Politica de confidențialitate¶
Versiunea 1.0 · în vigoare de la 15 august 2026 · AITY CLOUD SRL
English version · Descarcă PDF
Prezenta politică descrie modul în care AITY CLOUD SRL, societate română cu răspundere limitată, cu sediul social în SĂCEL nr. 1003, Sat Săcel, Com. Săcel, MARAMUREȘ, cod 437290, România, CUI 39458128 (RO39458128), înregistrată la Registrul Comerțului sub nr. J2018000824245, EUID ROONRC.J2018000824245, capital social subscris și vărsat 5.000 lei, adresă de corespondență Str. Heliade Între Vii nr. 35, cod 023382, Sector 2, București, România, telefon +40735850896 (luni-vineri, 09:00-18:00, ora României), e-mail office@aity.ro („aity”, „noi”), prelucrează date cu caracter personal în legătură cu site-urile, conturile, consolele și serviciile aity Platform și aity Cloud („Serviciile”), în conformitate cu Regulamentul (UE) 2016/679 („GDPR”) și cu Legea nr. 190/2018.
Contact pentru protecția datelor: office@aity.ro. aity nu a desemnat un responsabil cu protecția datelor; această adresă este punctul de contact al operatorului, nu un contact DPO. Versiunile în limba română și engleză sunt ambele oficiale; în caz de divergență, versiunea în limba română prevalează.
1. Găzduire suverană - angajamentul nostru¶
Conținutul Clientului stocat în repaus prin Servicii este păstrat în Spațiul Economic European, pe infrastructură operată de aity sau de parteneri de infrastructură din SEE obligați contractual să respecte cerințele aplicabile de securitate, confidențialitate și protecție a datelor. Lista curentă a subîmputerniciților aplicabili Conținutului Clientului este menținută în DPA.
Acest angajament nu înseamnă că mesajele nu sunt transmise destinatarilor aleși de Client, că exporturile nu sunt trimise la destinația aleasă de Client, că datele necesare contului, autentificării, plății, facturării, înregistrării domeniilor ori suportului nu sunt comunicate destinatarilor descriși mai jos sau că datele nu pot fi divulgate unei autorități competente atunci când legea impune aceasta. Inventarul furnizorilor, locațiilor, accesului de la distanță și fluxurilor a fost revizuit la 16 august 2026.
2. Rolurile noastre¶
- Operator: pentru înregistrare și autentificare, datele conturilor și organizațiilor, verificări fiscale și de risc, încheierea și dovedirea contractului, facturare și plată, măsurarea consumului, securitate, suport, reclamații, marketing și vizitarea site-urilor - situațiile descrise în această politică.
- Persoană împuternicită: pentru conținutul stocat sau transmis de clienți prin Servicii (mesaje, fișiere, date din instanțele cloud), pe care îl prelucrăm exclusiv conform instrucțiunilor clientului. Această prelucrare este guvernată de Acordul de prelucrare a datelor (DPA), care face parte din contractul cu clienții profesioniști. Dacă sunteți utilizator final al unui client aity (de exemplu, aveți o căsuță de e-mail administrată de angajatorul dumneavoastră), operatorul datelor dumneavoastră este acel client; adresați-i lui solicitările privind drepturile GDPR, iar noi îl vom sprijini conform DPA.
- Conținutul unui Consumator: când un Consumator folosește Serviciile exclusiv pentru activități personale sau domestice și nu este operator supus GDPR, aity este operator pentru prelucrarea tehnică necesară furnizării, securizării, recuperării și ștergerii acelui conținut. Nu îl folosim pentru publicitate ori profilare comercială.
3. Ce date prelucrăm, în ce scopuri și în ce temeiuri¶
| Categorie de date | Scop | Temei juridic (GDPR) |
|---|---|---|
| Date de cont și organizație: nume, e-mail personal și profesional, telefon, identificator, avatar, roluri, organizație, proiecte, preferințe; hash-ul parolei, dacă se folosește autentificare locală | Crearea și administrarea Contului, autentificare, autorizare și securitate | art. 6 alin. (1) lit. b) - contract; lit. f) - securitate |
| Date primite de la furnizorul de identitate ales (Google, Microsoft sau GitHub): identificator, nume, e-mail, avatar și informații tehnice de autentificare | Autentificare federată; furnizorul află că a fost inițiată conectarea la Servicii | art. 6 alin. (1) lit. b) |
| Date de onboarding și verificare: identitate, adresă, CUI, date din registrul ANAF, statut fiscal și indicatori precum activ/inactiv/radiat | Pregătirea contractului, verificarea eligibilității, prevenirea fraudei și evaluare umană de risc | art. 6 alin. (1) lit. b), c) și f) |
| Date contractuale și dovezi de acceptare: statut Consumator/profesionist, calitatea reprezentantului, versiuni, declarații, data și ora, IP, user-agent și dovada livrării e-mailului | Încheierea și dovedirea contractului, respectarea obligațiilor de informare și apărarea drepturilor | art. 6 alin. (1) lit. b), c) și f) |
| Date de facturare: identitate, adresă, CUI/VAT, registrul comerțului, e-mail, telefon, IBAN/bancă unde este cazul, facturi, consum și plăți | Facturare, contabilitate, RO e-Factura, calculul și încasarea tarifelor | art. 6 alin. (1) lit. b) și c) |
| Date de plată: nume titular, e-mail, IP, identificator Client, sumă, monedă, descriere, rezultat 3-D Secure și referința tokenului/mandatului recurent | Inițierea, confirmarea, reconcilierea, rambursarea și securizarea plăților prin PayU | art. 6 alin. (1) lit. b) și f); PayU își stabilește propriul rol pentru tranzacție. PAN-ul și CVC-ul sunt introduse în cadrul securizat PayU și nu sunt stocate de aity |
| Date pentru servicii opționale: date de contact și societate pentru înregistrarea domeniului; telefon și conținutul notificării SMS; token Cloudflare furnizat de Client, numele zonei și înregistrările DNS | Furnizarea funcției solicitate de Client prin registrar, Web2SMS ori importul DNS | art. 6 alin. (1) lit. b) |
| Date tehnice: IP, sesiune, cerere și cod de răspuns, user-agent, referer unde este transmis, evenimente de autentificare/securitate, identificatori de resurse, audit, consum, diagnostic și disponibilitate | Furnizarea și securizarea Serviciilor, prevenirea abuzului, diagnostic, contorizare și apărarea drepturilor | art. 6 alin. (1) lit. b) și f) |
| Corespondență, suport, reclamații, semnalări DSA și rapoarte de vulnerabilitate: date de contact, conținut și atașamente | Răspuns, remediere, obligații legale, securitate și apărarea drepturilor | art. 6 alin. (1) lit. b), c) și f) |
| Conținutul unui Consumator: mesaje, fișiere, contacte, calendare și date cloud alese de acesta | Furnizarea, securizarea, exportul și ștergerea Serviciilor pentru uz personal/domestic | art. 6 alin. (1) lit. b), c) și f), după scop |
| E-mail și preferințe de marketing | Comunicări comerciale proprii | art. 6 alin. (1) lit. a), revocabil oricând; pentru servicii proprii similare, numai în condițiile art. 12 alin. (2) din Legea nr. 506/2004, cu opoziție simplă și gratuită |
Interese legitime. Atunci când folosim art. 6 alin. (1) lit. f) GDPR, urmărim protejarea Serviciilor, rețelei, Clienților și terților împotriva accesului neautorizat, fraudei, abuzului și atacurilor; continuitatea, diagnosticarea și soluționarea incidentelor; gestionarea corespondenței și reclamațiilor; constatarea, exercitarea ori apărarea drepturilor; și dovedirea încheierii și conținutului contractului. Puteți solicita informații despre evaluarea comparativă și vă puteți opune conform secțiunii 8.
Caracterul furnizării. Câmpurile marcate obligatorii, datele de plată și facturare și dovezile contractuale sunt necesare pentru încheierea sau executarea contractului și pentru obligațiile legale. Fără ele nu putem crea Contul, furniza Serviciile, procesa Comanda ori emite factura. Datele opționale și marketingul pot fi refuzate fără afectarea celorlalte Servicii.
Date obținute indirect. Putem primi date de autentificare de la furnizorul ales; date fiscale din registrele ANAF; numele, adresa profesională, rolul și contactele de la Clientul care vă creează un cont ori vă desemnează persoană de contact; și date despre dumneavoastră dintr-o reclamație, semnalare sau corespondență. Sub rezerva art. 14 alin. (5) GDPR, informarea are loc într-un termen rezonabil, dar în cel mult o lună, la prima comunicare dacă aceasta intervine mai devreme sau, dacă este avută în vedere divulgarea, cel târziu la prima divulgare.
Nu solicităm și nu prelucrăm intenționat categorii speciale de date în activitățile noastre de operator descrise mai sus. Conținutul Clientului și corespondența necontrolată pot conține asemenea date; acestea sunt prelucrate numai în rolul și scopul aplicabil. Nu solicităm CNP în fluxul obișnuit. Dacă legea ori un serviciu opțional impune un număr național de identificare, furnizăm anterior scopul, temeiul, necesitatea, destinatarii, perioada și garanțiile cerute de Legea nr. 190/2018.
Nu luăm decizii bazate exclusiv pe prelucrare automată care produc efecte juridice sau afectează în mod similar semnificativ o persoană. Sistemele pot semnala spam, fraudă, statut fiscal ori abuz, dar orice restricționare materială, suspendare sau încetare implică analiză umană și poate fi contestată la office@aity.ro. PayU sau emitentul cardului poate efectua propriile verificări automate antifraudă și 3-D Secure, explicate de operatorul respectiv.
4. Destinatari și surse externe¶
Nu vindem și nu închiriem date cu caracter personal. Comunicăm numai datele necesare, după caz, către destinatarii de mai jos; entitatea contractuală și mecanismul aplicabil unui furnizor sunt cele indicate în interfața sa și în contractul curent cu aity.
| Destinatar/categorie | Date și scop | Rol GDPR | Locație și transfer |
|---|---|---|---|
| Furnizori de infrastructură și backup ai aity | Găzduire, redundanță și recuperare pentru Conținutul Clientului și date operaționale | Persoană împuternicită/subîmputernicită | SEE; lista curentă este în DPA |
| PayU | Datele de plată și tranzacție descrise mai sus; autorizare, antifraudă, plată, rambursare | Rolul funcțional indicat de PayU, inclusiv operator independent pentru propriile obligații de plată și conformitate | SEE; pentru accesul ulterior dintr-o țară terță se aplică adecvarea ori garanțiile art. 46 GDPR |
| SmartBill și ANAF/RO e-Factura | Date fiscale și facturi; emitere, transmitere și păstrare legală | SmartBill: persoană împuternicită pentru funcțiile furnizate; ANAF: autoritate/operator distinct | România/SEE; nu se aplică un transfer în țară terță |
| Google, Microsoft, GitHub | Cererea de autentificare și datele de identitate alese; furnizorul află că a fost inițiată conectarea la aity | Operator distinct potrivit serviciului de identitate | SEE și, după furnizor, țări adecvate ori garanții art. 46 GDPR |
| Google reCAPTCHA | IP, browser, dispozitiv și interacțiuni necesare protejării înregistrării împotriva abuzului | Operator/persoană împuternicită potrivit termenilor Google | SEE și posibile țări terțe pe baza adecvării ori art. 46 GDPR |
| Realtime Register sau registrarul indicat în Comandă | Date de registrant necesare serviciului opțional de înregistrare a domeniului | Operator distinct ori persoană împuternicită, după registru și scop | SEE; orice excepție este indicată înainte de Comandă |
| Web2SMS sau furnizorul de mesagerie indicat | Număr de telefon și textul notificării solicitate | Persoană împuternicită/operator distinct, după serviciu | SEE; orice transfer ulterior folosește mecanismul legal aplicabil |
| Cloudflare, numai la importul DNS inițiat de Client | Tokenul prezentat pentru sesiunea de import, zona și înregistrările DNS | Operator distinct pentru serviciul Cloudflare al Clientului | Conform contractului Clientului cu Cloudflare; adecvare ori art. 46 GDPR unde este cazul |
| Destinatarii mesajelor și furnizorii lor | Adresă, antete, corp și atașamente alese de expeditor | Operatori ori persoane împuternicite pentru destinatari | Locația aleasă prin adresa destinatarului; mecanismul capitolului V se analizează pentru fluxurile către țări terțe |
| Furnizori de alertare operațională | Metadate minimizate ale incidentelor și date de contact strict necesare alertării | Persoană împuternicită ori operator distinct, după serviciu | SEE sau, unde este cazul, adecvare/art. 46 GDPR |
| Consultanți juridici, contabili, auditori și asigurători | Datele necesare mandatului, auditului ori apărării drepturilor | Operatori distincți sau persoane împuternicite, după rol | De regulă SEE |
| Instanțe și autorități publice | Datele impuse prin lege, cerere obligatorie ori apărarea drepturilor | Autorități/operatori distincți | Potrivit competenței și legii aplicabile |
5. Transferuri în afara SEE¶
Atunci când aity transmite ori pune la dispoziție date unui operator sau unei persoane împuternicite distincte dintr-o țară terță, folosim o decizie de adecvare sau o garanție adecvată prevăzută la art. 46 GDPR, împreună cu evaluarea și măsurile suplimentare necesare. O copie ori o descriere a garanției poate fi solicitată la office@aity.ro. Transmiterea e-mailului către un destinatar ori furnizor dintr-o țară terță la instrucțiunea Clientului poate face din aity exportator în calitate de persoană împuternicită; instrucțiunea nu înlătură obligațiile capitolului V GDPR.
6. Durata păstrării¶
Păstrăm datele numai cât este necesar scopului, apoi le ștergem ori anonimizăm, cu excepția păstrării legale sau a izolării necesare unei investigații ori unui litigiu concret.
| Date | Durata standard |
|---|---|
| Date de cont, organizație și identitate federată | Pe durata contractului, apoi cel mult 3 ani; datele strict necesare unei obligații legale urmează termenul acesteia |
| Sesiune de onboarding incompletă | 30 de zile de la ultima activitate; datele necesare investigării unei plăți nereconciliate se păstrează până la soluționare și cel mult 3 ani |
| Dovezi contractuale, consimțăminte și acceptări | Pe durata contractului plus 3 ani; se păstrează identitatea, calitatea, versiunile, textele, data/ora, IP-ul, user-agentul și dovada confirmării |
| Referință de plată și mandat recurent | Cât timp mijlocul este activ și necesar contractului; se revocă/șterge în cel mult 30 de zile de la înlocuire ori încetare, cu păstrarea separată a evidenței tranzacțiilor conform termenului aplicabil |
| Documente contabile și facturi | 5 ani, calculați de la 1 iulie a anului următor exercițiului financiar, conform art. 25 din Legea nr. 82/1991; situațiile financiare anuale și documentele supuse unor regimuri speciale se păstrează pentru termenul legal specific |
| Date ANAF de răspuns | Cache-ul tehnic aproximativ 10 minute; indicatorul de risc folosit la onboarding, pe durata contractului plus 3 ani |
| Corespondență, suport și reclamații | Pe durata soluționării, apoi 3 ani; un dosar legat de un litigiu ori incident se păstrează până la finalizarea lui și expirarea termenului aplicabil |
| Trasee distribuite ale aplicațiilor | 14 zile |
| Jurnale ale aplicațiilor și workload-urilor | 31 de zile |
| Jurnale de infrastructură și acces în afara benzii | Până la 90 de zile, în funcție de sistem |
| Metrici operaționale | 60 de zile; etichetele cu date personale sunt minimizate |
| Date orare detaliate de consum aity Cloud | 120 de zile, fără a afecta factura și agregatele fiscale păstrate pentru termenul legal |
| Conținutul Clientului | Perioada de recuperare de cel puțin 30 de zile; ștergerea datelor primare în cel mult 30 de zile după aceasta; copiile de siguranță sunt eliminate prin rotație în cel mult 45 de zile după ștergerea datelor primare |
| Date de marketing | Până la retragerea consimțământului sau opoziție; dovada retragerii și lista de suprimare se păstrează cât este necesar respectării opțiunii |
7. Securitatea¶
Aplicăm măsuri proporționale cu riscul, inclusiv TLS pentru conexiunile externe și fluxurile interne pentru care este adecvat, control al accesului pe roluri și necesitate, autentificare multifactor pentru accesul administrativ, segmentarea rețelelor, redundanță, backup, monitorizare, jurnalizare, gestionarea vulnerabilităților și testarea periodică a eficacității măsurilor. Minimizăm datele din jurnale și alerte. Detaliile aplicabile Datelor Clientului sunt în DPA. Gestionăm încălcările securității potrivit art. 33-34 GDPR; vulnerabilitățile pot fi raportate la security@aity.ro.
8. Drepturile dumneavoastră¶
Aveți dreptul de acces, rectificare, ștergere, restricționare, portabilitate și retragere a consimțământului, fără a afecta legalitatea prelucrărilor anterioare. Scrieți la office@aity.ro; răspundem în cel mult o lună, cu prelungire de maximum două luni pentru cereri complexe, conform art. 12 GDPR. Dacă datele sunt prelucrate de aity în numele unui Client, transmitem solicitarea acelui Client și îl sprijinim potrivit DPA.
Dreptul de opoziție. Vă puteți opune oricând, din motive legate de situația dumneavoastră, prelucrării bazate pe interes legitim; nu vom continua decât dacă demonstrăm motive legitime imperioase ori necesitatea pentru un drept. Vă puteți opune necondiționat și gratuit marketingului direct, inclusiv profilării aferente, prin office@aity.ro sau linkul de dezabonare.
Puteți depune o plângere la ANSPDCP, B-dul G-ral Gheorghe Magheru nr. 28-30, Sector 1, cod 010336, București, dataprotection.ro, precum și la autoritatea din statul membru al reședinței obișnuite, al locului de muncă ori al presupusei încălcări. Vă puteți adresa și instanței competente.
9. Site-uri, cookie-uri și stocare locală¶
La accesarea site-urilor și consolelor, serverele prelucrează adresa IP, data și ora, metoda și resursa solicitată, codul de răspuns, user-agentul și referer-ul, dacă este transmis, pentru livrare tehnică, securitate și diagnostic, în temeiul art. 6 alin. (1) lit. f) GDPR. Jurnalele aplicațiilor sunt păstrate 31 de zile și sunt accesibile numai personalului și furnizorilor autorizați cu atribuții operaționale sau de securitate.
Stocăm ori accesăm informații pe echipamentul dumneavoastră fără consimțământ numai când operațiunea este strict necesară transmiterii unei comunicări sau furnizării Serviciului solicitat, potrivit Legii nr. 506/2004.
| Tehnologie | Furnizor și scop | Durata orientativă |
|---|---|---|
| Cookie-uri de autentificare și sesiune oauth2-proxy/Keycloak | aity; conectare, sesiune, redirecționare și securitate CSRF | Cookie-ul principal de sesiune: până la 10 ore; cookie-urile tranzitorii: durata conectării/sesiunii |
| Stocare locală a consolelor | aity; profil, organizație, proiect, regiune și stare funcțională necesară interfeței | Până la deconectare, ștergerea de către utilizator sau expirarea definită de aplicație |
| Stocare locală a aplicației Drive | aity; menținerea sesiunii și funcționarea interfeței | Durata sesiunii sau până la ștergere/deconectare, după mecanism |
| Cadru securizat PayU | PayU; introducerea și autorizarea plății solicitate | Potrivit politicii PayU afișate în fluxul de plată |
| Google reCAPTCHA | Google; protecția formularului de înregistrare împotriva automatizării abuzive | Potrivit politicii Google aplicabile mecanismului de securitate |
Paginile statice de documente nu folosesc analiză sau publicitate. Nu folosim în prezent cookie-uri proprii de marketing ori analiză în console. Dacă introducem un scop neesențial, cerem anterior un consimțământ specific, informat, liber și la fel de ușor de retras precum de acordat; refuzul nu afectează funcțiile care nu depind obiectiv de tehnologia refuzată.
10. Minori¶
Serviciile se adresează persoanelor de cel puțin 18 ani; minorii le pot folosi doar ca utilizatori finali sub responsabilitatea unui client (de exemplu, în cadrul organizației). Nu colectăm cu bună știință date ale minorilor în afara acestui cadru.
11. Modificări¶
Modificările materiale ale acestei politici se anunță cu cel puțin 30 de zile înainte, prin e-mail către titularii de Cont și prin publicare pe această pagină; versiunile anterioare rămân disponibile în arhiva PDF. Data intrării în vigoare a versiunii curente este indicată în antet.
Istoricul versiunilor¶
| Versiune | Data | Modificări |
|---|---|---|
| 1.0 | 15 august 2026 | Prima versiune publicată. |