Politica de confidențialitate
Ultima actualizare: 23 iulie 2026 · Conformă cu GDPR (Regulamentul UE 2016/679) și Legea 190/2018
Pe scurt: Colectăm doar datele necesare pentru funcționarea platformei. Nu vindem datele tale. Nu le transmitem terților fără consimțământul tău, cu excepțiile legale. Ai dreptul complet de acces, rectificare, ștergere și restricție a prelucrării datelor tale.
1. Cine suntem (Operator de date)
Operatorul de date personale este Habitimo, platformă digitală disponibilă la habitimo.ro. Ne poți contacta pentru orice problemă legată de protecția datelor la: gdpr@habitimo.ro.
Habitimo nu are un Responsabil cu Protecția Datelor (DPO) desemnat formal, întrucât volumul prelucrărilor nu impune această obligație conform GDPR Art. 37. Orice solicitare GDPR se adresează direct operatorului la adresa de mai sus.
2. Ce date colectăm
Date furnizate direct de tine
- Nume și prenume
- Adresă de email
- Număr de telefon
- Tip utilizator (chiriaș / proprietar)
- Preferințe de locuință (buget, zonă, tip proprietate)
- Informații despre proprietăți (pentru proprietari: adresă, suprafață, dotări, fotografii)
- Date de contact ale proprietarilor (număr de telefon) — vizibile chiriașilor cu care există o conversație activă
- Date pentru contracte (furnizate opțional pentru generarea unui contract de închiriere)
Date colectate automat
- Adresa IP și informații tehnice ale dispozitivului
- Istoricul sesiunilor și paginilor vizitate
- Cookie-uri funcționale și analitice (cu consimțământ — vezi Politica de cookies)
- Conversațiile cu agentul AI Habi (șterse automat după 90 de zile de la ultima interacțiune)
- Metadate ale mesajelor între utilizatori (dată, oră, stare livrare)
Date pe care NU le colectăm pentru înregistrare
- CNP sau serie/număr de buletin — nu sunt solicitate la înregistrare; sunt colectate exclusiv în contextul generării unui contract de închiriere (temeiul legal: Art. 6(1)(b) GDPR — necesitate contractuală; Art. 6(1)(c) GDPR — obligația proprietarului de a înregistra contractul la ANAF; și Legea 190/2018 Art. 4 pentru prelucrarea CNP ca identificator național); scanarea buletinului este opțională — datele pot fi introduse și manual, fără fotografiere; sunt partajate cu cealaltă parte contractantă; sunt criptate la nivel de infrastructură (Supabase) și afișate mascate în toate ecranele aplicației — excepție: contractul de închiriere semnat digital afișează CNP-ul complet al ambelor părți, practică standard pentru un document cu forță juridică în România
- Date bancare sau de card (procesate exclusiv și direct de Stripe, fără a trece prin serverele noastre)
- Date sensibile conform GDPR Art. 9 (sănătate, origine etnică, opinii politice, religie)
3. Scopurile prelucrării și temeiul legal
| Scop | Temei legal | Perioadă |
|---|---|---|
| Crearea și gestionarea contului | Contract (Art. 6(1)(b)) | Durata contului + 2 ani |
| Recomandări AI personalizate | Consimțământ (Art. 6(1)(a)) | Durata contului |
| Procesarea plăților | Contract (Art. 6(1)(b)) | 5 ani (obligație fiscală) |
| Moderarea mesajelor | Obligație legală (Art. 6(1)(c)) | 6 luni de la semnalare |
| Comunicări despre serviciu | Interes legitim (Art. 6(1)(f)) | Durata contului |
| Newsletter / oferte | Consimțământ (Art. 6(1)(a)) | Până la dezabonare |
| Securitate și antifraudă | Interes legitim (Art. 6(1)(f)) | 1 an |
| Generarea contractului de închiriere (CNP, serie CI, expirare CI, emitent CI) | Contract (Art. 6(1)(b)) + obligație legală (Art. 6(1)(c), înregistrare ANAF) + Legea 190/2018 Art. 4 | Durata contractului + 5 ani (obligație fiscală/juridică) |
| Respectarea obligațiilor legale | Obligație legală (Art. 6(1)(c)) | Conform legii |
4. Cui transmitem datele
Transmitem datele tale exclusiv partenerilor necesari furnizării serviciului:
- Supabase Inc. — infrastructură baze de date și autentificare (SUA, certificare SOC 2 Type II)
- Anthropic PBC — procesare conversații asistent virtual (SUA; datele nu sunt stocate permanent și nu sunt utilizate pentru antrenarea modelelor AI conform acordului de procesare a datelor)
- Stripe Payments Europe, Ltd. — procesare plăți (Irlanda/UE, certificare PCI DSS Level 1)
- Resend Inc. — trimitere email-uri tranzacționale (SUA)
- Vercel Inc. — hosting și livrare aplicație web (SUA/UE)
- Mindee SAS — procesare OCR pentru fotografiile actelor de identitate furnizate opțional în procesul de completare a contractului (Franța/UE; imagini procesate și șterse imediat după extragere, nefiind stocate)
- Twilio Inc. / Meta Platforms (WhatsApp) — trimitere notificări prin SMS și WhatsApp (SUA; conținut limitat la notificări tranzacționale, fără date personale sensibile)
- Upstash Inc. — stocare temporară Redis pentru protecție antibot și rate limiting (SUA; stochează exclusiv adrese IP anonimizate și contoare de cereri, fără date personale identificabile, cu expirare automată)
Toți partenerii au semnat Acorduri de Prelucrare a Datelor (DPA) conforme GDPR. Transferurile internaționale către SUA sunt protejate prin Clauze Contractuale Standard (SCC) adoptate de Comisia Europeană sau prin mecanismul EU-US Data Privacy Framework.
Nu vindem datele tale niciodată.
5. Prelucrare automată și profilare
Platforma utilizează algoritmi AI pentru a genera recomandări personalizate de proprietăți și pentru a adapta răspunsurile agentului Habi la profilul tău (buget, zonă preferată, tip locuință, istoricul conversațiilor). Aceasta constituie profilare în sensul GDPR Art. 4(4).
Habitimo nu ia decizii exclusiv automate care să producă efecte juridice sau efecte semnificative similare asupra ta (conform GDPR Art. 22). Toate recomandările AI au caracter informativ și nu determină automat acceptarea sau respingerea niciunei solicitări.
Poți refuza profilarea pentru recomandări personalizate contactând gdpr@habitimo.ro — în acest caz vei continua să beneficiezi de funcționalitățile de bază ale platformei.
6. Drepturile tale
Dreptul de acces (Art. 15)
Poți solicita o copie a datelor deținute despre tine.
Dreptul de rectificare (Art. 16)
Poți corecta datele incorecte sau incomplete.
Dreptul la ștergere (Art. 17)
Poți solicita ștergerea datelor, cu excepțiile legale.
Dreptul la restricție (Art. 18)
Poți cere limitarea prelucrării în timp ce o contestație este rezolvată.
Dreptul la portabilitate (Art. 20)
Primești datele în format structurat (JSON/CSV).
Dreptul de opoziție (Art. 21)
Te poți opune prelucrării bazate pe interes legitim sau profilării.
Retragerea consimțământului (Art. 7)
Poți retrage oricând consimțământul, fără efecte retroactive.
Poți exercita drepturile direct din platformă sau prin email la gdpr@habitimo.ro. Răspundem în maximum 30 de zile calendaristice.
Trimite o cerere GDPR →Ai dreptul să depui o plângere la ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal — dataprotection.ro).
7. Securitatea datelor
Utilizăm criptare TLS 1.2+ pentru toate comunicațiile, criptare la repaus pentru datele sensibile, autentificare securizată gestionată de Supabase Auth și audituri periodice de securitate. Câmpuri deosebit de sensibile (ex. IBAN) sunt criptate suplimentar la nivel de aplicație (AES-256-GCM), separat de criptarea la nivel de infrastructură — chiar și cu acces direct la baza de date, valoarea nu poate fi citită fără cheia dedicată de criptare. Accesul administrativ este protejat prin autentificare în doi pași, iar tentativele repetate de autentificare eșuată sau accesul neautorizat la zona de administrare sunt înregistrate și generează alertă automată. Parolele utilizatorilor sunt gestionate exclusiv de Supabase Auth și nu sunt stocate în text clar în bazele noastre de date. Utilizatorii pot activa opțional autentificarea în doi pași (2FA/TOTP) pe propriul cont, din Setări.
8. Notificări privind breșele de securitate
În cazul unui incident de securitate care implică date cu caracter personal și care prezintă un risc pentru drepturile tale, Habitimo va notifica ANSPDCP în termen de 72 de ore de la constatarea breșei, conform GDPR Art. 33.
Dacă breșa prezintă un risc ridicat pentru drepturile și libertățile tale, vei fi notificat direct prin email, fără întârzieri nejustificate, cu informații despre natura incidentului, datele afectate și măsurile luate (GDPR Art. 34).
9. Cookie-uri
Detalii complete despre utilizarea cookie-urilor și a stocării locale se găsesc în Politica de cookies.
10. Modificări
Vom notifica utilizatorii prin email cu privire la orice modificare semnificativă a acestei politici, cu cel puțin 14 zile înainte de intrarea în vigoare. Versiunile anterioare pot fi solicitate la gdpr@habitimo.ro.