Politica de confidențialitate — Zephren

1. Operatorul de date

ZEPHREN S.R.L., cu sediul social în B-dul Libertății, nr. 38, ap. 4, Bușteni, jud. Prahova, România. CUI: 54561142 | Nr. Reg. Com.: J2026027529009.
Contact Protecție Date: legal@zephren.ro.

Responsabil cu Protecția Datelor (DPO): ZEPHREN nu are obligația legală de a numi un DPO formal conform Art. 37 GDPR (sub 250 de angajați, iar activitatea principală NU constă în monitorizarea sistematică la scară largă sau prelucrarea de categorii speciale de date). Am desemnat totuși o persoană de contact dedicată pentru toate solicitările GDPR, contactabilă la legal@zephren.ro, cu garanția unui răspuns în maximum 30 de zile (Art. 12(3) GDPR). În cazul în care ANSPDCP solicită formal numirea unui DPO certificat, ne conformăm în termenul indicat.

2. Categoriile de date prelucrate

În programul de calcul ZEPHREN și în VerificAI se prelucrează:

• Date cont auditor: email, parolă (stocată sub formă de hash bcrypt), nume, companie, preferințe UI.
• Date profesionale auditor: nr. atestat MDLPA, categoria I/II, imagine semnătură, imagine ștampilă.
• Date client final al auditului (introduse de auditor cu consimțământul explicit al clientului său): nume, prenume, adresă de email, număr telefon, adresa imobilului, coordonate GPS, număr cadastral, carte funciară, fotografii ale clădirii, facturi de utilități.
• Documentație tehnică de proiect încărcată pentru verificare (VerificAI): piese scrise și desenate — planuri, secțiuni, memorii tehnice, fișe tehnice. Acestea pot conține date ale unor terți față de dumneavoastră (nume și date de contact ale investitorului, ale proiectanților și ale operatorilor economici, adresa construcției, informațiile din cartușul planșei), precum și informații cu caracter comercial. Le încărcați dumneavoastră, în calitate de verificator de proiect atestat, în cadrul contractului dumneavoastră cu clientul; sunt transmise furnizorului de model AI pentru analiză (consultați secțiunea 4) și nu sunt stocate pe serverele Zephren după prelucrarea cererii.
• Registrul de evidență a verificărilor: nr. și data referatului, denumirea proiectului, investitor, proiectant, cerința verificată. Se salvează local, în browserul dispozitivului dumneavoastră, și — dacă sunteți autentificat — se oglindește și în contul dumneavoastră, pe serverele Supabase din Uniunea Europeană, ca să nu se piardă la o curățare de browser sau la trecerea pe alt calculator. Oglinda e vizibilă doar dumneavoastră (izolare la nivel de rând, pe contul dumneavoastră), o puteți exporta și se șterge odată cu contul. Copia locală se șterge automat la autentificarea unui alt cont pe același dispozitiv și dispare dacă ștergeți datele site-ului din browser. Registrul poate conține date ale unor terți (investitor, proiectant, adresa construcției) — pentru acestea rămâneți operator, iar Zephren le prelucrează ca persoană împuternicită, în condițiile acordului de la art. 28 GDPR.
• Jurnalul de șantier și procesele-verbale ale dirigintelui (VerificAI, funcția de diriginte de șantier): intrări datate, text liber și, opțional, fotografii; procesele-verbale pe fazele determinante și pe recepție cuprind lista participanților (nume, calitate) și concluzia. Poate conține date ale unor terți — muncitori, reprezentanți ai constructorului, alți participanți la faza consemnată — pe care le introduceți dumneavoastră, în calitate de diriginte de șantier; pentru acestea rămâneți operator, iar Zephren le prelucrează ca persoană împuternicită (art. 28 GDPR), cu aceleași condiții ca la registrul de mai sus. Se șterg odată cu dosarul verificat.
• Evidența CPD (formare profesională continuă): cursul urmat, furnizorul, data, numărul de ore și, dacă o încărcați, dovada de participare — stocată într-un bucket privat separat, cu acces izolat pe contul dumneavoastră. Le declarați dumneavoastră, ca parte a evidenței propriei conformități profesionale.
• Dosarul de reînnoire a dreptului de practică (VerificAI): data expirării legitimației de atestare, asigurătorul și numărul poliței de răspundere civilă profesională (RCP), data expirării poliței, suma asigurată și bifele documentelor din dosarul de reînnoire. Date declarate de dumneavoastră, despre dumneavoastră — nu conțin date ale unor terți.
• Fotografiile de teren (modulul de audit, „Modul teren"): fotografiile clădirii făcute sau încărcate pe teren, convertite și stocate în format WebP, sau JPEG pe browserele fără suport WebP, într-un bucket privat separat de restul aplicației, cu un plafon de 200 de fotografii per proiect. Se șterg odată cu proiectul din care fac parte și sunt incluse în copiile de siguranță ale platformei.
• Vizitele din Calendarul de audit și starea „citit” a notificărilor: vizitele de teren pe care le programați (dată, oră, adresa clădirii, tip, note) și bifele „citit” de pe notificările de termene, sincronizate între dispozitivele dumneavoastră. Vizitele pot conține adresa clientului. Ambele sunt vizibile doar dumneavoastră (izolare la nivel de rând, pe contul dumneavoastră) și se șterg odată cu contul.
• Produsele urmărite pentru declarația de performanță (RTE) (VerificAI): denumirea și codul produsului pus în operă, existența declarației de performanță (DoP) și observațiile dumneavoastră. Nu conțin, de regulă, date personale ale unor terți.
• Date de plată: CUI (pentru B2B România), VAT number (pentru B2B UE), adresă facturare. Datele cardului bancar sunt procesate exclusiv de Stripe și nu sunt stocate de Zephren.
• Date tehnice: adresa IP, user-agent, log-uri autentificare și un identificator de dispozitiv — un număr generat aleatoriu în browserul dumneavoastră și păstrat acolo, care deosebește dispozitivele între ele la sincronizarea proiectelor și, pe durata probei de treizeci de zile la programul de calcul (la VerificAI, treizeci de zile), servește la prevenirea abuzului. Nu este derivat din caracteristicile echipamentului dumneavoastră și nu permite recunoașterea pe alte site-uri. Tot pentru prevenirea abuzului la probă păstrăm, la VerificAI, o formă neinversabilă (hash sărat) a adresei IP: în evidența probei, cea de la prima conectare după înscriere; în contul dumneavoastră, cea de la ultima conectare (se rescrie la fiecare conectare) — nu adresa în sine, nu se poate reface din ea, și nu se citește nimic de pe dispozitivul dumneavoastră pentru a o obține. Toate acestea se prelucrează pentru securitate și prevenirea fraudei.
• Dispozitivele de încredere (verificarea în doi pași), pe ambele produse — programul de calcul și VerificAI, fiecare cu contul și înregistrările lui (încrederea dintr-un produs nu trece în celălalt): dacă aveți verificarea în doi pași activă și, după introducerea codului, bifați «Ține minte acest dispozitiv 30 de zile», păstrăm, legate de contul dumneavoastră, amprenta criptografică (SHA-256) a unui secret aleator generat în browserul dispozitivului ales — nu secretul însuși —, identificatorul factorului de autentificare cu care ați confirmat, data memorării și data expirării. Nu se păstrează numele dispozitivului, adresa IP sau caracteristici ale echipamentului. Scopul este unul singur: să nu vă mai cerem codul pe acel dispozitiv timp de 30 de zile de la confirmare; schimbarea parolei și setările de securitate cer codul în continuare, iar portalul de plată nu îl mai cere, din 2 octombrie 2026. Temeiul: executarea contractului (art. 6 alin. (1) lit. b) GDPR) — funcția o cereți dumneavoastră, prin bifă — și securitatea contului (art. 6 alin. (1) lit. f)). Păstrare: după 30 de zile înregistrarea nu mai scutește de cod și se șterge automat în cel mult 7 zile de la expirare; se șterge și mai devreme, la următoarea memorare a unui dispozitiv în contul dumneavoastră, la schimbarea parolei, la eliminarea sau adăugarea unui factor de autentificare și la ștergerea contului. Cel mult 20 de dispozitive pe cont, cele mai vechi ies primele. Schimbarea parolei retrage încrederea tuturor dispozitivelor deodată. Despre cookie-ul și stocarea locală din browser: Politica de cookie-uri.
• Legătura dintre contul VerificAI și contul programului de calcul (breviarul proiectantului): dacă cereți ca breviarul proiectantului din VerificAI să afișeze proiectele CPE din contul dumneavoastră de program de calcul, păstrăm în contul de program de calcul identificatorul contului VerificAI legat și data legării. Când cele două conturi au aceeași adresă de e-mail, legătura se face fără alt pas și se ține doar în browser; altfel, la legare vă verificăm parola contului de program de calcul sau codul de verificare în doi pași — nici parola, nici codul nu se păstrează. Browserul ține și o copie a legăturii în stocarea locală (vedeți Politica de cookie-uri). Scopul: breviarul să vadă proiectele CPE proprii ale contului — nu și pe ale echipei. Temeiul: executarea contractului (art. 6 alin. (1) lit. b) GDPR) — funcția o cereți explicit. Păstrare: până la dezlegare sau la ștergerea contului de program de calcul. La «Dezlegați contul», legătura de pe server se șterge dacă în browser este deschisă sesiunea contului de program de calcul legat; dacă nu este, legătura se desface doar în browser, iar înregistrarea de pe server rămâne până vă autentificați în acel cont și apăsați din nou «Dezlegați contul», sau până ștergeți contul de program de calcul — aplicația vă spune asta în momentul dezlegării. Dacă ștergeți contul VerificAI, pe server rămâne doar identificatorul lui, fără alte date; identificatorul rămas după ștergerea contului VerificAI se șterge odată cu contul de program de calcul sau la dezlegare. Datele sunt incluse în exportul datelor dumneavoastră.
• Contextul unei sesizări: când trimiteți un raport prin formularul de feedback, atașăm automat pagina și pasul la care erați, versiunea aplicației, câteva semnale despre ce s-a întâmplat înainte (fără text scris de dumneavoastră) și o captură a ecranului. Câmpurile sensibile — parole, CNP, IBAN, adresa clădirii, beneficiarul, datele de contact — sunt acoperite înainte de realizarea capturii, deci nu ajung niciodată în imagine. Captura vă este arătată înainte de trimitere și o puteți refuza dintr-un singur clic. NU colectăm adresa IP și nici locația.
• Tichetele de asistență create automat din conversația cu asistentul AI (programul de calcul și VerificAI): când asistentul nu poate rezolva o problemă, aceasta se înregistrează automat ca tichet, cu textul conversației (întrebările dumneavoastră și răspunsurile asistentului), adresa de email a contului (dacă sunteți autentificat), planul, produsul, pagina și pasul la care lucrați, motivul înregistrării, câteva semnale despre ce s-a întâmplat înainte, versiunea aplicației, tipul de browser (user-agent) și numărul tichetului. Nu se atașează capturi de ecran. La programul de calcul, tichetul se leagă de contul dumneavoastră dacă sunteți autentificat; la VerificAI se înregistrează fără legătură cu contul, doar cu adresa de email. Scopul: rezolvarea problemei semnalate și corectarea produsului. Temeiul: executarea contractului (art. 6 alin. (1) lit. b) GDPR) pentru utilizatorii cu cont și interesul legitim de a rezolva problemele semnalate (art. 6 alin. (1) lit. f)) pentru vizitatorii fără cont. Păstrare: 24 de luni de la închiderea tichetului (secțiunea 5). Tichetele legate de contul de program de calcul sunt incluse în exportul datelor; la ștergerea acestui cont se șterg tichetele legate de el sau care poartă adresa lui de email.

Zephren NU colectează CNP prin interfața aplicației și nu îl stochează în baza de date. Dacă o depunere către MDLPA cere CNP-ul, auditorul îl completează direct în documentul de depunere, în afara aplicației.

3. Scopurile prelucrării și temeiurile juridice (Art. 6 GDPR)

• Executare contract (Art. 6(1)(b)) — oferirea serviciului de calcul energetic, generare CPE, raport audit și păstrarea proiectelor; asistența în utilizare prin asistentul AI și tichetele de asistență create automat (secțiunea 2).
• Obligație legală (Art. 6(1)(c)) — arhivare documente fiscale 10 ani (Codul Fiscal RO), transmitere eFactura ANAF, conformitate Mc 001-2022 și Legea 238/2024.
• Consimțământ (Art. 6(1)(a)) — comunicări marketing opționale; cookie-urile de analiză, stocarea pe dispozitiv și identificarea persoanei în instrumentele de analiză (consultați secțiunea 3.bis).
• Interes legitim (Art. 6(1)(f)) — prevenire fraudă, securitatea informației, monitorizare performanță și îmbunătățirea programului de calcul prin statistici pseudonimizate de utilizare (tip document, clasă energetică, EP, tipologie clădire, județ — fără adresă, nume sau date cadastrale; rândurile rămân legate de contul dumneavoastră, deci intră în exportul și în ștergerea datelor).

3.bis Ce se întâmplă dacă refuzați cookie-urile de analiză

Butonul «Refuz toate» din bannerul de cookie-uri are un efect precis, pe care preferăm să vi-l spunem în loc să vă lăsăm să-l presupuneți:

• Nu se stochează nimic pe dispozitivul dumneavoastră în scop de analiză — niciun cookie, nicio intrare în stocarea locală a browserului — și nu se citește nimic din ce este deja stocat acolo.
• Nu sunteți identificat: nu se creează un profil de utilizator, contul dumneavoastră nu este legat de activitatea măsurată, iar la o vizită ulterioară nu puteți fi recunoscut ca aceeași persoană.
• Monitorizarea erorilor (Sentry) rămâne complet oprită — acolo refuzul înseamnă exact ce părea că înseamnă și înainte.
• Măsurarea agregată continuă: numărăm în continuare vizitele și acțiunile din aplicație (ce pagini se deschid, unde se abandonează un flux, ce erori de utilizare apar), pentru a ști ce funcționează și ce trebuie reparat.

Tehnic, aceasta este posibilă fiindcă furnizorul de analiză (PostHog, EU Cloud Frankfurt) calculează pe propriile servere un identificator temporar sub formă de hash, derivat din elemente ale cererii dumneavoastră (adresă IP, user-agent) și dintr-o valoare care se schimbă zilnic. Hash-ul servește exclusiv la a nu număra de două ori aceeași sesiune în aceeași zi; nu se întoarce în dispozitivul dumneavoastră și nu permite urmărirea între zile sau între site-uri.

Temeiul juridic, în două straturi distincte. Obligația de a cere consimțământ pentru cookie-uri vine din art. 5 alin. (3) al Directivei ePrivacy 2002/58/CE, transpus în România prin art. 4 alin. (5) din Legea nr. 506/2004, și privește stocarea de informații în echipamentul terminal al utilizatorului și accesul la informații stocate deja acolo. Modul fără cookie-uri nu face niciuna dintre acestea, deci această obligație nu i se aplică. Rămâne prelucrarea propriu-zisă a hash-ului pe serverele furnizorului, care se face în baza interesului legitim, art. 6 alin. (1) lit. f) GDPR — interesul de a cunoaște cum este utilizat propriul produs, cu un impact minim asupra dumneavoastră tocmai pentru că nu sunteți identificabil. Este același temei pe care îl folosim și pentru contorul propriu de vizite.

Vă puteți opune oricând acestei prelucrări întemeiate pe interes legitim (art. 21 GDPR), scriindu-ne la legal@zephren.ro. Independent de aceasta, dacă browserul dumneavoastră trimite semnalul Do Not Track, îl respectăm și nu măsurăm nimic.

4. Destinatarii (subprocesatori)

Datele sunt transmise către următorii subprocesatori care au semnat (sau urmează să semneze) acorduri de prelucrare date (DPA) conform Art. 28 GDPR:

• Vercel Inc. (US + regiuni AWS UE) — hosting aplicație și funcții serverless; Vercel Web Analytics — măsurare agregată a vizitelor, fără cookie-uri și fără identificator stocat pe dispozitiv (de aceea nu cere consimțământ — art. 5(3) ePrivacy nu se aplică), care vede adresa IP ca orice cerere web și nu se leagă de contul dumneavoastră.
• Supabase Inc. (US + AWS UE configurabil) — autentificare, bază de date PostgreSQL, storage.
• Stripe Payments Europe Ltd. (Irlanda) — procesare plăți, abonamente, facturare.
• Anthropic Inc. (California, US) — asistent AI, OCR facturi/CPE, import automat documente și, în VerificAI, analiza pieselor de proiect pe care le încărcați (planuri, secțiuni, memorii tehnice — inclusiv datele terților și informațiile comerciale pe care le conțin, așa cum sunt descrise la secțiunea 2). Conform condițiilor comerciale ale Anthropic pentru API, conținutul transmis nu este folosit pentru antrenarea modelelor și este șters în maximum 30 de zile. Excepție: dacă sistemele automate de siguranță ale Anthropic semnalează o cerere ca posibilă încălcare a politicii sale de utilizare, conținutul acelei cereri (datele trimise și răspunsul) poate fi păstrat până la 2 ani, iar scorurile evaluării automate până la 7 ani; de asemenea, Anthropic poate păstra conținutul cât o cere legea. Transmiterea are loc doar la acțiunea dumneavoastră explicită de încărcare; dacă documentația conține date personale ale unor terți, dumneavoastră stabiliți, în raportul juridic cu clientul dumneavoastră, temeiul acestei divulgări.
• Cloudflare Inc. (US + edge UE — Frankfurt, Amsterdam) — DNS, protecție bot Turnstile la formulare, Web Application Firewall; Cloudflare Web Analytics — măsurare agregată a vizitelor, fără cookie-uri (același regim ca la Vercel, mai sus); Cloudflare Workers AI — transformă în vectori numerici textul întrebărilor pe care le adresați asistenților normativi (programul de calcul și VerificAI), ca să găsim fragmentele de acte relevante. Primește doar textul întrebării (și, în VerificAI, cerința și denumirea obiectului dosarului) — nu documentele încărcate și nu datele contului.
• Resend Inc. (US, infrastructură EU-west-1 Irlanda) — livrare email tranzacțional și de marketing (confirmări cont, notificări plăți, suport, newsletter). Folosim urmărirea deschiderii și a clicurilor (un pixel invizibil și linkuri redirecționate) pentru a măsura livrabilitatea și interesul, în baza interesului legitim (art. 6 alin. 1 lit. f GDPR). Puteți bloca urmărirea deschiderii dezactivând încărcarea imaginilor în clientul dumneavoastră de email și vă puteți dezabona oricând din orice email de marketing (link de dezabonare în fiecare email).
• Sentry Inc. (US, Irlanda jurisdicție DPA) — monitorizare erori aplicație în timp real; datele personale sunt scrubed automat înainte de transmitere (CNP, email, telefon, IBAN sunt mascate).
• PostHog Inc. (EU Cloud, Frankfurt) — analytics produs și înregistrări sesiune pentru îmbunătățirea experienței; toate input-urile sunt mascate (parole, emails, CIF). Dacă ați acceptat cookie-urile de analiză, prelucrarea include cookie-uri și identificarea contului; dacă le-ați refuzat, rulează în modul fără cookie-uri descris la secțiunea 3.bis — fără stocare pe dispozitiv, fără profil și fără legătură cu contul.
• UptimeRobot (Cipru) — monitorizare uptime endpoint-uri publice (doar URL-uri publice, fără date utilizator).
• Gotenberg (Render Inc.) (US/UE infra) — conversie documente DOCX → PDF (opțional, doar dacă utilizatorul nu folosește alternativa Microsoft Office Online).
• Microsoft Corp. (US) — opțional, pentru previzualizare DOCX prin Office Online. Poate fi dezactivat (aplicația folosește alternativ Gotenberg).
• SmartBill (Intelligent IT SRL) (România) — facturare electronică + transmitere eFactura ANAF.
• Google LLC (US) — autentificare OAuth opțională, Workspace pentru comunicări la adresele @zephren.ro. (Fonturile web nu se mai încarcă de la Google din 7 septembrie 2026: sunt găzduite de noi, deci Google nu mai vede adresa dumneavoastră IP la deschiderea paginilor.)
• PVGIS (Joint Research Centre UE), OpenMeteo (Germania) — date publice climatice și solare.
• Nominatim (OpenStreetMap Foundation) (Marea Britanie / infrastructură UE) și Overpass API (Germania) — geocodarea adresei clădirii introduse de dumneavoastră și, respectiv, interogarea datelor publice de context (clădiri vecine, geometrie). Geocodarea nu mai pleacă direct din browserul dumneavoastră: trece printr-un serviciu propriu, care transmite mai departe către Nominatim doar adresa — nu datele contului dumneavoastră și nu ale beneficiarului — și păstrează un cache temporar al rezultatelor (adresă, coordonate), ca să reducă numărul de cereri trimise către serviciul public. Overpass rămâne interogat direct. Ambele sunt servicii publice gratuite, fără acord de prelucrare (DPA) și fără relație de persoană împuternicită: prelucrarea lor se face pe propria lor politică, iar noi nu putem impune termeni. Interogarea nu pleacă niciodată singură — doar la o acțiune explicită a dumneavoastră.

Transferurile internaționale către entități din afara UE/SEE se realizează în baza uneia dintre următoarele garanții, în ordinea preferată:

• (a) Decizia de adecvare EU-US Data Privacy Framework (DPF) din 10 iulie 2023 — pentru subprocesatorii din SUA certificați activ pe dataprivacyframework.gov/list (Anthropic, Vercel, Sentry, Microsoft, Google, Cloudflare și Resend sunt certificați).
• (b) Clauze Contractuale Standard (SCC) adoptate prin Decizia CE 2021/914, Modulul 2 (operator → persoană împuternicită), pentru subprocesatorii non-UE fără certificare DPF.
• (c) Transfer Impact Assessment (TIA) documentat conform recomandărilor EDPB 01/2020 (post Schrems II — CJUE C-311/18), cu măsuri suplimentare acolo unde este necesar. TIA-urile sunt disponibile la cerere prin legal@zephren.ro.

5. Durata păstrării datelor

• Cont auditor activ: pe durata contractului + 3 ani inactivitate.
• Proiecte audit + CPE: 10 ani (obligație arhivare profesională), apoi anonimizare (numele, email, telefon, adresă sunt înlocuite cu „[ANONIMIZAT]”).
• Facturi și evidențe fiscale: 10 ani (Codul Fiscal RO).
• Log-uri acces (inclusiv jurnalul cererilor către asistentul AI: dată, funcție, categorii de date trimise — nu conținutul lor): 12 luni.
• Conversații cu asistentul AI: 6 luni.
• Sesizări prin formularul de feedback: 24 de luni de la închiderea sesizării. Capturile de ecran atașate se șterg odată cu ele.
• Tichetele de asistență create automat din conversațiile cu asistentul AI: 24 de luni de la închiderea tichetului. Textul conversației copiat în tichet urmează acest termen; conversația păstrată separat se șterge la 6 luni (rândul «Conversații cu asistentul AI»).
• Date marketing (consimțământ): până la retragerea consimțământului.
• Identificatorul de dispozitiv și hash-ul de IP ale probei (la ambele produse: treizeci de zile la programul de calcul, treizeci de zile la VerificAI): 90 de zile de la încheierea probei, după care se șterg automat. Evidența probei rămâne (data începerii, data încheierii, numărul de atestat declarat la programul de calcul), fără identificator. Temeiul termenului este art. 5 alin. (1) lit. e) GDPR: scopul pentru care au fost colectate — prevenirea abuzului la probă — se consumă odată cu proba.
• Evidența probelor gratuite VerificAI (registrul probelor consumate și al re-acordărilor): adresa de email normalizată (forma folosită la comparație: litere mici, fără sufixele de tip «+ceva» și, la Gmail, fără puncte) se păstrează și după ștergerea contului, timp de 24 de luni de la ștergere, fără legătură cu contul, după care rândul se șterge automat. Scopul este prevenirea reluării abuzive a perioadei de probă, adică obținerea unei noi probe gratuite prin ștergerea contului și reînscrierea cu aceeași adresă. Temeiul este interesul nostru legitim, art. 6 alin. (1) lit. f) GDPR; vă puteți opune (art. 21 GDPR) scriindu-ne la legal@zephren.ro. Amprenta tehnică asociată probei (identificatorul de dispozitiv și hash-ul de IP) se golește la 90 de zile: de la încheierea probei, pentru conturile care au avut probă, și de la ultima autentificare, pentru conturile VerificAI care nu au avut probă.
• Evidența atestatelor folosite pentru probă: pe durată nedeterminată, dar fără legătură cu dumneavoastră. La ștergerea contului, identificatorul contului este eliminat din această evidență și rămân doar numărul de atestat și data la care a fost folosit. Temeiul este art. 17 alin. (3) lit. e) GDPR — păstrarea rămâne necesară pentru exercitarea unui drept, aici dreptul nostru de a nu acorda o a doua probă gratuită aceluiași număr de atestat.
• Jurnalul de șantier, procesele-verbale, evidența CPD, dosarul de reînnoire, fotografiile de teren și produsele urmărite pentru declarația de performanță: până la ștergerea proiectului sau a dosarului din care fac parte, sau a contului — nu există un termen de retenție automat separat, distinct de durata proiectului/contului.

Termenele care se aplică automat — log-urile de acces, conversațiile cu asistentul AI, sesizările și tichetele închise, identificatorul de dispozitiv al probei și evidența probelor gratuite VerificAI — sunt puse în executare de rulări cel puțin săptămânale, deci ștergerea efectivă poate avea loc cu până la șapte zile după împlinirea termenului.

6. Drepturile persoanei vizate (Art. 15-22 GDPR)

Aveți dreptul de:

• Acces (Art. 15) — obțineți o copie a datelor pe care le avem despre dumneavoastră. Descărcare directă din „Contul meu → Date personale”, butonul «Descărcați date (JSON)», în aplicație.
• Rectificare (Art. 16) — editați datele incorecte direct din contul dumneavoastră.
• Ștergere / „Dreptul de a fi uitat” (Art. 17) — solicitați ștergerea contului și anonimizarea datelor din „Contul meu → Date personale”, butonul «Ștergeți cont».
• Restricționare prelucrare (Art. 18) — pe durata soluționării unei contestații.
• Portabilitate (Art. 20) — export complet în format JSON.
• Opoziție (Art. 21) — la prelucrări bazate pe interes legitim sau marketing.
• Reclamație la ANSPDCP — www.dataprotection.ro.

Exercitarea drepturilor se face gratuit în termen de maximum 30 de zile de la cerere. Trimiteți solicitarea la legal@zephren.ro.

6.bis Decizii automate și inteligență artificială (Art. 22 GDPR + AI Act 2024/1689)

ZEPHREN NU ia decizii automate cu efect juridic sau care vă afectează semnificativ în mod similar (Art. 22 GDPR). Toate funcțiile de inteligență artificială (OCR facturi/CPE, sugestii anvelopă, generare narativă raport, chat asistent) au scop ASISTIV — output-ul este revizuit și semnat manual de auditorul atestat MDLPA, care își asumă integral răspunderea profesională pentru rezultatul final.

Conform Regulamentului UE 2024/1689 (AI Act) art. 50, vă informăm explicit:

• Funcțiile AI sunt etichetate vizual cu „Asistat de AI" în interfață.
• Rezultatele pot conține inexactități; revizuirea umană este obligatorie înainte de utilizarea în documente oficiale (CPE, audit).
• Furnizorul modelului AI are DPA semnat conform Art. 28 GDPR și NU antrenează modele pe datele transmise prin API.
• Detalii suplimentare în politica internă „AI Use Policy", disponibilă la cerere prin legal@zephren.ro.

7. Măsuri de securitate

• Transmitere criptată TLS 1.2+ obligatoriu.
• Criptare at-rest pe serverele Supabase (AES-256).
• Row-Level Security (RLS) — utilizatorul poate accesa exclusiv datele proprii.
• Autentificare JWT cu refresh automat.
• Rate limiting și CORS allowlist pe toate endpoint-urile API.
• Content Security Policy (CSP) strict, HSTS, X-Frame-Options DENY.
• Monitorizare anomalii (Sentry) cu alertă în caz de incident de securitate.
• Verificarea parolei alese contra listelor publice de parole apărute în breșe de date, prin metoda k-anonimat: parola nu părăsește niciodată dispozitivul. Amprenta ei criptografică se calculează local, iar către serviciul terț (Have I Been Pwned) pleacă doarprimele cinci caractere ale acesteia — insuficiente pentru a reconstitui parola sau pentru a vă identifica. Serviciul returnează toate amprentele care încep cu acele cinci caractere (de ordinul sutelor), iar potrivirea se face în browserul dumneavoastră. Ca la orice cerere web, serviciul vede adresa IP a dispozitivului. Verificarea este pur informativă: nu blochează crearea contului, rezultatul ei nu se transmite nicăieri și nu se stochează.

8. Notificare incidente (breach)

În cazul unei breșe de securitate cu risc pentru drepturile dumneavoastră, Zephren notifică ANSPDCP în cel mult 72 de ore (Art. 33 GDPR) și, dacă există risc ridicat, și persoanele vizate afectate (Art. 34 GDPR) prin email.

9. Minori

Serviciul este destinat exclusiv profesioniștilor (auditori energetici atestați MDLPA sau în curs de atestare). Nu colectăm intenționat date despre minori sub 16 ani.

10. Modificări ale acestei politici

Modificările acestei politici se publică pe această pagină, cu data intrării în vigoare și cu istoricul versiunilor. La autentificare, aplicația înregistrează în contul dumneavoastră versiunea în vigoare a politicii. Vă recomandăm să consultați periodic această pagină.

Pentru întrebări juridice: legal@zephren.ro.