Politica de confidențialitate

1. Operatorul de date

Operatorul care stabilește scopurile și mijloacele prelucrării este:

• LAVALI ONLINE SHOP SRL
• CUI: 48870445
• Reg. Com.: J23/6383/2023
• Sediu: Str. Oituz nr. 80, Popești-Leordeni, jud. Ilfov, România
• Site: https://firmeverificate.ro
• Email pentru protecția datelor: contact@firmeverificate.ro

Pentru orice întrebare legată de prelucrarea datelor sau pentru exercitarea drepturilor dumneavoastră, ne puteți contacta la adresa de email de mai sus ori prin pagina Contact. Nu am desemnat un responsabil cu protecția datelor (DPO), întrucât activitatea nu impune această obligație legală; toate solicitările sunt gestionate direct de operator.

2. Sursele datelor

La înscriere, datele oficiale ale firmei (denumire, CUI, adresă sediu, stare fiscală, cod CAEN, an înființare) sunt preluate de la ANAF și reîmprospătate periodic. Restul conținutului este adăugat de reprezentantul firmei.

3. Categorii de date și temeiuri juridice

(a) Date oficiale ale firmei (persoane juridice — SRL, SA etc.)

Pentru firmele constituite ca persoane juridice, afișăm: denumire, CUI, stare ANAF, calitatea de plătitor de TVA, adresă sediu, cod CAEN, an înființare.

De ce, în principiu, acestea nu sunt date cu caracter personal: datele referitoare la o persoană juridică (societate comercială) nu privesc o persoană fizică identificată sau identificabilă și, ca regulă, nu intră în domeniul de aplicare al GDPR. Denumirea unui SRL, CUI-ul, sediul social și situația financiară a societății sunt informații despre entitatea juridică, nu despre un individ.

Temei juridic: înscrierea solicitată de reprezentantul firmei (art. 6(1)(b) GDPR, executarea contractului de servicii).

(b) Date despre PFA / Întreprindere Individuală (II) / Întreprindere Familială (IF) — date cu caracter personal

În cazul PFA, II și IF, denumirea entității conține de regulă numele persoanei fizice (de exemplu „Popescu Ion PFA"). Prin urmare, aceste informații reprezintă date cu caracter personal și beneficiază integral de protecția GDPR.

Temei juridic: înscrierea solicitată chiar de titular (art. 6(1)(b) GDPR, executarea contractului). Pentru PFA/II/IF, unde denumirea conține numele unei persoane fizice, înscrierea se face doar de către titular. Titularul poate cere oricând eliminarea completă a firmei; datele nu se republică ulterior.

Cum cereți eliminarea sau corectarea: folosiți pagina Ștergere / actualizare date firmă sau scrieți la contact@firmeverificate.ro. Soluționăm solicitarea în cel mult 30 de zile.

(c) Date ale utilizatorilor înregistrați (conturi de firmă)

Când un reprezentant își preia firma (dovedind că firma îi aparține — prin cod trimis pe email pe domeniul firmei, prin document doveditor încărcat sau prin verificare telefonică) și își creează cont, prelucrăm: adresă de email, parolă (stocată exclusiv sub formă de hash bcrypt, niciodată în clar), precum și datele de contact și de profil declarate de firmă (descriere, servicii, produse, galerie, telefon, adresă de contact). Conținutul declarat de firmă este marcat distinct de datele oficiale și trece prin moderare.

Temei juridic:

• Art. 6(1)(b) GDPR — executarea contractului: pentru crearea și administrarea contului, pentru preluarea profilului, pentru serviciul de verificare (50 lei, plată unică, verificare manuală de către operator, cu acordarea marcajului de firmă verificată, incluzând o perioadă de promovare de 6 luni) și pentru abonamentul de promovare (100 lei/lună la reînnoire). La expirarea abonamentului, marcajul „Verificată" rămâne, însă datele de contact devin private; profilul nu este șters.
• Consimțământ — art. 6(1)(a) GDPR: acolo unde este cazul (de exemplu comunicări comerciale opționale sau publicarea unor date de contact suplimentare pe care le adăugați voluntar în profil). Consimțământul poate fi retras oricând.
• Obligație legală — art. 6(1)(c) GDPR: pentru emiterea și păstrarea facturilor și a documentelor contabile aferente serviciilor plătite.

4. Rezumatul temeiurilor juridice

Categorie de date	Scop	Temei juridic
Date firme (persoane juridice), preluate de la ANAF la înscriere	Furnizarea serviciului de profil public firmă	Executarea contractului — art. 6(1)(b)
Date PFA / II / IF (nume persoană fizică), preluate de la ANAF la înscriere	Furnizarea serviciului de profil public firmă, la cererea titularului	Executarea contractului — art. 6(1)(b)
Cont de firmă (email, hash parolă, date de contact)	Crearea/administrarea contului, preluare, verificare, abonament	Contract — art. 6(1)(b); Consimțământ — art. 6(1)(a) unde e cazul
Date de facturare	Emiterea și păstrarea facturilor	Obligație legală — art. 6(1)(c)
Cereri GDPR, raportări	Soluționarea și dovada soluționării	Obligație legală — art. 6(1)(c); Interes legitim — art. 6(1)(f)
Loguri server, hash-uri IP	Securitatea site-ului și prevenirea abuzurilor	Interes legitim — art. 6(1)(f)

5. Durate de stocare

• Date despre firma înscrisă: cât timp firma rămâne înscrisă pe platformă; datele oficiale se reîmprospătează periodic de la ANAF. Dacă reprezentantul cere eliminarea firmei, aceasta este ștearsă complet și CUI-ul este blocat pentru reînscriere.
• Date de cont firmă: pe durata existenței contului, plus termenele legale aplicabile (de exemplu, documentele de facturare se păstrează 10 ani, conform legislației fiscale, pentru firmele plătitoare de servicii).
• Cereri GDPR / raportări: păstrate ca dovadă a soluționării, în principiu 3 ani.
• Loguri de server / hash-uri de IP: pe o perioadă limitată, în scop de securitate.

6. Destinatari și persoane împuternicite

Nu vindem și nu închiriem date cu caracter personal. Le divulgăm doar furnizorilor care ne ajută să operăm serviciul, în calitate de persoane împuternicite care prelucrează datele exclusiv conform instrucțiunilor noastre, pe baza unor contracte de prelucrare (DPA), cu obligații de confidențialitate și de securitate:

Împuternicit	Scop	Categorii de date	Localizare
Hostico	Găzduire web și servicii de email	Toate datele stocate de platformă (conturi, conținut declarat, plăți, loguri tehnice)	România (SEE)
Oblio	Emiterea proformelor și a facturilor	Date de facturare: denumire, CUI, adresă, sume	România (SEE)
Netopia Payments (la activarea plăților online)	Procesarea plăților cu cardul	Datele de plată necesare tranzacției	România (SEE)
Furnizorul de email (SMTP)	Trimiterea emailurilor tranzacționale (verificare cont, coduri, notificări) și a newsletterului	Adresa de email a destinatarului și conținutul mesajului	România (SEE), prin furnizorul de găzduire

Notă privind geolocația: localizarea aproximativă a traficului (oraș/țară) se determină local, pe serverele noastre, pe baza unei adrese IP trunchiate care nu identifică o persoană. Nu se transmite nicio adresă IP către servicii externe de geolocație. Geolocație IP prin DB-IP (bază de date DB-IP Lite, licență CC-BY 4.0).

Datele pot fi comunicate și autorităților publice, atunci când există o obligație legală în acest sens. Reamintim că ANAF este sursa datelor oficiale afișate, nu destinatar.

7. Transfer internațional, vânzare de date, decizii automate

• Nu transferăm date cu caracter personal în afara Spațiului Economic European (SEE). Inclusiv geolocația aproximativă a traficului se realizează local, pe serverele noastre, fără apel către servicii externe.
• Nu vindem și nu închiriem date cu caracter personal.
• Nu luăm decizii bazate exclusiv pe prelucrarea automată care să producă efecte juridice asupra dumneavoastră sau care să vă afecteze în mod similar semnificativ. Verificarea firmelor și acordarea marcajului de firmă verificată se fac prin verificare manuală de către operator.

8. Securitatea datelor

Aplicăm măsuri tehnice și organizatorice adecvate pentru protejarea datelor:

• Trafic criptat prin HTTPS pe întregul site.
• Parolele conturilor sunt stocate exclusiv ca hash bcrypt, niciodată în text clar.
• Adresele IP folosite în scop de securitate sunt stocate sub formă de hash, pe perioadă limitată.
• Protecție anti-CSRF și verificare anti-robot (captcha) la formulare.
• Headere de securitate configurate la nivel de server, cookie de sesiune cu atributele HttpOnly, Secure (pe HTTPS) și SameSite=Lax.
• Găzduire pe servere în România, la un furnizor cu care avem contract de prelucrare a datelor.

9. Cookie-uri

Site-ul folosește cookie-uri de primă parte: fv_sess (sesiune PHP: HttpOnly, Secure pe HTTPS, SameSite=Lax, strict necesar) și fv_ref (afiliere, 90 de zile), acesta din urmă setat DOAR când ajungi pe site printr-un link de recomandare. Nu folosim cookie-uri de analiză, de publicitate sau de urmărire între site-uri și nu utilizăm Google Analytics ori rețele externe. Detalii complete în Politica de cookie-uri.

9.1. Date tehnice de trafic (monitorizare vizite)

Pentru securitate, prevenirea abuzurilor și statistici agregate de trafic, înregistrăm date tehnice minime despre vizitele pe site: pagina accesată, sursa (referer), tipul de browser (user-agent), momentul vizitei și o formă anonimizată a adresei IP (ultimul octet este ascuns, de ex. 86.120.13.x), împreună cu un hash ireversibil al IP-ului folosit doar pentru a nu număra de mai multe ori același vizitator. Nu stocăm adresa IP completă. Localizarea aproximativă (oraș/țară) este determinată doar la nivel de rețea, fără a identifica o persoană.

Temeiul juridic este interesul legitim (art. 6 alin. (1) lit. (f) GDPR) de a menține securitatea și buna funcționare a platformei. Aceste date de trafic sunt păstrate pentru maximum 48 de ore, apoi șterse automat.

10. Drepturile dumneavoastră

În calitate de persoană vizată, aveți următoarele drepturi:

• Dreptul de acces — să știți dacă și ce date prelucrăm despre dumneavoastră.
• Dreptul de rectificare — să corectăm datele inexacte sau incomplete.
• Dreptul de ștergere („dreptul de a fi uitat").
• Dreptul la restricționarea prelucrării.
• Dreptul de a cere eliminarea firmei — relevant în special pentru PFA/II/IF; firma este ștearsă complet și CUI-ul este blocat pentru reînscriere.
• Dreptul la portabilitatea datelor — pentru datele furnizate de dumneavoastră, prelucrate în temei contractual sau pe bază de consimțământ.
• Dreptul de a retrage consimțământul oricând, fără a afecta legalitatea prelucrării anterioare.

Cum exercitați aceste drepturi: prin pagina Ștergere / actualizare date firmă (pentru firme și PFA/II/IF), prin pagina Drepturi GDPR ori prin email la contact@firmeverificate.ro. Răspundem în cel mult 30 de zile de la primirea cererii.

Plângere la autoritatea de supraveghere

Dacă apreciați că v-am încălcat drepturile, aveți dreptul să depuneți o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP):

• Adresă: B-dul General Gheorghe Magheru nr. 28-30, Sector 1, cod 010336, București
• Telefon: +40 318 059 211
• Email: anspdcp@dataprotection.ro
• Web: www.dataprotection.ro

11. Modificări ale acestei politici

Putem actualiza această politică pentru a reflecta modificări ale serviciului sau ale legislației (de exemplu, la activarea plăților online prin Netopia, moment în care pot apărea cookie-uri legate strict de procesarea plății). Versiunea în vigoare este cea publicată pe această pagină, cu data ultimei actualizări indicată în partea de sus.

Consultați și documentele conexe: Termeni și condiții, Politica de cookie-uri, Drepturi GDPR, Ștergere / actualizare date firmă, Raportează și Metodologia verificării.