Politica de confidențialitate

2. Rolurile Fluxe și ale Clientului

Pentru datele reprezentantului, contului, abonamentului, plății, suportului, securității și marketingului solicitat, Fluxe stabilește scopurile și este operator. Pentru datele personale pe care Clientul le introduce în facturi, documente, fișiere, contacte sau integrări, Clientul este operator sau, după caz, împuternicit autorizat al unui alt operator. Fluxe acționează ca persoană împuternicită ori subîmputernicit, exclusiv pentru furnizarea funcțiilor și pe instrucțiunile legale ale Clientului.

Clauzele de prelucrare conform art. 28 GDPR sunt incluse în Acordul de prelucrare a datelor (DPA), care completează Termenii. Clientul se asigură, potrivit rolului său, că există un temei legal, informările necesare și autorizarea prelucrării datelor despre angajați, clienți, furnizori și alte persoane încărcate în platformă.

Temeiul juridic și responsabilitățile părților: Clientul care este operator asigură un temei valabil conform art. 6 GDPR și informarea din art. 13 și 14; Clientul care este împuternicit acționează pe instrucțiunile operatorului și asigură autorizarea Fluxe ca subîmputernicit. Clientul răspunde pentru încălcările cauzate de instrucțiunile sau conținutul său ilegal. Fluxe răspunde separat pentru obligațiile care îi revin ca operator ori persoană împuternicită și pentru prelucrările realizate în afara sau împotriva instrucțiunilor legale.

3. Categorii de date și surse

• identificare și contact: nume, email, telefon, funcție, companie, CUI, adresă și date de reprezentare;
• cont și securitate: autentificare, roluri, preferințe, IP, browser, dispozitiv, sesiuni, jurnale și evenimente de audit;
• contract și plată: abonament, perioadă, acceptări juridice, facturi, stare și identificatori Stripe; Fluxe nu stochează în mod obișnuit datele complete ale cardului;
• conținut profesional: facturi, documente, contacte, fișiere, semnături, mesaje, IBAN-uri, tranzacții, date bancare, fiscale și metadate; acestea pot include date ale unor persoane care nu au relație directă cu Fluxe;
• date care pot apărea în documente administrative: CNP sau serie și număr de act, salarizare, pontaj, delegații, trasee și vehicule, funcție, semnătură și alte informații introduse legal de Client; categoriile speciale nu trebuie încărcate decât dacă sunt necesare și există un temei adecvat;
• suport și comunicare: cereri, atașamente, răspunsuri, preferințe de notificare și feedback;
• date provenite de la Client, utilizatorii săi, sisteme publice, ANAF/SPV, furnizori de plată, servicii email și integrările autorizate de Client.

4. Scopuri și temeiuri

5. Caracter obligatoriu și consecințe

Datele marcate obligatorii sunt necesare pentru cont, identificarea Clientului, securitate, facturare sau obligații legale. Fără ele nu putem încheia ori executa contractul. Clientul poate utiliza celelalte module fără să încarce un document în fluxul OCR; însă, după încărcarea sau scanarea într-un flux configurat pentru analiză, OCR-ul, clasificarea și furnizorul AI configurat pot fi necesare pentru procesarea solicitată. Integrările opționale pot fi evitate fără a afecta funcțiile care nu depind de ele.

6. Destinatari și subîmputerniciți

Datele sunt accesibile personalului autorizat și furnizorilor care au nevoie de ele pentru serviciu, în baza obligațiilor de confidențialitate și protecție. Autoritățile, instanțele, consultanții și auditorii primesc date numai dacă există un temei sau este necesar pentru apărarea drepturilor.

Infrastructura proprie este operată de aceeași entitate juridică Fluxe și nu reprezintă un subîmputernicit separat:

• Găzduire, baze de date și copii de siguranță — CITYVIBES S.R.L.; Europa. Operarea siteului, a serverelor, bazelor de date și copiilor de siguranță de către Fluxe.
• Emailurile platformei și suport — CITYVIBES S.R.L.; Europa. Administrarea și livrarea emailurilor platformei de către Fluxe.

Acordul de prelucrare a datelor (DPA) — versiunea 2026-10-15-r2. Registrul detaliază scopul, datele, persoanele vizate, locațiile și garanțiile fiecărui serviciu extern. Lista subîmputerniciților

Lista reflectă furnizorii configurați în această instalare. Schimbările materiale care afectează datele prelucrate în numele Clientului vor fi comunicate prin platformă sau email, astfel încât Clientul să poată formula o obiecție justificată.

ANAF, SPV, sistemele RO e-Factura și e-Transport, băncile, registrele publice și aplicațiile în care Clientul exportă date pot primi informații numai prin integrarea ori acțiunea autorizată. Acești destinatari pot acționa ca operatori independenți potrivit propriilor obligații legale; recipisa, extrasul și evidența lor oficială prevalează asupra copiei locale.

7. Analiză AI și verificare umană

Analiza documentelor și Asistentul AI pot folosi furnizori diferiți, identificați separat în registrul subîmputerniciților. În funcția activată se transmit numai fișierul ori textul selectat, instrucțiunea și contextul necesare procesării. Conversația poate fi transmisă furnizorului Asistentului AI numai când acel serviciu este activ. Extragerea, clasificarea și verificările efectuate local nu transmit conținutul unui furnizor AI extern. Fluxe verifică firma și drepturile de acces, iar emiterea, modificarea ori transmiterea unui document rămâne supusă autorizării și confirmărilor funcției respective.

Logica generală folosește conținutul documentului, tipare de document, câmpuri extrase și scoruri de încredere. Pentru reconciliere sunt comparate indicii precum suma exactă, data, referința și contrapartida. Rezultatul clasifică sau propune câmpuri și potriviri, poate semnala necesitatea revizuirii și poate fi corectat ori respins de utilizator.

Rezultatele OCR și AI au caracter de propunere. Fluxe nu ia decizii cu efect juridic ori similar exclusiv automat și nu transmite rezultatul către autorități fără o acțiune sau automatizare configurată explicit de Client. Utilizatorul trebuie să compare rezultatul cu sursa înainte de aprobare, emitere, înregistrare, reconciliere, export ori raportare.

Funcțiile nu sunt destinate evaluării persoanelor, recrutării, creditării, stabilirii drepturilor ori altor utilizări cu risc ridicat. Clientul nu trebuie să reutilizeze rezultatele într-un asemenea scop fără o analiză juridică și tehnică separată. Fluxe și Clientul asigură, pentru persoanele care operează funcțiile în numele lor, un nivel adecvat de alfabetizare în domeniul AI, instrucțiuni și supraveghere umană proporționale cu rolul și riscul.

Condiții pentru furnizorul AI: utilizarea pentru antrenare, păstrarea și ștergerea depind de serviciul API contractat și de opțiunile contului Fluxe. Termenii serviciilor destinate companiilor nu se confundă cu termenii aplicațiilor de chat pentru consumatori. Fluxe nu declară retenție zero sau prelucrare exclusiv europeană pentru un furnizor extern fără confirmarea acestor opțiuni pentru serviciul utilizat. Registrul include trimiteri la DPA, politica de confidențialitate și lista subîmputerniciților furnizorului, unde sunt disponibile.

Evaluarea de impact și programul de alfabetizare AI trebuie documentate și revizuite înainte de lansarea comercială și după orice schimbare materială.

8. Transferuri internaționale

Unii furnizori pot prelucra date în afara Spațiului Economic European. În aceste cazuri folosim, după caz, o decizie de adecvare, clauzele contractuale standard ale Comisiei Europene, măsuri suplimentare și evaluarea transferului.

Mecanismul concret și regiunile furnizorilor trebuie documentate în registrul intern și în contractele de prelucrare înainte de lansare.

9. Perioade de păstrare

• datele contului și conținutul profesional care nu constituie evidență supusă păstrării legale: pe durata contului, apoi sunt șterse la instrucțiunea Clientului, sub rezerva copiilor tehnice și a unui legal hold;
• registrele de contabilitate obligatorii, documentele justificative și legăturile de reconciliere necesare trasabilității: termenul general de păstrare de 5 ani, calculat de la 1 iulie a anului următor celui în care a fost încheiat exercițiul financiar în care au fost întocmite, dacă un termen special nu impune mai mult;
• documentele pentru care o reglementare specială impune o perioadă mai lungă, inclusiv documentele care atestă proveniența unor bunuri cu durată de viață mai mare de 5 ani: pe termenul special aplicabil;
• după solicitarea de ștergere a unui cont, evidențele aflate încă în termen sunt izolate sub un cont anonimizat; la expirarea ultimei perioade și în lipsa unui legal hold, legăturile de reconciliere și contul tehnic rezidual sunt eliminate; Clientul trebuie să exporte anterior documentele pe care are obligația proprie să le păstreze;
• conturile create exclusiv pentru un checkout abandonat, fără plată și activare: până la 30 zile de la abandon, apoi sunt eliminate dacă nu există alt temei de păstrare;
• acceptarea documentelor juridice și dovada unei comenzi de checkout abandonate, fără contract activat: până la 90 zile de la abandon, pentru securitate, soluționarea disputelor și dovedirea solicitării;
• backupuri tehnice: până la 7 zile după ștergerea din sistemul activ, dacă nu sunt suprascrise mai devreme;
• acceptări, confirmări de contract, plăți și probe necesare apărării drepturilor: pe durata contractului și până la 5 ani de la încetare, ori termenul legal mai lung aplicabil; un legal hold suspendă ștergerea pe durata litigiului sau investigației;
• facturile emise de Furnizor către Client și evidențele proprii impuse Furnizorului de lege: pe perioada fiscală și contabilă aplicabilă;
• loguri de securitate și audit operațional: în mod obișnuit până la 365 zile, cu păstrare mai lungă pentru incidente active;
• cereri GDPR și reclamații: cât este necesar soluționării și dovedirii răspunsului, conform termenelor de prescripție.

La expirarea termenului, datele sunt șterse, anonimizate sau agregate ireversibil. O solicitare de ștergere nu poate elimina evidențe pe care legea ne obligă să le păstrăm ori care sunt strict necesare apărării unui drept.

10. Securitate și incidente

Aplicăm control de acces pe roluri și companie, autentificare, jurnalizare, protecția secretelor și certificatelor, validarea fișierelor, copii de siguranță și criptare pentru datele sensibile unde este adecvat. Accesul este limitat la persoane autorizate, iar măsurile sunt revizuite în funcție de risc.

Nicio soluție nu elimină complet riscul. Investigăm incidentele, limităm efectele și notificăm Clientul și/sau autoritatea competentă atunci când GDPR impune acest lucru. Clientul trebuie să anunțe imediat compromiterea contului ori a dispozitivelor sale.

11. Drepturile persoanelor vizate

În condițiile GDPR, persoana vizată poate cere acces, rectificare, ștergere, restricționare, portabilitate și se poate opune prelucrării bazate pe interes legitim. Consimțământul poate fi retras pentru viitor. Cererea poate necesita verificarea identității și primește răspuns, de regulă, în cel mult o lună; termenul poate fi prelungit cu cel mult două luni pentru cereri complexe sau numeroase, cu informare și motivare în prima lună. Cererile sunt gratuite, cu excepțiile limitate prevăzute de GDPR pentru cereri vădit nefondate ori excesive.

Pentru datele introduse de un Client în documentele sale, cererea poate fi adresată Clientului, care este operator, sau transmisă la contactul Fluxe. Fluxe o direcționează către Client și îl asistă, fără a decide în locul său asupra datelor prelucrate numai pe instrucțiunile lui. Persoana poate depune plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, prin www.dataprotection.ro sau la autoritatea competentă din statul său.

13. Date despre terți — informarea conform art. 14 GDPR

Fluxe poate primi indirect date despre clienții, furnizorii, angajații sau reprezentanții Clientului din documente și integrări. Categoriile, scopurile, destinatarii și retenția sunt cele descrise mai sus. Când Fluxe este persoană împuternicită, Clientul este responsabil de informare; când Fluxe devine operator pentru un scop propriu, va furniza informarea cerută de art. 14, exceptând situațiile în care legea permite o derogare.

Clientul răspunde pentru temeiul, informarea și minimizarea datelor terților introduse la instrucțiunea sa. Fluxe răspunde pentru securitatea, confidențialitatea și celelalte obligații proprii de persoană împuternicită; răspunderea fiecărei părți se stabilește după contribuția sa la eveniment și după normele obligatorii aplicabile.

14. Minori, modificări și contact

Serviciul B2B nu este destinat minorilor și nu solicităm intenționat conturi ale acestora. Modificările materiale ale politicii primesc versiune și dată noi și sunt comunicate prin platformă sau email când afectează în mod relevant prelucrarea.

Pentru întrebări, exercitarea drepturilor sau o sesizare de securitate: contact@fluxe.ro.

15. Cadrul juridic al prelucrării și actele normative

Politica de confidențialitate este fundamentată pe dispozițiile imperative ale legislației naționale și europene în vigoare, după cum urmează:

• Regulamentul (UE) 2016/679 (GDPR): Art. 5 (Principiile prelucrării), Art. 6 (Temeiurile de legalitate: contract, obligație legală, interes legitim, consimțământ), Art. 13 și 14 (Informarea persoanelor vizate), Art. 28 (Obligațiile și protecția Operatorului și a Persoanei împuternicite) și Art. 32 (Securitatea prelucrării);
• Legea nr. 190/2018: privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 (inclusiv dispozițiile privind prelucrarea în contextul relațiilor de muncă și al contactelor profesionale B2B);
• Legea nr. 506/2004: Art. 4 alin. (5) privind protecția vieții private în sectorul comunicațiilor electronice (regimul excepției de consimțământ pentru cookie-urile strict necesare și stocarea tehnică din browser);
• Regulamentul (UE) 2024/1689 (AI Act): Art. 4 privind alfabetizarea în domeniul AI și celelalte obligații aplicabile sistemelor de inteligență artificială folosite în platformă; politica Fluxe privind utilizarea datelor de către furnizorii AI se bazează pe contractele, configurația și garanțiile tehnice descrise mai sus, nu pe o interdicție generală atribuită acestui articol;
• Legea nr. 214/2024 și Regulamentul (UE) nr. 910/2014 (eIDAS): privind prelucrarea datelor cu caracter personal în contextul semnăturilor electronice, certificatelor digitale și al mărcilor temporale;
• Legea contabilității nr. 82/1991, Ordinul MFP nr. 2.634/2015 și Codul Fiscal (Legea nr. 227/2015): privind termenul general de păstrare de 5 ani și termenele speciale aplicabile anumitor documente justificative.

Textul oficial al actelor normative și obligația legală specială în vigoare prevalează asupra oricărei interpretări sau sinteze.