Politica de Confidențialitate

Operatorul de date pentru serviciul Listata este MND INVICTO CONSULT S.R.L., cu sediul în Craiova, Jud. Dolj, Str. Henri Coandă nr. 65, Bl. 57, Sc. 2, Ap. 7, CUI 44442632, înregistrată la Registrul Comerțului sub nr. J2021001540166, care administrează aplicația de la adresa listata.ro.

Pentru orice întrebare legată de datele tale personale sau pentru a-ți exercita drepturile descrise mai jos, ne poți contacta la:

• Email: contact@listata.ro

Colectăm doar datele necesare pentru a face Listata să funcționeze. Nu vindem datele tale, nu le folosim pentru profilare publicitară.

2.1 Date de cont

Când îți creezi un cont, partenerul nostru de autentificare (Clerk) colectează: numele tău, adresa de email și (opțional) o fotografie de profil. Aceste date sunt necesare pentru a-ți permite să te autentifici și pentru a putea fi contactat când cineva interacționează cu listele tale.

Bază legală: executarea contractului (art. 6(1)(b) GDPR).

2.2 Date despre lista de cadouri

Conținutul pe care îl introduci când creezi o listă: titlu, descriere, data evenimentului, categorie, cadourile adăugate, prețuri, link-uri, imagini. Acestea sunt vizibile pentru oricine are link-ul listei tale.

Bază legală: executarea contractului.

2.3 Date pentru Plic Virtual

Dacă activezi Plic Virtual (contribuții bănești prin transfer bancar), colectăm:

• IBAN-ul tău și numele titularului contului — pentru ca oaspeții să poată face transferul direct
• Numele, emailul (opțional) și mesajul oaspeților care contribuie
• Suma și codul de referință al fiecărei contribuții
• Confirmările și respingerile pe care le faci

Important: Listata nu procesează plăți și nu are acces la fondurile transferate. Transferul are loc direct între contul oaspetelui și contul tău bancar. IBAN-ul este stocat securizat — criptat la nivel de disc și cu acces restricționat la nivelul aplicației — și este afișat doar oaspeților din lista ta.

În viitor intenționăm să introducem și plata cu cardul, printr-un procesator de plăți autorizat. Această funcție nu este activă în prezent; înainte de a o activa vom actualiza politica pentru a descrie ce date de plată și de verificare a identității prelucrăm și cine este procesatorul.

Bază legală: executarea contractului.

2.4 Date pentru schimbul de cadouri

Pentru un eveniment de schimb de cadouri colectăm: numele și emailurile participanților, asocierile aleatorii făcute la tragere, lista de dorințe a fiecărui participant și notele private ale celor care fac cadoul. Linkurile magice către pagina de participant conțin un token aleatoriu de 64 de caractere care servește drept autentificare individuală.

Bază legală: executarea contractului (pentru organizator) și consimțământul implicit prin participare (pentru participanți).

2.5 Date tehnice de securitate

Pentru a proteja serviciul de abuz și fraudă, înregistrăm într-un jurnal de audit: adresa IP, user-agent-ul browserului, ora și tipul acțiunilor sensibile (ex: ștergere listă, confirmare contribuție, tragere la schimbul de cadouri). IBAN-urile sunt mascate în acest jurnal (vezi doar primele 2 și ultimele 4 caractere).

Bază legală: interesul nostru legitim de a preveni frauda și de a putea documenta dispute (art. 6(1)(f) GDPR).

2.6 Date trimise pentru sugestii cu inteligență artificială

Dacă folosești funcția „Sugestii cu AI”, preferințele tale (categorie de eveniment, buget, descriere) sunt trimise către serviciul OpenAI care generează idei de cadouri. OpenAI nu reține aceste date pentru antrenarea modelelor, conform politicii lor privind datele transmise prin API.

De asemenea, dacă folosești asistentul de suport din colțul paginii, mesajele pe care le scrii acolo sunt trimise către OpenAI pentru a genera un răspuns. Te rugăm să nu introduci date sensibile în conversație. Ca și în cazul sugestiilor, aceste mesaje nu sunt folosite pentru antrenarea modelelor, conform politicii OpenAI privind datele transmise prin API.

Bază legală: executarea contractului.

2.7 Date pentru monitorizarea erorilor

Folosim serviciul Sentry pentru a detecta și diagnostica erorile tehnice ale aplicației, atât în browserul tău, cât și pe server. Când apare o eroare, Sentry primește date tehnice despre context: tipul erorii și „urma” ei (stack trace), pagina pe care te aflai, tipul de browser și de sistem de operare, precum și momentul producerii.

Am configurat Sentry să minimizeze datele personale: nu trimitem intenționat adresa ta de email, IBAN-ul, conținutul mesajelor sau identificatorul contului tău, iar pe server am dezactivat colectarea automată a datelor din cereri. Niciun sistem nu poate garanta că un raport de eroare nu conține accidental date personale, dar le excludem pe cât posibil.

Bază legală: interesul nostru legitim de a menține serviciul stabil și sigur (art. 6(1)(f) GDPR).

2.8 Profil public (opțional)

Dacă alegi să îți creezi un profil public, colectăm: numele de utilizator ales (ex. @ana.popescu), numele afișat, fotografia de profil, o scurtă descriere și, opțional, data nașterii. Profilul există doar dacă îl creezi tu, printr-o acțiune explicită — nu este creat automat la înregistrare. Numele de utilizator ales la crearea contului îți este propus ca identificator public (adresa paginii tale, listata.ro/u/numele-tău) — îl confirmi sau îl modifici în pasul de creare a profilului.

• Numele de utilizator, numele afișat, fotografia și descrierea sunt publice: oricine îți știe numele de utilizator poate vedea pagina ta de profil și listele tale cu vizibilitatea „Publică”.
• Data nașterii nu este publică — o vezi doar tu. O vom folosi în viitor pentru ca prietenii tăi să primească un memento înainte de ziua ta; vom actualiza politica înainte de a activa această funcție.
• Apariția în căutare este controlată de o bifă separată, dezactivată implicit. O poți activa sau dezactiva oricând din profil — activarea reprezintă consimțământul tău explicit, iar debifarea îl retrage. Căutarea este disponibilă doar utilizatorilor autentificați; chiar și fără bifă, profilul tău rămâne accesibil celor care îți cunosc exact numele de utilizator (la fel ca vizitarea directă a paginii tale).

Profilul (inclusiv data nașterii) este inclus în exportul datelor tale și este șters definitiv odată cu contul.

Bază legală: executarea contractului pentru profilul propriu-zis; consimțământul (art. 6(1)(a) GDPR) pentru apariția în căutare.

2.9 Prieteni

Dacă folosești funcția Prieteni, stocăm legăturile dintre contul tău și conturile altor utilizatori: cine a trimis cererea, cine a primit-o, starea ei (în așteptare sau acceptată) și momentele aferente. Aceste date aparțin ambelor persoane implicate.

• Prietenia este reciprocă: se creează doar dacă ambele persoane sunt de acord. Poți refuza o cerere, îți poți retrage cererea trimisă sau poți renunța la o prietenie oricând — legătura este ștearsă imediat, nu doar ascunsă.
• Prietenii tăi îți pot vedea listele cu vizibilitatea „Doar prietenii”, pe lângă cele publice. Listele private rămân doar ale tale.
• Legăturile de prietenie sunt incluse în exportul datelor tale (cu numele de utilizator al celeilalte persoane) și sunt șterse definitiv odată cu contul oricăreia dintre părți.
• Când primești o cerere de prietenie, îți trimitem un email de notificare.

Bază legală: executarea contractului (art. 6(1)(b) GDPR) — funcția există doar prin acțiunea explicită a ambilor utilizatori.

2.10 Confirmări de prezență (RSVP)

Dacă activezi confirmările de prezență pe o listă, colectăm de la oaspeții care răspund: numele, emailul (opțional), dacă participă sau nu, numărul de persoane, preferința de meniu (aleasă dintr-o listă fixă: standard, vegetarian, vegan, copil) și un mesaj opțional. Aceste date sunt vizibile doar pentru tine (și colaboratorii listei) — nu apar pe pagina publică. Sunt incluse în exportul datelor tale și se șterg odată cu lista. Pentru fiecare confirmare primită îți trimitem un email de notificare.

Bază legală: executarea contractului (pentru organizator) și consimțământul exprimat prin trimiterea formularului (pentru oaspeți).

Pentru a face Listata să funcționeze, ne bazăm pe câțiva furnizori specializați. Aceștia sunt „persoane împuternicite de operator” (sub-processors) și prelucrează datele exclusiv pentru noi, conform unui acord de prelucrare a datelor (DPA).

Când vom activa plata cu cardul, vom adăuga procesatorul folosit în această listă și te vom anunța în prealabil.

* SCC = Standard Contractual Clauses, clauze contractuale standard aprobate de Comisia Europeană pentru transferul de date personale către țări din afara SEE.

• Date de cont: până când îți închizi contul. Vezi secțiunea „Drepturile tale”.
• Liste și cadouri: până când le ștergi tu sau îți închizi contul.
• Contribuții Plic Virtual: împreună cu lista; se șterg când lista e ștearsă.
• Evenimente de schimb de cadouri: nelimitat, până când organizatorul le șterge. Tokenul de acces al participantului devine inutilizabil când evenimentul este șters.
• Jurnalul de audit: reținut pe termen lung din interesul nostru legitim de a preveni frauda și de a ne apăra în eventuale dispute legale (art. 6(1)(f), coroborat cu art. 17(3)(e) GDPR). IBAN-urile sunt mascate în acest jurnal. Aceste înregistrări se păstrează și după ștergerea contului, fiind necesare ca dovadă în caz de litigiu — reprezintă excepția menționată la „Drepturile tale”.
• Logurile de email la Resend: 30 de zile conform politicii Resend.
• Backup-urile bazei de date (Supabase): reținute conform politicii Supabase (zilnic, păstrate ~7 zile).

În baza GDPR ai următoarele drepturi privind datele tale:

• Drept de acces (art. 15): poți cere o copie a tuturor datelor pe care le avem despre tine.
• Drept la rectificare (art. 16): poți corecta date inexacte direct din contul tău sau prin email.
• Drept la ștergere / „dreptul de a fi uitat” (art. 17): poți cere ștergerea totală a contului. Folosește butonul „Șterge contul” din Dashboard sau trimite cerere la contact@listata.ro. Ștergerea se face în doi pași, pentru siguranța ta: după ce apeși butonul, primești un email cu un link de confirmare valabil 24 de ore, iar contul și datele se șterg doar după ce confirmi.
• Drept la portabilitate (art. 20): poți descărca toate datele tale într-un fișier JSON, direct din Dashboard, cu butonul „Descarcă datele mele”.
• Drept la restricționare (art. 18) și drept de opoziție (art. 21): ne poți cere să restricționăm sau să încetăm prelucrarea anumitor date.
• Drept de a depune plângere: dacă crezi că ți-am încălcat drepturile, poți depune plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal — dataprotection.ro.

Răspundem la cererile legitime în maxim 30 de zile. Toate cererile sunt gratuite, cu excepția celor abuzive sau repetate (caz în care putem percepe o taxă rezonabilă).

Listata folosește doar cookie-uri strict necesare pentru autentificare și securitate (setate de Clerk). Aceste cookie-uri sunt esențiale pentru funcționarea site-ului și nu pot fi dezactivate fără să blochezi accesul la cont.

Nu folosim:

• Cookie-uri de marketing sau publicitate
• Trackere de la rețele sociale (Facebook Pixel, Google Ads etc.)
• Tehnologii de re-targeting

Pe lângă cookie-uri, păstrăm câteva preferințe direct în browserul tău, folosind stocarea locală (localStorage): tema aleasă (luminos/întunecat), notificările pe care le-ai închis, ciornele formularelor pe care le completezi și numele/emailul cu care ai mai pus o întrebare (ca să nu le retastezi). Aceste informații rămân pe dispozitivul tău, nu sunt trimise pentru urmărire și nu sunt folosite pentru publicitate. Le poți șterge oricând golind datele site-ului din setările browserului.

Dacă vom adăuga în viitor cookie-uri de analiză sau marketing, vei fi întrebat explicit înainte de a le seta și vei putea refuza fără ca asta să blocheze accesul.

Protejăm datele tale prin:

• TLS (HTTPS) pentru toate conexiunile
• Parolele sunt gestionate și stocate securizat de partenerul de autentificare (Clerk) — Listata nu le vede și nu le stochează
• Tokenurile de acces (linkuri personale, invitații de colaborare) sunt șiruri aleatorii lungi, generate criptografic, transmise doar prin HTTPS și cu acces restricționat la nivelul aplicației
• Mascarea IBAN-urilor în jurnalul de audit
• Limitarea ratei de cereri (rate limiting) pentru a preveni abuzul
• Verificări de autorizare pe fiecare endpoint sensibil
• Datele sunt stocate pe servere din UE (Frankfurt, Germania)

Niciun sistem nu este 100% sigur. Dacă suspectezi o problemă de securitate, te rugăm să ne anunți imediat la contact@listata.ro.

Listata nu este destinat persoanelor sub 16 ani. Nu colectăm intenționat date despre minori. Dacă afli că un minor a creat un cont, te rugăm să ne anunți și vom șterge contul.

Nu luăm decizii automate care să producă efecte juridice asupra ta. Funcția „Sugestii cu AI” generează idei de cadouri, dar tu rămâi singura persoană care decide ce adaugi pe listă.

Această politică poate fi actualizată ocazional pentru a reflecta schimbări în funcționarea Listata sau în legislație. Schimbările importante vor fi anunțate prin email și/sau printr-un banner pe site, cu cel puțin 14 zile înainte să intre în vigoare. Versiunea în vigoare este întotdeauna disponibilă la listata.ro/privacy.