Politica de confidențialitate și securitatea datelor
În vigoare din 6 septembrie 2026 · Versiunea 2026-09-06
Această politică se adresează clienților Chappa POS (firmele care își înscriu localul și persoanele care le reprezintă sau lucrează în ele) și vizitatorilor paginilor noastre publice. Aplicația mobilă Chappa, folosită de clienții localurilor, are politica ei separată.
- Operator: CEAPA COOL SRL, CUI 47755081, Str. Diana nr. 4, et. 3, ap. 16, Timișoara, jud. Timiș, România, office@ceapa.cool.
- Prelucrăm doar ce ne trebuie ca să încheiem contractul, să creăm și să operăm localul, să facturăm și să te ajutăm.
- Datele cardului nu ajung la noi: sunt introduse exclusiv în pagina securizată NETOPIA Payments.
- Fără reclame, fără analytics, fără vânzare de date. Paginile publice nu conțin instrumente de urmărire.
- Datele operate de tine în POS (angajați, produse, vânzări, clienți) le prelucrăm în numele tău, ca persoană împuternicită.
- Serverele sunt în Uniunea Europeană, conexiunile sunt criptate, iar copiile de siguranță sunt automate. Doar unele funcții opționale (de exemplu asistentul AI Chappy) prelucrează date și în afara UE, iar asta îți spunem când le activezi.
1. Cine suntem
CEAPA COOL SRL, societate înregistrată în România (Nr. Reg. Com. J35/956/2023, CUI 47755081), cu sediul în Str. Diana nr. 4, et. 3, ap. 16, Timișoara, jud. Timiș, România, este operatorul datelor descrise mai jos, cu excepția datelor pe care le operezi tu în Serviciu (secțiunea 3.4), unde tu ești operator și noi persoană împuternicită. Pentru orice întrebare despre datele tale scrie-ne la office@ceapa.cool.
2. Ce date prelucrăm, de ce și în ce temei
| Context | Date | Scop și temei legal |
|---|---|---|
| Înscrierea localului | CUI-ul și datele firmei din registrul public ANAF (denumire, număr de înregistrare, sediu, statut TVA); numele și funcția persoanei care semnează și declarația ei de reprezentare; adresa de email și codul de confirmare; numele, descrierea, adresa, coordonatele, logo-ul și adresa web a localului; configurația aleasă; adresa IP și identificatorul browserului la semnare | Încheierea și executarea contractului (art. 6 alin. 1 lit. b GDPR); dovada acceptării contractului și prevenirea abuzurilor, interes legitim (lit. f); obligații legale de facturare (lit. c) |
| Plata | Datele proformei și facturii, starea plății, referința tranzacției și suma confirmată de NETOPIA sau datele transferului bancar. Datele cardului nu ajung la noi. | Executarea contractului (lit. b); obligații fiscale și contabile (lit. c) |
| Contul și folosirea Serviciului | Adresa de email, parola (stocată doar ca hash criptografic), sesiunile de autentificare, adresele IP și jurnalele tehnice ale accesului, tichetele de suport și corespondența cu noi; consumul funcțiilor tarifate la utilizare (de exemplu volumul procesat de asistentul AI Chappy), per cont, pentru afișare și facturare | Executarea contractului (lit. b); securitatea sistemelor și prevenirea abuzurilor, interes legitim (lit. f) |
| Emailuri | Adresa de email și conținutul mesajelor tranzacționale: cod de confirmare, proformă, facturi, bun venit, invitații, notificări de plată, răspunsuri la cereri | Executarea contractului (lit. b). Nu trimitem mesaje de marketing. |
| Cereri de retragere și încetare | Datele cererii trimise din POS sau pe email (nume, email, firmă, identificarea contractului, mesaj) și momentul primirii | Obligații legale privind dreptul de retragere (lit. c); executarea contractului (lit. b) |
| Paginile publice | Adresa IP și datele tehnice ale cererii, ca la orice server web. Pagina de înscriere ține în browserul tău identificatorul sesiunii tale, ca să o poți relua. | Funcționarea și securitatea site-ului, interes legitim (lit. f) |
3. Datele operate de tine în Serviciu
În POS introduci și generezi date despre angajații tăi (nume, cod PIN, roluri, activitate), produsele și vânzările localului, clienții (comenzi și plăți din aplicație, rezervări, recenzii) și documentele (bonuri, facturi, rapoarte). Pentru toate acestea tu ești operatorul, iar noi le prelucrăm în numele tău, pe instrucțiunile tale, strict pentru furnizarea Serviciului, conform contractului. Nu le folosim în alte scopuri, nu le vindem și nu le transmitem terților decât la instrucțiunea ta (de exemplu, integrările pe care le activezi) sau când legea ne obligă. La cerere îți punem la dispoziție acordul de prelucrare (art. 28 GDPR) și lista subcontractanților.
4. Cui transmitem date
| Destinatar | Ce și de ce |
|---|---|
| NETOPIA Payments | Procesarea plăților cu cardul. Datele cardului merg doar la ei; noi primim confirmarea plății și referința tranzacției. NETOPIA prelucrează datele ca operator independent, conform politicii lor. |
| Furnizorii noștri de infrastructură | Găzduirea serverelor (în Uniunea Europeană) și livrarea emailurilor. Acționează ca persoane împuternicite, pe baza unor contracte de prelucrare. |
| Furnizorul modelului AI (OpenAI) | Doar dacă folosești Chappy, asistentul AI din POS: mesajele tale către asistent și datele din POS necesare răspunsului, prelucrate conform termenilor OpenAI pentru API, care exclud folosirea datelor la antrenarea modelelor. Presupune prelucrarea acestor date în afara Spațiului Economic European; vezi „Unde sunt prelucrate datele”, mai jos. |
| ANAF | Consultarea registrului public al contribuabililor la înscriere; transmiterea facturilor în sistemul RO e-Factura, acolo unde legea o cere. |
| Partenerul care te-a recomandat | Dacă te-ai înscris cu un cod de partener, partenerul vede localurile asociate codului lui. |
| Autorități publice | Doar când legea ne obligă. |
Nu folosim rețele de publicitate, brokeri de date sau furnizori de analytics.
Unde sunt prelucrate datele. Pentru folosirea obișnuită a Serviciului, datele tale rămân în Uniunea Europeană: serverele noastre și copiile de siguranță sunt găzduite în UE. Unele funcții opționale pot presupune prelucrarea unor date și în afara Spațiului Economic European, de către furnizorul funcției respective (de exemplu Chappy, asistentul AI, al cărui model rulează la OpenAI). Aceste funcții nu sunt active de la sine: când le activezi, îți spunem clar, în POS, ce date ies din SEE și către cine, iar transferul se face cu garanțiile prevăzute de GDPR (art. 44-49, de regulă clauzele contractuale standard ale Comisiei Europene). Cât timp nu folosești o astfel de funcție, nicio dată nu părăsește SEE.
5. Cât timp păstrăm datele
- Contractul și dovada semnării: pe durata contractului și, după încetare, cât cere legea și termenul general de prescripție, ca dovadă a acordului.
- Facturile și documentele de plată: termenul legal de arhivare a documentelor financiar-contabile.
- Înscrieri neterminate: sesiunile nesemnate se șterg automat după 7 zile de inactivitate.
- Datele localului: pe durata contractului. După încetare, la cerere le exportăm, apoi le ștergem, în afara datelor pe care legea ne obligă să le păstrăm.
- Copii de siguranță: cel mult 31 de zile pe serverul central și 7 zile pe serverul localului, apoi se șterg. Datele șterse pot persista în copii de siguranță până la expirarea lor.
- Jurnalele tehnice: o perioadă limitată, necesară securității și depanării.
6. Securitatea datelor (GDPR)
Aplicăm măsuri tehnice și organizatorice potrivite riscului, conform art. 32 GDPR:
- toate conexiunile folosesc criptare TLS (adresele încep cu https), inclusiv între serverele noastre;
- parolele sunt stocate doar ca hash criptografic, sesiunile se bazează pe token-uri aleatorii, iar accesul personalului la POS se face cu coduri individuale;
- fiecare local rulează într-o bază de date separată, cu acces izolat;
- copii de siguranță automate: orar pe serverul localului și la fiecare 6 ore pe serverul central;
- monitorizare automată 24/7 și alertare imediată la incidente;
- accesul angajaților noștri la date este limitat la ce este necesar pentru suport și operare și este jurnalizat;
- serverele și copiile de siguranță sunt găzduite în Uniunea Europeană; funcțiile opționale care prelucrează date în afara SEE sunt semnalate la activare;
- în cazul unei încălcări a securității care îți afectează datele, te anunțăm fără întârziere și notificăm autoritatea de supraveghere în 72 de ore, când legea o cere.
7. Drepturile tale
Ai dreptul de acces la datele tale, de rectificare, de ștergere, de restricționare a prelucrării, de opoziție și de portabilitate, în condițiile GDPR. Scrie-ne la office@ceapa.cool; răspundem în cel mult o lună. Ai și dreptul de a depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, București, dataprotection.ro.
8. Cookie-uri
Paginile publice folosesc doar cookie-uri și date de stocare locală strict necesare: sesiunea de autentificare și identificatorul sesiunii de înscriere, ca să o poți relua. Nu folosim cookie-uri de urmărire sau de publicitate, de aceea nu afișăm un banner de consimțământ.
9. Modificări
Publicăm orice versiune nouă la această adresă, cu o nouă dată de intrare în vigoare. Modificările importante ți le anunțăm pe email sau în POS înainte să intre în vigoare.
10. Contact
CEAPA COOL SRL · CUI 47755081 · Nr. Reg. Com. J35/956/2023
Str. Diana nr. 4, et. 3, ap. 16, Timișoara, jud. Timiș, România
Telefon: +40 775 283 411 · Email: office@ceapa.cool