Politică de confidențialitate

Ultima actualizare: 2026-08-11 · Versiunea 1.9

1. Operatorul de date

Operatorul datelor cu caracter personal este Adrian Popa, care operează serviciile apnoda în România. Pentru orice solicitare legată de protecția datelor, inclusiv pentru exercitarea drepturilor dumneavoastră, ne puteți contacta la adresa de e-mail privacy@apnoda.com.

Nu am desemnat un Responsabil cu Protecția Datelor (DPO), întrucât nu sunt îndeplinite criteriile prevăzute de art. 37 alin. (1) din RGPD; prelucrăm exclusiv date provenite din registre publice, fără a efectua o monitorizare sistematică pe scară largă.

2. Ce date prelucrăm

Serviciile apnoda colectează (prin extragere automatizată / „scraping”) și redistribuie date din registrele publice din Europa Centrală și de Est. La data prezentei versiuni, sursele active sunt:

Sursă	Date prelucrate	Persoane vizate
SEAP / e-licitație.ro (achiziții publice România)	Date privind persoanele juridice (CUI, denumire entitate, cod CPV, valoare contract, termene și date calendaristice). Pentru câștigătorii care sunt persoane fizice autorizate (PFA / II / IF), se publică denumirea oficială din registru a titularului (numele persoanei fizice), informație preluată din registrul public al achizițiilor (Legea nr. 98/2016). Datele de contact (telefon, fax, e-mail, persoană de contact), CNP-ul și adresa completă (stradă, cod poștal) sunt eliminate definitiv în momentul preluării, înainte de stocare.	Persoanele juridice (autorități contractante și societăți comerciale câștigătoare) și persoanele fizice titulare de PFA / II / IF câștigătoare, identificate prin denumirea publică de registru (date minimizate: fără CNP, fără date de contact, fără adresă).
Screening sancțiuni (liste oficiale UE FSF / OFAC / ONU / UK / SECO)	Nume și aliasuri ale entităților și persoanelor sancționate, preluate exact din listele oficiale publice (program, listă, număr de referință, dată). Acestea sunt utilizate exclusiv pentru a verifica denumirea legală a unei firme (identificată intern pe baza CUI-ului) prin raportare la aceste liste. Interogarea serviciului se face exclusiv pe bază de CUI, fără posibilitatea de căutare după nume.	Persoane fizice și juridice înscrise pe listele oficiale de sancțiuni internaționale. Corelarea în versiunea v1 se realizează la nivel de entitate juridică. Pentru această sursă menținem o Evaluare a Impactului asupra Protecției Datelor (DPIA) dedicată.
ANAF (date fiscale firme, VIES / TVA / inactivi / restanțe)	Date privind persoanele juridice, interogate după CUI: denumire, statut TVA, starea de inactivitate fiscală și prezența pe listele publice ale obligațiilor fiscale restante (cuantumul sumelor). Pentru entitățile asimilate persoanelor fizice (PFA / II / IF), denumirea înregistrată (numele public al titularului) este afișată ca informație provenită dintr-un registru public; CNP-ul este redactat, iar adresa poate fi restrânsă doar la nivel de județ/localitate. Interogare exclusiv pe bază de CUI.	Persoane fizice (titulari de PFA / II / IF, prin denumirea publică înregistrată) și persoane juridice, conform datelor din registrele publice ANAF.
portal.just.ro (metadate dosare instanțe)	Metadate ale dosarelor aflate pe rolul instanțelor din România: numele și calitatea părților, număr dosar, obiect/categorie (inclusiv materie penală, date privind condamnări / infracțiuni conform art. 10), stadiu procesual, instanță, termene. Interfața publică afișată pseudonimizează numele persoanelor fizice (folosind identificatori unici per dosar); persoanele juridice, structurile de tip PFA și instituțiile publice sunt afișate ca atare. Numele complete sunt păstrate doar în arhiva internă cu acces controlat și nu sunt niciodată accesibile publicului. Căutare după: CUI / număr dosar / dată, fără căutare după nume.	Persoane fizice (părți în dosare) și persoane juridice. Pentru această sursă menținem o Evaluare a Impactului asupra Protecției Datelor (DPIA) dedicată.
Ministerul Finanțelor (situații financiare anuale / bilanț)	Situațiile financiare anuale depuse, identificate după CUI: cifra de afaceri netă, profitul net sau pierderea netă, rezultatul net, numărul mediu de salariați și datoriile totale, pentru fiecare exercițiu financiar. Fișierele publicate de minister nu conțin o clasificare per CUI a tipului de persoană, motiv pentru care sunt preluate integral. Situațiile financiare ale persoanelor fizice (PFA / II / IF) nu sunt niciodată afișate: excluderea se aplică la momentul livrării, iar un CUI care nu poate fi confirmat ca persoană juridică este de asemenea reținut, în lipsa unei dovezi contrare. Căutare exclusiv după CUI.	Persoane juridice. Datele privind persoane fizice (titulari de PFA / II / IF) pot exista în fișierele preluate de la sursă, însă nu sunt afișate; acestora li se aplică aceleași drepturi și aceleași reguli de ștergere ca restul datelor din secțiunea 7.

Pe măsură ce vom lansa surse suplimentare (ONRC, BPI, Monitorul Oficial, ANCPI etc.), fiecare va fi inclusă aici cu detaliile specifice, împreună cu o Evaluare a Impactului (DPIA) proprie în cazul în care sursa respectivă conține date cu caracter personal.

3. Temeiul legal

Temeiul principal: art. 6 alin. (1) lit. (e) din RGPD (îndeplinirea unei sarcini care servește unui interes public): Legea nr. 98/2016 privind achizițiile publice obligă autoritățile contractante să publice anunțurile pe SEAP/SICAP. apnoda preia și reflectă înregistrările deja publice pentru a asigura accesibilitatea programatică a acestora.

Temeiul secundar: art. 6 alin. (1) lit. (f) din RGPD (interes legitim): pentru funcțiile analitice (căutare semantică, indicatori de nereguli, clasamente). Analiza interesului legitim (testul de echilibrare) este documentată în DPIA-ul nostru; subiecții analizați sunt în principal persoane juridice (autorități și societăți comerciale), dar includ și persoane fizice în cazul titularilor de PFA / II / IF, exclusiv prin denumirea publică din registru.

Pentru screening-ul de sancțiuni, temeiul principal este art. 6 alin. (1) lit. (f) din RGPD (interes legitim, pentru a permite clienților serviciului să prevină încălcarea regimurilor de sancțiuni), susținut de art. 6 alin. (1) lit. (e) din RGPD. Oglindim liste publice oficiale; această activitate NU constituie o prelucrare a datelor privind condamnări penale (art. 10), întrucât o măsură restrictivă de sancțiuni nu este o condamnare penală.

Pentru ANAF, temeiul juridic este bazat pe art. 6 alin. (1) lit. (e) și (f) din RGPD, datele provenind din registrele publice ANAF (registrul persoanelor impozabile înregistrate în scopuri de TVA; lista obligațiilor fiscale restante publicată în temeiul art. 162 din Codul de procedură fiscală). Pentru titularii PFA, denumirea publică înregistrată este afișată ca informație din registrul public (CNP-ul fiind redactat, iar adresa putând fi restrânsă).

Pentru portal.just.ro, temeiul principal este art. 6 alin. (1) lit. (e) din RGPD (interes public, legat de transparența actului de justiție și accesul public la portalul ECRIS), coroborat cu art. 6 alin. (1) lit. (f) din RGPD pentru agregarea litigiilor în funcție de CUI. Pseudonimizarea numelor persoanelor fizice în datele furnizate reprezintă principala măsură de protecție; datele referitoare la condamnări penale și infracțiuni (art. 10) nu sunt expuse ca atare.

Pentru Ministerul Finanțelor, temeiul principal este art. 6 alin. (1) lit. (e) din RGPD (interes public: ministerul publică fișierele cu situațiile financiare anuale ca date deschise pe data.gov.ro, sub licența OGL-ROU-1.0), în coroborare cu art. 6 alin. (1) lit. (f) pentru semnalul agregat de due diligence. Situațiile financiare ale persoanelor fizice nu sunt afișate.

4. Destinatari și împuterniciți

Datele sunt puse la dispoziția clienților prin intermediul platformei Apify Store (prin instrumente MCP și exporturi de seturi de date). Ne bazăm pe următorii împuterniciți (art. 28 din RGPD):

Persoană împuternicită	Rol / Activitate	Locație / Jurisdicție
Apify	Executarea codului (actori) și distribuția prin Apify Store	SUA
Cloudflare	Stocare în Cloudflare R2, rutare e-mail și găzduirea acestui site web	SUA (stocare localizată în UE pentru R2)
Hetzner	Putere de calcul (orchestrare) și stocare baze de date	Germania / UE

5. Transferuri internaționale

Transferurile de date către Apify (SUA) și Cloudflare (SUA) sunt acoperite și fundamentate pe Clauzele Contractuale Standard (SCC) incluse în acordurile de prelucrare a datelor (DPA) semnate cu fiecare furnizor. Serviciile Hetzner sunt localizate în întregime în interiorul UE, nefiind necesare clauze contractuale standard.

6. Perioada de stocare

Pentru SEAP: arhiva pe termen lung (Cloudflare R2) este păstrată timp de 7 ani, în conformitate cu obligațiile legale de păstrare a documentației de achiziții publice prevăzute de Legea nr. 98/2016. Memoria cache operațională (baza de date activă) este reținută pentru maximum 100 de zile. Orice sursă viitoare va avea o perioadă de stocare specifică și documentată corespunzător.

Pentru listele de sancțiuni: stocăm exclusiv instantaneul (snapshot-ul) curent, care este înlocuit integral la fiecare actualizare zilnică, fără a păstra un istoric al modificărilor. Dacă o entitate este eliminată din lista oficială la sursă, aceasta va dispărea automat din sistemul nostru la următoarea actualizare.

Pentru ANAF: datele de arhivă (Cloudflare R2) sunt păstrate 5 ani, iar memoria cache operațională (baza de date) cel mult 100 de zile.

Pentru portal.just.ro: datele istorice de arhivă (Cloudflare R2) sunt păstrate timp de 3 ani (fereastra istorică a evidențelor judiciare); memoria cache operațională (baza de date) este reținută pentru maximum 100 de zile (perioadă în care conține numele complete utilizate exclusiv pentru procesarea internă, fără a fi vreodată transmise sau afișate clienților).

Pentru Ministerul Finanțelor: păstrăm instantaneul anual, înlocuit pe loc la fiecare nouă preluare (schimb atomic); nu acumulăm un istoric per înregistrare dincolo de exercițiile financiare publicate. Pentru această sursă nu există o arhivă Cloudflare R2.

7. Drepturile dumneavoastră

Beneficiați de toate drepturile prevăzute de RGPD: dreptul de acces (art. 15), dreptul la rectificare (art. 16), dreptul la ștergerea datelor („dreptul de a fi uitat”) (art. 17), dreptul la restricționarea prelucrării (art. 18), dreptul la portabilitatea datelor (art. 20) și dreptul la opoziție (art. 21). Pentru a vă exercita aceste drepturi, ne puteți scrie la adresa privacy@apnoda.com. Vom răspunde solicitării dumneavoastră în termen de maximum 30 de zile (art. 12 alin. (3) din RGPD).

Vă rugăm să aveți în vedere că, în cazul datelor provenite din registre publice, exercitarea anumitor drepturi poate fi limitată; spre exemplu, ștergerea datelor (art. 17) nu se aplică atunci când prelucrarea este necesară pentru îndeplinirea unei obligații legale (art. 17 alin. (3) lit. (b)), iar rectificarea datelor oficiale trebuie realizată direct la sursă (de către autoritatea contractantă în SEAP).

Pentru listele de sancțiuni: solicitarea de ștergere (art. 17) în cazul unei persoane care este încă înscrisă pe listă va fi respinsă în temeiul art. 17 alin. (3); singura soluție este radierea/delistarea de către autoritatea emitentă (UE / OFAC / ONU / UK / SECO), după care înregistrarea va dispărea din sistemul nostru la următoarea actualizare zilnică. Aceste solicitări sunt evaluate manual la privacy@apnoda.com.

Pentru ANAF: fiind date preluate din registre publice (privind persoane juridice și titulari PFA), rectificarea se efectuează la sursă (ANAF), iar dreptul la ștergere (art. 17) are o aplicabilitate limitată legal.

Pentru portal.just.ro: dreptul la ștergere (art. 17) este aplicabil din punct de vedere material; o solicitare legitimă va duce la eliminarea înregistrării respective din arhivă (cu păstrarea unei mărci de ștergere/tombstone), cererea fiind soluționată manual la privacy@apnoda.com.

Pentru Ministerul Finanțelor: situațiile financiare ale persoanelor fizice (PFA / II / IF) nu sunt niciodată afișate, iar accesul este reținut și în situația în care tipul de persoană nu poate fi confirmat. Fișierele preluate de la sursă sunt însă păstrate integral; o solicitare legitimă cu privire la acestea este soluționată manual la privacy@apnoda.com. Rectificarea se efectuează la sursă (Ministerul Finanțelor), în calitate de emitent al înregistrării.

Decizii automate și crearea de profiluri (art. 22). Nu luăm decizii bazate exclusiv pe prelucrare automată care să producă efecte juridice asupra dumneavoastră sau să vă afecteze în mod similar într-o măsură semnificativă și nu realizăm activități de creare de profiluri. Serviciile noastre returnează fapte provenite din registre publice, împreună cu data la care au fost preluate; acestea nu produc un scor, un rating, o evaluare a bonității sau un verdict cu privire la o persoană ori la o firmă. Interpretarea acestor date și orice decizie luată pe baza lor revin în întregime celui care le utilizează.

8. Dreptul de a depune o plângere

De asemenea, aveți dreptul de a depune o plângere în fața Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), accesând site-ul oficial www.dataprotection.ro.

← Înapoi la pagina principală

Privacy Notice

Last updated: 2026-08-11 · Version 1.9

1. Data controller

The controller of personal data is Adrian Popa, who operates the apnoda services in Romania. For any data-protection request, including to exercise your rights, you can contact us by email at privacy@apnoda.com.

We have not appointed a Data Protection Officer (DPO), as the criteria under Art. 37(1) GDPR are not met: we process only data from public registers, with no large-scale systematic monitoring.

2. What data we process

The apnoda services collect (by automated extraction / "scraping") and redistribute data from the public registers of Central and Eastern Europe. As of this version, the active sources are:

Source	Data processed	Data subjects
SEAP / e-licitatie.ro (Romanian public procurement)	Data on legal entities (tax ID / CUI, entity name, CPV code, contract value, deadlines and calendar dates). Where a winner is a sole trader (PFA / II / IF), the holder's official registered name (a natural person's name) is published, information taken from the public procurement register (Law 98/2016). Contact details (phone, fax, email, contact person), the CNP (personal numeric code), and the full address (street, postal code) are permanently removed at the point of collection, before storage.	Legal entities (contracting authorities and winning companies) and natural persons who are PFA / II / IF sole-trader winners, identified by their public registered name (minimized data: no CNP, no contact details, no address).
Sanctions screening (official EU FSF / OFAC / UN / UK / SECO lists)	Names and aliases of sanctioned entities and persons, taken exactly from the official public lists (programme, list, reference number, date). These are used solely to check a company's legal name (identified internally from its CUI) against those lists. The service is queried by CUI only, with no option to search by name.	Natural and legal persons entered on the official international sanctions lists. Matching in v1 is performed at the legal-entity level. For this source we maintain a dedicated Data Protection Impact Assessment (DPIA).
ANAF (company fiscal data, VIES / VAT / inactive / arrears)	Data on legal entities, queried by CUI: name, VAT status, fiscal-inactive status, and presence on the public lists of outstanding tax arrears (the amounts owed). For entities treated as natural persons (PFA / II / IF), the registered name (the holder's public name) is shown as information from a public register; the CNP is redacted, and the address may be narrowed to county/locality only. Queried by CUI only.	Natural persons (PFA / II / IF sole traders, by their public registered name) and legal entities, according to data from the public ANAF registers.
portal.just.ro (court case-file metadata)	Metadata of cases on the dockets of the Romanian courts: the names and roles of the parties, case number, subject/category (including criminal matters, data on convictions / offences under Art. 10), stage, court, hearing dates. The public view shown pseudonymizes the names of natural persons (using unique per-case identifiers); legal entities, sole-trader (PFA) structures, and public institutions are shown as such. Full names are kept only in the internal access-controlled archive and are never accessible to the public. Searched by: CUI / case number / date, with no name search.	Natural persons (parties to cases) and legal entities. For this source we maintain a dedicated Data Protection Impact Assessment (DPIA).
Ministry of Finance (annual financial statements / bilanț)	Filed annual financial statements, identified by CUI: net turnover, net profit or net loss, net result, average headcount, and total liabilities, for each fiscal year. The files the Ministry publishes carry no per-CUI classification of person type, which is why they are ingested in full. The financial statements of natural persons (PFA / II / IF sole traders) are never shown: the exclusion is applied at the point of delivery, and a CUI that cannot be confirmed as a legal entity is likewise withheld, absent evidence to the contrary. Queried by CUI only.	Legal entities. Data on natural persons (PFA / II / IF sole traders) may be present in the files ingested from the source but is not shown; it carries the same rights and the same erasure rules as the rest of the data in section 7.

As we launch additional sources (ONRC, BPI, Monitorul Oficial, ANCPI, etc.), each will be included here with its specific details, together with its own Impact Assessment (DPIA) where that source contains personal data.

3. Lawful basis

Primary basis: Art. 6(1)(e) GDPR (performance of a task carried out in the public interest): Law 98/2016 on public procurement requires contracting authorities to publish notices on SEAP/SICAP. apnoda takes and reflects the already-public records to make them programmatically accessible.

Secondary basis: Art. 6(1)(f) GDPR (legitimate interests): for the analytical features (semantic search, irregularity indicators, rankings). The legitimate-interests analysis (balancing test) is documented in our DPIA; the subjects analysed are mainly legal persons (authorities and companies), but also include natural persons in the case of PFA / II / IF holders, solely through the public registered name.

For sanctions screening, the primary basis is Art. 6(1)(f) GDPR (legitimate interests, to allow the service's customers to prevent breaches of sanctions regimes), supported by Art. 6(1)(e) GDPR. We mirror official public lists; this activity does NOT constitute processing of personal data relating to criminal convictions (Art. 10), since a restrictive sanctions measure is not a criminal conviction.

For ANAF, the legal basis rests on Art. 6(1)(e) and (f) GDPR, the data coming from the public ANAF registers (the register of taxable persons registered for VAT; the list of outstanding tax arrears published under Art. 162 of the Fiscal Procedure Code). For PFA holders, the public registered name is shown as information from the public register (with the CNP redacted and the address potentially narrowed).

For portal.just.ro, the primary basis is Art. 6(1)(e) GDPR (public interest, related to the transparency of justice and public access to the ECRIS portal), in conjunction with Art. 6(1)(f) GDPR for aggregating litigation by CUI. Pseudonymization of the names of natural persons in the data provided is the principal safeguard; data relating to criminal convictions and offences (Art. 10) is not exposed as such.

For the Ministry of Finance, the primary basis is Art. 6(1)(e) GDPR (public interest: the Ministry publishes the annual financial-statement files as open data on data.gov.ro under the OGL-ROU-1.0 licence), in conjunction with Art. 6(1)(f) for the aggregated due-diligence signal. The financial statements of natural persons are not shown.

4. Recipients and processors

The data is made available to customers through the Apify Store platform (via MCP tools and dataset exports). We rely on the following processors (Art. 28 GDPR):

Processor	Role / Activity	Location / Jurisdiction
Apify	Code execution (actors) and distribution through Apify Store	US
Cloudflare	Storage in Cloudflare R2, email routing, and hosting of this website	US (EU-localized storage for R2)
Hetzner	Compute (orchestration) and database storage	Germany / EU

5. International transfers

Transfers of data to Apify (US) and Cloudflare (US) are covered and grounded on the Standard Contractual Clauses (SCCs) included in the data processing agreements (DPAs) signed with each provider. Hetzner's services are located entirely within the EU, so no standard contractual clauses are required.

6. Retention period

For SEAP: the long-term archive (Cloudflare R2) is retained for 7 years, in line with the legal obligation to retain public-procurement documentation under Law 98/2016. The operational cache (the active database) is retained for at most 100 days. Any future source will have its own specific, duly documented period.

For the sanctions lists: we store only the current snapshot, which is replaced in full at each daily refresh, with no change history retained. If an entity is removed from the official list at the source, it disappears automatically from our system at the next refresh.

For ANAF: the archive data (Cloudflare R2) is retained 5 years, and the operational cache (database) at most 100 days.

For portal.just.ro: the historical archive data (Cloudflare R2) is retained for 3 years (the court-record window); the operational cache (database) is retained for at most 100 days (during which it holds the full names used solely for internal processing, never transmitted to or displayed to customers).

For the Ministry of Finance: we keep the annual snapshot, replaced in place by each new ingest (an atomic swap); no per-record history is accumulated beyond the published fiscal years. There is no Cloudflare R2 archive for this source.

7. Your rights

You have all the rights provided by the GDPR: the right of access (Art. 15), the right to rectification (Art. 16), the right to erasure ("the right to be forgotten") (Art. 17), the right to restriction of processing (Art. 18), the right to data portability (Art. 20), and the right to object (Art. 21). To exercise these rights, you can write to us at privacy@apnoda.com. We will respond to your request within at most 30 days (Art. 12(3) GDPR).

Please note that, for data from public registers, the exercise of certain rights may be limited; for example, erasure (Art. 17) does not apply where processing is necessary for compliance with a legal obligation (Art. 17(3)(b)), and rectification of official data must be carried out directly at the source (by the contracting authority on SEAP).

For the sanctions lists: a request for erasure (Art. 17) for a person still on the list will be refused under Art. 17(3); the only remedy is removal/delisting by the issuing authority (EU / OFAC / UN / UK / SECO), after which the entry disappears from our system at the next daily refresh. Such requests are assessed manually at privacy@apnoda.com.

For ANAF: as data taken from public registers (concerning legal entities and PFA holders), rectification is carried out at the source (ANAF), and the right to erasure (Art. 17) has limited legal applicability.

For portal.just.ro: the right to erasure (Art. 17) is materially applicable; a legitimate request will lead to the removal of the relevant record from the archive (keeping a deletion marker/tombstone), the request being handled manually at privacy@apnoda.com.

For the Ministry of Finance: the financial statements of natural persons (PFA / II / IF sole traders) are never shown, and access is withheld equally where the person type cannot be confirmed. The files ingested from the source are nevertheless retained in full; a legitimate request concerning them is handled manually at privacy@apnoda.com. Rectification is made at the source (the Ministry of Finance), as the issuer of the record.

Automated decision-making and profiling (Art. 22). We do not make decisions based solely on automated processing that produce legal effects concerning you or similarly significantly affect you, and we do not carry out profiling activities. Our services return facts drawn from public registers, together with the date on which they were retrieved; they do not produce a score, a rating, a creditworthiness assessment, or a verdict concerning any person or company. Interpreting that data, and any decision taken on the basis of it, rests entirely with whoever uses it.

8. Right to lodge a complaint

You also have the right to lodge a complaint with the National Supervisory Authority for Personal Data Processing (ANSPDCP), by visiting the official website www.dataprotection.ro.

← Back to home