Politica de prelucrare a datelor cu caracter personal

Actualizat la 22.04.2026

Prezenta politică detaliază modul concret în care FIBER IT SRL prelucrează datele cu caracter personal prin intermediul platformei avemauto.ro și completează Politica de Confidențialitate.

1. Angajamentul nostru

FIBER IT SRL, operatorul platformei avemauto.ro, tratează protecția datelor cu caracter personal ca pe o responsabilitate fundamentală. Prelucrăm datele în conformitate cu:

• Regulamentul (UE) 2016/679 (GDPR);

• Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR în România;

• Legea nr. 506/2004 privind prelucrarea datelor în sectorul comunicațiilor electronice;

• recomandările ANSPDCP (Autoritatea Națională de Supraveghere);

• orientările EDPB (Comitetul European pentru Protecția Datelor).

2. Principiile de prelucrare

Întreaga noastră activitate respectă principiile art. 5 GDPR: legalitate, echitate și transparență; limitarea scopului — colectăm datele doar pentru scopuri bine definite; minimizarea datelor — strict cât este necesar; exactitate — menținem datele actualizate și corectăm inexactitățile; limitarea stocării — nu păstrăm datele mai mult decât este necesar; integritate și confidențialitate — protejăm datele împotriva accesului neautorizat, pierderii sau distrugerii; responsabilitate — putem demonstra în orice moment conformitatea cu toate principiile.

3. Categorii de persoane vizate

Această politică se aplică vizitatorilor Platformei (chiar neautentificați), Utilizatorilor înregistrați persoane fizice, reprezentanților și persoanelor de contact din cadrul Dealerilor, persoanelor care contactează Anunțătorii prin sistemele Platformei, beneficiarilor programului „Recomandă și câștigă", precum și oricărei persoane care ne contactează prin e-mail, formular sau telefon.

4. Detalierea prelucrărilor

4.1. Crearea și autentificarea contului. Prelucrăm nume, prenume, e-mail, telefon și parolă (hash). Temei: executarea contractului — art. 6 alin. (1) lit. b) GDPR. Datele sunt păstrate pe durata contului activ și 3 ani după închidere, pentru prescripția generală.

4.2. Publicarea anunțurilor. Prelucrăm detaliile vehiculului, localizarea, fotografiile, descrierea și datele de contact pe care alegi să le afișezi. Temei: executarea contractului — art. 6 alin. (1) lit. b) GDPR. Datele sunt păstrate pe durata publicării, plus maxim 12 luni de arhivare ulterioară.

4.3. Procesarea plăților și emiterea facturilor. Prelucrăm nume, datele de facturare (inclusiv ale persoanei juridice) și istoricul tranzacțiilor. Datele cardului bancar nu sunt stocate de Operator — sunt prelucrate direct de procesatorul autorizat (Netopia Payments), sub PCI-DSS. Temei: executarea contractului și obligația legală fiscală — art. 6 alin. (1) lit. b) și c) GDPR. Documentele contabile se păstrează 10 ani conform Legii 82/1991.

4.4. Comunicări comerciale. Dacă îți exprimi consimțământul, îți trimitem newsletter, oferte, recomandări. Temei: consimțământul — art. 6 alin. (1) lit. a) GDPR — revocabil oricând prin link-ul de dezabonare. Datele se păstrează până la retragerea consimțământului.

4.5. Programul „Recomandă și câștigă". Prelucrăm e-mailul persoanei care recomandă și al celei recomandate, plus, dacă e cazul, date pentru acordarea beneficiilor. Temei: executarea contractului (programul) și consimțământul — art. 6 alin. (1) lit. a) și b) GDPR. Detalii în Regulamentul programului.

4.6. Prevenirea fraudei și moderarea conținutului. Prelucrăm IP, device fingerprint, comportament în Platformă și istoricul Anunțurilor pentru a identifica anunțuri false, conturi duplicate, atacuri, spam și alte abuzuri. Temei: interesul legitim al Operatorului și, pentru moderarea conform DSA, obligația legală — art. 6 alin. (1) lit. c) și f) GDPR. Datele se păstrează maxim 24 de luni, cu excepția cazurilor implicate în litigii active.

4.7. Analiză și îmbunătățirea Platformei. Prelucrăm date pseudonimizate/agregate privind utilizarea Platformei. Temei: consimțământul (pentru cookie-uri non-esențiale) sau interesul legitim (pentru analize interne agregate) — art. 6 alin. (1) lit. a) și f) GDPR. Perioada conform setărilor furnizorilor, de regulă 14 luni pentru Google Analytics.

4.8. Respectarea obligațiilor legale. Răspundem solicitărilor autorităților, realizăm arhivarea contabilă, îndeplinim cerințe fiscale și de prevenire a spălării banilor. Temei: obligație legală — art. 6 alin. (1) lit. c) GDPR.

4.9. Apărarea unui drept în instanță. Prelucrăm datele necesare pentru litigii, pe durata acestora și a termenelor de prescripție aplicabile. Temei: interes legitim — art. 6 alin. (1) lit. f) GDPR.

5. Persoane împuternicite și destinatari

Colaborăm cu persoane împuternicite, pe bază de contracte cu clauze GDPR standard (DPA): furnizorul de hosting și infrastructură cloud, Cloudflare (CDN și securitate), Netopia Payments (procesator de plăți), furnizorii de e-mail tranzacțional și marketing (SendGrid, Mailgun, Brevo sau similari), Google (analytics), firma de contabilitate și, la nevoie, consultanții juridici. Lista actualizată poate fi furnizată la cerere scrisă. Suplimentar, datele pot fi comunicate autorităților publice la cerere motivată și în limitele legii.

6. Transferuri internaționale

Unii furnizori (Google, Cloudflare) prelucrează datele pe servere din SUA sau alte țări din afara SEE. Ne asigurăm că transferurile au garanții adecvate: Clauze Contractuale Standard ale Comisiei Europene, certificări aplicabile (inclusiv EU-US Data Privacy Framework) și, unde este cazul, evaluări de impact privind transferul (Transfer Impact Assessment).

7. Decizii automate și profilare

Platforma nu ia decizii automate cu efect juridic sau similar semnificativ asupra persoanelor vizate. Folosim algoritmi de ordonare și recomandare a Anunțurilor și algoritmi de detecție a fraudei, însă aceștia nu produc efecte legale și, în situațiile cu impact semnificativ asupra Utilizatorilor (moderare), intervenția umană este asigurată conform secțiunii 12 din Termeni.

8. Măsuri de securitate

Aplicăm măsuri tehnice și organizatorice stricte.

Măsuri tehnice: criptare SSL/TLS pentru toate comunicațiile; parole stocate exclusiv hash cu algoritmi moderni (bcrypt sau argon2); autentificare cu doi factori (2FA) disponibilă pentru conturi; controlul accesului pe bază de roluri (RBAC) — angajații au acces doar la datele necesare atribuțiilor lor; monitorizarea continuă a traficului și a tentativelor de acces neautorizat; back-up automat, criptat, realizat regulat; aplicarea regulată de actualizări de securitate; firewall și sisteme IDS/IPS de detectare a intruziunilor.

Măsuri organizatorice: politici interne de securitate a datelor pentru angajați; instruire periodică a personalului privind protecția datelor; acorduri de confidențialitate cu toți angajații și colaboratorii; proceduri documentate de răspuns la incidente; evaluări periodice ale riscurilor.

9. Incidente de securitate (breșe de date)

În cazul unei breșe care afectează datele cu caracter personal, vom notifica ANSPDCP în termen de 72 de ore de la constatare, dacă incidentul prezintă riscuri pentru drepturile și libertățile persoanelor vizate (art. 33 GDPR). Dacă incidentul prezintă un risc ridicat, vom notifica direct și fără întârziere nejustificată persoanele vizate, prin e-mail sau notificare în Platformă (art. 34 GDPR). Documentăm toate incidentele, inclusiv cele care nu necesită notificare externă.

10. Responsabilul cu protecția datelor (DPO)

FIBER IT SRL nu are, la acest moment, obligația legală de a desemna un Responsabil cu Protecția Datelor (DPO) în sensul art. 37 GDPR, întrucât activitatea nu implică prelucrare la scară largă a categoriilor speciale de date și nici monitorizarea sistematică și extinsă a persoanelor vizate. Pentru orice solicitare legată de date personale ne poți contacta la [email protected], subiect „GDPR". Dacă în viitor vom desemna un DPO, datele sale de contact vor fi publicate pe această pagină.

11. Drepturile persoanei vizate — detaliere

11.1. Dreptul de acces (art. 15 GDPR) — poți obține confirmarea că datele tale sunt prelucrate și o copie a acestora.

11.2. Dreptul la rectificare (art. 16 GDPR) — datele inexacte pot fi corectate direct din cont sau prin cerere la [email protected].

11.3. Dreptul la ștergere (art. 17 GDPR) — poți solicita ștergerea datelor atunci când nu mai sunt necesare scopului inițial, îți retragi consimțământul, te opui prelucrării sau datele au fost prelucrate ilegal. Ștergerea nu se aplică dacă prelucrarea este necesară pentru obligații legale (ex: date fiscale) sau pentru exercitarea/apărarea unui drept.

11.4. Dreptul la restricționarea prelucrării (art. 18 GDPR) — poți solicita restricționarea în anumite circumstanțe (contestarea exactității, prelucrare ilegală, opoziție în curs).

11.5. Dreptul la portabilitate (art. 20 GDPR) — ai dreptul să primești datele furnizate, într-un format structurat, utilizat frecvent și lizibil automat (ex. JSON, CSV), și să le transferi altui operator.

11.6. Dreptul de opoziție (art. 21 GDPR) — te poți opune oricând prelucrărilor bazate pe interes legitim sau pentru marketing direct (inclusiv profilare). În cazul marketingului direct, prelucrarea încetează imediat.

11.7. Dreptul legat de deciziile automate (art. 22 GDPR) — nu luăm decizii semnificative exclusiv automatizate care să te afecteze juridic sau similar. Dacă această situație se schimbă, vei fi informat în prealabil.

11.8. Dreptul de retragere a consimțământului — oricând, fără a afecta legalitatea prelucrărilor anterioare.

12. Cum îți exerciți drepturile

Trimite o cerere scrisă la [email protected], cu subiectul „GDPR – [dreptul solicitat]", menționând numele și e-mailul asociat contului și descrierea solicitării.

Termenul de răspuns este de 30 de zile calendaristice, extins cu încă 60 de zile în cazuri complexe, cu notificarea ta prealabilă.

Gratuitate: cererea este gratuită; cererile vădit nefondate, excesive sau repetitive pot fi supuse unei taxe administrative rezonabile sau refuzate motivat.

13. Dreptul de a depune plângere

Te poți adresa ANSPDCP, B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, București, www.dataprotection.ro, [email protected], sau instanțelor judecătorești competente.

14. Modificări

Această politică poate fi revizuită periodic. Versiunea curentă este cea publicată pe Platformă, cu data afișată la început. Modificările semnificative sunt comunicate prin e-mail sau notificare pe Platformă cu cel puțin 15 zile înainte de intrarea în vigoare.