1. Kto jest administratorem
Administratorem danych jest NOVOGROUP SYSTEMS S.R.L., operator usługi Verifi. W sprawie wszelkich wniosków dotyczących GDPR, również w przypadku właścicieli, których dane znajdują się w raporcie, napisz na adres [email protected].
2. Dane zbierane od klientów i odwiedzających
Możemy zbierać następujące dane:
- adres e-mail do dostarczenia, logowania na konto i komunikacji transakcyjnej;
- nazwisko, imię i adres do faktury;
- dane firmy, jeżeli prosisz o fakturę na firmę;
- numer telefonu i dane techniczne niezbędne do zapewnienia bezpieczeństwa i zapobiegania oszustwom, gdy są wymagane podczas płatności;
- numer katastralny, adres, działkę, współrzędne lub inne szczegóły dotyczące weryfikowanej nieruchomości;
- CUI i wybrany powód weryfikacji firmy;
- wnioski dotyczące wsparcia, zwrotu, gwarancji lub praw wynikających z GDPR;
- podczas korzystania ze strony Cloudflare, jako dostawca DNS, CDN/reverse proxy i zabezpieczeń, automatycznie przetwarza techniczne metadane żądania, które mogą obejmować adres IP, datę i godzinę, host i żądaną ścieżkę, metodę i kod odpowiedzi, informacje o urządzeniu lub przeglądarce oraz dane routingu.
Nie wymagamy podawania CNP jako osobnej danej wejściowej. Jeżeli urzędowy dokument ANCPI zawiera CNP, proces przetwarzania może przejściowo go przetworzyć w celu ekstrakcji danych, a następnie go maskuje; pełny CNP nie jest wyświetlany w raporcie. Nie zbieramy danych kart; przetwarza je operator płatności.
W zabezpieczonym formularzu prośby o kontakt w Verifi AI zbieramy imię i nazwisko, adres e-mail, opcjonalny numer telefonu, podsumowanie zgłoszenia i niezbędne metadane operacyjne, w tym nieinterpretowalny identyfikator referencyjny, kategorię i czas wysłania.
Jeżeli prosisz o powiadomienie, gdy identyfikacja działek przez ANCPI znów będzie działać, Twój adres jest wykorzystywany do wysłania jednej wiadomości e-mail o przywróceniu działania; nie jest to zapis do ogólnej komunikacji marketingowej, a wysyłkę można wyłączyć za pomocą globalnej opcji rezygnacji z wiadomości. Adres nie jest umieszczany w transkrypcji Verifi AI.
3. Dane właścicieli i osób powiązanych z firmami
W ramach niektórych usług możemy przetwarzać dane właściciela nieruchomości: imię i nazwisko lub nazwę, rodzaj właściciela, CUI firmy, wzmianki w ANAF, ONRC, BPI, Portal Just, ICCJ oraz dane z księgi wieczystej. Dane te nie są zbierane od właściciela, lecz ze źródeł publicznych lub urzędowych.
Podstawą jest art. 6 ust. (1) lit. f GDPR, czyli prawnie uzasadniony interes: weryfikacja ryzyk dotyczących nieruchomości przed transakcją, finansowaniem, wyceną lub doradztwem. Pełna informacja dla właścicieli znajduje się na stronie verifi.ro/proprietari.
Właściciele mogą zgłosić sprzeciw na adres [email protected], wskazując nieruchomość, której dotyczy. Niniejsza informacja realizuje obowiązek z art. 14 GDPR dotyczący danych uzyskanych z innych źródeł niż osoba, której dane dotyczą.
Na potrzeby raportu dotyczącego firmy możemy przetwarzać imiona i nazwiska, role, opublikowane udziały i powiązania zawodowe osób zarządzających, wspólników, beneficjentów rzeczywistych lub innych osób powiązanych ze spółką, pochodzące z rejestrów i źródeł komercyjnych sprawdzanych na potrzeby konkretnej weryfikacji. Nie wykorzystujemy tych osób do celów marketingowych i nie publikujemy ogólnodostępnych profili. Informacja zgodna z art. 14 znajduje się na stronie verifi.ro/persoane-firme.
4. Cele i podstawy prawne
| Scop | Date | Temei |
|---|---|---|
| Identyfikacja nieruchomości | adres, numer katastralny, współrzędne | art. 6(1)(b) lub art. 6(1)(f) GDPR |
| Identyfikacja i analiza firmy | CUI, publiczne dane firmy, kontekst weryfikacji | art. 6(1)(b) lub art. 6(1)(f) GDPR |
| Zamówienie i dostarczenie raportu | adres e-mail, imię i nazwisko, identyfikator zamówienia, raport | art. 6(1)(b) GDPR |
| Płatność i zapobieganie oszustwom | dane do faktury, potwierdzenie płatności, techniczne dane dotyczące bezpieczeństwa | art. 6(1)(b), art. 6(1)(f), obowiązki podatkowe |
| Facturare | dane podatkowe | art. 6(1)(c) GDPR, ustawa o rachunkowości nr 82/1991 |
| Analiza właściciela | dane właściciela z rejestrów publicznych | art. 6(1)(f) GDPR |
| Securitate | dane techniczne, dzienniki bezpieczeństwa, zdarzenia techniczne | art. 6(1)(f), art. 32 GDPR |
| Zagregowane pomiary HTTP na poziomie sieci | łączna liczba żądań, transfer, szacowane wizyty i przedziały godzinowe | art. 6 ust. (1) lit. f) GDPR — prawnie uzasadniony interes związany z użytkowaniem, wydajnością i dostępnością; minimalizacja danych, bez profilu behawioralnego |
| Przywracanie niedokończonego zamówienia | adres e-mail, imię i nazwisko, koszyk, stan, interakcja z przypomnieniem i status blokady wysyłki | na potrzeby wysyłki: soft opt-in zgodnie z art. 12 ust. (2) ustawy nr 506/2004, interpretowany w świetle art. 13 ust. (2) dyrektywy 2002/58/CE i wyroku TSUE C-654/23; na potrzeby tymczasowego przechowywania, zarządzania wersją roboczą i rejestru wykluczeń z wysyłki: art. 6 ust. (1) lit. f) GDPR, prawnie uzasadniony interes; najwyżej dwa e-maile umożliwiające kontynuowanie zamówienia, z możliwością rezygnacji |
| Opinie po dostarczeniu | adres e-mail klienta, zamówienie | art. 6(1)(f) GDPR |
| Lista oczekujących Casa Verde | zgoda, art. 6(1)(a) GDPR | |
| Preferencje dotyczące plików cookie | preferencje i identyfikatory techniczne | zgoda, gdy ma zastosowanie, i ustawa nr 506/2004 |
Do tych pomiarów Verifi wykorzystuje Cloudflare HTTP Traffic Analytics dla ruchu, który już przechodzi przez Cloudflare w celu dostarczania treści i zapewnienia bezpieczeństwa. Cloudflare może przetwarzać w dziennikach sieciowych metadane żądań, w tym adres IP, host, ścieżkę i informacje o przeglądarce. Integracja Verifi nie żąda surowych dzienników, adresów IP, ścieżek URL, parametrów zapytań, identyfikatorów przeglądarki, User-Agent, adresów odsyłających ani odcisków cyfrowych; żąda jedynie sum i zestawień według przedziałów godzinowych. Wskaźnik „wizyty” jest szacunkiem Cloudflare i nie jest przedstawiany jako liczba osób ani unikalnych użytkowników.
Rozmowy z Verifi AI i wyświetlane artefakty są wykorzystywane do świadczenia usługi, zapewnienia wsparcia, bezpieczeństwa i jakości oraz analizy produktu i analizy handlowej. Verifi AI może objaśniać i polecać produkty Verifi w zależności od pytania użytkownika. Google Cloud Vertex AI przetwarza zapytania w celu generowania odpowiedzi. W F1 rozmowy nie są wykorzystywane przez Verifi do trenowania modeli.
Dane z formularza kontaktowego Verifi AI są wykorzystywane wyłącznie do odpowiedzi na prośbę użytkownika o wsparcie lub kontakt i nie są wykorzystywane do celów marketingowych. Pola formularza i podsumowanie nie trafiają do Gemini, nie są kopiowane do transkrypcji asystenta i nie trafiają do anonimowych zdarzeń analitycznych. Powiadomienie dla operatora celowo nie zawiera danych z formularza ani podsumowania: zawiera tylko nieinterpretowalny identyfikator referencyjny, kategorię, czas i link do panelu administracyjnego. Do dostawcy poczty elektronicznej i skrzynki zespołu nie trafia żadne z pól formularza ani podsumowanie; szczegóły w panelu administracyjnym widzi wyłącznie upoważniony personel.
5. Odbiorcy i podmioty przetwarzające
Korzystamy z następujących kategorii dostawców:
- Netopia, główna opcja płatności kartą prezentowana przy finalizacji zamówienia, oraz Revolut, opcja alternatywna; rzeczywista dostępność jest wskazywana na etapie płatności;
- Resend do wiadomości transakcyjnych;
- Hetzner do hostingu;
- Cloudflare do DNS, CDN/reverse proxy, zabezpieczeń i HTTP Traffic Analytics; Cloudflare działa jako podmiot przetwarzający w odniesieniu do Customer Logs udostępnianych Verifi, a w przypadku niektórych Network Data generowanych i wykorzystywanych do działania własnej sieci deklaruje odrębną rolę w swojej polityce prywatności;
- Google Cloud Vertex AI do przetwarzania zapytań niezbędnego do generowania odpowiedzi Verifi AI;
- usługi techniczne do zarządzania aplikacją;
- biuro rachunkowe wybrane przez administratora;
- dostawcy geokodowania i map na potrzeby wyszukiwania adresów, z minimalizacją danych;
- dostawcy komercyjnych danych o firmach, z których korzystamy na potrzeby konkretnego zamówionego raportu.
ANCPI, ANAF, ONRC, BPI, Portal Just, ICCJ i inne rejestry są źródłami publicznymi lub odrębnymi administratorami, a nie podmiotami przetwarzającymi Verifi w rozumieniu art. 28 GDPR.
6. Międzynarodowe przekazywanie danych
Staramy się utrzymywać przetwarzanie danych na terenie Europejskiego Obszaru Gospodarczego. Jeżeli korzystanie z dostawcy wiąże się z dostępem do danych lub ich przechowywaniem poza EOG, stosujemy umowy powierzenia przetwarzania, standardowe klauzule umowne i/lub inne mechanizmy przewidziane w art. 44-49 GDPR.
Cloudflare jest globalną firmą z siedzibą w Stanach Zjednoczonych i deklaruje, że przechowuje informacje głównie w Stanach Zjednoczonych oraz w Europejskim Obszarze Gospodarczym. Do przekazywania danych podlegającego GDPR stosuje się umowę powierzenia przetwarzania Cloudflare, standardowe klauzule umowne oraz pozostałe właściwe zabezpieczenia umowne; dodatkowe opcje lokalizacji zależą od wykupionego planu.
Do udzielania odpowiedzi Verifi AI na stronie korzystamy z globalnej infrastruktury Google Cloud, dlatego zapytania mogą być przetwarzane również w centrach danych Google poza EOG. Obowiązują umowa o przetwarzaniu danych Google Cloud oraz standardowe klauzule umowne. Zgodnie z warunkami Google Cloud treść zapytań nie jest wykorzystywana do trenowania modeli Google.
7. Okresy przechowywania
Główne okresy przechowywania to:
- podgląd lite: 7 dni;
- zapis stanu niedokończonego zamówienia, w tym adres e-mail, imię i nazwisko oraz koszyk: maksymalnie 30 dni;
- płatne raporty: 12 miesięcy dostępu online oraz 3 lata archiwizacji na potrzeby umowy;
- zamówienia: 5 lat;
- faktury i dokumenty księgowe: 10 lat;
- linki do logowania: 20 minut;
- sesje konta: do 30 dni;
- linki dostępu do raportu: 7 dni;
- date tehnice de securitate, inclusiv jurnalele tehnice ale serverului: până la 6 luni, cu excepția incidentelor;
- rozmowy z Verifi AI i wyświetlane artefakty: 90 dni;
- prośby o kontakt przesłane przez Verifi AI, szyfrowane osobno: trzy lata;
- wnioski dotyczące GDPR, wsparcia, zwrotu lub gwarancji: 3 lata;
- sprzeciwy właścicieli: tak długo, jak jest to niezbędne do ich respektowania, z okresowym przeglądem.
Gdy klient bezpośrednio wpisuje adres e-mail, aby kontynuować zamówienie Verifi, podczas jego zbierania informujemy, że możemy wysłać najwyżej dwa e-maile dotyczące rozpoczętego zamówienia, i umożliwiamy zgłoszenie sprzeciwu przed zapisaniem. To ograniczone wykorzystanie opiera się na wyjątku typu soft opt-in z art. 12 ust. (2) ustawy nr 506/2004: dotyczy wyłącznie podobnych usług własnych i wymaga zapewnienia wyraźnej, prostej i bezpłatnej możliwości sprzeciwu zarówno przy pozyskiwaniu adresu, jak i w każdej wiadomości.
Kwalifikacja uwzględnia wyrok TSUE C-654/23, Inteligo Media, który wyjaśnił pojęcie istniejącej relacji z klientem oraz to, że art. 13 ust. (2) dyrektywy 2002/58/CE może obejmować również usługę świadczoną bez odrębnej płatności. Najwyżej dwa e-maile Verifi ograniczają się do rozpoczętego zamówienia; nie zapisują klienta do newslettera ani do ogólnych kampanii.
Klient może łatwo i bezpłatnie wyłączyć przypomnienia podczas zbierania adresu lub za pomocą linku rezygnacji z subskrypcji w każdej wiadomości. Link otwiera proces odporny na automatyczne skanowanie i nie zmienia preferencji po samym automatycznym otwarciu; klient wyraźnie potwierdza działanie na stronie. Wyłączenie zostaje odnotowane dla bieżącej kampanii i zachowuje istniejące globalne wykluczenia z wysyłki; nie zapisujemy adresu ponownie do innej kampanii. Blokuje to na tym adresie e-maile przypominające o niedokończonym zamówieniu i wiadomości marketingowe, niezależnie od wersji roboczej. Wiadomości transakcyjne niezbędne po finalizacji zamówienia, na przykład potwierdzenie płatności, przetwarzanie i dostarczenie, są odrębne, nie są blokowane przez to wykluczenie i są wysyłane osobno. Migawka danych jest fizycznie usuwana najpóźniej 30 dni po ostatniej aktywności.
Integracja Verifi z Cloudflare HTTP Traffic Analytics nie włącza Logpush i nie kopiuje surowych dzienników HTTP ani agregatów do własnej bazy. Wewnętrzny panel pobiera na żądanie wyłącznie dane z ostatnich 30 minut i ostatnich 24 godzin, a wynik nie jest trwale zapisywany po wyświetleniu. Dane źródłowe przetwarzane przez Cloudflare nadal podlegają okresom i kryteriom przechowywania określonym w umowie powierzenia przetwarzania, planie i konfiguracji konta Cloudflare.
W sprawie dostępu do rozmów Verifi AI i ich usunięcia napisz na adres [email protected]. Okres 90 dni może zostać przedłużony, gdy istnieje prawny obowiązek przechowywania lub ma zastosowanie prawny środek zabezpieczenia danych.
8. Twoje prawa
Przysługują Ci prawa przewidziane w art. 15-21 GDPR: dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie danych, sprzeciw i wycofanie zgody, gdy przetwarzanie opiera się na zgodzie.
Odpowiadamy w ciągu maksymalnie jednego miesiąca, zgodnie z art. 12 ust. (3) GDPR, z możliwością zgodnego z prawem przedłużenia w złożonych przypadkach. Tożsamość klientów weryfikujemy w sposób proporcjonalny, zazwyczaj za pomocą adresu e-mail z zamówienia. W przypadku właścicieli prosimy o wskazanie nieruchomości, a nie domyślnie o kopię dokumentu tożsamości CI.
10. Bezpieczeństwo
Stosujemy środki zgodne z art. 32 GDPR: bezpieczne połączenia, kontrolę dostępu, ograniczenie dostępu wewnętrznego, rejestrowanie i monitorowanie na potrzeby bezpieczeństwa, bezpieczne tokeny i środki ochrony przed nadużyciami.
Folosim o verificare automată împotriva abuzurilor la trimiterea formularelor.
11. ANSPDCP
Możesz złożyć skargę do Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal: B-dul G-ral. Gheorghe Magheru nr. 28-30, sector 1, București, dataprotection.ro, [email protected].