Politică GDPR.

1. Operatorul de date

Asociația Română pentru Smart City (ARSC) - operator de date cu caracter personal pentru toate prelucrările derulate sub brandul „Stup de Energie".
Sediu: Integral Business Center, Bd. Pipera nr. 1-IA, Voluntari 077190, jud. Ilfov
Telefon: 031 425 42 63
Email contact / responsabil prelucrare date: [email protected]
Email general ARSC: [email protected]

2. Ce date colectăm

• Date de identificare: nume, prenume, funcție, instituție/organizație (la abonare Brief, înscriere Forum/Academy, contact comercial).
• Date de contact: adresă email, telefon (opțional).
• Date tehnice: adresă IP, tip browser, paginile vizitate (log-uri tehnice, păstrate maxim 30 de zile).
• Date contractuale: pentru clienții direcți - date facturare conform legislației fiscale.

3. De ce colectăm aceste date (temei juridic)

• Consimțământ explicit (art. 6(1)(a) GDPR) - pentru abonare Brief, primire comunicări marketing.
• Executarea unui contract (art. 6(1)(b)) - pentru clienții care contractează servicii STUP.
• Obligație legală (art. 6(1)(c)) - facturare, evidență contabilă, raportări fiscale.
• Interes legitim (art. 6(1)(f)) - analiza traficului site, securitatea platformei, prevenirea fraudelor.

4. Cu cine partajăm datele

Datele tale nu sunt vândute niciodată. Pot fi accesate doar de:

• Echipa internă ARSC, sub obligație de confidențialitate.
• Autorități publice, doar la cerere oficială și în condițiile legii.

Concret, iată drumul datelor când completezi un formular pe stupenergie.ro:

• Cloudflare Turnstile verifică întâi că ești om, nu robot.
• Ce ai completat ajunge la api.arsc.ro, serviciul propriu ARSC care primește formularele de pe toate site-urile noastre.
• De acolo submisia se salvează într-o bază de date pe serverul nostru, la forms.arsc.ro. Accesul e restrâns la administratorii ARSC.
• În paralel pleacă o notificare pe email către echipă, trimisă prin Resend, furnizorul nostru de email tranzacțional.

Pe lângă ce scrii tu în formular, se mai salvează două date tehnice: adresa IP în formă criptată (un cod din care IP-ul nu se poate reconstitui) și tipul de browser. Amândouă servesc la dovedirea consimțământului și la oprirea abuzurilor, nu la identificarea ta.

Fiecare furnizor lucrează sub contract de prelucrare conform art. 28 GDPR.

5. Transferuri în afara UE

Site-ul e livrat printr-o rețea Cloudflare, iar verificarea anti-bot de pe formulare (Cloudflare Turnstile) e tot un serviciu Cloudflare. Cloudflare poate prelucra date în afara Uniunii Europene și aplică în acest scop Clauze Contractuale Standard, fiind și certificat conform Data Privacy Framework UE-SUA.

Notificările pe email către echipă pleacă prin Resend, care poate de asemenea prelucra date în afara Uniunii Europene, sub aceleași garanții contractuale.

Serverele noastre sunt în Uniunea Europeană. Găzduirea site-ului, măsurarea traficului (Plausible) și baza de date în care ajung formularele rulează pe infrastructură proprie ARSC, la Hetzner, în Nürnberg, Germania. Nu mai folosim Netlify pentru găzduire și nu folosim niciun serviciu de traducere automată.

6. Cât timp păstrăm datele

• Abonament Brief: până la dezabonare + 30 de zile.
• Date contractuale: minim 10 ani (cerință fiscală).
• Loguri tehnice: maxim 30 de zile.
• Comunicări marketing: până la retragerea consimțământului.

7. Drepturile tale

Conform GDPR, ai dreptul la:

• Acces la datele tale (art. 15)
• Rectificare a datelor incorecte (art. 16)
• Ștergere („dreptul de a fi uitat", art. 17)
• Restricționare a prelucrării (art. 18)
• Portabilitate a datelor (art. 20)
• Opoziție la prelucrare (art. 21)
• Retragere consimțământ oricând, fără efect retroactiv (art. 7(3))

Pentru a exercita oricare dintre aceste drepturi, scrie-ne la [email protected]. Răspundem în maxim 30 de zile.

8. Plângeri

Dacă consideri că prelucrarea datelor tale încalcă GDPR, ai dreptul de a depune plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP):
Adresa: B-dul G-ral Gheorghe Magheru 28-30, Sector 1, București
Web: www.dataprotection.ro

9. Securitate

Aplicăm măsuri tehnice și organizatorice rezonabile pentru protecția datelor: HTTPS obligatoriu, criptare la rest unde aplicabil, control acces, pregătire periodică a echipei. În caz de breșă de securitate, notificăm ANSPDCP în 72 de ore conform art. 33 GDPR.

10. Modificarea politicii

Versiunea curentă este publicată pe această pagină. Modificările materiale vor fi notificate utilizatorilor abonați.