Politică de confidențialitate

Această politică explică cum MEGA PROMOTING S.R.L. („noi", „operatorul Megaforms") prelucrează datele cu caracter personal colectate prin platforma Megaforms, disponibilă pe forms.megapromoting.com. Politica respectă Regulamentul (UE) 2016/679 (GDPR) și Legea nr. 195/2024 a Republicii Moldova privind protecția datelor cu caracter personal (care a înlocuit Legea nr. 133/2011).

1. Cine suntem (operatorul Megaforms)

Denumire: MEGA PROMOTING S.R.L.
IDNO: 1019600021765
Sediul: s. Dănceni, r-l Ialoveni, MD-6814, Republica Moldova
Contact protecția datelor: privacy@megapromoting.com
Email general: oleg@megapromoting.com

2. Două roluri distincte de operator

Megaforms operează în două ipostaze diferite, în funcție de tipul utilizatorului:

• Pentru titularii de cont (utilizatori care își creează un cont și publică chestionare): MEGA PROMOTING este operator al datelor dvs. de cont (email, parolă, plan, facturare).
• Pentru respondenți (persoane care completează un chestionar publicat de altcineva): MEGA PROMOTING acționează ca persoană împuternicită a titularului de cont care a creat formularul, iar acel titular este operatorul al datelor din răspunsuri. În același timp, MEGA PROMOTING rămâne operator independent pentru loguri tehnice (adresa IP hash-uită, user-agent, jurnale de securitate).

Fiecare formular afișează clar cine este titularul de cont care îl operează, astfel încât respondenții să știe către cine ajung răspunsurile.

3. Ce date colectăm

Date de cont: email, nume, parolă (hash bcrypt, niciodată în clar), numele workspace-ului, plan abonament, status.
Date din chestionare: conținutul formularelor create de dvs. și răspunsurile pe care le primiți de la respondenți (doar ce ei completează voluntar).
Date tehnice: adresă IP (hash-uită pentru jurnale de consimțământ), user-agent, vizualizări pagini (pentru rate limit și prevenirea abuzului).
Date de facturare: gestionate de Stripe Payments Europe, Ltd. (Irlanda). Stocăm doar ID-ul de client Stripe și statusul abonamentului — datele cardului nu trec niciodată prin serverele noastre.
Consimțăminte: înregistrăm fiecare bifare a respondenților (ce, când, pe ce versiune de politică) ca să putem demonstra acordul conform art. 7(1) GDPR.

4. Unde sunt stocate datele

Toate datele sunt stocate pe servere din Uniunea Europeană — OVHcloud, centre de date Strasbourg / Roubaix, Franța. Datele nu părăsesc infrastructura controlată din UE decât dacă activați explicit o integrare cu un terț (de ex. webhook către propriul dvs. sistem, integrare Telegram, Slack, Notion).

5. De ce prelucrăm datele (scopurile și temeiul legal)

• Furnizarea serviciului (creare cont, publicare chestionare, colectare răspunsuri) — art. 6(1)(b) GDPR: executarea contractului.
• Colectare răspunsuri de la respondenți — art. 6(1)(a) GDPR: consimțământ (bifa explicită înainte de a completa formularul) + art. 6(1)(f) interes legitim al titularului de cont care a publicat chestionarul.
• Facturare și obligații fiscale — art. 6(1)(c) obligație legală(Codul Fiscal al RM, Legea contabilității).
• Securitate, prevenire fraudă, rate limit — art. 6(1)(f) interes legitim.
• Comunicări de marketing (newsletter, promoții) — doar pe baza consimțământului separat, cu opțiune de dezabonare cu un singur clic (RFC 8058).

6. Sub-procesatorii noștri

Pentru a opera serviciul ne sprijinim pe câțiva furnizori. Lista completă, actualizată, este la /sub-processors. Pe scurt:

• OVHcloud (găzduire infrastructură) — Franța, UE.
• Stripe Payments Europe, Ltd. (procesare plăți) — Irlanda, UE.
• Infobip Ltd. (email tranzacțional + SMS OTP) — Croația, UE. Înlocuiește vechiul nostru furnizor Resend.
• OpenAI Ireland Ltd. (urmărire AI opțională, când activată per chestionar) — contract Zero Data Retention: solicitările NU sunt stocate de OpenAI.
• Plausible Analytics (statistici site, fără cookie-uri) — Germania, UE.

7. Drepturile dvs. conform GDPR

Aveți următoarele drepturi, exercitabile gratuit, oricând:

1. Acces (art. 15) — să aflați ce date avem despre dvs.
2. Rectificare (art. 16) — să corectați date incorecte.
3. Ștergere („dreptul de a fi uitat", art. 17).
4. Restricționare (art. 18) — să blocați temporar prelucrarea.
5. Portabilitate (art. 20) — să primiți datele într-un format export (JSON / CSV).
6. Opoziție (art. 21) — la prelucrările pe interes legitim sau marketing.
7. Retragerea consimțământului (art. 7(3)) — oricând, fără să afectați valabilitatea prelucrărilor anterioare.
8. Plângere la autoritatea de supraveghere — Centrul Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova (datepersonale.md), sau autoritatea de protecție a datelor din țara dvs. de reședință (lista autorităților UE: edpb.europa.eu).

Pentru a exercita orice drept, scrieți la privacy@megapromoting.com. Răspundem în maxim 30 de zile calendaristice.

8. Perioada de păstrare

Date de cont: cât timp contul este activ. După ștergerea contului păstrăm doar ce e cerut legal (registre fiscale: 10 ani pentru facturi conform Legii contabilității RM); restul anonimizăm în maximum 30 de zile. Copiile de siguranță (backup-uri) se purifică în 60 de zile suplimentare.
Răspunsuri din chestionare: reținere implicită 365 de zile(configurabilă per workspace la 30 / 90 / 180 / 365 zile sau „permanent" din Setări → Politica de retenție).
Înregistrări vocale (dacă activate): implicit 90 de zile(mai scurt decât textul, sensibilitate mai mare). Criptate pe disc cu LUKS pe serverele OVH.
Jurnale tehnice și de securitate: 12 luni.
Jurnale de consimțământ: minimum 3 ani după retragere (demonstrabilitate conform art. 7 GDPR).

9. Formulare private și acces controlat

Formularele sunt private în mod implicit. Respondentul își introduce adresa de email, primește un cod de 6 cifre și obține un cookie semnat valabil 24 de ore. Formularele nu sunt indexate de Google sau de roboții AI (header HTTPX-Robots-Tag: noindex, nofollow + robots.txt Disallow + excludere din sitemap). Titularul contului poate face un chestionar public explicit, dacă dorește.

10. Cookie-uri

Folosim cookie-uri strict necesare pentru autentificare (megaforms_token), protecție CSRF (mf_csrf) și acces la formularele private (mf_q_<slug>). Nu folosim cookie-uri de tracking, publicitate sau profilare. Plausible Analytics funcționează fără cookie-uri. Detalii complete în Politica de cookies. Banner-ul de cookies oferă butoane simetrice Accept și Refuzconform Ghidului EDPB 03/2022.

11. Transparența pentru asistentul AI (Art. 50 Regulamentul UE AI Act)

Când titularul contului activează funcția de „întrebare ulterioară AI" pe un chestionar, respondenții sunt informați explicit înainte de a începe că interacționează cu un sistem AI și că răspunsurile lor pot fi analizate automat. Procesarea AI necesită consimțământ separat bifat de respondent înainte de prima întrebare. Detalii despre evaluarea de impact (DPIA Art. 35 GDPR + AI Act) sunt în hub-ul juridic.

12. Răspunsuri prin voce, înregistrări audio și antrenarea modelelor AI

Pe formularele unde titularul contului a activat răspunsul vocal, respondentul poate înregistra un răspuns în loc să îl scrie. În acest caz prelucrăm:

• fișierul audio — stocat pe serverul nostru din Uniunea Europeană (OVH, Franța), niciodată public;
• transcrierea — textul rezultat, care devine răspunsul dvs. la întrebare și pe care îl puteți corecta înainte de a-l trimite.

Pentru transcriere, fișierul audio este trimis către un furnizor de modele de transcriere automată prin gateway-ul nostru api.megapromoting.com. Furnizorul îl prelucrează exclusiv pentru a produce textul și nu îl folosește pentru antrenarea propriilor modele.

Antrenarea modelelor noastre AI se face numai cu consimțământul dvs. separat. Înainte de a începe un formular cu răspuns vocal, vă cerem o bifă distinctă, opțională, prin care puteți accepta ca înregistrările audio și transcrierile lor să fie folosite pentru îmbunătățirea și antrenarea modelelor AI folosite de MEGA PROMOTING. Temeiul legal este consimțământul — art. 6(1)(a) GDPR și dispozițiile corespunzătoare din Legea nr. 195/2024.

Această bifă respectă art. 7(4) GDPR: este complet opțională și nu condiționează în niciun fel folosirea formularului. Dacă o lăsați nebifată, formularul funcționează identic, iar înregistrarea dvs. este folosită exclusiv pentru a genera răspunsul la întrebare, apoi păstrată conform secțiunii 8 (Perioada de păstrare). Nu este pre-bifată niciodată, iar refuzul nu are nicio consecință.

Vă puteți retrage consimțământul oricând, fără să justificați, scriind la privacy@megapromoting.com. Retragerea produce efecte pentru viitor: nu mai includem materialul dvs. în seturile de antrenare, iar la cerere îl ștergem din cele existente. Retragerea nu afectează legalitatea prelucrării efectuate înainte de retragere (art. 7(3) GDPR).

Consimțământul dvs. — bifat sau refuzat, cu data, versiunea politicii și o amprentă ireversibilă a adresei IP — este înregistrat separat pentru fiecare sesiune, ca să putem demonstra oricând pe ce bază am prelucrat datele (art. 7(1) GDPR).

13. Fișiere atașate la răspunsuri

Pe întrebările de tip „atașare fișier", respondentul poate încărca un document (PDF, Word, Excel, PowerPoint, text sau imagine, maximum 10 MB per fișier). Fișierul este stocat pe același server din Uniunea Europeană (OVH, Franța) ca restul răspunsurilor și nu este niciodată public: poate fi descărcat exclusiv de utilizatorii autentificați ai contului care deține formularul.

Un fișier atașat poate conține date personale pe care nu le controlăm în avans. De aceea vă recomandăm să încărcați doar documentele strict necesare scopului formularului și să anonimizați ce nu e relevant. Operatorul acestor date este titularul contului care a creat formularul, conform secțiunii 2.

Fișierele atașate nu sunt folosite pentru antrenarea modelelor AI, indiferent de bifele din secțiunea 12 — acel consimțământ acoperă exclusiv înregistrările audio și transcrierile lor. Fișierele se păstrează cât timp se păstrează sesiunea din care fac parte (secțiunea 8) și se șterg odată cu ea.

14. Marketing și dezabonare

Trimitem comunicări de marketing (newsletter, oferte, sfaturi) doar către utilizatori care s-au abonat explicit. Fiecare email include header-ul List-Unsubscribe (RFC 8058), iar Gmail și Apple Mail afișează un buton „Dezabonare" cu un singur clic. Emailurile tranzacționale (cod de autentificare, chitanță, resetare parolă) NU sunt considerate marketing și nu pot fi dezactivate atât timp cât contul e activ — sunt necesare pentru executarea contractului.

15. Incidente de securitate

În cazul unui incident care implică date cu caracter personal, notificăm autoritatea de supraveghere competentă în maximum 72 de ore de la momentul în care am luat cunoștință (art. 33 GDPR). Persoanele afectate sunt notificate fără întârziere când există un risc ridicat (art. 34). Procedura noastră internă este descrisă în „Breach Response Runbook" (link în hub-ul juridic).

16. Modificări ale politicii

Vom actualiza această politică ori de câte ori e necesar. Versiunea curentă este afișată în capul paginii. Modificările substanțiale (de ex. un nou sub-procesator, schimbarea scopului prelucrării) sunt notificate pe email titularilor de cont cu cel puțin 30 de zile înainte de a intra în vigoare. Respondenții vor fi cerute să bifeze din nou consimțământul la următoarea sesiune deschisă.

17. Contact

Pentru orice întrebare referitoare la datele cu caracter personal:
Email: privacy@megapromoting.com
Adresă poștală: MEGA PROMOTING S.R.L., s. Dănceni, r-l Ialoveni, MD-6814, Republica Moldova