Politica de Confidențialitate

1. Introducere

Lulla respectă Regulamentul General privind Protecția Datelor (GDPR – Regulamentul UE 2016/679). Această politică descrie ce date colectăm, temeiul juridic, cum le folosim și drepturile tale ca utilizator.

2. Date colectate

• Date de cont: adresă email, nume părinte, rol (la înregistrare)
• Date despre bebeluș: nume, poreclă, data nașterii, sex (furnizate voluntar de utilizator)
• Date de somn: ore de start/stop, durată, calitate, note, tag-uri (introduse manual)
• Fotografii: avatar părinte și bebeluș (stocate local, opțional în cloud)
• Preferințe: setări notificări, ora de culcare, tema vizuală
• Newsletter (site): adresă email (cu consimțământ explicit)
• Date tehnice site: cookie-uri de sesiune necesare funcționării (nu se colectează date analitice)

3. Temeiul juridic de prelucrare (Art. 6 GDPR)

• Executarea contractului (Art. 6.1.b): date de cont și date de somn necesare furnizării serviciului
• Consimțământ (Art. 6.1.a): newsletter, fotografii opționale, notificări push
• Interes legitim (Art. 6.1.f): securitatea datelor, prevenirea abuzurilor

Poți retrage consimțământul oricând, fără ca aceasta să afecteze legalitatea prelucrărilor anterioare.

4. Cum folosim datele

• Furnizarea funcționalității aplicației (tracking somn, statistici, povești personalizate)
• Sincronizare între dispozitive prin Firebase Cloud
• Notificări personalizate (reminder somn, sfaturi zilnice)
• Newsletter săptămânal (cu consimțământ)
• NU vindem, NU partajăm datele cu terți în scop comercial
• NU folosim date pentru publicitate sau profilare

5. Procesori terți (Sub-operatori)

Datele pot fi procesate de următorii sub-operatori, în conformitate cu GDPR:

• Google Firebase (Firestore, Auth): autentificare și stocare cloud (date din aplicația Android) · Servere UE · Politica Google Firebase
• Vercel Inc. (San Francisco, SUA): hosting site-ul web getlulla.app, servit prin CDN global cu noduri în UE (Frankfurt). Vercel poate procesa: adresă IP, headere HTTP, logs de acces (păstrate maxim 30 zile pentru securitate). · Politica Vercel
• Server backend (Hetzner GmbH, Germania): pentru API-ul de newsletter și cereri GDPR · Servere UE · Politica Hetzner

Site-ul nu folosește Google Analytics, Google Fonts extern, Facebook Pixel, Hotjar, Mixpanel sau alte scripturi de tracking terțe. Fonturile (Nunito) sunt găzduite local pe serverul nostru.

6. Stocarea și retenția datelor

• Local: baza de date Room pe dispozitiv (ștears la dezinstalarea aplicației)
• Cloud: Firebase Firestore – datele sunt șterse la ștergerea contului
• Newsletter: email-ul este reținut până la dezabonare
• Fotografii: stocate local în Pictures/Lulla (nu se urcă automat în cloud)
• Criptare: toate datele în tranzit sunt criptate (HTTPS/TLS 1.3)
• Retenție: datele de cont se șterg complet în max. 30 de zile de la solicitare

7. Drepturile tale (Art. 15-22 GDPR)

• Dreptul de acces (Art. 15): poți vizualiza toate datele din aplicație
• Dreptul la rectificare (Art. 16): poți modifica datele din Setări → Profil
• Dreptul la ștergere (Art. 17): poți șterge contul din Setări → Șterge contul
• Dreptul la portabilitate (Art. 20): poți exporta datele ca PDF/CSV din Statistici
• Dreptul la opoziție (Art. 21): poți dezactiva notificările și newsletter-ul oricând
• Dreptul de a retrage consimțământul (Art. 7.3): prin dezabonare sau din Setări
• Dreptul la restricționarea prelucrării (Art. 18): contactează-ne la adresa de mai jos

Pentru orice solicitare privind datele tale: contact@getlulla.app (răspuns în max. 30 zile)

8. Cookie-uri și storage local

Site-ul folosește exclusiv cookie-uri și storage strict necesare funcționării — fără analytics, marketing sau tracking terțe. Lista completă:

Nu folosim cookie-uri analitice, de marketing sau de tracking terțe (zero Google Analytics, zero Pixel, zero Hotjar). Banner-ul de consimțământ apare la prima vizită; alegerea ta e respectată indefinit.

9. Date despre copii (Art. 8 GDPR)

Utilizatorul aplicației trebuie să fie părinte sau îngrijitor cu vârsta minimă de 16 ani (vârsta minimă pentru consimțământ GDPR în România). Aplicația nu este destinată copiilor și nu colectăm date direct de la persoane sub 16 ani.

Datele despre bebeluși (nume, dată naștere, sex, ore de somn, fotografii etc.) sunt date personale, dar sunt introduse exclusiv de către părinte/tutore legal, în baza responsabilității și consimțământului parental specific (Art. 8 GDPR). Părintele:

• Este singurul controlor al datelor copilului în relația cu Lulla
• Poate șterge complet aceste date oricând din Setări → Profil → Șterge profil
• Poate exporta datele copilului în format PDF/CSV pentru portabilitate (Art. 20)

Recomandăm părinților să discute cu copiii mai mari (peste 8 ani) despre faptul că datele lor de somn sunt înregistrate, ca parte a educației despre confidențialitate.

10. Transferuri internaționale de date

Datele sunt procesate cu prioritate în UE/SEE. Pentru sub-operatorii cu sediul în SUA (Vercel Inc., Google Firebase), transferurile se realizează în baza:

• EU-US Data Privacy Framework (DPF) — atât Vercel cât și Google sunt certificate sub DPF (decizia de adecvare a Comisiei Europene din 10 iulie 2023)
• Clauze Contractuale Standard (SCC) — module aprobate de CE conform Deciziei 2021/914, ca mecanism backup
• Pseudonimizare și criptare în tranzit (TLS 1.3) și în repaus (AES-256) pentru toate transferurile

Poți solicita oricând o copie a clauzelor SCC încheiate cu sub-procesatorii noștri, scriind la contact@getlulla.app.

11. Reclamații și autorități de supraveghere

Ai dreptul să depui o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), cu sediul în Bd. G-ral. Gheorghe Magheru 28-30, Sector 1, 010336 București: www.dataprotection.ro.

Te încurajăm să ne contactezi mai întâi la contact@getlulla.app — ne angajăm să răspundem în maxim 72 de ore și să rezolvăm orice problemă în termenul legal de 30 de zile (Art. 12 GDPR).

12. Notificare incidente de securitate (Art. 33-34 GDPR)

În caz de incident de securitate care poate afecta datele tale personale, ne angajăm să:

• Notificăm ANSPDCP în maxim 72 de ore de la detectare (Art. 33)
• Te informăm direct prin email fără întârziere nejustificată dacă incidentul îți afectează drepturile și libertățile (Art. 34)
• Publicăm pe acest site, la secțiunea Modificări, o descriere a incidentului și a măsurilor luate
• Furnizăm canal direct la DPO pentru întrebări: contact@getlulla.app

13. Modificări ale politicii

Ne rezervăm dreptul de a actualiza această politică. Modificările semnificative vor fi anunțate în aplicație și pe site cu cel puțin 30 de zile înainte de intrarea în vigoare. Versiunea curentă și data ultimei actualizări sunt afișate în antetul acestei pagini.

14. Contact Operator de Date / DPO

Operator de date (Data Controller): Lulla App — entitate juridică în curs de înregistrare în România. Datele complete vor fi publicate pe pagina Imprint imediat ce înregistrarea e finalizată.

Responsabil cu Protecția Datelor (DPO):

• Email dedicat: contact@getlulla.app (răspuns în max. 72h)
• Subiect recomandat la cerere GDPR: "Cerere GDPR" sau "DPO"

Pentru cereri privind drepturile tale (acces, rectificare, ștergere, portabilitate, restricționare, opoziție — Art. 15-22 GDPR), include în email: numele complet, adresa email asociată contului și descrierea concretă a cererii. Vom răspunde în maxim 30 de zile.