Please read before publishing. This document describes how this website actually processes personal data, for transparency. It is a working draft prepared for [LEGAL NAME / TRADING NAME] and is not legal advice. Have it reviewed by a qualified Romanian lawyer and complete every [highlighted] field before you rely on it.
1. Who we are (data controller)
The controller of your personal data is [LEGAL NAME / LEGAL FORM — e.g. PFA / II / SRL], trading as ROXTatts, a tattoo studio in Bucharest, Romania.
Data Protection Officer: [Not appointed — generally not mandatory for a studio of this size]
2. What personal data we collect
a) Booking & enquiry data (you provide it). Our booking form collects your name, phone number, email address, desired placement, size and style, a preferred date, your free-text description of the idea, and any reference images you upload. These reach us by email at booking@roxtatts.ro. Please avoid including special-category data (e.g. health details) unless necessary; anything you add is shared voluntarily and treated with care.
b) Correspondence. Messages you send us by email, phone or social media, and our replies.
c) Security data (automatic). To protect the form from spam/abuse, our server temporarily records technical request data, which can include your IP address, timestamp and browser identifier, and Google reCAPTCHA processes request/interaction data (see §4).
d) Analytics data (only with consent). If you allow Analytics cookies, Google Analytics 4 collects aggregate, pseudonymous usage data. Details are in our Cookie Policy.
3. Why we use it, and our legal basis
To respond to your enquiry and arrange an appointment — steps at your request prior to a contract (Art. 6(1)(b) GDPR).
To provide the tattoo service and aftercare — performance of a contract (Art. 6(1)(b)).
To secure the website and prevent spam/abuse (reCAPTCHA, rate limiting, logging) — legitimate interests (Art. 6(1)(f)).
To keep records required by law (tax/accounting) — legal obligation (Art. 6(1)(c)).
Analytics cookies — consent (Art. 6(1)(a)), withdrawable anytime.
4. Who receives your data
We do not sell your data. It is shared only with: our web & email host, [HOSTING PROVIDER] (processor storing the site and delivering booking emails); Google (reCAPTCHA for security, and Google Analytics 4 only with consent); and professional advisers or authorities where legally required.
5. Where your data is stored & international transfers
Booking enquiries and emails are stored on our host’s servers, located in [COUNTRY / EU — confirm with your host]. Google may process reCAPTCHA and Analytics data on servers outside the EU/EEA, including the United States; such transfers are intended to rely on EU Standard Contractual Clauses and/or Google’s EU–US Data Privacy Framework certification.
6. How long we keep it
Booking enquiries that don’t lead to an appointment: [e.g. 12 months], then deleted.
Records for completed appointments: [period required by tax/accounting law — often up to 5–10 years].
Uploaded reference images: kept only for the project, unless you agree to portfolio use.
Security logs (incl. IP): [recommended 30–90 days], then purged.
Cookie-consent record: ~180 days in your browser.
7. How we protect your data
The site is served over HTTPS. The booking form is protected by reCAPTCHA, anti-forgery (CSRF) tokens, a single-use submission token, per-IP rate limiting, a spam honeypot, and server-side validation/sanitisation. Booking emails are sent from a DKIM-signed domain mailbox with restricted access. No measure is perfect, but we take reasonable technical and organisational steps appropriate to the risk.
8. Your rights
Under the GDPR you may: access, rectify, erase, restrict or object to processing; request portability; and withdraw consent anytime (e.g. for Analytics). To exercise these, email booking@roxtatts.ro; we respond within one month. You may also complain to the Romanian authority, ANSPDCP — dataprotection.ro, Bd. G-ral Gh. Magheru 28–30, Bucharest.
9. Contact & changes
For any privacy request, contact booking@roxtatts.ro. We may update this policy; the “last updated” date reflects the current version.
Legal
Politica de confidențialitate
Ultima actualizare: [DATA PUBLICĂRII]
De citit înainte de publicare. Acest document descrie modul în care acest site prelucrează efectiv datele cu caracter personal, pentru transparență. Este o versiune de lucru pregătită pentru [DENUMIRE LEGALĂ / COMERCIALĂ] și nu constituie consultanță juridică. Solicită revizuirea de către un avocat din România și completează fiecare câmp [evidențiat] înainte de a te baza pe el.
1. Cine suntem (operatorul de date)
Operatorul datelor tale cu caracter personal este [DENUMIRE LEGALĂ / FORMĂ — ex. PFA / II / SRL], care desfășoară activitatea sub numele ROXTatts, un studio de tatuaje din București, România.
Responsabil cu protecția datelor (DPO): [Nedesemnat — în general neobligatoriu pentru un studio de această dimensiune]
2. Ce date cu caracter personal colectăm
a) Date de programare/solicitare (furnizate de tine). Formularul colectează numele, numărul de telefon, adresa de email, zona, dimensiunea și stilul dorite, o dată preferată, descrierea liberă a ideii și eventualele imagini de referință încărcate. Acestea ajung la noi prin email la booking@roxtatts.ro. Te rugăm să eviți datele din categorii speciale (ex. informații de sănătate) dacă nu este necesar; orice adaugi este comunicat voluntar și tratat cu grijă.
b) Corespondență. Mesajele trimise prin email, telefon sau rețele sociale și răspunsurile noastre.
c) Date de securitate (automat). Pentru a proteja formularul de spam/abuz, serverul înregistrează temporar date tehnice ale cererii, care pot include adresa IP, marca temporală și identificatorul de browser, iar Google reCAPTCHA prelucrează date despre cerere/interacțiune (vezi §4).
d) Date de analiză (doar cu consimțământ). Dacă permiți cookie-urile de Analiză, Google Analytics 4 colectează date de utilizare agregate și pseudonime. Detalii în Politica de cookie-uri.
3. De ce le folosim și temeiul legal
Pentru a răspunde solicitării și a stabili o programare — demersuri la cererea ta înainte de contract (art. 6(1)(b) GDPR).
Pentru a presta serviciul de tatuaj și îngrijirea ulterioară — executarea contractului (art. 6(1)(b)).
Pentru securizarea site-ului și prevenirea spamului/abuzului (reCAPTCHA, limitare, jurnalizare) — interes legitim (art. 6(1)(f)).
Pentru evidențe cerute de lege (fiscal/contabil) — obligație legală (art. 6(1)(c)).
Cookie-uri de analiză — consimțământ (art. 6(1)(a)), retractabil oricând.
4. Cine primește datele tale
Nu vindem datele tale. Sunt partajate doar cu: furnizorul de găzduire web & email, [FURNIZOR GĂZDUIRE] (persoană împuternicită care găzduiește site-ul și livrează emailurile de programare); Google (reCAPTCHA pentru securitate și Google Analytics 4 doar cu consimțământ); și consultanți profesioniști sau autorități când legea o cere.
5. Unde sunt stocate datele & transferuri internaționale
Solicitările și emailurile de programare sunt stocate pe serverele furnizorului nostru, situate în [ȚARĂ / UE — de confirmat cu furnizorul]. Google poate prelucra datele reCAPTCHA și Analytics pe servere în afara UE/SEE, inclusiv în Statele Unite; astfel de transferuri se întemeiază pe Clauzele Contractuale Standard ale UE și/sau pe certificarea Google în cadrul Cadrului UE–SUA privind confidențialitatea datelor.
6. Cât timp le păstrăm
Solicitări care nu duc la o programare: [ex. 12 luni], apoi șterse.
Evidențe pentru programări finalizate: [perioada cerută de legea fiscală/contabilă — adesea până la 5–10 ani].
Imagini de referință încărcate: păstrate doar pentru proiect, dacă nu ești de acord cu folosirea în portofoliu.
Jurnale de securitate (incl. IP): [recomandat 30–90 zile], apoi șterse.
Înregistrarea consimțământului: ~180 zile în browserul tău.
7. Cum îți protejăm datele
Site-ul este servit prin HTTPS. Formularul este protejat de reCAPTCHA, token-uri anti-fraudă (CSRF), un token de trimitere de unică folosință, limitare pe IP, o capcană anti-spam și validare/curățare pe server. Emailurile sunt trimise dintr-o cutie poștală de domeniu semnată DKIM, cu acces restricționat. Nicio măsură nu este perfectă, dar luăm măsuri tehnice și organizatorice rezonabile, adecvate riscului.
8. Drepturile tale
Conform GDPR ai dreptul de: acces, rectificare, ștergere, restricționare sau opoziție; portabilitate; și de a-ți retrage consimțământul oricând (ex. pentru Analiză). Pentru a le exercita, scrie la booking@roxtatts.ro; răspundem în termen de o lună. Poți depune și o plângere la autoritatea română, ANSPDCP — dataprotection.ro, Bd. G-ral Gh. Magheru 28–30, București.
9. Contact & modificări
Pentru orice solicitare de confidențialitate, scrie la booking@roxtatts.ro. Putem actualiza această politică; data „ultimei actualizări” reflectă versiunea curentă.