Politica de Confidențialitate și Protecția Datelor (GDPR)

01. Identitatea Operatorului de Date cu Caracter Personal

Operatorul datelor dumneavoastră cu caracter personal (în sensul art. 4 pct. 7 din Regulamentul (UE) 2016/679 — GDPR) este [CONFIGURARE NECESARĂ: DENUMIRE SOCIETATE S.R.L.], cu sediul social în [CONFIGURARE NECESARĂ: SEDIU SOCIAL, BUCUREȘTI, ROMÂNIA], înregistrată la ONRC sub nr. [CONFIGURARE NECESARĂ: J40/.../2026], CUI [CONFIGURARE NECESARĂ: CUI / CIF RO...].

Pentru orice întrebări, cereri de exercitare a drepturilor GDPR sau clarificări privind confidențialitatea, puteți contacta responsabilul nostru pentru protecția datelor la adresa dedicată: privacy@pastfiveclub.com (sau prin poștă la adresa sediului social, cu mențiunea „În atenția Responsabilului GDPR”).

02. Categorii de Date cu Caracter Personal Colectate (Minimizarea Datelor)

Aplicăm principiul minimizării datelor (art. 5 alin. 1 lit. c GDPR): nu impunem crearea unui cont cu parolă pentru achiziția unui bilet și nu solicităm Codul Numeric Personal (CNP). Colectăm exclusiv următoarele categorii de date, în funcție de interacțiunea dumneavoastră cu platforma:

• Rezervări și Achiziții de Bilete (Orders): nume și prenume, adresă de e-mail, număr de telefon (pentru notificări urgente privind ediția), numărul de locuri, mențiuni opționale pentru atelier (ex. alergii alimentare), date de facturare (pentru persoane juridice / B2B: denumire firmă, CUI, Reg. Com., sediu) și identificatorii tehnici ai tranzacției Stripe (Session ID / PaymentIntent ID — niciodată datele complete ale cardului).
• Bilete Digitale, Transfer și Check-in la Eveniment (Tickets): numele și adresa de e-mail a titularului biletului, codul unic al biletului, semnătura criptografică HMAC-SHA256, statusul și momentul validării la intrare (checkedInAt) și, în cazul unui transfer nominal, numele și e-mailul noului participant.
• Lista de Așteptare (Waitlist): nume, adresă de e-mail, număr de telefon opțional, ediția dorită și numărul de locuri solicitate.
• Jurnalul Editorial / Newsletter (Newsletter Subscribers): adresă de e-mail, prenume opțional, limba preferată (RO/EN), momentul acordării consimțământului și un hash criptografic ireversibil (SHA-256) al adresei IP exclusiv ca dovadă de audit a consimțământului (art. 7 alin. 1 GDPR).
• Solicitări de Evenimente Private & Colaborări: nume, adresă de e-mail, companie (opțional) și mesajul transmis.
• Date Tehnice de Securitate și Cookies: preferința de limbă, starea consimțământului pentru cookies și un identificator anonimizat (hash IP) stocat temporar în memorie pentru protecția împotriva atacurilor automatizate (rate limiting).

03. Scopurile Prelucrării și Temeiurile Juridice (Art. 6 alin. 1 GDPR)

Fiecare operațiune de prelucrare a datelor în cadrul PASTFIVE CLUB are un temei juridic precis determinat conform art. 6 alin. (1) din GDPR:

• Executarea unui contract sau demersuri precontractuale — Art. 6 alin. (1) lit. (b) GDPR: procesarea comenzii, emiterea și livrarea pe e-mail a biletelor digitale cu cod QR și a pass-urilor Apple/Google Wallet, transmiterea e-mailului tranzacțional de reamintire cu 24 de ore înainte de atelier, procesarea transferului nominal al biletului la cererea titularului și notificarea persoanelor înscrise pe lista de așteptare (Waitlist) atunci când se eliberează un loc.
• Îndeplinirea unei obligații legale — Art. 6 alin. (1) lit. (c) GDPR: întocmirea, emiterea și arhivarea documentelor financiar-contabile și fiscale (inclusiv raportarea în sistemul național RO e-Factura pentru facturile emise), conform Legii contabilității nr. 82/1991, Legii nr. 227/2015 privind Codul Fiscal și OMFP nr. 2634/2015.
• Consimțământul expres al persoanei vizate — Art. 6 alin. (1) lit. (a) GDPR: transmiterea comunicărilor editoriale și a invitațiilor la ediții viitoare (Newsletter), precum și activarea cookie-urilor opționale de analiză. La checkout, căsuța pentru newsletter este întotdeauna debifată în mod implicit și nu condiționează niciodată achiziția biletului (art. 7 alin. 4 GDPR).
• Interesul legitim al Operatorului — Art. 6 alin. (1) lit. (f) GDPR: asigurarea securității cibernetice a platformei, prevenirea abuzurilor automatizate prin limitarea ratei de cereri (rate limiting) și verificarea criptografică anti-fraudă a biletelor la intrarea în salon.

04. Perioadele de Stocare și Retenție a Datelor

Păstrăm datele cu caracter personal doar atât timp cât este necesar pentru scopul în care au fost colectate sau cât timp ne obligă legislația fiscală din România:

• Documente financiar-contabile și comenzi plătite (Orders & Facturi): 10 ani (respectiv 5 ani pentru documentele justificative simplificate, conform Legii contabilității nr. 82/1991 și OMFP nr. 2634/2015), începând de la data încheierii exercițiului financiar în cursul căruia au fost întocmite.
• Date operaționale de check-in și bilete (Tickets): Semnătura QR își încetează valabilitatea de acces după încheierea ediției. Evidența operațională de participare se păstrează timp de 90 de zile după eveniment (pentru soluționarea eventualelor contestații sau rambursări), după care datele operaționale neesențiale fiscal sunt anonimizate.
• Înscrieri pe Lista de Așteptare (Waitlist): Maximum 60 de zile de la data desfășurării ediției pentru care s-a făcut înscrierea, după care înregistrările sunt șterse automat.
• Abonați Newsletter: Până la retragerea consimțământului (prin linkul de dezabonare cu un singur clic din subsolul fiecărui e-mail sau prin cerere la privacy@pastfiveclub.com). Înregistrările de tip Double Opt-In neconfirmate sunt șterse după 14 zile.
• Jurnale tehnice de securitate și rate-limiting: Contoarele de limitare a traficului sunt efemere (1–60 minute în memorie), iar jurnalele de securitate a serverului sunt păstrate maximum 30 de zile.

05. Destinatarii Datelor, Împuterniciți (Subprocesatori) și Transferuri Internaționale

PASTFIVE CLUB nu vinde și nu închiriază niciodată datele dumneavoastră către terți. Pentru funcționarea tehnică a platformei, colaborăm exclusiv cu furnizori de infrastructură (persoane împuternicite conform art. 28 GDPR) care oferă garanții adecvate de securitate și confidențialitate:

• Stripe Payments Europe, Limited (Dublin, Irlanda — Spațiul Economic European): procesarea securizată a plăților cu cardul, Apple Pay și Google Pay. Atunci când datele sunt procesate de infrastructura globală Stripe Inc., transferul este protejat prin Cadrul UE-SUA privind Confidențialitatea Datelor (Data Privacy Framework) și Clauzele Contractuale Standard (SCC) aprobate de Comisia Europeană.
• Vercel Inc. (Găzduire aplicație web și funcții serverless, cu execuție preferată în regiunea UE — Frankfurt, Germania): livrarea paginilor web și protecția la nivel de rețea, sub acoperirea Acordului de Prelucrare a Datelor (DPA), EU-US Data Privacy Framework și SCC.
• Furnizor Bază de Date PostgreSQL (Neon / Supabase / Vercel Postgres — Regiunea UE Frankfurt eu-central-1): stocarea criptată (în repaus și în tranzit prin TLS 1.3) a comenzilor și biletelor.
• Resend (Serviciu de livrare e-mailuri tranzacționale): transmiterea biletelor digitale, a confirmărilor de rezervare și a notificărilor de atelier, în baza Clauzelor Contractuale Standard (SCC).
• Apple Inc. / Google LLC (Opțional, exclusiv la inițiativa utilizatorului): doar în cazul în care participantul apasă în mod voluntar pe butonul „Adaugă în Apple Wallet” sau „Salvează în Google Wallet” de pe pagina biletului.
• Autorități publice și fiscale (ANAF / RO e-Factura): exclusiv în măsura impusă de legislația fiscală din România.

06. Drepturile Dumneavoastră conform GDPR și Dreptul de Plângere la ANSPDCP

În conformitate cu articolele 15–22 din Regulamentul (UE) 2016/679, beneficiați de următoarele drepturi, pe care le puteți exercita oricând, gratuit, printr-o cerere transmisă la privacy@pastfiveclub.com (termen de răspuns: maximum 30 de zile calendaristice):

• Dreptul de acces (Art. 15 GDPR): dreptul de a obține confirmarea prelucrării datelor și o copie electronică a datelor deținute despre dumneavoastră.
• Dreptul la rectificare (Art. 16 GDPR): corectarea oricăror date inexacte sau completarea datelor incomplete (ex. corectarea numelui de pe bilet sau a adresei de e-mail).
• Dreptul la ștergerea datelor / „Dreptul de a fi uitat” (Art. 17 GDPR): ștergerea datelor din lista de așteptare, newsletter sau evidențele operaționale. Notă: conform art. 17 alin. (3) lit. (b) GDPR, ștergerea nu se poate aplica facturilor și înregistrărilor contabile pe perioada de retenție obligatorie de 10 ani impusă de legea fiscală română.
• Dreptul la restricționarea prelucrării (Art. 18 GDPR) și Dreptul la portabilitatea datelor (Art. 20 GDPR) într-un format structurat (JSON/CSV).
• Dreptul la opoziție (Art. 21 GDPR) și Dreptul de a vă retrage consimțământul în orice moment (Art. 7 alin. 3 GDPR), fără a afecta legalitatea prelucrării efectuate înainte de retragere.
• Dreptul de a depune o plângere la Autoritatea de Supraveghere (Art. 77 GDPR): Dacă apreciați că drepturile dumneavoastră au fost încălcate, vă puteți adresa Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) — B-dul G-ral. Gheorghe Magheru nr. 28-30, Sector 1, cod poștal 010336, București, România, web: https://www.dataprotection.ro/, e-mail: anspdcp@dataprotection.ro.