Notă de informare privind datele personale ale persoanelor care apar în datele noastre despre statutul firmelor din România și despre achiziții publice

Versiunea 0.3, 7 octombrie 2026.

Această notă explică modul în care PPFTEC S.R.L. prelucrează date cu caracter personal în:

• două instrumente de date („actori”) oferite pe platforma Apify: Romania company status (ANAF) (ro-company-status) și Romania direct purchases & contracts (ro-procurement-monitor); și
• copia noastră a datelor de achiziții, pe care o pregătim din date publice și pe care numai actorul de achiziții o poate citi.

Se adresează în principal persoanelor care desfășoară o activitate economică în România ca persoană fizică (PFA, II, IF sau profesie liberală) și persoanelor al căror nume apare în datele de achiziții publice din România.

1. Cine suntem

PPFTEC S.R.L., Str. Patriarh Iustinian Marina nr. 17-19B, bl. DC12, mansardă, ap. 25, Râmnicu Vâlcea, jud. Vâlcea, 240469, România. CUI 55537142, nr. de înregistrare în registrul comerțului J2026052999008. Site: https://ppftec.com. E-mail: support@ppftec.com.

Nu am desemnat un responsabil cu protecția datelor. Pentru orice aspect din această notă, scrieți la support@ppftec.com.

Cine răspunde de ce

• Noi suntem operatorul pentru copia datelor de achiziții pe care o pregătim și o furnizăm actorului nostru, pentru lista persoanelor care s-au opus (lista de blocare) și pentru jurnalele serviciului nostru de limitare a ritmului. Numai noi decidem asupra acestora.
• Clienții noștri sunt operatorii propriilor rulări. O firmă care rulează unul dintre actorii noștri decide ale cui date sunt verificate sau căutate, când și de ce, și răspunde de rezultatele pe care le păstrează.
• Acționăm în numele unui client (ca persoană împuternicită) numai dacă prelucrăm datele unei rulări pentru client, de exemplu când clientul ne partajează o rulare pentru asistență.
• Noi am creat actorii și stabilim ce date preiau, livrează și elimină. Răspundem de această notă și de soluționarea opozițiilor.

2. Despre ale cui date este vorba

Datele despre societăți, instituții publice și alte persoane juridice nu sunt date cu caracter personal. Nota privește:

• activitățile desfășurate de persoane fizice: persoane fizice autorizate (PFA), întreprinderi individuale (II), întreprinderi familiale (IF) și profesii liberale înregistrate la ANAF. Codul fiscal (CUI) și denumirea acestora identifică o persoană, deci sunt date cu caracter personal;
• persoanele numite în datele de achiziții: numele unei persoane poate face parte din denumirea unei firme (de exemplu o firmă care poartă numele fondatorului) sau poate fi scris în descrierea liberă a unei achiziții ori a unui contract.

3. De unde provin datele

Statutul firmelor. Actorul de verificare a statutului folosește serviciul web public al Agenției Naționale de Administrare Fiscală (ANAF) pentru verificarea contribuabililor, PlatitorTvaRest versiunea 9 (https://webservicesp.anaf.ro/api/PlatitorTvaRest/v9/tva). Este o sursă accesibilă publicului. Registrele din spatele serviciului sunt publice prin lege și se afișează pe site-ul ANAF: registrul persoanelor înregistrate în scopuri de TVA (Codul fiscal, art. 316 alin. (15)), registrul persoanelor care aplică sistemul TVA la încasare (Codul fiscal, art. 324 alin. (16)) și registrul contribuabililor inactivi/reactivați (Codul de procedură fiscală, art. 92 alin. (11)).

Actorul verifică numai codurile fiscale introduse sau încărcate de un client. Nu listează și nu copiază registrul, iar toți utilizatorii împreună trimit cel mult o cerere pe secundă către ANAF.

Datele de achiziții. Actorul de achiziții și copia noastră folosesc seturile de date trimestriale „Achizițiile publice” (exporturi din sistemul electronic de achiziții publice SEAP), publicate de Autoritatea pentru Digitalizarea României (ADR) pe data.gov.ro, de exemplu https://data.gov.ro/dataset/achizitii-publice-2026, sub licența Creative Commons Atribuire 4.0 (CC BY 4.0). Este o sursă accesibilă publicului. Fiecare înregistrare din copia noastră păstrează adresa fișierului original și momentul în care l-am descărcat.

4. Ce date sunt prelucrate

4.1 Statutul firmelor (ro-company-status)

Livrate clientului, pentru o activitate desfășurată de o persoană fizică:

• codul fiscal (CUI) și denumirea (care de regulă conține numele persoanei);
• județul și localitatea sediului și ale domiciliului fiscal;
• numărul de înregistrare în registrul comerțului, codul CAEN, forma juridică și forma de organizare, organul fiscal competent;
• starea și data înregistrării; înregistrarea în scopuri de TVA și perioadele aferente; TVA la încasare; datele de inactivare, reactivare și radiere; plata defalcată a TVA; înregistrarea în Registrul RO e-Factura.

Primite de la ANAF și șterse imediat, niciodată livrate: telefonul, faxul, IBAN-ul, strada, numărul, detaliile adresei și codul poștal.

Niciodată prelucrat: codul numeric personal (CNP). Valorile de 13 cifre sunt refuzate înainte de orice cerere către ANAF. Dacă într-un răspuns ANAF apare o valoare care seamănă cu un CNP, aceasta este eliminată.

4.2 Datele de achiziții (ro-procurement-monitor și copia noastră)

Păstrate în copia noastră și livrate de actorul de achiziții, pentru fiecare achiziție, anunț sau contract: denumirea și codul fiscal ale autorității contractante; titlul sau descrierea, codul și denumirea CPV, tipul contractului, valoarea, moneda și datele; celelalte coloane ale exportului (de exemplu dacă se folosesc fonduri europene); și denumirea și codul fiscal ale furnizorului câștigător numai când denumirea conține o formă juridică clară de persoană juridică (de exemplu SRL, SA, o instituție publică sau o formă de societate străină).

Eliminate înainte ca datele să intre în copia noastră:

• denumirea și codul fiscal ale oricărui furnizor care nu este în mod clar o persoană juridică: PFA, II, IF, profesii liberale (de exemplu cabinete medicale sau de avocatură individuale, executori judecătorești, notari) și orice denumire fără formă juridică. Regula elimină mai degrabă prea mult decât prea puțin;
• identificatorii de furnizor cu 13 sau mai multe cifre, care pot fi coduri numerice personale;
• adresele de e-mail, numerele de telefon din România și codurile numerice personale (CNP) din textul liber, care sunt înlocuite cu „[redacted]”.

Nu sunt eliminate automat: numele unei persoane care face parte din denumirea unei firme (de exemplu o societate cu asociat unic care poartă numele proprietarului) și numele persoanelor scrise în descrieri libere. Dacă acest lucru vă privește, spuneți-ne și le eliminăm, fără să vă cerem dovezi (secțiunea 9).

5. De ce și în ce temei

Temeiul juridic pentru toate prelucrările din această notă: interesul legitim, art. 6 alin. (1) lit. f) din Regulamentul (UE) 2016/679 (GDPR).

5.1 Statutul firmelor

• Interesul clienților noștri: să verifice un furnizor sau un client înainte de facturare, plată sau începerea colaborării. Potrivit Codului fiscal (art. 11 alin. (7) și art. 316 alin. (9)), cumpărătorul poate pierde dreptul de deducere a cheltuielilor și a TVA dacă furnizorul este inactiv sau are înregistrarea în scopuri de TVA anulată. Potrivit Codului de procedură fiscală (art. 92 alin. (13)), inactivitatea produce efecte față de terți din ziua următoare înscrierii în registru. Statutul RO e-Factura îi arată clientului cum să transmită facturile electronice.
• Interesul nostru: să oferim un instrument fiabil pentru aceste verificări, cu sursa și momentul interogării pe fiecare rezultat.
• Echilibrul: datele sunt publicate prin lege tocmai pentru ca terții să se poată baza pe ele. Livrăm numai date de statut, plus denumirea și localitatea, necesare pentru a identifica activitatea corectă. Eliminăm datele de contact, datele bancare și adresa stradală. Nu păstrăm nicio copie. Vă puteți opune oricând (secțiunea 9).

5.2 Datele de achiziții

• Interesele: datele de achiziții publice sunt publicate pentru ca oricine să poată vedea cum se cheltuiesc banii publici. Clienții noștri (echipe de ofertare, consultanți, jurnaliști, cercetători) le folosesc pentru a dimensiona piețe, a pregăti oferte și a studia cheltuielile publice. Interesul nostru este să oferim aceste date într-o formă curată și structurată. data.gov.ro nu acceptă conexiuni de pe platforma pe care rulează actorul nostru. De aceea descărcăm fișierele pe propriul nostru calculator din România, le minimizăm și păstrăm copia minimizată pe servere din Uniunea Europeană, unde numai actorul nostru o poate citi.
• Dreptul de reutilizare: ADR publică fișierele sub licența CC BY 4.0, iar Legea nr. 179/2022 privind datele deschise și reutilizarea informațiilor din sectorul public permite reutilizarea lor. Niciuna nu înlocuiește legislația privind protecția datelor. De aceea eliminăm furnizorii persoane fizice și datele de contact înainte ca ceva să intre în copia noastră.
• Echilibrul: copia noastră conține mai puțin decât sursa: niciun furnizor persoană fizică și nicio dată de contact. Nu este publică: numai actorul nostru o poate citi, fiecare client primește numai înregistrările care corespund căutării sale și nimeni nu poate căuta pe internet numele unei persoane în ea. Nu păstrăm o înregistrare mai mult timp decât o afișează data.gov.ro și păstrăm cel mult ultimele 8 trimestre. Vă puteți opune oricând și eliminăm datele dumneavoastră în cel mult 24 de ore (secțiunea 9).

6. Ce nu facem

• Nu construim o bază de date sau o arhivă despre persoane fizice. Copia noastră a datelor de achiziții este o copie privată a datelor publice despre contracte, din care furnizorii persoane fizice sunt eliminați, și este folosită numai pentru a furniza date actorului nostru.
• Nu combinăm aceste date cu alte surse și nu creăm profiluri, scoruri sau clasamente ale persoanelor. Nimeni nu poate căuta în datele noastre după numele unei persoane.
• Nu folosim datele pentru marketing sau pentru liste de contacte și le interzicem clienților să o facă.
• În modul de monitorizare (verificarea repetată a listei unui client), activitățile desfășurate de persoane fizice nu sunt monitorizate: nu se stochează nimic despre ele și nu se trimit alerte de schimbare a statutului.

7. Cine primește datele

• Clientul care a rulat un actor. Fiecare rulare are loc în contul Apify al clientului, iar rezultatele rămân acolo. Pentru datele de achiziții, clientul primește numai înregistrările care corespund căutării sale, nu întreaga noastră copie. Clientul decide cât timp păstrează rezultatele și cu cine le partajează. Un client care păstrează rezultatele răspunde pentru ele conform GDPR, inclusiv pentru propria obligație de a vă informa.
• Furnizorii noștri de servicii. Apify (Apify Technologies s.r.o., Republica Cehă) rulează actorii: rularea unui client, în baza contractului dintre client și Apify, iar construirea și găzduirea actorilor noștri (inclusiv lista de blocare), în baza contractului nostru cu Apify. Cloudflare stochează copia noastră a datelor de achiziții în Uniunea Europeană, o livrează actorului nostru și găzduiește acest site, în numele nostru.
• Nimeni altcineva. Din 7 octombrie 2026, copia noastră a datelor de achiziții poate fi citită numai de actorul nostru de achiziții, cu o cheie secretă. Nu este publicată. Între 5 și 7 octombrie 2026 fișierele puteau fi descărcate de oricine; nu putem retrage copiile făcute în acea perioadă.
• PPFTEC vede datele unei rulări numai dacă clientul alege să ne partajeze rularea pentru asistență. Le folosim numai pentru a rezolva solicitarea de asistență și nu le copiem.
• Serviciul nostru de limitare a ritmului cererilor (găzduit de Cloudflare în UE) nu primește date despre dumneavoastră.

În afara Spațiului Economic European (SEE)

• Statutul firmelor: nu trimitem date în afara SEE. Un client din afara SEE obține datele direct din serviciul public al ANAF, prin propria rulare. Fiecare rulare se limitează la codurile fiscale furnizate de client, iar actorul nu transmite niciodată registrul în întregime.
• Datele de achiziții: atunci când actorul nostru livrează înregistrări din copia noastră unui client stabilit într-o țară pentru care Comisia Europeană nu a adoptat o decizie privind caracterul adecvat al protecției, folosim clauzele contractuale standard ale UE pentru transferurile între operatori (Modulul unu), adoptate prin Decizia de punere în aplicare (UE) 2021/914 a Comisiei (textul oficial). Acestea fac parte din condițiile noastre de utilizare. Ne puteți cere o copie la support@ppftec.com.
• Transferurile proprii ale Apify către furnizorii săi de servicii sunt acoperite de condițiile Apify privind prelucrarea datelor.

8. Cât timp păstrăm datele

9. Drepturile dumneavoastră și cum vă opuneți

Aveți dreptul de a vă opune acestei prelucrări (art. 21 GDPR), precum și drepturile de acces, rectificare, ștergere și restricționare (art. 15–18).

Pentru a vă opune, scrieți la support@ppftec.com, cu subiectul „Opoziție” și codul fiscal (CUI) al activității dumneavoastră. Dacă numele dumneavoastră apare în denumirea unei firme sau într-o descriere din datele de achiziții, indicați codul fiscal al firmei respective sau înregistrarea (numărul ei sau un link). Nu trebuie să vă motivați cererea și nu vă cerem dovezi, nici că sunteți persoana numită, nici că dețineți firma. În cel mult 24 de ore de la primirea mesajului:

• pentru o activitate desfășurată de o persoană fizică, blocăm codul fiscal: din acel moment, actorii nu îl mai interoghează și nu îl mai livrează, în niciun mod;
• pentru o firmă a cărei denumire conține numele dumneavoastră (de exemplu un SRL cu asociat unic care poartă numele dumneavoastră), blocăm codul fiscal al firmei în același mod și eliminăm denumirea și codul fiscal ale acesteia din copia noastră a datelor de achiziții;
• în copia noastră a datelor de achiziții, eliminăm denumirea și codul fiscal ale furnizorului în cauză sau scoatem offline fișierul afectat până când este refăcut fără datele dumneavoastră;
• pentru un nume dintr-o descriere, scoatem offline fișierul afectat și îl adăugăm din nou numai fără acel text.

Apoi vă confirmăm în scris, cu un link către această notă.

Dacă cererea privește o firmă a cărei denumire nu identifică o persoană, drepturile privind protecția datelor nu se aplică. Scrieți-ne oricum; răspundem în cel mult o lună.

De reținut:

• Nu putem retrage rezultatele obținute de clienți înainte de blocare și nici copiile fișierelor descărcate de alții cât timp acestea erau accesibile oricui (5–7 octombrie 2026). Clienții răspund de rezultatele lor; vă putem spune cum să-i contactați acolo unde știm cine sunt, ceea ce de obicei nu este cazul.
• Datele de statut sunt publicate de ANAF. Dacă sunt greșite, cereți corectarea lor la ANAF (organul fiscal competent). Datele de achiziții sunt publicate de ADR din SEAP; dacă sunt greșite, adresați-vă autorității contractante sau ADR. Actorii noștri și copia noastră afișează datele corectate de la următoarea verificare sau refacere.
• Pentru alte cereri (acces, ștergere, restricționare), scrieți la aceeași adresă. Răspundem fără întârzieri nejustificate și în cel mult o lună (art. 12 alin. (3) GDPR).

10. Plângeri

Puteți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, 010336 București, e-mail anspdcp@dataprotection.ro, https://www.dataprotection.ro. Puteți depune plângere și în statul UE în care locuiți sau lucrați.

11. Decizii automate

Actorii nu iau decizii cu privire la dumneavoastră. Ei livrează statutul publicat de ANAF sau datele de achiziții publicate de ADR. Orice decizie aparține clientului. Regula care stabilește dacă denumirea unui furnizor este păstrată este automată, dar nu produce efecte juridice sau efecte similare asupra dumneavoastră; dacă v-a păstrat numele, vă puteți opune (secțiunea 9).

12. De ce nu ați primit personal această notă

Nu colectăm datele de la dumneavoastră și nu avem datele dumneavoastră de contact. Pentru a scrie fiecărei persoane al cărei cod fiscal este verificat de un client sau al cărei nume apare în cele aproximativ 1,7 milioane de înregistrări de achiziții dintr-un semestru, ar trebui mai întâi să aflăm cine sunt aceste persoane și cum le putem contacta. Asta ar însemna să colectăm despre dumneavoastră mai multe date decât prelucrăm acum. Am cântărit acest efort față de impactul redus al prelucrării asupra dumneavoastră: nu păstrăm rezultatele verificărilor de statut, copia noastră a datelor de achiziții este privată, accesibilă doar actorului nostru, și conține numai nume, fără date de contact, iar dumneavoastră vă puteți opune oricând. Prin urmare, conform art. 14 alin. (5) lit. b) GDPR, publicăm această notă. Motoarele de căutare pot indexa această pagină, ca să o puteți găsi. O indicăm prin link și în fiecare rezultat al verificării statutului, în descrierile actorilor și pe site-ul nostru. Dacă ne scrieți, vă trimitem aceste informații direct, în răspunsul nostru.

13. Romania direct purchases & contracts și copia noastră a datelor de achiziții

• Ce este copia: o copie trimestrială, minimizată, a exporturilor SEAP de pe data.gov.ro, sub forma unui fișier comprimat pentru fiecare trimestru și tip de înregistrare, cu un fișier index. Este stocată de Cloudflare în UE. Din 7 octombrie 2026 numai actorul nostru de achiziții o poate citi, cu o cheie secretă; nu este accesibilă publicului. Indexul arată, pentru fiecare fișier, adresa originală de pe data.gov.ro, momentul descărcării, licența și ce am modificat.
• Cine o construiește: PPFTEC, cu același cod ca actorul, pe propriul nostru calculator din România, când ADR publică un trimestru nou (de regulă la câteva săptămâni după încheierea trimestrului).
• Ce face actorul de achiziții: citește copia noastră (sau, în afara platformei Apify, fișierele originale), aplică filtrele clientului, limita de rezultate și lista de blocare în vigoare și livrează clientului înregistrările care corespund. Nu păstrează nimic după rulare.
• Date, scop, temei juridic, destinatari, păstrare, drepturi și plângeri: secțiunile 4.2, 5.2, 7, 8, 9 și 10.
• Datele sunt furnizate așa cum au fost publicate de ADR, sub licența CC BY 4.0. PPFTEC nu este afiliată cu ADR sau data.gov.ro și nu este susținută de acestea.

14. Date despre clienții noștri (serviciul de limitare a ritmului)

Pentru ca toți utilizatorii împreună să respecte limita publicată de ANAF, fiecare rulare cere serviciului nostru de limitare un interval de timp. Cererea conține o valoare hash ireversibilă a ID-ului rulării Apify și versiunea actorului, nimic altceva. Serviciul înregistrează valoarea hash, decizia și ora, pentru prevenirea abuzurilor (art. 6 alin. (1) lit. f) GDPR), și șterge jurnalele după 30 de zile. Serviciul este găzduit de Cloudflare în UE, în numele nostru.

15. Modificări

Vom actualiza această notă când se schimbă actorii, copia noastră sau legislația și vom afișa data în partea de sus.

• Versiunea 0.3 (7 octombrie 2026): copia noastră a datelor de achiziții nu mai este publică și poate fi citită numai de actorul nostru; cine răspunde de ce (secțiunea 1); transferurile în afara SEE (secțiunea 7); păstrarea legată de sursă (secțiunea 8); eliminarea la cerere, fără dovezi, a denumirilor de firme care conțin numele unei persoane (secțiunea 9).
• Versiunea 0.2 (5 octombrie 2026): prima versiune în vigoare.
• Versiunea 0.1 (4 octombrie 2026) a fost un proiect și nu a intrat niciodată în vigoare.

Versiunile anterioare sunt disponibile la cerere.