Politica de confidențialitate

1. Cine suntem

Operatorul datelor tale personale este PRODUSE TRADIȚIONALE GABIOTI DIN PLEȘCOI SRL („Gabioti”, „noi”), cu sediul în Sat Pleșcoi nr. 177, Com. Berca, Jud. Buzău, cod poștal 127042, CUI 31099550, Nr. Reg. Com. J2013000036100, telefon 0731 491 414, email doctavian@gabioti.ro.

Această politică se aplică aplicației mobile Gabioti, site-ului gabioti.ro, programului de fidelitate „Cardul de membru Gabioti” și asistentului automat Gabiotel. Prelucrăm datele conform Regulamentului (UE) 2016/679 („GDPR”) și legislației românești privind protecția datelor.

Nu am desemnat un responsabil cu protecția datelor (DPO). Pentru orice întrebare despre datele tale ne poți scrie la doctavian@gabioti.ro.

2. Ce date prelucrăm

2.1. Cont de persoană fizică

numele complet;
data nașterii (ca să verificăm vârsta minimă de 16 ani);
județul;
numărul de telefon și faptul că a fost verificat prin SMS;
adresa de email, dacă te autentifici cu email și parolă;
codul cardului de membru și data înscrierii („Membru Gabioti din…”);
acordurile tale (termeni, confidențialitate, noutăți opționale) și momentul în care le-ai dat.

2.2. Cont de restaurant sau firmă

codul fiscal (CUI) introdus de tine;
datele publice ale firmei, preluate de la ANAF pe baza CUI-ului: denumirea, numărul de înregistrare la Registrul Comerțului, adresa sediului (județ, localitate, cod poștal), dacă firma este plătitoare de TVA, dacă este declarată inactivă, starea și data verificării;
numărul de telefon și, după caz, emailul persoanei care creează contul;
codul cardului de membru (generat la aprobarea contului de către echipa Gabioti), data înscrierii și acordurile date;
amprenta dispozitivului de pe care creezi contul de firmă sau trimiți certificatul (secțiunea 2.7).

Pentru conturile de firmă se adaugă documentul încărcat pentru validare (secțiunea 2.6).

2.3. Date de autentificare și date tehnice

identificatorul contului, numărul de telefon sau emailul de autentificare, data creării contului și a ultimei autentificări;
parola, dacă o folosești: este păstrată doar sub formă criptată ireversibil (hash) de serviciul Firebase Authentication, iar noi nu o putem vedea;
adresa IP, tipul dispozitivului și al browserului, jurnale tehnice de securitate;
verificarea că cererile vin din aplicația sau de pe site-ul nostru (Firebase App Check): în aplicația instalată din Google Play, serviciul Google Play Integrity confirmă că aplicația este cea originală; pe site, serviciul Google reCAPTCHA Enterprise, doar când deschizi chatul (secțiunea 2.5);
rapoarte de erori ale aplicației (Firebase Crashlytics): modelul dispozitivului, versiunea Android și a aplicației, detaliile erorii și un identificator al instalării.

2.4. Asistentul Gabiotel (chat)

Mesajele pe care le scrii în chat și răspunsurile primite sunt trimise serviciului Anthropic (furnizorul modelului Claude), ca persoană împuternicită, doar ca să fie generat răspunsul. Nu trimitem către Anthropic numele tău sau codul cardului.

Conversațiile cu Gabiotel nu se păstrează. Dacă raportezi un răspuns, păstrăm întrebarea și răspunsul raportat cel mult 180 de zile, ca echipa Gabioti să le verifice și să îmbunătățească asistentul.

Raportarea (butonul „Raportează” de sub un răspuns) cuprinde întrebarea ta, răspunsul afișat, motivul ales și, dacă o scrii, o notă. În aplicație, raportarea este legată de contul tău; pe site, de codul aleatoriu al sesiunii de chat și de o amprentă criptografică (hash) a adresei IP.

Pentru limitarea abuzurilor păstrăm, pentru scurt timp, contoare de utilizare legate de contul tău (în aplicație) sau, pe site, de codul aleatoriu al sesiunii de chat și de amprenta criptografică (hash) a adresei IP, plus statistici zilnice agregate (numărul de mesaje și volumul de text procesat).

Te rugăm să nu scrii date personale în chat. Pe site, conversația curentă și codul aleatoriu al sesiunii de chat se păstrează doar în browserul tău (sessionStorage) și dispar când închizi fila.

2.5. Site-ul gabioti.ro

Nu folosim cookie-uri de publicitate sau de analiză și nu facem profilare. Site-ul păstrează în browserul tău doar date tehnice: în localStorage, preferințele de afișare (dacă ai restrâns cardul cu codul QR, tema aleasă și modul de afișare a revistei); în sessionStorage, conversația curentă cu Gabiotel și codul aleatoriu al sesiunii de chat. Serverele de găzduire pot înregistra temporar adresa IP și detaliile tehnice ale cererilor, pentru funcționare și securitate.

Doar când deschizi chatul cu Gabiotel, site-ul încarcă protecția Firebase App Check, cu serviciul Google reCAPTCHA Enterprise: acesta poate folosi informații despre dispozitiv și browser, inclusiv cookie-uri proprii Google, strict ca să deosebească oamenii de programele automate și să protejeze asistentul de abuzuri. Celelalte pagini ale site-ului nu încarcă reCAPTCHA.

2.6. Validarea contului de firmă (certificatul de înregistrare)

Ca să primească cardul de firmă, firma încarcă în aplicație certificatul de înregistrare eliberat de Registrul Comerțului (o fotografie sau un PDF). Prelucrăm:

documentul încărcat (imaginea sau PDF-ul) și amprenta lui criptografică, ca să recunoaștem același document trimis de alt cont;
datele citite din document: tipul documentului, CUI-ul, denumirea firmei, numărul de la Registrul Comerțului, data eliberării și eventualele semne că documentul este necitibil sau modificat;
datele publice ale firmei de la ANAF, din momentul verificării, și comparația lor cu datele din cont;
recomandarea analizei automate, decizia echipei Gabioti (aprobat sau respins), motivul și momentul.

Scopul: să ne asigurăm că firma din cont există, este activă și că cine a creat contul are certificatul firmei, înainte de generarea cardului de firmă, cu prețurile de firmă.

Cum se face: Analiza automată a documentului (Anthropic, ca persoană împuternicită) are doar rol de recomandare; decizia o ia un om din echipa Gabioti. Serviciul Anthropic (modelul Claude) doar transcrie datele de pe document și nu primește datele din contul tău; transcrierea se compară cu datele publice de la ANAF. Un om din echipa Gabioti vede documentul și recomandarea în panoul de administrare și aprobă sau respinge contul de firmă. La respingere, motivul îl vezi în aplicație și poți încărca alt document. Echipa Gabioti primește pe email o notificare cu datele contului de firmă și recomandarea analizei, fără document.

Cine îl vede: documentul se păstrează privat, în spațiul de stocare Firebase (Google Cloud); îl poate deschide doar echipa Gabioti, din panoul de administrare.

Cât timp: cât există contul, ca dovadă a validării; documentul, analiza lui și rezultatul verificării se șterg odată cu contul.

2.7. Amprenta dispozitivului (conturile de firmă)

Prevenirea fraudei la conturile de firmă. Când creezi un cont de firmă sau trimiți certificatul de înregistrare, aplicația trimite o amprentă a telefonului: un cod criptografic calculat din identificatorul aplicației pe acel telefon, din care identificatorul nu poate fi aflat. O păstrăm împreună cu codul fiscal (CUI) și denumirea firmei și o folosim doar ca să prevenim fraudele și conturile de firmă false. Temeiul este interesul nostru legitim (art. 6 alin. (1) lit. f) din GDPR). După ștergerea contului, amprenta se păstrează doar cu CUI-ul firmei și un identificator intern al contului (fără denumire, nume, telefon sau email), cel mult 5 ani de la ultima folosire, tot pentru prevenirea fraudei.

La conturile de persoană fizică aplicația nu trimite amprenta dispozitivului.

3. De unde avem datele

direct de la tine, când îți faci cont, folosești aplicația, scrii în chat sau raportezi un răspuns;
de la ANAF, pentru conturile de firmă: date publice, obținute pe baza CUI-ului introdus de tine;
de la Google Firebase, care verifică numărul de telefon prin codul trimis prin SMS;
de la dispozitivul tău: amprenta dispozitivului la conturile de firmă (secțiunea 2.7) și verificarea App Check (secțiunea 2.3);
generate de noi: codul cardului, data înscrierii și recomandarea analizei automate a certificatului.

4. De ce folosim datele și pe ce temei legal

Scopurile prelucrării și temeiurile legale
Scop	Date	Temei legal (GDPR)
Crearea contului, emiterea și administrarea cardului de membru, aplicarea prețurilor din Revista Gabioti	datele contului, codul cardului	art. 6 alin. (1) lit. b): executarea contractului (regulamentul cardului), la cererea ta
Recunoașterea cardului la casă: transmiterea către magazinele noastre, printr-un fișier intern trimis pe email, a numelui complet, a datei înscrierii și a codului cardului; anunțarea magazinelor când un card este dezactivat	nume, data înscrierii, codul cardului	art. 6 alin. (1) lit. b); art. 6 alin. (1) lit. f): interesul nostru legitim de a nu permite folosirea unui card dezactivat
Verificarea datelor firmei la ANAF	CUI, datele publice ale firmei	art. 6 alin. (1) lit. b) și f): date corecte, prevenirea fraudelor
Validarea contului de firmă: citirea automată a documentului, ca recomandare pentru verificarea făcută de echipa Gabioti (secțiunea 2.6)	documentul încărcat, datele citite din el, datele ANAF, recomandarea analizei, decizia echipei	art. 6 alin. (1) lit. b): condiție a cardului de firmă, cerută de tine; lit. f): prevenirea fraudelor
Prevenirea fraudei la conturile de firmă (secțiunea 2.7)	amprenta dispozitivului, legată de contul de firmă	art. 6 alin. (1) lit. f): interes legitim
Verificarea vârstei minime de 16 ani	data nașterii	art. 6 alin. (1) lit. b): condiție de participare din regulament
Noutăți și oferte trimise doar dacă ai bifat opțiunea	telefon, email	art. 6 alin. (1) lit. a): consimțământ, pe care îl poți retrage oricând
Răspunsurile asistentului Gabiotel	textul mesajelor	art. 6 alin. (1) lit. b): serviciul cerut de tine; lit. f): limitarea abuzurilor
Verificarea răspunsurilor Gabiotel pe care le raportezi	întrebarea și răspunsul raportat, motivul, nota ta	art. 6 alin. (1) lit. f): interesul nostru legitim de a verifica și îmbunătăți asistentul
Securitatea aplicației și a site-ului, prevenirea fraudelor și a abuzurilor (App Check, limite de utilizare, jurnale)	date tehnice	art. 6 alin. (1) lit. f): interes legitim
Remedierea erorilor aplicației	rapoarte de erori	art. 6 alin. (1) lit. f): interes legitim
Obligații legale (de exemplu contabile sau răspunsuri către autorități)	după caz	art. 6 alin. (1) lit. c): obligație legală
Apărarea drepturilor noastre în cazul unui litigiu	după caz	art. 6 alin. (1) lit. f): interes legitim

Nu luăm decizii bazate exclusiv pe prelucrarea automată care să producă efecte juridice asupra ta sau să te afecteze în mod similar. La conturile de firmă, analiza automată a documentului este doar o recomandare: decizia o ia întotdeauna un om din echipa Gabioti.

5. Cui transmitem datele

Nu vindem și nu închiriem datele tale. Le pot primi doar:

Google (Google Ireland Limited și afiliații săi, inclusiv Google LLC), prin platforma Firebase / Google Cloud, ca persoană împuternicită: autentificarea (inclusiv trimiterea codurilor prin SMS), baza de date Cloud Firestore, funcțiile server, stocarea fișierelor, găzduirea site-ului, protecția App Check (Play Integrity în aplicație, reCAPTCHA Enterprise pe site, la deschiderea chatului) și rapoartele de erori (Firebase Crashlytics). Baza de date și funcțiile server rulează în regiunea europe-central2 (Varșovia, Polonia).
Anthropic, furnizorul modelului de inteligență artificială Claude, ca persoană împuternicită: pentru asistentul Gabiotel primește doar textul mesajelor din chat, fără numele tău și fără codul cardului; pentru conturile de firmă primește documentul încărcat, doar ca să transcrie datele de pe el, fără datele din cont (secțiunea 2.6). Potrivit condițiilor comerciale Anthropic, datele trimise prin interfața de programare (API) nu sunt folosite pentru antrenarea modelelor.
Furnizorul nostru de email (găzduirea căsuțelor de email ale domeniului gabioti.ro), prin care trimitem intern, către adresele @gabioti.ro, fișierele cu datele cardurilor pentru magazine și notificările despre firmele de verificat.
ANAF, pentru conturile de firmă: îi trimitem doar CUI-ul introdus, ca să primim datele publice ale firmei.
Personalul autorizat al Gabioti (administratori, magazine), doar cât este necesar pentru scopurile de mai sus.
Autoritățile publice, numai când legea ne obligă.

6. Transferuri în afara Spațiului Economic European

Unele servicii Google (de exemplu autentificarea, trimiterea SMS-urilor, reCAPTCHA Enterprise sau rapoartele de erori) și serviciul Anthropic pot prelucra date în afara SEE, inclusiv în Statele Unite. În aceste cazuri transferul se face pe baza garanțiilor prevăzute de GDPR: decizia de adecvare a Comisiei Europene pentru companiile certificate în cadrul EU-U.S. Data Privacy Framework și/sau clauzele contractuale standard aprobate de Comisia Europeană. Ne poți cere detalii despre aceste garanții la doctavian@gabioti.ro.

7. Cât timp păstrăm datele

Datele contului și ale cardului: cât timp ai cont.
Documentul încărcat pentru validarea firmei, analiza lui și rezultatul verificării: cât există contul, ca dovadă a validării; se șterg odată cu contul.
Amprenta dispozitivului (doar la conturile de firmă), cu CUI-ul firmei și un identificator intern al contului: cel mult 5 ani de la ultima folosire, inclusiv după ștergerea contului (atunci fără denumirea firmei), pentru prevenirea fraudei (secțiunea 2.7).
La ștergerea contului: ștergem imediat datele personale din contul de membru și contul de autentificare. Păstrăm codul cardului, marcat „retras”, și data ștergerii, ca să nu poată fi refolosit sau atribuit altcuiva, iar datele de mai jos rămân doar pe duratele arătate.
Fișierele interne trimise magazinelor (nume, data înscrierii, codul cardului): cât timp cardul este activ și apoi cel mult 3 ani, pentru evidența internă și apărarea drepturilor noastre, dacă legea nu cere o perioadă mai lungă.
Notificările interne despre firmele de verificat (emailurile către echipa Gabioti): cel mult 3 ani.
Jurnalele tehnice (trimiterea emailurilor, acțiunile de administrare): cel mult 3 ani.
Chatul: conținutul conversațiilor nu se salvează; contoarele de limitare se păstrează cel mult câteva zile, iar statisticile zilnice sunt agregate, fără date personale.
Raportările Gabiotel (întrebarea și răspunsul raportat): cel mult 180 de zile.
Rapoartele de erori: cel mult 90 de zile.
Acordul pentru noutăți: până îl retragi; dovada acordului, pe durata contului și încă 3 ani după aceea.
Dacă softul de la casă înregistrează codul cardului pe documentele de vânzare, acestea se păstrează pe durata prevăzută de legislația contabilă și fiscală.

8. Drepturile tale

Conform GDPR (art. 15–22), ai dreptul:

de acces la datele tale și de a primi o copie a lor;
la rectificarea datelor inexacte sau incomplete;
la ștergerea datelor („dreptul de a fi uitat”);
la restricționarea prelucrării;
la portabilitatea datelor;
de a te opune prelucrării bazate pe interesul legitim și, oricând, prelucrării în scop de marketing;
de a-ți retrage consimțământul oricând, fără a afecta legalitatea prelucrării de până atunci;
de a nu face obiectul unei decizii bazate exclusiv pe prelucrare automată.

Ca să îți exerciți drepturile, scrie-ne la doctavian@gabioti.ro sau sună la 0731 491 414. Răspundem gratuit, în cel mult o lună de la primirea cererii; pentru cereri complexe termenul se poate prelungi cu încă două luni, cu informarea ta. Putem să îți cerem informații suplimentare ca să confirmăm că cererea vine de la tine.

Contul îl poți șterge oricând și singur, din aplicație: Profil › Șterge contul. Toate detaliile, inclusiv ce se șterge și ce se păstrează, sunt pe pagina Ștergerea contului.

9. Plângere la ANSPDCP

Dacă alegi să depui o plângere, te poți adresa Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral Gheorghe Magheru nr. 28-30, Sector 1, cod poștal 010336, București, www.dataprotection.ro, email anspdcp@dataprotection.ro. Te poți adresa și instanței competente. Te rugăm însă să ne contactezi mai întâi: rezolvăm cât putem de repede.

10. Cum protejăm datele

toate conexiunile sunt criptate (HTTPS/TLS);
regulile bazei de date permit fiecărui membru să vadă doar propriul cont, iar datele membrilor se scriu doar prin funcțiile server;
la panoul de administrare au acces doar administratorii aprobați, cu parolă și sesiuni limitate în timp; panoul are și verificare în doi pași (cod TOTP);
folosim Firebase App Check și limite de utilizare împotriva abuzurilor;
colectăm doar datele necesare (minimizarea datelor).

11. Minori

Programul cardului de membru se adresează persoanelor de cel puțin 16 ani. Nu creăm cu bună știință conturi pentru persoane sub această vârstă. Dacă afli că un minor sub 16 ani și-a făcut cont, scrie-ne și îl ștergem.

12. Modificări ale politicii

Putem actualiza această politică atunci când se schimbă aplicația, site-ul sau legislația. Versiunea în vigoare este publicată pe această pagină și este disponibilă din aplicație. Despre schimbările importante te anunțăm în aplicație.

13. Contact

PRODUSE TRADIȚIONALE GABIOTI DIN PLEȘCOI SRL, Sat Pleșcoi nr. 177, Com. Berca, Jud. Buzău, cod poștal 127042 · telefon 0731 491 414 · email doctavian@gabioti.ro.