Politica de confidențialitate

Cine răspunde de datele tale

Platforma CIVICOM (civicom.ro) este administrată de DEVICOM TECH S.R.L., care este operatorul datelor tale personale în sensul Regulamentului (UE) 2016/679 (GDPR).

• Sediu social: Șos. Ștefan cel Mare 230, Sector 2, București, România
• Registrul Comerțului: J2026049822009
• Cod unic de înregistrare: 55427476
• E-mail pentru orice întrebare despre date: contact@civicom.ro

Nu avem un responsabil cu protecția datelor (DPO) desemnat. Întrebările ajung direct la persoana care administrează platforma.

Ce date prelucrăm

Contul tău

La înregistrare: adresa de e-mail și parola (parola e păstrată doar criptată, de furnizorul nostru de autentificare; noi n-o vedem). La completarea profilului: numele și prenumele, data nașterii, județul și localitatea și nivelul de studii, care sunt obligatorii, plus, dacă vrei, telefonul, genul, orientarea sexuală și o fotografie de profil.

Ce faci pe platformă

• evenimentele la care te înscrii sau renunți, petițiile pe care le semnezi sau le susții, organizațiile pe care le urmărești;
• notele și comentariile lăsate după un eveniment și notele date organizațiilor;
• evenimentele pe care le creezi: titlu, descriere, imagini, locul pe hartă, persoana de contact și, la strângerile de fonduri, IBAN-ul și numele beneficiarului;
• contestațiile pe care le depui, cu mesajele și fișierele atașate;
• sugestiile de evenimente trimise, iar dacă le trimiți fără cont, numele și adresa de e-mail;
• rapoartele despre evenimente: motivul și ce ai scris; fără cont, adresa de e-mail, dacă o lași, și o amprentă a adresei IP (nu adresa în sine), folosită doar ca să nu poată fi raportat același eveniment de multe ori la rând;
• mesajele din chat: textul, fișierele trimise, reacțiile, cine a scris și când, plus momentul în care un mesaj a ajuns și a fost citit (bifele); rapoartele despre mesaje, cu o copie a mesajului raportat;
• notificările din cont (de exemplu, aprobarea unui eveniment sau mementoul dinaintea lui).

Dacă donezi cu cardul

Datele cardului, numele și adresa de e-mail le scrii pe pagina de plată Stripe, nu pe CIVICOM, iar noi nu le primim. CIVICOM păstrează doar suma, data, evenimentul și numerele de identificare ale plății la Stripe, fără numele tău, ca să afișeze cât s-a strâns și să poată face rambursări.

Dacă primești bilet pentru o donație

Biletul e legat de contul tău: suma donată, codul biletului, starea lui (valabil, folosit sau rambursat) și ora la care a fost scanat la intrare. Ca să legăm plata de cont, trimitem la Stripe un număr intern al contului tău, nu numele sau adresa de e-mail.

Dacă semnezi o petiție fără cont

Numele, prenumele, adresa de e-mail, județul și, dacă vrei, telefonul. Îți trimitem un email de confirmare, cu un link prin care poți retrage semnătura. Dacă bifezi acordul, te anunțăm pe email și când petiția se încheie și ce rezultat a avut.

Dacă reprezinți o organizație

Datele organizației (denumire, CUI, număr de înregistrare, adresă, e-mail, telefon, IBAN, site, siglă), documentele încărcate pentru verificare, membrii echipei și rolurile lor, invitațiile trimise și istoricul acțiunilor echipei în panoul organizației. Dacă organizația își conectează contul Stripe, păstrăm identificatorul contului și dacă poate primi plăți; datele cerute la înscrierea în Stripe le dai direct Stripe, nu nouă.

Date tehnice

Adresa IP și informațiile despre browser, pe care le primesc serverele noastre la fiecare vizită, și date de utilizare a site-ului, adunate cu PostHog (paginile deschise, clicurile și înregistrarea sesiunii, adică felul în care te miști prin pagină). Detaliile sunt în Politica de cookie-uri.

Date care spun ceva despre convingerile tale

Unele date de pe CIVICOM fac parte din categoriile speciale prevăzute la art. 9 GDPR. Faptul că semnezi o petiție, te înscrii la un protest sau susții un boicot poate dezvălui opinii politice sau convingeri. Orientarea sexuală, dacă alegi s-o completezi, este și ea o dată din această categorie.

Le prelucrăm doar pe baza consimțământului tău explicit (art. 9 alin. (2) lit. (a) GDPR). Ți-l cerem printr-o bifă separată de termeni și nebifată: la completarea profilului, înainte de orice întrebare, iar la semnarea unei petiții fără cont, în fereastra de semnare. Păstrăm data și ora acordului. Orientarea sexuală e opțională: dacă nu vrei s-o dai, lasă câmpul gol sau alege „Prefer să nu spun”. Poți retrage oricând consimțământul (vezi Drepturile tale).

De ce le folosim și pe ce temei

• Contul și folosirea platformei

  Datele

  cont, profil, acțiunile tale

  Temeiul legal

  executarea contractului (Termenii), art. 6 alin. (1) lit. (b) GDPR

• Participarea la acțiuni civice și semnarea petițiilor

  Datele

  participări, semnături, susțineri

  Temeiul legal

  consimțământul tău explicit, art. 9 alin. (2) lit. (a) GDPR

• Statistici pentru organizatori (vârstă, gen, orientare, studii, județ)

  Datele

  datele de profil ale celor înscriși sau semnatari

  Temeiul legal

  consimțământul tău, art. 6 alin. (1) lit. (a) și art. 9 alin. (2) lit. (a) GDPR

• Verificarea evenimentelor și a organizațiilor, contestațiile

  Datele

  conținutul trimis, documentele organizației

  Temeiul legal

  executarea contractului și interesul nostru legitim de a ține platforma sigură, art. 6 alin. (1) lit. (b) și (f) GDPR

• Donațiile cu cardul, biletele și rambursările

  Datele

  suma, evenimentul, identificatorii plății; la bilete, contul tău și codul biletului

  Temeiul legal

  executarea contractului (Termenii), art. 6 alin. (1) lit. (b) GDPR

• Emailurile despre contul tău, evenimente, bilete și donații. La mementouri, rezultate și ținta atinsă poți renunța din linkul din subsolul emailului

  Datele

  adresa de e-mail, numele, evenimentul și ce s-a întâmplat (de exemplu aprobarea, biletul, un memento)

  Temeiul legal

  executarea contractului (Termenii), art. 6 alin. (1) lit. (b) GDPR

• Vestea rezultatului unei petiții semnate fără cont

  Datele

  adresa de e-mail și prenumele

  Temeiul legal

  consimțământul tău, art. 6 alin. (1) lit. (a) GDPR; îl retragi retrăgând semnătura sau scriindu-ne

• Protecția împotriva roboților la semnarea fără cont

  Datele

  datele tehnice trimise către Cloudflare Turnstile

  Temeiul legal

  interesul nostru legitim de a nu lăsa semnături false, art. 6 alin. (1) lit. (f) GDPR

• Măsurarea și îmbunătățirea site-ului

  Datele

  date de utilizare (PostHog, Google Analytics, Vercel Web Analytics și Speed Insights)

  Temeiul legal

  consimțământul tău, art. 6 alin. (1) lit. (a) GDPR, cu regulile din Politica de cookie-uri

• Răspunsul la cererile tale și obligațiile legale

  Datele

  ce ne scrii, datele necesare

  Temeiul legal

  obligația legală, art. 6 alin. (1) lit. (c) GDPR

Cine vede datele tale

Oricine, public

• evenimentele aprobate, cu numele și fotografia celui care le-a creat sau ale organizației;
• profilul public al organizațiilor verificate;
• dacă semnezi o petiție cu contul, poți apărea printre ultimii semnatari de pe pagina ei, cu prenumele și inițiala numelui. Dacă semnezi fără cont, numele tău nu apare public;
• la strângerile de fonduri organizate de o persoană, IBAN-ul și numele beneficiarului, ca să se poată dona prin transfer.

Organizatorul evenimentului

Cine creează un eveniment (o persoană sau echipa unei organizații) vede lista celor înscriși, cu numele și județul lor. Vârsta, genul, orientarea sexuală (dacă a fost completată) și studiile nu le vede pentru fiecare om în parte, ci doar ca statistici pentru tot evenimentul, calculate de CIVICOM. La gen și la orientarea sexuală, răspunsurile date de mai puțin de 5 oameni sunt grupate împreună, ca să nu poți fi recunoscut după ele.

La petiții, lista completă a semnatarilor, cu nume, adresă de e-mail, județ și, la cei fără cont, telefon, ajunge la organizator doar după ce echipa CIVICOM aprobă o cerere motivată de acces. Organizatorul o poate descărca, ca s-o depună la instituția căreia îi e adresată petiția. Din acel moment, organizatorul răspunde și el de cum folosește lista.

La evenimentele cu bilet, organizatorul vede în CIVICOM numele celor care au primit bilet, suma donată și dacă au intrat. Pentru donațiile cu cardul, organizația vede în contul ei Stripe datele introduse la plată, așa cum le arată Stripe.

Mesajele din chat

O conversație o văd doar cei din ea. Când scrii unei organizații, mesajul îl vede toată echipa ei; în grupul unui eveniment, îl văd organizatorul și participanții. Cine iese din grup (renunță sau e scos de organizator) nu mai vede conversația. Ceilalți văd dacă mesajul tău a ajuns și dacă l-ai citit.

Echipa CIVICOM

Administratorii platformei văd datele de care au nevoie pentru verificarea evenimentelor și a organizațiilor, pentru contestații și pentru cererile tale. Mesajele din chat nu le citim, cu o singură excepție: când cineva raportează un mesaj, vedem mesajul raportat și toată conversația în care a fost scris, ca să putem decide corect.

Furnizorii noștri

Firmele care ne ajută să rulăm platforma primesc date doar ca să facă acel lucru pentru noi, pe baza unui acord de prelucrare:

• Supabase

  Ce face

  baza de date, conturile și fișierele încărcate

  Unde sunt datele

  SUA (regiunea us-east-1)

• Vercel

  Ce face

  găzduirea site-ului; cu acordul tău, statistici de vizită și de viteză a paginilor (Web Analytics, Speed Insights)

  Unde sunt datele

  SUA și rețeaua lor de servere

• PostHog

  Ce face

  statistici de utilizare și înregistrarea sesiunilor

  Unde sunt datele

  Uniunea Europeană (serverele PostHog din UE)

• Google (Google Ireland Limited)

  Ce face

  cu acordul tău, statistici de trafic (Google Analytics), fără funcțiile de publicitate

  Unde sunt datele

  Uniunea Europeană și SUA

• Cloudflare

  Ce face

  verificarea anti-robot (Turnstile) la semnarea fără cont

  Unde sunt datele

  SUA și rețeaua lor de servere

• Mapbox

  Ce face

  hărțile și căutarea adreselor

  Unde sunt datele

  SUA

• Stripe

  Ce face

  plățile cu cardul și conectarea organizațiilor la plăți

  Unde sunt datele

  Uniunea Europeană și SUA

• Resend

  Ce face

  trimiterea emailurilor

  Unde sunt datele

  SUA

La donațiile cu cardul, plata se face în contul Stripe al organizației, care e comerciantul. Pentru datele scrise pe pagina de plată, Stripe lucrează pentru organizație și, pentru prevenirea fraudei, și în nume propriu, după politica de confidențialitate Stripe.

Nu vindem datele tale și nu le dăm nimănui pentru reclame.

Transferul datelor în afara Uniunii Europene

Baza de date și unii furnizori sunt în Statele Unite. Pentru firmele certificate în cadrul UE-SUA privind protecția datelor ne bazăm pe decizia de adecvare a Comisiei Europene (Decizia (UE) 2023/1795). Pentru celelalte, pe clauzele contractuale standard aprobate de Comisie, incluse în acordul lor de prelucrare a datelor.

• Supabase

  Temeiul transferului

  clauzele contractuale standard din acordul de prelucrare Supabase (nu e certificat în cadrul UE-SUA)

• Vercel

  Temeiul transferului

  certificare activă în cadrul UE-SUA privind protecția datelor

• Cloudflare

  Temeiul transferului

  certificare activă în cadrul UE-SUA privind protecția datelor

• Mapbox

  Temeiul transferului

  certificare activă în cadrul UE-SUA privind protecția datelor

• Stripe

  Temeiul transferului

  certificare activă în cadrul UE-SUA privind protecția datelor

• Resend

  Temeiul transferului

  certificare activă în cadrul UE-SUA privind protecția datelor

• PostHog

  Temeiul transferului

  datele stau în Uniunea Europeană; firma e și certificată în cadrul UE-SUA privind protecția datelor

• Google

  Temeiul transferului

  certificare activă a Google LLC în cadrul UE-SUA privind protecția datelor

Poți cere o copie a acestor garanții la contact@civicom.ro.

Cât timp păstrăm datele

• Contul și profilul: cât timp ai cont. Dacă ceri ștergerea, le ștergem în cel mult 30 de zile de la cerere.
• Semnăturile și participările: cât timp există contul tău sau, la semnăturile fără cont, până ceri ștergerea. După ștergere, ele nu mai apar nicăieri și nu se mai numără nici în totalul petiției sau al evenimentului.
• Evenimentele și organizațiile: o organizație închisă de echipa ei nu se șterge, ci se arhivează: nu mai apare public, dar rămâne în baza de date împreună cu evenimentele ei, ca istoric al acțiunilor civice. Datele personale ale membrilor din ea se șterg la cererea lor, la fel ca orice cont.
• Contestațiile și documentele de verificare: cât timp există evenimentul sau organizația la care se referă.
• Rapoartele despre evenimente: cât timp există evenimentul raportat.
• Mesajele din chat: cât timp există conversația. Un mesaj șters dispare din conversație pentru toți; copia lui de siguranță se șterge definitiv după 30 de zile. Când îți ștergi contul, mesajele scrise în nume propriu se șterg odată cu el; cele scrise în numele unei organizații rămân în conversația ei, fără numele tău („Utilizator șters”).
• Donațiile cu cardul și biletele: evidența donațiilor (fără numele tău) cât timp există evenimentul. Biletele se șterg odată cu contul tău sau cu evenimentul.
• Copia de siguranță după o ștergere: când ceva se șterge (un eveniment, o semnătură, un cont), păstrăm o copie ca să-l putem recupera dacă a fost șters din greșeală. Copiile care conțin date personale și tot ce s-a șters odată cu un cont se șterg definitiv după 30 de zile. Copia unui eveniment sau a unei organizații, fără datele personale ale participanților, rămâne păstrată. Copia nu e vizibilă pe platformă și o folosim doar pentru recuperare.
• Datele de utilizare (PostHog): atât cât le păstrează PostHog pentru contul nostru; cookie-ul lui expiră după un an.
• Copia descărcată de un organizator: nu mai e sub controlul nostru după descărcare. Pentru ea te poți adresa direct organizatorului.

Drepturile tale

Ai dreptul să ceri:

• o copie a datelor tale și informații despre cum le folosim (art. 15 GDPR);
• corectarea lor (art. 16); multe le poți corecta singur, din profil;
• ștergerea lor (art. 17);
• restricționarea prelucrării (art. 18);
• datele într-un format pe care să-l poți duce în altă parte (art. 20);
• să te opui prelucrării bazate pe interesul nostru legitim (art. 21).

Poți retrage oricând consimțământul, fără să afecteze ce s-a făcut legal înainte de retragere. Pentru asta poți renunța la participare din pagina evenimentului, poți lăsa goale câmpurile opționale din profil sau ne poți scrie.

Cererile se trimit la contact@civicom.ro. Platforma nu are încă un buton de ștergere a contului, așa că ștergerea se cere tot pe e-mail. Îți răspundem în cel mult o lună, cum cere art. 12 GDPR, iar ștergerea o facem în cel mult 30 de zile.

Dacă crezi că îți încălcăm drepturile, poți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), pe dataprotection.ro.

Ce date sunt obligatorii

Fără adresa de e-mail, parolă și câmpurile obligatorii din profil nu se poate crea contul, iar fără nume, e-mail și județ nu se poate semna o petiție fără cont. Câmpurile marcate opționale le poți lăsa goale fără nicio consecință. Nu luăm nicio decizie automată despre tine: evenimentele și organizațiile sunt verificate de oameni.

Vârsta minimă

Îți poți face cont pe CIVICOM de la 16 ani, vârsta de la care consimțământul pentru servicii online e valabil fără acordul părinților (art. 8 GDPR). Dacă aflăm că un cont aparține cuiva sub 16 ani, îl ștergem.

Cum protejăm datele

Legătura cu site-ul e criptată (HTTPS), parolele sunt păstrate criptat, iar accesul la date e limitat prin reguli în baza de date, astfel încât fiecare vede doar ce îi e permis. Fișierele contestațiilor și documentele organizațiilor nu sunt publice. Dacă se întâmplă o încălcare a securității datelor care te poate afecta, te anunțăm și anunțăm ANSPDCP, cum cere legea.

Modificări ale politicii

Când schimbăm ceva important în felul în care folosim datele, actualizăm această pagină și data de sus, iar dacă schimbarea te privește direct, te anunțăm în cont sau pe e-mail.