Politică de Cookie-uri și Stocare Locală

Document parte din suita legală Scribae. Index complet: README.md. Documente conexe: Politica de Confidențialitate și cookie-banner-copy.md (textul afișat în bannerul de pe site).

Context

Această politică explică ce cookie-uri și ce mecanisme de stocare locală folosește platforma Scribae (operată de Rammer Tech S.R.L., CUI 42223300, J2020001650404, cu sediul în Intrarea Tăciunelui nr. 15, Et. 4, Ap. 8, Sector 2, București, cod poștal 023826) și cum poți controla aceste alegeri. Politica completează Politica de Confidențialitate și se aplică atât vizitatorilor anonimi ai site-ului, cât și utilizatorilor autentificați (notari publici și administratori de birou notarial).

Folosim cookie-uri pentru două scopuri distincte: (1) ca platforma să funcționeze (autentificare în cont, protecție împotriva unor atacuri web frecvente) și (2) ca să-ți reținem preferințele de utilizare (limbă, temă vizuală, alegerile tale de consimțământ). Nu folosim cookie-uri pentru publicitate, nu facem profilare comercială și nu te urmărim pe alte site-uri. Conform deciziei interne descrise în secțiunea „Cookie-uri terțe" mai jos, nu facem nici măcar apeluri către CDN-uri externe pentru fonturi — fonturile sunt servite de pe infrastructura Scribae.

1. Ce sunt cookie-urile și stocarea locală

Acest capitol explică pe scurt termenii tehnici care apar mai jos, pentru ca politica să fie ușor de citit chiar dacă nu lucrezi cu tehnologia web.

• Cookie HTTP — un fișier mic de text pe care site-ul îl așază în browserul tău; browserul îl trimite înapoi la fiecare cerere către același site. Cookie-ul poate fi marcat HttpOnly (browserul îl folosește, dar JavaScript nu îl poate citi — strat suplimentar de securitate) sau accesibil din JavaScript (necesar când codul din pagină trebuie să-l folosească).
• localStorage — un spațiu de stocare integrat în browserul tău, separat de cookie-uri. Datele rămân acolo și după închiderea browserului, până când le ștergi explicit. Spre deosebire de cookie-uri, conținutul din localStorage nu este trimis automat la server — este accesat doar din codul JavaScript al paginii.
• sessionStorage — similar cu localStorage, dar conținutul se șterge automat când închizi tab-ul. Scribae nu folosește în prezent sessionStorage pentru date persistente vizibile utilizatorului.
• IndexedDB — o bază de date locală mai complexă din browser, folosită de aplicații care au nevoie să stocheze cantități mari de date offline. Scribae nu folosește activ IndexedDB; menționăm aici doar pentru completitudine, ca să fie clar ce nu se întâmplă pe dispozitivul tău.

Pentru scopurile acestei politici, ne referim la toate aceste mecanisme atunci când spunem „cookie-uri și stocare locală". Diferențele tehnice contează însă pentru categoria în care se încadrează fiecare element (cookie strict necesar, preferință funcțională, telemetrie opt-in).

2. Cookie-uri strict necesare (fără consimțământ — interes legitim)

Aceste cookie-uri sunt esențiale pentru ca platforma Scribae să funcționeze în siguranță. Fără ele, autentificarea în cont nu poate fi menținută între cereri, iar browserul nu poate dovedi serverului că o acțiune sensibilă (de exemplu o încărcare de document) provine cu adevărat din pagina Scribae și nu dintr-un site terț rău-intenționat.

Temei legal: interes legitim (GDPR Art. 6(1)(f)) coroborat cu excepția pentru cookies strict necesare prevăzută la Art. 5(3) din Directiva ePrivacy 2002/58/CE și transpusă în Legea 506/2004. Fără aceste cookie-uri, platforma fie nu poate funcționa deloc (autentificarea se rupe), fie funcționează nesecurizat (atacurile CSRF devin posibile). Din acest motiv, ele nu pot fi refuzate prin bannerul de consimțământ — refuzul ar însemna să nu poți folosi platforma.

3. Preferințe funcționale (consimțământ — opt-in prin banner)

Aceste preferințe sunt stocate în localStorage (nu sunt cookie-uri HTTP și nu sunt trimise automat către server) și sunt scrise pe dispozitivul tău numai după ce ai acceptat consimțământul inițial prin bannerul de cookies. Dacă alegi „Doar necesare" în banner, conținutul din coloana „Cheie localStorage" de mai jos nu se scrie deloc — cu o singură excepție explicită: cheia notary-consent se scrie chiar și la refuz, pentru ca alegerea ta de a refuza să fie respectată la următoarea vizită (altfel ai vedea bannerul iar și iar).

Temei legal: consimțământul tău liber dat și informat, conform GDPR Art. 6(1)(a) coroborat cu Art. 5(3) din Directiva ePrivacy. Aceste preferințe pot fi refuzate apăsând „Doar necesare" în banner; în acest caz, preferințele de limbă și temă nu sunt salvate și revin la valorile implicite la fiecare vizită nouă.

Conform ADR 0006, alegerile tale legate de consimțământul granular (de exemplu activarea sau dezactivarea telemetriei analitice) sunt înregistrate și pe serverul Scribae sub formă de audit-trail append-only — adică un registru în care fiecare schimbare se adaugă fără să se șteargă schimbările anterioare. Acest registru ne permite să dovedim, în cazul unui audit ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal), că ne respectăm obligațiile de transparență și că onorăm fiecare retragere de consimțământ.

4. Telemetrie analitică

Telemetria analitică este diferită pe site-ul public de prezentare (scribae.ro) față de aplicația autentificată (app.scribae.ro). Cele două modele sunt descrise separat mai jos.

4.1 Site de prezentare scribae.ro — Vercel Web Analytics și Vercel Speed Insights (cookieless)

Pe site-ul public de prezentare scribae.ro (nu în aplicația autentificată), folosim Vercel Web Analytics și Vercel Speed Insights pentru a înțelege, în formă agregată și anonimă, cum este folosit site-ul de prezentare și cât de rapid se încarcă paginile. Această telemetrie este strict limitată la landing: nu colectează documente notariale, nu colectează date de cont sau date despre clienții birourilor notariale și nu funcționează pe app.scribae.ro. Datele aplicației și conținutul notarial rămân în Uniunea Europeană și nu sunt trimise către Vercel.

• Pornire numai la „Accept". Scripturile de telemetrie se încarcă doar dacă apeși „Accept" în bannerul de cookies de pe landing. Dacă alegi „Doar necesare", telemetria nu pornește.
• Cookieless — zero cookie-uri de urmărire, fără localStorage pentru colectare. Serviciile menționate nu setează cookie-uri și nu folosesc localStorage pentru colectarea de bază a datelor analitice.
• Identificare temporară, fără persistență. Vizitatorii sunt distinși printr-un hash derivat din cererea de rețea; hash-ul este resetat și eliminat după 24 de ore. Nu există identificatori persistenți, urmărire între zile sau urmărire cross-site.
• Adresa IP nu se stochează. IP-ul este procesat doar la marginea rețelei (edge) pentru a deduce țara vizitatorului (cod ISO de țară) și nu este păstrat ca date brute.
• Date colectate (agregate și anonimizate): URL-ul / ruta vizitată, referrer, tip aproximativ de dispozitiv, sistem de operare, browser, țară; pentru Speed Insights, și indicatori Core Web Vitals (performanță de încărcare).
• Retenție (GDPR Art. 13(2)(a)): hash-ul vizitatorului se șterge după 24 de ore; statisticile agregate și anonime se păstrează cât timp sunt utile pentru analiza tendințelor site-ului, fără date brute personale.
• Furnizor analitic (doar site public): serviciile sunt operate de Vercel exclusiv pentru scribae.ro. Furnizorul este stabilit în afara Uniunii Europene; în măsura în care hash-ul temporar sau alte elemente tehnice ar putea fi considerate date personale, transferul este însoțit de garanții adecvate conform legislației aplicabile.
• Politici furnizor: Vercel Web Analytics — Privacy Policy și Vercel Speed Insights — Privacy Policy.

Temei legal pe landing: consimțământul tău, GDPR Art. 6(1)(a), exprimat prin apăsarea „Accept" în banner.

Pentru rolul Vercel în relația cu Rammer Tech (operator pentru vizitatorii anonimi ai site-ului public) și de ce nu apare în tabelul Anexa 1 al subprocesatorilor biroului notarial, vezi blocul dedicat Vercel din subprocesatori.md (secțiunea de după tabelul canonic). Detalii suplimentare despre categorii de date și transferuri: Politica de Confidențialitate, §3.4 și §10 (Telemetrie pe site-ul public).

4.2 Aplicația app.scribae.ro — Microsoft Application Insights (Azure, UE)

În aplicația autentificată app.scribae.ro, telemetria analitică opțională folosește Microsoft Application Insights (găzduit în Azure West Europe, deci în Uniunea Europeană) pentru a colecta tipare agregate de utilizare: care pagini sunt vizitate cel mai des, cât durează încărcarea, câte documente sunt procesate într-o zi, ce tipuri de erori apar. Scopul este pur operațional — să facem platforma mai stabilă și mai rapidă pentru toți utilizatorii.

• Implicit este DEZACTIVATĂ. Nu colectăm telemetrie analitică în aplicație decât dacă o activezi explicit.
• O poți activa numai după ce te-ai autentificat, mergând la Setări → Confidențialitate și bifând opțiunea „Telemetrie și analiză".
• Apăsarea „Accept" în bannerul de cookies nu pornește Application Insights — doar îți permite preferințele funcționale; telemetria aplicației rămâne un opt-in separat din Setări.
• Datele colectate sunt agregate (de exemplu: „X cereri către endpoint Y au răspuns în Z milisecunde") și nu includ identificatori personali expuși direct, cum ar fi conținutul documentelor tale notariale sau parolele.
• Datele rămân integral în Uniunea Europeană — sunt găzduite în regiunea Azure West Europe (Dublin, Irlanda).
• O poți dezactiva oricând din același ecran de Setări — dezactivarea este înregistrată în audit-trail-ul descris la §3 ca o retragere validă a consimțământului.

Temei legal: consimțământ explicit, GDPR Art. 6(1)(a). Refuzul telemetriei nu afectează în niciun fel funcționarea platformei.

Pentru furnizorul de telemetrie al aplicației (Application Insights / Microsoft Azure, UE), vezi rândul 6 din tabelul canonic din subprocesatori.md.

5. Cum gestionez preferințele

Ai trei căi pentru a controla cookie-urile și storage-ul local:

5.1 Bannerul inițial de cookies

La prima vizită pe platformă, vezi un banner în partea de jos a paginii cu titlul „Folosim cookie-uri" și trei opțiuni:

• Accept — comportamentul depinde de context:
  • Pe site-ul public scribae.ro: accepți preferințele funcționale (limbă, temă, unde se aplică) și pornești imediat telemetria analitică cookieless Vercel (Web Analytics + Speed Insights), conform §4.1.
  • În aplicația autentificată app.scribae.ro: accepți preferințele funcționale (limbă, temă) și îți permiți să activezi ulterior telemetria din Setări; Application Insights rămâne dezactivat până când îl pornești explicit din Setări → Confidențialitate, conform §4.2.
• Doar necesare — refuzi preferințele funcționale și refuzi posibilitatea telemetriei. Păstrăm doar cookie-urile strict necesare pentru autentificare și securitate (vezi §2). Limba și tema vor reveni la valorile implicite la fiecare vizită.
• Detalii și preferințe — link-ul „Detalii și preferințe” din banner deschide https://scribae.ro/legal/cookies.html (forma extinsă a acestei politici, conținut canonic din docs/legal/politica-cookies.md), atât pe site-ul public, cât și din aplicația autentificată — aplicația nu mai are o rută internă proprie pentru această politică. După autentificare, poți regla telemetria și alte preferințe din Setări → Confidențialitate.

Sursa exactă a textului afișat în banner se găsește în cookie-banner-copy.md, pentru transparență și pentru aliniere cu cheile de internaționalizare folosite în interfață.

5.2 Setări in-app

După autentificare, mergi la Setări → Confidențialitate ca să schimbi alegerile oricând. De acolo poți:

• Activa sau dezactiva telemetria analitică (toggle separat).
• Vedea data ultimei tale alegeri de consimțământ.
• Cere ștergerea contului și a tuturor datelor (referință Politica de Confidențialitate, secțiunea „Drepturile tale GDPR").

Schimbările făcute în Setări sunt înregistrate în audit-trail-ul descris la §3 și înlocuiesc alegerea făcută anterior din banner.

5.3 Ștergerea directă din browser

Indiferent dacă ești autentificat sau nu, poți șterge oricând cookie-urile și localStorage direct din browserul tău. Vezi §7 pentru pașii concreți. După o ștergere completă, la următoarea vizită vei vedea din nou bannerul inițial, ca și cum ar fi prima dată.

6. Cookie-uri terțe

Anumite pagini ale platformei încarcă scripturi sau resurse de la furnizori terți. Această secțiune le declară explicit, ca să știi exact ce se întâmplă.

6.1 Stripe — pagina de facturare

Pagina Facturare → Planuri (vizibilă numai după autentificare) încarcă un component de la Stripe (js.stripe.com) — fie Stripe Pricing Table pentru afișarea planurilor, fie Stripe Checkout pentru sesiunea de plată. Stripe folosește cookie-uri proprii pentru:

• Sesiunea de plată (legarea coșului tău de comandă de pagina pe care o vezi).
• Anti-fraudă, prin componenta Stripe Radar (analizează tipare comportamentale ale dispozitivului — de exemplu fingerprint browser, IP, comportament la tastat — pentru a identifica încercări frauduloase de plată).
• Menținerea unei sesiuni Stripe între pașii fluxului de checkout.

Aceste cookie-uri sunt necesare pentru ca plata să funcționeze. Detalii complete în Politica de Cookies a Stripe. Stripe este declarat ca subprocesator în subprocesatori.md, rândul 3.

6.2 Fonturi — self-hosted, fără apeluri către CDN-uri externe

Platforma Scribae folosește două familii de fonturi (Manrope pentru titluri și Inter pentru text). Aceste fonturi sunt servite ca fișiere .woff2 găzduite direct pe infrastructura Scribae (în folderul frontend/public/fonts/ al aplicației, livrat împreună cu restul aplicației de pe Azure West Europe).

Aceasta este o decizie deliberată: nu facem niciun apel către fonts.googleapis.com, fonts.gstatic.com sau alte CDN-uri externe pentru fonturi. Motivul este simplu — un apel către un CDN extern ar dezvălui adresa ta IP către acel serviciu terț de fiecare dată când deschizi orice pagină Scribae, chiar și înainte să te autentifici. Self-hostingul fonturilor evită complet acest transfer de date.

6.3 Vercel — telemetrie cookieless pe site-ul public (fără cookie-uri)

Pe scribae.ro exclusiv (nu pe aplicația autentificată), după „Accept" în banner, se încarcă scripturi Vercel pentru Web Analytics și Speed Insights. Serviciile sunt cookieless, anonime și agregate — nu setează cookie-uri de urmărire (vezi descrierea completă la §4.1). Nu le clasificăm ca „cookie-uri terțe" în sens clasic, dar le declarăm explicit aici pentru transparență. Datele notariale și ale aplicației nu sunt trimise către Vercel.

6.4 Alte scripturi terțe de urmărire

Pe scribae.ro, telemetria Vercel descrisă la §4.1 și §6.3 este singura integrare analitică activă după consimțământ. Nu folosim Google Analytics, Meta Pixel, fingerprinting comercial, urmărire cross-site sau alte componente similare care ar pune cookie-uri de profilare pe browserul tău.

În aplicația autentificată, în afară de Stripe (§6.1) și de telemetria opt-in Application Insights (§4.2), nu integrăm tag-uri Google Analytics, pixeli de rețele sociale, widget-uri de chat third-party sau hărți embedate care ar impune cookie-uri terțe de urmărire.

Dacă această situație se schimbă în viitor (de exemplu, dacă integrăm un sistem de chat de suport), schimbarea va declanșa o actualizare minor sau major a acestei politici (în funcție de impact), conform mecanismului descris la §8.

7. Cum șterg cookie-uri și preferințe din browser

Dacă vrei să elimini complet cookie-urile și conținutul din localStorage salvate de Scribae pe dispozitivul tău, urmează pașii de mai jos. Ștergerea este reversibilă — la următoarea vizită vei vedea din nou bannerul de cookies, ca și cum ar fi prima dată.

7.1 Ștergerea cookie-urilor

7.2 Ștergerea conținutului din localStorage

Stocarea locală nu apare la „Cookie-uri", deci pașii sunt diferiți. În toate browserele moderne procedeul este similar:

1. Deschide platforma Scribae în browser și navighează la pagina principală.
2. Apasă F12 (sau Ctrl+Shift+I pe Windows / Cmd+Option+I pe macOS) pentru a deschide Developer Tools.
3. În panoul de sus, alege fila Application (Chrome / Edge) sau Storage (Firefox / Safari).
4. În coloana din stânga, deschide Local Storage și selectează https://scribae.ro.
5. Vei vedea o listă de chei. Cele care încep cu notary- (notary-consent, notary-consent-preferences, notary-locale, notary-theme) sunt cele puse de Scribae. Selectează-le și apasă Delete (sau apasă click-dreapta → Delete) pentru fiecare.
6. Reîncarcă pagina. Vei vedea din nou bannerul inițial de cookies.

7.3 Pe dispozitive mobile

Pe telefon și tabletă, ștergerea se face din setările browserului mobil. Pașii diferă ușor de la o aplicație la alta, dar opțiunea se găsește de obicei la Setări → Confidențialitate → Ștergere date de navigare (sau echivalent), unde poți selecta categoriile Cookie-uri și date site și Date stocate site (sau Stocare site). Bifează ambele și confirmă ștergerea.

8. Actualizări la această politică

Această politică urmează regulile de versionare descrise în README.md. Pe scurt:

• Schimbări patch (de exemplu corectarea unei greșeli de scriere, fără schimbare de drept material): aplicate fără re-notificare.
• Schimbări minor (de exemplu adăugarea unui cookie strict necesar nou cu același scop ca cele existente, sau o clarificare): notificare in-app pentru utilizatorii autentificați și update vizibil al câmpului last_updated din frontmatter.
• Schimbări major (de exemplu o categorie nouă de cookie-uri non-esențiale, un terț nou cu impact asupra confidențialității, sau o relocare a stocării datelor în afara Uniunii Europene): re-acceptare obligatorie prin bannerul afișat la următoarea vizită; pentru utilizatorii autentificați, banner persistent in-app până la confirmare.

Versiunea curentă și data ultimei modificări apar în frontmatter-ul de la începutul acestui document și în README.md.

9. Contact

Pentru întrebări specifice despre cookie-uri și stocare locală, scrie-ne la dpo@scribae.ro. Pentru toate celelalte întrebări legate de prelucrarea datelor tale (drepturile GDPR, retragerea consimțământului, ștergerea contului, plângeri), vezi secțiunea „Contact" din Politica de Confidențialitate.

Adresă poștală pentru corespondență oficială:

RAMMER TECH S.R.L. În atenția Responsabilului cu Protecția Datelor (DPO) Intrarea Tăciunelui nr. 15, Et. 4, Ap. 8 Sector 2, București, cod poștal 023826 România

Ai dreptul de a depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru nr. 28-30, Sector 1, București, cod poștal 010336, telefon +40.318.059.211, web www.dataprotection.ro, dacă ești de părere că prelucrarea datelor tale prin cookie-uri sau stocare locală încalcă GDPR.