Politica de confidențialitate
Elaborată în conformitate cu Regulamentul (UE) 2016/679 (GDPR) și Legea nr. 190/2018
Pe scurt: Habitimo prelucrează numai datele necesare scopurilor descrise în această politică. Nu vindem datele tale cu caracter personal. Putem transmite anumite date furnizorilor implicați în funcționarea platformei, celeilalte părți contractante sau autorităților, în baza unui temei legal aplicabil (vezi secțiunea 4). Beneficiezi de drepturile prevăzute de GDPR, în condițiile și cu limitele stabilite de lege (vezi secțiunea 6).
1. Cine suntem (Operator de date)
Operatorul de date personale este Habitimo SRL, cu sediul în Str. Radu Beller, Sector 1, Municipiul București, CUI 55078775, nr. înreg. J2026042272001, platformă digitală disponibilă la habitimo.ro. Pentru întrebări și solicitări privind protecția datelor ne poți contacta la gdpr@habitimo.ro.
Desemnarea unui Responsabil cu Protecția Datelor (DPO) devine obligatorie în condițiile Art. 37 GDPR. Am evaluat intern acest criteriu și, la dimensiunea și tipul actual de prelucrare, desemnarea unui DPO formal nu este încă necesară. Reevaluăm periodic pe măsură ce platforma crește.
2. Ce date colectăm
Date furnizate direct de tine
- Nume și prenume
- Adresă de email
- Număr de telefon
- Tip utilizator (chiriaș / proprietar)
- Preferințe de locuință (buget, zonă, tip proprietate)
- Informații despre proprietăți (pentru proprietari: adresă, suprafață, dotări, fotografii)
- Date de contact ale proprietarilor (număr de telefon), vizibile chiriașilor cu care există o conversație activă
- Date pentru contracte (furnizate opțional pentru generarea unui contract de închiriere)
Date colectate automat
- Adresa IP și informații tehnice ale dispozitivului
- Istoricul sesiunilor și paginilor vizitate
- Cookie-uri funcționale și analitice (cu consimțământ, vezi Politica de cookies)
- Conversațiile cu agentul AI Habi (șterse automat după 90 de zile de la ultima interacțiune)
- Metadate ale mesajelor între utilizatori (dată, oră, stare livrare), păstrate pe durata contractului + 30 de zile
Date pe care NU le colectăm pentru înregistrare
- CNP sau serie/număr de buletin: nu sunt solicitate la înregistrare; sunt colectate exclusiv în contextul generării unui contract de închiriere, la cererea utilizatorului (temeiul legal: Art. 6(1)(b) GDPR, necesitate contractuală, cu garanțiile suplimentare prevăzute de Art. 4 din Legea nr. 190/2018 pentru identificatori naționali). Obligația de înregistrare a contractului la ANAF revine proprietarului, nu Habitimo. Scanarea buletinului este opțională, iar datele pot fi introduse și manual, fără fotografiere; datele sunt partajate doar cu cealaltă parte contractantă; sunt criptate suplimentar la nivel de aplicație (AES-256-GCM, același standard folosit pentru IBAN) și afișate mascate în toate ecranele aplicației, cu o singură excepție: contractul de închiriere semnat digital afișează CNP-ul complet al ambelor părți, necesar identificării fără echivoc a părților într-un document cu forță juridică
- Date bancare sau de card (procesate exclusiv și direct de Stripe, fără a trece prin serverele noastre)
- Date sensibile conform GDPR Art. 9 (sănătate, origine etnică, opinii politice, religie): nu solicităm și nu utilizăm intenționat astfel de date pentru recomandări sau scoruri de compatibilitate. Te rugăm să nu introduci asemenea informații în conversațiile cu Habi, în mesaje sau în anunțuri; dacă apar accidental, nu sunt folosite pentru stabilirea scorurilor de potrivire.
3. Scopurile prelucrării și temeiul legal
| Scop | Temei legal | Perioadă |
|---|---|---|
| Crearea și gestionarea contului | Contract (Art. 6(1)(b)) | Durata contului + 2 ani |
| Recomandări AI și scor de compatibilitate (funcționalitate solicitată de tine) | Contract (Art. 6(1)(b)) | Durata contului |
| Folosirea conversațiilor anonimizate pt. îmbunătățirea Habi | Consimțământ (Art. 6(1)(a)), opțional, activabil/dezactivabil din Setări | Până la retragere |
| Procesarea plății (taxă de platformă, chirie, garanție); chiria și garanția tranzitează contul Habitimo prin Stripe și sunt virate proprietarului la scurt timp după încasare, conform Termenilor | Contract (Art. 6(1)(b)) | 5 ani (obligație fiscală și de reconciliere financiară) |
| Mesaje între chiriaș și proprietar | Contract (Art. 6(1)(b)) | Durata contractului + 30 de zile |
| Conversațiile cu agentul AI Habi | Contract (Art. 6(1)(b)), pentru conversația solicitată; interes legitim (Art. 6(1)(f)) pentru păstrarea tehnică | 90 de zile de la ultima interacțiune |
| Moderarea mesajelor semnalate | Interes legitim (Art. 6(1)(f)), prevenirea fraudei/abuzului; obligație legală doar unde impusă concret | 6 luni de la semnalare |
| Comunicări despre serviciu | Interes legitim (Art. 6(1)(f)) | Durata contului |
| Newsletter / oferte | Consimțământ (Art. 6(1)(a)) | Până la dezabonare |
| Securitate și antifraudă | Interes legitim (Art. 6(1)(f)) | 1 an |
| Generarea contractului de închiriere (CNP, serie CI, expirare CI, emitent CI) | Contract (Art. 6(1)(b)), cu garanțiile Legii 190/2018 Art. 4 | Durata contractului + 5 ani |
| Respectarea obligațiilor legale | Obligație legală (Art. 6(1)(c)) | Conform legii |
4. Cui transmitem datele
Transmitem datele tale partenerilor necesari furnizării serviciului. Majoritatea acționează ca împuterniciți (procesează date doar conform instrucțiunilor noastre), dar unii, în special Stripe și Meta (WhatsApp), pot acționa și ca operatori independenți pentru propriile scopuri (prevenirea fraudei, conformitate legală, îmbunătățirea propriilor servicii), conform politicilor lor de confidențialitate:
- Supabase Inc., pentru infrastructură baze de date și autentificare (SUA, certificare SOC 2 Type II)
- Anthropic PBC, pentru procesare conversații asistent virtual (SUA; în configurația standard API, datele pot fi păstrate de Anthropic până la 30 de zile, cu excepțiile din documentația furnizorului, și nu sunt utilizate pentru antrenarea modelelor conform acordului de procesare a datelor)
- Stripe Payments Europe, Ltd., pentru procesare plăți (Irlanda/UE, certificare PCI DSS Level 1); pentru prevenirea fraudei și conformitate legală, Stripe poate acționa ca operator independent
- Resend Inc., pentru trimitere email-uri tranzacționale (SUA)
- Vercel Inc., pentru hosting și livrare aplicație web (SUA/UE)
- Twilio Inc. / Meta Platforms (WhatsApp), pentru trimitere notificări prin SMS și WhatsApp (SUA; conținut limitat la notificări tranzacționale; Meta poate acționa ca operator independent conform propriilor politici pentru infrastructura WhatsApp)
- Upstash Inc., pentru stocare temporară Redis pentru protecție antibot și rate limiting (SUA; stochează identificatori tehnici pseudonimizați derivați din adresa IP și contoare de cereri, cu expirare automată)
- Sentry (Functional Software, Inc.), pentru monitorizare erori tehnice ale aplicației (SUA; adresa IP nu e colectată implicit; textul erorilor este filtrat automat pentru a elimina CNP, IBAN și adrese de email înainte de transmitere)
- OpenStreetMap Foundation (Nominatim), pentru geocodare adresă (transformarea adresei scrise în coordonate pentru hartă); UK, date deschise, fără cont/cheie de acces
- Google LLC (Google Maps Platform), pentru geocodare adresă, dacă activată (SUA; certificare EU-US Data Privacy Framework)
Toți partenerii care acționează ca împuterniciți au semnat Acorduri de Prelucrare a Datelor (DPA) conforme GDPR. Transferurile internaționale către SUA sunt protejate prin Clauze Contractuale Standard (SCC) adoptate de Comisia Europeană sau, pentru entitățile certificate, prin mecanismul EU-US Data Privacy Framework.
Nu vindem datele tale niciodată.
5. Prelucrare automată și profilare
Platforma utilizează algoritmi AI pentru a genera recomandări personalizate de proprietăți și pentru a adapta răspunsurile agentului Habi la profilul tău (buget, zonă preferată, tip locuință, istoricul conversațiilor). Aceasta constituie profilare în sensul GDPR Art. 4(4).
Habitimo nu ia decizii exclusiv automate care să producă efecte juridice sau efecte semnificative similare asupra ta (conform GDPR Art. 22). Toate recomandările AI au caracter informativ și nu determină automat acceptarea sau respingerea niciunei solicitări.
Recomandările generate în cadrul unei conversații sau căutări pe care ai inițiat-o fac parte din funcționalitatea de bază a serviciului pe care l-ai solicitat. Separat, poți opta explicit ca istoricul conversațiilor tale, anonimizat, să fie folosit pentru îmbunătățirea generală a Habi. Acest lucru este dezactivat implicit și poate fi activat sau dezactivat oricând din Setări → Controlul datelor, la fel de ușor cum a fost acordat.
Te poți opune oricând prelucrării bazate pe interes legitim, inclusiv profilării tehnice, contactând gdpr@habitimo.ro.
6. Drepturile tale
Dreptul de acces (Art. 15)
Poți solicita o copie a datelor deținute despre tine.
Dreptul de rectificare (Art. 16)
Poți corecta datele incorecte sau incomplete.
Dreptul la ștergere (Art. 17)
Poți solicita ștergerea datelor. Nu se aplică datelor pe care trebuie legal să le păstrăm (ex. documente fiscale).
Dreptul la restricție (Art. 18)
Poți cere limitarea prelucrării în timp ce o contestație este rezolvată.
Dreptul la portabilitate (Art. 20)
Primești, pentru datele prelucrate automat pe bază de contract sau consimțământ, o copie într-un format structurat, utilizat curent și care poate fi citit automat.
Dreptul de opoziție (Art. 21)
Te poți opune prelucrării bazate pe interes legitim sau profilării, în funcție de situație.
Dreptul de a nu fi supus unei decizii automate (Art. 22)
Habitimo nu ia decizii exclusiv automate cu efecte juridice asupra ta.
Retragerea consimțământului (Art. 7)
Poți retrage oricând consimțământul, fără efecte retroactive.
Poți exercita drepturile direct din platformă sau prin email la gdpr@habitimo.ro. Îți putem cere informații suplimentare pentru a-ți verifica identitatea. Răspundem în cel mult o lună de la primirea cererii; acest termen poate fi prelungit cu până la două luni suplimentare pentru cereri complexe sau numeroase, caz în care te vom informa în prima lună.
Trimite o cerere GDPR →Ai dreptul să depui o plângere la ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, dataprotection.ro).
7. Securitatea datelor
Utilizăm criptare TLS 1.2+ pentru toate comunicațiile, criptare la repaus pentru datele stocate, autentificare securizată gestionată de Supabase Auth și evaluări și testări periodice ale măsurilor de securitate. Câmpuri deosebit de sensibile (CNP, serie/număr act de identitate, IBAN) sunt criptate suplimentar la nivel de aplicație (AES-256-GCM), separat de criptarea la nivel de infrastructură: chiar și cu acces direct la baza de date, valoarea nu poate fi citită fără cheia dedicată de criptare. Accesul administrativ este protejat prin autentificare în doi pași, iar tentativele repetate de autentificare eșuată sau accesul neautorizat la zona de administrare sunt înregistrate și generează alertă automată. Parolele utilizatorilor sunt gestionate exclusiv de Supabase Auth și nu sunt stocate în text clar în bazele noastre de date. Utilizatorii pot activa opțional autentificarea în doi pași (2FA/TOTP) pe propriul cont, din Setări.
8. Notificări privind breșele de securitate
În cazul unui incident de securitate care implică date cu caracter personal și care prezintă un risc pentru drepturile tale, Habitimo va notifica ANSPDCP, dacă este posibil în termen de 72 de ore de la momentul la care a luat cunoștință de încălcare, conform GDPR Art. 33.
Dacă breșa prezintă un risc ridicat pentru drepturile și libertățile tale, vei fi notificat direct prin email, fără întârzieri nejustificate, cu informații despre natura incidentului, datele afectate și măsurile luate (GDPR Art. 34).
9. Cookie-uri
Detalii complete despre utilizarea cookie-urilor și a stocării locale se găsesc în Politica de cookies.
10. Modificări
Vom notifica utilizatorii prin email cu privire la orice modificare semnificativă a acestei politici, cu cel puțin 14 zile înainte de intrarea în vigoare. Versiunile anterioare pot fi solicitate la gdpr@habitimo.ro.