Politică de Confidențialitate & GDPR

Aplicația OutOfDesk este un produs oferit de . Această Politică de Confidențialitate explică ce date personale colectăm, cum le utilizăm, cu cine le împărtășim și ce drepturi ai asupra lor.

Prelucrarea datelor este guvernată de Regulamentul (UE) 2016/679 (GDPR), de Legea nr. 190/2018 privind măsurile de punere în aplicare a GDPR în România, de Legea nr. 53/2003 (Codul Muncii) și de legislația sectorială aplicabilă.

Politica se aplică tuturor persoanelor care interacționează cu Aplicația OutOfDesk prin outofdesk.ro: administratorii clienților-firmă, angajații acestora, precum și vizitatorii site-ului public de prezentare.

1. Operatorul de date

Datele tale personale sunt prelucrate de:

• Denumire legală:
• Brand comercial:
• Sediul social: Str. Călugărului nr. 17, Sat Bălteni, Comuna Periș, Jud. Ilfov, România
• CUI: 54729441
• Nr. Registrul Comerțului: J2026032931002
• Email: contact@outofdesk.ro
• Telefon: +40 736 495 817
• Website aplicație: https://outofdesk.ro

2. Rolul dublu al Furnizorului în prelucrarea datelor

Această secțiune este fundamentală pentru înțelegerea modului în care sunt protejate datele, mai ales cele ale angajaților introduși în Aplicație de către companiile-client. Conform GDPR, Furnizorul poate acționa în două calități distincte:

(a) Operator de date (Data Controller)

Pentru datele companiilor-client și ale persoanelor care administrează contul companiei (administratori, responsabili de cont), Furnizorul este Operator. Stabilește singur scopurile și mijloacele prelucrării. Aceste date sunt necesare pentru: contractarea serviciului, comunicare tehnică, suport, apărare în eventuale dispute.

(b) Împuternicit (Data Processor)

Pentru datele angajaților introduse în Aplicație de către clienții-angajatori (nume, funcție, cereri de concediu, aprobări, decizia medicului atașată cererilor de concediu medical), Furnizorul este Împuternicit. În acest caz, Operatorul este clientul-angajator (firma care folosește OutOfDesk pentru managementul concediilor), iar Furnizorul execută exclusiv instrucțiunile acestuia, prin punerea la dispoziție a Aplicației ca instrument tehnic.

Pentru această relație B2B, Furnizorul semnează cu fiecare client un Acord de Prelucrare a Datelor (în practica internațională: „Data Processing Addendum", prescurtat „DPA") separat, conform art. 28 GDPR. Detalii complete despre DPA sunt în Termenii și condițiile publicate la /terms.html.

3. Categoriile de date personale prelucrate

3.1. Date despre vizitatorii site-ului outofdesk.ro

• Adresa IP (utilizată pentru securitate, anonimizată pentru analytics)
• Tipul browser-ului, sistemul de operare, rezoluția ecranului
• Pagini vizitate, timpul petrecut, sursa traficului
• Cookie-uri (vezi secțiunea dedicată)

3.2. Date despre compania-client și administratorii acesteia

Colectate la înregistrare și activarea contului, ca Operator independent:

• Denumirea firmei, CUI, număr angajați, domeniul de activitate
• Numele, prenumele, emailul, telefonul și funcția administratorului de cont
• Istoricul interacțiunilor cu echipa de suport

3.3. Date despre angajați (prelucrate ca Împuternicit)

Introduse de administratorul clientului-angajator pe seama companiei:

• Nume, prenume, email de serviciu, funcție / departament
• Cereri de concediu (tip, perioadă, motiv opțional, status aprobare)
• Istoricul aprobărilor/respingerilor și al aprobatorilor
• Calendarul absențelor la nivel de echipă
• La plecarea din firmă, pentru nota de lichidare generată de angajator: numărul matricol, funcția, locul de muncă, data și motivul încetării contractului și situația concediului la încetare (zilele de concediu de odihnă, zilele de concediu medical din ultimele 12 luni, pe luni, și zilele fără plată), împreună cu documentul generat
• Pentru concediul medical: decizia medicului (certificatul de concediu medical), încărcată de angajat ca PDF sau fotografie. Documentul poate conține date de identificare (inclusiv CNP) și date privind sănătatea (de exemplu codul de diagnostic), deci este o categorie specială de date (art. 9 GDPR). Aplicația îl păstrează ca fișier, fără să extragă sau să prelucreze separat informațiile din el.
• Dacă folosești aplicația mobilă și accepți notificările: un identificator de notificare (token) emis de sistemul de operare pentru instalarea aplicației de pe telefonul tău, împreună cu platforma (iOS sau Android)
• Dacă aplicația mobilă întâmpină o eroare tehnică: un raport care conține mesajul erorii și urma de execuție, versiunea aplicației, versiunea sistemului de operare, modelul dispozitivului și identificatorul tău intern (UID). Raportul nu conține conținutul cererilor, PIN-ul sau adresa ta de email.

3.4. Date din corespondența prin email

Orice informație pe care o transmiți prin email la contact@outofdesk.ro sau ca răspuns la mesajele noastre tranzacționale este stocată în serviciul de email până la finalizarea scopului comunicării.

4. Scopurile și temeiurile legale ale prelucrării

4.1. Executarea contractului (art. 6 alin. 1 lit. b GDPR)

• Crearea și operarea contului companiei-client
• Procesarea cererilor de concediu și a aprobărilor
• Notificări email pentru evenimente relevante (cereri noi, aprobări, respingeri)
• Notificări push pe telefon pentru aceleași evenimente, dacă ai instalat aplicația mobilă și ai acordat permisiunea. Le poți opri oricând din setările telefonului; notificările rămân vizibile în aplicație.
• Suport tehnic și rezolvarea tichetelor de asistență

4.2. Îndeplinirea obligațiilor legale (art. 6 alin. 1 lit. c GDPR)

• Răspunsul la solicitările autorităților competente (ANAF, ANSPDCP)
• Conformitatea cu obligațiile GDPR

4.3. Interesul legitim (art. 6 alin. 1 lit. f GDPR)

• Securizarea Aplicației și a backend-ului (prevenirea atacurilor, detectarea fraudei)
• Analiza anonimizată a utilizării pentru îmbunătățirea produsului
• Apărarea în fața unor potențiale dispute

4.4. Notă specială pentru datele angajaților

Pentru datele angajaților prelucrate în Aplicație pe seama angajatorului, temeiul legal este stabilit de clientul-angajator (Operatorul), nu de Furnizor. Conform practicii ANSPDCP, consimțământul angajatului NU constituie o bază legală validă pentru prelucrări în contextul relației de muncă, datorită dezechilibrului de putere. Temeiul corect este executarea contractului individual de muncă (art. 6 alin. 1 lit. b) sau obligația legală a angajatorului de a ține evidența timpului de muncă (art. 6 alin. 1 lit. c, în corelare cu art. 119 din Codul Muncii). Responsabilitatea stabilirii și documentării bazei legale corecte revine integral clientului-angajator.

Decizia medicului atașată cererilor de concediu medical este prelucrată pe seama angajatorului, pentru îndeplinirea obligațiilor acestuia în domeniul dreptului muncii și al asigurărilor sociale (art. 9 alin. 2 lit. b GDPR): documentarea concediului medical și transmiterea documentului către instituția responsabilă de decontare.

5. Destinatarii datelor (subcontractori și terți)

NU vindem, NU închiriem și NU transferăm datele tale personale către terți în scop comercial. Divulgăm datele strict către prestatorii care ne permit să funcționăm și către autoritățile publice, la solicitări legale documentate.

Subcontractorii actuali sunt:

• Google Cloud / Firebase (Google LLC) — găzduiește backend-ul Aplicației (autentificare, baza de date Firestore, funcții serverless, stocare fișiere). Baza de date Firestore și funcțiile rulează în Uniunea Europeană (Varșovia, respectiv Belgia), iar deciziile medicale se păstrează separat, într-un spațiu de stocare din Uniunea Europeană (Varșovia). Celelalte fișiere (PDF-urile cererilor aprobate, semnăturile, sigla companiei, rapoartele lunare, capturile atașate tichetelor) sunt stocate în Statele Unite. Unele componente complementare (Firebase Authentication, Analytics) pot stoca metadate tot în Statele Unite. Pentru acestea se aplică garanțiile descrise în secțiunea următoare.
• Resend (Resend, Inc., Statele Unite) — livrează email-urile tranzacționale (notificări cereri concediu, aprobări/respingeri, confirmări administrative).
• OVHcloud (OVH Hosting Limited, Irlanda; server în Germania) — găzduiește serverul Furnizorului pe care se păstrează copiile de siguranță orare ale bazei de date. Copiile sunt criptate înainte de a fi scrise pe disc, iar cheia de decriptare nu se află pe server, deci OVHcloud nu are acces la conținutul lor.
• Apple Push Notification service (Apple Inc., Statele Unite) și Firebase Cloud Messaging (Google LLC) — livrează notificările push către telefon. Primesc identificatorul de notificare al dispozitivului și conținutul notificării (titlul și textul evenimentului, de exemplu tipul cererii și perioada). Sunt folosite numai dacă ai instalat aplicația mobilă și ai acordat permisiunea pentru notificări.
• Microsoft Clarity (Microsoft Corporation, Statele Unite) și Hotjar (Hotjar Ltd, Malta — Uniunea Europeană) — analiză agregată a comportamentului pe site-ul public de prezentare (hărți de interacțiune / heatmaps și, în cazul Hotjar, reconstrucția anonimizată a sesiunilor). Sunt încărcate numai după consimțământul explicit dat prin bannerul de la prima vizită și numai dacă browserul nu semnalează „Global Privacy Control" sau „Do Not Track". Nu rulează în Aplicația propriu-zisă (zona autentificată).
• Sentry (Functional Software, Inc.; infrastructură UE pentru proiectele Furnizorului) — monitorizează erorile tehnice ale Aplicației, atât în versiunea web cât și în aplicația mobilă, pentru identificarea și remedierea rapidă a problemelor (observability). Primește identificator intern de utilizator (UID Firebase — nu adresă de email), tipul rolului, mesajul erorii și urma de execuție, la care se adaugă URL-urile navigate (web), respectiv versiunea aplicației, versiunea sistemului de operare și modelul dispozitivului (mobil). Nu primește conținutul cererilor de concediu, documentele medicale, parole, PIN-uri, adrese de email sau semnături — acestea sunt eliminate automat înainte de trimitere. Nu urmărește navigarea în scop publicitar și nu înregistrează ecranul. Înregistrările sunt păstrate maximum 90 de zile. Retransmisia de date e bazată pe interes legitim (art. 6 alin. 1 lit. f GDPR) — operarea fiabilă a unui serviciu B2B.
• Autorități publice competente (ANAF, ANSPDCP, Inspecția Muncii, instanțe) — exclusiv la solicitări legale documentate, conform legislației în vigoare.

Lista completă și actualizată a subcontractorilor poate fi solicitată oricând la contact@outofdesk.ro.

6. Transferul datelor în afara Uniunii Europene

Baza de date principală a Aplicației rulează în Uniunea Europeană (Varșovia), la fel ca funcțiile serverless (Belgia) și spațiul separat în care se păstrează deciziile medicale (Varșovia), iar copiile de siguranță orare, criptate, se păstrează pe un server din Germania. Anumite componente sunt însă stabilite în Statele Unite ale Americii: stocarea celorlalte fișiere (PDF-urile cererilor aprobate, semnăturile, sigla companiei, rapoartele lunare, capturile atașate tichetelor), Firebase Authentication, Microsoft Clarity, Resend pentru emailuri, serviciile de notificări push ale Apple și Google. Hotjar (Malta) și Sentry (infrastructură UE) prelucrează în Uniunea Europeană.

Pentru aceste transferuri, Furnizorul se bazează pe garanțiile adecvate prevăzute de GDPR:

• Clauze contractuale standard (Standard Contractual Clauses — SCC) aprobate de Comisia Europeană prin Decizia de punere în aplicare (UE) 2021/914
• EU-U.S. Data Privacy Framework, pentru furnizorii certificați DPF (Google LLC este certificat DPF)
• Măsuri tehnice suplimentare: criptare în tranzit (TLS 1.2+), criptare în repaus pentru datele sensibile, controlul accesului pe bază de roluri

Poți solicita detalii complete despre locațiile fiecărei categorii de date printr-o cerere scrisă la contact@outofdesk.ro.

7. Cookie-uri și tehnologii similare

Site-ul outofdesk.ro folosește cookie-uri clasificate în trei categorii:

• Strict necesare — funcționarea site-ului și a Aplicației (sesiune, preferință, consimțământ cookie). Nu pot fi dezactivate.
• Analitice — măsurare a comportamentului pe site-ul public de prezentare prin Microsoft Clarity și Hotjar (hărți de interacțiune și reconstrucția anonimizată a sesiunilor). Aceste instrumente nu se încarcă deloc înainte de consimțământ: sunt activate numai după ce apeși „Accept" în bannerul de la prima vizită și numai dacă browserul nu semnalează „Global Privacy Control" sau „Do Not Track".
• Funcționale — îmbunătățiri ale experienței de utilizare. Opționale, plasate doar cu consimțământ.

Poți gestiona preferințele în orice moment prin ștergerea cookie-urilor din browser și reîncărcarea paginii.

8. Durata păstrării datelor

Păstrăm datele personale strict atât timp cât este necesar pentru scopurile pentru care au fost colectate sau cât impune legea:

• Contul companiei-client activ: pe toată durata contractului, plus 30 de zile pentru export de date după reziliere
• Cont companie-client dezactivat: ștergere completă după 30 de zile de la reziliere, cu excepția datelor păstrate pentru obligații legale (facturi și documente contabile — pe durata impusă de legislația fiscal-contabilă)
• Datele angajaților: pe toată durata contului activ al companiei. La rezilierea contului, se aplică perioada de 30 zile de export; după, ștergere ireversibilă.
• Foștii angajați (cei pentru care angajatorul a generat nota de lichidare): contul lor se dezactivează, iar datele, istoricul cererilor și nota de lichidare rămân în contul companiei, pentru obligațiile legale de arhivare ale angajatorului. Din Aplicație nu se mai modifică și nu se mai șterg; la rezilierea contului companiei se aplică regula de mai sus (export în 30 de zile, apoi ștergere).
• Decizia medicului atașată unei cereri de concediu medical: nu are dată de expirare automată. Se păstrează cât timp există contul angajatului și al companiei și se șterge definitiv odată cu ștergerea contului angajatului de către angajator, respectiv cu ștergerea contului companiei.
• Copiile de siguranță ale bazei de date: recuperarea la un moment dat acoperă ultimele 7 zile, backupurile săptămânale din Google Cloud se păstrează 98 de zile, iar copiile criptate de pe serverul Furnizorului 7 zile (cele orare), respectiv 30 de zile (câte una pe zi). Datele șterse din Aplicație dispar din copii la expirarea acestor termene.
• Log-uri de acces ale Aplicației: maxim 6 luni
• Identificatorul de notificare al dispozitivului: până când ieși din cont pe telefonul respectiv, dezinstalezi aplicația sau ceri delogarea de pe toate dispozitivele. Se șterge și automat, când platforma îl raportează ca nemaifiind valabil.
• Date analytics (trafic anonimizat pe site-ul public): maxim 14 luni
• Corespondența pe email: până la finalizarea scopului comunicării, apoi arhivare maxim 36 luni

După expirarea acestor perioade, datele sunt șterse ireversibil sau, acolo unde e tehnic mai potrivit, anonimizate complet.

9. Drepturile tale conform GDPR

Ai următoarele drepturi, exercitabile gratuit prin email la contact@outofdesk.ro:

• Dreptul de acces (art. 15 GDPR) — să afli ce date personale deținem despre tine și să primești o copie
• Dreptul la rectificare (art. 16 GDPR) — să corectezi date inexacte sau incomplete
• Dreptul la ștergere / „dreptul de a fi uitat" (art. 17 GDPR)
• Dreptul la restricționarea prelucrării (art. 18 GDPR)
• Dreptul la portabilitate (art. 20 GDPR) — să primești datele în format structurat (CSV, JSON)
• Dreptul la opoziție (art. 21 GDPR) — pentru prelucrările bazate pe interes legitim
• Dreptul de a nu face obiectul unei decizii automate (art. 22 GDPR) — Furnizorul nu ia decizii exclusiv automate care produc efecte juridice; fluxul de aprobare a cererilor de concediu este controlat integral de managerii umani ai companiei-client
• Dreptul de a retrage consimțământul — oricând, fără a afecta legalitatea prelucrării anterioare retragerii
• Dreptul de a depune plângere la autoritatea de supraveghere

Răspundem cererilor primite în termen de 30 de zile calendaristice, cu posibilitatea de extindere cu maxim 60 de zile pentru cereri complexe (art. 12 alin. 3 GDPR).

Autoritatea de supraveghere din România: Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral Gheorghe Magheru nr. 28-30, Sector 1, București, email anspdcp@dataprotection.ro, website www.dataprotection.ro.

10. Securitatea datelor

Aplicăm măsuri tehnice și organizatorice proporționale cu riscul, pentru a proteja datele personale împotriva accesului neautorizat, pierderii, alterării sau distrugerii:

• Criptare TLS 1.2+ pe toate conexiunile între browser, Aplicație și subcontractori
• Criptare în repaus pentru baza de date Firestore și pentru stocarea fișierelor
• Control al accesului pe bază de roluri și autentificare cu parolă puternică (administratori și utilizatori)
• Deciziile medicale se păstrează separat și fără link public. Le deschid doar angajatul și persoanele desemnate de angajator (Directorul General, Directorul Administrativ și cei cu acces la documente medicale), iar fiecare descărcare se înregistrează în jurnalul de audit al companiei
• Copii de siguranță: recuperare la un moment dat pentru ultimele 7 zile, backup săptămânal în Google Cloud și o copie orară criptată pe un server din Uniunea Europeană, fără cheia de decriptare pe acel server; restaurarea a fost testată cu succes în septembrie 2026
• Monitorizarea log-urilor de acces și a comportamentului anormal
• Procedură de notificare a breșelor de date: evaluare în 24 de ore, notificare la ANSPDCP în maxim 72 de ore dacă riscul este prezent, notificare a persoanelor vizate când riscul este ridicat (art. 33-34 GDPR)

Nicio metodă de transmitere prin Internet și de stocare electronică nu este 100% sigură. Depunem eforturi rezonabile comercial pentru a proteja datele, dar nu putem garanta securitate absolută.

11. Minori

Aplicația OutOfDesk este destinată exclusiv utilizării profesionale în context B2B. Nu colectăm intenționat date personale de la minori sub 16 ani. Respectarea vârstei minime legale de angajare (15 ani pentru munci ușoare cu acord parental, 16 ani pentru angajare completă, conform Codului Muncii) revine integral clientului-angajator care introduce datele angajaților în Aplicație.

12. Modificări ale politicii

Ne rezervăm dreptul de a actualiza această Politică de Confidențialitate pentru a reflecta modificările legislative sau ale practicilor noastre. Orice modificare substanțială va fi notificată prin:

• Un anunț vizibil pe site la prima vizită după modificare
• Un email către administratorii clienților-companii cu cont activ, cu minimum 30 de zile înainte
• Actualizarea datei „Ultima actualizare" din antetul paginii

Versiunile anterioare ale politicii pot fi solicitate la contact@outofdesk.ro.

13. Contact

Pentru orice întrebare legată de prelucrarea datelor personale, pentru exercitarea drepturilor GDPR sau pentru semnalarea unor probleme de protecție a datelor, ne poți contacta:

Răspundem la fiecare cerere în termenul legal de 30 de zile calendaristice. Dacă nu ești mulțumit de răspunsul nostru, ai oricând dreptul de a depune o plângere la ANSPDCP.

Consultați și Termeni și Condiții pentru detalii privind utilizarea Aplicației OutOfDesk.