Politica de Confidențialitate și Prelucrare a Datelor Personale

Operatorul de date pentru platforma e-Chantier este MAREA INCARCARE S.R.L.

În relația cu datele angajaților introduse de Compania Client, MAREA INCARCARE S.R.L. acționează ca Împuternicit (Processor), iar Compania Client acționează ca Operator de Date (Controller), conform Art. 28 GDPR.

• Date de identificare: Nume, prenume, număr telefon, adresă email, fotografie, CNP (opțional)
• Date financiare: Salariul brut/net, contribuții sociale, cheltuieli, bonusuri, rețineri
• Date profesionale: Funcția/rolul, șantierul asignat, pontaj zilnic, ore lucrate, concedii, absențe
• Date SSM (sănătate și securitate): Echipament de protecție atribuit, fișe SSM, aptitudini medicale
• Documente: Contracte de muncă, acte identitate, certificate, autorizații
• Date tehnice și de utilizare: Adresa IP, marcaj temporal, agent browser (user-agent), pagini/module accesate în aplicație, evenimente de autentificare, progres onboarding, preferințe plan/hosting

• Art. 6(1)(a) - Consimțământ: Pentru prelucrarea fotografiilor, datelor biometrice și comunicărilor de marketing.
• Art. 6(1)(b) - Executarea contractului: Pentru furnizarea serviciilor Platformei către Compania Client.
• Art. 6(1)(c) - Obligație legală: Pentru datele de salarizare, pontaj și raportări fiscale (Codul Muncii, Codul Fiscal).
• Art. 6(1)(f) - Interes legitim: Pentru securitatea Platformei, prevenirea fraudei, îmbunătățirea serviciilor.

Pentru categorii speciale de date (Art. 9 GDPR - date de sănătate/SSM): temeiul este Art. 9(2)(a) - consimțământ explicit, și Art. 9(2)(b) - obligații în domeniul dreptului muncii.

• Administrarea conturilor de utilizator și autentificarea
• Gestionarea pontajului și calculul salariilor
• Managementul șantierelor și alocarea resurselor
• Gestionarea echipamentelor de protecție (SSM)
• Raportarea financiară și contabilă
• Gestionarea documentelor de personal
• Comunicarea cu utilizatorii (suport, notificări, actualizări)
• Îmbunătățirea funcționalității Platformei
• Înregistrarea jurnalului de activitate în aplicație (securitate, suport, detectarea abuzurilor)
• Conformarea cu obligații legale (inspecție muncă, ANAF, ITM)

După expirarea perioadei de retenție, datele sunt șterse automat sau anonimizate ireversibil.

• Dreptul de acces (Art. 15): Poți solicita o copie a tuturor datelor personale pe care le deținem.
• Dreptul la rectificare (Art. 16): Poți solicita corectarea datelor inexacte sau completarea celor incomplete.
• Dreptul la ștergere (Art. 17): Poți solicita ștergerea datelor, cu excepția celor reținute prin obligație legală.
• Dreptul la restricționare (Art. 18): Poți solicita limitarea prelucrării în anumite circumstanțe.
• Dreptul la portabilitate (Art. 20): Poți solicita datele în format structurat, uzual citibil automat (CSV/JSON).
• Dreptul la opoziție (Art. 21): Te poți opune prelucrării bazate pe interes legitim.

Termenul de răspuns la cereri: maximum 30 de zile calendaristice de la primirea solicitării.

• Criptare în tranzit (TLS/SSL) pentru toate comunicațiile
• Criptare la stocare (encryption at rest) pentru baza de date
• Acces bazat pe roluri (RBAC) - fiecare utilizator vede doar datele corespunzătoare permisiunilor
• Autentificare securizată cu sesiuni limitate în timp
• Backup-uri regulate ale datelor
• Monitorizarea accesului, înregistrarea IP-urilor și logarea activității în aplicație (pagini accesate, login)
• Serverele sunt localizate în Uniunea Europeană

Datele personale sunt stocate în principal pe servere situate în Uniunea Europeană.

Fac excepție datele strict necesare pentru procesarea plăților și verificarea securizată a identității (KYC), care sunt transferate și procesate prin intermediul infrastructurii globale Stripe (inclusiv SUA).

Acest transfer este acoperit legal de Clauzele Contractuale Standard (SCC) aprobate de Comisia Europeană și de certificarea Stripe conform Cadrului de Confidențialitate a Datelor UE-SUA (EU-U.S. DPF), garantând un nivel de protecție echivalent cu cel din spațiul european.

Nu vindem și nu închiriem datele personale. Datele pot fi partajate doar cu:

• Furnizori de infrastructură cloud (sub-procesori cu DPA semnat) - pentru stocarea și procesarea datelor
• Procesatori de plăți și verificare KYC — Stripe Payments Europe, Ltd. (sub-procesor strict pentru operarea abonamentelor și validarea securizată a identității administratorilor).
• Autorități publice - doar când există obligație legală (ANAF, ITM, instanțe judecătorești)
• Compania Client - administratorul companiei are acces la datele angajaților săi

• În cazul unei încălcări de securitate, Autoritatea Națională (ANSPDCP) va fi notificată în maxim 72 de ore.
• Persoanele vizate afectate vor fi notificate fără întârziere nejustificată dacă încălcarea prezintă un risc ridicat.
• Compania Client va fi informată imediat despre orice incident de securitate.

Consimțământul poate fi retras în orice moment, fără a afecta legalitatea prelucrării efectuate anterior retragerii.

Retragerea se poate face prin:

• Contactarea echipei de suport prin platformă
• Solicitare scrisă la adresa de email a Operatorului

Notă: Retragerea consimțământului pentru prelucrarea esențială poate duce la imposibilitatea utilizării Platformei.

• Cookies esențiale: Necesare pentru autentificare și funcționarea Platformei (nu necesită consimțământ)
• Cookies funcționale: Rețin preferințele (limba, tema vizuală)
• Cookies analitice: Măsoară utilizarea pentru îmbunătățirea serviciului

Preferințele de cookies pot fi gestionate din banner-ul de cookies afișat la prima vizită.

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP):

• Adresa: B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, București
• Website: www.dataprotection.ro

Ai dreptul de a depune o plângere la ANSPDCP dacă consideri că drepturile tale au fost încălcate.

Această politică poate fi actualizată periodic. Versiunea curentă va fi întotdeauna disponibilă în Platformă. Modificările semnificative vor fi notificate și pot necesita re-acceptare.

În cadrul furnizării serviciului SaaS, prelucrăm următoarele categorii suplimentare legate de contul Companiei Client și utilizatorii săi:

• Date de conexiune: adresa IP (la înregistrare, login și utilizare), marcaj temporal, user-agent;
• Jurnal de activitate: module/pagini vizitate în aplicație, evenimente de autentificare, progres onboarding;
• Configurare cont: țară/oraș la înregistrare, setări fiscale din onboarding, plan și preferințe hosting.

Temei legal: Art. 6(1)(b) GDPR (executarea contractului), Art. 6(1)(f) GDPR (interes legitim: securitate, suport, prevenirea abuzurilor, îmbunătățirea serviciului). Pentru anumite prelucrări opționale (ex. marketing) se solicită consimțământ separat.

Acces: echipei autorizate e-Chantier pentru administrarea platformei; nu sunt vândute terților. Compania Client poate solicita informații despre propriul jurnal de activitate prin suport.

Durata: conform tabelului din secțiunea 5 (jurnal activitate: max. 24 luni).

Pentru a asigura un ecosistem de afaceri sigur, a preveni fraudele și a garanta veridicitatea licitațiilor organizate pe platforma e-Chantier, solicităm verificarea identității reprezentanților legali sau a administratorilor companiilor. Această prelucrare este efectuată în baza interesului nostru legitim (Art. 6 alin. 1 lit. f din GDPR) de a asigura securitatea tranzacțiilor din platformă.

1. Operatorul terț și datele colectate Procesul de verificare a identității este externalizat integral și realizat prin intermediul infrastructurii securizate Stripe Payments Europe, Ltd. („Stripe”). În vederea validării, Stripe va colecta:

• O copie a unui document de identitate oficial (Carte de Identitate sau Pașaport);
• Date biometrice, prin intermediul unei scanări faciale (selfie), strict pentru testul de autenticitate fizică (Liveness Check). Prelucrarea datelor biometrice (Art. 9 GDPR) se face exclusiv pe baza consimțământului tău explicit acordat înainte de inițierea procesului.

2. Garanția „Zero-Stocare” la nivelul e-Chantier e-Chantier nu stochează, nu descarcă și nu poate vizualiza copiile documentelor tale de identitate sau datele biometrice. Fluxul are loc exclusiv între dispozitivul tău și serverele criptate Stripe. e-Chantier primește de la Stripe doar un status electronic de confirmare („Verificat: Da/Nu”).

3. Retenția datelor de către Stripe Conform politicilor lor de securitate, Stripe reține datele biometrice pe o perioadă de maximum 1 an, iar documentele de identitate pe o perioadă de până la 3 ani pentru conformitate legală KYC/AML. Pentru mai multe detalii, poți consulta Politica de Confidențialitate Stripe și Centrul de Confidențialitate Stripe Identity.

Fiecare utilizator poate solicita ștergerea contului personal din Setări → Securitate → Șterge contul meu. După confirmare:

• datele de identificare (nume, username, email, telefon) sunt anonimizate ireversibil;
• credențialele de autentificare și sesiunile active sunt eliminate;
• se înregistrează o intrare imutabilă în jurnalul de audit al retenției datelor (tip acțiune, câmpuri anonimizate, sumar date păstrate, termen de expirare 10 ani).

Date care nu se șterg: conform legislației fiscale și contabile din România, următoarele rămân blocate la nivel de companie până la 10 ani: facturi emise, plăți facturi, înregistrări e-Transport, configurare plăți Netopia și solicitări marketplace legate de obligații fiscale.

Administratorii companiei pot șterge conturile angajaților cu aceleași reguli (ex.: nu se poate șterge ultimul administrator activ cât timp contul companiei este activ; nu se poate șterge dacă există link-uri Netopia de plată neachitate).

După expirarea termenului legal de retenție, înregistrările păstrate sunt șterse sau anonimizate conform procedurilor interne. Întrebări: [email protected].

Portabilitate (Art. 20 GDPR): din Setări → Securitate poți descărca un fișier JSON cu profilul tău, sesiunile active, activitatea recentă și metadatele de retenție.

Plăți online: pentru link-uri de plată facturi și split marketplace folosim NETOPIA Payments ca operator de plăți; datele cardului nu sunt stocate în e-Chantier (PCI SAQ-A).

MFA: administratorii companiei și super-adminii platformei pot activa autentificare în doi pași (TOTP) din Setări → Securitate.

Backup: baza de date este salvată periodic (local + copie off-server); retenția backup-urilor este limitată (7 zile zilnic, 4 săptămâni) conform politicii interne.

Maistru AI este un asistent conversațional bazat pe modele de limbaj (LLM) care rulează pe infrastructura e-Chantier; pentru acest asistent nu se folosesc furnizori externi de LLM ca sub-procesori. Interacționezi cu un sistem de inteligență artificială; răspunsurile sunt generate automat.

Scop: suport operațional (șantiere, materiale, rapoarte, date din platformă) — nu înlocuiesc decizia unui inginer, contabil, avocat sau a reprezentantului legal al companiei tale.

Supraveghere umană: verifică informațiile critice (buget, pontaj, fiscalitate, contracte) înainte de orice acțiune. e-Chantier nu garantează acuratețea completă a răspunsurilor AI.

Clasificare: în forma actuală, Maistru AI este tratat ca sistem cu risc limitat (obligații de transparență); nu efectuează decizii automate cu efect juridic obligatoriu asupra persoanelor.

Date: întrebările și contextul selectat sunt procesate pe infrastructura e-Chantier și nu sunt transmise furnizorilor externi de LLM. Conversațiile pot fi salvate în contul tău.

Detalii tehnice interne: docs/compliance/AI_ACT_MAISTRU.md (la cerere pentru clienți enterprise).