Politica de confidențialitate

Operatorul datelor tale personale, adică firma care decide de ce și cum sunt folosite, este:

Această politică se aplică site-ului demo.tivona.ro și magazinului online Tivona, contului de client, emailurilor pe care ți le trimitem și comenzilor. Prelucrăm datele conform Regulamentului (UE) 2016/679 (GDPR), Legii nr. 190/2018 privind măsuri de punere în aplicare a acestuia și Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice.

Nu am desemnat un responsabil cu protecția datelor (DPO), pentru că activitatea noastră nu se încadrează în situațiile în care legea îl cere (art. 37 GDPR). Pentru orice întrebare despre datele tale ne scrii la contact@tivona.ro.

Folosim doar datele de care avem nevoie pentru scopurile din secțiunea 3:

• date de identificare și de contact: numele, emailul, telefonul;
• adresele de livrare și de facturare și, dacă cumperi pe firmă, denumirea, CUI-ul și numărul de înregistrare la Registrul Comerțului;
• datele comenzilor: produsele, prețurile, reducerile, metoda de livrare și de plată, facturile, retururile și rambursările (inclusiv IBAN-ul, dacă rambursarea se face prin transfer bancar);
• datele contului: parola (păstrată doar ca amprentă criptografică), setările de securitate, lista de favorite;
• conținutul pe care ni-l trimiți: mesaje, recenzii, fotografii, sesizări;
• date tehnice: adresa IP (folosită ca amprentă ireversibilă, pseudonimizată în dovada acordului pentru newsletter sau doar temporar), tipul de browser și de dispozitiv și, numai cu acordul tău, paginile vizitate;
• preferințele tale: abonarea la newsletter, alegerea din bannerul de cookie-uri, limba site-ului.

De unde avem datele

• de la tine, când comanzi, îți faci cont, ne scrii, lași o recenzie sau te abonezi;
• de la persoana care comandă pentru tine (de exemplu, numele și adresa ta ca destinatar al unui cadou);
• de la procesatorii de plăți și de la curieri: confirmarea plății și stadiul livrării;
• de la browserul tău, automat: datele tehnice de mai sus.

Ești obligat să ne dai datele?

Datele marcate ca obligatorii la finalizarea comenzii sunt necesare pentru încheierea și executarea contractului și pentru factură: fără ele nu putem prelua și livra comanda. Restul (contul, newsletterul, recenziile, statisticile de vizitare) sunt opționale.

Nu îți cerem date despre sănătate. Le prelucrăm doar dacă ni le transmiți tu, într-o sesizare despre o reacție la un produs (secțiunea 5). Nu vindem și nu închiriem datele tale.

Tabelul de mai jos arată, pentru fiecare scop, ce date folosim, pe ce temei legal din GDPR și cât timp le păstrăm. După expirarea termenelor, datele se șterg sau se anonimizează.

Când ne bazăm pe interesul legitim, am cântărit mai întâi interesul nostru față de drepturile tale și ne limităm la ce e necesar. Te poți opune oricând acestor prelucrări (secțiunea 9). Consimțământul îl poți retrage oricând, fără să afecteze ce s-a prelucrat înainte.

Analiza pielii de pe site (chestionarul despre tenul tău) se face în întregime pe dispozitivul tău, în browser: pe baza răspunsurilor îți arătăm tipul de ten estimat, nevoile care ies în față și ritualul potrivit. Răspunsurile și rezultatul nu sunt trimise către serverele noastre, nu le salvăm la noi și nu le legăm de contul tău. Nu le vede nimeni din echipa Tivona.

Ca să te poți întoarce la rezultat fără să reiei chestionarul, răspunsurile rămân salvate în memoria locală a browserului tău, sub cheia „tivona-ritual-answers”. Se șterg singure după 180 de zile de la ultimul răspuns, iar până atunci le poți șterge oricând, imediat, cu butonul „Reia analiza” de pe pagina rezultatului sau golind datele site-ului din browser. Dacă adaugi în coș produsele recomandate, în browser se mai salvează și coșul, ca la orice cumpărătură (vezi Politica de cookie-uri).

Dacă ne semnalezi o reacție neașteptată la un produs, așa cum explicăm în Termenii și condițiile, ne transmiți și informații despre sănătatea ta. Acestea fac parte dintr-o categorie specială de date (art. 9 GDPR), așa că le tratăm cu grijă suplimentară și limităm accesul la ele la persoanele care se ocupă de caz.

Ce date

Numele și datele de contact, produsul și numărul lotului, data de la care l-ai folosit, zona pe care l-ai aplicat, descrierea reacției, tratamentul primit și fotografiile, dacă ni le trimiți.

De ce

Ca să analizăm cazul și să-ți răspundem, să notificăm efectele nedorite grave autorității competente (în România, Ministerul Sănătății) și să urmărim siguranța produselor.

Temeiul legal

Obligația legală din art. 23 al Regulamentului (CE) nr. 1223/2009 privind produsele cosmetice (art. 6 alin. (1) lit. c) GDPR), iar pentru datele despre sănătate, motive de interes public în domeniul sănătății publice, pentru siguranța produselor (art. 9 alin. (2) lit. i) GDPR). Dacă e nevoie să ne apărăm drepturile în instanță, art. 9 alin. (2) lit. f) GDPR.

Cine le primește

Persoana responsabilă pentru produs (menționată pe ambalaj), dacă nu suntem chiar noi, evaluatorul de siguranță al produsului și, pentru efectele grave, Ministerul Sănătății. Transmitem datele care te identifică doar când sunt necesare.

Cât le păstrăm

Datele care te identifică: cât durează analiza cazului, apoi cel mult 3 ani (termenul general de prescripție). Informațiile despre efectul observat, fără date care să te identifice, pot rămâne în dosarul cu informații despre produs cât timp trebuie păstrat acesta: 10 ani de la introducerea pe piață a ultimului lot (art. 11 din Regulamentul (CE) nr. 1223/2009).

Nu vindem și nu închiriem datele tale. Le transmitem doar celor care au nevoie de ele pentru scopurile de mai sus:

• furnizorilor care lucrează în numele nostru, pe bază de contract și cu obligația de a păstra confidențialitatea și securitatea datelor: găzduirea site-ului, trimiterea emailurilor, facturarea, monitorizarea tehnică și mentenanța IT;
• partenerilor care prelucrează datele și în nume propriu, pentru serviciul pe care ți-l prestează: procesatorii de plăți și băncile, firmele de curierat;
• contabilului, auditorilor și avocaților noștri, care au obligația de confidențialitate;
• persoanei responsabile pentru produsele cosmetice și autorităților de sănătate publică, doar pentru sesizările despre reacții adverse;
• autorităților și instituțiilor publice (de exemplu ANAF, ANPC, ANSPDCP, instanțe, poliție), doar când legea ne obligă sau pentru apărarea drepturilor noastre;
• unui eventual cumpărător sau succesor al afacerii, dacă aceasta se reorganizează sau se vinde, cu aceleași garanții pentru datele tale.

Furnizorii pe care îi putem folosi

În funcție de serviciile active la un moment dat, putem folosi următorii furnizori:

Majoritatea furnizorilor noștri prelucrează datele în România sau în alte state din Spațiul Economic European (SEE). Unele date ajung în afara SEE doar cu garanțiile cerute de capitolul V din GDPR:

• Resend, pentru trimiterea emailurilor (SUA): pe baza deciziei de adecvare adoptate de Comisia Europeană la 10 iulie 2023 pentru cadrul UE-SUA privind protecția datelor (EU-U.S. Data Privacy Framework), în care furnizorul este certificat;
• Stripe, dacă plătești prin Stripe: unele date ajung la Stripe, LLC (SUA), pe baza aceluiași cadru și a clauzelor contractuale standard adoptate de Comisia Europeană;

Poți cere informații despre aceste garanții sau o copie a lor, scriindu-ne la contact@tivona.ro.

Luăm măsuri tehnice și organizatorice potrivite riscului, printre care:

• conexiunea la site este criptată (HTTPS), iar browserele sunt instruite să o folosească întotdeauna;
• parolele se păstrează doar ca amprentă criptografică, niciodată în clar;
• poți activa verificarea în doi pași; cheile secrete sunt criptate, iar dispozitivele de încredere se pot retrage oricând din cont;
• după prea multe încercări greșite de autentificare, accesul se blochează temporar;
• accesul la panoul de administrare e permis doar conturilor autorizate, iar drepturile lor se reverifică periodic;
• datele cardului nu trec prin serverele noastre;
• formularele publice sunt protejate împotriva trimiterilor automate, iar linkurile personale trimise pe email (resetarea parolei, retururi, recenzii) expiră.

Dacă are loc o încălcare a securității datelor care prezintă un risc pentru tine, o notificăm ANSPDCP în cel mult 72 de ore de la momentul în care am aflat de ea și, dacă riscul este ridicat, te anunțăm și pe tine, fără întârziere nejustificată (art. 33 și 34 GDPR).

Nicio transmisie prin internet nu este complet sigură. Te rugăm să păstrezi parola confidențială și să folosești verificarea în doi pași.

În legătură cu datele tale personale ai următoarele drepturi, în condițiile GDPR:

Acces (art. 15)

Să afli dacă prelucrăm date despre tine și să primești o copie a lor, împreună cu informații despre felul în care le folosim.

Rectificare (art. 16)

Să corectezi datele greșite sau să le completezi pe cele incomplete. Multe le poți modifica singur, din cont.

Ștergere (art. 17)

Să ceri ștergerea datelor („dreptul de a fi uitat”), de exemplu când nu mai sunt necesare sau îți retragi acordul. Nu putem șterge datele pe care legea ne obligă să le păstrăm (de exemplu, facturile) sau de care avem nevoie pentru apărarea unor drepturi.

Restricționare (art. 18)

Să ceri să folosim datele doar limitat, de exemplu cât timp verificăm dacă sunt exacte sau analizăm o obiecție a ta.

Portabilitate (art. 20)

Să primești datele pe care ni le-ai dat și pe care le prelucrăm automat, pe bază de contract sau de consimțământ, într-un format structurat, folosit în mod curent și care poate fi citit automat, ori să ceri transmiterea lor direct altui operator, când e posibil tehnic.

Opoziție (art. 21)

Să te opui, din motive legate de situația ta, prelucrărilor bazate pe interesul nostru legitim. Te poți opune oricând, fără să dai vreun motiv, folosirii datelor în scop de marketing direct.

Retragerea consimțământului (art. 7)

Oricând, la fel de simplu cum l-ai dat: din linkul de dezabonare, din butonul pentru cookie-uri sau scriindu-ne. Retragerea nu afectează prelucrarea făcută înainte.

Decizii automate (art. 22)

Nu luăm decizii bazate exclusiv pe prelucrare automată care să producă efecte juridice asupra ta sau să te afecteze în mod similar. Analiza pielii îți oferă doar sugestii de produse (secțiunea 4). Procesatorii de plăți și băncile pot face propriile verificări automate împotriva fraudei (de exemplu 3-D Secure), conform politicilor lor.

Pentru oricare dintre drepturi scrie-ne la contact@tivona.ro, de preferat de pe adresa de email folosită la comenzi sau în cont. Unele lucruri le poți face și singur:

• din cont poți modifica datele de profil (Profil) și poți gestiona parola, verificarea în doi pași și dispozitivele de încredere (Securitate);
• te poți dezabona de la newsletter din linkul aflat în fiecare email;
• îți poți schimba alegerea privind cookie-urile din butonul „Cookie-uri” din colțul din stânga jos al paginii (apare după prima alegere) sau din butonul „Schimbă preferințele de cookie-uri” din Politica de cookie-uri.

Îți răspundem fără întârziere nejustificată și în cel mult o lună de la primirea cererii. Dacă cererea este complexă sau primim multe cereri, termenul se poate prelungi cu încă două luni; în acest caz te anunțăm în prima lună și îți explicăm motivul (art. 12 alin. (3) GDPR).

Exercitarea drepturilor este gratuită. Dacă o cerere este în mod vădit nefondată sau excesivă, mai ales prin caracterul ei repetitiv, putem percepe o taxă rezonabilă sau o putem refuza, cu explicații. Ca datele să ajungă doar la tine, îți putem cere informații suplimentare pentru a-ți confirma identitatea.

Când corectăm sau ștergem date ori restricționăm prelucrarea lor, îi anunțăm și pe destinatarii cărora le-am transmis datele, dacă acest lucru este posibil (art. 19 GDPR).

Dacă apreciezi că prelucrăm datele tale cu încălcarea legii, te rugăm să ne scrii mai întâi, ca să putem lămuri situația. Ai însă oricând dreptul să depui o plângere la autoritatea de supraveghere (art. 77 GDPR), fără să ne fi scris înainte. În România, aceasta este:

Poți depune plângerea și la autoritatea de supraveghere din statul membru în care locuiești, în care lucrezi sau în care a avut loc presupusa încălcare. De asemenea, te poți adresa instanței competente.

Site-ul nu se adresează copiilor. Comenzile se plasează de persoane de cel puțin 18 ani, așa cum prevăd Termenii și condițiile.

Pentru serviciile online care se bazează pe consimțământ (de exemplu newsletterul sau statisticile de vizitare), vârsta de la care poți consimți singur este de 16 ani (art. 8 GDPR; legea română nu a coborât această vârstă). Sub această vârstă, acordul trebuie dat sau autorizat de părinte ori de tutore.

Avem și produse gândite pentru adolescenți. Recomandăm ca acestea să fie alese împreună cu un părinte, iar comanda să fie plasată de părinte, cu datele lui.

Dacă afli că un copil sub 16 ani ne-a transmis date fără acordul părinților, scrie-ne la contact@tivona.ro și le ștergem.

Site-ul folosește doar cookie-uri și date din browser proprii. Cele esențiale (contul, coșul, securitatea, limba, alegerea din banner) funcționează fără acord, statisticile de vizitare detaliate pornesc doar dacă accepți categoria „Analiză”, iar cu acordul pentru categoria „Marketing” ținem minte în browser ce mesaje promoționale (popup-uri) ai văzut, ca să nu-ți apară prea des. Fără acest acord, după ce închizi sau folosești un popup, ținem minte asta doar până închizi fila sau browserul. Cookie-uri de publicitate nu folosim. Lista completă, cu durate, se află în Politica de cookie-uri.

Actualizăm această politică atunci când se schimbă datele pe care le prelucrăm, furnizorii noștri sau legislația. Versiunea nouă se publică pe această pagină, cu data ultimei actualizări. Dacă schimbarea este importantă (de exemplu, un scop nou sau un nou tip de date), te anunțăm și prin email sau printr-un mesaj vizibil pe site, înainte să se aplice.