Politica de Confidențialitate

Versiunea 2.2 · Ultima actualizare: 29 iunie 2026 (adăugat Google Analytics 4 ca sub-procesor analytics, consent-gated)

Operator de date: Tarrus S.R.L. · CUI 49616683 · J23/1286/2024

Sediu: Str. Crișul Repede 40 K Corp C1, Bragadiru, Ilfov, 077025

Contact DPO: contact@tarrus.ro · 0768 851 958

Această politică este conformă cu Regulamentul (UE) 2016/679 (GDPR) și Legea nr. 190/2018.

1. Ce date colectăm

Categorie date	Date specifice	Obligatoriu
Date cont	Adresă email, parolă (criptată), nume complet	Da
Date contact	Număr de telefon	Nu (opțional)
Date vehicul	Nr. înmatriculare, marcă, model, an fabricație, km	Da (funcție core)
Date documente	Date expirare RCA, ITP, Rovinietă, CASCO, PAD	Nu (opțional)
Date service	Istoricul intervențiilor, costuri, km la intervenție	Nu (opțional)
Date servicii casă	Adresă, sector, descriere problemă	Doar la cerere
Date tehnice	Adresă IP, tip browser, pagini vizitate	Automat
Date notificări	Token push pentru notificări mobile/web	Dacă activezi
Date pentru emiterea poliței	CNP, adresă completă, date vehicul complet (VIN, serie motor, capacitate cilindrică), date proprietate	Doar la solicitarea ofertei/poliței
Istoric verificări (/verifica)	Plate căutate, data lookup, rezultate cached 24h. La useri anonimi: + IP truncat (ultimul octet =0, GDPR-safe) ca rate-limit 1×/24h. Vezi 3.C.	Automat dacă folosești tool-ul
Date constatare amiabilă (/amiabila)	Date 2 vehicule + 2 conducători + asigurători, schiță SVG, punct impact — generate doar local (sessionStorage), NU se salvează server-side în mod anonim	Doar dacă folosești tool-ul (anonim)
Date contract vânzare auto	CNP/CUI ambii (vânzător + cumpărător), adrese complete, date vehicul, preț	Doar dacă generezi contractul
Date pașaport mașină public	Kilometraj public, polițe valide (sync BAAR/RAR/CNAIR), consumabile, foto user-uploaded — NU date personale proprietar	Doar dacă activezi pașaportul
Foto vehicul	Imagini upload de tine în garaj (bucket vehicle-photos Supabase EU)	Doar dacă încarci
Calculator RCA — factori	5 factori (cc, fuel, județ, vârstă, Bonus-Malus) introduși de tine. NU se salvează — calcul instant.	Anonim, fără salvare
Meta Pixel (Facebook) — evenimente	PageView, Lead, CompleteRegistration, Search + browser fingerprint anonim. Cookies _fbp și _fbc (90 zile).	Doar dacă activezi „Marketing" în banner cookie

2. Scopurile prelucrării și baza legală

Furnizarea serviciilor platformei

Executarea contractului (Art. 6(1)(b) GDPR)

Crearea și gestionarea contului, urmărirea vehiculelor și documentelor, generarea rapoartelor.

Trimiterea notificărilor de expirare

Executarea contractului + Interes legitim

Email și notificări push pentru RCA, ITP, Rovinietă, consumabile.

Comunicări de marketing

Consimțământ (Art. 6(1)(a) GDPR)

Newsletter, promoții, noutăți. Retragerea consimțământului oricând.

Îmbunătățirea platformei

Interes legitim (Art. 6(1)(f) GDPR)

Analiză comportament utilizare, optimizare funcționalități.

Elaborarea și transmiterea ofertelor de asigurare

Executarea contractului (Art. 6(1)(b)) + Consimțământ (Art. 6(1)(a))

Datele furnizate în formularele de ofertă sunt prelucrate pentru calculul și transmiterea ofertelor personalizate.

Trimiterea notificărilor SMS de expirare

Executarea contractului (Art. 6(1)(b))

SMS-uri automate pentru expirare RCA, CASCO, ITP, Rovinieta, trimise prin SMSLink.ro.

Sistemul de referral/invitații

Interes legitim (Art. 6(1)(f))

Codul de invitație este anonim. Nu colectăm date despre persoana invitată până când aceasta nu creează un cont și își exprimă propriul consimțământ.

Solicitare servicii prin formularele de pe site

Executarea contractului (Art. 6(1)(b) GDPR)

Categorii date: nume, telefon, descriere serviciu (opțional pentru categoriile predefinite, obligatoriu pentru categoria „Altele"). Destinatari: pentru serviciile administrative juridice (Înființare firmă, Dizolvare, etc.) — Tarrus S.R.L. prestează direct; pentru serviciile orientative pentru casă (instalator, electrician, etc.) — Tarrus facilitează doar contactul; prestatorul efectiv este selectat de utilizator în mod independent. Durată: 90 de zile de la primirea cererii, dacă nu se concretizează în contract; pe durata contractului + 5 ani după, dacă se concretizează.

Obligații legale

Obligație legală (Art. 6(1)(c) GDPR)

Conformitate ASF, ANAF, răspuns la solicitări autorități.

3. Durata păstrării datelor

Date cont activ: Pe toată durata existenței contului
Date după ștergerea contului: 30 de zile pentru anonimizare completă; date anonimizate pot fi păstrate pentru statistici
Date financiare: 10 ani conform legislației fiscale române
Audit log: 3 ani pentru conformitate
Date marketing (cu consimțământ): Până la retragerea consimțământului

3.B. Anon Recovery (de la 8 iunie 2026)

Pentru a-ți face procesul de signup mai relevant, când tastezi un număr de înmatriculare pe /verifica ca utilizator anonim (fără cont), salvăm temporar numărul în localStorage browser-ul tău (NU pe servere Tarrus). Detalii:

tarrus_anon_plate — numărul tastat (text, max 10 caractere)
tarrus_anon_at — momentul tastării (ISO timestamp)
Durată: până la signup sau ștergere manuală localStorage
Trimitere server: NU până la signup. La signup, numărul se transferă din browser în contul tău nou (coloana users.last_anon_plate) și folosit pentru un email de tip „Vrei să salvăm B-100-ABC?" trimis în primele 60 minute post-signup.
Opt-out: dezactivezi „marketing emails" la signup (debifezi checkbox), nu primești emailul. Sau ștergi localStorage manual din browser DevTools.
Pe e-mail-urile de activare (TUAS), Resend trimite webhook events la Tarrus cu deschideri / click-uri (pentru optimizare conținut și opt-out automat la bounces / plângeri spam). Tracking-ul este la nivel de email_type, nu individual identificabil în log-uri publice.

3.C. Verificare anonimă pe /verifica (de la 9 iunie 2026)

Permitem oricărui vizitator (fără cont) să verifice o singură placă auto pe zi (24h) pe pagina /verifica. Pentru a limita abuzul (scraping automat de boti), aplicăm un rate-limit per IP. Detalii GDPR:

Date colectate: numărul de înmatriculare tastat, momentul verificării (timestamp), rezultat agregat (data expirare RCA/ITP/Rovinieta), IP truncat (ultimul octet zero-ed pentru protejare GDPR — ex. 192.168.1.0 în loc de 192.168.1.42). NU stocăm IP complet, NU stocăm User-Agent, NU stocăm cookies sau identificatori persistenți.
Loc stocare: tabela internă lookup_history cu user_id = NULL (fără asociere cont). IP-ul truncat permite limitare 1 verificare / 24h fără posibilitate de re-identificare individuală (octetul 4 are 256 valori posibile per subnet).
Baza legală: interes legitim (Art. 6(1)(f) GDPR) — protecție împotriva abuzului automat (scraping bot, descărcare în masă) care ar epuiza cota API gratuită Tarrus (BAAR, RAR, CNAIR) și ar crește costurile operaționale.
Scop: rate-limit, prevenire abuz, statistici agregate (numărul de verificări anonime pe zi, pentru a optimiza conversia anon → cont gratuit).
Retenție: 30 zile de la verificare, apoi anonimizare automată (păstrăm doar contor agregat zi-cu-zi pentru statistici, fără plate / IP). Poți cere ștergere imediată dacă ne poți furniza placa și fereastra de timp.
Partajare: către sursele oficiale (BAAR, RAR, CNAIR, regcheck.org.uk) pentru a obține rezultatul verificării — vezi secțiunea 4 pentru detalii. Aceleași surse pe care le-am folosi și dacă ai fi logat. NU trimitem plate-ul tastat la Meta, Microsoft Clarity, Resend sau orice serviciu de marketing.
Opt-out: nu folosi pagina /verifica fără cont. Alternativ, creează un cont gratuit (pentru cont stocăm user_id în loc de IP truncat — control direct prin ștergere cont).
Drepturi GDPR: dat fiind că IP-ul e truncat și nu există email/nume asociat, identificarea individuală post-hoc este aproape imposibilă. Pentru orice solicitare GDPR (Art. 15-17 - acces, rectificare, ștergere), contactează contact@tarrus.ro cu detalii (data verificării + placa) pentru a putea localiza înregistrarea.

4. Cu cine partajăm datele

Nu vindem datele personale. Le partajăm doar cu:

Destine Broker de Asigurare-Reasigurare SRL (România) — broker de asigurări autorizat ASF Nr. RAF570429. Tarrus S.R.L. activează ca asistent în brokeraj sub Destine. Polițele de asigurare se emit prin Destine.
Supabase Inc. (SUA/Frankfurt, UE) — infrastructură baze de date. Transferul este acoperit de Clauze Contractuale Standard (SCC).
Vercel Inc. (SUA) — hosting aplicație web. Transfer acoperit de SCC.
Resend Inc. (SUA) — trimitere emailuri tranzacționale (confirmare cont, OTP, reminder polițe, User Activation Sequence). Resend Inc. trimite webhook events la Tarrus pentru open/click tracking (necesar pentru optimizare comunicare și opt-out automat la bounces/complaints). Datele transmise la Resend: adresa email, conținut email, headers tehnice. Transfer SUA acoperit de SCC + EU-US Data Privacy Framework.
SMSLink.ro (România) — trimitere SMS de autentificare OTP și notificări expirare documente.
cron-job.org (Germania) — serviciu de programare automată a notificărilor periodice. Procesează exclusiv date referitoare la calendarele de expirare.
BAAR — Biroul Asigurătorilor de Autovehicule din România (București) — sursă oficială pentru verificare RCA. Trimitem doar numărul de înmatriculare (date publice prin lege). Date returnate: status RCA, data expirare.
RAR — Registrul Auto Român (București) — sursă oficială pentru verificare ITP. Trimitem doar plate. Date returnate: status ITP, data ultimei verificări, categorie vehicul.
CNAIR — Compania Națională de Administrare a Infrastructurii Rutiere (București) — sursă oficială pentru verificare Rovinietă. Trimitem doar plate. Date returnate: perioadă activă rovinietă.
regcheck.org.uk (UK) — pentru identitate vehicul (marcă, model, an, VIN). Trimitem plate, primim identitatea. Transfer extra-UE acoperit de Standard Contractual Clauses (SCC) UK.
2Captcha (Rusia) — pentru rezolvarea automat a CAPTCHA-urilor la BAAR/RAR. Trimitem doar imaginea CAPTCHA, NU date personale. Transfer extra-UE necesar tehnic; folosit minimal (sub 0.001 EUR/lookup).
Anthropic Claude API (SUA) — pentru OCR pe imagini scrambled de pe AIDA (lookup RCA). Trimitem doar imaginea text scrambled, NU plate sau date personale. Transfer acoperit de SCC.
Cloudflare (SUA, edge global) — DNS + SSL + Email Routing pentru @tarrus.ro. Procesează headers HTTP + metadata routing email.
Meta Platforms Inc. (SUA) — Meta Pixel (Facebook) pentru remarketing și optimizare campanii Ads. Se activează DOAR cu consimțământul tău explicit (Marketing) prin banner-ul cookie. Cookies setate: _fbp, _fbc (90 zile). Date trimise: evenimente PageView/Lead/CompleteRegistration/Search, hash al pixel ID, URL pagină vizitată, browser fingerprint anonim. NU trimitem CNP, parolă, telefon, email, date sensibile. Transfer SUA acoperit de Standard Contractual Clauses (SCC) + EU-US Data Privacy Framework. Pixel ID: 983832044051939. Opt-out direct: facebook.com/settings/ads.
WhatsApp / Meta Platforms Inc. (SUA) — canal de comunicare directă cu Tarrus. Când apesi pe linkul „Discută pe WhatsApp" de pe site, browserul tău deschide aplicația WhatsApp cu un mesaj pre-completat (NU se trimite nimic automat — tu confirmi mesajul în WhatsApp). NU setăm cookies WhatsApp pe Tarrus și NU trimitem date din site la Meta prin acest link. Datele transmise prin WhatsApp (mesaje, telefon) sunt procesate de Meta Platforms conform Politicii WhatsApp. Alternative la WhatsApp: telefon 0768 851 958, email contact@tarrus.ro. Pentru a nu folosi WhatsApp = pur și simplu nu apăsa pe link. Transfer SUA acoperit de SCC + EU-US Data Privacy Framework.
Google LLC / Google Ireland Ltd. (SUA/UE) — Google Analytics 4 (GA4) pentru analiza traficului web (surse de trafic, pagini vizitate, conversii agregate). Se activează DOAR cu consimțământul tău explicit (Analytics) prin banner-ul cookie. Cookies setate: _ga (2 ani, identificator anonim), _ga_* (2 ani, stare sesiune GA4). Date trimise: pagină vizitată, sursa de trafic (referrer), tip dispozitiv, interacțiuni agregate. NU trimitem CNP, parolă, telefon, email, plate sau date sensibile. IP-ul este anonimizat (anonymize_ip). Transfer SUA acoperit de Standard Contractual Clauses (SCC) + EU-US Data Privacy Framework. Opt-out direct prin Cookie Banner Tarrus (dezactivează Analytics) sau add-on Google: tools.google.com/dlpage/gaoptout.
Microsoft Corporation (SUA) — Microsoft Clarity pentru analytics de comportament (heatmaps + session recordings ANONIMIZATE + funnel insights). Se activează DOAR cu consimțământul tău explicit (Analytics) prin banner-ul cookie. Cookies setate: _clck (1 an, identificator unic anonim), _clsk (1 zi, info sesiune curentă), MUID (1 an, identificator Microsoft), CLID (1 an, ID Clarity), SM (sesiune). Date trimise: URL pagină vizitată, mișcări mouse + click-uri (pentru heatmaps), interacțiuni anonime pe formular (NU valorile introduse — masking automat pentru input/textarea). Clarity mascheaza automat toate input-urile sensibile (parole, CNP, telefon, email). Transfer SUA acoperit de Standard Contractual Clauses (SCC) + EU-US Data Privacy Framework. Project ID: x1b8qbgu61. Opt-out direct prin Cookie Banner Tarrus (dezactivează Analytics) sau global Microsoft: account.microsoft.com/privacy.
Autorități publice — când suntem obligați legal (ANAF, ANPC, ASF, instanțe judecătorești).

4.0.bis Formular „Cere ofertă" — brokeraj asigurări

Când completezi formularul /cere-oferta (sau orice CTA „Cere ofertă gratuit") procesăm următoarele:

Date colectate: nume complet, telefon (obligatoriu pentru contact), email (opțional), număr înmatriculare (opțional, pentru pre-fill ofertă), tipul de asigurare dorită (RCA / CASCO / PAD / Locuință / Travel / Viață / Sănătate / altele), mesaj opțional cu detalii.
Bază legală: consimțământ explicit (checkbox neselectat default + link la această pagină) PLUS interes legitim de brokeraj (te-am contactat doar pentru a-ți oferi cotații de la asigurători parteneri prin Destine Broker).
Scop: emitere de cotații RCA/CASCO/altele de la 8+ asigurători + contact telefonic/WhatsApp în 24h zile lucrătoare cu cea mai bună ofertă.
Stocare: tabela lead_requests în Supabase (UE/Frankfurt) cu status workflow (new → contacted → quoted → won/lost). IP-ul tău e hash-uit cu salt zilnic (NU stocăm IP plain) pentru rate limit anti-spam (5/oră).
Retentie: 3 ani de la ultima interacțiune (durata standard pentru cereri ofertă comerciale), apoi anonimizare automată. Poți cere ștergere oricând prin email la contact@tarrus.ro.
Cu cine partajăm: doar cu Destine Broker de Asigurare-Reasigurare SRL (autorizat ASF RAF570429) pentru a primi cotații concrete de la asigurători. NU vindem datele la terți. NU le folosim pentru remarketing fără consimțământ separat.
Cum oprești: răspunde STOP la SMS/WhatsApp; sau email la contact@tarrus.ro; sau cere ștergere completă prin /dezabonare.

4.1. Tool-urile gratuite — flow specific date

Verifică RCA / ITP / Rovinieta

Introduceți DOAR numărul de înmatriculare (date publice prin lege). Sistemul interogheză BAAR + RAR + CNAIR + regcheck.org.uk (identitate vehicul). Rezultatele se cache-uiesc 24h în baza noastră de date pentru a evita re-query inutile (reducem costuri externe). NU expunem date personale ale proprietarului. Conform legii, oricine poate verifica RCA-ul unui vehicul după plate.

Constatare amiabilă (PDF)

Tool-ul este 100% ANONIM. Toate datele introduse (datele tale, ale celuilalt șofer, asigurătorul lui, schiță) se păstrează DOAR în browser-ul tău (sessionStorage), niciodată pe serverele noastre. Pentru generarea PDF-ului, datele se trimit temporar la endpoint Tarrus, se generează PDF, se returnează — fără logare. Verificare cod: poți inspecta /api/amiabila/generate.

Contract vânzare auto (CNP-uri terți)

Atenție: când completezi datele celuilalt PF (CNP, adresă), ai responsabilitatea legală de a avea consimțământul lui pentru introducerea datelor în Tarrus. Conform Art. 7 GDPR și Legea 190/2018, tu ești operatorul de date pentru datele celuilalt — Tarrus doar procesează pentru generarea PDF. Datele se salvează doar pe contul tău (necesar pentru regeneration ulterioară), accesibile DOAR ție.

Pașaport mașină public (/p/[token])

Publici DOAR date despre mașină: înmatriculare, marca, model, kilometraj, polițe valide (sync BAAR/RAR/CNAIR), consumabile, foto. NU se expun date personale: CNP, adresă, telefon, email. Anularea publicării face link-ul 404 instant. La transfer mașină, pașaportul se anulează automat la 30 zile.

Calculator RCA

Anonim, fără cont, fără salvare. Cele 5 criterii (cilindree, combustibil, județ, vârstă, Bonus-Malus) se procesează instant client-side + server, fără logare istorică. NU colectăm CNP, telefon, email pentru calculator.

Garaj digital + Dashboard reminder polițe

Datele mașinii (până la 3 Free, nelimitat Pro) se salvează în contul tău Supabase EU. Polițele se sincronizează automat zilnic cu BAAR/RAR/CNAIR pentru alerte. SMS-urile pentru polițe sunt trimise prin SMSLink.ro (operator RO). Push notifications prin Web Push API + VAPID keys gestionate de Tarrus.

5. Drepturile tale GDPR

Dreptul de acces

Poți solicita o copie a datelor tale personale prelucrate de noi.

Dreptul la rectificare

Poți corecta datele inexacte direct din Profil sau prin email.

Dreptul la ștergere

Poți solicita ștergerea datelor. Le anonimizăm în 30 de zile.

Dreptul la portabilitate

Poți solicita exportul datelor tale în format JSON/CSV.

Dreptul la opoziție

Te poți opune prelucrării bazate pe interes legitim.

Dreptul la restricționare

Poți solicita limitarea prelucrării în anumite situații.

Retragerea consimțământului

Poți retrage oricând consimțămintele opționale din Profil.

Dreptul de plângere

Poți sesiza ANSPDCP (www.dataprotection.ro).

Pentru exercitarea drepturilor, contactează-ne la contact@tarrus.ro. Răspundem în maximum 30 de zile.

6. Securitatea datelor

Implementăm măsuri tehnice și organizatorice adecvate: criptarea datelor în tranzit (HTTPS/TLS), parolele sunt stocate exclusiv sub formă de hash (bcrypt), acces limitat la date pe principiul need-to-know, audit log pentru toate acțiunile sensibile, backup regulat al datelor.

7. Cookie-uri

Detalii complete în Politica de Cookie-uri. Folosim exclusiv cookie-uri strict necesare pentru autentificare.

8. Servicii orientative pentru casă

Tarrus prezintă pe pagina /servicii-publice o listă de categorii de servicii pentru casă (instalator, electrician, zugrav, depozitare anvelope, tractare auto, altele). Aceste recomandări sunt ORIENTATIVE.

Utilizatorul înțelege și acceptă:

Tarrus NU este furnizorul niciunui serviciu listat pe această pagină
Tarrus NU garantează calitatea, prețul, durata, sau alte caracteristici ale serviciilor prestate de terți
Tarrus NU verifică în prealabil autorizațiile, certificările, sau capacitatea prestatorilor recomandați
Tarrus NU este parte în contractul dintre utilizator și prestatorul de servicii
Utilizatorul are obligația de a verifica independent acreditările prestatorului înainte de a contracta
Prețurile menționate (când există) sunt ESTIMATIVE și nu obligă Tarrus

Pentru orice prejudiciu rezultat din contractul utilizator — prestator terț, Tarrus NU poartă răspundere.

9. Gestionare proprietăți (pagina Casă)

Pagina /casa permite utilizatorului să adauge și să gestioneze una sau mai multe proprietăți (apartament, casă, teren, altele) pentru organizarea asigurărilor, documentelor și istoricului serviciilor.

Categorii de date prelucrate:

Etichetă proprietate, adresă completă, tip proprietate
Suprafață utilă (opțional), an construcție (opțional)
Documente încărcate voluntar: acte proprietate, facturi utilități, contracte
Polițe asigurare asociate (locuință facultativă, PAD): asigurător, număr poliță, perioadă, primă anuală
Istoric servicii contractate pentru proprietate (instalator, electrician, zugrav, etc.)

Bază legală:

Art. 6(1)(b) GDPR — executarea contractului cu utilizatorul pentru servicii de gestionare proprietăți
Art. 6(1)(a) GDPR — consimțământ pentru documente încărcate voluntar de utilizator

Destinatari:

Tarrus S.R.L. (operator Tarrus)
Supabase Inc. (procesator — stocare date și documente)
Asigurători parteneri (doar la cererea explicită a utilizatorului pentru ofertare poliță)

Durată păstrare:

Pe durata utilizării platformei + 5 ani după închiderea contului pentru conformitate fiscală/legală (aplicabil dacă există polițe active).

Drepturi:

Acces, rectificare, ștergere, portabilitate, opoziție — conform secțiunii 5. Pentru ștergerea completă a unei proprietăți, folosește opțiunea „Șterge proprietatea" din /casa/[id]/editeaza.

10. Tool public „Verifică RCA și ITP"

Pagina /verifica-rca-itp permite oricărui vizitator (fără cont) să configureze alerte de reînnoire RCA și ITP.

Categorii de date prelucrate:

Nume
Email
Telefon (opțional)
Număr de înmatriculare
Data expirare RCA și/sau ITP

Baza legală: Art. 6(1)(a) GDPR, consimțământul explicit al utilizatorului (bifarea checkbox-ului de acord).

Scop: trimiterea de alerte email și SMS înainte de expirarea RCA și/sau ITP, conform calendarului afișat la înregistrare.

Durata stocării: până la dezabonare (link în fiecare email) sau maximum 2 ani după ultima alertă trimisă.

Terți implicați:

Resend (trimitere email)
Google LLC / Google Ireland Ltd. (Google Analytics 4 — analiza trafic web, doar cu consent Analytics)
Microsoft Corporation (Clarity — heatmaps + session recordings anonimizate, doar cu consent Analytics)
SMSLink.ro (trimitere SMS, dacă telefonul e furnizat)
cron-job.org (trigger automat zilnic)

Drepturi:

Dezabonare prin link inclus în fiecare email
Ștergere date: cerere la contact@tarrus.ro (Art. 17 GDPR)
Portabilitate: cerere la contact@tarrus.ro (Art. 20 GDPR)

11. Modificări ale politicii

Modificările semnificative sunt comunicate prin email cu minimum 15 zile înainte. Data ultimei actualizări este afișată în antetul documentului.

12. Contact DPO și reclamații

Responsabil protecția datelor (DPO):

Tarrus S.R.L. · Str. Crișul Repede 40 K Corp C1, Bragadiru, Ilfov

Email: contact@tarrus.ro

Autoritatea de supraveghere națională: ANSPDCP

B-dul G-ral. Gheorghe Magheru 28-30, București · www.dataprotection.ro