Politica de confidențialitate

Cine operează serviciul

Operatorul de date pentru FinCosmos este MARS PRO IT SOLUTIONS S.R.L., cu sediul în str. Alexandru Vaida Voevod nr. 14, Cluj-Napoca, jud. Cluj, 400592, România, înregistrat sub numărul J12/1677/2021, cod fiscal 44052486. Pentru orice întrebare legată de datele tale, scrie la [email protected]. Responsabilul cu protecția datelor: [email protected].

Ce date colectăm

Nimic din ce nu ai introdus tu și nimic care nu este necesar ca serviciul să funcționeze. Concret:

• Contul: un nume de utilizator, o adresă de e-mail și o parolă. La înscriere nu cerem nimic altceva — nici numele real, nici numărul de telefon, nici vreun act de identitate. Separat, în Setări → Cont poți completa opțional un prenume, un nume, un număr de telefon și o țară; ele sunt salvate doar dacă le scrii tu, iar nimic din aplicație nu le cere.
• Înregistrările tale: sume, date calendaristice, categorii, descrieri, obiective de economisire, datorii, șabloane recurente și setările spațiilor de lucru. Toate ajung acolo pentru că le-ai introdus tu, s-au creat dintr-un șablon pe care l-ai definit sau le-ai confirmat dintr-un fișier CSV.
• Preferințele de interfață: limba, tema și moneda în care ceri să vezi totalurile.
• Context tehnic, doar pentru câteva acțiuni sensibile: adresa IP și tipul de browser, înregistrate atunci când ceri resetarea parolei, când partajezi un spațiu de lucru sau când un administrator al platformei face o operațiune asupra contului tău. Aplicația nu păstrează adresa IP la fiecare cerere pe care o faci. Serverul web din fața ei își ține însă propriul jurnal de acces, cum face orice server web, iar acela conține adresa fiecărei cereri; el ține de infrastructura de găzduire numită mai jos.
• Nu colectăm date de plată. Nu există facturare, deci nu există card, IBAN sau adresă de facturare de stocat.

Unde stau datele tale

Fiecare cont primește o schemă proprie în baza de date PostgreSQL. Nu este vorba despre un filtru într-o interogare peste un tabel comun, ci despre o separare structurală: datele contului tău stau în tabele care aparțin doar contului tău. Schema activă este legată de contextul cererii curente și nu este niciodată salvată de o tranzacție, tocmai ca o cerere să nu poată ajunge din greșeală în schema altcuiva.

Parole și sesiuni

Parola ta este stocată doar ca hash și nu poate fi citită înapoi de nimeni, nici de noi. Dacă o uiți, nu ți-o putem spune; îți putem trimite doar un link de resetare. Numărul de încercări de autentificare este limitat, ca o parolă să nu poată fi ghicită prin încercări repetate.

După autentificare primești un cookie de sesiune valabil 90 de minute. Cât timp folosești aplicația, el se reînnoiește automat în fundal; reînnoirea are la rândul ei o limită de șapte zile de la autentificare, după care trebuie să te autentifici din nou. Când apeși „Ieșire”, ambele jetoane sunt invalidate pe loc pe server, nu doar șterse din browser.

Criptare la păstrare: ce acoperă și ce nu

Aici trebuie să fim exacți, pentru că formularea obișnuită — „datele tale sunt criptate” — ar fi înșelătoare. Ce criptăm la păstrare sunt secretele serviciului: cheile API ale furnizorilor și parola serverului de e-mail. În producție, aplicația refuză să salveze un astfel de secret dacă nu are o cheie de criptare configurată, în loc să îl scrie în clar și să raporteze succes.

Înregistrările tale financiare nu sunt criptate rând cu rând în baza de date. Nici nu pot fi, atât timp cât serverul calculează pe ele: scorul de sănătate financiară, estimarea de impozit, suma rămasă de cheltuit și consolidarea între spații de lucru sunt toate aritmetică făcută pe server. Singurul design în care operatorul chiar nu poate citi datele este cel în care cheia se derivă din parola ta și serverul nu vede niciodată textul clar — iar acela ar desființa aproape tot ce face aplicația și ar transforma o parolă uitată în pierderea definitivă a înregistrărilor.

Criptarea la păstrare apără împotriva unui dump de bază de date, a unei copii de siguranță scurse, a unui disc furat sau a unui acces de citire uitat deschis. Nu apără împotriva cuiva care poate rula aplicația, pentru că aplicația deține cheia. Preferăm să spunem aceasta decât să lăsăm impresia contrară.

În producție, cookie-urile de sesiune sunt marcate Secure, deci circulă doar pe conexiune criptată.

Unde rulează serverul

Aplicația și baza de date rulează pe servere administrate de MARS PRO IT SOLUTIONS S.R.L. în România și pe Microsoft Azure în Germania. Ambele sunt în Uniunea Europeană, deci datele tale nu sunt transferate în afara ei. Copiile de siguranță sunt păstrate timp de 60 de zile.

Modelul de limbaj: unde este folosit și ce pleacă de pe server

Un model de limbaj este folosit în exact două locuri, amândouă în importul unui extras — CSV, PDF sau ZIP: ca să ghicească ce reprezintă coloanele fișierului și ca să propună o categorie pentru fiecare rând. Atât.

Niciun număr afișat în aplicație nu vine de la un model. Impozitul estimat, suma rămasă de cheltuit, pragurile, scorul de sănătate și consolidarea sunt aritmetică pe înregistrările tale. Datele calendaristice și sumele dintr-un extras — CSV sau PDF — sunt citite din textul original de cod obișnuit, nu de model, iar nimic din ce propune modelul nu intră în înregistrări până nu apeși tu butonul de import.

Dacă este configurat un furnizor găzduit — și, conform angajamentului de mai jos, doar unul din interiorul Uniunii Europene — atunci pleacă de pe serverul aplicației către el, fără a ieși din UE: numele coloanelor și primele cinci rânduri ale fișierului, exact așa cum sunt scrise în fișier; apoi, în loturi, descrierea fiecărui rând (primele 200 de caractere), suma, sensul tranzacției și lista numelor categoriilor tale. Nu pleacă numele tău de utilizator, adresa ta de e-mail, restul înregistrărilor sau vreun identificator al contului.

Furnizorul este o setare de implementare, nu o alegere scrisă în cod. Operatorul se angajează să folosească doar un model găzduit în Uniunea Europeană sau un server pe care îl găzduiește el însuși — niciodată un furnizor care ar scoate datele în afara UE, tocmai ca să rămână adevărat ce scrie mai sus despre găzduire. Implicit nu este configurat niciunul, iar atunci importul este pur și simplu indisponibil: ecranul de import îți spune aceasta înainte să încarci ceva, în loc să eșueze la prima încercare.

Nu ne conectăm la banca ta

FinCosmos nu are nicio legătură cu conturile tale bancare. Nu folosim Open Banking, nu îți cerem credențiale de bancă și nu putem iniția nicio plată. Înregistrările ajung în aplicație în trei feluri: le scrii de mână, se creează dintr-un șablon recurent pe care l-ai definit tu, sau le confirmi dintr-un extras — CSV, PDF sau un ZIP cu mai multe — pe care l-ai exportat singur din banca ta și pe care îl revizuiești înainte de import.

Partajarea unui spațiu de lucru

Poți invita un alt cont să vadă unul dintre spațiile tale de lucru, printr-o invitație trimisă pe e-mail. Aceasta înseamnă exact ce pare că înseamnă: persoana aceea vede înregistrările din acel spațiu. Rolul pe care i-l dai stabilește ce poate face — „vizualizator” doar citește, „editor” poate și scrie, „contabil” citește tot și poate descărca dosarul de predare către contabilitate. Poți retrage accesul oricând, iar o invitație netrimisă mai departe expiră după șapte zile.

Adresa de e-mail la care trimiți invitația este păstrată pe permisiunea respectivă, ca invitatul să o poată accepta și ca să se știe cui i-a fost dată. Acordarea și retragerea accesului sunt înregistrate în jurnalul de audit, împreună cu adresa IP de la care s-au făcut.

E-mail

Singurele mesaje pe care ți le trimitem sunt tranzacționale: resetarea parolei, invitația la un spațiu de lucru și răspunsul la un mesaj pe care ni l-ai trimis tu prin formularul de asistență. Nu există newsletter, nu există mesaje de marketing și nu există o listă la care să fii adăugat. Nu vindem și nu închiriem adresa ta nimănui.

Urmărire și analiză: niciuna

Nu există Google Analytics, nu există pixel de Facebook, nu există Hotjar, Mixpanel, Segment, Amplitude, PostHog sau vreun alt instrument de analiză. Nu există cookie-uri de publicitate și nu există cookie-uri de la terți. Nu construim un profil al tău și nu urmărim ce ecrane deschizi. Este un lucru rar și îl spunem pentru că este adevărat, nu pentru că sună bine.

Cookie-urile pe care le punem sunt strict cele de care depinde autentificarea: jetonul de sesiune, jetonul de reînnoire și cele două jetoane care le însoțesc pentru protecția împotriva CSRF. Niciunul nu servește la urmărire.

Cookie-uri și consimțământ

Singurele cookie-uri pe care le punem sunt cele fără de care autentificarea nu funcționează. Nu există niciun cookie de analiză, de publicitate sau de la vreun terț. Iată-le, pe fiecare:

• Jetonul de sesiune — te ține autentificat. Valabil 90 de minute, marcat httpOnly și Secure, deci nu poate fi citit din JavaScript și circulă doar pe conexiune criptată.
• Jetonul de reînnoire — prelungește sesiunea în fundal, fără să te re-autentifici, până la o limită de șapte zile de la autentificare. Are aceleași marcaje de protecție.
• Cele două jetoane anti-CSRF — însoțesc jetoanele de mai sus și împiedică un alt site să acționeze în numele tău. Fără ele, orice operațiune de scriere este refuzată.

Pentru niciunul dintre ele nu îți cerem consimțământul și nu vezi niciun banner de cookie-uri — pentru că legea nu îl cere aici. Directiva ePrivacy și Legea 506/2004 care o transpune scutesc de consimțământ cookie-urile strict necesare furnizării serviciului pe care l-ai cerut, iar acestea patru sunt exact atât: fără ele nu te poți autentifica. Un banner care ți-ar cere „acordul” pentru ceva ce nu are alternativă ar fi înșelător, nu conform. Consimțământul devine obligatoriu doar pentru cookie-uri de analiză, de marketing sau de la terți — pe care nu le folosim. Dacă aceasta se va schimba vreodată, vei vedea o cerere de consimțământ reală, cu opțiuni pe categorii și cu refuzul la fel de ușor ca acceptul, înainte ca un astfel de cookie să fie pus, iar secțiunea aceasta va fi actualizată.

În memoria locală a browserului rămân limba pe care ai ales-o și o copie a stării interfeței — spațiul de lucru activ, preferințele de afișare și ultimele date încărcate — ca aplicația să nu pornească goală la fiecare reîncărcare. Nu e un cookie și nu pleacă nicăieri de pe dispozitivul tău; o poți șterge oricând din setările browserului.

Ce contactează browserul tău și ce contactează serverul

Fontul folosit pentru cifre, JetBrains Mono, este servit chiar de pe serverele aplicației, nu de la Google Fonts. Ca să-l încarce, browserul tău nu face nicio cerere către domeniul altcuiva, deci deschiderea aplicației nu-ți dezvăluie adresa IP niciunui terț. A fost servit de la fonts.googleapis.com până de curând; l-am mutat local tocmai ca să nu mai plece un IP către Google înainte de prima afișare, moment în care oricum n-ai fi avut cum să-ți dai acordul.

Serverul, la rândul lui, descarcă o dată pe zi cursurile valutare de referință de la Banca Centrală Europeană și, dacă operatorul a configurat aceasta, cursuri istorice de la un furnizor extern. Cererile acestea, de curs valutar, nu conțin nimic despre tine sau despre înregistrările tale.

Există însă o cerere care pleacă la terți cu date din spațiul tău, și trebuie spusă: verificarea unui cod fiscal. Când ceri validarea unui CUI sau a unui cod de TVA, codul acela este transmis către ANAF, către sistemul VIES al Comisiei Europene pentru coduri intracomunitare și, dacă ANAF nu răspunde, către furnizorul FirmeAPI. Pleacă numai codul fiscal, la cererea ta, și numai atunci — nu trimitem înregistrările, numele tău sau adresa ta de e-mail. Răspunsul primit îl păstrăm în spațiul tău, ca să nu întrebăm de două ori același lucru.

Îți poți lua datele

Setări → Cont → „Descarcă datele mele” îți dă, într-un singur fișier JSON, tot ce ține contul tău: spații de lucru, înregistrări, categorii, obiective și setări. Sumele sunt exacte, scrise ca text ca să nu se piardă un ban la rotunjire. Fișierul nu conține hash-ul parolei și nici alte valori care servesc la autentificare. Exportul nu șterge nimic.

Îți poți închide contul

Setări → Cont → „Închide contul”, confirmat cu parola. Contul încetează să funcționeze imediat, iar toate sesiunile sunt invalidate pe loc, pe toate dispozitivele. Datele sunt păstrate o perioadă de grație, ca o apăsare greșită să poată fi anulată de un om; numărul exact de zile este stabilit de server și îți este arătat înainte să confirmi. După ce trece, schema ta din baza de date este ștearsă cu totul, împreună cu rândurile care îți permiteau să te autentifici, și nu mai poate fi recuperată. O ștergere care nu șterge niciodată nu este o ștergere.

Ce nu dispare odată cu contul

Jurnalul de audit al platformei păstrează o urmă a acțiunilor sensibile — o resetare de parolă, o partajare, o intervenție a unui administrator: ce acțiune a fost, când s-a făcut, sub ce nume de utilizator și de la ce adresă IP. Numele de utilizator este scris acolo separat, tocmai ca înregistrarea să rămână lizibilă după ștergerea contului, iar aceste rânduri nu sunt eliminate de ștergere. Ele nu conțin sumele, categoriile sau descrierile tale.

Copiile de siguranță deja făcute nu se rescriu în momentul în care îți închizi contul: sunt păstrate timp de 60 de zile și apoi expiră după propriul termen.

Drepturile tale

Dacă te afli în Uniunea Europeană, Regulamentul general privind protecția datelor îți dă dreptul de acces la datele tale, de rectificare, de ștergere, de restricționare a prelucrării, de opoziție și de portabilitate. Două dintre ele sunt deja butoane în aplicație: portabilitatea este exportul JSON, iar ștergerea este închiderea contului. Pentru celelalte, scrie la [email protected].

Ai de asemenea dreptul de a depune o plângere la autoritatea de supraveghere din țara în care locuiești. Autoritatea competentă pentru operatorul acestui serviciu este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), București, România.

Pentru ce date suntem operator și pentru ce date nu suntem

Distincția aceasta contează, pentru că de ea depinde cine răspunde de ce. Pentru datele contului tău — numele de utilizator, adresa de e-mail, parola și ce completezi opțional în Setări — suntem operator: noi le cerem, noi hotărâm de ce ne trebuie, iar temeiul este executarea contractului dintre tine și noi.

Pentru datele pe care le scrii tu despre alți oameni sau despre alte firme — un asociat, un angajat, un client, un proprietar dintr-un contract — noi nu le cerem și nu hotărâm nimic despre ele. Tu alegi ce introduci, în ce scop și pe ce temei, iar noi doar păstrăm și prelucrăm ce ne-ai dat, după instrucțiunile tale. În raport cu acele date, tu ești operatorul și noi suntem persoana împuternicită, în sensul art. 28 din Regulamentul general privind protecția datelor.

Regula pe care ne-o impunem singuri este mai scurtă decât distincția de mai sus: cerem doar minimul necesar ca aplicația să funcționeze. La înscriere nu cerem numele real, numărul de telefon sau vreun act de identitate. Nicăieri în aplicație nu îți cerem date despre terți pe care să nu le fi ales tu.

Un caz merită numit pe nume, pentru că este cel mai sensibil: un spațiu de firmă poate conține codul numeric personal al unui asociat, dacă alegi să îl completezi. Nu îl cerem la crearea spațiului și nu este necesar pentru ca aplicația să funcționeze; îți este necesar ție, atunci când distribui dividende. Codul numeric personal este un număr de identificare național în sensul Legii nr. 190/2018, iar răspunderea pentru temeiul prelucrării lui îți revine ca operator. Noi răspundem pentru felul în care îl păstrăm.

Temeiul prelucrării

Datele contului și înregistrările tale sunt prelucrate pentru executarea contractului dintre tine și noi — adică pentru a-ți furniza serviciul pe care l-ai cerut. Jurnalul de audit al acțiunilor sensibile și limitarea încercărilor de autentificare se sprijină pe interesul legitim de a menține serviciul în siguranță.

Securitate, spus cinstit

Nu a existat niciun audit de securitate extern. Produsul este în alfa. Aplicăm măsurile descrise mai sus — izolare pe scheme separate, parole doar sub formă de hash, cookie-uri Secure cu protecție împotriva CSRF, limitarea încercărilor de autentificare, criptarea secretelor stocate — dar nimeni din afară nu le-a verificat, iar noi nu vom pretinde altceva. Dacă ai găsit o problemă de securitate, scrie la [email protected].

Minori

Serviciul nu este destinat persoanelor sub 16 ani și nu colectăm cu bună știință date de la ele.

Modificări ale acestei politici

Când textul de mai sus se schimbă, se schimbă și data de la începutul paginii. Aplicația nu are încă un mecanism prin care să te anunțe automat despre o modificare; dacă îl vom adăuga, îl vom spune aici.

Contact

Pentru orice întrebare despre datele tale: [email protected]. E-mailul este singurul canal de asistență și, fiind în alfa, nu putem promite un timp de răspuns.