Politică de Confidențialitate

1. Cine suntem (Operatorul de date)

RCThings S.R.L., cu sediul social în Strada Principală nr. 341, Husasău de Criș, județul Bihor, înregistrată la Registrul Comerțului cu nr. J5/2584/2022, CUI RO46708618 (denumită în continuare „Noi”, „Compania” sau „Operatorul”), este operatorul datelor tale personale în sensul GDPR.

Contact pentru protecția datelor: rcthingsoffice@gmail.com

Nu avem obligația legală de a desemna un DPO (Responsabil cu Protecția Datelor) la dimensiunea actuală a operațiunilor. Persoana de contact pentru solicitări GDPR este reprezentantul legal al companiei, contactabil la adresa de email de mai sus.

2. Ce date cu caracter personal colectăm și de ce

Colectăm numai datele strict necesare pentru furnizarea serviciului. Nu prelucrăm categorii speciale de date (art. 9 GDPR): nu colectăm date de sănătate, date biometrice, date despre convingerile religioase sau politice.

Categorie de date	Date colectate	Scop	Temei legal (Art. 6 GDPR)
Date de cont	Adresă de email	Autentificare prin magic link, comunicare legată de cont	Art. 6(1)(b) — Executarea contractului
Date de sesiune	Cookie de sesiune, token CSRF, timestamp autentificare	Funcționarea autentificării și securizarea sesiunii	Art. 6(1)(b) — Executarea contractului
Date de proiect	Dimensiunile camerei (lățime, lungime, înălțime în mm), configurația mobilierului ales, materiale selectate	Salvarea și gestionarea proiectelor de configurare, generarea PDF cu lista de debitare	Art. 6(1)(b) — Executarea contractului
Randări și PDF-uri	Imagini 3D generate și documente PDF cu lista de debitare, stocate ca snapshot al configurației	Livrarea documentului de configurare solicitat	Art. 6(1)(b) — Executarea contractului
Jurnale de securitate	IP parțial (primii 3 octeți, fără ultimul octet complet), timestamp, tip acțiune (autentificare, ștergere cont etc.)	Prevenirea fraudei, securitatea sistemului, depanare	Art. 6(1)(f) — Interes legitim (securitate sistem)

Notă despre modul guest: Dacă folosești configuratorul fără a-ți crea un cont (mod invitat), datele de configurare sunt stocate exclusiv în browserul tău (IndexedDB) și nu sunt transmise serverelor noastre. Nu avem acces la aceste date. La crearea unui cont și salvarea proiectului, datele sunt transferate pe serverele noastre cu acordul tău explicit.

3. Cât timp păstrăm datele

Categorie	Perioadă de retenție	Motiv
Date cont activ	Pe durata relației contractuale	Contract
Cont inactiv (fără autentificare)	2 ani de la ultima autentificare, cu notificare prin email cu 30 de zile înainte de ștergere	Interes legitim (minimizare date GDPR)
Date de proiect și configurații	Pe durata contului activ; șterse la ștergerea contului	Contract
Sesiuni de autentificare	Maximum 30 de zile (expiră automat)	Necesar funcțional
Jurnale de securitate	6 luni	Interes legitim (securitate)

4. Cu cine împărțim datele (Sub-procesatori)

Nu vindem și nu cedăm datele tale unor terți în scop comercial sau publicitar. Colaborăm exclusiv cu furnizori de infrastructură necesari funcționării serviciului, cu care am încheiat Acorduri de Prelucrare a Datelor (DPA) conform Art. 28 GDPR:

Furnizor	Rol	Localizare date	Garanție transfer
Vercel Inc.	Hosting aplicație web, stocare fișiere (randări, PDF-uri)	Uniunea Europeană (Frankfurt, Germania — fra1)	DPA semnat; date în UE — fără transfer extra-UE
Supabase Inc.	Baza de date PostgreSQL (conturi, proiecte, configurații)	Uniunea Europeană (eu-central-1, Frankfurt)	DPA semnat; date în UE — fără transfer extra-UE
Sentry (Functional Software, Inc.)	Monitorizarea erorilor aplicației (mesaj de excepție, stack trace, ruta pe care a apărut)	Uniunea Europeană (regiune de ingestie UE)	DPA conform Art. 28 GDPR; date în UE — fără transfer extra-UE
Resend Inc.	Trimiterea email-ului de autentificare (magic link)	SUA (cu DPA și Clauze Contractuale Standard — SCC)	DPA + Clauze Contractuale Standard aprobate de Comisia Europeană (Art. 46(2)(c) GDPR)

Datele tale nu sunt transferate în afara Spațiului Economic European (SEE), cu excepția email-ului tranzacțional procesat de Resend, unde transferul se face pe baza Clauzelor Contractuale Standard. Resend primește exclusiv adresa ta de email pentru a trimite link-ul de autentificare — nu stochează sau prelucrează alte date. Sentry primește exclusiv date tehnice despre erori — mesajul excepției, stack trace-ul și ruta — trecute prin două filtre care elimină corpul cererii, cookie-urile și parametrii din URL; nu primește numele, telefonul, e-mailul sau configurația proiectului tău.

5. Drepturile tale (Art. 15–21 GDPR)

Conform GDPR, beneficiezi de următoarele drepturi privind datele tale personale:

Dreptul de acces (Art. 15)

Poți solicita o copie a tuturor datelor pe care le deținem despre tine. Din contul tău, accesează Setări → Confidențialitate și folosește butonul „Descarcă datele mele” pentru export imediat în format JSON. Termen de răspuns la solicitare prin email: 30 de zile.

Dreptul la ștergere — „Dreptul de a fi uitat” (Art. 17)

Poți solicita ștergerea (anonimizarea) tuturor datelor tale. Din Setări → Confidențialitate, folosește butonul „Șterge contul”. Acțiunea este ireversibilă. Datele de facturare (dacă există) pot fi reținute conform obligațiilor legale din Legea Contabilității nr. 82/1991 (10 ani), cu anonimizarea datelor de identificare.

Dreptul la portabilitate (Art. 20)

Poți exporta datele tale într-un format structurat, lizibil electronic (JSON). Folosește funcția de export din Setări → Confidențialitate.

Dreptul de rectificare (Art. 16)

Datele de cont (email) pot fi actualizate din Setările contului. Datele de proiect (dimensiuni, configurații) sunt editabile direct din aplicație.

Dreptul de opoziție (Art. 21)

Poți să te opui prelucrărilor bazate pe interesul nostru legitim (ex: jurnalele de securitate). Contactează-ne la rcthingsoffice@gmail.com.

Dreptul de restricționare (Art. 18)

În situații specifice (contestare exactitate date, opoziție la prelucrare etc.), poți solicita restricționarea temporară a prelucrării. Contactează-ne prin email.

Dreptul de a depune plângere

Dacă consideri că drepturile tale au fost încălcate, poți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP):
Website: www.dataprotection.ro
Adresă: B-dul G-ral Gheorghe Magheru 28-30, Sector 1, București 010336
Email: anspdcp@dataprotection.ro

Cum exerciți drepturile:

Din cont: Setări → Confidențialitate → Export date sau Ștergere cont (acțiune imediată)
Prin email: rcthingsoffice@gmail.com — răspuns în maximum 30 de zile (extendabil cu 60 de zile pentru solicitări complexe, cu notificarea ta prealabilă)

6. Cookie-uri

Folosim exclusiv cookie-uri strict necesare pentru funcționarea serviciului. Nu folosim cookie-uri analitice, de marketing sau de urmărire (tracking). Nu este necesar consimțământul tău pentru aceste cookie-uri conform Art. 5(3) din Directiva ePrivacy și Legii nr. 506/2004.

Vezi Politica noastră de Cookie-uri pentru lista completă și detalii.

7. Vârsta minimă

Serviciul este destinat persoanelor cu vârsta de cel puțin 16 ani. Conform Art. 7 din Legea 190/2018 (implementarea română a GDPR), prelucrarea datelor persoanelor sub 16 ani necesită consimțământul părintelui sau tutorelui legal. Nu colectăm cu bună știință date de la persoane sub 16 ani. Dacă ne sesizezi că am primit date de la un minor sub această vârstă, le vom șterge imediat.

8. Securitatea datelor

Aplicăm măsuri tehnice și organizatorice adecvate pentru protecția datelor tale:

Criptare TLS în tranzit pentru toate comunicațiile
Criptare la repaus pentru datele din baza de date
Autentificare exclusiv prin magic link (fără parole stocate)
Adrese IP stocate parțial (primii 3 octeți) — nu IP complet
Sesiunile expiră automat după maximum 30 de zile de inactivitate
Accesul la date este restricționat la personalul tehnic care are nevoie de acces pentru prestarea serviciului
URL-uri private cu durată de viață limitată (TTL) pentru fișierele stocate (randări, PDF-uri)

În cazul unui incident de securitate care afectează datele tale, te vom notifica conform Art. 33–34 GDPR (notificarea ANSPDCP în termen de 72 de ore de la constatare; notificarea persoanelor afectate dacă riscul este ridicat).

9. Modificări ale acestei politici

Putem actualiza această politică periodic. Modificările semnificative vor fi comunicate prin email cu cel puțin 30 de zile înainte de intrarea în vigoare. Versiunile anterioare sunt disponibile la cerere. Data ultimei actualizări este afișată în antetul acestei pagini. Continuarea folosirii serviciului după data modificării constituie acceptarea noii politici.

10. Contact

RCThings S.R.L.

Adresă: Strada Principală nr. 341, Husasău de Criș, județul Bihor, România

CUI: RO46708618

Registrul Comerțului: J5/2584/2022

Email: rcthingsoffice@gmail.com