Acord de Prelucrare a Datelor

1 Părțile Acordului

Prezentul Acord de Prelucrare a Datelor ("DPA") se încheie între:

2 Definiții

• „Date cu caracter personal" — orice informații privind o persoană fizică identificată sau identificabilă (participant la extragere), conform art. 4 alin. (1) GDPR.
• „Prelucrare" — orice operațiune efectuată asupra datelor cu caracter personal, inclusiv colectare, stocare, utilizare, dezvăluire sau ștergere.
• „Operator" — entitatea care determină scopurile și mijloacele prelucrării datelor (Organizatorul concursului).
• „Persoană împuternicită" — entitatea care prelucrează datele în numele Operatorului (QuickPick.ro).
• „Servicii" — platforma tehnică QuickPick.ro pentru realizarea extragerilor verificabile online.

3 Obiectul și Durata

Prezentul DPA reglementează condițiile în care QuickPick.ro prelucrează datele cu caracter personal ale participanților la extrageri, în numele Organizatorului, în cadrul utilizării platformei QuickPick.ro.

Durata prelucrării corespunde duratei relației contractuale dintre Operator și Procesor, plus perioada necesară ștergerii sau returnării datelor conform secțiunii 8.

4 Natura, Scopul și Tipul Datelor Prelucrate

4.1 Natura și scopul prelucrării

QuickPick.ro prelucrează datele exclusiv în scopul furnizării serviciului tehnic de extragere verificabilă:

• Stocarea listei de participanți încărcate de Organizator
• Calcularea hash-ului SHA-256 al listei pentru verificabilitate
• Selectarea aleatorie a câștigătorilor prin algoritm criptografic
• Publicarea rezultatului extragerii pe o pagină publică de verificare
• Generarea certificatului PDF al extragerii

4.2 Tipuri de date prelucrate

Datele prelucrate sunt cele furnizate exclusiv de Organizator și pot include:

• Identificatori de participanți (nume, pseudonime, username-uri, adrese de email, numere de telefon sau alți identificatori stabiliți de Organizator)
• Numărul de intrări/tickete per participant
• Metadata extragerii (timestamp, hash-uri criptografice, seeds)

4.3 Categorii de persoane vizate

Persoanele vizate sunt participanții la concursurile organizate de Organizator, ale căror date sunt furnizate QuickPick.ro exclusiv de Organizator.

5 Obligațiile QuickPick.ro (Procesorul)

QuickPick.ro se obligă să:

• Prelucreze datele cu caracter personal exclusiv pe baza documentată a instrucțiunilor Organizatorului și exclusiv în scopurile descrise la secțiunea 4.
• Asigure că persoanele autorizate să prelucreze datele și-au asumat obligații de confidențialitate.
• Implementeze măsuri tehnice și organizatorice adecvate pentru securitatea datelor, inclusiv: stocarea securizată în Supabase (infrastructură EU), transmiterea datelor prin HTTPS, controlul accesului prin Row Level Security (RLS).
• Nu transfere datele cu caracter personal către terți fără acordul prealabil al Organizatorului, cu excepția sub-procesatorilor menționați la secțiunea 7.
• Notifice Organizatorul fără întârzieri nejustificate după ce ia cunoștință de o încălcare a securității datelor cu caracter personal.
• Șteargă sau să returneze toate datele cu caracter personal la alegerea Organizatorului, la încetarea serviciilor, conform secțiunii 8.
• Pună la dispoziția Organizatorului toate informațiile necesare pentru a demonstra respectarea obligațiilor din prezentul DPA.

6 Obligațiile Organizatorului (Operatorul)

Organizatorul declară și garantează că:

• Are temei legal valid pentru prelucrarea datelor participanților (consimțământ, interes legitim sau alt temei conform art. 6 GDPR).
• A informat participanții cu privire la prelucrarea datelor lor, inclusiv cu privire la transmiterea datelor către QuickPick.ro ca procesor.
• Datele furnizate QuickPick.ro sunt exacte și actualizate.
• Respectă toate obligațiile aplicabile în calitate de Operator, inclusiv cele privind drepturile persoanelor vizate.
• Este singurul responsabil pentru legalitatea concursului/extragerilor organizate, regulamentul acestora, premiile oferite și comunicarea cu participanții.

7 Sub-Procesatori

Organizatorul autorizează prin acceptarea prezentului DPA utilizarea următorilor sub-procesatori:

QuickPick.ro va notifica Organizatorul cu privire la orice modificare referitoare la adăugarea sau înlocuirea sub-procesatorilor.

8 Ștergerea și Returnarea Datelor

La expirarea perioadei de valabilitate a extragerii (conform planului achiziționat), QuickPick.ro va șterge automat lista participanților, păstrând exclusiv datele necesare pentru verificarea publică a rezultatului (hash-uri, seeds, câștigători).

La solicitarea scrisă a Organizatorului, QuickPick.ro va șterge toate datele cu caracter personal asociate extragerilor Organizatorului în termen de 30 de zile.

9 Drepturile Persoanelor Vizate

Organizatorul este responsabil principal pentru gestionarea cererilor persoanelor vizate (drept de acces, rectificare, ștergere, restricționare, portabilitate, opoziție).

În măsura în care QuickPick.ro primește o cerere directă de la o persoană vizată, va informa persoana să contacteze Organizatorul și va notifica Organizatorul în termen de 5 zile lucrătoare.

10 Incidente de Securitate

QuickPick.ro va notifica Organizatorul fără întârzieri nejustificate (și în orice caz în termen de 72 de ore de la luarea la cunoștință) cu privire la orice incident de securitate care afectează datele cu caracter personal prelucrate în temeiul prezentului DPA.

Notificarea va include: descrierea naturii incidentului, categoriile și numărul aproximativ de persoane vizate afectate, posibilele consecințe și măsurile luate pentru remediere.

11 Transferuri Internaționale de Date

QuickPick.ro prelucrează datele preponderent pe infrastructură localizată în Spațiul Economic European (SEE). În cazul oricărui transfer de date în afara SEE, QuickPick.ro se asigură că există garanții adecvate conform Capitolului V din GDPR.

12 Răspundere

Fiecare parte răspunde față de persoanele vizate pentru daunele cauzate prin prelucrările care îi sunt imputabile, conform art. 82 GDPR. QuickPick.ro este exonerat de răspundere dacă dovedește că nu îi este imputabilă în niciun fel fapta care a cauzat prejudiciul.

13 Legea Aplicabilă

Prezentul DPA este guvernat de legislația română și de Regulamentul (UE) 2016/679 (GDPR). Orice litigiu va fi soluționat de instanțele competente din România sau de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).

14 Acceptare Digitală

Prezentul DPA se consideră acceptat de Organizator prin bifarea căsuței de acceptare la crearea contului pe QuickPick.ro. Acceptarea este înregistrată electronic cu timestamp și adresă de email, constituind dovadă suficientă a acordului în format digital.