Politica de Confidențialitate

1. Operatorul de date cu caracter personal

Operatorul de date în sensul Art. 4(7) GDPR este:

• Denumire: SC BRIMNEXA DIGITAL SRL
• Sediu social: Strada Cuza Vodă nr. 21, Iași, județul Iași, cod poștal 700036, România
• Nr. Registrul Comerțului: J22/1847/2021
• Cod Unic de Înregistrare: RO44231590
• Cod CAEN principal: 4791 — Comerț cu amănuntul prin intermediul caselor de comenzi sau prin Internet
• TVA intracomunitar: RO44231590
• E-mail responsabil date (DPO): [email protected]
• Telefon: +40 232 745 618
• Program relații clienți: Luni–Vineri, 09:00–18:00 (EET/EEST)

2. Categoriile de date personale colectate

În funcție de natura interacțiunii dumneavoastră cu platforma Brimnexa, putem colecta și prelucra următoarele categorii de date cu caracter personal:

2.1. Date furnizate direct de dumneavoastră

• Date de identificare: nume, prenume, adresă de e-mail, număr de telefon mobil și/sau fix
• Date de livrare: adresă completă (stradă, număr, bloc, scară, apartament, localitate, județ, cod poștal, țară)
• Date de facturare: adresă de facturare; CNP (opțional, pentru persoane fizice care solicită factură) sau CUI/CIF, denumire firmă, sediu (pentru persoane juridice)
• Date de cont: nume de utilizator ales, parolă criptată (hash bcrypt), preferințe de notificare, produse salvate în wishlist
• Conținut generat: recenzii și evaluări ale produselor, întrebări adresate în secțiunile de întrebări frecvente, mesaje trimise prin formularul de contact sau chat

2.2. Date colectate automat în timpul navigării

• Date tehnice: adresa IP (parțial anonimizată după 90 zile), tipul și versiunea browserului, sistemul de operare, rezoluția ecranului, fusul orar
• Date de navigare: paginile accesate și ordinea lor, durata sesiunii, link-urile accesate, produsele vizualizate, filtrele aplicate în catalog
• Date de dispozitiv: identificator unic al dispozitivului (generat prin fingerprinting), tipul conexiunii la internet (WiFi, 4G/5G), identificator publicitar (dacă este disponibil și consimțit)
• Cookie-uri și tehnologii similare: conform Politicii privind Cookie-urile — brimnexa.digital/cookies

2.3. Date primite din surse terțe

• Procesatori de plăți (Stripe, PayU): exclusiv confirmarea și identificatorul tranzacției, suma și moneda — niciodată datele complete ale cardului bancar
• Furnizori de curierat (Fan Courier, DPD România, Cargus): confirmare de livrare, timestamp-uri de tracking
• Platforme de autentificare socială (opțional, cu consimțământ explicit): nume, prenume, e-mail furnizat de terț

3. Scopurile prelucrării și temeiul juridic

4. Durata stocării datelor personale

Stocăm datele dumneavoastră personale numai atât timp cât este necesar pentru îndeplinirea scopului pentru care au fost colectate, cu respectarea termenelor legale obligatorii:

• Date de comandă și documente de facturare: 10 ani de la data emiterii facturii, conform Legii contabilității nr. 82/1991 și Codului Fiscal
• Date de cont activ: pe întreaga durată a contractului (existenței contului) și 3 ani de la ultima activitate sau de la dezactivarea contului
• Date pentru soluționarea litigiilor: până la soluționarea definitivă a litigiului sau 5 ani de la apariția disputei, pentru prescripția dreptului de acțiune
• Date de marketing (newsletter): până la retragerea consimțământului sau 3 ani de la ultima deschidere / click înregistrat
• Loguri de securitate și acces: 12 luni, după care sunt șterse automat
• Mesaje contact: 24 luni de la data primirii, pentru a permite urmărirea istoricului comunicărilor
• Cookie-uri analitice: conform duratei specifice fiecărui cookie — detalii în Politica privind Cookie-urile

5. Destinatarii datelor dumneavoastră

Nu vindem, nu cedăm și nu închiriem datele dumneavoastră personale către terți în scopuri proprii ale acestora. Datele pot fi accesate de categoriile de destinatari de mai jos, exclusiv în măsura necesară scopului declarat:

• Furnizori de servicii de curierat: Fan Courier Express SRL (CUI 10566570), DPD România SRL (CUI 18872350), Urgent Cargus SRL (CUI 11282631) — exclusiv pentru organizarea și urmărirea livrărilor
• Procesatori de plăți: Stripe Payments Europe Ltd. (Dublin, Irlanda) și PayU Romania SRL (CUI 16395255) — pentru autorizarea și procesarea tranzacțiilor
• Furnizori de hosting și infrastructură cloud: furnizori cu centre de date în SEE, în baza unor Acorduri de Prelucrare a Datelor (DPA) conforme GDPR
• Furnizori de servicii e-mail tranzacțional: pentru trimiterea confirmărilor de comandă, notificărilor de livrare și comunicărilor de securitate
• Servicii de analiză web: în variante anonimizate sau pseudonimizate, fără identificarea directă a utilizatorilor
• Autorități publice competente: ANAF, ANPC, ANSPDCP, instanțe judecătorești, Poliția Română — exclusiv la solicitare scrisă legală fundamentată
• Auditori financiari și consultanți juridici externi: sub obligație strictă de confidențialitate profesională

Toți partenerii noștri sunt supuși unor obligații contractuale de protecție a datelor, cel puțin echivalente cu standardele GDPR.

6. Transferuri internaționale de date

Datele dumneavoastră sunt prelucrate, de regulă, în interiorul Uniunii Europene și Spațiului Economic European. În cazul în care un transfer în afara SEE devine necesar (de exemplu, prin utilizarea unor servicii cloud cu infrastructură în SUA sau în alte țări terțe), ne asigurăm că există garanții adecvate conform Cap. V GDPR, respectiv:

• Clauze Contractuale Standard (SCC) adoptate prin Decizia Comisiei Europene 2021/914/UE — pentru furnizori fără decizii de adecvare
• Decizii de adecvare ale Comisiei Europene (ex.: Cadrul UE-SUA privind Confidențialitatea Datelor, în vigoare din iulie 2023)
• Evaluări ale impactului transferului (Transfer Impact Assessment — TIA) efectuate înainte de orice transfer spre jurisdicții cu incertitudini privind nivelul de protecție
• Derogări specifice conform Art. 49 GDPR, exclusiv pentru situații punctuale (ex.: executarea contractului la solicitarea expresă a vizat-ului)

Puteți obține o copie a garanțiilor aplicabile unui transfer specific scriind la [email protected].

7. Drepturile dumneavoastră conform GDPR

Conform Regulamentului (UE) 2016/679, beneficiați de următoarele drepturi pe care le puteți exercita oricând, cu excepțiile și limitările prevăzute de legislație:

• Dreptul de acces (Art. 15): Aveți dreptul de a obține confirmarea că prelucrăm date despre dumneavoastră și, dacă da, să primiți o copie a acestora, împreună cu informații despre scopuri, categorii, destinatari și durata stocării.
• Dreptul la rectificare (Art. 16): Aveți dreptul de a solicita corectarea fără întârziere a datelor inexacte sau completarea celor incomplete.
• Dreptul la ștergere — „dreptul de a fi uitat" (Art. 17): Puteți solicita ștergerea datelor când acestea nu mai sunt necesare scopului, ați retras consimțământul, vă opuneți prelucrării sau datele au fost prelucrate ilegal. Dreptul nu se aplică când există obligații legale de păstrare.
• Dreptul la restricționarea prelucrării (Art. 18): Puteți solicita „înghețarea" prelucrării datelor dumneavoastră pe durata verificării exactității, a contestării temeiului juridic sau a exercitării unui drept în instanță.
• Dreptul la portabilitatea datelor (Art. 20): Aveți dreptul de a primi datele furnizate în format structurat, utilizat în mod curent, lizibil automat (JSON, CSV) și de a le transmite altui operator.
• Dreptul de opoziție (Art. 21): Vă puteți opune oricând prelucrărilor bazate pe interes legitim, inclusiv creării de profiluri în scopuri de marketing direct.
• Dreptul de a nu face obiectul unei decizii automate (Art. 22): Nu luăm decizii bazate exclusiv pe prelucrarea automată care să producă efecte juridice sau care să vă afecteze semnificativ.
• Dreptul de retragere a consimțământului: Puteți retrage oricând consimțământul acordat, fără a afecta legalitatea prelucrărilor efectuate anterior retragerii.

Pentru exercitarea oricăruia dintre aceste drepturi, trimiteți o cerere scrisă la [email protected] sau prin scrisoare recomandată la sediul nostru din Strada Cuza Vodă nr. 21, Iași. Vom răspunde în termen de cel mult 30 de zile calendaristice (termen extensibil la 60 de zile, cu notificarea dumneavoastră, în cazul cererilor complexe sau numeroase). Identificarea solicitantului va fi verificată înainte de divulgarea oricăror date.

8. Dreptul de a depune o plângere la autoritatea de supraveghere

Dacă considerați că prelucrarea datelor dumneavoastră personale de către Brimnexa Digital SRL încalcă prevederile GDPR, aveți dreptul de a depune o plângere la autoritatea de supraveghere competentă în România, fără a aduce atingere oricăror alte căi de atac administrative sau judiciare:

Puteți depune plângerea și online, prin formularul disponibil pe site-ul ANSPDCP. Totodată, aveți dreptul de a introduce o acțiune judiciară împotriva operatorului sau împotriva ANSPDCP.

9. Securitatea datelor cu caracter personal

Implementăm măsuri tehnice și organizatorice adecvate, conform Art. 25 și 32 GDPR, pentru a asigura un nivel de securitate corespunzător riscului, inclusiv:

• Criptare în tranzit: protocol TLS 1.3 pentru toate comunicațiile client-server
• Criptare la stocare: AES-256 pentru datele sensibile, hashing bcrypt cu salt pentru parole
• Autentificare multi-factor (MFA): obligatorie pentru accesul personalului la sistemele de back-office
• Control acces bazat pe roluri (RBAC): principiul „need-to-know" — fiecare angajat accesează strict datele necesare rolului său
• Audituri periodice: teste de securitate și de penetrare efectuate cel puțin anual de un furnizor extern acreditat
• Proceduri de incident: notificarea ANSPDCP în cel mult 72 de ore de la descoperirea unei încălcări (Art. 33 GDPR), notificarea persoanelor vizate dacă există risc ridicat pentru drepturile lor (Art. 34 GDPR)
• Pseudonimizarea datelor analitice: datele de navigare sunt prelucrate în formă pseudonimizată sau anonimizată ori de câte ori este posibil

Recomandăm utilizatorilor să nu partajeze parolele contului, să utilizeze parole unice și complexe și să raporteze imediat orice activitate suspectă la [email protected].

10. Modificări ale prezentei politici

Ne rezervăm dreptul de a actualiza prezenta politică de confidențialitate ca urmare a modificărilor legislative, a evoluției practicilor noastre de afaceri sau a schimbărilor tehnologice. Versiunea curentă va fi întotdeauna disponibilă la adresa brimnexa.digital/confidentialitate.

Orice modificare semnificativă (care afectează drepturile sau obligațiile dumneavoastră) va fi comunicată:

• Prin notificare prin e-mail la adresa înregistrată în contul dumneavoastră, cu minimum 15 zile calendaristice înainte de intrarea în vigoare
• Prin banner informativ vizibil pe pagina principală a platformei, pe aceeași perioadă

Utilizarea în continuare a platformei Brimnexa după intrarea în vigoare a modificărilor constituie acceptul tacit al noii versiuni.

11. Date de contact pentru protecția datelor