Politica de confidențialitate

Ciornă de lucru 0.1 pentru revizuirea juridică, încă nu este în vigoare. Punctele deschise sunt marcate [DE CONFIRMAT].

Această politică explică ce date cu caracter personal colectează Brotelo despre părinți și copii, de ce le colectăm, cine le primește, cât timp le păstrăm și ce drepturi ai. Copiii pot citi o versiune scurtă, scrisă pentru ei, pe pagina noastră „Confidențialitatea pe înțelesul copiilor”.

1 Pe scurt

• Doar adulții au conturi. Copiii folosesc un profil creat de părinte, cu un pseudonim, o vârstă și un avatar predefinit.
• Copiii nu ne dau niciodată o adresă de e-mail, o fotografie, un număr de telefon sau locația lor.
• Folosim datele ca să oferim cursurile, să salvăm progresul, să emitem certificate, să încasăm plăți și să păstrăm Brotelo în siguranță.
• Fără publicitate, fără instrumente de urmărire publicitară, fără vânzare de date, fără chat și fără profiluri publice.
• Statisticile noastre de vizitare nu folosesc cookie-uri și nu rulează niciodată în spațiul copiilor.
• Poți vedea, corecta, descărca și șterge datele tale și ale copiilor tăi.

2 Cine răspunde de datele tale

Operatorul datelor tale cu caracter personal este TOPFED WEB S.R.L., societate înregistrată în Republica Moldova, IDNO 1026023125543, cu sediul în s. Pepeni, r-nul Sîngerei, MD-6234, Republica Moldova. Ne poți scrie la [email protected] despre orice subiect din această politică.

2.1 Reprezentantul în Uniunea Europeană

Pentru că suntem stabiliți în afara Uniunii Europene, trebuie să desemnăm un reprezentant în UE (articolul 27 din GDPR). [DE CONFIRMAT: numele și datele de contact ale reprezentantului în UE.]

2.2 Reprezentantul în Regatul Unit

[DE CONFIRMAT: dacă Brotelo este oferit în Regatul Unit, numele și datele de contact ale reprezentantului în Regatul Unit conform articolului 27 din UK GDPR.]

2.3 Responsabilul cu protecția datelor

[DE CONFIRMAT: dacă trebuie desemnat un responsabil cu protecția datelor conform articolului 37 din GDPR sau Legii nr. 195/2024 a Republicii Moldova; până atunci, scrie-ne la [email protected].]

3 Ce date colectăm

3.1 Despre tine, părintele

• Datele contului: adresa ta de e-mail și modul în care te autentifici. Dacă te autentifici cu Google, primim identificatorii pe care ni-i trimite Google. [DE CONFIRMAT: ce date din profilul Google se păstrează; recomandăm doar identificatorul contului și adresa de e-mail.] Parola ta este gestionată de Firebase Authentication, un serviciu Google, iar noi nu o vedem niciodată.
• Datele comenzilor: numele complet, țara, confirmarea că ai cel puțin 18 ani, cursurile cumpărate, prețurile, taxele, moneda, data și numărul comenzii, starea plății și referința tranzacției de la banca noastră. Nu primim și nu stocăm numărul complet al cardului tău. [DE CONFIRMAT: dacă banca ne trimite date mascate ale cardului, de exemplu ultimele patru cifre.]
• Evidența alegerilor tale: consimțămintele tale (profiluri de copil, certificate publice, newsletter), acordul ca accesul să înceapă imediat și luarea ta la cunoștință, retragerile și cererile în baza garanției, cu datele lor.
• Mesaje: ce ne scrii (întrebări, reclamații, sesizări de siguranță, cereri privind drepturile tale) și răspunsurile noastre.
• Newsletter și listă de așteptare: adresa ta de e-mail, limba ta, precum și data și dovada consimțământului și a confirmării tale (dublă confirmare).
• Date tehnice: adresa IP, tipul de browser și de dispozitiv, paginile accesate, data și ora, în jurnalele de securitate ale serverelor noastre și ale Cloudflare.

3.2 Despre copilul tău

Păstrăm doar ce introduci tu și ce creează copilul în timp ce învață:

• Profil: pseudonimul, vârsta sau anul nașterii și avatarul ales din lista noastră predefinită.
• PIN: PIN-ul opțional din 4 cifre, stocat în formă protejată (hash). [DE CONFIRMAT: modul în care este stocat PIN-ul.]
• Date de învățare: cursurile disponibile pentru profil, slide-urile parcurse, răspunsurile la întrebările de verificare și la quiz-ul final, încercările și punctajele la quiz, precum și datele activității. [DE CONFIRMAT: dacă se stochează răspunsurile la întrebările de verificare din prezentare.]
• Certificate: numele ales de tine pentru certificat (implicit prenumele și inițiala numelui de familie), cursul, data, codul certificatului și dacă ai făcut certificatul verificabil public.

3.3 Ce nu colectăm niciodată de la copii

• Nicio adresă de e-mail, niciun număr de telefon și nicio adresă poștală.
• Nicio fotografie, niciun videoclip, nicio înregistrare vocală și niciun fișier încărcat.
• Niciun mesaj și niciun chat.
• Nicio locație.
• Niciun identificator publicitar, nicio urmărire în scop publicitar și nicio statistică de vizitare în spațiul copiilor.

4 De ce folosim datele și pe ce temei juridic

[DE CONFIRMAT: temeiul juridic pentru datele copiilor (consimțământul părintelui, contractul cu părintele sau interesul legitim) și temeiul pentru evidențele cerute de legea Republicii Moldova, deoarece articolul 6 alineatul (1) litera (c) din GDPR acoperă doar obligațiile din dreptul UE sau al unui stat membru.]

Nu folosim nicio dată pentru publicitate sau pentru profiluri de marketing și nu luăm decizii bazate exclusiv pe prelucrarea automată care să aibă efecte juridice sau efecte similare semnificative asupra ta sau a copilului tău. Când ne bazăm pe interesul legitim, te poți opune (secțiunea 9).

5 Datele copiilor și consimțământul părinților

Brotelo este creat pentru copii între 8 și 14 ani, dar doar adulții au conturi, iar copiii nu se înregistrează niciodată singuri.

Conform GDPR, când un serviciu online se bazează pe consimțământ, un copil sub vârsta consimțământului digital are nevoie de consimțământul persoanei care exercită răspunderea părintească. Această vârstă este între 13 și 16 ani, în funcție de țară, de exemplu 16 ani în România. Pentru că toți copiii de pe Brotelo au cel mult 14 ani și nu se înregistrează niciodată singuri, îi cerem întotdeauna consimțământul părintelui, oricare ar fi vârsta și țara copilului.

Când creezi un profil de copil, confirmi că ești părintele sau tutorele copilului ori că ai permisiunea persoanei care exercită răspunderea părintească și îți dai consimțământul pentru folosirea datelor copilului așa cum este descris aici. [DE CONFIRMAT: cum depunem eforturi rezonabile pentru a verifica faptul că consimțământul vine de la o persoană care exercită răspunderea părintească (articolul 8 alineatul (2) din GDPR) și, dacă sunt deservite Statele Unite, metoda de consimțământ parental verificabil conform COPPA.]

• Colectăm cât mai puțin: un pseudonim în locul numelui complet, o vârstă sau un an al nașterii în locul datei nașterii, avataruri predefinite în locul fotografiilor.
• Rămâi informat: vezi progresul și certificatele copilului în spațiul părintelui, iar pagina noastră „Confidențialitatea pe înțelesul copiilor” îi spune copilului că le poți vedea.
• Te poți răzgândi: îți retragi consimțământul ștergând profilul copilului, ceea ce șterge datele copilului (secțiunea 8). Retragerea consimțământului nu afectează ce am făcut înainte.
• Nu folosim niciodată datele copiilor pentru marketing, publicitate sau creare de profiluri și nu le vindem niciodată.
• Dacă un copil s-a înregistrat singur: dacă aflăm că un copil și-a creat singur un cont, îl ștergem.

Evaluăm riscurile prelucrării pentru copii într-o evaluare a impactului asupra protecției datelor. [DE CONFIRMAT: finalizarea evaluării impactului asupra protecției datelor (DPIA) înainte de lansare.]

6 Cine primește datele

Nu vindem date cu caracter personal. Le transmitem doar furnizorilor de servicii care le prelucrează pentru noi, conform instrucțiunilor noastre și pe baza unui contract (articolul 28 din GDPR), și celor câțiva destinatari independenți enumerați mai jos.

[DE CONFIRMAT: entitatea contractantă și acordul de prelucrare a datelor pentru fiecare furnizor.]

Destinatari independenți, conform propriilor lor politici de confidențialitate:

• MAIB (Moldova Agroindbank), Republica Moldova, care procesează plățile cu cardul și datele cardului introduse pe pagina sa de plată. [DE CONFIRMAT: dacă MAIB acționează ca operator independent sau ca persoană împuternicită de noi.]
• Google, dacă alegi să te autentifici cu contul Google, ca furnizor al acelui cont.
• Consultanți profesionali, precum avocați și contabili, care au obligația de confidențialitate.
• Autorități și instanțe, doar când legea o cere sau pentru a proteja un copil care ar putea fi în pericol.

Dacă afacerea noastră sau o parte din ea ar fi vândută vreodată, cumpărătorul ar putea primi datele necesare pentru continuarea serviciului, în condițiile acestei politici. Te-am anunța din timp.

7 Transferuri internaționale

Suntem stabiliți în Republica Moldova, iar echipa noastră accesează datele de acolo. Comisia Europeană nu a adoptat o decizie privind caracterul adecvat al protecției datelor pentru Republica Moldova. [DE CONFIRMAT: garanțiile pentru accesul din Republica Moldova, conform Ghidurilor CEPD 05/2021 privind interacțiunea dintre articolul 3 și capitolul V din GDPR.]

Serverele noastre sunt în Germania, iar Brevo lucrează în UE. Cloudflare și Google pot prelucra date în Statele Unite. Pentru aceste transferuri ne bazăm pe Cadrul UE-SUA privind protecția datelor (EU-US Data Privacy Framework), acolo unde compania este certificată, iar în rest pe clauzele contractuale standard ale Comisiei Europene. Pentru utilizatorii din Regatul Unit ne bazăm pe extensia britanică a acestui cadru sau pe addendumul britanic la aceste clauze. [DE CONFIRMAT: certificarea și garanțiile fiecărui furnizor la data publicării.]

Plățile cu cardul sunt procesate de MAIB în Republica Moldova.

Ne poți cere o copie a garanțiilor pe care le folosim, scriindu-ne la [email protected].

8 Cât timp păstrăm datele

Păstrăm datele doar cât timp avem nevoie de ele. Termenele de mai jos sunt propuneri. [DE CONFIRMAT: fiecare termen de mai jos, față de legea contabilității din Republica Moldova, regulile UE privind TVA și termenele de prescripție.]

9 Drepturile tale

Ai dreptul:

• de acces la datele tale și de a primi o copie a lor;
• la rectificarea datelor greșite sau incomplete;
• la ștergerea datelor tale;
• la restricționarea prelucrării datelor tale, în anumite cazuri;
• de a primi datele pe care ni le-ai dat într-un format utilizat în mod curent și de a le transmite altui serviciu (portabilitate);
• de a te opune prelucrării datelor tale pe baza interesului legitim și, oricând, marketingului direct;
• de a-ți retrage consimțământul oricând, fără a afecta ce am făcut înainte;
• de a nu face obiectul unor decizii bazate exclusiv pe prelucrarea automată; noi nu luăm astfel de decizii.

Exerciți aceste drepturi pentru copilul tău. Când un copil este suficient de mare ca să înțeleagă, ținem cont de părerea și de interesul lui superior.

9.1 Cum îți exerciți drepturile

În spațiul părintelui poți modifica sau șterge profilurile copiilor, poți activa sau dezactiva verificarea publică a unui certificat, îți poți schimba preferințele de e-mail și îți poți închide contul. [DE CONFIRMAT: funcțiile disponibile direct în cont la lansare, inclusiv descărcarea datelor.]

Ne poți scrie și la [email protected] de pe adresa de e-mail a contului tău. Putem să îți cerem să îți confirmi identitatea. Răspundem în termen de o lună. Pentru cereri complexe sau numeroase putem prelungi termenul cu încă două luni și îți spunem de ce. Exercitarea drepturilor este gratuită, cu excepția cererilor vădit nefondate sau excesive.

10 Plângeri la o autoritate de supraveghere

Poți depune o plângere la o autoritate pentru protecția datelor:

• în Republica Moldova, la Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), www.datepersonale.md;
• în Uniunea Europeană, la autoritatea din țara în care locuiești, în care lucrezi sau în care a avut loc problema; Comitetul European pentru Protecția Datelor le enumeră pe toate la edpb.europa.eu; în România, aceasta este ANSPDCP, www.dataprotection.ro;
• în Regatul Unit, la Information Commissioner's Office (ICO), ico.org.uk.

Am aprecia să avem mai întâi ocazia să rezolvăm problema, așa că te rugăm să ne scrii la [email protected].

11 Securitate

Protejăm datele prin măsuri tehnice și organizatorice potrivite riscurilor, mai ales pentru datele copiilor:

• toate conexiunile la Brotelo sunt criptate (HTTPS);
• serverele noastre sunt în Germania și au acces la ele doar persoanele care au nevoie;
• parolele sunt gestionate de Firebase Authentication și nu sunt stocate niciodată de noi;
• PIN-urile sunt stocate în formă protejată (hash);
• datele cardului sunt gestionate de bancă, niciodată de noi;
• ne ținem sistemele la zi și facem copii de rezervă regulate.

[DE CONFIRMAT: măsurile tehnice și organizatorice, așa cum sunt documentate în DPIA și în evidența activităților de prelucrare.]

Dacă are loc o încălcare a securității datelor cu caracter personal, o notificăm autorității competente în 72 de ore, acolo unde legea o cere, și te anunțăm fără întârzieri nejustificate dacă este probabil să genereze un risc ridicat pentru tine sau pentru copilul tău.

12 E-mailuri de marketing

Trimitem newsletterul și noutățile pentru lista de așteptare doar părinților care le cer. Abonarea se face printr-o căsuță separată, care nu este niciodată bifată dinainte, iar tu confirmi apăsând linkul pe care ți-l trimitem (dublă confirmare). Nu trimitem niciodată e-mailuri de marketing copiilor. Fiecare e-mail are un link de dezabonare, iar dezabonarea nu îți afectează contul sau e-mailurile de serviciu. [DE CONFIRMAT: că urmărirea deschiderilor și a clicurilor este dezactivată în Brevo.]

13 Cookie-uri și tehnologii similare

Stocăm pe dispozitivul tău doar ce îi trebuie Brotelo ca să funcționeze. Nu folosim cookie-uri de analiză și nici cookie-uri de publicitate. Politica de cookie-uri le enumeră pe toate.

14 Utilizatori din anumite țări

14.1 Regatul Unit

Dacă locuiești în Regatul Unit, se aplică UK GDPR și Data Protection Act 2018. Respectăm Age Appropriate Design Code al ICO (Children's Code): confidențialitate ridicată în mod implicit, minimizarea datelor, fără creare de profiluri, fără îndemnuri de a împărtăși mai multe date și informații despre confidențialitate pe care copiii le pot înțelege.

14.2 Statele Unite

[DE CONFIRMAT: dacă Brotelo este oferit în Statele Unite la lansare. Dacă da, conformitatea cu COPPA este necesară înainte de lansare: notificare directă către părinți, consimțământ parental verificabil înainte de colectarea informațiilor personale de la copiii sub 13 ani, o politică scrisă de păstrare a datelor, un program de securitate a informațiilor și o notă online care include un număr de telefon.] Părinții din Statele Unite pot vedea informațiile personale ale copilului lor, ne pot cere să le ștergem și pot refuza colectarea sau folosirea lor în continuare. Nu cerem unui copil mai multe informații decât sunt necesare în mod rezonabil pentru a participa la o activitate.

14.3 Republica Moldova

Prelucrarea noastră este supusă și Legii nr. 195/2024 privind protecția datelor cu caracter personal a Republicii Moldova. [DE CONFIRMAT: prevederile care se aplică, intrarea lor în vigoare și eventualele obligații de înregistrare sau notificare față de CNPDCP.]

15 Modificări ale acestei politici

Putem actualiza această politică. Data de sus arată versiunea curentă. Te anunțăm prin e-mail înainte ca modificările importante să intre în vigoare și îți cerem din nou consimțământul dacă o modificare îl cere.

16 Contact

TOPFED WEB S.R.L., s. Pepeni, r-nul Sîngerei, MD-6234, Republica Moldova. E-mail: [email protected].