Politica de confidențialitate

Această politică explică ce date personale prelucrăm în calitate de operator, în ce scopuri, pe ce temei, cât timp le păstrăm, cui le dăm și ce drepturi ai, conform Regulamentului (UE) 2016/679 („GDPR”) și Legii nr. 190/2018. Descriem categoriile de date pe care platforma le poate prelucra, inclusiv pe cele care apar doar când o funcție este pornită.

1. Cine suntem

Operatorul este DIMAX.RO S.R.L., cu sediul în Oraș Filiași, Bld. Racoțeanu nr. 216, Camera 1, Et. 1, Județ Dolj, cod poștal 205300, România, înregistrată la Registrul Comerțului sub nr. J16/1920/2021, CUI 44650706 („noi”). Manifolio este un produs al DIMAX.RO S.R.L.

Pentru orice întrebare sau cerere privind datele personale, scrie-ne la privacy@manifolio.com. Nu am desemnat un responsabil cu protecția datelor, întrucât activitatea noastră nu se încadrează în cazurile de la art. 37 GDPR; cererile sunt tratate direct de conducerea societății.

2. Când suntem operator și când nu

Suntem operator pentru datele utilizatorilor care intră în admin sau în aplicațiile Manifolio, pentru vizitatorii site-ului manifolio.com, pentru mesajele trimise prin formularul de contact sau pe email, pentru datele de facturare și pentru datele tehnice folosite la securitatea și îmbunătățirea Serviciului.
Suntem persoană împuternicită pentru datele pe care clienții noștri le pun în Manifolio sau le colectează prin el de pe site-urile lor, cum ar fi conținutul, fișierele media, răspunsurile la formulare și statisticile de vizitare. Pentru acestea se aplică Acordul de prelucrare a datelor, iar operatorul este clientul.
Dacă ai vizitat un site care folosește Manifolio sau i-ai trimis un formular, adresează-te proprietarului acelui site: el decide ce se întâmplă cu datele tale și are în admin mijloace prin care găsește, exportă și șterge răspunsurile trimise de la o anumită adresă de email (secțiunea 10). Dacă ne scrii nouă, îi transmitem cererea fără întârziere și te îndrumăm spre el.

3. Ce date prelucrăm, de ce, pe ce temei și cât timp

Temeiurile sunt cele de la art. 6 alin. (1) GDPR: lit. b) executarea contractului sau demersuri înainte de încheierea lui, lit. c) o obligație legală, lit. f) interesul nostru legitim, pe care l-am cântărit față de drepturile tale. Păstrăm datele cât este necesar pentru scopul respectiv; duratele de mai jos sunt cele aplicate de regulă și pot fi mai scurte. Le putem păstra mai mult doar dacă legea ne obligă sau pentru constatarea, exercitarea ori apărarea unui drept în justiție, cât durează acea nevoie.

Categoria	Datele	Scopul	Temeiul	Cât timp
Contul	nume, adresă de email, parola (doar sub formă de hash criptografic), limba, fusul orar, rolurile în organizații și pe site-uri, data creării	crearea și administrarea contului, accesul la Serviciu	lit. b)	cât timp există contul; după închiderea lui, o perioadă de grație (în prezent 30 de zile), apoi ștergere
Autentificarea în doi pași	secretul aplicației de autentificare (criptat), codurile de rezervă (doar ca hash) și date tehnice de verificare	protejarea contului	lit. b) și f); art. 32 GDPR	cât timp e pornită; se șterge odată cu contul
Sesiunile	o amprentă a tokenului de sesiune, adresa IP, browserul și sistemul, momentele de început, de folosire și de expirare	menținerea autentificării, lista sesiunilor tale, depistarea accesului neobișnuit	lit. b) și f)	până la deconectare sau expirare (în prezent cel mult 30 de zile); rândurile expirate se șterg periodic
Încercările de autentificare și limitele	adresa de email folosită, adresa IP, rezultatul, momentul, inclusiv pentru alte acțiuni sensibile (de exemplu codurile 2FA sau confirmarea ștergerii contului)	limitarea încercărilor abuzive și protejarea conturilor	lit. f); art. 32 GDPR	perioada necesară securității, de regulă cel mult 90 de zile
Resetarea parolei și invitațiile	o amprentă a linkului, adresa IP a cererii, momentele de creare, expirare și folosire; pentru invitații: adresa invitată, rolul, cine a invitat	recuperarea accesului, intrarea în echipă	lit. b)	linkuri cu valabilitate scurtă; rândurile rămân cât există contul sau organizația
Acceptarea Termenilor	versiunea acceptată, căsuțele bifate (inclusiv cea pentru clauzele acceptate expres, art. 1203 Cod civil), dacă a inclus Acordul de prelucrare, momentul, adresa IP și browserul, organizația	dovada încheierii contractului pe cale electronică	lit. b) și c); lit. f) pentru apărarea unui drept	cât există contul; după ștergerea lui, în jurnalul de audit rămân versiunea și momentul, fără adresa IP și fără email, de regulă cel mult 5 ani
Comanda de servicii semnată, dacă echipa noastră pregătește organizația înainte de acceptare	datele firmei client, numele și funcția semnatarului, semnătura, data, obiectul lucrărilor, documentul semnat; cine din echipa noastră a înregistrat-o	dovada comenzii pentru perioada dinaintea acceptării Termenilor	lit. b) și c)	cât există organizația, stocată privat, în UE, cu acces doar pentru echipa noastră; ulterior, doar dacă legea ne obligă sau pentru apărarea unui drept
Jurnalul de audit	cine a făcut o schimbare, ce acțiune, asupra cărui element, când și de la ce adresă IP; adresa de email a persoanelor invitate	trasabilitatea schimbărilor, securitatea, investigarea incidentelor, dovada în caz de litigiu	lit. f); lit. b), față de organizația client	cât există organizația; la ștergerea unui cont sau a unei organizații, rândurile rămân pseudonimizate (fără adresă IP și fără email) și se șterg de regulă la 5 ani de la înregistrare
Comunicări de serviciu	adresa de email, numele, limba, preferințele de notificare, notificările din aplicație	invitații, resetarea parolei, alerte de securitate, notificări despre cont și Serviciu, schimbări ale documentelor legale, confirmările cererilor GDPR	lit. b); lit. c) și f) pentru informările obligatorii	notificările, cât există contul; emailurile tranzacționale nu se păstrează la noi după trimitere, în afara evidenței tehnice a trimiterii
Informări despre noutățile Serviciului	adresa de email și numele utilizatorilor clienților noștri	să te informăm despre funcții noi, schimbări și servicii similare ale Manifolio	lit. f); art. 12 alin. (2) din Legea nr. 506/2004	până te dezabonezi (din fiecare mesaj sau prin email) sau până la închiderea contului
Funcțiile AI, doar dacă un proprietar le pornește pentru organizație	acordul proprietarului (cine, când, versiunea notei); la fiecare cerere: conținutul trimis și contextul lui, care pot conține date personale dacă le conține conținutul; la noi rămân doar date despre cerere (de exemplu acțiunea, modelul, consumul, rezultatul și momentul)	scrierea, traducerea și sugestiile cerute de tine; dovada acordului; aplicarea limitelor planului	lit. b) și f)	conținutul trimis nu se păstrează la noi; acordul și evidența consumului, cât există organizația; la furnizorul modelului, conform secțiunii 5
Jurnalul cererilor API	cheia folosită, calea, starea, durata, momentul; fără adresa IP a vizitatorului	statistici de utilizare pentru client, depanare, securitate	lit. b) și f)	de regulă 30 de zile; totalurile agregate, mai mult
Conținutul creat de tine	intrările create sau modificate (cu identificatorul tău intern), versiunile, programările, importurile, fișierele încărcate, cheile API și webhook-urile create	funcționarea Serviciului pentru organizație și trasabilitatea muncii în echipă	lit. b)	conținutul este al organizației și urmează regulile ei; după ștergerea contului tău, identificatorul intern rămâne fără să mai ducă la tine
Exporturile și cererile GDPR	tipul cererii, starea, momentele, mărimea arhivei; pentru cererile vizitatorilor: emailul mascat și numărul de răspunsuri	îndeplinirea drepturilor tale și ale vizitatorilor, dovada îndeplinirii lor	lit. c) (art. 12-22 GDPR)	arhivele, o perioadă scurtă (în prezent 7 zile); istoricul cererilor, cât există contul sau organizația
Facturarea, când pornesc plățile online	denumirea firmei, datele fiscale, persoana de contact, planul, plățile; datele cardului le prelucrează doar Stripe, ca operator independent, iar noi primim cel mult date limitate (de exemplu tipul cardului și ultimele 4 cifre)	emiterea facturilor, evidența contabilă, încasarea	lit. b) și c)	perioada cerută de legislația contabilă și fiscală (de regulă 5 ani; 10 ani pentru registrele contabile)
Formularul de contact de pe manifolio.com	nume, email, firmă sau site (opțional), mesajul, pagina, țara și tipul dispozitivului	să îți răspundem și, la cererea ta, să facem pași înainte de un contract	lit. b) și f)	de regulă cel mult 2 ani de la ultima corespondență, dacă nu devin parte dintr-un contract
Corespondența și suportul	adresa de email, numele, conținutul mesajelor trimise la adresele noastre și atașamentele	să îți răspundem, să tratăm cererile, raportările de securitate și notificările de conținut ilegal	lit. f); lit. c) pentru cererile GDPR și DSA	de regulă cel mult 2 ani de la ultima corespondență, sau cât cere apărarea unui drept în justiție
Statisticile manifolio.com	vizite pseudonimizate, fără cookie-uri (secțiunea 4)	să înțelegem ce pagini sunt utile	lit. f)	evenimentele brute, de regulă 90 de zile; totalurile agregate, de regulă 2 ani
Securitatea, funcționarea și îmbunătățirea Serviciului	date tehnice și de utilizare, cum ar fi adresa IP, antetele cererilor, jurnalele de erori și de performanță, folosirea funcțiilor; după caz, cookie-ul `__cf_bm` (secțiunea 12)	apărarea împotriva atacurilor și a abuzurilor, depanarea, măsurarea și îmbunătățirea Serviciului, statistici agregate	lit. f)	datele brute, perioada necesară, de regulă cel mult 90 de zile (la furnizorii de infrastructură, conform politicilor lor); datele agregate sau anonimizate, fără limită, întrucât nu mai sunt date personale

Nu vindem date personale, nu le folosim pentru publicitate comportamentală și nu luăm decizii bazate exclusiv pe prelucrare automată care să producă efecte juridice asupra ta. Furnizarea datelor de cont este necesară pentru a folosi Serviciul; fără ele, contul nu poate fi creat.

Scriptul nostru de analiză (t.js), folosit pe manifolio.com și pe site-urile clienților, este gândit să măsoare utilizarea fără cookie-uri și fără a scrie în browser:

un vizitator se numără printr-un identificator pseudonim, calculat cu o funcție hash dintr-o valoare aleatoare care se schimbă zilnic, adresa IP, browser și site; valoarea zilnică se șterge, deci aceeași persoană nu poate fi recunoscută în altă zi sau pe alt site;
adresa IP se folosește doar pentru acest calcul și pentru a afla țara; nu se stochează;
se pot păstra date precum calea paginii, sursa vizitei, țara, tipul dispozitivului, familia browserului și, dacă site-ul le trimite, evenimente proprii și măsurători de performanță;
scriptul nu pornește dacă browserul transmite semnalul Do Not Track sau Global Privacy Control.

5. Cine primește datele

Datele sunt accesibile persoanelor din echipa noastră care au nevoie de ele, cu obligație de confidențialitate, și furnizorilor care ne ajută să operăm Serviciul, ca persoane împuternicite, pe bază de contract. Lista actualizată, cu locațiile și garanțiile, este în pagina Subcontractanți; putem schimba furnizorii, cu actualizarea listei. La data acestei versiuni, principalii furnizori sunt:

Cloudflare, Inc.: rularea aplicației, rețeaua, stocarea fișierelor (în UE), protecția anti-abuz și emailul (trimiterea emailurilor de serviciu și redirecționarea mesajelor primite la adresele noastre către căsuța de email a societății);
Supabase, Inc.: baza de date, găzduită pe Amazon Web Services în regiunea Frankfurt (Germania). Supabase acționează ca persoană împuternicită conform acordului său de prelucrare a datelor; personalul său de suport poate accesa infrastructura din afara UE pentru operarea serviciului. Existența și durata copiilor de siguranță ale furnizorului depind de planul folosit (vezi Subcontractanți);
Anthropic, PBC (SUA): doar dacă un proprietar a pornit funcțiile AI pentru organizație și doar pentru cererile pornite de un utilizator. La data acestei versiuni, conform termenilor comerciali ai Anthropic, datele trimise prin API nu sunt folosite la antrenarea modelelor, iar păstrarea lor la Anthropic este limitată (de regulă cel mult 30 de zile, cu excepțiile prevăzute de politicile Anthropic, de exemplu pentru cererile semnalate pentru încălcarea politicii de utilizare sau când legea o cere). Anthropic acționează ca persoană împuternicită, conform acordului său de prelucrare a datelor;
Stripe Payments Europe, Ltd. (Irlanda), doar după ce pornesc plățile online (le vom anunța în prealabil): acționează ca operator independent pentru datele de plată pe care le prelucrează (datele cardului, prevenirea fraudei, cunoașterea clientelei și combaterea spălării banilor) și, după caz, ca prestator de servicii de plată autorizat să efectueze în numele nostru operațiunile de plată, intermediind relația financiară dintre noi și clienți. Pentru aceste date se aplică și politica de confidențialitate a Stripe.

Datele pot fi primite și de consultanții noștri profesionali (de exemplu avocați, contabili, auditori), cu obligație de confidențialitate, și de autoritățile publice, când legea ne obligă sau pentru apărarea unui drept. Membrii organizației tale văd numele, emailul și rolul tău, iar proprietarii și administratorii văd jurnalul de audit al organizației. Dacă activitatea Manifolio este transferată, total sau parțial, unei societăți afiliate sau unei alte societăți (de exemplu prin fuziune, divizare sau vânzarea afacerii), datele pot trece la aceasta, care le va prelucra conform acestei politici, iar tu vei fi informat.

6. Transferuri în afara Spațiului Economic European

Datele stocate stau, ca regulă, în Uniunea Europeană. Cererile trec prin rețeaua Cloudflare, care le poate procesa în centrul de date cel mai apropiat de vizitator, inclusiv în afara SEE, iar unii furnizori sunt societăți din SUA sau au personal de suport în afara SEE.

Orice transfer în afara SEE se face doar cu garanțiile din capitolul V GDPR, cum ar fi o decizie de adecvare (inclusiv Cadrul UE–SUA pentru protecția datelor, pentru furnizorii certificați) sau clauzele contractuale standard adoptate prin Decizia (UE) 2021/914, cu măsuri suplimentare unde e cazul. La data acestei versiuni:

Cloudflare: certificarea în Cadrul UE–SUA pentru protecția datelor și clauzele contractuale standard din acordul său de prelucrare;
Supabase: clauzele contractuale standard (modulele 2 și 3), încorporate în acordul său de prelucrare; datele stocate rămân la Frankfurt;
Anthropic: clauzele contractuale standard (modulele 2 și 3), încorporate în acordul său de prelucrare a datelor;
Stripe, când va fi folosit: Cadrul UE–SUA pentru protecția datelor și clauzele contractuale standard, conform acordurilor Stripe.

O copie a garanțiilor relevante se poate cere la privacy@manifolio.com.

7. Cum protejăm datele

Aplicăm măsuri tehnice și organizatorice adecvate riscului, conform art. 32 GDPR, pe care le revizuim și le actualizăm în timp. Ele includ, de exemplu:

separarea datelor fiecărui client, pe mai multe niveluri (în aplicație și în baza de date);
criptarea în tranzit și criptarea la repaus asigurată de furnizori; protejarea suplimentară a secretelor sensibile;
stocarea parolelor, a sesiunilor și a cheilor API doar sub formă derivată (hash, amprente), fără a le păstra în clar;
autentificare în doi pași, limitarea încercărilor de autentificare și accesul echipei noastre pe principiul celui mai mic privilegiu;
jurnal de audit protejat împotriva modificării, cu urmărirea acțiunilor echipei noastre;
minimizarea datelor, de exemplu eliminarea la încărcare a metadatelor încorporate în imagini (cum ar fi locația GPS sau modelul aparatului), cu păstrarea doar a ce ține de afișarea corectă;
funcțiile AI oprite până când un proprietar al organizației le pornește;
acces controlat și limitat în timp la arhivele de export.

Nicio măsură de securitate nu este infailibilă, dar ne angajăm să reacționăm prompt la incidente și să te informăm când legea o cere.

8. Drepturile tale

Ai dreptul la informare și acces (art. 15), la rectificare (art. 16), la ștergere (art. 17), la restricționarea prelucrării (art. 18), la portabilitatea datelor (art. 20) și la opoziție (art. 21), inclusiv opoziție oricând față de prelucrările bazate pe interesul legitim și față de informările despre noutăți. Ai și dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrare automată (art. 22); nu luăm astfel de decizii.

Poți să îți exerciți multe dintre drepturi singur, din admin (secțiunea 9). Pentru orice altă cerere, scrie-ne la privacy@manifolio.com. Răspundem în cel mult o lună, termen care se poate prelungi cu încă două luni pentru cereri complexe sau numeroase, cu informarea ta. Putem cere date suplimentare pentru a-ți confirma identitatea și putem refuza sau taxa rezonabil cererile vădit nefondate sau excesive, conform art. 12 alin. (5) GDPR.

Poți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru nr. 28-30, sector 1, București, www.dataprotection.ro, anspdcp@dataprotection.ro, sau la autoritatea din statul tău de reședință ori de muncă, și te poți adresa instanței.

9. Ce poți face singur, din admin

În pagina Cont și confidențialitate a admin-ului poți, la data acestei versiuni:

descărca datele tale (art. 15 și 20): o arhivă într-un format structurat (de exemplu JSON și CSV) cu datele contului tău, apartenențele și rolurile, sesiunile, activitatea relevantă din jurnalul de audit, notificările și preferințele, acceptările Termenilor și alte date asociate contului. Arhiva este gata de regulă în scurt timp și se descarcă o perioadă limitată, doar cu contul tău; numărul de exporturi pe zi poate fi limitat. Datele de securitate (de exemplu parola sau secretul 2FA) nu se exportă;
închide contul (art. 17), cu confirmarea identității. Contul se blochează imediat, sesiunile se închid și ieși din organizații. După perioada de grație (în prezent 30 de zile) ștergem datele contului; în jurnalele de audit ale organizațiilor rămân doar rânduri pseudonimizate. Dacă ești singurul proprietar al unei organizații, întâi transferi proprietatea sau ștergi organizația;
vedea istoricul cererilor tale;
rectifica datele: numele se schimbă din cont; pentru alte schimbări, de exemplu adresa de email, scrie-ne.

Cine nu acceptă o versiune nouă a Termenilor poate totuși să își descarce datele și să își închidă contul.

10. Organizații și vizitatorii site-urilor

Proprietarii unei organizații pot exporta datele organizației, transfera proprietatea și șterge organizația (secțiunea 12 din Termeni).

Proprietarii și administratorii au mijloace pentru cererile vizitatorilor site-urilor lor: pot căuta după adresa de email în răspunsurile la formulare din site-urile organizației, pot exporta rezultatele pentru persoana vizată și le pot șterge, inclusiv copiile din istoricul webhook-urilor. Statisticile t.js sunt pseudonimizate zilnic și nu pot fi legate de o persoană, deci nu pot fi găsite după email.

11. Copiii

Manifolio este un serviciu pentru profesioniști; conturile se creează doar pentru persoane care au împlinit 18 ani. Nu colectăm cu bună știință date ale copiilor; dacă afli că s-a întâmplat, scrie-ne și le ștergem.

Ce folosim, pe manifolio.com și în admin, este descris în Politica privind cookie-urile. La data acestei versiuni folosim doar cookie-uri și stocare strict necesare sau de preferință, care nu cer consimțământ; dacă vom folosi vreodată altele, îți vom cere acordul înainte.

13. Modificări

Putem actualiza această politică, de exemplu când schimbăm funcții, furnizori sau practici ori când se schimbă legea. Data și versiunea din partea de sus arată varianta curentă. Când modificăm politica într-un mod care contează, anunțăm utilizatorii prin email sau în admin înainte de intrarea în vigoare.