Politica de confidențialitate

Această politică explică ce date personale prelucrăm pe platforma Artivo, în ce scop și ce drepturi are utilizatorul — artist, client sau orice altă persoană ale cărei date ajung la noi, de exemplu prin formularul de contact sau de semnalare —, conform Regulamentului (UE) 2016/679 („GDPR”). Operatorul datelor este operatorul platformei Artivo. Putem fi contactați printr-un e-mail la adresa: contact@artivo.ro. Nu avem obligația legală de a desemna un responsabil cu protecția datelor (art. 37 GDPR); orice solicitare privind datele se trimite la această adresă.

1. Ce date prelucrăm

• La crearea contului de artist:
  • prelucrăm adresa de e-mail;
  • la autentificarea cu Google sau cu Facebook, prelucrăm, pe lângă adresa de e-mail, și numele și poza de profil primite de la Google, respectiv de la Facebook.
• Pentru profilul de artist:
  • prelucrăm informațiile pe care artistul alege să le publice: numele de scenă, descrierea, pozele (inclusiv coperta și poza de profil), clipurile, județul și zona de deplasare, tipul de artist, genurile, tipurile de evenimente, ce mai oferă, prețul orientativ și linkurile către paginile sale de pe rețele sociale;
  • prelucrăm datele membrilor echipei pe care artistul alege să îi prezinte pe profil: rolul fiecăruia și, dacă artistul le adaugă, numele de scenă și poza. Aceste date nu le primim de la persoanele respective, ci de la artist, care confirmă, pentru fiecare persoană, că a împlinit 18 ani și că și-a dat acordul (termenii, secțiunea 4);
  • prelucrăm datele private de contact ale artistului (adresa de e-mail și numărul de telefon), care nu sunt afișate public.
• La trimiterea unei cereri de disponibilitate, prelucrăm datele introduse de client:
  • numele;
  • adresa de e-mail;
  • numărul de telefon, dacă clientul l-a completat;
  • detaliile evenimentului (data, tipul, localitatea aleasă dintr-o listă, durata, numărul de invitați, bugetul și momentele alese) și mesajul. Adresa sau localul exact nu sunt cerute. Acestea se stabilesc direct cu artistul, după confirmare.
• Notificări pe telefon (opțional). Dacă artistul le activează din contul său, păstrăm identificatorul tehnic al abonamentului de notificări al browserului sau dispozitivului lui și tipul de browser, pentru a-i putea trimite o notificare când primește o cerere.
• La înscrierea unui artist prin formularul „Pentru artiști”, prelucrăm numele, categoria, județul, adresa de e-mail și numărul de telefon, împreună cu notițele noastre interne despre urmărirea înscrierii. Aceste date sunt legate de profilul creat.
• La semnalarea unui conținut, prelucrăm:
  • conținutul semnalării;
  • numele și adresa de e-mail ale persoanei care semnalează, dacă aceasta alege să le furnizeze.
• La trimiterea unui mesaj prin formularul de contact, prelucrăm motivul ales, numele, adresa de e-mail și conținutul mesajului.
• Pentru dovada acceptărilor și a declarațiilor făcute prin bifare: pentru fiecare căsuță bifată de utilizator (confirmarea că a fost informat despre transmiterea datelor de contact, acceptarea termenilor, declarația că a împlinit 18 ani, confirmarea drepturilor la publicarea unui profil, declarația artistului privind acordul unui membru al echipei), păstrăm:
  • textul exact pe care utilizatorul l-a citit și versiunea lui;
  • momentul bifării;
  • adresa IP și tipul de browser;
  • adresa de e-mail, doar ca amprentă criptografică, nu ca text.
  Pe baza amprentei putem verifica ce a acceptat sau a declarat o anumită adresă de e-mail și când, dar nu putem citi lista adreselor înregistrate. Amprenta se calculează cu o cheie secretă, cunoscută doar de platformă, iar registrul îl poate consulta doar administratorul. Înregistrările rămân date cu caracter personal (pseudonimizate), nu date anonime.
• Date tehnice: prelucrăm jurnalele de server strict necesare funcționării și securității. Pentru a limita numărul de cereri și de link-uri de autentificare trimise de pe aceeași adresă, folosim adresa IP (iar la autentificare și adresa de e-mail) timp de o oră; aceste înregistrări se șterg automat, cel târziu în noaptea următoare. Ele sunt separate de adresa IP păstrată ca dovadă a unei acceptări (punctul de mai sus), care are termenul ei, la secțiunea 4. Pentru fiecare profil păstrăm un istoric al modificărilor (ce s-a schimbat și când), iar deciziile luate de administrator asupra profilurilor și semnalărilor sunt consemnate într-un jurnal intern.

Datele marcate ca obligatorii în formulare — de exemplu adresa de e-mail la crearea contului ori numele și adresa de e-mail la trimiterea unei cereri — sunt necesare pentru încheierea și executarea contractului. Fără ele, contul nu poate fi creat, respectiv cererea nu poate fi trimisă. Celelalte date, de exemplu numărul de telefon, bugetul sau mesajul, sunt opționale (art. 13 alin. (2) lit. (e) GDPR).

Cele mai multe date le primim direct de la persoana în cauză. Excepțiile: numele de scenă și poza unui membru al echipei le primim de la artist; datele despre o persoană cuprinse într-o semnalare sau într-un mesaj le primim de la cel care scrie; la autentificarea cu Google sau cu Facebook primim de la Google, respectiv de la Facebook, adresa de e-mail, numele și poza de profil (art. 14 alin. (2) lit. (f) GDPR).

2. Scopuri și temeiuri

• Furnizarea serviciului. Afișarea profilurilor, transmiterea cererilor către artistul vizat, autentificarea și e-mailurile tranzacționale au ca temei executarea contractului (art. 6 alin. (1) lit. (b) GDPR).
• Transmiterea datelor de contact ale clientului către artist. Când artistul confirmă disponibilitatea, îi transmitem datele de contact ale clientului. Transmiterea face parte din serviciul cerut de client și are ca temei executarea contractului (art. 6 alin. (1) lit. (b) GDPR). La trimiterea cererii, clientul citește o mențiune distinctă despre această transmitere și confirmă prin bifare că a luat cunoștință de aceasta.
• Transmiterea datelor de contact ale artistului către client. Când artistul confirmă disponibilitatea, transmitem clientului datele de contact ale artistului. Transmiterea are loc numai la răspunsul afirmativ al artistului, face parte din serviciul la care s-a înscris și are ca temei executarea contractului (art. 6 alin. (1) lit. (b) GDPR). Înainte de a răspunde, artistul citește o mențiune distinctă despre această transmitere și confirmă prin bifare că a luat cunoștință de aceasta. Dacă artistul răspunde că nu poate participa, nu transmitem niciuna dintre datele sale de contact.
• Păstrarea dovezii acceptărilor și a declarațiilor. Păstrăm dovada a ceea ce utilizatorul a acceptat sau a declarat prin bifare (acceptarea termenilor, declarațiile date și confirmările de informare) pentru a putea demonstra că ne-am respectat obligațiile (art. 5 alin. (2) GDPR) și în temeiul interesului legitim de a ne apăra într-o eventuală dispută (art. 6 alin. (1) lit. (f) GDPR). Adresa IP și tipul de browser sunt păstrate pentru că întăresc dovada și nu sunt folosite în niciun alt scop. Toate aceste înregistrări se șterg automat la termenele de la secțiunea 4.
• Notificările pe telefon. Trimitem o notificare artistului care le-a activat când primește o cerere. Temeiul este executarea contractului (art. 6 alin. (1) lit. (b) GDPR): artistul le pornește și le poate opri oricând din cont. Notificarea cuprinde tipul și data evenimentului, nu și numele sau datele clientului.
• Afișarea echipei artistului. Afișăm rolul, numele de scenă și poza membrilor echipei pe care artistul îi adaugă, pentru ca clienții să vadă cine vine la eveniment. Temeiul este interesul legitim al artistului și al clienților (art. 6 alin. (1) lit. (f) GDPR). Numele de scenă și poza sunt opționale, iar artistul confirmă acordul fiecărei persoane. Persoanele prezentate nu primesc de la noi o notificare separată, pentru că nu avem datele lor de contact (art. 14 alin. (5) lit. (b) GDPR). Informațiile din această politică li se adresează și lor, iar artistul are obligația să le informeze. Pentru aceste date, artistul și platforma sunt operatori asociați (art. 26 GDPR): artistul răspunde de obținerea acordului și de informarea persoanei, iar noi de afișarea, păstrarea și eliminarea datelor. Persoana își poate exercita drepturile față de oricare dintre noi.
• Securitatea și prevenirea abuzurilor. Aceste prelucrări au ca temei interesul nostru legitim (art. 6 alin. (1) lit. (f) GDPR).
• Copiile de siguranță. Copia de noapte a bazei de date servește doar la refacerea datelor după o eroare. Temeiul este interesul nostru legitim de a nu pierde datele utilizatorilor și obligația de a le proteja (art. 6 alin. (1) lit. (f) și art. 32 GDPR). Durata păstrării este la secțiunea 4.
• Soluționarea semnalărilor de conținut. Această prelucrare are ca temei o obligație legală, prevăzută de Regulamentul (UE) 2022/2065 privind serviciile digitale (art. 6 alin. (1) lit. (c) GDPR).
• Gestionarea mesajelor trimise prin formularul de contact. Primim, citim și, atunci când este cazul, răspundem la mesaje. Această prelucrare are ca temei interesul nostru legitim de a gestiona corespondența primită (art. 6 alin. (1) lit. (f) GDPR). Dacă mesajul este o solicitare a persoanei privind propriile date, temeiul este obligația legală de a-i da curs (art. 6 alin. (1) lit. (c) GDPR).

Nu folosim datele pentru publicitate și nu le vindem nimănui.

3. Cui transmitem datele

• Artistului căruia i se trimite o cerere. Artistul primește numele clientului, detaliile evenimentului (inclusiv localitatea) și mesajul, pentru a-i putea răspunde. Adresa de e-mail și numărul de telefon ale clientului îi sunt transmise doar dacă artistul confirmă disponibilitatea.
• Clientului căruia artistul îi răspunde afirmativ. Clientul primește adresa de e-mail a artistului și, dacă există, numărul lui de telefon, pentru ca cei doi să poată stabili detaliile direct. Datele de contact ale artistului nu apar pe profilul public și nu sunt transmise în cazul unui răspuns negativ.
• Furnizorilor de infrastructură care prelucrează date în numele nostru:
  • Vercel, pentru găzduirea aplicației;
  • Supabase, pentru baza de date și stocarea fișierelor, în centre de date din Uniunea Europeană;
  • Resend, pentru trimiterea e-mailurilor.
  Cu acești furnizori avem acorduri de prelucrare a datelor conform GDPR, încheiate odată cu acceptarea termenilor lor de utilizare. Pentru furnizorii cu sediul în afara Uniunii Europene, transferul se face în temeiul clauzelor contractuale standard aprobate de Comisia Europeană sau al unei decizii de adecvare (EU–US Data Privacy Framework).
• Serviciului de notificări al browserului sau al sistemului de operare (Google, Apple sau Mozilla, după dispozitiv), numai pentru artiștii care au activat notificările pe telefon. Acesta primește identificatorul tehnic al abonamentului și conținutul criptat al notificării, pe care nu îl poate citi.
• Autorităților publice, numai atunci când legea ne obligă: de exemplu la un ordin al unei autorități sau al unei instanțe (art. 10 DSA) ori când sesizăm o amenințare la viața sau siguranța unei persoane (art. 18 DSA).
• Google LLC, doar dacă utilizatorul alege autentificarea cu Google. În acest caz, Google nu prelucrează date în numele nostru: este furnizorul contului Google al utilizatorului și acționează ca operator independent, potrivit propriei politici de confidențialitate. Noi primim de la Google adresa de e-mail, numele și poza de profil a utilizatorului.
• Meta Platforms Ireland Ltd. (Facebook), doar dacă utilizatorul alege autentificarea cu Facebook, în aceleași condiții: Meta este furnizorul contului de Facebook al utilizatorului și acționează ca operator independent, potrivit propriei politici de confidențialitate. Noi primim de la Facebook adresa de e-mail, numele și poza de profil a utilizatorului. Nu publicăm nimic pe Facebook în numele utilizatorului și nu avem acces la lista lui de prieteni sau la postările lui.

Nu folosim servicii externe de analiză a traficului, de monitorizare a erorilor sau de publicitate.

4. Cât păstrăm datele

• Contul și profilul sunt păstrate până la ștergerea contului, până la cererea utilizatorului sau până la închiderea automată pentru nefolosire: un cont care nu a avut niciodată un profil publicat se șterge la 6 luni de la creare, după două e-mailuri de reamintire; un cont fără nicio activitate timp de 12 luni (conectare, modificare a profilului sau răspuns la o cerere) se șterge la 30 de zile după un e-mail de avertizare, dacă artistul nu se conectează între timp. Orice ștergere a contului, la cererea utilizatorului sau automată, cuprinde profilurile, pozele, membrii echipei și cererile primite; ștergerea unui singur profil, când contul are mai multe, cuprinde același lucru pentru acel profil; dovada acceptărilor rămâne potrivit punctului de mai jos, iar copiile de siguranță se reînnoiesc în cel mult 3 luni.
• Datele membrilor echipei sunt păstrate cât timp artistul îi prezintă pe profil. Le ștergem când artistul scoate persoana din echipă, când își șterge profilul sau contul ori la cererea persoanei.
• Înscrierile neterminate. Dacă un utilizator își creează un cont, nu își confirmă niciodată adresa de e-mail, iar profilul rămâne schiță, ștergem automat contul și profilul la 6 luni de la înscriere. Ștergerea este definitivă și cuprinde și pozele încărcate.
• Cererile de disponibilitate. La 12 luni după data evenimentului ștergem automat datele clientului din cerere: numele, adresa de e-mail, numărul de telefon, localitatea și mesajele. Rămân, pentru statistici interne și în istoricul cererilor artistului, doar tipul și data evenimentului, durata, numărul de invitați, bugetul orientativ și statusul; ele se șterg odată cu contul artistului. Până la ștergerea dovezii acceptării (3 ani de la trimiterea cererii), cererea mai poate fi pusă în legătură cu amprenta adresei de e-mail a clientului, folosită doar ca dovadă.
• Înscrierile de artiști (lista internă de contacte) sunt păstrate cel mult 6 luni și sunt șterse automat.
• Semnalările de conținut sunt păstrate cel mult 12 luni de la primire și sunt șterse automat.
• Mesajele din formularul de contact sunt păstrate cel mult 12 luni de la primire și sunt șterse automat.
• Abonamentele la notificări sunt păstrate până când artistul dezactivează notificările, până când browserul renunță la ele sau până la ștergerea contului.
• Istoricul profilului și jurnalul intern. Istoricul modificărilor unui profil este șters odată cu profilul. Jurnalul intern al deciziilor luate de administrator este păstrat 3 ani (termenul general de prescripție), apoi este șters automat.
• Dovada acceptărilor și a declarațiilor. Pentru utilizatorii cu cont, dovada este păstrată cât timp există contul și încă 3 ani după ștergerea lui; pentru o cerere trimisă fără cont, 3 ani de la trimitere. Apoi este ștearsă automat. Trei ani este termenul general de prescripție (art. 2517 din Codul civil): cât timp cineva poate ridica în instanță o pretenție legată de ce s-a acceptat sau declarat, trebuie să o putem dovedi. După ștergerea contului, înregistrările rămân fără legătura cu contul: textul acceptat și versiunea lui, momentul, adresa IP, tipul de browser și amprenta adresei de e-mail. Sunt în continuare date cu caracter personal (pseudonimizate), pe care le folosim doar pentru a dovedi, într-o eventuală dispută, ce s-a acceptat sau declarat (art. 17 alin. (3) lit. (e) GDPR).
• Jurnalele furnizorilor. Furnizorii noștri tehnici (găzduirea, baza de date, trimiterea e-mailurilor) păstrează, pentru perioade scurte stabilite de ei, jurnale tehnice ale operațiunilor, care pot conține de exemplu adresa IP sau adresa de e-mail a destinatarului. O ștergere din platformă ajunge în aceste jurnale la expirarea lor.
• Copiile de siguranță. În fiecare noapte facem o copie de siguranță a bazei de date, păstrată la același furnizor (Supabase), într-o zonă privată, timp de 14 zile; prima copie din fiecare lună o păstrăm 3 luni. Săptămânal, ultima copie a bazei de date și pozele sunt descărcate și pe un calculator al nostru, protejat cu parolă, unde rămân doar ultimele două copii. Toate se șterg automat. Copiile servesc doar la refacerea datelor după o eroare. Datele șterse din Platformă pot rămâne în aceste copii cel mult 3 luni. Dacă refacem vreodată datele dintr-o copie, aplicăm din nou ștergerile consemnate după data copiei, ca nimic din ce a fost șters să nu revină.

5. Cookie-uri

Folosim exclusiv cookie-uri strict necesare, pentru sesiunea de autentificare și pentru protecția formularelor. Nu folosim cookie-uri de urmărire sau de publicitate. Din acest motiv, nu cerem consimțământul pentru cookie-uri.

Clipurile video de pe YouTube și Vimeo se încarcă doar în modul cu protecția datelor și abia la apăsarea butonului de redare. Până atunci, imaginile de previzualizare sunt servite de pe serverele platformei, astfel încât browserul vizitatorului nu contactează YouTube sau Vimeo.

În afară de cookie-uri, nu păstrăm nimic pe dispozitivul vizitatorului. Excepție fac artiștii: în contul lor și la înscriere, browserul păstrează scriptul care permite notificările și instalarea aplicației (un „service worker”). El nu conține date personale și nu urmărește navigarea. Abonamentul la notificări se creează doar când artistul apasă „Activează notificările”.

6. Securitatea datelor și incidentele

Luăm măsuri tehnice și organizatorice rezonabile pentru securitatea datelor (art. 32 GDPR), de exemplu conexiuni criptate către baza de date și păstrarea adreselor de e-mail din registrul de acceptări și declarații doar ca amprentă criptografică. Niciun sistem nu poate garanta însă o securitate absolută. Nu orice incident de securitate este o încălcare a securității datelor cu caracter personal. Evaluăm fiecare caz. Dacă are loc o astfel de încălcare (art. 4 pct. 12 GDPR), o notificăm ANSPDCP fără întârziere nejustificată și, dacă este posibil, în cel mult 72 de ore de la luarea la cunoștință, cu excepția cazului în care este puțin probabil să genereze un risc pentru drepturile și libertățile persoanelor (art. 33 GDPR). Atunci când încălcarea este susceptibilă să genereze un risc ridicat pentru persoanele vizate, le anunțăm direct (art. 34 GDPR).

7. Minori

Platforma se adresează exclusiv persoanelor care au împlinit 18 ani: conturile, cererile de disponibilitate și membrii echipei unui artist sunt doar ale unor adulți. Un minor poate apărea într-o poză sau într-un clip publicat de un artist (de exemplu la un botez) numai cu acordul părinților, pe care artistul trebuie să îl aibă (termeni, secțiunea 4). Un părinte ne poate cere oricând scoaterea unei poze sau a unui clip în care apare copilul său. Dacă aflăm că am primit alte date ale unui minor, le ștergem.

8. Drepturile utilizatorilor

Utilizatorul are dreptul de acces, de rectificare, de ștergere, de restricționare a prelucrării, de portabilitate și de opoziție.

Unele dintre aceste drepturi se aplică doar în anumite condiții: portabilitatea privește datele furnizate de utilizator și prelucrate în baza contractului (de exemplu profilul unui artist sau o cerere), iar opoziția privește prelucrările întemeiate pe interesul legitim (art. 20 și 21 GDPR). Nu folosim consimțământul ca temei pentru niciuna dintre prelucrările descrise, așa că nu există un consimțământ de retras.

Un client poate cere ștergerea unei cereri de disponibilitate scriind la adresa de e-mail de mai jos, de pe adresa folosită în cerere. În acest caz, ștergem din cerere numele, adresa de e-mail, numărul de telefon, locația și mesajele. O cerere la care artistul nu a răspuns încă se închide, astfel încât artistul nu mai poate răspunde la ea.

O persoană prezentată în echipa unui artist se poate opune oricând afișării numelui de scenă și a pozei sale (art. 21 GDPR), scriind la adresa de e-mail de mai jos. În acest caz, le scoatem de pe profil și îl anunțăm pe artist. În același mod ni se poate adresa orice altă persoană care apare într-o poză sau într-un clip publicat de un artist. Analizăm cererea și, dacă este întemeiată, retragem materialul de pe platformă.

Datele de contact transmise deja celeilalte părți (clientului sau artistului) nu mai pot fi retrase din e-mailurile trimise. Pentru datele ajunse deja la artist, clientul se poate adresa direct artistului, care are obligații proprii privind aceste date (vezi termenii, secțiunea 6). Același lucru este valabil pentru artist față de client (secțiunea 7).

Nu am desemnat un responsabil cu protecția datelor, pentru că activitatea platformei nu face numirea obligatorie (art. 37 GDPR). Solicitările privind datele personale se trimit la adresa de e-mail contact@artivo.ro. Răspundem în cel mult o lună, termen care poate fi prelungit cu două luni în cazurile complexe, cu înștiințarea persoanei (art. 12 alin. (3) GDPR). Utilizatorul are și dreptul de a depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP, www.dataprotection.ro).

Nu luăm decizii bazate exclusiv pe prelucrare automată care să producă efecte juridice asupra utilizatorului ori să îl afecteze în mod similar.

9. Modificări

Actualizăm această politică atunci când este nevoie. Versiunea curentă, cu data ultimei actualizări, se află mereu pe această pagină.