Politica de Confidențialitate

1. Ahoi Digital SRL ca Operator de Date (Data Controller)

Pentru datele Proprietarilor de afaceri (Beneficiari) și ale Operatorilor creați de aceștia, AHOI DIGITAL SRL stabilește scopurile și mijloacele prelucrării.

Ce date prelucrăm

• date de cont: nume, adresă de email, parolă (stocată exclusiv sub formă de hash), rol;
• date ale companiilor: denumire, cod fiscal (CUI / CIF), logo, copertă, linkul Google, emailuri pentru alerte;
• date de facturare și plăți: abonament, sume, perioade, referințe de plată;
• date tehnice și de securitate: adresa IP și data ultimei autentificări, jurnal de securitate (autentificări, modificări administrative), încercări eșuate de autentificare;
• mesaje trimise prin formularul de contact: nume, companie, email, telefon, mesaj.

Scopuri și temei legal

• furnizarea serviciului SaaS și administrarea contului — executarea contractului (art. 6 alin. (1) lit. b);
• facturare și evidență contabilă — obligație legală (art. 6 alin. (1) lit. c);
• notificări de sistem (sesizări noi, cotă, expirare abonament) și rapoarte lunare ROI — executarea contractului; de la raportul lunar te poți dezabona oricând din Profil;
• securitate — prevenirea atacurilor de tip brute-force și a abuzurilor, jurnal de audit — interes legitim (art. 6 alin. (1) lit. f);
• răspuns la solicitări trimise prin formularul de contact — demersuri precontractuale / interes legitim.

Durata stocării

Datele contului se păstrează pe durata relației contractuale. După închiderea contului, datele se șterg sau se anonimizează, cu excepția documentelor financiar-contabile, păstrate pe durata impusă de legislația contabilă. Jurnalele tehnice de limitare a încercărilor se curăță automat periodic.

2. Ahoi Digital SRL ca Persoană Împuternicită (Data Processor) – Acord DPA

Pentru datele Clienților Finali care lasă o evaluare sau o sesizare privată pe pagina publică /r/{slug} a unei afaceri, Proprietarul Afacerii evaluate este Operatorul de Date, iar AHOI DIGITAL SRL acționează ca persoană împuternicită, prelucrând datele exclusiv în numele și conform instrucțiunilor acestuia.

Date prelucrate

• nota acordată (1–5 stele) și data;
• pentru sesizările private: numele, telefonul sau emailul (opționale) și mesajul sesizării;
• sursa scanării și eticheta codului QR (?ref=, de ex. angajatul sau masa);
• date tehnice anti-abuz: o amprentă (hash criptografic) a adresei IP, un identificator aleator de dispozitiv (cookie) și tipul browserului, folosite în modul de producție pentru a preveni evaluările repetate abuzive.

Clauze DPA încorporate (art. 28 GDPR)

Prin acceptarea Termenilor și Condițiilor, Beneficiarul (operator) și AHOI DIGITAL SRL (persoană împuternicită) convin că:

• datele sunt prelucrate numai pentru afișarea, gestionarea și notificarea sesizărilor către Beneficiar și pentru statistici agregate;
• persoanele autorizate să acceseze datele sunt supuse obligației de confidențialitate;
• se aplică măsurile de securitate descrise la secțiunea 3;
• Furnizorul poate folosi sub-împuterniciți (găzduire, livrare email) doar cu garanții adecvate și îl va informa pe Beneficiar despre modificări;
• Furnizorul asistă Beneficiarul în soluționarea cererilor persoanelor vizate și notifică fără întârzieri nejustificate orice încălcare a securității datelor;
• la încetarea contractului, datele se șterg odată cu contul Beneficiarului (ștergerea companiei sau a contului elimină definitiv și sesizările aferente).

Obligația Beneficiarului: Proprietarul Afacerii folosește datele Clienților Finali exclusiv pentru soluționarea amiabilă a sesizării și nu le utilizează în scop de marketing fără un temei legal separat. Clientul Final este informat pe pagina de evaluare și își exprimă acordul înainte de trimiterea sesizării.

3. Securitatea Datelor (Măsuri Tehnice și Organizatorice)

• parole stocate exclusiv sub formă de hash, cu algoritmi moderni (Argon2id, respectiv Bcrypt);
• conexiuni criptate HTTPS / TLS și cookie-uri de sesiune securizate (HttpOnly, SameSite=Lax);
• protecție CSRF pentru fiecare formular, limitarea încercărilor de autentificare și blocare temporară;
• izolare logică între conturi: fiecare interogare este filtrată pe contul și companiile la care utilizatorul are acces; operatorii văd doar companiile alocate;
• secrete de sistem (parole SMTP, chei de integrare) criptate cu AES-256;
• imagini încărcate reprocesate, cu eliminarea metadatelor (EXIF);
• jurnal de audit pentru acțiunile administrative și găzduire pe servere situate în Uniunea Europeană.

4. Destinatari și Transferuri

Datele nu sunt vândute și nu sunt folosite pentru publicitate. Pot avea acces, strict în măsura necesară: furnizorul de găzduire, furnizorul serviciului de email (pentru notificări), contabilul / auditorul (pentru documente de facturare) și autoritățile, la cerere legală. Paginile platformei încarcă fonturi și biblioteci de interfață din rețele de distribuție a conținutului (Google Fonts, jsDelivr), care pot primi adresa IP a vizitatorului în mod tehnic, fără cookie-uri de urmărire.

5. Drepturile Persoanelor Vizate

Conform GDPR, ai următoarele drepturi:

• dreptul de acces la datele prelucrate;
• dreptul la rectificare — datele de cont se pot modifica direct din Profil;
• dreptul la ștergere („dreptul de a fi uitat”);
• dreptul la restricționarea prelucrării și dreptul de opoziție;
• dreptul la portabilitate — sesizările și recenziile se pot exporta oricând în format CSV direct din cont;
• dreptul de a depune plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), dataprotection.ro.

Pentru exercitarea drepturilor ne poți scrie la iftimie.s@gmail.com. Răspundem în cel mult o lună de la primirea cererii. Dacă ai lăsat o sesizare unei afaceri, te poți adresa și direct acelei afaceri (operatorul datelor tale); te vom sprijini în transmiterea cererii.

6. Contact pentru Protecția Datelor

Pentru orice întrebare legată de această politică sau de datele tale personale, contactează-ne la iftimie.s@gmail.com sau prin pagina de contact. Informații despre cookie-uri găsești în Politica de Cookies.