Notă de confidențialitate

1. Cine suntem

Operatorul datelor tale este Asociația Sportivă Alergători cu Jumătate de Normă, cu sediul în Str. Drumul cu Plopi nr. 116, Vila 35, Sc. B, Ap. 35, sat Sânpetru, com. Sânpetru, jud. Brașov, CIF 52207751 — „clubul” sau „noi”. Contact: brasovrunners@gmail.com.

Nu avem responsabil cu protecția datelor: art. 37 din Regulamentul (UE) 2016/679 (GDPR) nu îl cere unui club mic, fără monitorizare sistematică sau date speciale la scară largă.

2. Ce date păstrăm și de ce

Din formular: prenume și nume, data nașterii, sex, naționalitatea, țara în care locuiești și orașul, e-mail, telefon și limba formularului. Le folosim ca să organizăm evenimentul: locurile și lista de așteptare, mesajele despre înscriere și numărul de concurs (numele și e-mailul); categoria de vârstă și de sex și dacă un minor trebuie înscris de părinte (data nașterii și sexul); ca să te găsim în ziua cursei, dacă e nevoie (telefonul); ca să știm de unde vin participanții (naționalitatea, țara și orașul). Temei: art. 6(1)(b) GDPR — executarea înțelegerii de participare. Cele obligatorii sunt marcate în formular: fără ele nu te poți înscrie. Adresa de e-mail confirmată te identifică (fără cont sau parolă); o păstrăm și în formă canonică, ca nimeni să nu ocupe două locuri. Poți înscrie și pe altcineva — o familie — pe aceeași adresă, până la limita pe care o stabilește clubul: fiecare persoană rămâne o înscriere aparte, cu datele ei de mai sus, cu propria declarație și propriul loc. Dacă înscrii pe altcineva pe adresa ta, o faci cu știrea și acordul ei; datele ei le primim de la tine (art. 14(2)(f) GDPR). Mesajele care o privesc — confirmarea, declarația (copia semnată, cu seria și numărul actului ei de identitate), mementourile — le trimitem pe numele ei la adresa ta; primul dintre ele spune de unde avem datele și trimite la această notă (art. 14(3)(b) GDPR). Arată-i aceste mesaje. Consimțămintele — pentru nota de sănătate, pentru apariția pe lista publică și pentru Strava și Instagram — le poate da doar persoana însăși; pentru un minor, părintele sau tutorele. Cine înscrie un alt adult nu le poate da în locul lui, așa că pentru acea înscriere nu le cerem; declarația, cu afirmația despre sănătate, o semnează persoana însăși.

Persoana de contact pentru urgențe: îi păstrăm numele și telefonul, pe care ni le dai tu, doar ca s-o sunăm dacă ți se întâmplă ceva la eveniment — interesul legitim al tău și al clubului de a anunța pe cineva apropiat (art. 6(1)(f) GDPR) și, într-o urgență, interesul vital (art. 6(1)(d)). Spune-i că ne-ai dat datele ei; drepturile din secțiunea 8 sunt și ale ei. Le văd doar organizatorii și administratorii clubului, pe pagina înscrierii și pe fișa de urgență a evenimentului, și le ștergem la șapte zile după eveniment.

Opțional, același temei: mărimea de tricou, clubul, un nume de afișare și bifa prin care spui că ești membru al grupului — neverificate, fără efect asupra locului.

Nota de sănătate (alergie, afecțiune, medicament) este o categorie specială de date, pe care o păstrăm numai cu consimțământul tău explicit, bifat separat (art. 6(1)(a) și art. 9(2)(a) GDPR), doar ca organizatorii cursei să știe ce e de făcut dacă ai nevoie de ajutor în ziua cursei. Nu este niciodată obligatorie. O văd doar organizatorii, pe pagina înscrierii și pe fișa de urgență a evenimentului; nu apare în exportul listei de participanți, în e-mailuri sau în copiile trimise clubului (o primești doar tu, dacă ne ceri o copie a datelor tale). O retragi oricând din „Înscrierile mele”, fără să-ți pierzi locul.

Declarația că ești apt medical (bifa obligatorie din formular): păstrăm doar faptul că ai bifat-o și momentul, nicio informație medicală. Pentru că privește starea ta de sănătate, o tratăm ca dată privind sănătatea: o folosim pentru înscriere (art. 6(1)(b) GDPR) și o păstrăm ca dovadă că ai făcut-o, pentru constatarea, exercitarea sau apărarea unui drept în instanță (art. 6(1)(f) și art. 9(2)(f) GDPR). O văd doar organizatorii, pe pagina înscrierii și în exportul listei de participanți; o păstrăm cât înscrierea (secțiunea 7). La o înscriere făcută de echipă sau la standul din ziua cursei, afirmația stă în declarația pe hârtie.

Păstrăm și istoricul înscrierii (stările, momentele, cine a făcut-o), numărul de concurs și prezența la start: art. 6(1)(b) GDPR; după încheierea înscrierii, art. 6(1)(f), ca dovadă că locurile s-au dat corect. Locurile și lista de așteptare le gestionează platforma după regulile din termeni: acolo unde evenimentul oferă automat locurile eliberate, în ordinea confirmării adresei de e-mail; altfel, un organizator numește persoana căreia îi oferă locul, pe criterii obiective, iar platforma consemnează cine și când. Unele locuri sunt date în afara celor anunțate (organizatori, voluntari, pacemakeri, parteneri, sportivi invitați) și nu iau din ele. Un loc ținut și nesemnat la timp (100 de minute, sau până la termenul de confirmare dinaintea cursei când evenimentul are unul, ori 72 de ore pentru o ofertă de pe lista de așteptare) trece următorului de pe lista de așteptare — automat unde evenimentul oferă automat, altfel printr-un organizator. Nu facem profiluri. Pasul automat aplică aceeași regulă tuturor și nu îl considerăm o decizie cu efecte juridice sau la fel de importante în sensul art. 22 GDPR; un loc dat de un organizator este decizia unui om. Poți cere oricând ca un om din echipă să verifice ce s-a întâmplat cu locul tău. Organizatorii pot ține și note interne despre o înscriere, pentru organizarea evenimentului (art. 6(1)(f) GDPR); le văd doar organizatorii și administratorii clubului, nu și tu — în pagina de administrare și în exportul înscrierilor (Excel sau CSV) pe care îl descarcă — și se șterg odată cu înscrierea (secțiunea 7); fișierul exportat se șterge în termenele din aceeași secțiune. La o cerere de acces ți le dăm și pe ele (secțiunea 8).

Data nașterii ne arată și dacă ai vârsta minimă a evenimentului, acolo unde are una: se stabilește pentru fiecare eveniment, este afișată pe pagina lui și se socotește în ziua evenimentului; pe nimeni mai tânăr nu îl înscriem. Un minor (sub 18 ani la data înscrierii) este înscris de părinte sau de tutorele legal, cu datele copilului. Adresa de e-mail și telefonul din formular sunt de regulă ale părintelui, care primește astfel toate mesajele; păstrăm și numele părintelui, iar la semnare seria și numărul actului de identitate al părintelui sau tutorelui și, pentru un minor de cel puțin 14 ani, și al minorului, când declarația în vigoare îi cere și lui semnătura; părintele sau tutorele îl reprezintă pe copilul sub 14 ani și încuviințează actele celui între 14 și 18 ani (art. 41 alin. (2) și art. 43 alin. (2) din Codul civil), iar acordurile opționale pentru copil — nota de sănătate, lista publică — le dă tot el (art. 6(1)(a) și art. 9(2)(a) GDPR); kitul se ridică cu actul unuia dintre ei — temei art. 6(1)(b) GDPR, aceleași termene ca mai jos. Pentru un minor nu păstrăm Strava sau Instagram. Nu publicăm fotografii în care un copil apare în prim-plan, decât dacă părintele ne-o cere în scris (un e-mail ajunge); fotografiile de grup, în care copilul nu este subiectul, le publicăm ca pe celelalte (secțiunea 4).

Opțional: un link către profilul tău de Strava și numele tău de Instagram — ca să te urmărim și să te putem eticheta în postările clubului de pe acele platforme (eticheta e vizibilă acolo); pe site le publicăm doar dacă alegi asta (secțiunea 4) și nu le dăm nimănui. Temei: consimțământul tău (art. 6(1)(a) GDPR), pe care îl retragi oricând din „Înscrierile mele”, fără să-ți afecteze înscrierea.

Invitațiile clubului: prin „Invitații” din backoffice, un administrator al clubului poate trece numele și adresa ta de e-mail ca să-ți trimită o singură invitație personală la un eveniment, cu un loc păstrat pentru tine până la un termen. Temei: interesul legitim al clubului de a-și invita membrii, partenerii și oaspeții (art. 6(1)(f) GDPR). Păstrăm numele și adresa până când accepți invitația, clubul o retrage sau trece termenul; dacă o accepți, devin datele înscrierii tale și le păstrăm ca pe acestea, altfel le ștergem ca pe o înscriere a cărei adresă nu a fost confirmată (secțiunea 7).

3. Declarația și actul de identitate

Declarația pe proprie răspundere confirmă locul. Păstrăm numele scris ca semnătură, amprenta textului, momentul și felul semnării (e-mail sau hârtie, cu numele celui din echipă care a înregistrat-o). Dacă semnezi electronic, păstrăm împreună cu declarația semnată adresa IP și browserul din care semnezi, așa cum sunt în momentul semnării, ca dovadă a semnăturii, cât timp păstrăm declarația (secțiunea 7); la o semnătură pe hârtie nu păstrăm nimic de acest fel. Temei: art. 6(1)(b) GDPR; ca dovadă după eveniment, art. 6(1)(f). Declarația cuprinde și afirmația ta că starea de sănătate îți permite efortul; o tratăm ca dată privind sănătatea și o păstrăm doar ca dovadă, pentru constatarea, exercitarea sau apărarea unui drept în instanță (art. 9(2)(f) GDPR), cât declarația (secțiunea 7). Nu îți cerem și nu păstrăm niciun document medical.

Este o semnătură electronică simplă în sensul Regulamentului (UE) nr. 910/2014 (eIDAS) și al Legii nr. 214/2024, căreia nu i se poate refuza efectul juridic doar pentru că este electronică (art. 25(1) eIDAS).

Dacă declarația o cere, îți cerem seria și numărul actului de identitate (pentru un minor, pe ale părintelui sau tutorelui și, de la 14 ani, când declarația o cere, și pe ale minorului), niciodată o copie, doar ca declarația să te numească fără echivoc și ca să îți predăm kitul: art. 6(1)(b) GDPR, nu interes legitim, fiind un număr de identificare național (art. 2 alin. (2) lit. b) din Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679). Fără ele nu poți semna declarația, iar fără declarație locul nu se confirmă. Le văd doar oamenii clubului care au nevoie de ele: voluntarii de la masa de ridicare a kitului, pentru înscrierea pe care o au în față, iar organizatorii și administratorii clubului și pe pagina înscrierii și în lista de participanți exportată (ștearsă în termenul din secțiunea 7); în copiile declarației trimise clubului pe e-mail apar mascate (rămân cel mult primele două și ultimele două caractere), iar din baza de date le ștergem la șapte zile după eveniment.

Pe o alergare de grup poți semna, dacă vrei, o declarație pe propria răspundere, pe pagina alergării; nu te înscrie nicăieri și nu e o condiție ca să alergi cu noi. Păstrăm numele scris ca semnătură, adresa de e-mail la care îți trimitem copia, amprenta textului și momentul semnării, împreună cu adresa IP și browserul din care semnezi, ca dovadă a semnăturii; tu și clubul primiți câte o copie pe e-mail. O semnezi o singură dată pentru o alergare care se repetă, când textul declarației prevede asta: acoperă atunci fiecare dată a ei, până când o retragi sau este înlocuită cu o versiune nouă. Dacă o semnezi din nou pe același text, nu păstrăm a doua: îți retrimitem copia. Pe o versiune nouă a textului, cea nouă e în vigoare, iar pe cea veche o păstrăm ca dovadă a ce ai acceptat atunci, până când ne ceri să o ștergem (secțiunea 8). Dacă alergarea are o vârstă minimă peste 18 ani, îți cerem și data nașterii, doar ca să o verificăm; nu o păstrăm (după o semnare refuzată, rămâne cel mult zece minute, criptată, în browserul tău, ca să nu o scrii din nou). Dacă un părinte sau tutore legal semnează pentru un minor, păstrăm pe același rând și numele minorului, scris de el ca semnătură, lângă al părintelui; data nașterii minorului o cerem doar ca să verificăm vârsta minimă a alergării și nu o păstrăm. Temei: interesul nostru legitim de a putea dovedi că ai fost informat/ă despre riscurile alergării și că le-ai acceptat (art. 6(1)(f) GDPR), iar pentru afirmația despre sănătate, constatarea, exercitarea sau apărarea unui drept în instanță (art. 9(2)(f) GDPR); semnarea este voluntară și te poți opune oricând (secțiunea 8). O păstrăm cât timp este necesară pentru participarea ta la alergările la care se aplică. Dacă ne ceri să o retragem (secțiunea 8), nu o mai folosim pentru alergările următoare; o copie o putem păstra și după aceea, doar cât este necesar pentru constatarea, exercitarea sau apărarea unui drept în instanță, ținând seama de termenul general de prescripție de trei ani, apoi o ștergem.

4. Lista publică, rezultatele, fotografiile

Lista publică de participanți, oprită la fiecare eveniment până când clubul o pornește, arată doar numele (sau numele de afișare) și clubul celor care au bifat „vreau să apar pe lista de participanți & rezultate” la înscriere (și numărul de concurs al celor confirmați și, dacă au ales asta, Strava și Instagram — mai jos), cel mult 30 de zile după eveniment, apoi lista se închide singură — consimțământ, art. 6(1)(a) GDPR, pe care îl retragi oricând din „Înscrierile mele” sau din legătura din emailul de confirmare; fără bifă nu apari.

Lângă fiecare nume apare stadiul înscrierii: „Confirmat”, „Înscris, în așteptarea confirmării” sau „Pe lista de așteptare”. Pe listă sunt cei confirmați, cei cu adresa confirmată și declarația încă nesemnată și cei de pe lista de așteptare, în ordine, fără loc numerotat. O înscriere cu adresa neconfirmată, anulată, expirată sau ștearsă nu apare; confirmații fără bifă sunt doar numărați. Dacă te-ai înscris sub o versiune mai veche a acestei note, care nu descria stadiile, apari pe listă, ca până acum, doar după ce îți confirmi locul.

Lângă numele fiecărui participant confirmat apare și „numărul de concurs” — cel pe care îl poartă în cursă. Un participant confirmat care nu are încă număr apare fără el. Cei care nu și-au confirmat încă locul, cei de pe lista de așteptare și cei care nu apar cu numele nu au număr pe listă. Numărul face parte din apariția ta pe listă: îl retragi odată cu ea.

Lângă numele tău, lista arată și linkul de Strava și numele de Instagram pe care le-ai trecut în formular, fiecare cu legătura spre profilul tău, doar dacă ai bifat și „Arată și Strava și Instagram lângă numele meu pe listă” — un consimțământ separat (art. 6(1)(a) GDPR), care nu schimbă nimic altceva la înscriere. Fără bifă, sau dacă nu apari pe listă, nu apar. Pentru un minor nu apar niciodată, pentru că nu le păstrăm. Le retragi oricând din „Înscrierile mele”, ștergând Strava și Instagram sau ieșind de pe listă; dispar de pe listă imediat.

Clasamentul unei curse („Clasament” pe pagina evenimentului) apare doar după cursă, doar la cursa respectivă și doar dacă un administrator al clubului îl publică. Pentru fiecare alergător arată locul (în total, după sex și în categoria lui), numărul de concurs, timpul, dacă a terminat, a abandonat, nu a luat startul sau a fost descalificat, și categoria — sexul și grupa de vârstă din ziua cursei. Timpii îi scrie clubul, din cronometrarea cursei.

Numele (sau numele de afișare) apare în clasament doar la cei care au bifat „vreau să apar pe lista de participanți & rezultate” la înscriere — o singură bifă pentru listă și pentru rezultate, pe care o retragi la fel, din „Înscrierile mele” sau din legătura din emailul de confirmare, iar numele dispare atunci și din clasament (consimțământ, art. 6(1)(a) GDPR). Ceilalți apar ca „Participant #numărul de concurs”, cu loc, timp și categorie, dar fără nume (interes legitim, art. 6(1)(f) GDPR: a arăta cum s-a desfășurat cursa). Un alergător care nu s-a înscris și al cărui timp l-au scris organizatorii de mână apare cu numele doar dacă le-a spus că vrea (pentru un minor, le spune părintele sau tutorele); altfel apare ca „Participant #numărul de concurs”. Organizatorii notează în jurnal acordul, cine l-a notat și când. Alergătorul (pentru un minor, părintele sau tutorele) își poate retrage acordul oricând, scriindu-ne, iar numele dispare atunci din clasament (consimțământ, art. 6(1)(a) GDPR). Dacă te-ai înscris sub o versiune mai veche a acestei note, care nu descria clasamentul, apari în el doar cu numărul, ca „Participant #numărul de concurs”, chiar dacă ai bifat. Clasamentul se închide singur odată cu lista publică, în același termen. În baza noastră, rezultatele rămân cât păstrăm înscrierile cursei (secțiunea 7); numele scris de club pentru un alergător neînscris dispare în același termen.

Răspunsul „Vin!” de pe pagina unui eveniment la care nu e nevoie de înscriere (de exemplu o alergare de grup) arată public câți au spus că vin și, pe rânduri, numele doar al celor care au bifat „Vreau să apar cu numele”; ceilalți sunt doar numărați, fără nume. Fără bifă nu apare nimic despre tine în afară de numărul total. Temei pentru nume: consimțământul tău (art. 6(1)(a) GDPR), pe care îl retragi oricând, debifând numele din browserul recunoscut, din zona membrilor sau pe pagina linkului „Nu mai vin” din emailul primit, sau scriindu-ne la brasovrunners@gmail.com. Debifat, numele rămâne în răspuns, dar nu mai apare public; îl poți bifa din nou. Dacă ai bifat că ești membru al grupului, sau ai răspuns din zona membrilor cu contul tău de membru, lângă numele afișat apare semnul „BVR”, iar numărul membrilor care vin apare și el, fără nume. Fără un nume afișat nu apare niciun semn. Temei pentru semn: consimțământul tău (art. 6(1)(a) GDPR) — bifa de membru sau, pentru un răspuns dat din cont, bifa numelui. Bifa de membru este declarația ta și clubul nu o verifică; o scoți din browserul recunoscut sau de pe pagina linkului „Nu mai vin”, iar semnul pus din cont nu mai apare când debifezi numele și se șterge odată cu răspunsul, dacă îl iei înapoi; semnul apare doar la răspunsurile date sau schimbate după ce această frază a intrat în vigoare. Un răspuns nu e o înscriere: nu ține un loc și nu semnează nicio declarație.

Fotografiile și filmările de la evenimente, publicate în galerie și pe canalele clubului: interes legitim (art. 6(1)(f) GDPR) — a arăta evenimentele clubului; spațiu public, fără nume, fără EXIF. Un portret îl publicăm doar cu acordul tău (Codul civil, art. 73–75). Spune-ne care și o scoatem în cel mult o lună, fără motiv.

Pagina „Echipa” de pe site îi prezintă pe oamenii din echipa clubului și pe voluntarii care au fost de acord să apară: numele, ce fac în club, câteva cuvinte despre ei, o fotografie și, dacă vor, o legătură către un profil public al lor. Temei: acordul fiecăruia (art. 6(1)(a) GDPR; Codul civil, art. 73–75), pe care îl poate retrage oricând, scriindu-ne: cardul lui este scos de pe site fără întârziere și fără să ceară un motiv, iar fotografia se șterge.

5. E-mailurile

Trimitem doar mesaje despre înscrierea ta: confirmări, legături, lista de așteptare, un memento cu 2 zile înainte (sau cât alege evenimentul) și cel mult o mulțumire după cursă, despre acel eveniment, precum și anunțurile organizatorilor despre evenimentul la care te-ai înscris — o schimbare de loc sau de oră, o anulare ori un mesaj scris de ei, de exemplu despre vreme — nu comunicări comerciale în sensul Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice (art. 12); marketing, doar cu consimțământ separat. Temei: art. 6(1)(b) GDPR. Din fiecare mesaj păstrăm adresa, datele lui și starea trimiterii, nu textul — în afară de cuvintele scrise de organizatori într-un anunț, aceleași pentru toți; legăturile, doar ca amprentă.

„Anunță-mă când se deschid înscrierile”: dacă lași adresa ta pe pagina unui eveniment înainte să se deschidă înscrierile, îți trimitem un singur e-mail, la scurt timp după ce se deschid, cu legătura către formular. Adresa o păstrăm în lista de anunțare doar până la trimiterea acelui mesaj și o ștergem din listă odată cu el (mesajul însuși păstrează adresa ca orice alt mesaj, vezi mai sus) — sau fără mesaj, dacă evenimentul e anulat ori înscrierile nu se mai deschid pe site. Temei: consimțământul tău (art. 6(1)(a) GDPR), pe care îl poți retrage oricând înainte de trimitere, scriindu-ne la brasovrunners@gmail.com.

Răspunsul „Vin!”: dacă scrii o adresă de e-mail la „Vin!” pe pagina unui eveniment, păstrăm adresa, numele (dacă l-ai scris), dacă ai bifat că vrei să apari cu numele, dacă ai bifat că ești membru al grupului (sau dacă ai răspuns din contul de membru), limba paginii, versiunea acestei note și momentul răspunsului, și îți trimitem un singur mesaj (cel mult unul la zece minute pentru aceeași adresă și același eveniment) cu două butoane: „Da, vin”, care te numără, și „Nu vin”, care îți șterge răspunsul. Dacă ceri de pe pagină să nu mai vii, îți trimitem doar linkul de retragere. Fără „Da, vin” nu ești numărat, iar un răspuns neconfirmat se șterge după 7 zile; linkurile sunt valabile doar pentru tine și se folosesc o singură dată: „Da, vin” merge 48 de ore (cel târziu până la începutul evenimentului), „Nu vin”, până la începutul evenimentului. Temei: cererea ta de a fi numărat și interesul legitim al clubului de a ști câți vin (art. 6(1)(f) GDPR), iar pentru nume, consimțământul de mai sus. Dacă ești abonat la „Întrebarea «Vii?» înaintea alergărilor” (sau la toate temele newsletterului), înainte de eveniment (cu cel mult o săptămână, de la ora aleasă de club) îți trimitem automat întrebarea „Vii?”, cu butoanele „Vin” și „Nu vin”. Când o trimitem, scriem adresa ta din lista abonaților ca răspuns neconfirmat la acel eveniment: nu te numără și nu apare în lista răspunsurilor; îl vede doar un administrator al clubului, în datele tale. „Vin” deschide o pagină unde „Da, vin” te numără, fără să ceară alt e-mail. „Nu vin” îl șterge pe loc, iar dacă nu apeși nimic îl ștergem după 7 zile. Temei: consimțământul tău dat prin abonare (art. 6(1)(a) GDPR). Dacă ai răspuns „Vin!” la un eveniment anterior din aceeași serie (de exemplu o alergare săptămânală) și clubul a ales să întrebe și pe cei care au răspuns, îți putem trimite aceeași întrebare, la adresa acelui răspuns, cât timp răspunsul se păstrează (30 de zile de la eveniment) și doar dacă l-ai dat după ce această frază a intrat în vigoare. Fiecare astfel de mesaj are butonul „Nu mă mai întreba la seria aceasta”: o singură apăsare, iar pentru seria aceea nu te mai întrebăm niciodată. Ca să respectăm refuzul păstrăm doar adresa ta, în forma ei canonică, și seria (tipul și titlul evenimentului), nimic altceva, cât timp seria există și un an după ultima ei dată. Temei: interesul legitim al clubului de a ști câți vin la o serie la care ai răspuns deja (art. 6(1)(f) GDPR), cu dreptul tău de a te opune oricând: prin acel buton, care rămâne valabil și după eveniment, sau scriindu-ne (secțiunea 8). Dacă un browser a fost recunoscut prin „Da, vin” sau „Nu mai vin” (secțiunea 10), la alt eveniment răspunsul e o singură apăsare, fără mesaj: adresa a fost dovedită deja. Dacă ești membru și ai intrat în zona membrilor, la „Alergări” răspunsul e o singură apăsare, cu adresa contului tău, fără mesaj; numele din cont apare doar dacă bifezi „Vreau să apar cu numele”.

Noutățile clubului (newsletter): dacă te abonezi de pe pagina de contact, păstrăm adresa ta de e-mail, limba paginii, temele pe care le alegi dintre „Toate noutățile”, „Evenimente mari”, „Testări de încălțăminte”, „Evenimente speciale”, „Alergările săptămânale”, „Voluntariat” și „Rezultate și poze”, momentul abonării și versiunea acestei note pe care ai avut-o în față, ca să îți trimitem doar ce ai ales — mesajele scrise de club despre acele teme și, pentru evenimentele noi, câte un anunț automat când un eveniment apare în calendar și, dacă alegi „Întrebarea «Vii?» înaintea alergărilor” (sau toate temele), cu cel mult o săptămână înainte de un eveniment la care clubul numără cine vine, încă un mesaj automat, care te întreabă dacă vii (vezi răspunsul „Vin!”, mai sus). Abonarea începe numai după ce apeși linkul pe care ți-l trimitem pe e-mail; o adresă neconfirmată o ștergem când linkul expiră, la 48 de ore de la ultima cerere, fără să îi mai scriem. Temei: consimțământul tău (art. 6(1)(a) GDPR; art. 12 din Legea nr. 506/2004). Îți schimbi temele sau te dezabonezi oricând, din linkul din fiecare mesaj ori scriindu-ne la brasovrunners@gmail.com, fără nicio consecință; la dezabonare îți ștergem adresa din listă pe loc. Lista abonaților, cu adresele lor, o văd doar organizatorii și administratorii clubului, în partea de administrare a site-ului, de unde o pot și descărca. Din fiecare mesaj trimis păstrăm ce spune primul paragraf al acestei secțiuni; textul newsletterului îl păstrăm ca publicație a clubului, fără adresele celor care l-au primit.

Oferte și beneficii: doar dacă bifezi „Vreau să primesc oferte și beneficii de la Brașov Runners și partenerii săi.” — la înscriere, când îți semnezi declarația sau mai târziu, din pagina înscrierii tale. Bifa e opțională, nu e bifată dinainte și nu schimbă nimic la înscriere; răspunsul îl dai pentru fiecare înscriere în parte. Cu ea îți trimitem, la adresa de e-mail a înscrierii, oferte și beneficii de la club și de la partenerii săi — sponsori, magazine, partenerii evenimentelor. Păstrăm răspunsul tău și momentul în care l-ai dat sau schimbat. Pentru altă persoană adultă înscrisă pe adresa ta, bifa o dă numai ea, când își semnează declarația sau din legătura înscrierii ei. Temei: consimțământul tău (art. 6(1)(a) GDPR; art. 12 din Legea nr. 506/2004). Îl retragi oricând, fără nicio consecință pentru înscriere, din pagina înscrierii tale sau din „Înscrierile mele”, ori scriindu-ne la brasovrunners@gmail.com. E separat de newsletter: dezabonarea de la unul nu te scoate din celălalt. Lista celor care au bifat, cu adresele lor, o văd doar organizatorii și administratorii clubului, în partea de administrare a site-ului, de unde o pot și descărca.

Lista pentru parteneri: cu aceeași bifă, clubul le poate da partenerilor săi — sponsorilor clubului și partenerilor evenimentelor — prenumele, numele și adresa ta de e-mail, ca să îți trimită ei înșiși ofertele și beneficiile lor. Nimic altceva: nici data nașterii, nici telefonul, nici alte date ale înscrierii. Nu vindem lista. Datele unui minor nu le dăm niciodată unui partener: lista îi cuprinde doar pe participanții care au împlinit 18 ani în ziua în care e făcută. Acordul tău acoperă și mesajele clubului, și pe ale partenerilor; partenerul care primește datele le folosește ca operator separat, doar pentru ofertele lui, după propria notă de informare, și îi poți cere și lui direct să nu îți mai scrie. Clubul dă lista doar cu acordurile date sub o versiune a acestei note care spune asta. Dacă îți retragi acordul, nu îți mai dăm datele niciunui partener de atunci înainte, iar partenerilor care le-au primit deja le cerem să nu îți mai scrie și să îți șteargă datele. Temei: consimțământul tău (art. 6(1)(a) GDPR; art. 12 din Legea nr. 506/2004). La cerere îți spunem căror parteneri ți-am dat datele (art. 15 și art. 19 GDPR): pentru fiecare listă, clubul păstrează cui a dat-o și ce înscrieri a cuprins. Pentru ce face un partener cu datele tale te poți plânge oricând la ANSPDCP (secțiunea 9).

Formularul de contact („Scrie-ne”): ia numele, adresa de e-mail și mesajul tău, împreună cu limba și pagina de pe care ai scris, și le trimite ca un e-mail în căsuța clubului, prin Gmail-ul clubului sau prin serviciul de e-mail al clubului (Mailgun, regiunea UE), după cum alege clubul, iar dacă drumul ales nu merge, prin celălalt (secțiunea 6); în căsuța clubului le păstrăm cel mult 12 luni de la ultimul mesaj al conversației. Platforma ține mesajul doar până pleacă — de obicei câteva secunde, cel mult trei zile dacă niciun serviciu de e-mail nu merge — și apoi îl șterge. Le folosim doar ca să-ți răspundem — pentru nimic altceva. Temei: interesul nostru legitim de a răspunde la ceea ce ne-ai întrebat (art. 6(1)(f) GDPR). Formularul are aceleași apărări anti-roboți ca cel de înscriere (secțiunea 10).

Formularele „Spune-ne ceva” de pe pagina de contact — cum a fost la un eveniment, o sugestie, o reclamație și formularul confidențial „Girl Zone” — sunt anonime, dacă nu alegi tu altfel: fiecare formular începe cu alegerea de a scrie anonim sau „Cu nume și prenume”. Anonim, nu îți cerem nici numele, nici un contact, iar dacă le-ai scris totuși, nu le trimitem: nu știm cine a scris. Cu numele, ni-l trimiți odată cu mesajul, împreună cu un e-mail (opțional) sau un telefon, dacă vrei să-ți răspundem (e-mailul devine adresa de răspuns a mesajului, și se șterge odată cu el), și alegi tu cine află: clubul sau persoana desemnată de club pentru siguranță. Ce completezi pleacă pe loc ca un e-mail; platforma ține mesajul doar până pleacă — de obicei câteva secunde, cel mult trei zile dacă niciun serviciu de e-mail nu merge — și apoi îl șterge. Un mesaj anonim ajunge în căsuța clubului (prin Gmail sau Mailgun, după cum alege clubul pentru formular, iar dacă serviciul ales nu merge, prin celălalt; secțiunea 6), iar unul din formularul „Girl Zone” doar la adresa proprie a persoanei desemnate de club pentru asta; un mesaj cu numele ajunge la cine ai ales. La club, mesajele ajung în căsuța lui; la persoana desemnată, doar la adresa ei proprie, prin serviciul de e-mail al clubului (Mailgun, regiunea UE), fără să treacă prin căsuța clubului — afară de cazul în care clubul alege, pentru mesajele ei, Gmail-ul clubului (secțiunea 6): atunci mesajul pleacă din căsuța clubului și rămâne în folderul ei Trimise, pe care îl văd cei care o citesc. Același drum îl poate lua mesajul ei și când Mailgun nu funcționează, dacă clubul a ales asta pentru ea. Le păstrăm ca pe orice corespondență, cel mult 12 luni, iar un mesaj din formularul „Girl Zone” doar cât e nevoie ca să rezolvăm ce semnalează. Un mesaj poate numi o altă persoană: îl tratăm confidențial și îl folosim doar ca să rezolvăm situația. Temei: interesul nostru legitim de a afla cum se simt cei care aleargă cu noi și de a ține evenimentele sigure (art. 6(1)(f) GDPR). Formularele au aceleași apărări anti-roboți ca formularul de contact (secțiunea 10).

Magazinul membrilor („Magazinul clubului”): în zona membrilor, un membru cu cont poate comanda produse ale clubului (tricouri, buff-uri, autocolante). Pentru o comandă păstrăm contul tău de membru și numele tău, produsul, varianta, cantitatea, prețul, nota pe care o scrii, dacă scrii una, starea comenzii și momentele ei; adresa de e-mail o luăm din contul tău, ca să îți confirmăm comanda și să îți spunem când e plătită, iar dacă clubul a ales o adresă pentru comenzi, îi trimitem acolo un e-mail despre fiecare comandă. Temei: executarea comenzii pe care ai făcut-o (art. 6(1)(b) GDPR) și, pentru ce trebuie păstrat ca evidență contabilă, obligația legală a clubului (art. 6(1)(c) GDPR). Plata nu se face pe site: plătești prin transfer bancar sau în numerar, cum spune clubul la fiecare comandă, iar platforma nu primește, nu păstrează și nu prelucrează date de card. Păstrăm comanda până o primești, apoi cât cere legea pentru evidențele contabile; dacă îți ștergem contul de membru, comanda rămâne cu numele tău, fără adresă. Comenzile le văd doar organizatorii și administratorii clubului.

Voluntari („Vreau să fiu voluntar”): dacă te oferi voluntar la un eveniment, de pe pagina lui, sau dacă un organizator te trece pe lista voluntarilor evenimentului, păstrăm numele tău, adresa de e-mail, numărul de telefon, rolurile pe care le-ai bifat și rolul sau rolurile pe care ți le dau organizatorii, mesajul scurt pe care îl scrii, dacă scrii unul, starea ofertei (înscris, confirmat sau anulat), momentul ei și, pentru o ofertă făcută pe site, versiunea acestei note pe care ai avut-o în față; organizatorii mai pot adăuga o notă a lor despre ofertă. Păstrăm și acceptarea contractului de voluntariat („Contract de voluntariat”) — versiunea lui, momentul, felul (în formular, din legătura primită pe e-mail sau pe hârtie, la organizatori) și amprenta textului acceptat; dacă accepți electronic, în formular sau din legătura primită pe e-mail, păstrăm și adresa IP și browserul din care accepți, ca dovadă a acceptării — și declarația că ai vârsta minimă cerută de contract. Dacă formularul cere și casetele „Data nașterii”, „Sex”, „Orașul”, „Am mai fost voluntar în trecut la alte curse”, păstrăm răspunsurile tale la ele, sau pe cele pe care organizatorii le notează pentru tine când te trec ei pe listă: data nașterii (din care calculăm vârsta ta în ziua evenimentului; ține loc de declarația de vârstă), sexul, orașul, dacă ai mai fost voluntar la alte curse, dacă spui că faci parte din grupul clubului și, doar cât timp clubul dă tricouri voluntarilor, mărimea tricoului; sunt răspunsurile tale și nu le verificăm, iar organizatorii le folosesc doar ca să repartizeze voluntarii pe roluri și să pregătească evenimentul, nu pentru altceva. Dacă ești minor și ai vârsta minimă cerută de contract, poți fi voluntar numai cu acordul unui părinte sau tutore: formularul cere atunci și casetele „Numele părintelui sau tutorelui”, „Emailul părintelui sau tutorelui”, iar noi păstrăm numele și adresa de e-mail ale părintelui sau tutorelui tău, cât timp păstrăm oferta ta, ca să îi cerem acordul — primește un e-mail cu o legătură de unică folosință prin care citește contractul și îl acceptă în nume propriu (numele pe care îl scrie, momentul, versiunea, amprenta textului acceptat și adresa IP și browserul din care acceptă), sau îl semnează pe hârtie, la organizatori — și până atunci organizatorii nu te pot confirma; organizatorii folosesc aceste date doar pentru acest acord. Pentru datele părintelui sau tutorelui temeiul este interesul legitim al clubului de a primi voluntari minori numai cu acordul părintelui sau tutorelui (art. 6(1)(f) GDPR), iar pentru acceptarea contractului de către el, încheierea și executarea lui (art. 6(1)(b) GDPR). Scop: să organizăm ajutorul la eveniment și să te contactăm despre el. După ce trimiți oferta primești un e-mail de primire, cu contractul acceptat atașat și fără nicio legătură care să facă ceva, iar organizatorii primesc un e-mail că te-ai oferit, fără adresa și telefonul tău; când organizatorii îți dau un rol sau îți schimbă rolurile, primești un e-mail scurt care le numește; dacă te-a trecut un organizator, poți primi un e-mail cu o legătură de unică folosință prin care accepți contractul. Temei: consimțământul tău, dat prin bifa din formular (art. 6(1)(a) GDPR), pe care îl poți retrage oricând scriindu-ne, iar pentru o persoană trecută de un organizator, interesul legitim al clubului de a organiza evenimentul cu cei care i-au oferit sau i-au acceptat ajutorul (art. 6(1)(f) GDPR); acceptarea contractului o păstrăm pentru încheierea și executarea lui (art. 6(1)(b) GDPR). Dacă organizatorii te invită cu adresa ta de e-mail, la un eveniment cu voluntari doar pe invitație, păstrăm adresa la care a plecat invitația, mesajul organizatorilor, în română și în engleză, dacă scriu unul, momentul trimiterii și dacă invitația a fost folosită sau retrasă; temeiul este interesul legitim al clubului de a-și invita voluntarii (art. 6(1)(f) GDPR), iar adresa o au organizatorii de la tine sau din contactele clubului; primești un e-mail cu o legătură de unică folosință către formular, iar adresa din formular rămâne cea a invitației; le ștergem odată cu oferta, la 30 de zile după începutul evenimentului (secțiunea 7). La un eveniment cu voluntari doar dintre membri, formularul îți completează numele și adresa din contul tău de membru. Lista publică a voluntarilor: dacă evenimentul are lista voluntarilor publică și ai bifat „Vreau să apar pe lista publică a voluntarilor” — în formular, sau la un organizator care a trecut bifa pentru tine —, pagina evenimentului arată numele tău și rolul sau rolurile pe care ți le dau organizatorii, nimic altceva, după ce organizatorii te confirmă și până se șterge oferta ta (la 30 de zile după începutul evenimentului, secțiunea 7); pe voluntarii care nu au bifat și pe cei minori îi numără, fără nume. Temei: consimțământul tău, dat prin această bifă (art. 6(1)(a) GDPR), pe care îl poți retrage oricând scriindu-ne; numele tău dispare atunci de pe pagină. Oferta nu este o înscriere la cursă, nu ține loc și nu apare pe lista publică a participanților. Lista completă a voluntarilor, cu adresa și telefonul, o văd doar organizatorii și administratorii clubului. Formularul are aceleași apărări anti-roboți ca cel de înscriere (secțiunea 10).

6. Cine mai vede datele

Le prelucrează în numele nostru, ca persoane împuternicite, pe bază de contract (art. 28 GDPR): Vercel Inc. — găzduirea site-ului (funcțiile în Frankfurt; cererile trec prin rețeaua globală Vercel); Neon, Inc. (grupul Databricks) — baza de date, Frankfurt; Mailgun Technologies, Inc. (grupul Sinch) — trimiterea e-mailurilor, regiunea UE; Cloudflare, Inc. — stocarea fotografiilor (într-o locație preferată din Europa, livrate prin rețeaua globală Cloudflare) și verificarea anti-roboți Turnstile, prin rețeaua globală Cloudflare (secțiunea 10); Zitadel, furnizor din Elveția (instanța din regiunea UE) — conturile de autentificare ale echipei și ale membrilor clubului, fără date ale participanților; Elveția are o decizie de adecvare a Comisiei Europene (art. 45 GDPR).

Căsuța de e-mail a clubului este un cont Gmail (Google). În ea ajung mesajele trimise la brasovrunners@gmail.com și prin formularul de contact, precum și copiile de mai jos; unele pot fi redirecționate către căsuțele organizatorilor. Pentru un cont Gmail obișnuit, Google prelucrează datele și după propriile reguli, nu doar în numele nostru.

Când furnizorul nostru de e-mail (Mailgun) refuză sau amână trimiterea — o pauză cerută de el sau limita lui epuizată —, un mesaj al platformei către tine poate pleca, până își reia el trimiterea, prin căsuța Gmail a clubului (Google Ireland Ltd.), cu același conținut și aceleași date, pentru același scop și pe același temei ca mesajul însuși (secțiunea 5): ca un mesaj despre înscrierea ta să nu se piardă și să nu întârzie. Clubul pornește sau oprește această cale din setarea „Gmail preia când Mailgun se oprește”.

Copii în căsuțele clubului. Când semnezi declarația, o copie PDF a ei — cu numele tău și evenimentul, iar seria și numărul actului de identitate mascate (rămân cel mult primele două și ultimele două caractere) — ajunge în căsuța de arhivă a clubului și la cel mult câteva adrese ale organizatorilor, alese de club. Clubul primește și un mesaj scurt când îți confirmi locul (numele, evenimentul, numărul de concurs) și poate primi o copie a e-mailurilor pe care ți le trimitem despre înscriere, fără legăturile personale și fără atașamente. Temei: interesul nostru legitim de a avea declarațiile și confirmările la îndemână în ziua cursei și ca dovadă după ea (art. 6(1)(f) GDPR). Le ștergem la trei ani de la eveniment.

Fotografiile publicate pe Facebook, Instagram (Meta) sau Strava ajung la acele platforme, care le prelucrează după propriile reguli. Datele mai pot ajunge la autorități, când legea o cere, și la un avocat, la o pretenție. Nu le vindem și nu le dăm nimănui altcuiva, cu o singură excepție: dacă ai bifat ofertele și beneficiile, partenerilor clubului — sponsorii clubului și partenerii evenimentelor — le putem da prenumele, numele și adresa ta de e-mail, ca să îți trimită ofertele lor; ei le folosesc ca operatori separați (secțiunea 5).

Baza de date, funcțiile site-ului și trimiterea e-mailurilor sunt în UE (Frankfurt; regiunea UE a Mailgun). Rețelele globale ale Vercel și Cloudflare și căsuța de e-mail a clubului pot prelucra date și în afara UE, iar Vercel, Neon, Mailgun, Cloudflare și Google sunt sau aparțin unor companii din SUA și pot accesa datele de acolo. Temei de transfer: clauzele contractuale standard ale Comisiei Europene din contractul de prelucrare al fiecăruia (art. 46(2)(c) GDPR) și, pentru furnizorii certificați, Cadrul UE–SUA de protecție a datelor (art. 45 GDPR). La cerere îți trimitem lista furnizorilor, cu temeiul fiecăruia, și o copie a clauzelor.

7. Cât timp păstrăm datele

Înscrierile și declarațiile semnate pentru un eveniment cu înscriere: trei ani de la eveniment (termenul general de prescripție, art. 2517 din Codul civil); cele electronice se șterg automat, cele pe hârtie le distruge clubul la același termen, după ce, în cel mult șapte zile de la eveniment, a acoperit pe ele seria și numărul actelor de identitate. O înscriere a cărei adresă de e-mail nu a fost confirmată: 30 de zile. Seria și numărul actului de identitate, nota de sănătate și persoana de contact pentru urgențe: șapte zile de la eveniment (nota, mai devreme, dacă îți retragi consimțământul). O declarație semnată pe o alergare de grup: cât timp este necesară pentru alergările la care se aplică; după ce ne ceri să o retragem, nu mai este folosită pentru alergările următoare. O copie poate fi păstrată și după aceea, pe durata necesară constatării, exercitării sau apărării unor drepturi, inclusiv ținând seama de termenul general de prescripție de trei ani prevăzut de art. 2517 din Codul civil. Dacă există o reclamație, un litigiu sau o procedură în curs, documentul poate fi păstrat până la soluționarea definitivă a acesteia. Datele tale de participant (numele și adresa de e-mail): odată cu ultima ta înscriere. Copiile din căsuța clubului (secțiunea 6): trei ani de la eveniment. Mesajele din formularul de contact: 12 luni de la ultimul mesaj al conversației. Adresa abonată la newsletter: până te dezabonezi; neconfirmată, 48 de ore de la ultima cerere. Acordul pentru oferte și beneficii: până îl retragi, dar nu mai mult decât înscrierea. Lista dată partenerilor: copia clubului, ștearsă în cel mult 30 de zile de la descărcare; la partener, cât spune nota lui de informare, iar când îți retragi acordul îi cerem să îți șteargă datele; cui am dat-o și ce înscrieri a cuprins rămân în jurnalul echipei, fără fișier. Listele exportate și fișierele descărcate care conțin seria și numărul actelor de identitate: șterse în cel mult șapte zile de la eveniment; celelalte liste exportate și foile tipărite pentru ziua cursei: distruse în cel mult 30 de zile de la eveniment. Evidența e-mailurilor trimise: 90 de zile; un mesaj nelivrat, cât înscrierea, sau 90 de zile dacă nu ține de o înscriere. Legăturile folosite sau expirate: 30 de zile. Contoarele anti-abuz: o zi. Jurnalul echipei (art. 5(2) GDPR): trei ani, fără identitatea unei persoane șterse. Versiunea notei și consimțămintele: cât înscrierea (art. 7(1) GDPR). Copiile de siguranță ale bazei de date: încă cel mult șapte zile după o ștergere. Jurnalele furnizorilor: găzduirea, cel mult o oră; Mailgun, cât prevede planul contului, iar o adresă care a respins mesajele rămâne în lista lui de blocare până o scoatem. Lista publică: cât este pornită de club, dar cel mult 30 de zile după eveniment. Fotografiile: până le scoatem sau te opui. Dacă la un eveniment se produce un incident din care poate rezulta o pretenție, păstrăm datele celor implicați — inclusiv copiile din căsuța clubului — după termenele de mai sus doar cât este necesar pentru constatarea, exercitarea sau apărarea unui drept în instanță, până la soluționarea definitivă (art. 17(3)(e) și art. 6(1)(f) GDPR).

Răspunsurile „Vin!”: adresa, numele (dacă l-ai scris) și starea răspunsului, 30 de zile de la sfârșitul evenimentului, apoi le ștergem automat; un răspuns neconfirmat se șterge după 7 zile, iar răspunsurile unui eveniment anulat, la următoarea curățare automată după anulare. Refuzul de a mai fi întrebat pentru o serie: adresa (în forma ei canonică) și seria, cât timp seria există și un an după ultima ei dată, apoi le ștergem automat. Refuzul rămâne și după o cerere de ștergere a răspunsurilor tale, fiindcă fără el te-am întreba din nou. Browserul recunoscut (secțiunea 10): un an de la ultimul răspuns, sau până apeși „Nu sunt eu”.

Ofertele de voluntar: 30 de zile de la începutul evenimentului (una trecută după început, 30 de zile de la trecerea ei), apoi le ștergem automat; la cererea ta, mai devreme. Rolurile evenimentului, fără nume, rămân cât rămâne evenimentul.

Clasamentul unei curse — locul, numărul de concurs, timpul, categoria și, la cei care au bifat, numele, plus numele scris de club pentru un alergător neînscris —: trei ani de la cursă, ca înscrierile ei, apoi îl ștergem automat. Pe pagina evenimentului dispare mai devreme, odată cu lista publică. Fișierul clasamentului pe care clubul îl descarcă din backoffice este o copie pe care ștergerea automată nu o poate atinge: clubul o păstrează cel mult în același termen.

8. Drepturile tale

Ce poți face singur. Din „Înscrierile mele” (legătura îți vine pe e-mail) îți vezi înscrierile active, starea, numărul și codul QR, renunți la o înscriere, alegi dacă apari pe lista publică și îți ștergi nota de sănătate și conturile de Strava și Instagram. Renunțarea eliberează locul, dar nu șterge datele: înscrierea anulată se păstrează cât scrie în secțiunea 7.

Ce facem la cerere. Scrie la brasovrunners@gmail.com, de la adresa înscrierii sau confirmându-ți identitatea (art. 12(6) GDPR); răspundem gratuit în cel mult o lună; pentru o cerere complexă sau pentru multe cereri termenul se poate prelungi cu cel mult două luni, iar în prima lună îți spunem de ce (art. 12(3) GDPR). Acces: îți trimitem o copie a datelor tale. Rectificare: corectăm datele greșite. Ștergere: eliminăm înscrierea, declarația și, dacă nu mai ai alta, datele tale; jurnalul reține când și de ce, nu cine, iar locul trece primului de pe lista de așteptare. Restricționare: ne poți cere să păstrăm datele fără să le mai folosim, cât verificăm dacă sunt corecte sau dacă obiecția ta e întemeiată, în loc să le ștergem, ori când nu ne mai trebuie dar ai nevoie de ele pentru un drept în instanță (art. 18 GDPR). La cerere, îți spunem cui le-am comunicat (art. 19 GDPR). Portabilitate: datele date de tine, într-un fișier. Retragerea consimțământului, oricând, fără efect retroactiv și fără să-ți pierzi locul.

Dreptul la opoziție. Te poți opune oricând prelucrărilor bazate pe interesul nostru legitim — păstrarea ca dovadă, fotografiile, jurnalul, verificarea anti-roboți, copiile din căsuța clubului. Oprim prelucrarea, dacă nu prevalează motive legitime imperioase ori un drept în instanță; pentru fotografii nu cerem motiv.

9. Plângeri

Scrie-ne întâi. Poți depune oricând o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru nr. 28-30, Sector 1, 010336 București, www.dataprotection.ro, anspdcp@dataprotection.ro (art. 77 GDPR), și ai o cale de atac în fața instanțelor din România sau, dacă locuiești în alt stat membru, ale acelui stat — împotriva noastră (art. 79) ori a unei decizii a autorității (art. 78).

10. Cookie-uri și date tehnice

Fără analiză de trafic, reclame sau urmărire. Ce folosim este strict necesar, deci fără acord (Legea nr. 506/2004, art. 4(6)): schema de culori și un aviz de versiune nouă, în memoria browserului tău, netransmise nouă; două cookie-uri criptate, de cel mult 10 minute, puse doar când trimiți formularul de înscriere, declarația, formularul de contact, formularele „Spune-ne ceva” sau formularul „Vreau să fiu voluntar” — unul păstrează ce ai scris dacă formularul se întoarce cu o eroare, celălalt adresa și prenumele pentru ecranul de confirmare; pentru echipă, cookie-urile de autentificare (sesiunea, 30 de zile, și protecțiile ei de scurtă durată). Limba stă în adresă, nu într-un cookie. Un videoclip YouTube de pe pagina unui eveniment se încarcă doar când apeși pe el; abia atunci Google primește adresa ta IP și își poate pune propriile cookie-uri. Harta traseului de pe pagina unui eveniment se încarcă odată cu pagina, fără să apeși pe ea; când evenimentul are hărți și pe Strava, și pe Garmin Connect, se încarcă doar cea din fila aleasă (întâi Strava), iar cealaltă abia când îi alegi fila. Strava, respectiv Garmin, primește adresa ta IP și își poate pune propriile cookie-uri în clipa în care se încarcă harta lui, nu mai devreme.

Browserul recunoscut: după ce apeși „Da, vin” sau „Nu mai vin” în emailul primit, browserul tău primește două cookie-uri, de un an de la ultimul răspuns: unul, inaccesibil scripturilor, cu un cod aleatoriu a cărui amprentă o păstrăm pe server, legată de adresa ta, și unul cu adresa mascată (de forma an…@gmail.com) și numele tău, fără niciun cod, ca pagina să-ți arate „Răspunzi ca …”. Le folosim doar ca „Vin!” și „Nu mai vin” să fie o singură apăsare la alte evenimente, la cererea ta: sunt strict necesare acestei funcții cerute de tine (Legea nr. 506/2004, art. 4(6)), nu urmăresc nimic și nu deschid nimic altceva — nicio înscriere, niciun cont. „Nu sunt eu” de pe pagina evenimentului le șterge pe amândouă și șterge rândul de pe server.

Găzduirea vede adresa IP a fiecărei cereri; jurnalul ei se păstrează cel mult o oră, nelegat de înscrieri. Formularul are un câmp-capcană, o verificare a timpului de completare și limite pe e-mail și pe legătură, păstrate o zi, fără nicio adresă IP; singura adresă IP pe care o păstrăm este cea a unei semnături electronice (secțiunile 3 și 5). Când verificarea anti-bot este pornită, formularul folosește Cloudflare Turnstile: Cloudflare primește adresa IP și semnalele tehnice ale browserului doar ca să decidă dacă cererea vine de la o persoană, fără cookie-uri de urmărire (temei: art. 6(1)(f) GDPR).

11. Modificări

Fiecare versiune a notei are număr, dată și amprentă și nu se mai schimbă după aprobare; înscrierea reține versiunea luată la cunoștință. Versiunea în vigoare este la această adresă; o schimbare în substanță o anunțăm pe această pagină și, pentru înscrierile la evenimente care nu au avut loc, pe e-mail, înainte să se aplice.

12. Echipa și membrii clubului

Pentru voluntarii și organizatorii cu acces la platformă păstrăm numele, adresa de e-mail și rolul, cine a făcut ce în platformă și numele celui care a înregistrat o declarație pe hârtie. Contul de autentificare îl ține Zitadel; sesiunea durează 30 de zile. Temei: interesul legitim de a ști cine are acces și cine a acționat (art. 6(1)(f) și art. 5(2) GDPR). Când accesul se retrage, ștergem contul din platformă, iar pe cel din Zitadel la cerere; jurnalul rămâne cel mult trei ani.

Membrii clubului pot primi un cont cu care intră în zona membrilor de pe site. Pentru ei păstrăm numele, adresa de e-mail, rolul de membru, limba preferată, data primei autentificări și nivelul de membru pe care i-l dă clubul, dacă îi dă unul (îl văd doar administratorii); le trimitem pe e-mail invitația, iar contul de autentificare îl ține Zitadel, ca pentru echipă, cu aceeași sesiune de 30 de zile. Zona membrilor arată doar textul pe care clubul îl scrie pentru membri și evenimentele publicate; nu arată datele altor membri și nu dă acces la administrarea site-ului. Temei: interesul legitim al clubului de a le oferi membrilor ce le-a promis (art. 6(1)(f) GDPR). Un membru poate cere oricând să-i ștergem contul, scriindu-ne; îl ștergem și când nu mai este membru, iar pe cel din Zitadel la cerere.