Securitate și încredere Documente Cremene · Ultima actualizare: 14 octombrie 2026

Politica de confidențialitate

Versiune preliminară. Acest document descrie onest practicile platformei în faza actuală (acces timpuriu) și va fi revizuit juridic înainte de lansarea comercială. Dacă ai întrebări, scrie-ne — răspundem.

1. Cine prelucrează datele

Această politică explică modul în care platforma Cremene(„Platforma”, „noi”) prelucrează date cu caracter personal, în conformitate cu Regulamentul (UE) 2016/679 (GDPR). Operatorul este ENVISIONITE S.R.L., cu sediul social în Str. Domnească nr. 105, Bloc Corp C1, Etaj 2, Biroul 2.1.1, Municipiul Galați, Județul Galați, înregistrată la Oficiul Registrului Comerțului sub nr. J17/1092/2022, cod unic de înregistrare (CUI) 46365692. Ne poți contacta oricând la contact@cremene.ro.

Nu am desemnat un responsabil cu protecția datelor (DPO) — la scara actuală a prelucrării, GDPR nu impune unul. Cererile privind datele personale se trimit la gdpr@cremene.ro, adresă monitorizată special pentru acest scop.

Pentru datele contului tău suntem operator de date. Pentru conținutul pe care organizația ta îl încarcă în Platformă (evaluări, dovezi, incidente, furnizori, documente) acționăm ca persoană împuternicită — vezi acordul de prelucrare a datelor (DPA).

2. Ce date colectăm și de ce

Date de cont: nume, adresă de email, parolă (stocată exclusiv criptat/hash prin furnizorul de autentificare). Temei: executarea contractului (art. 6 alin. (1) lit. b) din GDPR). Furnizarea lor e o cerință necesară încheierii contractului — fără ele nu putem crea contul și nu îți putem furniza serviciul.

Jurnal de audit și date de securitate: platforma ține o evidență a acțiunilor importante din cont (cine a modificat ce și când). Temei: interesul nostru legitim (art. 6 alin. (1) lit. f) din GDPR) de a asigura securitatea serviciului, trasabilitatea și prevenirea abuzului — și interesul organizației tale de a avea un istoric de audit.

Date despre organizație: denumire, CUI, sector, mărime, persoana responsabilă. Temei: executarea contractului (evaluarea și documentele se adaptează organizației tale).

Conținutul încărcat de organizația ta: evaluări de controale, fișiere-dovadă, incidente, furnizori, documente generate. Le prelucrăm doar ca să furnizăm serviciul, la instrucțiunile organizației tale.

2A. Analiza opțională a site-ului public

Ce stocăm	La ce folosește	Cât ține
`sb-*-auth-token` cookie	Te ține autentificat. Fără el, te-ar deconecta la fiecare pagină.	Cât ține sesiunea
`nw_active_org` cookie	Ține minte în ce organizație lucrezi, dacă ai acces la mai multe.	1 an
`nw_active_reg` cookie	Ține minte cu ce reglementare lucrezi (NIS2, GDPR ș.a.).	1 an
`nw_hide_guide_landing` cookie	Ai închis ecranul de ghidare și nu vrei să-l mai vezi.	1 an
`nw_guide_landed` cookie	Reține că ai trecut deja prin ghid, ca să nu te trimită iar acolo.	Cât ține sesiunea
`nw_impersonate` cookie	Se setează doar când un operator al platformei se uită în contul organizației tale, la cerere de suport. Fiecare astfel de acces se înregistrează separat în jurnalul nostru de administrare.	2 ore
`nw_notif_seen`, `nw_notif_visited` memorie locală	Ce notificări ai văzut deja, ca punctul roșu din clopoțel să nu rămână aprins degeaba.	Până golești datele browserului
`cremene:audit-ghidat:…` memorie locală	Dacă ai pornit modul ghidat la un audit intern, ține minte alegerea pentru auditul acela.	Până golești datele browserului
`cremene:wizard-general:…` memorie locală	Răspunsurile tale din evaluarea publică „ce mi se aplică” — ca să nu le pierzi la reîncărcarea paginii sau la o vizită ulterioară. Rămân în browserul tău; ajung la noi doar dacă alegi explicit „Continuă cu cont”. Le ștergi cu butonul „Șterge răspunsurile” de pe pagină.	Până le ștergi tu sau golești datele browserului
`cremene.nav-mod` memorie locală	Preferința ta de meniu din aplicație: planul simplu sau toate modulele.	Până golești datele browserului
`cremene.support.teaser.muted`, `cremene.support.teaser.returns` memorie de sesiune	Dacă ai închis bula de suport, nu reapare cât ține fila deschisă.	Până închizi fila

Pe paginile de prezentare folosim Google Analytics 4 numai după acceptul tău pentru analiza traficului. Scop: înțelegerea paginilor utile, a surselor de vizite și a solicitărilor comerciale trimise cu succes. Temei: consimțământul, conform art. 6 alin. (1) lit. a) GDPR și art. 4 alin. (5) din Legea nr. 506/2004. Refuzul nu limitează folosirea site-ului.

Google primește identificatori pseudonimi din cookie-uri, informații despre browser și dispozitiv, pagini și evenimente generale. Cererea tehnică către Google implică adresa IP. Eliminăm parametrii liberi și fragmentele din adresele paginilor trimise. Nu transmitem nume, e-mailuri, conținutul formularelor, chitanța solicitării sau documentele din platformă. Google Signals, colectarea datelor furnizate de utilizatori și personalizarea publicitară nu sunt activate.

Cheia locală cremene.analytics.consent.v1 reține acceptul sau refuzul, data și versiunea alegerii pentru 180 de zile, fără un identificator de vizitator. După accept, cookie-urile _ga și _ga_359R73265Y ajută la măsurarea vizitelor și sesiunilor și expiră cel târziu odată cu alegerea. Lista opțională „De citit” folosește cremene.resources.saved.v1, până când o golești. Inventarul și comenzile sunt pe pagina Cookie-uri.

Datele despre utilizatori și evenimente din Analytics sunt păstrate 14 luni, fără resetarea perioadei la o nouă activitate. Rapoartele agregate standard nu sunt supuse acestei limite. Din „Preferințe cookie”, în subsolul site-ului de prezentare, îți poți retrage acceptul: colectarea ulterioară se oprește și cookie-urile analitice accesibile site-ului sunt șterse. Retragerea nu afectează legalitatea prelucrării anterioare.

Furnizorul Google poate prelucra date și în afara SEE, inclusiv în SUA. Serviciul se supune condițiilor de prelucrare Google și anexelor privind transferurile. Nu promitem stocare exclusiv în UE pentru Analytics. Pentru informații despre garanții și exercitarea drepturilor, contactează gdpr@cremene.ro.

Gestionează preferințele pentru analiza traficului

5. Cât timp păstrăm datele

Datele contului și ale organizației: cât timp contul este activ. La ștergerea contului sau a organizației, datele — inclusiv fișierele încărcate — sunt eliminate din sistemele active fără întârzieri nejustificate; copiile de siguranță ale bazei de date se fac zilnic și se rotesc automat, astfel încât datele deja șterse din sistemele active dispar și din copiile de siguranță în cel mult 7 zile. Solicitările de contact din instrumentele publice se șterg automat după 12 luni.

Jurnalul acțiunilor administrative asupra conturilor — inclusiv închiderea unui cont și accesul nostru de suport la datele organizației — se păstrează nelimitat. Nu e o obligație legală, e o alegere: logul închiderii unui cont este dovada că ștergerea s-a făcut, iar fără el n-am putea-o demonstra nimănui, nici ție. Temeiul e interesul legitim de a putea dovedi respectarea obligațiilor (art. 6 alin. (1) lit. f) și art. 5 alin. (2) din GDPR). Conține actorul, acțiunea și momentul — nu conținutul datelor tale.

Răspunsurile primite de la furnizorii unui client, prin chestionarele de securitate: conținutul răspunsurilor (răspunsurile și notele) se elimină automat la 24 de luni de la data răspunsului. Termenul e o regulă a platformei, nu un termen legal validat. O citare a răspunsului într-o evaluare sau într-un document al clientului nu oprește eliminarea. Profilul public de securitate al furnizorului, dacă a fost publicat, se retrage la același termen.

Excepția — amânarea. Clientul poate amâna eliminarea unui răspuns numai printr-o decizie a lui, consemnată în platformă de owner sau de un admin, cu motiv, justificare, referință și dată-limită, pentru: o obligație identificată de conservare, un litigiu concret sau o restricționare a prelucrării care cere păstrarea. Nu orice cerere a unei persoane justifică amânarea. Consemnăm decizia clientului; nu o validăm juridic. Nu există amânări fără termen și nici reînnoiri automate; o prelungire e o decizie nouă. Amânarea nu reactivează profilul public și nu extinde accesul la răspuns.

Ce rămâne după eliminare: identificatorul și data răspunsului, scorul declarat, standardele și nivelul chestionarului, setul de întrebări și regula de calcul, o amprentă tehnică a răspunsului integral (nu înlocuiește originalul și nu garantează anonimizarea), actele de evaluare ale clientului și evenimentul eliminării. Ele rămân cât timp furnizorul e în evidența clientului și contul e activ și se șterg odată cu furnizorul sau cu contul. Nu facem copii automate ale răspunsurilor în actele sau în edițiile dosarului; edițiile deja emise rămân neschimbate. Nu putem garanta ștergerea copiilor făcute manual sau descărcate în afara platformei; copiile de siguranță urmează ciclul de mai sus.

6. Alte prelucrări, pe scurt

Pe lângă contul și datele de conformitate, mai prelucrăm datele de mai jos. Le enumerăm separat ca să nu fie ascunse într-o formulare generală: fiecare are scopul, temeiul și durata ei.

Ce prelucrăm	Pentru ce, și pe ce temei	Cât păstrăm
Tichetele de suport autor, subiect, mesaje, atașamente	Ca să primim și să rezolvăm cererea. Temei: executarea contractului (art. 6 alin. (1) lit. b)).	Cât ține contul; se șterg la închiderea lui, inclusiv atașamentele
Directorul de auditori nume, organism și număr de atestare, regiuni, contact	Ca un client să găsească un auditor atestat și să-i trimită o cerere. Sursa datelor: registrele publice ale organismelor de atestare (RENAR, DNSC, ANSPDCP, BNR/ASF) — nu de la auditor. Temei: interesul legitim de a publica informații profesionale deja publice (art. 6 alin. (1) lit. f)). Dacă ești auditor și nu vrei să apari, scrie-ne și te scoatem.	Cât figurezi în registrul public sursă
Programul de parteneri contact, acceptarea acordului, portofoliul de clienți	Înrolarea și administrarea partenerilor consultanți. Temei: executarea acordului de parteneriat (art. 6 alin. (1) lit. b)).	Cât ține acordul, plus termenele fiscale pentru facturile emise
Cererile privind datele tale cererea, corespondența, dovada rezolvării	Ca să răspundem la cererile de acces, rectificare, ștergere sau export. Temei: obligație legală (art. 6 alin. (1) lit. c)).	3 ani de la închiderea cererii
Formularul public de contact nume, email, firmă, mesaj	Ca să răspundem la o solicitare pe care tu ne-o trimiți. Temei: interesul legitim de a răspunde (art. 6 alin. (1) lit. f)).	Mesajul nu se stochează în platformă — rămâne doar în corespondența de e-mail, cât ține discuția
Rapoartele de vulnerabilitate contactul raportorului, raportul	Ca să primim și să remediem problemele de securitate raportate din exterior. Temei: interesul legitim de a ține serviciul sigur (art. 6 alin. (1) lit. f)) — interes care coincide cu al tău.	Pe durata investigației, plus evidența remedierii

Politica de confidențialitate

1. Cine prelucrează datele

2. Ce date colectăm și de ce

2A. Analiza opțională a site-ului public

3. Unde sunt găzduite datele

4. Cine ne ajută (persoane împuternicite)

5. Cât timp păstrăm datele

6. Alte prelucrări, pe scurt

7. Drepturile tale

8. Modificări