Politica de confidențialitate

Ultima actualizare: 14.04.2026

Versiunea: 1.0

Asociația ProtectJust (denumită în continuare „Operatorul”, „Asociația”, „noi”) acordă o importanță deosebită protecției datelor cu caracter personal ale persoanelor fizice care interacționează cu site-ul web www.protectjust.ro (denumit în continuare „Site-ul”) și cu serviciile oferite de Asociație.

Prezenta Politică de confidențialitate („Politica”) descrie în detaliu modul în care Operatorul colectează, utilizează, stochează, transmite, protejează și, după caz, șterge datele cu caracter personal, în conformitate cu legislația aplicabilă în materia protecției datelor.

1. Cadrul legislativ aplicabil

Prelucrarea datelor cu caracter personal de către Operator se desfășoară cu respectarea integrală a următoarelor acte normative:

• Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date (GDPR)
• Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679
• Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, cu modificările și completările ulterioare
• Directiva 2002/58/CE privind prelucrarea datelor cu caracter personal și protecția intimității în sectorul comunicațiilor electronice (Directiva ePrivacy)
• Legea nr. 677/2001 (abrogată parțial, aplicabilă în măsura în care completări naționale rămân în vigoare)
• Ghidurile, recomandările și deciziile Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
• Ghidurile și recomandările Comitetului European pentru Protecția Datelor (EDPB)

2. Identitatea și datele de contact ale Operatorului

3. Domeniul de aplicare al Politicii

Prezenta Politică se aplică tuturor prelucrărilor de date cu caracter personal efectuate de Operator în legătură cu:

• Utilizarea Site-ului www.protectjust.ro (navigare, completare formulare, înscriere la evenimente, solicitare de consiliere)
• Participarea la cursuri, conferințe, seminare și programe educaționale organizate de Asociație
• Beneficierea de servicii de consiliere, informare juridică, sprijin și reprezentare oferite de Asociație
• Colaborarea cu Asociația în calitate de partener, voluntar, colaborator sau specialist acreditat
• Comunicarea cu Asociația prin orice canal (e-mail, telefon, rețele sociale, corespondență postaă)
• Orice altă interacțiune în cadrul căreia Operatorul colectează date cu caracter personal

Politica se adresează următoarelor categorii de persoane vizate: utilizatori ai Site-ului, beneficiari ai serviciilor Asociației, participanți la evenimente, persoane care transmit sesizări sau cereri, voluntari, colaboratori și orice alte persoane fizice ale căror date sunt prelucrate de Operator.

4. Principiile prelucrării datelor cu caracter personal

Operatorul se angajează să respecte în totalitate principiile prevăzute de art. 5 GDPR:

• Legalitate, echitate și transparență: datele sunt prelucrate în mod legal, echitabil și transparent față de persoana vizată;
• Limitarea scopului: datele sunt colectate în scopuri determinate, explicite și legitime și nu sunt prelucrate ulterior într-un mod incompatibil cu aceste scopuri;
• Reducerea la minimum a datelor: sunt colectate exclusiv datele adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile prelucrării;
• Exactitate: datele sunt exacte și, dacă este necesar, actualizate; datele inexacte sunt șterse sau rectificate fără întârziere;
• Limitarea stocării: datele sunt păstrate într-o formă care permite identificarea persoanei vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor;
• Integritate și confidențialitate: datele sunt prelucrate într-un mod care asigură securitatea adecvată, inclusiv protecția împotriva prelucrării neautorizate sau ilegale, a pierderii, distrugerii sau deteriorării accidentale;
• Responsabilitate: Operatorul poate demonstra conformitatea cu toate principiile menționate.

5. Categoriile de date cu caracter personal prelucrate

5.1. Date furnizate direct de persoana vizată

Aceste date sunt colectate atunci când persoana vizată completează un formular pe Site, transmite o solicitare, se înscrie la un eveniment sau beneficiază de serviciile Asociației:

• Date de identificare: nume, prenume, pseudonim (după caz)
• Date de contact: adresă de e-mail, număr de telefon, adresă poștală
• Date socio-demografice: vârsta sau grupa de vârstă (atunci când sunt relevante pentru eligibilitate la programe specifice), profesia, statutul (student, angajat, pensionar, persoană privată de libertate etc.)
• Date privind situația juridică: informații referitoare la dosare, litigii, sesizări, hotărâri judecătorești (furnizate voluntar de beneficiar în contextul serviciilor de consiliere și reprezentare)
• Date privind starea de sănătate: exclusiv în contextul programelor de prevenire a dependențelor (droguri, jocuri de noroc) sau al malpraxisului medical, furnizate voluntar de beneficiar
• Date privind calitatea de victimă: informații referitoare la violența domestică, traficul de persoane, abuzuri în instituții de ocrotire, furnizate voluntar
• Conținutul corespondenței: mesajele transmise prin formularele de contact, e-mail, rețele sociale sau orice alt canal

5.2. Date colectate automat prin intermediul Site-ului

• Adresa IP (integrală sau anonimizată, după caz)
• Identificatori unici de cookie (a se vedea Politica de cookie-uri)
• Tipul și versiunea browserului, sistemul de operare, rezoluția ecranului
• Paginile vizitate, ordinea navigării, durata sesiunii, sursa traficului (URL referrer)
• Data și ora accesului
• Date colectate prin cookie-uri și tehnologii similare (detalii în Politica de cookie-uri disponibilă pe Site)

5.3. Date din surse terțe

Operatorul poate primi date cu caracter personal de la instituții publice (instanțe judecătorești, parchete, penitenciare, direcții de asistență socială, autorități de tutelă), organizații neguvernamentale partenere sau alte entități, exclusiv în măsura necesară îndeplinirii scopurilor Asociației și cu respectarea legislației aplicabile.

5.4. Categorii speciale de date (date sensibile)

În contextul activităților sale specifice (sprijin pentru victime ale violenței domestice, traficului de persoane, persoane private de libertate, minori în instituții, persoane cu dependențe), Operatorul poate prelucra categorii speciale de date în sensul art. 9 GDPR, inclusiv:

• Date privind sănătatea (dependențe, malpraxis medical)
• Date privind condamnări penale și infracțiuni (art. 10 GDPR) – în contextul representării persoanelor private de libertate
• Date privind apartenența etnică sau rasială – în contextul promovării drepturilor minorităților naționale

Prelucrarea categoriilor speciale de date se realizează exclusiv pe baza:

• Consimțământului explicit al persoanei vizate (art. 9 alin. 2 lit. a GDPR)
• Necesității în scopul constatării, exercitării sau apărării unui drept în instanță (art. 9 alin. 2 lit. f GDPR)
• Interesului public substanțial (art. 9 alin. 2 lit. g GDPR), cu garanții adecvate

Operatorul aplică măsuri de securitate consolidate pentru protecția datelor sensibile, inclusiv: criptare, acces restricționat pe bază de rol, jurnalizarea accesului, politici de confidențialitate internă pentru personal și colaboratori.

6. Scopurile și temeiurile juridice ale prelucrării

Tabelul de mai jos prezintă corespondența dintre scopurile prelucrării, categoriile de date utilizate, temeiul legal aplicabil și durata de stocare:

7. Consimțământul

Acolo unde temeiul prelucrării este consimțământul persoanei vizate, Operatorul se asigură că acesta îndeplinește toate condițiile prevăzute de art. 7 GDPR:

• Este liber exprimat – furnizarea serviciilor esențiale nu este condiționată de exprimarea consimțământului pentru prelucrări care nu sunt necesare serviciului
• Este specific – se obține distinct pentru fiecare scop de prelucrare
• Este informat – persoana vizată primește în prealabil toate informațiile prevăzute de art. 13 GDPR
• Este lipsit de ambiguitate – rezultă dintr-o acțiune afirmativă clară (bifarea unei casete, semnarea unui formular de consimțământ)
• Este retractabil – persoana vizată poate retrage consimțământul în orice moment, la fel de simplu cum l-a acordat

Retragerea consimțământului nu afectează legalitatea prelucrării efectuate anterior retragerii, conform art. 7 alin. (3) GDPR.

Consimțământul minorilor: În cazul prelucrărilor care privesc minori, consimțământul este acordat sau autorizat de titularul răspunderii părintești, în conformitate cu art. 8 GDPR și art. 2 din Legea nr. 190/2018 (vârsta minimă: 16 ani pentru consimțământul digital în România).

8. Interesul legitim al Operatorului

Acolo unde temeiul prelucrării este interesul legitim (art. 6 alin. 1 lit. f GDPR), Operatorul a efectuat o evaluare a balanței de interese (Legitimate Interest Assessment – LIA), concluzionând că interesul său legitim nu prevalează în mod disproporționat asupra drepturilor și libertăților persoanei vizate.

Interesele legitime invocate de Operator includ:

• Asigurarea securității și integrității tehnice a Site-ului (protecție anti-DDoS, prevenirea fraudelor, jurnalizarea accesurilor)
• Îmbunătățirea serviciilor oferite și a experienței utilizatorilor
• Răspunderea la solicitările primite prin canalele de comunicare
• Apărarea drepturilor și intereselor Asociației în cadrul procedurilor judiciare sau administrative

Persoana vizată are dreptul de a se opune în orice moment, din motive legate de situația sa particulară, prelucrării bazate pe interesul legitim, conform art. 21 GDPR.

9. Destinatarii datelor cu caracter personal

Datele cu caracter personal pot fi transmise următoarelor categorii de destinatari, exclusiv în măsura necesară și proporțională cu scopurile prelucrării:

9.1. Parteneri instituționali

• Colegiul Medicilor din România, unități sanitare, instituții de învățământ superior – în cadrul programelor de formare privind malpraxisul medical
• Instituții de învățământ, autorități publice competente – în cadrul campaniilor de prevenire a consumului de droguri și a dependenței de jocuri de noroc
• Instituții publice (instanțe, parchete, penitenciare, DGASPC, autorități de tutelă) – în cadrul activităților de reprezentare și apărare a drepturilor
• Organizații neguvernamentale partenere – în cadrul programelor comune de sprijin

9.2. Persoane împuternicite

• Furnizori de servicii IT: găzduire web (hosting), administrare servere, mentenanță tehnică, backup
• Furnizori de servicii de e-mail marketing (newsletter)
• Furnizori de servicii de analiză web (Google LLC – Google Analytics)
• Furnizori de servicii de securitate (Cloudflare, Inc.)
• Furnizori de servicii contabile și de audit

Toate persoanele împuternicite au încheiate acorduri de prelucrare a datelor (Data Processing Agreements – DPA) în conformitate cu art. 28 GDPR, care garantează măsuri tehnice și organizatorice adecvate.

9.3. Specialiști acreditați

• Psihologi, juriști, avocați, asistenți sociali, medici – implicați în programele Asociației, obligați contractual la confidențialitate

9.4. Autorități publice

Datele pot fi transmise autorităților publice competente (ANSPDCP, instanțe judecătorești, parchete, organe de cercetare penală, autorități fiscale) exclusiv în cazurile prevăzute de lege.

Operatorul nu vinde, nu închiriază și nu cedează în niciun alt mod datele cu caracter personal către terți în scopuri comerciale.

10. Transferul datelor în afara Spațiului Economic European (SEE)

Anumite servicii utilizate de Operator (ex.: Google Analytics, Cloudflare) pot implica transferul de date către servere situate în afara SEE, în special în Statele Unite ale Americii.

Aceste transferuri se efectuează cu respectarea garanțiilor prevăzute de Capitolul V din GDPR:

• Cadrul de protecție a datelor UE-SUA (EU-US Data Privacy Framework), în temeiul Deciziei de adecvare a Comisiei Europene din 10 iulie 2023
• Clauze contractuale standard (SCCs) adoptate de Comisia Europeană prin Decizia de punere în aplicare (UE) 2021/914
• Măsuri tehnice suplimentare: criptarea datelor în tranzit, anonimizarea IP-urilor, stocarea datelor în regiune UE acolo unde este disponibil

În cazul în care decizia de adecvare va fi invalidată sau garanțiile nu vor mai fi considerate adecvate, Operatorul va lua măsurile necesare (suspendarea transferului, implementarea de garanții alternative sau informarea persoanelor vizate).

11. Durata stocării datelor cu caracter personal

Datele sunt stocate pe durata necesară îndeplinirii scopurilor pentru care au fost colectate, conform duratelor specificate în tabelul de la secțiunea 6. Ca regulă generală:

• Datele de contact și comunicare: 3 ani de la ultima interacțiune
• Datele aferente programelor educaționale: 5 ani de la finalizarea programului
• Datele juridice (reprezentare, apărare drepturi): 10 ani de la încheierea colaborării, conform termenelor de prescripție
• Datele privind minorii: până la majoratul beneficiarului + 5–10 ani
• Datele fiscale și contabile: conform termenelor prevăzute de legislația fiscală (5–10 ani)
• Log-urile de securitate: 90 de zile
• Newsletter: până la retragerea consimțământului

La expirarea perioadelor de stocare, datele sunt șterse definitiv sau anonimizate ireversibil, în mod securizat.

12. Drepturile persoanei vizate

În conformitate cu art. 15–22 GDPR, persoana vizată beneficiază de următoarele drepturi:

• Dreptul de acces (art. 15 GDPR): dreptul de a obține din partea Operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective și la informații privind prelucrările efectuate.
• Dreptul la rectificare (art. 16 GDPR): dreptul de a obține rectificarea datelor inexacte sau completarea datelor incomplete.
• Dreptul la ștergere / „dreptul de a fi uitat” (art. 17 GDPR): dreptul de a obține ștergerea datelor, în situațiile expres prevăzute de lege (datele nu mai sunt necesare scopului, consimțământul a fost retras, prelucrarea este ilegală etc.). Acest drept nu este absolut și poate fi limitat de obligații legale de păstrare.
• Dreptul la restricționarea prelucrării (art. 18 GDPR): dreptul de a obține restricționarea prelucrării în anumite condiții (exactitatea datelor este contestată, prelucrarea este ilegală, Operatorul nu mai are nevoie de date etc.).
• Dreptul la portabilitatea datelor (art. 20 GDPR): dreptul de a primi datele într-un format structurat, utilizat în mod curent și care poate fi citit automat, precum și dreptul de a transmite aceste date altui operator, atunci când prelucrarea se bazează pe consimțământ sau pe executarea unui contract și este efectuată prin mijloace automatizate.
• Dreptul la opoziție (art. 21 GDPR): dreptul de a se opune, din motive legate de situația particulară, prelucrării bazate pe interesul legitim (art. 6 alin. 1 lit. f) sau pe interesul public (art. 6 alin. 1 lit. e). Operatorul va înceta prelucrarea, cu excepția cazului în care demonstrează motive legitime imperioase.
• Dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrare automatizată (art. 22 GDPR): Operatorul nu ia decizii bazate exclusiv pe prelucrare automatizată, inclusiv profilare, care produc efecte juridice sau afectează în mod similar persoana vizată.
• Dreptul de a retrage consimțământul (art. 7 alin. 3 GDPR): în orice moment, fără a afecta legalitatea prelucrării efectuate înainte de retragere.
• Dreptul de a depune o plângere (art. 77 GDPR): la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral Gheorghe Magheru nr. 28–30, Sector 1, București, cod poștal 010336, e-mail: anspdcp@dataprotection.ro, website: www.dataprotection.ro.

Modalitatea de exercitare: Cererile se transmit în scris la adresa de e-mail contact@protectjust.ro sau la adresa sediului social al Asociației. Cererea trebuie să conțină suficiente elemente de identificare a solicitantului. Operatorul răspunde în termen de maximum 30 de zile calendaristice, cu posibilitatea de prelungire cu încă 60 de zile în cazuri complexe, cu informarea prealabilă a solicitantului.

Gratuitate: Exercitarea drepturilor este gratuită. În cazul unor cereri vădit nefondate sau excesive (prin repetarea frecventă), Operatorul poate percepe o taxă rezonabilă sau poate refuza cererea, conform art. 12 alin. (5) GDPR.

13. Măsuri de securitate tehnice și organizatorice

Operatorul implementează măsuri adecvate conform art. 32 GDPR:

13.1. Măsuri tehnice

• Criptarea transmisiei datelor prin protocol HTTPS (TLS 1.2+ / TLS 1.3) pe întregul Site
• Criptarea datelor stocate (at-rest encryption) pentru bazele de date care conțin date sensibile
• Protecție perimetrală: firewall, protecție anti-DDoS (Cloudflare), sisteme de detecție a intruziunilor
• Atribute de securitate pe cookie-uri: HttpOnly, Secure, SameSite
• Antete de securitate HTTP: Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy
• Backup-uri periodice criptate, stocate în locații separate
• Anonimizarea IP-urilor în instrumentele de analiză web
• Actualizarea periodică a software-ului (CMS, pluginuri, server) și aplicarea promptă a patch-urilor de securitate

13.2. Măsuri organizatorice

• Acces la date pe bază de rol (principiul nevoii de a cunoaște – need-to-know)
• Acorduri de confidențialitate (NDA) cu toți colaboratorii, voluntarii și specialiștii acreditați
• Acorduri de prelucrare a datelor (DPA) cu toți subcontractorii și persoanele împuternicite
• Instruirea periodică a personalului și colaboratorilor în materia protecției datelor
• Proceduri de gestionare a incidentelor de securitate (breach notification), conform art. 33–34 GDPR
• Auditul periodic al măsurilor de securitate și al conormității GDPR
• Jurnalizarea accesului la datele sensibile

14. Notificarea incidentelor de securitate (data breach)

În cazul unei încălcări a securității datelor cu caracter personal, Operatorul se obligă:

• Să notifice ANSPDCP în termen de maximum 72 de ore de la data la care a luat cunoștință de incident, conform art. 33 GDPR, cu excepția cazului în care este puțin probabil ca încălcarea să genereze un risc pentru drepturile persoanelor
• Să informeze persoanele vizate fără întârzieri nejustificate, în cazul în care încălcarea este susceptibilă să genereze un risc ridicat, conform art. 34 GDPR
• Să documenteze toate incidentele de securitate, indiferent de gravitatea acestora, într-un registru intern de incidente

15. Linkuri către site-uri terțe

Site-ul poate conține linkuri către resurse externe (site-uri ale instituțiilor publice, partenerilor, furnizorilor de servicii). Operatorul nu controlează și nu răspunde pentru politicile de confidențialitate sau practicile de prelucrare a datelor ale acestor terți. Recomandăm consultarea politicilor de confidențialitate ale fiecărui site terț înainte de furnizarea de date cu caracter personal.

16. Prelucrarea datelor privind minorii

Operatorul acordă o atenție deosebită protecției datelor cu caracter personal ale minorilor, în special în contextul activităților de:

• Reprezentare și apărare a drepturilor minorilor din centre educative sau de detenție
• Protecția copiilor victime ale abuzurilor din centre de plasament, creșe, case de tip familial
• Programe de prevenire a consumului de droguri și a dependenței de jocuri de noroc destinate tinerilor

Prelucrarea datelor privind minorii se realizează cu respectarea principiului interesului superior al copilului, cu consimțământul reprezentantului legal (pentru minorii sub 16 ani în contextul serviciilor societății informaționale) sau, după caz, în baza excepțiilor prevăzute de art. 6 alin. (1) lit. d) GDPR (protecția intereselor vitale).

Măsuri suplimentare de protecție: acces restricționat la dosarele minorilor, pseudonimizare acolo unde este posibil, stocare separată cu nivel ridicat de securitate.

17. Modificări ale Politicii de confidențialitate

Operatorul își rezervă dreptul de a modifica prezenta Politică în orice moment. Modificările pot interveni în special în cazul:

• Schimbărilor legislative la nivel european sau național
• Actualizării ghidurilor sau deciziilor ANSPDCP sau EDPB
• Extinderii sau modificării activităților Asociației
• Schimbării furnizorilor de servicii IT sau a destinatarilor datelor

Orice modificare substanțială va fi comunicată utilizatorilor prin publicarea versiunii actualizate pe Site, cu indicarea datei ultimei actualizări și a versiunii. Pentru modificări care afectează în mod semnificativ drepturile persoanelor vizate, Operatorul poate transmite și o notificare suplimentară (e-mail, banner pe Site).

Recomandăm consultarea periodică a prezentei Politici.

18. Date de contact

Pentru orice întrebări, solicitări sau reclamații privind prelucrarea datelor cu caracter personal, exercitarea drepturilor prevăzute de GDPR sau conținutul prezentei Politici:

Prezenta Politică de confidențialitate face parte integrantă din Termenii și condițiile de utilizare a site-ului www.protectjust.ro.