Politica de confidențialitate

1. Rolurile Wellzone și domeniul politicii

Wellzone este operator pentru datele necesare propriului cont, administrării platformei, relației cu Partenerii, serviciilor/Programelor Wellzone pe care le contractează și obligațiilor sale legale. Pentru datele Angajaților introduse sau gestionate de o Companie într-un program, Compania poate fi operator, iar Wellzone poate fi persoană împuternicită sau operator distinct, în funcție de flux, instrucțiuni și contract. Rolul nu se presupune identic pentru toate prelucrările și se va stabili în documentele aplicabile colaborării.

Politica se aplică datelor colectate prin conturi, cereri, profiluri, soluții, programări, feedback, comunicări, suport, plăți/facturare și utilizarea tehnică a CONNECT. Nu se aplică prelucrărilor realizate independent de Companie sau Partener în afara platformei, care trebuie informate de entitatea responsabilă.

2. Categorii de date, scopuri și surse

• Cont și identitate: nume, email, rol, companie, date de contact, verificarea emailului, starea contului și evidența acceptării Termenilor pentru Parteneri (contul asociat, versiunea documentului și data și ora acceptării). Scop: creare, autentificare, administrare, suport, securitate și dovedirea versiunii contractuale acceptate. Sursa este utilizatorul, Compania sau Partenerul. Temeiurile uzuale sunt executarea contractului, interesul legitim pentru securitate și dovedirea raportului contractual și, când legea cere, obligația legală.
• Date profesionale și comerciale: profiluri, denumire/legal name, CUI, adresă, persoană de contact, website, arii de expertiză, servicii, calificări, documente de eligibilitate, acoperire, prețuri și disponibilitate, dacă sunt furnizate. Scop: verificare, prezentare, selecție, matching, cereri, ofertare și relația contractuală. Temei: contract, demersuri precontractuale, obligație legală și interes legitim, după context.
• Cereri, colaborări și comunicări: descrierea nevoii, categorii, locație, buget/dată, număr de participanți, mesaje, răspunsuri, programări, anulări, note, feedback, rating și evenimentele dosarului. Scop: furnizarea și coordonarea fluxului solicitat, comunicare, prevenirea abuzului și dovada operațiunilor. Datele provin de la Companie, Angajat, Partener sau Wellzone în timpul fluxului. În formularul „Găsește o soluție”, răspunsurile introduse înainte de autentificare rămân temporar în sesiunea browserului. După autentificarea Companiei sunt preluate în solicitarea acesteia. Textul liber nu este trimis pentru analiza AI înainte de autentificare și este analizat doar când utilizatorul continuă explicit fluxul. Textul și termenul unei solicitări începute pe pagina unei soluții rămân de asemenea temporar în sesiunea browserului. Apăsarea butonului înainte de autentificare nu trimite solicitarea Partenerului; Compania o poate verifica și trimite după autentificare.
• Facturare și plăți: datele de facturare introduse pentru entitate/persoană, CUI/CNP dacă este furnizat și necesar, statut TVA, adresă, email, telefon, identificatori de abonament/factură/plată/rambursare și date de reconciliere. Scop: abonamentele comerciale active, facturare, contabilitate și obligații fiscale. Plata online este procesată prin Stripe; Wellzone nu urmărește să stocheze numărul complet al cardului.
• Date tehnice și de securitate: IP, informații despre browser/dispozitiv, sesiune, autentificare, loguri, tokenuri de verificare și evenimente de securitate/anti-abuz. Scop: funcționare, protecție, diagnostic, prevenirea fraudei și apărarea drepturilor. Unele verificări de acces folosesc Cloudflare Turnstile.

3. Temeiuri și destinatari/categorii de destinatari

Pentru fiecare flux, temeiul concret se stabilește în funcție de scop și rol. În principal folosim art. 6 alin. (1) lit. b) GDPR pentru cont, solicitări și servicii/contracte, lit. c) pentru obligații legale, lit. f) pentru securitate, audit, prevenirea abuzului, dovedirea raportului contractual și continuitate, iar consimțământul numai acolo unde este necesar, inclusiv pentru preferințe de stocare/cookie care nu sunt esențiale.

• Compania, Partenerul sau Angajatul relevant, numai în măsura necesară dosarului și funcției utilizate;
• furnizori de hosting, baze de date, stocare de imagini/documente și securitate, conform instrucțiunilor/contractelor aplicabile;
• Stripe pentru checkout, abonamente și evenimente de plată, SmartBill pentru fluxurile de facturare configurate și Resend pentru emailurile gestionate;
• OpenAI pentru analiza opțională a textului din solicitarea unei Companii autentificate, numai când funcția este disponibilă și utilizatorul continuă explicit fluxul;
• ANAF sau alte surse oficiale pentru verificarea codului fiscal, atunci când fluxul de înregistrare o cere;
• Cloudflare Turnstile pentru verificarea anti-abuz, furnizori de suport/consultanți autorizați și autorități publice când există obligație legală.

Furnizorii primesc numai datele necesare scopului lor. Relația Companie–Partener și orice acces la date dintr-o cerere este limitat de contextul dosarului și de permisiunile efective ale platformei.

4. Categorii speciale de date și texte libere

CONNECT nu are un câmp dedicat colectării datelor despre sănătate. Totuși, descrierile cererilor, mesajele, notele, profilurile sau feedbackul pot conține accidental informații despre sănătate, situația financiară ori alte categorii speciale. Nu introduce astfel de detalii dacă nu sunt necesare. Partenerul și Compania nu trebuie să încarce date despre sănătatea Angajaților fără o funcție aprobată, informare, temei legal și măsuri contractuale adecvate.

Dacă o colaborare necesită prelucrare în numele unei părți, instrucțiunile, rolurile și măsurile se stabilesc separat; această politică nu creează singură un temei pentru date speciale și nu autorizează reutilizarea lor pentru marketing.

5. Retenție și criterii de păstrare

Păstrăm datele atât cât este necesar scopului, relației contractuale și apărării drepturilor, apoi le ștergem sau le anonimizăm conform regulilor interne și termenelor legale. Criteriile aplicate includ:

• contul, dosarele și evidența acceptării Termenilor Partenerului: pe durata activă a contului; evidența acceptării este ștearsă odată cu ștergerea contului prin funcția disponibilă;
• datele fiscale, facturile și evidențele de plată: pe durata impusă de legislația contabilă/fiscală;
• tokenurile de verificare a emailului: până la 72 de ore; cookies de referral/promoție: până la 30 de zile;
• preferința de cookie: până la 365 de zile; unele stări locale, precum tokenul unui participant la o programare, rămân în browser până la ștergere sau expirarea funcției;
• logurile, backupurile și documentele: conform perioadei de securitate, audit, suport și retenție legală aplicabile; perioada exactă pentru fiecare furnizor trebuie confirmată în registrul intern.

6. Transferuri internaționale

Furnizorii tehnologici pot procesa date în afara Spațiului Economic European, în funcție de configurația și locația serviciului. Înaintea unui astfel de transfer se verifică existența unui mecanism din art. 44–49 GDPR, precum o decizie de adecvare sau clauze contractuale standard, împreună cu măsurile suplimentare necesare. Lista și regiunea efectivă a fiecărui furnizor trebuie menținute în registrul intern și nu sunt presupuse doar din numele serviciului.

7. Recomandări și decizii automatizate

Matching-ul și recomandările ajută la ordonarea și selectarea opțiunilor pe baza nevoii, profilului și criteriilor operaționale. Ele nu sunt promisiuni, nu reprezintă decizii juridice/medicale și nu produc singure o decizie cu efect juridic sau similar semnificativ asupra unei persoane. Se pot aplica verificări și intervenții umane/administrative.

8. Drepturile persoanelor vizate

În condițiile GDPR, poți solicita accesul, rectificarea, ștergerea, restricționarea prelucrării, portabilitatea, opoziția la prelucrări bazate pe interes legitim și retragerea consimțământului pentru viitor. Ne poți scrie la help@wellzone.ro. Poți depune plângere la ANSPDCP.

9. Informarea conform art. 13 și 14 GDPR

Datele provin de la persoana vizată, de la Compania sau Partenerul care creează/gestionează contul și cererea, din interacțiunile din platformă, din surse oficiale precum ANAF pentru verificarea CUI și de la furnizorii tehnici pentru evenimente de plată, securitate sau livrare a comunicărilor. Pentru date primite indirect, informarea și rolurile se completează în fluxul concret, contractul cu Compania/Partenerul sau documentul de protecție a datelor aplicabil.

Scopurile, temeiurile, destinatarii, criteriile de retenție și transferurile sunt descrise în secțiunile 2–6. Dacă o funcție nouă ar introduce o categorie, un scop sau un destinatar material nou, politica și informarea din flux trebuie actualizate înainte de activare.

10. Securitate și actualizări

Aplicăm măsuri tehnice și organizatorice rezonabile, inclusiv control de acces pe roluri, autentificare, limitarea datelor la contextul dosarului, monitorizare operațională și protecție împotriva abuzului. Nicio transmisie sau stocare nu poate fi garantată ca fiind absolut sigură. Actualizăm această politică atunci când produsul sau legea o cere și afișăm data ultimei modificări.