Politica de confidențialitate Accrevent Private Beta

1. Categorii de date colectate

În Private Beta putem colecta și prelucra următoarele categorii de date:

• Date de cont: nume, email, parolă gestionată prin Supabase Auth, limbă preferată, temă și setări de cont.
• Date de acces: o referință către Authorization Token-ul folosit la crearea contului, data acceptării termenilor, versiunea termenilor și a politicii de confidențialitate. Token-ul în sine este păstrat doar sub formă de hash.
• Date despre evenimente: titlu, perioadă, locație, echipe, coordonatori și note.
• Date despre candidați, din formularul public de recrutare: nume și prenume, păstrate ca nume complet, email, telefon (opțional), data nașterii, răspunsurile la întrebările organizatorului și, opțional, fișiere încărcate (PDF sau imagini, de cel mult 5 MB fiecare). Nu cerem copii ale actelor de identitate.
• Date despre staff, din linkul de înscriere sau introduse de organizator: nume, data nașterii, telefon, email, echipa, rolul, turele, prezența și notele organizatorului.
• Preferințe alimentare, inclusiv mențiunea „alergii alimentare", doar în formularul de înscriere în staff și doar dacă persoana o alege. Este o dată privind sănătatea și se folosește numai pentru organizarea meselor la eveniment.
• Date de acreditare și car pass: nume, echipă, tipul de acreditare, zonele de acces, cod unic, starea acreditării, iar pentru mașini numărul de înmatriculare și șoferul.
• Jurnalul acreditărilor: cine a emis, modificat, anulat, trimis pe email sau reemis o acreditare ori un car pass, și când.
• Liste de persoane: observații introduse de organizator despre persoane care au lucrat la evenimentele lui, împreună cu email sau telefon în formă normalizată, folosite pentru potrivire.
• Jurnalul de consimțăminte: documentul și versiunea acceptată, momentul, sursa (creare cont, formular de recrutare, formular de înscriere), adresa IP și user-agent-ul browserului.
• Feedback: mesaje, bug-uri, sugestii sau informații trimise voluntar despre experiența de utilizare.
• Date tehnice: IP, user agent, loguri tehnice, evenimente de securitate, sesiuni și informații necesare funcționării aplicației.

2. Scopuri și temeiuri legale

Fiecare scop are un temei din articolul 6 al GDPR:

• crearea și securizarea contului, validarea Authorization Token-ului, gestionarea evenimentelor, echipelor, turelor și acreditărilor — executarea termenilor beta (art. 6 alin. 1 lit. b);
• primirea și trierea candidaturilor și emailurile către candidați — confirmarea înscrierii, decizia organizatorului, închiderea listei de rezervă, legitimația — demersuri făcute la cererea candidatului înainte de o eventuală colaborare (art. 6 alin. 1 lit. b), iar pentru organizator interesul legitim de a-și forma echipa (lit. f);
• potrivirea candidaților și a staff-ului cu listele de persoane ale organizatorului — interesul legitim al organizatorului de a lucra cu oameni de încredere și de a evita incidente repetate la evenimentele lui (art. 6 alin. 1 lit. f);
• preferințele alimentare care indică alergii — consimțământul explicit al persoanei, dat la înscriere (art. 9 alin. 2 lit. a);
• jurnalul acreditărilor, jurnalul de consimțăminte, protecția anti-spam și logurile de securitate — interesul legitim de a proteja platforma și de a putea dovedi ce s-a întâmplat (art. 6 alin. 1 lit. f);
• analizarea feedback-ului și remedierea bug-urilor — interesul legitim de a îmbunătăți platforma;

3. Emailurile trimise candidaților

Toate emailurile pleacă individual, câte unul pentru fiecare persoană, niciodată cu mai mulți destinatari.

Confirmarea înscrierii cuprinde numele, emailul, telefonul, doar anul nașterii, rolul, perioada și starea „Primită", plus adresa la care se pot cere corecturi. Răspunsurile la întrebări și fișierele nu sunt incluse, pentru că emailul pleacă la adresa scrisă de candidat, care poate fi greșită.

Emailurile de decizie — respins, pe lista de rezervă, lista de rezervă închisă — cuprind numele, rolul, evenimentul și perioada. Nu cuprind un motiv și nu menționează niciodată listele de persoane. Persoanele admise primesc legitimația, cu cod QR și ture.

4. Furnizori (împuterniciți)

Datele sunt găzduite în Uniunea Europeană. Furnizorii folosiți acum sunt:

• Supabase — bază de date, autentificare și stocarea fișierelor încărcate, în regiunea Frankfurt (eu-central-1), Germania;
• Vercel — găzduirea aplicației, cu funcțiile de server în regiunea Frankfurt (fra1), Germania;
• Resend — trimiterea emailurilor, din regiunea Irlanda (eu-west-1);
• Cloudflare Turnstile — protecție anti-spam pe paginile de creare cont, autentificare și pe formularele publice.

5. Transferuri în afara Spațiului Economic European

Furnizorii de mai sus sunt companii cu sediul în afara SEE, în principal în Statele Unite. Chiar dacă datele stau în centre de date din UE, personalul sau sistemele lor de suport și securitate le pot accesa din afara SEE, iar Cloudflare Turnstile prelucrează datele tehnice ale verificării în rețeaua lui globală.

Înainte de folosirea serviciului cu date reale ale unui organizator extern, mecanismul juridic concret pentru fiecare acces sau transfer din afara SEE trebuie verificat potrivit capitolului V din GDPR. Localizarea unui server în UE nu dovedește singură absența transferurilor.

Poți cere la accredo.platform@gmail.com informații despre furnizorii implicați în prelucrarea datelor tale.

6. Datele persoanelor înscrise de organizatori

Organizatorul configurează întrebările, accesul echipei sale și deciziile privind candidaturile. Dacă el stabilește scopurile și mijloacele esențiale ale prelucrării, are calitatea de operator pentru datele acelui eveniment. Administrarea datelor în numele său necesită stabilirea instrucțiunilor și a relației juridice potrivit articolului 28 din GDPR.

Dacă nu știi cum să-l contactezi pe organizator, scrie la accredo.platform@gmail.com și îi transmitem cererea ta.

Data nașterii se cere pentru verificarea vârstei minime de 18 ani. Codurile QR de pe legitimații identifică persoana în sistem: nu le publica și nu le trimite altcuiva decât titularului.

7. Listele de persoane

Un organizator poate ține o listă proprie de persoane cu care a lucrat — o listă de persoane cu care nu mai dorește să colaboreze și una de persoane de încredere — cu observații scrise de el. Lista îi aparține lui și nu este vizibilă altor organizatori.

La înscriere, emailul și telefonul persoanei sunt comparate cu lista organizatorului acelui eveniment. Dacă se potrivesc, candidatura este marcată automat ca respinsă sau acceptată, conform intrării existente, iar organizatorul vede motivul marcajului și îl poate schimba oricând.

Persoana primește aceeași confirmare neutră ca oricine altcineva; emailurile nu dezvăluie existența listei.

Ai dreptul să afli dacă figurezi pe lista unui organizator, să ceri corectarea sau ștergerea observațiilor și să te opui acestei prelucrări, pentru motive legate de situația ta. Intrările rămân pe listă până când organizatorul le retrage sau până la o cerere de ștergere admisă.

8. Decizii automate și profilare

Potrivirea cu lista de persoane a organizatorului poate marca automat o candidatură ca acceptată ori respinsă. Lista de rezervă se poate închide automat cu două zile înainte de începutul perioadei de lucru; candidaturile rămase sunt trecute la respins și persoanele sunt anunțate prin email.

Aceste operațiuni trebuie evaluate în raport cu articolul 22 din GDPR și cu efectul lor concret asupra candidatului. O decizie care necesită intervenție umană nu trebuie tratată ca definitivă doar pentru că un organizator poate modifica ulterior statusul.

Dacă un astfel de rezultat te privește, poți cere reanalizarea de către un om, îți poți exprima punctul de vedere și poți contesta rezultatul, scriind la accredo.platform@gmail.com. Cererea ajunge la organizatorul evenimentului.

9. Cât păstrăm datele

• Conturile de administrator și organizator: cât timp sunt folosite sau până la cererea de ștergere.
• Conturile de coordonator și de staff: se șterg automat la 8 zile după încheierea ultimului eveniment în care sunt membre.
• Candidaturile respinse sau rămase pe lista de rezervă: cel mult 6 luni de la încheierea evenimentului, apoi se șterg, împreună cu răspunsurile și fișierele. Organizatorul le poate șterge mai devreme.
• Datele staff-ului, acreditările și jurnalul acreditărilor: cât există evenimentul în platformă. Jurnalul păstrează numele celui care a făcut o operațiune și după ștergerea contului lui, pentru că altfel nu s-ar mai putea afla cine a anulat sau a emis o acreditare.
• Jurnalul de consimțăminte: cât există contul, candidatura sau înscrierea la care se referă, ca să putem dovedi ce versiune a fost acceptată.
• Token-urile folosite: se șterg la 3 zile după folosire.
• În Private Beta, datele de test pot fi șterse sau resetate oricând. Poți cere ștergerea contului sau a datelor tale la accredo.platform@gmail.com.

10. Ce se întâmplă dacă nu furnizezi datele

Numele, adresa de email, parola și Authorization Token-ul sunt necesare pentru crearea contului. Nu există o obligație legală de a le furniza, dar fără ele contul nu poate fi creat.

La formularul de recrutare, numele, emailul, data nașterii și răspunsurile marcate obligatorii sunt necesare pentru ca organizatorul să analizeze candidatura. Telefonul și fișierele sunt opționale.

11. Drepturile tale

Conform articolelor 15–22 din GDPR, poți solicita acces la date, rectificare, ștergere, restricționare, portabilitate, te poți opune prelucrărilor bazate pe interes legitim și îți poți retrage consimțământul unde prelucrarea se bazează pe consimțământ. Retragerea consimțământului nu afectează legalitatea prelucrării făcute înainte de retragere.

Pentru exercitarea drepturilor, scrie la accredo.platform@gmail.com. Răspundem în cel mult o lună de la primirea cererii, termen care poate fi prelungit cu două luni pentru cereri complexe, cu informarea ta. Putem cere o confirmare a identității, de regulă un răspuns de pe adresa de email înregistrată.

Dacă răspunsul nu te mulțumește, ai dreptul să depui o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul General Gheorghe Magheru nr. 28-30, sector 1, 010336 București, anspdcp@dataprotection.ro, www.dataprotection.ro. Ai și dreptul de a te adresa instanței de judecată.

12. Securitate

Folosim autentificare, reguli de acces pe roluri și politici RLS în baza de date, astfel încât fiecare utilizator vede doar datele evenimentelor la care are acces. Datele sunt criptate în tranzit.

Registrul complet de acreditări și raportul de audit se descarcă doar de organizatorul evenimentului, după reintroducerea parolei contului; deblocarea ține 10 minute.

Nicio platformă în testare nu poate garanta securitate absolută. Dacă apare o încălcare a securității datelor, o notificăm autorității și persoanelor afectate în condițiile articolelor 33 și 34 din GDPR.

13. Copii

Accrevent Private Beta nu este destinat persoanelor sub 16 ani, iar formularele de recrutare primesc doar persoane de cel puțin 18 ani. Nu colectăm intenționat date de la persoane sub aceste vârste.

Dacă afli că o persoană sub vârsta minimă și-a creat cont sau a fost înscrisă, scrie la accredo.platform@gmail.com și ștergem datele.

14. Modificări ale acestei politici

Fiecare versiune a acestei politici are un număr de versiune și o dată de actualizare, afișate în capul paginii. Acordul tău este înregistrat împreună cu versiunea pe care ai văzut-o, nu doar cu momentul în care ai bifat.

Când politica se schimbă în privința scopurilor, temeiurilor sau categoriilor de date, te informăm pe email înainte ca versiunea nouă să se aplice.