Versiunea 2026-10-16 · în vigoare de la 1 noiembrie 2026
CarpaBus este platforma prin care rezervi bilete la mai mulți operatori de transport, cu un singur cont. Documentul explică ce date prelucrăm noi, ce prelucrează operatorul cu care călătorești, și unde se termină responsabilitatea fiecăruia.
CARPATHIAN AI S.R.L. · CUI RO50510723 · Iași · [email protected]
Avem două roluri diferite, și distincția contează pentru drepturile tale:
Pentru contul tău CarpaBus — nume utilizator, parolă, adresa de email, verificarea contului — suntem operator (*controller*). Noi decidem cum funcționează contul unic valabil la toți transportatorii.
Pentru datele călătoriei — rezervarea, biletul, locul, stațiile, prețul — suntem persoană împuternicită (*processor*). Operatorul de transport cu care călătorești este cel care decide, el îți vinde biletul și el este operatorul acelor date. Politica lui se aplică suplimentar.
| Categorie | Date | Temei |
|---|---|---|
| Cont | Nume utilizator, nume complet, adresa de email, parolă (doar sub formă de hash); opțional, un număr de telefon adăugat în profil | Executarea contractului, art. 6(1)(b) |
| Verificare | Cod temporar de unică folosință, trimis pe email, și momentul trimiterii (la verificarea contului și la resetarea parolei) | Executarea contractului |
| Consimțământ | Versiunea termenilor acceptată și data acceptării | Obligație legală, art. 7(1) |
| Tehnice | Adresă IP și contoare, strict pentru limitarea abuzurilor; jurnal de audit; semnalele verificării anti-robot, dacă este activă | Interes legitim, art. 6(1)(f) |
Nu prelucrăm categorii speciale de date (art. 9) și nu stocăm date de card. Nu facem marketing, nu vindem date, nu profilăm și nu luăm decizii automate cu efect juridic asupra ta.
[email protected].Codul QR al biletului conține doar un cod aleator. Scanat cu o cameră obișnuită, deschide o pagină care nu afișează nicio dată personală; biletul se validează doar în aplicația șoferului.
Acolo unde un furnizor prelucrează date în afara Spațiului Economic European, transferul se face pe baza Clauzelor Contractuale Standard ale Comisiei Europene.
| Date | Durată |
|---|---|
| Cont activ | Cât timp îl folosești |
| Cont neconfirmat (codul primit prin SMS sau email nu a fost introdus), fără rezervări | Telefonul sau emailul devine disponibil pentru altcineva după 15 minute; contul este șters definitiv după cel mult 8 zile |
| Cont inactiv | 24 de luni de la ultima autentificare, apoi anonimizat automat |
| Coduri de verificare | 10 minute |
| Contoare anti-abuz | 30 de zile |
| Jurnal de audit | 24 de luni |
| Înregistrări financiare ale călătoriilor | Anonimizate odată cu contul; sumele se păstrează conform legislației fiscale |
| Lista cursei pe telefonul șoferului | Până la sfârșitul zilei cursei |
Termenele de mai sus nu sunt declarative: sistemul le aplică automat, printr-un proces care rulează zilnic.
Ai dreptul de acces, rectificare, ștergere, restricționare, portabilitate și opoziție, plus dreptul de a-ți retrage consimțământul oricând.
Îți poți șterge singur contul din aplicație sau de pe site — vezi pagina dedicată, care explică și cum procedezi dacă nu mai ai aplicația instalată. Pentru orice altă cerere: [email protected]. Răspundem în cel mult 30 de zile.
Dacă nu ești mulțumit, poți depune plângere la ANSPDCP, B-dul G-ral. Gheorghe Magheru nr. 28–30, București — dataprotection.ro.
Serviciul se adresează persoanelor care au împlinit 16 ani. Nu colectăm cu bună știință date ale copiilor sub această vârstă. Un minor sub 16 ani poate călători, dar contul și rezervarea se fac de către un părinte sau reprezentant legal, care răspunde de datele introduse.
Dacă aflăm că am prelucrat date ale unui copil sub 16 ani fără acordul reprezentantului legal, oprim prelucrarea și ștergem datele fără întârziere. Dacă ești părinte și crezi că s-a întâmplat asta, scrie-ne la adresa de contact de mai sus.
Nu avem obligația legală de a desemna un responsabil cu protecția datelor (DPO), întrucât nu efectuăm monitorizare sistematică pe scară largă și nu prelucrăm categorii speciale de date. Orice chestiune privind datele personale se adresează direct la adresa de contact de mai sus și este tratată de administrator.
Site-ul carpabus.ro nu folosește cookie-uri de urmărire, de publicitate sau de analiză și nu încarcă fonturi, scripturi, hărți sau videoclipuri de la terți — cu excepția paginii tehnice prin care aplicația afișează verificarea anti-robot Cloudflare Turnstile, când aceasta este activă. Folosim doar stocarea strict necesară funcționării site-ului. Pentru stocarea strict necesară legea nu cere consimțământ, ci doar informarea ta (art. 5 alin. (3) din Directiva 2002/58/CE, transpus prin art. 4 alin. (5) din Legea nr. 506/2004).
| Ce stocăm | Scop | Durată | Categorie |
|---|---|---|---|
| Sesiunea de autentificare (doar dacă te autentifici; cookie securizat, inaccesibil scripturilor din pagină) | Te ține autentificat | Până te deconectezi; expiră după aproximativ 30 de minute de inactivitate și cel târziu la 8 ore de la autentificare | Strict necesar |
| Preferințe (limbă, temă) | Să nu te întrebăm la fiecare pagină | Până le ștergi din browser | Strict necesar |
| Faptul că ai închis nota despre cookie-uri | Să nu ți-o mai arătăm | Până la următoarea modificare a acestei politici | Strict necesar |
Nici Cloudflare, care găzduiește site-ul, nu setează cookie-uri. Pe carpabus.ro nu se fac plăți: biletele se plătesc pe site-ul fiecărui operator (unde se aplică politica lui de cookie-uri) sau în aplicație.
Aplicația mobilă nu folosește cookie-uri. Păstrează sesiunea în stocarea securizată a telefonului și biletele într-o copie locală, ca să le poți arăta și fără semnal. Pe telefonul unui șofer, aplicația păstrează și lista cursei lui și validările făcute fără semnal, până le trimite la server. Doar când plătești, procesatorul de plăți (Stripe) colectează semnale antifraudă de pe dispozitiv, strict pentru plata cerută de tine.
Cum ștergi aceste date: din setările browserului („Șterge datele site-ului”); site-ul va uita limba și tema alese. Dacă vom adăuga vreodată ceva opțional, de exemplu statistici de trafic, nu îl vom activa înainte să-ți cerem acordul.
Parolele sunt stocate exclusiv ca hash, comunicația este criptată (HTTPS, minim TLS 1.2), datele operatorilor sunt izolate între ele, iar accesul administrativ este restrâns nominal, per operator. În cazul unei breșe care îți poate afecta drepturile, te informăm fără întârziere nejustificată.
La schimbări importante actualizăm versiunea din capul paginii și te anunțăm cu cel puțin 15 zile înainte, pe site și prin email. Versiunea pe care ai acceptat-o la crearea contului rămâne înregistrată.