Pe scurt
- Firmly este o platformă cu date despre firmele din România, pentru firme (B2B). Despre oameni avem doar ce apare deja în registrele publice sau pe site-urile firmelor, în legătură cu rolul lor în firmă.
- Nu avem CNP-uri, serii de buletin sau adrese de domiciliu. Data nașterii completă nu o arătăm clienților (doar anul).
- Nu vindem baze de date și nu trimitem noi mesaje comerciale în numele clienților.
- Te poți opune oricând, fără cont și fără acte, din formularul de opoziție: după ce confirmi cererea din linkul primit pe e-mail, contactul tău dispare imediat pentru toți clienții Firmly.
1. Cine răspunde de date
ARHAI S.R.L. , CUI RO35913161 , J2016000743052 , cu sediul în Str. Piatra Craiului nr. 36G, Oradea, jud. Bihor. Reprezentant legal: Gabriel-Mircea Nica, administrator. Contact pentru orice întrebare despre date: contact@firmly.ro.
Operatorul răspunde de datele descrise mai jos. Pentru datele pe care clienții noștri le introduc în propriile conturi (note, coada de apeluri, liste), operatorul este clientul, iar noi lucrăm în numele lui, pe baza acordului de prelucrare a datelor.
Nu avem un responsabil cu protecția datelor (DPO) numit separat; de întrebările despre date se ocupă direct operatorul, la contact@firmly.ro.
2. Dacă apari într-un registru public sau pe site-ul unei firme (informare conform art. 14 GDPR)
Dacă ești administrator, asociat, titular al unei PFA sau al unei întreprinderi individuale ori persoană de contact a unei firme, este posibil ca Firmly să conțină date despre tine, chiar dacă nu ni le-ai dat tu.
Ce date avem
- din registrul comerțului și din Monitorul Oficial: numele, calitatea în firmă (administrator, asociat, asociat unic etc.), dacă mandatul e activ sau încheiat, cota de participare, data și localitatea nașterii, localitatea și țara de domiciliu (fără stradă și număr), așa cum le publică sursa;
- despre firma ta (inclusiv PFA/II, unde firma poartă numele tău): denumirea, sediul, codul CAEN, starea, cifrele din bilanț, datoriile la buget publicate de ANAF, contractele publice, subvențiile, mărcile, dosarele din instanțe în care firma e parte;
- de pe site-urile firmelor și din hărțile publice: telefonul, adresa de e-mail și site-ul publicate de firmă, plus o estimare statistică a persoanei căreia îi aparține probabil un număr de telefon (de exemplu, „probabil al administratorului”), ca să știe clientul pe cine sună;
- din dosarele de instanță: doar firma; numele persoanelor fizice care sunt părți în dosare nu le păstrăm, iar la dosarele penale nu păstrăm nici soluția.
De unde
Registrul comerțului (ONRC, date deschise publicate pe data.gov.ro), Monitorul Oficial al României partea a IV-a, Ministerul Finanțelor și ANAF (situații financiare, date de identificare, obligații restante), SEAP/e-licitatie.ro, portalul instanțelor (portal.just.ro), OSIM, AFIR, lista beneficiarilor de fonduri europene, site-urile publice ale firmelor, OpenStreetMap și Overture Maps.
De ce și în ce temei
- Scopuri: informarea profesională despre firme (cine le conduce, cum le merge, cum pot fi contactate), verificarea partenerilor și a clienților înainte de un contract, evaluarea riscului de neplată, analiza pieței și prospectarea între firme (B2B).
- Temeiul: interesul legitim (art. 6 alin. (1) lit. f) GDPR) — al nostru, de a oferi acest serviciu, și al clienților noștri, de a-și cunoaște și contacta partenerii de afaceri. Interesul comercial poate fi un interes legitim (Curtea de Justiție a UE, cauza C-621/22, 2024). L-am cântărit față de drepturile tale și am pus garanții: folosim doar date deja publice, legate de rolul profesional; nu păstrăm CNP, acte de identitate sau domicilii; datele despre persoane sunt ascunse implicit clienților și se activează doar pentru cei care au nevoie de ele; clienții văd doar anul nașterii; orice opoziție se respectă imediat, pentru toți clienții; nu permitem folosirea datelor pentru decizii automate despre tine.
- Nu ești obligat să ne dai vreo dată: nu cerem nimic de la tine.
Cui le arătăm
Utilizatorilor autentificați ai clienților noștri (firme din România care folosesc Firmly pentru vânzări, verificări și analiză). Paginile publice ale Firmly arată cifre agregate și, pentru firme (persoane juridice, nu PFA, II sau IF), datele oficiale ale firmei: identificarea din registrul comerțului, bilanțurile publicate de Ministerul Finanțelor, starea fiscală ANAF, contractele publice, site-ul și paginile firmei de pe rețelele sociale. Nu arată nume de persoane fizice (administratori, asociați), telefoane sau adrese de e-mail. Clientul care folosește datele pentru propriile scopuri (de exemplu, te sună) devine el însuși operator și trebuie să te informeze, la primul contact, cine este și de unde are datele.
De ce nu te-am anunțat personal
Nu avem adresa ta de domiciliu sau un e-mail personal și nu le colectăm doar ca să te anunțăm: ar însemna să strângem mai multe date despre tine. De aceea publicăm această informare (art. 14 alin. (5) lit. b) GDPR), o ținem la vedere pe fiecare pagină a site-ului și facem opoziția posibilă în câteva secunde, fără cont. Dacă un client te contactează, el are obligația să îți spună de unde are datele.
3. Utilizatorii platformei și cei care ne scriu (art. 13 GDPR)
| Ce | De ce | Temeiul |
|---|---|---|
| Contul: nume, e-mail, firma, rolul, parola (doar ca amprentă criptografică), setările verificării în doi pași (metoda aleasă, codurile trimise pe e-mail — doar ca amprentă — și dispozitivele ținute minte), versiunea termenilor acceptată | accesul la platformă, administrarea echipei | executarea contractului (art. 6 alin. (1) lit. b)) |
| Jurnalul de securitate: intrările în cont, adresa IP, browserul, firmele și persoanele consultate, exporturile, cererile API | protecția datelor din platformă, depistarea abuzurilor, dovada respectării regulilor | interes legitim și obligația de securitate (art. 6 alin. (1) lit. f), art. 32) |
| Întrebările din „Întreabă Firmly” | răspunsul la întrebare, istoricul tău, îmbunătățirea înțelegerii întrebărilor | executarea contractului; interes legitim |
| Datele de facturare ale firmei client | facturarea și evidența contabilă | obligație legală (art. 6 alin. (1) lit. c), Legea nr. 82/1991) |
| Clienții persoane fizice: prenumele, numele, adresa, localitatea, județul, e-mailul și, dacă îl dai, telefonul (nu cerem și nu păstrăm CNP-ul; pe factură și în RO e-Factura apare codul cu 13 cifre de 0, prevăzut de lege pentru cumpărătorii fără CNP) | contul, facturarea și evidența contabilă; telefonul, doar ca să te putem contacta despre cont sau plată | executarea contractului (art. 6 alin. (1) lit. b)); obligație legală pentru factură (art. 6 alin. (1) lit. c), Codul fiscal, Legea nr. 82/1991) |
| Clienții persoane fizice: acordul expres pentru începerea imediată a serviciului și confirmarea pierderii dreptului de retragere (data, ora, versiunea textului, adresa IP, plata la care s-a dat) | dovada acordului cerut de OUG nr. 34/2014 | obligație legală (art. 6 alin. (1) lit. c)); interes legitim pentru apărarea în caz de litigiu |
| Cererea de acces de pe firmly.ro: nume, e-mail, telefon, firma, ce cauți | să îți răspundem și să îți facem o ofertă | demersuri înainte de contract, la cererea ta (art. 6 alin. (1) lit. b)) |
| Abonarea la raportul lunar „Pulsul pieței”: e-mailul, data și IP-ul abonării, confirmarea | trimiterea raportului lunar | consimțământ (art. 6 alin. (1) lit. a)), confirmat prin e-mail; te dezabonezi din orice e-mail |
| Opozițiile și celelalte cereri privind datele: ce vrei blocat, numele și e-mailul pentru răspuns (opțional), adresa IP | să respectăm cererea și să putem dovedi că am respectat-o | obligație legală (art. 6 alin. (1) lit. c), art. 12 și 21 GDPR) |
4. Scoruri și estimări — nu sunt decizii automate
Firmly calculează pentru firme scoruri statistice (de exemplu, dinamica afacerii, riscul de încasare, potrivirea cu un produs) din bilanțuri, datorii publicate și alte date publice, și estimează cui îi aparține probabil un număr de telefon. Acestea sunt informații de lucru, cu motivele afișate lângă fiecare scor. Firmly nu ia nicio decizie despre tine, iar clienților le interzicem prin termeni să ia, doar pe baza lor, decizii automate care produc efecte juridice asupra unei persoane fizice sau o afectează în mod similar (art. 22 GDPR) — de exemplu refuzul automat al unui contract unui titular de PFA. Poți cere oricând explicații despre un scor care te privește și te poți opune calculării lui.
5. Cui mai ajung datele (destinatari) și transferuri
- Cloudify — serverele și copiile de siguranță, într-un centru de date din Timișoara, România.
- Resend, Inc. (SUA) — trimite e-mailurile platformei (invitații, alerte, raportul lunar). Transfer pe baza clauzelor contractuale standard ale Comisiei Europene și, dacă furnizorul e certificat, a cadrului UE–SUA privind protecția datelor.
- Anthropic, PBC (SUA) — interpretează întrebările puse în „Întreabă Firmly” (primește doar textul întrebării) și, pentru întrebările trimise prin API, formulează răspunsul din datele găsite pentru întrebare (inclusiv, dacă e cazul, numele și rolul persoanelor din firmă). Fără datele contului. Transfer pe baza clauzelor contractuale standard; datele nu sunt folosite pentru antrenarea modelelor, conform termenilor comerciali ai furnizorului.
- Asistentul intern al operatorului — echipa operatorului consultă datele și printr-un asistent propriu (chat și WhatsApp), care folosește un model de limbaj (Anthropic, SUA) și, pentru mesaje, WhatsApp (Meta Platforms). Doar pentru uzul intern al operatorului, cu aceleași garanții de transfer.
- Asistentul AI conectat de un client (conectorul AI) — un client din planul Agenție poate conecta contul lui Firmly la Claude (Anthropic, PBC, SUA) sau la ChatGPT (OpenAI, SUA). Atunci, datele pe care utilizatorul le cere în conversație (fișe de firme, liste, inclusiv, dacă planul lui le include, administratorii și asociații, cu data nașterii doar ca an) ajung la furnizorul asistentului ales, la cererea și sub controlul clientului, cu aceleași drepturi, limite și opoziții ca în aplicație. Fiecare cerere e înregistrată și se vede în „Contul meu → Activitate”; conexiunea se poate opri oricând din „Contul meu → Conector AI”.
- Stripe Payments Europe Ltd. (Irlanda) — procesează plățile cu cardul ale abonamentelor și ale pachetelor de export: datele cardului ajung direct la Stripe (Firmly nu le vede), plus denumirea (sau, pentru persoane fizice, numele), adresa și e-mailul de facturare ale clientului.
- Intelligent IT SRL (SmartBill) (România) — emite facturile fiscale și le transmite în RO e-Factura: datele de facturare ale clientului (firmă sau persoană fizică, fără CNP) și suma plătită; prin RO e-Factura, factura ajunge și la ANAF, cum cere legea.
- Google Ireland Limited (Irlanda), persoană împuternicită — statisticile de vizitare ale paginilor publice (Google Analytics), doar dacă ai apăsat „Accept” în bannerul de cookie-uri: paginile văzute, de unde ai venit, tipul de dispozitiv și browserul, țara/orașul aproximativ, cu un identificator aleatoriu din cookie. Fără numele, e-mailul sau firma ta. Datele pot ajunge la Google LLC (SUA), certificată în cadrul UE–SUA privind protecția datelor (EU-US Data Privacy Framework), plus clauzele contractuale standard. Vezi punctul 8.
- Clienții Firmly — vezi punctul 2. Autoritățile — doar când legea ne obligă.
Nu vindem date personale și nu le dăm altor firme pentru publicitate.
6. Cât timp păstrăm datele
| Ce | Cât | Cum |
|---|---|---|
| Datele despre firme și despre persoanele din registrele publice (administratori, asociați, titulari PFA/II) | cât timp sunt publice la sursă | se actualizează la fiecare ediție a registrului; ce dispare din registru dispare și din Firmly la următoarea refacere a fișelor; mandatele încheiate rămân ca istoric al firmei |
| Datele de contact publicate pe site-urile firmelor (telefon, e-mail) | cât timp apar pe site | se reverifică la fiecare vizită a site-ului; cele raportate greșit sau cu opoziție nu mai apar în liste și exporturi |
| Dosarele de instanță ale firmelor (portal.just.ro) | cât timp apar pe portalul instanțelor | păstrăm doar firmele implicate; numele persoanelor fizice din dosare nu se păstrează (sunt înlocuite cu „persoană fizică”), iar la dosarele penale nu păstrăm soluția |
| Jurnalul de securitate (intrări în cont, vizualizări de date personale, exporturi, cereri API) | 12 luni | ștergere automată zilnică |
| Istoricul întrebărilor puse în „Întreabă Firmly” | 12 luni | ștergere automată zilnică |
| Alertele trimise utilizatorilor (firme și piețe urmărite) | 12 luni | ștergere automată zilnică |
| Jurnalul tehnic al paginilor lente (fără conținutul paginii) | 90 de zile | ștergere automată zilnică |
| Conexiunile conectorului AI — Claude, ChatGPT (tokenuri de acces, fără conținutul conversațiilor) | 60 de zile fără folosire | expiră singure; tokenurile expirate sau revocate se șterg automat după 7 zile; deconectare oricând din Contul meu |
| Sesiunile de autentificare (adresa IP, browserul) | 7 zile de la ultima folosire | ștergere automată zilnică (sesiunea expiră oricum la închiderea browserului) |
| Invitațiile și linkurile de resetare a parolei | 90 de zile de la folosire sau expirare | ștergere automată zilnică |
| Sarcinile de fundal eșuate (pot conține adrese de e-mail) | 30 de zile | ștergere automată zilnică |
| Cererile de acces trimise de pe firmly.ro | 12 luni (24 de luni dacă a devenit client) | ștergere automată zilnică |
| Abonații la raportul lunar „Pulsul pieței” | până la dezabonare, apoi încă 12 luni ca dovadă a consimțământului; abonările neconfirmate, 30 de zile | ștergere automată zilnică |
| Registrul de opoziție (telefonul, e-mailul, site-ul sau firma care nu vrea să fie contactată) | permanent | altfel nu am putea respecta opoziția; adresa IP de pe care a fost trimisă cererea se șterge după 3 ani |
| Cererile de opoziție din formularul public neconfirmate prin linkul din e-mail | 7 zile | ștergere automată zilnică; fără confirmare cererea nu se aplică |
| E-mailurile primite la contact@firmly.ro și răspunsurile noastre (expeditor, subiect, conținut, numele atașamentelor) | 24 de luni | ștergere automată zilnică din Firmly; atașamentele nu se copiază la noi, se descarcă la cerere din Resend |
| Codurile de verificare trimise pe e-mail la intrarea în cont (doar amprenta codului, adresa IP) | 1 zi | codul expiră după 10 minute și merge o singură dată; rândul se șterge automat după o zi |
| Dispozitivele ținute minte pentru codul pe e-mail (browserul și sistemul, adresa IP, data) | 30 de zile | expiră singure; le revoci oricând din Securitate și se revocă toate la schimbarea parolei |
| Contorul zilnic de vizualizări în aplicație (câte firme cu contacte și fișe, pagini, viteza maximă, semnalele de program automat) | 180 de zile | ștergere automată zilnică; contoarele din Redis expiră după două zile |
| Contul clientului și datele introduse de el (produse, coada de apeluri, note, liste) | cât timp contul e activ, apoi 90 de zile după expirare | după 90 de zile datele se șterg la cerere sau de administrator, în cel mult 30 de zile (lista conturilor de curățat e în Admin → Conformitate) |
| Documentele de facturare | 10 ani de la sfârșitul anului financiar | obligație legală (Legea contabilității nr. 82/1991, art. 25) |
| Acordul persoanelor fizice pentru începerea imediată a serviciului (renunțarea la dreptul de retragere) | cât documentele de facturare ale plății la care s-a dat | dovada cerută de OUG nr. 34/2014; se păstrează cu factura plății |
7. Drepturile tale și cum le exerciți
- Opoziție (art. 21): te poți opune oricând prelucrării bazate pe interes legitim. Opoziția la prospectare (marketing direct) se respectă întotdeauna, fără să ceri motivul. Cea mai rapidă cale: formularul de opoziție — după confirmarea pe e-mail (un link valabil 7 zile, ca nimeni să nu poată bloca datele altcuiva), telefonul, e-mailul, site-ul sau firma indicată dispar imediat din listele de contact, din cozile de apeluri și din exporturile tuturor clienților.
- Acces (art. 15): ce date avem despre tine, de unde și cui le-am arătat.
- Rectificare (art. 16) a datelor greșite. Datele din registre le corectăm odată cu sursa; pentru o greșeală la sursă, îți spunem unde să te adresezi.
- Ștergere (art. 17) și restricționare (art. 18), în condițiile legii. Pentru datele din registre, ștergerea ta din Firmly nu le șterge din registrul public.
- Portabilitate (art. 20), pentru datele contului tău de utilizator.
- Retragerea consimțământului (abonarea la raportul lunar), oricând, din linkul din fiecare e-mail.
Pentru orice cerere, scrie-ne la contact@firmly.ro sau folosește formularul de opoziție. Răspundem fără întârziere, în cel mult o lună (termenul se poate prelungi cu două luni pentru cereri complexe; te anunțăm în prima lună). Cererile sunt gratuite. Putem cere o confirmare a identității doar dacă e nevoie, de exemplu printr-un e-mail trimis de pe adresa în cauză.
Ai dreptul să depui plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru nr. 28–30, sector 1, București, www.dataprotection.ro, sau să te adresezi instanței.
8. Cookie-uri
Cookie-urile strict necesare (primele trei de mai jos) nu cer consimțământ (Legea nr. 506/2004, art. 4 alin. (5)). Cookie-urile de statistică Google Analytics le punem doar dacă apeși „Accept” în bannerul de pe paginile publice și de pe pagina de înscriere; până atunci nu încărcăm niciun script Google și nu trimitem nimic la Google. „Refuz” e la fel de ușor ca „Accept”, iar site-ul merge la fel în ambele cazuri. În aplicație (după ce intri în cont) și în Admin nu folosim Google Analytics deloc.
| Nume | La ce folosește | Cât durează |
|---|---|---|
| firmly-session | ține minte sesiunea (contul în care ești intrat, formularele trimise) | până închizi browserul |
| remember_web_* | doar dacă bifezi „Ține-mă minte” la autentificare: te ține intrat în cont pe acel dispozitiv, fără să introduci din nou parola (un identificator aleatoriu; se anulează la ieșirea din cont sau la schimbarea parolei) | 30 de zile |
| firmly_dispozitiv | doar dacă bifezi „Ține minte acest dispozitiv” la verificarea în doi pași: nu-ți mai cerem codul pe acel dispozitiv (se anulează din Securitate sau la schimbarea parolei) | 30 de zile |
| XSRF-TOKEN | protejează formularele împotriva cererilor false trimise din alte site-uri | 4 ore, reînnoit la fiecare pagină |
| firmly_consent | strict necesar: ține minte dacă ai apăsat „Accept” sau „Refuz” în bannerul de cookie-uri, ca să nu te întrebăm la fiecare pagină (doar valoarea „granted” sau „denied”) | 6 luni |
| _ga, _ga_* | doar cu acordul tău: Google Analytics deosebește vizitele (un identificator aleatoriu, fără numele sau e-mailul tău), ca să vedem câte persoane citesc paginile publice și de unde vin | 13 luni în browser; datele din Google Analytics se șterg după 14 luni |
Google Analytics 4. Scopul: statistici agregate despre paginile publice (ce se citește, din ce căutări sau site-uri vin vizitatorii, câte înscrieri și cereri de acces se fac — fără datele tale de cont). Temeiul: consimțământul tău (art. 6 alin. (1) lit. a) GDPR și art. 4 alin. (5) din Legea nr. 506/2004). Furnizorul, Google Ireland Limited, lucrează ca persoană împuternicită; Google Analytics 4 nu păstrează adresele IP. Am oprit Google Signals și personalizarea reclamelor și nu folosim aceste date pentru publicitate. Transferul către Google LLC (SUA) se face pe baza cadrului UE–SUA privind protecția datelor (EU-US Data Privacy Framework) și a clauzelor contractuale standard.
Cum retragi acordul: apasă „Setări cookie-uri”, jos în orice pagină publică, apoi „Refuz”. Ștergem atunci cookie-urile _ga din browser și nu mai trimitem nimic la Google. Retragerea nu afectează ce s-a măsurat înainte. Poți șterge oricând și singur cookie-urile din setările browserului.
Nu folosim cookie-uri de publicitate sau de urmărire, nici alte scripturi ale altor firme (fonturi externe, pixeli, rețele sociale). Graficul pe care îl pot include alte site-uri (/puls/grafic) nu pune niciun cookie.
9. Cum protejăm datele
Serverele sunt în România. Accesul în aplicație se face doar cu cont nominal (creat prin invitație sau prin înscrierea unei firme, cu adresa de e-mail confirmată), parolă de cel puțin 12 caractere și verificare în doi pași (cod trimis pe e-mail la fiecare intrare sau, la alegere, cod dintr-o aplicație de autentificare); conexiunile sunt criptate (HTTPS), cheile integrărilor se păstrează criptat, iar fiecare consultare a datelor despre persoane și fiecare export se înregistrează în jurnalul de securitate. Fiecare client vede doar datele lui de lucru. Dacă se întâmplă totuși un incident care îți pune datele în pericol, anunțăm ANSPDCP în 72 de ore și, dacă riscul pentru tine e ridicat, te anunțăm și pe tine.
10. Modificări
Când schimbăm această politică, actualizăm data de sus. Schimbările importante le anunțăm utilizatorilor pe e-mail sau în aplicație, înainte să se aplice.