Politica de Confidențialitate

1. Cine suntem — Operatorul de date

Platforma Padel Tour (romaniapadeltour.vercel.app) este operată de o persoană fizică cu domiciliul în România, denumită în continuare „Operatorul".

Date de contact DPO / responsabil cu protecția datelor:

• E-mail: claudiutigaroi@gmail.com

Pentru orice întrebare privind prelucrarea datelor cu caracter personal sau pentru exercitarea drepturilor dvs., ne puteți contacta la adresa de e-mail de mai sus.

2. Categorii de date cu caracter personal colectate

Colectăm și prelucrăm următoarele categorii de date:

2.1. Date furnizate direct de dvs. (la înregistrare sau prin editarea profilului):

• Nume complet;
• Adresă de e-mail;
• Număr de telefon (opțional, cu posibilitate de a-l ascunde);
• Județ și țară de reședință;
• Gen;
• Dată de naștere;
• Poziție preferată de joc (stânga / dreapta);
• Fotografie de profil (opțional);
• Nume de utilizator (username) personalizat (opțional);
• Descriere / bio (opțional);
• Mesaje publicate în chat-urile platformei.

2.2. Date colectate automat în timpul utilizării:

• Adresa IP — necesară pentru funcționarea autentificării și a securității contului;
• Localizare geografică estimată — orașul și țara derivate din adresa IP, stocate în scopuri de statistici privind utilizarea platformei;
• Data și ora ultimei activități (last_seen_at) — utilizată pentru afișarea statusului de prezență (online / inactiv / offline) celorlalți utilizatori autentificați;
• Date tehnice de sesiune — tipul browserului, sistemul de operare, rezoluția ecranului, paginile vizitate — exclusiv în scopuri statistice și de diagnosticare;
• Cookie-uri — detaliate în Politica privind Cookie-urile.

2.3. Date generate prin activitatea dvs. pe platformă:

• Istoricul participărilor și al înscrierilor la turnee;
• Punctele acumulate și pozițiile în clasamente;
• Rezultatele meciurilor înregistrate de organizatorii turneelor.

3. Scopurile prelucrării și temeiul juridic (art. 6 GDPR)

4. Localizarea estimată din adresa IP — transparență completă

4.1. Platforma înregistrează adresele IP ale utilizatorilor autentificați ca parte din funcționarea normală a serviciului de autentificare furnizat de Supabase.

4.2. Prin intermediul unui serviciu de geolocalizare, adresa IP este convertită într-o locație geografică estimată (oraș, țară). Această estimare are un grad de precizie de aproximativ 50–200 km și nu reflectă adresa exactă a utilizatorului.

4.3. Locația estimată poate fi afișată celorlalți utilizatori autentificați în panoul „Utilizatori activi", alături de statusul de prezență. Aceasta funcționează ca un indiciu al regiunii din care joacă utilizatorul în momentul respectiv.

4.4. Drept de opt-out: Fiecare utilizator poate dezactiva în orice moment afișarea locației sale, accesând Profil → Date personale → editare → „Arată locația mea în timp real altor utilizatori". Setarea intră în vigoare imediat și retroactiv pentru sesiunile viitoare.

4.5. Adresele IP complete nu sunt niciodată afișate altor utilizatori. Locația stocată este exclusiv la nivel de oraș, fără stradă sau coordonate GPS.

4.bis Analytics, log de evenimente și consimțământ (v1.1)

4.bis.1. Pentru a îmbunătăți platforma, înregistrăm într-o tabelă internă (user_events) acțiunile semnificative ale utilizatorilor autentificați: înscriere la turneu, încărcare poză, postare comentariu, like, cerere/acceptare prietenie, trimitere mesaj. Fiecare rând conține user_id, tipul acțiunii, timestamp și opțional ID-ul resursei vizate (turneu, poză, comentariu).

4.bis.2. Aceste date servesc exclusiv pentru agregări interne — DAU/MAU, retention cohort, scor de engagement, funnel de conversie — și pentru raportare în cazul unei eventuale tranzacții (due-diligence). Nu sunt partajate cu terți pentru publicitate sau profilare comportamentală în afara platformei.

4.bis.3. Bază legală: art. 6(1)(b) GDPR (executarea contractului) pentru evenimentele direct legate de utilizarea serviciului (înscriere turneu, etc.) și art. 6(1)(f) (interes legitim) pentru agregările statistice anonime.

4.bis.4. Tracking de pagini și sesiuni (DAU/MAU, retention) este condiționat de consimțământul dvs. explicit, exprimat prin banner-ul „Preferințe cookies" la prima vizită. Puteți modifica oricând consimțământul accesând Profil → Preferințe cookies & GDPR.

4.bis.5. Toate consimțămintele sunt înregistrate într-o tabelă de audit (user_consents) cu timestamp, IP și versiune politică, conform art. 7(1) GDPR (proba consimțământului). Vă puteți solicita oricând o copie.

4.bis.6. Retenție: log-ul de evenimente este păstrat pe durata existenței contului. La ștergerea contului, evenimentele se șterg automat (ON DELETE CASCADE). Înregistrările de consimțământ se păstrează 6 ani după ultima modificare, ca probă a respectării obligațiilor GDPR.

5. Destinatarii datelor — cine mai are acces

5.1. Supabase Inc. (SUA) — furnizor de baze de date, autentificare și stocare de fișiere. Datele sunt protejate prin clauze contractuale standard (Standard Contractual Clauses — SCC) aprobate de Comisia Europeană, care asigură un nivel de protecție echivalent cu cel din UE.

5.2. Vercel Inc. (SUA) — furnizor de hosting pentru aplicația web. Se aplică aceleași garanții SCC.

5.3. Administratorii platformei — au acces la date în măsura necesară pentru gestionarea platformei, rezolvarea disputelor și moderarea conținutului.

5.4. Organizatorii de turnee (cluburi sportive) — au acces limitat la datele jucătorilor înscriși la turnee pe care le organizează (nume, categorie, status înregistrare), exclusiv în scopul organizării competiției.

5.5. Nu vindem niciodată datele dvs. Nu transferăm date cu caracter personal unor terți în scop comercial și nu utilizăm date pentru publicitate comportamentală sau profilare automată în sens GDPR.

5.6. Datele pot fi divulgate autorităților competente (ANSPDCP, instanțe judecătorești, poliție) exclusiv când legea o impune sau când este necesară protejarea drepturilor Operatorului sau ale altor utilizatori.

6. Transferuri internaționale de date

Datele dvs. sunt stocate pe servere gestionate de Supabase și Vercel, care pot fi localizate în Statele Unite ale Americii sau în alte țări terțe. Aceste transferuri sunt efectuate cu garanțiile prevăzute la articolul 46 GDPR, prin intermediul Clauzelor Contractuale Standard adoptate de Comisia Europeană (Decizia 2021/914/UE). O copie a acestor clauze poate fi solicitată la adresa de e-mail de contact.

7. Perioada de retenție a datelor

Actualizat în v1.1 — politici aplicate automat de un job nocturn (cron Postgres). Validabile la audit.

• Datele de cont și profil: pe durata existenței Contului. La ștergerea contului (self-service din Profil sau la cerere), datele se șterg imediat și definitiv din toate tabelele relaționate (CASCADE).
• Istoricul competițional (participări, puncte, rezultate): timp de 5 ani de la ultima participare, din motive de interes sportiv legitim și transparență competițională. Atribuit anonim ('Jucător șters') după ștergerea contului.
• Mesajele din chat: până la 300 de mesaje recente per chat; mesajele mai vechi sunt șterse automat.
• Adrese IP: șterse (NULL) după 90 de zile pe toate tabelele de tracking (site_sessions, user_events, user_consents). Restul datelor de sesiune (path-uri, timestamps) sunt păstrate fără identificator IP pentru analitică internă agregată.
• User-Agent al browser-ului: șters după 180 de zile.
• Referrer-ul (URL-ul de proveniență): șters după 365 de zile.
• Rânduri brute de pageviews și sesiuni: șterse după 2 ani; doar agregările lunare (DAU/MAU, retention) supraviețuiesc.
• Log de evenimente per utilizator (user_events): păstrat pe durata existenței Contului. Șters automat la ștergerea contului.
• Înregistrări de consimțământ (user_consents): 6 ani de la ultima modificare, ca probă a respectării art. 7(1) GDPR.
• Date de localizare estimată din IP: max 90 de zile pe câmpul brut; orașul derivat se reține pe profil cât timp setarea „Arată locația" e activă.
• Jurnale de audit și securitate: max 12 luni.

8. Drepturile dvs. conform GDPR

În calitate de persoană vizată, aveți următoarele drepturi, pe care le puteți exercita gratuit, prin e-mail la claudiutigaroi@gmail.com, cu specificarea în subiect a dreptului invocat:

• Dreptul de acces (art. 15 GDPR): Self-service — descărcați o copie completă a datelor dvs. în format JSON din Profil → „Descarcă datele mele". Include toate tabelele care vă referă: profil, înscrieri, foto, comentarii, like-uri, mesaje, evenimente, consimțăminte.
• Dreptul la rectificare (art. 16 GDPR): Aveți dreptul să solicitați corectarea datelor inexacte sau completarea celor incomplete. Puteți face acest lucru direct din secțiunea de profil.
• Dreptul la ștergere / „dreptul de a fi uitat" (art. 17 GDPR): Self-service — ștergeți contul definitiv din Profil → „Șterge contul" (cu confirmare prin scrierea email-ului). Toate datele relaționate sunt șterse imediat, în afară de istoricul competițional anonimizat care se păstrează 5 ani.
• Dreptul la restricționarea prelucrării (art. 18 GDPR): Aveți dreptul să solicitați limitarea prelucrării datelor în anumite circumstanțe (de ex. dacă contestați exactitatea datelor).
• Dreptul la portabilitatea datelor (art. 20 GDPR): Aveți dreptul să primiți datele pe care ni le-ați furnizat, într-un format structurat, utilizat în mod curent și care poate fi citit automat (JSON/CSV).
• Dreptul la opoziție (art. 21 GDPR): Aveți dreptul să vă opuneți prelucrării datelor dvs. bazate pe interesul legitim al Operatorului.
• Dreptul de retragere a consimțământului (art. 7 alin. 3 GDPR): Dacă prelucrarea se bazează pe consimțământul dvs. (de ex. afișarea locației din IP), vă puteți retrage consimțământul oricând, fără a afecta legalitatea prelucrării anterioare. Retragerea se face din setările profilului sau prin cerere la adresa de e-mail.
• Dreptul de a nu face obiectul unei decizii automate (art. 22 GDPR): Nu utilizăm procese de luare a deciziilor complet automatizate sau profilare care să producă efecte juridice asupra dvs.

Vom răspunde cererilor în termen de maximum 30 de zile calendaristice de la primire. Dacă cererea este complexă, termenul poate fi prelungit cu încă 60 de zile, cu notificarea dvs. prealabilă.

9. Autoritatea de supraveghere

Dacă considerați că drepturile dvs. nu au fost respectate, aveți dreptul de a depune o plângere la autoritatea națională de supraveghere:

10. Securitatea datelor

10.1. Operatorul a implementat măsuri tehnice și organizatorice adecvate pentru protejarea datelor cu caracter personal împotriva accesului neautorizat, divulgării, alterării sau distrugerii accidentale, inclusiv:

• Criptarea parolelor cu algoritm bcrypt;
• Transmiterea datelor exclusiv prin conexiuni HTTPS/TLS;
• Politici de control al accesului bazate pe roluri (RLS — Row Level Security în baza de date);
• Autentificarea cu doi factori disponibilă prin furnizori terți (Google OAuth);
• Auditare periodică a politicilor de acces.

10.2. În cazul unui incident de securitate care afectează datele dvs., vă vom notifica în conformitate cu art. 34 GDPR, fără întârzieri nejustificate.

11. Minori

Platforma nu este destinată persoanelor cu vârsta sub 16 ani. Nu colectăm în mod intenționat date de la minori sub această vârstă. Dacă aflăm că am colectat date de la un minor sub 16 ani fără acordul părintelui sau tutorelui legal, vom șterge imediat aceste date. Persoanele cu vârsta cuprinsă între 16 și 18 ani pot utiliza platforma cu consimțământul părintelui sau tutorelui, care și-a dat acordul la înregistrare.

12. Cookie-uri

Utilizarea cookie-urilor este detaliată în Politica privind Cookie-urile. Prin continuarea utilizării Platformei după ce ați vizualizat bannerul de cookie-uri, vă exprimați acordul cu privire la utilizarea cookie-urilor descrise acolo.

13. Modificări ale politicii

Operatorul poate actualiza periodic prezenta Politică de Confidențialitate. Modificările semnificative vor fi comunicate prin e-mail sau prin afișarea unui aviz pe Platformă cu cel puțin 30 de zile înainte de intrarea în vigoare. Vă recomandăm să consultați periodic această pagină. Continuarea utilizării Platformei după data de intrare în vigoare constituie acceptarea modificărilor.