Politica de Confidențialitate

Operatorul datelor cu caracter personal prelucrate pe platforma ghizii.ro este:

O-MAC MARKETING ONLINE SRL CUI: RO33260538 Nr. Registrul Comerțului: J03/780/2014 Sediu social: Str. Depozitelor nr. 27, Camera 22, Et. 1, Mun. Pitești, jud. Argeș Email: contact@ghizii.ro Email GDPR: privacy@ghizii.ro Email raportare conținut: legal@ghizii.ro

Contact recomandat pentru cereri GDPR: privacy@ghizii.ro Pentru cereri juridice generale sau raportare conținut: legal@ghizii.ro

Această politică se aplică următoarelor categorii de persoane:

• Ghizi ale căror date profesionale apar în surse publice și sunt prelucrate în profiluri generate automat
• Ghizi care revendică profiluri, creează conturi sau contractează servicii premium
• Utilizatori care caută ghizi, creează conturi, lasă recenzii sau contactează ghizi
• Autori de recenzii și persoane menționate în conținutul încărcat
• Vizitatori ai site-ului, inclusiv prin cookie-uri, loguri tehnice și instrumente analitice
• Persoane care trimit solicitări, reclamații, notificări sau cereri GDPR

Prelucram date personale numai dacă există un temei juridic conform GDPR. Principalele temeiuri sunt:

• Interes legitim — pentru profilurile generate automat din registrul public
• Executarea unui contract — pentru profilurile revendicate și serviciile premium
• Obligație legală — pentru datele solicitate de autorități
• Consimțământ — pentru marketing și anumite funcționalități opționale
• Apararea drepturilor noastre în justiție

Pentru profilurile generate automat din registrul public al ghizilor, temeiul principal este interesul legitim al Operatorului și al publicului de a facilita verificarea statutului profesional al ghizilor autorizați, cu aplicarea testului de balanță și a măsurilor de minimizare.

Pentru datele suplimentare adăugate de un ghid după revendicare, temeiul principal este executarea contractului de furnizare a serviciului de profil public și, după caz, consimțământul pentru anumite funcționalități opționale.

Pentru comunicări comerciale electronice, temeiul va fi consimțământul prealabil, cu excepțiile strict permise de lege. Nu vom trimite emailuri, SMS-uri sau mesaje WhatsApp comerciale nesolicitate către ghizi doar pentru că apar într-un registru public.

Pentru profilurile generate automat, datele nu sunt colectate direct de la ghid, ci din surse publice oficiale. În acest caz se aplică obligația de informare prevăzută de art. 14 GDPR. Platforma va publica o informare vizibilă pe profiluri și în această Politică, iar atunci când vom comunica direct cu ghidul, vom include informarea cel târziu la prima comunicare.

Nu vom publica automat CNP, serie și număr de act de identitate, adresă privată, telefon personal sau email personal, chiar dacă astfel de informații ar ajunge accidental în seturi de date, cu excepția unei baze legale clare și a unei necesități documentate. Regula operațională este: aceste date se elimină, se maschează sau nu se importă.

Campuri permise implicit în profilurile generate automat, dacă există în sursa publică și sunt relevante:

• Nume și prenume
• Număr atestat
• Tip atestat
• Data emiterii
• Data expirării
• Autoritatea emitentă
• Statusul atestatului
• Data ultimei sincronizări

Telefonul, emailul, adresa, CNP-ul și documentele de identitate sunt excluse din profilul automat.

Persoanele vizate au următoarele drepturi conform GDPR:

• Dreptul de acces — puteți solicita informații despre datele pe care le prelucrează platforma despre dumneavoastră
• Dreptul la rectificare — puteți solicita corectarea datelor inexacte sau incomplete
• Dreptul la ștergere — puteți solicita ștergerea datelor, cu excepția cazurilor cu obligații legale de stocare
• Dreptul la restricționare — puteți solicita restricționarea prelucrării în anumite condiții
• Dreptul la opoziție — vă puteți opune prelucrării bazate pe interes legitim
• Dreptul la portabilitate — puteți solicita datele furnizate într-un format structurat, utilizabil automat
• Retragerea consimțământului — oricând, pentru prelucrările bazate pe consimțământ
• Dreptul de a depune plângere la ANSPDCP

Cererile se transmit la privacy@ghizii.ro. Vom răspunde fără întârzieri nejustificate și, în orice caz, în termen de cel mult o lună de la primirea cererii. Termenul poate fi prelungit cu două luni în cazuri complexe, cu informarea persoanei în termenul inițial.

Primirea cererii: Cererile GDPR se primesc la privacy@ghizii.ro, prin formular sau prin alte canale oficiale. Orice membru al echipei care primește o cerere trebuie să o redirecționeze intern în aceeași zi lucrătoare.

Verificarea identității: Dacă identitatea solicitantului nu este clară, se solicită informații suplimentare proporționale. Nu se cer acte complete decât în situații excepționale. Orice document sensibil se maschează și se șterge rapid după verificare.

Termene:

• Triage intern: 5–10 zile calendaristice
• Răspuns final: cel mult o lună de la primire
• Prelungire: maximum două luni pentru cereri complexe, cu informare în prima lună

Decizie pentru profiluri oficiale: Pentru datele oficiale din profiluri generate automat, se efectuează un test de balanță punctual. Se verifică sursa, actualitatea, necesitatea afișării, impactul asupra persoanei și măsurile alternative: rectificare, limitare, noindex, ascundere parțială sau ștergere.

Evidență: Se păstrează o evidență a cererilor: data primirii, identitatea solicitantului, tipul cererii, date vizate, răspuns, termen, măsuri adoptate și persoana responsabilă.

Putem transmite date către furnizori tehnici, servicii de hosting, procesatori de plăți, servicii email, servicii de securitate, contabilitate, consultanți juridici, autorități publice și instanțe, numai în măsura necesară.

Vom încheia acorduri de prelucrare (DPA) cu furnizorii care acționează ca persoane împuternicite și vom evalua măsurile tehnice și organizatorice rezonabile. Clauze minime în acordurile DPA:

• Prelucrare doar conform instrucțiunilor Operatorului
• Confidențialitate pentru personalul furnizorului
• Măsuri tehnice și organizatorice adecvate
• Subîmputerniciți doar cu informare/aprobare
• Asistență pentru cereri GDPR și breșe de securitate
• Ștergere sau returnare date la încetarea contractului
• Audit sau informații suficiente pentru demonstrarea conformității
• Transferuri internaționale doar cu garanții adecvate

Transferurile de date în afara SEE se vor realiza doar cu garanții adecvate, cum ar fi:

• Decizii de adecvare ale Comisiei Europene
• Clauze contractuale standard
• Coduri de conduită sau mecanisme de certificare

Înainte de orice transfer, vom evalua riscurile și vom aplica garanțiile legale necesare.

Aplicăm măsuri tehnice și organizatorice rezonabile:

• Controlul accesului și limitarea accesului intern
• Parole hash-uite
• HTTPS pentru toate comunicațiile
• Backup și logare
• Actualizări regulate
• Minimizarea datelor
• Ștergerea documentelor sensibile atunci când nu mai sunt necesare

Nicio măsură de securitate nu este absolută. Utilizatorii trebuie să păstreze confidențialitatea datelor de autentificare și să ne notifice imediat dacă suspectează acces neautorizat.

Definiție: Incidentul de securitate înseamnă orice eveniment care afectează confidențialitatea, integritatea sau disponibilitatea datelor ori a Platformei. Breșele de date personale includ accesul neautorizat, pierderea, divulgarea, modificarea sau distrugerea accidentală/ilegală a datelor personale.

Flux de răspuns:

1. Identificare și înregistrare incident
2. Limitare imediată: blocare conturi, rotire parole, izolarea sistemului
3. Evaluarea datelor afectate, numărului de persoane vizate și riscului
4. Decizie privind notificarea ANSPDCP în maximum 72 de ore, dacă este cazul
5. Notificarea persoanelor vizate dacă există risc ridicat pentru drepturile și libertățile lor
6. Remediere tehnică și măsuri de prevenire
7. Raport intern post-incident

Cookie-urile sunt fișiere mici sau tehnologii similare folosite pentru funcționarea site-ului, securitate, autentificare, preferințe, analiză trafic și, dacă va fi cazul, marketing.

Categorii:

• Strict necesare: autentificare, securitate, sesiune, consimțământ cookies. Nu necesită consimțământ.
• De preferințe: limbă, setări de afișare, filtre salvate. Pot necesita consimțământ.
• Analitice: măsurarea traficului și îmbunătățirea Platformei. Se folosesc doar cu consimțământ.
• De marketing: reclame, remarketing, pixeli social media. Se folosesc doar cu consimțământ expres.

La prima vizită, utilizatorul trebuie să poată accepta, respinge sau configura cookie-urile neesențiale. Refuzul trebuie să fie la fel de ușor ca acceptarea. Consimțământul este granular, documentat și revocabil.

Datele se păstrează numai cât este necesar pentru scopul pentru care au fost colectate, pentru îndeplinirea obligațiilor legale, pentru securitate, pentru soluționarea reclamațiilor și pentru apărarea drepturilor Operatorului.

Termene orientative:

• Date oficiale din profiluri generate automat: până la încetarea relevanței, eliminarea din sursa oficială sau admiterea unei cereri întemeiate
• Date suplimentare din profil revendicat: până la închiderea contului sau ștergerea de către ghid
• Dovezi de revendicare: strict cât este necesar verificării; documentele sensibile se șterg de regulă în 30–90 de zile după decizie, dacă nu există litigiu
• Recenzii: cât timp profilul și recenzia sunt active și relevante, cu drept de contestare
• Date facturare: conform legislației contabile și fiscale
• Loguri de securitate: de regulă 6–24 luni, în funcție de risc
• Cereri GDPR și reclamații: 3 ani sau durata necesară apărării drepturilor

ghizii.ro nu va trimite comunicări comerciale electronice nesolicitate către ghizi doar pentru că aceștia apar în registrul public. Emailul, SMS-ul, WhatsApp-ul sau alte mesaje electronice comerciale necesită consimțământ prealabil, cu excepțiile strict permise de lege.

Comunicări permise fără consimțământ de marketing:

• Mesaje strict necesare pentru cont, securitate sau plată
• Răspunsuri la cereri inițiate de persoană
• Informări legale privind cereri GDPR sau conținut raportat
• Notificări privind revendicarea profilului atunci când persoana a inițiat fluxul

Orice comunicare de marketing va include mecanism clar de dezabonare. Opoziția la marketing se aplică imediat și fără justificare.

Operatorul poate folosi instrumente AI pentru asistență internă, moderare preliminară, detectarea spamului, sugestii de structurare a profilului sau îmbunătățirea căutării.

Limite:

• Nu se vor inventa calificări, certificări sau experiențe ale ghizilor
• Nu se vor publica biografii generate automat ca și cum ar fi fost confirmate de ghid
• Conținutul AI cu impact reputațional trebuie verificat uman
• Ghidul trebuie să aprobe informațiile suplimentare de prezentare înainte de publicare pe profil revendicat

Platforma poate utiliza algoritmi pentru căutare, ranking, recomandări, detectarea spamului sau identificarea anomaliilor. Aceste mecanisme nu produc efecte juridice automate asupra ghizilor în sensul art. 22 GDPR, cu excepția cazului în care vom informa separat și vom implementa garanțiile legale necesare.

Scopul prelucrării: Crearea unui director independent al ghizilor de turism atestați din România, pe baza datelor profesionale publice, pentru informarea publicului și facilitarea verificării statutului profesional.

Interes legitim: Publicul are interesul de a verifica dacă un ghid este atestat; ghizii au interesul de a fi găsiți profesional; Operatorul are interesul de a dezvolta un serviciu informațional bazat pe date publice și pe profiluri revendicabile.

Necesitate: Scopul nu poate fi atins rezonabil fără afișarea numelui și a informațiilor minimale privind atestatul. Nu este necesară publicarea automată a CNP-ului, adresei, telefonului sau emailului personal.

Balanța drepturilor: Impactul asupra ghizilor este moderat, deoarece datele sunt profesionale și deja publice. Măsurile de reducere a impactului: informare clară, sursa și data actualizării, profil nerevendicat marcat corect, mecanism de rectificare, opoziție, noindex la cerere justificată.

Concluzie LIA: Interesul legitim este adecvat pentru profilul automat minimal. Nu este adecvat pentru publicarea automată de contacte private, date de identificare națională, fotografii sau biografii.

Dacă considerați că drepturile dumneavoastră au fost încălcate, puteți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP):

• Website: www.dataprotection.ro
• Email: anspdcp@dataprotection.ro

Încurajăm totuși transmiterea unei cereri către noi înainte, pentru a putea analiza și remedia rapid situația.