Politica de Confidențialitate

1. Roluri GDPR — cine este responsabil

În funcție de tipul datelor și de context, entități diferite acționează ca operator sau împuternicit conform Regulamentului (UE) 2016/679 (GDPR):

• Firma client (angajatorul dvs. sau organizația abonată la Vecto HR) este operator de date pentru datele angajaților și HR introduse în aplicație (dosar de personal, salarizare, pontaj, documente etc.). Clientul decide ce date colectează, în ce scopuri, și răspunde față de angajați și alte persoane vizate.
• APPVECTO S.R.L. acționează ca împuternicit (procesator) pentru datele HR prelucrate în aplicație în numele clientului, pe baza instrucțiunilor documentate și a DPA.
• APPVECTO S.R.L. acționează ca operator independent pentru propriile scopuri privind: contul utilizatorului și autentificarea, abonamentul și facturarea, plățile prin Stripe, suportul clienților, securitatea platformei, jurnalele tehnice, utilizarea site-ului și comunicările legate de serviciul Vecto HR.

2. Despre APPVECTO S.R.L.

APPVECTO S.R.L., CUI 54906519, sediu social: Strada Agricultorilor nr. 18, Subsol Tehnic, Spațiu Tehnic 2, 707085 Lunca Cetățuii, Iași, România.

Contact și suport: contact@appvecto.com.

APPVECTO S.R.L. dezvoltă și operează platforma SaaS Vecto HR.

3. Categorii de date colectate

În funcție de relația dvs. cu platforma, putem prelucra următoarele categorii de date:

• date de identificare și contact (nume, e-mail, telefon, adresă);
• date de muncă și HR introduse de client (funcție, departament, salariu, vechime, contracte, concedii, pontaj, documente);
• date sensibile, acolo unde este cazul și la instrucțiunea clientului (ex. CNP, date act identitate, IBAN, documente medicale/ocupaționale) — doar dacă clientul le introduce sau încarcă în scopuri HR legale;
• date de cont și autentificare (ID utilizator, rol, hash parolă, token-uri sesiune, status verificare e-mail);
• date de abonament și facturare (plan, perioadă de facturare, facturi, identificatori Stripe client/abonament);
• metadate de plată de la Stripe (status plată, ultimele patru cifre ale cardului dacă sunt furnizate de Stripe, adresă facturare) — APPVECTO S.R.L. nu stochează numere complete de card;
• conținut suport și comunicări (tichete, e-mailuri, mesaje trimise către noi);
• date tehnice și de securitate (adresă IP, tip browser, informații dispozitiv, marcaje temporale acces, evenimente audit, jurnale erori, cookie-uri CSRF și sesiune).

4. Scopurile prelucrării

• furnizarea și operarea aplicației SaaS Vecto HR;
• administrarea resurselor umane, salarizare, pontaj, documente și raportări (în numele clientului);
• autentificarea utilizatorilor, autorizarea și izolarea multi-tenant între organizații;
• gestionarea abonamentului, facturarea și încasarea plăților;
• suport tehnic și comunicări de serviciu;
• monitorizare securitate, prevenire fraudă, audit și răspuns la incidente;
• respectarea obligațiilor legale și aplicarea termenilor noștri;
• îmbunătățirea fiabilității și performanței platformei (date agregate sau tehnice, în limitele funcționalității curente).

5. Temeiuri juridice ale prelucrării

Temeiul aplicabil depinde de rol și context:

• Pentru datele HR prelucrate în numele clientului: clientul stabilește temeiul (de regulă art. 6 alin. (1) lit. b) GDPR — executarea contractului de muncă; art. 6 alin. (1) lit. c) — obligații legale în materie de muncă, fiscalitate și securitate socială; art. 9 alin. (2) lit. b) — date privind sănătatea pentru drepturi de muncă și securitate socială, unde este cazul).
• Pentru datele de cont, facturare și securitate unde APPVECTO S.R.L. este operator: art. 6 alin. (1) lit. b) GDPR — executarea contractului de abonament; art. 6 alin. (1) lit. c) — obligații legale (ex. contabilitate, evidențe fiscale); art. 6 alin. (1) lit. f) — interese legitime privind securizarea și îmbunătățirea serviciului, cu respectarea drepturilor dvs.;
• Pentru comunicări de marketing (dacă există): consimțământ, unde este necesar, retras oricând.

6. Date HR și salarizare

Datele angajaților și HR din Vecto HR sunt introduse și controlate de organizația client. APPVECTO S.R.L. prelucrează aceste date doar pentru a furniza funcționalitățile contractate (evidență angajați, calcul salarii, fluturași, pontaj, documente, rapoarte etc.) și numai conform instrucțiunilor clientului și DPA.

Dacă sunteți angajat, întrebările privind prelucrarea datelor HR trebuie adresate, de regulă, angajatorului (operatorul de date) la adresa de e-mail a firmei dvs. (configurată în setările organizației din aplicație).

Anumite câmpuri precum CNP și IBAN pot fi stocate folosind criptare la nivel de aplicație (AES-256-GCM), acolo unde este configurată în implementare.

7. Administratori și utilizatori ai organizației

Utilizatorii invitați de o organizație client (administratori, HR, contabilitate etc.) au conturi legate de acea organizație. Prelucrăm numele, e-mailul, rolul, activitatea în aplicație și datele de autentificare pentru a asigura accesul și securitatea.

Organizația client este responsabilă pentru acordarea și revocarea accesului și pentru informarea utilizatorilor.

8. Date de plată și abonament

Abonamentele plătite sunt procesate prin Stripe. APPVECTO S.R.L. nu primește și nu stochează numere complete de card; datele cardului sunt introduse direct pe paginile securizate Stripe și prelucrate de Stripe ca operator / procesator de plăți independent.

Stocăm identificatori Stripe (ID client, ID abonament), status facturare, tier plan, perioadă de facturare și metadate de factură necesare gestionării abonamentului. Pentru probleme de plată puteți folosi Portalul Stripe disponibil din aplicație sau contactați contact@appvecto.com.

9. Suport și comunicări

Când ne contactați la contact@appvecto.com, prelucrăm informațiile furnizate pentru a răspunde solicitării, a diagnostica probleme și a păstra evidența corespondenței, după cum este necesar pentru calitatea serviciului și conformitatea legală.

E-mailurile platformei fără atașamente (verificare cont, invitații, resetare parolă, notificări, notificări de facturare) sunt trimise prin furnizorul implicit de e-mail al platformei (Resend). E-mailurile cu atașamente către angajați, de exemplu fluturașii de salariu și documentele, sunt trimise doar prin furnizorul de e-mail configurat de client (setări SMTP).

10. Jurnale tehnice, securitate și audit

Pentru protecția platformei și responsabilitate, prelucrăm jurnale tehnice și evenimente de securitate, inclusiv:

• evenimente de autentificare și sesiune;
• înregistrări audit pentru acțiuni sensibile (ex. exporturi date, acces documente, modificări configurare) acolo unde sunt implementate;
• jurnale de erori aplicație și infrastructură;
• adrese IP și metadate cereri pentru securitate și prevenire abuz.

11. Cookie-uri, stocare locală și web analytics

Site-ul și aplicația utilizează cookie-uri, stocare locală și web analytics opțional astfel:

Web analytics (opțional): Utilizăm Vercel Web Analytics pentru a măsura utilizarea și performanța site-ului și aplicației. Vercel Web Analytics nu utilizează cookie-uri. Colectează date anonimizate și agregate și utilizează un identificator hash temporar care nu este folosit pentru a vă urmări între zile sau între site-uri. În Vecto HR, scriptul Vercel Web Analytics este încărcat numai după ce acceptați explicit analytics în bannerul de consimțământ (Acceptă tot, sau Personalizează cu analytics activat), chiar dacă tehnologia Vercel este fără cookie-uri, deoarece tratăm măsurarea utilizării ca neesențială. Dacă alegeți Doar esențiale, dezactivați analytics în Personalizează sau nu faceți nicio alegere, scriptul nu este încărcat și nu se trimit evenimente de analytics.

• cookie-uri strict necesare — autentificare (sesiune httpOnly), protecție CSRF, preferință de limbă; necesare pentru funcționarea serviciului și nu necesită consimțământ;
• stocare locală pentru preferințele de consimțământ (cheia localStorage vecto-cookie-consent), pentru a reține alegerile din banner;
• nu utilizăm cookie-uri de marketing sau alte cookie-uri de tracking neesențiale.

1. Puteți retrage consimțământul pentru analytics oricând folosind Gestionează preferințele cookie din footer-ul site-ului (disponibil pe paginile publice), redeschizând bannerul și alegând Doar esențiale sau dezactivând analytics în Personalizează.
2. Retragerea oprește încărcarea scriptului Vercel Web Analytics și transmiterea evenimentelor viitoare. Deoarece Vercel Web Analytics nu utilizează cookie-uri, nu se setează și nu se elimină cookie-uri de analytics la retragerea consimțământului.
3. Cookie-urile strict necesare rămân active deoarece sunt necesare funcționării serviciului.

12. Destinatari și sub-împuterniciți

Datele pot fi divulgate următoarelor categorii de destinatari, sub rezerva contractului și legii aplicabile:

• utilizatori autorizați ai organizației client, conform rolului;
• persoane sau instituții către care clientul are obligația sau dreptul legal de a dezvălui date (ex. autorități de muncă, instanțe, bănci pentru plata salariilor) — în responsabilitatea clientului ca operator;
• Stripe (Stripe Payments Europe Ltd, Irlanda; grupul Stripe include Stripe, LLC, SUA) — procesare plăți și gestionare abonamente; primește doar datele de facturare ale firmei client, nu datele angajaților;
• Vercel Inc. (SUA) — găzduire aplicație; funcțiile serverului rulează în regiunea Frankfurt (UE); traficul poate trece prin rețeaua globală Vercel, iar jurnalele tehnice pot fi prelucrate de Vercel Inc.; dacă acceptați analytics, Vercel Web Analytics pentru măsurarea fără cookie-uri a utilizării și performanței (încărcat prin SDK-ul aplicației numai după consimțământ);
• Neon (Neon, LLC, grupul Databricks, SUA) — bază de date PostgreSQL găzduită în regiunea AWS Frankfurt (eu-central-1, UE);
• Cloudflare, Inc. (SUA) — stocare documente și backup-uri în Cloudflare R2, în spații de stocare cu jurisdicție UE;
• Resend (Plus Five Five, Inc., SUA) — livrarea e-mailurilor tranzacționale implicite ale platformei; trimiterea se face prin regiunea Resend din Irlanda (UE), iar jurnalele de livrare (destinatar, dată, stare) pot fi prelucrate în SUA.
• Un furnizor de e-mail configurat de client (SMTP) poate fi utilizat de organizație pentru notificări; acesta este ales și configurat de client și nu este un sub-împuternicit obligatoriu al APPVECTO S.R.L., decât în măsura în care clientul îl utilizează prin platformă.
• Nu vindem date personale. Nu integrăm facturare automată cu platforme fiscale terțe (FGO, SPV, ANAF etc.) decât dacă va fi menționat explicit într-o versiune viitoare a serviciului.

13. Transferuri internaționale

Datele principale ale aplicației sunt găzduite în Uniunea Europeană: funcțiile serverului în regiunea Vercel Frankfurt, baza de date în regiunea AWS Frankfurt (Neon), documentele și backup-urile în spații Cloudflare R2 cu jurisdicție UE, iar e-mailurile platformei sunt trimise prin regiunea Resend din Irlanda (UE).

Unii furnizori sunt societăți din SUA (Vercel, Neon/Databricks, Cloudflare, Resend și grupul Stripe) și pot accesa sau prelucra date din afara Spațiului Economic European, de exemplu pentru operare, asistență tehnică, securitate sau jurnalele de livrare a e-mailurilor. Aceste transferuri se bazează pe garanțiile Capitolului V GDPR: decizia de adecvare a Comisiei Europene privind Cadrul UE–SUA pentru protecția datelor (Decizia (UE) 2023/1795), pentru furnizorii certificați în acest cadru, și clauzele contractuale standard adoptate prin Decizia (UE) 2021/914, incluse în acordurile de prelucrare a datelor ale furnizorilor.

Decizia de adecvare UE–SUA este contestată la Curtea de Justiție a UE (cauza C-703/25 P); dacă ea încetează să se aplice, transferurile continuă pe baza clauzelor contractuale standard. Puteți solicita o copie a garanțiilor aplicabile sau informații suplimentare la contactul de confidențialitate de mai jos.

14. Perioada de păstrare

Păstrarea depinde de categoria de date, cine este operator și de termenele juridice demonstrate. Sursa de politică din produs este matricea de retenție a aplicației (nu o regulă generală de cinci ani pentru toate datele).

Datele de acces și sesiunile pot fi eliminate imediat după o cerere verificată de ștergere a contului de acces.

Documentele financiar-contabile confirmate (ex. fluturași și facturi clasificate astfel) pot fi păstrate până la expirarea a cinci ani calculați de la 1 iulie a anului următor exercițiului financiar, apoi șterse numai dacă sunt eligibile și nu există o obligație legală de păstrare activă. La închiderea organizației, datele angajatorului (inclusiv fluturașii) sunt șterse la 61 de zile de la cerere, cu excepția cazului în care există o obligație legală de păstrare activă; angajatorul își păstrează propria arhivă legală, iar APPVECTO păstrează doar propriile evidențe de facturare și dovada cererii.

Contractele de muncă, certificatele medicale, pontajele/concediile neclasificate și obiectele de stocare legacy neatribuibile rămân restricționate până la revizuire juridică — nu inventăm un termen de ștergere. La închiderea organizației se aplică regula de 61 de zile de mai sus.

Backupurile urmează configurația platformei. Restaurarea nu este automată: se face doar printr-o procedură operațională, care prevede reaplicarea evidenței ștergerilor înainte de redeschiderea accesului. O obligație legală de păstrare activă poate bloca expirarea backupurilor pentru categoriile relevante.

• Ștergere imediată: cont de acces, sesiuni, exporturi/importuri/branding temporare eligibile.
• Anonimizare: documente personale selectate la instrucțiunea operatorului; metadata email/audit minimizată.
• Retenție confirmată, apoi ștergere: documente salariale/contabile clasificate și facturi; la închiderea organizației, datele angajatorului se șterg la 61 de zile, iar APPVECTO păstrează doar facturile abonamentului și dovada cererii.
• Aprobare operator necesară: ștergerea profilului HR al unui angajat.
• Revizuire juridică / restricționat: dosar personal, contracte, medical/concedii fără termen confirmat, pontaje neclasificate, obiecte vechi din spațiul de stocare a fișierelor, neatribuibile.
• O obligație legală de păstrare activă și o ștergere rămasă parțial nefinalizată blochează orice afirmație că ștergerea este finalizată.

15. Drepturile persoanelor vizate

Conform GDPR puteți avea următoarele drepturi, sub condițiile și excepțiile legii: acces, rectificare, ștergere, restricționare, portabilitate, opoziție și de a nu fi supus unei decizii exclusiv automate cu efecte semnificative.

Ghid practic pentru angajați: pagina Drepturile tale privind datele personale.

16. Solicitări GDPR

APPVECTO S.R.L. nu are desemnat în prezent un responsabil cu protecția datelor (DPO). Folosiți contactul pentru protecția datelor contact@appvecto.com pentru solicitări la nivel de platformă. Nu folosim o adresă DPO inventată. Un DPO va fi desemnat dacă va deveni obligatoriu potrivit legislației aplicabile.

Separăm trei fluxuri: ștergerea contului de acces, ștergerea datelor HR ale unui angajat (decide angajatorul ca operator) și închiderea organizației (perioadă de grație, apoi datele angajatorului rămân restricționate și sunt șterse definitiv la 61 de zile de la cerere, cu excepția cazului în care există o obligație legală de păstrare activă).

Termen general de răspuns: o lună de la primire (GDPR art. 12), cu posibilă prelungire motivată cu până la două luni. Lipsa răspunsului nu înseamnă ștergere automată a datelor HR.

1. Pentru datele angajaților / HR: contactați angajatorul (operatorul client) la adresa de e-mail a firmei dvs. (configurată în setările organizației din aplicație).
2. Pentru datele de cont, facturare sau platformă unde APPVECTO S.R.L. este operator: trimiteți e-mail la contact@appvecto.com, cu descrierea solicitării și detalii de identificare a contului.
3. Dacă acționăm ca împuternicit, transmitem solicitarea organizației client relevante, cu excepția cazului în care suntem autorizați să răspundem direct.
4. Stări ale solicitării pe care le puteți vedea: în așteptarea răspunsului operatorului, păstrată din obligație legală, parțial nefinalizată, în perioadă de grație, în procesare, finalizată. Starea „finalizată” se declară doar după etape verificate — niciodată cât timp există o obligație legală de păstrare activă, verificări incomplete la furnizorul de stocare a fișierelor, la procesatorul de plăți sau la e-mail, ori categorii pentru care obligația de păstrare nu este încă clarificată.
5. Răspundem în termenele prevăzute de GDPR pentru solicitările valide unde APPVECTO S.R.L. acționează ca operator.

17. Plângeri către ANSPDCP

Dacă considerați că drepturile dvs. au fost încălcate, puteți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).

Site oficial: https://www.dataprotection.ro — secțiunea plângeri: https://www.dataprotection.ro/?page=Plangeri_pagina_principala — adresă: B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, București, România.

Puteți folosi și calea judiciară. APPVECTO S.R.L. nu este reprezentantul juridic al angajatorului dvs.

18. Securitatea datelor

Implementăm măsuri tehnice și organizatorice adecvate riscului, inclusiv:

• criptarea unor câmpuri sensibile selectate (ex. CNP, IBAN) la nivel de aplicație, unde este utilizată;
• control acces pe roluri și separare logică între organizațiile client (arhitectură multi-tenant);
• sesiuni autentificate (cookie httpOnly) și protecție CSRF pentru cereri de modificare;
• jurnalizare audit pentru evenimente relevante de securitate și conformitate;
• infrastructură găzduită la furnizori cloud reputați, cu acces limitat la personal autorizat.

19. Modificarea politicii

Putem actualiza prezenta Politică de Confidențialitate pentru a reflecta modificări legale, tehnice sau de business. Versiunea curentă este indicată de data „Ultima actualizare” din partea de sus a paginii. Modificările importante pot fi comunicate prin aplicație sau e-mail, după caz.

Utilizarea continuă a serviciului după publicarea unei politici actualizate constituie acceptare acolo unde legea permite; pentru modificări materiale care afectează organizațiile client, vom încerca să oferim un preaviz rezonabil.

20. Date de contact

Pentru întrebări despre această politică sau prelucrarea la nivel de platformă unde APPVECTO S.R.L. este operator:

APPVECTO S.R.L., CUI 54906519, Strada Agricultorilor nr. 18, Subsol Tehnic, Spațiu Tehnic 2, 707085 Lunca Cetățuii, Iași, România.

E-mail și suport: contact@appvecto.com.

Pentru datele angajaților prelucrate în Vecto HR, contactați administratorul HR al organizației dvs. Contact pentru protecția datelor (fără DPO desemnat în prezent): contact@appvecto.com.