Politica de Confidențialitate

Platforma Kidy este operată de 2Lines Sistem SRL, societate înregistrată în România, cu CUI RO16807695, număr de ordine în registrul comerțului J2004001481239, cu sediul în Str. Fizicienilor nr. 19/1, 077125 Măgurele, jud. Ilfov, România.

Pentru orice întrebare privind această politică sau pentru exercitarea drepturilor dumneavoastră, ne puteți contacta la contact@kidy.pro.

Pentru datele copiilor și pentru datele generate în cadrul activității unei instituții de învățământ, operatorul este instituția respectivă, iar 2Lines Sistem SRL acționează în calitate de persoană împuternicită. Vezi secțiunea 4.

Colectăm următoarele categorii de date cu caracter personal:

a) Date furnizate direct de utilizatori

• Date de cont: nume, prenume, adresă de e-mail, număr de telefon, rol în instituție (administrator, educator, părinte)
• Date ale instituției: denumirea instituției, adresa, datele de facturare
• Date de plată: informațiile de plată sunt procesate de procesatori autorizați de plăți (PayU, Stripe) și nu sunt stocate pe serverele noastre
• Comunicări: mesajele trimise prin platforma de mesagerie integrată
• Extrase bancare: extrasele de cont încărcate de instituție pentru reconcilierea încasărilor (titularul contului, IBAN-uri, numele plătitorilor, sumele și descrierile tranzacțiilor)
• Contractele încheiate cu instituția: contractele de înscriere și actele adiționale semnate de părinți sau tutori, păstrate de instituție în platformă ca fișier PDF, exact cum au fost semnate (inclusiv electronic). Pot conține numele părintelui sau tutorelui semnatar, codul numeric personal (CNP), seria și numărul actului de identitate, domiciliul, datele de contact, datele copiilor acoperiți de contract și condițiile contractului.

b) Date despre copii

• Nume și prenume
• Data nașterii
• Codul numeric personal (CNP) – doar dacă instituția îl introduce (de exemplu pentru contracte sau documente fiscale)
• Date de prezență și absențe
• Date de înscriere și grupă/clasă
• Informații medicale relevante (alergii, condiții speciale) – doar dacă sunt furnizate de părinte sau instituție

c) Date colectate automat

• Adresa IP
• Tipul browserului și dispozitivului
• Pagini vizitate și durata sesiunii
• Date din cookie-uri (consultați Politica de Cookie-uri)
• Token-uri de notificări push (Firebase Cloud Messaging)

d) Date colectate de aplicația mobilă

• Pontajul personalului (fără localizare) – când un membru al personalului apasă butonul de pontaj (check-in/check-out), aplicația trimite doar identificatorul locului de muncă ales din lista instituției și, opțional, o notă scrisă de el; ora este înregistrată de server. Aplicația nu cere permisiunea de localizare și nu colectează coordonate geografice (GPS) — nici de la personal, nici de la părinți sau copii.
• Camera – aplicația nu scanează coduri QR și nu folosește camera în fundal. Camera este folosită doar dacă alegeți „Fotografiază acum” pentru o fotografie de profil: pe Android, aplicația deschide aplicația de cameră a telefonului prin mecanismul standard al sistemului de operare și nu cere permisiunea de acces la cameră; pe iOS, sistemul vă cere acordul la prima utilizare. Kidy primește doar fotografia pe care o confirmați și o decupați (vezi secțiunea e) de mai jos).
• Autentificare biometrică – dacă activați deblocarea cu amprentă sau recunoaștere facială, verificarea este realizată integral de sistemul de operare al dispozitivului. Kidy primește doar rezultatul (reușit/eșuat). Datele biometrice nu părăsesc dispozitivul și nu ne sunt accesibile.
• Token de notificări push – un identificator de dispozitiv generat de Firebase Cloud Messaging, folosit exclusiv pentru livrarea notificărilor. Este șters când vă deconectați din aplicație, este dezactivat automat când Firebase îl raportează ca invalid (de exemplu după dezinstalarea aplicației) și este șters odată cu contul.
• Permisiunile aplicației Android – aplicația declară doar: acces la internet și la starea rețelei; afișarea notificărilor și primirea lor prin Firebase Cloud Messaging, cu menținerea dispozitivului activ și vibrație la livrare; autentificarea biometrică (amprentă sau față). Pe Android 12 și versiunile mai vechi apare și permisiunea veche de citire a stocării (READ_EXTERNAL_STORAGE), adăugată de biblioteca folosită pentru deschiderea documentelor; aplicația nu o cere, deoarece documentele descărcate (de exemplu fluturașii de salariu) sunt păstrate în spațiul privat al aplicației. Aplicația nu cere acces la localizare, cameră, microfon, contacte sau galeria foto.

e) Fotografii de profil (opționale)

• Ce colectăm: utilizatorii pot încărca, opțional, o fotografie de profil pentru contul propriu și pentru copiii aflați în grija lor. Încărcarea unei fotografii nu este niciodată obligatorie.
• Cum se selectează: alegeți „Alege din galerie” sau „Fotografiază acum”. Galeria se deschide prin selectorul de fotografii al sistemului de operare, iar fotografia nouă se face cu aplicația de cameră a telefonului. Aplicația nu solicită și nu primește acces la galeria foto a dispozitivului; primește doar fotografia aleasă sau făcută de dumneavoastră.
• Cum le procesăm: la încărcare, metadatele EXIF (inclusiv coordonatele GPS) sunt eliminate pe server, iar imaginea este redimensionată și convertită în format WebP.
• Cum le stocăm: stocarea este privată; imaginile sunt servite exclusiv prin URL-uri semnate, cu expirare, vizibile doar utilizatorilor autorizați din aceeași organizație (instituție).
• Ce NU facem: fotografiile nu sunt partajate cu terți, nu sunt folosite pentru publicitate și nu sunt folosite pentru antrenarea de modele de inteligență artificială.
• Control: fotografia poate fi înlocuită sau ștearsă oricând, direct din aplicație.
• Scop: exclusiv funcționalitatea aplicației — identificarea vizuală a utilizatorilor și a copiilor în interfață.

Utilizăm datele dumneavoastră în următoarele scopuri:

• Furnizarea serviciului: gestionarea conturilor, autentificarea, administrarea instituțiilor și a datelor elevilor/copiilor
• Comunicare: trimiterea de notificări push, e-mailuri tranzacționale și mesaje prin platformă
• Facturare: procesarea plăților și emiterea facturilor
• Îmbunătățirea platformei: analiză statistică și diagnosticare a problemelor tehnice
• Conformitate legală: îndeplinirea obligațiilor legale aplicabile
• Securitate: prevenirea fraudelor și protecția platformei

Prelucrăm datele dumneavoastră în baza următoarelor temeiuri legale:

• Executarea contractului (Art. 6(1)(b)): prelucrarea este necesară pentru furnizarea serviciului Kidy conform termenilor contractuali
• Consimțământul (Art. 6(1)(a)): pentru cookie-uri de analiză și marketing, notificări push și comunicări de marketing
• Interesul legitim (Art. 6(1)(f)): pentru îmbunătățirea platformei, prevenirea fraudelor și securitatea IT
• Obligația legală (Art. 6(1)(c)): pentru respectarea cerințelor fiscale și de raportare

Kidy procesează date despre copii exclusiv în calitate de procesator de date, la instrucțiunile instituțiilor de învățământ (operatori de date). Instituțiile sunt responsabile pentru obținerea consimțământului necesar de la părinți/tutori legali.

Nu colectăm date direct de la copii. Toate datele copiilor sunt introduse de personal autorizat al instituției sau de părinți prin intermediul aplicației.

Datele copiilor sunt utilizate exclusiv pentru scopuri educaționale și administrative: prezență, gestionarea grupelor, comunicare cu părinții și raportare.

Contractele familiilor. Contractele de înscriere și actele adiționale sunt încărcate de instituție sau preluate, la cererea ei, din contul instituției la furnizorul său de semnătură electronică; și pentru ele operatorul este instituția, iar Kidy acționează ca persoană împuternicită. Le pot vedea și descărca doar administratorii instituției și tutorii activi ai familiei respective; fiecare descărcare este înregistrată (cine, când, de pe ce adresă IP). Fișierul nu este modificat și nu este transmis terților. Un contract anulat nu mai este afișat părinților, dar rămâne în arhiva instituției.

Nu vindem datele dumneavoastră cu caracter personal. Partajăm date doar cu următoarele categorii de furnizori:

• Amazon Web Services (AWS): găzduirea infrastructurii – regiunea UE (Frankfurt, Germania). Acord de prelucrare a datelor în vigoare.
• Procesatori de plăți (PayU, Stripe): procesarea plăților cu cardul. Procesatorii de plăți acționează ca operatori independenți pentru datele de plată. Politica de confidențialitate PayU, Politica de confidențialitate Stripe.
• Firebase (Google): trimiterea notificărilor push. Google procesează doar token-uri de dispozitiv și conținutul notificărilor.
• Google Analytics / Google Tag Manager: analiza traficului exclusiv pe site-ul web public kidy.pro (date anonimizate/pseudonimizate). Aplicația mobilă Kidy nu folosește Google Analytics și nu conține niciun instrument de analiză (analytics) sau publicitate.
• Furnizori de e-mail: trimiterea e-mailurilor tranzacționale.
• Anthropic (Claude): citirea automată a extraselor bancare pe care platforma nu le recunoaște, doar pentru instituțiile care activează această opțiune din setări. Se transmite textul extrasului (de exemplu titularul, IBAN-uri, numele plătitorilor și sumele), nu fișierul. Anthropic acționează ca împuternicit (sub-procesator), nu folosește aceste date pentru antrenarea modelelor, iar prelucrarea are loc în SUA, pe baza Clauzelor Contractuale Standard. Politica de confidențialitate Anthropic.

Toți furnizorii noștri sunt conformi cu GDPR și au semnat Acorduri de Prelucrare a Datelor (DPA).

Datele dumneavoastră sunt stocate pe servere AWS situate în Uniunea Europeană (Frankfurt, Germania). În cazul în care un furnizor de servicii transferă date în afara UE/SEE, ne asigurăm că există garanții adecvate (Clauze Contractuale Standard, decizii de adecvare sau alte mecanisme aprobate). Citirea cu AI a extraselor bancare (Anthropic, doar la instituțiile care o activează) presupune transferul textului extrasului în Statele Unite, pe baza Clauzelor Contractuale Standard.

Păstrăm datele dumneavoastră conform următoarelor reguli:

• Date de cont: pe durata existenței contului activ + 30 de zile după ștergere
• Date ale copiilor: pe durata înscrierii în instituție + conform politicii de retenție a instituției
• Date de facturare: 10 ani conform legislației fiscale din România
• Contractele familiilor: conform politicii de păstrare a documentelor contractuale a instituției; se șterg, cu toate versiunile fișierului, odată cu datele instituției
• Jurnale de securitate: 12 luni
• Date din cookie-uri: conform duratelor specificate în Politica de Cookie-uri

La încetarea abonamentului unei instituții, datele sunt păstrate pentru o perioadă de grație de 30 de zile, după care sunt șterse permanent.

Conform GDPR, aveți următoarele drepturi:

• Dreptul de acces (Art. 15): puteți solicita o copie a datelor dumneavoastră personale
• Dreptul la rectificare (Art. 16): puteți corecta datele inexacte
• Dreptul la ștergere (Art. 17): puteți solicita ștergerea datelor dumneavoastră („dreptul de a fi uitat")
• Dreptul la restricționarea prelucrării (Art. 18): puteți limita prelucrarea datelor
• Dreptul la portabilitatea datelor (Art. 20): puteți primi datele într-un format structurat, utilizat frecvent și care poate fi citit automat
• Dreptul de opoziție (Art. 21): vă puteți opune prelucrării în anumite circumstanțe
• Dreptul de a retrage consimțământul: în orice moment, fără a afecta legalitatea prelucrării anterioare

Pentru exercitarea drepturilor, contactați-ne la contact@kidy.pro. Vom răspunde în termen de 30 de zile.

Aveți dreptul de a depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) – www.dataprotection.ro.

Pentru instrucțiuni detaliate privind ștergerea contului și a datelor asociate — inclusiv ce se șterge, ce suntem obligați să păstrăm și în cât timp procesăm cererea — consultați pagina Ștergerea contului și a datelor.

Utilizăm cookie-uri și tehnologii similare pentru funcționarea platformei, analiză și marketing. Pentru detalii complete, consultați Politica de Cookie-uri.

Implementăm măsuri tehnice și organizatorice adecvate pentru protejarea datelor, inclusiv:

• Criptare în tranzit (TLS/SSL) și în repaus (AES-256)
• Autentificare securizată cu token-uri JWT
• Izolare multi-tenant la nivel de bază de date
• Backup-uri regulate și criptate
• Monitorizare continuă și jurnalizare a accesului
• Controlul accesului bazat pe roluri (RBAC)
• Documentele sensibile (contractele familiilor, adeverințele medicale) sunt păstrate în spații de stocare private și separate, criptate cu chei dedicate, fără link public; sunt accesibile numai prin platformă, după verificarea drepturilor, iar accesul este înregistrat

Pentru orice întrebare privind această politică sau datele dumneavoastră personale:

• E-mail: contact@kidy.pro
• Platforma: kidy.pro

Ne rezervăm dreptul de a actualiza această Politică de Confidențialitate. Modificările semnificative vor fi comunicate prin e-mail sau notificare în platformă. Data ultimei actualizări este indicată la începutul documentului.

Continuarea utilizării platformei după publicarea modificărilor constituie acceptarea noii versiuni a politicii.