Politica de confidențialitate

1. Operatorul de date

Operatorul datelor cu caracter personal prelucrate prin acest serviciu este NORTHDAN SOFT S.R.L. (denumit în continuare „eFacturaSPV”, „noi”), cu sediul în Str. Iuliu Maniu nr. 19C, Mun. Aiud, Jud. Alba, CUI RO44282833, înregistrată la Registrul Comerțului sub J2021000717015, care operează site-ul efacturaspv.ro și aplicația app.efacturaspv.ro.

2. Ce date colectăm

Colectăm strict datele necesare pentru a furniza serviciul:

• Date de cont (autentificare). Adresa ta de e-mail, folosită pentru autentificarea fără parolă prin link magic. Nu stocăm parole. Reținem date tehnice minime legate de sesiune (de exemplu momentul autentificării).
• Datele facturilor primite din ANAF. Pentru fiecare factură recepționată din e-Factura / SPV păstrăm fișierul XML original (formatul oficial al facturii), PDF-ul oficial generat de ANAF și metadatele aferente: furnizor, CUI, număr și serie, sume (net, TVA, total), date de emitere și scadență, identificatorii de transmitere ANAF. Aceste date pot conține informații despre persoane fizice (de exemplu PFA furnizoare).
• Token-uri și metadate de conectare ANAF. Token-urile oficiale ANAF (acces / reînnoire), seria și emitentul certificatului, rolurile și lista CUI-urilor pentru care certificatul este autorizat. Certificatul calificat și tokenul USB se folosesc local, o singură dată, la autorizare — nu le primim și nu le stocăm.
• Date despre arhiva din Google Drive. Token-urile de conectare Google, identificatorul folderului de arhivă ales de tine și numele, identificatorul și locul fișierelor arhivate — necesare pentru a arhiva facturile și pentru a nu le urca de două ori. Dacă activezi verificarea arhivei, vedem în plus numele și locul fișierelor pe care le pui tu în acel folder. Ce anume vede aplicația, și când, este descris în secțiunea 6.
• Datele clienților tăi (facturile pe care le emiți). Când emiți facturi prin aplicație, păstrăm ce introduci despre client: denumirea sau numele, adresa, CUI/CIF ori CNP acolo unde legea îl cere, e-mailul și condițiile de plată, plus documentele emise. Pentru aceste date tu ești operatorul, iar noi le prelucrăm la instrucțiunea ta, în calitate de persoană împuternicită (vezi DPA).
• Extrasele bancare pe care le încarci. Fișierul extrasului și tranzacțiile citite din el — dată, sumă, monedă, sens, descriere, referință bancară și, când extrasul le conține, numele și IBAN-ul contrapărții. Le folosim pentru a potrivi încasările cu facturile (vezi secțiunea 7).
• Date de facturare (planurile cu plată). Denumirea firmei sau numele tău, CUI/CIF, adresa de facturare, e-mailul și istoricul abonamentului și al plăților — necesare pentru gestionarea abonamentului și emiterea facturii fiscale. Datele cardului nu ajung niciodată pe serverele noastre: le introduci direct în formularul securizat găzduit de Stripe.
• Date tehnice și operaționale. Jurnale tehnice (loguri) generate la funcționarea serviciului, necesare pentru securitate, depanare și prevenirea abuzurilor.

Datele de mai sus sunt necesare pentru a-ți putea furniza serviciul și, unde scrie așa, pentru a respecta obligații legale. Dacă nu ni le dai, nu putem deschide contul și nu putem prelua facturile din SPV.

3. Temeiul legal și scopurile prelucrării

Nu folosim datele tale fiscale în scopuri de marketing și nu le vindem niciodată.

Când ești tu operatorul și când suntem noi

Pentru datele din facturile firmei tale — clienții tăi, furnizorii tăi, sumele — tu ești operatorul, iar noi le prelucrăm doar la instrucțiunea ta, ca persoană împuternicită. Condițiile sunt în acordul de prelucrare a datelor.

Suntem noi operatorul pentru: contul și autentificarea ta, abonamentul și facturile pe care ți le emitem, securitatea serviciului, măsurarea pe site-ul de prezentare, datele din extrasele bancare încărcate și directorul public de firme. Acolo răspundem noi pentru prelucrare și ție îți răspundem tot noi.

4. Cui ajung datele

Autorități, care răspund singure pentru ce fac cu datele

• ANAF. Este sursa facturilor pe care le primești și destinatarul celor pe care le emiți. Ne conectăm prin mecanismul oficial de autorizare ANAF, fără intermediar. Pentru sistemul SPV / e-Factura, ANAF este operator de sine stătător și răspunde el pentru prelucrare — nu lucrează pentru noi și nu îi putem da instrucțiuni. Când verifici o firmă sau salvezi un client, trimitem CUI-ul acelei firme la serviciul public al ANAF, ca să aflăm dacă este plătitoare de TVA și dacă este activă.
• Comisia Europeană (VIES). Când completezi un cod de TVA din altă țară a Uniunii Europene în datele de facturare, îl trimitem serviciului VIES al Comisiei, ca să verificăm dacă este valid. Fără această verificare nu putem aplica regimul corect de TVA.

Furnizori care prelucrează date pentru noi

Fiecare lucrează pe baza unui contract de prelucrare a datelor și doar în scopul de mai jos:

• Google (Google Drive). Stocare aleasă și controlată de tine: PDF-urile sunt arhivate în propriul tău cont Google Drive, în folderul pe care îl alegi. Aceste fișiere rămân în controlul tău. Folosirea de către noi a datelor Google respectă Politica privind datele utilizatorilor serviciilor API Google, inclusiv cerințele de utilizare limitată.
• Stripe (plăți). Stripe Payments Europe, Ltd. procesează plățile cu cardul pentru planurile cu plată. Datele cardului se introduc direct în formularul găzduit de Stripe și nu ating serverele noastre.
• Resend. Furnizor de livrare a e-mailurilor tranzacționale (linkul de autentificare și notificările esențiale). Procesează adresa ta de e-mail în acest scop.
• Hetzner Online GmbH (găzduire). Infrastructura pe care rulează aplicația și baza de date, pe servere în Uniunea Europeană (Germania).
• Cloudflare (CDN / DNS). Livrarea traficului și protecția site-ului și a aplicației. Primește adresa IP și cererile browserului tău.
• Google (fonturi, în aplicație). Aplicația de la app.efacturaspv.ro încarcă fonturile de la Google, care primește astfel adresa ta IP la deschiderea paginilor. Site-ul de prezentare le servește de la noi, deci acolo nu se întâmplă.
• Google (măsurare pe site-ul de prezentare). Doar dacă ai acceptat în bannerul de cookie-uri, Google Analytics și Google Ads primesc adresa ta IP, paginile pe care le deschizi și, dacă ai venit dintr-o reclamă, codul din acel link. Nimic din aplicație și nicio factură nu ajunge acolo. Detaliile și modul de retragere sunt în Politica de cookies.

Unde trimiți tu datele

Aplicația poate trimite automat datele facturilor tale către o adresă web pe care o configurezi tu, ca să le preiei în alt program. Pornește doar dacă o pui tu acolo, trimite către adresa pe care o dai tu, iar din momentul în care datele ajung acolo răspunzi tu de ele. O poți opri sau șterge oricând din aplicație.

În afara celor de mai sus, datele mai pot fi dezvăluite doar autorităților care le cer în condițiile legii și consilierilor noștri (de exemplu contabil sau avocat), atunci când este necesar.

Directorul public de firme

Pe acest site publicăm pagini de prezentare pentru firme din România, alcătuite din date publice: denumire, CUI, număr de înregistrare, stare, situații financiare depuse. Când salvezi sau modifici un client în aplicație, CUI-ul acelei firme intră în lista pe baza căreia construim directorul, iar pagina firmei respective poate apărea public și în motoarele de căutare.

Este important să știi două lucruri. Întâi, publicăm doar date deja publice despre firmă — niciodată facturile tale, sumele, condițiile comerciale sau faptul că firma respectivă îți este client. Apoi, aceasta este o prelucrare în interesul nostru propriu, nu una făcută la instrucțiunea ta: pentru ea răspundem noi ca operator, nu tu. Dacă ești reprezentantul unei firme și vrei ca pagina ei să nu mai fie publicată, scrie-ne la [email protected] și o retragem.

5. Abonamente, plăți și facturare

Pentru planurile cu plată, plățile sunt procesate de Stripe Payments Europe, Ltd., în calitate de persoană împuternicită. Datele cardului le introduci direct în formularul securizat găzduit de Stripe — nu ajung niciodată pe serverele noastre. Prelucrăm datele tale de facturare (denumire, CUI/CIF, adresă) pentru gestionarea abonamentului — art. 6(1)(b) GDPR, executarea contractului — și pentru emiterea facturii fiscale — art. 6(1)(c) GDPR, obligație legală.

Pentru fiecare plată emitem automat o factură fiscală conformă RO e-Factura, transmisă în SPV / ANAF; o poți vedea și descărca (XML / PDF) din aplicație. Facturile emise și datele de facturare aferente se păstrează 5 ani, socotiți de la 1 iulie a anului următor celui în care au fost întocmite, conform Legii contabilității nr. 82/1991, așa cum a fost modificată prin Legea nr. 36/2023. Această păstrare continuă și după ștergerea contului.

6. Accesul la Google Drive

Aplicația are două feluri de acces la Drive-ul tău. Primul vine automat cu conectarea, al doilea îl pornești tu și îl poți opri oricând.

Accesul de bază: doar fișierele pe care le punem noi

Când conectezi Google Drive, ne dai voie să lucrăm doar cu fișierele și folderele create de aplicație sau alese de tine prin fereastra Google de selecție. Tot restul Drive-ului tău ne rămâne invizibil: nu putem căuta prin el, nu îl putem lista și nu știm ce mai ai acolo.

• Scriem PDF-urile și XML-urile facturilor în folderul ales de tine, aranjate pe luni (2026.03 și așa mai departe), iar în fiecare lună separat Vanzari pentru ce emiți și Achizitii pentru ce primești. Exporturile lunare merg în _export.
• Citim numele, identificatorul și locul fișierelor puse de noi, ca să nu urcăm aceeași factură de două ori și ca să le regăsim dacă le muți sau le redenumești.
• Fișierele sunt în contul tău Google și rămân acolo și după ștergerea contului la noi.
• Poți revoca oricând accesul, din aplicație sau din setările contului tău Google.

Accesul extins: verificarea arhivei

Accesul de bază are o limită: nu vedem fișierele pe care le pui tu în folderul de arhivă, așa că nu putem verifica dacă arhiva ta este completă. Ca să putem, îți cerem să împarți folderul de arhivă cu contul-robot al aplicației, exact cum ai împărți un folder cu un coleg. Tu decizi dacă o faci.

Dacă o faci, iată ce se schimbă, fără nuanțe:

• Robotul vede tot ce se află în acel folder, inclusiv subfolderele și fișierele puse de tine sau de altcineva, nu doar cele puse de aplicație. Vede numele, mărimea, data și locul fiecărui fișier.
• Conținutul fișierelor nu îl citim niciodată și nu ștergem nimic — nici robotul, nici aplicația.
• Dacă îi dai drept de Vizualizare, robotul doar se uită. Dacă îi dai drept de Editor, poate în plus să mute fișiere dintr-un subfolder în altul în interiorul arhivei, atunci când aceeași lună a ajuns împărțită în două foldere și trebuie reunite. Rămân fișierele tale, în contul tău.
• Partajarea se retrage oricând din Google Drive, direct de la folder, fără să treci prin aplicație. După retragere, verificarea arhivei nu mai funcționează, dar restul serviciului merge normal.

7. Extrasele bancare pe care le încarci

Potrivirea încasărilor pornește de la un fișier pe care îl încarci tu: extrasul descărcat din aplicația băncii tale (PDF, MT940, camt.053 sau CSV). Nu ne conectăm la banca ta — nu îți cerem și nu primim date de autentificare bancară, nu vedem soldul în timp real și nu putem iniția plăți.

Pentru datele din extrase noi suntem operatorul, pentru că ele descriu încasările tale la noi în aplicație, nu documentele emise de tine.

• Ce păstrăm. Fișierul încărcat, așa cum l-ai dat, plus ce citim din el: IBAN-ul contului tău, perioada extrasului, soldul de la început și cel de la sfârșit, și fiecare tranzacție cu data, suma, moneda, sensul, descrierea, referința bancară și, când extrasul le conține, numele și IBAN-ul contrapărții.
• La ce le folosim. Ca să potrivim încasările cu facturile tale. De regulă îți propunem potrivirea și confirmi tu. Dacă activezi confirmarea automată — este oprită până o pornești tu — aplicația marchează singură factura ca plătită, dar numai când suma se potrivește exact și există o singură factură posibilă; în orice altă situație tot ție îți propune.
• Datele despre contraparte. Rămân în interiorul potrivirii: nu apar în exporturi, în datele trimise către alte programe, în e-mailuri și nici la altă firmă din aplicație. Regula este verificată automat la fiecare modificare a programului, așa că nu depinde de atenția cuiva. Ea privește ce iese din aplicație; copiile de siguranță ale bazei de date conțin, firesc, tot ce este în ea.
• Ce reținem după confirmarea ta. Când confirmi că un IBAN aparține unui client, îl reținem pentru potrivirile viitoare. Se șterge odată cu clientul respectiv și atunci când ștergi extrasele.
• Ce poți șterge. Din Setări → Conexiuni ștergi oricând extrasele încărcate și tranzacțiile lor. Butonul șterge toate extrasele firmei, nu doar unul, iar odată cu ele dispar IBAN-urile învățate și felul în care ținusem minte aranjarea coloanelor din fișierele tale CSV.
• Ce rămâne după ștergere. Încasările pe care le-ai confirmat rămân la facturile lor, pentru că sunt înregistrări contabile. Din extras ele păstrează doar banca, data operațiunii și referința bancară — fără numele și fără IBAN-ul contrapărții.

8. Dacă datele tale au ajuns la noi de la altcineva

Această secțiune este pentru tine dacă nu ai cont la noi și nu ne-ai dat niciodată vreun date, dar numele tău apare totuși în sistemul nostru. Se întâmplă în două situații.

• Ești furnizor și ai emis o factură către un client de-al nostru. Factura ajunge la clientul nostru prin sistemul ANAF, iar noi o preluăm de acolo pentru el. Din ea avem denumirea sau numele tău, CUI-ul sau CIF-ul, adresa, datele bancare dacă le-ai trecut, precum și numărul, sumele și descrierea produselor sau serviciilor.
• Apari într-un extras de cont încărcat de un client de-al nostru. Din extras avem numele și IBAN-ul tău, așa cum le-a scris banca, plus suma și descrierea plății.

Folosim aceste date doar ca clientul nostru să își poată ține evidența: să vadă și să arhiveze facturile primite și să știe ce a fost plătit. Nu îți construim profil, nu îți trimitem comunicări comerciale și nu vindem aceste date nimănui.

Nu îți putem scrie fiecăruia ca să te anunțăm. Datele vin din facturi și extrase, adesea fără o adresă de contact validă, iar o firmă poate primi mii de facturi pe an; a încerca să contactăm individual fiecare furnizor și fiecare persoană dintr-un extras ar necesita un efort disproporționat. GDPR prevede expres acest caz, la art. 14 alin. (5) lit. (b), cu condiția ca informarea să fie publică — de aceea există această secțiune.

Ai aceleași drepturi ca oricine altcineva: să afli ce date avem despre tine, să le corectezi, să ceri ștergerea lor și să te opui prelucrării. Scrie-ne la [email protected] și îți răspundem, de regulă, în cel mult o lună. Un lucru trebuie spus dinainte: facturile nu le putem șterge, pentru că legea îi cere clientului nostru să le păstreze, iar noi le ținem pentru el. În schimb, dacă te opui, îți putem restrânge prelucrarea la strictul necesar pentru arhivare, iar datele din extrase le putem șterge.

9. Transferuri internaționale

Facturile, documentele și datele firmei tale sunt găzduite pe servere în Uniunea Europeană (Germania). Unii furnizori pot prelucra anumite date și în Statele Unite:

• Google, Stripe și Cloudflare — în temeiul deciziei de adecvare a Comisiei Europene privind Cadrul UE-SUA de confidențialitate a datelor (Decizia de punere în aplicare (UE) 2023/1795), la care aceste companii sunt certificate. Comisia a constatat că Statele Unite asigură un nivel de protecție adecvat pentru companiile certificate, deci nu este nevoie de o garanție suplimentară.
• Resend — pe baza clauzelor contractuale standard adoptate de Comisia Europeană, prevăzute în contractul nostru de prelucrare a datelor cu el.

Poți primi o copie a acestor garanții scriindu-ne la [email protected].

10. Cât păstrăm datele și ce se întâmplă când ștergi

• Facturi (XML, PDF, metadate): păstrate cât timp firma există în aplicație. Obligația de arhivare de 5 ani, socotiți de la 1 iulie a anului următor celui în care au fost întocmite (Legea contabilității nr. 82/1991, modificată prin Legea nr. 36/2023), este a firmei tale; noi păstrăm documentele pentru ea. Când ștergi firma, îți descarci întâi arhiva completă, apoi le ștergem definitiv. XML-ul rămâne originalul legal: ANAF îl ține disponibil pentru descărcare din SPV aproximativ 60 de zile, după care îl arhivează și îl eliberează doar la cerere.
• Facturi fiscale pe care ți le-am emis noi și datele de facturare: aceleași 5 ani, inclusiv după ștergerea contului. Sunt documentele pe baza cărora ne plătim și noi taxele.
• Date de cont (e-mail, sesiuni): păstrate cât timp contul este activ. Ce se întâmplă la ștergere este descris mai jos.
• Token-uri ANAF și Google: păstrate până la deconectare sau revocare, după care sunt invalidate. Le ținem criptate.
• Extrase bancare și tranzacțiile lor: păstrate până când le ștergi tu din Setări → Conexiuni sau până la ștergerea firmei. Încasările pe care le-ai confirmat rămân la facturile lor, ca înregistrări contabile.
• Jurnale tehnice: le păstrăm cât timp funcționează serviciul și le revizuim periodic. Nu am stabilit încă un termen fix de ștergere; când îl stabilim, îl scriem aici.

Ce se întâmplă când ștergi contul

Ștergem tot ce ține de accesul tău: sesiunile, datele de autentificare, autorizarea ANAF, conexiunea cu Google Drive și calitatea ta de membru în firme. Numele și adresa ta de e-mail sunt înlocuite cu un identificator fără sens, care nu duce înapoi la tine.

Firma și facturile ei rămân — sunt documentele firmei, pe care ea trebuie să le păstreze pe termenul legal, indiferent cine mai are cont. Dacă vrei să dispară și ele, șterge întâi firma, cu arhiva descărcată, și abia apoi contul.

Nu putem șterge contul cât timp ai un abonament activ; anulează-l întâi.

Ce se întâmplă când ștergi o firmă

O firmă fără documente fiscale se șterge cu totul, împreună cu facturile primite, extrasele, conexiunile și restul datelor ei.

O firmă cu facturi emise, chitanțe, încasări sau alte documente se șterge în doi pași: îți descarci întâi arhiva completă — XML, PDF, chitanțe, situația plăților și registrul seriilor — apoi confirmi ștergerea, scriind numele firmei. După confirmare nu mai putem recupera și nu mai putem corecta (storno) niciun document.

Obligația de păstrare 5 ani este a firmei tale, nu a noastră; arhiva descărcată îi ține locul.

Ce rămâne la noi după ștergere: dovada operațiunii — cine a cerut-o, când, câte documente s-au șters și pe ce serii, plus amprenta arhivei pe care ți-am predat-o. Niciodată conținutul documentelor. O păstrăm 6 ani, ca să putem dovedi, dacă e nevoie, că ștergerea s-a făcut la cererea ta. Din copiile de siguranță datele dispar odată cu rotația lor obișnuită, în cel mult 10 zile, iar o restaurare nu readuce firmele șterse.

Poți însă opri complet activitatea unei astfel de firme: deconectează certificatul ANAF din Setări → Integrare ANAF și nu se mai preia și nu se mai trimite nimic în numele ei.

PDF-urile arhivate în Google Drive-ul tău rămân la tine în ambele cazuri — sunt în contul tău, nu al nostru.

11. Drepturile tale (persoana vizată)

În calitate de persoană vizată, ai conform GDPR următoarele drepturi:

• Acces — să afli ce date prelucrăm despre tine și să primești o copie.
• Rectificare — să corectezi datele inexacte sau incomplete.
• Ștergere („dreptul de a fi uitat”) — în limitele obligațiilor noastre legale de arhivare.
• Restricționarea prelucrării în anumite situații.
• Portabilitatea — să primești datele într-un format structurat, uzual și citibil automat. Funcția de descărcare în masă (ZIP cu XML/PDF) te ajută deja aici.
• Opoziție — la prelucrările bazate pe interes legitim.
• Retragerea consimțământului, acolo unde prelucrarea se bazează pe consimțământ, fără a afecta legalitatea prelucrării anterioare.

Îți poți exercita drepturile scriind la [email protected]. Răspundem, de regulă, în termen de o lună.

Dacă apreciezi că ți-au fost încălcate drepturile, poți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP):

• B-dul G-ral. Gheorghe Magheru nr. 28-30, Sector 1, cod poștal 010336, București
• [email protected]
• Formularul de plângere: dataprotection.ro

Dacă locuiești sau lucrezi în altă țară din Uniunea Europeană ori din Spațiul Economic European, te poți adresa în egală măsură autorității de supraveghere de acolo. Poți, de asemenea, să te adresezi instanței.

O prezentare detaliată a drepturilor și procedurilor GDPR este disponibilă în pagina noastră GDPR. Contabilii care prelucrează facturile clienților prin eFacturaSPV pot consulta și acordul de prelucrare a datelor (DPA).

12. Cookies

Pe site-ul de prezentare, până apeși un buton în bannerul de cookie-uri nu stocăm și nu citim nimic pe dispozitivul tău, în afară de alegerea ta. Dacă accepți, măsurăm vizitele și, separat, din ce reclamă ai venit; ambele trimit date la Google și pe ambele le poți retrage oricând. În aplicație folosim un cookie de sesiune, necesar ca să rămâi conectat. Lista completă, cu durate și destinatari, este în Politica de cookies.

13. Securitate

Datele fiecărei firme sunt separate de ale celorlalte, autentificarea se face prin e-mail, fără parole de reținut, token-urile de conectare la ANAF și Google sunt păstrate criptate, iar accesul intern la date este limitat la ce este strict necesar. Detaliile sunt în pagina Securitate. Niciun sistem nu este perfect; dacă suspectezi un incident, anunță-ne de urgență.

14. Contact și responsabil cu protecția datelor

Nu am desemnat un responsabil cu protecția datelor. Nu suntem obligați: nu monitorizăm persoane pe scară largă și nu prelucrăm categorii speciale de date. Întrebările despre prelucrarea datelor și cererile privind drepturile tale le tratăm direct noi, la [email protected]. Mai multe date de contact sunt pe pagina Contact.

15. Modificări ale acestei politici

Putem actualiza această politică pe măsură ce serviciul evoluează sau se schimbă cerințele legale. Vom marca data ultimei actualizări la începutul paginii și, pentru modificări importante, te vom anunța prin e-mail sau în aplicație.