Politica GDPR

1. Operatorul de date și Responsabilul cu Protecția Datelor (DPO)

NOIDEEA S.R.L. acționează ca operator de date în sensul Art. 4 alin. (7) GDPR pentru datele cu caracter personal prelucrate prin intermediul platformei Status Dosar (www.statusdosar.ro, my.statusdosar.ro, ipa.statusdosar.ro și aplicațiile mobile dedicate). DPO poate fi contactat direct și confidențial la adresa de mai sus; e-mailurile către cutia DPO nu sunt citite de alți angajați.

2. Definiții cheie (Art. 4 GDPR)

• Date cu caracter personal — orice informație privind o persoană fizică identificată sau identificabilă.
• Prelucrare — orice operațiune efectuată asupra datelor, automată sau manuală.
• Operator — entitatea care stabilește scopurile și mijloacele prelucrării.
• Persoană împuternicită (procesator) — entitatea care prelucrează date în numele operatorului.
• Persoana vizată — persoana fizică la care se referă datele (tu, utilizatorul).
• Consimțământ — manifestare de voință liber exprimată, specifică, informată și lipsită de ambiguitate (Art. 4 alin. 11 GDPR).
• Profilare — prelucrare automată folosită pentru a evalua aspecte personale (Art. 4 alin. 4).
• Categorii speciale — date care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase sau filozofice, apartenența sindicală, date genetice, biometrice, de sănătate, privind viața sexuală sau orientarea sexuală (Art. 9).
• Pseudonimizare — prelucrare astfel încât datele să nu mai poată fi atribuite unei persoane vizate fără utilizarea unor informații suplimentare, păstrate separat și protejate (Art. 4 alin. 5).

3. Categorii de date cu caracter personal prelucrate

Prelucrăm strict datele necesare prestării serviciului contractat și conformării cu obligații legale. Minimizăm colectarea (Art. 5 alin. 1 lit. c GDPR — principiul minimizării).

Nu prelucrăm categorii speciale de date conform Art. 9 GDPR (sănătate, biometrice, religie, orientare sexuală etc.). Nu partajăm date cu agenții de publicitate, brokeri sau marketeri terți.

4. Scopuri și temei legal (Art. 6, 9, 10 GDPR)

Pentru fiecare operațiune de prelucrare identificăm și documentăm un temei legal clar. Matricea de mai jos sintetizează evidența activităților de prelucrare (ROPA — Art. 30 GDPR).

5. Sursele datelor cu caracter personal

• Direct de la tine — la înregistrare, în timpul configurării contului, când contactezi suportul, la plata abonamentului.
• Generate automat — log-uri utilizare, IP, user agent, evenimente securitate.
• Furnizori OAuth — Google / Facebook trimit doar ID-ul unic și e-mailul autorizat de tine.
• Date judiciare publice — portal.just.ro, ECRIS, registre publice, în temeiul interesului public (§4.4).
• Procesatorul de plăți — LibraPay returnează statusul tranzacției și metadate (fără date card).
• Instrumente suport terți — doar metadatele pe care le trimiți explicit (ex. conținut tichet).

6. Perioade de retenție

Păstrăm datele cu caracter personal numai atât timp cât este necesar îndeplinirii scopului (Art. 5 alin. 1 lit. e GDPR — limitarea stocării), sau cât impune legea.

După expirarea perioadei de retenție, datele sunt ireversibil anonimizate sau șterse. Backupurile criptate nu sunt folosite pentru a „reconstrui" date șterse — restaurarea are loc doar în scenarii de dezastru cu jurnal de incidente documentat.

7. Destinatari și sub-procesori

Toți sub-procesorii operează în baza unor acorduri semnate de prelucrare a datelor (Art. 28 GDPR), cu măsuri tehnice și organizatorice documentate.

Lista completă cu data fiecărei versiuni este disponibilă la cerere prin /contact/dpo. Schimbările materiale de sub-procesori cu impact DPA sunt anunțate în avans cu minim 30 zile preaviz și posibilitatea de a obiecta.

8. Transferuri internaționale (Capitolul V GDPR)

Implicit, toate datele de producție sunt găzduite în Uniunea Europeană. Transferurile în afara SEE au loc doar când sunt strict necesare și cu garanții adecvate conform Capitolului V GDPR:

• EU-US Data Privacy Framework — pentru destinatari SUA certificați (Google LLC, Microsoft Corporation) unde operatorul are auto-certificarea activă.
• Clauze Contractuale Standard (SCC) — Decizia de punere în aplicare (UE) 2021/914 a Comisiei, completate cu evaluări de impact al transferului (TIA) unde sunt aplicabile.
• Criptare în tranzit și la stocare — minim TLS 1.3, criptare server-side AES-256.

Poți solicita o copie a garanțiilor (SCC redacted, sumar TIA) de la DPO.

9. Drepturile tale ca persoană vizată (Art. 12-22 GDPR)

Toate drepturile de mai jos se exercită gratuit și sunt procesate în 30 de zile calendaristice de la primirea unei cereri complete, cu posibilitatea unei extensii de până la 60 de zile suplimentare pentru cazuri complexe (Art. 12 alin. 3 GDPR), cu notificare prealabilă. Când nu te putem identifica, putem solicita verificare suplimentară.

10. Decizii automate și profilare (Art. 22 GDPR)

Status Dosar nu folosește decizii automate cu efecte juridice sau similare semnificative împotriva ta. Nu ranchezi, nu acordăm scoruri și nu evaluăm utilizatorii pentru credit, eligibilitate sau ocupare. Prelucrarea automată este limitată la: rutarea notificărilor (canal, frecvență), verificări disponibilitate serviciu, semnale anti-fraudă în autentificarea plății și rate-limiting elementar anti-abuz — niciuna cu efect juridic obligatoriu. Acolo unde este aplicabil, poți cere intervenție umană conform Art. 22 alin. 3 GDPR.

11. Datele copiilor (Art. 8 GDPR)

Platforma este destinată adulților. România a stabilit vârsta consimțământului digital la 16 ani (Legea 190/2018 art. 2). Nu colectăm cu bună știință date de la minori sub 16 ani. Dacă afli că un minor a creat un cont fără consimțământ parental verificat, te rugăm să notifici DPO pentru investigare și, după caz, ștergerea datelor.

12. Cookies și tehnologii similare

Inventarul complet al cookie-urilor, retenția și furnizorii sunt în Politica Cookies. Cookie-urile strict necesare sunt exceptate de consimțământ (Art. 4 alin. 5 Legea 506/2004); cookie-urile de analiză, funcționale și marketing se încarcă doar după consimțământ explicit prin bannerul cookie. Poți redeschide panoul de consimțământ oricând folosind butonul Modifică Cookies din footer.

13. Măsuri de securitate (Art. 32 GDPR)

Aplicăm măsuri tehnice și organizatorice adecvate riscului:

• Criptare în tranzit — minim TLS 1.3, HSTS preload, doar cipher-suite-uri moderne.
• Criptare la stocare — AES-256 server-side; câmpuri sensibile (CNP, secrete 2FA, token-uri) criptate la nivel de coloană cu chei gestionate intern.
• Hashing parole — argon2id / bcrypt cu salt per utilizator, cost ajustat la 12 luni.
• Control acces — RBAC privilegiu minim, izolare tenant la nivel query, MFA pentru personal cu acces la baza de date.
• Protecție rețea — IDS Suricata, fail2ban, WAF ModSecurity, CrowdSec, subdomenii segregate (www / my / ipa).
• Hardening — profile AppArmor pentru PHP-FPM, patch-uri OS automate, audit dependințe la fiecare deploy.
• Backupuri — backupuri zilnice criptate, NAS push-only, snapshot-uri ZFS, restore testat periodic (plan disaster-recovery).
• Audit logging — audit-trail imutabil pentru acțiuni sensibile, agregare log-uri tip SIEM.
• Management vulnerabilități — audituri interne de securitate + scan CVE pe dependințe; program de divulgare coordonată.
• Oameni — acorduri de confidențialitate, instruire pe roluri, acces restricționat la producție.

14. Notificarea incidentelor (Art. 33-34 GDPR)

Dacă survine un incident de securitate ce afectează date cu caracter personal și este probabil să genereze un risc pentru drepturile și libertățile persoanelor fizice, notificăm ANSPDCP în 72 de ore de la luarea la cunoștință (Art. 33 GDPR), exceptând cazurile improbabile de risc. Când riscul este ridicat, notificăm persoanele vizate fără întârziere (Art. 34 GDPR), în limbaj clar care descrie natura, consecințele probabile, măsurile luate și contactul pentru informații suplimentare. Fiecare eveniment este înregistrat în registrul intern de incidente, indiferent de pragul de notificare (Art. 33 alin. 5 GDPR).

15. DPIA și principiul responsabilizării

Pentru prelucrări susceptibile să producă un risc ridicat (ex. prelucrarea la scară largă a datelor judiciare publice, inclusiv referințe incidentale Art. 10), efectuăm evaluări de impact asupra protecției datelor (DPIA — Art. 35 GDPR), menținem evidența activităților de prelucrare (ROPA — Art. 30) și rulăm revizuiri periodice de conformitate. Documentele sunt disponibile ANSPDCP la cerere și (în formă rezumat) persoanelor vizate prin DPO.

16. Plângere la autoritatea de supraveghere (Art. 77 GDPR)

Fără a aduce atingere oricărui alt remediu administrativ sau jurisdicțional, ai dreptul să depui plângere, în special în statul membru al reședinței obișnuite, locul de muncă sau locul presupusei încălcări (Art. 77 GDPR). Te încurajăm cu tărie să contactezi întâi DPO — cele mai multe probleme se pot rezolva în câteva zile lucrătoare.

17. Modificări ale politicii

Această politică poate fi actualizată pentru a reflecta schimbări legale sau operaționale. Modificările materiale sunt anunțate cu minim 30 de zile preaviz prin bannerul cookie, notificare in-app și / sau e-mail către abonații activi, oferind posibilitatea de a obiecta acolo unde este aplicabil. Fiecare versiune este numerotată, datată și arhivată; versiunile anterioare sunt disponibile prin DPO. Continuarea utilizării platformei după data intrării în vigoare confirmă luarea la cunoștință a noii versiuni, fără a afecta dreptul de a te opune sau de a retrage consimțământul.