Acordul de prelucrare a datelor cu caracter personal

Conform Regulamentului (UE) 2016/679 (GDPR), Legii nr. 190/2018 și Directivei 2002/58/CE (ePrivacy). Versiunea 2026-08-30. Operator: CargoRomania, prin platforma cargoromania.ro. Contact protecția datelor: [email protected].

1. Ce este acest acord

Documentul are două părți: (A) Informarea persoanelor vizate (art. 13–14 GDPR) — pentru utilizatorii care își creează cont, publică mărfuri, ofertează, folosesc chatul sau aplicația de șofer — și (B) Acordul operator–persoană împuternicită (art. 28 GDPR) — pentru firmele client sau transportator care încarcă în platformă date ale angajaților lor (dispeceri, șoferi) și ale partenerilor.

A. Informare privind prelucrarea datelor

2. Ce date prelucrăm

• Date de cont: nume, email, telefon, parolă (stocată doar ca hash), rol în companie, preferințe (temă, notificări), adresă IP și data conectărilor.
• Date de companie: denumire, CUI, sediu, documente de verificare (certificat, licențe, asigurări), IBAN pentru facturare.
• Date operaționale: mărfuri publicate, oferte, negocieri, comenzi de transport, documente CMR/POD, fotografii de încărcare/descărcare, facturi, mesaje din chat, evaluări.
• Date de localizare: pozițiile GPS ale camioanelor transmise din aplicația de șofer sau de dispozitive telematice, doar pe durata unei curse active (și istoricul lor pentru dovada livrării).
• Date ale șoferilor: nume, telefon, categorii de permis și date de expirare ale documentelor — introduse de firma de transport (vezi partea B).
• Date tehnice: jurnal de audit al acțiunilor, jurnalul livrării notificărilor (email/SMS/WhatsApp), cookie-ul de sesiune.

3. Scopurile și temeiul legal

• Furnizarea serviciului (cont, marketplace, matching, licitații, comenzi, tracking, documente, facturare) — executarea contractului (art. 6 (1) b).
• Verificarea firmelor și prevenirea fraudei (CUI, licențe, risk score) — interes legitim (art. 6 (1) f) și obligație legală pentru facturare și arhivare contabilă (art. 6 (1) c).
• Notificări operaționale despre oferte, curse, documente — executarea contractului. Notificările prin SMS/WhatsApp se trimit doar către numere de telefon confirmate printr-un cod de validare.
• Comunicări comerciale (noutăți, oferte de abonament) — consimțământ (art. 6 (1) a), opțional, retractabil oricând din Profil.
• Îmbunătățirea serviciului (statistici agregate, calitatea matching-ului) — interes legitim; nu facem profilare cu efecte juridice asupra persoanelor fizice; scorurile de matching și de risc privesc firme, nu persoane.

4. Cine primește datele

Partenerul de transport (după acceptarea unei oferte, cealaltă parte vede datele de contact ale companiei și ale persoanei de contact), furnizori de găzduire în Uniunea Europeană, furnizorul de trimitere SMS/WhatsApp (gateway propriu, pe infrastructura operatorului), serviciul de calcul rute (OSRM/OpenStreetMap — coordonatele localităților, fără date de identificare), autorități la cerere legală. Nu vindem date și nu le transferăm în afara SEE fără garanții adecvate (clauze contractuale standard).

5. Cât timp păstrăm datele

• Cont și date de companie: pe durata contului + 3 ani (termenul general de prescripție).
• Documente contabile (facturi, comenzi de transport, CMR/POD): 10 ani (Legea contabilității).
• Poziții GPS brute: 90 de zile; poziția finală și evenimentele cursei rămân în istoricul cursei.
• Jurnal de audit și livrări de notificări: 12 luni / 90 de zile.
• Mesaje din chat: pe durata contului sau până la ștergerea cerută de utilizator.

6. Drepturile tale

Ai dreptul de acces, rectificare, ștergere („dreptul de a fi uitat”), restricționare, portabilitate, opoziție și dreptul de a-ți retrage consimțământul oricând, fără a afecta legalitatea prelucrării anterioare. Le poți exercita direct din Profil → Date personale (descărcare date în format JSON, retragere consimțământ marketing, cerere de ștergere a contului) sau scriind la [email protected]. Răspundem în cel mult 30 de zile. Ai dreptul să depui o plângere la ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, B-dul G-ral Gheorghe Magheru 28-30, București, dataprotection.ro).

7. Cookie-uri și stocare locală

Folosim doar cookie-uri strict necesare (sesiunea de autentificare, „ține-mă minte” dacă o alegi, tokenul anti-CSRF) și stocare locală pentru preferințe (tema, filtre). Nu folosim cookie-uri de urmărire sau publicitate terță; de aceea nu cerem un consimțământ separat pentru cookie-uri (art. 5 (3) ePrivacy, excepția strict-necesare).

8. Securitate

Conexiuni criptate (TLS), parole stocate ca hash bcrypt cu „pepper”, documente păstrate în afara directorului public și servite doar utilizatorilor cu drepturi, jurnal de audit, limitare a încercărilor de autentificare, acces la server restricționat pe IP. Incidentele de securitate care afectează date personale se notifică autorității în 72 de ore și persoanelor vizate când riscul e ridicat (art. 33–34).

B. Acord operator – persoană împuternicită (art. 28 GDPR)

Pentru datele pe care o firmă (Client sau Transportator, „Operatorul”) le introduce în platformă despre alte persoane fizice — angajați, dispeceri, șoferi, persoane de contact ale partenerilor — CargoRomania acționează ca persoană împuternicită și se obligă:

1. să prelucreze datele numai pe baza instrucțiunilor documentate ale Operatorului (folosirea platformei conform Termenilor), inclusiv în privința transferurilor;
2. să garanteze că persoanele autorizate să prelucreze datele s-au angajat să respecte confidențialitatea;
3. să aplice măsurile tehnice și organizatorice din secțiunea 8;
4. să nu recruteze o altă persoană împuternicită fără autorizarea generală prealabilă a Operatorului (lista sub-împuterniciților: găzduire în UE, gateway SMS/WhatsApp propriu; modificările se anunță cu 30 de zile înainte, cu drept de opoziție);
5. să ajute Operatorul să răspundă cererilor persoanelor vizate (funcții de export/ștergere în platformă);
6. să ajute Operatorul la respectarea obligațiilor din art. 32–36 (securitate, notificarea încălcărilor, evaluarea impactului);
7. la încetarea serviciilor, să șteargă sau să returneze datele (export JSON din Profil), cu excepția celor a căror păstrare e impusă de lege;
8. să pună la dispoziție informațiile necesare pentru demonstrarea conformității și să permită audituri rezonabile.

Obligațiile Operatorului (firma ta): să informeze persoanele ale căror date le introduce (de exemplu, șoferii — inclusiv despre urmărirea GPS pe durata cursei și fotografiile de încărcare/descărcare), să aibă un temei legal pentru prelucrare, să introducă doar date exacte și necesare, să administreze accesul utilizatorilor săi și să dezactiveze conturile persoanelor care pleacă din firmă. La activarea accesului unui șofer în aplicație, platforma afișează un text de informare pe care Operatorul trebuie să i-l aducă la cunoștință.

Obiectul și durata: operarea platformei pe durata contului. Natura și scopul: intermedierea și gestiunea transporturilor de marfă. Tipul datelor: cele din secțiunea 2. Categorii de persoane vizate: utilizatori, angajați și șoferi ai Operatorului, persoane de contact ale partenerilor.

9. Acceptarea și modificările

Acordul se acceptă la crearea contului (bifă explicită, înregistrată cu data, ora, adresa IP și versiunea documentului) și este disponibil oricând din Profil. Modificările substanțiale se anunță prin email cu 15 zile înainte; continuarea utilizării după intrarea în vigoare înseamnă acceptarea noii versiuni, cu excepția consimțămintelor care trebuie reacordate expres.

Vezi și: Politica de confidențialitate · Termeni și condiții.