Politica de confidențialitate

1. Cine suntem

Operatorul datelor este Asociația Origio EDUNOVA, persoană juridică română fără scop patrimonial, cu sediul în București, Sector 2, Bulevardul Lacul Tei nr. 126-128, bloc 17-18, scara A, etaj 6, apartament 23, înregistrată în Registrul Asociațiilor și Fundațiilor sub nr. 32981/300/2025, CIF 53807266.

Asociația este reprezentată legal de Mihnea Andrei Constantin, în calitate de Președinte.

Ne poți contacta pentru orice întrebare privind datele tale sau pentru exercitarea drepturilor prevăzute de GDPR:

• email: mihnea.constantin@origioedunova.com
• telefon: 0744.876.466
• poștă: la adresa sediului de mai sus

2. Ce acoperă politica

Politica se aplică prelucrărilor realizate în legătură cu site-ul www.origioedunova.com, atelierele, workshop-urile, evenimentele, cursurile, proiectele, campaniile, parteneriatele, comunicările și formularele noastre.

Se aplică datelor primite direct de la tine, datelor transmise de un părinte sau reprezentant legal și datelor primite de la instituții de învățământ sau organizații partenere, în măsura în care le prelucrăm în calitate de operator.

Când o altă entitate stabilește singură scopurile și mijloacele unei prelucrări, acea entitate răspunde pentru prelucrarea respectivă și aplică propria politică. Rolul fiecărei entități se stabilește în funcție de realitatea prelucrării, nu de denumirea din contract. Pentru fiecare proiect cu o instituție de învățământ stabilim în scris, înainte de începerea activității, dacă suntem operatori independenți sau operatori asociați în sensul art. 26 GDPR.

Când un furnizor prelucrează datele exclusiv la instrucțiunile noastre, acesta acționează ca persoană împuternicită, în baza unui contract încheiat conform art. 28 GDPR.

3. Termeni folosiți

Termenii „date cu caracter personal", „persoană vizată", „operator", „persoană împuternicită", „prelucrare", „consimțământ", „încălcarea securității datelor" și „date privind sănătatea" au înțelesul din GDPR.

• Participant: persoana care participă la activitățile noastre, personal sau prin intermediul unui părinte ori reprezentant legal.
• Minor: persoana care nu a împlinit 18 ani.
• Partener: instituție de învățământ, organizație neguvernamentală, fundație, finanțator, furnizor sau altă entitate cu care colaborăm.
• Site: www.origioedunova.com, împreună cu paginile și subdomeniile administrate de noi.

4. Principiile după care lucrăm

Prelucrăm datele legal, echitabil și transparent, iar regulile de mai jos se aplică fiecărei activități descrise în această politică.

• Colectăm date pentru scopuri determinate și nu le folosim ulterior într-un mod incompatibil cu acele scopuri.
• Cerem numai datele de care avem efectiv nevoie. Formularele noastre nu conțin câmpuri „ca să avem".
• Corectăm datele inexacte fără întârziere, când le aflăm sau când ni se semnalează.
• Păstrăm datele numai cât este necesar, potrivit termenelor din secțiunea 18.
• Aplicăm măsuri tehnice și organizatorice pe măsura riscului, descrise în secțiunea 21.

5. Tabelul prelucrărilor

Aceasta este partea cea mai importantă a politicii. Pentru fiecare activitate găsești mai jos ce date prelucrăm, în ce scop, în ce temei juridic și cât timp le păstrăm. Secțiunile 6-14 detaliază situațiile care au nevoie de explicații suplimentare.

Ce nu cerem: nu solicităm copii ale actului de identitate, date privind conturile tale bancare personale, apartenența religioasă, opiniile politice sau orice alte date care nu sunt necesare scopului concret. Singurul context în care prelucrăm CNP-ul este formularul 230, iar singurul context în care prelucrăm date medicale sunt atelierele de respirație și de mișcare.

6. Când ne contactezi

Când ne scrii pe email, prin formularul de contact, pe telefon sau pe rețelele sociale, prelucrăm datele pe care ni le transmiți, ca să răspundem și să ținem evidența comunicării.

Un mesaj trimis nouă nu înseamnă acord pentru newsletter, publicitate sau promovare. Pentru acele scopuri cerem un consimțământ separat.

Furnizarea datelor este voluntară, dar fără datele necesare nu putem soluționa solicitarea.

7. Înscrierea și participarea

Înscrierea la ateliere se face printr-un formular online. Câmpurile marcate ca obligatorii sunt cele fără de care nu te putem înscrie: numele, emailul, telefonul, categoria de vârstă, statutul și atelierul ales. Restul câmpurilor sunt opționale și ne ajută doar să pregătim mai bine sesiunea.

Consimțământul pentru prelucrarea datelor de înscriere este separat de consimțământul pentru newsletter și de acordul pentru fotografii. Le poți da independent unul de altul.

Refuzul de a apărea în fotografii sau filmări nu afectează dreptul de a participa la atelier. Singura excepție ar fi o activitate în care înregistrarea este parte inevitabilă din activitatea însăși, situație pe care o comunicăm din anunț, înainte de înscriere.

Când datele ne sunt furnizate de o instituție de învățământ și nu direct de tine, te informăm în condițiile art. 14 GDPR, la primul contact și în cel mult o lună, cu privire la datele primite, sursa lor, scopul și drepturile tale, cu excepția cazurilor în care este incidentă o excepție legală.

8. Datele minorilor

Lucrăm cu elevi și tineri, inclusiv minori. Prelucrarea datelor lor se face cu respectarea interesului superior al copilului, a dreptului la viață privată și a dreptului la propria imagine.

Nu toate prelucrările datelor unui minor se bazează pe consimțământul părintelui. Datele necesare înscrierii, organizării și comunicării pot avea alt temei juridic, potrivit tabelului din secțiunea 5. Regulile concrete pe care le aplicăm sunt următoarele:

• Pentru participanții sub 18 ani, formularul de înscriere solicită numele și contactul părintelui sau tutorelui și confirmarea explicită a acordului pentru participare.
• Verificăm calitatea de părinte sau reprezentant legal prin confirmarea dată în formular și, pentru activitățile desfășurate în școală, prin intermediul instituției de învățământ. Când avem un dubiu rezonabil, contactăm telefonic persoana indicată înainte de atelier.
• Pentru serviciile online oferite direct copiilor, în care prelucrarea se bazează pe consimțământ, vârsta de la care copilul poate consimți singur este 16 ani, potrivit art. 2 din Legea nr. 190/2018.
• Explicăm participanților minori, la începutul atelierului, ce date colectăm și ce se întâmplă cu fotografiile, într-un limbaj potrivit vârstei lor.
• Dacă părinții au poziții diferite, sau dacă minorul se opune publicării imaginii sale, nu publicăm. Opoziția minorului este suficientă pentru a opri publicarea, chiar dacă părintele a semnat acordul.
• Nu condiționăm participarea de acceptarea publicării imaginii.
• Acordurile semnate cu școlile nu ne scutesc de propriile obligații privind informarea, temeiul juridic, securitatea și exercitarea drepturilor.

9. Date privind sănătatea

Singura situație în care cerem informații medicale sunt atelierele care presupun exerciții de respirație sau mișcare fizică. Acolo, anumite afecțiuni pot face unele exerciții nepotrivite, iar noi trebuie să știm asta ca să putem adapta sesiunea. Regimul este următorul:

Pentru toate celelalte ateliere, cele de educație financiară, soft skills și educație civică, nu colectăm și nu avem nevoie de date privind sănătatea.

• Temei: art. 6 alin. (1) lit. a) coroborat cu art. 9 alin. (2) lit. a) GDPR, consimțământ explicit.
• Cum se colectează: printr-un formular separat de cel de înscriere, completat înainte de sesiune, care enumeră concret situațiile relevante și nu solicită diagnostice detaliate sau documente medicale.
• Scop: exclusiv adaptarea sau excluderea unor exerciții. Nu folosim aceste date pentru evaluare, selecție sau statistică.
• Cine are acces: numai persoana care livrează sesiunea respectivă.
• Cât se păstrează: maximum 30 de zile de la încheierea activității, după care formularele se distrug.
• Consecința refuzului: poți participa fără să completezi formularul. În acel caz vei face varianta adaptată a exercițiilor, fără elementele care presupun efort respirator sau fizic intens.

10. Fotografii, înregistrări video și audio

Fotografiile și înregistrările care permit identificarea unei persoane sunt date cu caracter personal.

Le realizăm și le folosim în baza unui acord scris separat, semnat de participantul major sau, pentru minori, de părinte ori reprezentantul legal. Acordul nostru este un singur document, nu o serie de formulare distincte, dar enumeră în mod specific, într-un singur loc, scopurile și canalele pentru care se dă acordul:

Acordul permite bifarea separată a canalelor, astfel încât să poți accepta, de exemplu, folosirea internă și publicarea pe site, dar nu și publicarea pe rețele sociale. Acordul pentru fotografie nu se interpretează automat ca acord pentru înregistrare video sau audio.

La fiecare activitate luăm măsuri organizatorice ca să nu apară în materiale persoanele care nu au dat acordul: anunțăm la începutul sesiunii unde se filmează, stabilim o zonă fără filmare, iar înainte de publicare verificăm materialele.

Îți poți retrage acordul oricând, scriind la mihnea.constantin@origioedunova.com. După retragere încetăm utilizările viitoare și eliminăm materialele de pe site și de pe canalele aflate sub controlul nostru. Retragerea nu poate anula copiile descărcate, redistribuite sau republicate anterior de alte persoane, și nu poate obliga platformele externe să elimine toate copiile aflate în afara controlului nostru. Îți spunem asta ca să știi exact ce putem și ce nu putem garanta.

Dovada acordului și a retragerii se păstrează separat de materiale, cu acces restricționat, și conține persoana, scopul, canalele bifate, versiunea formularului, data acordării și data retragerii. Materialele foto-video se revizuiesc anual și se elimină atunci când nu mai servesc scopului pentru care au fost realizate.

• documentarea internă a activității și raportarea către parteneri și finanțatori;
• publicarea pe site-ul asociației;
• publicarea pe paginile noastre de Facebook, Instagram, TikTok și LinkedIn;
• materiale tipărite, afișe și rapoarte de activitate;
• materiale video de prezentare a asociației;
• transmiterea către presă, la solicitarea acesteia.

11. Newsletter

Trimitem anunțuri despre ateliere viitoare și resurse gratuite numai persoanelor care au bifat explicit această opțiune, separat de înscriere. Bifa nu este obligatorie și nu condiționează participarea la nimic.

Sub această rubrică intră comunicările despre atelierele și proiectele noastre, inclusiv invitațiile la evenimente proprii. Nu promovăm produse sau servicii ale terților și nu transmitem adresa ta altor organizații.

Mesajele administrative legate de un atelier la care te-ai înscris, cum sunt confirmarea locului, detaliile de acces sau anunțarea unei reprogramări, nu sunt newsletter și le primești indiferent de această bifă, fiindcă fac parte din organizarea atelierului.

Te poți dezabona oricând, din linkul inclus în fiecare mesaj sau printr-un email la adresa de contact. Dezabonarea produce efect imediat. Retragerea consimțământului nu afectează legalitatea comunicărilor transmise anterior.

12. Formularul 230 și CNP-ul

Dacă alegi să redirecționezi către noi o cotă din impozitul pe venit, prelucrăm datele din formularul 230, aprobat prin OPANAF nr. 103/2025, pentru o cotă de până la 3,5% din impozitul anual datorat.

Temeiul juridic, fixat. Prelucrarea se întemeiază pe art. 6 alin. (1) lit. b) GDPR, respectiv efectuarea unor demersuri la cererea persoanei vizate. Prin completarea și transmiterea formularului ne ceri în mod expres să depunem opțiunea ta la ANAF. Fără CNP, cererea ta nu poate fi procesată de organul fiscal.

Această alegere este deliberată și are o consecință pe care o menționăm pentru transparență: nu prelucrăm CNP-ul în temeiul interesului legitim, prin urmare garanțiile suplimentare prevăzute de art. 4 din Legea nr. 190/2018 pentru prelucrarea numărului de identificare național în temeiul interesului legitim nu sunt incidente. Aplicăm totuși, ca măsuri proprii, minimizarea datelor, accesul restrâns, termenele de păstrare din secțiunea 18 și instruirea persoanelor autorizate. Păstrarea documentelor după depunere se întemeiază pe art. 6 alin. (1) lit. c) GDPR, obligațiile fiscale și financiar-contabile aplicabile.

Fluxul, pas cu pas: completezi formularul pe platforma formular230.ro sau pe hârtie; formularul ajunge pe adresa de email a Asociației, platforma nu îl transmite direct către ANAF; verificăm formal completitudinea și lizibilitatea documentului; Asociația depune formularul la ANAF prin canalul aplicabil la momentul transmiterii; păstrăm dovada depunerii.

Formular230.ro acționează ca persoană împuternicită, în baza unui contract conform art. 28 GDPR, și prelucrează datele exclusiv la instrucțiunile noastre. Platforma nu folosește datele din formular în scopuri proprii și nu ne reprezintă în fața ANAF. În timpul utilizării platformei pot fi prelucrate date tehnice necesare securității și funcționării serviciului, potrivit politicii de confidențialitate a platformei.

ANAF prelucrează datele ca operator independent, în temeiul competențelor sale legale. Nu stabilim scopurile prelucrării realizate de ANAF și nu putem dispune ștergerea datelor din evidențele acestuia.

Securitatea transmiterii. Tratăm documentele care conțin CNP ca flux cu risc sporit. Concret: accesul la mesajele și documentele respective este limitat la persoanele care se ocupă efectiv de această activitate, conturile folosite sunt individuale, documentele nu se redirecționează în afara acestui cerc, copiile redundante se șterg, iar transmiterea se face pe canalul securizat pus la dispoziție, ori de câte ori este disponibil.

Nu îți cerem și nu avem nevoie de o copie a cărții de identitate. Dacă primim, din proprie inițiativă, documente care conțin date de care nu avem nevoie, le ștergem. Completarea formularului 230 nu reprezintă consimțământ pentru marketing, publicitate sau profilare. Furnizarea datelor este voluntară, dar în lipsa unui formular complet și valid nu putem transmite solicitarea către ANAF.

13. Feedbackul participanților

Cerem feedback după ateliere, pe hârtie sau electronic. Chestionarele nu solicită numele, adresa de email sau alte date de identificare.

Analizăm răspunsurile în formă agregată. Când răspunsurile ar putea fi corelate cu o persoană din cauza scrisului de mână, a numărului mic de participanți sau a altor elemente, le tratăm ca date cu caracter personal până la anonimizarea efectivă.

Formularele originale se păstrează cel mult un an. Rezultatele agregate, care nu mai permit identificarea nimănui, se pot păstra nelimitat.

14. Parteneriate

În cadrul parteneriatelor prelucrăm datele reprezentanților legali, ale persoanelor care semnează acordurile și ale persoanelor desemnate ca punct de contact: nume, funcție, entitatea reprezentată, email și telefon profesional, semnătura și corespondența referitoare la proiect.

Un acord de parteneriat nu autorizează, prin el însuși, publicarea numelui, imaginii sau vocii unei persoane în scop de promovare. Pentru acestea cerem acordul distinct descris în secțiunea 10.

15. Site, cookie-uri și analiză

Site-ul este găzduit pe infrastructura Vercel și folosește următoarele categorii de tehnologii:

Nu folosim cookie-uri de publicitate, remarketing sau personalizare.

Instrumentele de analiză nu se încarcă și nu setează nimic în dispozitivul tău înainte ca tu să accepți. Bannerul permite refuzul la fel de simplu ca acceptarea, printr-un buton de același nivel, iar opțiunea se poate schimba ulterior din link-ul de administrare a cookie-urilor disponibil în subsolul site-ului.

În contul Google Analytics folosit de Asociație, Google Signals și funcțiile de identificare între dispozitive sunt dezactivate. Nu folosim datele de analiză pentru publicitate sau pentru profilarea unei persoane anume. Ne interesează câte persoane citesc o pagină, nu cine sunt ele.

Site-ul conține linkuri către platforme terțe, inclusiv rețelele noastre sociale. Accesarea unui link nu înseamnă acord pentru politica sau cookie-urile platformei respective. După ce ajungi acolo, se aplică regulile operatorului acelei platforme.

16. Cui transmitem datele

Mai jos sunt destinatarii efectivi, cu rolul fiecăruia. Nu vindem și nu închiriem date cu caracter personal.

Ținem o evidență internă actualizată a furnizorilor, a rolului fiecăruia și a contractelor art. 28 GDPR încheiate. O poți solicita la adresa de contact.

17. Transferuri în afara SEE

O parte dintre furnizorii tehnici pe care îi folosim sunt societăți din Statele Unite ale Americii.

Înainte de a adăuga un furnizor nou care implică un transfer internațional, verificăm furnizorul, țara de destinație, categoria datelor, rolul său și mecanismul juridic aplicabil, iar pentru furnizorii care nu sunt acoperiți de o decizie de adecvare folosim clauzele contractuale standard, completate cu măsurile suplimentare necesare.

Poți solicita la adresa de contact informații suplimentare despre un transfer anume și despre garanțiile aplicate.

18. Cât păstrăm datele

Termenele complete sunt în tabelul din secțiunea 5. Principiile care le guvernează sunt următoarele:

• Fiecare categorie de date are un termen sau un criteriu obiectiv de la care începe curgerea termenului, nu o formulă deschisă.
• Termenul curge de la ultima interacțiune relevantă, de la data activității sau de la închiderea proiectului, în funcție de categorie.
• Dovada consimțământului se păstrează separat de datele la care se referă și poate avea un termen mai lung, fiindcă trebuie să putem demonstra legalitatea unei prelucrări trecute.
• Termenele se suspendă pe durata unui litigiu, control sau audit în care documentele sunt relevante.
• Copiile de siguranță se suprascriu ciclic. O cerere de ștergere se execută în sistemul activ imediat și se propagă în copiile de siguranță la următorul ciclu de suprascriere, în cel mult 90 de zile.
• La expirarea termenului, datele se șterg, se distrug fizic sau se anonimizează, în funcție de suport.
• Responsabil pentru revizuirea anuală a termenelor și pentru ștergerea efectivă este Președintele Asociației.

19. Drepturile tale

În condițiile GDPR ai dreptul să ceri accesul la datele pe care le prelucrăm despre tine și o copie a lor, rectificarea datelor inexacte sau completarea celor incomplete, ștergerea datelor în condițiile art. 17 GDPR, restricționarea prelucrării în condițiile art. 18 GDPR, portabilitatea datelor pentru prelucrările automatizate bazate pe consimțământ sau contract, să te opui prelucrărilor întemeiate pe interes legitim și să retragi consimțământul oricând, la fel de simplu cum l-ai dat, fără ca asta să afecteze legalitatea prelucrării anterioare.

În cazul marketingului direct, opoziția ta se respectă imediat, fără nicio analiză suplimentară. Nu luăm decizii cu efect juridic sau similar semnificativ exclusiv pe baza unei prelucrări automate și nu folosim profilarea individuală.

Cum îți exerciți drepturile, în practică:

Două limite pe care preferăm să le spunem direct. Dreptul la ștergere nu este absolut: putem refuza ștergerea când avem o obligație legală de păstrare, de exemplu pentru documentele fiscale și contabile, sau când datele ne sunt necesare pentru constatarea, exercitarea sau apărarea unui drept în justiție. În acest caz îți explicăm care este temeiul și cât timp mai păstrăm datele.

Fotografiile de grup. Când ceri ștergerea unei fotografii în care apar și alte persoane, eliminăm materialul din canalele aflate sub controlul nostru. Dacă materialul poate fi folosit mai departe prin decuparea sau estomparea imaginii tale, îți propunem această variantă. Nu putem însă șterge, prin ștergerea imaginii tale, drepturile celorlalte persoane care apar în ea.

• Poți trimite cererea pe orice canal rezonabil: email, poștă, telefon sau chiar verbal, la un atelier. Nu ești obligat să folosești un anumit formular.
• O cerere primită de un trainer, un voluntar sau un profesor implicat în activitățile noastre se transmite intern, în aceeași zi, către adresa de contact, iar termenul curge de la primirea inițială.
• Îți poți exercita drepturile și prin reprezentant, pe baza unei împuterniciri.
• Răspundem fără întârzieri nejustificate și, în principiu, în termen de o lună. Termenul poate fi prelungit cu cel mult două luni pentru cereri complexe, caz în care te informăm despre prelungire și despre motivele ei, în prima lună.
• Putem cere informații suplimentare pentru verificarea identității numai când avem îndoieli rezonabile, și numai atât cât este necesar pentru identificare.
• Dacă nu dăm curs cererii, îți comunicăm motivele și faptul că poți depune plângere la autoritatea de supraveghere sau te poți adresa instanței.

20. Plângeri

Dacă apreciezi că prelucrarea datelor tale încalcă legea, ai dreptul să depui plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, cu sediul în București, B-dul General Gheorghe Magheru nr. 28-30, Sector 1, cod poștal 010336, www.dataprotection.ro.

Nu ești obligat să ne contactezi mai întâi pe noi. Te poți adresa direct autorității sau instanței de judecată.

21. Securitate și incidente

Măsurile pe care le aplicăm efectiv:

În cazul unei încălcări a securității datelor evaluăm natura, gravitatea și consecințele incidentului, precum și riscul pentru drepturile persoanelor afectate. Toate incidentele se documentează într-un registru intern, inclusiv cele care nu necesită notificare.

Când incidentul este susceptibil să genereze un risc, notificăm Autoritatea Națională de Supraveghere fără întârzieri nejustificate și, dacă este posibil, în termen de 72 de ore de la momentul la care am luat cunoștință de el. Când riscul este ridicat pentru persoanele vizate, le informăm și pe ele fără întârzieri nejustificate.

• conturi individuale pe domeniul organizației, fără conturi comune, cu autentificare în doi pași;
• acces pe principiul necesității de a cunoaște, revizuit periodic și revocat la încetarea colaborării;
• alertă automată configurată pentru ștergerile de volum din spațiul de stocare al organizației;
• documentele care conțin CNP păstrate în spații cu acces restrâns, separate de fișierele operaționale;
• copii de siguranță pentru evidențele operaționale;
• instruirea persoanelor autorizate și obligații de confidențialitate pentru trainerii și voluntarii care intră în contact cu date personale.

22. Responsabilul cu protecția datelor

Am analizat și am documentat dacă avem obligația de a desemna un responsabil cu protecția datelor în condițiile art. 37 GDPR. Concluzia este că desemnarea nu este obligatorie: nu suntem autoritate sau organism public, activitatea noastră principală nu constă în monitorizarea sistematică pe scară largă a persoanelor și nu prelucrăm pe scară largă categorii speciale de date. Prelucrarea CNP-ului din formularul 230 nu se întemeiază pe interes legitim, astfel încât nu atrage aplicarea art. 4 din Legea nr. 190/2018.

Punctul de contact pentru orice aspect privind protecția datelor este Președintele Asociației, la mihnea.constantin@origioedunova.com. Reevaluăm această concluzie ori de câte ori extindem semnificativ activitatea, iar dacă desemnăm un responsabil, publicăm datele sale aici.

23. Actualizări

Actualizăm politica atunci când se modifică activitatea noastră, scopurile sau mijloacele prelucrării, furnizorii, fluxurile de date, legislația sau practica autorităților de supraveghere.

Versiunea în vigoare și data ultimei actualizări sunt publicate permanent pe această pagină. Pentru modificări semnificative informăm persoanele vizate în mod adecvat, înainte ca modificările să devină aplicabile.