PRIVIND PRELUCRAREA DATELOR CU CARACTER PERSONAL

ONEY FINANCES S.R.L. acordă o importanță deosebită protecției datelor cu caracter personal și se angajează să prelucreze datele dumneavoastră în mod corect, transparent și în deplină conformitate cu legislația aplicabilă.Prezenta Notă de informare descrie modul în care Oney prelucrează datele cu caracter personal cu privire la persoanele fizice care:

a)      accesează sau utilizează site-ul oney.ro/landing/creditonline („Site”);
b)     se abonează la comunicările de tip newsletter transmise de Oney („Newsletter”);
c)      solicită un credit de consum prin intermediul serviciului de intermediere oferit de Oney în relația cu instituțiile financiare partenere („Creditori”), prin redirecționare de la site-ul unui comerciant partener al Oney („Comerciant partener”);
d)     Transmiterea de comunicări de marketing direct de către Oney prin e-mail, SMS și telefon și, după caz, transmiterea datelor către Creditori parteneri pentru marketing direct al acestora;
e)      transmit către Oney sesizări sau alte comunicări.

Nota de informare este elaborată în conformitate cu Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date și de abrogare a Directivei 95/46/CE („GDPR”), cu Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR, cu Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice.

Vă recomandăm să citiți cu atenție prezenta Notă de informare pentru a înțelege modul în care prelucrăm datele dumneavoastră, drepturile pe care le aveți și modalitățile prin care le puteți exercita.

1. Operatorul datelor cu caracter personal

1.1. Oney prelucrează datele cu caracter personal în calitate de operator, în sensul art. 4 pct. 7 din GDPR.

1.2. Datele de identificare și contact ale operatorului:

Denumire: ONEY FINANCES S.R.L., cu sediul social în București, str. Brașov, nr. 25, etajul 5, Sector 6, nr. înregistrare ORCT București: J2006014345403, având CUI/CIF: RO 19002592, e-mail: contact@oney.ro

Pentru contractul de credit pe care îl veți încheia cu instituția financiară aleasă, operatorul datelor în legătură cu acest contract și cu prelucrările aferente (analiză, scoring, executarea contractului) este acea instituție, denumită în continuare ”creditorul”. Modul în care Creditorul prelucrează datele este descris în nota de informare a Creditorului, care vă va fi pusă la dispoziție de către acesta. Oney și Creditorul sunt operatori separați, fiecare răspunzător de propriile prelucrări.

2. Responsabilul cu protecția datelor (DPO)

2.1. Oney a desemnat un Responsabil cu Protecția Datelor (DPO), pe care îl puteți contacta pentru orice întrebare, solicitare sau reclamație referitoare la prelucrarea datelor dumneavoastră cu caracter personal sau la exercitarea drepturilor dumneavoastră. La adresa dpo@oney.ro

3. Domeniul de aplicare

3.1. Prezenta Notă de informare se aplică prelucrărilor de date cu caracter personal efectuate de Oney în următoarele contexte:

a.Utilizarea Site-ului (navigare, cookie-uri, formulare de contact);

b.Abonarea și utilizarea Newsletter-ului;

c.Serviciul de intermediere de credit furnizat de Oney în relația cu Creditorii parteneri și cu Comercianții parteneri ai Oney;

d.Gestionarea reclamațiilor, sesizărilor și a oricăror comunicări din partea persoanelor vizate;

e.Îndeplinirea obligațiilor legale aplicabile Oney și apărarea drepturilor proprii.

3.2. Politica nu se aplică prelucrărilor efectuate de comercianții parteneri pe site-urile acestora, nici prelucrărilor efectuate de Creditori. Aceste prelucrări sunt guvernate de politicile proprii ale fiecărui Comerciant, respectiv Creditor.

4. Sursele datelor cu caracter personal

4.1. Oney obține datele cu caracter personal din următoarele surse:

a)      Direct de la dumneavoastră: în mod direct, atunci când completați formulare pe Site , cum ar fi pentru a primi e-mail pentru newsletter, transmiteți reclamații sau alte comunicări către Oney, sau bifați căsuța de consimțământ pe pagina Oney în cadrul procesului de intermediere.

b)     De la Comerciantul partener: în cadrul procesului de intermediere de credit, Comerciantul partener pe site-ul căruia ați inițiat solicitarea de credit transmite Oney datele dumneavoastră necesare pentru prelucrarea cererii (nume, prenume, telefon, e-mail, detalii privind coșul de cumpărături, suma solicitată, numărul de rate dorit, după caz). În această situație, Comerciantul este sursa categoriei generale „comercianți parteneri ai Oney”.

c)      Generate automat: anumite date sunt generate automat la utilizarea Site-ului (adresa IP, identificator dispozitiv, jurnale tehnice, cookie-uri), conform Politicii Cookies.

4.2. Conform art. 14 GDPR, vă comunicăm că o parte semnificativă a datelor prelucrate de Oney în cadrul serviciului de intermediere este obținută indirect, de la Comerciantul partener care vă redirecționează către pagina Oney. La momentul accesării paginii Oney pentru exprimarea consimțământului, prezenta Politică vă este pusă la dispoziție în vederea îndeplinirii obligației de informare.

5. Scopurile, categoriile de date, temeiurile juridice și duratele de stocare

5.1. În cele ce urmează, prezentăm, pentru fiecare scop al prelucrării, categoriile de date prelucrate, sursa acestora, temeiul juridic al prelucrării, consecințele nefurnizării datelor și durata de stocare.

5.A. Utilizarea Site-ului (navigare și funcționalitate)

·        Categorii de date: adresa IP, identificator de dispozitiv, tip browser și sistem de operare (user-agent), data și ora accesării, paginile vizitate, date privind interacțiunea cu Site-ul, cookie-uri tehnice strict necesare.

·        Sursa: generate automat în urma accesării Site-ului.

·        Temei juridic: art. 6 alin. (1) lit. f) GDPR — interesul legitim al Oney de a asigura funcționarea, securitatea și disponibilitatea Site-ului, de a preveni utilizarea abuzivă și de a investiga eventuale incidente.

·        Consecințele nefurnizării: aceste date sunt generate automat la accesarea Site-ului; fără ele, accesarea Site-ului nu ar fi tehnic posibilă.

·        Durata de stocare: jurnalele tehnice (log-urile) sunt stocate pentru o perioadă de maximum 30 de zile, în afara cazurilor în care este necesară stocarea pe perioade mai îndelungate pentru investigarea unor incidente de securitate sau pentru îndeplinirea unor obligații legale.

5.B. Cookie-uri non-esențiale (analiză, marketing, statistică)

·        Categorii de date: date privind comportamentul pe Site (pagini accesate, timp petrecut, surse de trafic, interacțiuni), eventuali identificatori unici asociați cookie-urilor.

·        Sursa: generate la accesarea Site-ului, după acordarea consimțământului în bannerul de cookie-uri.

·        Temei juridic: art. 6 alin. (1) lit. a) GDPR - consimțământul dumneavoastră, acordat prin intermediul bannerului de cookie-uri afișat la prima accesare a Site-ului. Pentru cookie-urile non-esențiale, temeiul este coroborat cu art. 4 alin. (5) din Legea nr. 506/2004.

·        Consecințele nefurnizării: dacă nu acordați consimțământul, cookie-urile non-esențiale nu vor fi instalate; Site-ul rămâne funcțional, dar anumite funcționalități de analiză sau experiență personalizată nu vor fi disponibile.

·        Durata de stocare: variabilă, în funcție de categoria de cookie. Detalii complete sunt prezentate în Politica Cookies.

5.C. Abonarea și transmiterea Newsletter-ului

·        Categorii de date: adresa de e-mail, eventual nume și prenume (dacă alegeți să le furnizați), date privind interacțiunea cu Newsletter-ul (data primirii, deschidere, click-uri pe link-uri), data și ora exprimării și retragerii consimțământului, conținutul comunicării de confirmare double opt-in.

·        Sursa: direct de la dumneavoastră, prin completarea formularului de abonare de pe Site.

·        Temei juridic: art. 6 alin. (1) lit. a) GDPR — consimțământul dumneavoastră liber exprimat. Pentru transmiterea comunicărilor comerciale prin e-mail, temeiul este coroborat cu art. 12 din Legea nr. 506/2004 (regula opt-in pentru comunicări comerciale electronice).

·        Consecințele nefurnizării: fără furnizarea adresei de e-mail și acordarea consimțământului, nu vă putem transmite newsletterul. Acest serviciu este complet opțional și nu condiționează accesul la alte servicii sau funcționalități ale Site-ului.

·        Durata de stocare: pe toată durata în care abonarea este activă (consimțământul valabil exprimat). După retragerea consimțământului sau dezabonarea, datele asociate (adresa de e-mail) sunt stocate pentru o perioadă de 12 luni în vederea constituirii dovezii consimțământului și a retragerii acestuia, după care sunt șterse sau anonimizate. Datele privind interacțiunea cu newsletterul sunt agregate statistic și anonimizate într-un termen rezonabil.

5.D. Serviciul de intermediere — recepția datelor și transmiterea către Creditorul ales

·        Categorii de date: nume, prenume, număr de telefon, adresă de e-mail, detalii privind coșul de cumpărături (produse, valoare totală), suma solicitată în credit, numărul de rate dorit (după caz), data și ora bifării consimțământului pe pagina Oney, identificatori tehnici asociați tranzacției și sesiunii (ID tranzacție, ID Comerciant partener).

·        Sursa: în principal, de la Comerciantul partener pe site-ul căruia ați inițiat solicitarea de credit; consimțământul (bifa) este colectat direct de la dumneavoastră pe pagina Oney.

·        Temei juridic: art. 6 alin. (1) lit. b) GDPR — prelucrarea este necesară pentru efectuarea unor demersuri precontractuale la solicitarea persoanei vizate (transmiterea cererii de credit către Creditorul ales, în vederea analizei și deciziei de creditare). Bifarea căsuței pe pagina Oney reprezintă confirmarea solicitării dumneavoastră de a beneficia de serviciul de intermediere.

·        Consecințele nefurnizării: dacă datele nu sunt transmise de Comerciant sau dacă nu confirmați solicitarea pe pagina Oney, cererea de credit nu poate fi prelucrată și transmisă către Creditor. Serviciul de intermediere nu poate fi prestat.

·        Durata de stocare: 3 ani de la finalizarea procesului (acordare credit, refuz sau abandonare), pentru constituirea dovezii consimțământului și pentru gestionarea eventualelor reclamații sau litigii. Documentele cu valoare contabilă (de exemplu, cele aferente comisionului încasat de Oney de la Creditor) sunt stocate pentru o perioadă de 10 ani, conform art. 25 din Legea contabilității nr. 82/1991; aceste documente nu conțin, de regulă, datele detaliate ale persoanei vizate, ci doar referințe ale tranzacției.

5.E. Serviciul de intermediere - retransmiterea cererii către alți Creditori în caz de refuz (opțional)

·        Categorii de date: aceleași date ca la pct. 5.D, transmise unuia sau mai multor Creditori suplimentari în ordinea stabilită de Oney.

·        Sursa: aceleași date deja deținute de Oney în temeiul prelucrării prevăzute la pct. 5.D.

·        Temei juridic: art. 6 alin. (1) lit. a) GDPR - consimțământul dumneavoastră specific, distinct de confirmarea cererii inițiale. Acest consimțământ este exprimat prin bifarea unei căsuțe separate pe pagina Oney, neselectată în prealabil, și este liber, putând fi acordat sau refuzat fără a afecta prelucrarea cererii inițiale.

·        Consecințele nefurnizării: dacă nu acordați consimțământul pentru retransmitere, în cazul în care primul Creditor refuză cererea, Oney nu va transmite cererea către alți Creditori, iar procesul de intermediere se va închide.

·        Durata de stocare: până la retragerea consimțământului sau, în lipsa retragerii, pe aceeași perioadă ca la pct. 5.D, adică 3 ani de la finalizarea procesului. Retragerea consimțământului produce efecte imediate pentru viitor, fără a afecta legalitatea prelucrărilor efectuate anterior retragerii.

5.F. Gestionarea reclamațiilor, sesizărilor și a comunicărilor

·        Categorii de date: date de identificare ale Utilizatorului (nume, prenume, adresă de e-mail, eventual telefon), conținutul reclamației, documentele justificative atașate, corespondența purtată cu Oney în cadrul soluționării.

·        Sursa: direct de la dumneavoastră.

·        Temei juridic: art. 6 alin. (1) lit. c) GDPR - îndeplinirea obligațiilor legale ce revin Oney în calitate de prestator de servicii către consumatori, în special cele rezultate din OG nr. 21/1992 privind protecția consumatorilor și din OG nr. 38/2015 privind soluționarea alternativă a litigiilor; subsidiar, art. 6 alin. (1) lit. f) - interesul legitim al Oney de a gestiona relația cu Utilizatorii și de a răspunde solicitărilor acestora.

·        Consecințele nefurnizării: fără datele de identificare, reclamația nu poate fi analizată și soluționată.

·        Durata de stocare: 3 ani de la finalizarea soluționării reclamației.

5.G. Îndeplinirea obligațiilor legale și apărarea drepturilor Oney

·        Categorii de date: toate datele relevante deținute de Oney, în funcție de natura obligației legale sau a procedurii.

·        Sursa: datele provenind din prelucrările anterior descrise.

·        Temei juridic: art. 6 alin. (1) lit. c) GDPR - îndeplinirea obligațiilor legale aplicabile Oney (de exemplu, obligații contabile și fiscale conform Legii nr. 82/1991 și Codului fiscal, răspunsuri la solicitări ale autorităților publice competente); art. 6 alin. (1) lit. f) GDPR, interesul legitim al Oney de a-și apăra drepturile în justiție și de a constata, exercita sau apăra un drept în instanță.

·        Durata de stocare: pentru obligațiile contabile, 10 ani conform Legii nr. 82/1991; pentru alte obligații legale, pe durata prevăzută de lege; pentru apărarea drepturilor în justiție, până la împlinirea termenului de prescripție a acțiunii civile relevante, plus 1 an.

5. H. Marketing direct realizat de Oney (e-mail, SMS și telefon) (optional)

·        Categorii de date: nume, prenume, adresa de e-mail, număr de telefon, date privind interacțiunea dumneavoastră cu comunicările de marketing (deschidere e-mail, click pe link-uri, răspuns la SMS, durata convorbirilor telefonice, după caz), data și ora exprimării și retragerii consimțământului, conținutul comunicării prin care a fost exprimat consimțământul.

·        Sursa: direct de la dumneavoastră, prin bifarea expresă a căsuței dedicate consimțământului pentru marketing direct, pe pagina Oney din cadrul procesului de intermediere ori prin alte formulare disponibile pe Site. Datele de contact pot fi de asemenea cele furnizate inițial de Comerciantul partener, dacă ați acordat consimțământul pentru marketing pe pagina Oney.

·        Temei juridic: art. 6 alin. (1) lit. a) GDPR - consimțământul dumneavoastră liber, specific, informat și neechivoc, exprimat printr-o acțiune afirmativă clară (bifarea unei căsuțe distincte, neselectată în prealabil). Pentru comunicările prin e-mail și SMS, temeiul este coroborat cu art. 12 din Legea nr. 506/2004 (regula opt-in pentru comunicări comerciale electronice). Pentru comunicările telefonice cu intervenția unui operator uman, temeiul este art. 6 alin. (1) lit. a) GDPR.

·        Conținutul comunicărilor: comunicările de marketing pot include informări privind serviciile Oney, ofertele Creditorilor parteneri ai Oney și ofertele Comercianților parteneri ai Oney (campanii promoționale, produse noi, oferte personalizate de finanțare, evenimente și alte comunicări de natură comercială considerate relevante de Oney).

Important: în cadrul prelucrării descrise la prezentul pct. 5.H, Oney rămâne singurul operator. Datele dumneavoastră nu sunt transmise Creditorilor sau Comercianților parteneri în scopul ca aceștia să vă transmită comunicări proprii de marketing. Transmiterea datelor către Creditori în scopul ca aceștia să vă transmită propriile comunicări de marketing este o prelucrare distinctă și se realizează exclusiv pe baza unui consimțământ separat și specific.

Oney nu efectuează profilare în vederea selecției destinatarilor comunicărilor de marketing. Comunicările sunt transmise tuturor persoanelor vizate care și-au exprimat consimțământul, fără segmentare pe criterii personale.

Dacă nu acordați consimțământul, nu veți primi comunicări de marketing direct din partea Oney. Acordarea consimțământului pentru marketing este complet opțională și nu condiționează utilizarea Site-ului, accesul la serviciul de intermediere de credit sau orice alt serviciu al Oney.

Datele sunt prelucrate pe toată perioada în care consimțământul exprimat rămâne valabil. În lipsa unei interacțiuni active a persoanei vizate cu comunicările de marketing (de exemplu, deschidere e-mail, click pe link, răspuns la SMS, interacțiune telefonică) timp de 3 ani consecutivi, consimțământul este considerat inactiv, iar datele sunt șterse sau anonimizate, în conformitate cu standardele recomandate de Comitetul European pentru Protecția Datelor (EDPB) privind principiul limitării stocării (art. 5 alin. (1) lit. e) GDPR).

Retragere și opoziție: în orice moment, fără justificare și fără costuri, puteți (i) să vă retrageți consimțământul, prin link-ul de dezabonare prezent în fiecare comunicare electronică, prin instrucțiunile de oprire indicate la fiecare SMS, prin solicitare la operatorul telefonic în cursul convorbirii sau prin transmiterea unei cereri la dpo@oney.ro; (ii) să vă exercitați dreptul de opoziție conform art. 21 alin. (2) GDPR, care este absolut pentru prelucrările în scop de marketing direct, indiferent de temeiul prelucrării.

5. I. Transmiterea datelor către Creditorii parteneri în scopul marketingului direct al acestora (opțional)

·        Categorii de date: nume, prenume, adresa de e-mail, număr de telefon, eventual alte categorii de date strict necesare pentru ca Creditorul să identifice ofertele relevante (de exemplu, suma estimată cu privire la care ați manifestat interes); datele transmise sunt limitate la minimul necesar conform principiului minimizării datelor (art. 5 alin. (1) lit. c) GDPR).

·        Sursa: datele provin din procesul de intermediere de credit (pct. 5.D), respectiv din formularele dedicate disponibile pe Site, după caz.

·        Temei juridic: art. 6 alin. (1) lit. a) GDPR - consimțământul dumneavoastră specific, separabil, exprimat printr-o acțiune afirmativă clară pentru transmiterea datelor către creditorii parteneri în vederea marketingului direct al acestora. Conform jurisprudenței constante a Curții de Justiție a Uniunii Europene (Hotărârea Planet49, C-673/17) și Ghidului 05/2020 al Comitetului European pentru Protecția Datelor (EDPB) privind consimțământul, consimțământul pentru transmiterea datelor către terți în scop de marketing trebuie să fie distinct de consimțământul pentru alte scopuri și suficient de specific cu privire la destinatari.

·        Identificarea destinatarilor: la momentul exprimării consimțământului, lista actualizată a Creditorilor destinatari este pusă la dispoziția dumneavoastră într-o secțiune dedicată, accesibilă printr-un link vizibil de pe pagina Oney.

După transmiterea datelor către un Creditor în scopul prevăzut mai sus, Creditorul devine operator independent pentru prelucrările sale ulterioare în scop de marketing direct. Modul în care Creditorul vă prelucrează datele, drepturile pe care le aveți în relația cu Creditorul și modalitățile concrete de exercitare a acestora sunt reglementate de politica de confidențialitate a Creditorului, care vă va fi pusă la dispoziție de către acesta. Pentru încetarea prelucrărilor de marketing efectuate de Creditori, persoana vizată trebuie să își exercite drepturile direct față de fiecare Creditor.

Oney nu efectuează profilare în vederea selecției datelor transmise; transmiterea se realizează cu privire la toate persoanele vizate care și-au exprimat consimțământul, conform listei de destinatari în vigoare.

Dacă nu acordați consimțământul, datele dumneavoastră nu vor fi transmise Creditorilor parteneri pentru marketing al acestora. Acordarea consimțământului este complet opțională și nu condiționează intermedierea cererii de credit, primirea comunicărilor de marketing din partea Oney, abonarea la Newsletter sau utilizarea oricărui serviciu Oney.

Durata de stocare la Oney: 3 ani de la ultima transmitere efectivă către un Creditor, pentru constituirea dovezii consimțământului și a transmiterilor realizate. La expirarea acestei perioade, datele sunt șterse sau anonimizate la Oney. Durata de stocare la nivelul fiecărui Creditor este reglementată de politica proprie a Creditorului în cauză.

Retragere și opoziție: în orice moment puteți (i) să vă retrageți consimțământul pentru transmiterea datelor către Creditori, prin solicitare la dpo@oney.ro; retragerea produce efecte imediate față de Oney, împiedicând transmiterile viitoare; (ii) să vă exercitați direct față de fiecare Creditor drepturile de retragere a consimțământului sau de opoziție la prelucrarea în scop de marketing, conform politicii de confidențialitate a Creditorului. Retragerea consimțământului la Oney nu produce efecte automat asupra prelucrărilor deja efectuate de Creditori cu privire la datele transmise anterior retragerii.

6. Destinatarii datelor cu caracter personal

6.1. Datele cu caracter personal pot fi împărtășite, în limita necesității, cu următoarele categorii de destinatari:

6.1.1.. Creditorii parteneri – pentru transmiterea cererii de credit

Pentru transmiterea cererii de credit, Oney împărtășește datele dumneavoastră cu Creditorul ales (și, în caz de refuz și consimțământ specific, cu Creditori suplimentari). Creditorii sunt operatori separați pentru prelucrările pe care le efectuează în vederea analizării și acordării creditului. Lista actualizată a creditorilor parteneri este disponibilă la cerere, prin contactarea Oney la datele indicate la pct. 1 sau la pct. 2.

Oney poate confirma Comerciantului partener pe site-ul căruia ați inițiat solicitarea de credit rezultatul intermedierii (de exemplu, aprobat/respins), pentru ca acesta să poată continua sau încheia procesul comercial. Conținutul exact al confirmării este limitat la minimul necesar.

6.1.2. Creditorii parteneri - pentru marketing direct propriu al acestora

Exclusiv în cazul în care ați acordat consimțământul distinct prevăzut la pct. 5.G, Oney transmite datele dumneavoastră de contact creditorilor parteneri pentru ca aceștia să vă transmită propriile comunicări de marketing direct. După transmitere, creditorii devin operatori independenți. Lista actualizată a creditorilor destinatari în acest scop este accesibilă pe Site la momentul exprimării consimțământului și ulterior, la cerere.

6.1.3. Persoane împuternicite

Oney apelează la furnizori de servicii care prelucrează date cu caracter personal în numele Oney, în calitate de persoane împuternicite în sensul art. 28 GDPR. Aceștia acționează exclusiv pe baza instrucțiunilor Oney, în temeiul unor contracte de prelucrare conforme cu art. 28 GDPR, și aplică măsuri tehnice și organizatorice corespunzătoare.

Categoriile principale de persoane împuternicite includ:

a)      Furnizori de servicii IT, mentenanță tehnică și support, cum ar fi Starbyte S.R.L

b)     Furnizori de servicii de găzduire (hosting) și infrastructură cloud, Microsoft 365;

c)      Furnizori de platforme de e-mail marketing și transmitere Newsletter;

Lista completă și actualizată a persoanelor împuternicite poate fi solicitată prin transmiterea unei cereri la dpo@oney.ro.

6.1.4. Entități din grupul corporativ Oney

În cazul în care anumite funcții suport (IT, audit, conformitate) sunt furnizate la nivelul grupului din care face parte Oney, este posibil să transferăm date către entități afiliate, în limita strictă a nevoii și cu respectarea garanțiilor de securitate și confidențialitate prevăzute de GDPR.

6.1.5. Autorități publice

Oney poate transmite date cu caracter personal către autorități publice (instanțe judecătorești, autorități fiscale, autorități de supraveghere, organe de cercetare penală) atunci când acest lucru este impus de lege sau este necesar pentru îndeplinirea unei obligații legale sau pentru apărarea unui drept în instanță.

7. Transferuri internaționale de date

7.1. Datele cu caracter personal prelucrate de Oney sunt stocate pe servere situate pe teritoriul Uniunii Europene.

7.2. În anumite situații, în special în legătură cu serviciile de productivitate Microsoft 365 sau cu serviciile altor furnizori globali, pot exista transferuri sau accese la datele dumneavoastră din afara Spațiului Economic European (SEE), de exemplu pentru activități de suport tehnic. În toate aceste situații, transferurile se realizează cu respectarea uneia dintre garanțiile prevăzute de capitolul V din GDPR, după cum urmează:

a)      decizii de adecvare adoptate de Comisia Europeană (de exemplu, EU-U.S. Data Privacy Framework pentru transferuri către entități din SUA certificate);

b)     Clauze Contractuale Standard (CCS) adoptate de Comisia Europeană prin Decizia de punere în aplicare (UE) 2021/914;

c)      măsuri suplimentare tehnice, contractuale și organizatorice, atunci când evaluarea de impact a transferului indică necesitatea acestora.

7.3. Transferurile intra-grup, către entitățile afiliate Oney, se realizează în condiții similare, cu acoperirea prin instrumente juridice adecvate și cu respectarea principiilor GDPR.

7.4. La cerere, vă putem furniza informații suplimentare privind transferurile efective și garanțiile aplicate, prin transmiterea unei solicitări la dpo@oney.ro.

8. Decizii individuale automatizate, inclusiv crearea de profiluri

8.1. Oney nu efectuează decizii individuale automatizate, inclusiv crearea de profiluri, care să producă efecte juridice sau să afecteze în mod similar persoana vizată, în sensul art. 22 GDPR. Cererea de credit este transmisă către Creditor fără verificări automatizate proprii ale Oney.

8.2. Decizia de creditare propriu-zisă este luată de Creditorul ales, în mod independent față de Oney. În cazul în care Creditorul utilizează decizii automatizate sau scoring automatizat, informațiile relevante privind logica, importanța și consecințele preconizate ale acestei prelucrări vă vor fi puse la dispoziție de către Creditor, în propria politică de confidențialitate și în documentația contractuală a creditului.

9. Securitatea datelor

9.1. Oney implementează măsuri tehnice și organizatorice adecvate pentru a proteja datele cu caracter personal împotriva accesului neautorizat, modificării, divulgării, pierderii, distrugerii sau utilizării neconforme, în conformitate cu art. 32 GDPR.

9.2. Aceste măsuri includ, cu titlu exemplificativ și nelimitativ:

a)      controale stricte de acces la sistemele informatice (autentificare, autorizare bazată pe roluri, principiul „nevoii de a cunoaște”);

b)     criptarea datelor în tranzit (protocoale TLS/HTTPS) și, după caz, în stocare;

c)      pseudonimizarea și minimizarea datelor, acolo unde este aplicabil;

d)     mecanisme de backup și recuperare în caz de incidente;

e)      proceduri interne de gestionare a incidentelor de securitate și de notificare a autorităților competente și a persoanelor vizate, conform art. 33-34 GDPR;

f)      instruirea periodică a personalului cu privire la obligațiile de confidențialitate și protecție a datelor;

g)     contracte de prelucrare cu persoanele împuternicite, conforme cu art. 28 GDPR.

9.3. Cu toate acestea, nicio măsură de securitate nu poate garanta o protecție absolută. Vă recomandăm și dumneavoastră să adoptați măsuri rezonabile de securitate (parole puternice, protecția dispozitivelor proprii, atenție la mesajele suspecte de tip phishing).

10. Drepturile dumneavoastră ca persoană vizată

10.1. În calitate de persoană vizată, beneficiați de următoarele drepturi prevăzute de GDPR:

10.1.1. Dreptul de acces (art. 15 GDPR)

Aveți dreptul de a obține confirmarea că Oney prelucrează sau nu date cu caracter personal care vă privesc și, în caz afirmativ, accesul la aceste date, precum și informații privind scopurile, categoriile de date, destinatarii, durata de stocare, drepturile dumneavoastră și sursa datelor.

10.1.2. Dreptul la rectificare (art. 16 GDPR)

Aveți dreptul de a obține rectificarea datelor inexacte și completarea datelor incomplete.

10.1.3. Dreptul la ștergere („dreptul de a fi uitat”) (art. 17 GDPR)

Aveți dreptul de a obține ștergerea datelor în situațiile prevăzute de GDPR (de exemplu, când datele nu mai sunt necesare pentru scopurile pentru care au fost colectate, când vă retrageți consimțământul și nu există alt temei juridic, când vă opuneți prelucrării și nu există motive legitime imperioase). Dreptul nu este absolut și poate fi limitat, de exemplu, când prelucrarea este necesară pentru îndeplinirea unei obligații legale (cum ar fi obligațiile contabile) sau pentru apărarea unui drept în instanță.

10.1.4. Dreptul la restricționarea prelucrării (art. 18 GDPR)

Aveți dreptul de a obține restricționarea prelucrării în situațiile prevăzute de GDPR (de exemplu, când contestați exactitatea datelor, pe perioada necesară verificării, sau când vă opuneți prelucrării, pe perioada verificării existenței motivelor legitime).

10.1.5. Dreptul la portabilitatea datelor (art. 20 GDPR)

Pentru datele prelucrate în baza consimțământului sau a contractului și prelucrate prin mijloace automatizate, aveți dreptul de a primi datele într-un format structurat, utilizat în mod curent și care poate fi citit automat, precum și dreptul de a le transmite altui operator.

10.1.6. Dreptul de opoziție (art. 21 GDPR)

Aveți dreptul de a vă opune, în orice moment, prelucrării datelor efectuate pe baza interesului legitim al Oney, din motive legate de situația dumneavoastră particulară. În cazul opoziției față de prelucrarea în scop de marketing direct, opoziția produce efecte fără a fi necesară motivarea.

10.1.7. Dreptul de a nu fi supus unei decizii individuale automatizate (art. 22 GDPR)

Aveți dreptul de a nu fi supus unei decizii bazate exclusiv pe prelucrarea automată, inclusiv crearea de profiluri, care produce efecte juridice sau vă afectează în mod similar într-o măsură semnificativă. Astfel cum se arată la pct. 8, Oney nu efectuează asemenea prelucrări.

10.1.8. Dreptul de a retrage consimțământul (art. 7 alin. (3) GDPR)

Atunci când prelucrarea se bazează pe consimțământul dumneavoastră, aveți dreptul de a vă retrage consimțământul în orice moment, fără a oferi o justificare. Retragerea produce efecte pentru viitor și nu afectează legalitatea prelucrărilor efectuate anterior.

10.1.9. Dreptul de a depune plângere la autoritatea de supraveghere (art. 77 GDPR)

Aveți dreptul de a depune plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), fără a aduce atingere oricărei alte căi de atac administrative sau judiciare.

Adresa: B-dul G-ral. Gheorghe Magheru nr. 28-30, Sector 1, București, cod poștal 010336, E-mail: anspdcp@dataprotection.ro, Site web: https://www.dataprotection.ro

10.1.10. Dreptul la o cale de atac judiciară

Aveți dreptul de a vă adresa instanței competente împotriva unei decizii a ANSPDCP care vă privește sau direct împotriva Oney, în cazul în care considerați că drepturile dumneavoastră au fost încălcate.

11. Exercitarea drepturilor

11.1. Drepturile prevăzute la pct. 10 pot fi exercitate prin transmiterea unei solicitări către Oney, prin oricare dintre următoarele canale:

a)      E-mail la DPO: dpo@oney.ro

b)     E-mail general: contact@oney.ro

c)      Poștal, la sediul social al Oney indicat la pct. 1.

11.2. Pentru o procesare promptă, vă rugăm să includeți în solicitare: (i) datele dumneavoastră de identificare; (ii) dreptul pe care doriți să-l exercitați; (iii) detalii suficiente pentru a permite identificarea prelucrării vizate.

11.3. Oney vă va răspunde fără întârzieri nejustificate și, în orice caz, în cel mult 30 de zile calendaristice de la primirea solicitării. Termenul poate fi prelungit cu maximum două luni în cazul cererilor complexe sau al unui număr mare de cereri, situație în care vă vom informa cu privire la prelungire și la motivele acesteia, în termen de 30 de zile de la primirea cererii.

11.4. Exercitarea drepturilor este gratuită. Cu toate acestea, în cazul cererilor în mod vădit nefondate sau excesive, în special din cauza caracterului repetitiv, Oney poate fie să perceapă o taxă rezonabilă, fie să refuze să dea curs cererii, în condițiile art. 12 alin. (5) GDPR.

11.5. În anumite situații, pentru verificarea identității solicitantului, Oney poate solicita informații suplimentare necesare pentru a confirma identitatea persoanei vizate, în conformitate cu art. 12 alin. (6) GDPR.

12. Modificarea Notei de informare

12.1. Oney își rezervă dreptul de a modifica prezenta Notă de informare, în special pentru a reflecta modificări legislative, decizii ale autorităților competente sau evoluții ale activităților desfășurate. Modificările vor fi publicate pe Site, cu indicarea datei intrării în vigoare.

12.2. Modificările substanțiale (care afectează drepturile sau interesele persoanelor vizate) vor fi aduse la cunoștință cu cel puțin 30 de zile calendaristice înainte de intrarea în vigoare, prin afișare vizibilă pe Site și, pentru Abonații la Newsletter, prin e-mail.

12.3. Versiunile anterioare ale Notei de informare vor fi arhivate de Oney și pot fi puse la dispoziție la cerere, în vederea identificării prevederilor aplicabile la momentul prelucrării.

12.4. Reguli specifice de actualizare a Anexei „Lista Creditorilor parteneri”:

a)      a.Adăugarea unui nou Creditor partener constituie o modificare substanțială și se notifică conform pct. 12.2, cu preaviz de 30 de zile calendaristice; prelucrările pentru noul Creditor pot începe doar după expirarea termenului de preaviz și, după caz, după obținerea consimțământului persoanelor vizate cu privire la noul destinatar;

b)     b.modificarea datelor administrative ale unui Creditor existent (denumire, sediu, date de identificare fiscală, URL al politicii proprii de confidențialitate) constituie actualizare administrativă și se publică imediat pe Site, fără preaviz, prin republicarea versiunii actualizate a Politicii;

c)      c.Eliminarea unui Creditor din listă (de exemplu, ca urmare a încetării relației contractuale cu Oney) constituie actualizare administrativă și se publică imediat pe Site, fără preaviz; prelucrările deja efectuate în temeiul listei anterioare rămân guvernate de versiunea Politicii în vigoare la momentul efectuării prelucrării.

13. Dispoziții finale

13.1. În cazul în care orice prevedere a prezentei Notei de informare este sau devine, în tot sau în parte, nulă, anulabilă sau inopozabilă, această împrejurare nu va afecta validitatea celorlalte prevederi.

13.2. Prezenta Politică este redactată în limba română și este guvernată de legea română.

13.3. Pentru orice întrebări sau nelămuriri privind prelucrarea datelor dumneavoastră cu caracter personal sau prezenta Politică, vă rugăm să ne contactați la dpo@oney.ro.

Data: 15.10.2026

ANEXĂ 1

Lista Creditorilor parteneri ai Oney Finances S.R.L. pentru flux online

Prezenta Anexă face parte integrantă din Nota de informare și cuprinde lista Creditorilor parteneri către care Oney transmite datele cu caracter personal, in scop de transmitere a cererii de credit și, după caz, transmiterea în scop de marketing direct al Creditorilor, exclusiv în baza consimțământului specific al persoanei vizate. Regulile privind actualizarea prezentei Anexe sunt prevăzute la pct. 12.4 din Politică.

ANEXĂ 2

Lista Creditorilor parteneri ai Oney Finances S.R.L. pentru site-ul Oney și punctele de lucru Oney

Prezenta Anexă face parte integrantă din Nota de informare și cuprinde lista Creditorilor parteneri către care Oney transmite datele cu caracter personal, in scop de transmitere a cererii de credit și, după caz, transmiterea în scop de marketing direct al Creditorilor, exclusiv în baza consimțământului specific al persoanei vizate. Regulile privind actualizarea prezentei Anexe sunt prevăzute la pct. 12.4 din Politică.

Persoana vizată este invitată să consulte politica proprie de confidențialitate a fiecărui Creditor pentru detalii privind prelucrările efectuate de acesta în calitate de operator independent (analiză cerere de credit, scoring, executare contract, marketing propriu, după caz). Drepturile persoanei vizate în relația cu Creditorul se exercită direct față de acesta.