Politica de confidențialitate
Versiunea din
Document în lucru. Textul nu a fost încă revizuit de un jurist, iar datele operatorului, marcate între paranteze drepte, urmează să fie completate.
Această politică explică ce date personale prelucrează Operatorul în Facturica, de ce le prelucrează, cât timp le păstrează, cui le transmite și cum îți exerciți drepturile.
1. Cine este Operatorul
Facturica este oferită de [denumirea operatorului], [CUI și numărul din registrul comerțului], cu sediul în [sediul social al operatorului] („Operatorul”). Pentru protecția datelor, Operatorul poate fi contactat la [adresa de contact a operatorului].
În această politică, „Clientul” este firma sau profesionistul care are un cont, „Utilizatorul” este persoana care folosește un cont, iar „Serviciul” este aplicația web Facturica. „GDPR” este Regulamentul (UE) 2016/679.
„Operatorul” nu trebuie confundat cu „operatorul de date” din GDPR, adică cel care hotărăște scopurile și mijloacele prelucrării.
Operatorul are două roluri:
- operator de date pentru datele contului tău, descrise în secțiunea „Ce date prelucrează Operatorul și de unde provin”;
- persoană împuternicită pentru datele pe care Clienții le introduc despre firma lor și despre partenerii lor, descrise în secțiunea „Datele introduse de Clienți”. Acolo, operatorul de date este Clientul.
2. Ce date prelucrează Operatorul și de unde provin
Datele contului tău provin de la tine, din folosirea aplicației sau de la Stripe:
- nume și email: le dai la înregistrare; dacă ai fost invitat în contul unui Client, adresa ta de email provine de la proprietarul contului;
- parola: o dai tu și este păstrată numai sub formă de amprentă criptografică (hash), nu în clar;
- autentificarea în doi pași, dacă o activezi: secretul pentru aplicația de coduri, păstrat criptat, și codurile de recuperare, păstrate sub formă de amprentă criptografică;
- sesiunile: tipul și versiunea browserului, așa cum le declară acesta, un pseudonim al rețelei din care te conectezi și momentele de început și de ultimă activitate; le generează aplicația;
- istoricul autentificărilor: pseudonimul rețelei și tipul browserului; adresa IP nu este păstrată;
- evenimentele de securitate ale contului: tipul evenimentului și momentul lui;
- contoarele pentru limitarea încercărilor de autentificare: sunt legate de pseudonime ale adresei de email și ale rețelei și expiră singure;
- versiunile documentelor legale pe care le-ai acceptat și data acceptării;
- mesajele de cont (verificarea adresei, resetarea parolei): stau criptate într-o coadă până la trimitere, iar conținutul lor se șterge după trimitere sau la expirarea legăturii;
- datele abonamentului: planul, starea și perioada abonamentului, identificatorii de client și de abonament primiți de la Stripe și evidența plăților (sumă, monedă, stare, identificatorul plății);
- jurnalele tehnice ale aplicației: momentul, tipul evenimentului și un cod de referință al cererii; adresele de email, parolele, tokenurile, IBAN-urile și CNP-urile sunt eliminate înainte de scriere. Platforma de găzduire ține propriile jurnale de acces, care pot cuprinde adresa IP.
Operatorul nu vede și nu păstrează numărul cardului. Plata se face prin Stripe.
Jurnalul de activitate al firmei, care arată cine a făcut ce, în ce rol, asupra cărui document, face parte din datele firmei. Îl găsești în secțiunea „Datele introduse de Clienți”.
Serviciul folosește numai cookie-uri strict necesare. Detalii sunt în Politica de cookie-uri.
3. Scopurile prelucrării și temeiurile ei
Operatorul prelucrează datele contului numai pentru scopurile din tabel, pe temeiurile de la art. 6 alin. 1 GDPR:
| Scop | Date | Temei (GDPR art. 6 alin. 1) |
|---|---|---|
| Crearea contului, autentificarea și furnizarea Serviciului | Nume, email, parolă (amprentă criptografică), date pentru autentificarea în doi pași, sesiuni, mesaje de cont | lit. b: contractul pentru furnizarea Serviciului |
| Dovada acceptării documentelor legale | Versiunile acceptate și data acceptării | lit. b: contractul pentru furnizarea Serviciului |
| Plata abonamentului | Planul, starea și perioada abonamentului, identificatorii primiți de la Stripe, evidența plăților | lit. b: contractul pentru furnizarea Serviciului |
| Obligațiile fiscale și contabile ale Operatorului privind propriile facturi de abonament | Datele necesare facturilor de abonament | lit. c: obligație legală |
| Securitate: prevenirea abuzului, istoricul autentificărilor, limitarea încercărilor de autentificare | Istoricul autentificărilor, evenimentele de securitate ale contului, contoarele de încercări, jurnalele tehnice | lit. f: interesul legitim al Operatorului de a proteja Serviciul și conturile |
Pentru datele despre partenerii Clientului, temeiul prelucrării îl stabilește Clientul. Vezi secțiunea „Datele introduse de Clienți”.
4. Ce nu face Operatorul cu datele
Operatorul nu face profilări, nu ia decizii automate cu efect juridic, nu face publicitate și nu vinde date.
Aplicația nu are instrumente de analiză a traficului.
5. Cui transmite Operatorul datele
Operatorul folosește furnizori pentru a oferi Serviciul. Ei sunt destinatari ai datelor și, după caz, persoane împuternicite ale Operatorului.
| Furnizor | Rol | Date | Localizare |
|---|---|---|---|
| Vercel | Platforma de găzduire a aplicației | Datele prelucrate de aplicație în timpul folosirii ei | [de completat de operator] |
| Neon | Furnizorul bazei de date | Datele păstrate de aplicație: datele de cont și datele introduse de Clienți | [de completat de operator] |
| Stripe | Procesatorul de plăți | Datele necesare plății abonamentului; numărul cardului ajunge numai la Stripe | [de completat de operator] |
| Resend | Furnizorul de email pentru mesajele de cont; nu primește nimic până la activarea trimiterii de emailuri | Adresa de email și conținutul mesajelor de cont (verificarea adresei, resetarea parolei) | [de completat de operator] |
Separat de furnizorii de mai sus, Serviciul apelează servicii publice, la cererea Clientului:
- ANAF: căutarea unei firme după CUI și e-Factura, cu autorizarea Clientului;
- VIES al Comisiei Europene: verificarea unui cod de TVA;
- BNR: cursuri valutare, fără date personale.
Operatorul nu vinde datele și nu le transmite în scopuri de publicitate.
6. Transferuri în afara Spațiului Economic European
Dacă un furnizor prelucrează date în afara Spațiului Economic European (SEE), transferul se face pe baza unui mecanism prevăzut de GDPR (art. 44–49).
Localizarea fiecărui furnizor este arătată în tabelul din secțiunea „Cui transmite Operatorul datele”. Lista se actualizează în acest document.
7. Cât timp se păstrează datele
| Date | Durată |
|---|---|
| Sesiune | Cel mult 7 zile; se închide după 12 ore de inactivitate. Înregistrările sesiunilor expirate de mai mult de 30 de zile se șterg la următoarea autentificare în cont. |
| Legătura de resetare a parolei | Valabilă 30 de minute. Înregistrarea ei se șterge la 30 de zile după expirare. |
| Legătura de verificare a adresei de email | Valabilă 60 de minute. Înregistrarea ei se șterge la 30 de zile după expirare. |
| Invitația într-o firmă | Valabilă 7 zile. |
| Codul pentru pasul al doilea de autentificare | Valabil 5 minute. |
| Mesajele de cont din coadă | Conținutul se șterge după trimitere sau la expirarea legăturii. |
| Datele de cont, versiunile acceptate ale documentelor legale, istoricul autentificărilor și evenimentele de securitate | Cât există contul. |
| Copiile de siguranță ale bazei de date | Țin datele șterse până la expirarea copiei: [de completat de operator: durata copiilor de siguranță]. |
| Jurnalele de acces ale platformei de găzduire | [de completat de operator: durata jurnalelor platformei de găzduire] |
| Datele firmei și documentele | Cât există firma în aplicație. |
| Jurnalul de activitate al firmei | Nu poate fi modificat sau șters; se păstrează cât există firma în aplicație. |
| Facturile de abonament ale Operatorului | Termenul prevăzut de lege pentru documentele justificative (art. 25 din Legea contabilității nr. 82/1991). |
Documentele justificative ale Clientului au termen legal de păstrare de 5 ani, calculat de la 1 iulie a anului următor încheierii exercițiului financiar (art. 25 din Legea nr. 82/1991). Respectarea lui este obligația Clientului.
Proprietarul contului poate exporta oricând datele firmei într-un fișier (Setări → Exportă datele firmei). Ștergerea contului nu se poate face încă din aplicație: se cere la adresa de contact din secțiunea „Contact și plângere”. După ștergere, datele nu pot fi recuperate.
8. Securitatea datelor
Operatorul aplică aceste măsuri:
- conexiune criptată (HTTPS);
- parolele sunt păstrate numai ca amprentă criptografică;
- autentificare în doi pași, opțională;
- criptarea tokenurilor ANAF, a secretelor de autentificare și a mesajelor din coadă;
- roluri și permisiuni pe firmă;
- jurnal de activitate care nu poate fi modificat;
- limitarea încercărilor de autentificare;
- sesiuni care pot fi revocate;
- separarea datelor pe firmă.
Nicio măsură nu oferă protecție absolută. Alege o parolă pe care nu o folosești în altă parte și activează autentificarea în doi pași.
9. Drepturile tale
Potrivit GDPR (art. 15–22), ai dreptul:
- de acces la datele tale (art. 15);
- la rectificarea datelor inexacte (art. 16);
- la ștergerea datelor (art. 17);
- la restricționarea prelucrării (art. 18);
- la portabilitatea datelor (art. 20);
- de opoziție, inclusiv față de prelucrarea întemeiată pe interes legitim (art. 21);
- de a nu fi supus unei decizii bazate exclusiv pe prelucrare automată, dacă aceasta ar avea efecte juridice asupra ta (art. 22). Operatorul nu ia astfel de decizii.
Trimite cererea la [adresa de contact a operatorului]. Operatorul îți răspunde în termenul din art. 12 alin. 3 GDPR, adică într-o lună. Pentru a te proteja, Operatorul poate cere informații care să confirme că cererea vine de la tine.
Dacă ești proprietar de cont, poți exporta singur datele firmei (Setări → Exportă datele firmei). Ștergerea contului se cere la adresa de mai sus, pentru că nu se poate face încă din aplicație.
Dacă datele tale au fost introduse de un Client (de exemplu, ești clientul sau furnizorul lui), adresează-te mai întâi acelui Client. Operatorul îl ajută să răspundă.
Ai dreptul să depui o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral Gheorghe Magheru nr. 28–30, sector 1, București, www.dataprotection.ro. Poți apela și la instanța competentă.
10. Datele introduse de Clienți
Clienții introduc în Serviciu date despre firma lor și despre partenerii lor:
- datele firmei: denumire, CUI, număr de registru, adresă, IBAN, telefon, email;
- clienții și furnizorii Clientului: nume sau denumire, CUI sau CNP pentru persoane fizice, adresă, email, telefon, IBAN, persoană de contact;
- documentele care conțin aceste date;
- date de transport, de exemplu numărul de înmatriculare;
- mesajele e-Factura primite;
- jurnalul de activitate al firmei: cine a făcut ce, în ce rol, asupra cărui document, și un pseudonim al rețelei din care s-a lucrat.
Pentru aceste date, operatorul de date este Clientul, iar Operatorul este persoană împuternicită. Operatorul le prelucrează numai pentru a furniza Serviciul, la instrucțiunile Clientului, conform Acordului de prelucrare a datelor cu caracter personal. Temeiul prelucrării îl stabilește Clientul.
Dacă ești client sau furnizor al unui Client și datele tale au fost introduse de el, adresează-te mai întâi acelui Client. Operatorul îl ajută să răspundă cererii tale.
11. Minori
Serviciul nu se adresează minorilor. Operatorul nu colectează cu intenție date despre minori. Dacă bănuiești că un minor și-a creat un cont, scrie la [adresa de contact a operatorului].
12. Modificări
Operatorul poate actualiza această politică, de exemplu când se schimbă lista furnizorilor. Versiunea nouă este publicată pe această pagină, cu data ei. După autentificare, aplicația îți arată un anunț cu documentele care au o versiune nouă, până când confirmi că le-ai citit.
13. Contact și plângere
Pentru orice întrebare despre datele tale sau pentru exercitarea drepturilor, scrie Operatorului:
- Denumire: [denumirea operatorului]
- Identificare: [CUI și numărul din registrul comerțului]
- Sediu: [sediul social al operatorului]
- Email: [adresa de contact a operatorului]
Plângerile se pot depune la ANSPDCP, B-dul G-ral Gheorghe Magheru nr. 28–30, sector 1, București, www.dataprotection.ro.