I. CINE SUNTEM
SC ROMARG SRL (denumită în continuare „ROMARG", „noi", „nostru") este o societate cu răspundere limitată, înregistrată în România, având sediul social în localitatea Sfântu Gheorghe, judetul Covasna, și sediul operațional în Str. Ionescu Crum nr. 1, Brașov Business Park, Etaj 6, Turn 2, Brașov.
Cod Unic de Înregistrare: RO 6529540
Număr Registrul Comerțului: J14/900/1994
Telefon: +40 368 733 800
E-mail (general): sales@romarg.com
Site web: www.romarg.ro
În contextul activităților sale, ROMARG prelucrează date cu caracter personal în două calități distincte:
- în calitate de OPERATOR – pentru datele persoanelor cu care interacționează direct (vizitatori ai site-ului, clienți persoane fizice, contacte B2B, candidați la angajare etc.). Prezenta politică acoperă această calitate.
- în calitate de PERSOANĂ ÎMPUTERNICITĂ DE OPERATOR – pentru datele găzduite de clienții noștri pe serverele ROMARG. Pentru această calitate, a se consulta documentul „Cadru GDPR pentru clienți – Hosting și prelucrare în calitate de persoană împuternicită".
II. RESPONSABILUL CU PROTECȚIA DATELOR (DPO)
Pentru orice întrebare sau solicitare privind prelucrarea datelor cu caracter personal, persoanele vizate ne pot contacta:
- E-mail: data-protection@romarg.com
- Adresă poștală: Str. Ionescu Crum nr. 1, Brașov Business Park, Etaj 6, Turn 2, Brașov, România
- Telefon: +40 368 733 800
III. CE DATE COLECTĂM, DE CE LE COLECTĂM ȘI ÎN CE TEMEI
În cele ce urmează prezentăm detaliat activitățile de prelucrare a datelor desfășurate de ROMARG ca operator, structurate pe categoriile de persoane vizate și pe scopurile concrete ale prelucrării.
A. Vizitatorii site-ului www.romarg.ro
Date prelucrate |
Adresa IP, identificatori de browser si dispozitiv, paginile vizitate, timpul petrecut pe pagini, sursa de provenienta (referrer), preferinte de navigare. |
Scopuri |
Furnizarea functionala a site-ului; analiza trafic si imbunatatire experienta utilizator; asigurarea securitatii site-ului si prevenirea atacurilor; masurare eficacitate campanii de marketing. |
Temei juridic |
Art. 6(1)(f) GDPR - interes legitim (analiza trafic si securitate de baza); |
Perioada de stocare |
Cookies de sesiune - la inchiderea browser-ului; |
B. Clienti individuali si Cont Client (yeti.romarg.com si my.romarg.com)
Date prelucrate |
Date de identificare (nume, prenume, CNP - pentru persoane fizice; denumire, CUI, RC - pentru persoane juridice); date de contact (e-mail, telefon, adresa); date de autentificare (utilizator, parola criptata); date despre serviciile contractate (produse, perioade, preferinte); date financiare si de facturare (IBAN, instrument plata, istoric tranzactii); corespondenta de suport (tickete, e-mailuri). |
Scopuri |
Crearea si administrarea Contului Client; furnizarea serviciilor contractate; emiterea facturilor si incasarea contravalorilor; suport tehnic si asistenta clienti; comunicari tranzactionale (notificari scadenta, modificari serviciu, alerte de securitate); indeplinirea obligatiilor legale (contabile, fiscale, AML); asigurarea securitatii contului si prevenirea fraudei. |
Temei juridic |
Art. 6(1)(b) GDPR - executarea contractului; Art. 6(1)(c) GDPR - obligatie legala (contabilitate, raportare fiscala); Art. 6(1)(f) GDPR - interes legitim (securitatea contului, prevenirea fraudei, recuperare creante). |
Perioada de stocare |
Date contractuale si financiare - 10 ani de la incheierea relatiei contractuale (Codul Fiscal, Legea Contabilitatii nr. 82/1991); date cont activ - pe durata contractului + 3 ani; date suport - 3 ani de la inchiderea ticketului; log-uri autentificare - 12 luni. |
Destinatari |
Procesatori de plati; furnizori sistem facturare; auditori financiari; autoritati publice (la cerere legala: ANAF, ANSPDCP, parchet, instante); subcontractanti IT cu DPA semnat. |
C. Candidati la angajare
Date prelucrate |
Date de identificare si contact (nume, prenume, e-mail, telefon, eventual adresa); CV (experienta profesionala, studii, competente, limbi straine, eventual fotografie, rezultate teste profesionale, scrisori de recomandare); date suplimentare comunicate voluntar de candidat in cadrul procesului de recrutare. |
Scopuri |
Evaluarea candidaturii pentru pozitia aplicata; comunicare cu candidatul in cadrul procesului de recrutare; constituirea unei rezerve de candidati pentru pozitii viitoare (numai cu acord expres). |
Temei juridic |
Art. 6(1)(b) GDPR - masuri precontractuale la cererea persoanei vizate; Art. 6(1)(a) GDPR - consimtamânt (pentru pastrarea CV-ului in baza de candidati pentru pozitii viitoare). |
Perioada de stocare |
CV candidat respins - 6 luni de la finalizarea procesului de recrutare (sau retras imediat la cererea candidatului); CV pastrat cu acord pentru pozitii viitoare - maximum 24 luni de la data acordarii consimtamântului, cu posibilitate de prelungire prin reinnoirea consimtamântului. |
Destinatari |
Departamentul HR si management ROMARG. |
IV. TRANSFERURI INTERNAȚIONALE
Datele cu caracter personal pe care le prelucrăm ca operator sunt stocate și prelucrate, în principiu, în România și/sau în Spațiul Economic European (SEE).
În măsura în care utilizăm subcontractanți care implică transferuri în afara SEE (ex: anumiți furnizori de servicii cloud, platforme de marketing, instrumente analitice), asigurăm că aceste transferuri au loc numai pe baza unor mecanisme legale prevăzute la art. 44-49 GDPR:
- decizii de adecvare ale Comisiei Europene (art. 45 GDPR);
- clauze contractuale standard adoptate de Comisia Europeană (art. 46(2)(c) GDPR);
- reguli corporative obligatorii (art. 47 GDPR);
- alte garanții adecvate prevăzute de GDPR.
V. SECURITATEA DATELOR
ROMARG implementează măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului, conform art. 32 GDPR. Sistemul nostru de management este construit pe un cadru integrat de standarde internaționale, fiind certificat conform următoarelor:
- ISO/IEC 27001:2022 – Sistem de Management al Securității Informației (SMSI)
- ISO 9001:2015 – Sistem de Management al Calității
- ISO 14001:2015 – Sistem de Management de Mediu
- ISO/IEC 20000-1:2018 – Sistem de Management al Serviciilor IT
- ISO 22301:2019 – Sistem de Management al Continuității Activității
Aceste certificări sunt menținute prin audituri externe periodice realizate de organisme de certificare acreditate și demonstrează angajamentul nostru continuu pentru protecția datelor, calitatea serviciilor, responsabilitate față de mediu și continuitatea activității chiar și în situații de criză.
În cadrul acestor sisteme certificate, măsurile concrete pe care le implementăm includ, fără a fi limitate la:
- criptarea în tranzit (HTTPS/TLS) a comunicațiilor cu site-ul și Contul Client;
- controlul accesului bazat pe roluri și autentificare cu factor secundar (2FA) pentru personalul cu acces la date;
- separarea mediilor de producție, test și dezvoltare;
- jurnalizare evenimente de securitate și revizuire periodică;
- proceduri documentate de management al incidentelor de securitate, conform GDPR și ISO/IEC 27035;
- instruire periodică obligatorie a personalului privind protecția datelor și securitatea informației;
- evaluarea și auditul periodic al furnizorilor și subcontractanților;
- planuri de continuitate a activității și de recuperare în caz de dezastru, testate periodic conform ISO 22301:2019;
- politici interne de securitate aliniate cu cerințele ISO/IEC 27001:2022, revizuite cel puțin anual.
VI. DREPTURILE DUMNEAVOASTRĂ
În conformitate cu prevederile GDPR, persoanele vizate beneficiază de următoarele drepturi cu privire la datele lor cu caracter personal:
Dreptul de acces (art. 15) – dreptul de a obține confirmarea că prelucrăm date care vă privesc și de a accesa aceste date.
Dreptul la rectificare (art. 16) – dreptul de a obține rectificarea datelor inexacte și completarea celor incomplete.
Dreptul la ștergere (art. 17 – „dreptul de a fi uitat") – dreptul de a obține ștergerea datelor în condițiile prevăzute de art. 17 GDPR. Acest drept nu este absolut și poate fi limitat de obligații legale (ex: păstrarea documentelor financiar-contabile timp de 10 ani).
Dreptul la restricționarea prelucrării (art. 18) – dreptul de a obține restricționarea prelucrării în situațiile prevăzute de art. 18 GDPR.
Dreptul la portabilitate (art. 20) – dreptul de a primi datele furnizate într-un format structurat, utilizat în mod curent și care poate fi citit automat, pentru prelucrările bazate pe consimțământ sau contract.
Dreptul la opoziție (art. 21) – dreptul de a vă opune prelucrărilor bazate pe interesul nostru legitim, inclusiv profilare; pentru marketing direct, vă puteți opune oricând, fără justificare.
Dreptul de a nu fi supus unei decizii automate individuale (art. 22) – inclusiv profilare, în condițiile prevăzute de GDPR.
Dreptul de a vă retrage consimțământul (art. 7(3)) – pentru prelucrările bazate pe consimțământ, oricând, fără afectarea legalității prelucrării anterioare retragerii.
Dreptul de a depune plângere la ANSPDCP (art. 77) – Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru nr. 28-30, Sector 1, 010336 București, România, anspdcp@dataprotection.ro, www.dataprotection.ro.
Dreptul la o cale de atac jurisdicțională (art. 79) – dreptul de a vă adresa instanțelor judecătorești competente.
CUM EXERCITAȚI ACESTE DREPTURI: Ne puteți contacta prin oricare dintre canalele de la secțiunea II (Responsabilul cu Protecția Datelor). Vom răspunde solicitărilor dumneavoastră fără întârzieri nejustificate, în maximum o lună de la primire (cu posibilitatea prelungirii cu maximum două luni în cazul solicitărilor complexe, cu informarea dumneavoastră în acest sens). Exercitarea acestor drepturi este, în principiu, gratuită; pentru cereri vădit nefondate sau excesive, putem percepe o taxă rezonabilă sau refuza onorarea cererii.
VII. INCIDENTE DE SECURITATE
În cazul unui incident de securitate care ar putea genera un risc pentru drepturile și libertățile persoanelor vizate, ROMARG va notifica Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) în termen de maximum 72 de ore de la luarea la cunoștință de incident, conform art. 33 GDPR. În cazul unui incident cu risc ridicat pentru drepturile și libertățile persoanelor vizate, vom informa și persoanele vizate afectate, conform art. 34 GDPR.
VIII. MODIFICĂRI ALE PREZENTEI POLITICI
Prezenta Politică de Confidențialitate poate fi actualizată periodic, pentru a reflecta modificări legale, tehnice sau operaționale. Versiunea în vigoare este publicată pe site-ul nostru, cu indicarea datei ultimei revizuiri. Modificările substanțiale vor fi comunicate proactiv către utilizatorii cu cont activ și clienți, prin e-mail sau notificare în Contul Client.
IX. DOCUMENTE CONEXE
Pentru detalii suplimentare privind anumite aspecte specifice, vă rugăm să consultați:
- Termeni și Condiții de utilizare – https://www.romarg.ro/contract.pdf