Politica de confidențialitate

Ultima actualizare: 8 august 2026 · Versiunea: 1.1

Această politică explică ce date colectăm, de ce, cât timp le păstrăm și ce drepturi ai. Am scris-o cât mai clar posibil — dacă rămâne ceva neclar, scrie-ne la [email protected].

1. Cine prelucrează datele

Prelucrăm datele în conformitate cu Regulamentul (UE) 2016/679 (GDPR) și cu Legea nr. 190/2018.

2. Cele două roluri ale noastre

Este important să înțelegi distincția, pentru că de ea depind drepturile și obligațiile fiecăruia:

a) Suntem operator pentru datele contului tău: nume, email, telefon, date de facturare, jurnale de acces, tichete de asistență. Noi decidem de ce și cum le prelucrăm.

b) Suntem persoană împuternicită pentru datele din documentele pe care le arhivezi — facturile preluate din SPV, cu tot ce conțin ele: denumiri de firme, coduri fiscale, nume de persoane de contact, adrese, valori. Aici tu ești operatorul: tu decizi ce documente intră în platformă și ce se întâmplă cu ele; noi doar le procesăm conform instrucțiunilor tale. Condițiile acestei prelucrări sunt detaliate în Anexa 2 a Termenilor și Condițiilor.

3. Ce date colectăm și de ce

3.1. Date de cont

3.2. Date de facturare

Denumirea firmei, CUI, numărul de ordine în registrul comerțului, adresa, istoricul plăților și facturile emise. Temei: executarea contractului și obligația legală de a emite și păstra documente fiscale — art. 6(1)(b) și 6(1)(c).

3.3. Date privind conectarea la SPV

Tokenul de acces OAuth primit de la ANAF (stocat criptat), data expirării, seria și emitentul certificatului digital raportate de ANAF, lista codurilor fiscale acoperite de autorizare.

Nu colectăm și nu deținem niciodată parola contului tău SPV, certificatul digital sau codul său PIN.

Temei: executarea contractului.

3.4. Documentele arhivate

Fișierele XML preluate din SPV și reprezentările lor lizibile. Acestea pot conține date cu caracter personal ale unor terți (persoane de contact, administratori, persoane fizice autorizate). Rolul nostru: persoană împuternicită. Temeiul prelucrării de către tine, ca operator: de regulă obligația legală de arhivare și interesul legitim în desfășurarea activității.

3.5. Date tehnice și de securitate

Adresa IP, tipul dispozitivului și al browserului, momentele de autentificare, sesiunile active, acțiunile importante efectuate în cont. De ce: securitatea platformei, detectarea accesului neautorizat, depanarea problemelor. Temei: interes legitim — protejarea platformei și a conturilor.

3.6. Date din formularul de contact și asistență

Numele, emailul, telefonul, firma și conținutul mesajului. Temei: interes legitim în a răspunde solicitărilor; executarea contractului pentru clienți.

3.7. Notificări pe telefon

Dacă folosești aplicația mobilă și accepți notificările, stocăm un identificator de dispozitiv. Temei: consimțământ, retractabil oricând din setările telefonului sau ale contului.

Nu colectăm date din categorii speciale (sănătate, convingeri, apartenență sindicală etc.) și nu ne adresăm minorilor.

4. Cât timp păstrăm datele

Datele necesare apărării unui drept în justiție pot fi păstrate până la soluționarea definitivă a litigiului.

5. Cine mai are acces la date

Nu vindem, nu închiriem și nu punem la dispoziția terților datele tale în scopuri comerciale. Colaborăm însă cu furnizori care ne ajută să livrăm serviciul:

Serviciile ANAF nu sunt furnizori ai noștri: sunt sursa oficială a documentelor, iar interacțiunea cu ele se face în numele tău, pe baza autorizării pe care o acorzi.

Mai putem divulga date către autorități, atunci când legea ne obligă, și către consultanți profesionali (contabil, avocat, auditor) ținuți de obligația de confidențialitate.

Lista furnizorilor se poate modifica; anunțăm schimbările cu cel puțin 30 de zile înainte, iar clienții pot obiecta motivat.

6. Date primite prin API-urile Google

Această secțiune se aplică numai dacă alegi să îți conectezi contul de Google Drive, din pagina Integrări. Integrarea este opțională: fără ea, aispv.ro funcționează normal și nu are nicio legătură cu contul tău Google.

Ce permisiuni cerem. Cerem două lucruri, ambele minime pentru ce facem:

Ce nu putem face. Permisiunea drive.file ne dă acces exclusiv la fișierele și folderele create de aispv.ro. Nu putem citi, modifica, descărca sau șterge celelalte fișiere din Drive-ul tău — nu avem tehnic această posibilitate, indiferent de ce am dori.

Ce urcăm. Doar documentele din arhiva ta: XML-ul original al facturii, exact cum a fost emis prin SPV, și PDF-ul generat din el. Nu urcăm date de facturare, date despre utilizatori și nici informații despre contul tău aispv.ro.

Ce facem cu datele Google. Adresa de email a contului conectat și tokenurile de acces sunt păstrate criptat, folosite exclusiv pentru sincronizare și șterse în momentul în care deconectezi integrarea. Nu le folosim pentru publicitate, nu construim profiluri și nu le vindem, nu le închiriem și nu le transferăm nimănui.

Utilizare limitată. Folosirea și transferul de către aispv.ro a informațiilor primite prin API-urile Google respectă Google API Services User Data Policy, inclusiv cerințele de Limited Use.

(In English, as required by Google: aispv.ro's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.)

Cum retragi accesul. Din pagina Integrări, cu un clic pe Deconectează, sau oricând din permisiunile contului tău Google. Fișierele copiate deja în Drive rămân ale tale — nu le atingem.

Aceleași reguli se aplică, în esență, și integrărilor cu Dropbox și Microsoft OneDrive.

7. Unde sunt stocate datele

Datele sunt găzduite pe servere din România. Acolo unde un furnizor prelucrează date în afara Spațiului Economic European, transferul are loc numai în baza unei decizii de adecvare a Comisiei Europene sau a clauzelor contractuale standard.

8. Cum protejăm datele

• Criptare în tranzit — tot traficul folosește HTTPS/TLS.
• Criptare în repaus pentru datele sensibile, inclusiv tokenurile de acces ANAF.
• Parole stocate cu funcții de hash ireversibile, niciodată în clar.
• Autentificare în doi pași disponibilă gratuit.
• Separare logică a datelor între clienți, cu verificări de apartenență la fiecare cerere.
• Control al accesului pe roluri, atât pentru clienți, cât și intern.
• Jurnalizarea operațiunilor administrative.
• Copii de siguranță periodice.
• Limitarea încercărilor de autentificare și blocarea adreselor abuzive.

Niciun sistem nu este absolut sigur, dar tratăm securitatea ca pe o obligație permanentă, nu ca pe o etapă încheiată.

9. Incidente de securitate

Dacă are loc o încălcare a securității care îți afectează datele, te informăm fără întârziere nejustificată, în cel mult 48 de ore de la momentul în care luăm cunoștință, și notificăm Autoritatea Națională de Supraveghere (ANSPDCP) în termenul legal de 72 de ore, atunci când este cazul.

10. Drepturile tale

Ai următoarele drepturi, pe care le poți exercita gratuit:

• Acces — să afli ce date deținem despre tine și să primești o copie.
• Rectificare — să corectezi datele inexacte sau incomplete.
• Ștergere — să ceri ștergerea datelor, în limitele obligațiilor noastre legale de păstrare.
• Restricționare — să ceri limitarea prelucrării în anumite situații.
• Portabilitate — să primești datele într-un format structurat, uzual și citibil automat. Documentele arhivate pot fi exportate oricând, direct din platformă, în format XML și PDF.
• Opoziție — să te opui prelucrărilor bazate pe interesul nostru legitim.
• Retragerea consimțământului — acolo unde prelucrarea se bazează pe consimțământ, fără a afecta legalitatea prelucrării anterioare.
• Să nu faci obiectul unei decizii automate cu efecte semnificative. Nu luăm astfel de decizii; verificările automate ale facturilor au caracter informativ și nu produc efecte juridice asupra persoanelor.

Cum le exerciți: scrie la [email protected]. Răspundem în cel mult 30 de zile; termenul poate fi prelungit cu două luni pentru cereri complexe, situație în care te anunțăm. Pentru a preveni divulgarea către persoane neîndreptățite, putem cere confirmarea identității.

Dreptul de a depune plângere: te poți adresa Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal — B-dul G-ral. Gheorghe Magheru nr. 28-30, București, dataprotection.ro — sau instanțelor de judecată.

Dacă ești o persoană ale cărei date apar într-o factură arhivată de un client de-al nostru, cererea ta trebuie adresată în primul rând acelui client, care are calitatea de operator. Dacă ne scrii nouă, îți indicăm operatorul și îl sprijinim să îți răspundă.

11. Cookie-uri

Folosim un număr minim de cookie-uri, descrise în Politica de cookie-uri, disponibilă la aispv.ro/politica-cookies.

Pe scurt: folosim doar cookie-uri strict necesare (sesiune și protecție împotriva atacurilor CSRF). Nu folosim cookie-uri de publicitate și nu urmărim comportamentul în afara platformei.

12. Comunicări comerciale

Îți transmitem emailuri legate de serviciu (confirmări, notificări de expirare, facturi) în baza contractului — acestea nu pot fi dezactivate atât timp cât ai cont activ.

Emailurile de marketing, dacă vor exista, se trimit doar cu consimțământul tău și conțin întotdeauna o opțiune de dezabonare.

13. Modificări ale acestei politici

Putem actualiza politica pentru a reflecta schimbări legislative sau ale serviciului. Modificările substanțiale se anunță prin email și în platformă, cu cel puțin 30 de zile înainte. Versiunea în vigoare este întotdeauna cea publicată aici, cu data actualizării în antet.

Ai o întrebare despre datele tale? Scrie-ne la [email protected] — răspundem în maximum 24 de ore lucrătoare.