Politică de Confidențialitate — Bloomia

1. Cine suntem (operatorul de date)

Operatorul datelor tale este Bloomia. Contact pentru orice chestiune legată de date personale: neaua_neaua@yahoo.com.

Nu am desemnat un responsabil cu protecția datelor (DPO), pentru că activitatea noastră nu se încadrează în situațiile care impun acest lucru (art. 37 GDPR). Cererile privind datele personale sunt tratate direct de echipă, la adresa de mai sus.

2. Ce date colectăm și de ce

Categorie	Scop	Temei legal
Email, nume, avatar	Crearea și administrarea contului	Executarea contractului
Activitățile create, folderele, setările	Furnizarea serviciului	Executarea contractului
Rezultatele jocurilor, XP, insigne, serii	Progres, clasamente, statistici pentru profesor	Executarea contractului
Date de facturare și istoricul plăților	Emiterea facturilor, contabilitate	Obligație legală
Jurnale tehnice, adresa IP la autentificare	Securitate, prevenirea abuzului și a fraudei	Interes legitim
Măsurarea audienței (fără IP, fără identificator persistent)	Să știm câți vizitatori avem și de unde vin	Interes legitim
Adresa de email pentru informări	Noutăți despre platformă	Consimțământ (revocabil oricând)

Datele cardului nu ajung niciodată la noi — sunt introduse direct la Stripe, procesator certificat PCI-DSS. Noi primim doar confirmarea plății și ultimele cifre ale cardului.

3. Datele elevilor

Este cea mai sensibilă parte a platformei, așa că o explicăm separat.

Elevii care joacă fără cont

Reținem doar prenumele pe care îl scriu ei și rezultatul jocului. Fără email, fără cont, fără profil. Prenumele este afișat în clasamentul activității și vizibil profesorului care a creat-o. Recomandăm profesorilor să ceară elevilor doar prenumele — niciodată numele complet sau alte date personale.

Elevii cu cont

Contul se poate crea de la 16 ani . Sub această vârstă este necesar consimțământul părintelui sau al tutorelui (art. 8 GDPR). Părintele poate cere oricând accesul la datele copilului, corectarea sau ștergerea lor, scriindu-ne la adresa de contact.

Cine răspunde pentru datele elevilor

Când un profesor sau o instituție folosește platforma cu elevii săi, profesorul sau instituția este operatorul acelor date — el decide ce activitate dă, ce întrebări pune și ce informații cere. Noi acționăm ca persoană împuternicită (art. 28 GDPR): prelucrăm datele doar conform instrucțiunilor lui și pentru a furniza serviciul.

Instituțiile care au nevoie de un acord de prelucrare a datelor (DPA) semnat ni-l pot solicita la neaua_neaua@yahoo.com.

4. Cât timp păstrăm datele

Datele contului — cât timp contul există. Le poți șterge oricând, singur.
Activitățile și rezultatele — cât timp contul autorului există (vezi mai jos ce se întâmplă la ștergere).
Facturile și înregistrările de plată — 10 ani, termenul impus de legislația contabilă și fiscală română.
Datele de măsurare a audienței — 14 luni, apoi se șterg automat.
Jurnalele tehnice de securitate — maximum 12 luni.
Registrul ștergerilor — doar un hash al emailului, păstrat ca dovadă că ți-am respectat cererea.

Îți poți șterge contul din Profil → Securitate → Datele mele . Ștergerea prin interfață este imediată; cererile trimise pe email se soluționează în cel mult 30 de zile. La ștergere:

Se șterg definitiv: contul de autentificare, numele, emailul, avatarul, setările, progresul (XP, monede, insigne, avatare, serii), favoritele, notificările, folderele și preferințele de email.
Se anonimizează: rezultatele jocurilor jucate — rămân în statisticile activităților altor autori, dar fără legătură cu tine (numele devine „Cont șters”).
Rămân, dezasociate de tine: activitățile publicate — trec la platformă conform licenței din Termeni, fără numele tău ca autor.
Rămân, ca obligație legală: facturile și înregistrările de plată, dacă ai avut un abonament plătit. Legislația fiscală ne obligă să le arhivăm, iar art. 17 alin. (3) lit. b) GDPR prevede expres această excepție de la dreptul la ștergere.

5. Drepturile tale

Conform GDPR, ai dreptul la:

Acces: să soliciți o copie a datelor tale
Rectificare: să corectezi datele inexacte
Ștergere: să soliciți ștergerea datelor («dreptul de a fi uitat»)
Portabilitate: să primești datele tale în format structurat
Restricționare: să ceri limitarea prelucrării cât timp o contești
Opoziție: să te opui prelucrării întemeiate pe interesul legitim, inclusiv marketingului
Retragerea consimțământului, oricând, fără să afecteze legalitatea prelucrării anterioare

Le poți exercita singur, imediat

Acces și portabilitate: Profil → Securitate → „Descarcă datele mele” (fișier JSON cu tot ce deținem).
Rectificare: Profil → editezi direct numele și avatarul.
Ștergere: Profil → Securitate → „Șterge contul și datele personale”.
Opoziție la marketing: comutatorul „Emailuri de informare” din Profil, sau linkul „Dezabonează-te” din orice email primit de la noi.
Opoziție la măsurarea audienței: linkul „Preferințe date” din subsolul site-ului.

Pentru orice altă cerere, scrie-ne la neaua_neaua@yahoo.com. Răspundem în cel mult 30 de zile și nu percepem nicio taxă. Ai și dreptul de a depune plângere la ANSPDCP (dataprotection.ro).

6. Decizii automate și profilare

Nu luăm decizii automate cu efecte juridice sau similar semnificative asupra ta și nu facem profilare în scop publicitar (art. 22 GDPR). Clasamentele, nivelurile și ligile sunt calcule simple pe baza punctajului obținut în joc și nu produc efecte în afara platformei.

7. Securitatea datelor

Aplicăm măsuri tehnice și organizatorice adecvate (art. 32 GDPR): trafic criptat (HTTPS), criptarea datelor stocate, parole păstrate doar sub formă de amprentă criptografică (niciodată în clar), izolarea datelor între conturi la nivel de bază de date, acces restrâns al echipei și copii de siguranță.

Ce depinde de tine: alege o parolă puternică și unică, nu o refolosi de pe alte site-uri și nu o împărtăși. Nicio măsură de securitate din partea noastră nu poate compensa o parolă divulgată sau reutilizată. Detalii în Termeni și condiții, secțiunea „Responsabilitățile tale”.

Dacă are loc o încălcare a securității datelor care îți poate afecta drepturile, notificăm ANSPDCP în 72 de ore și te informăm direct atunci când riscul este ridicat (art. 33–34 GDPR).

8. Cookies și măsurarea audienței

Folosim cookies strict necesare pentru autentificare (sesiunea Supabase) și stocare locală pentru preferințe de interfață (limbă, sunet, bannere închise). Nu folosim Google Analytics, Facebook Pixel sau orice alt instrument de urmărire de la terți, și nu îți urmărim activitatea pe alte site-uri.

Măsurăm audiența cu un sistem propriu, găzduit pe infrastructura noastră. Reținem, per vizită: pagina de intrare, sursa (parametrii din link sau domeniul de proveniență, ex. „tiktok.com”), tipul de dispozitiv, browserul, sistemul de operare și țara. Din aceste date calculăm câți vizitatori avem și de unde vin.

De ce nu îți cerem consimțământ pentru asta

Sistemul nostru respectă condițiile în care măsurarea audienței este exceptată de la consimțământ (art. 5 alin. (3) Directiva ePrivacy, în interpretarea autorităților europene de protecție a datelor):

datele sunt folosite exclusiv intern și nu sunt transmise niciunui terț;
nu există identificator persistent — identificatorul de vizită trăiește doar cât ține tabul deschis și dispare la închiderea lui, deci nu te putem recunoaște mâine sau pe alt dispozitiv;
adresa IP nu este stocată — o folosim doar pentru a deduce țara, apoi o aruncăm;
referrer-ul se reduce la domeniu, nu la adresa completă;
datele brute se șterg automat după 14 luni;
poți refuza măsurarea oricând, din linkul „Preferințe date” din subsolul site-ului.

Nu urmărim navigarea în paginile de joc deschise de elevi prin link partajat(/play, /embed) — acolo înregistrăm doar dacă un joc a fost început și terminat, fără date despre persoană.

Detalii complete în Politică cookies. Dacă vom adăuga vreodată instrumente de analiză sau de marketing de la terți, vom afișa un banner de consimțământ înainte de a le activa.

9. Cui transmitem datele

Nu vindem datele tale și nu le transmitem în scop publicitar. Le încredințăm doar furnizorilor necesari funcționării platformei, care le prelucrează exclusiv conform instrucțiunilor noastre, în baza unor acorduri de prelucrare:

Furnizor	Rol	Localizare
Supabase	Bază de date și autentificare	UE
Vercel	Găzduirea aplicației	UE / SUA
Stripe	Procesarea plăților (PCI-DSS)	UE / SUA
Brevo	Trimiterea emailurilor	UE

Putem transmite date și autorităților, atunci când legea ne obligă.

10. Transferuri în afara UE

Datele sunt stocate în Uniunea Europeană. Unii furnizori din tabelul de mai sus (Vercel, Stripe) sunt companii americane și pot prelucra date în SUA în cadrul serviciilor lor. În aceste cazuri transferul are loc în baza garanțiilor prevăzute de GDPR — clauzele contractuale standard aprobate de Comisia Europeană și, acolo unde este aplicabil, Cadrul UE–SUA privind confidențialitatea datelor (art. 45–46 GDPR). Poți solicita o copie a acestor garanții la adresa de contact.

11. Modificări ale acestei politici

Când modificăm politica, actualizăm data de la începutul paginii. Dacă modificarea este semnificativă, te anunțăm prin email sau printr-un mesaj în platformă înainte să intre în vigoare.

12. Contact

Pentru orice întrebare legată de confidențialitate: neaua_neaua@yahoo.com