Politica de confidențialitate Kalyra

Versiunea 1.0 Data intrării în vigoare: 1 iunie 2026 Ultima actualizare: 1 iunie 2026

Pe scurt. Kalyra este o infrastructură de programări. Prelucrăm date personale în două calități diferite: ca operator pentru datele conturilor și ale afacerilor care folosesc Kalyra, și ca persoană împuternicită pentru datele clienților finali pe care afacerile le colectează prin paginile lor de rezervare. Nu vindem date personale. Nu folosim datele din calendarele tale pentru publicitate și nici pentru antrenarea de modele AI. Răspunsurile automate din chatul de suport pot fi transmise către un furnizor terț de modele numai dacă afacerea își dă acordul în mod expres. Această politică explică în detaliu ce colectăm, de ce, pe ce temei legal, cui divulgăm și ce drepturi ai.

Cuprins

1. Cine suntem
2. Cui i se aplică această politică
3. Rolurile noastre: operator și persoană împuternicită
4. Ce date personale colectăm
5. Scopurile prelucrării și temeiurile legale
6. Cookie-uri și tehnologii similare
7. Cui divulgăm datele
8. Integrări cu servicii terțe
9. Transferuri internaționale de date
10. Cât timp păstrăm datele
11. Cum protejăm datele
12. Drepturile tale
13. Minori
14. Automatizare și funcționalități AI
15. Instanțe self-hosted / on-premise
16. Modificări ale acestei politici
17. Cum ne contactezi
18. Anexa A — Lista subîmputerniciților
19. Anexa B — Cookie-uri utilizate
20. Anexa C — Informații suplimentare pentru vizitatorii din afara SEE

1. Cine suntem

Serviciul Kalyra (denumit în continuare „Kalyra", „Serviciul" sau „Platforma"), disponibil la adresa kalyra.io și pe subdomeniile aferente, este operat de KALYRA DIGITAL S.R.L., societate de naționalitate română:

Ne referim la noi în această politică prin „noi", „Kalyra" sau „operatorul".

Prelucrarea datelor se realizează în conformitate cu Regulamentul (UE) 2016/679 (GDPR), Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR, Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal în sectorul comunicațiilor electronice și celelalte prevederi legale aplicabile în România.

2. Cui i se aplică această politică

Această politică se aplică următoarelor categorii de persoane:

• Vizitatori ai site-ului kalyra.io și ai paginilor publice de marketing;
• Utilizatori — persoane care își creează un cont Kalyra (plan Personal sau Business), inclusiv membrii echipelor și operatorii adăugați într-o organizație;
• Clienți finali — persoane care fac o rezervare printr-o pagină publică de rezervare Kalyra sau printr-un widget Kalyra înglobat pe site-ul unei afaceri (vezi secțiunea 3 pentru rolul nostru limitat aici);
• Persoane de contact din partea clienților, partenerilor și prospecților cu care comunicăm.

Nu se aplică: site-urilor terțe către care facem link, serviciilor terțe pe care le conectezi la Kalyra (Google Calendar, Stripe, Oblio, SmartBill, GatewayAPI, TTLock, Tuya etc. — acestea au propriile politici), și instalărilor self-hosted operate integral de tine (vezi secțiunea 15).

3. Rolurile noastre: operator și persoană împuternicită

Aceasta este cea mai importantă distincție din politică, pentru că determină cui te adresezi când vrei să îți exerciți drepturile.

3.1. Kalyra ca operator (controller)

Suntem operator — adică noi decidem scopurile și mijloacele prelucrării — pentru:

• datele contului tău Kalyra și ale organizației tale;
• datele de facturare și de abonament pentru planul Business;
• datele de utilizare, jurnalele tehnice și telemetria Platformei;
• corespondența cu suportul nostru;
• datele de marketing și comunicările comerciale;
• datele colectate prin site-ul public kalyra.io.

3.2. Kalyra ca persoană împuternicită (processor)

Când o afacere folosește Kalyra pentru a primi rezervări, afacerea respectivă este operatorul datelor clienților săi finali. Noi doar găzduim și prelucrăm acele date conform instrucțiunilor ei, în baza unui acord de prelucrare a datelor (DPA) care face parte din Termenii Kalyra.

Aceasta include:

• numele, e-mailul, telefonul și celelalte câmpuri completate de clientul final în formularul de rezervare;
• istoricul rezervărilor, reprogramărilor și anulărilor;
• notele și atributele adăugate de afacere în fișa clientului;
• conținutul răspunsurilor la formularele personalizate configurate de afacere.

Ce înseamnă practic: dacă ai făcut o rezervare la un salon, un studio sau un cabinet care folosește Kalyra și vrei să îți ștergi datele sau să ceri o copie, adresează-te direct acelei afaceri. Dacă ne scrii nouă, îți vom confirma primirea și vom redirecționa solicitarea către operatorul respectiv, dacă îl putem identifica — nu putem însă soluționa noi cererea în locul lui.

În calitate de persoană împuternicită nu folosim datele clienților finali în scopuri proprii: nu le vindem, nu le folosim pentru marketingul nostru, nu le combinăm între conturi diferite de client și nu le folosim pentru antrenarea de modele.

3.3. Operatori independenți

În anumite situații limitate noi și clientul nostru acționăm ca operatori independenți — de exemplu când folosim date agregate și pseudonimizate despre volumele de rezervări pentru a măsura performanța și fiabilitatea Platformei.

4. Ce date personale colectăm

4.1. Date pe care ni le furnizezi direct

4.2. Date colectate automat

4.3. Date primite de la terți

• Google — dacă alegi să conectezi Google Calendar sau să te autentifici cu Google: adresa de e-mail, numele, imaginea de profil și evenimentele de calendar necesare pentru sincronizare (vezi secțiunea 8.1);
• Stripe — statusul plăților, evenimentele de abonament, rezultatele verificărilor antifraudă;
• SmartBill — statusul documentelor fiscale generate;
• GatewayAPI — statusul de livrare al SMS-urilor trimise;
• Furnizori de servicii de securitate și antifraudă — semnale de risc asociate adreselor IP sau adreselor de e-mail;
• Oblio — statusul documentelor fiscale, atunci când afacerea a ales acest furnizor de facturare în locul SmartBill;
• Sisteme CRM externe — dacă afacerea a activat integrarea prin API, un sistem terț ne poate transmite numele, e-mailul și telefonul unei persoane pentru a crea o rezervare în numele ei. Persoana primește un e-mail cu linkuri de acceptare, refuz sau anulare și nu are nevoie de cont Kalyra;
• ANAF — când folosești căutarea după CUI în datele de facturare, interogăm registrul public al contribuabililor pentru a prelua denumirea, adresa și statutul de plătitor de TVA;
• TTLock — jurnalele de acces și starea încuietorilor conectate.

4.4. Date pe care le prelucrăm în numele clienților noștri

Datele clienților finali descrise în secțiunea 3.2. Kalyra nu solicită și nu recomandă introducerea de categorii speciale de date (date privind sănătatea, convingerile religioase, orientarea sexuală, date biometrice etc.) în câmpurile de rezervare. Dacă o afacere alege totuși să configureze astfel de câmpuri, ea rămâne exclusiv responsabilă pentru identificarea unui temei legal valabil în temeiul art. 9 GDPR și pentru informarea propriilor clienți.

5. Scopurile prelucrării și temeiurile legale

Prelucrăm date personale doar când avem un temei legal. Mai jos, pe scopuri:

5.1. Furnizarea Platformei de rezervări

Date prelucrate: date de cont, date de organizație, configurația serviciilor, resurse, disponibilitate, rezervări.

Ce facem concret: creăm și autentificăm contul; publicăm pagina ta de rezervare și widgetul; calculăm sloturile disponibile pe baza calendarului, a resurselor și a fusului orar; înregistrăm rezervările; trimitem confirmări și remindere; procesăm reprogramări și anulări conform politicilor pe care le-ai definit; sincronizăm cu Google Calendar; generăm rapoarte pentru contul tău.

Temei legal: art. 6 alin. (1) lit. b) GDPR — executarea contractului la care ești parte (Termenii Kalyra). Pentru clienții finali care rezervă, prelucrarea se face de asemenea în temeiul contractului dintre ei și afacere, respectiv al interesului legitim al afacerii, aceasta fiind operatorul.

5.2. Procesarea plăților și facturarea

Date prelucrate: date de facturare, date de plată tokenizate, istoricul tranzacțiilor.

Ce facem concret: încasăm abonamentul lunar per calendar; calculăm proratarea până la data de 1 a lunii; procesăm plățile clienților finali atunci când ai activat plata la rezervare; emitem facturi prin SmartBill; gestionăm rambursări și dispute; prevenim frauda la plată.

Temei legal: art. 6 alin. (1) lit. b) — executarea contractului; art. 6 alin. (1) lit. c) — obligație legală (Legea contabilității nr. 82/1991, Codul fiscal, legislația privind combaterea spălării banilor); art. 6 alin. (1) lit. f) — interes legitim pentru prevenirea fraudei.

5.3. Notificări tranzacționale (e-mail și SMS)

Date prelucrate: nume, e-mail, telefon, detaliile rezervării.

Ce facem concret: trimitem confirmări de rezervare, remindere înainte de programare, notificări de reprogramare și anulare, notificări către membrii echipei, e-mailuri de resetare a parolei și alerte de securitate.

Temei legal: art. 6 alin. (1) lit. b) — executarea contractului. Acestea sunt mesaje tranzacționale, nu comerciale, și nu pot fi dezactivate independent de utilizarea Serviciului. SMS-urile se trimit numai când afacerea a activat funcționalitatea și a colectat numărul de telefon.

5.4. Securitate, prevenirea abuzului și fiabilitate tehnică

Date prelucrate: date de dispozitiv și conexiune, jurnale tehnice, adrese IP, evenimente de autentificare.

Ce facem concret: detectăm și blocăm tentativele de acces neautorizat, atacurile prin forță brută și spam-ul de rezervări; aplicăm limite de rată; investigăm incidente de securitate; diagnosticăm erori; monitorizăm disponibilitatea și performanța.

Temei legal: art. 6 alin. (1) lit. f) — interes legitim în protejarea Platformei, a clienților noștri și a datelor lor. Am efectuat o evaluare a echilibrului între interese și considerăm că această prelucrare este așteptată în mod rezonabil și are un impact minim asupra vieții private.

5.5. Îmbunătățirea și dezvoltarea Serviciului

Date prelucrate: date de utilizare agregate și, unde este posibil, pseudonimizate; feedback; date de suport.

Ce facem concret: analizăm ce funcționalități sunt folosite pentru a prioritiza dezvoltarea; măsurăm ratele de finalizare a rezervărilor pentru a reduce fricțiunea; identificăm punctele de eroare recurente; testăm variante de interfață.

Temei legal: art. 6 alin. (1) lit. f) — interes legitim în îmbunătățirea produsului. Nu folosim conținutul rezervărilor clienților finali în acest scop.

5.6. Suport pentru clienți

Date prelucrate: date de cont, corespondența cu suportul, jurnale tehnice relevante.

Ce facem concret: răspundem la întrebări, investigăm probleme tehnice, păstrăm istoricul tichetelor pentru continuitate.

Temei legal: art. 6 alin. (1) lit. b) — executarea contractului; art. 6 alin. (1) lit. f) — interes legitim în administrarea corectă a relației cu clienții.

5.7. Marketing și comunicări comerciale

Date prelucrate: adresa de e-mail, numele, preferințele de comunicare, statusul contului.

Ce facem concret: trimitem newsletter cu noutăți de produs, anunțuri despre funcționalități noi, invitații la sondaje, conținut educațional despre utilizarea Platformei.

Temei legal: art. 6 alin. (1) lit. a) — consimțământ, pentru persoanele care nu sunt clienți; art. 6 alin. (1) lit. f) — interes legitim pentru comunicări despre produse similare adresate clienților existenți, în condițiile art. 12 din Legea nr. 506/2004.

Te poți dezabona oricând printr-un singur clic pe linkul din subsolul fiecărui e-mail sau scriindu-ne la privacy@kalyra.io. Dezabonarea nu afectează mesajele tranzacționale.

5.8. Respectarea obligațiilor legale

Date prelucrate: orice categorie, în măsura strict necesară.

Ce facem concret: păstrăm evidențe financiar-contabile; răspundem solicitărilor legale ale autorităților competente; gestionăm cererile privind drepturile persoanelor vizate și menținem un registru al acestora; notificăm eventuale încălcări de securitate.

Temei legal: art. 6 alin. (1) lit. c) — obligație legală.

5.9. Apărarea drepturilor și tranzacții corporative

Ce facem concret: constatăm, exercităm sau apărăm drepturi în justiție; transferăm date în cadrul unei fuziuni, achiziții sau vânzări de active.

Temei legal: art. 6 alin. (1) lit. f) — interes legitim. În cazul unei tranzacții corporative te vom informa în prealabil și vei păstra toate drepturile prevăzute în această politică.

5.10. Verificarea identității la înregistrare și la rezervare

Date prelucrate: număr de telefon, adresă de e-mail, cod OTP, momentul verificării.

Ce facem concret: trimitem un cod de unică folosință prin SMS sau e-mail pentru a confirma că adresa sau numărul îți aparțin. La crearea contului, pasul este obligatoriu. La rezervarea prin widget, afacerea poate alege ca un client care revine să fie verificat prin telefon, prin e-mail sau prin oricare dintre ele — sau poate dezactiva complet verificarea.

Temei legal: art. 6 alin. (1) lit. b) — executarea contractului, pentru verificarea contului tău; art. 6 alin. (1) lit. f) — interes legitim al afacerii și al nostru în prevenirea rezervărilor false, a dublurilor și a utilizării abuzive a identității altei persoane.

5.11. Controlul accesului fizic prin încuietori inteligente (TTLock)

Date prelucrate: identitatea clientului căruia i se acordă acces, cheile digitale și codurile de acces generate, jurnalul deschiderilor.

Ce facem concret: atunci când afacerea folosește integrarea TTLock, generăm coduri sau chei digitale pentru clienții care au o rezervare validă și înregistrăm evenimentele de acces.

Rolul nostru: persoană împuternicită. Afacerea care operează spațiul este operatorul și are obligația de a-și informa clienții și angajații despre existența controlului de acces.

Temei legal: art. 6 alin. (1) lit. b) — executarea contractului dintre client și afacere; art. 6 alin. (1) lit. f) — interes legitim al afacerii în securizarea spațiului.

5.12. Asistență automată în canalul de suport

Date prelucrate: conținutul mesajelor pe care le trimiți în chatul de suport.

Ce facem concret: afacerile care folosesc modul Firmă pot activa generarea automată de răspunsuri în conversațiile de suport primite de la propriii clienți, configurând o cheie proprie de acces la un furnizor terț de modele de limbaj și instrucțiunile aferente. Când opțiunea este activă, textul mesajului este transmis acelui furnizor pentru a genera un răspuns propus.

Ce trebuie să știi: furnizorul de model este ales și configurat de afacere, cu cheia ei, nu de Kalyra. Afacerea răspunde de alegerea furnizorului, de încheierea unui acord de prelucrare cu acesta și de informarea propriilor clienți. Recomandăm să nu introduci în chat date pe care nu vrei să le transmiți unui terț. Vezi și secțiunile 8.11 și 14.

Temei legal: art. 6 alin. (1) lit. f) — interes legitim în furnizarea unui suport rapid, respectiv temeiul stabilit de afacere atunci când ea activează funcția pentru clienții săi.

6. Cookie-uri și tehnologii similare

Folosim cookie-uri și tehnologii similare (local storage, pixeli) pentru a face Platforma să funcționeze și pentru a înțelege cum este folosită.

Cookie-uri strict necesare — nu pot fi dezactivate. Mențin sesiunea autentificată, protejează împotriva atacurilor CSRF, rețin selecția de fus orar și limbă, echilibrează încărcarea pe servere.

Cookie-uri de preferințe — rețin setările de interfață și opțiunile de afișare a calendarului.

Cookie-uri de analiză — ne arată, în formă agregată, ce pagini sunt vizitate și unde apar blocaje. Se instalează numai cu consimțământul tău.

Cookie-uri de marketing — măsoară eficiența campaniilor. Se instalează numai cu consimțământul tău.

Îți poți gestiona opțiunile oricând din bannerul de cookie-uri sau din pagina [Setări cookie-uri]. Poți de asemenea să configurezi browserul să refuze cookie-urile, dar în acest caz Platforma poate să nu funcționeze corect.

Respectăm semnalul Global Privacy Control (GPC) transmis de browser și îl tratăm ca refuz valabil al cookie-urilor neesențiale. În prezent nu răspundem la semnalul „Do Not Track", pentru care nu există un standard uniform acceptat.

Lista detaliată a cookie-urilor se află în Anexa B și în [Politica de cookie-uri].

7. Cui divulgăm datele

Nu vindem date personale. Nu le închiriem și nu le divulgăm în scopuri de publicitate comportamentală ale unor terți.

Divulgăm date doar în următoarele situații:

7.1. Subîmputerniciți (furnizori care prelucrează date în numele nostru)

Fiecare subîmputernicit este selectat pe criterii de securitate, este obligat prin contract în conformitate cu art. 28 GDPR să prelucreze datele exclusiv conform instrucțiunilor noastre și să aplice măsuri tehnice și organizatorice adecvate. Lista completă și actualizată se află în Anexa A.

7.2. În cadrul organizației tale

Membrii echipei și operatorii adăugați în organizația ta pot vedea rezervările, clienții și datele aferente, conform rolurilor și permisiunilor configurate de administratorul organizației. Administratorul contului poate accesa, exporta și șterge datele din organizație.

7.3. Către afacerea la care ai rezervat

Dacă ești client final, datele tale de rezervare sunt vizibile pentru afacerea la care ai rezervat și pentru membrii ei de echipă cu drepturi de acces.

7.4. Consultanți profesioniști

Avocați, contabili, auditori și consultanți, sub obligație de confidențialitate, când este necesar pentru administrarea afacerii noastre.

7.5. Autorități

Când avem obligația legală de a răspunde unei solicitări valabile din partea unei autorități judiciare, fiscale sau de aplicare a legii. Evaluăm fiecare solicitare în parte, cerem temeiul legal, respingem solicitările excesive sau nefundamentate și, dacă legea ne permite, informăm clientul afectat înainte de a divulga datele.

7.6. Între firme, în cazul calendarelor partajate (reseller)

Platforma permite unei firme să pună un calendar la dispoziția altei firme. Într-un astfel de aranjament, rezervarea intră în calendarul firmei proprietare, iar clientul este facturat de firma la care este înregistrat. Datele clientului devin astfel vizibile pentru ambele firme, fiecare în scopul propriu. Cele două firme sunt operatori distincți și trebuie să stabilească între ele cine informează clientul și cine răspunde de solicitările privind drepturile. Kalyra rămâne persoană împuternicită pentru ambele.

7.7. La transferul unui calendar

Un calendar poate fi transferat către alt utilizator sau către altă firmă, printr-o cerere care trebuie acceptată de destinatar. Odată cu el se transferă rezervările și datele clienților asociate, ceea ce înseamnă o schimbare de operator. Cel care inițiază transferul are obligația de a se asigura că are un temei legal pentru el și de a informa persoanele vizate.

7.8. Tranzacții corporative

În cadrul unei fuziuni, achiziții, reorganizări sau vânzări de active, cu informarea prealabilă prevăzută la secțiunea 5.9.

8. Integrări cu servicii terțe

Serviciile descrise în această secțiune sunt aplicații terțe, independente de Kalyra. Nu ne aparțin, nu sunt operate de noi și nu fac parte din Platformă. Le menționăm aici exclusiv pentru transparență: ca să știi ce se întâmplă cu datele tale dacă alegi să activezi una dintre conexiuni.

Toate integrările sunt dezactivate implicit. Niciun serviciu terț din această secțiune nu primește vreo dată despre tine sau despre clienții tăi până când nu conectezi tu însuți acel serviciu, cu propriile credențiale sau printr-un proces de autorizare pe care îl parcurgi tu. Dacă nu activezi nimic, secțiunea aceasta nu ți se aplică deloc.

Când conectezi un serviciu terț:

• furnizorul respectiv prelucrează datele conform propriei politici de confidențialitate, asupra căreia nu avem control și pentru care nu răspundem;
• relația contractuală privind acel serviciu se stabilește, de regulă, între tine și furnizor — noi doar transmitem datele necesare funcționării;
• îți recomandăm să citești politica furnizorului înainte de activare;
• poți dezactiva oricând conexiunea din setările contului. La dezactivare, tokenurile și credențialele stocate de noi sunt șterse, dar datele deja transmise furnizorului rămân la el, iar ștergerea lor se cere direct acestuia.

8.1. Google Calendar și autentificarea cu Google

Când conectezi Google Calendar, solicităm doar permisiunile minime necesare pentru sincronizarea bidirecțională: citirea evenimentelor pentru a bloca disponibilitatea și crearea/actualizarea evenimentelor generate de rezervările Kalyra.

Utilizare limitată (Google API Services User Data Policy). Utilizarea și transferul de către Kalyra al informațiilor primite prin Google API respectă Google API Services User Data Policy, inclusiv cerințele privind Utilizarea limitată (Limited Use). Concret: folosim datele din Google Calendar exclusiv pentru a furniza funcționalitatea de sincronizare vizibilă utilizatorului; nu le folosim pentru publicitate; nu le vindem; nu le transferăm terților decât dacă este necesar pentru furnizarea Serviciului, pentru respectarea legii sau ca parte a unei fuziuni; și nu permitem accesul uman la aceste date, cu excepția cazurilor în care ai consimțit expres, pentru operațiuni de securitate, pentru respectarea legii, sau după agregare și anonimizare.

Poți revoca accesul oricând din setările Kalyra sau din pagina de permisiuni Google. La revocare, tokenurile de acces sunt șterse imediat.

8.2. Stripe (plăți)

Plățile online sunt procesate de Stripe. Datele complete ale cardului sunt introduse direct în elementele securizate găzduite de Stripe și nu trec prin serverele noastre și nu sunt stocate de noi. Primim de la Stripe doar identificatorul tranzacției, statusul, ultimele 4 cifre, brandul și data expirării cardului. Stripe acționează ca operator independent pentru datele de plată, în conformitate cu obligațiile care îi revin ca instituție financiară. Vezi Politica de confidențialitate Stripe.

Există două fluxuri distincte. Primul este abonamentul tău de platformă, pe care îl încasăm noi. Al doilea este plata în avans pe care clienții tăi o fac la rezervare: aceasta se derulează prin Stripe Connect, direct către contul tău Stripe. Pentru al doilea flux, relația contractuală privind plata se stabilește între tine, clientul tău și Stripe — noi doar transmitem suma și referința rezervării. Activarea presupune parcurgerea procesului de verificare a identității impus de Stripe, în cadrul căruia Stripe îți poate solicita documente de identitate și date financiare pe care nu le vedem și nu le stocăm.

8.3. Oblio (facturare fiscală) — aplicație terță

Oblio este un serviciu de facturare independent, operat de o companie terță. Kalyra nu are nicio legătură cu el în afara unei interfețe tehnice opționale.

Integrarea funcționează numai dacă o activezi tu, introducând în Kalyra propriile credențiale Oblio (e-mail, secret API, serie de facturare). Fără aceste credențiale, nicio dată nu ajunge la Oblio.

Dacă activezi integrarea, transmitem către Oblio datele necesare emiterii documentelor fiscale românești: denumirea sau numele clientului, CUI sau CNP dacă este cazul, adresa de facturare, descrierea serviciului, valoarea și cota de TVA. Configurarea se face per operator.

8.4. SmartBill (facturare fiscală) — aplicație terță

SmartBill este a doua opțiune de facturare, tot un serviciu independent oferit de o companie terță. Poți alege Oblio, SmartBill sau niciunul dintre ele.

Ca și la Oblio, integrarea se activează exclusiv de către tine, prin introducerea propriilor credențiale SmartBill (utilizator, token API, serie de facturare). Fără aceste credențiale, nicio dată nu ajunge la SmartBill.

Categoriile de date transmise sunt aceleași ca la secțiunea 8.3: denumirea sau numele clientului, CUI/CNP dacă este cazul, adresa de facturare, descrierea serviciului, valoarea și cota de TVA. Configurarea se face per operator.

8.5. GatewayAPI (SMS)

Dacă activezi confirmările și reminderele prin SMS, transmitem către GatewayAPI numărul de telefon al destinatarului și conținutul mesajului. GatewayAPI prelucrează aceste date pentru livrarea SMS-ului și ne returnează statusul de livrare.

Am ales deliberat un furnizor european. GatewayAPI este o companie daneză, iar mesajele sunt procesate și stocate în centre de date din Uniunea Europeană. Prin urmare, trimiterea unui SMS prin Kalyra nu implică un transfer de date în afara Spațiului Economic European și nu necesită clauze contractuale standard.

8.6. Widgetul de rezervare înglobat

Când înglobezi widgetul Kalyra pe site-ul tău, widgetul se încarcă de pe serverele noastre și instalează cookie-uri strict necesare pentru sesiunea de rezervare. Ești responsabil să menționezi acest lucru în propria politică de confidențialitate și în bannerul tău de cookie-uri.

8.7. TTLock (încuietori inteligente) — aplicație terță

TTLock este un sistem de încuietori inteligente produs și operat de o companie terță, complet separată de Kalyra. Are propriul cont, propria aplicație și propria politică de confidențialitate.

Integrarea apare în Kalyra numai după ce introduci credențialele tale TTLock — până atunci meniul nici nu este vizibil. Dacă nu folosești încuietori inteligente, această integrare nu te privește.

Dacă o activezi, transmitem către TTLock datele necesare emiterii unei chei digitale sau a unui cod de acces pentru clientul care are o rezervare validă, și primim înapoi jurnalele de deschidere și starea încuietorilor. Vezi secțiunea 5.11 pentru detalii privind rolurile și temeiul legal.

8.8. Tuya (dispozitive conectate) — aplicație terță

Tuya este o platformă terță pentru dispozitive inteligente, independentă de Kalyra. Integrarea se activează exclusiv de către tine, cu propriile credențiale. Permite conectarea unor dispozitive inteligente din spațiul tău. Datele transmise se limitează la comenzile și stările dispozitivelor. Dacă un dispozitiv este asociat unei rezervări sau unei persoane, se aplică aceleași precauții ca la TTLock.

8.9. API pentru sisteme CRM externe

Poți genera chei API care permit unui sistem extern să interogheze disponibilitatea și să creeze rezervări în numele unei persoane. Reține trei lucruri:

• persoana pentru care se creează rezervarea nu are cont Kalyra și primește un e-mail cu linkuri tokenizate de acceptare, refuz sau anulare;
• obligația de informare a acelei persoane, conform art. 14 GDPR, îți revine ție, nu nouă — noi nu am avut niciun contact direct cu ea;
• cheia API oferă acces larg la datele contului tău. Păstreaz-o ca pe o parolă, revoc-o imediat dacă a fost expusă și nu o include în cod public sau în capturi de ecran.

8.10. Adăugarea manuală și importul clienților

Poți introduce clienți în Platformă fără ca ei să fi făcut vreo rezervare — fie unul câte unul, prin „Adaugă client", fie în bloc, dintr-un fișier CSV. În ambele situații ne transmiți date ale unor persoane care nu au interacționat încă cu Kalyra și care nu ne-au furnizat nimic direct.

Rămâi operatorul acelor date. Ai obligația de a avea un temei legal pentru introducerea lor și de a informa persoanele respective conform art. 14 GDPR — noi nu putem face asta în locul tău, pentru că nu am avut niciun contact cu ele. Persoanele adăugate manual primesc o invitație pe e-mail, care poate fi retrasă sau retrimisă și care expiră dacă nu este acceptată. Noi stocăm și procesăm lista exclusiv conform instrucțiunilor tale.

Datele pe care clientul le completează singur atunci când face o rezervare urmează un regim diferit, descris la secțiunile 3.2 și 4.4: acolo clientul ni le furnizează direct, iar tu rămâi operatorul lor.

8.11. Generarea automată de răspunsuri în suport

Funcția descrisă la secțiunea 5.12 presupune transmiterea conținutului mesajelor de suport către un furnizor terț de modele de limbaj, folosind o cheie de acces pe care o configurezi tu. Consecințe:

• furnizorul este ales de tine, iar relația contractuală cu el îți aparține;
• ai obligația de a încheia cu acel furnizor un acord de prelucrare și de a verifica unde sunt localizate serverele lui, întrucât mulți sunt stabiliți în afara SEE;
• ai obligația de a-ți informa clienții că mesajele lor de suport pot fi transmise unui terț;
• Kalyra nu adaugă un furnizor implicit și nu activează funcția fără acțiunea ta.

8.12. Validarea datelor de facturare prin ANAF

Căutarea după CUI interoghează registrul public al contribuabililor administrat de ANAF pentru a prelua denumirea, adresa și statutul de plătitor de TVA. Sunt date despre firme, publice prin lege, nu date personale ale unei persoane fizice — cu excepția cazului în care este vorba despre o persoană fizică autorizată.

8.13. Alte integrări

Integrările viitoare vor fi documentate în această secțiune înainte de a fi puse la dispoziție.

9. Transferuri internaționale de date

Infrastructura principală Kalyra este găzduită în Uniunea Europeană. Serverele se află în București, România, la TEHNOLOGIC NETWORKING INGENUITY S.R.L. (TNI Systems), CUI 46224766, societate românească.

Practic, datele contului tău, rezervările și datele clienților tăi sunt stocate pe teritoriul României, sub jurisdicția GDPR și a legislației române, fără niciun transfer în afara Uniunii Europene pentru găzduirea propriu-zisă.

Anumiți subîmputerniciți pot prelucra date în afara Spațiului Economic European. În aceste cazuri ne asigurăm că transferul este protejat prin cel puțin unul dintre mecanismele prevăzute în Capitolul V GDPR:

• o decizie de adecvare a Comisiei Europene pentru țara respectivă;
• clauzele contractuale standard (SCC) adoptate prin Decizia de punere în aplicare (UE) 2021/914, completate, unde este necesar, cu măsuri suplimentare tehnice și organizatorice identificate în urma unei evaluări a impactului transferului (TIA);
• certificarea în cadrul EU-U.S. Data Privacy Framework, pentru furnizorii din Statele Unite care sunt certificați și pe care îi indicăm ca atare în Anexa A.

Alegem furnizori europeni ori de câte ori există o alternativă rezonabilă. Serviciul de SMS, de exemplu, este furnizat de o companie din Uniunea Europeană, iar mesajele nu părăsesc spațiul european.

Poți solicita o copie a garanțiilor aplicabile scriindu-ne la privacy@kalyra.io.

10. Cât timp păstrăm datele

Păstrăm datele doar atât timp cât este necesar pentru scopul în care au fost colectate, la care se adaugă termenele impuse de lege.

11. Cum protejăm datele

Aplicăm măsuri tehnice și organizatorice adecvate riscului, printre care:

• criptare în tranzit (TLS 1.2+ pe toate conexiunile) și criptare la repaus pentru bazele de date și copiile de siguranță;
• stocarea parolelor exclusiv sub formă de hash cu algoritm modern și salt per utilizator — nu putem recupera și nu putem citi parolele;
• control al accesului pe bază de rol, cu principiul privilegiului minim, și autentificare cu doi factori obligatorie pentru personalul cu acces la sistemele de producție;
• segregarea mediilor de dezvoltare, testare și producție; nu folosim date reale de producție în medii de test;
• jurnalizarea accesului administrativ și monitorizare pentru comportamente anormale;
• copii de siguranță criptate, cu testarea periodică a restaurării;
• evaluarea securității furnizorilor înainte de contractare și reevaluare periodică;
• proceduri documentate de răspuns la incidente, cu notificarea ANSPDCP în termen de 72 de ore și informarea clienților afectați fără întârzieri nejustificate, atunci când legea o cere.

Niciun sistem nu este complet impenetrabil. Dacă suspectezi o problemă de securitate, scrie-ne la privacy@kalyra.io.

12. Drepturile tale

În temeiul GDPR ai următoarele drepturi:

Cum îți exerciți drepturile

Scrie-ne la privacy@kalyra.io. Multe operațiuni le poți face singur, imediat, din Setări → Confidențialitate în contul tău: descărcarea datelor, corectarea informațiilor, ștergerea contului.

Pentru siguranța ta, s-ar putea să îți cerem informații suplimentare pentru verificarea identității înainte de a da curs unei cereri. Nu vom folosi aceste informații în alt scop.

Termen de răspuns: o lună de la primirea cererii. Termenul poate fi prelungit cu maximum două luni pentru cereri complexe sau numeroase, caz în care te vom informa în primele 30 de zile despre prelungire și motivele ei. Exercitarea drepturilor este gratuită; putem percepe o taxă rezonabilă sau refuza cererile vădit nefondate ori excesive, în special din cauza caracterului repetitiv.

Dacă ești client final al unei afaceri

Vezi secțiunea 3.2 — adresează-te direct afacerii la care ai rezervat.

Dreptul de a depune plângere

Dacă ești nemulțumit de modul în care îți prelucrăm datele, te rugăm să ne scrii mai întâi nouă — încercăm să rezolvăm orice problemă direct. Ai însă întotdeauna dreptul de a depune o plângere la:

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) B-dul General Gheorghe Magheru nr. 28–30, Sector 1, București, cod poștal 010336 Telefon: +40 31 805 92 11 / +40 31 805 92 12 E-mail: anspdcp@dataprotection.ro Web: www.dataprotection.ro

Ai de asemenea dreptul de a te adresa instanțelor de judecată competente.

13. Minori

Pentru titularii de cont: 18 ani. Crearea unui cont Kalyra este permisă exclusiv persoanelor care au împlinit 18 ani și au capacitate deplină de exercițiu, conform secțiunii 4 din Termenii și condițiile Kalyra. Confirmarea vârstei se solicită la înregistrare.

Kalyra nu se adresează minorilor, nu este promovată către minori și nu colectăm cu bună știință date de la persoane sub 18 ani în vederea creării unui cont. Dacă descoperim că un cont a fost creat de un minor, îl vom închide și vom șterge datele asociate.

Pentru clienții care fac rezervări este altceva. O rezervare printr-o pagină publică sau printr-un widget nu presupune crearea unui cont, iar persoana care rezervă poate fi un minor — de exemplu la un cabinet pediatric, o școală, un club sportiv sau un centru educațional.

În aceste situații afacerea este operatorul și îi revine responsabilitatea de a stabili dacă are nevoie de consimțământul titularului răspunderii părintești și de a-l obține. Reține că, pentru serviciile societății informaționale oferite direct copiilor, art. 8 alin. (1) GDPR coroborat cu Legea nr. 190/2018 stabilește pragul consimțământului digital la 16 ani în România — sub această vârstă este necesar acordul părintelui sau al tutorelui. Pentru servicii medicale, educaționale sau de altă natură se pot aplica reguli suplimentare.

Dacă afli că un minor ne-a furnizat date personale fără consimțământul necesar, scrie-ne la privacy@kalyra.io și vom șterge datele fără întârziere.

14. Automatizare și funcționalități AI

Kalyra include funcționalități care generează sugestii de disponibilitate pe baza calendarului, a duratelor serviciilor, a resurselor alocate și a tiparelor de rezervare din contul tău.

Ce trebuie să știi:

• aceste sugestii sunt recomandări, nu decizii — confirmarea aparține întotdeauna ție sau clientului care rezervă;
• nu producem prin acest mecanism decizii automate cu efecte juridice sau similar semnificative asupra unei persoane, în sensul art. 22 GDPR;
• nu folosim conținutul rezervărilor, datele clienților finali sau datele din calendarele conectate pentru antrenarea de modele de inteligență artificială, nici ale noastre, nici ale unor terți;
• procesarea se realizează în cadrul contului tău și nu combină date între conturi de clienți diferiți;
• sugestiile de disponibilitate sunt calculate în infrastructura noastră și nu presupun transmiterea datelor tale către un furnizor extern de modele.

14.1. Excepția: răspunsurile automate din suport

Singurul loc din Platformă în care se transmite text către un furnizor terț de modele de limbaj este chatul de suport, în modul Firmă. Nu este activ implicit: funcționează doar după ce afacerea își introduce propria cheie de acces. Odată introdusă cheia, două funcții transmit text — generarea automată a titlului conversației, pe baza primului mesaj primit, și, dacă afacerea activează separat modul asistat, generarea automată de răspunsuri pe baza istoricului conversației.

Furnizorul este OpenAI, iar cererea se face direct către api.openai.com, fără intermediari, agregatoare sau platforme de rutare. Furnizorul, endpointul și modelul sunt fixate de noi în Platformă și nu pot fi schimbate de afacere; afacerea furnizează doar cheia de acces din contul ei OpenAI și instrucțiunile proprii. Se transmite exclusiv textul scris în chatul de suport. Kalyra nu plătește serviciul și nu are control asupra modului în care OpenAI prelucrează sau reține textul. Afacerea care activează funcția răspunde de relația cu OpenAI: acordul de prelucrare, verificarea condițiilor de retenție și informarea propriilor clienți.

Nicio dată provenită din Google Calendar nu ajunge la acest furnizor. Modulul de suport este separat de modulele de rezervări și de calendar și nu are acces la ele: singurele date pe care le poate citi sunt conversația de suport și contul participanților la ea.

Recomandarea noastră, atât pentru afaceri cât și pentru clienții lor: nu introduce în chatul de suport date pe care nu ai vrea să ajungă la un terț — date de sănătate, date financiare, documente de identitate. Pentru astfel de situații, folosește canalul de e-mail.

Dacă vom introduce în viitor alte funcționalități care implică transmiterea de date către furnizori terți de modele, vom actualiza această secțiune și te vom informa înainte de activare.

15. Instanțe self-hosted / on-premise

Kalyra poate fi implementat și pe infrastructura proprie a clientului (variantă Docker / on-premise).

Într-o astfel de implementare:

• tu ești singurul operator și, totodată, responsabil de infrastructură — datele nu ajung pe serverele noastre;
• nu avem acces la baza ta de date, la rezervări sau la datele clienților tăi;
• această politică se aplică doar în măsura în care interacționezi cu site-ul nostru public, cu documentația, cu canalele de suport sau cu abonamentul de licență;
• răspunderea pentru securitate, copii de siguranță, actualizări, criptare și conformitate GDPR îți revine integral;
• dacă ne soliciți asistență tehnică și ne transmiți jurnale, capturi de ecran sau exporturi, ne asigurăm că prelucrăm doar ce este strict necesar și ștergem materialele după închiderea tichetului, conform termenelor din secțiunea 10.

16. Modificări ale acestei politici

Putem actualiza această politică pentru a reflecta modificări ale Serviciului, ale legislației sau ale practicilor noastre.

• Actualizăm întotdeauna data „Ultima actualizare" din antet.
• Pentru modificări semnificative — de exemplu un nou scop de prelucrare, o nouă categorie de subîmputerniciți sau o schimbare a temeiului legal — te anunțăm cu cel puțin 30 de zile înainte, prin e-mail și printr-o notificare vizibilă în aplicație.
• Păstrăm un istoric al versiunilor la [kalyra.io/confidentialitate/istoric], ca să poți vedea ce s-a schimbat.
• Continuarea utilizării Serviciului după intrarea în vigoare a modificărilor înseamnă acceptarea versiunii actualizate. Când legea impune consimțământ, îl vom solicita separat.

17. Cum ne contactezi

Anexa A — Lista subîmputerniciților

Actualizată la 1 iunie 2026. Vom anunța clienții Business cu cel puțin 30 de zile înainte de adăugarea unui nou subîmputernicit, oferind posibilitatea de a formula obiecții.

Anexa B — Cookie-uri utilizate

Anexa C — Informații suplimentare pentru vizitatorii din afara SEE

Regatul Unit. Pentru persoanele din Regatul Unit, prelucrarea se realizează în conformitate cu UK GDPR și Data Protection Act 2018. Plângerile pot fi adresate Information Commissioner's Office (ico.org.uk).

Elveția. Prelucrarea respectă Legea federală elvețiană privind protecția datelor (nFADP). Plângerile pot fi adresate FDPIC.

California, SUA. Nu vindem și nu partajăm informații personale în sensul CCPA/CPRA. Rezidenții din California au drepturile de a cunoaște, de a corecta, de a șterge, de a renunța la vânzare/partajare și de a nu fi discriminați pentru exercitarea acestor drepturi. Solicitările se transmit la privacy@kalyra.io. Nu utilizăm informații personale sensibile pentru a deduce caracteristici ale persoanelor.