Politica de Confidențialitate

Prezentul document descrie modul în care Dive Softwareprelucrează datele cu caracter personal ale persoanelor care interacționează cu site-ul nostru și cu serviciile asociate, în conformitate cu Regulamentul (UE) 2016/679 (denumit în continuare “GDPR”), Legea nr. 190/2018 privind măsurile de punere în aplicare a GDPR, Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, precum și Directiva 2002/58/CE (“Directiva ePrivacy”).

Citiți acest document cu atenție pentru a înțelege ce date colectăm, de ce le colectăm, cu cine le împărtășim și ce drepturi aveți în calitate de persoană vizată.

1. Operator de date și informații generale

1.1. Identitatea operatorului

Operatorul de date cu caracter personal este:

• Denumire: Dive Software
• Email de contact: contact@divesoftware.ro
• Telefon: +40 750 449 317
• Site: dive-software.com (alias: divesoftware.ro)

În prezentul document, termenii “noi”, “nouă”, “nostru” și derivatele lor se referă la Dive Software. Termenii “dumneavoastră”, “vă”, “vi” se referă la persoana vizată, respectiv persoana fizică ale cărei date sunt prelucrate.

1.2. Responsabilul cu protecția datelor (DPO)

Dive Software își desfășoară activitatea în regim business-to-business (B2B), având ca țintă firme românești. Volumul și natura prelucrărilor nu impun obligativitatea desemnării unui Responsabil cu protecția datelor (DPO) conform art. 37 din GDPR. Cu toate acestea, pentru orice solicitare legată de prelucrarea datelor personale, am desemnat un punct de contact dedicat:

• Contact pentru date cu caracter personal: contact@divesoftware.ro

În cazul în care, ulterior, vom desemna formal un DPO, vom actualiza prezenta politică.

1.3. Domeniul de aplicare

Această politică se aplică prelucrărilor de date cu caracter personal efectuate de Dive Software în contextul:

• Vizitării site-urilor dive-software.com și divesoftware.ro;
• Completării formularului de contact / lead (modal multi-pas);
• Comunicării prin email, telefon sau alte canale electronice;
• Negocierii și executării contractelor de servicii software;
• Îndeplinirii obligațiilor legale (contabile, fiscale).

2. Categoriile de date personale prelucrate

În contextul activității noastre, prelucrăm următoarele categorii de date cu caracter personal:

Notă privind datele speciale: Nu colectăm și nu prelucrăm în mod intenționat categorii speciale de date cu caracter personal în sensul art. 9 GDPR (date privind originea rasială sau etnică, opinii politice, convingeri religioase, date genetice, biometrice, privind sănătatea, viața sexuală sau orientarea sexuală). Vă rugăm să nu ne furnizați astfel de date prin formularele noastre.

3. Scopurile prelucrării

Prelucrăm datele cu caracter personal pentru următoarele scopuri:

3.1. Gestionarea lead-urilor și ofertarea comercială

Folosim datele dumneavoastră pentru:

• A vă contacta în urma completării formularului;
• A întocmi o ofertă comercială personalizată pentru proiectul descris;
• A negocia condițiile contractuale;
• A menține evidența interacțiunilor pre-contractuale într-un CRM (ClickUp).

3.2. Marketing direct (cu consimțământ)

Numai cu consimțământul dumneavoastră expres (acolo unde este aplicabil):

• Trimiterea de comunicări comerciale despre serviciile noastre;
• Remarketing prin platforme publicitare (Google Ads, Meta);
• Optimizarea campaniilor publicitare prin transmiterea evenimentelor de conversie către Meta și Google.

3.3. Analiză și optimizare site

• Analiza modului în care vizitatorii interacționează cu site-ul (pageviews, click-uri, scroll, conversii);
• Vizualizarea sesiunilor înregistrate (session replay) pentru a identifica probleme de UX și a îmbunătăți experiența utilizatorului;
• Măsurarea performanței canalelor de marketing (atribuire);
• Detectarea și prevenirea fraudei sau a comportamentelor abuzive (ex: trimiteri repetate de formulare prin botnet).

3.4. Îndeplinirea obligațiilor legale

• Emiterea și păstrarea documentelor contabile și fiscale (facturi, contracte) pentru o perioadă de 10 ani, conform Legii contabilității nr. 82/1991 și Codului fiscal;
• Răspunsul la solicitări oficiale ale autorităților competente;
• Conformitatea cu obligațiile GDPR (înregistrarea consimțămintelor, gestionarea cererilor persoanelor vizate).

3.5. Apărarea drepturilor în justiție

În situații excepționale, putem prelucra date personale pentru a constata, exercita sau apăra un drept în instanță, pe perioada termenelor legale de prescripție.

4. Temeiul legal al prelucrării

Fiecare scop de prelucrare are un temei legal distinct, în conformitate cu art. 6 GDPR:

4.1. Art. 6 alin. (1) lit. (b) — Măsuri precontractuale și executarea contractului

Prelucrăm datele furnizate prin formularul de lead (nume, telefon, CUI, email opțional, descrierea proiectului, buget) pentru a lua, la cererea dumneavoastră, măsuri precontractuale: contactarea, calificarea cererii, întocmirea ofertei. Dacă se semnează un contract, prelucrarea continuă pentru executarea acestuia.

Furnizarea datelor este voluntară, însă necesară pentru a primi o ofertă. Refuzul de a furniza datele minime (nume, telefon, CUI) face imposibilă procesarea cererii.

4.2. Art. 6 alin. (1) lit. (a) — Consimțământul dumneavoastră

Ne bazăm pe consimțământul dumneavoastră liber exprimat, specific, informat și lipsit de ambiguitate pentru:

• Plasarea cookie-urilor non-esențiale (analytics, marketing, atribuire publicitară), conform Legii 506/2004 și Directivei ePrivacy;
• Trimiterea de comunicări comerciale (newsletter, oferte) către adresa de email furnizată;
• Tracking-ul prin Meta Pixel, Google Tag Manager și PostHog (pentru analytics extins și session replay).

Consimțământul poate fi retras în orice moment, fără ca acest fapt să afecteze legalitatea prelucrării efectuate înainte de retragere.

4.3. Art. 6 alin. (1) lit. (c) — Obligație legală

Suntem obligați să prelucrăm date personale incluse în documentele contabile și fiscale (facturi, contracte) conform:

• Legii contabilității nr. 82/1991;
• Codului fiscal (Legea 227/2015);
• Legii nr. 207/2015 privind Codul de procedură fiscală.

4.4. Art. 6 alin. (1) lit. (f) — Interes legitim

Ne bazăm pe interesul nostru legitim, după efectuarea unui test de echilibru între interesele noastre și drepturile dumneavoastră, pentru:

• Securitatea site-ului și prevenirea fraudei — log-uri server, detectarea abuzurilor, blocarea botnet-urilor;
• Mentenanța tehnică a infrastructurii și serviciilor;
• Comunicări B2B reactive — răspuns la întrebări trimise prin email sau telefon;
• Apărarea drepturilor în justiție — în cadrul termenelor de prescripție aplicabile;
• Idempotența formularului (cookie tehnic lead_idem_key) — pentru a evita trimiterile duplicate accidentale.

Aveți dreptul de a vă opune oricând prelucrării bazate pe interes legitim (a se vedea Secțiunea 8).

5. Destinatarii datelor

Pentru a ne îndeplini scopurile descrise mai sus, este posibil să dezvăluim datele dumneavoastră personale către următoarele categorii de destinatari, în baza unor contracte de prelucrare a datelor (DPA — Data Processing Agreement) încheiate conform art. 28 GDPR:

5.1. Persoane împuternicite (procesatori)

5.2. Alte categorii de destinatari

• Autorități publice competente — în baza unei cereri legale (ex: ANSPDCP, ANAF, autorități judiciare, organe de cercetare penală);
• Consilieri juridici, contabili, auditori — în cadrul executării atribuțiilor lor profesionale, sub obligația de confidențialitate;
• Eventuali achizitori— în cazul unei tranzacții de tip M&A, fuziune sau achiziție de active, cu informarea prealabilă a persoanelor vizate.

5.3. Limite

Nu vindem și nu vom vinde niciodată date cu caracter personal către terți. Nu transmitem date personale în scopuri de marketing direct ale unor terți fără consimțământul dumneavoastră expres.

6. Transferuri internaționale

O parte din destinatarii datelor (Meta, Google, ClickUp, Vercel, PostHog — entitatea-mamă) au sediul sau utilizează infrastructură situată în Statele Unite ale Americii, ceea ce poate implica un transfer de date cu caracter personal în afara Spațiului Economic European (SEE).

6.1. Mecanism principal — Decizia de adecvare UE-SUA (Data Privacy Framework)

Începând cu 10 iulie 2023, Comisia Europeană a adoptat o Decizie de adecvare pentru transferurile către operatori și procesatori certificați sub EU-U.S. Data Privacy Framework (DPF). Pentru destinatarii noștri certificați DPF (Meta, Google, ClickUp, Vercel etc.), acest mecanism asigură un nivel de protecție “substanțial echivalent” cu cel oferit în UE.

6.2. Mecanism de rezervă — Clauzele Contractuale Standard (SCC)

În cazul în care un destinatar nu este (sau nu mai este) certificat DPF, sau pentru destinatari nesupuși deciziei de adecvare, ne bazăm pe Clauzele Contractuale Standard (SCC) adoptate prin Decizia (UE) 2021/914 a Comisiei, completate, după caz, cu măsuri suplimentare (criptare, pseudonimizare, evaluări de impact privind transferul — Transfer Impact Assessment).

6.3. Particularități pentru fiecare platformă

• PostHog — instanța noastră este în UE (eu.posthog.com, datacenter Frankfurt). Datele nu părăsesc UE în condiții normale. Pentru orice acces administrativ excepțional din partea entității-mamă, se aplică SCC.
• ClickUp — transfer SUA, acoperit de Adequacy Decision + SCC backstop. Datele includ informații despre lead-uri (nume, telefon, CUI, email, descrierea proiectului).
• Meta (Pixel + CAPI) — transmitem doar identificatori pseudonimi și date hashate ireversibil cu SHA-256 (email, telefon). Acest fapt reduce semnificativ riscul, întrucât datele transmise nu sunt direct identificabile fără cheia originală.
• Google (GTM) — transferuri SUA acoperite de DPF + SCC. Configurația noastră limitează datele transmise prin GTM la strictul necesar.
• Vercel — hosting și Edge Middleware. Configurăm regiunea de execuție pentru funcțiile care procesează date personale astfel încât să rulăm preferențial în UE.

Pentru detalii suplimentare despre transferurile internaționale aferente unui anumit destinatar sau pentru a obține o copie a garanțiilor adecvate (SCC), ne puteți contacta la contact@divesoftware.ro.

7. Perioada de stocare

Reținem datele cu caracter personal doar pentru perioada strict necesară îndeplinirii scopurilor pentru care au fost colectate, după cum urmează:

La expirarea perioadei aplicabile, datele sunt șterse definitiv sau anonimizate ireversibil, cu excepția cazului în care suntem obligați legal să le păstrăm mai mult timp.

8. Drepturile persoanei vizate

În calitate de persoană vizată, aveți, conform GDPR, următoarele drepturi pe care le puteți exercita gratuit:

8.1. Dreptul de acces (Art. 15 GDPR)

Aveți dreptul de a obține confirmarea că prelucrăm sau nu date cu caracter personal care vă privesc și, în caz afirmativ, accesul la aceste date împreună cu informații despre scopuri, categorii, destinatari, perioadă de stocare și drepturile dumneavoastră.

8.2. Dreptul la rectificare (Art. 16 GDPR)

Puteți solicita corectarea datelor inexacte sau completarea datelor incomplete. Vom da curs cererii fără întârzieri nejustificate.

8.3. Dreptul la ștergere — “dreptul de a fi uitat” (Art. 17 GDPR)

Puteți solicita ștergerea datelor dumneavoastră atunci când:

• Datele nu mai sunt necesare pentru scopul inițial;
• V-ați retras consimțământul și nu există alt temei legal;
• Vă opuneți prelucrării și nu există motive legitime imperioase;
• Datele au fost prelucrate ilegal;
• Ștergerea este obligatorie pentru respectarea unei obligații legale.

Acest drept nu este absolut — putem refuza ștergerea, de exemplu pentru documentele contabile sau pentru constatarea / apărarea unor drepturi în justiție.

8.4. Dreptul la restricționarea prelucrării (Art. 18 GDPR)

Puteți solicita “înghețarea” prelucrării (datele rămân stocate, dar nu mai sunt utilizate) atunci când:

• Contestați exactitatea datelor — pe perioada verificării;
• Prelucrarea este ilegală, dar nu doriți ștergerea;
• Nu mai avem nevoie de date, dar vă sunt necesare pentru un drept în justiție;
• V-ați opus prelucrării — pe perioada verificării.

8.5. Dreptul la portabilitatea datelor (Art. 20 GDPR)

Pentru datele furnizate de dumneavoastră, prelucrate automat în baza consimțământului sau a contractului, aveți dreptul de a primi datele într-un format structurat, utilizat în mod curent și care poate fi citit automat (ex: JSON, CSV) și de a le transmite altui operator.

8.6. Dreptul de opoziție (Art. 21 GDPR)

Aveți dreptul de a vă opune în orice moment, din motive legate de situația dumneavoastră particulară:

• Prelucrărilor bazate pe interes legitim sau interes public;
• Prelucrărilor pentru marketing direct — fără a fi necesar să justificați motivul; cererea va fi onorată imediat.

8.7. Dreptul de retragere a consimțământului (Art. 7 alin. (3) GDPR)

Atunci când prelucrarea se bazează pe consimțământ, îl puteți retrage oricând, la fel de simplu cum l-ați acordat. Retragerea nu afectează legalitatea prelucrării anterioare. Pentru cookies, retragerea se poate realiza prin bannerul de cookies sau prin ștergerea cookies-urilor din browser.

8.8. Dreptul de a depune plângere la autoritatea de supraveghere (Art. 77 GDPR)

Dacă apreciați că prelucrarea datelor dumneavoastră încalcă prevederile GDPR, aveți dreptul de a depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) — a se vedea Secțiunea 14 — sau la autoritatea din statul membru al reședinței dumneavoastră obișnuite ori al locului în care s-a produs presupusa încălcare.

8.9. Decizii automatizate

Nu luăm decizii automatizate cu efecte juridice sau cu impact semnificativ asupra dumneavoastră în sensul art. 22 GDPR. Calificarea lead-urilor este verificată manual de un consultant uman.

9. Cum exercitați drepturile

Pentru a exercita oricare dintre drepturile menționate mai sus, ne puteți contacta:

• Prin email: contact@divesoftware.ro (modalitatea recomandată)
• Telefonic: +40 750 449 317 (cererea va trebui confirmată ulterior în scris)

9.1. Identificarea solicitantului

Pentru protecția dumneavoastră și a datelor pe care le deținem, va trebui să vă identificăm înainte de a procesa cererea. Vă putem solicita informații suplimentare rezonabile pentru a confirma identitatea (ex: confirmarea adresei de email utilizate la completarea formularului, CUI-ul firmei pe care o reprezentați).

9.2. Termene

Vom răspunde cererii dumneavoastră în termen de maximum 30 de zile calendaristice de la primirea cererii complete. Acest termen poate fi prelungit cu maximum 2 luni atunci când cererea este complexă sau există un volum mare de cereri, situație în care vă vom informa despre prelungire și motivele acesteia în primele 30 de zile.

9.3. Costuri

Exercitarea drepturilor este gratuită. Putem percepe o taxă rezonabilă sau refuza solicitarea doar dacă cererile sunt vădit nefondate sau excesive (în special prin caracterul lor repetitiv), conform art. 12 alin. (5) GDPR.

10. Securitatea datelor

Implementăm măsuri tehnice și organizatorice adecvate pentru a proteja datele cu caracter personal împotriva distrugerii accidentale sau ilicite, pierderii, modificării, divulgării sau accesului neautorizat. Printre acestea:

10.1. Măsuri tehnice

• Criptare TLS 1.2+ pentru toate comunicațiile între browser și serverele noastre (HTTPS obligatoriu, HSTS activ);
• Hashing SHA-256 pentru datele transmise către Meta Conversions API (email și telefon nu sunt trimise în clar);
• HMAC (Hash-based Message Authentication Code) pentru semnătura și validarea cererilor server-side critice;
• Mascare automată PII în session replay (PostHog) — câmpurile de input, parolele și datele sensibile sunt automat ascunse;
• Pseudonimizare prin distinct ID-uri PostHog (legarea de identitatea reală se face doar după consimțământ explicit la submit formular);
• Edge Middleware proxy pentru cookies de atribuire — datele nu trec prin scripturi terțe în clar;
• Backup-uri regulate cu criptare la repaus;
• Patching și actualizări periodice ale dependențelor și platformelor utilizate.

10.2. Măsuri organizatorice

• Acces restricționat “need-to-know” — doar personalul autorizat are acces la sistemele CRM și analytics;
• Audit logs — toate accesările datelor sensibile sunt logate;
• Contracte de prelucrare a datelor (DPA) cu toți procesatorii;
• Acord de confidențialitate (NDA) semnat cu colaboratorii și subcontractanții;
• Instruire periodică a personalului cu privire la protecția datelor;
• Procedură de notificare a incidentelor de securitate — în cazul unui breach care prezintă risc pentru drepturile și libertățile persoanelor vizate, vom notifica ANSPDCP în termen de 72 de ore și, dacă riscul este ridicat, vom informa persoanele vizate fără întârziere nejustificată (Art. 33-34 GDPR).

10.3. Limitări

Cu toate eforturile noastre, niciun sistem informatic nu poate fi garantat 100% sigur. Vă recomandăm să utilizați parole puternice, să nu transmiteți date sensibile prin canale neasigurate și să ne semnalați orice activitate suspectă.

11. Cookies

Site-ul nostru utilizează cookies și tehnologii similare (local storage, session storage, pixeli). Acestea includ:

• Cookies strict necesare (tehnice) — pentru funcționarea site-ului (ex: lead_idem_key pentru prevenirea duplicării);
• Cookies de analiză — PostHog (eu.posthog.com), evenimente pageviews și interacțiuni;
• Cookies de marketing și atribuire — Meta Pixel (_fbp, _fbc), Google Tag Manager (GTM-PZJB2T87), cookies proprii (dive_attribution, dive_attribution_last);
• Cookies de session replay — PostHog, cu mascare PII.

Cookies-urile non-esențiale sunt plasate numai după obținerea consimțământului dumneavoastră prin bannerul de cookies. Puteți modifica preferințele oricând.

Pentru detalii complete despre fiecare cookie, durată, furnizor și scop, consultați Politica de Cookies.

12. Minori

Site-ul și serviciile noastre se adresează exclusiv persoanelor fizice cu vârsta de cel puțin 16 ani (sau cel puțin 18 ani în calitate de reprezentanți ai unei firme, conform legislației române privind capacitatea de exercițiu).

Nu colectăm cu bună știință date cu caracter personal de la persoane sub 16 ani. Dacă luăm cunoștință că am colectat din eroare astfel de date, le vom șterge fără întârziere. Dacă sunteți părinte sau tutore și considerați că un minor ne-a furnizat date personale, vă rugăm să ne contactați la contact@divesoftware.ro.

În conformitate cu art. 8 GDPR și art. 7 din Legea 190/2018, pragul de vârstă pentru consimțământul la oferta directă de servicii ale societății informaționale, în România, este de 16 ani.

13. Modificări ale politicii

Prezenta Politică de Confidențialitate poate fi actualizată periodic pentru a reflecta:

• Modificări ale legislației aplicabile;
• Modificări ale practicilor noastre de prelucrare;
• Noi servicii sau funcționalități ale site-ului;
• Schimbări ale destinatarilor sau ale mecanismelor de transfer internațional.

Versiunea curentă afișată pe site înlocuiește integral versiunile anterioare. Data ultimei revizii este afișată la finalul documentului.

În cazul unor modificări semnificative (de exemplu, schimbarea scopurilor de prelucrare, adăugarea unor noi categorii de destinatari, modificarea perioadei de stocare), vom notifica activ persoanele vizate cu lead-uri active prin email, cu cel puțin 30 de zile înainte de intrarea în vigoare a noii versiuni.

Vă recomandăm să consultați periodic această pagină pentru a fi la curent cu eventualele modificări.

14. Plângeri și autoritatea de supraveghere

Dacă apreciați că drepturile dumneavoastră au fost încălcate sau dacă nu sunteți mulțumit(ă) de modul în care am răspuns solicitării dumneavoastră, vă încurajăm să ne contactați mai întâi pentru a încerca o soluționare amiabilă: contact@divesoftware.ro.

Aveți, însă, în orice moment, dreptul de a depune o plângere la autoritatea de supraveghere competentă:

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

• Adresă: B-dul G-ral. Gheorghe Magheru nr. 28-30, Sector 1, cod poștal 010336, București, România
• Telefon: +40 318 059 211 / +40 318 059 212
• Fax: +40 318 059 602
• Email: anspdcp@dataprotection.ro
• Site web: www.dataprotection.ro

Plângerea poate fi depusă în scris, în limba română, prin oricare dintre canalele de mai sus. Aveți, de asemenea, dreptul de a vă adresa instanțelor de judecată competente pentru introducerea unei acțiuni judiciare.

15. Date de contact operator

Pentru orice întrebări, solicitări sau exercitarea drepturilor dumneavoastră, ne puteți contacta:

Dive Software

• Email: contact@divesoftware.ro
• Telefon: +40 750 449 317
• Site: dive-software.com / divesoftware.ro

Vă răspundem în timpul programului de lucru, în maximum 30 de zile calendaristice de la primirea cererii.