Politica de Confidențialitate

Cuprins

1. Cine este cine în prelucrarea datelor
2. Ce date sunt prelucrate
3. Scopuri și temeiuri juridice
4. Sursele datelor
5. Destinatari și subprocesatori
6. Transferuri internaționale și găzduire
7. Securitate
8. Perioade de păstrare
9. Informații pentru utilizatorii portalului
10. Drepturile persoanelor vizate
11. Cookie-uri și stocare locală
12. Contact și reclamații

1. Cine este cine în prelucrarea datelor

• MB Nexus SRL (sediul social: Municipiul București, Sector 3, Str. Nerva Traian nr. 27-33, Sc. B, Et. 1, Birou 6; Registrul Comerțului J2026044946001; CUI 55235101) este operator pentru datele colectate direct în legătură cu:
  • înregistrarea companiilor în platformă și administrarea contului contractual;
  • facturarea abonamentelor;
  • securitatea serviciului;
  • comunicările operaționale și relația comercială.
• Compania-client este operatorul pentru datele pe care le încarcă în platformă despre propriii clienți, angajați sau colaboratori. Pentru aceste date, MB Nexus SRL este persoană împuternicită și le prelucrează în numele companiei (art. 28 GDPR).
• Portal, semnare la distanță, SMS/OTP — când folosiți portalul client, semnați un document prin link sau primiți un SMS/OTP din partea unei companii-client:
  • scopurile principale ale prelucrării sunt stabilite de acea companie-client;
  • solicitările privind relația contractuală sau conținutul documentelor se adresează cu prioritate companiei respective;
  • MB Nexus SRL gestionează cererile legate de securitatea platformei și de datele prelucrate în nume propriu și transmite operatorului relevant solicitările care îl privesc.

Ce NU facem cu datele încărcate în platformă

2. Ce date sunt prelucrate

În funcție de rolul persoanei și de modul de utilizare a platformei:

• Date de identificare și contact: nume, prenume, username, e-mail, telefon, adresă, date de identificare ale companiei, CUI, IBAN.
• Date profesionale ale personalului: numerele autorizațiilor ANRE/ISCIR, imaginea semnăturii și a ștampilei, date despre echipamentele de analiză utilizate.
• Date despre clienții finali și locații:
  • adresă (până la nivel de stradă), telefon, e-mail, coordonate GPS ale locației;
  • echipamente deținute și istoric tehnic (rapoarte, service, verificări);
  • documente încărcate și contracte;
  • imaginea semnăturii olografe aplicate pe documente (rapoarte, fișe, contracte).
• Date cu regim special de protecție tehnică: CNP, seria și numărul cărții de identitate, datele de emitere/expirare ale acesteia și IBAN — stocate criptat (a se vedea secțiunea 7).
• Date privind abonamentul și plățile:
  • planul ales, perioada, sumele facturate și achitate, datele fiscale ale companiei;
  • identificatorul și statusul tranzacției, moneda, momentul plății;
  • eventual, tipul cardului și ultimele patru cifre ale acestuia, primite de la procesatorul de plăți;
  • datele complete de card (număr, dată de expirare, CVV) nu sunt colectate și nu sunt stocate de MB Nexus SRL — ele se introduc exclusiv în mediul securizat al procesatorului de plăți.
• Date tehnice și de securitate: jurnale de autentificare, sesiuni per dispozitiv, adrese IP, user-agent, tokenuri de notificare push, coduri OTP, jurnalul accesului în portal, auditul semnării la distanță, auditul modificărilor de programări.
• Date de comunicare: numărul destinatarului, conținutul SMS-urilor transmise (inclusiv coduri și linkuri), e-mailuri tranzacționale, notificări push.
• Date privind recenziile: scorurile și etichetele acordate de clienți tehnicianului și companiei, prin linkurile unice de recenzie transmise după finalizarea lucrărilor.

3. Scopuri și temeiuri juridice

• Executarea contractului sau demersuri precontractuale (art. 6 alin. (1) lit. b GDPR):
  • înregistrarea companiei și administrarea contului;
  • accesul în platformă și în portal;
  • emiterea și semnarea documentelor;
  • procesarea plății abonamentului și soluționarea cererilor de rambursare;
  • suportul tehnic.
• Îndeplinirea obligațiilor legale (art. 6 alin. (1) lit. c GDPR):
  • păstrarea documentelor tehnice/regulatorii și posibilitatea reproducerii documentelor deja emise;
  • evidențe financiar-contabile și fiscale (facturi, evidența încasărilor).
• Interes legitim (art. 6 alin. (1) lit. f GDPR):
  • securitatea platformei și prevenirea fraudelor (inclusiv a fraudelor la plată);
  • jurnalele tehnice și de acces;
  • notificarea clientului la prima autentificare în portal;
  • continuitatea serviciului și apărarea drepturilor;
  • promovarea serviciilor Inspectra către firmele de service din domeniu, prin reclame afișate pe Facebook/Instagram (secțiunea 4).
• Consimțământ (art. 6 alin. (1) lit. a GDPR), acolo unde este necesar în mod specific:
  • comunicările neesențiale prin SMS (recenzie, reamintire, notificare), pentru care clienții finali au o opțiune de dezabonare;
  • măsurarea reclamelor prin Meta Pixel pe site-ul de prezentare inspectra.ro (secțiunea 11);
  • mesajele esențiale solicitate de client (coduri OTP, linkuri de semnare cerute în cadrul unei lucrări) nu depind de consimțământ — se transmit pe temei contractual.

Promovarea și măsurarea reclamelor de mai sus privesc exclusiv datele prelucrate de MB Nexus SRL în nume propriu, niciodată datele încărcate de companiile-client — a se vedea „Ce NU facem cu datele încărcate în platformă".

4. Sursele datelor

• Direct de la utilizator: la crearea contului, completarea profilului, încărcarea documentelor, utilizarea portalului sau semnarea documentelor.
• De la compania-client, care introduce date despre propriii clienți, tehnicieni și operațiuni.
• De la procesatorul de plăți: rezultatul și identificatorii tranzacțiilor inițiate de utilizator.
• Din utilizarea tehnică a platformei: jurnale, sesiuni, dispozitive, mecanisme de securitate.
• Din surse publice, pentru promovare: datele de contact profesionale (telefon, e-mail) ale firmelor de service centrale termice și instalații de gaz, așa cum sunt publicate de acestea sau în registrele publice ale persoanelor autorizate (ANRE, ISCIR).

Audiențe personalizate Meta

• Ce: pe baza interesului legitim de a ne face cunoscute serviciile firmelor din domeniu, putem încărca datele de contact profesionale din surse publice (de mai sus) în platforma de reclame Meta.
• Cum: datele sunt transformate local într-o amprentă criptografică (hash) înainte de transmitere. Meta le folosește doar pentru a identifica conturile corespunzătoare, apoi le șterge, și nu ne comunică cine a fost identificat.
• Ce nu facem: lista nu este folosită pentru apeluri, SMS-uri sau e-mailuri nesolicitate și nu conține date din platformă.
• Opoziție: vă puteți opune oricând, fără motivare, scriindu-ne la contact@inspectra.ro. Vă eliminăm datele din listă și din audiențele deja create.

5. Destinatari și subprocesatori

Datele pot fi divulgate, strict în măsura necesară, către:

• Furnizorul de hosting — găzduirea aplicației, a bazei de date și a fișierelor.
• Furnizorul SMTP — e-mailuri tranzacționale (resetare parolă, invitații).
• Procesatorul de plăți NETOPIA Payments — procesarea plăților online cu cardul pentru abonamente. Plata se efectuează în mediul securizat al procesatorului, care acționează ca operator independent pentru datele tranzacției (inclusiv datele cardului, pe care Furnizorul nu le primește), potrivit propriei politici de confidențialitate, disponibilă în pagina de plată.
• Google (Firebase Cloud Messaging) — notificări push către dispozitivele native ale personalului.
• Serviciile de push ale browserelor (Google, Mozilla, Apple) — notificări web push.
• WhatsApp Business (Meta Platforms Ireland Ltd., WhatsApp Cloud API) — canalul principal pentru mesajele către clienții finali (linkuri de semnare și de recenzie, confirmări de programare, reamintiri, coduri de acces). Procesează numărul de telefon al destinatarului și conținutul mesajului (șablonul aprobat și valorile completate în el). Dacă numărul nu folosește WhatsApp sau mesajul nu poate fi livrat, același mesaj se trimite prin SMS.
• Serviciul de livrare SMS — furnizorul SMSense și, ca rezervă, releul SMS Gate (api.sms-gate.app) sau o instanță echivalentă operată de Furnizor; procesează numărul de telefon și conținutul mesajului.
• Google (Gemini API) — numai când un utilizator apasă „Caută cu AI" la adăugarea unei centrale, pentru a propune modelul și datele tehnice ale aparatului. Se transmit doar producătorul, numărul de serie și, dacă este cunoscut, codul de produs al echipamentului — fără date despre client (nume, adresă, telefon, CNP). Rezultatul este doar o sugestie, pe care utilizatorul o confirmă sau o respinge.
• Portalurile publice ale producătorilor de centrale — pentru completarea automată a datelor despre echipament:
  • Immergas și Motan primesc numărul de serie al aparatului, ca să identifice modelul;
  • Viessmann primește codul de produs, ca să furnizeze denumirea oficială și manualele;
  • nu se transmit date despre client.
• Motan (activarea extragaranției) — numai când utilizatorul alege „Activează Extragaranție" pentru o centrală Motan și confirmă datele afișate. Se transmit producătorului, care le prelucrează ca operator independent, pentru acordarea garanției: numele și prenumele clientului, telefonul, e-mailul, adresa (județ, localitate, stradă, număr, bloc, scară, apartament), numărul de serie al aparatului și codul de extragaranție.
• ANAF (serviciul web public al contribuabililor) — la înregistrarea unei firme sau la editarea datelor firmei se transmite doar CUI-ul, ca să fie completate automat denumirea, numărul de înregistrare și adresa firmei.
• Meta Platforms Ireland Ltd. — numai pentru vizitatorii site-ului de prezentare inspectra.ro care și-au dat acordul pentru cookie-urile de marketing (Meta Pixel, secțiunea 11):
  • pentru colectarea și transmiterea acestor date, MB Nexus SRL și Meta sunt operatori asociați (art. 26 GDPR), potrivit Anexei privind operatorii a Meta (Meta Controller Addendum);
  • prelucrarea ulterioară se face de Meta ca operator independent, conform politicii sale de confidențialitate;
  • pentru audiențele personalizate create din date de contact publice (secțiunea 4), Meta acționează ca persoană împuternicită, potrivit Termenilor privind audiențele personalizate.
• Serverul de randare PDF operat de Furnizor (pdf.inspectra.ro) — randarea tranzitorie a anumitor documente; conținutul nu este stocat persistent pe acest server.
• Autorități publice, contabilul sau consultanții Furnizorului — atunci când legea o impune ori pentru constatarea, exercitarea sau apărarea unui drept.

De reținut:

• Furnizorul impune subprocesatorilor aceleași obligații de protecție a datelor (art. 28 alin. (4) GDPR).
• Aplicația Inspectra (app.inspectra.ro, portalul client și aplicațiile mobile) nu utilizează instrumente de analytics sau publicitate comportamentală.
• Meta Pixel este folosit exclusiv pe site-ul de prezentare inspectra.ro și numai cu acordul vizitatorului.

6. Transferuri internaționale și găzduire

• Găzduire: datele sunt stocate în principal pe infrastructura de hosting a aplicației și în spațiile de fișiere aferente documentelor generate și încărcate.
• Plăți: procesarea plăților se realizează în România, prin procesatorul menționat la secțiunea 5.
• Notificări push: implică furnizori din afara SEE — Google LLC (Firebase/Chrome), Apple Inc. și Mozilla Corporation — către care se transmit tokenuri de dispozitiv și conținutul notificărilor.
• WhatsApp: mesajele trimise prin WhatsApp Cloud API pot fi prelucrate de Meta Platforms, Inc. și pe infrastructură din afara SEE.
• Funcția „Caută cu AI": datele despre echipament (producător, număr de serie, cod de produs) sunt prelucrate de Google LLC; nu conțin date despre client.
• Meta Pixel: pe site-ul de prezentare, dacă vizitatorul acceptă cookie-urile de marketing, datele colectate pot fi transferate către Meta Platforms, Inc. (SUA).
• Garanții: aceste transferuri sunt acoperite de mecanismele legale aplicabile — Cadrul de Confidențialitate a Datelor UE–SUA (EU-U.S. Data Privacy Framework) și/sau clauze contractuale standard (art. 44–49 GDPR).

7. Securitate

Măsuri tehnice și organizatorice

• comunicații exclusiv HTTPS și cookie-uri marcate Secure;
• protecție CSRF;
• control al accesului pe roluri și pe compania activă (multi-tenant);
• limitarea tentativelor de autentificare;
• tokenuri de sesiune per dispozitiv, stocate sub formă de hash;
• chei și credențiale stocate în afara directorului public al serverului;
• jurnalizarea accesului la funcțiile sensibile.

Protecția CNP și a datelor de identitate

• CNP, seria/numărul cărții de identitate, datele acesteia și IBAN sunt stocate criptat la repaus (AES-256 cu verificare de integritate).
• Căutarea se face prin indexuri criptografice ireversibile (blind index), fără decriptarea datelor.
• Ultimele 4 cifre ale CNP sunt folosite în portal exclusiv ca element de disambiguare la autentificare, nu ca identificator de sine stătător.
• Aceste garanții sunt aplicate în considerarea art. 4 din Legea nr. 190/2018 privind prelucrarea codului numeric personal.

Datele de plată

• Platforma nu primește și nu stochează numărul complet al cardului, data expirării sau codul CVV.
• Acestea sunt introduse și procesate exclusiv de procesatorul de plăți, în mediul său securizat, cu autentificare 3-D Secure.

Încălcarea securității datelor

• Se aplică obligațiile de notificare din art. 33–34 GDPR.
• Autoritatea de supraveghere este notificată în cel mult 72 de ore, atunci când incidentul poate genera un risc pentru drepturile și libertățile persoanelor fizice.
• Persoanele vizate sunt informate în caz de risc ridicat.
• Când Furnizorul acționează ca persoană împuternicită, notifică fără întârziere operatorul afectat.

8. Perioade de păstrare

• Sesiunile persistente („remember me"): maximum 30 de zile, dacă nu sunt revocate mai devreme.
• Linkurile de semnare la distanță: 7 zile, apoi expiră; emiterea unui link nou invalidează linkul anterior.
• Codurile OTP: 5 minute.
• Mesajele SMS netransmise: expiră după 24 de ore.
• Jurnalele tehnice (jurnal SMS, jurnal de acces în portal, tentative de autentificare, audit programări): 12 luni, după care sunt șterse.
• Documentele financiar-contabile (facturi, evidența plăților și a rambursărilor): pe durata impusă de legislația contabilă și fiscală.
• Documentele tehnice, contractele, fișele și rapoartele: cât timp este necesar pentru obligațiile legale de evidență și pentru evidențele companiei-client.
• Ștergerea unui client de către compania-client: datele asociate (echipamente, rapoarte, service, verificări, documente încărcate) se șterg în cascadă.
• Ștergerea unui cont de personal: se aplică mecanismul „tombstone" descris în Termeni și Condiții (secțiunea 14).

9. Informații pentru utilizatorii portalului și semnatarii la distanță

Dacă sunteți client al unei companii care folosește Inspectra:

• Autentificare: accesați portalul pe baza numărului de telefon comunicat companiei de service, a ultimelor 4 cifre ale CNP (persoane fizice) sau a CUI (persoane juridice) și a unui cod unic transmis prin SMS.
• Jurnalizare: accesul în portal este înregistrat (moment, adresă IP, dispozitiv), iar la prima autentificare primiți o notificare prin SMS.
• Doar citire: portalul oferă acces exclusiv de citire la documentele care vă privesc; nicio dată nu poate fi modificată din portal.
• Semnarea prin link: se înregistrează adresa IP, dispozitivul și momentul semnării, ca elemente de probă.
• Schimbarea numărului: dacă vă schimbați numărul de telefon sau folosiți un număr partajat, informați compania de service — accesul se acordă pe baza numărului asociat de aceasta.
• Dezabonare: puteți refuza mesajele SMS neesențiale (recenzii, reamintiri) cerând companiei de service activarea opțiunii de dezabonare; codurile de acces și linkurile de semnare cerute de dumneavoastră nu sunt afectate.

10. Drepturile persoanelor vizate

În condițiile GDPR, persoanele vizate au dreptul la:

• informare și acces;
• rectificare;
• ștergere;
• restricționarea prelucrării;
• portabilitatea datelor;
• opoziție;
• depunerea unei plângeri la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).

• Termen de răspuns: de regulă, cel mult o lună, cu posibilitatea prelungirii cu două luni pentru cereri complexe sau numeroase (art. 12 GDPR).
• Datele companiilor-client: când MB Nexus SRL acționează doar ca persoană împuternicită, cererile sunt transmise operatorului relevant sau soluționate conform instrucțiunilor acestuia (art. 28 alin. (3) lit. e GDPR).

11. Cookie-uri și stocare locală

Aplicația Inspectra

• Cookie-ul de sesiune PHP (esențial) și, opțional, cookie-ul „remember me" (maximum 30 de zile) — ambele marcate Secure; necesare autentificării și menținerii sesiunii.
• Cache-ul service worker — pentru funcționarea offline a aplicației.
• Stocare locală pe dispozitiv (IndexedDB) — pentru drafturile de rapoarte completate offline în aplicația mobilă. Drafturile conțin datele raportului (inclusiv date personale ale clientului) până la sincronizarea cu serverul, când sunt transmise și eliminate de pe dispozitiv.
• Plăți online — sunteți direcționat către mediul procesatorului de plăți, care poate folosi cookie-uri proprii, necesare securității tranzacției și prevenirii fraudelor, conform politicii sale.

Site-ul de prezentare inspectra.ro — Meta Pixel (cookie de marketing, opțional)

• Când se încarcă: numai dacă apăsați „Accept" în bannerul de cookie-uri.
• De ce: ca să măsurăm vizitele venite din reclamele noastre pe Facebook/Instagram și să le putem afișa persoanelor interesate de serviciile noastre.
• Ce înregistrează: paginile vizitate și două acțiuni — apăsarea unui buton de înregistrare și deschiderea unei conversații WhatsApp cu noi.
• Ce transmite către Meta: adresa paginii vizitate, adresa IP, informații despre browser și dispozitiv și identificatori de cookie.
• Cookie-uri setate: _fbp (până la 90 de zile) și, când ajungeți pe site dintr-o reclamă, _fbc (până la 90 de zile).
• Temei: consimțământul dumneavoastră (art. 6 alin. (1) lit. a GDPR și art. 4 alin. (5) din Legea nr. 506/2004).
• Fără acord: pixelul nu se încarcă și nu se transmite nimic către Meta; site-ul funcționează identic.
• Cât se păstrează alegerea: acceptarea sau refuzul se păstrează în stocarea locală a browserului 12 luni, după care vă întrebăm din nou.
• Retragerea acordului: oricând, la fel de ușor cum l-ați dat, din linkul „Setări cookie-uri" din subsolul oricărei pagini a site-ului. La retragere, cookie-urile _fbp/_fbc sunt șterse. Retragerea nu afectează legalitatea prelucrării efectuate anterior.

Legătura dintre site și aplicație

• Alegerea din banner se reține și într-un cookie tehnic, ins_mkt (valoare 1 sau 0, 12 luni), valabil pe toate subdomeniile inspectra.ro.
• Prin el, numai dacă ați acceptat, aplicația transmite către Meta un singur eveniment, „înregistrare finalizată" (cu planul ales și suma plătită), în momentul în care contul firmei a fost creat.
• Cu această excepție, aplicația Inspectra, portalul client și aplicațiile mobile nu utilizează cookie-uri de publicitate sau de urmărire ale terților.

12. Contact și reclamații

• Întrebări privind prelucrarea datelor de către MB Nexus SRL în nume propriu: contact@inspectra.ro sau în scris la sediul social: MB Nexus SRL, Municipiul București, Sector 3, Str. Nerva Traian nr. 27-33, Sc. B, Et. 1, Birou 6.
• Autoritatea de supraveghere: vă puteți adresa și Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) — www.dataprotection.ro.