Politica de Confidențialitate

1. Roluri GDPR — cine este responsabil

În funcție de tipul datelor și de context, entități diferite acționează ca operator sau împuternicit conform Regulamentului (UE) 2016/679 (GDPR):

• Firma client (angajatorul dvs. sau organizația abonată la Vecto HR) este operator de date pentru datele angajaților și HR introduse în aplicație (dosar de personal, salarizare, pontaj, documente etc.). Clientul decide ce date colectează, în ce scopuri, și răspunde față de angajați și alte persoane vizate.
• APPVECTO S.R.L. acționează ca împuternicit (procesator) pentru datele HR prelucrate în aplicație în numele clientului, pe baza instrucțiunilor documentate și a DPA.
• APPVECTO S.R.L. acționează ca operator independent pentru propriile scopuri privind: contul utilizatorului și autentificarea, abonamentul și facturarea, plățile prin Stripe, suportul clienților, securitatea platformei, jurnalele tehnice, utilizarea site-ului și comunicările legate de serviciul Vecto HR.

2. Despre APPVECTO S.R.L.

APPVECTO S.R.L., CUI 54906519, sediu social: Strada Agricultorilor nr. 18, Subsol Tehnic, Spațiu Tehnic 2, 707085 Lunca Cetățuii, Iași, România.

Contact general: contact@appvecto.com. Suport: support@appvecto.com.

APPVECTO S.R.L. dezvoltă și operează platforma SaaS Vecto HR.

3. Categorii de date colectate

În funcție de relația dvs. cu platforma, putem prelucra următoarele categorii de date:

• date de identificare și contact (nume, e-mail, telefon, adresă);
• date de muncă și HR introduse de client (funcție, departament, salariu, vechime, contracte, concedii, pontaj, documente);
• date sensibile, acolo unde este cazul și la instrucțiunea clientului (ex. CNP, date act identitate, IBAN, documente medicale/ocupaționale) — doar dacă clientul le introduce sau încarcă în scopuri HR legale;
• date de cont și autentificare (ID utilizator, rol, hash parolă, token-uri sesiune, status verificare e-mail);
• date de abonament și facturare (plan, perioadă de facturare, facturi, identificatori Stripe client/abonament);
• metadate de plată de la Stripe (status plată, ultimele patru cifre ale cardului dacă sunt furnizate de Stripe, adresă facturare) — APPVECTO S.R.L. nu stochează numere complete de card;
• conținut suport și comunicări (tichete, e-mailuri, mesaje trimise către noi);
• date tehnice și de securitate (adresă IP, tip browser, informații dispozitiv, marcaje temporale acces, evenimente audit, jurnale erori, cookie-uri CSRF și sesiune).

4. Scopurile prelucrării

• furnizarea și operarea aplicației SaaS Vecto HR;
• administrarea resurselor umane, salarizare, pontaj, documente și raportări (în numele clientului);
• autentificarea utilizatorilor, autorizarea și izolarea multi-tenant între organizații;
• gestionarea abonamentului, facturarea și încasarea plăților;
• suport tehnic și comunicări de serviciu;
• monitorizare securitate, prevenire fraudă, audit și răspuns la incidente;
• respectarea obligațiilor legale și aplicarea termenilor noștri;
• îmbunătățirea fiabilității și performanței platformei (date agregate sau tehnice, în limitele funcționalității curente).

5. Temeiuri juridice ale prelucrării

Temeiul aplicabil depinde de rol și context:

• Pentru datele HR prelucrate în numele clientului: clientul stabilește temeiul (de regulă art. 6 alin. (1) lit. b) GDPR — executarea contractului de muncă; art. 6 alin. (1) lit. c) — obligații legale în materie de muncă, fiscalitate și securitate socială; art. 9 alin. (2) lit. b) — date privind sănătatea pentru drepturi de muncă și securitate socială, unde este cazul).
• Pentru datele de cont, facturare și securitate unde APPVECTO S.R.L. este operator: art. 6 alin. (1) lit. b) GDPR — executarea contractului de abonament; art. 6 alin. (1) lit. c) — obligații legale (ex. contabilitate, evidențe fiscale); art. 6 alin. (1) lit. f) — interese legitime privind securizarea și îmbunătățirea serviciului, cu respectarea drepturilor dvs.;
• Pentru comunicări de marketing (dacă există): consimțământ, unde este necesar, retras oricând.

6. Date HR și salarizare

Datele angajaților și HR din Vecto HR sunt introduse și controlate de organizația client. APPVECTO S.R.L. prelucrează aceste date doar pentru a furniza funcționalitățile contractate (evidență angajați, calcul salarii, fluturași, pontaj, documente, rapoarte etc.) și numai conform instrucțiunilor clientului și DPA.

Dacă sunteți angajat, întrebările privind prelucrarea datelor HR trebuie adresate, de regulă, angajatorului (operatorul de date) la adresa de e-mail a firmei dvs. (configurată în setările organizației din aplicație).

Anumite câmpuri precum CNP și IBAN pot fi stocate folosind criptare la nivel de aplicație (AES-256-GCM), acolo unde este configurată în implementare.

7. Administratori și utilizatori ai organizației

Utilizatorii invitați de o organizație client (administratori, HR, contabilitate etc.) au conturi legate de acea organizație. Prelucrăm numele, e-mailul, rolul, activitatea în aplicație și datele de autentificare pentru a asigura accesul și securitatea.

Organizația client este responsabilă pentru acordarea și revocarea accesului și pentru informarea utilizatorilor.

8. Date de plată și abonament

Abonamentele plătite sunt procesate prin Stripe. APPVECTO S.R.L. nu primește și nu stochează numere complete de card; datele cardului sunt introduse direct pe paginile securizate Stripe și prelucrate de Stripe ca operator / procesator de plăți independent.

Stocăm identificatori Stripe (ID client, ID abonament), status facturare, tier plan, perioadă de facturare și metadate de factură necesare gestionării abonamentului. Pentru probleme de plată puteți folosi Portalul Stripe disponibil din aplicație sau contactați support@appvecto.com.

9. Suport și comunicări

Când ne contactați la contact@appvecto.com sau support@appvecto.com, prelucrăm informațiile furnizate pentru a răspunde solicitării, a diagnostica probleme și a păstra evidența corespondenței, după cum este necesar pentru calitatea serviciului și conformitatea legală.

E-mailurile tranzacționale (verificare cont, resetare parolă, notificări de facturare, livrare fluturași de salariu când este activată) sunt trimise prin furnizorul implicit de e-mail al platformei (Resend) sau prin furnizorul de e-mail configurat de client (setări SMTP), după caz.

10. Jurnale tehnice, securitate și audit

Pentru protecția platformei și responsabilitate, prelucrăm jurnale tehnice și evenimente de securitate, inclusiv:

• evenimente de autentificare și sesiune;
• înregistrări audit pentru acțiuni sensibile (ex. exporturi date, acces documente, modificări configurare) acolo unde sunt implementate;
• jurnale de erori aplicație și infrastructură;
• adrese IP și metadate cereri pentru securitate și prevenire abuz.

11. Cookie-uri, stocare locală și web analytics

Site-ul și aplicația utilizează cookie-uri, stocare locală și web analytics opțional astfel:

Web analytics (opțional): Utilizăm Vercel Web Analytics pentru a măsura utilizarea și performanța site-ului și aplicației. Vercel Web Analytics nu utilizează cookie-uri. Colectează date anonimizate și agregate și utilizează un identificator hash temporar care nu este folosit pentru a vă urmări între zile sau între site-uri. În Vecto HR, scriptul Vercel Web Analytics este încărcat numai după ce acceptați explicit analytics în bannerul de consimțământ (Acceptă tot, sau Personalizează cu analytics activat), chiar dacă tehnologia Vercel este fără cookie-uri, deoarece tratăm măsurarea utilizării ca neesențială. Dacă alegeți Doar esențiale, dezactivați analytics în Personalizează sau nu faceți nicio alegere, scriptul nu este încărcat și nu se trimit evenimente de analytics.

• cookie-uri strict necesare — autentificare (sesiune httpOnly), protecție CSRF, preferință de limbă; necesare pentru funcționarea serviciului și nu necesită consimțământ;
• stocare locală pentru preferințele de consimțământ (cheia localStorage vecto-cookie-consent), pentru a reține alegerile din banner;
• nu utilizăm cookie-uri de marketing sau alte cookie-uri de tracking neesențiale.

1. Puteți retrage consimțământul pentru analytics oricând folosind Gestionează preferințele cookie din footer-ul site-ului (disponibil pe paginile publice), redeschizând bannerul și alegând Doar esențiale sau dezactivând analytics în Personalizează.
2. Retragerea oprește încărcarea scriptului Vercel Web Analytics și transmiterea evenimentelor viitoare. Deoarece Vercel Web Analytics nu utilizează cookie-uri, nu se setează și nu se elimină cookie-uri de analytics la retragerea consimțământului.
3. Cookie-urile strict necesare rămân active deoarece sunt necesare funcționării serviciului.

12. Destinatari și sub-împuterniciți

Datele pot fi divulgate următoarelor categorii de destinatari, sub rezerva contractului și legii aplicabile:

• utilizatori autorizați ai organizației client, conform rolului;
• persoane sau instituții către care clientul are obligația sau dreptul legal de a dezvălui date (ex. autorități de muncă, instanțe, bănci pentru plata salariilor) — în responsabilitatea clientului ca operator;
• Stripe — procesare plăți și gestionare abonamente;
• Vercel — găzduire aplicație și, dacă acceptați analytics, Vercel Web Analytics pentru măsurarea fără cookie-uri a utilizării și performanței (încărcat prin SDK-ul aplicației numai după consimțământ);
• Neon — găzduire bază de date PostgreSQL;
• Cloudflare R2 — stocare documente și backup-uri;
• Resend — livrare e-mail tranzacțional implicită a platformei.
• Un furnizor de e-mail configurat de client (SMTP) poate fi utilizat de organizație pentru notificări; acesta este ales și configurat de client și nu este un sub-împuternicit obligatoriu al APPVECTO S.R.L., decât în măsura în care clientul îl utilizează prin platformă.
• Nu vindem date personale. Nu integrăm facturare automată cu platforme fiscale terțe (FGO, SPV, ANAF etc.) decât dacă va fi menționat explicit într-o versiune viitoare a serviciului.

13. Transferuri internaționale

Anumiți furnizori (sub-împuterniciți) pot prelucra date în afara Spațiului Economic European, în funcție de infrastructura utilizată. Atunci când este necesar conform GDPR, transferurile se bazează pe garanții adecvate prevăzute de Capitolul V GDPR (de exemplu clauze contractuale standard, decizii de adecvare sau alte mecanisme permise de lege), conform contractelor, DPA-urilor și documentației furnizorilor aplicabile.

Lista sub-împuterniciților și detaliile transferurilor sunt descrise în DPA acceptat de organizațiile client. APPVECTO S.R.L. nu garantează utilizarea unui anumit mecanism de transfer pentru fiecare furnizor fără confirmare documentară.

14. Perioada de păstrare

Păstrarea depinde de categoria de date, cine este operator și de termenele juridice demonstrate. Sursa de politică din produs este matricea de retenție a aplicației (nu o regulă generală de cinci ani pentru toate datele).

Datele de acces și sesiunile pot fi eliminate imediat după o cerere verificată de ștergere a contului de acces.

Documentele financiar-contabile confirmate (ex. fluturași și facturi clasificate astfel) pot fi păstrate până la expirarea a cinci ani calculați de la 1 iulie a anului următor exercițiului financiar, apoi șterse numai dacă sunt eligibile și nu există legal hold.

Contractele de muncă, certificatele medicale, pontajele/concediile neclasificate și obiectele de stocare legacy neatribuibile rămân restricționate până la revizuire juridică — nu inventăm un termen de ștergere.

Backupurile urmează configurația platformei; la restaurare se reaplică tombstone-urile înainte de acces. Legal hold poate bloca expirarea backupurilor pentru categoriile relevante.

• Ștergere imediată: cont de acces, sesiuni, exporturi/importuri/branding temporare eligibile.
• Anonimizare: documente personale selectate la instrucțiunea operatorului; metadata email/audit minimizată.
• Retenție confirmată, apoi ștergere: documente salariale/contabile clasificate și facturi.
• Aprobare operator necesară: ștergerea profilului HR (EMPLOYEE_ERASURE).
• Revizuire juridică / restricționat: dosar personal, contracte, medical/concedii fără termen confirmat, pontaje neclasificate, obiecte R2 legacy.
• Legal hold și PARTIAL_FAILED blochează orice afirmație de ștergere finalizată.

15. Drepturile persoanelor vizate

Conform GDPR puteți avea următoarele drepturi, sub condițiile și excepțiile legii: acces, rectificare, ștergere, restricționare, portabilitate, opoziție și de a nu fi supus unei decizii exclusiv automate cu efecte semnificative.

Ghid practic pentru angajați: pagina Drepturile tale privind datele personale.

16. Solicitări GDPR

APPVECTO S.R.L. nu are desemnat în prezent un responsabil cu protecția datelor (DPO). Folosiți contactul pentru protecția datelor contact@appvecto.com (sau support@appvecto.com) pentru solicitări la nivel de platformă. Nu folosim o adresă DPO inventată. Un DPO va fi desemnat dacă va deveni obligatoriu potrivit legislației aplicabile.

Separăm trei fluxuri: ACCOUNT_DELETE (cont de acces), EMPLOYEE_ERASURE (date HR — decide angajatorul ca operator) și ORG_CLOSURE (închidere organizație cu perioadă de grație și etape de retenție).

Termen general de răspuns: o lună de la primire (GDPR art. 12), cu posibilă prelungire motivată cu până la două luni. Lipsa răspunsului nu înseamnă ștergere automată a datelor HR.

1. Pentru datele angajaților / HR: contactați angajatorul (operatorul client) la adresa de e-mail a firmei dvs. (configurată în setările organizației din aplicație).
2. Pentru datele de cont, facturare sau platformă unde APPVECTO S.R.L. este operator: trimiteți e-mail la contact@appvecto.com sau support@appvecto.com, cu descrierea solicitării și detalii de identificare a contului.
3. Dacă acționăm ca împuternicit, transmitem solicitarea organizației client relevante, cu excepția cazului în care suntem autorizați să răspundem direct.
4. Statusuri pe care le puteți vedea: WAITING_CONTROLLER, RETAINED_LEGAL, PARTIAL_FAILED, GRACE_PERIOD, PROCESSING, COMPLETED. COMPLETED se declară doar după etape verificate — niciodată cât timp există legal hold, verificări R2/Stripe/email incomplete sau categorii de retenție neclarificate.
5. Răspundem în termenele prevăzute de GDPR pentru solicitările valide unde APPVECTO S.R.L. acționează ca operator.

17. Plângeri către ANSPDCP

Dacă considerați că drepturile dvs. au fost încălcate, puteți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).

Site oficial: https://www.dataprotection.ro — secțiunea plângeri: https://www.dataprotection.ro/?page=Plangeri_pagina_principala — adresă: B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, București, România.

Puteți folosi și calea judiciară. APPVECTO S.R.L. nu este reprezentantul juridic al angajatorului dvs.

18. Securitatea datelor

Implementăm măsuri tehnice și organizatorice adecvate riscului, inclusiv:

• criptarea unor câmpuri sensibile selectate (ex. CNP, IBAN) la nivel de aplicație, unde este utilizată;
• control acces pe roluri și separare logică între organizațiile client (arhitectură multi-tenant);
• sesiuni autentificate (cookie httpOnly) și protecție CSRF pentru cereri de modificare;
• jurnalizare audit pentru evenimente relevante de securitate și conformitate;
• infrastructură găzduită la furnizori cloud reputați, cu acces limitat la personal autorizat.

19. Modificarea politicii

Putem actualiza prezenta Politică de Confidențialitate pentru a reflecta modificări legale, tehnice sau de business. Versiunea curentă este indicată de data „Ultima actualizare” din partea de sus a paginii. Modificările importante pot fi comunicate prin aplicație sau e-mail, după caz.

Utilizarea continuă a serviciului după publicarea unei politici actualizate constituie acceptare acolo unde legea permite; pentru modificări materiale care afectează organizațiile client, vom încerca să oferim un preaviz rezonabil.

20. Date de contact

Pentru întrebări despre această politică sau prelucrarea la nivel de platformă unde APPVECTO S.R.L. este operator:

APPVECTO S.R.L., CUI 54906519, Strada Agricultorilor nr. 18, Subsol Tehnic, Spațiu Tehnic 2, 707085 Lunca Cetățuii, Iași, România.

E-mail: contact@appvecto.com | Suport: support@appvecto.com.

Pentru datele angajaților prelucrate în Vecto HR, contactați administratorul HR al organizației dvs. Contact pentru protecția datelor (fără DPO desemnat în prezent): contact@appvecto.com.