Politică de confidențialitate

1. Operatorul de date

Operatorul datelor tale este PIFCENTRALE S.R.L., cu sediul în Str. Mihai Eminescu nr. 35, Comuna Gheorghe Lazăr, jud. Ialomița, CUI 54923641, înregistrată la Registrul Comerțului sub nr. J2026039306005.

Pentru orice întrebare privind datele tale personale ne poți contacta la [email protected].

Nu am desemnat un responsabil cu protecția datelor (DPO), nefiind obligatoriu conform art. 37 GDPR pentru activitatea noastră. Pentru orice cerere privind datele, scrie la [email protected].

2. Ce date colectăm de la CLIENȚI (beneficiari)

Când trimiți o cerere, colectăm:

• Din formularul de cerere: numele, numărul de telefon, localitatea și județul, tipul lucrării, descrierea problemei și, opțional, marca centralei și dacă e în garanție.

• Dacă ni le trimiți tu (pe WhatsApp sau pe email): fotografii, adresa de email și alte detalii despre echipament.

• Dacă îți folosești contul de client: datele contului (nume, email, adresă, localitate), echipamentele pe care le adaugi (tip, marcă/model, serie, data și prețul achiziției, data instalării, expirarea garanției) și documentele pe care le încarci (de exemplu facturi sau certificate de garanție).

• De la firma care preia cererea și lucrează pentru tine: adresa la care se face lucrarea, echipamentul (marcă/model, opțional serie) și istoricul lucrărilor făcute de ea, pe care le trece în evidența ei din platformă.

• Date tehnice și de utilizare: adresă IP și user-agent (asociate cererii, pentru securitate și prevenirea fraudei), cookie-uri (vezi Politica de cookie-uri).

• Date de atribuire campanie: sursa din care ai ajuns la noi (parametri UTM) și pagina de intrare — folosite pentru a înțelege ce campanii funcționează.

• Date primite prin WhatsApp: dacă ne scrii prin WhatsApp, prelucrăm numărul tău de telefon și conținutul mesajelor (text, fotografii) pentru a-ți prelua și gestiona cererea (vezi secțiunea „Comunicarea prin WhatsApp”).

• Date Google (opțional, doar dacă te autentifici cu Google): adresă de email și nume.

Ce date sunt obligatorii: pentru a-ți prelua cererea avem nevoie cel puțin de numărul tău de telefon, de localitate și de tipul lucrării. Fără aceste date minime nu putem transmite cererea către firme verificate din județul tău. Restul informațiilor (fotografii, marca/modelul centralei, detalii suplimentare) sunt opționale, dar ajută firmele care te sună să înțeleagă mai bine lucrarea.

3. Ce date colectăm de la PARTENERI (instalatori)

Când te înscrii ca partener (firmă sau persoană fizică autorizată), colectăm:

• Date despre firmă/PFA: denumire, CUI, nr. Registrul Comerțului, sediu/adresă.

• Autorizații și competențe: numere de autorizare ISCIR/ANRE, serviciile oferite, județele acoperite, documentele justificative încărcate.

• Date de contact ale persoanei responsabile: nume, telefon, adresă de email.

• Date despre activitate pe platformă: cererile preluate, lucrările efectuate, evaluările primite.

• Date legate de plată: pentru plățile abonamentului făcute cu cardul, din linkul de plată, păstrăm doar referința tranzacției primită de la NETOPIA Payments — NU datele cardului, care nu ne sunt comunicate niciodată. Nu păstrăm carduri și nu facem debitări automate. Temeiul este executarea contractului (art. 6(1)(b)).

• Intrarea cu cheie de acces (fără parolă, opțională): amprenta, fața sau codul de deblocare NU ajung niciodată la noi — rămân pe telefonul sau calculatorul tău și sunt verificate doar de el. Când creezi o cheie de acces, păstrăm, legate de contul tău, doar o cheie publică și câteva date tehnice despre ea (un identificator al cheii, un contor de folosiri, felul în care se conectează dispozitivul, tipul lui și dacă cheia e salvată în copia de siguranță a telefonului), plus numele dispozitivului (de exemplu „Chrome pe Android”), data adăugării și data ultimei folosiri. Niciuna dintre ele nu poate reconstitui amprenta și nu ajunge ca să intri în cont fără dispozitivul tău. Le folosim doar ca să te autentificăm în cont, în temeiul executării contractului (art. 6(1)(b)). Le poți șterge oricând din Cont → „Parola și cheile de acces” (administratorii platformei: Setări → Securitate).

4. Scopurile și temeiul legal al prelucrării

Prelucrăm datele pentru scopuri clare, fiecare cu un temei legal (art. 6 GDPR):

• Gestionarea cererilor de service și a conturilor — executarea contractului (art. 6(1)(b)).

• Intermedierea între client și partener (transmiterea cererii către instalatori eligibili) — executarea contractului.

• Notificări tranzacționale despre statusul cererii tale (firmă nouă care a preluat, contact deblocat etc.) — executarea contractului.

• Securitate, prevenirea fraudei, funcționarea platformei — interes legitim (art. 6(1)(f)).

• Verificarea autorizațiilor declarate de parteneri (ANRE/ISCIR), în registrele oficiale și prin documentele furnizate, pentru încredere și siguranță — interes legitim (art. 6(1)(f)).

• Recenziile clienților, moderate înainte de publicare — interes legitim (transparență și încredere), cu posibilitatea de a cere rectificarea sau ștergerea recenziei tale.

• Notificări tranzacționale (status cerere, firmă nouă care a preluat, contact deblocat, facturi) — executarea contractului (art. 6(1)(b)); nu sunt comunicări de marketing.

• Reminderele de revizie/garanție pe care le soliciți sau le accepți — executarea contractului ori consimțământ, după caz.

• Newsletter și comunicări comerciale de marketing — pe baza consimțământului tău (art. 6(1)(a)). Pentru clienții existenți îți putem trimite oferte despre servicii proprii similare ale PIF în temeiul interesului legitim (soft opt-in, Legea 506/2004 art. 12), cu dezabonare simplă la fiecare mesaj. Nu trimitem niciodată marketing în numele partenerilor.

• Măsurarea conversiilor prin Meta Pixel și Conversions API (Meta Platforms Ireland) — consimțământ (art. 6(1)(a)), activat doar dacă alegi „Accept toate” în bannerul de cookie-uri; îl poți retrage oricând.

• Statistici de trafic și de performanță a paginilor prin Google Analytics 4 (Google Ireland Ltd.) — consimțământ (art. 6(1)(a)), activat doar dacă alegi „Accept toate” în bannerul de cookie-uri; adresa IP este anonimizată, îl poți retrage oricând.

• Analiza modului de utilizare a paginilor publice (hărți de derulare/click și înregistrări de sesiune anonimizate) prin Microsoft Clarity (Microsoft Ireland Operations Ltd.) — consimțământ (art. 6(1)(a)), activat doar dacă alegi „Accept toate”; textul introdus în formulare este mascat, iar zonele de cont (client/partener/admin) nu sunt înregistrate deloc. Îl poți retrage oricând.

• Cookie-uri non-esențiale — consimțământ (art. 6(1)(a)), pe care îl poți retrage oricând.

• Facturare și obligații fiscale — obligație legală (art. 6(1)(c)).

5. Cui divulgăm datele

• Partenerilor instalatori, în două momente: (1) Cu acordul tău explicit, cererea este arătată instalatorilor eligibili din județul tău (selectați după județ și după autorizările/competențele relevante). În acest moment ei VĂD: tipul serviciului și al problemei, localitatea (orașul/comuna, NU adresa exactă), marca și statutul garanției centralei (când le declari) și fotografiile pe care le-ai atașat. Ei NU văd: numele, telefonul, emailul, adresa exactă și nici mesajele vocale sau documentele atașate. Te rugăm să nu incluzi date personale în text sau fotografii. (2) Primele 5 firme care apasă „Preiau” primesc datele tale de contact (nume, telefon și adresă, dacă e cazul), ca să te poată suna; firmele care nu apucă să preia cererea (a 6-a și următoarele) nu primesc niciodată datele tale de contact.

Cum îți retragi acordul: răspunzi STOP pe WhatsApp sau SMS, sau apeși „Nu mai vreau să fiu contactat” pe pagina cererii tale. Cererea se închide, nu se mai arată la firme noi, iar firmele care au preluat-o deja sunt anunțate că nu mai vrei să fii contactat.

• Furnizori care ne ajută să operăm platforma (persoane împuternicite sau, după caz, operatori independenți):

— Hetzner Online GmbH (găzduire, Germania — în UE).

— Cloudflare, Inc. (CDN, proxy, securitate trafic și DNS; vede adrese IP și trafic; stochează fotografiile și documentele salvate pe platformă, în serviciul Cloudflare R2; SUA — acoperit de EU-US Data Privacy Framework / clauze contractuale standard).

— DataHost (cPanel) (email tranzacțional și DNS, UE/România).

— StartCo (facturare și e-Factura/ANAF; prelucrează nume, CUI și date de facturare; România).

— Meta Platforms Ireland Ltd. (canalul WhatsApp Business și, cu consimțământul tău de marketing, măsurarea conversiilor prin Pixel + Conversions API; Irlanda/SUA).

— Google Ireland Ltd. (autentificare, dacă alegi login cu Google; cu consimțământul tău de cookie-uri, statistici de trafic prin Google Analytics 4; și Gemini API, modelul de inteligență artificială folosit de asistenții noștri automați: citește și formulează mesaje în conversațiile pe WhatsApp, SMS, email și în asistentul de pe site, redactează rezumatele trimise clienților și echipei noastre și citește fotografiile sau documentele încărcate — de exemplu o factură sau o anexă scanată; Irlanda/SUA).

— Anthropic PBC (Claude, model de inteligență artificială: asistentul automat cu care vorbești pe WhatsApp când ceri o lucrare — primește mesajele conversației, cu numerele de telefon și adresele de email ascunse înainte, localitatea și, dacă îl spui, numele, ca să înțeleagă ce lucrare ceri și să completeze cererea; dacă serviciul lui nu răspunde, conversația continuă cu Gemini API (Google, mai sus); și redactează ciornele de răspuns la emailurile primite de PIF de la firme, pe care le citește și le trimite un om din echipa noastră, primind textul emailului, numele firmei și istoricul scurt al conversației, cu telefoanele și adresele de email ascunse; SUA).

— Resend, Inc. (trimiterea emailurilor către firmele de instalații pe care le invităm pe platformă; prelucrează adresa de email a firmei, conținutul mesajului și evenimentele de livrare — livrat, respins, reclamație de spam —, folosite ca să nu mai scriem adreselor invalide sau celor care au cerut să nu mai primească mesaje; SUA).

— SMSO (trimiterea notificărilor prin SMS, de exemplu când nu te putem anunța pe WhatsApp; prelucrează numărul de telefon și textul mesajului; România).

— OpenAPI.ro (verificarea datelor firmei după CUI la înscrierea partenerilor: denumire, adresă, stare fiscală; România).

— ntfy.sh (notificări interne către echipa PIF despre mesajele și evenimentele care cer atenție; pot conține numele, numărul de telefon și un fragment din mesaj).

— serviciul de notificări push al browserului tău (Google, Mozilla, Microsoft sau Apple, după browser), doar dacă activezi notificările: primește adresa abonamentului și conținutul notificării, criptat cap-coadă, pe care nu-l poate citi.

— Google Ireland Ltd. — Firebase Cloud Messaging (notificările din aplicația PIF Centrale pentru Android, doar dacă le pornești): primește identificatorul aplicației de pe telefon și textul notificării — serviciul și localitatea cererii, fără datele clientului; textul nu e criptat cap-coadă (Irlanda/SUA).

— Microsoft Ireland Operations Ltd. (cu consimțământul tău de cookie-uri, analiza utilizării paginilor publice prin Microsoft Clarity; Irlanda/SUA).

— NETOPIA Payments — procesatorul nostru de plăți cu cardul. Datele cardului se introduc direct pe platforma securizată NETOPIA și nu ne sunt comunicate nouă. NETOPIA procesează plățile cu cardul făcute din linkul de plată; noi păstrăm doar referința tranzacției (vezi secțiunea 11). Pe fiecare pagină, sigla NETOPIA din subsolul site-ului se încarcă de pe serverele NETOPIA, care văd astfel adresa IP a vizitatorului.

• Autorităților, doar când avem obligația legală.

Nu vindem datele tale și nu le folosim pentru publicitate de la terți.

6. Cum folosesc partenerii datele clienților

Prelucrarea are două faze. În faza de intermediere (cererea ta, anunțul către firmele eligibile din județ) operatorul este PIF Centrale. Din momentul în care o firmă apasă „Preiau” și primește datele tale de contact, pentru utilizarea proprie a acestor date, acea firmă devine un operator de date INDEPENDENT (operator succesiv, NU operator asociat în sensul art. 26 GDPR), cu propriile obligații legale și propria informare.

Prin contractul cu noi (Termeni pentru parteneri), partenerii se obligă să:

• folosească datele clientului DOAR pentru a presta și a urmări serviciul solicitat;

• respecte legislația privind protecția datelor (GDPR) în propria activitate, inclusiv în comunicările ulterioare cu clientul;

• nu transmită, nu vândă și nu folosească datele în alte scopuri (ex. marketing nesolicitat) fără un temei legal propriu;

• respecte drepturile clientului (acces, rectificare, ștergere, opoziție) pentru datele pe care le dețin ei și să aplice măsuri de securitate adecvate;

• notifice fără întârziere orice incident de securitate relevant și să coopereze cu noi și cu autoritățile, când e cazul.

PIF Centrale NU trimite comunicări comerciale în numele partenerilor și nu controlează comunicarea directă dintre partener și client după transmiterea contactului. Pentru cererile privind datele deținute de un anumit partener, te poți adresa direct acestuia; te putem sprijini să-l identifici.

Separat de intermediere, unii parteneri folosesc funcții ale platformei pentru a-și organiza propria activitate — o agendă a clienților proprii și remindere de revizie/garanție. Pentru aceste funcții partenerul este operatorul datelor, iar PIF Centrale acționează ca persoană împuternicită, în numele partenerului, conform art. 28 GDPR. Dacă un astfel de partener ți-a inclus datele în propria evidență, drepturile tale se exercită în primul rând față de el ca operator; te putem sprijini să-l identifici.

7. Transferuri internaționale

Datele sunt găzduite în Uniunea Europeană (Hetzner, Germania).

Unele servicii pe care le folosim pot implica transferuri în afara UE/SEE, acoperite de mecanisme legale precum EU-US Data Privacy Framework și/sau clauzele contractuale standard:

• Cloudflare (proxy/securitate trafic și stocarea fișierelor încărcate, SUA) — poate procesa date în afara UE/SEE.

• Meta Platforms (canalul WhatsApp și, cu consimțământul tău de marketing, măsurarea conversiilor prin Pixel/Conversions API) — implică transfer către infrastructura Meta, inclusiv în SUA. Pentru Pixel/Conversions API, numărul tău de telefon este transmis hash-uit (SHA-256), nu în clar.

• Google (autentificare, dacă o folosești; Google Analytics 4, cu consimțământul tău de cookie-uri; și Gemini API, folosit de asistenții automați) — poate implica transferuri acoperite de mecanismele legale ale Google.

• Resend (trimiterea emailurilor către firmele de instalații invitate pe platformă, SUA) — poate implica transferuri în afara UE/SEE.

• ntfy.sh (notificări interne către echipa PIF) — poate implica transferuri în afara UE/SEE.

• Serviciul de notificări push al browserului (Google, Mozilla, Microsoft sau Apple), dacă activezi notificările — poate implica transferuri în afara UE/SEE.

• Microsoft (analiza utilizării prin Clarity, cu consimțământul tău de cookie-uri) — poate implica transferuri acoperite de mecanismele legale ale Microsoft (Cadrul UE-SUA de confidențialitate a datelor).

Cum obții o copie a garanțiilor de transfer: pentru transferurile în afara UE/SEE ne bazăm pe decizii de adecvare (ex. EU-US Data Privacy Framework) și/sau pe clauzele contractuale standard adoptate de Comisia Europeană. Poți obține o copie a acestor garanții scriindu-ne la [email protected]; pentru clauzele și certificările proprii ale furnizorilor (Cloudflare, Meta, Google, Resend, ntfy.sh) îți putem indica și sursele lor publice.

8. Cât timp păstrăm datele

Păstrăm datele atât timp cât e necesar pentru scopurile de mai sus. Concret, pe categorii:

• Datele contului (client sau partener) — pe durata relației cu noi, plus termenele legale aplicabile.

• Facturile și documentele justificative contabile (inclusiv facturile de abonament emise prin StartCo / e-Factura) — 5 ani, calculați de la 1 iulie a anului următor exercițiului financiar în care au fost întocmite (art. 25 din Legea contabilității nr. 82/1991, modificat prin Legea nr. 36/2023).

• Registrele de contabilitate obligatorii — 5 ani (același temei, art. 25).

• Situațiile financiare anuale ale firmei — 10 ani (art. 35 alin. (3) din Legea nr. 82/1991).

• Mesajele și evenimentele WhatsApp — 90 de zile.

• Evenimentele de analiză a parcursului pe platformă (funnel) — 180 de zile.

• Jurnalele de audit (securitate) — 90 de zile.

• Sesiunile de autentificare temporară (coduri OTP) — 7 zile.

• Datele intrării cu cheie de acces (cheia publică și datele tehnice despre ea, numele dispozitivului, data adăugării și a ultimei folosiri) — până când ștergi cheia de acces din cont, până la o resetare a parolei prin email (care le șterge pe toate) sau până la ștergerea contului.

• Cookie-urile noastre de măsurare (pif_aid și pif_utm), doar dacă alegi „Accept toate” — 90, respectiv 30 de zile.

• Cererile pe care nu le preia nicio firmă — aproximativ 12 luni.

Când îți ștergi contul, declanșăm ștergerea datelor asociate (cu excepția celor pe care legea ne obligă să le păstrăm, ex. facturile și documentele justificative contabile). După expirarea termenelor, datele sunt șterse sau anonimizate.

• Contul de firmă (partener) îl închizi singur din Cont → „Închide contul”, cu parola contului: accesul se oprește pe loc, iar după 30 de zile datele contului sunt șterse sau anonimizate. Rămân, pe termenele de mai sus, facturile, fișele ISCIR/ANRE semnate și dovada preluărilor (ce firmă a primit telefonul unui client, când și pe ce cale). Pașii și lista completă: pifcentrale.ro/stergere-cont.

9. Drepturile tale

Conform GDPR (art. 15-22) ai dreptul la: acces la date, rectificare, ștergere (dreptul de a fi uitat), restricționarea prelucrării, opoziție și portabilitatea datelor.

Ai dreptul de a-ți retrage consimțământul oricând — de exemplu din bannerul de cookie-uri sau scriindu-ne — fără a afecta legalitatea prelucrării de dinainte de retragere (art. 7(3)).

Ștergerea contului tău declanșează ștergerea datelor asociate, în limitele obligațiilor legale de păstrare. Pentru contul de firmă, pașii sunt pe pagina pifcentrale.ro/stergere-cont.

Îți poți exercita drepturile scriindu-ne la [email protected].

Ai de asemenea dreptul de a depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) — www.dataprotection.ro.

Decizii automate și profilare: NU luăm decizii bazate exclusiv pe prelucrarea automată care să producă efecte juridice asupra ta sau să te afecteze în mod similar semnificativ (art. 22 GDPR). Ordinea în care firmele preiau cererea ta este „primul venit, primul servit”, până la 5 firme; nu folosim un scor automat ca să alegem noi firma pentru tine — tu alegi cu cine lucrezi, direct la telefon.

10. Datele Google (autentificare)

Dacă te autentifici cu Google, folosirea datelor obținute de la API-urile Google respectă Google API Services User Data Policy, inclusiv cerințele Limited Use.

Folosim datele tale Google (adresă de email și nume) exclusiv pentru autentificare (login). Nu transferăm și nu vindem aceste date către terți și nu le folosim pentru publicitate.

11. Facturare și plăți

Partenerii au un singur abonament, cu toate funcțiile: 20 de lei pentru 30 de zile. Până la 31 decembrie 2026 inclusiv, platforma este gratuită pentru toți partenerii și nu se emite nicio factură. Firmele care se înscriu din 2027 au primele 2 luni gratuite. Abonamentul se plătește din linkul de plată, cu cardul (NETOPIA) sau prin transfer bancar; fiecare plată deschide 30 de zile de acces, iar factura se emite la plată (StartCo, e-Factura/ANAF). Nu păstrăm carduri, nu reînnoim automat și nu debităm nimic fără o plată inițiată de partener.

Facturile sunt emise de PIFCENTRALE S.R.L. prin furnizorul de facturare StartCo, transmise în sistemul e-Factura/ANAF conform legii.

Plățile cu cardul se procesează prin NETOPIA Payments, direct pe platforma securizată NETOPIA — datele cardului nu ne sunt comunicate nouă. Fiecare plată se face din linkul de plată sau prin transfer bancar, în contul indicat; nimic nu se debitează automat.

Pentru facturare prelucrăm datele necesare (nume/denumire, CUI, date de contact și de facturare), în temeiul obligației legale.

12. Comunicarea prin WhatsApp

Platforma folosește un canal WhatsApp (WhatsApp Business, prin Meta Platforms Ireland Ltd.) pentru a prelua și gestiona cererile. Dacă alegi să comunici prin WhatsApp, prelucrăm numărul tău de telefon, conținutul mesajelor (text, fotografii) și statusul de livrare al mesajelor.

Mesajele sunt transmise prin infrastructura Meta, ceea ce poate implica transferuri în afara UE/SEE, acoperite de mecanismele legale ale Meta (vezi secțiunea 7). Meta acționează ca furnizor al canalului, conform propriei politici de confidențialitate.

Evenimentele legate de comunicarea prin WhatsApp se păstrează 90 de zile (vezi secțiunea 8).

13. Recenzii

Recenziile lăsate de clienți sunt verificate de echipa noastră înainte de publicare. Publicăm conținutul recenziei și un identificator al autorului (de exemplu prenumele), nu datele tale de contact.

Poți cere rectificarea sau ștergerea recenziei tale scriindu-ne la [email protected]. Eliminăm recenziile care încalcă regulile (limbaj jignitor, conținut fals).