Politica de Confidențialitate

1. Cine suntem

Operatorul datelor cu caracter personal descrise în această politică este:

Pentru orice întrebare privind datele tale, inclusiv pentru exercitarea drepturilor descrise în secțiunea 14, ne poți scrie la contact@layro.ro sau prin pagina de Contact. Nu am desemnat un responsabil cu protecția datelor (DPO); solicitările sunt tratate de echipa Layro, în termenele prevăzute în secțiunea 14.

2. Cui i se adresează această politică

Layro este folosit de categorii diferite de persoane, iar datele pe care le prelucrăm despre fiecare sunt diferite. Politica se adresează, prin urmare, la trei categorii de persoane vizate:

• Vizitatorii site-ului layro.ro — persoane care navighează pe site-ul public de prezentare (secțiunea 3);
• Titularii de cont — profesioniștii care își creează un cont în aplicația app.layro.ro și își gestionează acolo proiectele, precum arhitecți, birouri de arhitectură și designeri de interior (secțiunea 4);
• Clienții invitați — beneficiarii pe care un titular de cont îi invită într-un proiect pentru a vedea planurile și a le aproba. Clienții nu își creează cont și nu au un contract cu noi, dar datele lor sunt prelucrate de Layro (secțiunea 5).

Această politică este disponibilă public, fără autentificare, astfel încât să poată fi citită și de clienții invitați, care nu au un cont prin care să o acceseze.

Persoanele care apar în conținutul încărcat. Fișierele de proiect pot conține incidental date despre alte persoane — de exemplu cineva surprins într-o fotografie de șantier sau un nume dintr-un cartuș de plan. Nu avem o relație directă cu aceste persoane și nu le putem contacta individual: titularul de cont este cel care decide ce încarcă și confirmă, prin Termeni și Condiții, că are dreptul să o facă. Dacă te regăsești într-o astfel de situație, ne poți scrie la contact@layro.ro și îți vom explica ce date deținem și cum îți poți exercita drepturile din secțiunea 14.

3. Vizitatorii site-ului layro.ro

Când vizitezi site-ul public de prezentare, prelucrăm:

• Date de utilizare și date tehnice — pagini vizitate, tipul de browser și de dispozitiv, sistemul de operare și o localizare aproximativă dedusă din adresa IP. Aceste date sunt colectate prin PostHog, în două regimuri. Implicit — dacă nu ai ales încă sau dacă ai refuzat bannerul — măsurarea rulează fără să stocheze sau să citească ceva în browserul tău, iar identificatorul folosit este generat pe serverul PostHog și se schimbă zilnic, deci nu te putem recunoaște de la o vizită la alta. Temeiul este interesul legitim și te poți opune oricând. Dacă accepți bannerul, stocăm în plus un identificator aleatoriu în browserul tău, care ne arată vizitatorii care revin, și înregistrăm și clicurile pe elementele paginii. Nu măsurăm nimic dacă browserul tău trimite semnalul Do Not Track.
• Datele de abonare la comunicările comerciale — dacă te abonezi la noutățile Layro, prelucrăm adresa de email pe care o introduci și, dacă alegi să îl completezi, numele tău. Abonarea se confirmă printr-un email de validare: adresa intră pe listă numai după ce apeși linkul din acel mesaj. Păstrăm și dovada consimțământului — momentul abonării și textul pe care l-ai acceptat. Detaliile se află în secțiunea 7.

Detaliile complete despre cookie-uri și tehnologiile similare se află în Politica de Cookie-uri.

4. Titularii de cont

Pentru a-ți crea și folosi contul în aplicație, prelucrăm:

• Date de identificare și de contact — nume, prenume și adresa de email;
• Date de autentificare — parola stocată exclusiv sub formă de hash criptografic (bcrypt); nu avem acces la parola ta în clar. La acestea se adaugă codurile temporare de activare a contului și de resetare a parolei, precum și token-urile de sesiune;
• Preferința de limbă — pentru a-ți afișa interfața și emailurile în limba aleasă;
• Opțiunea privind comunicările comerciale — dacă ai acceptat sau nu să primești noutăți despre Layro, împreună cu momentul alegerii și cu textul pe care l-ai acceptat. Le păstrăm pentru a putea dovedi consimțământul, conform art. 7 alin. (1) GDPR;
• Date privind abonamentul — planul ales, starea abonamentului, data următoarei reînnoiri sau a schimbării de plan, identificatorii corespunzători din Stripe. Nu primim și nu stocăm datele cardului tău — acestea sunt introduse direct în pagina securizată găzduită de Stripe;
• Conținutul pe care îl încarci — proiecte, faze, foldere, fișiere și planuri, împreună cu marcajele, comentariile și aprobările aferente;
• Istoricul de activitate — o evidență a acțiunilor din proiect (cine a încărcat un fișier, cine a adăugat un marcaj, cine a aprobat o fază), împreună cu numele autorului acțiunii și momentul acesteia;
• Jurnale tehnice — jurnalele serverelor și ale echilibratorului de trafic, care conțin adrese IP, momentul cererii și adresa accesată. Sunt necesare pentru securitate și pentru diagnosticarea problemelor.

Furnizarea numelui, a adresei de email și a parolei este necesară pentru încheierea și executarea contractului: fără ele nu îți putem crea contul. Restul datelor rezultă din utilizarea efectivă a aplicației.

5. Clienții invitați într-un proiect

Dacă ai fost invitat să vezi un proiect în Layro, prelucrăm despre tine:

• Nume, adresă de email și preferința de limbă — comunicate de profesionistul care te-a invitat;
• Token-ul de invitație, momentul invitării și momentul ultimei tale accesări a proiectului — acestea îți permit accesul fără cont și fără parolă;
• Conținutul pe care îl creezi — marcajele, comentariile și aprobările pe care le adaugi în proiect, împreună cu numele tău și momentul acțiunii, înregistrate în istoricul proiectului.

Sursa datelor. Nu am obținut numele și adresa ta de email direct de la tine, ci de la profesionistul care administrează proiectul, în momentul în care te-a invitat. Îți comunicăm acest lucru în temeiul art. 14 GDPR. Acesta decide cine este invitat într-un proiect. Opoziția față de invitație se adresează, de regulă, profesionistului respectiv. Drepturile prevăzute în secțiunea 14, inclusiv dreptul de opoziție, pot fi exercitate și față de noi, în orice moment.

Cine decide asupra datelor tale. Pentru datele din proiect — fișierele, marcajele, comentariile și aprobările tale — operatorul este profesionistul care te-a invitat, iar Layro are calitatea de persoană împuternicită: le prelucrează exclusiv pe baza instrucțiunilor lui, conform Acordului de Prelucrare a Datelor. Cererile de ștergere sau de rectificare se adresează, de regulă, profesionistului respectiv. Cererile primite direct de noi îi sunt transmise fără întârziere.

Nu îți creăm cont și nu îți cerem o parolă. Accesul tău la proiect funcționează exclusiv pe baza linkului de invitație primit pe email.

6. Temeiurile legale ale prelucrării

Fiecare prelucrare descrisă mai sus are un temei legal distinct, conform art. 6 GDPR:

7. Emailurile pe care le trimitem

Layro îți trimite trei feluri de mesaje, cu regimuri diferite: rezumatul zilnic, care adună activitatea din proiectele tale; comunicările comerciale, pe care le primești numai dacă te-ai abonat; și emailurile tranzacționale, necesare funcționării serviciului. Cele trei se gestionează separat: oprirea unuia nu le oprește pe celelalte.

Rezumatul zilnic

Rezumatul zilnic adună într-un singur mesaj ce s-a întâmplat în proiectele tale în ziua precedentă: fișiere noi, marcaje, comentarii și aprobări. Titularii de cont îl primesc dimineața, iar clienții invitați mai târziu în cursul dimineții. Dacă nu s-a întâmplat nimic, nu se trimite niciun email.

Încetarea primirii. Fiecare rezumat conține, la final, o modalitate de dezabonare. Un răspuns la acel email determină oprirea rezumatului pentru adresa respectivă. Mesajele includ și antetul standard List-Unsubscribe, pe care unele aplicații de email îl folosesc pentru a afișa un buton de dezabonare.

Comunicările comerciale

Dacă te-ai abonat în mod expres, îți trimitem din când în când noutăți despre Layro — funcționalități noi, îmbunătățiri ale platformei și, ocazional, oferte.

Cum ne dai acordul. Prin bifarea voluntară a unei căsuțe dedicate, la crearea contului sau în formularul de abonare de pe site. Căsuța nu este bifată în prealabil și nu este condiționată de crearea contului ori de utilizarea serviciului: dacă nu o bifezi, Layro funcționează identic. Când te abonezi din formularul de pe site, îți trimitem întâi un email de confirmare, iar adresa intră pe listă numai după ce apeși linkul din el.

Cum te dezabonezi. Fiecare mesaj conține un link de dezabonare care funcționează dintr-un singur clic, fără autentificare și fără să fie nevoie să ne scrii. Dacă nu ai primit încă niciun mesaj și vrei să îți retragi acordul, ne poți scrie la contact@layro.ro. Retragerea consimțământului produce efecte fără întârziere și nu afectează legalitatea mesajelor trimise anterior.

Cine nu primește aceste mesaje. Clienții invitați într-un proiect nu primesc niciodată comunicări comerciale de la noi. Adresele lor ne sunt încredințate de profesionistul care i-a invitat, exclusiv pentru derularea proiectului, iar Acordul de Prelucrare a Datelor ne interzice să le folosim în scopuri proprii de marketing.

Aceste mesaje sunt livrate prin Brevo (secțiunea 9). Nu măsurăm dacă le deschizi și nu urmărim linkurile pe care apeși în cuprinsul lor.

Emailurile tranzacționale

Activarea contului, resetarea parolei, invitația într-un proiect și anunțurile esențiale privind serviciul sunt necesare pentru funcționarea Layro. Ele se trimit în continuare, indiferent dacă ai oprit rezumatul zilnic ori te-ai dezabonat de la comunicările comerciale.

8. Cât timp păstrăm datele

Perioadele de mai jos sunt cele configurate efectiv în sistemele noastre:

9. Cui divulgăm datele

Pentru a funcționa, Layro se bazează pe furnizorii de mai jos. Aceștia prelucrează date în numele nostru, în baza unor contracte de prelucrare încheiate conform art. 28 GDPR, și nu le pot folosi în scopuri proprii. Nu vindem și nu închiriem datele nimănui și nu le divulgăm în scopuri publicitare.

În afara acestor furnizori, putem divulga date autorităților publice atunci când avem o obligație legală în acest sens, precum și consultanților noștri (avocați, contabili), în măsura strict necesară și sub obligație de confidențialitate.

10. Transferuri în afara Spațiului Economic European

Datele tale sunt stocate în Uniunea Europeană. Există totuși două situații în care date pot ajunge în afara SEE, pe care ți le semnalăm explicit:

• Stripe. Contractăm cu Stripe Payments Europe, Ltd., societate irlandeză, care transferă date către societatea-mamă Stripe, Inc. din Statele Unite. Transferul se întemeiază pe clauzele contractuale standard adoptate de Comisia Europeană, completate de participarea Stripe, Inc. la Cadrul UE-SUA privind confidențialitatea datelor (EU-US Data Privacy Framework), pentru care Comisia a emis o decizie de adecvare.
• Rețeaua de distribuție a conținutului (CDN). Aplicația este servită printr-o rețea de distribuție operată de AWS, cu servere în locații din întreaga lume. Pentru a livra paginile rapid, o cerere venită din afara Europei poate fi servită de un server situat în afara SEE, iar adresa IP și pagina cerută trec prin acel server. Baza de date și fișierele rămân stocate exclusiv în Germania. Transferul se întemeiază pe clauzele contractuale standard incluse în contractul de prelucrare încheiat cu AWS.

Poți obține de la noi o copie a garanțiilor pe care ne întemeiem, scriindu-ne la contact@layro.ro.

11. Copii de siguranță

Facem copii de siguranță pentru a putea reface serviciul în caz de incident:

• Baza de date — copii automate păstrate 5 zile, după care sunt suprascrise;
• Imaginile înlocuite — atunci când o imagine este suprascrisă în stocare, cum este coperta unui proiect, versiunea anterioară se mai păstrează 30 de zile, apoi se elimină automat. Versiunile anterioare ale fișierelor de proiect nu intră în acest mecanism: ele sunt păstrate ca fișiere de sine stătătoare, cât timp există fișierul (secțiunea 8).

Trebuie să știi un lucru important despre ștergere: ștergerea datelor din sistemul activ nu rescrie copiile de siguranță deja create. Acestea sunt arhive închise, care nu pot fi modificate selectiv fără a le compromite integritatea. Datele șterse rămân, prin urmare, în copiile de siguranță până la expirarea intervalelor de mai sus, după care dispar în mod natural. În acest interval copiile nu sunt folosite în niciun alt scop decât refacerea serviciului în caz de incident, iar dacă o refacere ar readuce în sistem date pe care le-ai șters, le eliminăm din nou.

12. Securitatea datelor

• Traficul dintre dispozitivul tău și serverele noastre este criptat (HTTPS/TLS);
• Baza de date este stocată criptat, iar accesul la ea este restrâns la rețeaua internă a aplicației;
• Parolele sunt stocate exclusiv sub formă de hash bcrypt, generat individual pentru fiecare parolă; nu le putem citi și nu le putem recupera;
• Fișierele încărcate sunt accesibile doar prin linkuri semnate, cu valabilitate limitată în timp;
• Sesiunile folosesc token-uri de acces de scurtă durată, revocabile;
• Istoricul de activitate este înlănțuit criptografic, astfel încât o modificare retroactivă a unei înregistrări să poată fi detectată.

Dacă se produce o încălcare a securității datelor care riscă să îți afecteze drepturile, o notificăm ANSPDCP în termen de 72 de ore, conform art. 33 GDPR, și te informăm direct atunci când riscul este ridicat, conform art. 34.

13. Ce se întâmplă când ștergi contul sau un proiect

Ștergerea în Layro este efectivă, nu doar o ascundere a datelor:

• Ștergerea contului anulează imediat abonamentul, apoi șterge contul, proiectele tale, fișierele din stocare, notificările și înregistrările din istoricul de activitate al proiectelor în care ai acționat. Nu păstrăm o copie pseudonimizată a acestora;
• Ștergerea unui proiect șterge fișierele, marcajele, comentariile, aprobările, istoricul de activitate și notificările aferente, precum și datele clienților invitați în acel proiect;
• Excepția o constituie documentele contabile, pe care legea ne obligă să le păstrăm 5 ani, și copiile de siguranță deja create, care expiră singure conform secțiunii 11.

Dacă ești client invitat. Trebuie să distingi între două lucruri diferite.

Retragerea accesului de către titularul de cont. Titularul de cont îți poate retrage oricând accesul la proiect. Dacă nu ai accesat niciodată proiectul și nu ai adăugat nimic, înregistrarea ta se șterge complet. Dacă ai participat, accesul îți este revocat, dar înregistrarea și contribuțiile tale rămân în proiect, pentru ca istoricul aprobărilor să rămână inteligibil pentru ambele părți. Retragerea accesului nu este, așadar, o ștergere a datelor tale.

Cererea ta de ștergere adresată nouă. Dacă ne ceri ștergerea datelor tale, numele și adresa ta de email sunt înlocuite, peste tot unde apar, cu un marcaj neutru, iar accesul îți este revocat definitiv. Din acel moment nu mai putem lua legătura cu tine, iar din ceea ce rămâne nu mai poți fi identificat.

Rămân doar contribuțiile în sine și faptul că cineva a acționat, împreună cu momentul acțiunii — fără nimic care să te identifice. Le păstrăm în temeiul art. 17 alin. (3) lit. e) GDPR: un istoric al aprobărilor din care lipsesc înregistrări nu ar mai putea servi la constatarea, exercitarea sau apărarea unui drept, nici pentru tine, nici pentru titularul de cont. Dacă totuși consideri că nici aceste înregistrări nu ar trebui păstrate, scrie-ne la contact@layro.ro și analizăm situația ta.

14. Drepturile tale

În calitate de persoană vizată, ai următoarele drepturi. Ele se aplică deopotrivă titularilor de cont și clienților invitați:

• Dreptul de acces (art. 15) — să afli ce date deținem despre tine și să primești o copie a lor;
• Dreptul la rectificare (art. 16) — să corectăm datele inexacte sau să le completăm pe cele incomplete;
• Dreptul la ștergere (art. 17) — să îți ștergem datele, în limitele descrise în secțiunile 11 și 13;
• Dreptul la restricționarea prelucrării (art. 18) — să limităm prelucrarea cât timp o contestație este în curs de soluționare;
• Dreptul la portabilitate (art. 20) — să primești datele pe care ni le-ai furnizat într-un format structurat, folosit în mod curent și care poate fi citit automat;
• Dreptul la opoziție (art. 21) — să te opui prelucrărilor întemeiate pe interesul nostru legitim. Acest drept este deosebit de relevant pentru clienții invitați, al căror acces la proiect și al căror rezumat zilnic se întemeiază pe interes legitim. Dacă te opui primirii rezumatului zilnic, îl oprim;
• Dreptul de a retrage consimțământul (art. 7) — pentru prelucrările întemeiate pe consimțământ. Retragerea este la fel de simplă ca acordarea lui și nu afectează legalitatea prelucrărilor efectuate anterior. Pentru comunicările comerciale, apasă linkul de dezabonare din oricare mesaj primit. Pentru identificatorul de vizitator stocat în browser, folosește Setări cookie-uri, în subsolul fiecărei pagini.

Îți poți exercita oricare dintre aceste drepturi scriindu-ne la contact@layro.ro. Răspundem în cel mult o lună de la primirea cererii, termen pe care îl putem prelungi cu două luni pentru cereri complexe, caz în care te anunțăm în prima lună. Exercitarea drepturilor este gratuită. Este posibil să îți cerem informații suplimentare pentru a ne asigura că cererea vine într-adevăr de la tine.

15. Cookie-uri și tehnologii similare

Site-ul de prezentare măsoară traficul anonim, fără să stocheze nimic pe dispozitivul tău, și stochează un identificator de vizitator numai cu consimțământul tău. Aplicația app.layro.ro nu folosește cookie-uri de analiză; ea stochează în browserul tău doar informațiile strict necesare pentru a te menține autentificat și pentru a-ți reține limba aleasă. Detaliile complete, inclusiv lista exactă a informațiilor stocate și modul în care îți poți schimba opțiunea, se află în Politica de Cookie-uri.

16. Decizii automate și profilare

Layro nu ia decizii automate care să producă efecte juridice asupra ta sau să te afecteze în mod similar într-o măsură semnificativă, în sensul art. 22 GDPR, și nu te supune profilării. Dacă vom introduce funcționalități care presupun o astfel de prelucrare, vom actualiza această politică și te vom informa înainte de punerea lor în funcțiune.

17. Minori

Layro este un serviciu destinat utilizării profesionale de către profesioniști și beneficiarii acestora. Nu se adresează minorilor și nu colectăm cu bună știință date de la aceștia. Dacă afli că un minor ne-a furnizat date personale, scrie-ne la contact@layro.ro și le vom șterge.

18. Modificări ale acestei politici

Putem actualiza această politică atunci când serviciul se schimbă sau când apar cerințe legale noi. Data ultimei actualizări este afișată la începutul paginii. Dacă modificarea este semnificativă — de exemplu un scop nou al prelucrării sau un destinatar nou — te anunțăm din timp prin email sau printr-un mesaj în aplicație, înainte ca modificarea să producă efecte.

19. Corespondența cu noi, plângeri și contact

Când ne scrii. Dacă ne contactezi la contact@layro.ro — fie cu o întrebare despre serviciu, fie cu o solicitare privind drepturile tale, fie cu o propunere de colaborare — prelucrăm numele tău, adresa de email și conținutul mesajului, împreună cu eventualele atașamente. Temeiul este interesul legitim de a răspunde persoanelor care ne contactează (art. 6 alin. (1) lit. f)), iar atunci când mesajul privește încheierea unui contract, art. 6 alin. (1) lit. b). Păstrăm corespondența cât timp este necesar pentru soluționarea ei; în cazul solicitărilor privind drepturile din secțiunea 14, o păstrăm încă 3 ani de la soluționare, pentru a putea dovedi că am răspuns, conform obligației de responsabilitate din art. 5 alin. (2) GDPR. Serviciul de email este furnizat de Hostinger (secțiunea 9).

Dacă ai o nemulțumire legată de modul în care îți prelucrăm datele, te rugăm să ne contactezi mai întâi la contact@layro.ro — în cele mai multe cazuri putem rezolva problema direct. Ai însă dreptul de a depune oricând o plângere la autoritatea de supraveghere:

Dacă locuiești sau lucrezi în alt stat membru al Uniunii Europene, te poți adresa deopotrivă autorității de supraveghere din statul respectiv — art. 77 GDPR îți permite să depui plângerea la autoritatea din statul în care îți ai reședința obișnuită, la cea din statul în care lucrezi sau la cea din statul în care s-a produs presupusa încălcare.

Ai, de asemenea, dreptul de a te adresa instanțelor judecătorești competente.