Politica de confidențialitate

Operatorul datelor tale este Thecon SRL, cu sediul în Galați, Aleea Lalelelor nr. 10, România, înregistrată la Registrul Comerțului sub nr. J17/1962/05.12.2006, cod de identificare fiscală RO19302026.

Pentru orice întrebare sau cerere privind datele tale, scrie-ne la [email protected].

Datele contului:

• numele și adresa de email;
• parola, pe care o păstrăm doar ca amprentă criptografică (hash), din care parola nu poate fi citită;
• dacă te autentifici cu Google, identificatorul contului tău Google, precum și numele și emailul primite de la Google;
• poza de profil, dacă alegi să adaugi una;
• limba și tema alese;
• date de securitate: data creării contului, data ultimei schimbări a parolei, încercările de autentificare eșuate și blocările temporare care rezultă din ele;
• dacă activezi verificarea în doi pași: cheia secretă a aplicației de autentificare, păstrată criptat, codurile de recuperare, păstrate doar ca hash, și dispozitivele pe care ai ales să nu ți se mai ceară codul.

Datele despre dispozitive: pentru fiecare dispozitiv pe care ești conectat păstrăm adresa IP, tipul de browser sau de aplicație (user agent), numele dispozitivului transmis de aplicația pentru telefon, data conectării și data ultimei folosiri.

Datele din spațiile comune:

• numele spațiilor, moneda, părțile (de exemplu numele unei familii și numărul de persoane), membrii și rolurile lor;
• cheltuielile: data, comerciantul, categoria, sumele, bacșișul, notițele și modul de împărțire;
• pozele chitanțelor, împreună cu orice alte date tipărite pe ele;
• sumele completate de fiecare membru, transferurile marcate ca efectuate și cine a creat sau a modificat fiecare înregistrare și când;
• codurile de invitație.

Datele din comunicări: evidența emailurilor automate pe care ți le trimitem (adresa, tipul mesajului, data și rezultatul trimiterii, fără conținutul lor) și mesajele pe care ni le trimiți tu.

Datele tehnice: jurnalele serverului, cu adresa IP, data și ora, adresa accesată, rezultatul cererii și user agent. Parolele, tokenurile de autentificare și cookie-urile nu ajung în aceste jurnale.

Datele de folosire a site-ului, doar dacă accepți cookie-urile de analiză: paginile vizitate, fără identificatorii spațiilor, ai cheltuielilor sau ai conturilor, sursa vizitei, tipul de dispozitiv și de browser, țara aproximativă și un cod ales la întâmplare pentru browserul tău, colectate prin Google Analytics. Nu trimitem către Google numele, emailul, sumele sau conținutul spațiilor.

Alegerea ta despre cookie-uri: ce ai ales, versiunea politicii de cookie-uri și data. Dacă ai cont, o păstrăm și în contul tău, ca dovadă a acordului.

Dacă activezi notificările push, prelucrăm și identificatorul pentru notificări al dispozitivului tău.

Nu îți cerem date despre localizare, contactele din telefon, date bancare sau date din categorii speciale, de exemplu despre sănătate. Dacă asemenea date apar pe o chitanță, acoperă-le înainte să încarci poza.

Cele mai multe date le primim direct de la tine. Unele date despre tine pot fi introduse de alți membri ai spațiilor tale, de exemplu numele familiei tale sau o cheltuială plătită de tine. Datele de autentificare cu Google le primim de la Google, doar dacă alegi să te autentifici așa. Datele tehnice se generează automat când folosești serviciul.

Dacă un membru a introdus în Huba Split date despre tine, chiar dacă nu ai cont, ai drepturile descrise în secțiunea 9 și ne poți scrie oricând.

• Crearea și administrarea contului, autentificarea și funcțiile serviciului (spații, cheltuieli, calcule, invitații, export): pentru încheierea și executarea contractului dintre noi, adică a Termenilor de utilizare, potrivit art. 6 alin. (1) lit. b) din Regulamentul (UE) 2016/679 (GDPR).
• Emailurile legate de cont (activarea, resetarea parolei, anunțul că parola s-a schimbat, că s-a conectat un cont Google ori că s-a șters contul): pentru executarea contractului și pentru siguranța contului tău.
• Securitatea serviciului (sesiuni, limitarea încercărilor de autentificare, jurnale tehnice, prevenirea abuzurilor) și apărarea drepturilor noastre în caz de litigiu: interesul nostru legitim de a oferi un serviciu sigur, potrivit art. 6 alin. (1) lit. f) GDPR.
• Datele despre persoane fără cont introduse de membri, de exemplu numele unei familii: interesul legitim al membrilor spațiului și al nostru de a ține evidența cheltuielilor comune, potrivit art. 6 alin. (1) lit. f) GDPR.
• Răspunsurile la solicitările tale și la cererile autorităților: executarea contractului, interesul legitim sau obligațiile legale care ne revin, potrivit art. 6 alin. (1) lit. c) GDPR.
• Notificările push, doar dacă le permiți în setările telefonului: pentru executarea contractului. Le poți opri oricând din setările telefonului.
• Statisticile de folosire a site-ului (Google Analytics), doar dacă ești de acord prin bannerul de cookie-uri: consimțământul tău, potrivit art. 6 alin. (1) lit. a) GDPR. Îl poți retrage oricând din linkul Setări cookie, din subsolul paginii, fără să afecteze ce s-a prelucrat înainte.
• Păstrarea alegerii tale despre cookie-uri, dacă ai cont: obligația noastră legală de a putea dovedi consimțământul, potrivit art. 7 alin. (1) și art. 6 alin. (1) lit. c) GDPR.

Nu folosim datele pentru reclame, nu le vindem și nu creăm profiluri de marketing. Nu luăm decizii bazate exclusiv pe prelucrare automată care să producă efecte juridice asupra ta sau să te afecteze în mod similar. Balanțele sunt calcule aritmetice pe datele introduse de membri, nu evaluări ale persoanei tale.

Nu îți trimitem emailuri de marketing. Dacă vom dori vreodată să o facem, îți vom cere separat acordul.

• Membrii spațiilor tale văd conținutul acelor spații, inclusiv numele tău, poza de profil, partea din care faci parte și ce ai adăugat sau modificat.
• Personalul Thecon, doar cât este necesar pentru funcționarea serviciului, pentru suport la cererea ta, pentru securitate sau pentru îndeplinirea obligațiilor legale, cu obligația de a păstra confidențialitatea.
• Furnizorii care ne ajută să oferim serviciul și care prelucrează datele doar la instrucțiunile noastre, pe bază de contract: furnizorul de găzduire, cu servere în România, și furnizorul prin care trimitem emailurile automate.
• Google, dacă alegi să te autentifici cu contul Google. Pentru datele contului tău Google, Google este operator independent și se aplică politica sa de confidențialitate.
• Google Ireland Limited, pentru statisticile Google Analytics, doar dacă ești de acord, ca împuternicit care prelucrează datele la instrucțiunile noastre.
• Autoritățile publice, doar când legea ne obligă.

Nu vindem și nu închiriem datele personale.

Datele contului și ale spațiilor sunt stocate pe servere din România și nu le transferăm în afara Spațiului Economic European. Dacă accepți cookie-urile de analiză, Google poate prelucra datele de folosire a site-ului și în Statele Unite. Transferul se face pe baza deciziei de adecvare a Comisiei Europene privind EU-U.S. Data Privacy Framework, cadru la care Google LLC este certificată. Dacă, pe viitor, un alt furnizor va prelucra date în afara Spațiului Economic European, vom folosi doar mecanismele permise de GDPR și vom actualiza această politică înainte.

• Datele contului: cât timp contul există. La ștergerea contului, numele, emailul, poza de profil, parola și legătura cu Google sunt eliminate imediat.
• Cererile de înregistrare neconfirmate: se șterg după 30 de zile dacă linkul de activare nu a fost folosit.
• Linkul de activare este valabil 24 de ore, iar codul de resetare a parolei 15 minute.
• Sesiunile, cu adresa IP și datele dispozitivului: se șterg automat după 30 de zile de nefolosire și, oricum, la cel mult 90 de zile de la conectare.
• Dispozitivele de încredere pentru verificarea în doi pași: 30 de zile de la alegere. Toate se șterg când schimbi parola, dezactivezi verificarea în doi pași sau ștergi contul.
• Datele verificării în doi pași: cât timp verificarea este activă. Se șterg când o dezactivezi sau când ștergi contul.
• Evidența emailurilor automate: 90 de zile de la trimitere.
• Jurnalele tehnice ale serverului: cel mult 30 de zile.
• Conținutul spațiilor: cât timp există spațiul. Ce ai adăugat într-un spațiu comun rămâne acolo și după ștergerea contului tău, fără numele tău, până când proprietarul șterge înregistrarea sau spațiul.
• Copiile de siguranță: cel mult 30 de zile, după care sunt înlocuite de copii noi.
• Corespondența cu noi: cât este necesar pentru a rezolva solicitarea și, după aceea, cel mult 3 ani, pentru apărarea în eventuale litigii.
• Datele de folosire din Google Analytics: 14 luni, după care Google le șterge automat.
• Alegerea ta despre cookie-uri: pe dispozitiv, 6 luni, după care te întrebăm din nou; dacă ai cont, evidența alegerilor tale 3 ani, ca dovadă a acordului.

Conexiunile la serviciu sunt criptate (HTTPS). Parolele sunt păstrate doar ca hash, sesiunile folosesc tokenuri cu durată scurtă de viață care pot fi revocate, iar încercările repetate de autentificare sunt limitate. Poți activa verificarea în doi pași, cu un cod dintr-o aplicație de autentificare, iar acțiunile importante, cum ar fi ștergerea contului, îți cer parola din nou dacă te-ai autentificat de mai mult de 10 minute. Pe telefon, datele de autentificare sunt păstrate în zona securizată a sistemului (Keychain pe iOS, Keystore pe Android). Accesul la servere este permis doar persoanelor care au nevoie de el.

Niciun sistem nu este complet sigur. Dacă apare o încălcare a securității care îți poate afecta drepturile, te anunțăm pe tine și autoritatea de supraveghere, în condițiile legii.

Potrivit GDPR, ai dreptul:

• să afli ce date prelucrăm despre tine și să primești o copie a lor;
• să ceri corectarea datelor inexacte; unele date le poți schimba direct din cont;
• să ceri ștergerea datelor;
• să ceri restricționarea prelucrării;
• să primești datele pe care ni le-ai furnizat într-un format structurat, folosit în mod curent, și să le transmiți altui operator (portabilitate);
• să te opui prelucrărilor bazate pe interesul legitim;
• să nu faci obiectul unei decizii bazate exclusiv pe prelucrare automată;
• să depui o plângere la autoritatea de supraveghere.

Ca să îți exerciți drepturile, scrie-ne la [email protected], de preferat de pe adresa de email a contului. Răspundem în cel mult o lună; pentru cererile complexe termenul se poate prelungi cu încă două luni, iar în acest caz te anunțăm. Exercitarea drepturilor este gratuită. Îți putem cere informații suplimentare doar dacă avem nevoie să îți confirmăm identitatea.

Autoritatea de supraveghere din România este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru nr. 28-30, sector 1, cod poștal 010336, București, www.dataprotection.ro, [email protected].

Îți poți șterge contul oricând, din aplicație, în secțiunea Cont, sau scriindu-ne la [email protected].

Dacă ești proprietarul unor spații, trebuie mai întâi să le transferi altui membru sau să le ștergi. La ștergere, eliminăm imediat numele, emailul, poza de profil, parola și legătura cu Google și închidem toate sesiunile. Cheltuielile și transferurile adăugate de tine în spații comune rămân vizibile celorlalți membri, fără numele tău, ca balanțele lor să rămână corecte. Apoi îți trimitem un email care confirmă ștergerea.

Datele eliminate pot rămâne în copiile de siguranță până când acestea sunt înlocuite, iar adresa de email rămâne în evidența emailurilor trimise până la împlinirea celor 90 de zile, conform secțiunii 7.

Huba Split este destinat persoanelor de cel puțin 18 ani. Nu creăm conturi pentru minori și nu le colectăm intenționat datele. Numărul de persoane dintr-o familie poate include și copii, fără să le introduci datele personale. Dacă afli că un minor și-a creat cont, scrie-ne și îl vom șterge.

Cookie-urile strict necesare țin site-ul în funcțiune și, potrivit art. 4 alin. (5) din Legea nr. 506/2004, nu au nevoie de acordul tău. Cookie-urile de analiză (Google Analytics) le folosim doar dacă ești de acord.

Strict necesare:

• __Host-hs_access: te menține autentificat; expiră după cel mult 15 minute și se reînnoiește automat cât timp ești autentificat, fără să observi.
• __Host-hs_refresh: reînnoiește autentificarea fără să îți cerem parola din nou; expiră după 30 de zile fără vizite, se prelungește la fiecare vizită până la cel mult 90 de zile de la autentificare și se șterge când ieși din cont.
• __Host-hs_google: se setează doar dacă alegi să intri cu Google; ține minte, cât alegi contul la Google, că autentificarea a pornit de pe acest site și unde să te întorci; expiră după cel mult 10 minute și se șterge când te întorci.
• __Host-hs_2fa: ține minte, cât timp introduci codul, că parola ta a fost deja verificată, doar dacă ai activat verificarea în doi pași; expiră după cel mult 5 minute și se șterge după ce introduci codul.
• __Host-hs_trusted: se setează doar dacă alegi să nu ți se mai ceară codul pe acest dispozitiv; expiră după 30 de zile și rămâne și după ce ieși din cont, pentru că acesta este scopul lui. Alegerea o poți anula oricând din cont.
• NEXT_LOCALE: reține limba site-ului, doar dacă alegi alta decât cea a browserului; se șterge când închizi browserul.
• __Host-hs_consent: reține dacă ai acceptat sau refuzat cookie-urile de analiză; expiră după 6 luni, când te întrebăm din nou.

De analiză, doar cu acordul tău, puse de Google Ireland Limited:

• _ga: un cod ales la întâmplare pentru browserul tău, care deosebește vizitatorii între ei ca să numărăm vizitele; nu e legat de contul, numele sau emailul tău; expiră după 13 luni.
• _ga_<ID>: ține minte vizita curentă și câte vizite au venit de pe acest browser, pentru statisticile din Google Analytics; expiră după 13 luni.

Poți refuza cookie-urile de analiză sau îți poți retrage acordul oricând, din linkul Setări cookie din subsolul oricărei pagini; la retragere le ștergem din browser. Lista completă, cu scopul și durata fiecăruia, este pe pagina Cookie-uri.

Tema aleasă (luminoasă, întunecată sau ca sistemul) se păstrează în memoria locală a browserului (localStorage), nu într-un cookie.

Aplicația pentru telefon păstrează datele de autentificare în zona securizată a sistemului și preferințele (limba, tema) în memoria aplicației. Ca să funcționeze și fără internet, aplicația poate păstra pe telefon și o copie a datelor din spațiile tale. Datele de autentificare și această copie se șterg când ieși din cont, iar toate se șterg când dezinstalezi aplicația. Dacă alegi ca aplicația să nu îți mai ceară codul verificării în doi pași, marcajul acestei alegeri rămâne pe telefon 30 de zile, și după ce ieși din cont.

Aplicația cere acces doar când folosești funcția care are nevoie de el:

• camera, ca să fotografiezi o chitanță;
• galeria foto, ca să alegi o poză a chitanței sau poza de profil;
• notificările, ca să afli, de exemplu, când ai o sumă de completat sau când cineva a marcat un transfer către tine.

Poți refuza sau retrage oricând aceste permisiuni din setările telefonului; funcțiile care depind de ele nu vor mai fi disponibile. Aplicația nu cere acces la localizare sau la contacte.

Putem actualiza această politică, de exemplu când adăugăm funcții sau furnizori noi. Versiunea și data ultimei actualizări apar la începutul documentului. Pentru schimbările importante te anunțăm pe email sau în aplicație înainte să se aplice.