Politica de confidențialitate
[FORMA JURIDICA][CUI][ADRESA][EMAIL][DE VERIFICAT JURIDIC: art. 37 GDPR și Legea 190/2018; codul fiscal al vânzătorilor îl prelucrăm pe temei de obligație legală, nu de interes legitim][DE VERIFICAT JURIDIC: termenul contabil și fiscal, 5 sau 10 ani][DE VERIFICAT JURIDIC: termenul din Codul fiscal pentru evidențele DAC7][DE VERIFICAT JURIDIC: regiunea de prelucrare și certificarea DPF a celor doi furnizori pentru aceste servicii][DE VERIFICAT JURIDIC: mecanismul de transfer, DPF sau clauze standard]
Aici scrie ce date despre tine ajung la noi când folosești Secondaro, la ce le folosim, cât le ținem și ce poți cere. Am scris fiecare lucru o singură dată, în tabel, ca să găsești repede ce te interesează.
1. Cine răspunde de datele tale
Operatorul datelor, în sensul Regulamentului (UE) 2016/679 (GDPR), e Monea Software [FORMA JURIDICA], [CUI], [ADRESA], România, care administrează platforma Secondaro (seconda.ro). Pentru orice întrebare despre datele tale scrie la [EMAIL]. Răspundem în cel mult 30 de zile.
Nu avem obligația legală de a numi un responsabil cu protecția datelor (DPO) la dimensiunea de acum [DE VERIFICAT JURIDIC: art. 37 GDPR și Legea 190/2018; codul fiscal al vânzătorilor îl prelucrăm pe temei de obligație legală, nu de interes legitim]. Persoana de contact pentru date e la adresa de mai sus.
2. Pe scurt: ce nu facem
- Nu vindem date și nu le dăm firmelor de reclame.
- Nu avem reclame de la terți și nu folosim cookie-uri de urmărire. Singurele cookie-uri sunt cele strict necesare, descrise în Politica de cookie-uri.
- Nu vedem și nu păstrăm numărul cardului tău: plata se face în formularul furnizorului de plăți.
- Nu păstrăm copia actului tău de identitate: verificarea identității o face furnizorul de plăți.
- Nu citim mesajele tale decât când unul din voi ne cere să rezolvăm o problemă sau când legea ne obligă.
- Nu luăm decizii automate cu efect juridic asupra ta. Programele automate doar verifică forma anunțului și pozele la încărcare; deciziile le ia un om.
3. Ce date ținem, de ce, pe ce temei și cât
Temeiurile legale (GDPR, articolul 6) sunt: contractul cu tine (serviciul pe care îl ceri când îți faci cont, vinzi sau cumperi), obligația legală (fiscală, contabilă, împotriva spălării banilor, DSA), interesul legitim (siguranța platformei, prevenirea fraudei, moderarea) și, unde scrie, consimțământul tău, pe care îl poți retrage oricând.
| Datele | La ce folosesc | Temeiul | Cât le ținem |
|---|---|---|---|
| Adresa de email, parola (doar amprenta ei, nu parola), numele afișat, limba, țara, data nașterii | contul: intrare, notificări, verificarea vârstei de 18 ani | contract | cât există contul |
| Codul de 6 cifre trimis pe email (doar amprenta lui) | confirmarea adresei, parola nouă | contract | 24 de ore |
| Telefonul (opțional), poza de profil (opțional), descrierea profilului | contact la livrare, profilul public | contract; consimțământ pentru poză și descriere | până le ștergi sau ștergi contul |
| Adresele de livrare | comenzi, etichete de transport | contract | până le ștergi sau ștergi contul; pe comenzile închise, cât ținem comanda |
| Anunțurile: titlu, descriere, poze, categorie, stare, preț, țara și orașul | vânzarea; căutarea; traducerea automată a titlului și descrierii | contract | până le ștergi; anunțurile vândute cât ținem comanda |
| Comenzile: articole, sume, taxa de protecție, transport, stări, termene, urmărirea coletului, problemele și deciziile | executarea comenzii, Protecția cumpărătorului, evidența contabilă | contract; obligație legală | 5 ani de la închiderea anului în care s-a făcut comanda [DE VERIFICAT JURIDIC: termenul contabil și fiscal, 5 sau 10 ani] |
| Plata: identificatorul plății și al rambursării la furnizorul de plăți, suma, moneda, ultimele 4 cifre și tipul cardului (le arată furnizorul) | încasarea, rambursarea, disputele cu banca | contract; obligație legală | cât ținem comanda |
| Contul tău de plăți (vânzători): identificatorul contului la Stripe, starea verificării, țara, moneda | plata banilor din vânzări | contract; obligație legală (împotriva spălării banilor) | cât există contul, apoi 5 ani |
| Datele fiscale (vânzători): numele legal, codul fiscal (CNP sau NIF), țara de rezidență fiscală, data nașterii, adresa, IBAN-ul (la furnizorul de plăți), numărul de vânzări și sumele pe an | raportarea DAC7 la ANAF | obligație legală | cel puțin 5 ani de la anul raportării, și după ștergerea contului [DE VERIFICAT JURIDIC: termenul din Codul fiscal pentru evidențele DAC7] |
| Datele firmei (vânzători Pro): denumirea, codul fiscal, numărul din registrul comerțului, adresa, contactul, declarația de conformitate | afișarea la anunț, cum cere legea | obligație legală (DSA art. 30; Directiva Omnibus) | cât contul e Pro, apoi 5 ani |
| Mesajele și ofertele: textul, ora, limba detectată, traducerea automată (păstrată ca să nu traducem de două ori) | legătura dintre cumpărător și vânzător; negocierea | contract | până ștergi conversația sau contul; traducerea cât mesajul |
| Problemele deschise la comenzi și sesizările: motivul, textul, pozele, răspunsurile, decizia și motivarea ei | Protecția cumpărătorului; moderarea; dovada deciziilor | contract; interes legitim (siguranța platformei) | 3 ani de la decizie |
| Recenziile: nota, textul, tranzacția | încrederea între utilizatori | contract | cât există tranzacția; la ștergerea contului rămân fără nume |
| Favoritele, vânzătorii urmăriți, căutările salvate, setările de notificări | personalizarea feedului și a notificărilor | contract | până le ștergi sau ștergi contul |
| Sesiunile: amprenta jetonului de intrare, aparatul (navigatorul), adresa IP, ultima folosire | să rămâi intrat; să vezi și să scoți aparatele din cont | contract; interes legitim (securitate) | 30 de zile de la intrare sau până ieși |
| Jurnalele tehnice ale serverelor: adresa IP, ora, pagina cerută, navigatorul | siguranța serverelor, limitarea abuzurilor, depanarea | interes legitim | 30 de zile |
| Acceptarea termenilor: versiunea, data și ora, adresa IP | dovada că ai acceptat termenii | obligație legală; interes legitim | cât există contul, apoi 3 ani |
4. Traducerea automată
Titlul și descrierea anunțurilor și mesajele dintre utilizatori se traduc automat în limba cititorului. Pentru asta trimitem doar textul (fără numele tău, fără adresa de email, fără identificatorul contului) la serviciul de traducere al Microsoft (Azure); ca rezervă, când acesta nu răspunde, la Google Cloud Translation. Traducerea se păstrează la noi, legată de mesaj, ca să nu o cerem de două ori. Limba unui mesaj o detectăm pe serverul nostru, fără firme din afară.
Nu scrie în mesaje date pe care nu vrei să le vadă un serviciu de traducere (numere de card, acte). Ele oricum nu sunt necesare tranzacției.
5. Pozele
Pozele anunțurilor și poza de profil se micșorează pe serverul nostru și se salvează în trei mărimi. La încărcare, un program automat de pe serverele noastre le verifică pentru conținut nepermis (nuditate, violență); o poză respinsă nu se publică și primești motivul. Din poze se scot datele ascunse ale fișierului (locul unde a fost făcută, aparatul).
Nu încarci poze cu alte persoane care pot fi recunoscute fără acordul lor. Dacă apari într-o poză fără acord, sesizează-ne și o scoatem repede.
6. Cu cine împărțim datele
Nu dăm date nimănui pentru scopurile altcuiva. Datele ajung la prestatori care lucrează pentru noi, după instrucțiunile noastre, și la cealaltă parte a tranzacției, cât îi trebuie:
- Cealaltă parte a comenzii: vânzătorul vede numele afișat, adresa de livrare sau punctul de ridicare și telefonul cumpărătorului (pentru eticheta de transport); cumpărătorul vede numele afișat, orașul și țara vânzătorului, iar la vânzătorii Pro datele firmei.
- Stripe (Stripe Payments Europe, Ltd., Irlanda, cu Stripe, Inc., SUA): încasarea plăților, rambursările, contul de plăți al vânzătorilor, verificarea identității (acolo încarci actul de identitate, nu la noi). Stripe e certificat în Cadrul UE-SUA de protecție a datelor (DPF) și folosește clauzele contractuale standard ca rezervă.
- Curierii: Sameday, FAN Courier, Cargus (România) și Packeta (internațional), după cel ales la comandă: numele, telefonul, adresa sau punctul de ridicare ale expeditorului și ale destinatarului, greutatea și clasa coletului.
- Microsoft (Azure, serviciul de traducere) și, ca rezervă, Google (Cloud Translation): textul de tradus, fără date de identificare. Cerem prelucrarea în regiunea Europa acolo unde serviciul o permite [DE VERIFICAT JURIDIC: regiunea de prelucrare și certificarea DPF a celor doi furnizori pentru aceste servicii].
- Resend (Resend, Inc., SUA): trimiterea emailurilor de cont și de comandă (adresa de email, conținutul emailului) [DE VERIFICAT JURIDIC: mecanismul de transfer, DPF sau clauze standard].
- Hetzner Online GmbH (Germania): serverele, baza de date și stocarea pozelor, în Uniunea Europeană.
Dăm date autorităților (ANAF pentru DAC7, ANCOM, ANPC, poliție, instanțe) numai când legea ne obligă sau când o cerere legală ne-o impune. La semne ale unei infracțiuni grave anunțăm autoritățile, cum cere DSA.
7. Unde stau datele
Serverele și baza de date sunt în Germania, în Uniunea Europeană. Stripe, Microsoft, Google și Resend sunt firme cu sediul în Statele Unite: transferul se face sub Cadrul UE-SUA de protecție a datelor (DPF) sau, ca rezervă, sub clauzele contractuale standard ale Comisiei Europene. La cerere îți dăm o copie a garanțiilor.
8. Drepturile tale
Ai dreptul să ceri: accesul la datele tale, corectarea lor, ștergerea, restrângerea prelucrării, portabilitatea (o copie într-un format citibil de calculator) și să te opui prelucrărilor bazate pe interesul legitim. Consimțământul (poza și descrierea profilului, notificările opționale) îl retragi oricând din Setări, fără să atingă ce s-a făcut înainte.
Cum le exerciți, fără să ne scrii: din Setări poți corecta datele, descărca o copie a lor („Datele tale”, fișier JSON) și șterge contul. Pentru restul, scrie la [EMAIL]; răspundem în cel mult 30 de zile. Ca să nu dăm datele tale altcuiva, îți putem cere să confirmi din contul tău sau de pe adresa de email a contului.
9. Ștergerea contului
Din Setări, „Șterge contul”: confirmi cu parola și contul se șterge pe loc. Dacă ai comenzi în desfășurare, ștergerea așteaptă până se închid (tu sau celălalt aveți bani sau colete în mișcare). Dacă nu mai ai acces la cont, scrie-ne de pe adresa de email a contului și ștergem noi în cel mult 30 de zile.
Ce dispare
- Adresa de email, parola, numele, poza, telefonul, data nașterii, adresele, sesiunile, codurile, favoritele, urmăririle, căutările salvate, setările.
- Anunțurile tale active și pozele lor.
- Legătura dintre tine și mesajele, recenziile și comenzile tale: ele rămân pentru cealaltă parte, dar fără numele tău („utilizator șters”).
Ce rămâne, pentru că legea ne obligă
- Datele fiscale DAC7 și datele firmei, cât cere legea (vezi tabelul de date).
- Comenzile, plățile și rambursările, în evidența contabilă, fără profilul tău.
- Problemele, sesizările și deciziile de moderare, 3 ani, ca dovadă.
- Jurnalele tehnice, până expiră (30 de zile).
Adresa de email se eliberează: se poate face alt cont cu ea.
10. Vârsta minimă
Secondaro e pentru persoane de cel puțin 18 ani: un cont înseamnă contracte de vânzare și plăți. Cerem data nașterii la înregistrare și nu prelucrăm cu bună știință date ale minorilor. Dacă aflăm că un cont e al unui minor, îl închidem și ștergem datele. Părinții ne pot scrie la [EMAIL].
11. Securitatea
Toate legăturile sunt cifrate (HTTPS). Parolele se țin doar ca amprentă, printr-o funcție care nu se poate întoarce. Jetoanele de intrare se țin amprentate. Codul fiscal și celelalte date fiscale stau criptate în baza de date și se afișează mascat. Accesul la baza de date e limitat la cei care administrează platforma. După 10 parole greșite în 15 minute, intrarea se blochează o vreme. Dacă are loc o încălcare a securității care te privește, te anunțăm cum cere legea.
13. Plângeri
Dacă socotești că nu am respectat legea, scrie-ne întâi la [EMAIL]. Poți face plângere și la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, București, www.dataprotection.ro, sau la autoritatea de protecție a datelor din țara ta din Uniunea Europeană.
14. Schimbări
Când schimbăm ceva în această politică, schimbăm data de sus și, la schimbări importante, te anunțăm în cont și pe email înainte să intre în vigoare. Versiunile vechi le dăm la cerere.