Crew Direct

1. Operator de date

Operatorul datelor tale cu caracter personal este Digital Maverick S.R.L., cu sediul în România, CUI 50198630, înregistrată la Registrul Comerțului sub nr. J2024011319401. Prelucrăm datele tale în conformitate cu Regulamentul (UE) 2016/679 (GDPR) și Legea nr. 190/2018.

2. Date colectate

Colectăm și prelucrăm următoarele categorii de date personale:

• Date de identificare: nume, prenume, adresă de email, parolă (criptată)
• Date de contact: număr de telefon
• Date fiscale ale firmei: CUI, denumire firmă, adresă sediu social, nr. Registrul Comerțului, cont IBAN, regim fiscal
• Date despre activitatea profesională: evenimente, clienți, contracte, anexe și estimări fiscale introduse de tine în platformă
• Date tehnice: adresa IP, tipul browser-ului, sistemul de operare, data și ora accesărilor
• Date de autentificare Google (dacă alegi autentificarea cu Google): adresa de email asociată contului Google, numele de profil și fotografia de profil

3. Scopul prelucrării

Prelucrăm datele tale exclusiv pentru:

• Furnizarea și operarea serviciilor platformei Crew Direct
• Crearea și autentificarea contului tău (inclusiv prin Google OAuth)
• Generarea documentelor (contracte, anexe)
• Calcularea estimărilor fiscale
• Trimiterea de comunicări esențiale despre serviciu (verificare email, resetare parolă, actualizări importante)
• Asigurarea securității platformei și prevenirea abuzurilor
• Respectarea obligațiilor legale

Nu vindem, nu închiriem și nu partajăm datele tale personale cu terți în scopuri comerciale sau publicitare.

4. Temeiul legal al prelucrării

• Executarea contractului (Art. 6(1)(b) GDPR): furnizarea serviciului pe care l-ai solicitat prin crearea contului
• Consimțământul tău (Art. 6(1)(a) GDPR): pentru funcții opționale, cum ar fi autentificarea prin Google
• Interesul legitim (Art. 6(1)(f) GDPR): securitatea platformei, prevenirea fraudei, îmbunătățirea serviciului
• Obligația legală (Art. 6(1)(c) GDPR): respectarea cerințelor legale aplicabile

5. Autentificarea prin Google

Dacă alegi să te autentifici folosind contul Google, vom accesa următoarele informații din contul tău Google:

• Adresa de email
• Numele complet (prenume și nume de familie)
• Fotografia de profil

Aceste date sunt utilizate exclusiv pentru crearea și autentificarea contului tău pe platformă. Autentificarea nu ne oferă acces la alte informații din contul tău Google (cum ar fi contactele, fișierele, emailurile sau calendarul).

Sincronizarea cu Google Calendar este o funcționalitate separată și opțională, care necesită un consimțământ distinct — vezi secțiunea 6. Dacă nu o activezi, nu accesăm niciodată calendarul tău.

Poți revoca accesul Crew Direct la contul tău Google oricând din setările contului Google. După revocare, te vei putea autentifica doar cu email și parolă.

6. Integrarea cu Google Calendar

Sincronizarea cu Google Calendar este opțională și dezactivată implicit. O poți activa din Setări, printr-un ecran de consimțământ Google separat de autentificare. Solicităm doar două permisiuni:

• Vizualizarea listei de calendare — pentru a-ți permite să alegi în ce calendar scriem
• Gestionarea evenimentelor — pentru a crea, actualiza și șterge evenimentele Crew Direct în calendarul ales

Sincronizarea este unidirecțională: Crew Direct → Google Calendar. Nu citim, nu importăm și nu analizăm evenimentele existente din calendarul tău. Modificăm exclusiv evenimentele create de Crew Direct.

Pentru fiecare eveniment sincronizat trimitem către Google:

• Titlul evenimentului
• Datele de început și de sfârșit
• Locația — adresa locului de desfășurare (venue) pe care o completezi în eveniment, sau localitatea dacă nu ai completat un venue. Google folosește această valoare ca locație a evenimentului, ceea ce îi permite să afișeze harta și indicațiile de traseu în Google Calendar și Google Maps
• Numele clientului, zilele de transport, statusul evenimentului, descrierea și notițele tale — în descrierea evenimentului din calendar

Nu trimitem niciodată date financiare către Google — tarife, sume, contracte, anexe sau facturi nu părăsesc platforma Crew Direct.

Token-ul de reîmprospătare primit de la Google este criptat (AES-256-GCM) înainte de stocare și este folosit exclusiv pentru această sincronizare. Îl ștergem imediat la deconectare, iar dacă Google îl invalidează, sincronizarea este oprită automat și token-ul este eliminat.

Poți opri sincronizarea sau te poți deconecta oricând din Setări, ori poți revoca accesul direct din setările contului Google. Evenimentele deja create rămân în calendarul tău Google — le poți șterge manual.

Temei legal: consimțământul tău (Art. 6(1)(a) GDPR). Utilizarea datelor din Google Calendar respectă Google API Services User Data Policy, inclusiv cerințele privind utilizarea limitată (Limited Use).

7. Stocarea și securitatea datelor

Datele sunt stocate pe servere securizate furnizate de Railway (hosting cloud), cu baze de date PostgreSQL criptate. Fișierele încărcate sunt stocate în Railway Object Storage cu acces securizat prin URL-uri semnate. Parolele sunt criptate folosind algoritmi de hash puternici (bcrypt) și nu sunt niciodată stocate în text clar.

Stocăm datele pe durata utilizării serviciului. La ștergerea contului, datele tale personale sunt eliminate definitiv în termen de 30 de zile, cu excepția cazului în care legea impune retenția lor.

8. Sub-procesatori

Utilizăm următorii furnizori de servicii (sub-procesatori) care pot procesa datele tale:

• Railway (Railway Corp, SUA) — hosting aplicație, bază de date și stocare fișiere
• Google (Google LLC, SUA) — autentificare OAuth și, opțional, sincronizarea cu Google Calendar (doar dacă alegi aceste metode)
• Resend (Resend Inc, SUA) — trimiterea email-urilor tranzacționale (verificare cont, resetare parolă, notificări)

Transferul de date către SUA se realizează în baza clauzelor contractuale standard (SCC) aprobate de Comisia Europeană, conform Art. 46(2)(c) GDPR.

9. Drepturile tale

Conform GDPR, ai următoarele drepturi:

• Dreptul de acces — poți solicita o copie a tuturor datelor tale personale
• Dreptul la rectificare — poți corecta datele inexacte din pagina de Setări
• Dreptul la ștergere — poți șterge contul și toate datele asociate din Setări -> Zona Periculoasă
• Dreptul la portabilitate — poți solicita exportul datelor tale într-un format structurat
• Dreptul la opoziție — poți obiecta față de anumite prelucrări bazate pe interes legitim
• Dreptul de retragere a consimțământului — poți retrage oricând consimțământul dat (ex: deconectarea contului Google)

Pentru exercitarea acestor drepturi, contactează-ne la adresa de mai jos sau folosește funcționalitățile disponibile în Setările contului.

10. Cookie-uri

Folosim exclusiv cookie-uri esențiale (strict necesare) pentru autentificare, menținerea sesiunii și preferințele de limbă/temă. Nu folosim cookie-uri de tracking, analiză sau publicitate. Vezi Politica de Cookies pentru detalii complete.

11. Minori

Serviciile Crew Direct sunt destinate exclusiv persoanelor cu vârsta de cel puțin 18 ani, care operează activități economice (SRL, PFA etc.). Nu colectăm în mod intenționat date de la persoane sub 18 ani.

12. Contact și reclamații

Pentru orice întrebări sau solicitări legate de datele tale personale, ne poți contacta la: contact@crewdirect.ro

Dacă consideri că prelucrarea datelor tale încalcă legislația aplicabilă, ai dreptul să depui o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, București, 010336, România, www.dataprotection.ro.

1. Data Controller

The controller of your personal data is Digital Maverick S.R.L., registered in Romania, Tax ID (CUI) 50198630, Trade Registry No. J2024011319401. We process your data in accordance with Regulation (EU) 2016/679 (GDPR) and Romanian Law No. 190/2018.

2. Data We Collect

We collect and process the following categories of personal data:

• Identity data: first name, last name, email address, password (encrypted)
• Contact data: phone number
• Business fiscal data: company tax ID (CUI), company name, registered address, trade registry number, IBAN, tax regime
• Professional activity data: events, clients, contracts, annexes, and tax estimates you enter into the platform
• Technical data: IP address, browser type, operating system, access timestamps
• Google authentication data (if you choose Google sign-in): email address, profile name, and profile picture associated with your Google account

3. Purpose of Processing

We process your data exclusively for:

• Providing and operating the Crew Direct platform services
• Creating and authenticating your account (including via Google OAuth)
• Generating documents (contracts, annexes)
• Calculating tax estimates
• Sending essential service communications (email verification, password reset, important updates)
• Ensuring platform security and preventing abuse
• Complying with legal obligations

We do not sell, rent, or share your personal data with third parties for commercial or advertising purposes.

4. Legal Basis

• Contract performance (Art. 6(1)(b) GDPR): providing the service you requested by creating an account
• Your consent (Art. 6(1)(a) GDPR): for optional features such as Google authentication
• Legitimate interest (Art. 6(1)(f) GDPR): platform security, fraud prevention, service improvement
• Legal obligation (Art. 6(1)(c) GDPR): compliance with applicable legal requirements

5. Google Authentication

If you choose to sign in using your Google account, we will access the following information from your Google account:

• Email address
• Full name (first and last name)
• Profile picture

This data is used solely for creating and authenticating your account on our platform. Signing in does not give us access to any other information in your Google account (such as contacts, files, email, or your calendar).

Google Calendar sync is a separate, optional feature requiring its own consent — see section 6. If you never enable it, we never access your calendar.

You can revoke Crew Direct's access to your Google account at any time from your Google Account settings. After revocation, you can still sign in using email and password.

6. Google Calendar Integration

Google Calendar sync is optional and off by default. You can enable it in Settings, through a Google consent screen separate from sign-in. We request only two permissions:

• View your calendar list — so you can choose which calendar we write to
• Manage events — to create, update and delete Crew Direct events in the calendar you selected

Sync is one-way: Crew Direct → Google Calendar. We do not read, import, or analyse the existing events in your calendar. We only modify events created by Crew Direct.

For each synced event we send Google:

• The event title
• Start and end dates
• Location — the venue address you enter on the event, or the town if no venue is set. Google uses this as the event location, which lets it show the map and directions in Google Calendar and Google Maps
• Client name, travel days, event status, your description and notes — placed in the calendar event's description

We never send financial data to Google — rates, amounts, contracts, annexes and invoices never leave the Crew Direct platform.

The refresh token we receive from Google is encrypted (AES-256-GCM) before storage and is used only for this sync. We delete it immediately when you disconnect, and if Google invalidates it, sync stops automatically and the token is removed.

You can turn sync off or disconnect at any time in Settings, or revoke access directly from your Google Account settings. Events already created remain in your Google Calendar — you can delete them manually.

Legal basis: your consent (Art. 6(1)(a) GDPR). Our use of Google Calendar data complies with the Google API Services User Data Policy, including the Limited Use requirements.

7. Data Storage & Security

Data is stored on secure servers provided by Railway (cloud hosting), with encrypted PostgreSQL databases. Uploaded files are stored in Railway Object Storage with secured access through signed URLs. Passwords are hashed using strong algorithms (bcrypt) and are never stored in plain text.

We retain your data for the duration of your use of the service. Upon account deletion, your personal data is permanently removed within 30 days, unless retention is required by law.

8. Sub-processors

We use the following service providers (sub-processors) that may process your data:

• Railway (Railway Corp, USA) — application hosting, database, and file storage
• Google (Google LLC, USA) — OAuth authentication and, optionally, Google Calendar sync (only if you choose these methods)
• Resend (Resend Inc, USA) — transactional email delivery (account verification, password reset, notifications)

Data transfers to the USA are conducted under Standard Contractual Clauses (SCCs) approved by the European Commission, pursuant to Art. 46(2)(c) GDPR.

9. Your Rights

Under GDPR, you have the following rights:

• Right of access — you can request a copy of all your personal data
• Right to rectification — you can correct inaccurate data from the Settings page
• Right to erasure — you can delete your account and all associated data from Settings -> Danger Zone
• Right to data portability — you can request your data in a structured format
• Right to object — you can object to certain processing based on legitimate interest
• Right to withdraw consent — you can withdraw consent at any time (e.g., disconnecting your Google account)

To exercise these rights, contact us at the address below or use the features available in your Account Settings.

10. Cookies

We use only essential (strictly necessary) cookies for authentication, session management, and language/theme preferences. We do not use tracking, analytics, or advertising cookies. See our Cookie Policy for full details.

11. Children

Crew Direct services are intended exclusively for individuals aged 18 or older who operate economic activities (LLC, sole proprietorship, etc.). We do not knowingly collect data from persons under 18 years of age.

12. Contact & Complaints

For any questions or requests regarding your personal data, contact us at: contact@crewdirect.ro

If you believe that our processing of your data violates applicable law, you have the right to file a complaint with the Romanian National Supervisory Authority for Personal Data Processing (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, Bucharest, 010336, Romania, www.dataprotection.ro.