Politica de confidențialitate
Această politică explică ce date cu caracter personal prelucrează CMA CONSCONSULT S.R.L. prin site-ul cma-proptech.com și prin platforma CMA PropTech, în ce scopuri și pe ce temei, cât timp le păstrăm, cui le comunicăm și ce drepturi aveți. Ea reprezintă informarea prevăzută de art. 13 și 14 din Regulamentul (UE) 2016/679 privind protecția datelor („GDPR”).
1. Cine suntem
Operatorul datelor cu caracter personal este:
- Denumire
- CMA CONSCONSULT S.R.L. („CMA”, „noi”)
- Sediul social
- Șos. Pantelimon nr. 88, bl. 409, sc. 1, et. 5, ap. 23, Sector 2, București, cod poștal 021637, România
- Cod unic de înregistrare
- 38546523
- Nr. Registrul Comerțului
- J2017019824402
- Protecția datelor
- [email protected]
- Contact general
- [email protected]
- Raportări de securitate
- [email protected]
Platforma CMA PropTech este dezvoltată de CMA în cadrul unui proiect finanțat prin Planul Național de Redresare și Reziliență (PNRR), contract de finanțare nr. 4504.1/i3/c9 — detalii în subsolul paginii.
2. La cine și la ce se aplică
CMA PropTech este o platformă B2B pentru proiecte de construcții finanțate. Ea acoperă înrolarea companiilor (verificări KYP/AML), cererile de finanțare, monitorizarea șantierului (fotografii, senzori IoT, inspecții), tranșele și plățile condiționate de etape, documentele și semnătura electronică, raportarea, precum și CRM-ul și tichetele de suport.
Politica se aplică:
- vizitatorilor site-ului public, inclusiv celor care trimit formularul „Solicită acces”;
- utilizatorilor platformei — persoane care acționează în numele CMA sau al unei companii partenere (bancă, dezvoltator, antreprenor, furnizor, investitor, auditor);
- persoanelor ale căror date ne sunt comunicate de o companie la înrolare: reprezentanți legali, asociați sau acționari, beneficiari reali și persoane de contact.
Conturile sunt create exclusiv pe bază de invitație din partea CMA; nu există înregistrare publică.
3. Ce date prelucrăm
- (a) Date de cont — nume, adresă de email, telefon, rolul în platformă, compania pe care o reprezentați, limba preferată și preferințele de notificare.
- (b) Date de înrolare a companiei (KYP) — date din registre publice despre companie (serviciul web public al ANAF; datele deschise ale ONRC publicate pe data.gov.ro, sub licența CC BY 4.0); reprezentanții legali, asociații sau acționarii și beneficiarii reali, așa cum sunt declarați de companie — nume, CNP sau, pentru cetățenii străini, numărul documentului de identitate și data nașterii, cetățenia și cota de participare; persoana de contact, IBAN-ul și documentele KYP încărcate de companie.
- (c) Date de proiect și de tranzacție — înregistrările proiectului, etapele, inspecțiile, fotografiile de pe șantier, citirile senzorilor IoT, cererile de plată, tranșele și documentele. Acestea privesc în principal companii și proiecte, dar pot conține date personale, de exemplu numele persoanelor care încarcă, aprobă sau semnează un document.
- (d) Jurnale — jurnalul de audit de tip append-only (cine, ce și când), jurnalul de livrare a emailurilor și evenimentele de securitate, cum ar fi autentificările eșuate.
- (e) Date din formularul „Solicită acces” — CUI-ul companiei, tipologia, numele persoanei de contact, emailul de serviciu, telefonul, interesul de proiect, mesajul și consimțământul GDPR (pentru bănci: codul fiscal și numărul autorizației bancare). CUI-ul introdus este căutat în registrele publice pentru a afișa datele de identificare ale companiei.
Este obligatoriu să furnizați datele? Datele KYP sunt necesare pentru cerințele legale de cunoaștere a clientelei și pentru încheierea relației contractuale; fără ele nu putem finaliza înrolarea companiei. Datele de cont sunt necesare pentru a vă crea accesul. În formularul de pe site, fără câmpurile marcate ca obligatorii nu putem răspunde solicitării.
4. Scopuri, temeiuri juridice și durate de păstrare
Prelucrăm datele numai în scopurile de mai jos, pe temeiurile prevăzute de art. 6 alin. (1) GDPR. Duratele de păstrare reprezintă politica noastră și respectă termenele legale aplicabile.
| Categoria de date | Scop | Temei juridic | Durata de păstrare |
|---|---|---|---|
| Date de cont (a) | Crearea și administrarea contului; controlul accesului pe roluri; notificări; comunicarea privind proiectele | Art. 6(1)(b) — executarea contractului și demersuri precontractuale; art. 6(1)(f) — interes legitim: securitatea platformei, comunicare B2B | Cât timp contul este activ; după dezactivare, numai în măsura cerută de termenele de mai jos |
| Date de înrolare KYP/AML (b) | Verificarea companiei și a partenerilor (KYP); identificarea beneficiarilor reali; prevenirea spălării banilor și a fraudei | Art. 6(1)(c) — obligație legală (Legea nr. 129/2019); art. 6(1)(b); art. 6(1)(f) — prevenirea fraudei | 5 ani de la încetarea relației de afaceri (Legea nr. 129/2019) |
| Date de proiect și de tranzacție (c) | Derularea proiectului: finanțare, monitorizare, inspecții, tranșe și plăți, documente, raportare | Art. 6(1)(b); art. 6(1)(c) — obligații contabile și de arhivare | Documente contractuale și financiar-contabile: conform Legii contabilității nr. 82/1991 (până la 10 ani). Celelalte înregistrări: pe durata proiectului, apoi numai în măsura în care fac parte din aceste documente sau din jurnalul de audit |
| Jurnalul de audit (d) | Trasabilitatea acțiunilor, dovada operațiunilor, securitate și prevenirea fraudei | Art. 6(1)(f) — interes legitim; art. 6(1)(c), când legea cere păstrarea dovezilor | Durata proiectului + 5 ani |
| Jurnalul emailurilor și evenimentele de securitate (d) | Livrarea notificărilor; detectarea și blocarea accesului neautorizat | Art. 6(1)(f) — interes legitim | Cel mult durata proiectului + 5 ani, aliniat cu jurnalul de audit |
| Formularul „Solicită acces” (e) | Răspunsul la solicitare; evaluarea și organizarea accesului; înregistrarea solicitării în CRM | Art. 6(1)(a) — consimțământ, pe care îl puteți retrage oricând | 12 luni de la ultimul contact, dacă solicitarea nu devine relație contractuală (altfel se aplică termenele de mai sus) |
Când prelucrarea se bazează pe consimțământ, îl puteți retrage oricând, fără a afecta legalitatea prelucrării efectuate înainte de retragere. Când se bazează pe interesul nostru legitim, vă puteți opune prelucrării (vezi Drepturile dumneavoastră). La expirarea duratelor de păstrare, datele sunt șterse sau anonimizate.
5. De unde provin datele
- direct de la dumneavoastră — contul, formularul de pe site, documentele încărcate;
- de la compania pe care o reprezentați — de exemplu, datele reprezentanților, asociaților și beneficiarilor reali declarate la înrolare;
- din surse publice — serviciul web public al ANAF și datele deschise ale Oficiului Național al Registrului Comerțului (ONRC), publicate pe data.gov.ro sub licența CC BY 4.0. Aceste registre sunt surse ale datelor, nu destinatari: nu le transmitem date cu caracter personal;
- de la celelalte părți ale aceluiași proiect — de exemplu, inspecții, fotografii sau cereri de plată încărcate de antreprenor, de inginer sau de bancă;
- de la senzorii IoT de pe șantier și din jurnalele generate automat de platformă.
Dacă ne comunicați date despre alte persoane (reprezentanți, asociați, beneficiari reali, persoane de contact), vă rugăm să le informați și să le indicați această pagină.
6. Cui comunicăm datele
Persoane împuternicite (furnizori). Folosim următorii furnizori, cu care avem termeni de prelucrare a datelor (art. 28 GDPR). Datele platformei sunt găzduite în Uniunea Europeană.
| Furnizor | Serviciu | Localizare | Garanții |
|---|---|---|---|
| Supabase | Baza de date, autentificarea, stocarea fișierelor | Servere în Frankfurt, Germania (UE) | Termeni de prelucrare a datelor |
| Cloudflare | Găzduirea site-ului și CDN, DNS, rutarea emailurilor | Rețea globală; site-ul este servit prin HTTPS | Termeni de prelucrare a datelor; pentru eventualele transferuri în afara UE: Clauzele contractuale standard ale UE sau Cadrul UE–SUA privind confidențialitatea datelor (EU-US Data Privacy Framework) |
| Brevo (Sendinblue SAS) | Trimiterea notificărilor tranzacționale prin email | Franța (UE) | Termeni de prelucrare a datelor |
| Anthropic numai dacă este activat | Răspunsuri generative ale asistentului AI (vezi punctul 8) | SUA | Termeni de prelucrare a datelor; Clauzele contractuale standard ale UE |
Celelalte părți ale aceluiași proiect. Banca, dezvoltatorul, antreprenorul, investitorul și auditorul unui proiect văd datele de proiect de care are nevoie rolul lor. Băncile finanțatoare văd dosarul KYP al companiilor implicate în proiectele pe care le finanțează. Aceste entități pot prelucra datele și în nume propriu, pentru propriile obligații legale (de exemplu, banca, pentru cunoașterea clientelei).
Autorități. Comunicăm date autorităților și instituțiilor publice numai atunci când legea ne obligă.
Nu vindem date cu caracter personal și nu le folosim în scopuri publicitare.
7. Transferuri în afara SEE
Datele platformei sunt stocate în UE (Frankfurt, Germania). Unii furnizori fac parte din grupuri cu sediul în afara Spațiului Economic European (SEE), iar rețeaua Cloudflare este globală. Acolo unde are loc un transfer de date în afara UE/SEE, acesta se bazează pe Clauzele contractuale standard adoptate de Comisia Europeană sau pe Cadrul UE–SUA privind confidențialitatea datelor (EU-US Data Privacy Framework). La cerere, vă oferim informații despre garanțiile aplicabile.
8. Asistentul AI opțional
Platforma include un asistent care răspunde la întrebările utilizatorilor. În prezent, răspunsurile sunt produse de reguli din interiorul platformei, fără un furnizor extern de inteligență artificială.
Operatorul poate activa răspunsuri generative prin conectarea unui furnizor de AI (Anthropic, SUA, pe baza Clauzelor contractuale standard). Numai dacă această funcție este activată, întrebarea dumneavoastră și înregistrările relevante pentru răspuns sunt transmise furnizorului pentru a genera răspunsul.
9. Decizii automatizate
Platforma calculează scoruri de eligibilitate și de risc ca sprijin pentru decizie. Nu luăm decizii bazate exclusiv pe prelucrare automată care să producă efecte juridice asupra dumneavoastră sau să vă afecteze în mod similar semnificativ: fiecare aprobare este dată de o persoană, într-un circuit de aprobare în doi pași.
10. Cookie-uri și stocare locală
Nu folosim cookie-uri de publicitate sau de analiză și nici instrumente de urmărire ale terților. Folosim doar stocarea strict necesară pentru funcționarea serviciului:
| Ce | La ce folosește | Cât durează |
|---|---|---|
| sessionStorage (în browser) | Sesiunea de autentificare în platformă — câte una pentru fiecare filă (tab) a browserului | Până la închiderea filei |
| localStorage (în browser) | Preferința de limbă și memoria cache locală de lucru a aplicației | Până când sunt șterse de aplicație sau de dumneavoastră, din setările browserului |
| Cookie-uri de securitate (Cloudflare) | Pot fi setate de CDN pentru protecția site-ului; sunt strict necesare | Durata tehnică stabilită de CDN, numai în scop de securitate |
Limba site-ului poate fi preselectată după țara din care provine conexiunea, așa cum o raportează CDN-ul nostru (Cloudflare); în browser se salvează doar limba rezultată.
Deoarece folosim exclusiv stocare strict necesară pentru serviciul pe care îl solicitați, nu este necesar un banner de consimțământ pentru cookie-uri (art. 4 alin. (5) din Legea nr. 506/2004).
Resurse externe. Pentru afișarea corectă a paginilor, site-ul și platforma încarcă fonturi de la Google Fonts, iar platforma încarcă și biblioteci JavaScript open-source din rețelele publice jsDelivr și cdnjs. La descărcarea acestor fișiere, furnizorii respectivi primesc, tehnic, adresa IP a browserului și informațiile standard ale cererii; ei nu primesc datele din cont sau din formulare.
11. Securitatea datelor
Aplicăm măsurile tehnice și organizatorice descrise în secțiunea Securitate — printre altele, HTTPS/TLS pe fiecare pagină, control al accesului pe roluri la nivel de rând în baza de date, stocare privată a fișierelor și un jurnal de audit pentru fiecare acțiune.
12. Drepturile dumneavoastră
- Dreptul de acces (art. 15) — să aflați dacă vă prelucrăm datele și să primiți o copie a acestora.
- Dreptul la rectificare (art. 16) — să corectăm datele inexacte și să le completăm pe cele incomplete.
- Dreptul la ștergere (art. 17) — să ștergem datele, în condițiile prevăzute de lege.
- Dreptul la restricționare (art. 18) — să limităm temporar prelucrarea, de exemplu cât timp verificăm exactitatea datelor.
- Dreptul la portabilitate (art. 20) — să primiți datele furnizate de dumneavoastră într-un format structurat, utilizat în mod curent și care poate fi citit automat, pentru prelucrările bazate pe consimțământ sau pe contract.
- Dreptul la opoziție (art. 21) — să vă opuneți prelucrărilor bazate pe interesul legitim, din motive legate de situația dumneavoastră particulară.
- Dreptul de a vă retrage consimțământul (art. 7 alin. (3)) — oricând, la fel de simplu cum l-ați acordat.
- Dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrare automată (art. 22).
- Dreptul de a depune plângere (art. 77) la ANSPDCP (vezi punctul 14).
13. Cum vă exercitați drepturile
- Scrieți-ne la [email protected] — dacă aveți cont, de preferință de pe adresa de email asociată contului.
- Vă putem cere informații suplimentare pentru a vă verifica identitatea, ca să nu dezvăluim date unei persoane neautorizate.
- Răspundem în cel mult o lună de la primirea cererii. Pentru cereri complexe sau numeroase, termenul se poate prelungi cu încă două luni; în acest caz, vă anunțăm în prima lună.
- Exercitarea drepturilor este gratuită. Pentru cereri vădit nefondate sau excesive putem percepe o taxă rezonabilă ori putem refuza cererea, în condițiile art. 12 alin. (5) GDPR.
- Datele pe care legea ne obligă să le păstrăm — de exemplu, datele KYP/AML și ale beneficiarilor reali (Legea nr. 129/2019) sau documentele financiar-contabile — nu pot fi șterse înainte de expirarea termenului legal; până atunci, le folosim numai în scopul pentru care legea impune păstrarea lor.
14. Dreptul de a depune plângere
Dacă apreciați că vă prelucrăm datele cu încălcarea legii, puteți depune o plângere la autoritatea de supraveghere:
Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)B-dul G-ral Gheorghe Magheru 28-30, Sector 1, București
www.dataprotection.ro
Vă încurajăm să ne scrieți mai întâi, ca să putem rezolva rapid situația.
15. Modificări ale politicii
Actualizăm această politică atunci când se schimbă platforma, furnizorii sau legislația. Data ultimei actualizări este afișată la începutul paginii. Utilizatorii platformei sunt informați despre modificările importante prin email sau în aplicație.
Privacy Policy
This policy explains which personal data CMA CONSCONSULT S.R.L. processes through the cma-proptech.com website and the CMA PropTech platform, for what purposes and on what legal basis, how long we keep it, who we share it with and what rights you have. It is the information required by Articles 13 and 14 of the EU General Data Protection Regulation (Regulation (EU) 2016/679, “GDPR”).
1. Who we are
The data controller is:
- Company
- CMA CONSCONSULT S.R.L. (“CMA”, “we”, “us”)
- Registered office
- Șos. Pantelimon nr. 88, bl. 409, sc. 1, et. 5, ap. 23, Sector 2, Bucharest 021637, Romania
- Tax ID (CUI)
- 38546523
- Trade Register no.
- J2017019824402
- Data protection
- [email protected]
- General enquiries
- [email protected]
- Security reports
- [email protected]
The CMA PropTech platform is developed by CMA under a project funded through Romania’s National Recovery and Resilience Plan (PNRR), financing contract no. 4504.1/i3/c9 — see the page footer for details.
2. Who and what this policy covers
CMA PropTech is a B2B platform for financed construction projects. It covers company onboarding (KYP/AML checks), financing applications, site monitoring (photos, IoT sensors, inspections), stage-gated tranches and payments, documents and e-signature, reporting, and CRM and support tickets.
This policy applies to:
- visitors to the public website, including those who send the “Request access” form;
- platform users — people acting on behalf of CMA or of a partner company (bank, developer, contractor, supplier, investor, auditor);
- people whose data a company gives us during onboarding: legal representatives, shareholders, beneficial owners and contact persons.
Accounts are created only by invitation from CMA; there is no public sign-up.
3. What data we process
- (a) Account data — name, email address, phone number, platform role, the company you represent, language preference and notification preferences.
- (b) Company onboarding (KYP) data — public registry data about the company (ANAF’s public web service; ONRC open data published on data.gov.ro under the CC BY 4.0 licence); the legal representatives, shareholders and beneficial owners as declared by the company — name, Romanian personal numeric code (CNP) or, for foreign nationals, identity document number and date of birth, citizenship and stake; the contact person, the company’s IBAN and the KYP documents uploaded by the company.
- (c) Project and transaction data — project records, stages, inspections, site photos, IoT sensor readings, payment applications, tranches and documents. These mainly concern companies and projects, but they can include personal data, such as the names of the people who upload, approve or sign a document.
- (d) Logs — the append-only audit trail (who did what, and when), the email delivery log and security events such as failed sign-ins.
- (e) “Request access” form data — company CUI, typology, contact name, work email, phone, project interest, message and GDPR consent (for banks: tax code and banking licence number). The CUI you enter is looked up in public registries to display the company’s identification data.
Do you have to provide the data? KYP data are needed to meet the legal know-your-customer requirements and to enter into the business relationship; without them we cannot complete the company’s onboarding. Account data are needed to give you access. On the website form, we cannot answer your request without the fields marked as required.
4. Purposes, legal bases and retention
We process data only for the purposes below, on the legal bases set out in Article 6(1) GDPR. The retention periods are our policy and follow the applicable statutory periods.
| Data category | Purpose | Legal basis | Retention |
|---|---|---|---|
| Account data (a) | Creating and managing the account; role-based access control; notifications; project-related communication | Art. 6(1)(b) — performance of the contract and pre-contractual steps; Art. 6(1)(f) — legitimate interest: platform security, B2B communication | While the account is active; after deactivation, only as far as the periods below require |
| KYP/AML onboarding data (b) | Verifying the company and its partners (KYP); identifying beneficial owners; preventing money laundering and fraud | Art. 6(1)(c) — legal obligation (Law 129/2019); Art. 6(1)(b); Art. 6(1)(f) — fraud prevention | 5 years after the end of the business relationship (Law 129/2019) |
| Project and transaction data (c) | Running the project: financing, monitoring, inspections, tranches and payments, documents, reporting | Art. 6(1)(b); Art. 6(1)(c) — accounting and archiving obligations | Contract and financial-accounting documents: under Accounting Law 82/1991 (up to 10 years). Other records: for the life of the project, then only insofar as they form part of those documents or of the audit trail |
| Audit trail (d) | Traceability of actions, evidence of operations, security and fraud prevention | Art. 6(1)(f) — legitimate interest; Art. 6(1)(c) where the law requires evidence to be kept | Life of the project + 5 years |
| Email log and security events (d) | Delivering notifications; detecting and blocking unauthorised access | Art. 6(1)(f) — legitimate interest | No longer than the life of the project + 5 years, in line with the audit trail |
| “Request access” form (e) | Answering the request; assessing and arranging access; recording the request in our CRM | Art. 6(1)(a) — consent, which you can withdraw at any time | 12 months from the last contact if the request does not lead to a business relationship (otherwise the periods above apply) |
Where processing is based on consent, you can withdraw it at any time; this does not affect the lawfulness of processing carried out before the withdrawal. Where it is based on our legitimate interest, you can object to it (see Your rights). When the retention periods end, the data are deleted or anonymised.
5. Where the data come from
- directly from you — your account, the website form, the documents you upload;
- from the company you represent — for example, the details of legal representatives, shareholders and beneficial owners declared during onboarding;
- from public sources — ANAF’s public web service and the open data of the National Trade Register Office (ONRC), published on data.gov.ro under the CC BY 4.0 licence. These registries are sources of data, not recipients: we do not send them personal data;
- from the other parties of the same project — for example, inspections, photos or payment applications uploaded by the contractor, the engineer or the bank;
- from IoT sensors on site and from logs generated automatically by the platform.
If you give us data about other people (legal representatives, shareholders, beneficial owners, contact persons), please inform them and point them to this page.
6. Who we share data with
Processors (service providers). We use the following providers, with whom we have data processing terms in place (Art. 28 GDPR). Platform data are hosted in the European Union.
| Provider | Service | Location | Safeguards |
|---|---|---|---|
| Supabase | Database, authentication, file storage | Servers in Frankfurt, Germany (EU) | Data processing terms |
| Cloudflare | Website hosting and CDN, DNS, email routing | Global network; the website is served over HTTPS | Data processing terms; for any transfers outside the EU: EU Standard Contractual Clauses or the EU-US Data Privacy Framework |
| Brevo (Sendinblue SAS) | Sending transactional email notifications | France (EU) | Data processing terms |
| Anthropic only if enabled | Generative answers of the AI assistant (see section 8) | USA | Data processing terms; EU Standard Contractual Clauses |
Other parties of the same project. The bank, developer, contractor, investor and auditor of a project see the project data their role needs. Financing banks see the KYP file of the companies involved in the projects they finance. These parties may also process the data on their own account, for their own legal obligations (for example, a bank’s know-your-customer duties).
Authorities. We disclose data to public authorities and institutions only when the law requires us to.
We do not sell personal data and we do not use it for advertising.
7. Transfers outside the EEA
Platform data are stored in the EU (Frankfurt, Germany). Some of our providers belong to groups headquartered outside the European Economic Area (EEA), and Cloudflare’s network is global. Where data are transferred outside the EU/EEA, the transfer relies on the Standard Contractual Clauses adopted by the European Commission or on the EU-US Data Privacy Framework. On request, we will provide information about the applicable safeguards.
8. Optional AI assistant
The platform includes an assistant that answers users’ questions. At present, its answers are produced by rules inside the platform, without an external artificial-intelligence provider.
The operator may enable generative answers by connecting an AI provider (Anthropic, USA, under the Standard Contractual Clauses). Only if this feature is enabled are your question and the records relevant to the answer sent to the provider to produce the answer.
9. Automated decisions
The platform computes eligibility and risk scores as decision support. We do not take decisions based solely on automated processing that produce legal effects concerning you or similarly significantly affect you: every approval is given by a person, through a two-step approval process.
10. Cookies and local storage
We do not use advertising or analytics cookies, and there are no third-party trackers. We only use the storage that is strictly necessary for the service to work:
| What | What it is for | How long |
|---|---|---|
| sessionStorage (in your browser) | Your sign-in session on the platform — a separate one for each browser tab | Until the tab is closed |
| localStorage (in your browser) | Your language preference and the application’s local working cache | Until the application or you delete them (in your browser settings) |
| Security cookies (Cloudflare) | May be set by the CDN to protect the website; strictly necessary | The technical duration set by the CDN, for security purposes only |
The website language may be pre-selected from the country your connection comes from, as reported by our CDN (Cloudflare); only the resulting language is saved in your browser.
Because we only use storage that is strictly necessary for the service you request, no cookie consent banner is required (Article 4(5) of Romanian Law 506/2004).
External resources. To display pages correctly, the website and the platform load fonts from Google Fonts, and the platform also loads open-source JavaScript libraries from the public jsDelivr and cdnjs networks. When these files are downloaded, those providers technically receive your browser’s IP address and the standard request information; they do not receive account or form data.
11. Data security
We apply the technical and organisational measures described in the Security section — among them, HTTPS/TLS on every page, row-level, role-based access control in the database, private file storage and an audit trail of every action.
12. Your rights
- Right of access (Art. 15) — to know whether we process your data and to receive a copy.
- Right to rectification (Art. 16) — to have inaccurate data corrected and incomplete data completed.
- Right to erasure (Art. 17) — to have your data deleted, under the conditions set by law.
- Right to restriction (Art. 18) — to have processing temporarily limited, for example while we check the accuracy of the data.
- Right to data portability (Art. 20) — to receive the data you provided in a structured, commonly used and machine-readable format, for processing based on consent or on a contract.
- Right to object (Art. 21) — to object, on grounds relating to your particular situation, to processing based on legitimate interest.
- Right to withdraw consent (Art. 7(3)) — at any time, as easily as you gave it.
- Right not to be subject to a decision based solely on automated processing (Art. 22).
- Right to lodge a complaint (Art. 77) with the ANSPDCP (see section 14).
13. How to exercise your rights
- Write to [email protected] — if you have an account, preferably from the email address linked to it.
- We may ask for additional information to verify your identity, so that we do not disclose data to an unauthorised person.
- We reply within one month of receiving your request. For complex or numerous requests, this period can be extended by two further months; if so, we will tell you within the first month.
- Exercising your rights is free of charge. For manifestly unfounded or excessive requests we may charge a reasonable fee or refuse to act, as provided by Art. 12(5) GDPR.
- Data that the law requires us to keep — for example, KYP/AML and beneficial owner data (Law 129/2019) or financial-accounting documents — cannot be erased before the statutory period ends; until then, we use them only for the purpose for which the law requires them to be kept.
14. Right to lodge a complaint
If you believe that we process your data unlawfully, you can lodge a complaint with the Romanian supervisory authority:
National Supervisory Authority for Personal Data Processing (ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal)B-dul G-ral Gheorghe Magheru 28-30, Sector 1, Bucharest, Romania
www.dataprotection.ro
We encourage you to write to us first, so that we can resolve the matter quickly.
15. Changes to this policy
We update this policy when the platform, our providers or the law change. The date of the last update is shown at the top of the page. Platform users are informed of significant changes by email or in the application.
GDPR pe scurt
Un rezumat în limbaj simplu, pentru persoanele ale căror date le prelucrăm. Detaliile complete se află în Politica de confidențialitate.
Esențialul, pe scurt
Cine răspunde de date
CMA CONSCONSULT S.R.L., din București, este operatorul datelor. Ne găsiți la [email protected].
Ce date folosim
Datele contului (nume, email, telefon, rol, companie), datele de înrolare a companiei (inclusiv reprezentanții și beneficiarii reali), datele proiectelor, jurnalele de activitate și mesajele trimise prin formularul de pe site.
De ce
Ca să vă oferim accesul și să derulăm proiectele (contract), ca să respectăm legea (prevenirea spălării banilor, contabilitate), ca să protejăm platforma (interes legitim) și ca să vă răspundem la solicitarea de acces (consimțământ).
Cât timp
Datele KYP/AML: 5 ani după încheierea relației de afaceri. Documentele financiar-contabile: până la 10 ani. Jurnalul de audit: durata proiectului + 5 ani. Solicitările care nu devin colaborări: 12 luni de la ultimul contact.
Cine le vede
Doar persoanele care au nevoie de ele pentru rolul lor în proiect, furnizorii noștri tehnici (găzduire în UE) și autoritățile, când legea o cere. Nu vindem date.
Decizia o ia un om
Platforma calculează scoruri care ajută la decizie, dar fiecare aprobare este dată de o persoană, în doi pași.
Fără urmărire
Fără cookie-uri de publicitate sau de analiză. Doar stocarea strict necesară pentru autentificare și preferințe.
Drepturile dumneavoastră
Acces, rectificare, ștergere, restricționare, portabilitate, opoziție, retragerea consimțământului și intervenție umană. Puteți depune plângere la ANSPDCP.
Pentru companiile în curs de înrolare
De ce vă cerem CNP-ul și datele beneficiarilor reali?
Legea nr. 129/2019 pentru prevenirea și combaterea spălării banilor și finanțării terorismului cere ca, în cadrul măsurilor de cunoaștere a clientelei, să fie identificați beneficiarii reali — persoanele fizice care dețin sau controlează în ultimă instanță compania. De aceea, la înrolare vă cerem datele reprezentanților legali, ale asociaților și ale beneficiarilor reali: nume, CNP (sau, pentru cetățenii străini, numărul documentului de identitate și data nașterii), cetățenia și cota de participare.
- Folosim aceste date numai pentru verificarea KYP/AML a companiei.
- Le văd doar rolurile autorizate: personalul CMA care face verificarea și băncile care finanțează proiectele în care este implicată compania.
- Nu sunt afișate niciodată pe pagini publice. Căutarea după CUI de pe site arată doar date publice, la nivel de companie.
- Le păstrăm 5 ani de la încetarea relației de afaceri, cum prevede legea.
- Vă rugăm să informați persoanele ale căror date le declarați și să le trimiteți linkul către această pagină.
Aveți o întrebare sau o cerere?
Scrieți-ne la [email protected]. Vă verificăm identitatea și vă răspundem în cel mult o lună. Vedeți și drepturile dumneavoastră și cum le exercitați.
Citiți Politica de confidențialitate completăGDPR in brief
A plain-language summary for the people whose data we process. The full details are in our Privacy Policy.
The essentials
Who is responsible
CMA CONSCONSULT S.R.L., based in Bucharest, is the data controller. You can reach us at [email protected].
What data we use
Account data (name, email, phone, role, company), company onboarding data (including legal representatives and beneficial owners), project data, activity logs and the messages sent through the website form.
Why
To give you access and run the projects (contract), to comply with the law (anti-money laundering, accounting), to protect the platform (legitimate interest) and to answer your access request (consent).
How long
KYP/AML data: 5 years after the business relationship ends. Financial-accounting documents: up to 10 years. Audit trail: life of the project + 5 years. Requests that do not lead to a business relationship: 12 months from the last contact.
Who sees it
Only the people who need it for their role in the project, our technical providers (EU hosting) and authorities when the law requires it. We do not sell data.
A person decides
The platform computes scores that support decisions, but every approval is given by a person, in two steps.
No tracking
No advertising or analytics cookies. Only the storage strictly needed for sign-in and preferences.
Your rights
Access, rectification, erasure, restriction, portability, objection, withdrawal of consent and human intervention. You can also complain to the ANSPDCP.
For companies being onboarded
Why do we ask for the CNP and for beneficial owner data?
Romanian Law 129/2019 on preventing and combating money laundering and terrorist financing requires, as part of customer due diligence, the identification of beneficial owners — the natural persons who ultimately own or control the company. That is why, during onboarding, we ask for the details of the legal representatives, shareholders and beneficial owners: name, personal numeric code (CNP; for foreign nationals, identity document number and date of birth), citizenship and stake.
- We use these data only for the company’s KYP/AML checks.
- Only authorised roles see them: the CMA staff who carry out the check and the banks financing the projects the company is involved in.
- They are never shown on public pages. The CUI lookup on the website shows only public, company-level data.
- We keep them for 5 years after the business relationship ends, as the law requires.
- Please inform the people whose data you declare and send them a link to this page.
Questions or requests?
Write to [email protected]. We will verify your identity and reply within one month. See also your rights and how to exercise them.
Read the full Privacy PolicyTermeni și condiții de utilizare
Acești termeni stabilesc regulile de utilizare a site-ului cma-proptech.com și a platformei CMA PropTech („Platforma”). Vă rugăm să îi citiți cu atenție.
1. Cine suntem
Platforma este operată de CMA CONSCONSULT S.R.L., cu sediul social în Șos. Pantelimon nr. 88, bl. 409, sc. 1, et. 5, ap. 23, Sector 2, București, CUI 38546523, nr. de înregistrare în Registrul Comerțului J2017019824402 („CMA”, „noi”).
2. Acceptarea termenilor
Prin accesarea contului și utilizarea Platformei acceptați acești termeni, în nume propriu și în numele organizației pe care o reprezentați, și confirmați că aveți dreptul să acționați în numele acesteia. Dacă organizația dumneavoastră a încheiat un contract cu CMA, prevederile contractului au prioritate în caz de neconcordanță.
3. Serviciul
Platforma este un instrument B2B pentru proiecte de construcții finanțate: înrolarea companiilor (KYP/AML), cererile de finanțare, monitorizarea șantierului (fotografii, senzori IoT, inspecții), tranșele și plățile condiționate de etape, documentele și semnătura electronică, raportarea, CRM-ul și tichetele.
- Se adresează exclusiv utilizatorilor profesioniști care acționează în numele unei organizații; nu este destinată consumatorilor.
- Accesul se acordă numai pe bază de invitație din partea CMA; nu există înregistrare publică.
- Căutarea publică după CUI de pe site afișează doar date publice la nivel de companie, preluate din registrele publice.
- Funcționalitățile pot evolua în timp; unele componente funcționează în prezent în regim de test (vezi punctul 7).
4. Conturi și date de autentificare
- Fiecare cont este personal și este folosit de o singură persoană; nu împărțiți contul cu alte persoane.
- Păstrați parola secretă. Vă recomandăm o parolă pe care nu o folosiți pentru alte servicii.
- Dacă suspectați o utilizare neautorizată a contului, anunțați-ne imediat la [email protected].
- Din motive de securitate, contul se blochează după 5 autentificări eșuate și este deblocat de administrator.
5. Utilizare acceptabilă
Când folosiți Platforma, nu aveți voie:
- să încărcați sau să transmiteți conținut ilegal ori care încalcă drepturile altor persoane;
- să încercați să accesați datele altor companii sau ale altor proiecte decât cele la care vi s-a acordat acces, ori să ocoliți controalele de acces;
- să extrageți automat date (scraping) sau să generați încărcare automată asupra Platformei;
- să încărcați programe malițioase (malware) sau fișiere menite să afecteze Platforma ori pe ceilalți utilizatori.
Testarea securității este permisă numai în condițiile din secțiunea Raportarea vulnerabilităților.
6. Conținutul și datele dumneavoastră
- Datele și documentele pe care le încărcați rămân ale dumneavoastră sau ale organizației pe care o reprezentați.
- Ne acordați dreptul de a le stoca, prelucra și pune la dispoziția părților autorizate ale proiectului, numai în măsura necesară furnizării serviciului.
- Garantați că aveți dreptul să încărcați conținutul respectiv.
- Garantați exactitatea datelor KYP declarate, inclusiv a celor privind reprezentanții, asociații și beneficiarii reali. Declarațiile false pot duce la respingerea înrolării și, acolo unde legea o cere, la raportarea către autoritățile competente.
7. Componente simulate în versiunea actuală
Important: regim de test (sandbox)
În versiunea actuală a Platformei, următoarele componente funcționează în regim de test:
- inițierea plăților prin PSD2;
- conectorii către sistemele BPM/ERP ale băncilor;
- semnătura electronică calificată.
Aceste componente nu transferă bani și nu produc semnături electronice calificate cu efecte juridice. Confirmările generate de ele au doar caracter de test. Plățile și semnăturile reale se realizează în afara Platformei, până la activarea integrărilor cu furnizori autorizați.
8. Deciziile rămân ale părților responsabile
Platforma este un instrument de sprijin. Deciziile de creditare, plățile și aprobările aparțin exclusiv părților responsabile — de exemplu, băncii, plătitorului sau persoanelor desemnate să aprobe. Scorurile de eligibilitate și de risc calculate de Platformă sunt doar un sprijin pentru decizie; fiecare aprobare este dată de o persoană.
9. Disponibilitate
Platforma este furnizată „ca atare”. Depunem eforturi rezonabile ca Platforma să funcționeze corect și să fie disponibilă, dar nu garantăm funcționarea neîntreruptă sau lipsa erorilor. Lucrările de mentenanță planificate sunt anunțate în prealabil, atunci când este posibil.
10. Proprietate intelectuală
Platforma — inclusiv software-ul, designul și structura ei, cu excepția datelor utilizatorilor — aparține CMA CONSCONSULT S.R.L. și a fost dezvoltată cu finanțare prin PNRR (contract de finanțare nr. 4504.1/i3/c9). Pe durata accesului, primiți un drept limitat, neexclusiv și netransmisibil de a folosi Platforma în scopul profesional pentru care v-a fost acordat accesul. Nu aveți voie să copiați, să modificați, să decompilați sau să revindeți Platforma, în afara cazurilor permise expres de lege. Datele preluate din registrele publice rămân supuse licențelor lor (de exemplu, datele deschise ONRC — CC BY 4.0).
11. Răspundere
Răspunderea CMA pentru prejudiciile legate de utilizarea Platformei este limitată, în măsura permisă de lege. CMA nu răspunde pentru deciziile luate de terți — inclusiv bănci, investitori sau alte părți ale proiectului — pe baza datelor din Platformă. Nicio prevedere din acești termeni nu limitează și nu exclude răspunderea care, potrivit legii, nu poate fi limitată sau exclusă, cum este cea pentru prejudiciile cauzate cu intenție sau din culpă gravă.
12. Suspendare și încetare
Putem suspenda sau dezactiva un cont, cu notificare atunci când este posibil, dacă: termenii sunt încălcați; există un risc de securitate sau o suspiciune de utilizare neautorizată; organizația dumneavoastră ne solicită acest lucru; relația contractuală a încetat. Dumneavoastră sau organizația dumneavoastră puteți cere oricând închiderea contului, la [email protected]. După închidere, datele se păstrează numai conform duratelor din Politica de confidențialitate.
13. Date cu caracter personal
Modul în care prelucrăm datele cu caracter personal este descris în Politica de confidențialitate și, pe scurt, în secțiunea GDPR pe scurt.
14. Modificarea termenilor
Putem modifica acești termeni, de exemplu când adăugăm funcționalități, activăm integrări noi sau se schimbă legislația. Vă anunțăm modificările prin email sau în aplicație înainte ca acestea să intre în vigoare. Continuarea utilizării Platformei după această dată înseamnă acceptarea noilor termeni.
15. Legea aplicabilă și instanțele competente
Acești termeni sunt guvernați de legea română. Vom încerca mai întâi să rezolvăm pe cale amiabilă orice neînțelegere. Dacă acest lucru nu este posibil, litigiile vor fi soluționate de instanțele competente de la sediul social al CMA (București).
16. Contact
Întrebări despre acești termeni: [email protected]. Date cu caracter personal: [email protected]. Securitate: [email protected].
Terms of Service
These terms set the rules for using the cma-proptech.com website and the CMA PropTech platform (the “Platform”). Please read them carefully.
1. Who we are
The Platform is operated by CMA CONSCONSULT S.R.L., with its registered office at Șos. Pantelimon nr. 88, bl. 409, sc. 1, et. 5, ap. 23, Sector 2, Bucharest, Romania, tax ID (CUI) 38546523, Trade Register no. J2017019824402 (“CMA”, “we”, “us”).
2. Accepting these terms
By accessing your account and using the Platform, you accept these terms on your own behalf and on behalf of the organisation you represent, and you confirm that you are authorised to act for it. If your organisation has signed a contract with CMA, that contract prevails in case of any conflict.
3. The service
The Platform is a B2B tool for financed construction projects: company onboarding (KYP/AML), financing applications, site monitoring (photos, IoT sensors, inspections), stage-gated tranches and payments, documents and e-signature, reporting, CRM and tickets.
- It is intended only for professional users acting on behalf of an organisation; it is not intended for consumers.
- Access is granted only by invitation from CMA; there is no public sign-up.
- The public CUI lookup on the website shows only public, company-level data taken from public registries.
- Features may change over time; some components currently run in test mode (see section 7).
4. Accounts and credentials
- Each account is personal and used by one person only; do not share your account.
- Keep your password secret. We recommend a password you do not use for any other service.
- If you suspect any unauthorised use of your account, tell us immediately at [email protected].
- For security reasons, an account is locked after 5 failed sign-ins and is unlocked by the administrator.
5. Acceptable use
When using the Platform, you must not:
- upload or transmit unlawful content, or content that infringes other people’s rights;
- try to access data of other companies or of projects you have not been given access to, or try to bypass access controls;
- scrape data or put automated load on the Platform;
- upload malware or files intended to harm the Platform or other users.
Security testing is allowed only under the conditions in Reporting a vulnerability.
6. Your content and data
- The data and documents you upload remain yours or your organisation’s.
- You grant us the right to store and process them and to make them available to the authorised parties of the project, only as far as needed to provide the service.
- You warrant that you have the right to upload that content.
- You warrant the accuracy of the KYP data you declare, including the data about legal representatives, shareholders and beneficial owners. False declarations may lead to the onboarding being rejected and, where the law requires, to a report to the competent authorities.
7. Simulated components in the current version
Important: test (sandbox) mode
In the current version of the Platform, the following components run in test mode:
- PSD2 payment initiation;
- the connectors to banks’ BPM/ERP systems;
- qualified electronic signature.
These components do not move money and do not produce qualified electronic signatures with legal effect. Any confirmation they generate is for testing only. Real payments and signatures take place outside the Platform until the integrations with authorised providers are activated.
8. Decisions remain with the responsible parties
The Platform is a support tool. Credit decisions, payments and approvals belong solely to the responsible parties — for example, the bank, the payer or the people designated to approve. The eligibility and risk scores computed by the Platform are decision support only; every approval is given by a person.
9. Availability
The Platform is provided “as is”. We make reasonable efforts to keep it working correctly and available, but we do not guarantee uninterrupted or error-free operation. Planned maintenance is announced in advance whenever possible.
10. Intellectual property
The Platform — including its software, design and structure, but excluding users’ data — belongs to CMA CONSCONSULT S.R.L. and was developed with funding from Romania’s National Recovery and Resilience Plan (PNRR, financing contract no. 4504.1/i3/c9). For as long as you have access, you receive a limited, non-exclusive, non-transferable right to use the Platform for the professional purpose for which access was granted. You may not copy, modify, decompile or resell the Platform, except where the law expressly allows it. Data taken from public registries remain subject to their own licences (for example, ONRC open data — CC BY 4.0).
11. Liability
CMA’s liability for damage related to the use of the Platform is limited to the extent permitted by law. CMA is not liable for decisions taken by third parties — including banks, investors or other project parties — on the basis of the data in the Platform. Nothing in these terms limits or excludes any liability that cannot be limited or excluded by law, such as liability for damage caused intentionally or through gross negligence.
12. Suspension and termination
We may suspend or deactivate an account, with notice where possible, if: these terms are breached; there is a security risk or a suspicion of unauthorised use; your organisation asks us to; or the business relationship has ended. You or your organisation may ask us to close the account at any time, at [email protected]. After closure, data are kept only for the periods set out in the Privacy Policy.
13. Personal data
How we process personal data is described in the Privacy Policy and, in short, in GDPR in brief.
14. Changes to these terms
We may change these terms, for example when we add features, activate new integrations or the law changes. We will notify you of changes by email or in the application before they take effect. Continuing to use the Platform after that date means you accept the new terms.
15. Governing law and jurisdiction
These terms are governed by Romanian law. We will first try to settle any disagreement amicably. If that is not possible, disputes will be settled by the competent courts at CMA’s registered office (Bucharest).
16. Contact
Questions about these terms: [email protected]. Personal data: [email protected]. Security: [email protected].
Securitate
Cum protejăm Platforma și datele dumneavoastră și cum ne puteți semnala o vulnerabilitate.
1. Cum protejăm Platforma
- HTTPS/TLS pe fiecare pagină. Conexiunile la site și la Platformă sunt criptate.
- Parole protejate. Sunt stocate exclusiv sub formă de hash cu salt de serviciul de autentificare și nu sunt vizibile pentru CMA.
- Acces pe roluri, la nivel de rând. Controlul accesului în baza de date face ca fiecare rol să vadă și să modifice doar ce îi este necesar.
- Sesiune separată pentru fiecare filă. Autentificarea se face separat în fiecare filă a browserului, iar sesiunea se încheie la închiderea filei.
- Blocare după 5 încercări eșuate. Contul se blochează, iar deblocarea o face administratorul.
- Fișiere private. Fișierele sunt păstrate în stocare privată și sunt servite prin linkuri semnate, cu valabilitate scurtă.
- Jurnal de audit append-only. Fiecare acțiune este înregistrată (cine, ce, când); înregistrările se adaugă, nu se modifică.
- Linkuri care expiră. Invitațiile și resetările de parolă se fac prin linkuri trimise pe email, care expiră.
- Găzduire în UE. Baza de date și fișierele sunt găzduite în Frankfurt, Germania.
- Privilegii minime. Personalul CMA are acces doar la ce îi este necesar pentru rolul său.
2. Ce puteți face dumneavoastră
- Folosiți o parolă puternică, pe care nu o mai folosiți în altă parte, și nu o comunicați nimănui.
- Pe un calculator folosit și de alte persoane, închideți fila după ce ați terminat.
- CMA nu vă va cere niciodată parola — nici prin email, nici prin telefon.
- Dacă primiți un email suspect care pare să vină de la noi sau observați activitate neobișnuită în cont, scrieți-ne la [email protected].
3. Raportarea vulnerabilităților
Dacă ați descoperit o vulnerabilitate, scrieți-ne la [email protected], cu o descriere a problemei, pașii de reproducere și impactul estimat.
- Confirmăm primirea raportului în cel mult 3 zile lucrătoare.
- Nu testați în moduri care afectează datele altor utilizatori sau disponibilitatea serviciului: nu accesați, nu modificați și nu ștergeți date care nu vă aparțin și nu generați trafic automat de volum mare sau atacuri de tip denial-of-service.
- Vă rugăm să nu faceți publice detaliile până la remedierea problemei.
- Nu avem un program de recompense (bug bounty).
4. Incidente de securitate
Dacă un incident de securitate afectează date cu caracter personal, vom notifica ANSPDCP și, atunci când legea o cere, persoanele afectate, în condițiile art. 33 și 34 GDPR.
Security
How we protect the Platform and your data, and how to report a vulnerability to us.
1. How we protect the Platform
- HTTPS/TLS on every page. Connections to the website and the Platform are encrypted.
- Protected passwords. They are stored only as salted hashes by the authentication service and are never visible to CMA.
- Row-level, role-based access. Access control in the database means each role sees and changes only what it needs.
- A separate session per tab. You sign in separately in each browser tab, and the session ends when the tab is closed.
- Lock after 5 failed attempts. The account is locked and is unlocked by the administrator.
- Private files. Files are kept in private storage and served through short-lived signed links.
- Append-only audit trail. Every action is recorded (who, what, when); entries are added, never changed.
- Expiring links. Invitations and password resets use email links that expire.
- EU hosting. The database and files are hosted in Frankfurt, Germany.
- Least privilege. CMA staff can access only what their role requires.
2. What you can do
- Use a strong password that you do not use anywhere else, and never share it.
- On a computer that other people also use, close the tab when you have finished.
- CMA will never ask for your password — neither by email nor by phone.
- If you receive a suspicious email that appears to come from us, or notice unusual activity in your account, write to [email protected].
3. Reporting a vulnerability
If you have found a vulnerability, please write to [email protected] with a description of the issue, the steps to reproduce it and its likely impact.
- We acknowledge your report within 3 business days.
- Do not test in ways that affect other users’ data or the availability of the service: do not access, modify or delete data that is not yours, and do not generate high-volume automated traffic or denial-of-service attacks.
- Please do not disclose the details publicly until the issue has been fixed.
- We do not run a bug bounty programme.
4. Security incidents
If a security incident affects personal data, we will notify the ANSPDCP and, where the law requires, the people affected, in accordance with Articles 33 and 34 GDPR.