Politica de confidențialitate

1. Pe scurt

• Folosim datele tale doar pentru a recupera compensația pentru zborul tău. Nu le vindem și nu le folosim pentru reclame.
• Datele și documentele sunt stocate în Uniunea Europeană (Irlanda), iar serverele aplicației rulează tot acolo.
• CNP-ul, seria și numărul actului de identitate și IBAN-ul sunt criptate suplimentar înainte de a fi salvate.
• Documentele încărcate sunt private; nu există link public permanent către ele.
• Nu îți creezi cont și parolă: accesezi dosarul printr-un link unic, imposibil de ghicit, și confirmi telefonul printr-un cod SMS.
• Orice situație neclară este verificată de un om, nu decisă automat.

2. Operatorul de date și contactul

Operatorul datelor cu caracter personal este Certify Tech Systems SRL, cu sediul în Mun. Cluj-Napoca, str. Sarmisegetuza nr. 17-19, ap. 12, jud. Cluj, înregistrată la Oficiul Registrului Comerțului sub nr. J2018001315241, EUID ROONRC.J2018001315241, CUI 39813629, reprezentată de Lica Silviu Cătălin, administrator, e-mail: office@compensa.ro.

Pentru orice întrebare sau solicitare privind datele tale ne poți scrie la office@compensa.ro. Nu am desemnat un responsabil cu protecția datelor (DPO), deoarece activitatea noastră nu se încadrează în cazurile în care acesta este obligatoriu; solicitările sunt tratate direct de administratorul societății.

3. Ce date prelucrăm

3.1. Date pe care ni le dai tu

• Date de identificare: nume și prenume, CNP, serie și număr act de identitate sau pașaport, dată de expirare, țară emitentă, județ, localitate, adresă;
• Date de contact: e-mail și număr de telefon (confirmat prin cod SMS);
• Date despre călătorie: număr de zbor, dată, rută, aeroporturi (inclusiv escale), cod de rezervare (PNR), informații despre conexiuni, iar pentru zborurile mai vechi sau negăsite automat — orele și întârzierea declarate de tine;
• Documente încărcate: act de identitate, certificat de naștere (pentru minori), bilet, confirmare de rezervare, card de îmbarcare — imagini (JPG, PNG) sau PDF;
• Semnătura electronică simplă aplicată pe Acordul de cesiune de creanță, împreună cu data, ora și amprenta digitală a documentului semnat;
• IBAN-ul — cerut numai după ce compensația a fost încasată, pentru a-ți vira suma.

3.2. Date colectate automat

• Date tehnice de securitate: adresa IP, tipul de browser/dispozitiv și semnale anti-robot, folosite pentru limitarea abuzurilor și blocarea trimiterilor automate;
• Jurnal de activitate al dosarului: ce acțiuni au avut loc (de exemplu trimiterea codului SMS, semnarea, schimbarea stadiului) și de către ce rol, pentru siguranță și dovadă.

3.3. Date din alte surse

• Date publice despre zbor (ore programate și reale, anulări, condiții meteo) de la furnizori de date aeronautice și meteorologice — acestea nu sunt date personale;
• Agenția de turism parteneră, dacă ai ajuns la noi prin recomandarea ei (doar codul de recomandare);
• Compania aeriană și instanța — răspunsurile, plățile și stadiul procesului privind dosarul tău.

Datele marcate obligatorii în formular sunt necesare pentru încheierea Acordului de cesiune și pentru recuperarea compensației. Fără ele nu putem prelua dosarul.

4. De ce le prelucrăm și pe ce temei legal

• Verificarea eligibilității zborului (întârziere, anulare, conexiune, distanță) — art. 6 alin. (1) lit. b) GDPR, demersuri făcute la cererea ta înainte de contract;
• Întocmirea și semnarea Acordului de cesiune și a documentelor dosarului — art. 6 alin. (1) lit. b) GDPR (executarea contractului);
• Identificarea certă a cedentului prin CNP și actul de identitate, în contract, în notificarea către compania aeriană și, după caz, în instanță — art. 6 alin. (1) lit. b) și f) GDPR, cu respectarea art. 4 din Legea nr. 190/2018 privind codul numeric personal (criptare, acces restrâns, termene de păstrare limitate);
• Recuperarea compensației — notificarea companiei aeriene, corespondența și acțiunea în instanță — art. 6 alin. (1) lit. b) și f) GDPR; interesul legitim este valorificarea creanței cesionate și apărarea drepturilor în justiție;
• Plata sumelor către tine și către agențiile partenere, contabilitate și obligații fiscale — art. 6 alin. (1) lit. c) GDPR (obligație legală);
• Confirmarea telefonului prin cod SMS și trimiterea linkului de status — art. 6 alin. (1) lit. b) GDPR;
• Securitatea platformei și prevenirea fraudei (limitarea cererilor, verificare anti-robot, detectarea dosarelor duplicate, jurnal de activitate) — art. 6 alin. (1) lit. f) GDPR (interes legitim).

Date ale minorilor. Dosarele pentru pasageri minori se depun numai de părinte sau tutore, care încarcă certificatul de naștere. Datele minorului se folosesc strict pentru dosarul acestuia.

Nu prelucrăm categorii speciale de date (sănătate, origine etnică, convingeri etc.) și te rugăm să nu le incluzi în documente sau mesaje. Dacă un act le conține accidental, nu le folosim.

5. Unde stocăm datele

• Baza de date și documentele — pe servere situate în Uniunea Europeană (Irlanda), la un furnizor de infrastructură cloud;
• Serverele aplicației (care prelucrează formularele, documentele și generează PDF-urile) — configurate să ruleze tot în Irlanda (Dublin);
• Paginile publice ale site-ului (texte, imagini, fără date personale) pot fi livrate printr-o rețea globală de servere pentru viteză; furnizorul acestei rețele poate vedea adresa IP a vizitatorului, ca orice serviciu de găzduire web.

6. Cum protejăm datele

6.1. Transmitere

• Toată comunicarea dintre browserul tău, serverele noastre și furnizori are loc exclusiv criptat (HTTPS/TLS);
• Documentele sunt încărcate direct în spațiul privat al dosarului; serverul verifică faptul că fiecare fișier aparține dosarului și pasagerului corect și că nu a fost modificat pe drum (amprentă SHA-256);
• Notificările către companiile aeriene se trimit numai către adrese de e-mail confirmate; dacă adresa lipsește, nu se trimite nimic până la verificarea manuală.

6.2. Stocare și criptare

• Datele sunt criptate pe discurile furnizorului (criptare „la repaus”, AES-256);
• CNP-ul, seria și numărul actului de identitate și IBAN-ul sunt criptate suplimentar de aplicație cu AES-256-GCM înainte de salvare. Cheia de criptare există numai pe server, nu ajunge niciodată în browser și nu este stocată în baza de date;
• Pentru detectarea dosarelor duplicate folosim amprente ireversibile (SHA-256 cu „sare” secretă), nu datele în clar;
• Documentele semnate și fișele de constatare primesc o amprentă digitală SHA-256, ca orice modificare ulterioară să poată fi depistată.

6.3. Acces

• Documentele stau într-un spațiu de stocare privat. Personalul autorizat le poate deschide doar prin linkuri temporare, generate la cerere, care expiră după 60 de secunde;
• Accesul este împărțit pe roluri (administrator, avocat, agenție) și este impus chiar în baza de date, la nivel de rând: fiecare vede numai ce îi este strict necesar;
• Avocații văd doar dosarele care le-au fost alocate, fără datele tale de contact și fără sursa dosarului;
• Agențiile partenere văd doar stadiul și comisionul aferent dosarelor recomandate, fără datele tale de contact și fără documente;
• Conturile personalului sunt protejate prin parolă stocată numai sub formă criptografică (hash); pasagerii nu au cont și parolă;
• Linkul tău de status conține un cod aleator lung, imposibil de ghicit în practică. Nu îl distribui altor persoane.

6.4. Prevenirea abuzurilor

• Codul SMS are 6 cifre generate criptografic, este valabil 10 minute și se șterge după confirmare; numărul de coduri trimise și de încercări este limitat pentru fiecare dosar;
• Formularele sunt protejate prin verificare anti-robot, câmpuri-capcană pentru roboți și limitarea numărului de cereri pe adresă IP; evidența acestor limite se șterge automat după 24 de ore;
• Acțiunile importante asupra dosarelor sunt înregistrate într-un jurnal de activitate.

6.5. Incidente de securitate

Dacă, în ciuda acestor măsuri, are loc o încălcare a securității datelor, o notificăm Autorității Naționale de Supraveghere (ANSPDCP) în cel mult 72 de ore de la constatare, atunci când legea o cere, și te informăm direct, fără întârziere, dacă incidentul poate prezenta un risc ridicat pentru tine.

7. Cui transmitem datele

Transmitem datele strict cât este necesar pentru recuperarea compensației:

• Compania aeriană care a operat zborul — notificarea prealabilă, Acordul de cesiune și documentele care dovedesc creanța;
• Avocații parteneri care susțin dosarul în instanță, legați prin secretul profesional;
• Instanțele și autoritățile competente, când dosarul ajunge în instanță sau legea o cere. Pentru urmărirea proceselor consultăm portalul public al instanțelor (portal.just.ro);
• Banca prin care îți virăm suma (IBAN-ul și numele tău);
• Contabilul / autoritățile fiscale, în limita obligațiilor legale;
• Furnizori de servicii (persoane împuternicite), care prelucrează datele numai la instrucțiunile noastre, pe bază de contract — detaliați în secțiunea 8.

8. Furnizorii noștri și transferurile în afara UE

• Bază de date și stocare documente — servere în UE (Irlanda);
• Găzduirea aplicației — serverele care prelucrează datele rulează în UE (Irlanda); furnizorul este o companie din SUA, iar eventualul acces tehnic din afara UE este acoperit prin acordul de prelucrare a datelor (DPA) și clauzele contractuale standard (SCC) aprobate de Comisia Europeană;
• Citirea automată a documentelor (OCR) — serviciu de inteligență artificială cu servere în Uniunea Europeană (Franța). Actele nu sunt trimise către niciun alt serviciu de citire automată; dacă acesta nu este disponibil, completezi datele manual;
• SMS pentru codul de confirmare — furnizor din România, prelucrare în UE;
• E-mail (linkul de status, notificări către companiile aeriene, corespondență) — serviciu de e-mail de business care poate prelucra date și în afara UE, inclusiv în SUA, pe bază de DPA și SCC, cu criptare în tranzit;
• Protecție anti-robot — poate prelucra adresa IP și semnale tehnice ale dispozitivului și în afara UE, pe bază de DPA și SCC (detalii în Politica de cookie-uri);
• Date aeronautice și meteorologice — furnizori din SUA care primesc numai numărul zborului, data și codurile aeroporturilor, fără date personale, deci nu are loc un transfer de date personale.

Lista nominală a furnizorilor îți poate fi comunicată la cerere, la office@compensa.ro.

9. Cât timp păstrăm datele

• Cereri abandonate înainte de semnarea Acordului de cesiune: cel mult 90 de zile;
• Dosare respinse sau neeligibile: cel mult 24 de luni de la ultima interacțiune, pentru eventuale reclamații;
• Dosare cu Acord de cesiune semnat: pe durata recuperării și apoi pe durata termenelor de prescripție și a obligațiilor legale de arhivare contabilă (de regulă până la 10 ani de la încheierea exercițiului financiar în care s-a făcut plata);
• Codul SMS: se șterge imediat după confirmare și expiră oricum după 10 minute;
• Evidența limitelor anti-abuz (adresa IP): 24 de ore;
• Jurnalul de activitate al dosarului: pe aceeași durată ca dosarul, ca dovadă a modului în care a fost tratat;
• Linkurile temporare către documente: 60 de secunde.

La expirarea acestor termene datele sunt șterse sau anonimizate ireversibil, inclusiv documentele încărcate.

10. Decizii automatizate

Calculul automat al eligibilității (întârziere, distanță, sumă estimată) și citirea automată a documentelor produc doar evaluări preliminare. Orice neconcordanță — zbor, dată, nume, PNR sau segmente diferite, întârzieri la limita pragului, estimări, zbor negăsit, date declarate manual, documente neclare sau dosare duplicate — este trimisă automat la verificare manuală de către un om. Nicio decizie cu efect juridic asupra ta nu este luată exclusiv automat, iar tu poți oricând cere explicații sau contesta o evaluare.

11. Drepturile tale

Conform GDPR, ai dreptul:

• de acces la datele tale și de a primi o copie a acestora;
• la rectificarea datelor inexacte sau incomplete;
• la ștergerea datelor („dreptul de a fi uitat”), în limita obligațiilor legale de păstrare și a dosarelor aflate în curs;
• la restricționarea prelucrării;
• la portabilitatea datelor furnizate de tine, într-un format electronic uzual;
• de opoziție la prelucrările bazate pe interesul nostru legitim;
• de a nu face obiectul unei decizii exclusiv automate (vezi secțiunea 10);
• de a depune plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru nr. 28–30, București, www.dataprotection.ro, sau de a te adresa instanței.

Cum le exerciți: scrie-ne la office@compensa.ro de pe adresa de e-mail folosită în dosar. Pentru a nu divulga datele altcuiva, putem cere o confirmare suplimentară a identității (de exemplu un cod trimis prin SMS la numărul din dosar). Răspundem gratuit, în cel mult o lună; termenul poate fi prelungit cu încă două luni pentru cereri complexe, caz în care te anunțăm.

12. Cookie-uri

Folosim doar stocarea strict necesară funcționării și securității (sesiunea conturilor personalului, protecția anti-robot). Nu folosim cookie-uri de reclamă sau de analiză. Detalii în Politica de cookie-uri.

13. Modificări ale politicii

Actualizăm această politică atunci când se schimbă legea, furnizorii sau modul de funcționare al platformei. Data ultimei actualizări apare automat în partea de sus a paginii. Modificările importante îți vor fi aduse la cunoștință prin e-mail sau prin pagina de status a dosarului.