Termeni, confidențialitate și GDPR

Termeni folosiți în acest document

Pentru claritate, termenii de mai jos au următorul înțeles în cuprinsul Termenilor și Condițiilor și al Politicii de Confidențialitate:

Serviciul / Platforma

Aplicația IntrastatX pentru Windows, instalată pe calculatoarele biroului, pentru întocmirea, verificarea, depunerea și arhivarea declarațiilor Intrastat, împreună cu site-ul și serverul IntrastatX (cont, societăți, licențe, facturare, suport, căutarea publică a codurilor NC).

Operator

FlowCore Solutions — persoana juridică ce stabilește scopurile și mijloacele prelucrării datelor și care furnizează Serviciul.

Utilizator

Persoana fizică ce accesează contul: administrator de birou sau utilizator invitat cu drepturi limitate.

Birou

Contul organizației (birou de contabilitate, PFA, SRL sau departament financiar) care administrează una sau mai multe societăți în platformă.

Calculator înregistrat

Un calculator al biroului pe care este instalată aplicația și pe care un utilizator al biroului s-a autentificat; poate fi revocat oricând de administratorul biroului.

Societate

O firmă din portofoliul biroului, pentru care se întocmesc și se depun declarații Intrastat.

Date cu caracter personal

Orice informație privind o persoană fizică identificată sau identificabilă (nume, email, adresă IP etc.), în sensul art. 4 pct. 1 GDPR.

Prelucrare

Orice operațiune efectuată asupra datelor: colectare, stocare, consultare, modificare, transmitere, ștergere ș.a.

Sub-procesator

Persoana împuternicită care prelucrează date în numele nostru (ex. furnizorul de găzduire), pe bază de contract și instrucțiuni.

Portalul INS

Sistemul Institutului Național de Statistică (intrastat.ro) unde se depun declarațiile Intrastat.

Autoritatea de supraveghere

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), România.

Operator de date

Denumire

FLOWCORE SOLUTIONS S.R.L.

CUI

RO54103536

Nr. Reg. Comerțului

J2026013183000

Website

flowcore.ro

Sediu social

Mun. București, Sector 4, Drm. Jilavei, Nr. 89F-89G, Camera 1, Bl. 3, Et. 1, Ap. 7

Contact protecția datelor

office@intrastatx.ro

Date colectate

Conținutul declarațiilor nu ajunge pe serverele noastre: se lucrează și se păstrează pe calculatorul biroului. Distingem astfel două locuri de stocare.

Pe calculatorul biroului (sub controlul biroului; nu avem acces la ele):

• liniile declarațiilor Intrastat, fișierele de import și declarațiile D390 — pot conține date de identificare ale partenerilor comerciali (denumiri, coduri TVA), facturi, coduri NC și valori;
• fișierele generate (XML, PDF, Excel), istoricul INSSE și recipisele descărcate;
• copiile de siguranță automate, făcute zilnic în folderul ales de utilizator;
• o copie de rezervă a credențialelor INS ale societăților pentru care s-a depus de pe acel calculator, criptată cu protecția Windows a utilizatorului (DPAPI), folosită doar dacă serverul IntrastatX nu răspunde și ștearsă automat după 60 de zile sau la scoaterea calculatorului din birou.

Pe serverul IntrastatX colectăm și prelucrăm:

• adresa de email și numele utilizatorului;
• parola stocată sub formă de hash PBKDF2-SHA256 cu salt unic (nu reținem parola în clar);
• datele biroului și ale societăților din portofoliu (denumire, CUI, adresă, persoană de contact);
• licențele, facturile proforme, dovezile de plată încărcate și facturile;
• totaluri pe fiecare declarație — număr de linii, valoare fiscală și statistică, masă netă, stare, numărul de înregistrare INS — fără nimic din conținutul liniilor (fără parteneri, coduri TVA, facturi, coduri NC sau valori pe linie);
• credențialele de acces la portalul INS (utilizator și parolă), stocate criptat, partajate în cadrul biroului și transmise doar calculatoarelor înregistrate ale biroului, exclusiv pentru depunere și preluarea istoricului INSSE;
• tichetele de suport (mesaje și atașamente) și mesajele trimise prin formularul de contact;
• date tehnice: adresa IP, user-agent, calculatoarele înregistrate (nume, sistem de operare, versiunea aplicației, cheia publică a dispozitivului) și jurnale de acces și audit, necesare securității și depanării.

Temei legal al prelucrării

Prelucrarea se realizează în temeiul executării contractului de furnizare a serviciului (art. 6 alin. 1 lit. b GDPR), pentru îndeplinirea obligațiilor legale fiscale și statistice (art. 6 alin. 1 lit. c GDPR) și, unde este cazul, pe baza consimțământului explicit al utilizatorului (art. 6 alin. 1 lit. a GDPR).

Sub-procesatori și terți

Pentru a furniza serviciul, folosim următorii procesatori și servicii publice. NU partajăm date cu terți comerciali în scopuri de marketing.

Credențialele portalului INS sunt stocate criptat pe server, sunt partajate în cadrul biroului și se transmit, prin HTTPS, doar calculatoarelor înregistrate ale biroului, exclusiv pentru depunerea declarațiilor și preluarea istoricului INSSE; calculatorul păstrează doar o copie de rezervă criptată (max. 60 de zile), pentru depunere când serverul nostru e temporar indisponibil. Lista completă a sub-procesatorilor poate fi solicitată în scris.

Transfer de date în afara UE

Infrastructura Serviciului este găzduită în Uniunea Europeană / Spațiul Economic European: serverele aplicației și providerul de email tranzacțional se află în UE/SEE, iar depunerea la INS, cursul de referință BNR și interogările ANAF sunt operate în România. Datele declarațiilor rămân pe calculatorul biroului. Nu transferăm datele tale personale în afara UE/SEE și nu intenționăm să o facem.

Dacă, în viitor, un transfer către un stat terț ar deveni necesar, acesta se va realiza numai cu garanții adecvate conform art. 44-46 GDPR (clauze contractuale standard aprobate de Comisia Europeană sau o decizie de adecvare) și cu informarea ta prealabilă.

Păstrarea datelor

Securitate

Implementăm măsuri tehnice și organizatorice rezonabile pentru protecția datelor:

• datele declarațiilor rămân pe calculatorul biroului; pe server ajung doar totaluri pe declarație;
• TLS pe tot traficul (site, aplicație, server); aplicația acceptă doar certificatele autorităților compilate în ea, iar o conexiune interceptată este refuzată;
• fiecare cerere a aplicației către server este semnată cu cheia calculatorului înregistrat; accesul se verifică pe două niveluri — utilizatorul și calculatorul;
• parolele sunt stocate cu PBKDF2-SHA256 (funcție hash one-way, cu salt unic per cont) — nu pot fi recuperate;
• credențialele portalului INS sunt criptate la stocare (Fernet/AES), cu cheie separată în producție, și se transmit doar calculatoarelor înregistrate ale biroului;
• autentificare pe token-uri JWT cu rotație și invalidare; resetarea parolei are termen limitat;
• izolare completă multi-tenant — fiecare birou vede strict societățile și datele lui;
• audit log pentru acțiunile administrative sensibile;
• copie de siguranță locală automată, zilnic, pe calculatorul biroului, și backup automat al serverului, pentru recuperare în caz de incident.

Decizii automate și profilare

Platforma aplică verificări automate cu caracter determinist — regulile INS, reconcilierea cu D390 și verificarea VIES a codurilor TVA — ca instrumente de asistență care semnalează erori și neconcordanțe. Acestea nu produc decizii automate cu efect juridic asupra ta și nu constituie creare de profiluri în sensul art. 22 GDPR.

Rezultatele verificărilor sunt orientative; deciziile privind conținutul și depunerea declarațiilor aparțin în întregime utilizatorului.

Drepturile utilizatorului

Conform GDPR (Regulamentul UE 2016/679), ai următoarele drepturi:

• Acces la datele tale personale (art. 15);
• Rectificare a datelor inexacte (art. 16);
• Ștergere, dreptul de a fi uitat (art. 17);
• Restricționare a prelucrării (art. 18);
• Portabilitate, export în format structurat (art. 20);
• Opoziție față de anumite prelucrări (art. 21);
• dreptul de a nu face obiectul unei decizii automate (art. 22).

Cererile pot fi transmise pe email la office@intrastatx.ro de pe adresa contului.

Termen de răspuns

Răspundem la solicitările legate de datele personale în termen de maxim 30 de zile de la primirea cererii, conform art. 12 alin. 3 GDPR. În cazuri complexe, termenul poate fi extins cu încă 60 de zile, cu notificare prealabilă.

Ștergerea contului

Pentru ștergerea contului, trimite o cerere la office@intrastatx.ro de pe adresa email a contului.

În maxim 7 zile lucrătoare:

• numele, email-ul și datele biroului (dacă ești administrator unic) se anonimizează;
• credențialele INS, tichetele de suport și totalurile declarațiilor se șterg de pe server;
• sesiunile active și calculatoarele înregistrate sunt revocate;
• datele de facturare (facturi, plăți) rămân 10 ani conform legii fiscale.

Datele de pe calculatoarele biroului (declarații, fișiere, copii de siguranță) nu se află la noi; biroul le poate exporta sau șterge oricând, inclusiv prin dezinstalarea aplicației și ștergerea folderului de date.

Notificare încălcare securitate

În cazul unei încălcări de securitate care ar putea afecta drepturile sau libertățile tale, te vom notifica și vom anunța Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) în maxim 72 de ore de la constatare, conform art. 33-34 GDPR.

Acord de prelucrare date (DPA)

Datele partenerilor comerciali din declarații (CUI, denumire) rămân pe calculatorul biroului. Pentru datele pe care le prelucrăm pe server în numele biroului (utilizatori, societăți, tichete de suport), oferim la cerere un acord de prelucrare a datelor (DPA) standard conform art. 28 GDPR. Trimite cerere la office@intrastatx.ro.

Cookies & stocare locală

IntrastatX nu folosește cookie-uri de tracking, marketing sau analitice. Pentru funcționare folosim strict stocarea locală (localStorage) a browserului, respectiv a aplicației pentru Windows — date esențiale, care nu sunt trimise terților:

Vârstă minimă

Serviciul este destinat profesioniștilor (birouri de contabilitate, PFA, SRL, departamente financiare) și nu se adresează minorilor sub 16 ani. Dacă aflăm că un cont aparține unui minor sub 16 ani fără acordul reprezentantului legal, îl ștergem.

Acceptarea termenilor

Crearea unui cont și bifarea căsuței de acceptare la înregistrare constituie acordul tău expres de a respecta prezenții Termeni și Condiții și Politica de Confidențialitate, în forma aflată în vigoare la data acceptării. Dacă nu ești de acord cu acești termeni, te rugăm să nu creezi cont și să nu utilizezi Serviciul.

Confirmi că ai capacitatea legală de a încheia acest contract și că, atunci când acționezi în numele unui birou sau al unei societăți, ești împuternicit să o reprezinți. Versiunea aplicabilă a termenilor este cea publicată pe această pagină la momentul acceptării, împreună cu modificările comunicate ulterior conform secțiunii „Modificarea termenilor".

Licență și plăți

Contul este gratuit. Licența se activează per societate, pe an, la prețul afișat pe pagina de tarife (plus TVA). Oricâte declarații, linii sau revizii — prețul nu se schimbă.

Pentru fiecare comandă emitem o factură proformă. Plata se face prin ordin de plată (transfer bancar), fără card; după încărcarea dovezii de plată și confirmarea ei, emitem factura și licența se activează. Societățile adăugate în cursul anului plătesc cotă-parte până la data comună de reînnoire a biroului. Modificările de preț se aplică doar la următoarea reînnoire și sunt anunțate cu minim 30 de zile înainte.

Pentru persoanele juridice, plata reflectă prestarea serviciului; nu se acordă rambursări pentru perioade parțiale, cu excepția situațiilor în care serviciul nu a putut fi furnizat din vina noastră.

Suspendare cont

Putem suspenda sau închide contul în următoarele cazuri:

• neplata licenței după scadență;
• utilizare abuzivă a platformei (acces neautorizat, supraîncărcare deliberată);
• partajarea credențialelor între persoane neautorizate;
• încălcarea legislației sau a obligațiilor contractuale.

Suspendarea pentru neplată sau abuz se anunță pe email cu minim 7 zile înainte. În cazul încălcărilor grave ale legii, suspendarea se aplică imediat.

Proprietate intelectuală

Marca IntrastatX, codul sursă al aplicației, designul și interfața grafică aparțin FlowCore Solutions și sunt protejate prin legea drepturilor de autor și a mărcilor comerciale. Îți acordăm o licență non-exclusivă, netransferabilă pentru utilizarea platformei pe durata contractului.

Limitarea răspunderii

Caracterul de asistență. IntrastatX generează fișiere pentru depunere și aplică verificări (reguli INS, reconciliere D390) ca instrumente de asistență, nu consultanță fiscală. Depunerea la INS și corectitudinea finală a datelor rămân responsabilitatea utilizatorului. Nu răspundem pentru amenzi sau penalități rezultate din declarații eronate sau nedepuse la termen.

Datele de pe calculator. Datele declarațiilor se păstrează pe calculatoarele biroului. Aplicația face automat copii de siguranță zilnice, însă păstrarea calculatoarelor și a copiilor de siguranță (inclusiv în afara calculatorului) rămâne în grija biroului; declarațiile depuse rămân oricum disponibile în istoricul INSSE.

Plafon răspundere. În limita maximă permisă de lege, răspunderea totală a FlowCore Solutions față de tine, indiferent de cauză, se limitează la contravaloarea licenței plătite în ultimele 12 luni anterioare evenimentului care a generat răspunderea.

Excluderi. Nu răspundem pentru pierderi indirecte (profit, oportunități de afaceri, reputație), nici pentru indisponibilități cauzate de INS, BNR sau alți furnizori terți.

Forță majoră

Niciuna dintre părți nu răspunde pentru neexecutarea sau executarea cu întârziere a obligațiilor atunci când aceasta se datorează unui eveniment de forță majoră — o împrejurare imprevizibilă și inevitabilă, aflată în afara controlului rezonabil al părții afectate. Intră aici, fără a se limita la: dezastre naturale, incendii, război sau tulburări civile, întreruperi majore de energie ori de comunicații, atacuri cibernetice de amploare, indisponibilitatea sau modificarea unilaterală a sistemelor INS, BNR ori ale altor furnizori terți de care depinde Serviciul, precum și actele autorităților publice.

Partea afectată notifică cealaltă parte în cel mai scurt timp rezonabil de la apariția evenimentului și depune eforturi rezonabile pentru limitarea efectelor. Dacă starea de forță majoră durează mai mult de 60 de zile, oricare parte poate rezilia contractul fără penalități, obligațiile scadente până la acea dată rămânând datorate.

Modificarea termenilor

Anunțăm pe email cu minim 30 de zile înainte orice modificare materială a Politicii de Confidențialitate sau a Termenilor și Condițiilor. Continuarea utilizării după data efectivă înseamnă acceptare. Dacă nu ești de acord, poți anula contul fără penalizare.

Lege aplicabilă și jurisdicție

Contractul este guvernat de legea română. Eventualele litigii nesoluționate amiabil sau prin procedurile ANPC/SAL/SOL sunt de competența exclusivă a instanțelor din municipiul București.

ANPC și SAL

Pentru sesizări în calitate de consumator, autoritățile competente sunt Autoritatea Națională pentru Protecția Consumatorilor (ANPC) și platforma de soluționare alternativă a litigiilor (SAL), respectiv platforma europeană de soluționare online (SOL).

Contact

Pentru întrebări legate de prelucrarea datelor personale, termeni contractuali sau orice altă solicitare, scrie-ne la office@intrastatx.ro.