Politica de confidențialitate

1. Operator

Operatorul datelor personale este Castela Imobiliare S.R.L., CUI 54648673, înregistrată la Registrul Comerțului sub nr. J2026030450006, cu sediul social în Str. Aviator Traian Vasile nr. 59, Sector 1, București. Ne poți contacta la [email protected].

2. Date pe care le colectăm

Colectăm următoarele categorii de date:

• Cont: adresă de email, parolă hash-uită, nume opțional, număr de telefon opțional, fotografie de profil (avatar) opțională.
• Conținut generat de utilizator: anunțuri, imagini atașate, mesaje schimbate cu alți utilizatori, evaluări salvate.
• Date tehnice: adresă IP truncată (la /24 pentru IPv4, /48 pentru IPv6), browser și sistem de operare (string-ul agent-ului de utilizator parsed în categorii generice), identificator de sesiune.
• Date de consimțământ: categoriile de cookie-uri pe care le-ai acceptat, momentul deciziei și versiunea bannerului prin care ai exprimat-o.
• Date de atribuire marketing: identificatori de clic din reclame (gclid, gbraid, wbraid, fbclid), etichete de campanie (utm_*), referrer și pagina de intrare — colectate doar cu acordul Marketing. Pentru funcții de audiențe putem folosi și identificatori în formă protejată (hash), cum ar fi adresa de e-mail.
• Date obținute din surse publice (anunțuri imobiliare): conținutul anunțului (titlu, preț, caracteristici, fotografii, zonă) și datele de contact afișate public (număr de telefon) ale proprietarilor care își vând imobilele, preluate din portaluri publice de anunțuri — detalii la secțiunea 3.

3. Date obținute din surse publice (anunțuri imobiliare)

Pentru a contacta proprietarii care își vând imobilele, colectăm din portaluri publice de anunțuri (de ex. OLX, Storia) date deja publicate de aceștia: conținutul anunțului (titlu, preț, caracteristici, fotografii, zonă) și datele de contact afișate public (număr de telefon). Temei legal: interes legitim (Art. 6(1)(f) GDPR) — facilitarea publicării anunțului chiar de către proprietar, pe platforma noastră. Sursa și data preluării sunt afișate direct pe pagina personalizată pe care o vede proprietarul. Aceste date sunt păstrate cât timp anunțul sursă este activ și sunt șterse la cerere. Te poți opune oricând acestei prelucrări sau poți cere ștergerea datelor: scrie-ne la [email protected] sau folosește linkul din mesajul primit.

4. Scopurile prelucrării

• Furnizarea serviciului (autentificare, listare proprietăți, mesagerie): temei legal — executarea contractului (Art. 6(1)(b) GDPR).
• Securitate (prevenirea fraudei, abuzului, atacurilor automate): temei legal — interes legitim (Art. 6(1)(f) GDPR).
• Verificare anti-bot la înregistrare (Cloudflare Turnstile): la afișarea formularului de creare a contului, serviciul Turnstile al Cloudflare analizează semnale tehnice ale browserului (adresa IP, User-Agent, amprenta TLS, semnale de mediu) pentru a distinge vizitatorii umani de programele automate: temei legal — interes legitim (Art. 6(1)(f) GDPR, securitate).
• Monitorizarea erorilor (detectarea și remedierea problemelor tehnice, prin Sentry): temei legal — interes legitim (Art. 6(1)(f) GDPR).
• Cookie-uri funcționale (memorarea preferințelor și a istoricului căutărilor de zone): temei legal — consimțământ (Art. 6(1)(a) GDPR).
• Hărți Google Street View (afișarea vederii stradale pe paginile de anunț): la încărcare, adresa ta IP este transmisă către Google, inclusiv în afara UE (SUA). Temei legal — consimțământ (Art. 6(1)(a) GDPR). Harta se încarcă doar după acceptarea cookie-urilor funcționale sau apăsarea explicită a butonului de încărcare.
• Analitice (înțelegerea modului de utilizare a site-ului): folosim PostHog pentru statistici de trafic (pagini vizitate, surse de trafic, tip de dispozitiv). Cu consimțământ (Art. 6(1)(a) GDPR) folosim un cookie propriu; fără o alegere sau la refuz numărăm vizitele fără stocare pe dispozitiv, printr-un cod zilnic nereversibil — temei legal: interes legitim (Art. 6(1)(f) GDPR). Tot pe bază de consimțământ, PostHog poate înregistra sesiuni de navigare — o reconstituire a paginilor văzute și a interacțiunilor cu ele (mișcări de mouse, click-uri, derulare) — pe care o folosim pentru a înțelege unde întâmpină utilizatorii dificultăți, de exemplu la publicarea unui anunț. Câmpurile de formular (ex. parole) sunt mascate în browser, dar textul afișat pe pagină poate apărea în înregistrare. Înregistrările sunt păstrate 30 de zile, apoi șterse automat. Fără consimțământ pentru categoria Analitice, nicio sesiune nu este înregistrată. Separat de PostHog, înregistrăm pe serverele noastre evenimente de utilizare (anunțuri vizualizate, afișări în listă, căutări făcute pe site și anunțurile pe care le-ai văzut în rezultate), asociate contului tău dacă ești autentificat; le folosim pentru statisticile afișate vânzătorilor (de ex. numărul de vizualizări ale unui anunț), pentru prevenirea abuzului și pentru a construi și îmbunătăți recomandările și ordonarea anunțurilor — temei legal: interes legitim (Art. 6(1)(f) GDPR). Nu folosim aceste date pentru publicitate.
• Atribuirea invitațiilor: linkurile de invitație pe care le trimitem conțin un cod unic; dacă îți creezi cont după ce ai deschis un astfel de link, asociem contul cu invitația respectivă, exclusiv pentru a măsura eficiența invitațiilor. Temei legal — interes legitim (Art. 6(1)(f) GDPR).
• Marketing: măsurarea performanței campaniilor de publicitate (raportarea conversiilor către platforma pe care a apărut reclama) și, eventual, publicitate personalizată și audiențe (de ex. excluderea utilizatorilor existenți din campanii). Temei legal — consimțământ (categoria Marketing, Art. 6(1)(a) GDPR). Retragerea: oricând, din Preferințe cookie-uri.
• Asocierea activității anonime cu contul după autentificare: dacă ai acceptat cookie-uri funcționale înainte de autentificare și apoi te conectezi, asociem activitatea anonimă (de ex. istoricul de căutare de zone) cu contul tău. Temei legal — consimțământ continuat (Art. 6(1)(a) GDPR).

5. Cui dezvăluim datele

Site-ul este găzduit pe infrastructură proprie. Terții care pot primi date personale sunt:

• Google (Google Ireland Ltd. și Google LLC): când încarci harta Street View pe o pagină de anunț, Google primește adresa ta IP și poate seta cookie-uri. Acest transfer poate include prelucrarea în afara UE (SUA), pe baza cadrului EU–US Data Privacy Framework și a clauzelor contractuale standard. Harta se încarcă doar cu consimțământul tău (cookie-uri funcționale sau apăsarea butonului de încărcare). Dacă alegi autentificarea cu Google („Sign in with Google”), Google prelucrează datele necesare autentificării conform propriei politici de confidențialitate.
• Cloudflare (Cloudflare, Inc., SUA): întregul trafic al site-ului trece prin rețeaua Cloudflare (protecție împotriva atacurilor și livrare de conținut), iar imaginile încărcate pe site (fotografii de anunț, avatare) sunt stocate în serviciul Cloudflare R2. Suplimentar, la afișarea verificării anti-bot pe formularul de înregistrare, Cloudflare primește adresa ta IP, User-Agent-ul și semnale tehnice ale browserului. Transferul în SUA se face în baza EU–US Data Privacy Framework și a clauzelor contractuale standard. Detalii: politica de confidențialitate Turnstile.
• Sentry (Functional Software, Inc., SUA): folosim Sentry pentru monitorizarea erorilor tehnice. Când apare o eroare în aplicație, Sentry primește un raport care poate include adresa ta IP și detalii tehnice despre sesiune. Temei legal — interes legitim (Art. 6(1)(f) GDPR) pentru funcționarea corectă și securitatea serviciului. Transferul poate include prelucrarea în afara UE (SUA), pe baza cadrului EU–US Data Privacy Framework și a clauzelor contractuale standard.
• PostHog (PostHog EU, găzduit la Frankfurt, Germania): procesor pentru statisticile noastre de trafic. Primește pagini vizitate, sursa vizitei și date tehnice despre browser/dispozitiv, iar — doar cu consimțământul pentru categoria Analitice — înregistrări de sesiune (conținutul paginilor văzute și interacțiunile cu ele, cu datele din formulare mascate în browser); datele rămân în UE. Am încheiat cu PostHog un acord de prelucrare a datelor (DPA). Temei legal — consimțământ (Art. 6(1)(a) GDPR) pentru varianta cu cookie, interes legitim (Art. 6(1)(f) GDPR) pentru numărarea fără stocare pe dispozitiv.
• Platforme de publicitate — Google și Meta: cu acordul tău pentru categoria Marketing, aceste platforme pot primi identificatorii de clic (gclid, gbraid, wbraid, fbclid) și, pentru funcții de audiențe, identificatori în formă protejată (hash). Transferul se poate face în SUA, în baza mecanismelor de transfer aplicabile ale platformelor (EU–US Data Privacy Framework și/sau clauze contractuale standard).

Vom actualiza această secțiune dacă apar alți procesori terți, cu cel puțin 30 zile înainte.

6. Cât timp păstrăm datele

• Date de cont: cât timp ai contul activ. La ștergerea contului, anonimizăm sau ștergem datele într-un termen de 30 zile, cu excepția celor pe care avem obligația legală să le păstrăm.
• Date de consimțământ: 3 ani (termenul de prescripție ANSPDCP), pentru a putea dovedi consimțământul tău conform Art. 7(1) GDPR.
• Mesaje: cât timp există conversația. Dacă blochezi un utilizator, mesajele rămân vizibile doar pentru tine.
• Date tehnice (loguri): 90 zile, după care sunt șterse automat.
• Jurnalul de evenimente de utilizare (statisticile pentru vânzători, prevenirea abuzului, construirea și îmbunătățirea recomandărilor): 24 luni, după care este șters automat. Păstrăm evenimentele pe această perioadă pentru că piața imobiliară este sezonieră: antrenarea recomandărilor are nevoie de mai mult de un ciclu anual, ca să putem compara aceleași perioade de la un an la altul.
• Date de atribuire marketing: copia din browser — cel mult 90 de zile; datele de atribuire asociate contului — până la ștergerea contului sau retragerea acordului Marketing din cont. Retragerea din banner, fără autentificare, șterge doar copia din browser — ștergerea datelor asociate contului are loc la retragerea făcută în timp ce ești autentificat.

7. Drepturile tale

Conform GDPR (Art. 15-22), ai dreptul la:

• acces la datele tale și la informații despre prelucrare;
• rectificarea datelor inexacte sau incomplete;
• ștergerea datelor ("dreptul de a fi uitat");
• restricționarea prelucrării;
• portabilitatea datelor (primirea lor într-un format structurat);
• opoziția la prelucrarea bazată pe interes legitim;
• retragerea consimțământului în orice moment, fără ca aceasta să afecteze legalitatea prelucrării anterioare;
• depunerea unei plângeri la ANSPDCP.

8. Cum exerciți drepturile

Trimite un email la [email protected] cu cererea ta. Răspundem în maximum 30 zile.

9. Cookie-uri

Pentru detalii despre cookie-urile pe care le folosim, consultă Politica de cookie-uri.

10. Modificări

Ne rezervăm dreptul să actualizăm această politică. Modificările materiale (categorii noi de date, scopuri noi, procesori terți noi) declanșează re-afișarea bannerului de consimțământ.