Politică de confidențialitate

1. Operatorul datelor

ReziNOT este operatorul datelor dumneavoastră personale, în conformitate cu Regulamentul (UE) 2016/679 (GDPR).

2. Date colectate

• Nume și adresă de email (la creare cont)
• Parolă (stocată hash-uită cu bcrypt, niciodată în clar)
• Date despre activitate: răspunsuri la grile, scoruri, statistici de progres
• Zilele în care contul a fost activ, pentru indicatori agregați de utilizare și retenție
• Date de utilizare a site-ului: pagina vizitată, canalul de trafic, parametrii utm și domeniul de proveniență (referrer) — contorizate fără identificator persistent (vezi secțiunea 9)
• Date de plată: gestionate exclusiv de Stripe — nu stocăm carduri
• Cookie-uri de sesiune și autentificare, plus un cookie propriu de atribuire a sursei (rn_attr)

3. Scopul prelucrării

• Furnizarea serviciului educațional
• Gestionarea abonamentelor și plăților
• Generarea statisticilor personale și comparațiilor anonime cu alți utilizatori
• Comunicări legate de cont (email tranzacțional)
• Îmbunătățirea platformei

4. Temei legal

Prelucrăm datele pe baza executării contractului (termenii serviciului), a consimțământului dumneavoastră, și a obligațiilor legale (facturare, evidență contabilă).

5. Procesatori terți

• Stripe — procesare plăți și gestionare abonamente
• Railway — infrastructură cloud și baza de date
• Resend — email tranzacțional (resetare parolă, confirmări, notificări)
• Google — autentificare opțională prin OAuth
• Upstash — limitarea ratei (rate limiting)

Toți procesatorii sunt obligați contractual să respecte GDPR.

6. Perioada de păstrare

Datele de cont sunt păstrate pe durata existenței contului. Datele de facturare se păstrează conform obligațiilor legale (10 ani). La ștergerea contului, datele personale sunt șterse sau anonimizate, exceptând cele necesare obligațiilor legale.

7. Drepturile dumneavoastră

Conform GDPR, aveți dreptul la:

• Acces și portabilitate — în pagina Profil → Cont și date puteți descărca un fișier JSON cu toate datele asociate contului.
• Rectificare — datele profilului (nume, email, an de studiu, obiective) se pot edita oricând în Profil. Pentru email se trimite un link de confirmare la noua adresă.
• Ștergere („dreptul de a fi uitat”) — butonul Șterge contul din Profil → Cont și date șterge definitiv contul și toate datele asociate (sesiuni, răspunsuri, abonament). Dacă există un abonament activ, este anulat imediat.
• Retragerea consimțământului — bifa de marketing se poate dezactiva oricând din Profil → Preferinte. Stocăm momentul în care a fost dat consimțământul pentru audit.
• Restricționarea prelucrării
• Opoziție
• Plângere la ANSPDCP

Pentru întrebări sau cereri suplimentare, contactați-ne la support@grile-rezinote.ro.

8. Securitate

Folosim măsuri tehnice și organizatorice (HTTPS, hash-uirea parolelor, control de acces, audit log-uri) pentru a proteja datele dumneavoastră. Cu toate acestea, nicio metodă de transmitere prin internet nu este 100% sigură.

9. Cookie-uri și statistici de utilizare

Cookie-urile strict necesare pentru funcționarea platformei sunt: cookie-ul de sesiune NextAuth (autentificare), preferințele de temă (light/dark) și protecția CSRF.

Măsurăm traficul cu un sistem de statistici propriu, care rulează pe infrastructura noastră. Nu folosim Google Analytics sau alt instrument extern de măsurare și nu transmitem date de navigare către terți în scopuri de publicitate sau de măsurare. Singura excepție tehnică: pentru protecția anti-abuz, furnizorul nostru de limitare a ratei (Upstash, vezi secțiunea 5) primește un identificator temporar derivat din adresa IP — nimic despre paginile vizitate. Concret:

• Vizitatorii sunt numărați fără identificator persistent: din adresa IP și user-agent calculăm un hash care include ziua curentă și un secret al serverului. Pentru că ziua face parte din calcul, identificatorul se schimbă la fiecare 24 de ore, astfel încât aceeași persoană nu mai poate fi recunoscută a doua zi. Nu stocăm adresa IP.
• Reținem pagina vizitată, canalul de trafic, parametrii utm și domeniul site-ului de proveniență (referrer) — nu adresa completă a paginii de proveniență.
• Pentru conturile autentificate reținem zilele în care contul a fost activ, ca să calculăm indicatori agregați de utilizare și retenție.

Singurul cookie care nu este strict necesar este rn_attr: un cookie propriu (first-party), cu durata de 30 de zile, marcat httpOnly (deci inaccesibil din JavaScript), care păstrează exclusiv campania sau sursa din care ați ajuns pe site. Scopul lui este să putem atribui o înregistrare de cont sursei corespunzătoare. Nu conține date personale, nu este citit de niciun terț și nu este folosit pentru publicitate sau profilare.

Fiind un cookie care nu este strict necesar, rn_attr este scris doar dacă îl acceptați din bannerul afișat la prima vizită. Dacă alegeți „Doar strictul necesar”, nu este scris deloc — numărarea vizitelor descrisă mai sus funcționează în ambele cazuri, pentru că nu stochează nimic pe dispozitivul dumneavoastră. Alegerea se reține în cookie-ul rn_consent (6 luni); o puteți schimba oricând ștergând cookie-urile site-ului din browser, caz în care bannerul reapare.

10. Modificări

Această politică poate fi actualizată. Modificările vor fi anunțate pe email utilizatorilor înregistrați.