Politica de confidențialitate.

1. Cine suntem

Operator de date: Pac-Pac SRL, IDNO 1026023052575, cu sediul în bd. Ștefan cel Mare și Sfânt 182, Chișinău, Republica Moldova. Pentru întrebări legate de protecția datelor, contactează responsabilul cu protecția datelor: office@pac-pac.md (subiect: „În atenția DPO").

2. Categorii de date prelucrate

• Date de identificare și contact: nume, e-mail, opțional companie și funcție — colectate prin formularul de contact sau când te abonezi la newsletter.
• Date de utilizare a instrumentelor: răspunsurile pe care le introduci în autoevaluarea GDPR (Da / Parțial / Nu) și, opțional, e-mail-ul pe care îl lași pentru raport.
• Date tehnice minimale: adresa IP (log-uri de securitate, păstrate maxim 30 de zile), user-agent, momente de acces. Necesare pentru securitate și prevenirea abuzului.
• Analytics fără cookie-uri: statistici agregate prin Plausible (număr vizualizări, referrer, țară), doar după consimțământ. Fără profilare individuală. Vezi politica de cookies.

3. Scopuri și temei legal (art. 6 GDPR)

• Newsletter — consimțământ (art. 6(1)(a)). Îl poți retrage oricând.
• Răspuns la mesajele de contact — măsuri precontractuale la cererea ta (art. 6(1)(b)) sau interes legitim pentru comunicare comercială (art. 6(1)(f)).
• Livrarea instrumentelor gratuite — interes legitim în furnizarea serviciului solicitat (art. 6(1)(f)). Când generezi un raport PDF cu e-mail, e consimțământ (art. 6(1)(a)).
• Securitate și prevenirea abuzului — interes legitim (art. 6(1)(f)).
• Analytics agregat — consimțământ (art. 6(1)(a)) prin banner-ul de cookies.
• Obligații legale — evidență contabilă/fiscală conform legislației MD (art. 6(1)(c)).

4. Cookies și analytics

Nu folosim cookie-uri de marketing sau de publicitate. Analytics-ul (Plausible) este fără cookie-uri și fără date personale, activat doar după acceptul tău. Consimțământul se stochează local (localStorage: pp-consent-v1). Detalii complete și cum îți schimbi alegerea: politica de cookies.

5. Destinatari și subprocesori

Datele sunt accesibile doar unui cerc restrâns de administratori interni. Pentru operare tehnică folosim un număr limitat de subprocesori, pe următoarele categorii:

• Găzduire și livrare site — infrastructură în Uniunea Europeană.
• Bază de date și autentificare — Uniunea Europeană.
• Funcții AI pentru instrumente — Uniunea Europeană, cu date pseudonimizate înainte de trimitere.
• Analytics agregat fără cookie-uri — Uniunea Europeană.
• Programarea apelurilor de consultanță — nume, e-mail, dată și oră.
• E-mail — comunicarea cu utilizatorii și clienții.

Lista nominală completă — furnizor, locație și temei de transfer — e publică și actualizată la /subprocesori. Nu vindem, nu împrumutăm și nu partajăm date cu terți în scop de marketing.

6. Transferuri internaționale

Infrastructura noastră principală (bază de date, hosting, AI Gateway) e găzduită în Uniunea Europeană. Accesul administrativ se face din Republica Moldova. MD nu are decizie de adecvare din partea UE, astfel că acest acces e reglementat prin clauze contractuale standard (SCC — Decizia UE 2021/914) încorporate în contractele cu subprocesorii UE. Dacă un subprocesor implică transfer către SUA, acesta e menționat explicit pe pagina de subprocesori împreună cu mecanismul de protecție aplicat.

Pentru transferurile către SUA verificăm suplimentar dacă furnizorul e certificat în EU–US Data Privacy Framework (decizia de adecvare a Comisiei Europene din 10 iulie 2023) și, indiferent de mecanismul aplicat, menținem măsuri suplimentare de siguranță: criptare în tranzit și la repaus, minimizarea datelor trimise și limitarea accesului la strictul necesar.

7. Retenția datelor

• Newsletter — până când te dezabonezi.
• Mesaje contact — 24 luni de la ultima interacțiune, apoi ștergere automată.
• Răspunsuri autoevaluare — 12 luni dacă sunt anonime; asociate unui cont — cât ține contul plus 6 luni.
• Loguri de securitate — maxim 30 de zile.
• Documente contabile și fiscale — conform legislației MD aplicabile (de regulă 5 ani pentru facturi și contracte comerciale).

8. Drepturile tale

Ca persoană vizată, ai următoarele drepturi conform GDPR și L195/2024:

• Dreptul de acces (art. 15)
• Rectificare (art. 16)
• Ștergere / „dreptul de a fi uitat" (art. 17)
• Restricționarea prelucrării (art. 18)
• Portabilitatea datelor (art. 20)
• Opoziție la prelucrare (art. 21)
• Retragerea consimțământului (art. 7(3)) — fără efect retroactiv
• Depunere de plângere la CNPDCP (datepersonale.md) sau, dacă locuiești în România, la ANSPDCP.

Ca să exerciți orice drept, scrie la office@pac-pac.md. Răspundem în maxim 30 de zile, gratuit. Îți putem cere verificarea identității înainte de a executa cererea.

9. Decizii automate individuale și profilare (art. 22 GDPR)

Site-ul pac-pac.md nu adoptă decizii cu efecte juridice sau cu impact semnificativ exclusiv pe baza unei prelucrări automate. Scorul de autoevaluare și recomandările sunt orientative. Nu facem profilare individuală în scop comercial.

10. Securitate

Măsuri tehnice: date criptate în tranzit (TLS 1.3) și la repaus (AES-256 la nivelul bazei de date), autentificare cu 2FA pentru toate conturile administrative, izolare multi-tenant prin Row-Level Security, log-uri de audit pentru operațiuni sensibile. Măsuri organizaționale: acces strict pe „need-to-know", proceduri interne pentru gestionarea incidentelor. În cazul unei breșe cu risc pentru persoanele vizate, notificăm CNPDCP în 72h (art. 33 GDPR) și, dacă riscul e ridicat, persoanele afectate (art. 34).

11. Modificări

Dacă schimbăm ceva substanțial, publicăm noua versiune cu 30 de zile înainte de intrarea în vigoare și te anunțăm prin newsletter (dacă ești abonat) sau printr-un banner pe site. Modificările minore (corecturi, clarificări) se reflectă în data de mai sus și în numărul de versiune.

12. Contact

Întrebări generale: office@pac-pac.md. Cereri privind datele personale: office@pac-pac.md.