Politica de confidențialitate

Versiunea 2026-10-26, publicată la 26 octombrie 2026. Informarea se furnizează înainte de prelucrarea descrisă; nu necesită acceptare contractuală ori consimțământ general. Ea descrie prelucrările efective la momentul lor și se aplică de la publicare: corectarea unei informări inexacte sau îndeplinirea unei obligații legale nu se amână până la expirarea preavizului contractual al Termenilor. Produce efecte pentru viitor; versiunile anterioare (2026-10-04, 2026-10-15, 2026-10-16, 2026-10-18, 2026-10-19 și 2026-10-20) se păstrează.

1. Cine suntem

Vatrum este operat de VLACH DEV S.R.L., cu sediul în Str. Malu Roșu nr. 55, bl. 4F, et. 1, ap. 7, Ploiești, județul Prahova, România, J2026038208005, CUI 54881260 („VlachDev”, „noi”). Pentru orice întrebare despre datele personale ne puteți scrie la hello@vatrum.app.

Contact pentru protecția datelor: hello@vatrum.app, tel. +40 733 948 684. Necesitatea desemnării unui responsabil cu protecția datelor este evaluată și documentată în raport cu art. 37 GDPR, la nivelul activităților relevante ale VlachDev. Evaluarea se reexaminează la modificări semnificative ale volumului, categoriilor de date, monitorizării sau funcțiilor oferite. Orice desemnare a unui responsabil cu protecția datelor și datele sale de contact se publică atunci când este făcută; adresa de contact generală nu este prezentată ca dovadă a unei desemnări.

2. Două roluri: operator și persoană împuternicită

2.1. Stabilim scopurile și mijloacele pentru administrarea relației proprii cu firmele, conturile necesare accesului, securitatea platformei, facturarea abonamentului și comunicările administrative de suport. Calitatea de operator se stabilește pe fiecare prelucrare, nu pentru întregul conținut al unui modul. Exemplele de prelucrări proprii sunt:

• datele vizitatorilor site-ului vatrum.app;
• datele celor care cer un demo;
• datele firmelor care se înscriu și ale persoanelor care le reprezintă;
• datele de cont și de securitate ale utilizatorilor aplicației;
• facturarea abonamentelor;
• cererile de suport;
• statistica de folosire a aplicației (secțiunea 3.9).

2.2. Pentru datele introduse de firme despre clienți, angajați, colaboratori și furnizori, inclusiv pentru conținutul lor din tichete și capturi de suport, acționăm în numele firmei conform DPA. Dacă firma este ea însăși persoană împuternicită, rolurile se adaptează corespunzător și trebuie verificată autorizarea subîmputernicirii. Aceeași persoană poate fi vizată de prelucrări distincte pentru care avem roluri diferite. Conținutul conversațiilor cu asistentul din aplicație, ciornele lui, mesajele canalului WhatsApp conectat de firmă și planurile ori schițele pregătite cu AI se prelucrează tot în numele firmei, conform DPA (secțiunea 3.10).

Când datele utilizatorilor și reprezentanților sunt furnizate de firmă, aceasta este sursa; pot proveni și din integrările activate și din surse publice de verificare a identității firmei. Informăm persoana potrivit art. 14 GDPR, cel târziu în termenul aplicabil, la prima comunicare sau înainte de prima dezvăluire, după caz. Nu prezentăm contractul cu o persoană juridică drept temei automat al tuturor datelor angajaților ei.

Dacă sunteți clientul unei firme care folosește Vatrum (de exemplu ați primit o ofertă sau intrați în portal), adresați-vă întâi firmei respective. Dacă ne scrieți nouă, vă îndrumăm către ea și o ajutăm să vă răspundă.

3. Ce date prelucrăm, de ce și pe ce temei

3.1. Vizitatorii site-ului

• Date: adresa IP, tipul browserului, paginile cerute, cookie-urile strict necesare (secțiunea 5).
• Scop: funcționarea și securitatea site-ului.
• Temei: interesul nostru legitim de a oferi un site sigur și funcțional (art. 6 alin. (1) lit. f) GDPR).
• Durată: jurnalele tehnice proprii se elimină în cel mult 30 de zile de la înregistrare. Un extras necesar unui incident ori unui litigiu se izolează și se păstrează numai pe durata documentată a acelui scop.

Nu folosim instrumente de analiză a traficului și nici cookie-uri de publicitate.

3.2. Cererile de demo

• Date: nume, firmă, e-mail, telefon, mesaj, sursa vizitei prin parametri de campanie și momentul solicitării ori al confirmării informării. Confirmarea informării nu este consimțământ pentru a răspunde solicitării.
• Scop: să răspundem și să programăm demonstrația. Dacă se folosește o platformă externă de videoconferință, furnizorul și informarea privind acea sesiune sunt comunicate înainte de participare.
• Temei: art. 6 alin. (1) lit. b) GDPR, dacă persoana fizică solicită demersuri pentru propriul contract; art. 6 alin. (1) lit. f), dacă reprezintă o firmă, în interesul nostru legitim de a răspunde unei cereri profesionale. Marketingul ulterior are temei și opțiune distincte; cererea de demo nu este acord general pentru publicitate.
• Durată: 365 de zile de la cerere, apoi se șterg automat.

3.3. Înscrierea firmei și contul proprietarului

• Date: denumirea firmei, CUI, sediul, subdomeniul ales; numele, e-mailul și parola persoanei care înscrie firma (parola se păstrează doar ca amprentă criptografică, cu algoritmul argon2id); dovada acceptării documentelor legale (documentele, versiunile, data, limba, adresa IP și browserul).
• Scop: încheierea și executarea contractului cu firma; dovada acceptării.
• Temei: art. 6 alin. (1) lit. b) GDPR numai când persoana fizică este parte la contract; pentru reprezentanții unei persoane juridice și dovada acceptării, art. 6 alin. (1) lit. f), în interesul nostru legitim de a administra relația și de a proba încheierea contractului.
• Durată: cât există contul firmei, plus perioadele de după încetare (secțiunea 8). O înscriere neplătită se șterge după 24 de ore.

3.4. Utilizatorii aplicației

Utilizatorii sunt proprietarul contului și oamenii cărora firma le face cont.

• Date de cont: nume, e-mail, telefon, rol, limbă, poză de profil (opțional), data ultimei autentificări.
• Date de securitate:
  • adresa IP și browserul fiecărei sesiuni;
  • secretul pentru autentificarea în doi pași, păstrat criptat;
  • pentru cheile de acces (passkey), doar cheia publică și numele dispozitivului;
  • încercările eșuate de autentificare, păstrate ca amprentă;
  • abonamentele la notificări push: adresa tehnică de livrare și browserul.
• Scop: autentificarea, securitatea conturilor, funcționarea aplicației.
• Temei: art. 6 alin. (1) lit. b) GDPR numai pentru o persoană fizică parte la contract; pentru angajații și reprezentanții firmei, art. 6 alin. (1) lit. f), interesul legitim de a administra accesul solicitat de angajator și de a proteja conturile. Datele de personal introduse în modulele firmei rămân supuse DPA.
• Durată:
  • cât există contul;
  • adresa IP și browserul unei sesiuni se șterg la cel mult 31 de zile de la începutul ei;
  • blocările după încercări eșuate se șterg după o oră de inactivitate;
  • jurnalul erorilor aplicației se șterge după 90 de zile.

Ce face utilizatorul în aplicația firmei (clienți, oferte, pontaj) intră la datele firmei, pentru care operator este firma (secțiunea 2.2). Informațiile limitate despre folosirea aplicației, prelucrate pentru statistica proprie a VlachDev, sunt o prelucrare distinctă, descrisă la secțiunea 3.9.

3.5. Facturarea abonamentelor

• Date: datele de identificare ale firmei, e-mailul proprietarului contului, abonamentul, facturile, plățile.
• Plata cu cardul se face prin Stripe, care prelucrează datele cardului. Noi primim doar confirmarea plății și identificatorii ei, nu numărul cardului.
• Facturile se emit prin SmartBill și se transmit în sistemul e-Factura.
• Scop: încasarea abonamentului și îndeplinirea obligațiilor fiscale și contabile.
• Temei: art. 6 alin. (1) lit. c) GDPR pentru obligațiile fiscale și contabile; art. 6 alin. (1) lit. b) pentru persoana fizică parte la contract și art. 6 alin. (1) lit. f) pentru contactele reprezentanților unei persoane juridice, în interesul administrării plății și al relației contractuale.
• Durată: facturile se păstrează 5 ani calculați de la 1 iulie a anului următor încheierii exercițiului financiar în care au fost întocmite, potrivit art. 25 din Legea contabilității nr. 82/1991; mai mult numai dacă o obligație legală distinctă sau un litigiu justifică păstrarea, inclusiv după ștergerea contului.

3.6. Suportul

• Date: subiectul și descrierea problemei, mesajele schimbate, capturile de ecran trimise, pagina pe care erați și ultima eroare întâlnită în aplicație, browserul.
• Asistență AI: folosim serviciul API Anthropic pentru sortarea tichetelor și propunerea de răspunsuri. Pentru clienții din SEE, termenii comerciali publici indică Anthropic Ireland, Limited; infrastructura poate implica și SUA, Europa, Asia și Australia. Datele și garanțiile sunt descrise în Lista furnizorilor și a subîmputerniciților. Mesajele automate sunt identificate ca generate de AI. Exemplele din tichete sunt limitate la aceeași firmă. Conținutul sensibil și identificatorii fără legătură cu problema se elimină înainte de transmitere.
• Scop: rezolvarea cererilor.
• Temei: art. 6 alin. (1) lit. b) GDPR pentru persoana fizică parte la contract; în celelalte cazuri, art. 6 alin. (1) lit. f), interesul legitim de a rezolva solicitările legate de serviciu. Datele clienților și angajaților firmei din capturi, atașamente și mesaje se prelucrează ca persoană împuternicită, potrivit DPA.
• Durată: 24 de luni de la închiderea tichetului pentru administrarea suportului; atașamentele și datele terților prelucrate în numele Firmei urmează instrucțiunile ei și DPA și se elimină mai devreme când nu mai sunt necesare.

3.7. E-mailurile pe care le trimitem

• Ce trimitem: confirmări de cont, resetări de parolă, invitații, reamintiri de plată, anunțuri despre serviciu.
• Ce păstrăm: destinatarul, subiectul și conținutul comunicărilor administrative, până la 12 luni de la trimitere. Dovezile contractuale necesare (acceptarea documentelor și comunicarea versiunilor noi) sunt păstrate separat de aceste e-mailuri, potrivit secțiunii 8. Mesajele trimise în numele Firmei urmează DPA și instrucțiunile acesteia.
• Adrese oprite: păstrăm o amprentă a adresei și motivul blocării pentru respectarea opoziției și protecția livrării, cel mult trei ani de la ultima relație relevantă; revizuim lista anual și eliminăm intrările care nu mai sunt necesare. Amprenta poate fi pseudonimizată, fără a fi anonimă. Expirarea unei intrări nu constituie acord pentru marketing și nu autorizează reluarea mesajelor publicitare.
• Temei: art. 6 alin. (1) lit. b) GDPR pentru comunicări necesare propriului contract al persoanei; art. 6 alin. (1) lit. f) pentru comunicările administrative către reprezentanți, protecția livrării și respectarea opoziției. Publicitatea electronică respectă separat Legea nr. 506/2004.

Nu trimitem newslettere sau mesaje publicitare fără acordul dumneavoastră.

3.8. Securitate și jurnale

• Jurnalele pot cuprinde identificatorul utilizatorului, firma, acțiunea, obiectul vizat, data și ora, rezultatul operațiunii și, pentru evenimentele pentru care sunt necesare, adresa IP și informații tehnice despre browser sau dispozitiv. Sunt folosite pentru securitate, investigarea incidentelor și verificarea operațiunilor. Accesul este restricționat, iar perioadele de păstrare sunt indicate în tabelul de retenție. În jurnalul de audit persoana apare printr-un identificator intern, iar înregistrările nu se pot modifica.
• Erorile sunt înregistrate și, după caz, transmise furnizorului de monitorizare după filtrarea datelor care nu sunt necesare diagnosticării. Sunt excluse conținuturile operaționale și secretele de autentificare. Urmele de performanță de pe server sunt supuse acelorași măsuri de minimizare. Furnizorul de monitorizare este Sentry, Functional Software, Inc.; configurația contractată pentru evenimente este regiunea UE, iar prin această informare nu se activează înregistrarea sesiunilor ori profilarea utilizatorilor. Din browser se trimit numai erori, fără urme de performanță; de pe servere se pot trimite și urme tehnice de performanță (ruta, durata și etapele tehnice ale cererii, fără conținutul ei), cu o rată configurată de eșantionare de cel mult 10% din cereri. Prelucrarea datelor de cont, suport și accesul din țări terțe sunt distincte de regiunea evenimentelor și urmează Lista furnizorilor și a subîmputerniciților.
• Accesul privilegiat al echipei VlachDev la baza de date se înregistrează într-un jurnal propriu: numele persoanei din echipă, motivul, Firma ori platforma, intervalul și felul accesului (citire ori scriere). Comenzile executate se înregistrează în jurnalul tehnic al bazei de date. Jurnalul nu se poate modifica după scriere, în afara închiderii accesului.
• Cererile copiei datelor unei Firme (Termeni, art. 7.4) se înregistrează: cine a cerut copia, în ce calitate și cu ce adresă de contact, cum s-a verificat reprezentarea, destinatarul autorizat, categoriile cerute și descărcările.
• Temei: interesul nostru legitim de a proteja serviciul, de a asigura trasabilitatea accesului la date și de a putea dovedi ce s-a întâmplat și îndeplinirea obligațiilor (art. 6 alin. (1) lit. f) GDPR). Pentru aceste evidențe, VlachDev este operator.
• Durată: jurnalul de audit — 12 luni de la eveniment; după încetarea contului se păstrează separat numai extrasele strict necesare unui incident ori unei pretenții concrete, pe durata justificată a acestora; jurnalul propriu de erori — 90 de zile; jurnalul accesului privilegiat — trei ani de la închiderea accesului; cererile copiei datelor — pe durata raportului contractual, apoi în arhiva dovezilor contractuale, trei ani de la încetarea acestuia (secțiunea 8).

Jurnalele operaționale ale Firmei se prelucrează potrivit DPA. Dacă păstrăm separat un extras minim pentru securitatea proprie ori apărarea unui drept, stabilim scopul, temeiul și durata acestuia. VlachDev informează persoanele vizate potrivit art. 12–14 GDPR și comunică Firmei delimitarea acestei prelucrări de operațiunile efectuate în numele ei. Nu reutilizăm întregul jurnal al Firmei în scopuri proprii.

3.9. Statistica de folosire a aplicației

VlachDev analizează utilizarea funcțiilor pentru îmbunătățirea produsului, în limitele descrise aici și ale evaluării interesului legitim. Datele nu sunt considerate anonime cât timp persoanele pot fi identificate prin mijloace rezonabil disponibile. Drepturile se analizează în funcție de posibilitatea reală de identificare și de temeiul prelucrării.

VlachDev prelucrează aceste informații în calitate de operator, pentru identificarea funcțiilor utilizate și a dificultăților de funcționare și pentru îmbunătățirea serviciului, inclusiv a asistentului AI. Statistica este internă, accesibilă numai personalului autorizat pentru analiza produsului; nu este pusă la dispoziția firmelor și nu include portalul clienților lor.

Un eveniment statistic cuprinde: identificatorul Firmei, rolul, tiparul ecranului sau acțiunii, rezultatul, codul răspunsului HTTP, codul tehnic al unui refuz (fără textul lui), durata, versiunea aplicației și ora evenimentului: momentul se păstrează rotunjit în jos la oră. Totalurile zilnice se fac pe Firmă, rol, tipar și zi. Nu se înregistrează niciun identificator al utilizatorului — nici identificatorul contului, nici un pseudonim —, numele, IP-ul, browserul, identificatorii documentelor, conținutul câmpurilor sau textul erorilor. Identificatorul contului este folosit numai în memoria serverului, câteva secunde, pentru aflarea rolului și a unei eventuale opoziții, și nu se scrie.

Lipsa identificatorului nu face datele anonime. Firma, rolul, ziua, ora și contextul pot permite identificarea indirectă, mai ales când un rol aparține unei singure persoane; înregistrările și totalurile sunt tratate ca date personale cât timp persoana rămâne identificabilă. Ele nu sunt folosite pentru pontaj, evaluarea angajaților sau publicitate comportamentală.

Temeiul este art. 6 alin. (1) lit. f) GDPR: interesul legitim al VlachDev de a îmbunătăți funcționalitatea și utilizabilitatea serviciului, în limitele necesității și ale balanței documentate cu drepturile persoanelor. Nu colectăm conținutul conversațiilor pentru această statistică. Informațiile provin din evenimentele generate la utilizarea aplicației.

Înregistrările individuale sunt păstrate 90 de zile de la eveniment, iar totalurile zilnice cel mult 365 de zile de la ziua reprezentată, apoi se șterg. Pentru aceste două categorii, închiderea definitivă a contului Firmei determină ștergerea în cel mult 30 de zile dacă termenul obișnuit nu expiră mai devreme. Păstrarea statisticii proprii nu prelungește păstrarea conținutului Firmei.

Vă puteți opune prelucrării bazate pe interes legitim din motive legate de situația proprie, pentru contul dumneavoastră și de la acel moment: din meniul contului, la „Confidențialitate” (pagină deschisă oricărui utilizator al aplicației), din Setări › Confidențialitate („Mă opun: nu include folosirea mea în statistică”) ori la hello@vatrum.app. VlachDev soluționează opoziția conform art. 21 GDPR și secțiunii 9. Refuzul analizei opționale nu împiedică utilizarea funcțiilor de bază; jurnalele strict necesare securității au scopuri și reguli distincte.

3.10. Asistentul AI și comunicarea prin WhatsApp

Asistentul este disponibil numai după activarea de către administratorul autorizat al Firmei. Acesta activează separat modulele de context, tipurile de ciorne și funcțiile WhatsApp oferite. Accesul este limitat suplimentar de drepturile actuale ale utilizatorului; pe WhatsApp se aplică un profil tehnic restrâns și verificarea clientului. Activarea unui modul nu autorizează transmiterea integrală a acestuia.

Pot fi prelucrate întrebările, textele mesajelor, partea necesară din istoric, contextul autorizat și rezultatele generate. Modulele posibile sunt clienți, oferte, facturi, lucrări, catalog, indicatorii tabloului de bord, calendar, gestiune, furnizori și comenzi, mentenanță. Pot exista date de contact, adrese de intervenție, informații despre personalul alocat și furnizori, echipamente, documente, valori, date și stări. Pontajul, concediile, sănătatea, evaluarea angajaților și rapoartele financiare distincte de indicatorii activați sunt excluse. Nu se transmit identificatori naționali, copii ale actelor, secrete, numere complete de conturi/carduri, categorii speciale de date în sensul art. 9 GDPR și, separat, date privind condamnările penale și infracțiunile în sensul art. 10 GDPR.

La cerere, AI poate pregăti ciorne, inclusiv planuri și schițe tehnice, cu verificare și confirmare înainte de efecte operaționale, trimitere sau emitere. Pe canalul WhatsApp activat separat poate propune răspunsuri pentru verificare umană sau trimite răspunsuri informative automate în limitele configurate. Cererile de programare sunt neconfirmate. Accesul la documente se face prin portal autentificat și autorizat. Atașamentele primite prin WhatsApp nu sunt transmise AI, nici prin extragere sau conversie.

Dacă Firma activează extragerea planurilor și schițele tehnice, imaginea ori zona selectată expres din planul casei/acoperișului, instrucțiunile și parametrii necesari pot fi prelucrați prin API-ul Anthropic, în numele Firmei. Reprezentările geometrice și schițele pot rămâne asociate lucrării și persoanelor vizate; eliminarea numelui nu le face automat anonime.

Se limitează datele de identificare și elementele de securitate din copia trimisă. Materialele și rezultatele nu sunt folosite pentru antrenare ori dezvoltarea generală a produsului. Funcția folosește imagini încărcate expres în aplicație și nu activează procesarea AI a fișierelor primite prin WhatsApp. Păstrarea imaginilor, schițelor și copiilor temporare este distinctă de istoricul AI și de mesajele WhatsApp.

Pentru conținutul prelucrat în numele Firmei, aceasta este de regulă operator, iar VlachDev este împuternicită potrivit DPA. Dacă Firma acționează ca împuternicită, lanțul de autorizare se adaptează. Firma stabilește temeiurile pentru relația cu clienții și personalul și oferă propria informare. Contractul cu o persoană juridică nu este automat temei pentru toate datele reprezentanților săi.

Furnizorul API AI este Anthropic Ireland, Limited, potrivit Listei furnizorilor și a subîmputerniciților, care descrie țările, garanțiile și retenția. Canalul WhatsApp implică serviciile contractate pentru contul Firmei, cu entitățile și rolurile precizate în informarea integrării. Conectarea canalului și alegerea opțiunilor nu înlocuiesc garanțiile cerute pentru transferurile în afara SEE.

VlachDev nu folosește conținutul pentru antrenarea modelelor, seturi de evaluare reutilizabile între firme sau dezvoltarea generală a produsului. Statistica proprie de utilizare din secțiunea 3.9 rămâne distinctă și nu include mesajele și contextul de afaceri. Suportul respectă instrucțiunile și regula de acces ale Firmei. Aceleași condiții din secțiunea 4 și DPA se aplică echipei Vatrum pentru mesaje WhatsApp, ciorne și conversații; rolul afișat nu anonimizează conținutul. Personalul Firmei vede mesajele numai în limita drepturilor acordate pentru canal. La cererea Firmei ori la încetarea serviciului, conversațiile încă disponibile cu asistentul pot fi returnate Firmei într-o secțiune separată a copiei datelor, cu acces restrâns, după verificarea reprezentării, a scopului, a categoriilor și a destinatarului autorizat (DPA, art. 11.2).

Fiecare mesaj al istoricului AI se păstrează 90 de zile de la crearea lui, potrivit DPA, art. 11.7; continuarea conversației nu prelungește termenul. Mesajele WhatsApp se păstrează numai cât este necesar, cu plafonul și condițiile art. 11.8; propunerile netrimise au termen separat de 30 de zile de la generare. Retenția locală nu stabilește retenția furnizorilor externi. Ștergerea anticipată, exportul și copiile de siguranță urmează DPA.

Pentru continuitatea unei conversații, o parte a mesajelor poate fi sintetizată automat prin același furnizor AI. Rezumatul aparține exclusiv conversației respective și nu devine memorie personală sau context pentru alte conversații.

Accesul la rezumat respectă drepturile curente și modulele activate. El nu mai este utilizat când conține date pentru care accesul a încetat. Se elimină cel târziu la ștergerea celui mai vechi mesaj-sursă cuprins în el. Regula se aplică și rezumatelor succesive, fără reînnoirea termenului prin regenerare.

Memoria personală a asistentului este o funcție opțională, prelucrată în numele Firmei, care permite păstrarea unor preferințe de răspuns și explicații de terminologie profesională nesensibilă solicitate expres de utilizator. Firma stabilește temeiul juridic și informează utilizatorii; activarea de către administrator nu ține loc de consimțământ al angajaților.

Utilizatorul poate folosi asistentul fără memorie și poate consulta, corecta sau șterge elementele păstrate. Asistentul propune textul exact, care se păstrează numai după confirmarea utilizatorului; activarea și oprirea memoriei se înregistrează în jurnalul de audit al Firmei, fără conținutul listei. Acestea sunt transmise către Anthropic pentru personalizarea răspunsurilor, potrivit DPA și Listei furnizorilor și a subîmputerniciților. Lista nu este afișată în interfețele obișnuite ale administratorului sau suportului, dar informațiile reproduse în conversații urmează regulile de acces ale acestora. Memoria nu este utilizată pentru evaluarea angajaților, antrenarea modelelor sau dezvoltarea generală a produsului.

Persoana este informată înainte de prima transmitere relevantă la AI și poate solicita comunicare manuală, fără folosirea AI în acel fir. Rezultatele pot conține erori. Funcția nu este destinată deciziilor exclusiv automate cu efecte juridice sau similare semnificative. Drepturile privind Datele Firmei se exercită față de Firmă; VlachDev transmite solicitările primite și asistă soluționarea lor. Pentru prelucrările proprii VlachDev se aplică secțiunea 9 și hello@vatrum.app.

Redarea vocală a răspunsurilor și dictarea

Vatrum nu oferă o funcție proprie de captare sau transcriere a vocii și nu solicită acces la microfon pentru asistent. Utilizatorul poate folosi independent funcția de dictare a sistemului său de operare, potrivit setărilor și condițiilor furnizorului acesteia. Textul astfel introdus și trimis asistentului urmează aceleași reguli ca o întrebare tastată.

Redarea vocală este opțională și configurată să utilizeze exclusiv o voce locală disponibilă pe dispozitiv. Pentru acest flux de redare, Vatrum nu transmite textul unui serviciu extern de sinteză vocală și nu creează fișiere audio persistente. Dacă nu poate fi utilizată o voce locală compatibilă, redarea nu este disponibilă. Utilizarea asistentului prin tastatură și citirea răspunsurilor pe ecran rămân disponibile. La prima redare din sesiune, vocea anunță că răspunsul este generat de asistentul AI Vatrum.

Vatrum nu utilizează aceste funcții pentru identificare biometrică, autentificare vocală sau deducerea emoțiilor utilizatorului. Utilizarea funcțiilor vocale nu modifică regulile privind accesul personalului VlachDev la conversații și la datele Firmei. Aceste reguli se aplică și transcrierilor provenite din dictare.

3.11. Date privind certificatele de concediu medical

Dacă angajatorul dumneavoastră activează această funcție, în Vatrum pot fi înregistrate perioada concediului medical, seria și numărul certificatului și codul de indemnizație. Aceste informații sunt tratate ca date privind sănătatea, inclusiv atunci când nu este introdus diagnosticul.

Angajatorul este operatorul acestor date și stabilește necesitatea prelucrării pentru administrarea concediilor și îndeplinirea obligațiilor privind indemnizațiile de asigurări sociale de sănătate. Pentru prelucrările necesare acestor obligații, temeiurile sunt art. 6 alin. (1) lit. c) și art. 9 alin. (2) lit. b) GDPR, împreună cu legislația aplicabilă. VlachDev prelucrează conținutul exclusiv în numele angajatorului, potrivit DPA.

Accesul în aplicație necesită un drept distinct acordat persoanelor care au atribuții justificate în acest domeniu. Consultările sunt înregistrate în jurnalul de audit, fără reproducerea datelor medicale în conținutul jurnalului. Funcția nu include colectarea diagnosticului, a codului de diagnostic sau încărcarea integrală a certificatului. Aceste date nu intră în copia obișnuită a datelor Firmei: se exportă separat, la cererea scrisă distinctă a angajatorului, către o persoană verificată, cu atribuții în acest domeniu, prin transmitere securizată și cu acces temporar.

Felul concediului altui angajat (de exemplu, faptul că este medical) îl văd, în concedii și în planificare, numai persoanele care aprobă concediile; ceilalți colegi văd doar că persoana este indisponibilă. Fiecare angajat își vede propriile concedii. Foaia lunară a pontajului și exporturile pentru salarizare păstrează mențiunea concediului medical, fiindcă sunt documente de salarizare; le văd numai cei care gestionează pontajul ori aprobă concediile. Membrul echipei Vatrum intrat în contul firmei (secțiunea 4) nu vede felul niciunui concediu și nici datele certificatelor.

Datele sunt excluse din contextul asistentului AI, din memoria acestuia și din statisticile de produs. Ele nu sunt utilizate pentru evaluarea angajaților.

Angajatorul stabilește programul de păstrare. Pentru evidențele care intră în arhivarea financiar-contabilă se aplică termenul general de 5 ani, calculat de la 1 iulie a anului următor celui încheierii exercițiului financiar în care documentele au fost întocmite. O copie operativă poate fi eliminată anterior, pe baza unei instrucțiuni legale, dacă angajatorul asigură separat arhiva obligatorie și nu mai este necesară păstrarea ei în Vatrum.

La încetarea serviciului se aplică returnarea și ștergerea prevăzute în DPA; obligația de arhivare a angajatorului nu autorizează păstrarea tuturor acestor date de către VlachDev după încetarea prelucrării.

3.12. Contul de probă

La cererea dumneavoastră, echipa Vatrum poate crea pentru dumneavoastră o firmă de probă, pe planul ales, cu date demonstrative inventate. Condițiile probei vă sunt comunicate pe e-mail și pe pagina de activare, înainte de activare.

• Date: numele, e-mailul, telefonul și firma persoanei care a cerut proba; planul; momentele probei (crearea, invitația, activarea, încheierea); versiunea condițiilor arătate la activare.
• Scop: crearea și desfășurarea probei, la cererea dumneavoastră.
• Temei: art. 6 alin. (1) lit. b) GDPR — demersuri făcute la cererea persoanei vizate înaintea încheierii unui contract.
• Durată: cât există firma de probă — cel mult 10 zile de la activare (ori 7 zile de la ultima invitație — ori de la creare, dacă invitația n-a plecat —, dacă proba nu este activată), plus 7 zile până la ștergerea automată a firmei, cu tot conținutul ei, făcută în cel mult o zi de la acest termen. La ștergere, datele de mai sus se golesc.

Raportul probei:

• Date: zilele în care s-a lucrat, modulele folosite (câte pagini deschise și câte salvări, pe modul și pe zi) și câte lucruri ați făcut după activare (clienți, oferte, facturi, calcule, lucrări) — fără conținutul lor. Se socotesc pe server, din cererile pe care serverul le primește oricum; nu se folosește niciun cod în browser pentru aceasta și nu se stochează nimic pe dispozitiv.
• Scop: să știm ce funcții se încearcă și ce să vă propunem.
• Temei: art. 6 alin. (1) lit. f) GDPR — interesul nostru legitim.
• Durată: cu numele, cât există firma de probă; după ștergerea ei, raportul rămâne fără nume și fără date de contact. Raportul ajunge pe e-mail la membrul echipei Vatrum care a creat contul.

4. Accesul echipei Vatrum în contul unei firme

Pentru a rezolva o problemă, un membru al echipei poate intra în contul firmei:

• doar în modul citire;
• cel mult 15 minute pe sesiune;
• cu înregistrare în jurnalul de audit;
• după regula aleasă de firmă în setări.

Aceleași condiții se aplică citirii conversațiilor cu asistentul AI, a ciornelor și a mesajelor WhatsApp, inclusiv în consola internă a echipei; afișarea rolului utilizatorului nu face conversația anonimă (secțiunea 3.10 și DPA).

5. Cookie-uri și stocare în browser

Cookie-urile proprii de mai jos au scopuri de autentificare și funcționare. Excepția de la consimțământ se aplică numai stocării sau accesului strict necesar unui serviciu solicitat expres ori transmisiei unei comunicări. Include și stocarea locală și tehnologiile similare. Componentele terților trebuie evaluate după comportamentul efectiv; un scop generic de securitate sau o hartă nu justifică automat toate cookie-urile terțului. Orice tehnologie neesențială este blocată înainte de consimțământ, iar refuzul și retragerea acestuia trebuie să fie accesibile.

Ce păstrează aplicația în browser stă pe adresa la care o deschideți (adresa firmei ori domeniul ei propriu) și nu este legat de contul dumneavoastră: este comun tuturor celor care folosesc același browser, cu același profil, la aceeași adresă. Stocarea filei este a filei și dispare la închiderea ei. Ce se șterge „la deconectare” se șterge la butonul „Deconectare” și la deschiderea paginii de autentificare, deci și după o sesiune încheiată fără buton; preferințele de afișare rămân.

Butonul „Instalează aplicația” nu păstrează nimic; invitația automată de instalare, cu contorul ei, nu mai există. Notificările push se primesc numai dacă le porniți din Setări și browserul vă cere permisiunea: abonamentul îl ține browserul, iar noi păstrăm adresa lui tehnică (secțiunea 3.4) cât există abonamentul. Abonamentul se anulează la deconectare: la butonul „Deconectare”, în browser și pe server; după o sesiune încheiată fără buton, în browser, la următoarea deschidere a paginii de autentificare, iar adresa păstrată de noi se șterge când serviciul de push refuză prima notificare trimisă spre ea. Îl puteți opri oricând și din Setări ori din browser; după o nouă autentificare, îl reporniți din Setări.

Servicii terțe încărcate doar pe anumite pagini:

• Stripe, numai când porniți o plată ori adăugarea unui card. Biblioteca Stripe pune atunci cookie-urile __stripe_mid (1 an) și __stripe_sid (30 de minute), folosite de Stripe pentru prevenirea fraudei și evaluarea riscului plății încercate, și poate folosi stocarea din cadrele sale. Sunt strict necesare plății pe care o cereți și nu se pun la simpla deschidere a unei pagini. Numele și duratele sunt cele publicate de Stripe (https://stripe.com/cookie-settings); pentru prelucrările proprii ale Stripe se aplică informarea acesteia. Plata de la înscriere se face pe pagina Stripe, cu cookie-urile și informarea Stripe.
• Mapbox, pe paginile cu hartă, numai după acordul dumneavoastră. Harta folosește Mapbox și presupune transmiterea datelor tehnice necesare afișării, precum și stocarea unui identificator în browser pentru măsurarea utilizării. Înainte de alegere, aplicația vă informează: „Accept și încarcă harta” încarcă biblioteca, iar „Continuă fără hartă” lasă pagina fără hartă. După acord, browserul încarcă de la Mapbox stilul și plăcile hărții, cu cheia publică a contului Vatrum și adresa paginii; biblioteca verifică cheia și trimite evenimentul de încărcare a hărții și evenimentul zilnic al identificatorului, folosite de Mapbox la facturare și la măsurarea utilizării. Măsurătorile de performanță ale bibliotecii sunt oprite. Acordul se poate retrage oricând din Setări › Confidențialitate, din meniul contului ori de sub hartă; retragerea șterge datele bibliotecii din browser și oprește încărcările ulterioare.
• Serviciile bazate pe date OpenStreetMap pot fi folosite numai după identificarea și informarea privind endpointul efectiv, potrivit Listei furnizorilor și a subîmputerniciților; această politică nu autorizează un server neidentificat.

6. Cui transmitem datele

• Furnizorilor care ne ajută să oferim serviciul (găzduire, stocarea fișierelor, e-mail, monitorizarea erorilor, inteligență artificială, hărți). Lista completă, cu țara fiecăruia, este Lista furnizorilor și a subîmputerniciților — Anexa 3 la DPA (vatrum.app/subprocesatori).
• Procesatorului de plăți Stripe și programului de facturare SmartBill, pentru abonamente.
• Serviciilor WhatsApp contractate de firmă pentru propriul cont, numai dacă firma conectează canalul; entitățile și rolurile sunt cele din informarea integrării.
• Serviciului de notificări push al browserului dumneavoastră (Google pentru Chrome și browserele bazate pe Chromium, Mozilla pentru Firefox, Apple pentru Safari, Microsoft pentru Edge), numai dacă porniți notificările push: conținutul notificării (titlul, textul scurt și legătura spre pagina din aplicație) pleacă criptat cu cheile browserului dumneavoastră, pe care serviciul de push nu le are; acesta primește adresa tehnică a abonamentului, momentul și mărimea mesajului și îl păstrează cel mult 24 de ore, până la livrare.
• Autorităților, când legea o cere, de exemplu ANAF prin sistemul e-Factura.
• Consultanților noștri (contabil, avocat), cu obligație de confidențialitate.

Pentru demonstrații, platformei externe de videoconferință numai după ce comunicăm participantului furnizorul, datele transmise, politica aplicabilă și eventualele transferuri. Această politică nu autorizează un furnizor video neidentificat ori înregistrarea ședinței. În lipsa informării specifice, demonstrația se desfășoară fără acea platformă externă. Nu înregistrăm sesiunea în baza simplei cereri de demo.

• Unui eventual succesor care ar prelua serviciul.

Nu vindem datele personale.

7. Transferuri în afara Spațiului Economic European

Găzduirea și fișierele au configurația contractată în UE. Furnizorii Railway Corporation, Cloudflare, Inc., Plus Five Five, Inc. (Resend) și Functional Software, Inc. (Sentry) sunt entități din SUA și pot implica acces sau prelucrări internaționale. Anthropic Ireland, Limited poate utiliza infrastructură inclusiv în SUA, Europa, Asia și Australia. Mapbox, Inc. prelucrează și date în SUA. Pentru studiul solar, serviciul Google Maps Platform — Solar API primește coordonatele necesare analizei și metadatele tehnice ale cererii. Entitățile Google implicate, rolurile și mecanismele aplicabile transferurilor internaționale sunt indicate în Lista furnizorilor, potrivit contractului aferent serviciului utilizat. Integrarea formularelor de lead-uri Google Ads, conectată la contul Firmei, permite importarea în Vatrum a datelor completate în formularele acesteia. Conectarea și funcționarea integrării pot implica schimburi tehnice cu Google. Integrarea descrisă nu este utilizată pentru încărcarea către Google a bazei de clienți, a facturilor sau a conversiilor, dacă asemenea funcții nu sunt oferite și activate separat. Legătura „Google Maps” din calendar deschide serviciul extern numai la alegerea utilizatorului și transmite adresa inclusă în legătură. La accesare, Google poate prelucra și datele tehnice aferente conexiunii, potrivit propriilor informări. Serviciile de notificări push ale browserelor (secțiunea 6) aparțin furnizorilor browserelor și pot implica prelucrări în afara SEE, potrivit condițiilor acestora. Lista furnizorilor și a subîmputerniciților identifică rolurile și documentele de transfer. Pentru destinatarii fără adecvare aplicabilă, VlachDev folosește SCC în modulul corespunzător și evaluarea transferului, cu măsuri suplimentare necesare; DPF se folosește numai pentru o certificare valabilă și transferul acoperit. Activarea unei funcții este condiționată de existența garanțiilor aplicabile. Copii ale garanțiilor se pot cere la hello@vatrum.app; simpla existență a unui DPA public nu dovedește că acesta a fost acceptat pentru contul VlachDev.

8. Cât timp păstrăm datele

Dovezile încheierii, modificării și încetării contractului, inclusiv notificările, acceptările și declarațiile semnate, se păstrează separat pe durata raportului contractual și, ulterior, trei ani de la încetarea acestuia, în măsura necesară constatării, exercitării sau apărării drepturilor. Pentru un litigiu ori o procedură concretă, documentele relevante pot fi păstrate până la soluționare și pe durata suplimentară justificată legal. Accesul este restricționat, iar documentele nu sunt utilizate pentru funcționarea curentă sau dezvoltarea produsului. Pentru această arhivă, VlachDev este operator, iar temeiul este interesul legitim documentat de a constata, exercita sau apăra drepturi (art. 6 alin. (1) lit. f) GDPR). Arhiva cuprinde numai versiunile contractuale relevante, dovezile comunicării și acceptării, declarațiile semnate și verificările lor, datele minime despre reprezentare, legătura dintre declarație, versiune și achizițiile acoperite și evidența cererilor copiei datelor; nu cuprinde conversațiile ori întregul jurnal operațional.

Datele de fond ale Firmei intră în DPA, nu în această retenție proprie. Pentru conturile active și dovezi se aplică termenele de mai sus; nu se păstrează toate datele auxiliare doar pentru că au fost colectate.

9. Drepturile dumneavoastră

Aveți dreptul:

• să aflați ce date avem despre dumneavoastră și să primiți o copie;
• să cereți corectarea datelor inexacte;
• să cereți ștergerea datelor;
• să cereți restricționarea prelucrării;
• să primiți datele furnizate într-un format structurat, utilizat în mod curent și care poate fi citit automat, când prelucrarea este automată și se bazează pe consimțământ ori pe contract; acest drept nu se aplică tuturor jurnalelor sau analizelor interne;
• să vă opuneți prelucrării bazate pe interes legitim din motive legate de situația proprie; ne oprim dacă nu demonstrăm motive legitime imperioase sau necesitatea pentru pretenții juridice. Pentru marketing direct, opoziția se respectă fără această evaluare;
• să vă retrageți consimțământul, dacă este temeiul prelucrării, fără a afecta legalitatea prelucrării anterioare.

Ne puteți scrie la hello@vatrum.app. Răspundem fără întârzieri nejustificate și în termen de o lună; pentru complexitate sau număr mare de cereri, prelungirea cu până la două luni se anunță în prima lună, cu motivul. Verificarea identității se cere numai când există îndoieli rezonabile și prin mijloace proporționale; nu cerem automat copia actului. Drepturile se exercită în condițiile GDPR și pot avea excepții, de exemplu arhivarea legală și apărarea unui drept.

Aveți și dreptul să depuneți o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru nr. 28-30, sector 1, cod poștal 010336, București, România, www.dataprotection.ro.

Datele necesare autentificării, încheierii contractului și facturării trebuie furnizate pentru operațiunile respective; fără ele nu putem asigura contul sau contractul. Câmpurile opționale, cum este fotografia de profil, pot rămâne necompletate. Refuzul marketingului nu împiedică utilizarea serviciului.

10. Cum protejăm datele

• Găzduire: aplicația și baza de date sunt găzduite în UE; fișierele stau în UE.
• Criptare: legătura cu aplicația e criptată (HTTPS); cheile integrărilor sunt păstrate criptat, cu o cheie proprie fiecărei firme.
• Autentificare: parolele se păstrează doar ca amprentă (argon2id); autentificarea în doi pași și cheile de acces sunt disponibile; conturile se blochează temporar după încercări repetate greșite.
• Separarea firmelor: datele fiecărei firme sunt separate chiar în baza de date, nu doar în aplicație.
• Jurnal de audit: înregistrările nu pot fi modificate din aplicație și sunt legate criptografic. Această protecție a integrității nu înseamnă că datele se păstrează nelimitat sau că sunt anonime.
• Poze: pozele de șantier urcate din aplicație sunt curățate de datele ascunse din fișier (inclusiv locația) înainte de a pleca din telefon. Cele urcate înainte de 25 septembrie 2026, când a început această curățare, se curăță de aceleași date pe server, o singură dată. Imaginile urcate ca documente pe fișa clientului și ca fișiere pe fișa de lucru se păstrează fără aceste date: cele noi de la urcare, cele vechi după aceeași curățare de o singură dată.

11. Decizii automate

Nu luăm decizii bazate exclusiv pe prelucrare automată care produc efecte juridice privind persoana sau o afectează în mod similar într-o măsură semnificativă. Există operațiuni automate care nu constituie asemenea decizii, de exemplu răspunsurile informative automate pe canalul WhatsApp al unei firme, în limitele configurate de aceasta. Inteligența artificială din Vatrum propune, calculează și informează; hotărârile cu efecte asupra persoanelor rămân ale oamenilor.

12. Minori

Serviciul este destinat utilizării profesionale. Această destinație nu exclude existența unor date despre minori în conținutul unei firme; Firma trebuie să stabilească temeiul, informarea și protecțiile necesare pentru datele pe care le introduce.

13. Modificări

Putem actualiza această politică. Versiunea în vigoare și data ei apar în capul documentului. Schimbările importante le anunțăm pe e-mail și în aplicație.