Politica de Confidențialitate (GDPR)

1. Operator de date

Operatorul datelor cu caracter personal este Veritor Group S.R.L. (CUI 54746469, Reg. Com. J2026033628006), cu sediul în Str. Ispravnicului nr. 27, C2, Sector 2, București, cod poștal 023741, România, care operează serviciul certificatul.ro.

2. Datele colectate

În cadrul procesului de solicitare a Certificatului Constatator, colectăm următoarele date personale:

• CUI-ul firmei — pentru identificarea societății comerciale
• Nume și prenume — pentru identificarea solicitantului
• Adresă de email — pentru livrarea documentului și comunicarea privind comanda
• Număr de telefon (opțional) — pentru comunicarea privind comanda
• Date de facturare — CUI, denumire firmă, adresă, număr Registrul Comerțului (pentru persoane juridice)

3. Datele din registrele publice (informare art. 14 GDPR)

Pe lângă datele primite direct de la clienți, certificatul.ro reproduce informații din registre publice oficiale. Aceste informații privesc atât persoane juridice, cât și persoane fizice: pe de o parte, administratori, asociați, fondatori și lichidatori ai persoanelor juridice; pe de altă parte, persoane fizice autorizate (PFA), întreprinderi individuale (II) și întreprinderi familiale (IF), care nu au personalitate juridică distinctă de titularul lor. Aceste persoane nu sunt, de regulă, clienți ai noștri și nu am colectat nimic direct de la ele. Recunoaștem că toate aceste date sunt date cu caracter personal, iar persoanele vizate beneficiază integral de drepturile prevăzute de GDPR, în condițiile descrise în această politică.

3.1. Ce categorii de date preluăm

Din registrele publice preluăm și afișăm, după caz: denumirea/firma și forma de organizare; codul unic de înregistrare (CUI) și numărul de ordine în registrul comerțului; sediul social sau profesional; starea firmei (în funcțiune, suspendată, radiată etc.); data înmatriculării; obiectul de activitate (coduri CAEN); statutul de plătitor de TVA; indicatori financiari publicați oficial; pentru persoanele fizice cu funcții în cadrul persoanelor juridice — numele și prenumele, calitatea deținută și perioada mandatului, județul și localitatea nașterii, atunci când sunt prezente în setul publicat de ONRC, istoricul funcțiilor publicate și date agregate derivate din acestea (de exemplu numărul de firme în care o persoană figurează).

Pentru persoanele fizice autorizate, întreprinderile individuale și întreprinderile familiale, adresa sediului profesional se afișează public exclusiv la nivel de localitate și județ, fără stradă și număr, deși registrele publice o conțin în formă completă. Această limitare este o măsură voluntară de minimizare a datelor (art. 5 alin. (1) lit. c) GDPR), aplicată uniform, având în vedere că sediul profesional al unei persoane fizice poate coincide cu locuința acesteia. Adresa completă nu este inclusă nici în titlul paginilor, nici în meta-descrieri, nici în datele structurate destinate motoarelor de căutare.

3.2. De unde provin

• Registrul Comerțului (ONRC) — seturile de date deschise publicate pe data.gov.ro
• ANAF — lista obligațiilor fiscale restante, publicată trimestrial conform art. 162 din Codul de procedură fiscală
• Ministerul Finanțelor — situațiile financiare depuse de societăți
• Buletinul Procedurilor de Insolvență — publicat de ONRC
• portal.just.ro (ECRIS) — dosarele aflate pe rolul instanțelor

3.3. Temeiul juridic

Prelucrarea se realizează în temeiul: (i) caracterului public al registrului comerțului, conform art. 4, art. 11 și art. 13 din Legea nr. 265/2022; (ii) interesului legitim al nostru și al utilizatorilor de a folosi date publice pentru transparență, prevenire a fraudei și evaluare a riscului contractual (art. 6 alin. (1) lit. f) GDPR), pe baza unui test de echilibru documentat care ține cont de drepturile persoanelor vizate.

3.4. Ce NU facem

Nu calculăm scoruri de risc, nu emitem verdicte și nu formulăm recomandări despre persoanele sau firmele afișate. Nu luăm decizii automatizate cu efecte juridice ori semnificative asupra persoanei vizate, în sensul art. 22 GDPR. Afișăm date factuale, cu sursa și data lor.

3.5. Măsuri de limitare a expunerii

• Paginile de profil ale persoanelor fizice care dețin funcții în cadrul persoanelor juridice (administratori, asociați, fondatori, lichidatori) sunt marcate noindex, nofollow și nu sunt incluse în sitemap — nu apar în rezultatele motoarelor de căutare. Paginile firmelor și ale persoanelor fizice autorizate sunt indexabile, însă, în cazul persoanelor fizice autorizate, cu adresa limitată la localitate și județ, conform secțiunii 3.1. La cerere, analizăm individual măsuri suplimentare de limitare a indexării, potrivit secțiunii 3.6.
• Numele administratorilor nu sunt incluse în pagina servită inițial pe profilul unei firme; se afișează parțial mascate până la o acțiune explicită a vizitatorului.
• Secțiunea /firme reproduce date de identificare și de activitate ale profesioniștilor înregistrați, în condițiile de mai sus. Pagina /firme/datorii-anaf reproduce lista de debitori publicată de ANAF, fără entitățile fără personalitate juridică.

3.6. Drepturile persoanelor vizate

Aveți drepturile prevăzute de GDPR — acces (art. 15), rectificare (art. 16), ștergere (art. 17), restricționare (art. 18) și opoziție (art. 21) — chiar dacă nu sunteți client al nostru. Cererile se trimit la [email protected] și primesc răspuns în cel mult o lună de la primire (termen care poate fi prelungit cu două luni în cazuri complexe, cu informarea solicitantului).

Pentru cererile de opoziție întemeiate pe art. 21 GDPR, analizăm fiecare cerere individual, punând în balanță situația particulară invocată de solicitant și interesul public de transparență comercială. Măsurile pe care le putem dispune includ, după caz: limitarea suplimentară a datelor afișate, eliminarea datelor din elementele indexabile de motoarele de căutare, marcarea paginii ca neindexabilă sau eliminarea afișării.

Cererile de rectificare a datelor preluate din registre publice se soluționează prin raportare la conținutul registrului-sursă: dacă datele afișate diferă de registru, le corectăm cu prioritate; dacă datele din registru sunt cele contestate, îndrumăm solicitantul către autoritatea care ține registrul (de regulă ONRC), iar la primirea dovezii de înregistrare a modificării actualizăm pagina cu prioritate, fără a aștepta ciclul obișnuit de sincronizare. Detaliile contractuale sunt în Termeni și Condiții, secțiunea 24.

3.7. Actualizarea și proveniența datelor

Datele din registrele publice sunt preluate prin sincronizare cu sursele oficiale (datele deschise publicate de ONRC, serviciile publice de informații ale ANAF și Ministerului Finanțelor, Buletinul Procedurilor de Insolvență). Aceste surse sunt publicate și actualizate periodic de către instituțiile emitente, conform propriului calendar de publicare — de regulă lunar în cazul datelor deschise ale ONRC — astfel încât informațiile afișate pe site pot rămâne temporar în urmă față de cele mai recente modificări înregistrate de un profesionist (de exemplu, o schimbare recentă a sediului poate să nu fie încă reflectată). Paginile de consultare indică data ultimei sincronizări cu datele ONRC. Informațiile afișate au caracter informativ și reflectă conținutul surselor la data sincronizării; pentru date certe și opozabile, la zi, recomandăm obținerea unui certificat constatator emis de ONRC, care rămâne documentul oficial de referință. Dacă ne semnalați o neconcordanță și ne transmiteți dovada înregistrării modificării în registrul comerțului, actualizăm pagina cu prioritate, fără a aștepta următorul ciclu de sincronizare.

4. Scopul prelucrării

Datele sunt colectate și prelucrate exclusiv pentru:

• Procesarea cererii de Certificat Constatator la ONRC
• Livrarea documentului pe email
• Emiterea facturii fiscale
• Comunicarea cu solicitantul în legătură cu comanda plasată

5. Temeiul juridic

Prelucrarea datelor se face în baza:

• Art. 6 alin. (1) lit. a) GDPR — consimțământul dumneavoastră, exprimat la plasarea comenzii
• Art. 6 alin. (1) lit. b) GDPR — executarea contractului de prestări servicii (procesarea comenzii)
• Art. 6 alin. (1) lit. c) GDPR — îndeplinirea obligațiilor legale (emiterea facturii fiscale, obligații contabile)
• Art. 6 alin. (1) lit. f) GDPR — interesul legitim, pentru reproducerea informațiilor din registrele publice oficiale (detaliat în secțiunea 3)

6. Durata stocării

Durata de păstrare diferă în funcție de categoria de date:

Datele clienților (nume, e-mail, telefon, istoricul comenzilor) sunt stocate în mod securizat și păstrate cel mult 3 ani de la data ultimei interacțiuni, după care sunt șterse sau anonimizate. Datele de plată sunt procesate de Stripe și nu sunt stocate pe serverele noastre.

Datele de facturare sunt păstrate 10 ani, conform obligațiilor fiscale prevăzute de legislația română.

Datele aferente activității comerciale, preluate din registrele publice (secțiunea 3), sunt păstrate și afișate atât timp cât figurează în registrele oficiale din care provin. Nu păstrăm și nu afișăm aceste date pe o durată mai mare decât cea pentru care sursa oficială le păstrează: atunci când o informație este modificată sau eliminată din registrul-sursă, ea este actualizată sau eliminată de pe site la următoarea sincronizare. Copiile de siguranță ale bazei de date se rotesc în cel mult 31 de zile. Fișierele brute ale seturilor de date deschise, în forma în care sunt publicate de instituțiile emitente (de exemplu seturile lunare ONRC de pe data.gov.ro), pot fi păstrate ca arhivă tehnică internă, neafișată public, atât timp cât seturile respective rămân publicate de sursă; ele servesc exclusiv reconstrucției și verificării datelor afișate.

Datele privind entitățile radiate: starea de radiere se afișează atât timp cât registrul-sursă o publică. Pentru persoanele fizice autorizate, întreprinderile individuale și întreprinderile familiale radiate, cererile de limitare a afișării formulate de titulari se soluționează cu precădere favorabil, ținând seama că încetarea activității diminuează semnificativ interesul public de informare comercială.

7. Drepturile dumneavoastră

Conform Regulamentului (UE) 2016/679 (GDPR), aveți următoarele drepturi:

• Dreptul de acces — puteți solicita confirmarea faptului că datele dumneavoastră sunt prelucrate și puteți obține o copie a acestora
• Dreptul la rectificare — puteți solicita corectarea datelor inexacte sau completarea datelor incomplete
• Dreptul la ștergere — puteți solicita ștergerea datelor personale, sub rezerva obligațiilor legale de păstrare
• Dreptul la portabilitate — puteți solicita transferul datelor într-un format structurat, utilizat în mod curent și care poate fi citit automat
• Dreptul la opoziție — puteți vă opune prelucrării datelor în anumite condiții
• Dreptul la restricționarea prelucrării — puteți solicita limitarea prelucrării datelor în anumite situații
• Dreptul de retragere a consimțământului — puteți retrage consimțământul în orice moment, fără a afecta legalitatea prelucrării efectuate anterior

Pentru exercitarea acestor drepturi, contactați-ne prin intermediul paginii de contact.

8. Securitatea datelor

Utilizăm măsuri tehnice și organizatorice adecvate pentru protejarea datelor personale, inclusiv:

• Criptare SSL/TLS pentru toate comunicațiile
• Acces restricționat la datele personale
• Autentificare securizată pentru sistemele interne
• Monitorizare și audituri periodice de securitate

9. Transferul datelor

Datele personale aferente comenzilor nu sunt transferate în afara Spațiului Economic European (SEE). Datele sunt partajate exclusiv cu:

• ONRC — pentru procesarea cererii de certificat constatator
• Stripe Payments Europe, Ltd. — pentru procesarea plății (Stripe este certificat PCI DSS Nivel 1)

Singura excepție privește asistentul virtual „Certi” (vezi secțiunea 10): conținutul conversațiilor — care nu include identitatea utilizatorului — este prelucrat de Anthropic PBC (SUA), pe baza clauzelor contractuale standard (SCC) și a certificării EU-U.S. Data Privacy Framework.

Datele personale nu sunt vândute sau partajate cu terți în scopuri de marketing.

10. Asistentul virtual „Certi”

Pe paginile de consultare a firmelor este disponibil un asistent conversațional automat („Certi”), care explică datele publice afișate. Prelucrarea aferentă este proiectată pe principiul minimizării datelor:

• Nu colectăm identitatea utilizatorului — conversația nu necesită cont, iar adresa IP nu este stocată împreună cu conversația. Nu putem asocia întrebările cu o persoană.
• Filtrare automată — dacă în întrebare sunt introduse tipare de date personale (CNP, adrese de email, numere de telefon), acestea sunt eliminate automat înainte de orice stocare. Vă rugăm totuși să nu introduceți date personale în conversație.
• Retenție limitată — textul întrebărilor se șterge automat după cel mult 30 de zile; păstrăm pe termen lung doar statistici agregate anonime (număr de mesaje, costuri tehnice), fără conținutul conversației.
• Persoană împuternicită — pentru generarea răspunsurilor, conținutul conversației și datele publice ale firmei consultate sunt transmise către Anthropic PBC (SUA), furnizorul modelului AI, în baza clauzelor contractuale standard (SCC) și a certificării EU-U.S. Data Privacy Framework. Conform politicii Anthropic pentru serviciile API, datele nu sunt folosite pentru antrenarea modelelor.
• Istoric local — istoricul conversației curente este păstrat doar în browserul dumneavoastră (sessionStorage) și dispare la închiderea sesiunii.
• Trimiterea conversației pe email — opțional, puteți cere trimiterea conversației pe o adresă de email indicată de dumneavoastră. Adresa este folosită exclusiv pentru acea trimitere (art. 6 alin. (1) lit. b GDPR — executarea cererii), nu este stocată în bazele noastre de date și nu este folosită pentru comunicări ulterioare. Emailul este livrat prin Resend, Inc. (SUA, certificat EU-U.S. Data Privacy Framework).

11. Plângeri

Dacă considerați că prelucrarea datelor dumneavoastră personale încalcă GDPR, aveți dreptul de a depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP):

• Website: dataprotection.ro
• Adresă: B-dul G-ral. Gheorghe Magheru nr. 28-30, Sector 1, București

Independent de plângerea la ANSPDCP, persoanele vizate se pot adresa și instanțelor judecătorești competente, potrivit art. 79 GDPR.

12. Contact

Pentru orice întrebări privind prelucrarea datelor personale, ne puteți contacta prin intermediul paginii de contact.