# GDPR și cookie-uri pentru magazinul online: ghid pentru România GDPR în România pentru magazinul online: bannerul de cookie-uri după Legea 506/2004, politica de confidențialitate, dovada acordului și cererile. Sursa: https://cloudcart.com/ro/blog/gdpr-cookie-magazin-online · CloudCart · 2026-11-06 Pe scurt: după GDPR și Legea 506/2004, un magazin online din România pornește cookie-urile de statistică și reclamă doar după acordul clientului, afișează politica de confidențialitate, păstrează dovada a ce a acceptat fiecare client și răspunde la cererile de acces sau ștergere în cel mult o lună. În CloudCart, toate acestea sunt în aplicația GDPR: banner, 5 grupuri de cookie-uri, 4 politici gata făcute, registru și cereri. Articolul este scris de echipa CloudCart, platforma eCommerce fondată în Bulgaria, pentru magazinele online din România. Regulile vin din [Regulamentul (UE) 2016/679](https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX:32016R0679) (GDPR, în română RGPD) și din [Legea nr. 506/2004](https://www.dataprotection.ro/servlet/ViewDocument?id=859), care transpune directiva ePrivacy și conține regula pentru cookie-uri. Autoritatea de supraveghere este [ANSPDCP](https://www.dataprotection.ro/) (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal). Textul nu este consultanță juridică: politicile finale le verifici cu un avocat. Drepturile clientului la retur sunt în ghidul despre [returul în 14 zile după OUG 34/2014](https://cloudcart.com/ro/blog/retur-produse-14-zile). ## Ce sunt cookie-urile site-ului și care cer acord Cookie-urile sunt fișiere text mici pe care site-ul le salvează în browserul clientului, ca să țină minte coșul, autentificarea sau sursa vizitei. Acord cer toate cookie-urile care nu sunt strict necesare pentru serviciul cerut de client. Art. 4 alin. (5) din Legea 506/2004 permite stocarea de informații pe dispozitivul utilizatorului doar dacă acesta și-a exprimat acordul și a primit înainte informații clare și complete, inclusiv despre scop. Regula se aplică și pixelilor și scripturilor care citesc date de pe dispozitiv. Pentru un magazin online, asta înseamnă că Google Analytics, Google Ads, Meta Pixel și TikTok Pixel așteaptă „da” de la client, iar coșul și sesiunea merg fără întrebări. Contează scopul cookie-ului, nu domeniul care îl salvează. | Tip de cookie | Exemplu într-un magazin online | Cere acord? | | Strict necesar | Coșul, autentificarea, limba aleasă, alegerea despre cookie-uri | Nu | | Statistică | Google Analytics 4: vizite, surse de trafic, conversii | Da | | Reclamă și remarketing | Google Ads, Meta Pixel, TikTok Pixel | Da | | Funcționale ale terților | Video încorporat, chat extern, comentarii Facebook | Da, dacă serviciul salvează cookie-uri proprii | ## Ce cere GDPR de la un magazin online din România GDPR și Legea 506/2004 cer de la un magazin online cinci lucruri: acord înainte de cookie-urile care nu sunt necesare, informații despre cine prelucrează datele, dovada acordului, retragerea simplă a acordului și răspuns la cererile clienților. Fiecare are locul lui în aplicația GDPR din CloudCart. | Obligație | De unde vine | Unde este în CloudCart | | Acord înainte de cookie-urile de statistică și reclamă | Legea 506/2004, art. 4 alin. (5) | Aplicații → GDPR → Cookies | | Informații despre operatorul de date | GDPR, art. 13 | Aplicații → GDPR → Address și Policy | | Dovada acordului | GDPR, art. 7 alin. (1) | Aplicații → GDPR → Acceptance | | Retragerea acordului la fel de simplă ca acordarea | GDPR, art. 7 alin. (3) | Linkul pentru setările de cookie-uri din vitrină | | Răspuns la acces, portabilitate sau ștergere în cel mult o lună | GDPR, art. 12 alin. (3) și art. 15-20 | Aplicații → GDPR → Requests | ### Cine verifică și ce riști ANSPDCP primește plângerile clienților, face investigații și aplică sancțiuni după GDPR și după Legea 506/2004, iar Legea nr. 190/2018 completează GDPR la nivel național. Amenda pentru încălcarea principiilor și a drepturilor clienților ajunge până la 20 de milioane de euro sau 4% din cifra de afaceri anuală mondială, oricare este mai mare ([GDPR, art. 83 alin. (5)](https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX:32016R0679)). O căsuță bifată dinainte nu este acord valid, a decis Curtea de Justiție a UE în cauza Planet49 (C-673/17). Dacă datele clienților ajung unde nu trebuie, de exemplu un export trimis greșit, GDPR cere notificarea autorității în 72 de ore când există risc pentru clienți (art. 33). ANSPDCP are un [formular pentru notificarea breșelor de securitate](https://www.dataprotection.ro/?page=pagina_formular_679). > Facturi și GDPR Datele firmei le introduci o singură dată Bannerul, registrul acordurilor și facturile se setează din același panou de administrare. Datele firmei din GDPR → Address apar și pe documentele magazinului, așa că nu le copiezi în mai multe locuri. Facturi și e-Factura în CloudCart → ## Ce este aplicația GDPR din CloudCart și cui îi trebuie Aplicația GDPR este modulul CloudCart pentru protecția datelor personale: afișează bannerul de cookie-uri, oprește scripturile de reclamă până la acord, păstrează politicile și registrul acordurilor și strânge cererile clienților. Îi trebuie oricărui magazin care are măcar un client din UE. Fără aplicația activă, magazinul nu are banner, registru al acceptărilor sau formular pentru cereri. Aplicația este în Aplicații → GDPR, iar condițiile ei pentru planul tău le vezi acolo, înainte de instalare. Are șapte secțiuni: Overview, Settings, Address (datele firmei), Cookies, Policy, Acceptance (registrul) și Requests (cererile). Butonul Enable / Disable o oprește fără să piardă setările, dar atunci bannerul dispare și scripturile de reclamă pornesc fără acord. ## Cum pornești GDPR în CloudCart, pas cu pas GDPR se pornește în CloudCart în șase pași, iar datele firmei le pregătești primele. La instalare, platforma pune denumirea firmei, CUI-ul, reprezentantul, adresa, telefonul și e-mailul în textul politicilor o singură dată. Dacă le schimbi mai târziu, corectezi politicile de mână. - Pregătește datele firmei. Company or business name, Company registration number (CUI), Company owner (reprezentantul legal), Phone, Country, City, Address și Postal code. Platforma acceptă câmpuri goale și nu verifică formatul, așa că le verifici tu. - Instalează aplicația. Din Aplicații alege GDPR. Platforma creează 4 politici și 5 grupuri de cookie-uri și pune datele firmei în politici. - Alege bara sau peretele. În Cookies, la Cookie Consent Mode, alege Cookie bar sau Cookie wall. Scrie textul în Cookies bar text și explicația în Cookies consent text. - Setează grupurile de cookie-uri. Pentru fiecare grup completezi Active, Default state, Name și Description, apoi adaugi cookie-urile magazinului cu denumirile lor tehnice. - Revizuiește politicile. În Policy verifică datele firmei și adaugă furnizorii de reclamă și analiză. Politicile nu au variante pe țări, așa că adaugi tu ce e specific României, de exemplu dreptul de plângere la ANSPDCP. - Verifică vitrina. Deschide magazinul în incognito, refuză grupul de reclamă și vezi că bara și linkul pentru setări funcționează. Repetă pe telefon: bara nu trebuie să acopere butonul „Adaugă în coș”. Fă o înregistrare de test și verifică rândul ei în Acceptance. > Magazin cu 1 € 1 € pe lună în primele 3 luni, pe orice plan Cei șase pași îi faci încă din aceste luni, înainte de prima comandă. Primul client vede bara, acceptă politicile, iar acceptarea lui rămâne în registru. Creează-ți magazinul cu 1 € → ## Cum pui bannerul de cookie-uri în magazinul online Bannerul de cookie-uri din CloudCart se pornește în Aplicații → GDPR → Cookies, unde alegi în meniul Cookie Consent Mode între bară (Cookie bar) și perete (Cookie wall). Cele două moduri se exclud. Bara este o fâșie în partea de jos a paginii, iar clientul poate naviga fără să răspundă. Peretele blochează pagina la prima vizită până când clientul acceptă sau își salvează alegerea. Comitetul European pentru Protecția Datelor consideră că accesul la site condiționat de acordul pentru cookie-uri nu produce un acord valid ([Ghidul EDPB 05/2020](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)), de aceea bara este alegerea mai sigură. ### Cele cinci grupuri de cookie-uri CloudCart creează 5 grupuri la instalare. Clientul acceptă sau refuză un grup întreg, nu fiecare cookie. | Grup | La ce folosește | Starea la instalare | Recomandare | | Strict necesare | Sesiune, coș, autentificare | Mereu pornit | Fără schimbări | | Performanță | Vizite și surse de trafic, de exemplu Google Analytics | Activ, „acceptat” implicit | Default state: oprit | | Funcționalitate | Video, chat live, alegerea limbii | Activ, „acceptat” implicit | Oprit, dacă serviciile pun cookie-uri ale terților | | Targetare | Remarketing și conversii, de exemplu Google Ads și TikTok Pixel | Activ, „acceptat” implicit | Default state: oprit | | Google Consent Mode | Semnalul de acord către Google | Inactiv, „refuzat” implicit | Pornește-l dacă faci reclamă în Google | Default state decide ce se aplică înainte ca clientul să aleagă. La instalare, performanța, funcționalitatea și targetarea sunt pe „acceptat”, deci scripturile lor pornesc fără răspuns. Acordul valid este o acțiune clară a clientului ([GDPR, art. 4 pct. 11](https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX:32016R0679)), așa că pune Default state pe „oprit” la statistică și reclamă. ### Ce se întâmplă când clientul alege „Accept” acceptă toate grupurile și bara dispare. „Salvează setările” păstrează alegerea pe grupuri și șterge cookie-urile deja salvate din grupurile refuzate. Închiderea cu × doar ascunde bara pe pagina curentă, fără să salveze ceva. Acordul parțial se păstrează, dar bara reapare până când toate grupurile sunt acceptate. Alegerea se păstrează 365 de zile, iar schimbarea textului barei nu îi întreabă din nou pe cei care au ales. Bara apare tuturor vizitatorilor, indiferent de țară. Important: clientul trebuie să își poată schimba alegerea oricând (GDPR, art. 7 alin. (3)). Setările se deschid dintr-un link din vitrină, de obicei „Setări cookie-uri” în subsol. Verifică dacă tema ta îl afișează. Dacă nu, scrie la support@cloudcart.com. ## Google Consent Mode v2 și pixelii de reclamă Google Consent Mode v2 este semnalul prin care magazinul spune Google Ads și Google Analytics dacă clientul a permis cookie-urile de reclamă și analiză. Pentru clienții din Spațiul Economic European, Google cere acord pentru remarketing și măsurarea reclamelor ([politica Google privind consimțământul utilizatorilor din UE](https://www.google.com/about/company/user-consent-policy/)). În CloudCart, Consent Mode v2 este un grup separat în Aplicații → GDPR → Cookies, oprit implicit, care cere confirmare la pornire. Se pornește doar cu abonament la aplicația GDPR: la o achiziție veche, unică, sistemul propune trecerea la abonament. Apoi magazinul transmite către Google Ads, Google Analytics și Floodlight dacă clientul a acceptat. Grupul refuzat oprește și scripturile aplicațiilor conectate: Google Analytics, Google Tags, TikTok Pixel și Facebook Comments citesc alegerea clientului înainte să pornească. Securitatea (SSL, copii de rezervă, protecție la atacuri) este descrisă pe pagina [domeniu, SSL și GDPR](https://cloudcart.com/ro/domain). ## Ce trebuie să conțină politica de confidențialitate și politica de cookie-uri Politica de confidențialitate spune cine prelucrează datele, ce date, în ce scop, pe ce temei, cât timp le păstrează, cui le transmite și cum își exercită clientul drepturile, inclusiv plângerea la ANSPDCP ([GDPR, art. 13](https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX:32016R0679)). Politica de cookie-uri enumeră grupurile și cookie-urile, cu scopul și durata fiecăruia. La instalare, CloudCart creează 4 politici în limba magazinului (bulgară, engleză, română, greacă, maghiară sau macedoneană; pentru alte limbi, în engleză), deci un magazin în română le primește în română: | Politică | Unde apare | Obligatorie sau opțională | | Politica de confidențialitate | Înregistrare și plata comenzii | Obligatorie | | Termeni și condiții | Înregistrare și plata comenzii | Obligatorie | | Acord pentru prelucrarea datelor în scop de marketing | Înregistrare, plată și fereastra de abonare | Opțională | | Politica de cookie-uri | Pagină separată în vitrină | Informativă | Fiecare politică se atașează la oricare dintre cele cinci formulare: înregistrare, contact, plata comenzii, fereastra de abonare și fereastra de reacceptare, ca obligatorie (fără bifă formularul nu se trimite) sau opțională. În politica de cookie-uri pune {cookies_table}, iar vitrina afișează acolo tabelul cu grupurile și cookie-urile tale. Ce secțiuni sunt obligatorii în termeni găsești în ghidul despre [termenii și condițiile magazinului online](https://cloudcart.com/ro/blog/termeni-si-conditii-magazin-online). Clientul care acceptă politica de marketing primește acord de marketing în cont, iar refuzul îl oprește. Lista de abonați urmează această schimbare. Pentru clienții înregistrați înainte de aplicație, pornește în Settings fereastra de reacceptare (show_policies_popup): clientul autentificat fără rând în registru o vede după autentificare. > CloudCart Pay 0% comision pe tranzacție până la 31.12.2026 Bifa pentru termeni și confidențialitate stă pe același pas pe care clientul plătește în lei cu cardul, Apple Pay sau Google Pay. Acceptarea intră în registru odată cu comanda, fără să trimiți clientul pe o pagină străină. Cum funcționează CloudCart Pay → ## Cum dovedești ce a acceptat fiecare client Dovada acordului în CloudCart este registrul din Aplicații → GDPR → Acceptance: fiecare rând arată ce client, ce politică, când și din ce formular a acceptat-o, cu adresa IP și dispozitivul. Platforma păstrează textul exact pe care l-a văzut clientul. Dacă modifici politica, rândurile vechi arată versiunea veche, iar acceptările noi pe cea nouă. Rândurile nu se editează și nu se șterg: la ștergerea datelor clientului dispar doar datele personale din cont, iar faptul acordului rămâne. Căutarea se face după e-mail, iar Export descarcă un fișier Excel cu 10 coloane, după un cod de verificare în doi pași. La peste 500 de rânduri, fișierul se pregătește în fundal. ## Cum procesezi o cerere de ștergere a datelor Cererea de ștergere se procesează în Aplicații → GDPR → Requests, iar răspunsul pleacă în cel mult o lună de la primire. Termenul se poate prelungi cu încă 2 luni la cereri complexe sau numeroase, dacă îl anunți pe client în prima lună ([GDPR, art. 12 alin. (3)](https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX:32016R0679)). Clientul trimite cererea din pagina /gdpr a vitrinei, de unde, dacă e autentificat, își poate descărca și singur datele, comenzile și adresele. Tipurile de cereri sunt patru: | Tipul în listă | Ce cere clientul | Ce faci tu | | info | Ce date păstrezi (art. 15) | Îi trimiți datele | | download | Datele într-un fișier (art. 20) | Le trimiți în CSV, JSON sau XML | | delete | Ștergerea datelor (art. 17) | Ștergi datele personale din cont; facturile și comenzile rămân | | marketing_unsubscribe | Dezabonarea de la marketing | Oprești e-mailurile de marketing | - Verifică cine scrie. Cererea trebuie să vină din contul clientului sau de pe e-mailul cu care s-a înregistrat. O cerere falsă poate șterge contul unui client real. - Fă acțiunea în contul clientului. În Clienți ștergi numele, e-mailul, telefonul și adresele sau folosești Delete customer. Acțiunea nu se poate anula. - Păstrează ce cere legea. Facturile și comenzile rămân după legislația contabilă și fiscală, iar GDPR permite asta când păstrarea este o obligație legală (art. 17 alin. (3) lit. b)). - Marchează cererea ca procesată și răspunde pe e-mail. Platforma nu îl anunță singură pe client, așa că îi scrii ce ai făcut. Important: lista nu numără cele 30 de zile. Deschide Requests măcar o dată pe săptămână, iar cererile venite pe e-mail sau la telefon ține-le separat, cu același termen. Fără răspuns, clientul poate face plângere la ANSPDCP. ## Poate lucra un asistent AI cu magazinul fără să încalce GDPR? Un asistent AI ca Claude Code, ChatGPT Codex sau Gemini CLI poate lucra cu magazinul din CloudCart în limitele GDPR dacă vede doar datele de care are nevoie sarcina. Accesul lui se stabilește prin tokenul PAT (Personal Access Token), pe care proprietarul îl creează în Setări → PAT tokens. GDPR cere ca datele să fie „limitate la ceea ce este necesar” (art. 5 alin. (1) lit. c)), iar furnizorul care le prelucrează în numele tău are nevoie de un contract sau de condiții de prelucrare acceptate (art. 28). Tokenul cu Custom Permissions alege pentru fiecare dintre cele 8 resurse (Products, Orders, Customers, Inventory, Discounts, Blog, Settings, Webhooks) între None, Read și Read & Write. Pentru descrieri, prețuri, stocuri și blog, agentul nu are nevoie de Customers, resursa care acoperă clienții și abonații. Tokenul are dată de expirare, până la 20 de adrese IP permise, iar ștergerea lui oprește accesul imediat. > Magazin cu asistent AI Drepturi pe resurse: agentul vede doar ce îi dai Un agent pentru produse și blog lucrează cu un token PAT fără Customers și nu vede niciun client. Datele personale rămân în panou, unde le păzesc registrul și cererile aplicației GDPR. Cum administrează asistentul AI magazinul → ## Bune practici GDPR pentru magazinul online Un GDPR bine setat ferește magazinul de amenzi și lasă reclama măsurabilă, pentru că strânge doar acorduri care rezistă la un control ANSPDCP. - Introdu datele firmei corect la instalare. Ele intră în politici o singură dată. - Pune Default state pe „oprit” la statistică și reclamă. Scripturile așteaptă „da”. - Descrie fiecare cookie nou. Platforma nu scanează site-ul, așa că la fiecare aplicație de reclamă sau chat îi adaugi cookie-urile. - Pornește Consent Mode v2 dacă faci reclamă în Google. Fără el, remarketingul către clienții din SEE nu respectă regulile Google. - Verifică magazinele pe rând. La mai multe magazine, setările GDPR sunt separate și nu se copiază. ## Greșeli de evitat Cele mai dese greșeli GDPR într-un magazin online sunt în setări, nu în texte. - Aplicația oprită pentru o vitrină „mai curată”. Bara dispare, iar scripturile de reclamă pornesc fără acord. - Politică obligatorie inactivă. Bifa nu apare la plată și clientul nu o acceptă. Verifică starea în Policy. - Reinstalarea aplicației. Registrul și cererile rămân, dar grupurile revin la cele implicite, iar cookie-urile adăugate de tine se pierd. - Adresă nouă fără politică nouă. Schimbarea din Address nu rescrie politicile vechi. - Acord de marketing bifat dinainte. Bifa pentru e-mailuri rămâne goală, altfel acordul nu este valid. ## Întrebări frecvente **Este obligatoriu bannerul de cookie-uri pe site în România?** Da, când magazinul salvează cookie-uri care nu sunt strict necesare, de exemplu pentru Google Analytics, Google Ads sau TikTok Pixel. Legea 506/2004 (art. 4 alin. (5)) cere acordul și informarea utilizatorului înainte. Cookie-urile pentru coș, sesiune și autentificare nu cer acord. **Cum pun bannerul de cookie-uri în CloudCart?** Instalează aplicația GDPR și, în Cookies, la Cookie Consent Mode, alege Cookie bar sau Cookie wall. Scrie textul, setează cele cinci grupuri și salvează. Bara apare în vitrină la următoarea încărcare a paginii. **Ce trebuie să conțină politica de confidențialitate a unui magazin online?** Cine este operatorul și cum îl contactezi, ce date colectezi, în ce scop și pe ce temei, cât timp le păstrezi, cui le transmiți (curieri, procesatori de plăți, reclamă) și cum își exercită clientul drepturile, inclusiv plângerea la ANSPDCP. CloudCart creează o politică cu datele firmei tale, pe care o completezi. **În cât timp răspund la o cerere de ștergere a datelor?** În cel mult o lună de la primire, cu prelungire de încă 2 luni la cereri complexe, dacă îl anunți pe client (GDPR, art. 12 alin. (3)). Facturile și comenzile rămân, pentru că legea îți cere să le păstrezi. **Am nevoie de Google Consent Mode v2?** Da, dacă faci reclamă în Google Ads sau măsori cu Google Analytics clienți din SEE. În CloudCart, Consent Mode v2 este un grup separat în GDPR → Cookies, pe care îl pornești cu abonament la aplicație. **Cine dă amenzi GDPR în România?** ANSPDCP verifică și sancționează după GDPR și după Legea 506/2004. Amenda GDPR pentru încălcarea principiilor și drepturilor clienților ajunge la 20 de milioane de euro sau 4% din cifra de afaceri anuală mondială, oricare este mai mare (art. 83 alin. (5)). Vânzările în CloudCart trec cu 0% comision către platformă ([magazin online fără comision](https://cloudcart.com/ro/offer/zero-commission-ecommerce)), iar plata, politicile și acordurile sunt pe același pas din [checkout](https://cloudcart.com/ro/checkout). [Creează-ți magazinul cu 1 €](https://cloudcart.com/ro/offer/online-store-for-1-euro) și setează bannerul, politicile și registrul înainte de prima comandă. Întrebările despre aplicația GDPR le trimiți la [support@cloudcart.com](https://cloudcart.commailto:support@cloudcart.com).