Politica de confidențialitate (GDPR)

Versiune preliminară GDPR / Politica de confidențialitate Matport

Statut: versiune preliminară internă pentru revizuire juridică și tehnică. Nu se publică înainte ca toate marcajele [DE COMPLETAT], [DE CONFIRMAT] și [PROPUNERE] să fie rezolvate.

Data inventarului tehnic: 27 august 2026
Sursa inventarului: codul și documentația din repository-ul Matport. Conversațiile istorice din alte sesiuni de chat nu au fost disponibile în acest workspace.

1. Identitatea operatorului

Operatorul platformei Matport este:

• denumire juridică: [DE COMPLETAT];
• formă juridică, CUI și număr Registrul Comerțului: [DE COMPLETAT];
• sediu social: [DE COMPLETAT];
• email pentru confidențialitate: legal@matport.ro [DE CONFIRMAT că există și este monitorizat];
• email general: office@matport.ro;
• responsabil cu protecția datelor (DPO), dacă a fost desemnat: [DE COMPLETAT / nu este desemnat].

În acest document, „Matport”, „noi” sau „operatorul” înseamnă entitatea de mai sus.

2. Cui și când i se aplică politica

Politica se aplică persoanelor fizice care:

• vizitează site-ul sau folosesc aplicația Matport;
• creează sau folosesc un cont de cumpărător ori vânzător;
• reprezintă, administrează sau lucrează pentru o companie înregistrată;
• sunt invitate ca membri ai unei companii sau ai echipei Matport;
• apar în documente, fotografii, comunicări, comenzi, livrări ori sesizări procesate în platformă;
• contactează Matport sau formulează o cerere privind datele personale.

GDPR protejează persoanele fizice. Date precum denumirea, sediul, CUI-ul sau numărul de înregistrare al unei societăți nu sunt, singure, date personale ale societății. Ele pot deveni însă date personale când identifică o persoană fizică, inclusiv un reprezentant, angajat, PFA, II/IF sau o persoană al cărei domiciliu coincide cu sediul profesional.

Companiile care folosesc Matport pot avea propriile obligații de operator pentru datele angajaților, reprezentanților sau partenerilor pe care le introduc în platformă. [DE CONFIRMAT contractual rolurile Matport și ale companiilor pentru fiecare flux].

3. Ce date rezultă din implementarea actuală

3.1. Cont, autentificare și profil

Putem prelucra:

• identificatorul tehnic al contului (Firebase UID), numele complet, emailul și numărul de telefon;
• parola și datele de autentificare, administrate de Firebase Authentication; parola nu este salvată în colecțiile Firestore ale Matport;
• fotografia de profil și identificatorul fișierului din Cloudinary;
• funcția/rolul în companie, rolurile în platformă și apartenența la companie;
• metoda de autentificare, starea contului, verificarea emailului și pașii de înregistrare;
• preferința de notificare (email, SMS sau ambele), codul de recomandare și cine a trimis invitația;
• momentele creării, actualizării, invitării, acceptării termenilor și finalizării onboardingului;
• IP, user-agent și evenimente tehnice de autentificare prelucrate de Firebase și infrastructură pentru funcționare, securitate și prevenirea abuzului.

Google Sign-In este opțional. Dacă este ales, Google transmite Matport datele de bază permise de utilizator, de regulă UID-ul furnizorului, numele, emailul, fotografia și starea de verificare a emailului.

3.2. Date despre companie și reprezentanții săi

Putem prelucra:

• denumirea, CUI-ul, numărul de înregistrare, țara, județul, localitatea, codul poștal și sediul;
• telefonul și website-ul companiei;
• statutul verificării, motivul unei aprobări sau respingeri și identitatea administratorului care a făcut verificarea;
• membrii companiei, emailul, numele, rolul, starea și istoricul invitației;
• date consultate temporar prin serviciul CUIScan din surse ANAF/ONRC: statut, plătitor TVA, TVA la încasare, cod și denumire CAEN, formă juridică și data înregistrării. Implementarea curentă salvează în profilul companiei numai subsetul completat în formular; restul trebuie verificat printr-un test de producție.

3.3. Verificarea companiei și identității (KYC)

Fluxul actual solicită:

• fotografia certificatului de înregistrare al firmei;
• fotografia cărții de identitate a reprezentantului, față și verso;
• un selfie al reprezentantului;
• numele fișierului, tipul, formatul, URL-ul și ID-ul Cloudinary;
• UID-ul persoanei care a încărcat documentul, ID-ul sesiunii de captură, starea și marcajele de timp.

Cartea de identitate poate conține implicit nume, fotografie, CNP, serie și număr, cetățenie, sex, data și locul nașterii, domiciliu, semnătură și alte elemente tipărite pe document. Aceste câmpuri nu sunt extrase separat de codul analizat, dar imaginea le conține și, prin urmare, sunt prelucrate.

Codul analizat nu efectuează recunoaștere facială, potrivire biometrică automată sau creare de șabloane biometrice. Selfie-ul nu trebuie descris drept „dată biometrică din categoria specială” cât timp nu este prelucrat tehnic pentru identificarea unică. Introducerea ulterioară a unui asemenea sistem schimbă substanțial analiza și poate activa art. 9 GDPR.

Nu solicităm intenționat date privind sănătatea, originea rasială sau etnică, opiniile politice, religia, apartenența sindicală, viața sexuală ori condamnările penale. Utilizatorii nu trebuie să le includă în câmpuri libere sau fotografii. Dacă apar incidental, accesul și păstrarea trebuie limitate.

3.4. Adrese și localizare

Putem prelucra:

• eticheta adresei, numele destinatarului, telefonul, strada, localitatea, județul, codul poștal și țara;
• adresa și codul poștal de livrare salvate în comandă;
• adresa, codul poștal, latitudinea și longitudinea locației materialelor/listării;
• textul căutat sau coordonatele selectate, transmise către Photon/Komoot pentru geocodare și către OpenStreetMap când este deschisă harta;
• codul analizat folosește selecția manuală pe hartă și coordonate; nu a fost identificată solicitarea poziției GPS a dispozitivului. Dacă va fi adăugată, informarea trebuie actualizată înainte de activare.

Adresele profesionale pot reprezenta date personale dacă indică domiciliul unei persoane.

3.5. Listări, coș, oferte, comenzi, plăți și transport

Putem prelucra:

• titlul și descrierea listării, categorie, marcă/model, stare, preț, stoc, cantitate minimă și opțiuni de livrare;
• imaginile materialelor, datele paletului, locația de ridicare și declarația de răspundere a vânzătorului;
• conținutul coșului, produsele favorite și ciornele de listări;
• cantitatea, prețul propus, mesajele și istoricul acceptării/refuzului unei oferte;
• ID-urile cumpărătorului, vânzătorului și companiilor, produsele, cantitățile, prețurile, TVA-ul, totalul, moneda și stările comenzii;
• adresa de livrare, metoda de livrare, metoda și starea plății;
• proforma, numărul documentului, scadența și confirmarea transferului;
• transportatorul, referința/tracking number, tracking URL, costul transportului, datele estimate și efective de ridicare/livrare;
• fotografii logistice ale materialelor/paleților și marcajele aferente ștergerii lor.

Versiunea analizată acceptă numai transfer bancar și nu solicită/stochează date de card. Dacă se adaugă un procesator de plăți, politica și inventarul modulelor cookie trebuie actualizate înainte de activare.

3.6. Comunicări și conținut generat de utilizatori

Putem prelucra:

• conversațiile cumpărător–vânzător, mesajele, expeditorul, compania și raportările de abuz;
• tichetele de suport, subiectul, categoria, prioritatea, conținutul, expeditorul, emailul, responsabilul și notele interne;
• retururile/disputele, motivul, descrierea, soluția cerută, răspunsurile și rezoluția Matport;
• recenziile, ratingul, titlul, textul, răspunsul vânzătorului și motivul moderării;
• notificările din aplicație și emailurile tranzacționale;
• cererile de acces/export sau ștergere și notele interne de soluționare.

Mesajele pot fi consultate de participanți. Administratorii Matport le pot consulta pentru moderare, suport, investigații și soluționarea raportărilor, conform drepturilor definite în aplicație.

3.7. Date administrative, de securitate și utilizare tehnică

Putem prelucra:

• UID-uri, roluri și stări pentru ownerii și agenții de suport;
• jurnale de audit cu actorul, acțiunea, ținta, motivul și marcajul de timp;
• IP, user-agent, URL/rută, request ID, țară aproximativă, marcaje de timp, răspunsuri HTTP și evenimente de securitate disponibile furnizorilor de găzduire și autentificare;
• erori tehnice și stack trace în preview-ul Lovable; codul analizat transmite ruta și detalii de eroare numai când hook-urile editorului Lovable sunt prezente;
• informații stocate pe dispozitiv, descrise în politica privind modulele cookie și tehnologiile similare.

4. Sursele datelor

Datele pot proveni:

• direct de la persoana vizată;
• de la ownerul sau un alt reprezentant autorizat al companiei care invită membri;
• de la Google, dacă persoana alege Google Sign-In;
• din registre/surse publice ANAF și ONRC, accesate în implementarea curentă prin CUIScan;
• de la cealaltă companie participantă la o tranzacție, transportator sau participant la o dispută;
• automat, de la dispozitiv, browser și furnizorii tehnici, când este folosit serviciul.

Persoana care introduce datele altcuiva trebuie să fie autorizată să o facă și să îi ofere informarea necesară.

5. Scopuri și temeiuri juridice — versiune preliminară

Nu condiționăm serviciul de un consimțământ pentru o prelucrare care este obiectiv necesară contractului sau interesului legitim. Caseta denumită în cod gdprLogisticsConsent este obligatorie pentru comandă; înainte de lansare trebuie decis dacă fotografiile logistice sunt realmente necesare. Dacă da, textul trebuie formulat ca informare/confirmare, nu ca un consimțământ „liber” fictiv. Dacă nu sunt necesare, utilizatorul trebuie să poată refuza fără a pierde serviciul de bază.

6. Date obligatorii și consecința refuzului

Câmpurile marcate obligatorii în interfață sunt necesare pentru crearea contului, verificarea companiei, plasarea și livrarea comenzilor ori soluționarea solicitărilor. Fără ele este posibil să nu putem furniza funcția cerută. Datele opționale (de exemplu website, fotografie de profil, referral sau marketing) nu trebuie să condiționeze accesul la funcțiile de bază.

7. Cui divulgăm datele

În funcție de operațiune, datele pot fi accesibile:

• cumpărătorului, vânzătorului și membrilor autorizați ai companiilor participante;
• administratorilor principali și agenților de asistență Matport, în limita rolului și necesității;
• transportatorilor sau intermediarilor logistici aleși pentru comandă [lista și fluxul exact de date trebuie documentate înaintea integrării Pall-Ex/bursei de transport];
• Google/Firebase — autentificare și Firestore;
• Netlify — găzduire, CDN, randare pe server, funcții și loguri;
• Cloudinary — fotografii de profil, listări, documente KYC și dovezi logistice;
• Resend — trimiterea codurilor și emailurilor tranzacționale;
• CUIScan și sursele sale ANAF/ONRC — verificarea datelor companiei;
• Komoot/Photon și OpenStreetMap — căutare adresă, geocodare și hartă;
• consultanți juridici, contabili, auditori, asigurători sau furnizori de securitate, dacă este necesar;
• autorități și instanțe, când există o cerere legală sau este necesară apărarea unui drept.

Nu vindem date personale. O campanie sau funcție viitoare de marketing nu trebuie activată înainte de actualizarea informării și, unde este necesar, obținerea consimțământului.

8. Transferuri în afara SEE

Unele servicii pot prelucra date în afara Spațiului Economic European. Documentația Firebase arată că Firebase Authentication rulează din centre de date din SUA; Firestore este configurat în documentația proiectului pentru europe-west3, dar locația efectivă trebuie verificată în consola Firebase. Netlify, Cloudinary, Resend și subprocessatorii lor pot utiliza infrastructură globală.

Înainte de producție, operatorul trebuie să:

• accepte/arhiveze acordurile de prelucrare (DPA) pentru fiecare furnizor;
• verifice subprocessatorii și locațiile reale;
• documenteze mecanismul de transfer aplicabil (decizie de adecvare, EU–US Data Privacy Framework, clauze contractuale standard și măsuri suplimentare, după caz);
• facă o evaluare a transferului când este necesar;
• ofere, la cerere, informații despre garanțiile aplicabile.

9. Perioade de păstrare — propunere de aprobat și implementat

La expirarea termenului, datele vor fi șterse sau anonimizate, dacă nu există obligație legală, litigiu ori necesitate documentată de păstrare. Perioadele de mai sus sunt neaplicabile până când procesele automate și procedurile operaționale sunt efectiv implementate și testate.

10. Securitate

Măsurile observate în proiect includ HTTPS prin furnizori, autentificare Firebase, reguli Firestore, separarea operațiunilor sensibile în funcții pe server, verificarea rolurilor, încărcări Cloudinary semnate și jurnale de audit. Accesul este diferențiat între utilizator, companie, asistență și administrator principal.

Nicio măsură nu elimină complet riscul. Operatorul trebuie să mențină controlul accesului, MFA pentru administratori, rotația secretelor, copii de siguranță, testarea Firestore Rules, gestionarea incidentelor și instruirea persoanelor cu acces la KYC.

11. Drepturile persoanei vizate

În condițiile GDPR, persoana poate solicita:

• informare și acces la date;
• rectificare;
• ștergere;
• restricționarea prelucrării;
• portabilitate, când sunt îndeplinite condițiile;
• opoziție la prelucrările bazate pe interes legitim și la marketing direct;
• retragerea consimțământului, fără a afecta prelucrarea anterioară;
• să nu facă obiectul unei decizii exclusiv automate cu efect juridic sau similar semnificativ;
• depunerea unei plângeri la ANSPDCP și introducerea unei acțiuni în justiție.

Cererile se trimit la legal@matport.ro [DE CONFIRMAT] sau din setările contului. Putem cere informații rezonabile pentru verificarea identității. Răspundem, în principiu, în cel mult o lună; termenul poate fi prelungit cu încă două luni în cazurile complexe, cu informarea persoanei.

Aplicația permite momentan înregistrarea unei cereri de export sau ștergere și actualizarea manuală a stării de către administratorul principal. Nu există încă generare reală de export, ștergere transversală ori anonimizare; această diferență trebuie remediată înainte ca funcția să fie prezentată drept completă.

Plângerile pot fi depuse la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP): www.dataprotection.ro.

12. Decizii automate și profilare

Codul analizat nu arată decizii exclusiv automate cu efect juridic sau similar semnificativ. Verificarea companiei și moderarea sunt decise de administratori. Filtrarea tehnică, validarea câmpurilor, actualizarea stocului și schimbarea etapelor comenzii nu reprezintă, în forma observată, profilare în sensul art. 22 GDPR. Orice evaluare automată antifraudă, verificare facială sau eligibilitate automată introdusă ulterior necesită o analiză nouă.

13. Minori

Matport este o piață B2B destinată reprezentanților și profesioniștilor autorizați. Conturile nu sunt destinate persoanelor sub 18 ani [DE INTRODUS și în Termeni, dacă aceasta este decizia comercială].

14. Modificări

Politica va purta un număr de versiune și data intrării în vigoare. Modificările materiale vor fi comunicate prin platformă sau email înainte de a produce efecte, când legea ori impactul schimbării impune acest lucru. Istoricul versiunilor trebuie arhivat.

15. Probleme de conformitate de închis înainte de producție

• Completați identitatea operatorului și canalul real pentru cereri GDPR.
• Aprobați matricea scop–temei–retenție și efectuați LIA pentru KYC, moderare, audit și antifraudă.
• Evaluați necesitatea unei DPIA pentru fluxul CI + selfie + acces administrativ la scară.
• Implementați ștergerea KYC după termen, exportul real și ștergerea/anonimizarea transversală.
• Înregistrați separat versiunea Termenilor și versiunea informării prezentate; politica de confidențialitate se confirmă ca fiind citită, nu se „acceptă” ca temei general.
• Clarificați temeiul fotografiilor logistice obligatorii și schimbați denumirea gdprLogisticsConsent dacă prelucrarea este necesară serviciului.
• Verificați locația Firestore, DPA-urile, subprocessatorii și transferurile internaționale.
• Protejați fișierele KYC la nivel Cloudinary prin livrare autentificată/privată și URL-uri cu valabilitate limitată. Încărcarea standard observată întoarce un secure_url; restricția Firestore asupra metadatelor nu este suficientă dacă fișierul rămâne public prin URL.
• Limitați accesul utilizatorilor la documentele KYC: regulile actuale permit tuturor membrilor autentificați ai aceleiași companii să citească metadatele/documentele; aplicați principiul accesului strict necesar.
• Eliminați automat matport-last-order din browser sau aplicați TTL; acesta poate conține adresa de livrare și nu are expirare.
• Testați regulile Firestore și separarea rolurilor de administrator principal și asistență pentru conversații, tichete, documente și rapoarte.
• Definiți procedura de incident și registrul operațiunilor de prelucrare (art. 30 GDPR).
• Revizuiți politica privind modulele cookie și încărcările terțe înainte de orice analiză și marketing.

16. Surse juridice și tehnice folosite la redactare

• Regulamentul (UE) 2016/679 — text oficial EUR-Lex
• Legea nr. 506/2004 — Portal Legislativ
• Legea contabilității nr. 82/1991, art. 25 — Portal Legislativ
• EDPB, Guidelines 05/2020 privind consimțământul
• CJUE, cauza C-673/17 Planet49
• Firebase — Privacy and Security
• Netlify — GDPR/CCPA și DPA
• Cloudinary — DPA
• Resend — Legal/DPA/Subprocessors