Politica de confidențialitate și cookie-uri

Operatorul de date este EpicVents, care operează platforma de management de evenimente disponibilă la epicvents.ro și epicventweb-production.up.railway.app, precum și aplicația mobilă EpicVents POS.

Pentru orice întrebare, cerere sau plângere legată de datele personale ne puteți contacta la office@epicvents.ro. Aceasta este și adresa persoanei responsabile cu protecția datelor în cadrul EpicVents.

EpicVents este o platformă folosită de organizatori de evenimente. În funcție de situație, avem roluri diferite conform GDPR:

• Operator (art. 4 pct. 7 GDPR) — pentru datele conturilor de organizator și personal, datele de securitate și jurnalizare ale platformei, comunicările cu noi și obligațiile noastre legale. În aceste cazuri noi decidem scopurile și mijloacele prelucrării.
• Persoană împuternicită de operator (art. 4 pct. 8 și art. 28 GDPR) — pentru datele participanților (cumpărători de bilete, deținători de carduri sau brățări cashless, clienți ai punctelor de vânzare). Organizatorul evenimentului este operatorul acestor date; noi le prelucrăm în numele său, conform instrucțiunilor sale și acordului de prelucrare descris în secțiunea 16. Pentru cererile privind aceste date vă puteți adresa organizatorului sau nouă — vă vom ajuta și vom transmite cererea.

Prelucrăm doar datele necesare funcționării serviciului:

• Date de cont — pentru organizatori și personal: nume, adresă de email, număr de telefon (opțional), rol în organizație și parola, stocată exclusiv sub formă de hash criptografic.
• Date de comandă și bilet — la cumpărarea unui bilet: numele și adresa de email a cumpărătorului, numărul comenzii, biletele achiziționate, suma, moneda, metoda de plată și identificatorul tranzacției de la procesatorul de plăți. La validarea biletului: codul biletului, momentul, poarta de acces și rezultatul scanării.
• Portofel cashless (carduri și brățări NFC) — identificatorul tehnic al cipului (UID), soldul și istoricul încărcărilor și plăților. UID-ul este un număr de serie al cipului și nu conține date personale; nu citim alte informații de pe card. Dacă organizatorul asociază cardul unui bilet sau unui participant, datele devin asociate acelei persoane.
• Date de plată — plățile cu cardul bancar (online sau contactless pe telefon) sunt procesate integral de Stripe, instituție de plată autorizată în Uniunea Europeană. Numărul cardului bancar nu ajunge niciodată pe serverele noastre; primim doar confirmarea plății, un identificator al tranzacției și, după caz, ultimele patru cifre și tipul cardului.
• Date fiscale — pentru bonurile fiscale și rapoartele impuse de legislația din România stocăm detaliile vânzărilor (produse, cantități, sume, cote de TVA, casa de marcat folosită). Bonul fiscal nu conține numele clientului decât dacă acesta solicită factură.
• Date de securitate și jurnalizare — adresa IP, tipul de browser sau dispozitiv și momentul accesării, asociate sesiunilor de autentificare și jurnalului de audit al acțiunilor efectuate în platformă (de exemplu cine a modificat un preț sau a anulat o vânzare).
• Conținut încărcat — imaginile și descrierile evenimentelor încărcate de organizatori; acestea sunt publice pe paginile evenimentelor.
• Comunicări — mesajele pe care ni le trimiteți la adresa de contact.

Nu prelucrăm categorii speciale de date (art. 9 GDPR) și nu solicităm date despre sănătate, convingeri sau alte informații sensibile.

• direct de la dumneavoastră, când vă creați un cont, cumpărați un bilet sau ne scrieți;
• de la organizatorul evenimentului, când acesta vă adaugă ca membru al personalului, vă emite un bilet sau vă asociază un card cashless (art. 14 GDPR);
• de la Stripe, sub forma confirmărilor de plată și a identificatorilor tranzacțiilor;
• automat, din utilizarea platformei (jurnale tehnice și de audit).

Fiecare prelucrare are un temei juridic prevăzut de art. 6 alin. (1) GDPR:

Nu vindem datele personale, nu le folosim pentru publicitate și nu trimitem comunicări comerciale fără consimțământul dumneavoastră prealabil (art. 12 din Legea nr. 506/2004). Dacă vom introduce vreodată comunicări de marketing, veți putea opta separat și vă veți putea retrage consimțământul oricând.

Când ne bazăm pe interesul legitim, am evaluat că prelucrarea este necesară, are un impact redus asupra vieții private și corespunde așteptărilor rezonabile ale utilizatorilor. Aveți dreptul să vă opuneți acestor prelucrări (secțiunea 11).

Aplicația EpicVents POS este destinată organizatorilor și personalului lor. Solicită următoarele permisiuni, fiecare pentru un scop unic:

• NFC — exclusiv pentru citirea identificatorului (UID) cardurilor și brățărilor de eveniment la plăți și încărcări și pentru acceptarea plăților contactless cu cardul bancar.
• Camera — exclusiv pentru scanarea codurilor QR de pe bilete. Imaginile sunt procesate local pe dispozitiv și nu sunt stocate sau transmise.
• Locația — cerută de Stripe pentru acceptarea plăților contactless direct pe telefon (Tap to Pay), ca măsură anti-fraudă impusă de rețelele de carduri. Locația este verificată doar în momentul plății, de către SDK-ul Stripe; EpicVents nu urmărește și nu stochează istoricul de locație.
• Internet — pentru comunicarea criptată cu serverele noastre.

Aplicația nu conține SDK-uri de publicitate sau de analiză comportamentală și nu colectează identificatori publicitari. Puteți retrage oricând permisiunile din setările sistemului de operare; funcțiile corespunzătoare nu vor mai fi disponibile.

Conform art. 5 alin. (3) din Directiva 2002/58/CE și art. 4 din Legea nr. 506/2004, stocarea de informații pe dispozitivul dumneavoastră necesită consimțământ, cu excepția celor strict necesare furnizării serviciului solicitat. Folosim exclusiv cookie-uri strict necesare, motiv pentru care nu afișăm un banner de consimțământ:

Nu folosim cookie-uri de analiză, de publicitate sau ale unor terți, nu stocăm alte informații în browser (localStorage) și nu integrăm butoane de rețele sociale care să vă urmărească. Fonturile web sunt servite de pe propriile noastre servere. La plata cu cardul online, formularul de plată este furnizat de Stripe, care poate seta propriile cookie-uri necesare prevenirii fraudei, conform politicii Stripe privind cookie-urile. Puteți șterge cookie-urile oricând din setările browserului; în acest caz va trebui să vă autentificați din nou.

Transmitem date doar către destinatari care ne ajută să furnizăm serviciul, în baza unor contracte care includ clauzele impuse de art. 28 GDPR:

• Stripe Payments Europe, Ltd. (Irlanda) și afiliații săi — procesarea plăților cu cardul, Tap to Pay și prevenirea fraudei (politica Stripe). Stripe acționează ca operator independent pentru obligațiile sale de reglementare financiară.
• Railway Corp. (SUA) — găzduirea serverelor și a bazei de date (politica Railway).
• Resend, Inc. (SUA) — trimiterea emailurilor tranzacționale (confirmări de comandă și bilete) (politica Resend).
• Organizatorul evenimentului — vede comenzile, biletele, tranzacțiile cashless și vânzările propriului eveniment, în calitate de operator al acestor date.
• Autorități publice — ANAF, organe de control sau instanțe, doar când legea ne obligă sau pentru apărarea drepturilor noastre.
• Consultanți profesionali — contabili, auditori sau avocați, supuși obligației de confidențialitate, strict în măsura necesară.

În cazul unei reorganizări sau vânzări a activității, datele pot fi transferate succesorului, care va fi ținut de această politică; veți fi informați în prealabil.

Unii furnizori (Railway, Resend, entități Stripe din grup) pot prelucra date în Statele Unite ale Americii. Aceste transferuri se fac conform capitolului V GDPR, pe baza:

• Deciziei de adecvare a Comisiei Europene privind Cadrul UE–SUA privind confidențialitatea datelor (EU–U.S. Data Privacy Framework), pentru furnizorii certificați; și/sau
• Clauzelor contractuale standard adoptate de Comisia Europeană (Decizia (UE) 2021/914), completate cu măsuri suplimentare (criptare în tranzit și în repaus, acces restricționat).

Puteți obține o copie a garanțiilor aplicabile scriindu-ne la office@epicvents.ro.

Păstrăm datele doar cât este necesar pentru scopul pentru care au fost colectate (art. 5 alin. (1) lit. (e) GDPR):

La expirarea termenelor datele sunt șterse sau anonimizate ireversibil. Copiile de siguranță sunt suprascrise conform ciclului de rotație, în cel mult 30 de zile.

Conform art. 15–22 GDPR aveți următoarele drepturi:

• Acces (art. 15) — să aflați dacă prelucrăm date despre dumneavoastră și să primiți o copie a acestora;
• Rectificare (art. 16) — să corectați date inexacte sau incomplete;
• Ștergere (art. 17, „dreptul de a fi uitat”) — inclusiv ștergerea contului și a datelor asociate, cu excepția datelor pe care legea ne obligă să le păstrăm (de exemplu documente fiscale);
• Restricționare (art. 18) — să limitați prelucrarea în anumite situații;
• Portabilitate (art. 20) — să primiți datele furnizate de dumneavoastră într-un format structurat, utilizat în mod curent și care poate fi citit automat;
• Opoziție (art. 21) — față de prelucrările bazate pe interes legitim și, oricând și necondiționat, față de marketing direct;
• Retragerea consimțământului (art. 7 alin. (3)) — oricând, pentru prelucrările bazate pe consimțământ, fără a afecta legalitatea prelucrării anterioare;
• De a nu face obiectul unei decizii exclusiv automatizate (art. 22) — vezi secțiunea 13;
• Plângere (art. 77) — la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru nr. 28–30, Sector 1, București, dataprotection.ro, sau la autoritatea din statul membru în care locuiți, precum și dreptul la o cale de atac judiciară (art. 79).

Scrieți-ne la office@epicvents.ro de la adresa de email asociată contului sau comenzii, menționând dreptul pe care doriți să îl exercitați. Pentru siguranța dumneavoastră putem cere informații suplimentare pentru a vă confirma identitatea (art. 12 alin. (6) GDPR); nu vom cere niciodată parola sau datele cardului bancar.

Răspundem în cel mult o lună de la primirea cererii; termenul poate fi prelungit cu două luni în cazuri complexe, situație în care vă vom informa. Exercitarea drepturilor este gratuită, cu excepția cererilor vădit nefondate sau excesive. Când acționăm ca persoană împuternicită a organizatorului (secțiunea 2), vom transmite cererea organizatorului și îl vom sprijini să răspundă.

Nu luăm decizii bazate exclusiv pe prelucrare automatizată care să producă efecte juridice sau să vă afecteze semnificativ, și nu realizăm profilare. Singura verificare automată este cea anti-fraudă efectuată de Stripe la plata cu cardul, pentru care Stripe este operator și oferă propriile garanții; o plată respinsă poate fi reluată cu altă metodă de plată.

Aplicăm măsuri tehnice și organizatorice adecvate conform art. 32 GDPR:

• criptarea tuturor comunicațiilor (HTTPS/TLS) și a datelor stocate;
• parole stocate exclusiv ca hash; sesiuni cu jetoane de scurtă durată și cookie-uri httpOnly;
• control al accesului pe roluri — fiecare utilizator vede doar datele organizației și evenimentelor sale;
• jurnal de audit al acțiunilor sensibile;
• datele cardurilor bancare nu tranzitează niciodată sistemele noastre (Stripe este certificat PCI DSS nivel 1);
• copii de siguranță regulate și acces restricționat la infrastructură.

În cazul unei încălcări a securității datelor care poate genera un risc pentru drepturile dumneavoastră, vom notifica ANSPDCP în cel mult 72 de ore de la constatare (art. 33 GDPR) și, dacă riscul este ridicat, vă vom informa direct, fără întârzieri nejustificate (art. 34 GDPR). Când acționăm ca persoană împuternicită, informăm organizatorul fără întârziere.

Conturile EpicVents (organizatori, personal) sunt destinate persoanelor de cel puțin 18 ani. Nu ne adresăm cu bună știință copiilor sub 16 ani (pragul prevăzut de art. 8 GDPR și de Legea nr. 190/2018) și nu le colectăm date. Biletele și portofelele cashless pot fi folosite de minori doar în condițiile stabilite de organizatorul evenimentului. Dacă aflăm că am colectat date ale unui copil fără acordul părintelui sau tutorelui, le vom șterge; vă rugăm să ne scrieți la office@epicvents.ro.

Pentru datele participanților, organizatorul este operator, iar EpicVents persoană împuternicită. Prin utilizarea platformei, organizatorul și EpicVents convin asupra următorilor termeni, care constituie acordul de prelucrare cerut de art. 28 alin. (3) GDPR:

• prelucrăm datele participanților doar pentru furnizarea serviciilor platformei și conform instrucțiunilor documentate ale organizatorului, exprimate prin configurarea și utilizarea platformei;
• personalul nostru cu acces la date este supus obligației de confidențialitate;
• aplicăm măsurile de securitate din secțiunea 14 și sprijinim organizatorul în respectarea art. 32–36 GDPR;
• folosim doar sub-împuterniciții din secțiunea 8; vom informa organizatorul înainte de adăugarea sau înlocuirea unuia, cu posibilitatea de a obiecta;
• asistăm organizatorul în răspunsul la cererile persoanelor vizate și îi notificăm fără întârziere orice încălcare a securității datelor;
• la încetarea serviciilor, ștergem sau returnăm datele participanților, la alegerea organizatorului, cu excepția celor ce trebuie păstrate legal;
• punem la dispoziție informațiile necesare demonstrării conformității și permitem audituri rezonabile.

Organizatorul este responsabil să aibă un temei legal pentru datele pe care le încarcă și să își informeze participanții, inclusiv prin trimitere la această politică. Un acord de prelucrare semnat separat este disponibil la cerere la office@epicvents.ro.

Putem actualiza această politică pentru a reflecta schimbări ale serviciului sau ale legislației. Versiunea curentă și data ultimei actualizări sunt publicate pe această pagină. Pentru modificări semnificative vom informa organizatorii prin email sau în platformă, cu cel puțin 15 zile înainte de intrarea lor în vigoare, când este posibil.

• Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal (GDPR);
• Directiva 2002/58/CE privind confidențialitatea și comunicațiile electronice (ePrivacy), transpusă prin Legea nr. 506/2004;
• Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR;
• Legea nr. 102/2005 privind înființarea, organizarea și funcționarea ANSPDCP;
• Legea nr. 365/2002 privind comerțul electronic și Legea nr. 82/1991 a contabilității, OUG nr. 28/1999 privind aparatele de marcat electronice fiscale, pentru obligațiile de păstrare a documentelor;
• Directiva (UE) 2015/2366 privind serviciile de plată (PSD2), aplicabilă procesatorului de plăți.

Această politică este redactată în limba română. Dacă o traducere diferă de versiunea română, aceasta din urmă prevalează.