Politica de Confidențialitate

Modul în care S.C. EBA GRUP CONSMETAL S.R.L. prelucrează datele cu caracter personal pe carvibo.ro și carvibo.com

Pe scurt. Prelucrăm datele necesare pentru cont, anunțuri, comunicare, plăți și securitate. Nu vindem date. Nu solicităm CNP. Datele cardului sunt procesate numai de procesatorii de plăți. Funcțiile AI primesc doar date tehnice despre vehicul. Vă puteți exercita drepturile din cont sau la office@carvibo.ro și puteți depune plângere la ANSPDCP.

Cuprins

1. Cine prelucrează datele

2. Ce date prelucrăm și de unde provin

3. Scopuri, temeiuri juridice și durate de stocare

4. Decizii automatizate și profilare

5. Destinatarii datelor

6. Transferuri în afara Spațiului Economic European

7. Drepturile dvs.

8. Securitatea datelor

9. Minori

10. Cookie-uri și stocare locală

11. Modificarea politicii

1. Cine prelucrează datele

1.1. Operatorul

1.2. Responsabilul cu protecția datelor

Carvibo nu are obligația de a desemna un responsabil cu protecția datelor (DPO) în sensul art. 37 GDPR: activitatea principală nu constă în monitorizarea sistematică pe scară largă a persoanelor și nici în prelucrarea pe scară largă a unor categorii speciale de date. De asemenea, Carvibo nu prelucrează codul numeric personal în temeiul interesului legitim, situație care ar impune desemnarea unui DPO potrivit art. 4 din Legea nr. 190/2018. Cererile privind datele personale sunt gestionate de o persoană desemnată intern, la adresele de mai sus. Evaluarea se reanalizează anual și la orice schimbare semnificativă a volumului de date.

1.3. Când acționăm în alte calități

2. Ce date prelucrăm și de unde provin

Seria de șasiu (VIN). VIN-ul este tratat ca dată cu caracter personal ori de câte ori poate fi asociat, prin mijloace rezonabile, proprietarului vehiculului (CJUE, cauza C-319/22, 9 noiembrie 2023). Din acest motiv este mascat parțial pentru vizitatorii neautentificați, iar accesul la forma completă este jurnalizat.

Categorii speciale de date. Nu solicităm și nu dorim să primim date privind sănătatea, originea etnică, convingerile religioase sau politice ori alte categorii prevăzute de art. 9 GDPR. Vă rugăm să nu le includeți în anunțuri, mesaje sau atașamente; dacă le identificăm, le putem șterge.

Date obligatorii. Datele marcate ca obligatorii în formulare sunt necesare pentru încheierea și executarea contractului; fără ele nu putem crea contul, publica anunțul sau emite factura.

3. Scopuri, temeiuri juridice și durate de stocare

Interesul legitim. Pentru fiecare prelucrare întemeiată pe interes legitim am documentat un test de echilibru. Puteți solicita un rezumat al acestuia la office@carvibo.ro.

Retragerea consimțământului. Consimțământul se poate retrage oricând, la fel de ușor cum a fost acordat (din cont, din centrul de preferințe privind cookie-urile sau din linkul de dezabonare), fără a afecta legalitatea prelucrării anterioare.

4. Decizii automatizate și profilare

4.1. Ce utilizăm

Platforma utilizează procese automatizate pentru: scoruri de risc ale anunțurilor (posibile fraude, duplicate, kilometraj neconsecvent); detectarea anunțurilor duplicate; evaluarea poziției prețului față de anunțuri comparabile („Preț bun”); clasamentul dealerilor pe baza unor indicatori de activitate și de calitate a răspunsului; alocarea automată a lead-urilor în echipa unui Dealer (rotație); recomandări de vehicule pe baza vizualizărilor recente, stocate local pe dispozitiv.

4.2. Garanții

Niciunul dintre aceste procese nu produce, exclusiv automat, o decizie care să aibă efecte juridice asupra dvs. sau să vă afecteze în mod similar semnificativ, în sensul art. 22 GDPR. Un semnal de risc poate trece temporar un anunț în verificare, dar eliminarea definitivă a anunțului sau suspendarea contului se decid numai de o persoană. Aveți dreptul de a solicita intervenție umană, de a vă exprima punctul de vedere și de a contesta orice măsură (CVB-LEG-08).

5. Destinatarii datelor

5.1. Persoane împuternicite

Datele sunt comunicate numai furnizorilor care ne prestează servicii, pe baza unui contract conform art. 28 GDPR. Lista actualizată, cu denumirea, sediul și mecanismul de transfer, este publicată pe pagina „Furnizori de servicii” și se actualizează cu cel puțin 15 zile înainte de introducerea unui furnizor nou.

5.2. Destinatari care acționează în nume propriu

Nu vindem date cu caracter personal și nu le transmitem în scopuri de marketing ale terților.

6. Transferuri în afara Spațiului Economic European

Unii furnizori pot prelucra date în afara SEE (de exemplu, în Statele Unite sau în Regatul Unit). Transferurile au loc numai în temeiul unui mecanism prevăzut de Capitolul V GDPR:

• decizie de adecvare: Regatul Unit; Statele Unite, pentru furnizorii certificați în cadrul EU–U.S. Data Privacy Framework (Decizia de punere în aplicare (UE) 2023/1795);
• clauze contractuale standard (Decizia de punere în aplicare (UE) 2021/914), însoțite de o evaluare a impactului transferului și, după caz, de măsuri suplimentare (criptare, pseudonimizare, minimizare).

O copie a garanțiilor aplicabile unui transfer poate fi solicitată la office@carvibo.ro.

7. Drepturile dvs.

Cum vă exercitați drepturile. Din secțiunea „Drepturile mele” a contului (export și ștergere automate) sau prin e-mail la office@carvibo.ro. Răspundem în cel mult o lună, termen ce poate fi prelungit cu încă două luni pentru cereri complexe sau numeroase, cu informarea dvs. în prima lună (art. 12 alin. (3) GDPR). Exercitarea drepturilor este gratuită; pentru cereri vădit nefondate sau excesive putem percepe o taxă rezonabilă sau putem refuza, cu motivare. Putem solicita informații suplimentare pentru confirmarea identității.

Ediția carvibo.com. Persoanele din alte state membre pot depune plângere și la autoritatea de supraveghere din statul de reședință, de muncă sau al presupusei încălcări (art. 77 GDPR). ANSPDCP este autoritatea principală în raport cu Carvibo (art. 56 GDPR).

8. Securitatea datelor

Aplicăm măsuri tehnice și organizatorice adecvate riscului (art. 32 GDPR), între care: criptarea conexiunilor (TLS); stocarea parolelor exclusiv sub formă de hash; autentificare în doi pași; separarea accesului pe roluri și izolarea datelor între Dealeri, verificată prin teste automate la fiecare versiune; mascarea VIN-ului; jurnalizarea accesului administrativ; dublă confirmare pentru acțiunile distructive; limitarea ratei cererilor; copii de siguranță criptate, păstrate în afara serverului principal; teste de regresie de securitate. Datele cardului sunt procesate exclusiv de furnizorii de plăți certificați PCI DSS.

Încălcarea securității datelor. În cazul unei încălcări care prezintă un risc, notificăm ANSPDCP în cel mult 72 de ore de la constatare (art. 33 GDPR), iar dacă riscul pentru drepturile dvs. este ridicat, vă informăm fără întârzieri nejustificate (art. 34 GDPR).

9. Minori

Platforma nu se adresează persoanelor sub 18 ani. Dacă aflăm că un cont aparține unui minor, îl dezactivăm și ștergem datele, cu excepția celor pe care legea ne obligă să le păstrăm.

10. Cookie-uri și stocare locală

Utilizarea cookie-urilor, a stocării locale și a tehnologiilor similare este descrisă în Politica de Cookie-uri (CVB-LEG-03).

11. Modificarea politicii

Actualizăm această politică ori de câte ori modificăm prelucrările. Modificările substanțiale se comunică Utilizatorilor înregistrați prin e-mail și în cont cu cel puțin 15 zile înainte de aplicare; noile prelucrări bazate pe consimțământ nu încep înaintea obținerii acestuia.