Operatorul de date cu caracter personal, în sensul art. 4 alin. (7) din GDPR, este:

În funcție de natura interacțiunii cu platforma sbr.systems, prelucrăm următoarele categorii de date:

SBR colaborează cu următorii subcontractori (persoane împuternicite) care prelucrează date în numele nostru, cu garanții contractuale GDPR conform art. 28:

SBR nu vinde, nu închiriază și nu cedează date cu caracter personal către terți în scopuri comerciale proprii ale acestora. Datele nu sunt partajate cu agenții de publicitate sau brokeri de date.

Autorități publice: datele pot fi divulgate autorităților competente (Poliție, DIICOT, instanțe judecătorești) exclusiv în baza unei obligații legale sau ordin judecătoresc, conform art. 6 alin. (1) lit. c și e GDPR.

La expirarea termenelor de stocare, datele sunt șterse irevocabil sau anonimizate astfel încât să nu mai permită identificarea persoanei vizate, conform politicii interne de retenție a datelor.

Conform Capitolului III din GDPR, persoanele vizate beneficiază de următoarele drepturi, exercitabile prin cerere scrisă la dpo@sbr.systems:

• Dreptul de acces (art. 15): Obținerea unei copii a datelor prelucrate și a informațiilor privind prelucrarea. Răspuns: 30 zile.
• Dreptul la rectificare (art. 16): Corectarea datelor inexacte sau completarea datelor incomplete.
• Dreptul la ștergere (“dreptul de a fi uitat”, art. 17): Ștergerea datelor când nu mai sunt necesare scopului, consimțământul este retras sau prelucrarea este ilegală. Nu se aplică pentru date necesare obligațiilor legale (ex: facturare).
• Dreptul la restricționarea prelucrării (art. 18): Suspendarea prelucrării în cazuri specifice prevăzute de GDPR.
• Dreptul la portabilitatea datelor (art. 20): Primirea datelor furnizate în format structurat, utilizat frecvent, lizibil automat (JSON/CSV). Aplicabil pentru date prelucrate pe baza consimțământului sau contractului.
• Dreptul la opoziție (art. 21): Opoziție față de prelucrarea bazată pe interes legitim. SBR va înceta prelucrarea dacă nu demonstrează motive legitime imperioase.
• Dreptul de a nu face obiectul unei decizii automate (art. 22): Dreptul de a solicita intervenție umană în privința scorurilor SBR calculate automat. A se vedea art. 10 din prezenta politică.
• Dreptul de a depune plângere (art. 77): La ANSPDCP, Bulevardul G-ral Gheorghe Magheru nr. 28-30, Sector 1, București, www.anspdcp.ro, anspdcp@dataprotection.ro.

SBR implementează măsuri tehnice și organizatorice adecvate conform art. 32 GDPR, proporționale cu riscurile identificate:

• Criptare în tranzit: TLS 1.3 pentru toate comunicațiile platformei
• Criptare la repaus: Datele bazei de date (Supabase/PostgreSQL) stocate criptat AES-256
• Autentificare: Hash parole bcrypt, autentificare în doi factori disponibilă
• Controlul accesului: Principiul privilegiului minim — accesul la date limitat la personalul care are nevoie strictă
• Audit logging: Toate accesele la date sensibile sunt înregistrate și monitorizate
• Backup: Backup automat zilnic cu retenție de 30 zile, stocat în regiune UE
• Testare securitate: Evaluări periodice de vulnerabilități și penetration testing
• Notificare încălcare: Proceduri de răspuns la incident conform art. 33-34 GDPR (notificare ANSPDCP în 72h, notificare persoane vizate când riscul este ridicat)

Platforma sbr.systems utilizează cookie-uri și tehnologii similare în conformitate cu Directiva ePrivacy (2002/58/CE) și GDPR:

SBR nu utilizează cookie-uri de tracking publicitar (Google Analytics, Facebook Pixel, etc.) și nu participă la niciun sistem de remarketing. Datele de navigare pe platformă nu sunt partajate cu rețele publicitare.

Consimțământul pentru cookie-uri non-esențiale poate fi retras oricând prin ștergerea cookie-urilor din setările browserului.

Platforma sbr.systems este destinată exclusiv persoanelor cu vârsta de minimum 18 ani. Nu colectăm în mod intenționat date cu caracter personal ale minorilor sub 16 ani fără consimțământul titularului autorității părintești.

Dacă avem cunoștință că am colectat date ale unui minor fără consimțământ parental adecvat, vom proceda imediat la ștergerea acestor date. Sesizările se transmit la dpo@sbr.systems.

Platforma SBR utilizează SBR Score Engine, un sistem de evaluare comportamentală automată care calculează un profil de vulnerabilitate la fraude digitale pe baza răspunsurilor la quiz-uri și simulări interactive.

Utilizatorul poate solicita oricând:

• Explicarea logicii scorului calculat
• Intervenție umană în evaluarea rezultatelor
• Contestarea scorului printr-o nouă sesiune de evaluare
• Ștergerea tuturor scorurilor calculate

Cererile se transmit la dpo@sbr.systems cu subiectul "Drept art. 22 GDPR — SBR Score".

Unii dintre subcontractorii noștri au sediul în afara Spațiului Economic European (SEE). Transferurile de date către acești subcontractori se efectuează cu garanții adecvate conform art. 46 GDPR:

• Clauze contractuale standard (SCC) adoptate de Comisia Europeană — pentru Supabase Inc. (SUA) și Stripe Inc. (SUA)
• Decizia de adecvare a Comisiei Europene — acolo unde există

La cerere, SBR poate furniza copii ale garanțiilor aplicabile. Cererea se transmite la dpo@sbr.systems.

SBR poate actualiza periodic prezenta politică pentru a reflecta modificări legislative, schimbări în serviciile oferite sau actualizarea practicilor de prelucrare. Modificările semnificative vor fi comunicate prin:

• Notificare prin email la adresa înregistrată în cont, cu minimum 30 de zile înainte de intrarea în vigoare
• Notificare vizibilă la autentificarea pe platformă
• Publicarea versiunii actualizate pe această pagină cu indicarea datei revizuirii

Continuarea utilizării platformei după intrarea în vigoare a modificărilor constituie acceptarea versiunii actualizate. Utilizatorul care nu este de acord cu modificările poate solicita închiderea contului și ștergerea datelor.

Pentru orice solicitare privind protecția datelor cu caracter personal, exercitarea drepturilor prevăzute în prezenta politică sau sesizarea oricărei potențiale încălcări: