Politica de confidențialitate - Crocky Audit

Versiunea 2.4, în vigoare de la 15 octombrie 2026

Această politică explică ce date cu caracter personal prelucrează Crocky Audit, de ce, pe ce temei juridic, cât timp, cine le primește și ce poți face tu în legătură cu ele. Se aplică site-ului https://audit.crocky.host, linkurilor de raport pe care le creează și serviciilor de cont, API și MCP.

Activitatea noastră de găzduire și zona de clienți de pe https://crocky.host au propria politică (https://crocky.host/legal/privacy-policy). Politica de față acoperă doar Crocky Audit.

Versiunea în limba română a acestei politici prevalează. Textul în limba engleză este oferit cu titlu informativ.

1. Cine răspunde de datele tale

CROCKY S.R.L. (denumiri comerciale „CrockyHost” și „Crocky”; „noi”) este operatorul datelor tale cu caracter personal.

Confirmăm primirea oricărui mesaj în cel mult 2 zile lucrătoare și răspundem în cel mult 30 de zile. Cererile de ștergere a rapoartelor despre un site auditat primesc răspuns în 7 zile (secțiunea 6).

2. Pe scurt

• Poți rula un audit fără cont. Păstrăm URL-ul trimis, rezultatele și date tehnice despre cerere (adresa IP, șirul browserului, ora). Adresa IP și șirul browserului se șterg după 30 de zile. Raportul rămâne, ca să ne putem îmbunătăți verificările: PDF-ul și capturile de ecran se șterg după 30 de zile, iar datele personale găsite pe site-ul auditat după 12 luni.
• Dacă îți lași adresa de email în formularul de audit, îți trimitem acolo linkul raportului și, din când în când, noutăți despre Crocky Audit, dacă nu bifezi „Nu vreau noutăți, doar raportul”. Oferte de găzduire CrockyHost îți trimitem doar dacă bifezi căsuța lor. Fiecare mesaj are un link de dezabonare (secțiunea 3.7).
• Cine are linkul unui raport îl poate deschide. Nu publicăm niciodată linkurile, cerem motoarelor de căutare să nu le indexeze și nu dăm linkul nimănui altcuiva decât celui care a cerut auditul. Dar un link este un secret pe care îl dai mai departe când îl partajezi.
• Rapoartele conțin ce publică site-ul auditat, inclusiv date de contact găsite pe paginile lui. Dacă site-ul tău a fost auditat de altcineva, citește secțiunea 6. Poți cere ștergerea rapoartelor despre site-ul tău și poți opri auditurile viitoare cu o scurtă intrare în robots.txt.
• Nu se încarcă nimic de la alte companii. Fonturile, iconițele și scripturile vin de pe serverul nostru. Fără reclame, fără analiză de trafic, fără cookie-uri de urmărire. Un cookie de autentificare după ce te conectezi, limba și tema comune cu crocky.host și crocky.ro și câteva alegeri păstrate pe dispozitivul tău (secțiunea 9).
• Îți poți șterge contul oricând. Ne poți cere ștergerea datelor tale (secțiunea 12).

3. Ce prelucrăm, de ce, pe ce temei și cât timp

„Temei juridic” înseamnă un temei din art. 6 din RGPD (Regulamentul (UE) 2016/679): (b) pentru a presta un serviciu cerut de tine, (c) o obligație legală, (f) interesele noastre legitime. Ștergerile descrise mai jos se fac automat, printr-un job de curățare care rulează zilnic.

3.1 Când deschizi paginile noastre

Nu folosim Google Analytics și niciun alt serviciu de analiză a traficului. Când deschizi o pagină de-a noastre sau un raport, browserul tău cere fișiere doar de la audit.crocky.host.

3.2 Când rulezi un audit

Parolele pentru site-uri protejate. Le păstrăm criptate într-un tabel al bazei de date doar până când scannerul nostru preia jobul și nu mai mult decât durează acel audit. Se șterg când auditul pornește, se termină, eșuează sau este anulat, inclusiv când îl anulezi înainte să pornească. Ce ar mai rămâne se șterge la următoarea curățare zilnică. Nu sunt scrise în jurnale. Ține minte că și capturile de ecran și constatările din spatele autentificării devin parte din raport, iar oricine are linkul raportului le poate vedea.

Același URL de două ori. Dacă tu (același cont sau, dacă folosești formularul fără cont, aceeași adresă IP) ai cerut același URL în ultimele 10 minute, îți arătăm raportul tău existent în loc să rulăm un audit nou. Pentru oricine altcineva, aceeași cerere pornește un audit nou, cu un link nou.

3.3 Raportul

Pentru fiecare audit se creează un raport. El conține:

• scoruri, constatări și recomandări, cu dovada fiecăreia (de exemplu antetele de răspuns găsite);
• fapte tehnice despre site-ul auditat (găzduire, DNS, certificat, tehnologii, accesibilitate, performanță, estimarea de carbon);
• ce publică site-ul auditat însuși: titluri și descrieri de pagină, adrese de email de contact, numere de telefon, identificatori de rețele sociale, adresă poștală și coordonate pe hartă, numele sau numele de utilizator ale autorilor WordPress acolo unde site-ul le expune, cookie-urile pe care serverul lui le setează la prima vizită, scurte citate (de circa 100 de caractere fiecare) din pagină, folosite ca dovadă pentru verificarea AI, și capturi de ecran ale paginii în patru lățimi;
• dacă nu ai debifat verificarea AI: verdictul, dovezile lui și un scor pentru design;
• lista adreselor de pe site-ul auditat pe care le-a cerut scannerul nostru sau pe care le-a încărcat pagina (de exemplu /robots.txt, /sitemap.xml, scripturile și stilurile paginii), cu codul de stare, tipul și mărimea fiecărui răspuns;
• un PDF, o copie HTML descărcabilă, o imagine de partajare și copii ale iconiței și ale imaginii de partajare ale site-ului, pe care serverul nostru de scanare le descarcă în timpul auditului (la un raport mai vechi, după prima deschidere), ca browserul tău să nu fie nevoit să contacteze site-ul sau pe altcineva.

Datele de contact și celelalte date cu caracter personal găsite pe site-ul auditat le arătăm doar în acel raport. Nu le folosim pentru nimic altceva, nu le folosim pentru abordări comerciale și nu le copiem în niciun alt sistem.

Numele de utilizator WordPress, valorile cookie-urilor setate de site și, când site-ul are o pagină phpinfo() publică, adresa IP a serverului, numele mașinii și căile de pe disc se văd întregi doar de contul care a pornit auditul, când e autentificat sau prin cheia lui API. Oricine altcineva deschide raportul, precum și orice PDF și copie HTML, le vede mascate (de exemplu „d*”, „141.95..”, „/home/*”; la un cookie, numele și atributele, fără valoare). Constatarea în sine, adică faptul că pagina e publică și ce categorii de informații dă, rămâne vizibilă, pentru că asta e problema de reparat.

Temei: art. 6 alin. (1) lit. (b) pentru persoana care a cerut raportul; art. 6 alin. (1) lit. (f) pentru datele terților din raport (secțiunea 6) și pentru păstrarea rapoartelor în scopul îmbunătățirii verificărilor. Păstrare:

• PDF-ul, imaginea de partajare și copia HTML: 30 de zile de la crearea lor. Dacă cineva deschide linkul PDF-ului mai târziu, serverul nostru de scanare îl tipărește din nou din raport, iar noua copie se păstrează încă 30 de zile;
• capturile de ecran: 30 de zile de la audit;
• copiile iconiței și ale imaginii de partajare ale site-ului: 30 de zile de la descărcare (serverul nostru de scanare le descarcă din nou dacă raportul e deschis mai târziu);
• datele personale găsite pe site-ul auditat (adrese de email, numere de telefon și identificatori de rețele sociale de contact; strada, codul poștal și coordonatele de pe hartă; numele de utilizator WordPress; valorile cookie-urilor): 12 luni de la audit. După aceea raportul păstrează doar câte au fost, iar numele de utilizator WordPress și valorile cookie-urilor rămân mascate pentru toată lumea;
• restul raportului (URL-ul, scorurile, constatările și dovezile lor, datele tehnice, lista de adrese, scurtele citate din spatele verificării AI): cât timp funcționează Crocky Audit, ca să ne putem măsura și îmbunătăți verificările. Nu publicăm rapoartele și nu le folosim pentru nimic altceva. Pentru rapoartele făcute înainte de 13 octombrie 2026, păstrarea după 12 luni se aplică de la 13 noiembrie 2026.

Ștergem un raport mai devreme când ne cere proprietarul site-ului auditat (secțiunea 6), iar tu ne poți cere să ștergem un raport pe care l-ai cerut (secțiunea 12). Raportul-exemplu de pe pagina noastră principală se păstrează întreg.

3.4 Când îți creezi un cont

Îți creezi contul introducând adresa de email și deschizând linkul de autentificare pe care ți-l trimitem. Nu există parolă. Poți intra și cu contul CrockyHost (crocky.host, tot al nostru, CROCKY S.R.L.); un plan plătit se cumpără doar așa, pentru că datele de facturare se țin acolo.

Când îți ștergi contul (pagina „Cont”, butonul „Șterge-mi contul”), ștergem contul, cheile, monitoarele și contoarele lunare, precum și înregistrările linkurilor de autentificare pentru adresa ta de email. La auditurile rulate de tine eliminăm adresa IP, șirul browserului și URL-ul webhook. Rapoartele rămân la linkurile lor (secțiunea 3.3) și nu mai sunt legate de tine.

3.5 Când folosești API-ul sau serverul MCP

Prelucrăm cheia ta API (hash), adresa IP a apelantului, URL-urile trimise, rezultatele, contoarele tale lunare și URL-ul webhook dacă îl dai. Le folosim pentru a executa cererile tale, a aplica limitele planului (60 de cereri pe minut pentru o cheie și o cotă lunară) și a preveni abuzurile. Temei: art. 6 alin. (1) lit. (b), iar pentru prevenirea abuzurilor lit. (f). Adresa IP se șterge după 30 de zile, ca la orice altă înregistrare de audit.

Serverul MCP permite unui asistent AI configurat de tine să ne ceară verificarea unui URL. Primim URL-ul și returnăm rezultatul. Ce face furnizorul tău de AI cu răspunsul nu face obiectul acestei politici.

Dacă ceri verdictul pentru un site public pe care altcineva l-a verificat recent, putem răspunde cu acel verdict recent, în loc să pornim o scanare nouă. Prin instrumentul MCP primești și dovezile și scorurile lui. Nu primești niciodată linkul raportului acelei alte persoane sau numărul scanării ei. Scanările tale returnează mereu linkurile tale.

3.6 „A fost corect?” sub verdictul AI

Dacă apeși „Da, e corect” sau „Greșit” sub un verdict AI, stocăm raportul căruia îi aparține, banda verdictului, răspunsul tău da/nu, orice comentariu trimis odată cu el și un cod de 32 de caractere calculat din adresa ta IP și din dată, cu o cheie secretă. Pentru asta nu stocăm adresa ta IP. Codul ne permite să numărăm un singur răspuns pe raport, pe persoană, pe zi. Folosim răspunsurile doar pentru propria noastră evaluare a verificării AI, ca să-i îmbunătățim acuratețea. Nu publicăm rezultate despre site-uri individuale. Temei: art. 6 alin. (1) lit. (f). Păstrare: 24 de luni.

3.7 Emailuri, noutăți și oferte

Trimitem aceste mesaje de pe propriul server de email:

• linkul tău de autentificare, alertele de monitorizare și mesajul „auditul tău e gata”, dacă ai dat o adresă în formularul de audit;
• confirmarea unei comenzi și mesajele despre comandă (plata primită, pornirea planului, anularea, retragerea, confirmarea unei declarații de retragere); factura plătită ți-o trimite sistemul de facturare de pe crocky.host;
• noutăți despre Crocky Audit, din când în când, la adresa lăsată în formularul de audit, dacă nu ai bifat „Nu vreau noutăți, doar raportul”: verificări noi, schimbări ale serviciului, planurile și ofertele noastre pentru el. Temei: art. 12 alin. (2) din Legea nr. 506/2004, care permite unui furnizor să scrie la o adresă obținută cu ocazia prestării unui serviciu despre propriile servicii similare, cu condiția ca persoana să poată refuza atunci când adresa e colectată și la fiecare mesaj; și art. 6 alin. (1) lit. (f) GDPR;
• oferte de găzduire CrockyHost, doar dacă ai bifat „Vreau și oferte de găzduire CrockyHost”. Temei: consimțământul tău (art. 6 alin. (1) lit. (a) GDPR; art. 12 alin. (1) din Legea nr. 506/2004). Păstrăm momentul în care l-ai dat și textul căsuței.

Fiecare mesaj cu noutăți, ca și mesajul „auditul tău e gata”, are un link de dezabonare. Dezabonarea se face dintr-un clic, e gratuită și nu atinge rapoartele tale.

Ce păstrăm pentru noutăți: adresa, limba, listele pe care ești, datele, dovada consimțământului pentru ofertele de găzduire și un cod pentru linkul de dezabonare. Cât timp: până te dezabonezi sau trei ani de la ultimul audit pentru care ai lăsat adresa. Când te dezabonezi de la tot, ștergem adresa și păstrăm doar un cod calculat din ea (SHA-256), ca un audit viitor să nu te înscrie din nou. Nu vindem și nu împrumutăm adresele și nu le dăm nimănui. Conținutul mesajelor este tratat de furnizorul tău de email.

3.8 Când ne scrii

Păstrăm mesajul și adresa ta pentru a-ți răspunde și pentru a putea dovedi ce s-a stabilit. Temei: art. 6 alin. (1) lit. (b) sau (f). Păstrare: 3 ani de la încheierea conversației, aceeași perioadă ca pe crocky.host.

3.9 Comenzi, planuri plătite și facturi

Planurile se comandă din cont, de pe https://audit.crocky.host/preturi, și se plătesc cu cardul, pe pagina NETOPIA Payments; factura o emite CROCKY S.R.L. prin sistemul de facturare de pe crocky.host. Datele de pe factură (numele sau denumirea, codul fiscal, adresa, orașul, țara, moneda) le citim din contul tău CrockyHost când comanzi. Dintr-o comandă păstrăm: numărul ei, planul, perioada, prețul, TVA-ul și totalul, moneda, dacă cumpără o firmă sau o persoană fizică, numele sau denumirea, codul fiscal, adresa, orașul și țara, adresa de email a contului, limba paginii, alegerea privind pornirea planului, versiunea termenilor pe care ai acceptat-o și momentul acceptării, numărul facturii, apoi data plății, calea pe care a venit plata, perioada planului, o eventuală anulare sau retragere și notele noastre. Pentru fiecare încercare de plată păstrăm identificatorul NETOPIA, suma, moneda, starea plății și răspunsurile NETOPIA despre ea. Datele cardului nu ajung la noi: le scrii direct pe pagina NETOPIA.

Dacă te retragi de pe https://audit.crocky.host/retragere fără să fii intrat în cont, păstrăm declarația: numele, numărul comenzii, adresa de email, limba, momentul trimiterii și un cod calculat din adresa ta IP (pentru limita de cinci declarații pe oră).

• De ce: ca să încheiem și să executăm contractul: confirmarea comenzii, factura, plata, pornirea planului, retragerea și rambursarea (art. 6 alin. (1) lit. (b)); ca să ne îndeplinim obligațiile fiscale și contabile: factura, TVA-ul și e-Factura (art. 6 alin. (1) lit. (c)); ca să dovedim o retragere și răspunsul nostru (art. 6 alin. (1) lit. (c) și (f)).
• Cine le vede: noi; NETOPIA, pentru plată (secțiunea 7); iar datele de pe factură, contabilul nostru și autoritatea fiscală. Confirmările pleacă pe email (secțiunea 3.7).
• Cât timp: o comandă neplătită (anulată de tine sau de noi, anulată singură după 48 de ore ori din care te-ai retras înainte de plată) se șterge la 12 luni după ce s-a închis, împreună cu încercările ei de plată. O comandă plătită și încercările ei de plată se păstrează cât factura pe care o susțin: 5 ani, calculați de la 1 iulie a anului următor exercițiului financiar în care a fost emisă factura (art. 25 din Legea nr. 82/1991). O declarație de retragere trimisă fără cont se păstrează 5 ani. Dacă îți ștergi contul, comenzile neplătite se șterg odată cu el, iar cele plătite rămân până la acest termen, fără legătură cu contul.

3.10 Copii de rezervă

Copiile de rezervă ale serverului se păstrează cel mult 30 de zile. Datele pe care le ștergem din sistemul activ dispar din copiile de rezervă când acestea expiră.

4. Cine poate vedea un raport

• Oricine are linkul. Linkul are 32 de caractere aleatoare. Nu e nevoie de autentificare. PDF-ul, copia HTML, imaginea de partajare și datele raportului respectă aceeași regulă. Cel căruia îi trimiți linkul îl poate deschide și îl poate da mai departe.
• Nu publicăm linkurile. robots.txt cere motoarelor de căutare să stea departe de /report/, iar fiecare pagină de raport spune „noindex”. Pagina noastră principală arată un singur raport-exemplu: auditul propriului nostru site.
• Previzualizări de link. Roboții de previzualizare ai câtorva servicii (X/Twitter, Facebook, LinkedIn, Slack) pot citi o pagină de raport când lipești linkul, ca să construiască un card de previzualizare. Cardul arată numele site-ului și scorurile. Nu arată niciodată verdictul AI.
• Nu se dă altor solicitanți. O cerere repetată returnează un raport existent doar aceluiași cont sau, fără cont, aceleiași adrese IP, în 10 minute. Răspunsurile API și MCP care refolosesc verdictul recent al altcuiva nu conțin niciun link către acel raport.
• Personalul nostru. Administratorii noștri pot vedea înregistrările jobului, inclusiv adresa IP (timp de 30 de zile), șirul browserului și adresa de email (pe durata scurtă cât există), precum și lista adreselor păstrate pentru noutăți (secțiunea 3.7). Accesul la panoul de administrare este limitat la personalul CROCKY S.R.L. și cere parolă.
• Jurnalele serverului web înregistrează cererile, inclusiv o cerere către un link de raport (secțiunea 3.1). Aplicația noastră nu ține o listă a celor care au deschis un raport.

Nu vindem rapoarte sau date cu caracter personal și nu le partajăm cu agenți de publicitate.

5. Ce spune verificarea AI despre oameni

Verificarea AI oferă o estimare automată despre cum arată un site, din semnale publice. Nu este o afirmație de fapt despre un site sau despre autorii lui, nu este o judecată despre vreo persoană și nu luăm nicio decizie despre vreo persoană pe baza ei. Secțiunea 13 spune mai mult.

6. Dacă site-ul tău a fost auditat de altcineva (informare conform art. 14 RGPD)

Cine decide. Persoana care a introdus adresa site-ului tău decide să-l auditeze. Noi rulăm auditul și păstrăm raportul, deci suntem operatorul raportului.

De unde vin datele. Din site-ul tău public (pagini, antete de răspuns, fișiere publice, sitemap-uri), din date publice de DNS, de certificat și din registrele de domenii (RDAP/WHOIS), din interogările publice enumerate în secțiunea 7 și, dacă site-ul tău duce către depozitul lui public de cod de pe GitHub, din acel depozit: ultimele mesaje de commit și câteva fișiere din rădăcină. Reținem numele depozitului, care conține și numele contului de GitHub, pentru că din el reiese cu ce unealtă a fost construit site-ul. Nu ne autentificăm pe site-ul tău decât dacă persoana care a cerut auditul ne-a dat o parolă.

Ce păstrăm despre tine sau afacerea ta. Informații tehnice despre site și, acolo unde site-ul tău însuși le publică: adrese de email, numere de telefon, identificatori de rețele sociale, adresă poștală și coordonate, nume sau nume de utilizator ale autorilor (inclusiv numele autorilor WordPress pe care site-ul le expune), cookie-urile pe care serverul tău le setează la prima vizită, scurte citate din paginile tale, capturi de ecran, copii ale iconiței și ale imaginii de partajare ale site-ului și adresele de pe site-ul tău pe care le-a cerut scannerul nostru sau pe care le-a încărcat pagina. Dacă site-ul tău are o pagină phpinfo() publică, reținem și ce publică ea: versiunea de PHP, sistemul de operare, numele și adresa IP ale serverului, căile de pe disc și numele variabilelor de mediu. Valorile variabilelor nu le reținem niciodată, nici când pagina le arată, tocmai ca o parolă publicată acolo să nu ajungă și în baza noastră de date. În rest nu păstrăm parolele tale și nici conținutul fișierelor găsite de sondele noastre.

De ce și pe ce temei. Pentru a produce auditul cerut de cineva și a arăta dovada fiecărei constatări, precum și pentru a măsura și a îmbunătăți verificarea AI. Temei: art. 6 alin. (1) lit. (f), interesul legitim al celui care a cerut auditul și al nostru de a avea un audit de site bazat pe informații publice. Am cântărit acest interes față de interesele tale: datele sunt publice, verificările sunt de tipul celor pe care le face un vizitator sau un test de viteză (Termenii enumeră puținele excepții), ne oprim când ne ceri, iar după 12 luni datele personale găsite pe site-ul tău ies din raport.

Cine vede. Cine deține linkul raportului (secțiunea 4) și personalul nostru. Numele de utilizator WordPress, valorile cookie-urilor și internele serverului citite dintr-o pagină phpinfo() publică sunt mascate pentru oricine în afară de contul care a pornit auditul (secțiunea 3.3).

Cât timp. Datele personale găsite pe site-ul tău: 12 luni de la audit; după aceea raportul păstrează doar câte au fost, iar numele de utilizator WordPress și valorile cookie-urilor rămân mascate. Capturile de ecran și copiile iconiței și ale imaginii de partajare ale site-ului: 30 de zile. Rezultatele tehnice: cât timp funcționează Crocky Audit, ca să ne îmbunătățim verificările. Mai devreme, dacă ceri (mai jos).

De ce nu ți-am scris. Să scriem fiecărui proprietar de site auditat ar însemna un efort disproporționat, așa că art. 14 alin. (5) lit. (b) RGPD ne permite să facem publică această informare.

Oprește singur auditurile site-ului tău. Adaugă în robots.txt:

User-agent: CrockyAudit
Disallow: /

Scannerul nostru cere mai întâi pagina și robots.txt. Dacă găsește acest grup, se oprește: nu rulează nicio sondă, niciun test din browser și nicio verificare de email și nu reîncearcă. O regulă generală User-agent: * nu îl oprește, pentru că un audit este o singură vizită cerută de o persoană, nu parcurgere automată a site-ului. Scannerul se identifică drept CrockyAudit/<versiune> (+https://audit.crocky.host/bot).

Cere ștergerea rapoartelor și refuzul auditurilor viitoare.

1. Scrie la audit@crocky.host. Indică domeniul sau linkul raportului.
2. Dovedește că controlezi site-ul: scrie de la o adresă de email de pe acel domeniu sau adaugă o înregistrare DNS TXT pe care ți-o indicăm.
3. În 7 zile ștergem toate rapoartele domeniului tău: înregistrările din baza de date, PDF-ul, imaginea de partajare și imaginile păstrate temporar. Îți confirmăm când e gata.
4. Dacă ceri, adăugăm domeniul tău și pe o listă de site-uri pe care refuzăm să le auditem.

Ce păstrăm despre o cerere de ștergere. Cererea ta rămâne în corespondența noastră (secțiunea 3.8). Dacă ne-ai cerut să refuzăm auditurile viitoare, lista de blocare păstrează domeniul, data și un motiv scurt cât timp durează blocarea; ne ceri și o ridicăm. Temei: art. 6 alin. (1) lit. (c) și (f), ca să-ți respectăm cererea și să putem arăta că am făcut-o.

Drepturile tale. Poți cere acces, rectificare, ștergere sau restricționare și te poți opune (art. 15-18 și 21). Pentru un site pe care îl deții sau îl administrezi, ștergem rapoartele dacă ne ceri. Dacă crezi că ceva dintr-un raport este greșit sau nu ești de acord cu un verdict AI, scrie la aceeași adresă și o persoană îl va reexamina în 7 zile.

7. Cine primește date cu caracter personal

Nu folosim, pentru Crocky Audit, un CDN în fața audit.crocky.host, un serviciu de analiză, un serviciu CAPTCHA sau un serviciu de trimitere a emailurilor. Linkurile din rapoarte (de exemplu către documentație sau către o hartă pe OpenStreetMap) duc pe alte site-uri. Nu li se trimite nimic decât dacă dai click, iar atunci se aplică politicile lor. Linkurile „vorbește cu noi” duc pe propriul nostru site crocky.host și transmit în link adresa site-ului auditat, ca să știm la ce site te referi.

8. Transferuri în afara Spațiului Economic European

• Stocăm toate datele pe propriul server din Germania. Auditurile rulează pe un al doilea server al nostru, din Franța (Scaleway, lângă Paris). El primește fiecare job așa cum a fost trimis, fără adresa ta de email (aceasta rămâne pe serverul din Germania, care trimite emailul de final), dar cu adresa webhook sau parola pentru un site protejat, dacă le-ai dat, descarcă site-ul, trimite rezultatele înapoi serverului din Germania și păstrează doar un jurnal tehnic al joburilor (secțiunea 10). Orice alt server de scanare va fi tot în UE și sub controlul nostru.
• Interogările publice din secțiunea 7 pot ajunge la servicii din afara SEE. Ele conțin nume de domenii și adrese IP de servere, niciodată date despre persoanele care folosesc Crocky Audit. Un nume de domeniu poate totuși identifica o persoană, de exemplu când site-ul poartă numele proprietarului. Cloudflare, din Statele Unite, participă la Cadrul UE-SUA privind protecția datelor (EU-U.S. Data Privacy Framework), acoperit de decizia de adecvare a Comisiei Europene din 10 iulie 2023 (art. 45 RGPD).
• Când deschizi paginile noastre sau un raport, browserul tău nu face nicio cerere către vreo altă companie.

Poți cere informații despre garanții la audit@crocky.host.

9. Cookie-uri și tehnologii similare

Nu folosim cookie-uri de publicitate, de analiză sau de urmărire. Folosim trei cookie-uri: cel de autentificare și două care rețin limba și tema. Câteva alegeri sunt păstrate în browserul tău.

Limba și tema sunt comune cu crocky.host și crocky.ro, celelalte site-uri ale CROCKY S.R.L. Le ține cookie-ul crocky_pref, comun pentru crocky.host și subdomeniile lui, deci și pentru acest site. O limbă sau o temă aleasă pe crocky.host se aplică și aici, fără niciun click, iar una aleasă aici se aplică acolo. Când alegi limba sau tema pe acest site, browserul tău trimite noua valoare, în fundal, și către crocky.host și crocky.ro. Cererea poartă doar această valoare; ca orice cerere, ajung odată cu ea adresa ta IP și cookie-urile pe care browserul le are deja pentru acel site. Pe crocky.ro valoarea rămâne doar în browserele care păstrează cookie-uri venite de pe alte site-uri (Chrome, Edge, Android); în celelalte ajunge acolo la primul link dintre site-uri.

Cookie-urile (ca_session, ca_crocky, crocky_pref, ch-lang) ajung la serverele noastre cu fiecare cerere; restul rămân în browser. Le ștergi din setările de date ale site-ului din browser; crocky_pref apare acolo la crocky.host.

De ce nu există banner de cookie-uri. Potrivit art. 4 alin. (5) și alin. (6) lit. b) din Legea nr. 506/2004 (care transpun art. 5 alin. (3) din Directiva 2002/58/CE), stocarea de informații pe dispozitivul tău cere consimțământul tău, cu excepția cazului în care este strict necesară pentru un serviciu cerut de tine. Cookie-ul de autentificare este exact acesta. Limba, tema, aranjarea și notele sunt alegeri de interfață pe care le faci tu, iar pentru cookie-urile care rețin o asemenea alegere Grupul de lucru Articolul 29 a arătat că nu e nevoie de consimțământ (Avizul 04/2012). O limbă doar dedusă este cea pe care browserul tău o cere oricum fiecărui site, iar dacă n-ai ales nimic, crocky_pref o ține doar până închizi browserul. Semnele tehnice nu conțin nimic despre tine. Istoricul scorurilor, care nu este strict necesar, rămâne oprit până bifezi căsuța lui, deci bifa este consimțământul tău. Pentru că nu punem nimic altceva, nu avem ce să te întrebăm la intrare.

10. Cât timp păstrăm datele: rezumat

11. Cum protejăm datele

În cuvinte simple, și doar ce facem:

• Paginile și API-ul sunt servite prin HTTPS.
• Cheile API și tokenurile de autentificare sunt stocate ca amprente (hash), deci nu pot fi citite înapoi. Cookie-ul de sesiune este semnat, HttpOnly, Secure și SameSite=Lax.
• Parolele pentru site-uri protejate sunt criptate în baza de date și șterse imediat ce au fost folosite.
• Linkurile de autentificare funcționează o singură dată și expiră după 20 de minute. Cererile sunt limitate ca frecvență.
• Contoarele de vizite păstrează o adresă IP scurtată; răspunsurile „A fost corect?” păstrează un cod cu cheie în loc de adresa IP.
• Baza de date este stocată în afara rădăcinii web. Fișierele de raport nu pot fi listate, iar regulile serverului refuză servirea fișierelor de jurnal și de bază de date.
• Scannerul nostru, și serverul nostru când descarcă iconița sau imaginea unui raport, refuză să se conecteze la adrese private sau interne.
• Panoul de administrare cere parolă, limitează încercările eșuate și folosește sesiuni scurte cu protecție CSRF.
• Plata cu cardul se face pe pagina NETOPIA Payments: datele cardului nu trec prin serverele noastre. Notificările de plată sunt verificate criptografic (semnătura NETOPIA), iar cheile de acces la NETOPIA și la sistemul de facturare stau în afara rădăcinii web, citibile doar de aplicație.

Nicio măsură nu este perfectă. Dacă o încălcare îți pune în pericol drepturile, te anunțăm, iar ANSPDCP o notificăm în 72 de ore, așa cum cere legea (art. 33 și 34 RGPD).

12. Drepturile tale și cum le exerciți

Ai dreptul:

• la acces la datele tale și la o copie (art. 15);
• la rectificarea datelor greșite (art. 16);
• la ștergerea datelor (art. 17), în limitele obligațiilor noastre legale;
• la restricționarea prelucrării (art. 18);
• la portabilitate: să primești datele date de tine într-un format utilizabil (art. 20);
• la opoziție față de prelucrarea bazată pe interesul nostru legitim (art. 21). Ne oprim, cu excepția cazului în care dovedim motive imperioase;
• de a te opune noutăților și ofertelor prin email oricând, gratuit, cu linkul din fiecare mesaj (art. 21 alin. (2) și (3)). Atunci ne oprim, fără alte întrebări;
• de a-ți retrage consimțământul oricând, acolo unde ne bazăm pe el (de exemplu ofertele CrockyHost: linkul de dezabonare; căsuța pentru istoricul scorurilor: debifează-o);
• de a nu face obiectul unei decizii bazate exclusiv pe prelucrare automată cu efecte juridice sau similare semnificative (art. 22). Nu luăm astfel de decizii (secțiunea 13).

Cum: scrie la audit@crocky.host sau gdpr@crocky.host. Dacă întrebi despre un cont, scrie de la adresa de email a contului. Putem să-ți cerem să-ți dovedești identitatea. Confirmăm primirea în 2 zile lucrătoare și răspundem în 30 de zile; pentru cereri complexe legea permite un termen mai lung și îți spunem de ce. Este gratuit, cu excepția cererilor vădit nefondate sau excesive.

Plângere: poți depune o plângere la autoritatea română de supraveghere, ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal), B-dul General Gheorghe Magheru nr. 28-30, sector 1, București 010336; tel. +40 318 059 211; anspdcp@dataprotection.ro; https://www.dataprotection.ro (formular online de plângere), sau la autoritatea din țara ta din UE. Te poți adresa și instanței.

13. Decizii automate și estimarea AI

Verificarea AI este o estimare automată despre codul și designul unui site. Benzile ei sunt Confirmat, Probabil, Posibil, Nicio dovadă găsită și Nemăsurat. Fiecare raport se încheie cu rândul „Scorurile și verdictele sunt estimări automate din semnale publice, nu afirmații despre un site sau despre autorii lui.” Nu folosim estimarea pentru a decide ceva despre o persoană. Poate fi greșită, iar ratele ei de eroare măsurate sunt publicate pe https://audit.crocky.host/verificare-ai. Dacă un verdict despre site-ul tău este greșit, spune-ne (secțiunea 6) și o persoană îl va reexamina.

14. Copii

Auditul gratuit nu cere vârsta nimănui și nu are nevoie de date personale (emailul e opțional). Pentru un cont trebuie să ai cel puțin 16 ani: sub această vârstă, art. 8 din GDPR cere acordul unui părinte pentru serviciile bazate pe consimțământ, iar noi nu verificăm vârsta. Dacă afli că un copil sub 16 ani are un cont, scrie la gdpr@crocky.host și îl ștergem.

15. Modificări

Vom modifica această politică atunci când se schimbă prelucrările, furnizorii sau legea. Versiunea în vigoare se află la https://audit.crocky.host/confidentialitate. Versiunea în vigoare arată data de la care se aplică. Versiunile anterioare sunt disponibile la cerere.

Versiunea 2.4, 15 octombrie 2026

Întrebări despre acest document: audit@crocky.host