Politică de Confidențialitate

1. Ce date colectăm și de unde

• Date de identificare și contact: adresă de email, parolă (stocată exclusiv în formă hashed — bcrypt), data înregistrării. Sursă: furnizate direct de dvs. la înregistrare.
• Date despre restaurant: denumire, locație, tip de bucătărie, număr de mese — furnizate voluntar în procesul de onboarding.
• Date operaționale și financiare: rapoarte de vânzări (fișiere CSV, XLSX, PDF, imagini) încărcate de dvs. pentru analiză AI.
• Date de plată: nu stocăm date de card bancar. Stripe ne transmite exclusiv un identificator de client, statusul abonamentului și ultimele 4 cifre ale cardului (pentru afișare în interfață).
• Date de utilizare: acțiuni efectuate în aplicație, rapoartele generate, preferințe de afișare.
• Date tehnice: adresă IP, tip browser, sistem de operare, durata sesiunii — colectate automat prin log-uri de server și cookie-uri tehnice.

2. Scopul și temeiul legal al prelucrării

3. Procesatori terți autorizați

Colaborăm cu următorii procesatori de date, cu care am încheiat acorduri de procesare a datelor (DPA) conform art. 28 GDPR:

• Supabase, Inc. (SUA) — autentificare utilizatori și stocare bază de date. Datele sunt stocate în regiunea UE (eu-central-1 / Frankfurt). Transfer: Clauze Contractuale Standard (SCC). supabase.com/privacy
• Stripe, Inc. (SUA) — procesarea plăților și gestionarea abonamentelor. Certificat PCI DSS Nivel 1. Transfer: SCC + Privacy Shield successor. stripe.com/privacy
• OpenAI, L.L.C. (SUA) — generarea analizelor AI și recomandărilor. Datele din rapoartele dvs. sunt transmise API-ului OpenAI pentru procesare. OpenAI nu utilizează datele transmise prin API pentru antrenarea modelelor (conform politicii de utilizare a datelor API). Transfer: SCC. openai.com/policies/privacy-policy

4. Transferuri internaționale de date

Procesatorii Supabase, Stripe și OpenAI au sediul în SUA. Transferurile se realizează în baza Clauzelor Contractuale Standard (SCC) adoptate prin Decizia Comisiei Europene 2021/914/UE, asigurând un nivel adecvat de protecție conform art. 46 GDPR.

5. Perioada de retenție

• Date de cont și restaurant: pe durata existenței contului + 30 de zile după ștergere (backup de siguranță).
• Rapoarte și analize încărcate: pe durata abonamentului activ; ștergere la cerere.
• Date de facturare: 10 ani, conform art. 25 din Legea nr. 82/1991 (Legea contabilității).
• Date de marketing (consimțământ): până la retragerea consimțământului.
• Log-uri tehnice: maximum 90 de zile.

6. Drepturile dvs. conform GDPR

Conform Capitolului III din Regulamentul (UE) 2016/679, aveți următoarele drepturi:

• Dreptul de acces (art. 15) — să obțineți o copie a datelor pe care le prelucrăm despre dvs.
• Dreptul la rectificare (art. 16) — să corectați datele inexacte sau incomplete.
• Dreptul la ștergere (art. 17) — „dreptul de a fi uitat", în limitele obligațiilor legale de retenție.
• Dreptul la portabilitate (art. 20) — să primiți datele dvs. într-un format structurat, uzual, lizibil automat.
• Dreptul la restricționarea prelucrării (art. 18) — în circumstanțele prevăzute de GDPR.
• Dreptul la opoziție (art. 21) — față de prelucrarea bazată pe interesul legitim sau în scopuri de marketing direct.
• Dreptul de retragere a consimțământului (art. 7) — oricând, fără a afecta prelucrările anterioare.
• Dreptul de a nu face obiectul unei decizii automate (art. 22) — recomandările AI nu produc efecte juridice asupra dvs.

Exercitați-vă drepturile trimițând o cerere la contact@optimenu.ro. Vom răspunde în termen de 30 de zile calendaristice.

Aveți dreptul de a depune o plângere la autoritatea de supraveghere competentă:

7. Securitatea datelor

Implementăm măsuri tehnice și organizatorice conform art. 32 GDPR:

• Transmitere criptată (HTTPS / TLS 1.2+) pentru toate comunicațiile.
• Parole stocate exclusiv în formă hashed (bcrypt, salt unic).
• Acces la date pe baza principiului privilegiului minim.
• Backup regulat al bazei de date cu stocare criptată.
• Monitorizare continuă a sistemelor pentru detecția accesului neautorizat.

În cazul unui incident de securitate care vă afectează datele, vă vom notifica conform art. 33–34 GDPR (72 ore față de ANSPDCP; fără întârzieri nejustificate față de dvs. dacă riscul este ridicat).

8. Cookie-uri (Legea nr. 506/2004)

Conform Legii nr. 506/2004 privind prelucrarea datelor personale în sectorul comunicațiilor electronice (transpunerea Directivei 2002/58/CE), utilizăm:

• Cookie-uri strict necesare: pentru autentificare și menținerea sesiunii. Nu necesită consimțământ.
• Cookie-uri de preferințe: salvarea setărilor de interfață (ex. temă). Nu necesită consimțământ.

Nu utilizăm cookie-uri de tracking, publicitate comportamentală sau rețele de socializare terțe. Puteți gestiona cookie-urile din setările browser-ului dvs.; dezactivarea celor necesare poate afecta funcționarea platformei.

9. Modificări ale politicii

Putem actualiza prezenta politică. Modificările semnificative vor fi comunicate prin email cu cel puțin 14 zile înainte de intrarea în vigoare. Versiunile anterioare sunt disponibile la cerere.

10. Contact

Pentru orice întrebări privind prelucrarea datelor dvs. personale sau exercitarea drepturilor GDPR: