Politica de confidențialitate
Ultima actualizare: 16 octombrie 2026
Această politică explică modul în care [DENUMIRE FIRMĂ / COMPANY NAME] („noi”) prelucrează datele cu caracter personal în GrantFlow, un serviciu pentru gestionarea granturilor finanțate de UE (pontaje, bugete, raportare și evidențe pentru audit).
1. Cine suntem și cele două roluri ale noastre
[DENUMIRE FIRMĂ / COMPANY NAME], [SEDIU SOCIAL / REGISTERED ADDRESS], nr. de ordine în Registrul Comerțului [NR. REGISTRUL COMERȚULUI / TRADE REGISTER NO.], CUI [CUI / VAT ID]. Contact pentru protecția datelor: [E-MAIL DE CONTACT / CONTACT E-MAIL].
Avem două roluri diferite potrivit GDPR:
- Persoană împuternicită pentru datele pe care clienții noștri le introduc în GrantFlow: organizațiile care folosesc GrantFlow (universități, centre de cercetare, firme) decid de ce și cum se prelucrează datele angajaților lor. Ele sunt operatorii. Noi prelucrăm aceste date numai la instrucțiunile lor, pe baza unui Acord de prelucrare a datelor (DPA). Dacă ești angajatul unui client, primul tău contact pentru întrebări despre datele tale este angajatorul.
- Operator pentru puținele date pe care le colectăm în nume propriu: cererile trimise prin site, datele de contact ale persoanelor care administrează conturile clienților, datele de facturare și jurnalele de securitate ale serviciului nostru.
2. Datele pe care le prelucrăm pentru clienți (ca persoană împuternicită)
În funcție de modul în care clientul folosește GrantFlow, serviciul conține:
- Identitate și rol: nume, adresă de e-mail de serviciu, rol, supervizor, cod HR, organizație.
- Date despre angajare: perioada contractului de muncă, norma (FTE) și orele pe zi; categoria de personal.
- Costuri de personal: costurile anuale de personal și contribuțiile, precum și tariful zilnic calculat din acestea.
- Absențe: perioadele de concediu și tipul lor. Un tip precum „concediu medical” poate dezvălui informații despre sănătate; clienții pot înregistra în schimb o „absență” neutră.
- Pontaje: orele pe zile și activități, semnăturile (nume, oră, amprenta documentului), corecturile și motivele lor.
- Cheltuieli și documente: bonuri, facturi și documente de proiect, care pot conține numele unor călători, furnizori sau semnatari.
- Informații de proiect: responsabili de riscuri, autori de publicații, evenimente importate dintr-un fișier de calendar și mesajele commit-urilor, dacă se folosește integrarea cu GitHub.
- Pista de audit: cine ce a făcut și când, cu adresa IP și browserul persoanei, pentru fiecare modificare și descărcare.
Clientul răspunde de existența unui temei legal pentru această prelucrare (de regulă contractul de muncă, obligațiile legale și obligațiile din acordul de grant UE) și de informarea angajaților săi.
3. Datele pe care le prelucrăm în nume propriu (ca operator)
| Date | De ce | Temei legal (art. 6 GDPR) |
|---|---|---|
| Cereri de pilot și de contact: nume, e-mail, organizație, PIC, țară, acronimul proiectului, numărul grantului, bugetul | Pentru a răspunde cererii și a pregăti un pilot | Demersuri înainte de încheierea unui contract (b); interesul nostru legitim de a răspunde solicitărilor comerciale (f) |
| Adresa IP a celor care trimit formulare | Pentru a limita abuzurile (cel mult 5 cereri pe oră din aceeași rețea) | Interes legitim privind securitatea (f) |
| Datele de contact ale administratorilor clienților | Pentru furnizarea serviciului și asistență | Contract (b) |
| Datele de facturare ale organizațiilor client (datele cardului sunt prelucrate doar de Stripe) | Facturare și contabilitate | Contract (b) și obligație legală (c) |
| Jurnale tehnice și rapoarte de erori | Pentru ca serviciul să fie sigur și să funcționeze | Interes legitim (f) |
4. Unde sunt stocate datele și cine le primește
Baza de date și fișierele GrantFlow sunt găzduite în Uniunea Europeană (Irlanda). Bonurile sunt citite cu recunoaștere de text în propriul tău browser: imaginea nu este trimisă niciunui serviciu extern de inteligență artificială. Nu vindem date personale și nu le folosim pentru reclame.
Folosim următorii furnizori (subîmputerniciți). Unii sunt firme cu sediul în SUA; transferurile sunt acoperite de Cadrul UE–SUA privind protecția datelor și/sau de Clauzele contractuale standard ale Comisiei Europene.
| Furnizor | Serviciu | Locul datelor | Garanție pentru transfer |
|---|---|---|---|
| Supabase, Inc. | Baza de date, stocarea bonurilor și documentelor, autentificare | Irlanda (AWS eu-west-1) | Găzduire în UE; firmă din SUA: Cadrul UE–SUA privind protecția datelor și Clauze contractuale standard |
| Vercel Inc. | Găzduirea și livrarea aplicației | Servere de aplicație în Dublin, Irlanda; rețea de livrare a conținutului la nivel mondial | Cadrul UE–SUA privind protecția datelor și Clauze contractuale standard |
| Resend | Trimiterea e-mailurilor (remindere, alerte, resetare parolă) | SUA | Cadrul UE–SUA privind protecția datelor și/sau Clauze contractuale standard |
| Stripe Payments Europe, Ltd. | Plata abonamentelor (doar organizațiile client) | Irlanda (cu entități ale grupului în SUA) | Clauze contractuale standard |
| Functional Software, Inc. (Sentry) | Rapoarte de erori tehnice; datele personale sunt eliminate înainte de trimitere | SUA sau UE, după configurare | Cadrul UE–SUA privind protecția datelor și Clauze contractuale standard |
Cursurile valutare (Banca Centrală Europeană) și sărbătorile legale (Nager.Date) sunt preluate din servicii publice; acestora nu li se transmit date personale.
5. Cât timp păstrăm datele
- Datele clienților: pe durata contractului clientului, apoi sunt returnate (export) și șterse conform DPA. Regulile granturilor UE obligă beneficiarii să păstreze evidențele 5 ani după plata soldului (3 ani pentru granturile de până la 60.000 €); clienții pot păstra proiectele închise într-o arhivă doar pentru citire pe această perioadă.
- Când o persoană pleacă: clientul poate pseudonimiza profilul (numele și e-mailul sunt înlocuite). Pontajele semnate și pista de audit rămân neschimbate, deoarece obligația de păstrare din grantul UE o cere (art. 17 alin. (3) lit. b) GDPR).
- Cereri de pilot și de contact: cel mult 12 luni, dacă nu urmează un contract.
- Evidențe de facturare: cât timp cere legislația contabilă.
- Jurnale tehnice: cel mult 90 de zile, cu excepția pistei de audit a proiectelor clienților, care urmează regimul de păstrare al clientului.
6. Securitate
Conexiuni criptate, date găzduite în UE, acces în funcție de rol, autentificare în doi pași opțională, reguli în baza de date care fac imposibilă modificarea sau ștergerea evidențelor semnate și a pistei de audit, un jurnal de audit protejat împotriva falsificării (înlănțuit criptografic) și înregistrarea fiecărei descărcări. Lista completă este în Anexa 2 a DPA.
7. Drepturile tale
Ai dreptul de acces la date, de rectificare sau ștergere, de restricționare a prelucrării sau de opoziție, de a primi datele într-un format portabil și de a-ți retrage consimțământul acolo unde prelucrarea se bazează pe consimțământ.
- Date ținute pentru un client (de exemplu pontajele tale): adresează-te angajatorului sau organizației care te-a invitat. Dacă ne scrii nouă, transmitem cererea acelei organizații în cel mult 5 zile lucrătoare și o ajutăm să răspundă.
- Date pe care le ținem în nume propriu: scrie la [E-MAIL DE CONTACT / CONTACT E-MAIL]. Răspundem în cel mult o lună.
- În GrantFlow, administratorii pot exporta datele unei persoane (JSON) și pot pseudonimiza un profil. Pontajele semnate se corectează printr-o versiune nouă, nu se suprascriu.
Poți depune și o plângere la autoritatea de protecție a datelor. În România: Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), www.dataprotection.ro.
9. Verificări automate și inteligență artificială
GrantFlow verifică datele introduse față de regulile granturilor UE (de exemplu limita anuală de 215 zile) și calculează un „scorecard” al proiectului. Acestea sunt ajutoare pentru oameni: nu iau decizii cu efecte juridice asupra nimănui. Asistentul AI opțional răspunde la întrebări pe baza datelor proiectului și rulează pe un model ales de client; datele tale nu sunt folosite pentru antrenarea modelelor.
10. Modificări și contact
Orice modificare a acestei politici va fi publicată pe această pagină, iar administratorii clienților vor fi anunțați din timp despre modificările importante.
Întrebări: [E-MAIL DE CONTACT / CONTACT E-MAIL] · [DENUMIRE FIRMĂ / COMPANY NAME], [SEDIU SOCIAL / REGISTERED ADDRESS].