shield_lock Protecția datelor

Politică de confidențialitate

Ultima actualizare: noiembrie 2026 | Operator: Ostheimer OG, Fabriksgasse 20, 2230 Gänserndorf | office@qr3.app

1. Principii

Prelucrăm datele cu caracter personal în conformitate cu GDPR (UE) 2016/679. Protecția datelor dumneavoastră este o preocupare centrală pentru noi. qr3.app a fost dezvoltat conform principiului Privacy by Design: adresele IP nu sunt stocate niciodată — acestea sunt pseudonimizate imediat la nivel de Edge (Cloudflare Workers) cu HMAC-SHA-256, un secret de lungă durată, scop și zi UTC, înainte ca datele să fie salvate.

2. Date prelucrate

2.1 Utilizarea API-ului (Utilizatori înregistrați)

  • Date de cont: Adresă de e-mail, nume (prin autentificarea Clerk.com)
  • Date de facturare: ID client Stripe, starea abonamentului (fără date de card de credit — Stripe le prelucrează direct)
  • Date de utilizare: Coduri QR create, configurații ale spațiului de lucru
  • Temei juridic: Art. 6 alin. 1 lit. b GDPR (executarea contractului)

2.2 Analiza scanărilor (Utilizatori finali care scanează codurile QR)

  • Pseudonim IP: HMAC-SHA-256 cu secret de lungă durată, scop și zi UTC — date cu caracter personal pseudonimizate; nu pot fi recuperate direct din hash, dar deținătorul secretului poate recalcula pentru acea zi un candidat IP cunoscut
  • Datele dispozitivului: Tip de dispozitiv, sistem de operare, browser (din User-Agent, anonimizat)
  • Date geografice: Țară, oraș (din antetul Cloudflare CF-IPCountry — nu se stochează nicio adresă IP)
  • Temei juridic: Art. 6 alin. 1 lit. f GDPR (interesul legitim al deținătorilor de coduri QR pentru statistici)
  • Păstrare: 90 de zile, după care se șterg automat

2.3 Vizitarea site-ului web (qr3.app)

Pentru a număra vizualizările de pagină pentru fiecare versiune lingvistică, qr3.app utilizează Cloudflare Web Analytics. Acest serviciu nu utilizează cookie-uri sau alte mecanisme de stocare pe partea de client, nu stochează adrese IP și nu creează profiluri de utilizatori. Datele colectate, în mod agregat, sunt: calea paginii, site-ul de proveniență (referrer), tipul de browser și de dispozitiv, precum și țara. Furnizor: Cloudflare, Inc., în calitate de persoană împuternicită de operator (Acord de prelucrare a datelor). Temei juridic: Art. 6 alin. 1 lit. f GDPR — interes legitim privind monitorizarea audienței pentru fiecare limbă în parte. Nu este necesar un cookie de renunțare (opt-out), deoarece nu se stochează date pe dispozitivul dumneavoastră.

2.4 Statistici de utilizare și jurnale webhook (Utilizatori înregistrați)

  • Statistici de utilizare: Activitatea din dashboard pe zile (în ce zile UTC un utilizator a deschis dashboard-ul unui spațiu de lucru) și contoare de utilizare a API-ului pe operațiune și zi (numărul de cereri ale unei chei API pe operațiune și rezultat). Pentru activitatea din dashboard se stochează identificatorii utilizatorului, ai organizației și ai spațiului de lucru, ziua UTC și ora primei accesări din ziua respectivă; pentru contoarele API, identificatorii organizației, ai spațiului de lucru și ai cheii API, ziua UTC, operațiunea, rezultatul, numărul și ora primei și a ultimei cereri din zi — nicio adresă IP și niciun User-Agent.
  • Jurnale de livrare webhook: Pentru fiecare încercare de livrare: tipul evenimentului, ora, starea, codul de stare HTTP și timpul de răspuns, datele evenimentului trimise și primul kilobyte (1 KB) din răspunsul destinatarului sau un mesaj de eroare. La evenimentele de scanare, datele evenimentului conțin țara, tipul dispozitivului, sistemul de operare, browserul și limba vizitatorului; la evenimentele de cod, codul complet, cu adresa țintă și notele. Adresa IP și User-Agent-ul vizitatorilor nu se stochează, dar datele evenimentului și răspunsul destinatarului pot conține date cu caracter personal.
  • Scop: Funcționare, depistarea erorilor și îmbunătățirea produsului
  • Temei juridic: Art. 6 alin. 1 lit. f GDPR (interes legitim pentru o funcționare sigură, depistarea erorilor și dezvoltarea în continuare a serviciului)
  • Păstrare: 90 de zile (ziua UTC curentă și cele 89 de zile anterioare), după care se șterg automat; imediat, prin DELETE /v1/account

2.5 Jurnal de audit (Utilizatori înregistrați)

  • Conținut: Pentru fiecare modificare într-un spațiu de lucru (de exemplu la coduri, chei API, membri sau webhookuri): ora, acțiunea, resursa vizată, valorile modificate și cine a acționat (ID-ul utilizatorului sau al cheii API). Pentru apelurile directe către API, în plus pseudonimul IP (HMAC-SHA-256 pe zi UTC, scop separat) și user agentul. Nu se stochează adrese IP, secrete (secrets) sau chei API.
  • Scop: Trasabilitatea modificărilor pentru echipa unui spațiu de lucru și securitatea serviciului
  • Temei juridic: Art. 6 alin. 1 lit. f GDPR (interes legitim pentru modificări trasabile și pentru securitatea serviciului)
  • Păstrare: pseudonimul IP și user agentul 90 de zile, înregistrarea 365 de zile (de fiecare dată ziua UTC curentă și zilele anterioare), apoi ștergere automată; la DELETE /v1/account înregistrările organizațiilor proprii se șterg imediat, iar în alte echipe se elimină pseudonimul IP și user agentul

3. Transferul datelor către terți

Transferăm datele doar către următorii furnizori de servicii. Dacă nu se precizează altfel, aceștia prelucrează datele în numele nostru (Art. 28 GDPR). Dacă datele ajung astfel în SUA, acest lucru se bazează pe Cadrul UE-SUA privind protecția datelor (EU-US Data Privacy Framework), în baza căruia societățile americane ale acestor furnizori sunt certificate (decizie privind caracterul adecvat, Art. 45 GDPR), și, în subsidiar, pe clauzele contractuale standard ale Comisiei Europene din acordurile lor de prelucrare a datelor (Art. 46 alin. 2 lit. c GDPR).

  • Cloudflare, Inc. (SUA) — infrastructură, CDN, Workers: găzduirea site-ului web, a dashboard-ului și a API-ului, bază de date, stocare de fișiere și cozi, trimiterea e-mailurilor de sistem (Cloudflare Email Service) și Web Analytics (secțiunea 2.3)
  • Clerk, Inc. (SUA) — autentificare: adresă de e-mail, nume, date de autentificare și de sesiune (inclusiv adresa IP, locația dedusă din aceasta și browserul) și e-mailuri de confirmare. La înregistrare, Clerk integrează o protecție împotriva înregistrărilor automate (Cloudflare Turnstile). Dacă vă autentificați cu un cont Google, Clerk primește din acel cont numele și adresa dumneavoastră de e-mail.
  • Stripe Payments Europe, Ltd. (Irlanda) — procesarea plăților și facturi. Datele de plată sunt colectate direct de Stripe; noi nu primim date ale cardurilor. Pentru prevenirea fraudei, pentru propriile obligații legale și pentru dezvoltarea produselor sale, Stripe răspunde în nume propriu.
  • Functional Software, Inc. (Sentry) (SUA, stocare în UE) — analiza erorilor pentru API, redirecționări și dashboard: mesaje de eroare și eșantioane de cereri (metodă, cale fără parametri, cod de stare, durată, identificatori interni). Eliminăm adresele IP, antetele, cookie-urile și parametrii înainte de trimitere; adresele de e-mail și cheile din text sunt mascate. Temei juridic: Art. 6 alin. 1 lit. f GDPR (interes legitim pentru o funcționare fără erori și sigură)
  • Google Cloud EMEA Ltd. (Irlanda; Google Cloud Web Risk) — verificarea adreselor de destinație pentru phishing și malware: la crearea sau modificarea unui cod, la o verificare prin API și la reverificarea de noapte, adresa de destinație a codului sau linkurile paginii sale de destinație. Se trimite doar adresa, fără date despre conturi sau vizitatori; dacă adresa însăși conține date personale (de exemplu, într-un parametru), acestea sunt trimise odată cu ea. Temei juridic: Art. 6 alin. 1 lit. f GDPR (protejarea vizitatorilor împotriva destinațiilor frauduloase și securitatea serviciului)
  • Microsoft (Microsoft 365) — căsuța poștală office@qr3.app: e-mailurile pe care ni le trimiteți, inclusiv răspunsurile la e-mailurile de sistem, și răspunsurile noastre. Temei juridic: Art. 6 alin. 1 lit. b GDPR (solicitări privind contractul) sau lit. f (alte solicitări)

Nu are loc niciun transfer de date în scopuri publicitare.

4. Drepturile dumneavoastră (GDPR Art. 15–22)

  • Acces (Art. 15): GET /v1/account/privacy sau e-mail la office@qr3.app
  • Portabilitatea datelor (Art. 20): GET /v1/account/export — export JSON al tuturor datelor
  • Ștergere (Art. 17): DELETE /v1/account sau e-mail. Contul dumneavoastră este șters imediat: organizațiile al căror proprietar sunteți, cu toate spațiile de lucru, codurile, pașapoartele de produs, fișierele și statisticile (dacă o astfel de organizație are un alt administrator al organizației, acesta o preia împreună cu datele și abonamentul), calitatea dumneavoastră de membru în alte organizații, autentificarea dumneavoastră la Clerk și înregistrarea dumneavoastră de client la Stripe. Un abonament în curs se încheie imediat, fără rambursare proporțională. În cazul conturilor foarte mari, ștergerea se încheie în câteva ore. În copiile de rezervă ale bazei de date (Cloudflare D1 Time Travel), datele șterse rămân recuperabile timp de până la 30 de zile, apoi sunt eliminate definitiv. Fac excepție facturile, pe care le păstrăm la Stripe pe durata termenului legal de păstrare de șapte ani (§ 132 BAO), și sesizările terților privind coduri abuzive (prevenirea abuzurilor).
  • Restricționare (Art. 18): E-mail la office@qr3.app
  • Opoziție (Art. 21): Oricând, din motive legate de interese legitime

5. Cookie-uri

qr3.app utilizează exclusiv cookie-uri de sesiune necesare din punct de vedere tehnic (autentificare prin Clerk). Nu se folosesc cookie-uri de marketing sau de urmărire. Prin urmare, nu este necesar consimțământul conform directivei privind cookie-urile. De asemenea, Cloudflare Web Analytics (a se vedea secțiunea 2.3) nu utilizează cookie-uri.

6. Securitatea datelor

Toate datele sunt transmise criptat (TLS 1.3). Criptarea bazei de date în repaus (at-rest) se realizează prin Cloudflare D1. Cheile API sunt stocate sub formă de hash. Semnăturile Webhook sunt realizate prin HMAC-SHA256.

7. Dreptul de a depune o plângere

Aveți dreptul de a depune o plângere la Autoritatea Austriacă pentru Protecția Datelor:
Autoritatea pentru Protecția Datelor (dsb.gv.at), Barichgasse 40-42, 1030 Viena

8. Contact pentru protecția datelor

Ostheimer OG
Fabriksgasse 20, 2230 Gänserndorf
office@qr3.app