Politica de confidențialitate

În Doboti îți ții facturile, cheltuielile, extrasele de cont și arhiva lunară pentru contabil. Sunt date financiare, despre tine și despre cei cu care lucrezi, așa că le tratăm cu grijă. Aici afli ce date personale prelucrăm, de ce, cine ne ajută, cât timp le păstrăm și ce drepturi ai conform Regulamentului general privind protecția datelor (GDPR).

1. Cine suntem

Doboti este operat de:

SANDU C. MIRCEA PFA
Str. Sfântul Petru Tei nr. 44-46, et. 1, ap. 3, Sector 2, București, România
Nr. Registrul Comerțului F40/550/2019, CIF RO40773137
E-mail: support@doboti.com

În acest document, „Doboti”, „noi” și „ne” înseamnă acest operator. Suntem înregistrați în România și ne supunem legii române și GDPR.

Nu avem un responsabil cu protecția datelor (DPO). Prelucrarea noastră nu îndeplinește condițiile din art. 37 GDPR care îl fac obligatoriu. Pentru orice întrebare despre datele tale, scrie-ne la support@doboti.com.

2. Ce acoperă această politică

• aplicația Doboti de la app.doboti.com, inclusiv adresele de Inbox de la in.doboti.com;
• acest site, doboti.com;
• conexiunea prin care asistenții AI pe care îi autorizezi lucrează cu firmele tale (serverul nostru MCP, la app.doboti.com/mcp).

3. Două roluri: contul tău și datele firmei

Doboti prelucrează date personale în două roluri diferite.

Suntem operator pentru datele de care avem nevoie ca să-ți ținem contul: numele și adresa de e-mail, felul în care te autentifici, abonamentul, jurnalul de securitate, statisticile și mesajele pe care ni le trimiți. Secțiunile 4-15 descriu aceste prelucrări.

Suntem persoana ta împuternicită pentru datele firmei pe care le ții în Doboti: clienții și furnizorii, persoanele care apar pe facturi, bonuri și extrase, adresa contabilului și e-mailurile care ajung în Inbox. Tu, sau firma pentru care lucrezi, decizi ce intră acolo și de ce, deci tu ești operatorul acestor date. Le prelucrăm doar ca să-ți oferim Doboti, în condițiile din secțiunea 11 a Termenilor și condițiilor. Dacă cineva ne întreabă despre datele pe care le ții despre el, îi trimitem cererea ție.

4. Ce date colectăm și de ce

Date	De ce	Temei legal (art. 6 GDPR)
Nume, adresă de e-mail, parolă (păstrată doar ca hash, ireversibil), cheia pentru autentificarea în doi pași și codurile de rezervă	Ca să-ți creăm contul și să te poți autentifica	Contract (6(1)(b))
Autentificare cu Google: numele, adresa de e-mail și identificatorul contului Google	Ca să intri cu Google, dacă alegi asta	Contract (6(1)(b))
Sesiuni: adresa IP și browserul fiecărui dispozitiv pe care ești autentificat	Ca să rămâi autentificat și să vezi unde ești conectat	Contract (6(1)(b))
Firme și membri: firmele din care faci parte și rolul tău în fiecare	Ca fiecare membru să vadă ce îi permite rolul	Contract (6(1)(b))
Datele firmei: detaliile firmei, clienți, facturi, cheltuieli, bonuri, extrase, e-mailuri din Inbox, arhivele de la Închiderea de lună și fișierele încărcate	Serviciul în sine. Aici suntem persoana ta împuternicită (secțiunea 3)	Instrucțiunile tale ca operator (art. 28 GDPR)
Conexiunea e-Factura: tokenurile de acces primite de la ANAF când îți conectezi firma, păstrate criptat	Ca să trimitem facturile la ANAF și să citim răspunsurile	Contract (6(1)(b))
Importul din Oblio: cheia API pe care ne-o dai, folosită o singură dată	Ca să copiem clienții și facturile din Oblio	Contract (6(1)(b))
Date de facturare: abonamentul, starea lui, ID-urile de client și de abonament din Stripe și cine plătește în firmă	Ca să funcționeze abonamentul Pro și să ne ținem propria contabilitate	Contract (6(1)(b)); obligație legală (6(1)(c))
Perioada de probă: când începe și când se termină luna ta de probă	Ca fiecare persoană să aibă o singură lună de probă	Contract (6(1)(b))
Conexiuni cu asistenți AI: numele asistentului, firmele permise, tokenurile de acces și de reînnoire și acțiunile care îți așteaptă aprobarea	Ca să funcționeze o conexiune pe care ai autorizat-o (secțiunea 7)	Consimțământ (6(1)(a)), retras când revoci conexiunea
Jurnalul de securitate: autentificări, încercări eșuate, schimbări de parolă, de membri și de roluri, descărcări de fișiere și linkuri trimise. Conține doar ID-uri și numele acțiunilor, niciodată nume de fișiere sau conținutul unui document	Ca să-ți protejăm contul și să cercetăm abuzurile	Interes legitim (6(1)(f))
Numărarea activității: ce acțiune a rulat în ce firmă, doar cu ID-uri, fără nume sau sume	Ca să știm ce părți din Doboti se folosesc și să te ajutăm când ne ceri sprijin	Interes legitim (6(1)(f)); te poți opune (secțiunea 14)
Statistici pe doboti.com și app.doboti.com: vizualizări de pagini și câteva evenimente, fără cookie-uri și fără ID de persoană sau de firmă (secțiunea 9)	Ca să știm ce pagini sunt utile	Interes legitim (6(1)(f))
E-mailuri despre cont: confirmarea adresei, resetarea parolei, alerte de securitate, invitații, perioada de probă și plăți	Ca să funcționeze serviciul pe care îl folosești	Contract (6(1)(b))
Mesajele pe care ni le trimiți	Ca să-ți răspundem	Contract (6(1)(b)) sau interes legitim (6(1)(f))
Date tehnice: adresa IP, browserul și ora cererilor, prelucrate de furnizorul de găzduire	Ca să livrăm paginile, să oprim abuzurile și să păstrăm serviciul în siguranță	Interes legitim (6(1)(f))

Nu vindem date personale. Nu le folosim pentru reclame și nu avem pixeli de reclamă pe pagini. Nu primim și nu păstrăm datele cardului tău: plățile sunt procesate de Stripe.

5. Ce iese din Doboti, și doar când ceri tu

Unele funcții trimit date în afara Doboti. Fiecare pornește doar când o pornești tu sau un membru al firmei tale.

• e-Factura. Când trimiți o factură, ea ajunge la ANAF prin SPV. ANAF este o autoritate publică ce primește factura în baza legii, nu persoana noastră împuternicită.
• Facturi pe e-mail. Când trimiți o factură unui client, o trimitem de la invoices@send.doboti.com, cu adresa ta pentru răspuns.
• Închiderea de lună. Când trimiți luna contabilului, îi trimitem pe e-mail un link către arhivă.
• Invitații. Când inviți un membru, îi trimitem invitația pe e-mail.

6. Citirea documentelor cu AI

Doboti citește facturi, bonuri și extrase de cont în PDF, ca să nu le mai scrii de mână. Folosim modele AI care rulează la Cloudflare (Workers AI), adică la același furnizor care găzduiește Doboti. Documentul ajunge la model doar ca să fie citit, iar răspunsul modelului este verificat cu textul documentului.

Nu trimitem documentele tale altor firme de AI și nu folosim datele tale ca să antrenăm modele AI. O citire poate fi greșită, așa că verific-o înainte să te bazezi pe ea. Nu folosim AI ca să luăm decizii despre tine cu efecte juridice sau la fel de importante (art. 22 GDPR).

7. Asistenți AI

Poți conecta un asistent AI, de exemplu Claude sau ChatGPT, la Doboti prin Model Context Protocol (MCP). Implicit este oprit și nu se trimite nimic până nu conectezi tu un asistent.

La conectare intri în Doboti și alegi la ce firme are acces asistentul. Asistentul lucrează în numele tău, cu rolul pe care îl ai în fiecare firmă. Nu poate vedea și nu poate schimba detaliile firmei, conturile bancare sau setările e-Factura.

Unele acțiuni așteaptă aprobarea ta în Doboti înainte să ruleze: tot ce trimite ceva în afara Doboti (o factură pe e-mail, o factură la ANAF, o lună trimisă contabilului) și orice ștergere definitivă. Asistentul nu le poate aproba niciodată singur.

Cine primește aceste date. Furnizorul asistentului, de exemplu Anthropic sau OpenAI, primește tot ce îi răspunde Doboti asistentului. Tu ai ales acest furnizor. El nu este persoana noastră împuternicită și prelucrează datele după propria politică de confidențialitate.

Ce păstrăm. Ce creează sau schimbă asistentul sunt date obișnuite ale firmei tale. Numărăm fiecare apel doar după numele lui. Nu păstrăm ce ne-a trimis asistentul și nici ce i-am răspuns. Poți revoca oricând o conexiune din aplicație și se oprește imediat.

8. Inbox

Fiecare persoană are propria adresă de Inbox. Doboti primește acolo doar e-mailuri de la adresele pe care le-ai confirmat. E-mailurile de la orice altă adresă sunt refuzate și nu sunt citite. Doboti citește fiecare document primit ca să afle a cărei firme este, apoi îl îndosariază sau ți-l lasă de verificat. Un e-mail fără atașament se salvează ca PDF cu textul lui.

Inbox face parte din Pro. Pentru o firmă fără Pro, e-mailurile se păstrează 30 de zile fără să fie citite, apoi se șterg, dacă nu treci pe Pro. E-mailurile refuzate se șterg după 30 de zile.

9. Statistici și cookie-uri

Statistici. Numărăm vizualizările de pagini cu Umami, pe serverul nostru. Umami nu folosește cookie-uri și nu te urmărește pe alte site-uri. În aplicație scoatem orice ID din adresa paginii înainte să trimitem vizualizarea și nu trimitem niciodată numele tău, adresa de e-mail sau firma. Numărăm câteva evenimente, cum ar fi o înregistrare reușită, fără niciun detaliu despre tine.

Cookie-uri. Folosim doar cookie-uri strict necesare: cookie-ul de sesiune, care te ține autentificat, și cookie-uri de scurtă durată folosite cât te autentifici. Conform Legii 506/2004 și Directivei ePrivacy, acestea nu au nevoie de consimțământ, așa că nu afișăm un banner de cookie-uri. Nu folosim cookie-uri de reclamă, de rețele sociale sau de urmărire între site-uri.

10. Cine din Doboti îți poate vedea datele

Pentru suport și operare vedem informații la nivel de cont: numele, adresa de e-mail, firmele din care faci parte, abonamentul lor și când ai fost activ ultima dată. Activitatea o vedem ca cifre, nu ca conținut.

Nu ne uităm la datele firmei tale (facturi, cheltuieli, extrase, e-mailuri, fișiere) decât dacă ne ceri ajutorul cu o problemă sau trebuie să cercetăm un abuz ori un incident de securitate. Atunci ne uităm doar la ce ține de problemă.

11. Furnizori de servicii

Acești furnizori prelucrează date personale pentru noi, doar după instrucțiunile noastre și pe baza unui acord de prelucrare a datelor.

Furnizor	Ce face pentru noi	Unde
Cloudflare	Găzduirea aplicației și a site-ului, bazele de date, stocarea fișierelor și copiile de siguranță, trimiterea și primirea e-mailurilor, citirea documentelor cu AI, securitatea rețelei	Date stocate în UE; rețea globală pentru trafic
DigitalOcean	Găzduirea serverului nostru de statistici (Umami)	UE (Amsterdam, Țările de Jos)
Stripe, prin Stripe Managed Payments	Plata, abonamentele, facturile și portalul de facturare	Statele Unite / UE
Google	Autentificarea cu Google, dacă o folosești	Statele Unite

Plăți. Abonamentele Pro se vând prin Stripe Managed Payments. Revânzătorul este Sold through Link, LLC („Link”), o firmă afiliată Stripe: încasează plata, se ocupă de taxe și emite factura. Pentru datele de plată pe care le colectează (cardul, adresa de facturare, codul fiscal), Link și Stripe sunt operatori independenți, cu propriile politici de confidențialitate. Noi primim doar starea abonamentului, planul, facturile și ID-ul de client.

Destinatari care nu sunt persoanele noastre împuternicite. ANAF, când trimiți facturi prin e-Factura (secțiunea 5). Oblio, când imporți de acolo cu propria ta cheie API. Furnizorul asistentului AI pe care îl conectezi (secțiunea 7). Clienții și contabilul cărora le trimiți e-mailuri din Doboti.

Putem schimba furnizorii în timp. Lista de aici arată mereu furnizorii actuali.

12. Transferuri internaționale

Unii dintre furnizorii de mai sus au sediul sau pot prelucra date în Statele Unite. Transferurile către SUA se bazează pe Cadrul UE-SUA privind protecția datelor, acolo unde furnizorul este certificat, iar în celelalte cazuri pe Clauzele contractuale standard ale Comisiei Europene, așa cum cere capitolul V din GDPR.

13. Cât timp păstrăm datele

• Contul și datele firmei: cât timp există contul și firmele tale. Poți șterge o firmă sau tot contul din setările aplicației.
• Înainte să ștergi: legea cere firmelor să păstreze documentele contabile ani la rând. Obligația aceasta este a ta, nu a noastră. Exportă datele înainte; după ștergere nu ți le mai putem da înapoi.
• Datele șterse: le ștergem imediat din aplicație, iar fișierele și copiile de siguranță în cel mult 24 de ore. Furnizorul nostru de găzduire păstrează 30 de zile istoricul bazei de date pentru recuperare, deci datele șterse dispar definitiv după cel mult 30 de zile.
• Copii de siguranță: zilnic, criptate cu cheia proprie a fiecărei firme, păstrate 30 de zile.
• E-mailurile din Inbox: cât le păstrezi tu. Pentru o firmă fără Pro, 30 de zile. E-mailurile refuzate, 30 de zile.
• Jurnalul de securitate și numărarea activității: 365 de zile.
• Evidențele noastre de facturare: cât cere legea fiscală și contabilă din România, chiar și după ce îți închizi contul.
• Conexiunile cu asistenți AI: până le revoci sau până asistentul nu le mai folosește.
• Sesiunile: până te deconectezi sau până expiră sesiunea.

Când pleci dintr-o firmă care are și alți membri, datele pe care le-ai adăugat rămân în firmă, pentru că sunt ale firmei.

14. Drepturile tale

Conform GDPR (art. 15-22) ai dreptul:

• de acces (art. 15): să primești o copie a datelor personale pe care le avem despre tine;
• la rectificare (art. 16): să corectezi datele greșite sau incomplete;
• la ștergere (art. 17): să ne ceri să îți ștergem datele personale;
• la restricționare (art. 18): să ne ceri, în anumite cazuri, să limităm folosirea datelor;
• la portabilitate (art. 20): să primești datele pe care ni le-ai dat într-un format structurat, pe care îl poate citi un calculator. Exportul din Doboti face asta pentru firmele tale;
• la opoziție (art. 21): să te opui prelucrărilor bazate pe interesul nostru legitim, inclusiv numărării activității și statisticilor;
• să îți retragi consimțământul (art. 7(3)) oricând, fără efect asupra a ce s-a întâmplat înainte;
• să depui o plângere la o autoritate de supraveghere (secțiunea 16).

Scrie-ne la support@doboti.com. Putem să-ți cerem mai întâi să confirmi cine ești. Îți răspundem în cel mult o lună (art. 12(3) GDPR). Pentru o cerere complicată putem avea nevoie de încă cel mult două luni, iar în acest caz îți spunem în prima lună.

Dacă ești client sau furnizor al unui utilizator Doboti și datele tale apar în facturile sau extrasele lui, el este operatorul. Scrie-i mai întâi lui. Dacă ne scrii nouă, îi trimitem cererea ta.

15. Securitate

• Tot traficul este criptat cu HTTPS/TLS.
• Datele fiecărei firme sunt ținute separat de ale celorlalte firme. Câmpurile sensibile, fișierele și copiile de siguranță sunt criptate cu AES-256-GCM, cu o cheie care aparține doar acelei firme.
• Parolele sunt păstrate doar ca hash, ireversibil. Poți porni autentificarea în doi pași.
• Fișierele sunt stocate privat și se deschid doar pentru membrii firmei lor sau prin linkuri de scurtă durată create de un membru.
• Jurnalul de securitate înregistrează autentificările și schimbările importante.
• Acțiunile unui asistent AI care trimit date în afara Doboti sau șterg definitiv așteaptă aprobarea unei persoane.

Dacă are loc o încălcare a securității datelor personale, anunțăm ANSPDCP în 72 de ore, acolo unde art. 33 GDPR o cere, și persoanele afectate fără întârzieri nejustificate, dacă încălcarea le poate pune drepturile în pericol mare (art. 34 GDPR). Dacă încălcarea atinge date pe care le prelucrăm pentru tine, te anunțăm fără întârzieri nejustificate, ca să îți poți îndeplini propriile obligații.

16. Autoritatea de supraveghere

Poți depune o plângere la o autoritate de protecție a datelor, mai ales în țara din UE în care locuiești sau lucrezi. În România, autoritatea noastră este:

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
B-dul G-ral Gheorghe Magheru 28-30, Sector 1, 010336, București
dataprotection.ro, anspdcp@dataprotection.ro

Ne-ar plăcea să avem întâi șansa să rezolvăm noi problema, așa că te rugăm să ne scrii la support@doboti.com.

17. Schimbări ale acestei politici

Actualizăm politica atunci când se schimbă Doboti. Dacă o schimbare afectează în mod important felul în care îți folosim datele, te anunțăm pe e-mail sau în aplicație înainte să intre în vigoare. Data de sus arată ultima versiune. Vezi și Termenii și condițiile.