Versiunea 2026-10-21 · în vigoare de la 1 noiembrie 2026
Documentul explică ce date personale colectăm când rezervi un bilet pe acest site, de ce le colectăm, cine le vede și ce drepturi ai. E scris ca să fie citit, nu ca să fie bifat.
Sunt două societăți implicate, cu roluri diferite. Distincția contează pentru că îți poți exercita drepturile față de oricare dintre ele.
Str. Bogdan Vodă nr. 125, Sighetu Marmației, jud. Maramureș · CUI 14502414 · [email protected] · 0725 973 999
Este operator pentru datele legate de călătoria ta: rezervarea, biletul, locul, stațiile, prețul. Tinuta este și vânzătorul biletului.
CUI RO50510723 · Iași · [email protected]
Furnizează sistemul de rezervări și reține un comision din plățile online. Este persoană împuternicită pentru datele de călătorie (le prelucrează la instrucțiunile Tinuta) și operator pentru contul tău CarpaBus, care este valabil la toți operatorii din platformă.
| Categorie | Date | Când |
|---|---|---|
| Cont | Nume utilizator, nume complet, adresa de email sau numărul de telefon (cel puțin unul, pentru codurile de verificare), parolă (stocată criptat, niciodată în clar) | La crearea contului |
| Verificare | Cod de unică folosință trimis pe email, momentul trimiterii | La verificarea contului și la resetarea parolei |
| Călătorie | Numele pasagerilor, locul, stația de urcare și coborâre, tipul de tarif, prețul, codul biletului (un cod aleator, afișat ca QR), momentul validării la urcare | La rezervare și la scanarea biletului |
| Coletărie | Descrierea coletului, greutatea, numele și telefonul destinatarului | Dacă trimiți un colet |
| Plată | Suma, moneda, starea plății și a eventualei restituiri, identificatorii tranzacției la procesator. Nu vedem și nu stocăm datele cardului — le introduci direct în formularul securizat al Stripe. | Când plătești online |
| Facturare (opțional) | Dacă bifezi „Doresc factură”: denumirea firmei, CUI-ul, nr. de înregistrare la Registrul Comerțului, sau numele tău; adresa și emailul pentru factură; opțional CNP-ul, numele delegatului și seria și numărul actului lui de identitate. Datele firmei le putem completa din registrul public ANAF, după CUI-ul pe care îl introduci. | Doar dacă ceri factură |
| Tehnice | Adresa IP și contoare de utilizare, folosite strict împotriva abuzurilor; jurnal de audit al acțiunilor importante; semnalele verificării anti-robot, dacă este activă | Automat |
Nu îți folosim datele pentru marketing și nu le vindem nimănui. Nu luăm decizii automate cu efect juridic asupra ta și nu facem profilare.
[email protected].Plățile online se fac prin Stripe Connect: banii intră în contul Stripe al Tinuta, care este vânzătorul biletului, iar CarpaBus primește din fiecare plată comisionul de platformă. Datele cardului le introduci direct în formularul Stripe; nici Tinuta, nici CarpaBus nu le văd. Pentru unele prelucrări legate de plată, cum ar fi prevenirea fraudei și obligațiile legale proprii, Stripe acționează ca operator independent și aplică propria politică de confidențialitate.
Cererile de factură ajung, după plată, pe emailul Tinuta stabilit pentru facturare; Tinuta emite factura și ți-o trimite pe emailul indicat de tine. CNP-ul și datele actului de identitate al delegatului se șterg din sistemul nostru imediat după trimiterea cererii; dacă alegi „Salvează datele pentru facturile viitoare”, păstrăm doar datele firmei sau numele, adresa și emailul, ca să le completăm automat data viitoare — le poți modifica sau șterge oricând.
Codul QR al biletului conține doar un cod aleator. Dacă îl scanează o cameră obișnuită, se deschide o pagină care nu afișează nicio dată personală; biletul se validează doar în aplicația șoferului.
Dacă un furnizor prelucrează date în afara Spațiului Economic European, transferul se face pe baza Clauzelor Contractuale Standard aprobate de Comisia Europeană.
| Date | Durată | Motiv |
|---|---|---|
| Cont activ | Cât timp îl folosești | Serviciul are nevoie de el |
| Cont neconfirmat (codul primit prin SMS sau email nu a fost introdus), fără rezervări | Telefonul sau emailul devine disponibil pentru altcineva după 15 minute; contul este șters definitiv după cel mult 8 zile | Minimizarea datelor |
| Cont inactiv | 24 de luni de la ultima autentificare, apoi anonimizat | Minimizarea datelor |
| Rezervări și bilete | Anonimizate odată cu contul; înregistrarea financiară se păstrează conform legislației fiscale | Obligație legală |
| Date de facturare salvate | Până le ștergi sau îți închizi contul | Le-ai cerut tu, pentru comenzile viitoare |
| CNP și act de identitate al delegatului | Până la trimiterea cererii de factură către Tinuta (de regulă imediat după plată) | Minimizarea datelor |
| Coduri de verificare | 10 minute | Nu mai au scop după |
| Contoare anti-abuz | 30 de zile | Nu mai au scop după |
| Jurnal de audit | 24 de luni | Securitate și trasabilitate |
| Lista cursei pe telefonul șoferului | Până la sfârșitul zilei cursei | Verificarea biletelor fără semnal |
Când îți închizi contul, datele tale personale sunt anonimizate, nu doar ascunse: numele, telefonul și emailul sunt înlocuite ireversibil. Rezervările rămân în evidență fără legătură cu tine, pentru că factura aferentă trebuie păstrată conform legii.
Conform GDPR ai dreptul de acces la datele tale, de rectificare, de ștergere, de restricționare a prelucrării, de portabilitate și de opoziție. Îți poți retrage oricând consimțământul, fără ca asta să afecteze legalitatea prelucrării de dinainte.
Cum le exerciți, practic: îți poți șterge contul singur, din Setări → Șterge contul, sau prin pagina de ștergere a contului. Pentru orice altă cerere, scrie la [email protected] sau la [email protected]. Răspundem în cel mult 30 de zile.
Dacă nu ești mulțumit de răspuns, poți depune plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru nr. 28–30, București, dataprotection.ro.
Serviciul se adresează persoanelor care au împlinit 16 ani. Nu colectăm cu bună știință date ale copiilor sub această vârstă. Un minor sub 16 ani poate călători, dar contul și rezervarea se fac de către un părinte sau reprezentant legal, care răspunde de datele introduse.
Dacă aflăm că am prelucrat date ale unui copil sub 16 ani fără acordul reprezentantului legal, oprim prelucrarea și ștergem datele fără întârziere. Dacă ești părinte și crezi că s-a întâmplat asta, scrie-ne la adresa de contact de mai sus.
Nu avem obligația legală de a desemna un responsabil cu protecția datelor (DPO), întrucât nu efectuăm monitorizare sistematică pe scară largă și nu prelucrăm categorii speciale de date. Orice chestiune privind datele personale se adresează direct la adresa de contact de mai sus și este tratată de administrator.
Site-ul nu folosește cookie-uri de urmărire, de publicitate sau de analiză și nu ești urmărit între site-uri. Folosim doar stocarea strict necesară serviciului pe care îl ceri — contul, rezervarea și plata. Pentru stocarea strict necesară legea nu cere consimțământ, ci doar informarea ta (art. 5 alin. (3) din Directiva 2002/58/CE, transpus prin art. 4 alin. (5) din Legea nr. 506/2004).
| Ce stocăm | Scop | Durată | Categorie |
|---|---|---|---|
| Sesiunea de autentificare (cookie securizat, inaccesibil scripturilor din pagină) | Te ține autentificat | Până te deconectezi; expiră după aproximativ 30 de minute de inactivitate și cel târziu la 12 ore de la autentificare | Strict necesar |
| Starea contului în pagină (conectat, tipul contului) | Afișarea meniului potrivit contului tău | Se șterge la deconectare | Strict necesar |
| Preferințe (limbă, temă) | Să nu te întrebăm la fiecare pagină | Până le ștergi din browser | Strict necesar |
| Faptul că ai închis nota despre cookie-uri | Să nu ți-o mai arătăm | Până la următoarea modificare a acestei politici | Strict necesar |
Cookie-uri Stripe (__stripe_mid, __stripe_sid) | Procesarea plății și prevenirea fraudei, doar la pasul de plată | 1 an / 30 de minute | Strict necesar |
Nici Cloudflare, care găzduiește site-ul, nu setează cookie-uri. Dacă verificarea anti-robot Cloudflare Turnstile este activă, ea rulează doar în formularele de creare a contului și de resetare a parolei, unde Cloudflare prelucrează date tehnice ale browserului (de exemplu adresa IP) ca să deosebească oamenii de programele automate. Cookie-urile de la pasul de plată sunt ale Stripe, procesatorul de plăți, și se supun politicii de cookie-uri Stripe. Aplicația mobilă CarpaBus nu folosește cookie-uri; regulile ei sunt descrise în politica CarpaBus.
Cum ștergi aceste date: din setările browserului („Șterge datele site-ului”); te vei deconecta, iar site-ul va uita limba și tema alese. Dacă vom adăuga vreodată ceva opțional, de exemplu statistici de trafic, nu îl vom activa înainte să-ți cerem acordul.
Parolele sunt stocate cu funcție de hashing dedicată, comunicația se face criptat (HTTPS), datele operatorilor sunt izolate între ele la nivel de bază de date, iar accesul administrativ este restrâns per operator. În cazul unei breșe de securitate care îți poate afecta drepturile, te informăm fără întârziere nejustificată.
Dacă schimbăm ceva important, actualizăm versiunea din capul paginii și te anunțăm cu cel puțin 15 zile înainte, pe site și prin email. Versiunea acceptată la crearea contului rămâne înregistrată.