Politica de Confidențialitate

1. Sumar executiv (TL;DR)

În rezumat: Conținutul dosarelor (date persoane, vehicule, narațiuni, documente generate) rămâne exclusiv local pe dispozitiv — niciun text, imagine sau pasaj din dosarele tale nu părăsește telefonul. Singurele date care ies sunt adresa de email a Utilizatorului și status abonament, strict pentru procesarea plății și gestionarea abonamentului Pro (vezi secțiunea 7).

2. Cine suntem și ce face Aplicația

CaseClosed este o aplicație mobilă care asistă la redactarea documentelor procedurale specifice constatării evenimentelor rutiere. Aplicația rulează integral pe dispozitivul Utilizatorului, fără comunicare cu servere externe.

Important: Aplicația nu reprezintă o autoritate publică, instituție guvernamentală sau organism oficial. Este un produs privat, independent. Pentru detalii consultați Termenii și Condițiile, secțiunea 2.1.

3. Rolurile sub GDPR

3.1. Utilizatorul = OPERATOR de date

Întrucât Utilizatorul decide ce date introduce, în ce scop și pe ce dispozitiv, Utilizatorul este, în sensul art. 4 punct 7 din GDPR, operator de date cu caracter personal. Această calitate îi conferă:

Obligații (conform GDPR):

• Asigurarea unei baze legale pentru procesarea datelor (ex.: obligație legală, consimțământ, interes legitim)
• Respectarea principiilor de protecție a datelor (legalitate, corectitudine, minimizare, exactitate, integritate)
• Implementarea măsurilor tehnice și organizatorice adecvate
• Răspunsul la solicitările persoanelor vizate (acces, rectificare, ștergere, portabilitate)
• Notificarea autorităților competente în caz de incident de securitate (ANSPDCP, conform art. 33 GDPR)

Drepturi:

• Controlul exclusiv asupra datelor sale
• Decizia liberă privind utilizarea, exportul sau ștergerea datelor

3.2. Autorul Aplicației ≠ procesator de date

Autorul Aplicației NU procesează datele Utilizatorului în nicio formă. Aplicația funcționează integral local — autorul nu are acces tehnic sau juridic la conținutul dosarelor Utilizatorului.

În consecință, autorul nu este operator, procesator sau co-operator în sensul GDPR pentru datele introduse de Utilizator.

4. Ce date sunt colectate

Aplicația lucrează cu următoarele categorii de date — introduse manual sau scanate optic de Utilizator:

4.1. Date de identificare ale persoanelor (sensibile)

• Nume, prenume
• Cod Numeric Personal (CNP)
• Data nașterii, locul nașterii
• Adresă de domiciliu completă
• Sex
• Date carte de identitate (serie, număr, emitent, data emiterii)
• Număr de telefon
• Date despre părinți (nume tată/mamă)

4.2. Date despre vehicule

• Marcă, model, număr de înmatriculare
• Serie șasiu (VIN)
• Numele proprietarului
• Asigurare RCA, ITP

4.3. Date specifice evenimentului

• Locul, data, ora producerii
• Detalii medicale (diagnostic, leziuni, spital de transport — date sensibile conform GDPR)
• Rezultate testare alcool/drog (date sensibile)
• Statutul permisului de conducere
• Declarații, descrieri, observații

4.4. Date despre operatorii actelor procedurale

• Grad / titlu profesional
• Nume și prenume
• Apartenență instituțională (introdusă manual de Utilizator)
• Semnătură digitală (opțional)

4.5. Imagini

• Capturi cameră ale cărților de identitate (procesate offline)
• Capturi cameră ale certificatelor de înmatriculare
• Documente fotografiate auxiliar
• Semnături captate pe ecran

4.6. Categorii speciale GDPR (art. 9)

Anumite date introduse pot intra în categoriile speciale GDPR care necesită protecție întărită:

• Date privind sănătatea (diagnostic, leziuni)
• Date privind condamnări penale și infracțiuni (art. 10 GDPR)

Utilizatorul are obligația specială de a se asigura că:

• Există o bază legală suficientă pentru procesarea acestora
• Sunt aplicate măsuri proporționate de protecție

5. Cum sunt stocate datele

5.1. Locație fizică

Toate datele sunt stocate exclusiv pe dispozitivul mobil al Utilizatorului, în memoria internă (storage privat al aplicației). Nu există:

• Servere de cloud (Aplicația nu are cloud)
• Backup-uri automate către servicii externe
• Sincronizare între dispozitive
• Replicare distribuită

5.2. Criptare locală

Datele sensibile sunt criptate cu algoritm AES (standard industrie) înainte de stocare în AsyncStorage (mecanismul de stocare al sistemului). Cheia de criptare este derivată local pe dispozitiv.

5.3. Acces biometric

Aplicația oferă protecție suplimentară prin blocare biometrică (Face ID, Touch ID, amprentă). La 5 minute de inactivitate, Aplicația se blochează automat și necesită autentificare biometrică pentru a continua.

5.4. Permisiuni solicitate

Aplicația NU solicită permisiuni pentru: locație, contacte, mesaje, microfon, calendar, notificări push externe, identificator publicitar.

6. Cum NU sunt utilizate datele

Conținutul dosarelor (date persoane vizate, vehicule, narațiuni, documente generate) NU:

• Este transmis către servere externe proprii sau ale terților
• Este procesat prin servicii de analytics (Google Analytics, Firebase Analytics, Mixpanel, Amplitude etc.)
• Este folosit de SDK-uri de tracking sau profilare
• Este inclus în rapoarte de erori automate (crash reports) trimise către servere
• Este procesat prin inteligență artificială cloud (toată procesarea OCR și narativă rulează offline)
• Este partajat cu rețele de publicitate
• Este vândut, închiriat sau partajat cu părți terțe
• Este folosit pentru marketing direct
• Servește la crearea de profile comportamentale ale Utilizatorului

Singurele date care părăsesc dispozitivul sunt cele descrise în secțiunea 7 — strict pentru gestionarea abonamentului Pro.

7. Date colectate pentru gestionarea abonamentului Pro

CaseClosed este o aplicație cu abonament Pro (lunar / 3 luni / 6 luni / anual). Pentru gestionarea acestui abonament, sunt necesare următoarele date minime:

7.1. Date colectate

7.2. Procesatori terți (Sub-procesatori GDPR)

CaseClosed folosește următorii sub-procesatori, fiecare cu propria politică de confidențialitate și conformitate GDPR:

Google Play Billing (Google Ireland Limited)

• Rol: procesator plată pentru Utilizatorii Android
• Date primite: email cont Google, sumă, frecvență, card bancar
• Date NU primite: conținut dosare, date persoane vizate, documente generate
• Politică: policies.google.com/privacy

Apple App Store Billing (Apple Distribution International Limited)

• Rol: procesator plată pentru Utilizatorii iOS
• Date primite: email Apple ID, sumă, frecvență, card bancar
• Date NU primite: conținut dosare, date persoane vizate, documente generate
• Politică: apple.com/legal/privacy

RevenueCat, Inc. (San Francisco, California, US)

• Rol: intermediar tehnic pentru sincronizarea status abonament între aplicație și magazinele de aplicații
• Date primite: email Utilizator (ca atribut customer), identificator App User ID (anonim auto-generat sau cod de tip reviewer/ambasador), status abonament, tip plan, identificator anonim dispozitiv
• Date NU primite: conținut dosare, date persoane vizate, documente generate, card bancar
• Politică: revenuecat.com/privacy
• Transfer extra-UE: RevenueCat e procesator american. Transferul de date (email + status abonament) către US se face în baza Standard Contractual Clauses (SCCs) aprobate de Comisia Europeană și a politicii Data Processing Addendum (DPA) RevenueCat.

7.3. Lipsa transferului de conținut dosar către sub-procesatori

Nici Google, nici Apple, nici RevenueCat NU primesc conținutul dosarelor Utilizatorului. Toate datele introduse despre persoane vizate, vehicule și evenimente rămân integral pe dispozitivul Utilizatorului, criptate cu AES.

7.4. Durată de păstrare date abonament

7.5. Solicitare ștergere date abonament

Utilizatorul poate solicita ștergerea email-ului și a istoricului abonament din RevenueCat trimițând un email la legal@caseclosed.ro. Cererea va fi procesată în maximum 30 zile, conform art. 17 GDPR (dreptul la ștergere).

Limitare: datele de plată stocate de Google/Apple pentru audit fiscal NU pot fi șterse până la expirarea perioadei legale (~7 ani), conform reglementărilor fiscale aplicabile.

8. Procesarea offline a imaginilor (OCR)

Aplicația folosește Google ML Kit Text Recognition pentru extragerea de text din imagini (scanare CI și certificate). Această procesare se face integral pe dispozitiv (on-device):

• Modelele ML rulează local
• Imaginile NU sunt încărcate către servere Google sau alte servicii
• Textul extras rămâne pe dispozitiv

ML Kit este un SDK Google care funcționează offline pentru recunoaștere text. Documentația oficială Google confirmă procesarea on-device pentru acest model. Nicio imagine sau date OCR nu părăsesc dispozitivul.

9. Drepturile Utilizatorului ca persoană vizată

Utilizatorul are toate drepturile conferite de GDPR pentru propriile date:

9.1. Dreptul de acces (art. 15 GDPR)

Toate datele sunt accesibile direct prin interfața Aplicației. Utilizatorul vede integral dosarele salvate.

9.2. Dreptul de rectificare (art. 16 GDPR)

Orice date pot fi editate liber prin interfața Aplicației.

9.3. Dreptul la ștergere („dreptul de a fi uitat" — art. 17 GDPR)

• Dosare individuale pot fi șterse din interfață (lista de dosare → swipe → șterge)
• Toate datele pot fi șterse prin dezinstalarea Aplicației
• Resetarea aplicației din setări sistem șterge integral datele

9.4. Dreptul la portabilitatea datelor (art. 20 GDPR)

Aplicația oferă export al documentelor în formate PDF și DOCX. Datele structurate pot fi exportate ca fișiere standard, transferabile către alte sisteme.

9.5. Dreptul de opoziție (art. 21 GDPR)

Utilizatorul poate opri oricând utilizarea Aplicației prin dezinstalare.

9.6. Drepturile persoanelor vizate de Utilizator

Pentru datele introduse despre terți (persoane implicate în dosare), persoanele vizate (terții) își pot exercita drepturile GDPR direct la Utilizator, care este operatorul lor de date conform secțiunii 3.1. Autorul Aplicației nu poate da curs unor astfel de solicitări, întrucât nu are acces la date.

10. Securitatea datelor

9.1. Măsuri tehnice implementate

• Criptare AES a datelor sensibile în storage
• Blocare biometrică la 5 minute inactivitate
• Stocare strict în sandboxul Aplicației (izolată de alte aplicații prin sistem operare)
• Generare locală a cheilor — nicio cheie nu părăsește dispozitivul

9.2. Măsuri recomandate Utilizatorului

Utilizatorul este responsabil de implementarea următoarelor măsuri suplimentare:

• Activarea PIN / Face ID / Touch ID la nivel de sistem
• Actualizarea regulată a sistemului de operare al dispozitivului
• Evitarea instalării de aplicații nesigure care ar putea compromite sandbox-ul
• Backup periodic manual (export PDF/DOCX) al documentelor importante
• Ștergerea sigură a Aplicației înainte de cedarea sau eliminarea dispozitivului
• Folosirea unui dispozitiv securizat profesional pentru activitatea oficială

9.3. Limitări

Nicio măsură tehnică nu garantează securitate absolută. În caz de pierdere, furt sau compromitere a dispozitivului, datele locale pot fi expuse. Utilizatorul are obligația notificării autorităților competente (ANSPDCP) în maximum 72 de ore în caz de incident de securitate, conform art. 33 GDPR.

11. Transferuri internaționale de date

11.1. Conținut dosare — fără transfer

Conținutul dosarelor Utilizatorului (date persoane vizate, vehicule, narațiuni, documente) NU este transferat în afara dispozitivului. Toate aceste date rămân în jurisdicția fizică a Utilizatorului.

11.2. Date abonament — transfer reglementat către US (RevenueCat)

Email-ul Utilizatorului și status abonament sunt procesate de RevenueCat, Inc. (San Francisco, California, US — vezi secțiunea 7.2). Transferul acestor date din UE către US se face în baza:

• Standard Contractual Clauses (SCCs) aprobate de Comisia Europeană (Decizia 2021/914 a Comisiei)
• Data Processing Addendum (DPA) semnat între Operator și RevenueCat
• Garanțiile suplimentare prevăzute de RevenueCat pentru protecția datelor (SOC 2 Type II certification)

11.3. Date plată — transfer reglementat (Google / Apple)

Datele de plată sunt transferate către Google Ireland Limited (UE) sau Apple Distribution International Limited (UE) pentru utilizatorii Android, respectiv iOS. Aceste entități pot transfera ulterior datele către sediile lor din US, sub regimul de protecție EU-US Data Privacy Framework.

12. Durata de păstrare a datelor

Aplicația nu impune o durată de păstrare. Datele rămân pe dispozitiv până când Utilizatorul:

• Le șterge manual
• Dezinstalează Aplicația
• Resetează dispozitivul

Utilizatorul are obligația de a stabili o durată de păstrare adecvată pentru categoriile de date prelucrate, conform principiului minimizării GDPR (art. 5 alin. (1) lit. e).

13. Date minori

Aplicația nu este destinată utilizării de către minori. În măsura în care în dosarele Utilizatorului apar date despre minori (ex.: pieton minor implicat într-un accident), Utilizatorul are obligația de a aplica protecția specială prevăzută de GDPR (art. 8) și legislația națională aplicabilă.

14. Cookies și tehnologii similare

Aplicația nu utilizează cookies. Este o aplicație mobilă nativă (React Native + Expo), fără componente web care să stocheze cookies.

Aplicația nu utilizează:

• Identificatori publicitari (IDFA, GAID)
• Fingerprinting de dispozitiv
• Local Storage pentru tracking
• Pixel-uri de tracking

15. Modificări ale Politicii de Confidențialitate

Această Politică poate fi actualizată periodic. Modificările vor fi efective de la data publicării noii versiuni. Versiunile anterioare pot fi păstrate pentru consultare în secțiunea „Despre" din Aplicație.

În caz de modificări substanțiale care afectează modul de procesare a datelor, Utilizatorul va fi notificat la prima deschidere a Aplicației după actualizare.

16. Autoritate de supraveghere

În România, autoritatea competentă pentru protecția datelor cu caracter personal este:

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

• Adresa: B-dul G-ral. Gheorghe Magheru nr. 28-30, Sector 1, București
• Web: dataprotection.ro

Utilizatorul are dreptul să depună plângere la această autoritate dacă consideră că drepturile sale GDPR au fost încălcate.

17. Contact

Pentru întrebări referitoare la această Politică, contactați autorul prin canalele indicate în secțiunea „Despre" din Aplicație sau direct la următoarele adrese:

• legal@caseclosed.ro — cereri GDPR (acces, ștergere, portabilitate, opoziție), întrebări despre prelucrarea datelor
• support@caseclosed.ro — probleme tehnice cu Aplicația, cont, abonament
• contact@caseclosed.ro — întrebări generale, comerciale, parteneriate

Pentru exercitarea drepturilor GDPR (art. 15–22 Regulamentul 2016/679), folosiți legal@caseclosed.ro. Cererile se procesează în maximum 30 zile.

18. Declarație finală

Prin instalarea și utilizarea Aplicației CaseClosed, confirmați că:

1. Ați citit și înțeles această Politică de Confidențialitate
2. Acceptați rolul de operator de date pentru datele pe care le introduceți
3. Înțelegeți că autorul Aplicației nu are acces la datele dumneavoastră
4. Sunteți responsabil pentru securitatea dispozitivului și a datelor stocate local
5. Vă veți exercita activitatea de procesare a datelor în conformitate cu GDPR și legislația națională aplicabilă

Această Politică este redactată în conformitate cu Regulamentul (UE) 2016/679 (GDPR), Legea nr. 190/2018 privind măsurile de punere în aplicare a GDPR în România, și principiile de bună practică în domeniul protecției datelor cu caracter personal.