Politica de confidențialitate

1. Operatorul de date

FUN MANAGEMENT SRL, cu sediul social în str.D.D. Roșca nr.12, Cluj-Napoca, județul Cluj, înregistrată la Registrul Comerțului sub nr. J12/1859/2008, cod unic de identificare RO 23772000, este operatorul datelor cu caracter personal colectate prin intermediul platformei Invobridge (denumită în continuare „Platforma”).

Pentru orice solicitări sau întrebări privind prelucrarea datelor cu caracter personal, ne puteți contacta la adresa de e-mail:support@invobridge.eu.

2. Categorii de date cu caracter personal prelucrate

În cadrul furnizării Serviciului, prelucrăm următoarele categorii de date cu caracter personal:

• Date de autentificare: adresa de e-mail, numele complet (dacă este furnizat prin Google OAuth), metoda de autentificare utilizată.
• Date despre companie: denumirea firmei, codul unic de identificare (CUI), codul de TVA, adresa sediului social, numărul de înregistrare la Registrul Comerțului.
• Date de integrare: chei API Stripe (criptate cu AES-256-GCM), token-uri de acces ANAF OAuth (criptate cu AES-256-GCM), identificatorul contului Stripe conectat.
• Date tranzacționale: metadatele facturilor procesate (număr factură, sumă, monedă, CUI client, dată emitere), starea transmiterii către ANAF, index-ul de încărcare ANAF.
• Date tehnice: adresa IP, tipul de browser, jurnalele de activitate în Platformă, marcaje temporale ale acțiunilor.
• Date din rapoartele importate: dacă încărcați în Platformă un raport de rezervări exportat din Airbnb, din Booking.com sau din alt software de gestiune a rezervărilor, citim din el numele oaspetelui, țara oaspetelui (când platforma o exportă), denumirea proprietății, data de check-in, data de check-out, numărul de nopți, sumele, platforma prin care a fost făcută rezervarea și codul de confirmare al rezervării. Fișierul original se păstrează exact așa cum l-ați încărcat, într-un spațiu de stocare privat, la care nu are acces decât Platforma. Din el rezultă rezervările stocate în Platformă și facturile generate pe baza lor. Acestea sunt date cu caracter personal ale oaspeților dumneavoastră, nu ale dumneavoastră: pentru ele dumneavoastră sunteți operatorul, iar noi le prelucrăm doar în numele dumneavoastră, ca persoană împuternicită, la fel ca datele clienților preluate din contul Stripe conectat.
• Date completate de oaspete prin linkul de facturare: dacă trimiteți oaspetelui linkul generat pentru o factură, acesta își poate completa singur numele, adresa, țara, adresa de e-mail și, dacă factura este pentru o firmă, codul fiscal al firmei. Le folosim exclusiv pentru a completa factura respectivă și pentru a-i trimite factura în PDF la adresa indicată. Linkul este valabil 30 de zile, îl puteți anula oricând și devine inutilizabil după ce oaspetele l-a folosit o dată. Și aici dumneavoastră sunteți operatorul, iar noi prelucrăm datele doar în numele dumneavoastră. Pagina pe care o vede oaspetele nu încarcă instrumente de analiză și nu folosește cookie-uri în afara celor strict necesare afișării ei.
• Date din fișa de cazare: dacă încărcați pe o factură imaginea sau PDF-ul unei fișe de anunțare a sosirii și plecării, citim din ea doar numele, adresa și țara oaspetelui, adică exact câmpurile de care are nevoie factura. Nu citim și nu stocăm codul numeric personal, seria și numărul actului de identitate, data sau locul nașterii, chiar dacă apar în document. Fișierul încărcat este șters imediat după extragere.
• Date din modul Sandbox: dacă folosiți modul de test, facturile din contul dumneavoastră Stripe de test sunt preluate și stocate la fel ca cele reale, cu aceleași măsuri de securitate. Ele nu sunt transmise niciodată la ANAF. Datele de test provin din contul dumneavoastră Stripe și pot conține date reale dacă alegeți să le introduceți acolo.

3. Scopurile și temeiul legal al prelucrării

Prelucrăm datele dumneavoastră cu caracter personal în următoarele scopuri:

• Furnizarea Serviciului (temei: executarea contractului, art. 6 alin. 1 lit. b GDPR) - crearea și gestionarea contului, procesarea facturilor, generarea XML-urilor eFactura, transmiterea către ANAF, monitorizarea stării documentelor.
• Gestionarea plăților (temei: executarea contractului) - procesarea abonamentelor, emiterea facturilor pentru serviciile noastre, gestionarea ciclurilor de facturare.
• Obligații legale (temei: obligație legală, art. 6 alin. 1 lit. c GDPR) - păstrarea evidențelor contabile și fiscale conform legislației române, răspunsuri la solicitări ale autorităților competente.
• Îmbunătățirea Serviciului (temei: interes legitim, art. 6 alin. 1 lit. f GDPR) - analiza modului de utilizare a Platformei pentru identificarea și corectarea problemelor tehnice, îmbunătățirea funcționalităților.
• Publicitate și remarketing (temei: consimțământ, art. 6 alin. 1 lit. a GDPR) - măsurarea campaniilor Google Ads care duc la crearea unui cont și afișarea reclamelor noastre către persoane care au vizitat deja invobridge.eu sau app.invobridge.eu. Are loc numai dacă ați acceptat cookie-urile de marketing, iar acordul poate fi retras oricând.
• Comunicări legate de Serviciu (temei: executarea contractului / interes legitim) - notificări despre starea facturilor, alerte de eroare, informări privind modificarea termenilor sau a funcționalităților. Tot aici intră și cele două e-mailuri lunare pentru gazde: pe 1 ale lunii vă amintim că extrasele platformelor sunt disponibile, iar pe 8 că sejururile încă nefacturate au un termen de emitere apropiat. Le primiți doar dacă ați confirmat cel puțin un import și le puteți opri oricând din Configurări, secțiunea Notificări.

4. Destinatarii datelor

Datele dumneavoastră cu caracter personal pot fi transmise următoarelor categorii de destinatari:

• Supabase Inc. - furnizor de infrastructură (bază de date, autentificare, stocare). Datele sunt stocate pe servere situate în Uniunea Europeană.
• Stripe, Inc. - procesator de plăți pentru abonamentele la Serviciu. Prelucrarea datelor de către Stripe se realizează conform propriei politici de confidențialitate.
• ANAF (Agenția Națională de Administrare Fiscală) - destinatarul facturilor electronice transmise prin sistemul eFactura, conform obligațiilor legale ale utilizatorului.
• Inngest, Inc. - furnizor de servicii de procesare asincronă (job-uri de fundal).
• Resend (Plus Five Five, Inc.) - furnizor pentru transmiterea e-mailurilor tranzacționale (alerte privind starea facturilor, rezumatul zilnic, notificări despre conexiuni întrerupte). Primește adresa de e-mail a destinatarului și conținutul mesajului.
• Anthropic, PBC - furnizor al modelului de limbaj Claude, folosit într-un singur scop: recunoașterea coloanelor unui raport de rezervări încărcat de dumneavoastră, atunci când structura fișierului nu ne este cunoscută. În acest caz îi transmitem numele coloanelor și cel mult opt rânduri de exemplu din fișier, în care numele, adresele de e-mail și numerele de telefon sunt înlocuite cu asteriscuri înainte de transmitere. Datele sunt prelucrate numai pentru a răspunde acelei cereri și nu sunt folosite pentru antrenarea modelelor. Odată recunoscută, structura fișierului este reținută de Platformă, astfel încât următoarele încărcări cu aceleași coloane nu mai ajung la Anthropic.
• Hetzner Online GmbH - furnizor de hosting pentru aplicația web. Serverele sunt situate în Germania, în Uniunea Europeană.
• Functional Software, Inc. (Sentry) - furnizor pentru raportarea erorilor din aplicație. Când o pagină sau o operațiune eșuează, primește mesajul erorii, pagina pe care s-a produs și versiunea aplicației, ca să putem repara defectul. Adresa IP, cookie-urile și conținutul cererilor nu sunt atașate rapoartelor, iar înregistrarea sesiunilor este dezactivată. Temeiul prelucrării este interesul legitim de a menține Platforma în stare de funcționare, conform art. 6 alin. 1 lit. f GDPR.
• Google Ireland Limited - furnizor pentru măsurarea traficului (Google Analytics) și pentru publicitate (Google Ads), ambele prin Google Tag Manager. Primește date numai dacă v-ați exprimat acordul pentru categoria respectivă de cookie-uri: analiză pentru Google Analytics, marketing pentru Google Ads. Către Google Ads nu transmitem adresa de e-mail sau alte date de identificare ale contului, ci doar faptul că a fost creat un cont. Temeiul prelucrării este consimțământul, conform art. 6 alin. 1 lit. a GDPR, iar acesta poate fi retras oricând din Politica de cookies.
• Google Ireland Limited (YouTube) - găzduiește videoclipul de prezentare de pe pagina principală. Videoclipul nu este încărcat odată cu pagina: până când apăsați butonul de redare, nu se face nicio cerere către YouTube și adresa dumneavoastră IP nu ajunge la Google. Redarea folosește domeniul youtube-nocookie.com. Temeiul prelucrării este consimțământul, conform art. 6 alin. 1 lit. a GDPR, exprimat prin însăși acțiunea de a porni videoclipul.
• Crisp IM SAS (Franța) - furnizorul chatului de asistență de pe invobridge.eu și din aplicație. Chatul se încarcă odată cu pagina, așa că Crisp primește adresa IP și date tehnice despre browser la fiecare vizită. Dacă nu începeți o conversație, Crisp șterge datele sesiunii după 30 de minute de inactivitate. Dacă ne scrieți, primește și mesajele, adresa de e-mail dacă o indicați, și păstrează adresa IP asociată conversației. Temeiul prelucrării este interesul legitim de a putea fi contactați și de a răspunde (art. 6 alin. 1 lit. f GDPR), iar pentru clienți, executarea contractului (art. 6 alin. 1 lit. b GDPR).

Airbnb și Booking.com nu sunt destinatari ai datelor. Platforma nu este conectată la ele și nu le transmite nimic: citește doar raportul pe care îl exportați și îl încărcați dumneavoastră.

Nu vindem, nu închiriem și nu transmitem datele dumneavoastră cu caracter personal către terți în scopuri de marketing.

5. Transferul datelor în afara UE/SEE

Aplicația și baza de date sunt găzduite pe servere din Uniunea Europeană. Unii dintre furnizorii noștri de servicii (Stripe, Inngest, Resend, Anthropic, Google, Sentry, Instantly, MillionVerifier) pot însă prelucra date în afara Spațiului Economic European, în principal în Statele Unite ale Americii. În aceste cazuri, transferul se realizează pe baza unor garanții adecvate, cum ar fi clauzele contractuale standard adoptate de Comisia Europeană sau certificarea sub EU-U.S. Data Privacy Framework, conform art. 46 și 49 GDPR.

6. Durata stocării datelor

Datele cu caracter personal sunt stocate pe durata necesară îndeplinirii scopurilor pentru care au fost colectate:

• Datele contului: pe toată durata existenței contului activ, plus 30 de zile de la închiderea contului (pentru a permite reactivarea).
• Datele tranzacționale (facturi procesate): conform obligațiilor legale de arhivare (10 ani pentru documentele contabile, conform legislației române).
• Cheile API și token-urile: pe durata conexiunii active cu Stripe / ANAF. Sunt șterse la deconectarea integrării sau la închiderea contului.
• Fișierele importate și rezervările citite din ele: pe toată durata existenței contului. Nu sunt șterse automat după o anumită perioadă, pentru că fișierul original este singura dovadă a ceea ce a stat la baza facturilor emise. Le ștergem la închiderea contului sau la cererea dumneavoastră. Un import neconfirmat poate fi șters oricând din Platformă: rezervările nefacturate din el dispar imediat, iar fișierul original rămâne stocat până la închiderea contului sau până când ne cereți ștergerea lui.
• Linkurile de facturare trimise oaspeților: linkul este valabil 30 de zile și devine inutilizabil după prima folosire. Datele completate de oaspete rămân pe factura respectivă și urmează termenul de arhivare de mai sus, pentru că fac parte din document. Adresa de e-mail la care a fost trimisă factura se păstrează alături de link, ca dovadă a trimiterii, și se șterge la închiderea contului.
• Jurnalele de activitate: 12 luni de la data înregistrării.
• Datele de analiză web (Google Analytics): 14 luni de la ultima interacțiune a vizitatorului, termenul reînnoindu-se la fiecare vizită nouă. Aceste date se colectează doar dacă ați acceptat cookie-urile de analiză. Rapoartele agregate, care nu conțin identificatori, nu sunt afectate de acest termen.
• Listele de remarketing (Google Ads): cel mult 180 de zile de la ultima vizită. Se completează doar dacă ați acceptat cookie-urile de marketing.

7. Securitatea datelor

Implementăm măsuri tehnice și organizatorice adecvate pentru protejarea datelor dumneavoastră cu caracter personal:

• Criptare AES-256-GCM pentru cheile API Stripe și token-urile ANAF OAuth.
• Comunicații criptate prin HTTPS/TLS pe toate conexiunile.
• Politici de acces la nivel de rând (Row Level Security) în baza de date, asigurând izolarea datelor între utilizatori.
• Autentificare securizată prin Google OAuth sau link de autentificare prin e-mail (fără parole stocate).
• Audituri regulate ale accesului la datele sensibile și jurnale de activitate.

8. Drepturile persoanelor vizate

Conform Regulamentului (UE) 2016/679, aveți următoarele drepturi în legătură cu datele dumneavoastră cu caracter personal:

• Dreptul de acces - puteți solicita confirmarea prelucrării datelor dumneavoastră și obținerea unei copii a acestora.
• Dreptul la rectificare - puteți solicita corectarea datelor inexacte sau completarea datelor incomplete.
• Dreptul la ștergere („dreptul de a fi uitat”) - puteți solicita ștergerea datelor, sub rezerva obligațiilor legale de păstrare.
• Dreptul la restricționarea prelucrării - puteți solicita limitarea prelucrării în anumite condiții prevăzute de GDPR.
• Dreptul la portabilitatea datelor - puteți solicita primirea datelor într-un format structurat, utilizat în mod curent și care poate fi citit automat.
• Dreptul la opoziție - vă puteți opune prelucrării bazate pe interesul nostru legitim.
• Dreptul de a depune o plângere - puteți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), cu sediul în B-dul G-ral Gheorghe Magheru nr. 28-30, sector 1, București, e-mail: anspdcp@dataprotection.ro.

Pentru exercitarea oricăruia dintre aceste drepturi, ne puteți contacta la adresa de e-mail: support@invobridge.eu. Vom răspunde solicitării dumneavoastră în termen de 30 de zile de la primire.

9. Firmele pe care le contactăm prin e-mail

Scriem prin e-mail unor firme care, după informațiile publice, au obligația de a trimite facturi în eFactura și ar putea folosi Serviciul. Această secțiune se adresează lor și persoanelor care citesc adresele lor de contact.

• Pe cine contactăm: numai persoane juridice (societăți, asociații). Nu scriem persoanelor fizice autorizate, întreprinderilor individuale sau familiale.
• De unde provin datele: pentru structurile de cazare, din Registrul structurilor de primire turistice publicat de Ministerul Turismului, completat cu datele de contact publicate de firmă pe propriul site, pe OpenStreetMap sau în profilul ei de pe Google Maps. Pentru firmele care încasează prin Stripe, din codul public al propriului site și din pagina lui de contact. Starea firmei (activă, radiată, inactivă fiscal) o verificăm în datele publice ONRC și ANAF, după codul fiscal.
• Ce date folosim: denumirea firmei, codul fiscal, adresa de e-mail și telefonul publicate de firmă, site-ul ei, iar pentru structurile de cazare denumirea, tipul, județul și localitatea unităților din registru.
• Temeiul: interesul nostru legitim de a prezenta Serviciul firmelor cărora le poate fi util (art. 6 alin. 1 lit. f GDPR). Vă puteți opune oricând, fără nicio justificare.
• Cât vă scriem: cel mult trei e-mailuri, în câteva zile lucrătoare. Ne oprim la primul răspuns. Nu urmărim dacă e-mailurile sunt deschise sau dacă linkurile sunt accesate.
• Cum ne opriți: răspundeți la oricare dintre e-mailuri cu „nu, mulțumesc” sau scrieți-ne la support@invobridge.eu. Trecem adresa pe o listă de excludere și nu vă mai scriem. Adresa rămâne pe listă tocmai pentru ca excluderea să funcționeze și la o viitoare actualizare a surselor publice.
• Cine primește datele: Instantly (Instantly.ai, Statele Unite), platforma din care sunt trimise e-mailurile, care primește adresa de e-mail, denumirea firmei și datele de mai sus folosite în mesaj; Google Ireland Limited, care găzduiește căsuța de e-mail de pe domeniul tryinvobridge.com din care vă scriem; MillionVerifier, care verifică dacă o adresă poate primi e-mail, fără să trimită vreun mesaj.
• Cât păstrăm datele: cât timp firma poate deveni client, dar cel mult 24 de luni de la ultimul e-mail trimis, dacă nu ne-ați răspuns. La cererea dumneavoastră le ștergem imediat, cu excepția adresei de pe lista de excludere.

10. Servicii terțe și linkuri externe

Platforma poate conține linkuri către site-uri web sau servicii terțe (de exemplu, Stripe, ANAF). Nu suntem responsabili pentru practicile de confidențialitate ale acestor terți. Vă recomandăm să consultați politicile de confidențialitate ale fiecărui serviciu terț pe care îl utilizați.

11. Prelucrarea datelor minorilor

Platforma nu este destinată persoanelor cu vârsta sub 18 ani. Nu colectăm cu bună știință date cu caracter personal de la minori. Dacă descoperiți că un minor ne-a furnizat date cu caracter personal, vă rugăm să ne contactați pentru ștergerea acestora.

12. Modificarea politicii de confidențialitate

Ne rezervăm dreptul de a modifica prezenta Politică de Confidențialitate în orice moment. Modificările vor fi publicate pe această pagină, iar data ultimei actualizări va fi modificată corespunzător. Pentru modificările substanțiale, utilizatorii vor fi notificați prin e-mail cu cel puțin 15 zile înainte de intrarea în vigoare a noilor prevederi.

13. Contact

Pentru orice întrebări sau solicitări privind prelucrarea datelor cu caracter personal, ne puteți contacta la:

FUN MANAGEMENT SRL
E-mail: support@invobridge.eu
Adresă: Cluj-Napoca, județul Cluj, România