Politică de Confidențialitate

[DENUMIRE_COMPANIE] (CUI [CUI], [ADRESA_SEDIU]) este operatorul de date cu caracter personal pentru platforma TurnOrder și se angajează să vă protejeze confidențialitatea. Această politică explică ce date colectăm, de ce, unde le stocăm, cu cine le partajăm și ce drepturi aveți conform Regulamentului (UE) 2016/679 (GDPR).

1. Operatorul de date

Operator: [DENUMIRE_COMPANIE], [ADRESA_SEDIU], CUI [CUI], înregistrată la Registrul Comerțului sub nr. [NR_REG_COM]. Contact confidențialitate: contact@turnorder.org.

2. Ce date colectăm

Colectăm doar datele necesare funcționării serviciului:

a) Date de cont și profil - Adresă de email; - Nume afișat (display name) și identificator public unic (user tag); - Opțional: biografie, nivel de experiență, jocuri preferate, avatar, nume de utilizator BoardGameGeek, gen, status, disponibilitate, țară/oraș.

b) Conținut generat de utilizator - Fotografii de sesiune și avatare (stocate în spațiul nostru de stocare securizat); - Mesaje în chat-ul clubului și mesaje directe (DM); - Scoruri, istoric de sesiuni, clasamente (inclusiv ELO).

c) Date tehnice și de securitate - Adresă IP și informații tehnice minime necesare securității și prevenirii abuzului; - Jurnale de audit ale acțiunilor administrative din cluburi; - Dacă activați notificările push: abonamentul push al browserului (token tehnic), folosit exclusiv pentru livrarea notificărilor solicitate de dumneavoastră (temei: consimțământ); îl puteți revoca oricând din aplicație sau din browser; - Tokeni de sesiune (autentificare).

d) Date de facturare și fiscale (la achiziționarea unui abonament) - Sunt colectate direct de Sold through Link, LLC / Stripe la momentul plății (nume/denumire și, pentru persoane juridice, datele fiscale, inclusiv codul de TVA), pentru emiterea documentației fiscale a tranzacției. Noi nu colectăm aceste date în aplicație.

e) Date opționale - Locație (oraș/țară), furnizată voluntar de dumneavoastră.

Nu colectăm și nu stocăm niciodată parola dumneavoastră — autentificarea și criptarea parolelor (hashing) sunt gestionate securizat de furnizorul nostru de infrastructură.

3. De ce prelucrăm datele (temeiuri legale)

4. Unde stocăm datele

Baza de date și sistemul de autentificare sunt găzduite pe Supabase, în regiunea Uniunea Europeană – Irlanda (eu-west-1). Datele dumneavoastră de bază sunt astfel stocate fizic în UE.

Aplicația este găzduită pe Netlify, iar codul sursă pe GitHub. Procesarea plăților implică Stripe / Sold through Link, LLC (entitate din SUA), care pot prelucra anumite date în afara UE — acest transfer este protejat prin Clauzele Contractuale Standard (SCC) aprobate de Comisia Europeană și prin angajamentele de conformitate GDPR ale Stripe.

Rapoartele automate de eroare tehnică sunt procesate de Sentry, în regiunea Uniunea Europeană – Frankfurt, Germania. Emailurile tranzacționale sunt livrate prin Resend.

5. Cu cine partajăm datele (persoane împuternicite)

Nu vindem datele dumneavoastră și nu le partajăm în scopuri publicitare. Le partajăm exclusiv cu furnizorii necesari funcționării serviciului, care acționează ca persoane împuternicite:

• Supabase — găzduire bază de date, autentificare și stocare fișiere (UE/Irlanda);
• Stripe / Sold through Link, LLC — procesare plăți, prevenirea fraudei, gestionarea disputelor și conformitate fiscală (merchant of record pentru tranzacții, prin Stripe Managed Payments);
• Netlify — găzduire aplicație;
• Cloudflare (Turnstile) — protecție anti-bot la autentificare;
• Sentry — monitorizarea automată a erorilor tehnice ale aplicației (UE/Frankfurt). Se transmit exclusiv informații tehnice despre eroare: tipul erorii, locul din codul aplicației unde a apărut, pagina și versiunea aplicației. Nu se transmit adresa dumneavoastră de email, numele, conținutul mesajelor, adresa IP sau localizarea — acestea sunt eliminate automat înainte de trimitere;
• Resend — livrarea emailurilor tranzacționale (confirmări, export de date, notificări privind contul și securitatea). Primește adresa de email a destinatarului și conținutul mesajului trimis.

Autentificarea cu Google. Dacă alegeți „Continuă cu Google", Google acționează ca operator independent pentru procesul de autentificare, conform propriei sale politici de confidențialitate. Noi primim de la Google doar adresa de email și numele afișat, strict necesare creării contului.

Rețele de distribuție de conținut (CDN). Anumite componente tehnice ale aplicației (biblioteci de cod, elemente audio) sunt livrate prin rețelele publice cdnjs (Cloudflare) și jsDelivr. La încărcarea acestor fișiere, adresa IP a dispozitivului dumneavoastră devine vizibilă furnizorului respectiv — la fel ca la orice cerere pe internet. Nu le transmitem niciun fel de date de cont.

Putem divulga date și atunci când legea ne obligă (autorități, instanțe).

6. Vizibilitatea profilului public

TurnOrder include o componentă socială, iar vizibilitatea profilului dumneavoastră este controlată integral de dumneavoastră, din setările contului: - Numele afișat și user tag-ul sunt elementele de identificare publică și sunt vizibile altor utilizatori (similar unei rețele sociale). - Fotografia de profil (avatar) este opțională: dacă alegeți să încărcați o fotografie, aceasta este afișată ca parte a profilului dumneavoastră și vizibilă altor utilizatori. Alternativ, puteți folosi un avatar presetat, iar fotografia poate fi eliminată oricând. - Toate celelalte informații de profil (avatar, nivel de experiență, vârstă, gen, locație, jocuri preferate, status, disponibilitate etc.) devin vizibile altor utilizatori doar în măsura în care alegeți dumneavoastră să le faceți publice — fiecare câmp are propriul comutator de vizibilitate. Dumneavoastră decideți, câmp cu câmp, ce se afișează. - Printr-un comutator separat puteți controla dacă profilul este „descoperibil" (apare pentru alți utilizatori în secțiunea „Descoperă jucători") sau ascuns. - Adresa de email nu este afișată public.

Datele dumneavoastră de profil vă aparțin în orice situație: le puteți edita, ascunde sau șterge oricând din cont. (Spre deosebire de acestea, datele introduse în cadrul unui Club aparțin Clubului — vezi Termenii și Condiții.)

Pagini publice de turneu: dacă administratorii clubului publică un turneu, numele dumneavoastră afișat și rezultatele din acel turneu apar pe o pagină publică, accesibilă fără autentificare, cât timp turneul rămâne publicat. Detalii în Termeni și Condiții (secțiunea 5.1).

7. Fluxul Guest → Cont real (consimțământ hibrid)

Un administrator de club poate adăuga un „Guest" (invitat) introducând numele și, opțional, emailul acestuia, pentru a-i înregistra participarea la sesiuni — pe baza interesului legitim de organizare a clubului. Dacă persoana respectivă își creează ulterior un cont real cu același email, datele de joc anterioare pot fi unificate cu noul cont, cu acordul utilizatorului, astfel încât istoricul să îi aparțină. Dacă nu doriți unificarea, ne puteți contacta pentru ștergerea datelor de Guest.

8. Cât timp păstrăm datele (retenție)

• Date de cont și profil: cât timp contul este activ. La ștergerea contului, datele personale sunt eliminate, cu excepția celor pe care suntem obligați legal să le păstrăm.
• Date ale unui Club neplătit: păstrate pe durata abonamentului și a perioadei de grație ulterioare; datele Clubului se șterg definitiv la 90 de zile de la încetarea abonamentului. (Etapele complete ale ciclului de viață al Clubului sunt descrise în Termeni și Condiții.)
• Documente fiscale ale tranzacțiilor: emise și păstrate de Sold through Link, LLC / Stripe conform obligațiilor lor. Evidențele noastre contabile proprii (privind încasările) se păstrează conform legislației contabile române (în general 10 ani).
• Jurnale de securitate/audit: păstrate pe o perioadă limitată, necesară securității.
• Rapoarte de eroare tehnică: păstrate de Sentry maximum 90 de zile, apoi șterse automat.
• Copii de siguranță (backup) ale Clubului: pentru a putea recupera datele unui Club în caz de ștergere accidentală sau incident tehnic, realizăm automat copii zilnice ale datelor fiecărui Club. Acestea sunt accesibile exclusiv administratorilor Clubului respectiv și se păstrează maximum 5 săptămâni (ultimele 7 zile, plus câte o copie săptămânală din ultimele 4 săptămâni). Copiile nu conțin adrese de email, date de plată sau mesaje private (DM). Conțin însă numele afișate ale membrilor, acolo unde acestea sunt necesare pentru a păstra inteligibil istoricul (de exemplu autorul unui mesaj din chat-ul Clubului sau al unei acțiuni din jurnalul de audit). În consecință, la ștergerea contului, numele dumneavoastră afișat poate persista în aceste copii de siguranță până la 5 săptămâni, după care dispare automat. Administratorii pot descărca oricând o copie manuală; acestea se păstrează în limita ultimelor 10.

9. Drepturile dumneavoastră (GDPR)

Aveți dreptul la: - Acces — să aflați ce date deținem despre dumneavoastră; - Rectificare — corectarea datelor inexacte; - Ștergere („dreptul de a fi uitat") — eliminarea datelor, în limitele obligațiilor legale; - Portabilitate — primirea datelor într-un format structurat, utilizat în mod curent; - Restricționare și opoziție la anumite prelucrări; - Retragerea consimțământului oricând, fără a afecta prelucrările anterioare.

Direct din aplicație puteți exporta o copie a datelor dumneavoastră (export într-un format structurat) și puteți șterge definitiv contul, din secțiunea de profil. Pentru orice alte solicitări privind drepturile de mai sus, ne contactați la contact@turnorder.org. Vă vom ghida prin proces conform GDPR și vom răspunde în termenele legale.

Aveți de asemenea dreptul de a depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) — www.dataprotection.ro.

10. Securitatea datelor

Aplicăm măsuri tehnice și organizatorice standard în industrie: criptarea parolelor (hashing), transmisie securizată HTTPS, izolarea datelor între cluburi prin politici de securitate la nivel de rând (Row Level Security), controale de acces bazate pe roluri, protecție anti-bot (CAPTCHA) și jurnale de audit. În cazul unei breșe de securitate care vă afectează datele, vă vom notifica și vom notifica autoritatea competentă conform obligațiilor legale.

11. Cookie-uri

Folosim doar cookie-uri și tehnologii similare esențiale (menținerea sesiunii de autentificare și prevenirea fraudei la plată). Nu folosim cookie-uri de publicitate sau de urmărire. Detalii în Politica de Cookie-uri.

12. Copii

Platforma nu se adresează persoanelor sub 16 ani și nu colectăm cu bună știință date ale acestora. Vârsta minimă de 16 ani este confirmată la crearea contului. Dacă aflăm că am colectat date de la o persoană sub 16 ani, vom închide contul și vom șterge datele în cel mai scurt timp.

13. Modificări ale acestei politici

Putem actualiza periodic această politică. Vom publica versiunea actualizată în Platformă, iar modificările intră în vigoare la publicare. Vă recomandăm să revizuiți periodic această pagină.

14. Contact

Pentru orice întrebare privind această Politică de Confidențialitate sau datele dumneavoastră: contact@turnorder.org.

---