Politica de securitate a datelor cu caracter personal

Operator de date: S.C. PAFF S.R.L. Sediu: Strada Ion Ghica, Nr. 129, Oraș Răcari, Județ Dâmbovița, Cod poștal 137388, România CUI: RO4807535 · NRC: J15/1583/1993 Contact: [email protected] · +40 744 667 233 Punct de contact GDPR: [email protected] Versiune: 2.0 · Data ultimei actualizări: 12 mai 2026

1. Cine suntem și scopul acestei politici

S.C. PAFF S.R.L. (denumită în continuare „PAFF" sau „noi") operează magazinul online www.paff.ro, prin care comercializează ambalaje din carton, bandă adezivă, pungi, saci, accesorii și servicii de personalizare către clienți persoa n,nne fizice (B2C) și persoane juridice (B2B).

Această politică de confidențialitate descrie modul în care colectăm, prelucrăm, stocăm și protejăm datele cu caracter personal pe care ni le furnizați sau pe care le colectăm automat prin utilizarea site-ului www.paff.ro și a serviciilor noastre, în conformitate cu:

Regulamentul (UE) 2016/679 (Regulamentul General privind Protecția Datelor — „GDPR")
Legea nr. 190/2018 privind măsurile de punere în aplicare a GDPR în România
Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice
Legea nr. 365/2002 privind comerțul electronic

2. Ce date personale colectăm

2.1 Date furnizate direct de dumneavoastră

Categorie	Exemple	Când le colectăm
Date de identificare	Nume, prenume, denumire companie	La crearea contului, la plasarea unei comenzi
Date fiscale B2B	CUI/CIF, NRC, sediu social	La crearea contului B2B sau facturare
Date de contact	Email, telefon, adresă	La creare cont, comandă, formular contact
Date de livrare	Adresă livrare, persoană contact	La plasarea unei comenzi
Conținut comunicări	Mesaje formulare, corespondență email	Când ne contactați
Preferințe	Categorii produse vizualizate, mostre solicitate	În timpul navigării

2.2 Date colectate automat

Categorie	Exemple	Tehnologie
Date de trafic	Adresă IP, browser, sistem operare, paginile vizitate	Server logs
Cookies	Identificatori sesiune, preferințe, analytics	Cookies first-party și third-party (vezi secțiunea 9)
Date analytics	Comportament navigare, conversii, timp pe pagină	Google Analytics 4 (cu acordul dvs.)
Date marketing	Răspuns la reclame, remarketing	Google Ads (cu acordul dvs.)

2.3 Date NU colectăm

Date de card bancar: plățile online se procesează exclusiv prin partenerul nostru certificat PCI-DSS (PayU); PAFF nu primește, nu stochează și nu procesează datele cardului dumneavoastră.
Date sensibile (sănătate, opinii politice, religie, orientare sexuală etc.): nu colectăm și nu prelucrăm.
Date despre minori sub 16 ani: site-ul nostru nu se adresează minorilor; nu colectăm intenționat date despre persoane sub 16 ani.

Scop	Bază legală	Date implicate
Executarea contractului de vânzare-cumpărare	Art. 6(1)(b) GDPR — necesar pentru executarea contractului	Identificare, contact, livrare, comandă
Emitere facturi și documente fiscale	Art. 6(1)(c) GDPR — obligație legală (Cod Fiscal, OUG 28/1999)	Date fiscale, comandă, valoare
Procesare plăți online	Art. 6(1)(b) GDPR — necesar contractului	Identificare, valoare (NU date card)
Livrare comenzi prin curier	Art. 6(1)(b) GDPR — necesar contractului	Date livrare, contact destinatar
Gestionare cont utilizator	Art. 6(1)(b) GDPR — necesar contractului	Identificare, contact, istoric comenzi
Soluționare reclamații, retururi, garanție	Art. 6(1)(c) GDPR — obligație legală (OUG 34/2014, OUG 140/2021)	Identificare, comandă, comunicări
Trimitere comunicări de marketing (newsletter, oferte)	Art. 6(1)(a) GDPR — consimțământ explicit	Email, preferințe
Analiză trafic site și optimizare	Art. 6(1)(a) GDPR — consimțământ (Google Analytics)	Date analytics, cookies
Reclame personalizate (remarketing)	Art. 6(1)(a) GDPR — consimțământ (Google Ads)	Date marketing, cookies
Prevenire fraude și asigurare securitate	Art. 6(1)(f) GDPR — interes legitim	Adresă IP, log-uri, comportament
Apărare drepturi în justiție	Art. 6(1)(f) GDPR — interes legitim	Toate datele relevante litigiului

4. Destinatari ai datelor personale

Datele dumneavoastră personale pot fi divulgate, strict pentru scopurile menționate mai sus, către următoarele categorii de destinatari:

Furnizori servicii plată: PayU România S.A. (procesare plăți card online)
Furnizori servicii livrare: firme de curierat (FAN Courier, Cargus, DPD sau alte firme alese pentru comanda dumneavoastră)
Furnizori servicii cloud și hosting: OVH (servere VPS), Google LLC (Google Drive — backup-uri criptate cu age, conținut inaccesibil Google)
Furnizori servicii analytics și marketing:
- Google LLC (Google Analytics 4, Google Ads, Google Search Console) — pentru analiză trafic și gestionare campanii publicitare; vezi secțiunea 7 pentru detalii
Furnizori servicii email tranzacțional: prestator email tranzacțional (confirmări comenzi, notificări AWB)
Autorități publice: ANAF (e-Factura, raportări fiscale), instituții abilitate la cerere legală
Consultanți profesionali: contabilitate, audit, avocați — sub obligație de confidențialitate
Companii afiliate sau parteneri B2B: doar dacă este necesar și cu acordul dumneavoastră explicit

Toți destinatarii care prelucrează date în numele nostru au încheiate acorduri de prelucrare a datelor (DPA) conform Art. 28 GDPR și sunt obligați contractual să asigure același nivel de protecție.

5. Transferuri internaționale de date

Anumiți furnizori de servicii (Google LLC, în special) sunt situați în Statele Unite ale Americii. Transferurile către aceste destinații se realizează în baza:

Adequacy Decision a Comisiei Europene pentru SUA prin EU-US Data Privacy Framework (decizia din 10 iulie 2023), Google fiind organizație certificată;
Clauze Contractuale Standard (SCC) aprobate de Comisia Europeană, ca garanție suplimentară;
Măsuri tehnice și organizatorice suplimentare (criptare în tranzit și la repaus, pseudonimizare unde e tehnic posibil).

Puteți solicita o copie a garanțiilor aplicabile transferurilor la [email protected].

6. Perioada de retenție

Tip date	Perioadă de retenție	Bază
Documente fiscale (facturi, chitanțe)	10 ani de la încheierea exercițiului fiscal	Lege contabilitate 82/1991, Cod Fiscal
Date cont utilizator activ	Pe durata existenței contului + 3 ani de la dezactivare	Termen prescripție extinctivă (Art. 2517 NCC)
Date comenzi (B2B și B2C)	10 ani de la finalizarea comenzii	Obligații fiscale + termen prescripție
Date livrare (AWB-uri)	3 ani de la livrare	Termen prescripție extinctivă
Date marketing (newsletter)	Până la retragerea consimțământului + 30 zile pentru procesare opt-out	GDPR Art. 7
Cookies	Conform secțiunii 9 (între sesiune curentă și 26 luni)	Recomandări CEPD/EDPB
Log-uri server	Maxim 12 luni	Interes legitim — securitate
Comunicări email cu serviciul clienți	3 ani de la ultima interacțiune	Termen prescripție

După expirarea perioadei de retenție, datele sunt șterse sau anonimizate ireversibil.

7. Marketing online — Google Ads și Google Analytics

Folosim activ servicii Google pentru analiza traficului și promovarea produselor noastre:

7.1 Google Analytics 4 (GA4)

Scop: măsurarea audienței site-ului, înțelegerea comportamentului vizitatorilor, optimizarea experienței.
Date procesate: identificator anonimizat client (Client ID), adresă IP anonimizată, paginile vizitate, durata sesiunii, tipul dispozitivului, sursa de trafic.
Bază legală: Art. 6(1)(a) GDPR — consimțământ explicit prin cookie banner.
Retenție: 14 luni (setare contul GA4 al PAFF).
Opt-out: prin cookie banner (refuzare cookies analytics) sau extensie browser https://tools.google.com/dlpage/gaoptout

7.2 Google Ads

Scop: difuzare reclame către utilizatori care au vizitat site-ul (remarketing), măsurare conversii (vânzări) provenite din campanii publicitare, optimizare campanii.
Date procesate: identificator browser pentru remarketing (cookies Google Ads), evenimente de conversie (achiziție, formular completat, contact), valoare comandă (pentru ROAS).
Bază legală: Art. 6(1)(a) GDPR — consimțământ explicit prin cookie banner pentru cookies de marketing.
Retenție: maxim 540 zile pentru remarketing lists.
Opt-out: prin cookie banner sau direct la https://adssettings.google.com (dezactivare reclame personalizate Google).

7.3 Google Ads API — automatizare internă a campaniilor

PAFF utilizează Google Ads API pentru gestionarea automată și optimizarea internă a campaniilor noastre publicitare proprii. Această utilizare:

Se aplică exclusiv contului propriu Google Ads al PAFF SRL (advertiser self-managed);
NU implică prelucrarea suplimentară a datelor dumneavoastră personale dincolo de ce este descris în secțiunile 7.1 și 7.2;
Operațiunile prin API (citire metrici, ajustare bid, sincronizare catalog, raportare) sunt automatizate intern și nu deschid noi căi de partajare a datelor.

Detalii suplimentare despre utilizarea Google Ads API: https://www.paff.ro/utilizare-google-ads-api

În calitate de persoană vizată, aveți următoarele drepturi:

Dreptul de a fi informat (Art. 13-14) — primiți această politică și orice modificare relevantă.
Dreptul de acces (Art. 15) — puteți solicita confirmarea că prelucrăm date despre dumneavoastră și o copie a acestor date, gratuit, o dată pe an.
Dreptul de rectificare (Art. 16) — puteți solicita corectarea datelor inexacte sau completarea celor incomplete.
Dreptul de ștergere ("dreptul de a fi uitat", Art. 17) — puteți solicita ștergerea datelor când acestea nu mai sunt necesare scopului, vă retrageți consimțământul, sau prelucrarea este ilegală. Aplicabil cu excepția cazurilor în care avem obligație legală de păstrare (ex. facturi — 10 ani).
Dreptul de restricționare a prelucrării (Art. 18) — puteți cere blocarea temporară a prelucrării în anumite situații.
Dreptul de portabilitate (Art. 20) — puteți primi datele furnizate într-un format structurat, utilizat în mod curent și care poate fi citit automat (CSV, JSON).
Dreptul de opoziție (Art. 21) — vă puteți opune oricând prelucrării bazate pe interes legitim sau pentru scopuri de marketing direct.
Drepturi privind decizii automate și profilare (Art. 22) — nu utilizăm procese decizionale exclusiv automatizate cu efecte juridice asupra dumneavoastră. Profilarea pentru marketing online (cookies Google Ads) se face numai cu consimțământul dumneavoastră și puteți să vă opuneți oricând prin cookie banner.

Cum vă exercitați drepturile

Pentru a vă exercita oricare dintre drepturile de mai sus, contactați-ne:

Email: [email protected]
Poștă: S.C. PAFF S.R.L., Str. Ion Ghica nr. 129, Răcari, jud. Dâmbovița, 137388, România

Vom răspunde cererii dumneavoastră în maxim 30 de zile (extensibilă cu 60 zile pentru cereri complexe, cu notificare prealabilă), gratuit, conform Art. 12 GDPR.

Dreptul de reclamație la autoritatea de supraveghere

Aveți dreptul de a depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP):

Web: https://www.dataprotection.ro
Adresă: B-dul G-ral. Gheorghe Magheru nr. 28-30, sector 1, București, 010336
Telefon: +40 318 059 211 / 212
Email: [email protected]

De asemenea, vă puteți adresa instanțelor judecătorești competente.

9. Cookies

Site-ul www.paff.ro utilizează cookies (fișiere mici de date stocate în browser-ul dumneavoastră) pentru funcționare, măsurare audiență și marketing. Detalii complete despre fiecare cookie utilizat și opțiunile de control sunt disponibile la pagina dedicată: https://www.paff.ro/ce-reprezinta-cookie-urile

Categorii de cookies

Categorie	Scop	Bază legală	Control
Strict necesare	Funcționarea site-ului (coș, sesiune login, securitate)	Art. 6(1)(b) GDPR	NU pot fi dezactivate
Funcționale	Preferințe utilizator, limbă, regiune	Art. 6(1)(a) — consimțământ	Opt-in prin cookie banner
Analytics	Google Analytics 4	Art. 6(1)(a) — consimțământ	Opt-in prin cookie banner
Marketing	Google Ads, remarketing, conversion tracking	Art. 6(1)(a) — consimțământ	Opt-in prin cookie banner

La prima vizită pe site, primiți un cookie banner prin care puteți accepta sau refuza individual fiecare categorie de cookies non-esențiale. Puteți modifica oricând preferințele dumneavoastră accesând linkul „Preferințe cookies" din footer-ul site-ului.

10. Securitatea datelor

Aplicăm măsuri tehnice și organizatorice adecvate pentru a proteja datele dumneavoastră împotriva accesului neautorizat, alterării, dezvăluirii sau distrugerii:

Criptare în tranzit: HTTPS (TLS 1.2+) pe întreg site-ul;
Criptare backup-uri: age encryption (X25519) pentru backup-urile off-site;
Control acces: roluri și permisiuni granulare pe sistemele interne, autentificare cu parolă puternică;
Logging și monitorizare: log-uri de acces, alertare pe activități anormale;
Plată sigură: procesare exclusiv prin partener certificat PCI-DSS (PayU);
Audit-uri periodice: revizuiri ale măsurilor de securitate și actualizări regulate.

În cazul unui incident de securitate care vă afectează datele personale și care prezintă risc ridicat pentru drepturile dumneavoastră, vă vom notifica direct, conform Art. 34 GDPR, în termen de 72 de ore de la momentul în care am luat cunoștință.

11. Modificări ale acestei politici

Această politică poate fi modificată periodic pentru a reflecta schimbări în practicile noastre, modificări legislative sau cerințe ale autorităților. Versiunea curentă și data ultimei actualizări sunt afișate în partea de sus a acestei pagini.

Modificările semnificative vă vor fi comunicate prin email (dacă avem datele dumneavoastră de contact) sau printr-un anunț vizibil pe site, cu cel puțin 30 de zile înainte de intrarea lor în vigoare.

12. Contact

Pentru orice întrebare sau solicitare legată de această politică sau de prelucrarea datelor dumneavoastră personale:

Punct de contact GDPR: [email protected]
Contact general: [email protected]
Telefon: +40 744 667 233 (luni-vineri, 08:00–16:30)
Adresă poștală: S.C. PAFF S.R.L., Str. Ion Ghica nr. 129, Răcari, jud. Dâmbovița, 137388, România

Această politică înlocuiește orice versiune anterioară a politicii de confidențialitate a paff.ro. Pentru istoricul versiunilor, contactați [email protected].