Confidențialitate

Versiunea 2026-10-31 · acordul din formulare se referă la această versiune (consent_v = 2026-10-31).

1. Cine suntem

Hikina (hikina.eu, hikina.ro) este un serviciu al Animar Labs SRL, operatorul datelor tale:

Animar Labs SRL · CUI 54398666 · Nr. Reg. Com. J2026021721007 (EUID ROONRC.J2026021721007)
Str. Baba Novac nr. 8A, bl. E, et. 5, ap. 523, sector 3, București 031628, România
Email: [email protected]

Pentru orice întrebare sau cerere privind datele tale scrie la [email protected]. Emailurile ajung, prin Cloudflare, în căsuța noastră de Gmail (Google); le păstrăm cât e nevoie ca să-ți răspundem și să avem evidența cererii. Temei: interesul nostru legitim de a răspunde (art. 6 alin. (1) lit. f GDPR) și, pentru cererile privind datele tale, obligația legală (lit. c).

2. Simulatorul: rămâne în browserul tău

Modelele 3D (.glb, .obj, fișiere de relief) pe care le încarci nu pleacă de pe dispozitiv: sunt citite și desenate în browser și păstrate local (IndexedDB), ca să revină la vizita următoare. Le ștergi din aplicație („uită modelul salvat", „scoate modelul de suprafață").
Stocarea locală (localStorage) ține setări și chei: limba (cs-lang), ultimul loc ales (cs-loc), poziția și scara modelului (cs-house), umbrele (cs-shadow), copacii și volumele desenate (cs-trees, cs-bed), consumul și costurile (cs-money), studiul de însorire, cu datele din cartuș (cs-ins), codurile de licență (cs-lic) și pagina la care revii după plată (cs-pay-ret), cheile acoperișurilor live (cs-roofs, cs-roof-snap, cs-roofs-rank), pentru instalatori cheia contului și județul ales (cs-inst-key, cs-inst-county) și alegerea ta despre cookie-uri (cs-consent). Rămân în browser: serverul primește doar cheile, ca să te autentifici, codurile de licență, ca să le verifice, și ce trimiți printr-un formular (cerere de ofertă, înscriere, acoperiș live, plată). Le ștergi din setările browserului.

Ce: Google Analytics 4, furnizat de Google Ireland Limited. Pornește doar după ce apeși „Accept" în bannerul de cookie-uri; până atunci nu se încarcă nimic de la Google Analytics și nu se pune niciun cookie.
Ce aflăm: paginile văzute, site-ul de pe care ai venit, tipul de dispozitiv și browserul, limba, țara și orașul aproximativ, durata vizitei. Adresa paginii pleacă fără partea de după „?" și „#", unde stau coordonatele, codurile și cheile, și fără numele acoperișurilor live, așa că Google nu primește locul ales în simulator. Semnalele Google și personalizarea reclamelor sunt oprite.
Cookie-uri: _ga și _ga_ZJQHVD9YR4, puse pe hikina.eu, expiră după 13 luni. Datele la nivel de vizitator se șterg din Google Analytics după cel mult 14 luni de la ultima vizită; totalurile din rapoartele agregate rămân.
Temei: acordul tău (art. 6 alin. (1) lit. a din Regulamentul (UE) 2016/679 — GDPR — și art. 4 alin. (5) din Legea nr. 506/2004).
Retragerea acordului: oricând, cu butonul de mai jos sau cu linkul „Cookie-uri" din josul fiecărei pagini (în simulator, la capătul panoului); la refuz ștergem cookie-urile _ga din browser. Alegerea o ținem minte 12 luni, apoi te întrebăm din nou.

4. Servicii pe care browserul tău le contactează direct

Ca să construiască harta și calculul, browserul descarcă date de la servicii publice, care văd adresa IP și zona cerută (nu numele tău) și răspund de ele după propriile reguli: relief (Terrain Tiles pe Amazon S3), radiație solară (Open-Meteo), hărți și căutarea locurilor (OpenStreetMap, Nominatim), imagini din satelit (Esri), clădiri (serverele publice Overpass), biblioteci de cod (jsDelivr, unpkg). Fonturile sunt găzduite la noi.

Două cereri trec prin serverul nostru, fără să păstrăm ceva despre tine:

/api/chm citește harta înălțimii copacilor (Meta/WRI, CC BY 4.0) pentru zona aleasă; serverul vede doar ce bucată de hartă ceri.
/api/solar, când e activă, trimite coordonatele clădirii la Google Solar API ca să afle forma acoperișului; Google primește coordonatele, nu adresa ta IP.

Temei: furnizarea calculului pe care îl ceri (art. 6 alin. (1) lit. b GDPR).

5. Cereri de ofertă („vreau oferte de la instalatori")

Ce date	numele, emailul și/sau telefonul, județul și localitatea, mesajul tău, locația clădirii (coordonate) și rezumatul sistemului simulat (putere, panouri, baterie, producție, consum, cost estimat, umbrire); data și versiunea acordului; o amprentă cu cheie secretă (hash) a adresei IP, contra abuzurilor — IP-ul în clar nu se salvează.
De ce	ca să trimitem cererea ta la instalatori care să te contacteze cu oferte.
Cui	la cel mult 3 instalatori verificați care lucrează în județul tău (sau, dacă ai folosit simulatorul de pe site-ul unui instalator cu abonament Pro, doar la acel instalator). Fiecare instalator devine operator separat pentru datele primite și răspunde de felul în care te contactează.
Temei legal	consimțământul tău (art. 6 alin. (1) lit. a GDPR), dat prin bifa din formular.
Cât timp	12 luni de la trimitere; apoi ștergem numele, contactul, mesajul, locația, rezumatul sistemului și amprenta IP. Rămân doar date care nu te mai identifică (codul cererii, județul, datele calendaristice, sursa, starea, versiunea acordului și cui a fost trimisă), pentru evidența facturării către instalatori.
Retragerea acordului	oricând, scriind la [email protected] cu codul cererii (sau emailul/telefonul folosit). Ștergem datele de la noi și le cerem instalatorilor care le-au primit să facă la fel. Retragerea nu afectează ce s-a făcut înainte de ea.

6. Instalatori: cererea de înscriere și contul

Date: datele firmei (denumire, CUI, atestat ANRE, site, județe, servicii, descriere) și ale persoanei de contact (nume, email, telefon); logo, culoare și prețuri, dacă le adaugi; data și versiunea acordului.
Verificare: căutăm CUI-ul în serviciul public al ANAF (firmă activă, TVA, adresă) și păstrăm un rezumat al răspunsului.
Ce e public în director: denumirea, județele, serviciile, site-ul, descrierea, numărul atestatului ANRE, rezultatul verificării și dacă firma are Pro; cu Pro, și logo-ul, culoarea, telefonul, emailul și prețurile (pe profil și în simulatorul de pe site-ul firmei).
Temei: consimțământul și demersurile înaintea unui contract (art. 6 alin. (1) lit. a și b GDPR).
Cât timp: cât timp firma e listată; pentru cererile respinse ștergem după 12 luni datele de contact și de profil și păstrăm doar denumirea și CUI-ul. Cheia contului se păstrează doar ca hash (nu o putem recupera; emitem una nouă).

7. Acoperișuri live

Date: numele afișat, orașul și țara pe care le alegi; casa ta ca model simplu (pereții, acoperișul, panourile și copacii aflați la cel mult 20 m — fără vecini, fără hartă, fără fotografii; fișierul unui model 3D încărcat de tine în simulator nu pleacă din browser, ci cel mult dimensiunile lui de gabarit, pentru o casă simplificată); înclinarea, orientarea și umbra fiecărei fețe cu panouri; locul rotunjit la 0,01° (cca 1 km); fusul orar; kWp și numărul de panouri; citirile invertorului pe care le trimiți (putere, energie, ora), păstrate câte una la 5 minute; o amprentă (hash) a adresei IP de la care ai făcut pagina, contra abuzurilor.
Ce e public: la o pagină publică, numele afișat, orașul, țara, kWp, numărul de panouri, modelul casei și cifrele producției apar în listă și pe pagina acoperișului; locul apare doar rotunjit la 0,1° (cca 10 km), cât să se calculeze poziția soarelui. O pagină privată nu apare în listă, dar se deschide cu linkul ei.
Vremea: pentru producția așteptată, serverul cere vremea de la Open-Meteo pentru celula de 0,1° a locului; Open-Meteo nu primește nimic despre tine.
Cheile: cheia de proprietar și cheia de trimis se păstrează la noi doar ca hash (nu le putem recupera; emitem una nouă); în browserul tău stau în stocarea locală.
Temei: furnizarea serviciului pe care ni-l ceri (art. 6 alin. (1) lit. b GDPR).
Cât timp: până ștergi acoperișul. Butonul „Șterge acoperișul" șterge pe loc pagina, modelul și toate citirile.

8. Plăți

Plățile (studiu de însorire, abonament lunar, Pro pentru instalatori) se fac prin Stripe (Stripe Payments Europe Ltd., Irlanda), operator separat pentru datele cardului — noi nu vedem și nu păstrăm datele cardului. Când deschizi plata, îi trimitem lui Stripe referința cumpărăturii și, pentru Pro, emailul contului. De la Stripe primim: identificatorul plății, emailul, suma, moneda, abonamentul (dacă e cazul) și referința cumpărăturii — pentru un studiu, coordonatele rotunjite ale amplasamentului (4 zecimale, cca 10 m); pentru Pro, contul instalatorului. Temei: contractul și obligațiile legale contabile și fiscale (art. 6 alin. (1) lit. b și c GDPR); le păstrăm cât cer acestea. Codul de licență pe care îl primești e semnat și conține referința cumpărăturii, identificatorul plății și data de expirare; se păstrează în browserul tău și se trimite serverului ca să fie verificat.

9. Găzduire, securitate și abuz

Site-ul, baza de date și emailul sunt găzduite de Cloudflare, care, ca orice furnizor de găzduire, vede adresa IP a fiecărei cereri ca să livreze paginile și să le protejeze. În baza noastră de date nu păstrăm adrese IP în clar. La cererile care pot fi abuzate (formulare, chei, plăți, administrare) păstrăm doar o amprentă cu cheie secretă (hash) a IP-ului: pentru limitarea cererilor, o zi; la cererile de ofertă și la acoperișuri, cât timp se păstrează acestea. Temei: interesul nostru legitim de a ține serviciul sigur (art. 6 alin. (1) lit. f GDPR). Totul circulă prin HTTPS; cheile se păstrează doar ca hash-uri, iar administrarea are o cheie separată.

10. Cine mai primește date

Persoane împuternicite, care prelucrează date doar pentru noi: Cloudflare, Inc. (găzduire, bază de date, email) și Google Ireland Limited (Google Analytics, cu acordul tău; Gmail, pentru emailurile primite).
Operatori separați: instalatorii care primesc o cerere de ofertă și Stripe, pentru plăți.
Autorități, doar când legea ne obligă.

11. Transferuri în afara Spațiului Economic European

Cloudflare, Google și Stripe pot prelucra date și în SUA. Transferul se face pe baza deciziei de adecvare a Comisiei Europene privind Cadrul UE–SUA pentru protecția datelor, la care acești furnizori sunt certificați, și, unde e cazul, a clauzelor contractuale standard. Poți cere o copie a garanțiilor aplicabile la [email protected].

12. Drepturile tale

Ai dreptul de acces, rectificare, ștergere, restricționare, portabilitate și opoziție (inclusiv față de prelucrările bazate pe interesul legitim), precum și dreptul de a-ți retrage oricând acordul. Scrie la [email protected]; răspundem în termenele din art. 12 alin. (3) GDPR (de regulă, o lună). Poți depune plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), dataprotection.ro.

Nu ești obligat să ne dai date; fără ele nu putem trimite cererea de ofertă, lista firma ta sau face pagina acoperișului. Nu luăm decizii bazate exclusiv pe prelucrare automată care să producă efecte juridice asupra ta.

13. Modificări

Dacă schimbăm nota, publicăm aici versiunea nouă cu data ei; acordurile date rămân legate de versiunea la care au fost date.

Version 2026-10-31 · the version the consent in our forms refers to (consent_v = 2026-10-31).

1. Who we are

Hikina (hikina.eu, hikina.ro) is a service of Animar Labs SRL, the controller of your data:

Animar Labs SRL · tax ID (CUI) 54398666 · Trade Register J2026021721007 (EUID ROONRC.J2026021721007)
Str. Baba Novac 8A, Bl. E, Et. 5, Ap. 523, Sector 3, Bucharest 031628, Romania
Email: [email protected]

For any question or request about your data, write to [email protected]. Emails reach our Gmail inbox (Google) through Cloudflare; we keep them as long as we need to answer and to keep a record of the request. Legal basis: our legitimate interest in answering (Art. 6(1)(f) GDPR) and, for requests about your data, our legal obligation (point (c)).

2. The simulator: it stays in your browser

3D models (.glb, .obj, terrain files) you load never leave your device: they are read and drawn in the browser and kept locally (IndexedDB) so they come back next time. You delete them in the app ("forget saved model", "remove surface model").
Local storage (localStorage) holds settings and keys: language (cs-lang), the last place you picked (cs-loc), model position and scale (cs-house), shadows (cs-shadow), drawn trees and volumes (cs-trees, cs-bed), consumption and costs (cs-money), the sun study, with its title-block details (cs-ins), licence codes (cs-lic) and the page you return to after paying (cs-pay-ret), live-roof keys (cs-roofs, cs-roof-snap, cs-roofs-rank), for installers the account key and the chosen county (cs-inst-key, cs-inst-county), and your cookie choice (cs-consent). They stay in your browser: the server only gets the keys, to sign you in, licence codes, to check them, and what you send through a form (quote request, application, live roof, payment). Clear them in your browser settings.

What: Google Analytics 4, provided by Google Ireland Limited. It starts only after you press "Accept" in the cookie banner; until then nothing is loaded from Google Analytics and no cookie is set.
What we learn: the pages viewed, the site you came from, device type and browser, language, approximate country and city, and how long the visit lasted. The page address is sent without the part after "?" and "#", where coordinates, codes and keys live, and without live-roof names, so Google doesn't get the place you picked in the simulator. Google signals and ad personalisation are off.
Cookies: _ga and _ga_ZJQHVD9YR4, set on hikina.eu, expire after 13 months. Visitor-level data is deleted from Google Analytics at most 14 months after the last visit; totals in aggregated reports remain.
Legal basis: your consent (Art. 6(1)(a) of Regulation (EU) 2016/679 — GDPR — and Art. 4(5) of Romanian Law 506/2004).
Withdrawing consent: any time, with the button below or the "Cookies" link at the bottom of every page (in the simulator, at the end of the side panel); when you decline we delete the _ga cookies from your browser. We remember your choice for 12 months, then ask again.

4. Services your browser contacts directly

To build the map and the calculation your browser downloads data from public services, which see your IP address and the area requested (not your name) and handle it under their own rules: terrain (Terrain Tiles on Amazon S3), solar radiation (Open-Meteo), maps and place search (OpenStreetMap, Nominatim), satellite imagery (Esri), buildings (the public Overpass servers), code libraries (jsDelivr, unpkg). The fonts are hosted by us.

Two requests go through our server, and we keep nothing about you:

/api/chm reads the tree-height map (Meta/WRI, CC BY 4.0) for the chosen area; the server only sees which map tile you ask for.
/api/solar, when enabled, sends the building's coordinates to the Google Solar API to get the roof shape; Google gets the coordinates, not your IP address.

Legal basis: providing the calculation you ask for (Art. 6(1)(b) GDPR).

5. Quote requests ("get offers from installers")

What	your name, email and/or phone, county and locality, your message, the building's location (coordinates) and the summary of the simulated system (power, panels, battery, yield, consumption, estimated cost, shading); the date and version of your consent; a keyed hash of your IP address, against abuse — the plain IP is never stored.
Why	to pass your request to installers who contact you with offers.
To whom	at most 3 verified installers working in your county (or, if you used the simulator on the website of an installer with a Pro subscription, only that installer). Each installer becomes a separate controller for the data received and is responsible for how they contact you.
Legal basis	your consent (Art. 6(1)(a) GDPR), given with the tick box in the form.
How long	12 months from sending; then we erase the name, contact details, message, location, system summary and IP hash. Only data that no longer identifies you remains (the request code, county, dates, source, status, consent version and who it was sent to), to account for what installers are invoiced.
Withdrawing consent	any time, by writing to [email protected] with the request code (or the email/phone you used). We erase the data on our side and ask the installers who received it to do the same. Withdrawal does not affect what was done before it.

6. Installers: the application and the account

Data: company details (name, tax ID, ANRE licence, website, counties, services, description) and the contact person's (name, email, phone); logo, colour and prices if you add them; the date and version of your consent.
Checks: we look the tax ID up in ANAF's public web service (active company, VAT, address) and keep a summary of the answer.
What is public in the directory: name, counties, services, website, description, ANRE licence number, the check result and whether the company has Pro; with Pro also logo, colour, phone, email and prices (on the profile and in the simulator on the company's website).
Legal basis: consent and steps before a contract (Art. 6(1)(a) and (b) GDPR).
How long: while the company is listed; for rejected applications we erase the contact and profile details after 12 months and keep only the company name and tax ID. The account key is kept only as a hash (we cannot recover it; we issue a new one).

7. Live roofs

Data: the display name, town and country you choose; your house as a simple model (walls, roof, panels and trees within 20 m — no neighbours, no map, no photos; the file of a 3D model you load into the simulator never leaves your browser, at most its overall dimensions, for a simplified house); each panel face's tilt, orientation and shade; the place rounded to 0.01° (about 1 km); the time zone; kWp and the panel count; the inverter readings you send (power, energy, time), one kept per 5 minutes; a hash of the IP address the page was made from, against abuse.
What is public: for a public page, the display name, town, country, kWp, panel count, the house model and the production figures appear in the list and on the roof's page; the place appears only rounded to 0.1° (about 10 km), enough to work out the sun's position. A private page is not listed but opens with its link.
Weather: for the expected production, the server asks Open-Meteo for the weather of the place's 0.1° cell; Open-Meteo receives nothing about you.
Keys: we keep the owner key and the push key only as hashes (we can't recover them; we issue a new one); in your browser they sit in local storage.
Legal basis: providing the service you ask for (Art. 6(1)(b) GDPR).
How long: until you delete the roof. The "Delete this roof" button removes the page, the model and every reading at once.

8. Payments

Payments (a sun study, the monthly plan, Pro for installers) go through Stripe (Stripe Payments Europe Ltd., Ireland), a separate controller for card data — we never see or keep card details. When you open the payment page we pass Stripe the purchase reference and, for Pro, the account's email. From Stripe we receive: the payment ID, email, amount, currency, the subscription (if any) and the purchase reference — for a study, the rounded site coordinates (4 decimals, about 10 m); for Pro, the installer's account. Legal basis: the contract and our accounting and tax obligations (Art. 6(1)(b) and (c) GDPR); we keep them as long as those require. The licence code you get is signed and holds the purchase reference, the payment ID and the expiry date; it is kept in your browser and sent to our server to be checked.

9. Hosting, security and abuse

The site, the database and email are hosted by Cloudflare, which, like any host, sees the IP address of each request in order to deliver the pages and protect them. We don't keep plain IP addresses in our database. For requests that can be abused (forms, keys, payments, administration) we keep only a keyed hash of the IP: one day for rate limits; for quote requests and live roofs, as long as those are kept. Legal basis: our legitimate interest in keeping the service secure (Art. 6(1)(f) GDPR). Everything travels over HTTPS; keys are kept only as hashes, and administration uses a separate key.

10. Who else receives data

Processors, who handle data only on our behalf: Cloudflare, Inc. (hosting, database, email) and Google Ireland Limited (Google Analytics, with your consent; Gmail, for emails we receive).
Separate controllers: the installers who receive a quote request, and Stripe, for payments.
Authorities, only when the law requires it.

11. Transfers outside the European Economic Area

Cloudflare, Google and Stripe may process data in the US. Transfers rely on the European Commission's adequacy decision for the EU–US Data Privacy Framework, under which these providers are certified, and, where needed, on standard contractual clauses. You can ask for a copy of the applicable safeguards at [email protected].

12. Your rights

You have the right of access, rectification, erasure, restriction, portability and objection (including to processing based on legitimate interest), and the right to withdraw consent at any time. Write to [email protected]; we answer within the time limits of Art. 12(3) GDPR (usually one month). You can complain to the Romanian supervisory authority (ANSPDCP), dataprotection.ro.

You don't have to give us any data; without it we can't pass on a quote request, list your company or make a roof page. We make no decisions based solely on automated processing that have legal effects on you.

13. Changes

If we change this notice we publish the new version here with its date; consents stay tied to the version they were given for.