 10)
• Avatar implicit — dacă nu încarci o fotografie, se generează un avatar vizual prin trimiterea identificatorului tău pseudonim de utilizator (un UUID) către API-ul DiceBear (api.dicebear.com), ca sămânță deterministă. Vezi §4 pentru detalii.
• Puncte de karma — un scor de implicare calculat automat pe baza activității tale (postări, comentarii, voturi primite).

2.3 Date de localizare — prelucrate cu grijă deosebită

Funcțiile de localizare sunt în întregime voluntare. Dacă alegi să le activezi, colectăm una dintre următoarele, în funcție de modul ales:

• După zonă (precis): latitudine, longitudine, raza de căutare (km) și o etichetă de locație pe care o scrii tu (de ex. „Cluj-Napoca”).
• După țară: doar numele unei țări; nu se colectează și nu se stochează coordonate.

Vezi §5 pentru secțiunea completă privind datele de localizare.

2.4 Conținut generat de utilizatori

• Postări (titlu, text, imagini, videoclipuri)
• Articole de blog (titlu, blocuri de conținut cu text formatat, imagini încorporate)
• Comentarii la postări și bloguri (text, opțional imagine sau videoclip)
• Voturi (pozitive sau negative) la postări, bloguri și comentarii
• Mesaje directe — text, imagini și videoclipuri schimbate în privat între utilizatori
• Mesaje din chatul evenimentelor — text, imagini și videoclipuri din camerele de chat ale evenimentelor
• Detalii ale evenimentelor create de tine (titlu, descriere, locație, date, imagine de copertă)
• Cereri de grup (nume, descriere, pictogramă)
• Raportări de conținut (categorie, descriere opțională)
• Tichete de asistență (categorie, textul mesajului)

2.5 Graful social și date de participare

• Relații de urmărire (pe cine urmărești și cine te urmărește)
• Apartenența la grupuri (din ce grupuri faci parte, data alăturării)
• Statusul participării la evenimente (Particip sau Poate) — vizibil celorlalți participanți la eveniment
• Notificări în aplicație (autorul acțiunii, tipul acțiunii, conținutul asociat, starea de citire)

2.6 Date tehnice și de performanță

• Indicatorii Core Web Vitals (CLS, FCP, LCP, TTFB, INP) — colectați în browser prin biblioteca web-vitals și trimiși către punctul nostru intern de analiză. Fiecare transmitere include și șirul User-Agent (tipul și versiunea browserului) și adresa URL Referer (pagina măsurată).
• Token-ul de abonare Web Push — un identificator generat de browser, stocat atunci când optezi pentru notificări push.
• Jurnalele standard de acces ale serverului (adresă IP, calea cererii, marcaj de timp) — generate de furnizorul nostru de găzduire, Vercel, și păstrate timp de 30 de zile.

3. Temeiuri legale pentru prelucrare

Prelucrăm date cu caracter personal doar acolo unde există un temei legal valabil în conformitate cu articolul 6 din Regulamentul (UE) 2016/679 (GDPR) și cu Legea nr. 190/2018.

3.1 Executarea unui contract — art. 6 alin. (1) lit. (b)

Prelucrarea necesară pentru a furniza Serviciul pe care l-ai solicitat atunci când ți-ai creat un cont:

• Crearea contului și autentificarea
• Stocarea profilului și afișarea lui către alți utilizatori
• Publicarea de postări, bloguri, comentarii și voturi
• Mesageria directă și cea din chatul evenimentelor
• Crearea evenimentelor și gestionarea participărilor
• Gestionarea apartenenței la grupuri
• Livrarea notificărilor în aplicație
• Gestionarea și soluționarea tichetelor de asistență
• Exportul datelor („Descarcă datele mele”)
• Generarea avatarului implicit (UUID-ul tău pseudonim de utilizator este trimis către DiceBear ca sămânță, pentru a produce un avatar vizual la crearea contului)

3.2 Consimțământ — art. 6 alin. (1) lit. (a)

Prelucrare doar acolo unde ți-ai dat consimțământul informat în mod liber, specific și neechivoc:

• Filtrarea fluxului în funcție de locație — salvezi voluntar o locație în Setări. Îți poți retrage consimțământul oricând, eliminându-ți locația.
• Notificări push — acorzi o permisiune explicită la nivel de browser. Te poți retrage oricând din Setări → Notificări.
• Cache-ul local de performanță — datele din flux sunt stocate în cache în browserul tău doar dacă alegi „Acceptă tot” în bannerul de cookie-uri. Alegerea „Doar esențiale” dezactivează acest cache. Îți poți schimba alegerea ștergând datele site-ului.

Retragerea consimțământului nu afectează legalitatea prelucrării efectuate înainte de retragere.

3.3 Interese legitime — art. 6 alin. (1) lit. (f)

Prelucrare acolo unde interesele noastre legitime — sau cele ale comunității în ansamblu — nu sunt depășite de interesele, drepturile și libertățile tale:

3.4 Obligație legală — art. 6 alin. (1) lit. (c)

• Răspunsul la ordine legale valabile, la proceduri judiciare sau la solicitări ale autorităților de aplicare a legii, conform dreptului român sau al UE
• Raportarea materialelor privind abuzul sexual asupra copiilor (CSAM) autorităților de aplicare a legii, conform legislației aplicabile

4. Subîmputerniciți și partajarea datelor

Partajăm date cu caracter personal doar cu următorii subîmputerniciți, fiecare fiind obligat printr-un acord de prelucrare a datelor (DPA) sau printr-un instrument echivalent. Nu vindem date cu caracter personal, nu difuzăm publicitate țintită și nu partajăm date cu agenți de publicitate sau cu brokeri de date.

5. Datele de localizare — prevederi speciale

Întrucât datele de localizare pot fi deosebit de sensibile, aplicăm garanții suplimentare:

• În întregime voluntare. Funcțiile de localizare se activează doar cu acordul tău. Poți folosi Ciripi pe deplin fără a furniza nicio informație de localizare.
• Nepartajate cu alți utilizatori. Coordonatele tale precise nu sunt niciodată afișate altor utilizatori și nu sunt partajate cu aceștia. Doar tu îți vezi locația salvată în Setări.
• Folosite doar pentru filtrarea fluxului. Coordonatele sunt folosite pe server pentru a calcula ce postări și evenimente se încadrează în raza aleasă de tine, folosind distanța geodezică PostGIS (ST_DWithin pe tipul geography). Coordonatele atașate postărilor sunt rotunjite la aproximativ un kilometru înainte de stocare, astfel încât o postare indică o zonă, nu o adresă. Nu facem nicio altă utilizare a coordonatelor tale.
• Evenimente. Când creezi un eveniment, eticheta de locație lizibilă (de ex. „Parcul Central, Timișoara”) pe care o scrii tu este vizibilă participanților. Orice coordonate precise pe care le setezi pentru locația evenimentului sunt folosite doar pentru filtrarea după distanță și nu sunt dezvăluite individual participanților.
• Revocabile oricând. Îți poți elimina locația salvată oricând din Setări → Locație și flux. După eliminare, coordonatele tale sunt șterse imediat din baza noastră de date.
• Temei legal: Consimțământ (art. 6 alin. (1) lit. (a) GDPR). Retragerea consimțământului nu afectează legalitatea prelucrării anterioare.

6. Procesul decizional automatizat

Ciripi folosește un filtru automat de moderare a textului, care rulează local în browserul tău înainte ca acel conținut să fie transmis. Filtrul verifică textul în raport cu o listă de termeni interziși și tipare de hărțuire. Dacă este declanșat, transmiterea respectivă este blocată și nu ajunge la serverele noastre; nu se ia automat nicio altă măsură împotriva contului tău.

Această măsură automatizată se încadrează la articolul 22 alin. (2) lit. (b) GDPR (decizii automatizate necesare potrivit condițiilor contractuale pe care le-ai acceptat). Singurul ei efect este împiedicarea publicării unei anumite transmiteri; nu îți modifică statutul contului, nu îți restrânge celelalte drepturi și nu produce niciun efect juridic semnificativ dincolo de acea unică acțiune blocată.

Dacă îți este blocat conținutul și consideri că a fost o eroare, ai dreptul de a contesta rezultatul contactând support@ciripi.com, unde un membru uman al echipei noastre îți va analiza cazul.

Dincolo de filtrul de moderare, nu luăm decizii bazate exclusiv pe prelucrare automatizată care să producă efecte juridice sau efecte similare semnificative asupra ta.

7. Păstrarea datelor

Păstrăm datele cu caracter personal doar atât timp cât este necesar pentru scopurile prevăzute în această politică sau conform cerințelor legale.

Când soliciți ștergerea contului, urmărim finalizarea ștergerii datelor cu caracter personal identificabile în termen de 30 de zile. Copiile reziduale din instantaneele de rezervă criptate sunt suprascrise în cadrul ciclului obișnuit de rotație a copiilor de rezervă.

8. Transferuri internaționale de date

Majoritatea datelor cu caracter personal rămân în Spațiul Economic European (SEE):

• Supabase stochează toate datele în Irlanda (regiunea eu-west-1) — fără transfer internațional.
• Vercel — jurnalele de acces pot fi prelucrate de Vercel Inc. în Statele Unite, în temeiul clauzelor contractuale standard (CCS) adoptate prin Decizia Comisiei 2021/914/UE.
• Google — datele de autentificare OAuth sunt prelucrate de Google Ireland Ltd. (entitate din SEE); orice transferuri ulterioare efectuate de Google sunt acoperite de propriile CCS ale Google.
• DiceBear — [PLACEHOLDER: confirm jurisdiction and transfer mechanism if outside EEA].

Poți solicita o copie a garanțiilor de transfer aplicabile scriind la privacy@ciripi.com.

9. Drepturile tale conform GDPR

În calitate de persoană vizată conform GDPR și Legii nr. 190/2018, ai următoarele drepturi. Ele nu sunt absolute — în situații limitate permise de lege se aplică excepții — dar vom răspunde fiecărei cereri valabile.

10. Cum îți exerciți drepturile

Scrie la privacy@ciripi.com cu solicitarea ta. Vom confirma primirea în termen de 3 zile lucrătoare și vom răspunde în termen de 30 de zile calendaristice. Pentru cereri complexe sau multiple, putem prelungi acest termen cu încă 60 de zile, cu notificare prealabilă.

Este posibil să fie nevoie să îți verificăm identitatea înainte de a da curs unei cereri. Nu vom percepe taxe pentru cererile rezonabile; ne rezervăm dreptul de a percepe o taxă rezonabilă sau de a refuza cererile vădit nefondate ori excesive.

11. Depunerea unei plângeri la ANSPDCP

Dacă apreciezi că nu ți-am prelucrat datele cu caracter personal în conformitate cu GDPR sau cu Legea nr. 190/2018, ai dreptul de a depune o plângere la autoritatea de supraveghere competentă:

Ai de asemenea dreptul de a depune o plângere la autoritatea de supraveghere din statul membru al UE în care îți ai reședința obișnuită sau locul de muncă.

12. Securitate

Implementăm măsuri tehnice și organizatorice adecvate riscului, printre care:

• HTTPS (TLS) impus pe toate conexiunile; preîncărcare HSTS în producție
• Parole prelucrate de Supabase Auth prin hashing bcrypt
• Row Level Security (RLS) pe toate tabelele bazei de date Supabase
• Token-uri de acces JWT cu expirare scurtă și reîmprospătare automată
• Chei API cu domenii de acces minime (cheia anon pentru client; cheia service-role doar pe server)
• Politică de securitate a conținutului (CSP) cu nonce-uri per cerere

Niciun sistem nu este complet sigur. În cazul unei încălcări a securității datelor cu caracter personal care este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile tale, te vom notifica fără întârzieri nejustificate și, în orice caz, în termen de 72 de ore de la momentul în care am luat cunoștință, conform art. 34 GDPR.

13. Copii

Serviciul nu se adresează copiilor sub 16 ani. Nu colectăm cu bună știință date cu caracter personal de la persoane sub 16 ani. Dacă apreciezi că un copil sub 16 ani și-a creat un cont pe Ciripi, te rugăm să ne contactezi la privacy@ciripi.com, iar noi vom șterge contul și datele asociate imediat după verificare.

14. Modificări ale acestei politici

Putem actualiza această politică atunci când Serviciul se schimbă sau când se modifică cerințele legale. Pentru modificări semnificative te vom notifica prin e-mail și/sau printr-un anunț în aplicație cu cel puțin 30 de zile înainte ca modificarea să intre în vigoare. Vom actualiza data „Ultima actualizare” din partea de sus pentru toate modificările. Utilizarea în continuare a Serviciului după data intrării în vigoare constituie acceptarea politicii actualizate.

15. Contact

Pentru întrebări privind protecția datelor, cereri de exercitare a drepturilor sau plângeri legate de practicile noastre privind datele:

• E-mail: privacy@ciripi.com
• Adresă poștală: [PLACEHOLDER: COMPANY NAME] S.R.L., [PLACEHOLDER: FULL REGISTERED ADDRESS], Timișoara, România