POLITICA DE CONFIDENȚIALITATE ȘI INFORMARE

PRIVIND PRELUCRAREA DATELOR CU CARACTER PERSONAL

Ultima actualizare: 3.11.2026

La CHIMIRO IFN S.A., confidențialitatea și securitatea datelor dumneavoastră sunt prioritare. Pentru aceasta, depunem toate diligențele necesare să asigurăm respectarea tuturor cerințelor legislative privind protecția datelor cu caracter personal, în special cele prevăzute de Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date (RGPD).

Prezenta informare explică modul în care CHIMIRO IFN S.A. prelucrează datele cu caracter personal în legătură cu accesarea și utilizarea platformei chimiro.ro, solicitarea, analiza, acordarea și administrarea produselor de credit, precum și exercitarea drepturilor persoanelor vizate.

Cine este operatorul și cum ne puteți contacta?

Denumire	Chimiro IFN S.A. („Societatea” sau „Operatorul”)
Sediul Social	Municipiul București, Sectorul 2, Strada George Constantinescu nr. 3, Clădirea Globalworth BOC Tower, Etajul 3 (zona Supertree)
Registrul Comerțului	J2021002747133
CUI	44739340
Registrul General al BNR	RG-PJR-14-110371 din data de 24.11.2021
Responsabil cu Protecția Datelor	dpo@chimiro.ro

CUI SE APLICĂ ACEASTĂ INFORMARE?

Informarea se aplică persoanelor fizice care accesează sau utilizează chimiro.ro, creează ori folosesc un cont, completează sau transmit o cerere de credit, parcurg verificările de identificare și eligibilitate, încheie ori execută un contract de credit sau contactează Societatea în legătură cu serviciile oferite prin platformă.

CUM COLECTĂM DATELE DUMNEAVOASTRĂ?

Sursa	Cum apar datele în flux
Direct de la dumneavoastră	Prin contul Chimiro, cererea de credit, documentele încărcate, declarațiile și comunicările transmise către Societatea.
Din verificări externe	În funcție de verificările aplicabile cererii dumneavoastră, putem obține sau verifica informații prin mecanismul ANAF, prin intermediul furnizorilor utilizați pentru identificarea și verificările KYC/AML și prin consultarea Biroului de Credit, InfoDebit sau a altor surse legal accesibile utilizate pentru evaluarea bonității și a riscului de credit.
De la banca dumneavoastră, prin open banking	Dacă alegeți conectarea contului bancar ca alternativă la încărcarea documentelor justificative privind veniturile, obținem prin SoftLoans UAB informații privind tranzacțiile, veniturile și obligațiile financiare din contul dumneavoastră bancar, pe baza autorizării pe care o acordați.
De la brokeri și intermediari de credit	Dacă cererea dumneavoastră este inițiată prin intermediul unui broker sau al unei platforme partenere de comparare a ofertelor de credit, primim de la acesta datele de identificare și contact și informațiile privind interesul exprimat pentru un produs de credit, transmise de dumneavoastră intermediarului
Din relația contractuală	Date generate ulterior din analiza cererii, contract, plăți, rambursări, întârzieri, solicitări, reclamații și exercitarea drepturilor.
Din utilizarea platformei	Date tehnice și de securitate, cum ar fi adresa IP, informații despre dispozitiv/browser, autentificare și activitatea din cont, în măsura necesară funcționării și securității serviciului.

CE CATEGORII DE DATE PRELUCRĂM?

Categorie	Exemple relevante pentru fluxul de creditare
Date de identificare	Nume, prenume, CNP, data și locul nașterii, cetățenie, domiciliu/reședință, seria și numărul actului de identitate, autoritatea emitentă, data emiterii și expirării, imaginea documentului de identitate și celelalte informații cuprinse în acesta.
Date utilizate pentru identificarea la distanță și, după caz, date biometrice	Imaginea și/sau înregistrarea video a solicitantului, imaginea documentului de identitate și informațiile rezultate din procesul de verificare a identității. În măsura în care sunt prelucrate date biometrice în scopul identificarii unice a persoanei, prelucrarea se realizeaza în baza consimtamantului explicit al persoanei vizate, exprimat în cadrul fluxului de identificare la distanță.
Date de contact	Număr de telefon, adresă de e-mail, adresă poștală și alte date de contact comunicate de solicitant.
Date financiare și profesionale	Informații privind veniturile, sursa și nivelul acestora, angajatorul și/sau situația profesională, obligațiile financiare existente, gradul de îndatorare, contul bancar și IBAN-ul, precum și alte informații necesare evaluării eligibilității și capacității de rambursare.
Date privind cererea și relația de credit	Limita de credit solicitată și aprobată, scopul creditului, tragerile efectuate din linia de credit, informațiile cuprinse în cererea de credit, rezultatul analizei, contractele încheiate, plățile efectuate, sumele datorate, istoricul rambursărilor și alte informații rezultate din derularea relației de credit.
Date necesare verificărilor KYC/AML	Date utilizate pentru identificarea și verificarea identității, aplicarea măsurilor de cunoaștere a clientelei, verificarea calității de persoană expusă public (PEP), verificarea în liste de sancțiuni și îndeplinirea celorlalte obligații aplicabile privind prevenirea și combaterea spălării banilor și finanțării terorismului.
Date utilizate pentru evaluarea bonității și a riscului de credit	Informații furnizate de solicitant și informații obținute în urma verificărilor efectuate sau din surse externe utilizate în fluxul de creditare, inclusiv date privind veniturile, obligațiile financiare, gradul de îndatorare, istoricul și comportamentul de plată și alte informații relevante pentru evaluarea bonității, capacității de rambursare și riscului de credit.
Date utilizate pentru prevenirea și detectarea fraudei	Date și rezultate ale verificărilor utilizate pentru identificarea unor neconcordanțe, tentative de fraudă, utilizări neautorizate sau alte situații care pot afecta securitatea operațiunilor ori procesului de creditare.
Date tehnice și de securitate	Adresa IP, informații privind dispozitivul și browserul utilizat, data și ora accesării, date privind autentificarea și activitatea în cont, jurnale de sistem și alte informații tehnice necesare funcționării și securității platformei.
Date privind plățile și instrumentele de plată	Informații privind plătitorul, suma, moneda, tranzacția, instrumentul de plată utilizat și alte informații necesare autentificării, procesării, evidențierii, securității și prevenirii fraudei. Datele aferente cardului sunt introduse și procesate prin infrastructura prestatorului de servicii de plată, potrivit fluxului implementat.
Date privind sănătatea, în cazul creditelor destinate serviciilor sau cheltuielilor medicale	Informații care pot rezulta din documentele justificative furnizate pentru verificarea serviciului medical sau a costului acestuia. Societatea urmărește limitarea datelor colectate la cele strict necesare și, ori de câte ori este posibil, nu solicită informații privind diagnosticul sau alte detalii privind starea de sănătate. Datele privind sănătatea care apar în documentele transmise sunt prelucrate numai în măsura necesară analizării și administrării creditului destinat serviciilor sau cheltuielilor medicale.
Date privind preferințele de comunicare și marketing	Opțiunea exprimată cu privire la primirea comunicărilor comerciale, canalele de comunicare utilizate, precum și informațiile necesare administrării acordului, retragerii acestuia sau exercitării dreptului de opoziție. În măsura în care sunt utilizate pentru personalizarea comunicărilor, pot fi prelucrate și informații privind relația și interacțiunea dumneavoastră cu serviciile Chimiro, precum și rezultatele segmentării realizate în scop de marketing.

ÎN CE SCOPURI ȘI ÎN BAZA CĂROR TEMEIURI FOLOSIM DATELE?

Societatea prelucrează datele cu caracter personal numai în scopuri determinate și atunci când există un temei juridic aplicabil. În funcție de etapa procesului de creditare și de relația pe care o aveți cu Societatea, datele pot fi prelucrate în următoarele scopuri:

Scop	Detalii privind scopul	Temei juridic
Crearea și administrarea contului Chimiro	Crearea contului, autentificarea, administrarea accesului la platformă și gestionarea solicitărilor transmise prin cont.	• Demersuri precontractuale și executarea contractului [art. 6 alin. (1) lit. b) GDPR].
Identificarea și verificarea identității	Verificarea identității solicitantului și a documentului de identitate, inclusiv prin mijloace de identificare la distanță, pentru derularea în siguranță a procesului de creditare.	• Obligația legală de identificare și cunoaștere a clientelei, inclusiv potrivit Legii nr. 129/2019 [art. 6 alin. (1) lit. c) GDPR]. • Demersuri precontractuale, în măsura necesară [art. 6 alin. (1) lit. b) GDPR].
Identificarea la distanță și, dacă este cazul, prelucrarea datelor biometrice	În cadrul identificării la distanță pot fi prelucrate imaginea și/sau înregistrarea video, imaginea documentului de identitate și rezultatele verificărilor. Dacă soluția tehnică prelucrează caracteristici faciale în scopul identificării unice, sunt prelucrate date biometrice în sensul GDPR.	• Pentru datele obișnuite și imagini: obligație legală de cunoaștere a clientelei și, după caz, demersuri precontractuale [art. 6 alin. (1) lit. b) și c) GDPR]. • Dacă sunt prelucrate date biometrice în scopul identificării unice a persoanei, prelucrarea se realizează în baza consimțământului explicit al persoanei vizate, potrivit art. 9 alin. (2) lit. a) GDPR, exprimat în cadrul fluxului de identificare la distanță.
Aplicarea măsurilor KYC/AML, inclusiv verificări PEP și sancțiuni	Aplicarea măsurilor de cunoaștere a clientelei și efectuarea verificărilor necesare pentru prevenirea și combaterea spălării banilor și finanțării terorismului, inclusiv verificări PEP și în liste de sancțiuni.	• Îndeplinirea obligațiilor legale AML/KYC, inclusiv Legea nr. 129/2019 [art. 6 alin. (1) lit. c) GDPR].
Analizarea cererii de credit și evaluarea bonității	Pentru a analiza cererea și a stabili eligibilitatea, capacitatea de rambursare și riscul de credit, utilizăm informațiile furnizate de dumneavoastră și, după caz, informații obținute sau verificate prin ANAF, Biroul de Credit, InfoDebit și alte surse legal accesibile. Analiza poate include veniturile, obligațiile financiare, gradul de îndatorare și istoricul de plată. Anumite informații pot fi, de asemenea, utilizate în procese de scoring și profilare pentru evaluarea bonității, a capacității de rambursare și a nivelului de risc asociat cererii.	• Demersuri precontractuale [art. 6 alin. (1) lit. b) GDPR]. • Îndeplinirea obligațiilor legale privind evaluarea bonității [art. 6 alin. (1) lit. c) GDPR].
Luarea deciziei asupra cererii de credit, inclusiv prin procese automatizate	Rezultatele verificărilor, evaluării bonității și scoringului pot fi utilizate pentru aprobarea sau respingerea cererii. În cadrul fluxului Chimiro, decizia inițială de aprobare sau respingere este adoptată printr-un proces complet automatizat, fără intervenția prealabilă a unei persoane din cadrul Societății. Persoana vizată poate solicita ulterior intervenția unei persoane din cadrul Societății, își poate exprima punctul de vedere, poate furniza informații suplimentare și poate contesta decizia.	• Analiza cererii: art. 6 alin. (1) lit. b) și c) GDPR. • Decizia exclusiv automatizată este necesară pentru încheierea contractului de credit [art. 22 alin. (2) lit. a) GDPR] și se aplică garanțiile prevăzute la art. 22 alin. (3) GDPR.
Încheierea și administrarea contractului, plăților și rambursărilor	Pregătirea și încheierea contractului, punerea la dispoziție și administrarea creditului, calcularea sumelor datorate, procesarea și evidențierea plăților și rambursărilor și comunicarea pe durata relației contractuale.	• Încheierea și executarea contractului [art. 6 alin. (1) lit. b) GDPR]. • Obligațiile legale aplicabile anumitor operațiuni [art. 6 alin. (1) lit. c) GDPR].
Prevenirea fraudei și securitatea platformei	Prevenirea și detectarea tentativelor de fraudă sau a utilizărilor neautorizate, protejarea conturilor, monitorizarea securității tehnice și investigarea incidentelor.	• Interes legitim pentru prevenirea fraudei și protejarea serviciilor și sistemelor [art. 6 alin. (1) lit. f) GDPR]. • Obligații legale de securitate ori AML/KYC, când sunt aplicabile [art. 6 alin. (1) lit. c) GDPR].
Analiza utilizării website-ului (statistici)	Măsurarea traficului și a modului de utilizare a website-ului prin Google Analytics, pentru îmbunătățirea acestuia. Detalii în Politica privind cookie-urile.	• Consimțământul dumneavoastră, exprimat prin bannerul de cookie-uri [art. 6 alin. (1) lit. a) GDPR].
Administrarea întârzierilor la plată și recuperarea creanțelor	Gestionarea sumelor restante, notificarea și contactarea clientului, recuperarea creanțelor și, dacă este necesar, exercitarea sau apărarea drepturilor Societatea.	• Executarea contractului [art. 6 alin. (1) lit. b) GDPR]. • Interes legitim privind administrarea și recuperarea creanțelor [art. 6 alin. (1) lit. f) GDPR]. • Obligații legale, unde este cazul [art. 6 alin. (1) lit. c) GDPR].
Analizarea cererilor de credit cu scop medical	Verificarea documentelor justificative numai în măsura necesară stabilirii destinației ori eligibilității finanțării și administrării creditului. Urmărim să nu colectăm diagnosticul sau alte detalii medicale atunci când nu sunt necesare.	• Pentru datele obișnuite: art. 6 alin. (1) lit. b) GDPR. • Dacă documentele conțin date privind sanatatea, acestea sunt prelucrate în baza consimtamantului explicit al persoanei vizate, potrivit art. 9 alin. (2) lit. a) GDPR.
Gestionarea solicitărilor, reclamațiilor și exercitării drepturilor	Primirea, analizarea și soluționarea întrebărilor, reclamațiilor, sesizărilor și cererilor privind exercitarea drepturilor.	• Îndeplinirea obligațiilor legale [art. 6 alin. (1) lit. c) GDPR]. • Interes legitim pentru documentarea corespondenței și apărarea drepturilor, după caz [art. 6 alin. (1) lit. f) GDPR].
Îndeplinirea obligațiilor legale și apărarea drepturilor Societatea	Păstrarea evidențelor și documentelor obligatorii, obligații contabile, fiscale, de raportare și control, răspunsul către autorități și utilizarea datelor pentru constatarea, exercitarea sau apărarea unor drepturi.	• Obligații legale [art. 6 alin. (1) lit. c) GDPR]. • Interes legitim pentru constatarea, exercitarea sau apărarea drepturilor [art. 6 alin. (1) lit. f) GDPR]. • Pentru categorii speciale de date utilizate strict în acest context poate fi aplicabil art. 9 alin. (2) lit. f) GDPR.
Comunicări comerciale, marketing și personalizarea ofertelor	Dacă optați pentru primirea comunicărilor comerciale, Societatea poate utiliza datele dumneavoastră de contact pentru a vă transmite informații despre produsele, serviciile, ofertele și promoțiile Chimiro prin e-mail, SMS, telefon, WhatsApp sau notificări în contul de utilizator. În acest scop, Societatea poate utiliza și informații privind relația și interacțiunea dumneavoastră cu serviciile Chimiro pentru segmentarea publicului și personalizarea ofertelor și comunicărilor.	• Consimțământul dumneavoastră [art. 6 alin. (1) lit. a) GDPR]. Acordul este opțional și poate fi retras în orice moment.

CUM FOLOSIM DATELE PENTRU MARKETING ȘI CUM VĂ PUTEȚI RETRAGE ACORDUL?

Dacă vă exprimați acordul pentru marketing, Societatea vă poate transmite informații privind produsele, serviciile, ofertele și promoțiile Chimiro prin e-mail, SMS, telefon, WhatsApp sau notificări în contul de utilizator.

Pentru a adapta comunicările la interesele dumneavoastră, Societatea poate utiliza informații privind relația și interacțiunea dumneavoastră cu serviciile Chimiro pentru segmentare și personalizarea ofertelor. Datele privind sănătatea și documentele medicale nu sunt utilizate în acest scop.

Acordul pentru marketing este opțional și poate fi retras în orice moment, fără costuri, prin opțiunea de dezabonare disponibilă în contul dumneavoastră de utilizator sau prin datele de contact indicate în prezenta Politică. Retragerea acordului se aplică și segmentării sau profilării realizate în scop de marketing.

Retragerea produce efecte pentru viitor și nu afectează legalitatea prelucrărilor efectuate anterior. Refuzul sau retragerea acordului pentru marketing nu afectează posibilitatea de a utiliza serviciile Chimiro, de a solicita ori de a beneficia de un credit și nici executarea unui contract de credit deja încheiat.

FURNIZAREA DATELOR ESTE OBLIGATORIE?

Unele date cu caracter personal sunt necesare pentru identificarea dumneavoastră, efectuarea verificărilor impuse de lege, evaluarea bonității și analizarea, încheierea și administrarea contractului de credit.

În cazul în care nu furnizați datele necesare sau nu pot fi efectuate verificările fără de care Societatea nu-și poate îndeplini obligațiile legale ori nu poate evalua cererea de credit, este posibil ca cererea să nu poată fi analizată, aprobată sau, după caz, contractul să nu poată fi încheiat ori executat.

Nu toate datele solicitate sunt însă obligatorii. Datele prelucrate pe baza consimțământului pentru comunicări comerciale și marketing sunt opționale. Refuzul de a acorda consimțământul sau retragerea sa ulterioară nu afectează posibilitatea de a utiliza serviciile Chimiro, de a solicita ori de a beneficia de un credit și nici executarea unui contract de credit deja încheiat.

CUM EVALUĂM CEREREA DE CREDIT ȘI FOLOSIM DECIZII AUTOMATIZATE?

În cadrul procesului de creditare Chimiro, Societatea utilizează un proces complet automatizat pentru evaluarea cererii de credit și adoptarea deciziei de aprobare sau respingere.

Evaluarea se realizează pe baza datelor furnizate de dumneavoastră, precum și a informațiilor obținute sau verificate în cadrul procesului de creditare. Aceste informații sunt analizate prin aplicarea unor criterii și reguli de eligibilitate și risc stabilite de Societate și pot implica activități de scoring și profilare pentru evaluarea eligibilității, bonității și capacității de rambursare.

Decizia inițială asupra cererii poate fi adoptată fără intervenția prealabilă a unei persoane din cadrul Societății. O astfel de decizie este necesară pentru încheierea contractului de credit [art. 22 alin. (2) lit. a) GDPR].

Atunci când informațiile privind veniturile nu sunt suficiente, vi se propune fie conectarea contului bancar prin open banking (SoftLoans UAB), fie încărcarea unor documente justificative privind veniturile sau, pentru creditele cu scop medical, a unor documente privind serviciul medical. Documentele încărcate sunt verificate de un angajat al Societății, iar în aceste cazuri decizia nu este adoptată exclusiv automatizat.

Dacă nu sunteți de acord cu decizia, puteți solicita intervenția unei persoane din cadrul Societății și reanalizarea acesteia, vă puteți exprima punctul de vedere, puteți furniza informații sau explicații suplimentare și puteți contesta decizia, utilizând datele de contact indicate în prezenta Politică.

CUI PUTEM COMUNICA DATELE?

Societatea comunică sau permite accesul la datele cu caracter personal numai în măsura necesară pentru scopurile descrise în prezenta Politică, cu respectarea cerințelor legale aplicabile și, după caz, a obligațiilor de confidențialitate și securitate.

În funcție de serviciul prestat, de scopul prelucrării și de cadrul juridic aplicabil, destinatarii datelor pot acționa în calitate de persoane împuternicite de Societatea, operatori independenți sau destinatari cărora Societatea le comunică date în temeiul unei obligații legale.

I. Furnizori de servicii

Destinatar / categorie de furnizori	Date care pot fi prelucrate sau accesate	Scopul comunicării / accesului
Credimatic Network S.R.L.	Date de identificare, imagine documentului de identitate, imagine/video și alte date utilizate în procesul de identificare la distanță, precum și informațiile necesare verificărilor KYC/AML și accesării/verificării informațiilor disponibile prin ANAF.	Furnizarea soluțiilor informatice utilizate pentru identificarea la distanță, verificarea identității, verificările KYC/AML și facilitarea accesului la informațiile ANAF utilizate în fluxul de creditare.
Furnizori servicii Open banking Softloans UAB	Date de identificare și contact, informații privind cererea de credit, date financiare, informații privind veniturile, contul IBAN, tranzacțiile și obligațiile financiare, precum și alte date necesare evaluării bonității și riscului de credit, în funcție de fluxul implementat.	Furnizarea soluțiilor tehnologice utilizate în procesul digital de creditare, inclusiv pentru colectarea și analizarea informațiilor relevante, evaluarea bonității și a riscului de credit, scoring și susținerea procesului de analiză și decizie asupra cererii de credit, potrivit configurației serviciilor utilizate de Societate.
Furnizori IT, hosting (inclusiv Google Cloud), mentenanță și securitate informatică	Date tehnice, date de autentificare, date aferente contului și, în funcție de serviciul prestat, alte date găzduite sau gestionate prin sistemele Societatea.	Găzduirea și funcționarea platformei, mentenanța sistemelor, asigurarea securității informatice, administrarea infrastructurii și remedierea incidentelor tehnice.
Google Ireland Limited / Google LLC (Google Analytics)	Identificatori online (cookie-urile _ga și _ga_#), informații despre dispozitiv și browser, adresa IP și informații privind utilizarea website-ului, numai dacă ați acceptat cookie-urile statistice	Măsurarea și analizarea traficului pe website, în scopuri statistice.
Usercentrics A/S (Cookiebot)	Identificatorul și data consimțământului, opțiunile exprimate privind cookie-urile, adresa IP (în formă anonimizată) și informații despre browser	Gestionarea și documentarea consimțământului privind cookie-urile
Furnizori de servicii de comunicații (SMS, e-mail, WhatsApp și alte canale de comunicare)	Date de identificare și contact, în special numărul de telefon și adresa de e-mail, conținutul comunicărilor transmise prin serviciul respectiv, precum și informații tehnice și de status privind transmiterea comunicărilor, cum ar fi data și ora transmiterii, livrarea sau nelivrarea mesajului, validitatea datelor de contact, eventualele erori de transmitere și alte informații necesare administrării comunicării.	Transmiterea comunicărilor către solicitanți și clienți, inclusiv notificări și mesaje legate de cererea sau contractul de credit, autentificare și securitate, informări operaționale și, atunci când există temeiul aplicabil, comunicări comerciale; verificarea livrării mesajelor, funcționării canalelor de comunicare și actualității datelor de contact.
Furnizori de comunicații și arhivare	Date de identificare și contact, corespondență, documente contractuale și alte informații care trebuie comunicate sau arhivate.	Transmiterea comunicărilor, administrarea documentelor și arhivarea informațiilor conform cerințelor aplicabile.
Brokeri și intermediari de credit	Date de identificare și contact; informații privind interesul exprimat pentru un produs de credit; date privind cererea de credit; informații financiare și profesionale necesare analizării cererii; precum și, atunci când intermediarul participă la procesul de identificare și verificare, date și documente necesare procedurilor KYC, inclusiv datele de identificare și rezultatele verificărilor efectuate. În funcție de modelul de colaborare, Societatea poate comunica intermediarului informații privind stadiul cererii, rezultatul analizei și oferta de credit formulată, în măsura necesară derulării procesului de intermediere și administrării relației comerciale cu acesta.	Facilitarea accesului la produsele Societatii; transmiterea și preluarea cererilor de credit; identificarea și verificarea solicitantului, atunci când aceste activități sunt realizate prin intermediar; transmiterea către solicitant a rezultatului analizei sau a ofertei, după caz.
Prestatori de servicii de plată, inclusiv EuroPayment Services S.R.L.	Date privind plătitorul, suma, moneda, tranzacția, instrumentul de plată și informațiile necesare autentificării și procesării plății.	Procesarea plăților prin card și/sau virament, administrarea eventualelor plăți recurente, autentificarea tranzacțiilor, securitatea și prevenirea fraudei.
Consultanți, auditori, avocați și alți furnizori de servicii profesionale	Date strict necesare prestării serviciilor, în funcție de natura mandatului sau a serviciului furnizat.	Servicii juridice, audit, consultanță, conformitate, contabilitate, soluționarea disputelor și alte servicii profesionale necesare activității Societatea.
Furnizori implicați în administrarea și recuperarea creanțelor	Date de identificare și contact, informații privind contractul de credit, sumele datorate, istoricul plăților și informații relevante pentru creanța administrată.	Administrarea întârzierilor la plată, contactarea clientului, recuperarea creanțelor și exercitarea ori apărarea drepturilor Societatea.

II. Autorități și instituții publice

Autoritate / categorie	Date care pot fi comunicate sau schimbate	Scopul
Agenția Națională de Administrare Fiscală – ANAF	Informațiile necesare mecanismului aplicabil verificării veniturilor și, dacă este cazul, alte date prevăzute de cadrul juridic aplicabil.	Verificarea informațiilor privind veniturile și îndeplinirea obligațiilor legale sau procedurale aplicabile.
Banca Națională a României – BNR	Date și informații care fac obiectul obligațiilor de raportare, supraveghere sau furnizare de informații aplicabile Societatea în calitate de IFN.	Îndeplinirea obligațiilor de raportare și supraveghere și răspunsul la solicitările formulate în exercitarea atribuțiilor legale ale BNR.
Oficiul Național de Prevenire și Combatere a Spălării Banilor – ONPCSB	Date și informații relevante potrivit legislației privind prevenirea și combaterea spălării banilor și finanțării terorismului.	Îndeplinirea obligațiilor de raportare, furnizare de informații și cooperare prevăzute de legislația aplicabilă.
Instanțe judecătorești, organe de urmărire penală și alte autorități competente	Date necesare soluționării unei proceduri, executării unei obligații legale sau răspunsului la o solicitare formulată în mod legal.	Respectarea obligațiilor legale, soluționarea procedurilor și constatarea, exercitarea sau apărarea unor drepturi.
Alte autorități și instituții publice competente	Datele solicitate în limitele atribuțiilor legale ale autorității respective.	Îndeplinirea obligațiilor legale sau răspunsul la solicitări formulate în baza competențelor prevăzute de lege.

III. Birouri de credit și baze de date privind istoricul de credit

Destinatar	Date implicate	Scopul comunicării / consultării
Biroul de Credit S.A.	Informații privind istoricul de credit și de plată, obligațiile financiare și alte informații disponibile în Sistemul Biroului de Credit sau transmise potrivit regulilor aplicabile participării la sistem.	Evaluarea bonității, capacității de rambursare și riscului de credit și, după caz, transmiterea informațiilor în Sistemul Biroului de Credit conform regulilor aplicabile.
Biroul Istoriilor de Credit INFODEBIT S.R.L.	Informații privind istoricul de credit și de plată, obligațiile financiare, eventualele restanțe și alte informații disponibile în registrul InfoDebit sau transmise de participanți potrivit regulilor aplicabile.	Evaluarea bonității, comportamentului de plată și riscului de credit și, după caz, transmiterea informațiilor necesare formării sau actualizării istoricului de credit.

TRANSFERURI ÎN AFARA SPAȚIULUI ECONOMIC EUROPEAN

Datele dumneavoastră sunt prelucrate, de regulă, în Spațiul Economic European (SEE). Anumiți furnizori utilizați de Societate fac parte din grupuri cu sediul în afara SEE sau pot accesa date din afara SEE, ceea ce poate implica transferuri de date, în special către Statele Unite ale Americii.

Acești furnizori sunt Google (Google Analytics, numai dacă ați acceptat cookie-urile statistice, și Google Cloud, utilizat pentru găzduire) și Meta Platforms (WhatsApp, utilizat pentru comunicarea cu clienții).

Pentru aceste transferuri, Societatea se bazează pe decizia de adecvare adoptată de Comisia Europeană pentru Cadrul UE-SUA privind confidențialitatea datelor (EU-U.S. Data Privacy Framework), în cazul furnizorilor certificați în cadrul acestuia, și/sau pe Clauzele Contractuale Standard adoptate de Comisia Europeană, împreună cu măsurile suplimentare necesare, atunci când este cazul. Puteți solicita informații suplimentare privind garanțiile aplicabile la dpo@chimiro.ro.

Dacă intervine o modificare relevantă privind transferurile internaționale, Societatea va actualiza prezenta Politică și va furniza persoanelor vizate informațiile necesare cu privire la transfer, destinatari și garanțiile aplicabile.

CÂT TIMP PĂSTRĂM DATELE?

Societatea păstrează datele cu caracter personal numai atât timp cât este necesar pentru scopurile pentru care acestea sunt prelucrate și pentru respectarea obligațiilor legale aplicabile. La stabilirea perioadelor de păstrare sunt avute în vedere natura datelor, scopul prelucrării, durata relației cu persoana vizată și termenele prevăzute de legislația aplicabilă.

Categoria de date / activitatea	Perioada de păstrare
Contul Chimiro, date privind utilizarea platformei și date tehnice	Pe durata existenței contului și 3 ani de la închiderea contului sau de la ultima activitate relevantă, oricare intervine mai târziu. Datele pentru care se aplică un termen legal special se păstrează potrivit acelui termen.
Cereri de credit care nu conduc la încheierea unui contract, inclusiv preevaluare, evaluarea bonității, scoring, profilare și rezultatul deciziei	3 ani de la data respingerii cererii, retragerii acesteia sau de la ultima interacțiune relevantă privind cererea, pentru documentarea analizei, gestionarea reclamațiilor/contestațiilor și constatarea, exercitarea sau apărarea unor drepturi. Termenul de 3 ani este corelat cu termenul general de prescripție prevăzut de art. 2.517 Cod civil. Datele pentru care se aplică un termen legal special se păstrează potrivit acelui termen.
Date de identificare, KYC/AML și identificare la distanță, inclusiv imagine/video și documente de identificare	5 ani de la încetarea relației de afaceri sau de la efectuarea tranzacției ocazionale. În cazurile prevăzute de lege, autoritățile competente pot solicita prelungirea acestei perioade cu o perioadă care nu poate depăși încă 5 ani.
Date privind contractul de credit, administrarea creditului, plățile și documentele financiar-contabile	Pe durata relației contractuale și, pentru datele contractuale necesare constatării, exercitării sau apărării drepturilor, 3 ani de la încetarea raportului contractual, dacă un termen legal special nu impune o păstrare mai lungă. Registrele de contabilitate obligatorii și documentele justificative se păstrează 5 ani calculați de la 1 iulie a anului următor celui încheierii exercițiului financiar în care au fost întocmite. Datele care fac parte din evidențele AML/KYC urmează termenul aplicabil acelor evidențe.
Acordurile și evidențele aferente consultării informațiilor ANAF	Acordurile electronice transmise în cadrul mecanismului reglementat și evidența accesărilor sunt păstrate 8 ani. Informațiile obținute de la ANAF sunt păstrate potrivit termenului aplicabil cererii sau relației de credit în cadrul căreia au fost utilizate.
Date obținute sau comunicate prin Biroul de Credit și InfoDebit	Rapoartele și informațiile păstrate de Societatea ca parte a dosarului de credit urmează termenul aplicabil cererii de credit sau relației contractuale în cadrul căreia au fost utilizate. Perioada de păstrare în sistemele Biroului de Credit și InfoDebit este distinctă de perioada de păstrare de către Societatea și este stabilită de operatorii sistemelor respective potrivit regulilor lor aplicabile.
Date privind sănătatea aferente creditelor pentru servicii sau cheltuieli medicale	Până la finalizarea verificării pentru care sunt necesare. Datele privind sănătatea care nu mai sunt necesare se șterg sau se anonimizează. Dacă documentele care le conțin trebuie păstrate în mod justificat în dosarul contractual sau pentru constatarea, exercitarea ori apărarea unor drepturi, se aplică termenul corespunzător acelui dosar sau scop.
Date utilizate pentru comunicări comerciale și marketing	Până la retragerea consimțământului, exercitarea dreptului de opoziție sau până când prelucrarea nu mai este necesară pentru scopul de marketing, dar nu mai mult de 3 ani de la ultima interacțiune relevantă în acest scop. După retragere sau opoziție poate fi păstrată evidența minimă necesară pentru respectarea opțiunii persoanei și demonstrarea conformității.
Solicitări privind drepturile, reclamații, recuperarea creanțelor și litigii	Solicitările privind exercitarea drepturilor și reclamațiile se păstrează 3 ani de la soluționarea definitivă. Datele privind recuperarea creanțelor și litigiile se păstrează pe durata procedurii și 3 ani de la soluționarea definitivă sau încetarea acesteia, dacă un termen legal special ori necesitatea executării unei hotărâri nu justifică un termen mai lung.

Dacă aceleași date sunt necesare pentru mai multe scopuri cărora li se aplică perioade diferite de păstrare, acestea pot fi păstrate până la expirarea celui mai lung termen aplicabil, însă numai pentru scopul care justifică păstrarea lor în continuare. La expirarea perioadelor aplicabile, datele sunt șterse, distruse în condiții de securitate sau anonimizate ireversibil, cu excepția cazului în care legea impune păstrarea lor în continuare.

CARE SUNT DREPTURILE DUMNEAVOASTRĂ?

În legătură cu prelucrarea datelor dumneavoastră cu caracter personal de către Societatea, beneficiați de următoarele drepturi, în limitele și cu respectarea condițiilor prevăzute de legislația aplicabilă:

Drept	Descriere
Dreptul de a fi informat	Aveți dreptul să primiți informații clare cu privire la modul în care Societatea colectează și utilizează datele dumneavoastră, inclusiv scopurile și temeiurile prelucrării, categoriile de date utilizate, sursele acestora, destinatarii, perioadele de păstrare și drepturile de care beneficiați.
Dreptul de acces la date	Puteți solicita confirmarea faptului că Societatea prelucrează sau nu date care vă privesc și, dacă da, puteți obține acces la acestea și la informațiile prevăzute de lege, precum și o copie a datelor prelucrate. În legătură cu procesul decizional automatizat utilizat pentru evaluarea cererii de credit, puteți solicita și informațiile relevante prevăzute de GDPR cu privire la logica implicată, precum și la importanța și consecințele preconizate ale prelucrării.
Dreptul la rectificare	Puteți solicita corectarea datelor inexacte care vă privesc și, ținând seama de scopurile prelucrării, completarea datelor incomplete.
Dreptul la ștergerea datelor	În situațiile prevăzute de lege, puteți solicita ștergerea datelor dumneavoastră. Acest drept nu este absolut. De exemplu, anumite date nu pot fi șterse atunci când Societatea trebuie să le păstreze pentru respectarea unei obligații legale, pentru constatarea, exercitarea sau apărarea unui drept ori pentru alte situații în care GDPR permite continuarea prelucrării.
Dreptul la restricționarea prelucrării	În cazurile prevăzute de GDPR, puteți solicita limitarea temporară a utilizării datelor, de exemplu atunci când contestați exactitatea acestora sau legalitatea prelucrării. Pe durata restricționării, datele pot fi păstrate, iar alte operațiuni asupra lor vor fi efectuate numai în condițiile prevăzute de lege.
Dreptul la portabilitatea datelor	Pentru datele furnizate de dumneavoastră care sunt prelucrate prin mijloace automate în baza consimțământului sau a unui contract, puteți solicita primirea acestora într-un format structurat, utilizat în mod curent și care poate fi citit automat. Atunci când este posibil din punct de vedere tehnic, puteți solicita transmiterea directă a datelor către un alt operator.
Dreptul de a vă opune prelucrării	Atunci când prelucrarea se întemeiază pe interesul legitim al Societatea, vă puteți opune, din motive legate de situația dumneavoastră particulară, continuării prelucrării. Societatea va înceta prelucrarea, cu excepția cazului în care poate demonstra existența unor motive legitime și imperioase care prevalează sau dacă datele sunt necesare pentru constatarea, exercitarea ori apărarea unui drept.
Dreptul de a vă opune marketingului direct	Vă puteți opune în orice moment utilizării datelor dumneavoastră în scop de marketing direct, inclusiv profilării în măsura în care aceasta este legată de marketingul direct. În urma opoziției, datele nu vor mai fi utilizate în aceste scopuri.
Dreptul de a vă retrage consimțământul	Atunci când prelucrarea se bazează pe consimțământul dumneavoastră, îl puteți retrage în orice moment. Pentru marketing, retragerea poate fi realizată prin opțiunea de dezabonare disponibilă în contul de utilizator sau prin datele de contact indicate în prezenta Politică. Retragerea produce efecte pentru viitor și nu afectează legalitatea prelucrării realizate înainte de retragere. Retragerea consimțământului pentru marketing nu afectează cererea sau contractul dumneavoastră de credit.
Drepturi privind deciziile exclusiv automatizate, inclusiv profilarea	În cadrul fluxului Chimiro, decizia inițială asupra cererii de credit este adoptată printr-un proces complet automatizat. Aveți dreptul să solicitați intervenția unei persoane din cadrul Societății și reanalizarea deciziei, să vă exprimați punctul de vedere, să furnizați informații sau explicații suplimentare și să contestați decizia.
Dreptul de a depune o plângere	Dacă apreciați că datele dumneavoastră sunt prelucrate cu încălcarea legislației privind protecția datelor, puteți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), Bd. G-ral Gheorghe Magheru nr. 28–30, Sector 1, cod poștal 010336, București, România. Telefon: +40 31 805 92 11. E-mail: anspdcp@dataprotection.ro. Website: www.dataprotection.ro. De asemenea, beneficiați de dreptul la o cale de atac judiciară, în condițiile legii.

Cum vă puteți exercita drepturile?

Pentru exercitarea drepturilor de mai sus, puteți transmite o solicitare către Societatea:

prin e-mail, la dpo@chimiro.ro;
prin poștă sau curier, la CHIMIRO IFN S.A., Municipiul București, Sectorul 2, Strada George Constantinescu nr. 3, Imobilul Globalworth BOC Tower, Etajul 3 (zona Supertree);
prin intermediul contului dumneavoastră de utilizator, dacă această funcționalitate este disponibilă pentru solicitarea respectivă.

Societatea va facilita exercitarea drepturilor dumneavoastră. Atunci când există îndoieli rezonabile cu privire la identitatea persoanei care formulează solicitarea, vă putem solicita informații suplimentare strict necesare pentru confirmarea identității. GDPR permite această verificare atunci când există asemenea îndoieli.

Vom răspunde solicitării dumneavoastră fără întârzieri nejustificate și, în orice caz, în termen de o lună de la primirea acesteia. Dacă este necesar, ținând seama de complexitatea și numărul solicitărilor, termenul poate fi prelungit cu cel mult încă două luni. Într-o asemenea situație, vă vom informa cu privire la prelungire și motivele acesteia în termen de o lună de la primirea solicitării. Dacă transmiteți solicitarea în format electronic, răspunsul va fi furnizat, atunci când este posibil, tot prin mijloace electronice, cu excepția cazului în care solicitați o altă modalitate.

Exercitarea drepturilor este, în principiu, gratuită. În cazul în care o solicitare este în mod vădit nefondată sau excesivă, în special din cauza caracterului său repetitiv, Societatea poate, în condițiile GDPR, să perceapă o taxă rezonabilă care să țină seama de costurile administrative sau să refuze să dea curs solicitării. În acest caz, Societatea trebuie să poată demonstra caracterul vădit nefondat sau excesiv al solicitării.

Dacă nu vom da curs unei solicitări, vă vom comunica motivele, precum și posibilitatea de a depune o plângere la autoritatea de supraveghere și de a vă adresa instanței.

SECURITATEA DATELOR

Societatea aplică măsuri tehnice și organizatorice adecvate pentru protejarea datelor împotriva accesului neautorizat, pierderii, distrugerii, modificării sau divulgării neautorizate. Accesul la date este limitat la persoanele și furnizorii care au nevoie de acesta pentru îndeplinirea atribuțiilor sau serviciilor lor.

Accesul la documentele medicale și la celelalte categorii speciale de date este limitat la persoanele autorizate, cu aplicarea unor măsuri adecvate de confidențialitate și securitate. În cazul în care Societatea intenționează să prelucreze date privind sănătatea în alte scopuri decât cele menționate în prezenta Politică, o asemenea prelucrare va avea loc numai dacă există un temei juridic aplicabil potrivit art. 6 GDPR și, pentru datele privind sănătatea, o condiție aplicabilă dintre cele prevăzute la art. 9 alin. (2) GDPR.

MODIFICAREA INFORMĂRII

Putem actualiza această informare atunci când se modifică serviciile, fluxurile de creditare, furnizorii sau cerințele legale aplicabile. Versiunea actualizată va fi publicată pe chimiro.ro, împreună cu data ultimei actualizări.