Versiunea 2026-10-21 · în vigoare de la 27 octombrie 2026
CarpaBus este platforma prin care rezervi bilete la mai mulți operatori de transport, cu un singur cont. Documentul explică ce date prelucrăm noi, ce prelucrează operatorul cu care călătorești, și unde se termină responsabilitatea fiecăruia.
CARPATHIAN AI S.R.L. · CUI RO50510723 · Iași · [email protected]
Avem două roluri diferite, și distincția contează pentru drepturile tale:
Pentru contul tău CarpaBus — nume utilizator, parolă, adresa de email, verificarea contului — suntem operator (*controller*). Noi decidem cum funcționează contul unic valabil la toți transportatorii.
Pentru datele călătoriei — rezervarea, biletul, locul, stațiile, prețul — suntem persoană împuternicită (*processor*). Operatorul de transport cu care călătorești este cel care decide, el îți vinde biletul și el este operatorul acelor date. Politica lui se aplică suplimentar.
| Categorie | Date | Temei |
|---|---|---|
| Cont | Nume utilizator, nume complet, adresa de email, parolă (doar sub formă de hash); opțional, un număr de telefon adăugat în profil | Executarea contractului, art. 6(1)(b) |
| Verificare | Cod temporar de unică folosință, trimis pe email, și momentul trimiterii (la verificarea contului și la resetarea parolei) | Executarea contractului |
| Consimțământ | Versiunea termenilor acceptată și data acceptării | Obligație legală, art. 7(1) |
| Facturare (opțional) | Dacă ceri factură: denumirea firmei, CUI-ul, nr. Reg. Com. sau numele tău, adresa și emailul pentru factură; opțional CNP-ul, delegatul și seria și numărul actului lui de identitate. Datele firmei le putem completa din registrul public ANAF, după CUI. | Executarea contractului; obligație legală (factura) |
| Tehnice | Adresă IP și contoare, strict pentru limitarea abuzurilor; jurnal de audit; semnalele verificării anti-robot, dacă este activă | Interes legitim, art. 6(1)(f) |
| Statistici de trafic (site) | Pagina vizitată, site-ul de pe care ai ajuns, țara, tipul de dispozitiv și browserul, numărate agregat, fără cookie-uri și fără să te identifice (vezi secțiunea 8) | Interes legitim, art. 6(1)(f) |
Nu prelucrăm categorii speciale de date (art. 9) și nu stocăm date de card. Nu facem marketing, nu vindem date, nu profilăm și nu luăm decizii automate cu efect juridic asupra ta.
[email protected].Codul QR al biletului conține doar un cod aleator. Scanat cu o cameră obișnuită, deschide o pagină care nu afișează nicio dată personală; biletul se validează doar în aplicația șoferului.
Acolo unde un furnizor prelucrează date în afara Spațiului Economic European, transferul se face pe baza Clauzelor Contractuale Standard ale Comisiei Europene.
| Date | Durată |
|---|---|
| Cont activ | Cât timp îl folosești |
| Cont neconfirmat (codul primit prin SMS sau email nu a fost introdus), fără rezervări | Telefonul sau emailul devine disponibil pentru altcineva după 15 minute; contul este șters definitiv după cel mult 8 zile |
| Cont inactiv | 24 de luni de la ultima autentificare, apoi anonimizat automat |
| Date de facturare salvate (doar dacă alegi „Salvează datele”; fără CNP și act de identitate) | Până le ștergi sau îți închizi contul |
| CNP și act de identitate al delegatului | Până la trimiterea cererii de factură către operator |
| Coduri de verificare | 10 minute |
| Contoare anti-abuz | 30 de zile |
| Jurnal de audit | 24 de luni |
| Înregistrări financiare ale călătoriilor | Anonimizate odată cu contul; sumele se păstrează conform legislației fiscale |
| Lista cursei pe telefonul șoferului | Până la sfârșitul zilei cursei |
Termenele de mai sus nu sunt declarative: sistemul le aplică automat, printr-un proces care rulează zilnic.
Ai dreptul de acces, rectificare, ștergere, restricționare, portabilitate și opoziție, plus dreptul de a-ți retrage consimțământul oricând.
Îți poți șterge singur contul din aplicație sau de pe site — vezi pagina dedicată, care explică și cum procedezi dacă nu mai ai aplicația instalată. Pentru orice altă cerere: [email protected]. Răspundem în cel mult 30 de zile.
Dacă nu ești mulțumit, poți depune plângere la ANSPDCP, B-dul G-ral. Gheorghe Magheru nr. 28–30, București — dataprotection.ro.
Serviciul se adresează persoanelor care au împlinit 16 ani. Nu colectăm cu bună știință date ale copiilor sub această vârstă. Un minor sub 16 ani poate călători, dar contul și rezervarea se fac de către un părinte sau reprezentant legal, care răspunde de datele introduse.
Dacă aflăm că am prelucrat date ale unui copil sub 16 ani fără acordul reprezentantului legal, oprim prelucrarea și ștergem datele fără întârziere. Dacă ești părinte și crezi că s-a întâmplat asta, scrie-ne la adresa de contact de mai sus.
Nu avem obligația legală de a desemna un responsabil cu protecția datelor (DPO), întrucât nu efectuăm monitorizare sistematică pe scară largă și nu prelucrăm categorii speciale de date. Orice chestiune privind datele personale se adresează direct la adresa de contact de mai sus și este tratată de administrator.
Site-ul carpabus.ro nu folosește cookie-uri de urmărire, de publicitate sau de analiză și nu încarcă fonturi, hărți sau videoclipuri de la terți. Singurele scripturi externe sunt cel de statistici de trafic Cloudflare Web Analytics (fără cookie-uri, detalii sub tabel) și, pe pagina tehnică prin care aplicația afișează verificarea anti-robot, Cloudflare Turnstile, când aceasta este activă. Folosim doar stocarea strict necesară funcționării site-ului. Pentru stocarea strict necesară legea nu cere consimțământ, ci doar informarea ta (art. 5 alin. (3) din Directiva 2002/58/CE, transpus prin art. 4 alin. (5) din Legea nr. 506/2004).
| Ce stocăm | Scop | Durată | Categorie |
|---|---|---|---|
| Sesiunea de autentificare (doar dacă te autentifici; cookie securizat, inaccesibil scripturilor din pagină) | Te ține autentificat | Până te deconectezi; expiră după aproximativ 30 de minute de inactivitate și cel târziu la 8 ore de la autentificare | Strict necesar |
| Preferințe (limbă, temă) | Să nu te întrebăm la fiecare pagină | Până le ștergi din browser | Strict necesar |
| Faptul că ai închis nota despre cookie-uri | Să nu ți-o mai arătăm | Până la următoarea modificare a acestei politici | Strict necesar |
Statistici de trafic. Numărăm vizitele cu Cloudflare Web Analytics. Nu folosește cookie-uri, nu scrie și nu citește nimic pe dispozitivul tău și nu te urmărește de la o vizită la alta sau între site-uri. Vedem doar cifre agregate: câte vizite au avut paginile, din ce țări, de pe ce tipuri de dispozitiv și browser și de pe ce site-uri au venit vizitatorii. Pentru asta Cloudflare prelucrează adresa IP și datele tehnice trimise de browser, fără să le folosească pentru a te identifica. Temeiul este interesul legitim (art. 6(1)(f) GDPR) de a ști cum este folosit site-ul; te poți opune oricând, iar un blocant de reclame obișnuit oprește și aceste statistici. Aplicația mobilă nu are statistici de trafic.
Nici Cloudflare, care găzduiește site-ul, nu setează cookie-uri. Pe carpabus.ro nu se fac plăți: biletele se plătesc pe site-ul fiecărui operator (unde se aplică politica lui de cookie-uri) sau în aplicație.
Aplicația mobilă nu folosește cookie-uri. Păstrează sesiunea în stocarea securizată a telefonului și biletele într-o copie locală, ca să le poți arăta și fără semnal. Pe telefonul unui șofer, aplicația păstrează și lista cursei lui și validările făcute fără semnal, până le trimite la server. Doar când plătești, procesatorul de plăți (Stripe) colectează semnale antifraudă de pe dispozitiv, strict pentru plata cerută de tine.
Cum ștergi aceste date: din setările browserului („Șterge datele site-ului”); site-ul va uita limba și tema alese. Dacă vom adăuga vreodată ceva opțional care stochează date pe dispozitivul tău, de exemplu cookie-uri de analiză sau de publicitate, nu îl vom activa înainte să-ți cerem acordul.
Parolele sunt stocate exclusiv ca hash, comunicația este criptată (HTTPS, minim TLS 1.2), datele operatorilor sunt izolate între ele, iar accesul administrativ este restrâns nominal, per operator. În cazul unei breșe care îți poate afecta drepturile, te informăm fără întârziere nejustificată.
La schimbări importante actualizăm versiunea din capul paginii și te anunțăm cu cel puțin 15 zile înainte, pe site și prin email. Versiunea pe care ai acceptat-o la crearea contului rămâne înregistrată.