Politica de confidențialitate

1. Cine suntem

Serviciul KidWave este operat de Sibstil Doors SRL (CUI RO25411699, nr. Registrul Comerțului J2009000358326), cu sediul în Sibiu, Str. Oștirii nr. 6, sc. B, et. 7, ap. 73, România, reprezentată de Alexandru Rica. Contact pentru orice întrebare legată de date: alex@kulttur.ro.

Pentru datele copiilor și ale părinților, școala ta este operatorul de date, iar KidWave acționează ca persoană împuternicită (art. 28 GDPR), pe baza unui acord de prelucrare (DPA) semnat cu fiecare școală.

2. Ce date prelucrăm

Despre copii: numele și clasa. Fotografia este opțională și se folosește doar dacă școala decide asta. Nu cerem CNP, adresă sau alte date despre copil.

Despre adulți: nume, email și telefon pentru părinți și personalul școlii; nume și telefon pentru persoanele autorizate să preia copilul (bunici, bone).

Tehnice: istoricul preluărilor (cine a anunțat, cine a preluat, la ce oră), abonamentele de notificări push și jurnalul notificărilor trimise.

3. De ce le prelucrăm

În aplicație, un singur scop: coordonarea în siguranță a preluării copiilor de la școală: anunțarea sosirii, panoul live al școlii, notificările către părinți și evidența predărilor. Separat, pe site-ul public (nu în aplicație), prelucrăm statistici de vizită (vezi secțiunea Cookie-uri) și datele din cererile de pilot: numele unității, numele, emailul și, opțional, telefonul persoanei de contact, sursa și mesajul. Pentru acestea, operatorul este Sibstil Doors SRL. Le folosim doar ca să îți răspundem și să organizăm pilotul, pe temeiul interesului nostru legitim de a răspunde cererii unității pe care o reprezinți (art. 6 alin. (1) lit. f) GDPR). Cererea ajunge în baza noastră de date și ca notificare pe email (prin Brevo); o păstrăm cât e scris la „Cât timp le păstrăm”.

Nu vindem date, nu afișăm reclame, nu facem profilare și nu folosim datele în alte scopuri.

4. Locația (detectarea sosirii)

Geofence-ul este dezactivat implicit. Îl activezi tu, manual, din Setări, și îl poți opri oricând.

Doar pentru a calcula distanța dintre telefonul tău și școală. Când ești la ~300m, te întrebăm dacă vrei să anunți sosirea. Niciodată nu confirmăm fără acordul tău.

Coordonatele tale nu părăsesc dispozitivul și nu sunt salvate în nicio bază de date. Calculul distanței se face 100% pe telefonul tău. Stocăm doar locația școlii (setată de administrator).

Folosim locația doar cât ești pe ecranul principal, cu acuratețe redusă (consum mic de baterie). Oprim automat după ce anunți sosirea și la 30 de minute după ora de plecare.

5. Unde sunt stocate și cine le mai atinge

Baza de date și autentificarea: Supabase, găzduite în Uniunea Europeană (Frankfurt, eu-central-1). Aplicația web: Vercel Inc. (SUA, transfer acoperit de Data Privacy Framework / clauze contractuale standard). Email tranzacțional: Brevo (Sendinblue SAS, Franța, găzduit în UE). Copia de siguranță a bazei de date se face noaptea, se criptează (AES-256) înainte de a pleca din infrastructura noastră și se păstrează criptată 30 de zile în GitHub (GitHub Inc., SUA, transfer acoperit de Data Privacy Framework); cheia de decriptare nu e stocată împreună cu copia. Datele șterse dispar și din copiile de siguranță în cel mult 30 de zile.

Aceștia sunt singurii sub-procesatori. Lista completă, cu rol și locație, este anexă la DPA-ul semnat cu școala; orice modificare se notifică în avans.

6. Cât timp le păstrăm

Istoricul preluărilor: 24 de luni (trasabilitate pentru școală), apoi ștergere automată. Notificările: 90 de zile. Persoanele autorizate expirate: 30 de zile. Cererile de contact ale școlilor: 12 luni de la ultima actualizare; cele ale școlilor aflate în pilot sau care au devenit clienți se păstrează pe durata colaborării. Statisticile de vizită ale paginilor publice: 13 luni. La ștergerea contului de părinte se șterg imediat din baza de date: contul, legăturile cu copiii, persoanele autorizate adăugate de tine și notificările. Istoricul preluărilor rămâne la școală până la termenul de 24 de luni, fără legătura cu contul șters (poate păstra numele persoanei care a preluat copilul).

7. Drepturile tale

Ai dreptul de acces, rectificare, ștergere, restricționare și portabilitate, precum și dreptul de a te opune (art. 21 GDPR) prelucrărilor bazate pe interesul nostru legitim, cum sunt cererile de pilot, și dreptul de a-ți retrage oricând consimțământul pentru statistici. Părinții își pot șterge contul direct din aplicație (Setări → Șterge contul); pentru datele copilului, cererea se adresează școlii, iar noi o executăm imediat.

Dacă ceva nu e în regulă, scrie-ne la alex@kulttur.ro. Ai și dreptul de a depune o plângere la ANSPDCP (dataprotection.ro).

8. Securitate

Datele fiecărei școli sunt izolate la nivel de bază de date (row-level security), traficul este criptat (TLS), accesul este strict pe roluri (un părinte vede doar copiii lui, personalul doar școala lui), iar accesul persoanelor autorizate expiră automat în aceeași zi.

9. Cookie-uri

Folosim doar cookie-uri strict necesare: păstrarea sesiunii tale (autentificare), limba aleasă și, pentru persoana autorizată să preia copilul, un cookie care leagă linkul de preluare de telefonul care l-a deschis primul (siguranța predării). Nu folosim cookie-uri de analiză sau de publicitate. Alegerea ta despre statisticile site-ului se păstrează tot local (localStorage), ca să nu te întrebăm la fiecare pagină. Tema (luminos/întunecat) nu e un cookie: se păstrează în memoria locală a browserului (localStorage), ca și câteva preferințe din aplicație (sunet, notificări, locație) și, pentru părinți, ultima stare a ecranului principal, care se șterge la deconectare.

Statistici, doar cu acordul tău: pe paginile publice (nu în aplicație) numărăm vizitele numai după ce apeși „Accept” în bannerul de statistici. Până atunci nu pornește niciun contor. Folosim două instrumente, ambele fără cookie-uri: un contor propriu și Vercel Web Analytics (Vercel Inc.), care primește adresa paginii, site-ul de pe care ai venit, țara, browserul și sistemul de operare și te identifică doar printr-un cod calculat din cerere, șters după 24 de ore. În contorul propriu, pentru fiecare pagină vizitată reținem: adresa paginii, site-ul de pe care ai venit, parametrii de campanie din link (utm), țara dedusă din adresa IP, tipul de dispozitiv și limba. Adresa IP nu o salvăm. Din ea și din tipul de browser calculăm un cod care se schimbă în fiecare zi și nu poate fi transformat înapoi în IP. Așa putem număra vizitatorii unici dintr-o zi, dar nu te putem urmări de la o zi la alta. Dacă ai acceptat și trimiți formularul de cerere, cererea ta e legată de vizita din aceeași zi, ca să știm cum ai aflat de noi. Temeiul este consimțământul tău (art. 6 alin. (1) lit. a) GDPR și art. 4 alin. (5) din Legea nr. 506/2004). Îl poți retrage oricând din linkul „Statistici site” din subsolul paginii; retragerea oprește colectarea de atunci înainte. Datele contorului propriu sunt păstrate 13 luni, apoi se șterg automat.