CJE — Confidențialitate și termeni

1. Operatorul de date

În configurația actuală, Gavrilă Andrei-Zian, furnizorul aplicației CJE – Consiliul Elevilor, este operator pentru propriile scopuri de furnizare și administrare a platformei, inclusiv securitate. Contact: app.consiliulelevilor@gmail.com. Într-un județ activat, instituția parteneră care stabilește efectiv scopurile și mijloacele activităților locale poate fi operator separat sau asociat pentru acele operațiuni. Denumirea, contactele, temeiurile și responsabilitățile sale se comunică într-o informare locală înaintea folosirii operaționale. Semnarea unui acord nu transferă automat toate obligațiile Furnizorului și nu îl face pe președintele CJE garant personal. Calitatea de operator urmează activitatea reală, nu doar numele din acord sau din magazine.

2. Ce date colectam

Date de cont și afiliere: nume afișat, e-mail (inclusiv adresă de relay Apple, dacă alegi), telefon opțional, județ, școală, clasă, rol, starea contului și fotografie opțională. Nu solicităm data nașterii: înregistrăm doar categoria sub/peste 16 ani, versiunile și momentele confirmării politicii și acceptării termenilor, declarația de autorizare parentală și data/administratorul verificării, dacă este necesar.

Activitate în consiliu: prezență, avertismente și absențe împreună cu motivele lor. Nu introduceți informații medicale sau alte date sensibile în motive ori comentarii.

Conținut: anunțuri, inițiative, comentarii, voturi, sondaje, documente și fișiere încărcate. Moderare: identificatori de conținut și utilizator, motivul și momentul raportării, județ, starea soluționării și lista utilizatorilor blocați.

Date tehnice: identificatorul contului, token push, limba, momentele autentificării și date de securitate Firebase precum IP și jurnale. ML Kit colectează metrici tehnice de diagnostic și utilizare, inclusiv versiuni de dispozitiv/sistem/aplicație, latență, erori, evenimente, limbile configurate și identificator de instalare. Nu colectăm GPS, contacte sau date de plată și nu folosim publicitate ori analiză comportamentală.

3. De ce si pe ce temei le folosim

Pentru cont și funcțiile solicitate folosim art. 6 alin. (1) lit. b RGPD numai în măsura în care prelucrarea este obiectiv necesară unui contract valabil cu utilizatorul; acordul cu o instituție nu dovedește singur acest temei pentru elevi. Pentru administrarea sigură a serviciului și prevenirea abuzurilor folosim interesul legitim (lit. f), cu evaluarea necesității și a drepturilor utilizatorilor, în special ale copiilor. Pentru elementele opționale care necesită consimțământ folosim lit. a, iar pentru îndeplinirea unei obligații legale concret aplicabile folosim lit. c. Confirmarea citirii politicii și acceptarea termenilor nu sunt automat consimțământ RGPD.

Temeiurile activităților locale, precum evidențele de prezență, avertismentele și voturile, trebuie documentate și comunicate înaintea activării județului. Art. 6 alin. (1) lit. e poate fi folosit numai pentru o sarcină de interes public ori autoritate oficială întemeiată concret în lege, nu doar pentru că aplicația are scop educațional. Până la validarea temeiurilor, a condițiilor pentru minori și a informării locale, parteneriatul rămâne pregătitor: nu se invită, importă sau activează elevi pentru folosire operațională. Nu vindem datele, nu le folosim pentru publicitate și nu luăm decizii exclusiv automatizate cu efect juridic.

4. Unde sunt stocate

Folosim serviciile Google Firebase: Authentication, Cloud Firestore, Cloud Storage, Cloud Functions și Cloud Messaging, precum și ML Kit pentru traducere. Google acționează, în general, ca persoană împuternicită pentru datele de client Firebase. Textul și rezultatul traducerii sunt procesate pe dispozitiv și nu sunt trimise la Google de ML Kit; Google primește însă metricile tehnice descrise mai sus și poate descărca pe dispozitiv modelele de limbă. Pentru aceste metrici, Google prelucrează datele potrivit termenilor ML Kit și propriei politici de confidențialitate. Baza Firestore este configurată în regiunea multi-regională nam5 din Statele Unite, Firebase Authentication funcționează în centre de date din SUA, iar alte servicii pot prelucra date global. Se folosesc mecanismele de transfer aplicabile ale Google, inclusiv clauze contractuale standard, după caz; ele necesită evaluarea aplicabilității și a măsurilor suplimentare pentru utilizarea concretă, nu garantează singure conformitatea.

Accesul în aplicație este limitat după rol și județ; superadministratorul tehnic poate avea acces pentru administrare și securitate. Unele linkuri permanente de descărcare pot permite acces fără autentificare persoanei care deține linkul. Nu redistribui linkurile și nu încărca documente cu date personale confidențiale ale elevilor prin acest mecanism până la remedierea riscului ori o evaluare documentată care justifică folosirea concretă. Acceptarea unui risc nu înlocuiește obligațiile de securitate ale operatorului.

5. Cat timp le pastram

Profilul, confirmările și lista de blocări: până la ștergerea contului sau încetarea necesității lui. Notificări: în mod normal 30 de zile.

Anunțuri, sondaje și inițiative, cu comentariile și voturile: în mod normal 90 de zile de la creare. Ședințe fără prezență: cel puțin 90 de zile după data ședinței. Ședințe cu prezență: până la următorul 1 septembrie după ședință și cel puțin 90 de zile după aceasta; nu sunt șterse cât sunt viitoare.

Avertismente și absențe: până la următorul 1 septembrie. Raportări: cât timp sunt nesoluționate, cu revizuire periodică; cele soluționate sunt șterse în mod normal după 90 de zile.

Documente: până la retragerea de către un administrator autorizat sau încetarea scopului/parteneriatului. Curățarea se efectuează programat, nu exact la secundă. Copiile de siguranță și jurnalele pot rămâne temporar conform ciclurilor furnizorului sau unei obligații legale.

6. Drepturile tale

Poți cere accesul, rectificarea, ștergerea, restricționarea, portabilitatea datelor și te poți opune prelucrării, în condițiile RGPD. Îți poți retrage consimțământul fără a afecta prelucrarea anterioară. Scrie la app.consiliulelevilor@gmail.com; răspundem, de regulă, în cel mult o lună. Poți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).

7. Ce se intampla cand iti stergi contul

Poți iniția ștergerea din Profil → Confidențialitate și securitate → Șterge contul sau prin e-mail. Se elimină autentificarea, profilul, fotografia, tokenul de notificări, notificările, comentariile, voturile și datele disciplinare asociate. În conținutul organizațional păstrat temporar, identificatorul și numele autorului sunt înlocuite cu „Utilizator șters”, iar fotografia autorului este eliminată. Aceasta nu garantează că textul sau documentele încărcate nu conțin alte date personale: acestea se verifică și se șterg sau se redactează la cerere, când păstrarea nu are un temei aplicabil. Conținutul rămas expiră potrivit perioadelor de păstrare de mai sus. O ștergere întreruptă este reluată automat; dacă există o obligație legală de păstrare, vei fi informat.

8. Utilizatori sub 16 ani

Aplicația este destinată și elevilor minori. Atunci când art. 8 RGPD este aplicabil unei prelucrări bazate pe consimțământ și utilizatorul are sub 16 ani, consimțământul trebuie acordat sau autorizat de părintele ori tutorele legal și verificat înainte de activarea contului. Declarația elevului ori o casetă bifată nu sunt singure dovadă suficientă. Instituția parteneră verifică autorizarea prin procedura documentată, iar aplicația păstrează starea, momentul și administratorul verificării, fără copii de acte. Pentru minorii de 13–17 ani se verifică separat reprezentarea sau încuviințarea necesară unui contract valabil, când acesta este temeiul folosit. Un părinte ori tutore poate solicita exercitarea drepturilor copilului la adresa de contact; calitatea și întinderea reprezentării se verifică proporțional potrivit legii.

9. Contact

Pentru întrebări, incidente de securitate sau exercitarea drepturilor, scrie la app.consiliulelevilor@gmail.com. Nu trimite parole, copii de acte sau alte date care nu sunt necesare solicitării.

1. Acceptarea Termenilor

Prin accesarea și utilizarea aplicației Consiliul Județean al Elevilor (CJE), acceptați să fiți obligat de acești Termeni și Condiții. Dacă nu sunteți de acord cu acești termeni, vă rugăm să nu utilizați aplicația.

2. Utilizarea Aplicației

Aplicația CJE este destinată elevilor de cel puțin 13 ani, reprezentanților școlari și administratorilor din cadrul consiliilor județene ale elevilor. Aceasta este o limită a serviciului, nu un prag universal RGPD. Pentru minori se aplică separat regulile legale de reprezentare și încuviințare a contractelor; împlinirea vârstei de 16 ani nu le înlocuiește. Folosirea operațională într-un județ necesită activarea juridică documentată a parteneriatului și informarea locală. Utilizatorii trebuie să furnizeze informații corecte și să protejeze accesul la cont.

3. Conduita Utilizatorului

Utilizatorii se angajează să folosească aplicația în mod responsabil, să respecte drepturile celorlalți utilizatori și să nu distribuie conținut ofensator, ilegal sau dăunător. Încălcarea acestor reguli poate duce la suspendarea contului.

4. Proprietate Intelectuală

Drepturile asupra codului, designului și conținutului aparțin titularilor lor respectivi. Încărcând conținut, confirmi că ai dreptul să îl distribui și permiți prelucrarea lui numai pentru funcționarea serviciului și moderare. Acest lucru nu transferă automat proprietatea asupra conținutului către un consiliu.

5. Limitarea Răspunderii

În măsura maximă permisă de lege, aplicația este furnizată fără garanția funcționării neîntrerupte sau lipsite de erori. CJE și operatorul răspund potrivit legii și acordurilor aplicabile. Nicio prevedere din acești Termeni nu exclude sau limitează o răspundere care nu poate fi exclusă ori limitată prin lege.

1. Data controller

In the current configuration, Gavrilă Andrei-Zian, provider of the CJE – Consiliul Elevilor app, is the controller for his own purposes of providing and administering the platform, including security. Contact: app.consiliulelevilor@gmail.com. In an activated county, the partner institution that actually determines the purposes and means of local activities may be a separate or joint controller for those operations. Its identity, contacts, legal bases and responsibilities must be communicated in a local notice before operational use. Signing an agreement does not automatically transfer all provider obligations or make the CJE president a personal guarantor. Controller status follows actual activities, not only names in agreements or stores.

2. What we collect

Account and affiliation: display name, email (including Apple relay if chosen), optional phone, county, school, class, role, status and optional photo. We do not request birth dates: we record only the under/over-16 age band, versions/times of privacy acknowledgement and terms acceptance, parental authorisation declaration and the date/administrator of verification where needed.

Council activity: attendance, warnings and absences with reasons. Do not enter health information or other sensitive data in reasons or comments.

Content: announcements, initiatives, comments, votes, polls, documents and uploads. Moderation: content/user identifiers, report reason/time, county, resolution status and blocked-user list.

Technical data: account identifier, push token, language, sign-in times and Firebase security data such as IP addresses and logs. ML Kit collects technical diagnostics and usage metrics, including device/OS/app versions, latency, errors, events, configured languages and an installation identifier. We do not collect GPS, contacts or payment data, or use advertising or behavioural analytics.

3. Why and on what basis we use it

For accounts and requested features, we use GDPR Art. 6(1)(b) only insofar as processing is objectively necessary for a valid contract with the user; an agreement with an institution does not by itself establish this basis for students. For secure service administration and abuse prevention, we use legitimate interests under Art. 6(1)(f), assessing necessity and users’ rights, particularly those of children. Optional elements requiring consent rely on Art. 6(1)(a); compliance with an identified applicable legal obligation relies on Art. 6(1)(c). Acknowledging the privacy notice and accepting terms are not automatically GDPR consent.

Legal bases for local activities, such as attendance records, warnings and votes, must be documented and communicated before county activation. Art. 6(1)(e) applies only to a public-interest task or official authority grounded specifically in law, not merely because the app has an educational purpose. Until legal bases, conditions for minors and the local notice are validated, partnerships remain preparatory: students must not be invited, imported or activated for operational use. We do not sell data, use it for advertising, or make solely automated decisions with legal effects.

4. Where it is stored

We use Google Firebase Authentication, Cloud Firestore, Cloud Storage, Cloud Functions and Cloud Messaging, and ML Kit for translation. Google generally acts as a processor for Firebase customer data. ML Kit processes translation text and results on the device and does not send them to Google, but Google receives the technical metrics described above and may download language models to the device. Google processes those metrics under the ML Kit terms and its own privacy policy. Firestore is configured in the US nam5 multi-region, Firebase Authentication operates from US data centres, and other services may process data globally. Applicable Google transfer safeguards, including Standard Contractual Clauses where appropriate, require assessment of their applicability and any additional measures for the actual use; they do not alone guarantee compliance.

App access is limited by role and county; the technical superadministrator may access data for administration and security. Some permanent download links may allow unauthenticated access to anyone holding the link. Do not redistribute links or upload documents containing confidential student personal data through that mechanism until the risk is remedied or a documented assessment justifies the actual use. Accepting a risk does not replace the controller’s security obligations.

5. How long we keep it

Profile, acknowledgements and blocked-user list: until account deletion or when no longer needed. Notifications: normally 30 days.

Announcements, polls and initiatives, including comments/votes: normally 90 days after creation. Meetings without attendance: at least 90 days after the meeting date. Meetings with attendance: until the following 1 September and at least 90 days after the meeting; future meetings are not expired.

Warnings and absences: until the following 1 September. Reports: while unresolved, with periodic review; resolved reports are normally deleted after 90 days.

Documents: until withdrawn by an authorised administrator or the purpose/partnership ends. Cleanup is scheduled, not instantaneous. Backups and logs may remain temporarily under provider cycles or a legal obligation.

6. Your rights

Subject to the GDPR, you may request access, correction, erasure, restriction and portability, and object to processing. You may withdraw consent without affecting earlier processing. Write to app.consiliulelevilor@gmail.com; we normally reply within one month. You may complain to the Romanian National Supervisory Authority for Personal Data Processing (ANSPDCP).

7. What happens when you delete your account

You can start deletion from Profile → Privacy & security → Delete account or by email. Authentication, profile, photo, push token, notifications, comments, votes and associated disciplinary data are removed. In temporarily retained organisational content, the author identifier and name are replaced with “Deleted user” and the author photo is removed. This does not guarantee that free text or uploaded documents contain no other personal data: these are reviewed and deleted or redacted on request where there is no applicable basis for retention. Remaining content expires under the retention periods above. Interrupted erasures are retried automatically; if a legal retention duty applies, you will be informed.

8. Users under 16

The app is also intended for students who are minors. Where GDPR Art. 8 applies to consent-based processing and the user is under 16, consent must be given or authorised by a parent or legal guardian and verified before account activation. A student’s declaration or a checked box alone is not sufficient proof. The partner institution verifies authorisation through a documented procedure; the app stores the verification status, time and administrator, without identity-document copies. For users aged 13–17, any representation or approval needed for a valid contract must be assessed separately when a contract is the basis used. A parent or guardian may request the exercise of the child’s rights at the contact address; their authority and its scope are verified proportionately under applicable law.

9. Contact

For questions, security incidents or privacy rights, email app.consiliulelevilor@gmail.com. Do not send passwords, identity documents or data that is not needed for your request.

1. Acceptance of Terms

By accessing and using the County Student Council (CJE) application, you agree to be bound by these Terms and Conditions. If you do not agree with these terms, please do not use the application.

2. Use of the Application

The CJE app is intended for students aged at least 13, school representatives and county student council administrators. This is a service eligibility rule, not a universal GDPR age threshold. Legal representation and approval rules for contracts with minors apply separately; turning 16 does not replace them. Operational use in a county requires documented legal activation of the partnership and a local privacy notice. Users must provide accurate information and protect account access.

3. User Conduct

Users agree to use the application responsibly, respect the rights of other users, and not distribute offensive, illegal, or harmful content. Violation of these rules may result in account suspension.

4. Intellectual Property

Rights in the code, design and content remain with their respective holders. By uploading content, you confirm you may share it and allow its processing only to operate and moderate the service. This does not automatically transfer ownership to a council.

5. Limitation of Liability

To the maximum extent permitted by law, the application is provided without a guarantee of uninterrupted or error-free operation. CJE and the controller remain liable as required by applicable law and agreements. Nothing in these Terms excludes or limits any liability that cannot lawfully be excluded or limited.