Politica de confidențialitate
Această politică explică ce date cu caracter personal prelucrează DOX INVESTMENT S.R.L. prin site-ul doxproperp.com și prin platforma DOX ProPERP, în ce scopuri și pe ce temei, cât timp le păstrăm, cui le comunicăm și ce drepturi aveți. Ea reprezintă informarea prevăzută de art. 13 și 14 din Regulamentul (UE) 2016/679 privind protecția datelor („GDPR”).
1. Cine suntem
Operatorul datelor cu caracter personal este:
- Denumire
- DOX INVESTMENT S.R.L. („DOX”, „noi”)
- Sediul social
- Str. Tudor Vladimirescu nr. 45, Târgu Mureș, jud. Mureș, România
- Cod unic de înregistrare
- RO23939451 (plătitor de TVA)
- Nr. Registrul Comerțului
- J26/968/2008 (format nou: J2008000968265)
- EUID
- ROONRC.J26/968/2008
- Site
- doxproperp.com
- Protecția datelor
- [email protected]
- Contact general
- [email protected]
- Raportări de securitate
- [email protected]
Platforma DOX ProPERP este realizată în cadrul unui proiect al DOX finanțat prin Planul Național de Redresare și Reziliență (PNRR), contract de finanțare nr. 4397.1/i3/c9 — detalii în subsolul paginii.
2. La cine și la ce se aplică
DOX ProPERP este o platformă B2B pentru proiecte de construcții finanțate. Ea acoperă înrolarea companiilor (verificări KYP/AML), cererile de finanțare, monitorizarea șantierului (fotografii, senzori IoT, inspecții), tranșele și plățile condiționate de etape, documentele și semnătura electronică, raportarea, precum și CRM-ul și tichetele de suport.
Politica se aplică:
- vizitatorilor site-ului public, inclusiv celor care trimit formularul „Solicită acces”;
- utilizatorilor platformei — persoane care acționează în numele DOX sau al unei companii partenere (bancă, dezvoltator, antreprenor, furnizor, investitor, auditor);
- persoanelor ale căror date ne sunt comunicate de o companie la înrolare: reprezentanți legali, asociați sau acționari, beneficiari reali și persoane de contact.
Conturile sunt create exclusiv pe bază de invitație din partea DOX; nu există înregistrare publică.
3. Ce date prelucrăm
- (a) Date de cont — nume, adresă de email, telefon, rolul în platformă, compania pe care o reprezentați, limba preferată și preferințele de notificare.
- (b) Date de înrolare a companiei (KYP) — date din registre publice despre companie (serviciul web public al ANAF; datele deschise ale ONRC publicate pe data.gov.ro, sub licența CC BY 4.0); reprezentanții legali, asociații sau acționarii și beneficiarii reali, așa cum sunt declarați de companie — nume, CNP sau, pentru cetățenii străini, numărul documentului de identitate și data nașterii, cetățenia și cota de participare; persoana de contact, IBAN-ul și documentele KYP încărcate de companie.
- (c) Date de proiect și de tranzacție — înregistrările proiectului, etapele, inspecțiile, fotografiile de pe șantier, citirile senzorilor IoT, cererile de plată, tranșele și documentele. Acestea privesc în principal companii și proiecte, dar pot conține date personale, de exemplu numele persoanelor care încarcă, aprobă sau semnează un document.
- (d) Jurnale — jurnalul de audit, în care înregistrările doar se adaugă și nu se modifică (cine, ce și când), jurnalul de livrare a emailurilor și evenimentele de securitate, cum ar fi autentificările eșuate. Tot aici intră adresa IP, folosită pentru securitate și pentru a limita numărul de cereri trimise prin formularele publice.
- (e) Date din formularul „Solicită acces” — CUI-ul companiei, tipologia, numele persoanei de contact, emailul de serviciu, telefonul, interesul de proiect, mesajul și consimțământul GDPR (pentru bănci: codul fiscal și numărul autorizației bancare). CUI-ul introdus este căutat în registrele publice pentru a afișa datele de identificare ale companiei.
- (f) Cereri de ofertă, comenzi și facturi pentru serviciile DOX — numele, emailul, telefonul, firma și CUI-ul sau, pentru persoanele fizice, adresa, județul și, opțional, CNP-ul (numai pentru factură), serviciile cerute, oferta, acceptarea ei, comanda și facturile.
Este obligatoriu să furnizați datele? Datele KYP sunt necesare pentru cerințele legale de cunoaștere a clientelei și pentru încheierea relației contractuale; fără ele nu putem finaliza înrolarea companiei. Datele de cont sunt necesare pentru a vă crea accesul. În formularul de pe site, fără câmpurile marcate ca obligatorii nu putem răspunde solicitării.
4. Scopuri, temeiuri juridice și durate de păstrare
Prelucrăm datele numai în scopurile de mai jos, pe temeiurile prevăzute de art. 6 alin. (1) GDPR. Duratele de păstrare reprezintă politica noastră și respectă termenele legale aplicabile.
| Categoria de date | Scop | Temei juridic | Durata de păstrare |
|---|---|---|---|
| Date de cont (a) | Crearea și administrarea contului; controlul accesului pe roluri; notificări; comunicarea privind proiectele | Art. 6(1)(b) — executarea contractului și demersuri precontractuale; art. 6(1)(f) — interes legitim: securitatea platformei, comunicare B2B | Cât timp contul este activ; după dezactivare, numai în măsura cerută de termenele de mai jos |
| Date de înrolare KYP/AML (b) | Verificarea companiei și a partenerilor (KYP); identificarea beneficiarilor reali; prevenirea spălării banilor și a fraudei | Art. 6(1)(c) — obligație legală (Legea nr. 129/2019); art. 6(1)(b); art. 6(1)(f) — prevenirea fraudei | 5 ani de la încetarea relației de afaceri (Legea nr. 129/2019) |
| Date de proiect și de tranzacție (c) | Derularea proiectului: finanțare, monitorizare, inspecții, tranșe și plăți, documente, raportare | Art. 6(1)(b); art. 6(1)(c) — obligații contabile și de arhivare | Pe durata proiectului; după aceea, numai în măsura în care fac parte din documentele financiar-contabile, din registrul plăților sau din jurnalul de audit (termenele de mai jos) |
| Documente financiar-contabile (c) | Facturi, contracte și documentele justificative ale plăților | Art. 6(1)(c) — obligație legală (Legea contabilității nr. 82/1991) | 10 ani de la încheierea exercițiului financiar în care au fost întocmite (Legea nr. 82/1991) |
| Registrul plăților și al capitalului (c) | Evidența ordinelor de tragere, a tranșelor eliberate și a confirmărilor primite de la bănci | Art. 6(1)(b); art. 6(1)(c) — obligații contabile și de cunoaștere a clientelei | Cât cer legea și contractele proiectului, cel puțin 10 ani, ca documentele financiar-contabile. Nu se șterge prin funcția de ștergere a datelor din Platformă |
| Jurnalul de audit (d) | Trasabilitatea acțiunilor, dovada operațiunilor, securitate și prevenirea fraudei | Art. 6(1)(f) — interes legitim; art. 6(1)(c), când legea cere păstrarea dovezilor | Pe durata proiectului și încă 5 ani după încheierea lui sau mai mult, dacă legea ori contractul de finanțare cer un termen mai lung. Nu se șterge prin funcția de ștergere a datelor din Platformă |
| Jurnalul emailurilor și evenimentele de securitate (d) | Livrarea notificărilor; detectarea și blocarea accesului neautorizat; limitarea numărului de cereri | Art. 6(1)(f) — interes legitim | Cel mult cât jurnalul de audit; datele folosite doar pentru limitarea cererilor se șterg după câteva zile |
| Formularul „Solicită acces” (e) | Răspunsul la solicitare; evaluarea și organizarea accesului; înregistrarea solicitării în CRM | Art. 6(1)(a) — consimțământ, pe care îl puteți retrage oricând | Dacă solicitarea nu devine relație contractuală: 12 luni de la ultimul contact, apoi se șterge. Dacă devine, se aplică termenele de mai sus |
| Cereri de ofertă, comenzi și facturi (f) | Pregătirea ofertei; după acceptare, executarea contractului și emiterea facturilor | Art. 6(1)(b) — demersuri înainte de încheierea contractului și executarea lui; art. 6(1)(c) — obligații contabile și fiscale | Facturile și documentele contabile: 10 ani (Legea nr. 82/1991). Cererile care nu devin comenzi: 12 luni, apoi se șterg |
Când prelucrarea se bazează pe consimțământ, îl puteți retrage oricând, fără a afecta legalitatea prelucrării efectuate înainte de retragere. Când se bazează pe interesul nostru legitim, vă puteți opune prelucrării (vezi Drepturile dumneavoastră). La expirarea duratelor de păstrare, datele sunt șterse sau anonimizate.
Platforma are o funcție prin care administratorul DOX șterge conturi, companii sau proiecte. Ea nu atinge jurnalul de audit și registrul plăților și al capitalului, pe care legea și contractele ne obligă să le păstrăm; acestea se păstrează pe durata de mai sus.
Cereri de ofertă, comenzi și facturi pentru serviciile DOX. Prelucrăm datele din cererea de ofertă (nume, email, telefon, firmă și CUI sau, pentru persoane fizice, adresa și, opțional, CNP-ul) ca să pregătim oferta (demersuri înainte de încheierea contractului, art. 6 alin. (1) lit. b GDPR) și, după acceptare, ca să executăm contractul și să emitem facturile (art. 6 alin. (1) lit. b și c). Facturile și documentele contabile se păstrează 10 ani (Legea contabilității nr. 82/1991); cererile care nu devin comenzi se șterg după 12 luni. CNP-ul îl văd doar echipa DOX și titularul contului; nu apare în listele altor clienți.
5. De unde provin datele
- direct de la dumneavoastră — contul, formularul de pe site, documentele încărcate;
- de la compania pe care o reprezentați — de exemplu, datele reprezentanților, asociaților și beneficiarilor reali declarate la înrolare;
- din surse publice — serviciul web public al ANAF și datele deschise ale Oficiului Național al Registrului Comerțului (ONRC), publicate pe data.gov.ro sub licența CC BY 4.0. Aceste registre sunt surse ale datelor, nu destinatari: nu le transmitem date cu caracter personal;
- de la celelalte părți ale aceluiași proiect — de exemplu, inspecții, fotografii sau cereri de plată încărcate de antreprenor, de inginer sau de bancă;
- de la senzorii IoT de pe șantier și din jurnalele generate automat de platformă.
Dacă ne comunicați date despre alte persoane (reprezentanți, asociați, beneficiari reali, persoane de contact), vă rugăm să le informați și să le indicați această pagină.
6. Cui comunicăm datele
Persoane împuternicite (furnizori). Folosim numai următorii trei furnizori, cu care avem termeni de prelucrare a datelor (art. 28 GDPR). Baza de date și fișierele Platformei sunt găzduite în Uniunea Europeană.
| Furnizor | Serviciu | Localizare | Garanții |
|---|---|---|---|
| Cloudflare | Găzduirea site-ului și CDN, DNS, rutarea emailurilor; verificarea anti-robot Turnstile la autentificare și la formularele publice | Rețea globală; site-ul este servit numai prin HTTPS | Termeni de prelucrare a datelor; pentru transferurile în afara UE: Clauzele contractuale standard ale UE sau Cadrul UE–SUA privind confidențialitatea datelor (EU-US Data Privacy Framework) |
| Supabase | Baza de date, autentificarea, stocarea fișierelor | Servere în Frankfurt, Germania (UE) | Termeni de prelucrare a datelor; Clauzele contractuale standard ale UE pentru eventualul acces din afara SEE |
| Brevo (Sendinblue SAS, Franța) | Trimiterea emailurilor tranzacționale (invitații, coduri de autentificare, notificări) | Franța (UE) | Termeni de prelucrare a datelor |
Celelalte părți ale aceluiași proiect. Banca, dezvoltatorul, antreprenorul, investitorul și auditorul unui proiect văd datele de proiect de care are nevoie rolul lor. Băncile finanțatoare văd dosarul KYP al companiilor implicate în proiectele pe care le finanțează. Aceste entități pot prelucra datele și în nume propriu, pentru propriile obligații legale (de exemplu, banca, pentru cunoașterea clientelei).
Autorități. Comunicăm date autorităților și instituțiilor publice numai atunci când legea ne obligă.
Nu vindem date cu caracter personal și nu le folosim în scopuri publicitare.
7. Transferuri în afara SEE
Baza de date și fișierele Platformei sunt stocate în UE (Frankfurt, Germania). Unii furnizori fac parte din grupuri cu sediul în afara Spațiului Economic European (SEE), iar rețeaua Cloudflare este globală. Acolo unde are loc un transfer de date în afara UE/SEE, acesta se bazează pe Clauzele contractuale standard adoptate de Comisia Europeană sau pe Cadrul UE–SUA privind confidențialitatea datelor (EU-US Data Privacy Framework). La cerere, vă oferim informații despre garanțiile aplicabile.
8. Asistentul platformei
Platforma are un asistent („Copilot”) care răspunde la întrebări despre proiecte, documente și pașii de lucru. El funcționează pe reguli, în interiorul Platformei, și folosește numai datele pe care contul dumneavoastră are dreptul să le vadă.
Asistentul nu trimite întrebările și nici datele dumneavoastră către un furnizor de inteligență artificială sau către alți terți și nu modifică nimic fără confirmarea dumneavoastră.
9. Decizii automatizate
Platforma calculează scoruri de eligibilitate și de risc ca sprijin pentru decizie. Nu luăm decizii bazate exclusiv pe prelucrare automată care să producă efecte juridice asupra dumneavoastră sau să vă afecteze în mod similar semnificativ: fiecare aprobare este dată de o persoană, într-un circuit de aprobare în doi pași.
10. Cookie-uri și stocare locală
Nu folosim cookie-uri de publicitate sau de analiză și nici instrumente de urmărire ale terților. Folosim doar stocarea strict necesară pentru funcționarea serviciului:
| Ce | La ce folosește | Cât durează |
|---|---|---|
| localStorage și sessionStorage (în browser) | Sesiunea de autentificare în Platformă, preferința de limbă și memoria de lucru locală a aplicației | Sesiunea: până la deconectare sau după 30 de minute de inactivitate. Limba și memoria de lucru: până când le șterge aplicația sau dumneavoastră, din setările browserului |
| IndexedDB (în browser) | Copia locală a fișierelor pe care le deschideți în Platformă, ca să nu fie descărcate de fiecare dată | Până când le șterge aplicația sau dumneavoastră, din setările browserului |
| Cookie-uri de securitate (Cloudflare) | Pot fi setate de Cloudflare pentru protecția site-ului și pentru verificarea anti-robot (Turnstile); sunt strict necesare | Durata tehnică stabilită de Cloudflare, numai în scop de securitate |
Limba site-ului poate fi preselectată după țara din care provine conexiunea, așa cum o raportează Cloudflare; în browser se salvează doar limba rezultată.
Deoarece folosim exclusiv stocare strict necesară pentru serviciul pe care îl solicitați, nu este necesar un banner de consimțământ pentru cookie-uri (art. 4 alin. (5) din Legea nr. 506/2004).
Resurse externe. Fonturile sunt găzduite pe site-ul nostru; nu folosim servicii externe de fonturi. Site-ul public nu încarcă resurse de la terți, cu excepția verificării anti-robot Cloudflare Turnstile de la formulare. Bibliotecile JavaScript open-source ale aplicației (conectarea la baza de date, vizualizatorul 3D, citirea fișierelor PDF, recunoașterea textului din imagini și recunoașterea obiectelor din fotografiile de șantier) sunt găzduite tot pe site-ul nostru. Singura excepție, după autentificare: când un inspector folosește verificarea echipamentului de protecție (cască, vestă), browserul lui descarcă o singură dată un model open-source de la Hugging Face (huggingface.co și rețeaua lui de livrare, *.hf.co). Analiza fotografiilor rulează în browserul dumneavoastră, deci fotografiile și documentele nu sunt trimise acestor servicii. La descărcare, Hugging Face primește, tehnic, adresa IP a browserului și informațiile standard ale cererii; nu primește datele din cont, din formulare sau din documente.
Linkurile către hartă (OpenStreetMap) se deschid numai dacă dați clic pe ele.
11. Securitatea datelor
Aplicăm măsurile tehnice și organizatorice descrise în secțiunea Securitate — printre altele, HTTPS/TLS pe fiecare pagină, acces pe roluri cu separarea datelor pe companie și pe proiect, impusă pe server, stocare privată a fișierelor și un jurnal de audit al acțiunilor.
12. Drepturile dumneavoastră
- Dreptul de acces (art. 15) — să aflați dacă vă prelucrăm datele și să primiți o copie a acestora.
- Dreptul la rectificare (art. 16) — să corectăm datele inexacte și să le completăm pe cele incomplete.
- Dreptul la ștergere (art. 17) — să ștergem datele, în condițiile prevăzute de lege.
- Dreptul la restricționare (art. 18) — să limităm temporar prelucrarea, de exemplu cât timp verificăm exactitatea datelor.
- Dreptul la portabilitate (art. 20) — să primiți datele furnizate de dumneavoastră într-un format structurat, utilizat în mod curent și care poate fi citit automat, pentru prelucrările bazate pe consimțământ sau pe contract.
- Dreptul la opoziție (art. 21) — să vă opuneți prelucrărilor bazate pe interesul legitim, din motive legate de situația dumneavoastră particulară.
- Dreptul de a vă retrage consimțământul (art. 7 alin. (3)) — oricând, la fel de simplu cum l-ați acordat.
- Dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrare automată (art. 22).
- Dreptul de a depune plângere (art. 77) la ANSPDCP (vezi punctul 14).
13. Cum vă exercitați drepturile
- Scrieți-ne la [email protected] — dacă aveți cont, de preferință de pe adresa de email asociată contului.
- Vă putem cere informații suplimentare pentru a vă verifica identitatea, ca să nu dezvăluim date unei persoane neautorizate.
- Răspundem în cel mult o lună de la primirea cererii. Pentru cereri complexe sau numeroase, termenul se poate prelungi cu încă două luni; în acest caz, vă anunțăm în prima lună.
- Exercitarea drepturilor este gratuită. Pentru cereri vădit nefondate sau excesive putem percepe o taxă rezonabilă ori putem refuza cererea, în condițiile art. 12 alin. (5) GDPR.
- Datele pe care legea ne obligă să le păstrăm — de exemplu, datele KYP/AML și ale beneficiarilor reali (Legea nr. 129/2019) sau documentele financiar-contabile — nu pot fi șterse înainte de expirarea termenului legal; până atunci, le folosim numai în scopul pentru care legea impune păstrarea lor.
14. Dreptul de a depune plângere
Dacă apreciați că vă prelucrăm datele cu încălcarea legii, puteți depune o plângere la autoritatea de supraveghere:
Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, București
www.dataprotection.ro
Vă încurajăm să ne scrieți mai întâi, ca să putem rezolva rapid situația.
15. Modificări ale politicii
Actualizăm această politică atunci când se schimbă platforma, furnizorii sau legislația. Data ultimei actualizări este afișată la începutul paginii. Utilizatorii platformei sunt informați despre modificările importante prin email sau în aplicație.
Privacy Policy
This policy explains which personal data DOX INVESTMENT S.R.L. processes through the doxproperp.com website and the DOX ProPERP platform, for what purposes and on what legal basis, how long we keep it, who we share it with and what rights you have. It is the information required by Articles 13 and 14 of the EU General Data Protection Regulation (Regulation (EU) 2016/679, “GDPR”).
1. Who we are
The data controller is:
- Company
- DOX INVESTMENT S.R.L. (“DOX”, “we”, “us”)
- Registered office
- Str. Tudor Vladimirescu nr. 45, Târgu Mureș, Mureș County, Romania
- Tax ID (CUI)
- RO23939451 (VAT registered)
- Trade Register no.
- J26/968/2008 (new format: J2008000968265)
- EUID
- ROONRC.J26/968/2008
- Website
- doxproperp.com
- Data protection
- [email protected]
- General enquiries
- [email protected]
- Security reports
- [email protected]
The DOX ProPERP platform is built under a DOX project funded through Romania’s National Recovery and Resilience Plan (PNRR), financing contract no. 4397.1/i3/c9 — see the page footer for details.
2. Who and what this policy covers
DOX ProPERP is a B2B platform for financed construction projects. It covers company onboarding (KYP/AML checks), financing applications, site monitoring (photos, IoT sensors, inspections), stage-gated tranches and payments, documents and e-signature, reporting, and CRM and support tickets.
This policy applies to:
- visitors to the public website, including those who send the “Request access” form;
- platform users — people acting on behalf of DOX or of a partner company (bank, developer, contractor, supplier, investor, auditor);
- people whose data a company gives us during onboarding: legal representatives, shareholders, beneficial owners and contact persons.
Accounts are created only by invitation from DOX; there is no public sign-up.
3. What data we process
- (a) Account data — name, email address, phone number, platform role, the company you represent, language preference and notification preferences.
- (b) Company onboarding (KYP) data — public registry data about the company (ANAF’s public web service; ONRC open data published on data.gov.ro under the CC BY 4.0 licence); the legal representatives, shareholders and beneficial owners as declared by the company — name, Romanian personal numeric code (CNP) or, for foreign nationals, identity document number and date of birth, citizenship and stake; the contact person, the company’s IBAN and the KYP documents uploaded by the company.
- (c) Project and transaction data — project records, stages, inspections, site photos, IoT sensor readings, payment applications, tranches and documents. These mainly concern companies and projects, but they can include personal data, such as the names of the people who upload, approve or sign a document.
- (d) Logs — the audit trail, where entries are only added and never changed (who did what, and when), the email delivery log and security events such as failed sign-ins. This also includes your IP address, used for security and to limit the number of requests sent through the public forms.
- (e) “Request access” form data — company CUI, typology, contact name, work email, phone, project interest, message and GDPR consent (for banks: tax code and banking licence number). The CUI you enter is looked up in public registries to display the company’s identification data.
- (f) Requests for quotation, orders and invoices for the DOX services — name, email, phone, company and CUI or, for natural persons, the address, county and, optionally, the personal numeric code (CNP, only for the invoice), the services requested, the offer, its acceptance, the order and the invoices.
Do you have to provide the data? KYP data are needed to meet the legal know-your-customer requirements and to enter into the business relationship; without them we cannot complete the company’s onboarding. Account data are needed to give you access. On the website form, we cannot answer your request without the fields marked as required.
4. Purposes, legal bases and retention
We process data only for the purposes below, on the legal bases set out in Article 6(1) GDPR. The retention periods are our policy and follow the applicable statutory periods.
| Data category | Purpose | Legal basis | Retention |
|---|---|---|---|
| Account data (a) | Creating and managing the account; role-based access control; notifications; project-related communication | Art. 6(1)(b) — performance of the contract and pre-contractual steps; Art. 6(1)(f) — legitimate interest: platform security, B2B communication | While the account is active; after deactivation, only as far as the periods below require |
| KYP/AML onboarding data (b) | Verifying the company and its partners (KYP); identifying beneficial owners; preventing money laundering and fraud | Art. 6(1)(c) — legal obligation (Law 129/2019); Art. 6(1)(b); Art. 6(1)(f) — fraud prevention | 5 years after the end of the business relationship (Law 129/2019) |
| Project and transaction data (c) | Running the project: financing, monitoring, inspections, tranches and payments, documents, reporting | Art. 6(1)(b); Art. 6(1)(c) — accounting and archiving obligations | For the life of the project; after that, only insofar as they form part of the financial-accounting documents, the payment ledger or the audit trail (periods below) |
| Financial-accounting documents (c) | Invoices, contracts and the supporting documents of payments | Art. 6(1)(c) — legal obligation (Accounting Law 82/1991) | 10 years from the end of the financial year in which they were drawn up (Law 82/1991) |
| Payment and capital ledger (c) | Record of drawdown orders, released tranches and the confirmations received from banks | Art. 6(1)(b); Art. 6(1)(c) — accounting and know-your-customer obligations | As long as the law and the project contracts require, and at least 10 years, like the financial-accounting documents. It is not deleted by the Platform’s data deletion function |
| Audit trail (d) | Traceability of actions, evidence of operations, security and fraud prevention | Art. 6(1)(f) — legitimate interest; Art. 6(1)(c) where the law requires evidence to be kept | For the life of the project and 5 years after it ends, or longer if the law or the financing contract requires a longer period. It is not deleted by the Platform’s data deletion function |
| Email log and security events (d) | Delivering notifications; detecting and blocking unauthorised access; limiting the number of requests | Art. 6(1)(f) — legitimate interest | No longer than the audit trail; data used only to limit requests are deleted after a few days |
| “Request access” form (e) | Answering the request; assessing and arranging access; recording the request in our CRM | Art. 6(1)(a) — consent, which you can withdraw at any time | If the request does not lead to a business relationship: 12 months from the last contact, then deleted. If it does, the periods above apply |
| Requests for quotation, orders and invoices (f) | Preparing the offer; after its acceptance, performing the contract and issuing the invoices | Art. 6(1)(b) — steps before entering into the contract and its performance; art. 6(1)(c) — accounting and tax obligations | Invoices and accounting records: 10 years (Accounting Law 82/1991). Requests that do not become orders: 12 months, then deleted |
Where processing is based on consent, you can withdraw it at any time; this does not affect the lawfulness of processing carried out before the withdrawal. Where it is based on our legitimate interest, you can object to it (see Your rights). When the retention periods end, the data are deleted or anonymised.
The Platform has a function that lets the DOX administrator delete accounts, companies or projects. It does not touch the audit trail or the payment and capital ledger, which the law and the contracts require us to keep; these are kept for the periods above.
Requests for quotation, orders and invoices for the DOX services. We process the data in the request for quotation (name, email, phone, company and CUI or, for natural persons, the address and, optionally, the personal numeric code — CNP) to prepare the offer (steps before entering into a contract, art. 6(1)(b) GDPR) and, after its acceptance, to perform the contract and issue the invoices (art. 6(1)(b) and (c)). Invoices and accounting records are kept for 10 years (Accounting Law 82/1991); requests that do not become orders are deleted after 12 months. The CNP is seen only by the DOX team and the account holder; it never appears in other clients' lists.
5. Where the data come from
- directly from you — your account, the website form, the documents you upload;
- from the company you represent — for example, the details of legal representatives, shareholders and beneficial owners declared during onboarding;
- from public sources — ANAF’s public web service and the open data of the National Trade Register Office (ONRC), published on data.gov.ro under the CC BY 4.0 licence. These registries are sources of data, not recipients: we do not send them personal data;
- from the other parties of the same project — for example, inspections, photos or payment applications uploaded by the contractor, the engineer or the bank;
- from IoT sensors on site and from logs generated automatically by the platform.
If you give us data about other people (legal representatives, shareholders, beneficial owners, contact persons), please inform them and point them to this page.
6. Who we share data with
Processors (service providers). We use only the following three providers, with whom we have data processing terms in place (Art. 28 GDPR). The Platform’s database and files are hosted in the European Union.
| Provider | Service | Location | Safeguards |
|---|---|---|---|
| Cloudflare | Website hosting and CDN, DNS, email routing; the Turnstile anti-robot check at sign-in and on the public forms | Global network; the website is served over HTTPS only | Data processing terms; for transfers outside the EU: EU Standard Contractual Clauses or the EU-US Data Privacy Framework |
| Supabase | Database, authentication, file storage | Servers in Frankfurt, Germany (EU) | Data processing terms; EU Standard Contractual Clauses for any access from outside the EEA |
| Brevo (Sendinblue SAS, France) | Sending transactional emails (invitations, sign-in codes, notifications) | France (EU) | Data processing terms |
Other parties of the same project. The bank, developer, contractor, investor and auditor of a project see the project data their role needs. Financing banks see the KYP file of the companies involved in the projects they finance. These parties may also process the data on their own account, for their own legal obligations (for example, a bank’s know-your-customer duties).
Authorities. We disclose data to public authorities and institutions only when the law requires us to.
We do not sell personal data and we do not use it for advertising.
7. Transfers outside the EEA
The Platform’s database and files are stored in the EU (Frankfurt, Germany). Some of our providers belong to groups headquartered outside the European Economic Area (EEA), and Cloudflare’s network is global. Where data are transferred outside the EU/EEA, the transfer relies on the Standard Contractual Clauses adopted by the European Commission or on the EU-US Data Privacy Framework. On request, we will provide information about the applicable safeguards.
8. The platform assistant
The Platform has an assistant (“Copilot”) that answers questions about projects, documents and how to carry out a task. It works on rules, inside the Platform, and uses only the data your account is allowed to see.
The assistant does not send your questions or your data to an artificial-intelligence provider or to any other third party, and it does not change anything without your confirmation.
9. Automated decisions
The platform computes eligibility and risk scores as decision support. We do not take decisions based solely on automated processing that produce legal effects concerning you or similarly significantly affect you: every approval is given by a person, through a two-step approval process.
10. Cookies and local storage
We do not use advertising or analytics cookies, and there are no third-party trackers. We only use the storage that is strictly necessary for the service to work:
| What | What it is for | How long |
|---|---|---|
| localStorage and sessionStorage (in your browser) | Your sign-in session on the Platform, your language preference and the application’s local working memory | The session: until you sign out or after 30 minutes of inactivity. Language and working memory: until the application or you delete them (in your browser settings) |
| IndexedDB (in your browser) | A local copy of the files you open in the Platform, so they are not downloaded every time | Until the application or you delete them (in your browser settings) |
| Security cookies (Cloudflare) | May be set by Cloudflare to protect the website and for the anti-robot check (Turnstile); strictly necessary | The technical duration set by Cloudflare, for security purposes only |
The website language may be pre-selected from the country your connection comes from, as reported by Cloudflare; only the resulting language is saved in your browser.
Because we only use storage that is strictly necessary for the service you request, no cookie consent banner is required (Article 4(5) of Romanian Law 506/2004).
External resources. Our fonts are hosted on our own website; we do not use any external font service. The public website loads no third-party resources, except the Cloudflare Turnstile anti-robot check on the forms. The application’s open-source JavaScript libraries (the database connection, the 3D viewer, PDF reading, text recognition in images and object recognition in site photos) are also hosted on our own website. The one exception, after sign-in: when an inspector uses the protective-equipment check (helmet, vest), their browser downloads an open-source model once from Hugging Face (huggingface.co and its delivery network, *.hf.co). The photos are analysed in your browser, so photos and documents are not sent to these services. During the download, Hugging Face technically receives your browser’s IP address and the standard request information; it does not receive account, form or document data.
Map links (OpenStreetMap) open only if you click them.
11. Data security
We apply the technical and organisational measures described in the Security section — among them, HTTPS/TLS on every page, role-based access with data separated by company and by project and enforced on the server, private file storage and an audit trail of actions.
12. Your rights
- Right of access (Art. 15) — to know whether we process your data and to receive a copy.
- Right to rectification (Art. 16) — to have inaccurate data corrected and incomplete data completed.
- Right to erasure (Art. 17) — to have your data deleted, under the conditions set by law.
- Right to restriction (Art. 18) — to have processing temporarily limited, for example while we check the accuracy of the data.
- Right to data portability (Art. 20) — to receive the data you provided in a structured, commonly used and machine-readable format, for processing based on consent or on a contract.
- Right to object (Art. 21) — to object, on grounds relating to your particular situation, to processing based on legitimate interest.
- Right to withdraw consent (Art. 7(3)) — at any time, as easily as you gave it.
- Right not to be subject to a decision based solely on automated processing (Art. 22).
- Right to lodge a complaint (Art. 77) with the ANSPDCP (see section 14).
13. How to exercise your rights
- Write to [email protected] — if you have an account, preferably from the email address linked to it.
- We may ask for additional information to verify your identity, so that we do not disclose data to an unauthorised person.
- We reply within one month of receiving your request. For complex or numerous requests, this period can be extended by two further months; if so, we will tell you within the first month.
- Exercising your rights is free of charge. For manifestly unfounded or excessive requests we may charge a reasonable fee or refuse to act, as provided by Art. 12(5) GDPR.
- Data that the law requires us to keep — for example, KYP/AML and beneficial owner data (Law 129/2019) or financial-accounting documents — cannot be erased before the statutory period ends; until then, we use them only for the purpose for which the law requires them to be kept.
14. Right to lodge a complaint
If you believe that we process your data unlawfully, you can lodge a complaint with the Romanian supervisory authority:
National Supervisory Authority for Personal Data Processing (ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal)B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, Bucharest, Romania
www.dataprotection.ro
We encourage you to write to us first, so that we can resolve the matter quickly.
15. Changes to this policy
We update this policy when the platform, our providers or the law change. The date of the last update is shown at the top of the page. Platform users are informed of significant changes by email or in the application.
GDPR pe scurt
Un rezumat în limbaj simplu, pentru persoanele ale căror date le prelucrăm. Detaliile complete se află în Politica de confidențialitate.
Esențialul, pe scurt
Cine răspunde de date
DOX INVESTMENT S.R.L., cu sediul în Târgu Mureș, este operatorul datelor. Ne găsiți la [email protected].
Ce date folosim
Datele contului (nume, email, telefon, rol, companie), datele de înrolare a companiei (inclusiv reprezentanții și beneficiarii reali), datele proiectelor, jurnalele de activitate și mesajele trimise prin formularul de pe site.
De ce
Ca să vă oferim accesul și să derulăm proiectele (contract), ca să respectăm legea (prevenirea spălării banilor, contabilitate), ca să protejăm platforma (interes legitim) și ca să vă răspundem la solicitarea de acces (consimțământ).
Cât timp
Datele KYP/AML: 5 ani după încheierea relației de afaceri. Documentele financiar-contabile: 10 ani. Jurnalul de audit și registrul plăților: cât cer legea și contractele, fără a fi șterse din Platformă. Solicitările care nu devin colaborări: 12 luni de la ultimul contact, apoi se șterg.
Cine le vede
Doar persoanele care au nevoie de ele pentru rolul lor în proiect, cei trei furnizori tehnici (Cloudflare, Supabase, Brevo; datele sunt găzduite în UE) și autoritățile, când legea o cere. Nu vindem date.
Decizia o ia un om
Platforma calculează scoruri care ajută la decizie, dar fiecare aprobare este dată de o persoană, în doi pași.
Fără urmărire
Fără cookie-uri de publicitate sau de analiză. Doar stocarea strict necesară pentru autentificare și preferințe. Asistentul platformei nu trimite date către furnizori de inteligență artificială.
Drepturile dumneavoastră
Acces, rectificare, ștergere, restricționare, portabilitate, opoziție, retragerea consimțământului și intervenție umană. Puteți depune plângere la ANSPDCP.
Pentru companiile în curs de înrolare
De ce vă cerem CNP-ul și datele beneficiarilor reali?
Legea nr. 129/2019 pentru prevenirea și combaterea spălării banilor și finanțării terorismului cere ca, în cadrul măsurilor de cunoaștere a clientelei, să fie identificați beneficiarii reali — persoanele fizice care dețin sau controlează în ultimă instanță compania. De aceea, la înrolare vă cerem datele reprezentanților legali, ale asociaților și ale beneficiarilor reali: nume, CNP (sau, pentru cetățenii străini, numărul documentului de identitate și data nașterii), cetățenia și cota de participare.
- Folosim aceste date numai pentru verificarea KYP/AML a companiei.
- Le văd doar rolurile autorizate: personalul DOX care face verificarea și băncile care finanțează proiectele în care este implicată compania.
- Nu sunt afișate niciodată pe pagini publice. Căutarea după CUI de pe site arată doar date publice, la nivel de companie.
- Le păstrăm 5 ani de la încetarea relației de afaceri, cum prevede legea.
- Vă rugăm să informați persoanele ale căror date le declarați și să le trimiteți linkul către această pagină.
Aveți o întrebare sau o cerere?
Scrieți-ne la [email protected]. Vă verificăm identitatea și vă răspundem în cel mult o lună. Vedeți și drepturile dumneavoastră și cum le exercitați.
Citiți Politica de confidențialitate completăGDPR in brief
A plain-language summary for the people whose data we process. The full details are in our Privacy Policy.
The essentials
Who is responsible
DOX INVESTMENT S.R.L., based in Târgu Mureș, Romania, is the data controller. You can reach us at [email protected].
What data we use
Account data (name, email, phone, role, company), company onboarding data (including legal representatives and beneficial owners), project data, activity logs and the messages sent through the website form.
Why
To give you access and run the projects (contract), to comply with the law (anti-money laundering, accounting), to protect the platform (legitimate interest) and to answer your access request (consent).
How long
KYP/AML data: 5 years after the business relationship ends. Financial-accounting documents: 10 years. Audit trail and payment ledger: as long as the law and the contracts require, never deleted from the Platform. Requests that do not lead to a business relationship: 12 months from the last contact, then deleted.
Who sees it
Only the people who need it for their role in the project, our three technical providers (Cloudflare, Supabase, Brevo; data hosted in the EU) and authorities when the law requires it. We do not sell data.
A person decides
The platform computes scores that support decisions, but every approval is given by a person, in two steps.
No tracking
No advertising or analytics cookies. Only the storage strictly needed for sign-in and preferences. The platform assistant sends no data to artificial-intelligence providers.
Your rights
Access, rectification, erasure, restriction, portability, objection, withdrawal of consent and human intervention. You can also complain to the ANSPDCP.
For companies being onboarded
Why do we ask for the CNP and for beneficial owner data?
Romanian Law 129/2019 on preventing and combating money laundering and terrorist financing requires, as part of customer due diligence, the identification of beneficial owners — the natural persons who ultimately own or control the company. That is why, during onboarding, we ask for the details of the legal representatives, shareholders and beneficial owners: name, personal numeric code (CNP; for foreign nationals, identity document number and date of birth), citizenship and stake.
- We use these data only for the company’s KYP/AML checks.
- Only authorised roles see them: the DOX staff who carry out the check and the banks financing the projects the company is involved in.
- They are never shown on public pages. The CUI lookup on the website shows only public, company-level data.
- We keep them for 5 years after the business relationship ends, as the law requires.
- Please inform the people whose data you declare and send them a link to this page.
Questions or requests?
Write to [email protected]. We will verify your identity and reply within one month. See also your rights and how to exercise them.
Read the full Privacy PolicyTermeni și condiții de utilizare
Acești termeni stabilesc regulile de utilizare a site-ului doxproperp.com și a platformei DOX ProPERP („Platforma”). Vă rugăm să îi citiți cu atenție.
1. Cine suntem
Platforma este operată de DOX INVESTMENT S.R.L., cu sediul social în Târgu Mureș, str. Tudor Vladimirescu nr. 45, jud. Mureș, România, CUI RO23939451, înregistrată în Registrul Comerțului sub nr. J26/968/2008 (J2008000968265), EUID ROONRC.J26/968/2008 („DOX”, „noi”).
2. Acceptarea termenilor
Prin accesarea contului și utilizarea Platformei acceptați acești termeni, în nume propriu și în numele organizației pe care o reprezentați, și confirmați că aveți dreptul să acționați în numele acesteia. Dacă organizația dumneavoastră a încheiat un contract cu DOX, prevederile contractului au prioritate în caz de neconcordanță.
3. Serviciul
Platforma este un instrument B2B pentru proiecte de construcții finanțate: înrolarea companiilor (KYP/AML), cererile de finanțare, monitorizarea șantierului (fotografii, senzori IoT, inspecții), tranșele și plățile condiționate de etape, documentele și semnătura electronică, raportarea, CRM-ul și tichetele.
- Conturile de platformă sunt pentru utilizatori profesioniști care acționează în numele unei organizații. Serviciile DOX pot fi comandate și de persoane fizice; pentru ele se aplică și punctul 17.
- Accesul se acordă numai pe bază de invitație din partea DOX; nu există înregistrare publică.
- Căutarea publică după CUI de pe site afișează doar date publice la nivel de companie, preluate din registrele publice.
- Funcționalitățile pot evolua în timp. Punctul 7 explică ce face și ce nu face Platforma.
4. Conturi și date de autentificare
- Fiecare cont este personal și este folosit de o singură persoană; nu împărțiți contul cu alte persoane.
- Păstrați parola secretă. Vă recomandăm o parolă pe care nu o folosiți pentru alte servicii.
- Dacă suspectați o utilizare neautorizată a contului, anunțați-ne imediat la [email protected].
- Vă recomandăm să porniți din „Profilul meu” codul de confirmare primit pe email la fiecare autentificare.
- Din motive de securitate, după 5 parole greșite contul se blochează pentru 15 minute, iar sesiunea se închide după 30 de minute de inactivitate.
5. Utilizare acceptabilă
Când folosiți Platforma, nu aveți voie:
- să încărcați sau să transmiteți conținut ilegal ori care încalcă drepturile altor persoane;
- să încercați să accesați datele altor companii sau ale altor proiecte decât cele la care vi s-a acordat acces, ori să ocoliți controalele de acces;
- să extrageți automat date (scraping) sau să generați încărcare automată asupra Platformei;
- să încărcați programe malițioase (malware) sau fișiere menite să afecteze Platforma ori pe ceilalți utilizatori.
Cercetarea vulnerabilităților este permisă numai în condițiile din secțiunea Raportarea vulnerabilităților.
6. Conținutul și datele dumneavoastră
- Datele și documentele pe care le încărcați rămân ale dumneavoastră sau ale organizației pe care o reprezentați.
- Ne acordați dreptul de a le stoca, prelucra și pune la dispoziția părților autorizate ale proiectului, numai în măsura necesară furnizării serviciului.
- Garantați că aveți dreptul să încărcați conținutul respectiv.
- Garantați exactitatea datelor KYP declarate, inclusiv a celor privind reprezentanții, asociații și beneficiarii reali. Declarațiile false pot duce la respingerea înrolării și, acolo unde legea o cere, la raportarea către autoritățile competente.
7. Ce face și ce nu face Platforma
Pe scurt, ca să știți la ce să vă așteptați
- Platforma nu mută bani. Ea emite ordinul de tragere pentru o tranșă și înregistrează confirmarea primită de la bancă. Plățile sunt executate de bănci, prin propriile canale.
- Senzorii IoT. Citirile primite de la dispozitive reale sunt afișate ca atare. Valorile care nu provin de la un dispozitiv real sunt etichetate „Model” și nu reprezintă măsurători de pe șantier.
- Semnătura electronică. Documentele se semnează în afara Platformei, cu semnătură electronică calificată, iar în Platformă se încarcă PDF-ul semnat. Platforma nu are integrat un furnizor de semnătură electronică și nu emite semnături.
- Datele despre companii provin din serviciul web public al ANAF și din datele deschise ale ONRC. Le afișăm așa cum sunt publicate, iar ele pot rămâne în urmă față de registre; pentru informații oficiale este valabil certificatul constatator emis de ONRC.
8. Deciziile rămân ale părților responsabile
Platforma este un instrument de sprijin. Deciziile de creditare, plățile și aprobările aparțin exclusiv părților responsabile — de exemplu, băncii, plătitorului sau persoanelor desemnate să aprobe. Scorurile de eligibilitate și de risc calculate de Platformă sunt doar un sprijin pentru decizie; fiecare aprobare este dată de o persoană.
9. Disponibilitate
Ne angajăm la o disponibilitate a Platformei de 99,5% pe lună, fără a socoti lucrările de mentenanță anunțate în prealabil. Anunțăm mentenanța planificată prin email sau în aplicație. Dincolo de acest angajament, nu putem garanta funcționarea neîntreruptă sau lipsa oricărei erori. Dacă organizația dumneavoastră are un contract cu DOX, nivelul de serviciu din contract are prioritate.
10. Proprietate intelectuală
Platforma — inclusiv software-ul, designul și structura ei, cu excepția datelor utilizatorilor — este protejată de legislația privind proprietatea intelectuală, iar DOX INVESTMENT S.R.L. deține drepturile necesare pentru a o opera și a vă oferi accesul. Platforma a fost realizată cu finanțare prin PNRR (contract de finanțare nr. 4397.1/i3/c9). Pe durata accesului, primiți un drept limitat, neexclusiv și netransmisibil de a folosi Platforma în scopul profesional pentru care v-a fost acordat accesul. Nu aveți voie să copiați, să modificați, să decompilați sau să revindeți Platforma, în afara cazurilor permise expres de lege. Datele preluate din registrele publice rămân supuse licențelor lor (de exemplu, datele deschise ONRC — CC BY 4.0).
11. Răspundere
Răspunderea DOX pentru prejudiciile legate de utilizarea Platformei este limitată, în măsura permisă de lege. DOX nu răspunde pentru deciziile luate de terți — inclusiv bănci, investitori sau alte părți ale proiectului — pe baza datelor din Platformă. Nicio prevedere din acești termeni nu limitează și nu exclude răspunderea care, potrivit legii, nu poate fi limitată sau exclusă, cum este cea pentru prejudiciile cauzate cu intenție sau din culpă gravă.
12. Suspendare și încetare
Putem suspenda sau dezactiva un cont, cu notificare atunci când este posibil, dacă: termenii sunt încălcați; există un risc de securitate sau o suspiciune de utilizare neautorizată; organizația dumneavoastră ne solicită acest lucru; relația contractuală a încetat. Dumneavoastră sau organizația dumneavoastră puteți cere oricând închiderea contului, la [email protected]. După închidere, datele se păstrează numai conform duratelor din Politica de confidențialitate.
13. Date cu caracter personal
Modul în care prelucrăm datele cu caracter personal este descris în Politica de confidențialitate și, pe scurt, în secțiunea GDPR pe scurt.
14. Modificarea termenilor
Putem modifica acești termeni, de exemplu când adăugăm funcționalități, activăm integrări noi sau se schimbă legislația. Vă anunțăm modificările prin email sau în aplicație înainte ca acestea să intre în vigoare. Continuarea utilizării Platformei după această dată înseamnă acceptarea noilor termeni.
15. Legea aplicabilă și instanțele competente
Acești termeni sunt guvernați de legea română. Vom încerca mai întâi să rezolvăm pe cale amiabilă orice neînțelegere. Dacă acest lucru nu este posibil, litigiile vor fi soluționate de instanțele competente de la sediul social al DOX (Târgu Mureș). Această clauză nu restrânge drepturile pe care legea le acordă consumatorilor, inclusiv dreptul de a se adresa instanței de la domiciliul lor.
16. Contact
Întrebări despre acești termeni: [email protected]. Date cu caracter personal: [email protected]. Securitate: [email protected].
17. Informații pentru consumatori (persoane fizice)
Această secțiune se aplică persoanelor fizice care cumpără online servicii DOX în afara activității lor profesionale („consumatori”). Pentru consumatori, regulile de mai jos au prioritate față de restul termenilor.
- Cine vinde. Serviciile sunt prestate de DOX INVESTMENT S.R.L., CUI RO23939451, J26/968/2008, str. Tudor Vladimirescu nr. 45, Târgu Mureș, jud. Mureș, [email protected].
- Cum se comandă. Cereți o ofertă de pe site sau din contul DOX ProPERP. Oferta (serviciile, prețurile fără TVA și cu TVA, durata, condițiile, valabilitatea) o primiți în cont; contractul se încheie în momentul în care o acceptați din cont. Confirmarea comenzii și factura le primiți în cont și pe email.
- Prețuri și plată. Prețurile sunt în lei; TVA 21% se adaugă pe factură. Serviciile lunare se facturează la începutul fiecărei luni de serviciu, cele unice la începerea serviciului. Plata se face prin transfer bancar, în termenul de pe factură.
- Dreptul de retragere. Vă puteți retrage din contract în 14 zile calendaristice de la acceptarea ofertei, fără să explicați de ce și fără costuri, conform OUG nr. 34/2014. Trimiteți-ne o declarație clară, de exemplu un email la [email protected] sau o scrisoare la sediu; puteți folosi modelul de formular din anexa nr. 1 la OUG nr. 34/2014, dar nu este obligatoriu. Vă înapoiem sumele plătite în cel mult 14 zile de la primirea declarației, prin aceeași metodă de plată.
- Începerea serviciului în cele 14 zile. Serviciul începe după cele 14 zile. Dacă la acceptare cereți expres să înceapă imediat și apoi vă retrageți, plătiți doar partea prestată până la data retragerii. După prestarea completă a serviciului, cu acordul dumneavoastră expres, dreptul de retragere se pierde (art. 16 lit. a din OUG nr. 34/2014).
- Reclamații. Ne scrieți la [email protected]; vă răspundem în scris, în cel mult 30 de zile. Vă puteți adresa și Autorității Naționale pentru Protecția Consumatorilor (ANPC, anpc.ro) sau Comisariatului Județean pentru Protecția Consumatorilor Mureș.
- Soluționarea alternativă a litigiilor (SAL). Puteți apela la o entitate SAL, conform OG nr. 38/2015: anpc.ro/ce-este-sal.
- Datele dumneavoastră. Pentru ofertă și factură folosim numele, adresa, emailul, telefonul și, dacă ni-l dați, CNP-ul (opțional; pe factura electronică lipsa lui se marchează cu 13 zerouri). Detalii în Politica de confidențialitate.
Terms of Service
These terms set the rules for using the doxproperp.com website and the DOX ProPERP platform (the “Platform”). Please read them carefully.
1. Who we are
The Platform is operated by DOX INVESTMENT S.R.L., with its registered office at str. Tudor Vladimirescu nr. 45, Târgu Mureș, Mureș County, Romania, tax ID (CUI) RO23939451, Trade Register no. J26/968/2008 (J2008000968265), EUID ROONRC.J26/968/2008 (“DOX”, “we”, “us”).
2. Accepting these terms
By accessing your account and using the Platform, you accept these terms on your own behalf and on behalf of the organisation you represent, and you confirm that you are authorised to act for it. If your organisation has signed a contract with DOX, that contract prevails in case of any conflict.
3. The service
The Platform is a B2B tool for financed construction projects: company onboarding (KYP/AML), financing applications, site monitoring (photos, IoT sensors, inspections), stage-gated tranches and payments, documents and e-signature, reporting, CRM and tickets.
- Platform accounts are for professional users acting on behalf of an organisation. The DOX services may also be ordered by natural persons; for them, section 17 applies as well.
- Access is granted only by invitation from DOX; there is no public sign-up.
- The public CUI lookup on the website shows only public, company-level data taken from public registries.
- Features may change over time. Section 7 explains what the Platform does and does not do.
4. Accounts and credentials
- Each account is personal and used by one person only; do not share your account.
- Keep your password secret. We recommend a password you do not use for any other service.
- If you suspect any unauthorised use of your account, tell us immediately at [email protected].
- We recommend that you switch on, in “My profile”, the confirmation code sent by email at each sign-in.
- For security reasons, after 5 wrong passwords the account is locked for 15 minutes, and the session ends after 30 minutes of inactivity.
5. Acceptable use
When using the Platform, you must not:
- upload or transmit unlawful content, or content that infringes other people’s rights;
- try to access data of other companies or of projects you have not been given access to, or try to bypass access controls;
- scrape data or put automated load on the Platform;
- upload malware or files intended to harm the Platform or other users.
Looking for vulnerabilities is allowed only under the conditions in Reporting a vulnerability.
6. Your content and data
- The data and documents you upload remain yours or your organisation’s.
- You grant us the right to store and process them and to make them available to the authorised parties of the project, only as far as needed to provide the service.
- You warrant that you have the right to upload that content.
- You warrant the accuracy of the KYP data you declare, including the data about legal representatives, shareholders and beneficial owners. False declarations may lead to the onboarding being rejected and, where the law requires, to a report to the competent authorities.
7. What the Platform does and does not do
In short, so you know what to expect
- The Platform does not move money. It issues the drawdown order for a tranche and records the confirmation received from the bank. Payments are executed by the banks, through their own channels.
- IoT sensors. Readings received from real devices are shown as they are. Values that do not come from a real device are labelled “Model” and are not measurements from the site.
- Electronic signature. Documents are signed outside the Platform with a qualified electronic signature, and the signed PDF is uploaded to the Platform. No electronic signature provider is integrated, and the Platform does not issue signatures.
- Company data come from ANAF’s public web service and from ONRC open data. We show them as published, and they may lag behind the registries; for official information, the certificate issued by the ONRC (certificat constatator) prevails.
8. Decisions remain with the responsible parties
The Platform is a support tool. Credit decisions, payments and approvals belong solely to the responsible parties — for example, the bank, the payer or the people designated to approve. The eligibility and risk scores computed by the Platform are decision support only; every approval is given by a person.
9. Availability
We commit to 99.5% monthly availability of the Platform, excluding maintenance announced in advance. We announce planned maintenance by email or in the application. Beyond this commitment, we cannot guarantee uninterrupted or entirely error-free operation. If your organisation has a contract with DOX, the service level in that contract prevails.
10. Intellectual property
The Platform — including its software, design and structure, but excluding users’ data — is protected by intellectual property law, and DOX INVESTMENT S.R.L. holds the rights needed to operate it and give you access. The Platform was built with funding from Romania’s National Recovery and Resilience Plan (PNRR, financing contract no. 4397.1/i3/c9). For as long as you have access, you receive a limited, non-exclusive, non-transferable right to use the Platform for the professional purpose for which access was granted. You may not copy, modify, decompile or resell the Platform, except where the law expressly allows it. Data taken from public registries remain subject to their own licences (for example, ONRC open data — CC BY 4.0).
11. Liability
DOX’s liability for damage related to the use of the Platform is limited to the extent permitted by law. DOX is not liable for decisions taken by third parties — including banks, investors or other project parties — on the basis of the data in the Platform. Nothing in these terms limits or excludes any liability that cannot be limited or excluded by law, such as liability for damage caused intentionally or through gross negligence.
12. Suspension and termination
We may suspend or deactivate an account, with notice where possible, if: these terms are breached; there is a security risk or a suspicion of unauthorised use; your organisation asks us to; or the business relationship has ended. You or your organisation may ask us to close the account at any time, at [email protected]. After closure, data are kept only for the periods set out in the Privacy Policy.
13. Personal data
How we process personal data is described in the Privacy Policy and, in short, in GDPR in brief.
14. Changes to these terms
We may change these terms, for example when we add features, activate new integrations or the law changes. We will notify you of changes by email or in the application before they take effect. Continuing to use the Platform after that date means you accept the new terms.
15. Governing law and jurisdiction
These terms are governed by Romanian law. We will first try to settle any disagreement amicably. If that is not possible, disputes will be settled by the competent courts at DOX’s registered office (Târgu Mureș). This clause does not limit the rights the law gives consumers, including the right to bring a claim before the court where they live.
16. Contact
Questions about these terms: [email protected]. Personal data: [email protected]. Security: [email protected].
17. Information for consumers (natural persons)
This section applies to natural persons who buy DOX services online outside their trade or profession (“consumers”). For consumers, the rules below take precedence over the rest of these terms.
- Who sells. The services are provided by DOX INVESTMENT S.R.L., CUI RO23939451, J26/968/2008, str. Tudor Vladimirescu nr. 45, Târgu Mureș, Mureș county, Romania, [email protected].
- How to order. Ask for an offer on the website or from your DOX ProPERP account. You receive the offer (services, prices without and with VAT, duration, terms, validity) in your account; the contract is concluded when you accept it there. The order confirmation and the invoice reach you in your account and by email.
- Prices and payment. Prices are in lei; 21% VAT is added on the invoice. Monthly services are invoiced at the start of each service month, one-off services when the service starts. Payment is by bank transfer, within the term on the invoice.
- Right of withdrawal. You may withdraw from the contract within 14 calendar days of accepting the offer, without giving any reason and at no cost, under Government Emergency Ordinance (OUG) 34/2014. Send us a clear statement, for example an email to [email protected] or a letter to our registered office; you may use the model form in Annex 1 to OUG 34/2014, but you do not have to. We refund the amounts you paid within 14 days of receiving your statement, using the same payment method.
- Services started within the 14 days. The service starts after the 14 days. If, when accepting, you expressly ask for it to start immediately and then withdraw, you pay only for the part provided until the withdrawal. Once the service has been fully provided with your express consent, the right of withdrawal is lost (art. 16(a) of OUG 34/2014).
- Complaints. Write to us at [email protected]; we reply in writing within 30 days. You can also contact the National Authority for Consumer Protection (ANPC, anpc.ro) or the Mureș County Commission for Consumer Protection.
- Alternative dispute resolution (SAL/ADR). You can turn to an ADR entity under Government Ordinance (OG) 38/2015: anpc.ro/ce-este-sal.
- Your data. For the offer and the invoice we use your name, address, email, phone and, if you give it to us, your CNP (optional; on the electronic invoice its absence is marked with 13 zeros). Details in the Privacy Policy.
Securitate
Cum protejăm Platforma și datele dumneavoastră și cum ne puteți semnala o vulnerabilitate.
1. Cum protejăm Platforma
- HTTPS/TLS și HSTS. Conexiunile la site și la Platformă sunt criptate, iar browserul este instruit să folosească numai conexiuni securizate.
- Politică de securitate a conținutului (CSP). Paginile pot încărca și trimite date numai către sursele aprobate de noi.
- Acces pe roluri, separat pe companie și pe proiect. Fiecare utilizator vede și modifică doar ce îi permite rolul, numai pentru compania și proiectele lui. Regula este impusă pe server, la nivel de rând în baza de date.
- Fișiere private. Fișierele sunt păstrate în stocare privată și pot fi descărcate numai de utilizatorii autentificați care au acces la ele.
- Cod de confirmare pe email (MFA). Fiecare cont poate porni un al doilea pas la autentificare: un cod de 6 cifre trimis pe email, valabil 10 minute.
- Blocare după 5 parole greșite. Contul se blochează pentru 15 minute.
- Sesiune limitată. Sesiunea se închide automat după 30 de minute de inactivitate.
- Parole protejate. Sunt stocate numai sub formă de hash de serviciul de autentificare și nu sunt vizibile pentru DOX.
- Jurnal de audit. Acțiunile importante sunt înregistrate (cine, ce, când); înregistrările doar se adaugă, nu se modifică și nu se șterg.
- Formulare publice protejate. Verificare anti-robot Cloudflare Turnstile, un câmp-capcană ascuns, un timp minim de completare și o limită de cereri pe adresă IP.
- Copii de siguranță. Copii de siguranță săptămânale, cu verificarea periodică a restaurării.
- Date în UE. Baza de date și fișierele sunt găzduite în Frankfurt, Germania.
2. Ce puteți face dumneavoastră
- Folosiți o parolă puternică, pe care nu o mai folosiți în altă parte, și nu o comunicați nimănui.
- Porniți codul de confirmare pe email din „Profilul meu”.
- Pe un calculator folosit și de alte persoane, deconectați-vă după ce ați terminat.
- DOX nu vă va cere niciodată parola — nici prin email, nici prin telefon.
- Dacă primiți un email suspect care pare să vină de la noi sau observați activitate neobișnuită în cont, scrieți-ne la [email protected].
3. Raportarea vulnerabilităților
Dacă ați descoperit o vulnerabilitate, scrieți-ne la [email protected], cu o descriere a problemei, pașii de reproducere și impactul estimat.
- Confirmăm primirea raportului în cel mult 3 zile lucrătoare.
- Nu căutați vulnerabilități în moduri care afectează datele altor utilizatori sau disponibilitatea serviciului: nu accesați, nu modificați și nu ștergeți date care nu vă aparțin și nu generați trafic automat de volum mare sau atacuri de tip denial-of-service.
- Vă rugăm să nu faceți publice detaliile până la remedierea problemei.
- Nu avem un program de recompense (bug bounty), dar vă mulțumim pentru fiecare raport făcut cu bună-credință.
4. Incidente de securitate
Dacă un incident de securitate afectează date cu caracter personal, vom notifica ANSPDCP în termenul de 72 de ore prevăzut de art. 33 GDPR și, atunci când legea o cere, persoanele afectate (art. 34 GDPR).
Security
How we protect the Platform and your data, and how to report a vulnerability to us.
1. How we protect the Platform
- HTTPS/TLS and HSTS. Connections to the website and the Platform are encrypted, and your browser is told to use secure connections only.
- Content Security Policy (CSP). Pages may load from and send data only to sources we have approved.
- Role-based access, separated by company and by project. Each user sees and changes only what their role allows, and only for their own company and projects. The rule is enforced on the server, at row level in the database.
- Private files. Files are kept in private storage and can be downloaded only by signed-in users who have access to them.
- Email confirmation code (MFA). Each account can switch on a second sign-in step: a 6-digit code sent by email, valid for 10 minutes.
- Lock after 5 wrong passwords. The account is locked for 15 minutes.
- Limited sessions. The session ends automatically after 30 minutes of inactivity.
- Protected passwords. They are stored only as hashes by the authentication service and are never visible to DOX.
- Audit trail. Important actions are recorded (who, what, when); entries are only added, never changed or deleted.
- Protected public forms. The Cloudflare Turnstile anti-robot check, a hidden trap field, a minimum time to fill in the form and a limit on requests per IP address.
- Backups. Weekly backups, with regular restore checks.
- Data in the EU. The database and files are hosted in Frankfurt, Germany.
2. What you can do
- Use a strong password that you do not use anywhere else, and never share it.
- Switch on the email confirmation code in “My profile”.
- On a computer that other people also use, sign out when you have finished.
- DOX will never ask for your password — neither by email nor by phone.
- If you receive a suspicious email that appears to come from us, or notice unusual activity in your account, write to [email protected].
3. Reporting a vulnerability
If you have found a vulnerability, please write to [email protected] with a description of the issue, the steps to reproduce it and its likely impact.
- We acknowledge your report within 3 business days.
- Do not look for vulnerabilities in ways that affect other users’ data or the availability of the service: do not access, modify or delete data that is not yours, and do not generate high-volume automated traffic or denial-of-service attacks.
- Please do not disclose the details publicly until the issue has been fixed.
- We do not run a bug bounty programme, but we are grateful for every report made in good faith.
4. Security incidents
If a security incident affects personal data, we will notify the ANSPDCP within the 72 hours set by Article 33 GDPR and, where the law requires, the people affected (Article 34 GDPR).