Politica de confidențialitate
Această politică explică ce date personale prelucrează ADR Vest atunci când folosești DigiVest CRM (crm.digivest.ro), de ce, cât timp le păstrăm și ce drepturi ai. Am scris-o pentru oamenii care folosesc aplicația în fiecare zi, nu pentru avocați, dar am încercat să fim compleți. Ea se aplică împreună cu Termenii și condițiile.
Pe scurt#
- Nu vindem date și nu afișăm reclame.
- Nu folosim cookie-uri de urmărire, instrumente de analiză sau fonturi de la terți. Folosim doar trei cookie-uri strict necesare, de aceea nu vezi un banner de cookie-uri.
- Serverele, baza de date și fișierele sunt în România, la Timișoara, pe infrastructura ADR Vest. Singura excepție este Cloudflare, prin care trece traficul spre aplicație.
- Nu antrenăm modele AI cu datele tale. Pe această instanță nu există nicio funcție AI integrată care să prelucreze datele organizației.
- Pentru datele contului tău, ADR Vest este operator. Pentru datele pe care organizația ta le introduce în CRM (clienți, note, documente), organizația este operator, iar ADR Vest doar le prelucrează în numele ei.
- Datele de utilizare pe care le colectăm conțin doar tipuri de acțiuni și identificatori interni, fără nume, adrese de e-mail sau conținut.
- Poți cere oricând acces la datele tale, corectarea sau ștergerea lor.
1. Cine este operatorul#
Operatorul datelor descrise în această politică este ADR Vest (Agenția pentru Dezvoltare Regională Vest), coordonatorul DigiVest EDIH.
- CUI: TBD
- Sediu: TBD
- E-mail pentru protecția datelor: TBD
Responsabilul cu protecția datelor (DPO), pe care îl poți contacta pentru orice întrebare despre datele tale: TBD.
2. Ce date, de ce, temei legal, cât timp#
Temeiurile legale de mai jos sunt cele din articolul 6 alineatul (1) din Regulamentul (UE) 2016/679 (GDPR): litera b (executarea unui contract), litera c (o obligație legală) și litera f (interesul legitim).
| Date | De ce | Temei legal | Cât timp |
|---|---|---|---|
| Contul tău: nume, e-mail, hash-ul parolei, secretul pentru autentificarea în doi pași (MFA), rolul și organizația din care faci parte | Să îți creăm contul, să te autentifici în siguranță și să vezi doar ce îți permite rolul | Art. 6(1)(b), termenii pe care i-ai acceptat înainte să folosești aplicația. Pentru invitația trimisă înainte să accepți: art. 6(1)(f), interesul organizației de a-și invita colegii | Cât timp ai cont. Dacă administratorul organizației te scoate din organizație, pierzi imediat accesul la ea. Ștergem contul la cererea ta sau a organizației tale |
| Organizația: denumire, logo, culoare, module, etape | Să configurăm spațiul organizației și să îl afișăm cu identitatea ei | Art. 6(1)(b), contractul cu organizația | Cât timp există organizația. Logoul poate fi accesat public prin adresa lui, pentru că pagina de invitație îl afișează |
| Date de utilizare: tipul acțiunii (de exemplu „a creat o sarcină”), identificatori interni, data; un rând pe zi pentru fiecare utilizator activ dintr-o organizație | Să înțelegem, în mod agregat, ce funcții se folosesc, ca să îmbunătățim serviciul | Art. 6(1)(f), interesul nostru de a îmbunătăți serviciul | Păstrăm cel mult 24 de luni. Dacă îți este șters contul, legătura cu persoana ta este eliminată |
| Adresa IP | Să limităm numărul de cereri către unele adrese folosite la autorizare și să protejăm serviciul | Art. 6(1)(f), securitatea serviciului | Nu o stocăm. O folosim doar în memoria serverului |
| E-mailuri trimise: notificări, invitații, resetări de parolă | Să îți trimitem mesajele de care ai nevoie ca să folosești serviciul | Art. 6(1)(b) | Textul notificărilor trimise îl păstrăm 90 de zile. Linkurile din invitații și resetări sunt stocate doar sub formă de hash și expiră |
| Corespondența cu noi (asistență, cereri) | Să îți răspundem și să rezolvăm problema | Art. 6(1)(b) sau art. 6(1)(f), interesul de a oferi asistență | Cât este necesar pentru rezolvare, apoi cel mult TBD |
| Raportarea în DigiVest EDIH | Să raportăm participarea organizației în program, așa cum prevede contractul semnat | Art. 6(1)(c), în măsura în care raportarea este o obligație legală. Detalii: TBD | TBD |
Mai prelucrăm date și atunci când legea ne obligă (de exemplu, la cererea unei autorități), în temeiul art. 6(1)(c).
3. Datele din CRM#
Tot ce introduce organizația ta în CRM (clienții ei, persoanele de contact, notele, interacțiunile și întâlnirile, sarcinile, calendarul, documentele și fișierele, câmpurile personalizate, etapele și istoricul modificărilor) este sub controlul organizației. Pentru aceste date, organizația este operator, iar ADR Vest este persoană împuternicită: le prelucrăm doar ca să oferim serviciul și doar după instrucțiunile organizației. Regulile sunt în acordul de prelucrare a datelor.
Dacă datele tale apar în CRM-ul unei organizații (de exemplu, ești clientul sau pacientul ei) și vrei să îți exerciți drepturile, adresează-te mai întâi acelei organizații. Dacă ne scrii nouă, îți transmitem cererea către organizație și o ajutăm să îți răspundă.
Pe scurt, despre aceste date:
- documentele și fișierele (cel mult 20 MB fiecare) sunt păstrate cu toate versiunile;
- istoricul modificărilor unei înregistrări se păstrează cât timp există înregistrarea;
- înregistrările șterse (de exemplu un client, un document sau o interacțiune) ajung în Coșul de gunoi timp de 90 de zile, de unde administratorul organizației le poate restaura. Apoi sunt șterse definitiv, împreună cu fișierele lor.
4. Cine are acces la date#
- Utilizatorii organizației, conform rolului fiecăruia. Organizațiile sunt izolate între ele: un utilizator vede doar datele organizației lui.
- Personalul ADR Vest care administrează serviciul, doar când este nevoie: pentru asistență, la cererea organizației; pentru securitate; sau când legea ne obligă.
- Asistenții AI pe care îi conectezi singur la cont prin MCP (de exemplu Claude). Ei văd ce vede contul tău, cu excepția câmpurilor marcate ca sensibile, și funcționează după termenii furnizorului lor. Nu sunt persoanele noastre împuternicite.
- Autoritățile, doar când legea ne obligă.
5. Persoane împuternicite#
Găzduirea și trimiterea e-mailurilor se fac pe infrastructura proprie a ADR Vest, în România. Singurul furnizor extern care prelucrează date pentru serviciu este Cloudflare, Inc., prin care trece traficul spre crm.digivest.ro. Lista completă și actualizată este în pagina Persoane împuternicite secundare.
6. Transferuri în afara Spațiului Economic European#
Baza de date și fișierele rămân în România. Traficul dintre browserul tău și aplicație trece prin rețeaua Cloudflare, Inc. (SUA), care oferă serviciile de DNS, proxy și TLS. Transferul se bazează pe Cadrul UE-SUA privind confidențialitatea datelor (EU-US Data Privacy Framework) și pe clauzele contractuale standard adoptate de Comisia Europeană, incluse în acordul de prelucrare a datelor al Cloudflare.
7. Inteligența artificială#
Pe această instanță nu există nicio funcție AI integrată care să prelucreze datele unei organizații. Nu folosim datele tale și nici conținutul organizației pentru a antrena modele AI. Dacă îți conectezi singur un asistent AI prin MCP, acel asistent prelucrează datele după regulile furnizorului lui.
8. Cât timp păstrăm datele#
Pe scurt, termenele din tabelul de mai sus:
- datele contului: cât timp ai cont;
- datele de utilizare: cel mult 24 de luni;
- textul notificărilor trimise: 90 de zile;
- adresele IP: nu le stocăm;
- elementele șterse din CRM: 90 de zile în Coșul de gunoi, apoi definitiv;
- copiile de siguranță: TBD.
La sfârșitul perioadei gratuite de 6 luni, organizația rămâne 30 de zile în modul „doar citire”, iar cel târziu în ziua 60 după sfârșitul perioadei gratuite o ștergem împreună cu datele ei. Detaliile sunt în Termenii și condițiile.
9. Drepturile tale#
Conform articolelor 15 până la 22 din GDPR, ai dreptul:
- să afli ce date avem despre tine și să primești o copie (dreptul de acces);
- să ceri corectarea datelor greșite (rectificare);
- să ceri ștergerea datelor (dreptul de a fi uitat);
- să ceri restricționarea prelucrării;
- să primești datele într-un format structurat și să le transmiți altui operator (portabilitate);
- să te opui prelucrării bazate pe interesul nostru legitim;
- să nu fii supus unei decizii bazate exclusiv pe prelucrare automată. Nu luăm astfel de decizii.
Ne poți scrie la TBD. Îți răspundem în cel mult o lună. Dacă cererea este complexă, termenul se poate prelungi cu încă două luni, iar în acest caz îți spunem de ce.
Dacă nu ești mulțumit de răspuns, poți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, București, www.dataprotection.ro.
10. Securitate#
Parolele sunt stocate ca hash bcrypt, autentificarea în doi pași este activă implicit, iar organizațiile sunt izolate între ele. Toate măsurile, inclusiv limitele lor, sunt descrise în pagina Securitate.
11. Cookie-uri#
Folosim doar cookie-uri strict necesare pentru funcționarea serviciului. Toate sunt de tip httpOnly (nu pot fi citite de scripturi din pagină) și nu servesc la urmărire. Conform Legii 506/2004 (care transpune articolul 5 alineatul (3) din Directiva 2002/58/CE), pentru astfel de cookie-uri nu este nevoie de consimțământ, așa că nu îți afișăm un banner.
| Cookie | Scop | Durată |
|---|---|---|
| __Secure-authjs.session-token | Te păstrează autentificat | 8 ore sau 30 de zile, dacă alegi „Ține-mă minte” |
| __Host-authjs.csrf-token | Protecție împotriva atacurilor CSRF | Până închizi browserul |
| __Secure-authjs.callback-url | Pagina la care revii după autentificare | Până închizi browserul |
Nu folosim instrumente de analiză, pixeli de urmărire sau rețele de publicitate.
12. Uz profesional#
DigiVest CRM este un instrument de lucru pentru organizații. Nu este destinat copiilor, iar conturile se creează doar prin invitație, pentru persoanele care lucrează cu o organizație.
13. Modificări#
Dacă modificăm în mod important această politică, te anunțăm pe e-mail cu cel puțin 30 de zile înainte. Modificările mici le publicăm direct. Toate apar mai jos, în „Istoricul modificărilor”.
Istoricul modificărilor#
- 20 octombrie 2026: prima versiune.