Politica GDPR

1. Prezentare generală a GDPR și angajamentul nostru

Regulamentul general privind protecția datelor (GDPR) este o lege cuprinzătoare privind protecția datelor, care reglementează modul în care datele cu caracter personal ale persoanelor din Spațiul Economic European (SEE) sunt colectate, prelucrate și stocate.

Printedin se angajează pe deplin să respecte GDPR. Prelucrăm datele cu caracter personal în mod legal, echitabil și transparent. Colectăm date numai în scopuri determinate, explicite și legitime și ne asigurăm că acestea sunt adecvate, relevante și limitate la ceea ce este necesar.

2. Informații despre operatorul de date

Potrivit GDPR, Printedin acționează ca operator de date pentru datele cu caracter personal ale utilizatorilor noștri. Aceasta înseamnă că stabilim scopurile și mijloacele prelucrării datelor cu caracter personal.

3. Temeiul juridic al prelucrării

În temeiul articolului 6 din GDPR, prelucrăm datele cu caracter personal pe baza următoarelor temeiuri juridice:

Atunci când ne bazăm pe consimțământ ca temei juridic, ai dreptul să îți retragi consimțământul în orice moment. Retragerea nu afectează legalitatea prelucrării efectuate înainte de retragere.

4. Categorii de date cu caracter personal

Prelucrăm următoarele categorii de date cu caracter personal:

5. Drepturile persoanei vizate

Potrivit GDPR, ai următoarele drepturi cu privire la datele tale cu caracter personal. Vom răspunde tuturor cererilor valabile în termen de 30 de zile (termen care poate fi prelungit cu 60 de zile pentru cererile complexe):

5.1 Dreptul de acces (art. 15)

Ai dreptul să obții confirmarea faptului că prelucrăm sau nu datele tale cu caracter personal și să soliciți o copie a datelor tale într-un format electronic utilizat în mod curent.

5.2 Dreptul la rectificare (art. 16)

Ai dreptul să soliciți rectificarea datelor cu caracter personal inexacte sau completarea datelor incomplete. Majoritatea informațiilor le poți actualiza direct din setările profilului tău.

5.3 Dreptul la ștergerea datelor (art. 17)

Ai dreptul să soliciți ștergerea datelor tale cu caracter personal („dreptul de a fi uitat”), sub rezerva obligațiilor legale aplicabile (de exemplu, evidențele fiscale care trebuie păstrate).

5.4 Dreptul la restricționarea prelucrării (art. 18)

Poți solicita restricționarea prelucrării datelor tale cât timp verificăm exactitatea acestora sau evaluăm interesele noastre legitime, ori atunci când prelucrarea este ilegală, dar te opui ștergerii datelor.

5.5 Dreptul la portabilitatea datelor (art. 20)

Ai dreptul să primești datele tale cu caracter personal într-un format structurat, utilizat în mod curent și care poate fi citit automat (JSON sau CSV) și să le transmiți altui operator.

5.6 Dreptul la opoziție (art. 21)

Ai dreptul să te opui prelucrării întemeiate pe interese legitime sau efectuate în scopuri de marketing direct. Vom înceta prelucrarea, cu excepția cazului în care putem demonstra motive legitime și imperioase care prevalează asupra intereselor tale.

5.7 Drepturi legate de procesul decizional automatizat (art. 22)

Nu folosim procese decizionale automatizate și nici crearea de profiluri care să producă efecte juridice asupra ta sau care să te afecteze în mod similar într-o măsură semnificativă.

6. Activități de prelucrare a datelor

Ținem un registru al activităților de prelucrare (ROPA), așa cum impune articolul 30 din GDPR. Principalele noastre activități de prelucrare includ:

• Înregistrarea utilizatorilor: prelucrarea numelui, a adresei de e-mail și a parolei pentru crearea contului.
• Designul produselor: prelucrarea imaginilor și a textelor încărcate pentru a crea previzualizări ale designului.
• Onorarea comenzilor: prelucrarea adreselor și a datelor de plată pentru tipărire și expediere.
• Asistența pentru clienți: prelucrarea comunicărilor și a datelor contului pentru soluționarea solicitărilor.
• Marketing: prelucrarea adreselor de e-mail pentru a-ți reaminti de un design pe care l-ai lăsat neterminat (pe bază de consimțământ, din setările tale de notificare).
• Răspunsuri la solicitări: transmiterea corespondenței tale cu noi și a evidenței lucrării de care ține către un furnizor de servicii AI, care redactează un răspuns pe care îl verificăm noi (executarea contractului și interes legitim).
• Analiză: prelucrarea datelor de utilizare pentru îmbunătățirea serviciilor noastre (pe bază de consimțământ).
• Publicitate: prelucrarea vizitelor pe pagini și a achizițiilor pentru măsurarea publicității și construirea de audiențe (pe bază de consimțământ).

6.1 Subcontractanți (persoane împuternicite ulterioare)

Apelăm la următoarele categorii de subcontractanți, toți având încheiate acorduri corespunzătoare de prelucrare a datelor (DPA):

7. Transferuri internaționale de date

Stocăm și prelucrăm datele cu caracter personal în principal în Spațiul Economic European (SEE). Atunci când sunt necesare transferuri de date în afara SEE, asigurăm o protecție adecvată prin:

• Decizii privind caracterul adecvat: transferuri către țări pentru care UE a adoptat o decizie privind caracterul adecvat al nivelului de protecție.
• Clauze contractuale standard (SCC): clauze contractuale aprobate de UE, care asigură o protecție echivalentă a datelor.
• Măsuri suplimentare: măsuri tehnice și organizatorice suplimentare, acolo unde este necesar (criptare, pseudonimizare).

8. Măsuri de protecție a datelor

În conformitate cu articolul 32 din GDPR, punem în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului:

8.1 Măsuri tehnice

• Criptare TLS 1.2 sau 1.3 pentru toate datele dintre browserul tău și serverele noastre
• Copiile de rezervă externe sunt criptate cu AES-256 înainte de a părăsi serverul
• Parolele sunt stocate doar ca hash-uri PBKDF2-HMAC-SHA256 cu salt (600.000 de iterații)
• Teste automate, inclusiv verificări de securitate, înainte de fiecare versiune nouă
• Segmentarea rețelei și protecție prin firewall
• Autentificările și modificările conturilor și comenzilor sunt înregistrate într-un jurnal de audit

8.2 Măsuri organizatorice

• Programe de instruire și conștientizare a personalului privind protecția datelor
• Control al accesului pe baza principiului privilegiului minim
• Acorduri de confidențialitate cu toți angajații și colaboratorii externi
• Evaluări ale impactului asupra protecției datelor (DPIA) pentru prelucrările cu risc ridicat
• Verificări și audituri periodice ale activităților de prelucrare a datelor
• Proceduri de răspuns la incidente și protocoale de escaladare

9. Notificarea încălcărilor securității datelor

În conformitate cu articolele 33 și 34 din GDPR, am stabilit proceduri de răspuns la încălcările securității datelor cu caracter personal:

• Autoritățile de supraveghere: vom notifica autoritatea de supraveghere competentă în termen de 72 de ore de la data la care am luat cunoștință de o încălcare a securității datelor cu caracter personal care este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor. Pentru persoanele vizate din Regatul Unit, aceasta este Information Commissioner’s Office (ICO). Pentru persoanele vizate din Spațiul Economic European, este autoritatea competentă din statul membru în cauză — nu suntem stabiliți în UE, așa că notificarea nu se face printr-o singură autoritate principală.
• Persoanele afectate: vom informa fără întârzieri nejustificate persoanele vizate afectate atunci când o încălcare este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile acestora.
• Documentare: toate încălcările securității datelor sunt documentate în registrul nostru de încălcări, indiferent de gravitate, inclusiv faptele, efectele și măsurile de remediere luate.

10. Contact pentru protecția datelor

Nu am desemnat un responsabil cu protecția datelor, iar GDPR nu ne obligă să o facem: art. 37 alin. (1) impune desemnarea unui responsabil cu protecția datelor (DPO) numai autorităților publice și operatorilor care monitorizează persoane pe scară largă sau prelucrează pe scară largă categorii speciale de date. Protecția datelor este responsabilitatea conducerii companiei, care răspunde acestor cereri. Ne poți contacta aici:

11. Autoritatea de supraveghere și plângeri

Dacă consideri că prelucrarea datelor tale cu caracter personal de către noi încalcă legislația privind protecția datelor, ai dreptul să depui o plângere la o autoritate de supraveghere (articolul 77). Care este această autoritate depinde de locul în care te afli tu, nu de locul în care ne aflăm noi:

11.1 Dacă te afli în Spațiul Economic European

Poți depune o plângere la autoritatea de supraveghere din statul membru în care îți ai reședința obișnuită, în care lucrezi sau în care a avut loc presupusa încălcare. Deoarece suntem stabiliți în Regatul Unit, nu în Uniune, nicio autoritate nu acționează ca autoritate principală în privința noastră — este competentă autoritatea națională din țara ta. În România, aceasta este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, București, dataprotection.ro. Comitetul European pentru Protecția Datelor publică datele de contact actualizate ale tuturor autorităților naționale:

11.2 Dacă te afli în Regatul Unit

Information Commissioner’s Office este autoritatea de supraveghere pentru Regatul Unit. Datele de mai jos sunt ale ICO — nu sunt datele noastre de contact; pentru a ne contacta, vezi mai sus secțiunea „Contact pentru protecția datelor”.

Exercitarea acestui drept nu te costă nimic și nu depinde de faptul că ne-ai contactat mai întâi — dar am prefera să rezolvăm noi problema înainte să fie nevoie de așa ceva. Dacă ne scrii la privacy@printedin.com, îți vom răspunde în termen de 30 de zile.