Politica de confidențialitate

Ultima actualizare: 2 noiembrie 2026 · se aplică versiunii 0.3 a platformei

KioskOS este platforma de self check-in pentru unități de cazare: kioskul din recepție, aplicația mobilă KioskOS Staff și panoul de administrare. Această pagină descrie ce date prelucrează aceste componente, de ce, pe ce temei legal și cât timp le păstrează.

Cine răspunde de date

Platforma este dezvoltată și operată de Torcip SRL, CUI 49862521, Nr. Reg. Com. J2024002471231, cu sediul în Sat Roșu, com. Chiajna, jud. Ilfov, România.

• Datele oaspeților (rezervări, check-in, act de identitate, plăți): operator este unitatea de cazare la care stai. Torcip SRL este persoană împuternicită: le prelucrează doar în numele și după instrucțiunile unității.
• Conturile personalului și datele de diagnostic: operator este Torcip SRL.

Torcip SRL nu are un responsabil cu protecția datelor (DPO) desemnat, nefiind obligată. Pentru orice întrebare sau cerere privind datele personale: support@torcip.com.

Conturile personalului

Pentru recepție, proprietari și administratori (aplicația KioskOS Staff și panoul de administrare):

• adresa de email, numele, rolul și unitățile de cazare la care contul are acces;
• parola, doar sub formă de hash (nu poate fi citită);
• secretul pentru autentificarea în doi pași (aplicație de autentificare, TOTP) și codurile de recuperare;
• dispozitivele marcate „Ține minte acest dispozitiv”: doar un hash al tokenului, nu tokenul;
• dacă folosești „Continuă cu Google” sau „Continuă cu Apple”: identificatorul contului tău la Google / Apple (sub), emailul raportat de furnizor la legare (la Apple poate fi o adresă „private relay”) și data ultimei folosiri. La Apple, codul de autorizare primit la conectare îl schimbăm la Apple (appleid.apple.com/auth/token) pe un token de reîmprospătare, păstrat criptat, doar ca să-l putem revoca la Apple când ștergi contul sau dezlegi metoda; dacă revocarea nu reușește pe loc, tokenul criptat trece într-o coadă de revocare (fără legătură cu contul) și reîncercăm de cel mult 8 ori, la intervale tot mai mari, în aproximativ 3 zile; dacă nici atunci nu reușește, tokenul se șterge din coadă și rămâne doar o notă de eroare în jurnalul serverului. Nu primim parola ta de la Google / Apple și cerem doar openid și email. Tokenul de la Google poate conține și numele și poza de profil: nu le stocăm;
• un jurnal al acțiunilor făcute din cont (cine, ce, când), pentru securitate și pentru evidența unității; la conectarea cu Google / Apple jurnalul reține doar furnizorul și emailul mascat (ex. a***@gmail.com).

Temei: executarea contractului dintre Torcip SRL și unitatea de cazare (art. 6 alin. 1 lit. b GDPR) și interesul legitim de a ține platforma în siguranță (lit. f). Conturile se creează doar prin invitație.

Google și Apple sunt doar o metodă alternativă de conectare la un cont de personal deja creat prin invitație: nu creează cont nou, iar codul din aplicația de autentificare (TOTP) se cere în continuare. Metoda se poate lega sau dezlega oricând din Setări → Metode de conectare (aplicație) sau Securitate (panou). Furnizorul (Google LLC / Apple Inc.) prelucrează conectarea conform propriei politici.

Aplicația KioskOS Staff

Aplicația mobilă pentru personal prelucrează:

• datele contului de mai sus (email, nume, rol) și identificatorul intern al contului (user ID);
• rezervările, check-in-urile, cardurile și kioskurile unității, afișate din server; când recepția adaugă o rezervare din aplicație, introduce codul rezervării, numele oaspetelui, emailul lui (opțional), perioada și camera;
• un id de dispozitiv aleator (UUID generat la prima pornire, unul pe instalare), păstrat local în aplicație. Nu este un identificator de publicitate (IDFA, AAID) și nici unul de hardware (IMEI, MAC, număr de serie, Android ID); nu facem fingerprinting. Îl folosim pentru statistici pe dispozitiv: crash-uri, performanță, instalări active și versiuni;
• crash-urile, erorile, datele de performanță și diagnosticul descrise mai jos, legate de cont când ești autentificat.

Pe telefon, sesiunea și tokenul „Ține minte acest dispozitiv” sunt păstrate în spațiul securizat al sistemului (Keychain / Keystore). Aplicația cere doar acces la internet: nu folosește camera, microfonul, locația sau fișierele telefonului, nu are reclame, nu folosește tracking și nu colectează adresa IP.

Datele oaspeților

Din rezervare

Unitatea introduce rezervările (din panou sau din aplicația Staff) sau le importă din channel manager ori calendar iCal: numele oaspetelui, email și telefon (dacă sunt furnizate; de la unele channel managere doar ultimele 4 cifre ale telefonului), codul rezervării, perioada, numărul de persoane, camera, suma, soldul de plată și sursa rezervării. Temei: contractul de cazare dintre oaspete și unitate.

La kiosk

La check-in, kioskul citește actul de identitate (zona MRZ) și, după setările unității, colectează:

• numele și prenumele, tipul actului, țara emitentă, data nașterii, data expirării, cetățenia, sexul și eventualele corecturi făcute de oaspete pe ecran;
• numărul actului, păstrat criptat (AES-256-GCM); în rest se afișează doar mascat;
• poza actului, păstrată criptat și vizibilă doar personalului cu acest drept (fiecare deschidere este jurnalizată);
• poza feței, doar dacă unitatea a activat acest pas: păstrată criptat, vizibilă doar personalului cu drept de acces la acte. Poza este doar arhivată pentru unitate: nu facem recunoaștere facială și nu o comparăm automat cu actul;
• momentul în care oaspetele și-a dat acordul, dacă unitatea îl cere.

Versiunea 0.3 nu colectează CNP-ul, adresa, scopul călătoriei sau semnătura.

Telefonul: dacă unitatea cere această verificare, oaspetele tastează ultimele 4 cifre ale telefonului din rezervare. Cifrele sunt doar comparate cu rezervarea și nu se salvează.

Card pierdut: dacă oaspetele cere un card de cameră nou, kioskul compară actul scanat (sau ultimele 4 cifre ale telefonului) cu datele rezervării; se jurnalizează doar evenimentul (când, motivul, cardul vechi și cel nou).

Pe aparat nu rămân date din act: sesiunea de check-in stă doar în memorie și se șterge la revenirea la ecranul de start. Ca check-in-ul să meargă și fără internet, kioskul ține local lista rezervărilor din ziua curentă (cod, numele oaspetelui, perioada, camera), înlocuită la fiecare actualizare.

Fișa de cazare și SIT

Din datele de mai sus, panoul generează pentru unitate exportul fișelor de cazare pentru registrul SIT. Exportul îl descarcă și îl transmite unitatea; platforma nu trimite date la autorități. Fiecare export este jurnalizat.

Temei: obligația legală a unității de a completa fișa de anunțare a sosirii și plecării și de a raporta în sistemul SIT (art. 6 alin. 1 lit. c), contractul de cazare (lit. b), iar pentru poza feței consimțământul oaspetelui (lit. a).

Plăți

Dacă unitatea a activat plata la kiosk, oaspetele poate plăti soldul cazării cu cardul, pe ecranul kioskului sau pe telefon (cod QR). Procesatorul de plăți este Stripe.

• Stripe primește de la KioskOS doar suma, moneda, descrierea „Cazare N nopți · rezervare <cod>” și id-uri interne (plată, proprietate, rezervare, sesiune). Nu îi trimitem numele, emailul, telefonul sau actul oaspetelui.
• Datele cardului le introduce oaspetele direct în formularul Stripe (Payment Element pe ecranul kioskului sau Stripe Checkout pe telefon). Nu trec prin serverele KioskOS.
• KioskOS stochează: suma, moneda, nopțile, prețul pe noapte, statusul, codul de refuz, brandul și ultimele 4 cifre ale cardului, id-urile Stripe, momentele plății și rambursării, legătura cu rezervarea, sesiunea și kioskul, plus id-ul și tipul evenimentelor primite de la Stripe.
• KioskOS nu stochează numărul complet al cardului, data de expirare, CVC-ul, numele de pe card sau adresa IP.

Stripe prelucrează, ca operator independent, datele pe care le colectează direct prin formularele lui: datele cardului, adresa IP, semnale despre dispozitiv și browser (Stripe Radar, pentru prevenirea fraudei) și, în Stripe Checkout, emailul introdus de oaspete. Pentru acestea se aplică politica de confidențialitate Stripe. Temei: contractul de cazare (plata lui, lit. b).

Kioskul

Kioskul trimite periodic starea lui: modulele hardware și starea lor, nivelul consumabilelor, versiunea software și starea actualizărilor, timpul de funcționare, resursele sistemului și adresa IP locală, privată a aparatului în rețeaua unității (nu adresa publică). Prin legătura în timp real (o conexiune securizată permanentă între kiosk și server) aceleași date ajung imediat ce se schimbă, iar serverul vede dacă aparatul e conectat. Kioskul nu face și nu trimite capturi ale ecranului. Temei: interesul legitim de a monitoriza, depana și actualiza aparatul (lit. f).

Diagnostic, crash-uri și performanță

Kioskul, aplicația KioskOS Staff și panoul de administrare trimit erorile și măsurătorile de performanță doar la serverul KioskOS, fără servicii terțe (fără Sentry, Crashlytics sau altele):

• Erori și crash-uri (inclusiv crash-urile native și blocajele aplicației Staff): tipul, mesajul și stack-ul erorii, ecranul pe care a apărut, ultimele acțiuni din aplicație (navigare, cereri către server, fără parametri), versiunea și build-ul, modelul dispozitivului (la browser: doar numele și versiunea principală), sistemul de operare, limba.
• Performanță (agregată pe dispozitiv, trimisă în loturi): timpul de pornire, timpul de încărcare al ecranelor, durata și erorile cererilor către server (adresa fără parametri), blocajele interfeței, memoria folosită.
• Id-ul de dispozitiv aleator descris mai sus (generat la prima pornire, nelegat de hardware). Dacă utilizatorul este autentificat, evenimentul este legat de contul lui (user ID); evenimentele kioskului sunt legate de aparat.

Înainte de trimitere și din nou pe server, textele sunt curățate de emailuri, telefoane, tokenuri, parametri din adrese, CNP-uri, numere de act și adrese IP. Temei: interesul legitim de a repara erorile și de a menține aplicațiile rapide (lit. f). Opțiunea „Trimite diagnostic” din setările aplicației Staff și ale panoului oprește înregistrarea și trimiterea și șterge coada locală.

Adrese IP

Platforma nu stochează adresa IP a cererilor: nici în conturi, nici în jurnalul de acțiuni, nici în plăți, nici în diagnostic. Conexiunile trec prin rețeaua Cloudflare, care vede adresa IP ca persoană împuternicită, doar pentru a livra traficul și a proteja serviciul; noi nu primim și nu stocăm adresa IP. Serverul web nu păstrează jurnale de acces. Aparatele își raportează doar adresa privată din rețeaua locală a unității, pentru suport. Excepție: Stripe colectează adresa IP în formularul de plată, ca operator propriu (vezi „Plăți”).

Cât timp păstrăm datele

Cui transmitem date

• DigitalOcean: găzduirea serverului (API, bază de date, fișiere criptate) în centrul de date Frankfurt (FRA1), Germania, UE.
• Cloudflare: DNS și proxy/CDN pentru domeniile platformei (transmiterea și protecția traficului) și găzduirea site-ului kiosk.torcip.com (Cloudflare Pages).
• Google și Apple: doar dacă apeși „Continuă cu Google / Apple”. Pagina de conectare nu contactează Google sau Apple până când apropii mouse-ul de buton, îl selectezi sau îl apeși; abia atunci browserul încarcă scriptul furnizorului, iar furnizorul confirmă identitatea. Noi nu le trimitem date despre cont sau despre oaspeți; la Apple trimitem doar schimbul codului de autorizare și cererea de revocare a tokenului.
• Stripe: procesarea plăților, doar dacă unitatea le-a activat (vezi „Plăți”).
• Channel managere (Channex, Beds24, Smoobu) și calendare iCal: doar dacă unitatea le conectează, pentru a sincroniza rezervările ei.
• Autorități: doar unitatea de cazare transmite fișa de cazare / datele SIT, conform obligațiilor ei legale.

Domeniile kiosk.torcip.eu, admin-kiosk.torcip.com, admin-kiosk.torcip.eu, api-kiosk.torcip.com și api-kiosk.torcip.eu trec prin rețeaua Cloudflare (CDN și proxy de securitate): conexiunea e criptată TLS de la dispozitiv la Cloudflare și de la Cloudflare la serverul nostru. În perioada de tranziție, numele vechi admin.kiosk.torcip.eu și api.kiosk.torcip.eu (folosite de versiunile mai vechi ale aplicației și de kioskuri) nu trec prin Cloudflare: conexiunea e criptată TLS direct de la dispozitiv la serverul nostru. Site-ul de prezentare kiosk.torcip.com, pe care se află și această pagină, este găzduit pe Cloudflare Pages (Cloudflare, Inc.): pagini statice, fără cookie-uri (pe tot domeniul, inclusiv prezentarea din /pitchdeck) și fără scripturi de analiză sau tracking. Cloudflare, Inc. prelucrează, ca persoană împuternicită, datele tehnice ale conexiunii (inclusiv adresa IP) doar pentru a livra traficul și a proteja serviciul; noi nu primim și nu stocăm adresa IP. Cloudflare poate procesa traficul și în afara UE, în baza Clauzelor Contractuale Standard (DPA Cloudflare). Serverul și baza de date KioskOS rămân în UE (Frankfurt); Stripe poate prelucra datele de plată și în afara UE, cu garanțiile descrise în politica lui. Nu folosim SDK-uri terțe de analiză, reclame, tracking sau raportare de erori, nu vindem date, nu facem profilare și nu luăm decizii automate cu efect juridic.

Drepturile tale

Ai dreptul de acces, rectificare, ștergere, restricționare, portabilitate și opoziție, dreptul de a-ți retrage consimțământul și dreptul de a depune plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (dataprotection.ro).

Scrie la support@torcip.com. Pentru datele de oaspete, operatorul este unitatea de cazare: îi transmitem cererea și o ajutăm să răspundă. Ștergerea contului de personal: Șterge contul.