1. PE SCURT

• Prelucrăm datele necesare pentru ca aplicația să funcționeze: contul tău, datele firmei tale și conținutul pe care îl introduci în aplicație.
• Nu vindem, nu închiriem și nu comercializăm date. Nu folosim instrumente de analiză, de publicitate sau de urmărire.
• Pentru datele pe care firma ta le introduce despre clienții, delegații și partenerii săi, operatorul este firma, iar noi doar le stocăm și le prelucrăm la instrucțiunile ei (Secțiunea 3).
• Aplicația este în dezvoltare activă și oferită gratuit. Aplicăm măsuri de securitate rezonabile, dar nu garantăm integritatea sau recuperarea datelor — vezi Secțiunea 9 și Art. 6 din Termeni și Condiții.
• Întrebări sau cereri: contact@eflux.ro.

Prezenta politică face parte integrantă din Termenii și Condițiile de utilizare a aplicației Eflux și este elaborată conform Regulamentului (UE) 2016/679 (GDPR), Legii nr. 190/2018, Legii nr. 506/2004 și Legii nr. 365/2002.

2. CINE PRELUCREAZĂ DATELE. CONTACT

Datele sunt prelucrate în legătură cu aplicația Eflux, dezvoltată și operată de o entitate juridică legal constituită în România.

3. ROLURILE NOASTRE: OPERATOR ȘI PERSOANĂ ÎMPUTERNICITĂ

3.1. Suntem OPERATOR pentru: datele de cont ale utilizatorilor aplicației, datele de identificare și de facturare ale firmei-client, corespondența de suport și datele tehnice de funcționare și securitate. Pentru acestea te poți adresa direct nouă (Secțiunea 10).

3.2. Suntem PERSOANĂ ÎMPUTERNICITĂ pentru datele pe care firma-client le introduce în aplicație despre terți: clienții săi (inclusiv persoane fizice), persoanele de contact, delegații (nume, seria și numărul actului de identitate, numărul de înmatriculare al vehiculului), destinatarii livrărilor și orice date personale conținute în comenzi, note sau documente.

Dacă ești client, delegat sau persoană de contact al unei firme care folosește Eflux și vrei să îți exerciți drepturile, adresează-te direct firmei respective — ea este operatorul. Dacă ne scrii nouă, transmitem cererea firmei în cauză și te informăm, fără a o putea soluționa pe fond.

3.3. Condițiile acestei prelucrări sunt reglementate în Anexa — Acord de prelucrare a datelor, care constituie contractul cerut de art. 28 alin. (3) GDPR.

4. CE DATE PRELUCRĂM ÎN CALITATE DE OPERATOR

4.1. Date de cont și profil: nume și prenume, adresă de e-mail, funcția în firmă, telefon, parola (stocată exclusiv sub formă de hash criptografic — nu avem acces la parola în clar), data confirmării e-mailului, token-uri de sesiune, firma din care faci parte, calitatea de administrator, permisiunile pe departamente și operațiuni, preferințele de lucru.

4.2. Date privind firma-client: denumire, CUI, număr de înregistrare la Registrul Comerțului, adresă, localitate, județ, telefon, e-mail, website, bancă și IBAN, logo. Datele unei firme nu sunt, ca regulă, date personale, dar devin astfel în cazul PFA, întreprinderilor individuale sau persoanelor fizice autorizate.

4.3. Jurnale de activitate în aplicație: pentru fiecare operațiune semnificativă asupra unei comenzi înregistrăm identificatorul și numele utilizatorului, tipul acțiunii, detaliile, departamentul și momentul. Aceste jurnale sunt vizibile administratorului și utilizatorilor autorizați ai firmei și servesc trasabilității interne.

4.4. Date tehnice: adresa IP, tipul și versiunea browserului, sistemul de operare, momentul accesării, paginile solicitate, codurile de răspuns, erorile aplicației, identificatorii de sesiune și contorii mecanismului de limitare a ratei de utilizare. Sunt generate automat de infrastructura de găzduire și folosite pentru funcționare, diagnosticare, prevenirea abuzurilor și securitate.

4.5. Date de suport: conținutul mesajelor transmise la contact@eflux.ro sau prin formularul de contact de pe site (nume, adresă de e-mail, subiect, mesaj) și istoricul corespondenței.

4.5.1. Dovada acceptării Termenilor: la crearea contului înregistrăm adresa de e-mail, identificatorul de utilizator, versiunea Termenilor acceptată, momentul acceptării, adresa IP și tipul browserului. Aceste date servesc exclusiv dovedirii încheierii contractului și a acceptării exprese a clauzelor de la art. 22 din Termeni, conform art. 1203 Cod civil și art. 7 alin. (1) GDPR.

4.6. Date de facturare — numai de la activarea planurilor cu plată. Nu colectăm, nu stocăm și nu avem acces la datele complete ale cardului bancar; ele sunt procesate direct de procesatorul de plăți.

4.7. Ce NU colectăm: categorii speciale de date (art. 9 GDPR — sănătate, convingeri religioase sau politice, apartenență sindicală, date genetice sau biometrice, viață sexuală, origine rasială sau etnică) și date privind condamnări penale (art. 10 GDPR). Introducerea unor astfel de date în aplicație este interzisă prin Termeni și Condiții.

5. CE DATE PRELUCRĂM ÎN CALITATE DE PERSOANĂ ÎMPUTERNICITĂ

Introduse de firma-client, care decide exclusiv scopurile și mijloacele:

Atenție, firmă-client: seria și numărul actului de identitate sunt date de identificare sensibile în practică. În calitate de operator, ai obligația să te asiguri că prelucrarea are un temei legal, că informezi persoanele vizate și că respecți principiul minimizării datelor (art. 5 alin. 1 lit. c GDPR).

6. SCOPURI ȘI TEMEIURI JURIDICE

Pentru prelucrările întemeiate pe interes legitim am evaluat echilibrul cu drepturile persoanelor vizate și am concluzionat că prelucrarea este necesară și proporțională. Detaliile pot fi solicitate la contact@eflux.ro.

Sursa datelor: direct de la tine (creare cont, utilizare, suport); de la administratorul firmei tale (când ești invitat ca utilizator — el are obligația de a te informa în prealabil); automat, prin utilizarea aplicației (date tehnice și jurnale); din registrele publice ANAF; de la firma-client, pentru datele de la Secțiunea 5.

7. CINE MAI ARE ACCES LA DATE

Nu vindem și nu comercializăm date personale. Le divulgăm exclusiv către:

a) Furnizorii de infrastructură (subîmputerniciți), care prelucrează datele doar la instrucțiunile noastre, în temeiul unor acorduri conforme cu art. 28 GDPR:

Lista se actualizează la introducerea unui furnizor nou, cu notificarea firmelor-client cu cel puțin 30 de zile înainte. ANAF nu este subîmputernicit — interogarea registrelor publice este o consultare a unei surse publice, iar ANAF acționează ca operator independent.

b) Consultanți profesioniști (contabili, auditori, avocați), supuși obligației de confidențialitate.

c) Autorități publice, exclusiv în temeiul unei obligații legale sau al unei solicitări întemeiate, a cărei legalitate și proporționalitate o verificăm.

d) Dobânditori, în cazul unei fuziuni, divizări sau transfer de activitate, cu informarea prealabilă și cu respectarea GDPR.

e) Alți utilizatori ai aceleiași firme — datele tale de profil și acțiunile jurnalizate sunt vizibile administratorului și, după caz, celorlalți utilizatori autorizați ai firmei tale. Datele nu sunt niciodată vizibile utilizatorilor altei firme.

8. TRANSFERURI ÎN AFARA SPAȚIULUI ECONOMIC EUROPEAN

Unii dintre furnizorii de mai sus sunt societăți cu sediul sau cu operațiuni în afara SEE, în special în Statele Unite. În aceste cazuri, transferul se realizează exclusiv în baza garanțiilor din Capitolul V GDPR: decizia de adecvare privind Cadrul UE–SUA pentru confidențialitatea datelor (art. 45 GDPR), pentru furnizorii certificați, și/sau clauzele contractuale standard ale Comisiei Europene (art. 46 alin. 2 lit. c GDPR), completate cu măsuri tehnice suplimentare (criptare în tranzit și în repaus, minimizarea datelor transferate). Poți solicita o copie a garanțiilor la contact@eflux.ro.

9. SECURITATE ȘI LIMITELE EI

9.1. Măsuri tehnice: criptarea traficului prin TLS/HTTPS; criptarea datelor în repaus la nivelul infrastructurii; stocarea parolelor exclusiv sub formă de hash criptografic; izolarea strictă a datelor între firme, aplicată la nivelul bazei de date (Row Level Security); acces la documentele stocate exclusiv prin URL-uri semnate, cu valabilitate limitată la 1 oră; limitarea ratei de utilizare pentru operațiunile sensibile; verificarea autorizării la nivel de server pentru operațiunile administrative; utilizarea cheilor privilegiate exclusiv pe server; antete de securitate HTTP; validarea adreselor de redirecționare; jurnalizarea acțiunilor semnificative.

9.2. Măsuri organizatorice: principiul privilegiului minim, permisiuni configurabile de administratorul firmei, obligații de confidențialitate pentru persoanele implicate, selecția furnizorilor pe criterii de securitate, copii de siguranță gestionate la nivelul infrastructurii, procedură de gestionare a incidentelor.

9.3. Limitele securității și stadiul de dezvoltare.

Niciun sistem informatic nu poate fi garantat ca fiind absolut sigur. Aplicația se află în dezvoltare activă, este oferită gratuit și, în consecință, nu garantăm integritatea, disponibilitatea sau posibilitatea de recuperare a datelor. Pot surveni erori, întreruperi și pierderi de date. Firma-client are obligația proprie de a-și păstra copii ale datelor și documentelor esențiale, conform Art. 6 din Termeni și Condiții, iar răspunderea noastră este limitată conform Art. 15 din același document.

9.4. La rândul tău, ai obligația de a folosi o parolă robustă și unică, de a nu o partaja și de a ne notifica imediat orice suspiciune de compromitere.

10. CÂT TIMP PĂSTRĂM DATELE

Ștergerea contului de firmă de către administrator elimină imediat și definitiv datele firmei, clienții, produsele, comenzile, delegații, stocurile, jurnalele, documentele stocate, logo-ul, pozele de produs, cererile primite pe linkul public de comenzi și toate conturile de utilizator ale firmei. Operațiunea este ireversibilă. Confirmăm ștergerea printr-un e-mail către administrator.

Ștergerea unui utilizator individual elimină contul, profilul și permisiunile acestuia. Numele rămâne vizibil în jurnalele istorice ale comenzilor și în înregistrările de stoc, ca element de trasabilitate, în temeiul interesului legitim al firmei de a-și menține integritatea evidențelor.

11. DREPTURILE TALE

Ai dreptul de acces (art. 15), rectificare (art. 16), ștergere (art. 17), restricționare (art. 18), portabilitate (art. 20), opoziție la prelucrările întemeiate pe interes legitim (art. 21), retragerea consimțământului (art. 7 alin. 3), de a nu fi supus unor decizii automate (art. 22), de a depune plângere la autoritatea de supraveghere (art. 77), de a te adresa instanței (art. 79) și de a solicita despăgubiri (art. 82).

11.1. Cererile se transmit la contact@eflux.ro, cu indicarea dreptului exercitat. Nu percepem taxe.

11.2. Răspundem în maximum o lună, termen prelungibil cu două luni în cazul cererilor complexe sau numeroase, cu informarea ta în prima lună.

11.3. Putem solicita informații suplimentare pentru confirmarea identității, proporțional cu riscul.

11.4. În cazul cererilor vădit nefondate sau excesive, în special repetitive, putem percepe o taxă rezonabilă sau putem refuza motivat cererea (art. 12 alin. 5 GDPR).

11.5. Dacă cererea privește date introduse în aplicație de o firmă-client (Secțiunea 5), operatorul este acea firmă. Îți comunicăm acest lucru fără întârziere și îi transmitem cererea, asistând-o în soluționare.

11.6. Plângere: ANSPDCP, B-dul G-ral. Gheorghe Magheru nr. 28-30, sector 1, București, 010336, tel. +40.318.059.211, anspdcp@dataprotection.ro, www.dataprotection.ro. Te încurajăm să ne contactezi mai întâi pe noi.

12. ALTE ASPECTE

12.1. Fără decizii automate. Nu luăm decizii bazate exclusiv pe prelucrare automată care să producă efecte juridice asupra ta. Statusurile și calculele din aplicație (status comandă, producție, încasare, totaluri, condiții de preț) sunt operațiuni tehnice pe baza regulilor configurate de firma-client.

12.2. Marketing. Transmitem comunicări comerciale numai cu consimțământul tău prealabil sau, în condițiile art. 12 din Legea nr. 506/2004, către clienți existenți, pentru produse similare, cu posibilitatea opoziției. Te poți dezabona oricând, gratuit. E-mailurile tranzacționale nu sunt comunicări comerciale și nu pot fi dezabonate cât timp contul este activ.

12.3. Minori. Aplicația este destinată exclusiv utilizării profesionale, de către persoane de cel puțin 18 ani. Nu colectăm cu bună știință date ale minorilor și le ștergem fără întârziere dacă aflăm că le deținem.

12.4. Incidente de securitate. Ca operator, notificăm ANSPDCP în 72 de ore de la luarea la cunoștință a unei încălcări care prezintă risc pentru drepturile persoanelor (art. 33 GDPR) și informăm persoanele vizate când riscul este ridicat (art. 34 GDPR). Ca persoană împuternicită, informăm firma-client fără întârzieri nejustificate, punându-i la dispoziție informațiile necesare propriilor obligații.

12.5. Cookie-uri. Vezi Politica de utilizare a cookie-urilor. Pe scurt: nu folosim cookie-uri de analiză, publicitate sau urmărire, ci exclusiv stocare locală strict necesară pentru autentificare și funcționarea aplicației.

12.6. Modificarea politicii. Putem actualiza prezenta politică. Modificările substanțiale se comunică cu cel puțin 30 de zile înainte, prin e-mail și/sau notificare în aplicație; cele nesubstanțiale intră în vigoare la publicare. Versiunea aplicabilă este cea publicată pe site, cu data ultimei actualizări indicată în antet.

ANEXĂ — ACORD DE PRELUCRARE A DATELOR (art. 28 GDPR)

Prezenta anexă se încheie între Eflux, în calitate de Persoană împuternicită, și firma-client care utilizează aplicația, în calitate de Operator, și este acceptată de Operator odată cu Termenii și Condițiile, fără semnarea unui document separat. La cerere, punem la dispoziție o versiune semnabilă și datele complete de identificare ale entității care operează aplicația.

A.1. Obiect, natură, scop. Persoana împuternicită prelucrează date cu caracter personal în numele Operatorului exclusiv în scopul furnizării aplicației Eflux: stocarea și organizarea datelor comerciale, gestiunea comenzilor și a producției, generarea și stocarea documentelor, urmărirea încasărilor, gestiunea stocurilor, administrarea utilizatorilor și suportul tehnic. Operațiunile includ colectarea, înregistrarea, organizarea, stocarea, consultarea, utilizarea, transmiterea către subîmputerniciți, restricționarea, ștergerea și distrugerea datelor.

A.2. Durata. Pe durata contractului dintre părți, plus perioadele de păstrare de la Secțiunea 10.

A.3. Persoane vizate și categorii de date. Cele prevăzute la Secțiunea 5, în special: date de identificare, date din actul de identitate (serie și număr) ale delegaților, date de contact, numărul de înmatriculare al vehiculului, date comerciale și tranzacționale, conținutul notelor și al documentelor. Categoriile speciale de date (art. 9 și art. 10 GDPR) sunt excluse contractual; Operatorul se obligă să nu le introducă în aplicație.

A.4. Obligațiile Persoanei împuternicite:

• a) prelucrează datele exclusiv pe baza instrucțiunilor documentate ale Operatorului; utilizarea aplicației și configurările efectuate de Operator constituie instrucțiuni documentate;
• b) informează imediat Operatorul dacă o instrucțiune încalcă GDPR și suspendă executarea până la clarificare;
• c) asigură confidențialitatea persoanelor autorizate să prelucreze datele;
• d) implementează măsurile tehnice și organizatorice de la Secțiunea 9, care fac parte integrantă din prezenta anexă, în limitele declarate la Secțiunea 9.3 privind stadiul de dezvoltare al aplicației;
• e) subîmputerniciți: Operatorul acordă o autorizație generală pentru furnizorii listați la Secțiunea 7 lit. a). Orice adăugare sau înlocuire se comunică cu cel puțin 30 de zile înainte; Operatorul poate obiecta motivat, în scris, în 15 zile, iar în lipsa unei soluții poate înceta contractul fără penalități. Persoana împuternicită impune fiecărui subîmputernicit aceleași obligații și răspunde față de Operator pentru neîndeplinirea lor;
• f) asistă Operatorul, în măsura posibilului, în soluționarea cererilor persoanelor vizate (Capitolul III GDPR); aplicația pune la dispoziție funcțiile de consultare, rectificare și ștergere a datelor introduse. Cererile primite direct de la persoane vizate se transmit Operatorului fără întârziere, fără a fi soluționate pe fond;
• g) asistă Operatorul privind obligațiile de la art. 32–36 GDPR, ținând seama de natura prelucrării și de informațiile disponibile;
• h) informează Operatorul fără întârzieri nejustificate despre orice încălcare a securității datelor, cu natura încălcării, categoriile și numărul aproximativ de persoane și înregistrări afectate, consecințele probabile și măsurile luate;
• i) la încetarea prestării, la alegerea Operatorului, șterge sau returnează datele. Ștergerea contului de firmă de către administrator constituie instrucțiune expresă de ștergere imediată și ireversibilă;
• j) audit: pune la dispoziția Operatorului informațiile necesare pentru a demonstra respectarea art. 28 GDPR și permite audituri, cu notificare de cel puțin 30 de zile, cel mult o dată pe an calendaristic (cu excepția incidentelor de securitate sau a solicitărilor unei autorități), în programul normal de lucru, fără a perturba activitatea, cu respectarea confidențialității celorlalți clienți și pe cheltuiala Operatorului. Solicitările de audit pot fi satisfăcute și prin punerea la dispoziție a documentației de securitate ori a rapoartelor de audit ale furnizorilor de infrastructură;
• k) menține evidența categoriilor de activități de prelucrare desfășurate în numele Operatorului (art. 30 alin. 2 GDPR).

A.5. Obligațiile Operatorului (firma-client): garantează existența unui temei juridic valabil pentru fiecare prelucrare; răspunde de informarea persoanelor vizate (art. 13–14 GDPR); răspunde de exactitatea, calitatea și legalitatea datelor introduse și a instrucțiunilor; respectă principiul minimizării; nu introduce date din categoriile art. 9 și art. 10 GDPR; configurează corect permisiunile utilizatorilor săi și revocă prompt accesul; evaluează necesitatea unei evaluări de impact; soluționează cererile persoanelor vizate privind datele introduse de el; își păstrează propriile copii ale datelor esențiale, având în vedere stadiul de dezvoltare al aplicației.

A.6. Transferuri internaționale. Se realizează exclusiv în condițiile Secțiunii 8. Operatorul autorizează expres aceste transferuri.

A.7. Răspundere. Se stabilește conform art. 82 GDPR. Limitările de răspundere din Termenii și Condițiile de utilizare se aplică și prezentei anexe, în limitele permise de lege, fără a înlătura răspunderea directă a fiecărei părți față de persoanele vizate sau față de autoritatea de supraveghere.

A.8. Durata anexei. Intră în vigoare odată cu acceptarea Termenilor și rămâne în vigoare cât timp Persoana împuternicită prelucrează date în numele Operatorului. Clauzele privind confidențialitatea, ștergerea datelor și răspunderea supraviețuiesc încetării.

Politica de confidențialitate a aplicației Eflux — versiunea 2.0, 10 august 2026. Contact: contact@eflux.ro