Politica privind prelucrarea datelor cu caracter personal

Prezenta politică descrie modul în care ILAB24 STUDIO SRL ("noi", "platforma") prelucrează datele cu caracter personal în contextul furnizării unui serviciu digital de creare și administrare a paginilor memoriale accesibile prin cod QR, disponibil în România și în Uniunea Europeană.

Ne angajăm să respectăm Regulamentul (UE) 2016/679 ("GDPR") și legislația aplicabilă în materie de protecție a datelor.

1. Cine suntem
ILAB24 STUDIO SRL este o persoană juridică înregistrată în România, cu sediul social în Intrarea Gheorghe Simionescu, Nr. 19, Ap. B26, Sectorul 1, București, și acționează în calitate de operator de date în sensul GDPR.

Pentru toate solicitările privind protecția datelor: memory@inmysoul.eu

2. Ce categorii de date prelucrăm
a) Date de cont ale utilizatorilor (persoane în viață):
nume și prenume, adresă de e-mail
parolă (stocată exclusiv ca hash Argon2id - niciodată în text clar)
adresă de livrare (țară, oraș, cod poștal, stradă)
număr de telefon

b) Date de comandă și plată:
detalii despre comandă (produse, sume, identificatori de tranzacție)
starea și istoricul plăților
token de plată (referință criptată stocată pentru reînnoiri recurente - a se vedea secțiunea 11)

c) Date tehnice și de securitate:
adrese IP (stocate criptat)
date user-agent
jurnale de evenimente de plată

d) Conținut furnizat de utilizator pentru paginile memoriale:
date biografice ale persoanei decedate (nume, date)
texte, imagini, fotografii, linkuri video, citate
mesaje comemorative ale vizitatorilor

3. Date privind persoane decedate
Platforma permite utilizatorilor să introducă informații despre persoane decedate exclusiv în scop memorial. Conform GDPR, datele persoanelor decedate nu constituie date cu caracter personal.
Cu toate acestea, ne rezervăm dreptul de a elimina sau restricționa conținutul publicat dacă acesta:
încalcă drepturile persoanelor în viață
conține date sensibile ale terților
este contrar legii aplicabile sau bunelor moravuri
Responsabilitatea pentru legalitatea și corectitudinea conținutului publicat revine utilizatorului care îl publică.

4. Scopurile și temeiurile prelucrării
crearea și administrarea contului - Art. 6 alin. (1) lit. b GDPR (contract)
furnizarea serviciului de pagină memorială și cod QR - Art. 6 alin. (1) lit. b GDPR (contract)
procesarea comenzilor și plăților - Art. 6 alin. (1) lit. b GDPR (contract)
notificări de reînnoire a abonamentului - Art. 6 alin. (1) lit. b GDPR (contract)
prevenirea fraudei și securitatea platformei - Art. 6 alin. (1) lit. f GDPR (interes legitim)
respectarea obligațiilor legale de evidență financiară - Art. 6 alin. (1) lit. c GDPR (obligație legală)
e-mailuri tranzacționale (confirmare comandă, reamintiri reînnoire) - Art. 6 alin. (1) lit. b GDPR (contract)
newsletter (exclusiv cu consimțământ explicit) - Art. 6 alin. (1) lit. a GDPR (consimțământ)

5. Caracterul public al paginilor memoriale
Paginile memoriale asociate codurilor QR sunt accesibile public oricărei persoane care scanează codul. Utilizatorul este informat și acceptă în mod expres caracterul public al informațiilor publicate pe pagina memorială la momentul creării contului.

6. Duratele de stocare a datelor
Stocăm diferite categorii de date pentru perioade diferite:

Comenzi și documente financiare: păstrate timp de 5 ani de la data tranzacției, conform obligațiilor fiscale din legislația română (Legea nr. 82/1991).

Jurnale de evenimente de plată (payment logs): păstrate timp de 3 ani în scopul prevenirii fraudei și soluționării disputelor, după care sunt șterse definitiv.

Date de cont activ: păstrate pe durata existenței contului și a abonamentului. Dacă un abonament expiră și nu este reînnoit, contul este marcat ca inactiv. Conturile inactive fără activitate de abonament timp de 3 ani vor primi o notificare de avertizare privind ștergerea și vor fi șterse definitiv la 30 de zile după aceea, dacă nu sunt reactivate.

Tokenuri de plată pentru reînoiri recurente: păstrate cât timp tokenul este activ și clientul are un abonament activ. Tokenurile sunt invalidate și programate pentru ștergere la închiderea contului sau la solicitarea expresă a utilizatorului.

La ștergerea contului: toate datele cu caracter personal (nume, e-mail, adresă, telefon, adrese IP) sunt eliminate definitiv din sistemele noastre. Înregistrările comenzilor sunt anonimizate și păstrate exclusiv în măsura impusă de lege.

7. Destinatarii datelor și sub-procesatorii
Utilizăm următorii sub-procesatori terți care pot prelucra date cu caracter personal în numele nostru:

Hosting și infrastructură web: infrastructură de server situată în Uniunea Europeană, guvernată de acorduri de prelucrare a datelor conforme cu Art. 28 GDPR.

NETOPIA Payments (netopia-payments.com): serviciu de procesare a plăților. Prelucrează numele, e-mailul, telefonul, detaliile comenzii și datele cardului de plată. Acționează ca operator independent pentru datele cardului. Guvernat de propria politică de confidențialitate și de obligațiile de conformitate PCI-DSS.

Servicii de curierat: numele și adresa de livrare sunt comunicate partenerilor de curierat exclusiv în scopul livrării produselor fizice (plăcuțe memoriale).

Autorități publice: datele pot fi comunicate autorităților competente atunci când legea o impune.

Nu vindem, nu închiriem și nu partajăm datele cu caracter personal cu nicio terță parte în scopuri de marketing.

8. Transferuri internaționale de date
Toate datele cu caracter personal sunt stocate și prelucrate în Uniunea Europeană. Nu transferăm date cu caracter personal în afara UE/SEE. Dacă această situație se va schimba în viitor, orice astfel de transfer va fi guvernat de garanții adecvate conform Art. 46 GDPR (clauze contractuale standard sau echivalente).

9. Masuri de securitate
Aplicăm următoarele măsuri tehnice și organizatorice de securitate:

Criptare în repaus: toate câmpurile cu date de identificare personală din baza de date (nume, e-mail, telefon, adresă, adresă IP) sunt criptate folosind criptare simetrică AES-256 cu prefix de cheie per-înregistrare (schema v1:). Pentru căutări se folosesc exclusiv reprezentări hash.

Hash-uirea parolelor: parolele utilizatorilor sunt stocate exclusiv ca hash-uri Argon2id cu salt per-utilizator. Parolele în text clar nu sunt stocate și nici jurnalizate.

Controlul accesului: accesul la baza de date este restricționat la conturile de serviciu la nivel de aplicație. Personalul general nu are acces direct la baza de date. Accesul administrativ necesită autentificare cu mai mulți factori.

Tokenizarea plăților: datele cardului nu sunt stocate niciodată pe serverele noastre. NETOPIA Payments furnizează un token de referință criptat (stocat criptat) care permite reînnoiri recurente fără reintroducerea datelor cardului. Tokenul nu conține numărul cardului sau CVV.

Securitatea transmisiei: toate datele în tranzit sunt protejate prin TLS 1.2 sau superior.

Jurnalizare audit: toate evenimentele de plată sunt jurnalizate cu date IP și user-agent criptate pentru auditarea securității și detectarea fraudei.

10. Drepturile dumneavoastra si cum sa le exercitati
Conform GDPR, beneficiați de următoarele drepturi:
dreptul de acces (Art. 15) - solicitați o copie a tuturor datelor cu caracter personal pe care le deținem despre dumneavoastră
dreptul la rectificare (Art. 16) - corectați datele inexacte sau incomplete
dreptul la ștergere (Art. 17) - solicitați ștergerea definitivă a contului și a datelor cu caracter personal
dreptul la restricționarea prelucrării (Art. 18) - solicitați limitarea modului în care utilizăm datele dumneavoastră
dreptul la portabilitatea datelor (Art. 20) - primiți datele dumneavoastră într-un format structurat, lizibil automat
dreptul la opoziție (Art. 21) - vă opuneți prelucrării bazate pe interesul legitim
dreptul de a retrage consimțământul - retrageți orice consimțământ acordat în orice moment

Cum se depune o solicitare:
Trimiteți un e-mail la memory@inmysoul.eu cu subiectul "Solicitare GDPR" și specificați dreptul pe care doriți să îl exercitați. Includeți adresa de e-mail asociată contului dumneavoastră pentru verificarea identității.

Vom răspunde în termen de 30 de zile de la primirea unei solicitări verificabile. În cazuri complexe, această perioadă poate fi prelungită cu încă 60 de zile, caz în care vă vom notifica în cadrul perioadei inițiale de 30 de zile.

Dacă considerați că drepturile dumneavoastră nu au fost respectate, aveți dreptul de a depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) din România (www.dataprotection.ro) sau la autoritatea de protecție a datelor din țara dumneavoastră de reședință.

11. Plati online si tokenizarea platilor
Pentru procesarea plăților online, utilizăm NETOPIA Payments (netopia-payments.com).

La momentul inițierii unei plăți, următoarele date sunt transmise către NETOPIA Payments:
nume și prenume
adresă de e-mail
număr de telefon
adresă de livrare
detalii despre comandă (produse, sumă, identificator tranzacție)

Datele cardului bancar (numărul cardului, CVV, data expirării) sunt introduse direct pe pagina de plată securizată a NETOPIA și NU sunt transmise și NU sunt stocate de noi.

Reînoiri recurente: dacă un utilizator optează pentru reînnoire recurentă, NETOPIA Payments ne furnizează un token de plată criptat. Acest token este stocat criptat în baza noastră de date și este utilizat exclusiv pentru inițierea taxelor de reînnoire când este autorizat de utilizator. Tokenul nu conține niciun număr de card sau CVV. Utilizatorii pot revoca autorizația de plată recurentă în orice moment contactând memory@inmysoul.eu.

Atât noi, cât și NETOPIA Payments acționăm ca operatori independenți de date pentru activitățile noastre respective de prelucrare.

12. Cookie-uri
Acest site utilizează cookie-uri. Pentru detalii privind tipurile de cookie-uri utilizate, scopurile acestora și modul de gestionare a preferințelor, vă rugăm să consultați Politica privind cookie-urile disponibilă pe Site.

13. Contact
Pentru orice întrebări privind protecția datelor sau pentru exercitarea drepturilor dumneavoastră:
memory@inmysoul.eu
ILAB24 STUDIO SRL, Intrarea Gheorghe Simionescu, Nr. 19, Ap. B26, Sectorul 1, București, România