Politica de Confidențialitate

Ultima actualizare: 23 februarie 2026

1. Identitatea Operatorului

Operator de date: [COMPANY_NAME]
CUI: [CUI]
Adresa înregistrată: [REGISTERED_ADDRESS]
Contact GDPR: [GDPR_EMAIL]

Important: SITP este procesator de date pentru stațiile ITP (care sunt operatori de date). Stația ITP care folosește platforma este operatorul de date pentru informațiile proprietarilor de vehicule (clienții ITP). SITP procesează aceste date doar în numele și la comanda stației ITP.

2. Ce Date Colectăm

Colectăm și procesăm următoarele categorii de date personale:

2.1. Date despre stațiile ITP

  • Nume stație, licență RAR, CUI, adresă sediu
  • Date de contact: email și telefon administrator
  • Parolă (stocată hash-uită cu bcrypt, nu în clar)
  • PIN securitate administrator (stocat hash-uit)
  • Date configurare: logo stație, setări alertări SMS

2.2. Date despre inspectori

  • Nume complet, email
  • Rol în cadrul stației (inspector, administrator)
  • Date autentificare (parolă hash-uită)

2.3. Date despre clienți (proprietari de vehicule)

  • Nume și prenume proprietar
  • Număr de telefon (pentru alertări SMS)
  • Email (opțional)
  • Număr de înmatriculare vehicul
  • VIN (Vehicle Identification Number)
  • Marcă, model, an fabricație vehicul
  • Date tehnice vehicul (categorie, norma poluare, etc.)

2.4. Date inspecții tehnice

  • Programări inspecții (data, ora, inspector alocat)
  • Rapoarte ITP (rezultat inspecție, defecte identificate)
  • Fotografii defecte (stocate în Cloudflare R2)
  • Istoric revizii tehnice
  • Activități inspector (inspecții în desfășurare, comentarii)

2.5. Date tranzacții și facturare

  • Facturi emise, istoric plăți
  • Date abonament (plan, dată expirare, stare)
  • Credite SMS achiziționate și utilizate
  • ID-uri Stripe (Customer ID, Subscription ID, Invoice ID)
  • Nu stocăm date de card bancar — plățile sunt procesate integral de Stripe

2.6. Date tehnice și securitate

  • Adresă IP (pentru autentificare și jurnal audit)
  • Cookie-uri de sesiune (NextAuth.js)
  • Token-uri CSRF (protecție securitate)
  • Log-uri erori și evenimente de securitate
  • Jurnal audit GDPR (acces date, ștergeri, modificări)

3. Temei Legal (GDPR Art. 6)

Procesăm datele personale pe baza următoarelor temeiuri legale:

3.1. Executarea unui contract (Art. 6(1)(b))

Procesarea este necesară pentru furnizarea serviciilor SITP: gestionarea programărilor, întocmirea rapoartelor ITP, stocarea fotografiilor, trimiterea alertărilor SMS la solicitarea stației, generarea statisticilor.

3.2. Obligație legală (Art. 6(1)(c))

Păstrarea facturilor pentru 10 ani (conform legislației fiscale române) și a rapoartelor ITP (conform cerințelor RAR — Registrul Auto Român).

3.3. Consimțământ (Art. 6(1)(a))

Trimiterea de alertări SMS către proprietarii de vehicule (clienții ITP) se bazează pe consimțământul acestora. Consimțământul este obținut de stația ITP, nu de SITP.Stația este responsabilă pentru colectarea și gestionarea acestui consimțământ.

3.4. Interes legitim (Art. 6(1)(f))

Prevenirea fraudei, asigurarea securității sistemului, îmbunătățirea funcționalităților platformei pe baza feedback-ului utilizatorilor.

4. Cât Timp Păstrăm Datele

  • Date active: Pe durata abonamentului activ + 30 de zile după expirare (perioadă de grație pentru reactivare)
  • Facturi: 10 ani de la emitere (conform legislației fiscale române)
  • Jurnal audit (AuditLog): 3 ani de la eveniment (pentru conformitate GDPR)
  • După ștergerea contului: Toate datele (inclusiv fotografii R2, rapoarte, clienți) sunt eliminate permanent în maxim 30 de zile de la solicitare

La expirarea perioadei de retenție, datele sunt șterse automat printr-un proces automatizat (cron job zilnic).

5. Drepturile Tale (GDPR Art. 12-22)

Conform GDPR, ai următoarele drepturi cu privire la datele tale personale:

5.1. Dreptul de acces (Art. 15)

Poți solicita o copie completă a tuturor datelor tale. Accesează Setări → Cont și Date Personale → Export Date pentru a descărca un fișier JSON cu toate informațiile.

5.2. Dreptul la rectificare (Art. 16)

Poți corecta datele inexacte sau incomplete direct din secțiunea Setăria platformei (date stație, inspectori, clienți).

5.3. Dreptul la ștergere / “dreptul de a fi uitat” (Art. 17)

Poți solicita ștergerea completă a contului și a tuturor datelor asociate. Accesează Setări → Cont și Date Personale → Șterge Cont. Ștergerea este programată după 30 de zile (perioadă de confirmare), timp în care poți anula solicitarea.

Atenție: După ștergere, datele nu pot fi recuperate.

5.4. Dreptul la portabilitatea datelor (Art. 20)

Poți descărca toate datele într-un format structurat, utilizat în mod curent și care poate fi citit automat (JSON). Funcția de export este disponibilă în Setări.

5.5. Dreptul la opoziție (Art. 21)

Poți refuza anumite procesări bazate pe interes legitim (de exemplu, comunicări marketing — momentan SITP nu trimite astfel de comunicări).

5.6. Cum îți exerciți drepturile

Pentru majoritatea drepturilor, poți folosi direct interfața platformei (secțiunea Setări → Cont și Date Personale). Pentru alte solicitări sau asistență, contactează [GDPR_EMAIL].

6. Subprocesori (Sub-processors)

Pentru funcționarea platformei SITP, folosim furnizori terți (subprocesori) care procesează date personale în numele nostru. Fiecare subprocesor are propriul Acord de Prelucrare a Datelor (DPA) și respectă cerințele GDPR.

Serviciile cheie includ:

  • Vercel — hosting platformă, CDN, funcții serverless
  • Neon — bază de date PostgreSQL (Frankfurt, Germania — UE)
  • Cloudflare R2 — stocare fotografii și fișiere (Uniunea Europeană)
  • Stripe — procesare plăți (nu stocăm date card)
  • SMSO.ro — trimitere SMS în România
  • Resend — email-uri tranzacționale
  • Pusher — notificări realtime între inspectori (Dublin, Irlanda)
  • Google OAuth — autentificare cu cont Google

Vezi lista completă a subprocesarilor cu detalii despre fiecare (locație, tip date, DPA-uri).

Te notificăm cu 30 de zile înainte de adăugarea unui nou subprocesor.

7. Transferuri Internaționale de Date

Majoritatea datelor sunt stocate în Uniunea Europeană:

  • Baza de date: Neon PostgreSQL (Frankfurt, Germania)
  • Stocare fotografii: Cloudflare R2 (regiuni UE)
  • Notificări realtime: Pusher (Dublin, Irlanda)
  • SMS: SMSO.ro (România)

Pentru servicii cu prezență globală (Vercel, Stripe, Google OAuth), ne asigurăm că furnizorul respectă garanțiile GDPR:

  • Clauze Contractuale Standard (SCC) aprobate de Comisia Europeană
  • EU-US Data Privacy Framework (pentru companii certificate din SUA)
  • Certificări echivalente (SOC 2, ISO 27001)

8. Măsuri de Securitate

Implementăm măsuri tehnice și organizatorice pentru protejarea datelor personale:

  • Criptare în tranzit: HTTPS/TLS pentru toate comunicările
  • Criptare la stocare: Baza de date și R2 criptate
  • Parole hash-uite: Folosim bcrypt (nu stocăm parole în clar)
  • Izolare multi-tenant: Fiecare stație vede doar propriile date
  • Control acces bazat pe roluri: Administratori vs. inspectori
  • Backup automat zilnic: Recuperare în caz de incident
  • Monitorizare securitate: Log-uri audit pentru acces neautorizat
  • Protecție CSRF: Token-uri pentru prevenirea atacurilor cross-site

9. Cookie-uri

Folosim doar cookie-uri strict necesare (esențiale) pentru funcționarea platformei:

  • Cookie de sesiune NextAuth: Identifică utilizatorul autentificat
  • Token CSRF: Protecție împotriva atacurilor cross-site request forgery
  • PIN temporar administrator: Securitate operații sensibile

Nu folosim cookie-uri pentru marketing sau tracking. Nu folosim Google Analytics, Facebook Pixel sau alte instrumente de urmărire terță parte.

Conform GDPR, cookie-urile strict necesare nu necesită consimțământ explicit. Vei vedea un banner informativ la prima vizită pe platformă.

10. Modificări ale Politicii de Confidențialitate

Actualizăm periodic această politică pentru a reflecta modificări ale legislației, ale serviciilor noastre sau ale feedback-ului utilizatorilor.

În cazul modificărilor semnificative, vei fi notificat prin email cu 30 de zile înaintede intrarea în vigoare.

Continuarea utilizării platformei după intrarea în vigoare a noii versiuni constituie acceptarea acesteia.

Versiunea curentă: 2026-02-23-v1

11. Plângeri și Contact ANSPDCP

Dacă considerezi că drepturile tale GDPR au fost încălcate, ai dreptul de a depune plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP):

ANSPDCP — Date de Contact

Adresă: B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, București
Website: www.dataprotection.ro
Email: anspdcp@dataprotection.ro
Telefon: +40 318 059 211

De asemenea, poți contacta direct echipa SITP pentru orice întrebare despre datele tale personale sau despre această politică la [GDPR_EMAIL].

Această politică de confidențialitate este conformă cu GDPR (Regulamentul UE 2016/679) și Legea 190/2018 privind protecția datelor în România.