Politica de Confidențialitate

Operatorul de date cu caracter personal pentru demoanaf.ro, în sensul Regulamentului UE 2016/679 (GDPR), este:

• Gamerina SRL
• CUI: RO43020532
• Nr. Reg. Com.: J12/2763/2020
• Sediu social: Str. Cometei nr. 2-4, Cluj-Napoca, jud. Cluj, cod poștal 400493, România
• Web: gamerina.eu
• E-mail pentru solicitări GDPR: —

Platforma demoanaf.ro a fost creată de Daniel Tamas; operațiunile zilnice — găzduire, infrastructură, suport, abonamente, facturare și răspuns la cererile GDPR — sunt asigurate de Gamerina SRL în calitate de operator.

2.1. Datele vizitatorilor site-ului

Când vizitezi demoanaf.ro, colectăm automat:

• Date tehnice: adresa IP, tipul de browser, sistemul de operare
• Date de utilizare: paginile accesate, durata vizitei

Aceste date sunt folosite exclusiv pentru funcționarea și îmbunătățirea site-ului.

Temeiul legal: interesul legitim de a menține și îmbunătăți serviciul (Art. 6 alin. 1 lit. f din Regulamentul UE 2016/679 — GDPR).

2.1.1. Analitică web first-party

demoanaf.ro colectează statistici de utilizare exclusiv prin infrastructura proprie, fără cookie-uri și fără scripturi terțe.

Nivelul A — fără consimțământ (interes legitim). La fiecare vizită trimitem serverului nostru: calea paginii vizitate, dimensiunile ferestrei browserului, referrer-ul (de unde ai venit) și adresa IP. Adresa IP este convertită imediat în țară/oraș, după care valoarea brută este eliminată și nu mai este stocată. Nu se scrie nimic pe dispozitivul tău (nici cookie, nici localStorage). Nu sunt implicați terți.

Nivelul B — cu consimțământ (categoria „Analitică" din bannerul de cookie-uri). Suplimentar, stocăm în localStorage un identificator anonim de dispozitiv (da_cid), generat aleatoriu, fără date personale, pentru a putea recunoaște vizitatorii care revin și a înțelege retenția. Dacă ești autentificat, nu transmitem tokenul de acces din sesiune — acesta rămâne exclusiv în memorie și nu este accesibil din afara aplicației React.

Temeiul legal pentru nivelul A: interesul legitim (Art. 6 alin. 1 lit. f GDPR) de a înțelege cum este utilizat serviciul public și de a-l îmbunătăți, fără a folosi date personale sau terți de urmărire. Temeiul legal pentru nivelul B: consimțământul tău (Art. 6 alin. 1 lit. a GDPR), retractabil oricând din bannerul de cookie-uri.

Ambele niveluri respectă drepturile prevăzute la §5. Nicio dată de analiză nu este partajată cu terți.

2.1.2. Înregistrarea sesiunii (session replay)

Cu acordul tău explicit pentru categoria „Analitică" din bannerul de cookie-uri, putem înregistra interacțiunile tale pe pagină — click-uri, derulare, navigare între pagini și erori tehnice apărute în browser — pentru a identifica și corecta probleme de utilizare a site-ului (butoane care nu răspund, formulare care generează erori, elemente greu de folosit).

Ce nu înregistrăm niciodată: textul pe care îl scrii în câmpurile de tip parolă, PIN sau CNP este întotdeauna mascat înainte de a părăsi browser-ul tău; cheile de API și alte secrete afișate în cont sunt excluse complet din înregistrare (nu doar mascate). Paginile de autentificare și de cont (/autentificare, /cont) nu sunt înregistrate în această primă etapă a funcționalității.

Înregistrările brute sunt păstrate maximum 14 zile, apoi șterse automat. Dacă o sesiune indică o problemă reală de utilizare, generăm un rezumat structurat (fără text introdus de tine) păstrat maximum 90 de zile, folosit exclusiv intern pentru a prioritiza îmbunătățiri ale site-ului.

Pentru vizitatorii neautentificați, aceste înregistrări sunt pseudonime: le corelăm printr-un identificator de dispozitiv (da_cid, șters la retragerea acordului) și un identificator de vizitator care se rotește zilnic — nu putem garanta întotdeauna o căutare per-persoană ulterioară. Dacă ești autentificat în momentul înregistrării, sesiunea este asociată și contului tău; o cerere de acces sau ștergere trimisă conform §5 include, în acest caz, și înregistrările de sesiune asociate contului, în limita ferestrei de retenție de mai sus. În ambele cazuri, retragerea acordului oprește imediat înregistrarea și șterge identificatorul de dispozitiv.

Temeiul legal: consimțământul tău (Art. 6 alin. 1 lit. a GDPR), retractabil oricând din bannerul de cookie-uri — retragerea oprește imediat înregistrarea sesiunii curente.

2.2. Datele publice despre societăți comerciale și persoanele asociate

demoanaf.ro sincronizează periodic, normalizează, indexează, corelează și afișează informații din registre publice și baze de date publice ale statului, inclusiv:

• Denumirea, CUI-ul, numărul de înregistrare, sediul social și starea firmelor
• Numele asociaților și administratorilor societăților comerciale
• Codul CAEN și obiectul de activitate
• Asocieri publice între persoane și societăți comerciale, așa cum rezultă din ONRC și Monitorul Oficial
• Evenimente publice din viața firmelor: înființări, radieri, schimbări de stare, administratori, coduri CAEN sau decizii publicate

Aceste date provin exclusiv din surse publice oficiale sau registre publice (ANAF, ONRC, Monitorul Oficial, data.gov.ro, SEAP/SICAP/e-licitatie.ro). Nu colectăm date personale din surse private și nu adăugăm informații private despre persoane. Putem însă crea indexuri de căutare, agregări statistice și legături tehnice între înregistrări publice care apar în surse diferite.

Temeiul legal pentru prelucrarea acestor date:

• Interesul legitim (Art. 6 alin. 1 lit. f GDPR) — facilitarea accesului la informații publice, verificarea partenerilor comerciali, transparența mediului de afaceri și reutilizarea datelor publice în servicii de căutare, API și MCP
• Caracterul public al surselor oficiale, conform Legii nr. 265/2022, Legii nr. 31/1990, Legii nr. 544/2001 și legislației privind reutilizarea informațiilor din sectorul public, este luat în calcul în analiza interesului legitim
• Recitalul 14 GDPR precizează că regulamentul nu se aplică prelucrării datelor referitoare la persoane juridice

Deoarece aceste date nu sunt obținute direct de la persoanele vizate, această secțiune funcționează și ca informare conform Art. 14 GDPR. Informarea individuală a fiecărei persoane menționate în registre publice ar presupune un efort disproporționat raportat la volumul datelor și la caracterul deja public al surselor.

Profilurile de persoane (paginile /persoane). Pentru a facilita verificarea partenerilor comerciali, demoanaf.ro corelează mențiunile publice ale aceleiași persoane din ONRC și Monitorul Oficial într-un profil unic. Profilul afișează exclusiv informații supuse publicității legale: numele, calitățile deținute în firme (administrator, asociat, reprezentant), firmele asociate și perioadele acestor calități. Nu afișăm niciodată: CNP-ul în clar, data nașterii, adresa de domiciliu sau date de contact personale. Corelarea se face exclusiv pe baza identificatorilor prezenți în sursele publice, iar gradul de încredere al corelării este marcat vizibil pe fiecare profil. Profilurile restricționate conform Art. 21 GDPR (vezi §5) nu apar în căutare și nu sunt indexabile de motoarele de căutare.

Măsură suplimentară de protecție pentru PFA, ÎI și ÎF. Deși sursele oficiale pun la dispoziție date de contact (telefon/fax) pentru orice entitate înregistrată fiscal, demoanaf.ro nu afișează telefonul și faxul entităților de tip persoană fizică autorizată, întreprindere individuală, întreprindere familială sau cabinet/birou individual, întrucât pentru aceste forme de organizare datele de contact ale entității sunt, de regulă, date de contact personale ale titularului. Această mascarea se aplică automat, atât pe site cât și în API.

2.3. Datele colectate prin conectorul MCP

Când un client AI (Claude Desktop, Cursor, ChatGPT și alți clienți compatibili) se conectează la demoanaf.ro/mcp, prelucrăm:

• Date de înregistrare a clientului OAuth: identificator unic generat automat (client_id), timestamp-uri de înregistrare, scope-urile solicitate, durata de viață a token-urilor. Nu colectăm informații personale despre operatorul clientului — doar metadate tehnice.
• Token-uri de acces și refresh: stocate hash-uite (nu în clar). Token-ul de acces expiră la maximum 1 oră, token-ul de refresh la 30 de zile.
• Jurnal al cererilor MCP: timestamp, instrument apelat, adresă IP, user-agent, cod de răspuns. Nu logăm valorile parametrilor (CUI-urile interogate, codurile CPV etc.) decât în cazuri excepționale de eroare, pentru depanare.

Temeiul legal: interesul legitim de a opera și securiza serviciul (Art. 6 alin. 1 lit. f GDPR). Token-urile și înregistrările OAuth sunt strict necesare pentru funcționarea conectorului.

Aceste date sunt strict tehnice și nu pot fi corelate cu identitatea personală a utilizatorului final al asistentului AI, decât prin combinarea cu informații suplimentare deținute de furnizorul AI (Anthropic, OpenAI etc.) — date asupra cărora demoanaf.ro nu are acces.

2.4. Date despre achiziții publice (SEAP) și entități juridice

demoanaf.ro afișează și agregă date despre contracte, anunțuri de achiziții publice și documente constatatoare din SEAP/SICAP/e-licitatie.ro și din portalul data.gov.ro, inclusiv date publicate sub licența CC-BY-4.0. Aceste date privesc în principal persoane juridice (firme, autorități contractante).

Conform Recitalului 14 GDPR, Regulamentul nu se aplică prelucrării datelor referitoare la persoane juridice.

Excepție pentru sole-traders (PFA, II, ÎI): când o persoană fizică autorizată sau o întreprindere individuală apare în datele SEAP cu CUI și nume personal, datele pot intra sub GDPR. În aceste cazuri:

• Temeiul legal este interesul legitim (Art. 6 alin. 1 lit. f GDPR), ținând cont că datele sunt publicate în registre oficiale ale achizițiilor publice
• Drepturile prevăzute la §5 se aplică integral
• Datele de identificare provin EXCLUSIV din SEAP / ADR; nu îmbogățim cu surse private
• La cererea ta motivată, putem restricționa afișarea datelor tale pe demoanaf.ro, în conformitate cu dreptul la opoziție (Art. 21 GDPR)

2.5. Datele contului de utilizator (dashboard)

Îți poți crea, opțional, un cont pe demoanaf.ro (din pagina /autentificare, cu acces la dashboard-ul /cont). Crearea contului nu este necesară pentru a consulta datele publice. Pentru un cont prelucrăm:

• Adresa de e-mail — folosită pentru autentificare (cod unic de 6 cifre trimis pe e-mail), recuperarea accesului și comunicări legate de cont
• Numele (opțional), dacă alegi să îl completezi
• PIN-ul de acces — un cod de 6 cifre pentru reautentificare rapidă, stocat exclusiv sub formă de hash criptografic (argon2id), niciodată în clar. Resetarea PIN-ului se face printr-un cod trimis pe e-mail.
• Sesiunile — un token de acces de scurtă durată (1 oră, ținut în memoria browser-ului, nu într-un cookie) și o sesiune de reînnoire (cookie demoanaf_refresh, valabil 90 de zile, reînnoită la fiecare utilizare — vezi §6)
• Revendicările de companie pe care le faci pentru insigna „Companie verificată" (vezi §2.6)

Autentificarea este protejată împotriva abuzului: blocare temporară după 5 încercări greșite de PIN în 15 minute pentru același cont și maximum 20 de încercări pe oră de la aceeași adresă IP.

Temeiul legal: executarea relației contractuale de furnizare a contului, la cererea ta (Art. 6 alin. 1 lit. b GDPR), și interesul legitim de a securiza autentificarea și a preveni abuzul (Art. 6 alin. 1 lit. f GDPR).

Păstrare: datele contului sunt păstrate cât timp contul este activ. Îți poți șterge contul oricând, scriind la adresa de la §8; la ștergere eliminăm e-mailul, numele, hash-ul PIN-ului, sesiunile și revendicările asociate (vezi §4). Drepturile de la §5 (acces, rectificare, ștergere, opoziție, portabilitate) se aplică integral datelor contului.

2.6. Insigna „Companie verificată" (Verified Company Badge)

Dacă ai un cont, poți revendica o companie după CUI și dovedi că deții controlul unui domeniu web asociat. Verificarea controlului domeniului se face printr-una dintre metodele: o înregistrare DNS TXT, un fișier în directorul .well-known sau o etichetă meta în pagina HTML. În acest proces prelucrăm:

• CUI-ul revendicat și domeniul pe care îl asociezi contului tău, plus un token de verificare (stocat sub formă de hash, nu în clar)
• Starea și istoricul verificării: dacă verificarea a reușit, când expiră și rezultatul reverificărilor
• Evenimente de afișare a insignei: pentru insigna publică servită de pe domeniul tău verificat stocăm adresa IP și user-agent-ul doar sub formă de hash (nu valoarea brută), pentru statistici tehnice și prevenirea abuzului

O verificare reușită este valabilă 90 de zile și se reînnoiește automat cât timp dovada de control a domeniului (înregistrarea DNS / fișierul .well-known / eticheta meta) rămâne în vigoare; dacă dovada este eliminată, verificarea expiră. Reverificările manuale sunt limitate la 10 pe oră pentru fiecare revendicare. Insigna publică afișează exclusiv date publice din registru (denumire, CUI, nr. ONRC, codul CAEN principal, adresa sediului social, data verificării) și un link către pagina publică a companiei. Insigna atestă controlul asupra domeniului, nu o aprobare sau certificare din partea ANAF, ONRC sau a vreunei alte instituții.

Controlezi în întregime aceste revendicări: le poți vizualiza, reverifica sau revoca oricând din dashboard-ul /cont. La revocare, insigna încetează să mai fie servită.

Temeiul legal: executarea relației contractuale (Art. 6 alin. 1 lit. b GDPR), la cererea ta de a activa insigna, și interesul legitim de a securiza procesul și a preveni utilizarea abuzivă (Art. 6 alin. 1 lit. f GDPR).

Module opționale ale insignei. Pentru fiecare domeniu verificat poți activa două module gratuite, dezactivate implicit:

• Informații ANPC (SAL): insigna afișează linkul/pictograma oficială ANPC pentru soluționarea alternativă a litigiilor. Modulul afișează doar conținut oficial și nu colectează date suplimentare despre vizitatorii tăi.
• Consimțământ cookie (CMP): la activare, găzduim pe site-ul tău un banner de consimțământ și un registru de consimțăminte. Pentru datele vizitatorilor tăi colectate prin acest banner, tu ești operatorul de date (controller), iar Gamerina SRL acționează ca persoană împuternicită în numele tău (Art. 28 GDPR). Registrul stochează, ca dovadă a consimțământului (Art. 7 GDPR): un identificator anonim de consimțământ generat în browserul vizitatorului, domeniul, alegerile pe categorii, versiunea politicii și a configurației și hash-uri sărate ale IP/user-agent (niciodată valori brute) — plus, la cererea ta, numele cookie-urilor detectate pe site (fără valorile lor). Nu stocăm alte date personale ale vizitatorilor. Poți exporta (CSV) sau șterge aceste înregistrări din dashboard; implicit le păstrăm 3 ani ca dovadă. Configurarea corectă a banner-ului și existența unei politici de confidențialitate proprii rămân în responsabilitatea ta.

Temeiul legal pentru modulele opționale: relația contractuală de furnizare a instrumentelor (Art. 6 alin. 1 lit. b GDPR) și, în cazul CMP, prelucrarea ca persoană împuternicită pe seama ta (Art. 28 GDPR); temeiul pentru datele vizitatorilor tăi îl stabilești tu, în calitate de operator.

2.7. Ascunderea numelui la cerere (autoservire)

Dacă ai un cont, poți cere — direct din dashboard-ul /cont — ascunderea propriului nume din directorul public de persoane (vezi §5 pentru efect). Întrucât această cerere privește o anumită persoană fizică, trebuie să dovedești că tu ești administratorul/asociatul respectiv. Pentru aceasta:

• selectezi firma (după CUI) și persoana din lista de administratori publicați;
• încarci două documente justificative: certificatul firmei și actul tău de identitate.

Cum tratăm documentele încărcate (foarte important):

• sunt analizate local, pe infrastructura noastră — nu sunt trimise niciunui furnizor extern de inteligență artificială;
• sunt procesate tranzitoriu și șterse imediat după extragerea datelor necesare verificării — nu stocăm imaginile, nici în baza de date, nici pe disc;
• CNP-ul nu este extras și nu este stocat niciodată; din documente reținem doar numele și CUI-ul folosite pentru potrivire;
• păstrăm exclusiv rezultatul verificării (numele și CUI-ul extrase pentru potrivire, gradul de încredere) și o înregistrare de audit a cererii (cine, când, decizia) — necesară pentru a dovedi modul în care am soluționat cererea GDPR.

Aplicarea ascunderii necesită o confirmare pe e-mail (dublu opt-in): trimitem un link la adresa contului, iar masca se aplică doar după ce îl confirmi. Cererile care nu trec verificarea automată sunt evaluate manual de operator.

Temeiul legal: soluționarea propriei tale cereri de exercitare a drepturilor GDPR — dreptul la opoziție / restricționare (Art. 21, Art. 18 GDPR) — și consimțământul tău (Art. 6 alin. 1 lit. a GDPR) pentru prelucrarea tranzitorie a documentelor pe care le încarci voluntar în scopul verificării identității. Îți poți retrage oricând cererea scriind la adresa de la §8. Alternativ, poți exercita aceleași drepturi și prin e-mail, fără cont — vezi §5.

2.8. Datele prelucrate prin WhatsApp

Dacă ai abonament Pro, îți poți conecta numărul de WhatsApp la contul demoanaf.ro (din /cont → secțiunea WhatsApp) pentru a interoga date despre firme și a analiza documente direct în conversație. Conectarea presupune confirmarea unui cod primit pe WhatsApp și acordul tău explicit pentru prelucrarea descrisă aici. Pentru acest serviciu prelucrăm:

• Numărul tău de WhatsApp — stocat exclusiv sub formă de hash (HMAC-SHA256), niciodată în clar;
• Conținutul mesajelor pe care le trimiți botului și al răspunsurilor primite;
• Documentele pe care alegi să le trimiți (facturi, bonuri, imagini) pentru analiză.

Important — spre deosebire de documentele de la §2.7 (analizate local, fără furnizori externi de AI), mesajele și documentele trimise pe WhatsApp sunt transmise unor furnizori externi, necesari funcționării serviciului:

• Twilio — livrează mesajele și codurile de conectare între tine și noi;
• Anthropic (Claude) — analizează textul și documentele pentru a genera răspunsul.

Ambii furnizori sunt localizați în afara UE (SUA); transferul are loc pe baza clauzelor contractuale standard. Vezi §3 pentru detalii despre destinatari.

Documentele încărcate nu sunt stocate de noi: sunt procesate tranzitoriu, iar fișierul original este șters de la furnizorul de livrare după analiză. Nu păstrăm datele extrase din documente (furnizor, CUI, sume, parteneri) în istoricul conversației — reținem doar o mențiune neutră că un document a fost analizat.

Nu trimite documente care conțin categorii speciale de date (de exemplu date privind sănătatea) și asigură-te că ai dreptul de a partaja datele personale ale terților care apar în documente (de exemplu partenerul de pe o factură). Ești responsabil pentru conținutul pe care îl încarci.

Temeiul legal: executarea contractului de furnizare a serviciului Pro (Art. 6 alin. 1 lit. b GDPR) și consimțământul tău explicit pentru canalul WhatsApp și prelucrarea documentelor (Art. 6 alin. 1 lit. a GDPR), pe care îl poți retrage oricând deconectând numărul.

Ștergere: te poți deconecta oricând din /cont → WhatsApp → „Deconectează", sau trimițând /unlink pe WhatsApp. La deconectare ștergem tot istoricul WhatsApp asociat numărului tău (mesaje, sesiuni, abonări la alerte, inclusiv numărul stocat pentru alerte). Mesajele stocate se șterg oricum automat după 30 de zile (vezi §4).

Nu vindem baze de date private, date confidențiale sau date personale obținute din surse nepublice.

Oferim însă acces gratuit și plătit la date publice indexate, agregate și structurate prin site, API, widget și conectorul MCP. În măsura în care aceste rezultate includ date cu caracter personal provenite din registre publice (de exemplu nume de administratori, asociați, reprezentanți sau PFA), utilizatorul care le folosește în propriile scopuri devine responsabil pentru respectarea GDPR în activitatea sa proprie.

Datele tehnice ale vizitatorilor, jurnalele MCP și datele de facturare pot fi prelucrate de furnizori de servicii care ne ajută cu găzduirea, infrastructura, procesarea plăților, emiterea facturilor și transmiterea e-mailurilor. Acești furnizori prelucrează datele în baza unor acorduri conforme cu GDPR sau în calitate de operatori independenți pentru serviciile lor proprii, după caz.

Pentru abonamentul Pro — indiferent dacă îl achiziționezi din asistentul AI (prin conectorul MCP) sau direct din dashboard-ul web /cont — colaborăm cu următorii destinatari/împuterniciți:

• Stripe (Stripe Payments Europe / Stripe, Inc.) — procesarea plății cu cardul. Datele cardului sunt introduse pe paginile găzduite de Stripe; demoanaf.ro nu le stochează. Stripe primește e-mailul de facturare și datele necesare procesării plății.
• SmartBill (Intelligent IT SRL) — emiterea facturii fiscale pe baza datelor firmei de facturare; factura este apoi transmisă în sistemul național e-Factura.

Pentru serviciul WhatsApp (funcție Pro) colaborăm suplimentar cu următorii împuterniciți, ambii cu transfer în afara UE (SUA) pe baza clauzelor contractuale standard:

• Twilio (Twilio Ireland Ltd. / Twilio Inc.) — livrarea mesajelor WhatsApp și a codurilor de conectare (OTP). Twilio primește numărul de telefon și conținutul mesajelor și documentelor, strict pentru livrare.
• Anthropic (Anthropic PBC) — analiza mesajelor și a documentelor trimise pe WhatsApp pentru a genera răspunsuri. Anthropic primește textul mesajului și, după caz, documentul încărcat; nu antrenează modele pe aceste date.

Datele de achiziții publice servite prin conectorul MCP provin din surse publice oficiale și sunt procesate de demoanaf.ro pentru a returna răspunsuri structurate. Nu vindem și nu transferăm aceste date către terți în scopuri comerciale.

• Datele tehnice ale vizitatorilor: maximum 26 de luni
• Înregistrările de sesiune (§2.1.2, doar cu acordul tău): maximum 14 zile pentru înregistrarea brută, apoi ștergere automată; rezumatele structurate ale problemelor identificate, maximum 90 de zile
• Datele publice din registrul comerțului și Monitorul Oficial: sunt sincronizate periodic din sursele oficiale și reflectă starea acestor surse la momentul ultimei sincronizări. Înregistrările care se modifică la sursă sunt actualizate la următoarea sincronizare. Unele evenimente istorice publice pot fi păstrate pentru afișarea istoricului unei firme, în măsura permisă de lege.
• Datele de achiziții publice (SEAP): păstrate cât timp rămân publicate la sursa oficială (data.gov.ro / ADR), în conformitate cu licența CC-BY-4.0. Resincronizate periodic.
• Token-urile MCP active: până la expirarea automată (acces: 1 oră, refresh: 30 zile)
• Token-urile MCP revocate sau expirate: șterse după 90 de zile
• Jurnalul cererilor MCP: maximum 26 de luni
• Date de înregistrare a clienților MCP: șterse după 12 luni de inactivitate sau la cererea operatorului clientului
• Datele contului de utilizator (e-mail, nume, hash PIN, sesiuni): păstrate cât timp contul este activ; șterse la cererea ta de ștergere a contului
• Revendicările de companie și verificările insignei: păstrate cât timp revendicarea există; o verificare reușită expiră automat după 90 de zile dacă nu este reverificată; la revocare sau la ștergerea contului, revendicarea este eliminată
• Evenimentele de afișare a insignei (IP/user-agent stocate doar ca hash): maximum 26 de luni
• Cererile de ascundere a numelui (§2.7): documentele încărcate nu sunt stocate (procesate tranzitoriu și șterse imediat); păstrăm doar înregistrarea de audit a cererii (numele și CUI-ul extrase pentru potrivire, decizia, data), cât timp este necesar pentru a dovedi soluționarea cererii
• Mesajele WhatsApp (text și rezultatul analizei documentelor, sub formă de mențiune neutră): maximum 30 de zile, apoi șterse automat
• Documentele trimise pe WhatsApp (facturi, bonuri, imagini): nu sunt stocate de noi; fișierul original este șters de la furnizorul de livrare (Twilio) după analiză
• Numărul de WhatsApp și datele de sesiune: stocate doar ca hash cât timp numărul este conectat; la deconectare (din /cont sau prin /unlink) se șterge tot istoricul WhatsApp asociat numărului
• Dovada consimțământului (cont și WhatsApp): păstrată ca înregistrare de audit pentru a demonstra acordul, conform obligației de responsabilitate (Art. 7 GDPR)

Conform GDPR (Regulamentul UE 2016/679), ai următoarele drepturi:

• Dreptul de acces — poți afla ce date avem despre tine
• Dreptul la rectificare — poți cere corectarea datelor incorecte
• Dreptul la ștergere — poți cere ștergerea datelor, în condițiile prevăzute de lege
• Dreptul la restricționarea prelucrării — poți cere limitarea modului în care folosim datele
• Dreptul la opoziție — te poți opune prelucrării datelor (Art. 21 GDPR)
• Dreptul la portabilitate — poți cere o copie a datelor într-un format structurat
• Dreptul de a depune plângere — te poți adresa autorității de supraveghere (vezi secțiunea 8)

Cum îți exerciți drepturile

Trimite un e-mail la — cu numele tău complet, o descriere a cererii și o modalitate prin care putem verifica identitatea ta. Răspundem în maximum 30 de zile.

Autoservire pentru ascunderea numelui. Dacă figurezi ca administrator/asociat și vrei să-ți ascunzi numele din directorul public, poți face cererea direct din dashboard-ul /cont, dovedind că ești persoana respectivă (certificatul firmei + actul de identitate), cu confirmare pe e-mail. Modul în care tratăm documentele (analiză locală, fără stocare, fără CNP) este descris la §2.7. Această cale este opțională — poți folosi oricând e-mailul de mai sus.

Ce înseamnă, concret, restricționarea pe demoanaf.ro

Dacă cererea ta de opoziție (Art. 21 GDPR) este admisă, aplicăm următoarele măsuri, de regulă în cel mult 30 de zile de la confirmarea identității:

• profilul tău de persoană (/persoane) este înlocuit cu o pagină neutră, care nu îți afișează numele și nu listează firme;
• ești exclus(ă) din rezultatele căutării de persoane, pe site, în API și în conectorul MCP;
• pagina de profil primește instrucțiunea noindex pentru motoarele de căutare, iar versiunea memorată în cache este invalidată imediat, astfel încât eliminarea din rezultatele Google/Bing să fie preluată la următoarea reindexare (momentul reindexării ține de motorul de căutare, nu de noi);
• restricționarea rămâne în vigoare până când o revoci sau până când dispare temeiul ei.

Restricționarea nu poate elimina numele tău de pe paginile firmelor în care figurezi ca administrator, asociat sau reprezentant: publicitatea acestor calități este o obligație legală (Legea nr. 265/2022, Legea nr. 31/1990), iar păstrarea afișării lor se încadrează în excepțiile prevăzute de Art. 17 alin. (3) lit. b și d GDPR (respectarea unei obligații legale, respectiv scopuri de arhivare în interes public). Pentru încetarea publicității acestor calități, singura cale efectivă este modificarea înregistrării la sursă, la ONRC.

Chiar dacă numele nu poate fi eliminat, aplicăm o măsură tehnică suplimentară pentru administratorii și asociații cu o cerere de ascundere admisă conform §2.7: numele nu mai este livrat în clar nici în codul sursă al paginii firmei (randat server-side), nici în răspunsul inițial al API-ului — nici pe cardul de administratori și reprezentanți legali, nici în evenimentele din istoricul firmei (numiri, schimbări de asociați, decizii) care te menționează. Numele apare estompat implicit; este dezvăluit doar la o acțiune explicită a vizitatorului (click), printr-o cerere separată către server, fără stocare în cache. Practic, numele tău nu mai este preluat automat de motoarele de căutare, de crawlerele agenților AI sau prin extragere în masă a paginii — rămâne accesibil doar unui vizitator uman care alege activ să îl vadă. Această măsură reduce expunerea pasivă a numelui, fără a contraveni obligației legale de publicitate menționate mai sus.

demoanaf.ro folosește cookie-uri strict necesare pentru funcționarea site-ului, care nu necesită consimțământ. Nu folosim cookie-uri de analiză sau de urmărire de la terți. Elementele neesențiale — un identificator anonim de dispozitiv pentru analitică first-party și un identificator anonim pentru anunțurile de partener — sunt folosite numai cu acordul tău, exprimat din bannerul de cookie-uri afișat la prima vizită. Îți poți retrage acordul oricând alegând „Doar necesare".

Cookie-urile utilizate în prezent:

• Preferința de temă vizuală — stocată în localStorage (nu este un cookie HTTP). Scopul: afișarea temei alese (light/dark/pink) la revenirea pe site.
• Preferințe de autentificare — demoanaf_last_email (ultimul e-mail folosit) și demoanaf_has_pin (dacă acel cont are PIN setat), stocate în localStorage (nu cookie-uri HTTP), doar dacă te autentifici. Scopul: să-ți afișăm direct ecranul de PIN la revenire. Le poți șterge golind datele site-ului din browser.
• promo_popup_seen — cookie HTTP, durată 1 zi. Scopul: suprimarea notificării de ofertă promoțională după ce a fost deja afișată, pentru a evita afișarea repetată la fiecare vizită. Nu conține date personale. Nu este transmis niciunui terț.
• cc_cookie — reține opțiunea ta privind cookie-urile (acceptare/respingere) din bannerul de consimțământ, ca să nu reapară la fiecare vizită. Strict necesar, fără date personale.
• demoanaf_refresh (cookie de autentificare — strict necesar) — cookie HTTP HttpOnly, SameSite=Strict, Secure în producție, cu calea limitată la /api/auth și durată de 90 de zile (reînnoită la fiecare utilizare). Setat numai dacă îți creezi un cont și te autentifici. Scop: menținerea sesiunii și reînnoirea token-ului de acces de scurtă durată, fără a-ți cere reautentificarea la fiecare cerere. Fiind indispensabil funcționării contului, nu necesită consimțământ și nu poate fi dezactivat din bannerul de cookie-uri; dacă nu te autentifici, nu este setat. Nu este transmis niciunui terț.
• demoanaf_admin și demoanaf_admin_oauth (cookie-uri interne ale operatorului) — folosite exclusiv de personalul Gamerina SRL pentru panoul de administrare al platformei (sesiune de administrare cu durată de 12 ore, respectiv un cookie de stare pentru autentificarea Google de scurtă durată, ~10 minute). Strict necesare, HttpOnly/Secure/SameSite=Strict. Nu sunt setate utilizatorilor publici și nu au legătură cu conturile vizitatorilor.
• da_cid (analitică first-party — opțional, nivelul B) — identificator anonim de dispozitiv stocat în localStorage (nu este un cookie HTTP), creat numai după acceptarea categoriei „Analitică" din bannerul de consimțământ. Scop: recunoașterea vizitatorilor care revin, pentru statistici de retenție exclusiv first-party. UUID generat aleatoriu, fără date personale și fără legătură cu identitatea utilizatorului. Dacă alegi „Doar necesare", identificatorul nu este creat (sau este șters). Nu este partajat cu nicio terță parte.
• da_vt (cookie de partener — opțional) — token anonim stocat în localStorage (nu este un cookie HTTP), creat numai după acceptarea cookie-urilor de partener din bannerul de consimțământ. Scop: limitarea numărului de afișări ale aceluiași anunț de partener către același browser și deduplicarea impresiilor. Token opac, generat aleatoriu, fără date personale și fără legătură cu identitatea utilizatorului. Dacă alegi „Doar necesare", token-ul nu este creat (sau este șters). Nu este transmis niciunui terț în afara semnalizării interne de impresie (endpoint /api/promos/v al demoanaf.ro).
• dsl (cookie de atribuire — opțional, categoria „Marketing") — cookie HTTP cu durată de 90 de zile, scris numai după acceptarea cookie-urilor de marketing din bannerul de consimțământ și numai dacă ajungi pe site printr-un link de invitație al echipei noastre de vânzări (parametru ?sl=). Conține un identificator opac al invitației, fără date personale. Scop: dacă ulterior te abonezi la Pro, să putem atribui conversia campaniei care te-a adus, exclusiv intern. Dacă alegi „Doar necesare", cookie-ul nu este scris. Dacă finalizezi un abonament Pro, identificatorul opac al invitației este atașat ca metadate tehnice ale abonamentului la procesatorul de plăți Stripe (vezi §3); nu este transmis altor terți. Independent de acest cookie, identificatorul invitației (?sl=) este reținut doar pe durata sesiunii curente de navigare (în sessionStorage, nu un cookie — se șterge la închiderea filei și nu urmărește vizite ulterioare) și este asociat contului doar dacă îți creezi un cont sau te abonezi în aceeași vizită, în temeiul interesului nostru legitim de a măsura eficiența invitațiilor trimise (art. 6 alin. 1 lit. f GDPR).

Conectorul MCP nu folosește cookie-uri în sensul tradițional. Autentificarea se face prin token-uri OAuth transmise în antetul HTTP Authorization, gestionate de clientul AI (Claude Desktop, Cursor etc.) și nu de un browser web.

Plățile pentru abonamentul Pro — fie din asistentul AI (conectorul MCP), fie direct din dashboard-ul web /cont — sunt procesate de Stripe pe paginile găzduite de Stripe. demoanaf.ro nu stochează datele cardului. Pentru facturare prelucrăm datele firmei de facturare, e-mailul pentru factură și identificatorii tehnici ai abonamentului, strict pentru activarea planului Pro, emiterea facturii (prin SmartBill → e-Factura) și administrarea abonamentului. Vezi §3 pentru destinatari.

Aplicăm măsuri tehnice și organizatorice pentru protejarea datelor, inclusiv conexiune securizată (HTTPS/TLS), limitarea ratei de acces pentru prevenirea utilizării abuzive și monitorizarea accesului la sisteme.

Pentru exercitarea drepturilor sau întrebări:
E-mail: —

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP):
B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, București
Website: www.dataprotection.ro
E-mail: —