Politica de confidențialitate
Politica de confidențialitate (programul beta)
Prima versiune, pentru programul beta închis.
Această notă explică ce date personale prelucrăm când îți faci un cont și folosești aplicația Orandix Business Management („Orandix”, „aplicația”) în programul beta, de ce, cât timp și ce drepturi ai. O scriem cât mai simplu; dacă ceva nu e clar, scrie-ne.
1. Cine prelucrează datele
Operatorul de date pentru contul tău și pentru funcționarea platformei este Ionuț Anghel, persoană fizică, ⟨adresa⟩, e-mail contact@orandix.ro („noi”).
Pentru datele pe care o firmă le pune în aplicație (angajații ei, clienții ei, documentele ei), operatorul de date este firma, iar noi suntem persoana împuternicită care le prelucrăm în numele ei, după Acordul de prelucrare a datelor încheiat cu firma. Pentru întrebări despre acele date, adresează-te firmei; dacă ne scrii nouă, te îndrumăm către ea.
2. Ce date prelucrăm și de ce
2.1. Contul tău
| Date | De ce | Temei (GDPR) |
|---|---|---|
| adresa de e-mail, numele, parola (păstrată doar ca amprentă), setările interfeței (limba, tema, poziția meniului) | ca să îți facem și să îți ținem contul, să te autentificăm, să comunicăm cu tine despre cont | executarea contractului (Termenii de utilizare), art. 6 (1) b |
| codurile și cheile autentificării în doi pași (2FA), cheile de acces (passkeys), codurile de recuperare | securitatea contului | contract; interesul legitim de a proteja conturile, art. 6 (1) f |
| contul Google sau Microsoft cu care alegi să intri (identificatorul și adresa de e-mail confirmată de furnizor) | autentificarea fără parolă, la alegerea ta | contract |
| sesiunile active (browserul, adresa IP, ultima activitate) | ca să vezi unde ești autentificat și să poți închide o sesiune | contract; interes legitim (securitate) |
| jurnalul de securitate: autentificările (cu metoda), încercările eșuate, deconectările, schimbările de parolă, de adresă, de 2FA, de chei, sesiunile închise – fiecare cu ora, adresa IP și browserul | detectarea accesului neautorizat; dovada în caz de incident; firma în care ești membru vede evenimentele contului tău de la intrarea ta în firmă | interes legitim (securitate), art. 6 (1) f |
| e-mailurile despre cont (parola schimbată, 2FA, dispozitiv nou, contul șters) | ca să afli imediat de o schimbare a contului | interes legitim (securitate); nu se pot opri |
| dovada acceptării termenilor (versiunea, data, adresa IP, browserul, numele de atunci) | dovada contractului | interes legitim; obligația legală de a dovedi acceptarea |
2.2. Ce faci în firmele în care ești membru
Acțiunile tale într-o firmă (o ofertă creată, o aprobare, o modificare) sunt înregistrate în istoricul firmei, cu numele tău și data, și rămân ale firmei (ea le vede și le păstrează fără termen, ca dovadă a activității ei). Firma este operatorul acestor date.
2.3. Asistentul AI
Dacă firma ta pornește asistentul AI și îl folosești: întrebările tale, răspunsurile și datele firmei de care are nevoie răspunsul sunt trimise Anthropic (furnizorul modelului Claude), ca persoană împuternicită a noastră, prin interfața lui programatică; Anthropic nu folosește aceste date pentru antrenarea modelelor. Conversațiile le vezi doar tu (nici administratorul firmei nu le vede); se șterg la 90 de zile de la ultimul mesaj sau când le ștergi tu. Datele de identificare ale persoanelor (CNP, acte), IBAN-urile persoanelor, adresele personale, datele de naștere și salariile nu sunt trimise asistentului. Când marchezi un răspuns ca neutil, poți alege să ne trimiți acea întrebare și acel răspuns, fără numele tău, ca să îmbunătățim asistentul (le păstrăm 180 de zile); firma poate opri această posibilitate. Temei: executarea contractului cu firma; pentru schimbul trimis de tine, consimțământul tău.
2.4. Comunicări
Îți trimitem e-mailuri despre aplicație (sarcini de aprobat, decizii, termene, documente care expiră, rezumate) – după drepturile tale în firmă – și despre programul beta (schimbări importante, încheierea lui). Nu trimitem mesaje de marketing și nu îți dăm adresa altora pentru publicitate.
3. Cui dăm datele (persoanele împuternicite și destinatarii)
Nu vindem date. Folosim următorii furnizori („sub-procesatori”), care prelucrează date doar după instrucțiunile noastre:
| Furnizor | Ce face | Unde |
|---|---|---|
| Romarg SRL (România) | găzduirea serverului aplicației și a bazei de date | România |
| Scaleway SAS (Franța) | copiile de siguranță, criptate; trimiterea e-mailurilor aplicației | Uniunea Europeană |
| Anthropic, PBC (SUA) | modelul asistentului AI – doar dacă firma ta pornește asistentul și doar pentru ce trimiți tu | SUA – transfer pe baza clauzelor contractuale standard ale Comisiei Europene și a măsurilor suplimentare ale furnizorului |
| Google LLC / Microsoft Corporation | autentificarea – doar pentru cine alege să intre cu contul Google sau Microsoft; văd doar autentificarea, nu datele firmei | SUA / UE – pe baza Cadrului UE–SUA de protecție a datelor sau a clauzelor contractuale standard |
| Functional Software, Inc. (Sentry) (opțional) | raportarea erorilor aplicației – rapoartele nu conțin date personale, conținutul cererilor sau cookie-uri | Uniunea Europeană (Frankfurt) |
Furnizorii pe care firma ta îi conectează din aplicație (programul de facturare Oblio, FGO sau SmartBill; ANAF) primesc datele firmei la cererea firmei, după regulile lor – firma este operatorul.
Putem dezvălui date autorităților când legea ne obligă, și consilierilor noștri (juridic, contabil) sub obligație de confidențialitate. În cazul transferului activității către o societate (vezi Termenii de utilizare, art. 12), datele trec la acea societate, cu notificare.
4. Cât păstrăm datele
| Date | Cât |
|---|---|
| contul (e-mail, nume, setări, 2FA, chei) | cât există contul; după ștergerea lui, se șterg |
| sesiunile | până la deconectare sau 14 zile fără activitate |
| jurnalul de securitate | 12 luni |
| dovada acceptării termenilor | cât timp poate fi contestat contractul (termenul general de prescripție – 3 ani de la încetare) |
| conversațiile cu asistentul AI | 90 de zile de la ultimul mesaj |
| schimburile trimise de tine la „neutil” | 180 de zile |
| e-mailurile trimise (jurnalul trimiterii) | 30 de zile |
| datele unei firme închise | 30 de zile pentru export, apoi se șterg complet |
| copiile de siguranță | cel mult 30 de zile, criptate; o ștergere se propagă la expirarea lor |
Un cont fără nicio firmă și fără activitate poate fi șters după o notificare.
5. Drepturile tale
Ai dreptul să ceri accesul la datele tale, rectificarea, ștergerea („dreptul de a fi uitat”), restricționarea prelucrării, portabilitatea (datele contului, într-un format uzual), să te opui prelucrărilor bazate pe interesul legitim și să îți retragi consimțământul unde l-ai dat (fără efect asupra prelucrării de dinainte). Multe le faci singur din aplicație: Profil (datele, parola, 2FA, sesiunile, conturile conectate, ștergerea contului). Pentru restul, scrie-ne la contact@orandix.ro; răspundem în cel mult o lună.
Pentru datele puse de o firmă despre tine (de exemplu fișa ta de angajat), drepturile le exerciți față de firmă.
Dacă ești nemulțumit, te poți adresa Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP, B-dul G-ral Gheorghe Magheru 28–30, București, www.dataprotection.ro) sau instanței.
6. Cum protejăm datele
Conexiunile sunt criptate (HTTPS); datele fiecărei firme sunt separate de celelalte chiar în baza de date (politici la nivel de rând); datele personale de identificare (CNP, acte, IBAN-urile persoanelor) și secretele sunt criptate în baza de date; copiile de siguranță sunt criptate și verificate; accesul la server se face doar cu chei; oferim autentificarea în doi pași și cheile de acces; jurnalele nu conțin parole sau date personale. Echipa Orandix nu citește datele firmelor decât la cererea lor, pentru suport, sau când legea o cere; orice acțiune a echipei într-o firmă apare în istoricul firmei.
În programul beta, aplicația este în dezvoltare: îți recomandăm să nu introduci date pe care nu le-ai pune într-un sistem în testare.
Dacă are loc o încălcare a securității care te privește, te informăm fără întârziere, conform legii.
7. Cookie-uri și urmărire
Aplicația folosește doar cookie-uri strict necesare: sesiunea (ca să rămâi autentificat; 14 zile fără activitate) și protecția împotriva falsificării cererilor (CSRF). Nu folosim cookie-uri de marketing, de analiză sau ale terților, nici pe aplicație, nici pe site-ul orandix.ro. Setările interfeței (tema, meniul) se păstrează în contul tău, nu în cookie-uri. Fără cookie-uri de urmărire, nu afișăm un banner de consimțământ.
8. Copiii
Aplicația nu se adresează persoanelor sub 16 ani și nu le facem conturi cu bună știință.
9. Schimbări ale acestei politici
O versiune nouă ți se arată la următoarea intrare în aplicație, cu rezumatul schimbărilor; versiunile vechi rămân la adresele lor. La trecerea activității către o societate, această politică se actualizează cu datele ei.
Contact: contact@orandix.ro.