Politica de Confidențialitate

Politica de Confidențialitate

SitePeAbonament.ro

Versiunea 1.0 — în vigoare începând cu 3 mai 2026

Operator de date personale:

BREJE GEORGE-CRISTIAN PERSOANĂ FIZICĂ AUTORIZATĂ

CUI: 51843416

Nr. înregistrare Reg. Com.: F2025018297006

Sediu: Mun. Oradea, Str. Sfântul Apostol Andrei, Nr. 123, Bl. PB4/8, Sc. A, Et. 2, Ap. 10, Camera 1, Jud. Bihor

Telefon: +40 773 886 507

Email: contact@sitepeabonament.ro

Site web: www.sitepeabonament.ro

Cuprins

1. Despre această Politică
2. Operatorul de date și punctul de contact GDPR
3. Domeniul de aplicare
4. Ce date colectăm și de la cine
5. Scopurile, temeiurile legale și duratele de stocare
6. Cui transmitem datele (subprocesatori)
7. Transferuri internaționale de date
8. Drepturile dumneavoastră
9. Procedura de exercitare a drepturilor
10. Cookies și tehnologii similare
11. Securitatea datelor
12. Brese de securitate
13. Decizii automate și profilare
14. Categorii speciale de date
15. Date despre minori
16. Modificări ale Politicii
17. Cum ne contactați

1. Despre această Politică

Această Politică de Confidențialitate explică modul în care BREJE GEORGE-CRISTIAN PERSOANĂ FIZICĂ AUTORIZATĂ (în continuare „Prestatorul", „noi", „nostru") colectează, utilizează, stochează, transmite și protejează datele cu caracter personal ale persoanelor care:

• Vizitează site-ul www.sitepeabonament.ro;
• Contractează Serviciile noastre (Clienți direcți);
• Ne contactează prin email, telefon sau formularele de pe Site.

Politica este redactată în conformitate cu:

• Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal (GDPR);
• Legea 190/2018 privind măsuri de aplicare a GDPR în România;
• Legea 506/2004 privind prelucrarea datelor cu caracter personal în sectorul comunicațiilor electronice;
• Directiva 2002/58/CE privind viața privată în comunicațiile electronice (Directiva ePrivacy);
• Ghidurile și deciziile Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) și ale Comitetului European pentru Protecția Datelor (EDPB).

2. Operatorul de date și punctul de contact GDPR

2.1 Operator de date

Operatorul de date personale care răspunde de prelucrarea descrisă în această Politică este:

BREJE GEORGE-CRISTIAN PERSOANĂ FIZICĂ AUTORIZATĂ

• CUI: 51843416
• Nr. Reg. Com.: F2025018297006
• Sediu: Mun. Oradea, Str. Sfântul Apostol Andrei, Nr. 123, Bl. PB4/8, Sc. A, Et. 2, Ap. 10, Camera 1, Jud. Bihor
• Email: contact@sitepeabonament.ro
• Telefon: +40 773 886 507

2.2 Responsabil cu protecția datelor (DPO)

Conform art. 37 GDPR, desemnarea unui Responsabil cu Protecția Datelor (DPO) este obligatorie doar în trei situații specifice (autoritate publică, monitorizare sistematică pe scară largă, prelucrare pe scară largă a categoriilor speciale de date). Activitatea Prestatorului nu se încadrează în aceste situații.

În consecință, Prestatorul nu are obligația legală de a desemna un DPO și nu a desemnat unul în mod voluntar. Pentru orice chestiune legată de protecția datelor, persoana responsabilă și punctul de contact este însuși titularul PFA — George-Cristian Breje — care poate fi contactat la contact@sitepeabonament.ro.

3. Domeniul de aplicare

3.1 Cui i se aplică această Politică

Această Politică se aplică prelucrării datelor cu caracter personal ale:

• Vizitatorilor site-ului www.sitepeabonament.ro;
• Clienților direcți care contractează Serviciile (persoane fizice — Consumatori și reprezentanți ai persoanelor juridice — Profesioniști);
• Persoanelor de contact indicate de Clienți (ex.: contabilul firmei pentru transmiterea facturilor);
• Persoanelor care ne contactează prin email, telefon, formulare web sau rețele sociale.

3.2 Cui NU i se aplică această Politică

Această Politică NU acoperă:

• Vizitatorii site-urilor create de Prestator pentru Clienți (Site Client) — pentru aceștia, operator de date este Clientul (deținătorul site-ului). Prestatorul prelucrează aceste date doar în calitate de Persoană împuternicită, conform art. 11 din Termenii și Condițiile SitePeAbonament.ro (clauzele de prelucrare a datelor conform art. 28 GDPR). Vizitatorii site-urilor Clienților trebuie să consulte politica de confidențialitate publicată pe site-ul respectiv;
• Datele prelucrate de furnizorii noștri terți în scop propriu (de exemplu, datele de plată stocate de Stripe pentru propriile sale obligații regulamentare) — pentru aceste prelucrări se aplică politicile furnizorilor respectivi.

4. Ce date colectăm și de la cine

4.1 Sursa datelor

În principiu, colectăm date direct de la dumneavoastră, atunci când:

• Completați formulare pe Site (contact, comandă);
• Vă creați cont în dashboard-ul Clientului;
• Plasați o comandă și efectuați plata;
• Ne contactați prin email, telefon sau alte canale;
• Navigați pe Site (date colectate automat — cookies, adresă IP).

Nu colectăm date despre dumneavoastră din surse terțe (broker-i de date, rețele sociale fără consimțământ, baze de date publice etc.).

4.2 Categoriile de date colectate

A) Date furnizate direct de dumneavoastră

Pentru contractare și executarea Serviciilor:

• Nume și prenume (pentru Consumatori) sau denumirea persoanei juridice (pentru Profesioniști);
• Adresă de email;
• Număr de telefon;
• Adresă completă (de domiciliu pentru Consumatori, sediu social pentru Profesioniști);
• Pentru Profesioniști: CUI, nr. Reg. Com., reprezentant legal;
• Date de autentificare în dashboard: email și parolă criptată (nu stocăm parola în clar — folosim hash bcrypt cu salt);
• Conținutul comunicărilor cu noi (emailuri, mesaje, transcrieri telefonice dacă este cazul).

IMPORTANT — date pe care NU le colectăm:

• NU colectăm CNP-ul (Codul Numeric Personal) clienților Consumatori. Pentru factura fiscală emisă prin Oblio, sunt suficiente nume + adresă;
• NU colectăm copii ale actelor de identitate (carte de identitate, pașaport);
• NU colectăm date bancare complete (vezi punctul B de mai jos);
• NU colectăm date sensibile (vezi secțiunea 14).

B) Date de plată — stocate de Stripe, NU de noi

Datele complete ale cardului dumneavoastră (PAN, CVV, data expirării) NU sunt stocate de Prestator.

Aceste date sunt colectate și procesate exclusiv de Stripe Payments Europe Ltd., procesator certificat PCI DSS Level 1 (cel mai înalt standard de securitate pentru date de card). Politica de confidențialitate Stripe: stripe.com/privacy.

De la Stripe, noi primim doar:

• Un identificator (token) anonim al metodei de plată — un șir de caractere care reprezintă cardul dumneavoastră dar nu permite folosirea lui în afara Stripe;
• Ultimele 4 cifre ale cardului (pentru identificare vizuală în istoricul plăților);
• Tipul cardului (Visa, Mastercard, American Express etc.);
• Brand-ul emitentului (numele băncii, dacă Stripe îl furnizează);
• Țara de emitere a cardului;
• Statusul plăților (succes, eșec, motiv eșec).

C) Date colectate automat la utilizarea Site-ului

• Adresa IP și locația aproximativă derivată din IP (țară, oraș);
• Tipul de browser și sistem de operare (User-Agent);
• Pagini vizitate, ordinea vizitării, durata vizitei;
• Sursa de trafic (link de unde ați venit pe site);
• Dispozitiv (desktop/mobil/tabletă) și rezoluție ecran;
• Identificatori prin cookies (vezi secțiunea 10 și Politica de Cookies separată).

Notă privind adresa IP: Conform jurisprudenței CJUE (cauza C-582/14 Breyer), adresa IP poate constitui dată cu caracter personal. O tratăm ca atare — colectarea se face în temeiul interesului legitim de securitate (prevenire fraude, atacuri, accesări neautorizate).

D) Date colectate la contactare

Când ne contactați prin email, telefon sau formular de contact, colectăm:

• Datele furnizate de dumneavoastră (nume, contact, mesaj);
• Conținutul comunicării;
• Data și ora comunicării.

5. Scopurile, temeiurile legale și duratele de stocare

Pentru fiecare categorie de prelucrare, indicăm mai jos scopul, temeiul legal GDPR, datele prelucrate și durata stocării.

5.1 Executarea contractului (cont, livrare Servicii, suport)

• Scop: Crearea contului, livrarea Serviciilor contractate, suport tehnic, comunicări legate de contract.
• Temei legal: Art. 6 alin. (1) lit. b) GDPR — executarea contractului la care persoana vizată este parte sau pentru a face demersuri precontractuale.
• Date prelucrate: Nume, email, telefon, adresă, date de autentificare, conținut comunicări.
• Durata stocării: Pe toată durata contractului + 3 ani după încetare (termen general de prescripție pentru acțiuni civile, Cod Civil art. 2517).

5.2 Procesarea plăților recurente

• Scop: Debitarea automată lunară a Abonamentului prin Stripe.
• Temei legal: Art. 6 alin. (1) lit. b) GDPR — executarea contractului.
• Date prelucrate: Token Stripe, ultimele 4 cifre card, status plăți, sume tranzacționate.
• Durata stocării: Pe durata Abonamentului + 7 ani (Stripe păstrează datele de plată conform reglementărilor financiare europene și internaționale, indiferent de relația cu noi).

5.3 Facturare și obligații contabile

• Scop: Emiterea facturilor fiscale prin Oblio, transmiterea către ANAF (e-Factura), evidență contabilă.
• Temei legal: Art. 6 alin. (1) lit. c) GDPR — obligație legală (Codul Fiscal — Legea 227/2015, Legea Contabilității nr. 82/1991, OUG 120/2021 privind e-Factura).
• Date prelucrate: Nume/denumire firmă, adresă, CUI (pentru Profesioniști), sume facturate.
• Durata stocării: 10 ani de la emiterea facturii (art. 25 alin. (1) Codul Fiscal).

5.4 Comunicări legate de cont și serviciu (tranzactionale)

• Scop: Notificări despre stadiul comenzii, schimbări de tarif, alerte de securitate, mentenanță programată, modificări ale Termenilor.
• Temei legal: Art. 6 alin. (1) lit. b) GDPR — executarea contractului și/sau art. 6 alin. (1) lit. f) GDPR — interes legitim (informarea Clientului despre evenimente care îl afectează).
• Date prelucrate: Email, conținut comunicare.
• Durata stocării: Pe durata contractului + 3 ani.

5.5 Comunicări de marketing (newsletter, oferte)

• Scop: Transmiterea de oferte promoționale, articole de blog, anunțuri despre servicii noi.
• Temei legal: Art. 6 alin. (1) lit. a) GDPR — consimțământul expres al persoanei vizate; art. 12 din Legea 506/2004.
• Date prelucrate: Email, prenume (opțional), preferințe de marketing.
• Durata stocării: Până la retragerea consimțământului (oricând, prin link de dezabonare). În lipsa retragerii, maxim 5 ani de la ultima interacțiune cu emailurile (după care reconfirmăm consimțământul).

5.6 Securitatea infrastructurii și prevenirea fraudelor

• Scop: Protejarea Site-ului și a infrastructurii împotriva atacurilor, accesărilor neautorizate, fraudelor de plată.
• Temei legal: Art. 6 alin. (1) lit. f) GDPR — interes legitim (protejarea sistemului informatic și a celorlalți utilizatori).
• Date prelucrate: Adresă IP, User-Agent, loguri de acces, comportament navigare.
• Durata stocării: Maxim 6 luni pentru loguri tehnice; cazurile de incidente de securitate se păstrează separat pe durata investigației + 3 ani.

5.7 Statistici și îmbunătățirea Site-ului

• Scop: Înțelegerea modului în care vizitatorii utilizează Site-ul, optimizarea experienței.
• Temei legal: Art. 6 alin. (1) lit. a) GDPR — consimțământul prin bannerul de cookies (pentru cookies-urile statistice neesențiale).
• Date prelucrate: Date de navigare anonimizate sau pseudonimizate.
• Durata stocării: Conform politicii furnizorului de analytics (vezi Politica de Cookies). Datele detaliate de navigare se păstrează maxim 14 luni.

5.8 Răspuns la cereri de exercitare a drepturilor GDPR

• Scop: Procesarea cererilor de acces, rectificare, ștergere, portabilitate, opoziție, retragere consimțământ.
• Temei legal: Art. 6 alin. (1) lit. c) GDPR — obligație legală (GDPR art. 12-22).
• Date prelucrate: Datele necesare pentru identificarea persoanei vizate și răspunsul la cerere.
• Durata stocării: 3 ani de la rezolvarea cererii (pentru a putea proba conformitatea în caz de control ANSPDCP).

5.9 Constatarea, exercitarea sau apărarea unui drept în instanță

• Scop: Apărarea drepturilor Prestatorului în litigii, soluționarea sesizărilor ANPC/ANSPDCP, recuperarea creanțelor.
• Temei legal: Art. 6 alin. (1) lit. f) GDPR — interes legitim; art. 9 alin. (2) lit. f) GDPR pentru cazurile cu date sensibile.
• Date prelucrate: Toate datele relevante pentru speța respectivă.
• Durata stocării: Pe durata litigiului + termenul de prescripție aplicabil (de regulă 3 ani de la finalizare).

6. Cui transmitem datele (subprocesatori)

Pentru a putea presta Serviciile, transmitem datele dumneavoastră următoarelor categorii de destinatari, fiecare având obligații contractuale ferme de confidențialitate și securitate.

6.1 Lista subprocesatorilor

6.2 Notificare privind subprocesatorii noi

Dacă schimbăm sau adăugăm subprocesatori cu acces la datele dumneavoastră, vom actualiza această listă și, pentru schimbări semnificative, vom notifica Clienții prin email cu cel puțin 30 de zile înainte de începerea prelucrării. În cazul în care nu sunteți de acord cu un nou subprocesator, aveți dreptul de a denunța contractul fără penalități.

6.3 Autorități publice

Putem transmite date și către autorități publice atunci când avem o obligație legală, inclusiv:

• ANAF — pentru transmiterea facturilor prin e-Factura, controale fiscale;
• ANSPDCP — la cererea autorității în caz de control sau plângere;
• ANPC — la cererea autorității în caz de plângere consumator;
• Instanțe judecătorești — în baza unei hotărâri judecătorești;
• Organe de urmărire penală — în condițiile legii.

6.4 Ce NU facem cu datele dumneavoastră

NU vindem datele dumneavoastră către terți pentru scopuri de marketing al acestora. NU partajăm datele cu broker-i de date, agenții de marketing externe sau alte entități pentru scopuri necontractate cu dumneavoastră.

7. Transferuri internaționale de date

7.1 De ce există transferuri în afara UE

Unii dintre furnizorii noștri tehnici (Stripe, Vercel, Supabase) sunt societăți cu sediul în Statele Unite ale Americii sau procesează date prin entități din SUA. Pentru a putea oferi servicii la nivel competitiv, utilizăm acești furnizori.

7.2 Mecanismele legale de transfer

Transferurile de date în afara Spațiului Economic European (SEE) se fac în baza unuia sau mai multor mecanisme prevăzute de art. 44-49 GDPR:

A) Decizia de adecvare — EU-US Data Privacy Framework (DPF)

În baza Deciziei de adecvare a Comisiei Europene din 10 iulie 2023 (Decizia (UE) 2023/1795), datele pot fi transferate către societăți din SUA care sunt certificate sub Data Privacy Framework. Verificarea certificării poate fi făcută la www.dataprivacyframework.gov.

B) Clauze Contractuale Standard (SCC)

Pentru transferurile către furnizori care nu sunt certificați DPF sau ca măsură suplimentară de protecție, utilizăm Clauzele Contractuale Standard aprobate de Comisia Europeană prin Decizia de punere în aplicare (UE) 2021/914.

7.3 Transferuri specifice și mecanisme aplicabile

7.4 Garanții suplimentare

Pe lângă mecanismele legale de mai sus, aplicăm măsuri tehnice și organizatorice suplimentare pentru a asigura un nivel adecvat de protecție:

• Criptarea datelor în tranzit (TLS 1.2+) și, pentru date sensibile, în repaus;
• Pseudonimizare acolo unde este posibil;
• Acces restricționat la datele transferate, pe bază de roluri și autentificare puternică;
• Audit-uri periodice ale conformității furnizorilor cu obligațiile contractuale.

7.5 Dreptul dumneavoastră de informare

Aveți dreptul de a solicita o copie a garanțiilor aplicabile (Clauzele Contractuale Standard semnate, certificate DPF) prin trimiterea unei cereri la contact@sitepeabonament.ro.

8. Drepturile dumneavoastră

În calitate de persoană vizată, beneficiați de următoarele drepturi conform GDPR:

8.1 Dreptul de acces (art. 15 GDPR)

Aveți dreptul de a obține confirmarea faptului că prelucrăm sau nu date cu caracter personal care vă privesc și, în caz afirmativ, acces la aceste date și informații suplimentare (scopuri, categorii, destinatari, durată stocare etc.). La cerere, vă furnizăm o copie a datelor prelucrate, gratuit pentru prima cerere; pentru cereri repetate sau vădit excesive, putem percepe o taxă rezonabilă sau refuza cererea.

8.2 Dreptul la rectificare (art. 16 GDPR)

Puteți cere corectarea datelor inexacte sau completarea datelor incomplete. Vă recomandăm să verificați și să actualizați direct datele din dashboard-ul dumneavoastră, atunci când este posibil.

8.3 Dreptul la ștergere — „dreptul de a fi uitat" (art. 17 GDPR)

Puteți cere ștergerea datelor dumneavoastră în următoarele situații:

• Datele nu mai sunt necesare pentru scopurile pentru care au fost colectate;
• V-ați retras consimțământul (când acesta era temeiul prelucrării);
• Vă opuneți prelucrării și nu există motive legitime preponderente;
• Datele au fost prelucrate ilegal;
• Există o obligație legală de ștergere.

Limitări: Acest drept nu se aplică atunci când prelucrarea este necesară pentru:

• Executarea unei obligații legale (ex.: păstrarea facturilor 10 ani conform Codului Fiscal);
• Constatarea, exercitarea sau apărarea unui drept în instanță;
• Motive de interes public.

8.4 Dreptul la restricționarea prelucrării (art. 18 GDPR)

Puteți cere restricționarea (suspendarea temporară) a prelucrării atunci când:

• Contestați exactitatea datelor (pe perioada verificării);
• Prelucrarea este ilegală, dar vă opuneți ștergerii;
• Datele nu ne mai sunt necesare, dar le solicitați pentru un drept în instanță;
• V-ați opus prelucrării (pe perioada verificării interesului legitim).

8.5 Dreptul la portabilitate (art. 20 GDPR)

Pentru datele prelucrate automatizat în baza consimțământului sau a executării contractului, aveți dreptul de a primi datele dumneavoastră într-un format structurat, utilizat în mod curent și care poate fi citit automat (ex.: JSON, CSV) și de a le transmite altui operator.

8.6 Dreptul la opoziție (art. 21 GDPR)

Vă puteți opune prelucrării datelor dumneavoastră atunci când prelucrarea se face în baza interesului legitim al Prestatorului. În cazul marketingului direct, opoziția este absolută — încetăm imediat și fără justificare prelucrarea în acest scop.

8.7 Dreptul de a vă retrage consimțământul (art. 7 alin. (3) GDPR)

Atunci când prelucrarea se bazează pe consimțământul dumneavoastră, îl puteți retrage în orice moment. Retragerea nu afectează legalitatea prelucrărilor efectuate anterior retragerii.

8.8 Dreptul de a depune plângere (art. 77 GDPR)

Aveți dreptul de a depune plângere la o autoritate de supraveghere, în special la:

• Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) — Bd. G-ral. Gheorghe Magheru 28-30, Sector 1, București; tel. +40 318 059 211; email anspdcp@dataprotection.ro; web www.dataprotection.ro.

Vă încurajăm însă să ne contactați mai întâi pe noi, la contact@sitepeabonament.ro, pentru a încerca soluționarea amiabilă.

8.9 Dreptul de a nu fi supus deciziilor automate (art. 22 GDPR)

Aveți dreptul de a nu fi supus unei decizii bazate exclusiv pe prelucrare automată, inclusiv profilare, care produce efecte juridice sau vă afectează similar. Prestatorul nu utilizează decizii automate sau profilare care să producă astfel de efecte (vezi secțiunea 13).

9. Procedura de exercitare a drepturilor

9.1 Cum ne contactați

Puteți exercita drepturile prin oricare dintre următoarele căi:

• Email: contact@sitepeabonament.ro (recomandat — cel mai rapid);
• Scrisoare către sediul Prestatorului (Mun. Oradea, Str. Sfântul Apostol Andrei, Nr. 123, Bl. PB4/8, Sc. A, Et. 2, Ap. 10, Camera 1, Jud. Bihor);
• Telefon la +40 773 886 507 (cu confirmare scrisă ulterioară prin email).

9.2 Ce informații să includeți în cerere

Pentru a procesa cererea dumneavoastră eficient, vă rugăm să includeți:

• Numele complet (sau denumirea firmei);
• Adresa de email folosită la contractare;
• Dreptul pe care doriți să îl exercitați (acces, rectificare, ștergere etc.);
• Detaliile relevante (ce date doriți rectificate, ce informații cereți etc.).

9.3 Identificarea solicitantului

Pentru a preveni dezvăluirea datelor către persoane neautorizate, putem solicita dovezi rezonabile de identitate (de exemplu, confirmarea cererii de pe adresa de email asociată contului). Nu cerem niciodată copii ale actelor de identitate sau date sensibile pentru identificare.

9.4 Termen de răspuns

Răspundem cererilor în maximum 30 de zile de la primirea cererii complete și a dovezii de identitate (dacă a fost necesară). Pentru cereri complexe sau numeroase, termenul poate fi extins cu maximum 2 luni, cu informarea dumneavoastră în primele 30 de zile, conform art. 12 alin. (3) GDPR.

9.5 Costuri

Exercitarea drepturilor este, de regulă, gratuită. Pentru cereri vădit nefondate, repetitive sau excesive, putem percepe o taxă rezonabilă (acoperirea costurilor administrative) sau refuza cererea, conform art. 12 alin. (5) GDPR. Vă vom informa motivat în acest caz.

10. Cookies și tehnologii similare

10.1 Ce sunt cookies-urile

Cookies-urile sunt fișiere mici de text stocate de browser-ul dumneavoastră atunci când vizitați un site web. Ele permit Site-ului să recunoască browser-ul la vizitele ulterioare și să rețină preferințe sau date de sesiune.

10.2 Categoriile de cookies utilizate

Site-ul utilizează următoarele categorii de cookies, fiecare tratată distinct conform Directivei ePrivacy și ghidurilor ANSPDCP:

• Cookies strict necesare — pentru funcționarea Site-ului (autentificare, sesiune, securitate). Sunt active by default și nu necesită consimțământ;
• Cookies de preferințe — rețin alegerile dumneavoastră (limbă, regiune). Necesită consimțământ;
• Cookies de statistică — pentru a înțelege cum este utilizat Site-ul, în formă agregată/anonimizată. Necesită consimțământ;
• Cookies de marketing — pentru afișarea de reclame relevante și măsurarea campaniilor. Necesită consimțământ explicit;
• Cookies de la Stripe — pentru detectarea fraudelor pe pagina de checkout. Sunt considerate strict necesare pentru funcționarea sigură a plăților.

10.3 Banner de cookies

La prima vizită pe Site, vi se afișează un banner de cookies care vă permite să acceptați sau să refuzați cookies-urile neesențiale. Refuzul este la fel de simplu ca acceptarea — un singur click — conform ghidurilor ANSPDCP din 2022.

Vă puteți modifica preferințele oricând, prin link-ul „Setări cookies" din footer-ul Site-ului.

10.4 Politica de Cookies separată

Detalii complete (lista exactă de cookies, durata de viață, furnizorul, scopul, cum le ștergeți manual) sunt disponibile în Politica de Cookies, document separat accesibil în footer-ul Site-ului.

11. Securitatea datelor

11.1 Măsuri tehnice aplicate

Aplicăm următoarele măsuri tehnice pentru protecția datelor:

• Criptare HTTPS/TLS pentru toate transmisiile între browser și Site (certificat SSL valid, redirecționare automată HTTP → HTTPS);
• Hash bcrypt cu salt pentru parolele de utilizator (parolele nu sunt stocate niciodată în clar și nu pot fi recuperate, ci doar resetate);
• Autentificare cu factor multiplu disponibilă pentru conturile de administrare (recomandată Clienților);
• Controlul accesului pe bază de roluri (Role-Based Access Control) — fiecare utilizator are acces doar la datele necesare;
• Backup-uri săptămânale ale bazei de date, stocate în locații separate și criptate;
• Loguri de acces și audit pentru identificarea acțiunilor suspecte;
• Actualizări de securitate aplicate periodic la software-ul utilizat (Next.js, Supabase, dependențe);
• Izolare per Client la nivelul bazei de date prin Row Level Security (RLS).

11.2 Măsuri organizatorice aplicate

• Acces restricționat al personalului la datele Clienților, doar în baza necesității de a cunoaște;
• Confidențialitate asumată contractual de toți colaboratorii și subcontractanții;
• Politici interne privind tratamentul datelor și răspunsul la incidente;
• Verificarea conformității subprocesatorilor cu standardele GDPR.

11.3 Limitele securității

Cu toate că aplicăm măsuri rezonabile de securitate, niciun sistem nu este 100% sigur. În cazul unei breșe de securitate, acționăm conform secțiunii 12 de mai jos.

12. Brese de securitate

12.1 Definiție

O breșă de securitate (sau „incident de securitate") reprezintă, conform art. 4 pct. 12 GDPR, o încălcare a securității care duce la distrugerea, pierderea, alterarea, divulgarea neautorizată sau accesul neautorizat la date cu caracter personal.

12.2 Procedura noastră

În cazul unei brese de securitate care ne afectează:

• Detectare și containment imediat — investigăm și limităm impactul;
• Notificare ANSPDCP în 72 de ore de la luarea la cunoștință, conform art. 33 GDPR, dacă breșa este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor vizate;
• Notificare către persoanele vizate atunci când breșa este susceptibilă să genereze un risc ridicat, conform art. 34 GDPR, prin email și/sau alte mijloace adecvate;
• Documentare a tuturor breșelor (chiar și a celor care nu necesită notificare), conform art. 33 alin. (5) GDPR.

12.3 Ce vă comunicăm

În notificarea către dumneavoastră vom include, în limbaj clar și simplu:

• Natura breșei și categoriile/numărul aproximativ de persoane afectate;
• Datele de contact ale Prestatorului pentru informații suplimentare;
• Consecințele probabile ale breșei;
• Măsurile luate sau propuse pentru a remedia breșa și a atenua efectele;
• Recomandări concrete pentru protejarea dumneavoastră (ex.: schimbare parolă, monitorizare cont).

13. Decizii automate și profilare

Conform art. 22 GDPR, Prestatorul nu utilizează procese de luare a deciziilor în mod exclusiv automat, inclusiv profilare, care să producă efecte juridice sau să vă afecteze în mod similar și semnificativ.

Procesele automatizate folosite (ex.: detectarea fraudelor de plată de către Stripe, filtrarea automată a spam-ului) nu produc decizii cu efect juridic asupra dumneavoastră — orice decizie cu impact asupra contractului sau drepturilor dumneavoastră este analizată și luată de o persoană umană (titularul PFA).

14. Categorii speciale de date (date sensibile)

Conform art. 9 GDPR, anumite categorii de date sunt considerate „sensibile" și beneficiază de protecție sporită: date privind originea rasială sau etnică, opiniile politice, convingerile religioase sau filozofice, apartenența sindicală, datele genetice, biometrice, date privind sănătatea, viața sexuală sau orientarea sexuală.

Prestatorul NU prelucrează în mod sistematic date sensibile despre Clienții direcți. În cazul în care, în mod accidental, ne sunt transmise astfel de date (ex.: în conținutul unui email de suport tehnic), le tratăm cu cea mai mare confidențialitate și le ștergem la primul moment când nu mai sunt necesare.

Recomandare: Vă rugăm să nu transmiteți date sensibile despre dumneavoastră sau alte persoane prin canalele de comunicare cu noi, cu excepția cazurilor în care acest lucru este absolut necesar și ați primit instrucțiuni specifice în acest sens.

15. Date despre minori

15.1 Vârsta minimă

Serviciile Prestatorului nu se adresează minorilor sub 16 ani și nu colectăm cu bună-știință date personale ale minorilor sub această vârstă, conform art. 8 GDPR și art. 7 din Legea 190/2018.

15.2 Verificare

Prin contractarea Serviciilor, Clientul declară că are vârsta de cel puțin 18 ani sau, în cazul minorilor între 16-18 ani, că are acordul reprezentantului legal.

15.3 Dacă suntem totuși contactați

Dacă luăm cunoștință că am colectat date despre un minor sub 16 ani fără consimțământul reprezentantului legal, vom șterge aceste date în cel mai scurt timp posibil. Părinții sau reprezentanții legali pot ne contacta la contact@sitepeabonament.ro pentru a solicita ștergerea.

16. Modificări ale Politicii

16.1 Dreptul de a modifica

Putem actualiza periodic această Politică pentru a reflecta:

• Modificări ale legislației aplicabile;
• Schimbări în modul de prelucrare a datelor;
• Adăugarea sau schimbarea subprocesatorilor;
• Recomandări sau decizii ale ANSPDCP/EDPB;
• Îmbunătățiri operaționale.

16.2 Notificarea modificărilor

• Modificări minore (clarificări, corecții ortografice, actualizări de adrese) — intră în vigoare la publicarea pe Site, fără notificare individuală;
• Modificări semnificative (extinderea categoriilor de date colectate, schimbarea scopurilor, adăugarea unui subprocesator important, transferuri noi în țări terțe) — vor fi notificate Clienților prin email cu cel puțin 30 de zile înainte de intrarea în vigoare;
• Versiunea actualizată include data ultimei modificări (în antet);
• Versiunile anterioare pot fi consultate la cerere prin email.

17. Cum ne contactați

Pentru orice întrebări, sesizări sau solicitări legate de protecția datelor, ne puteți contacta:

• Email: contact@sitepeabonament.ro
• Telefon: +40 773 886 507
• Scrisoare: BREJE GEORGE-CRISTIAN PFA, Mun. Oradea, Str. Sfântul Apostol Andrei, Nr. 123, Bl. PB4/8, Sc. A, Et. 2, Ap. 10, Camera 1, Jud. Bihor

Pentru reclamații formale, vă puteți adresa și ANSPDCP:

• Web: www.dataprotection.ro
• Email: anspdcp@dataprotection.ro
• Telefon: +40 318 059 211
• Adresă: Bd. G-ral. Gheorghe Magheru 28-30, Sector 1, București

Versiunea 1.0 — în vigoare începând cu 3 mai 2026

BREJE GEORGE-CRISTIAN PERSOANĂ FIZICĂ AUTORIZATĂ — CUI 51843416