Politica de confidențialitate

Operatorul datelor cu caracter personal prelucrate prin edumatch.ro este Călin Spiridon, persoană fizică, cu adresa de corespondență office@edumatch.ro („noi”). edumatch nu aparține unei societăți comerciale și nu are scop comercial; serviciul este gratuit.

Această politică descrie cum prelucrăm datele, în conformitate cu Regulamentul (UE) 2016/679 (GDPR), Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR, Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, precum și cu celelalte reglementări aplicabile în 2026, inclusiv Regulamentul (UE) 2024/1689 privind inteligența artificială, în ceea ce privește obligațiile de transparență.

Nu avem obligația legală de a numi un responsabil cu protecția datelor (DPO). Toate cererile privind datele se trimit la office@edumatch.ro. Răspundem în cel mult o lună; pentru cereri complexe, termenul poate fi prelungit cu încă două luni, caz în care te anunțăm.

• Elevii și celelalte persoane care își creează cont și fac testul („utilizatori”).
• Părinții și tutorii care primesc cererea de acord pentru un copil sub 16 ani sau elev de gimnaziu.
• Vizitatorii paginilor publice, inclusiv ai statisticilor.
• Persoanele care ne scriu la office@edumatch.ro.

• Datele contului: prenumele, adresa de email, parola (păstrată doar sub formă criptată ireversibil; nu o putem citi), data nașterii, clasa, orașul, limba site-ului și preferința de temă (luminoasă sau întunecată).
• Datele testului: răspunsurile la fiecare întrebare, timpul de răspuns, data fiecărei sesiuni, rezultatele calculate (scoruri pe categorii, potriviri), specializările, profilurile și meseriile pe care le salvezi, și testele refăcute de la un an la altul.
• Datele acordului parental: adresa de email a părintelui, numele scris de el, decizia (acord sau refuz), data și ora, versiunea textului acceptat și o amprentă tehnică (o valoare derivată criptografic din adresa IP, nu adresa IP în clar, și tipul browserului).
• Conversațiile cu Consilierul AI (când este disponibil): întrebările tale și răspunsurile generate.
• Date tehnice și de securitate: jurnale de funcționare (de exemplu, încercări de autentificare, erori), adresa IP în jurnalele serverului, tipul dispozitivului și al browserului, pentru o perioadă scurtă.
• Date de utilizare (analiză): pagini vizitate, durata vizitei, sursa de trafic, tipul dispozitivului, aproximarea locației la nivel de oraș, colectate prin Google Analytics doar dacă accepți cookie-urile de analiză (vezi Politica de cookie-uri).
• Corespondența: ce ne scrii la office@edumatch.ro și răspunsurile noastre.

Nu cerem și nu prelucrăm CNP, adresă de domiciliu, număr de telefon, fotografii, date despre sănătate, religie, etnie, orientare sexuală sau alte categorii speciale de date. Te rugăm să nu le introduci nici în Consilierul AI; dacă apar totuși, le ștergem când le observăm.

Prelucrăm datele doar pentru scopurile de mai jos, fiecare cu temeiul său legal din art. 6 GDPR:

• Crearea și administrarea contului, testul, rezultatele și recomandările personalizate (inclusiv compararea rezultatelor de la un an la altul): consimțământul tău (art. 6 alin. (1) lit. a), dat la crearea contului. Pentru copiii sub 16 ani, consimțământul este dat sau autorizat de părinte ori tutore (art. 8 GDPR; pragul de 16 ani se aplică în România).
• Comunicările legate de serviciu (confirmarea emailului, emailul către părinte, deblocarea testului, mementoul anual pentru refacerea testului, avertizarea înainte de ștergerea contului inactiv, anunțuri privind modificări importante): executarea serviciului pe care l-ai cerut (art. 6 alin. (1) lit. b) și interesul nostru legitim de a-l administra (lit. f). Nu trimitem marketing.
• Păstrarea dovezii acordului parental și a acceptării termenilor: obligația legală de a putea demonstra consimțământul (art. 6 alin. (1) lit. c) coroborat cu art. 7 alin. (1) GDPR).
• Securitatea Platformei și prevenirea abuzurilor (limitarea numărului de emailuri, blocarea conturilor false, jurnale de securitate): interesul legitim de a proteja serviciul și utilizatorii (art. 6 alin. (1) lit. f).
• Statistici, cercetare și îmbunătățirea testului: interesul legitim de a înțelege orientarea elevilor și de a menține un instrument corect (art. 6 alin. (1) lit. f), cu garanțiile din art. 89 GDPR. Statisticile publicate sau transmise sunt anonimizate (secțiunea 6).
• Măsurarea audienței prin Google Analytics: consimțământul tău pentru cookie-uri (art. 6 alin. (1) lit. a GDPR și art. 4 din Legea nr. 506/2004).
• Răspunsul la cererile tale privind datele și la corespondență; îndeplinirea obligațiilor legale, inclusiv față de autorități: obligația legală (art. 6 alin. (1) lit. c) și interesul legitim (lit. f).

Nu folosim datele pentru publicitate, marketing direct sau profilare comercială și nu le vindem.

Testul edumatch este, în sensul art. 4 pct. 4 GDPR, o formă de profilare: din răspunsurile tale calculăm un profil de interese și preferințe și îl comparăm cu profilurile programelor de studii și ale meseriilor. Scopul este exclusiv orientarea ta. Profilul nu este folosit pentru nimic altceva și nu este transmis școlilor, universităților sau angajatorilor.

Rezultatul nu este o decizie cu efecte juridice sau similare asupra ta în sensul art. 22 GDPR: nu determină admiterea, notele sau accesul la vreun serviciu; este o recomandare pe care o poți urma sau ignora. Ai oricând dreptul să ceri explicații despre cum a fost calculat rezultatul și să ceri ca un om să îl revadă, scriind la office@edumatch.ro. Cum funcționează calculul este descris în pagina Transparență AI.

a) Furnizori care prelucrează datele pentru noi (persoane împuternicite, art. 28 GDPR), doar la instrucțiunile noastre, pe bază de contract de prelucrare a datelor:

• Supabase: baza de date și autentificarea; serverele sunt în Uniunea Europeană (Frankfurt, Germania).
• Vercel: găzduirea și livrarea site-ului.
• Resend: trimiterea emailurilor de serviciu (confirmare, acord parental, mementouri).
• Anthropic: furnizorul modelului de limbaj pentru Consilierul AI, când este disponibil; potrivit contractului, nu folosește conversațiile pentru antrenarea modelelor sale.
• Google (Google Analytics): măsurarea audienței, doar cu consimțământul tău pentru cookie-uri, cu adresa IP trunchiată și fără funcții publicitare.

b) Autorități publice și alte entități, atunci când legea ne obligă sau ne permite: instanțe, organe de urmărire penală, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), alte autorități (de exemplu Ministerul Educației) în baza unei cereri legale, precum și consilieri juridici sau tehnici ținuți de confidențialitate, dacă este necesar pentru apărarea drepturilor noastre.

c) Statistici agregate și anonimizate, oricui: calculăm statistici pe grupuri de cel puțin 50 de elevi (de exemplu, din ce orașe vin elevii, spre ce domenii se orientează, cum evoluează preferințele de la un an la altul). Din ele nu se poate identifica nicio persoană, deci nu mai sunt date cu caracter personal. Le putem publica pe Platformă și le putem transmite autorităților publice (Ministerul Educației, inspectorate școlare, Institutul Național de Statistică), universităților, liceelor, cercetătorilor, presei, partenerilor și oricărei alte entități interesate, gratuit sau contra cost.

d) Date pseudonimizate pentru cercetare: putem pune la dispoziția unor instituții de cercetare sau de învățământ seturi de date din care au fost eliminate numele, emailul și orice identificator direct, exclusiv pentru cercetare în interes public în domeniul orientării școlare, pe bază de contract, cu obligația de a nu încerca reidentificarea, de a nu transfera datele mai departe și de a le prelucra în Uniunea Europeană (art. 89 GDPR).

e) Un succesor al Platformei: dacă edumatch este transferat unei societăți sau unui alt operator, datele pot fi transferate acestuia, în aceleași scopuri. Te anunțăm înainte, cu cel puțin 30 de zile, și poți cere ștergerea contului până la transfer.

Nu vindem datele personale și nu le transmitem școlilor, universităților, angajatorilor sau agențiilor de publicitate în formă care să te identifice.

Datele sunt stocate în Uniunea Europeană. Unii furnizori (Vercel, Resend, Anthropic, Google) sunt societăți cu sediul în Statele Unite și pot accesa datele din afara SEE. În aceste cazuri, transferul se face doar în condițiile capitolului V GDPR: în baza Deciziei de adecvare a Comisiei Europene privind Cadrul UE–SUA pentru confidențialitatea datelor (pentru furnizorii certificați) sau a clauzelor contractuale standard aprobate de Comisie, completate, unde este cazul, cu măsuri suplimentare. Poți cere o copie a acestor garanții la office@edumatch.ro.

• Datele contului și ale testului: cât timp contul este activ.
• Conturi cu email neconfirmat sau fără acord parental: se șterg automat după 30 de zile. Conturi al căror acord a fost refuzat sau retras: se șterg la cerere, iar fără cerere, în cel mult 30 de zile de la refuz; după retragere, nu mai salvăm nimic nou.
• Conturi nefolosite 24 de luni: se șterg automat, după un email de avertizare trimis cu cel puțin 30 de zile înainte.
• Dovada acordului parental și a acceptării termenilor (email, nume, decizie, dată, versiunea textului): 3 ani de la ștergerea contului sau de la ultima decizie, pentru a putea demonstra legalitatea prelucrării; apoi se șterge.
• Conversațiile cu Consilierul AI: cât timp contul este activ; le poți șterge și tu, din cont, când funcția este disponibilă.
• Jurnale tehnice și de securitate: cel mult 12 luni.
• Date Google Analytics: cel mult 14 luni, conform setărilor noastre.
• Corespondența: 3 ani de la închiderea discuției, ca dovadă.

La ștergerea contului, indiferent de motiv, ștergem toate datele care te identifică (nume, email, data nașterii, orașul la nivel individual, conversațiile). Răspunsurile și rezultatele testului sunt anonimizate ireversibil (rupte definitiv de orice identificator) și păstrate pe termen nelimitat, exclusiv pentru statistici și cercetare. După anonimizare, ele nu mai sunt date cu caracter personal și nu mai pot fi legate de tine.

Potrivit art. 15–22 GDPR, ai dreptul:

• de acces: să afli ce date avem despre tine și să primești o copie;
• la rectificare: să corectezi datele inexacte;
• la ștergere („dreptul de a fi uitat”): să ceri ștergerea contului și a datelor;
• la restricționarea prelucrării, în cazurile prevăzute de lege;
• la portabilitate: să primești datele furnizate de tine într-un format structurat, uzual, care poate fi citit automat;
• la opoziție: să te opui prelucrărilor bazate pe interesul legitim, inclusiv statisticilor, caz în care încetăm prelucrarea dacă nu avem motive legitime imperioase;
• să îți retragi consimțământul oricând, fără ca aceasta să afecteze legalitatea prelucrării anterioare;
• să nu faci obiectul unei decizii bazate exclusiv pe prelucrare automată cu efecte juridice sau similare, și să ceri intervenția umană, explicații și contestarea rezultatului;
• să depui o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru nr. 28–30, sector 1, București, www.dataprotection.ro, sau să te adresezi instanței.

Pentru a-ți exercita drepturile, scrie la office@edumatch.ro de pe adresa de email a contului (sau, pentru părinți, de pe adresa de pe care a fost dat acordul). Ca să protejăm datele, putem cere verificări suplimentare ale identității înainte de a răspunde. Exercitarea drepturilor este gratuită, cu excepția cererilor vădit nefondate sau excesive.

Părinții și tutorii pot exercita aceste drepturi în numele copiilor sub 16 ani. De la 16 ani, elevul își administrează singur contul; datele salvate până atunci rămân în cont, cu excepția cazului în care se cere ștergerea lor.

Pentru copiii sub 16 ani și pentru toți elevii de gimnaziu, contul se activează doar după acordul unui părinte sau tutore legal, dat printr-un link unic trimis pe emailul indicat de copil, după ce copilul și-a confirmat propria adresă. Linkul este valabil 7 zile; în baza de date păstrăm doar o amprentă criptografică a lui.

Părintele vede, înainte de a decide, informarea completă privind prelucrarea datelor (art. 8, 12 și 13 GDPR), care reia conținutul acestei politici. Poate retrage acordul oricând, din linkul primit în emailul de confirmare sau scriindu-ne. Facem eforturi rezonabile, ținând cont de tehnologia disponibilă, să verificăm că acordul vine de la un părinte: emailul părintelui trebuie să fie diferit de al copilului, iar părintele declară pe propria răspundere calitatea sa.

Nu afișăm reclame copiilor, nu le trimitem marketing și nu folosim datele lor pentru profilare comercială. Dacă aflăm că am colectat date ale unui copil fără acordul necesar, le ștergem.

Toată comunicarea cu Platforma este criptată (HTTPS). Parolele sunt păstrate doar criptate ireversibil. Accesul la baza de date este limitat prin reguli stricte la nivel de rând: fiecare cont își vede doar propriile date, iar datele acordului parental pot fi citite doar de server. Cheile de acces ale furnizorilor sunt păstrate doar în medii securizate, nu în codul sursă. Testele nu pot fi făcute anonim și nu pot fi salvate fără acordul necesar.

Dacă are loc o încălcare a securității datelor care prezintă un risc pentru drepturile tale, te informăm fără întârzieri nejustificate și notificăm ANSPDCP în 72 de ore, conform art. 33 și 34 GDPR.

Folosim cookie-uri strict necesare (sesiunea de autentificare, limba, tema) și, doar cu acordul tău, cookie-uri de analiză (Google Analytics). Detaliile, inclusiv cum le accepți sau le refuzi, sunt în Politica de cookie-uri.

Dacă schimbăm modul în care folosim datele, publicăm o versiune nouă, cu data ei, și te anunțăm prin email sau pe Platformă. Dacă schimbarea privește scopuri noi pentru care e nevoie de consimțământ, îl cerem din nou înainte de a le aplica; pentru copiii sub 16 ani, îl cerem părintelui.