Privacy Policy

Last updated: 26 October 2026

1. Who we are

Arova is a property-management platform for holiday rentals and guesthouses (reception and messaging, bookings, smart-home access, invoicing and marketing), operated by Streaming Technology Innovation SRL, Peștera 140D, Peștera, Brașov County, Romania, CUI 44415425, Trade Register no. J2023007335234 (“Arova”, “we”). Contact: alexandra@stidevelopment.com.

2. Our role

For the property owners and their teams who use Arova (their account, login and settings), we are the data controller.
For the guests of those properties (messages, bookings, arrival forms), the property is the controller and Arova processes the data on the property's behalf, as a data processor, under the EU General Data Protection Regulation (GDPR).

3. What data we process

Account data: names, email addresses, phone numbers, login sessions and the devices used, settings.
Property and company data: property details, company name, tax and registration numbers, bank details for invoices.
Guest data (on behalf of the property): names, phone numbers, email addresses, messages exchanged on WhatsApp, SMS or email, bookings and payments, invoices, the arrival form required by Romanian law (identity document details and signature), and use of the guest's Smart Guest Home page (e.g. opening the gate or setting the heating).
Smart-home data: readings and events from the property's devices (temperatures, door and window sensors, locks, cameras), connected by the property.
Social media data (when a property connects its accounts): the Facebook Page, Instagram professional account and/or TikTok account the property chooses, their names and identifiers, access tokens, and the posts, captions, photos and videos the property creates in Arova and publishes through it, with their links and basic results.
Technical data: server logs, IP addresses and browser details, kept for security and troubleshooting.

4. Why we process it, and on what legal basis

To provide the service the property signed up for — contract (GDPR art. 6(1)(b)).
For the property's legal obligations it uses Arova for — invoicing, e-Factura, arrival forms (art. 6(1)(c), on the property's behalf).
To keep Arova secure, prevent abuse and fix problems — legitimate interest (art. 6(1)(f)).
Marketing messages to guests are sent by the property only to guests who agreed, and every message offers a way to opt out.

5. Social media (Facebook, Instagram, TikTok)

When a property connects its Facebook Page, Instagram account or TikTok account, Arova uses the access granted only to: list the accounts the property can post to, publish the posts the property's team creates or approves in Arova, and show those posts' links and basic results back to the property. We do not post anything the property hasn't created or approved, we do not read private messages through these connections, and we never sell or share this data for advertising. Access tokens are stored encrypted. The property can disconnect at any time (see Data deletion); the tokens are then deleted.

Google Photos. When a property connects its Google account, Arova asks only for access to the photos and videos the property's team picks each time in Google Photos' own picker (the photospicker.mediaitems.readonly scope) and for the account's email address, to show which account is connected. The picked items are copied into the property's media library in Arova, to be used in the posts the team creates; Arova cannot see the rest of the Google Photos library or its albums.

Sharing: the picked photos and videos are shared only with the social networks (Facebook, Instagram, TikTok) the property's team chooses to publish a post to, when it publishes it. They are not sent to the AI providers listed in section 6 or to anyone else.
Protection: the Google access and refresh tokens are stored encrypted; the copied items are kept in the property's private storage (Amazon Web Services, EU — Frankfurt), reachable only by the property's team.
Retention and deletion: the tokens and the account's email address are kept until the property disconnects Google Photos (access is then revoked at Google and they are deleted) or stops using Arova; the copied items stay in the property's library until the property deletes them, and are deleted within 90 days after the property stops using Arova.

Arova's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements: this data is used only to provide this feature, is never used for advertising, is not sold, and is not used to train AI models. The property can disconnect Google Photos at any time; Arova's access is then revoked and its tokens deleted (copied items stay in the property's library until it deletes them).

6. Who we share data with

Only with service providers needed to run Arova, under contracts that protect the data, and only for the features the property uses:

Hosting and storage: Amazon Web Services (EU — Frankfurt).
Messaging: Twilio (WhatsApp and SMS), the property's own email provider.
AI assistance (drafting replies, translations, summaries): language-model providers reached through OpenRouter. Data received from Google APIs (Google Photos) is never sent to them.
Payments and invoicing: Stripe, NETOPIA Payments, SmartBill, ANAF (e-Factura).
Smart home: the providers of the property's devices (e.g. Tuya, TTLock, Salus, TP-Link Tapo).
Social media: Meta (Facebook, Instagram) and TikTok, when the property connects them; Google Photos (only the items picked), when the property connects it; Google search data for market research.

Some providers are outside the European Economic Area; transfers rely on the European Commission's adequacy decisions or standard contractual clauses.

7. How long we keep it

Account and property data: while the property uses Arova, then deleted or anonymised within 90 days, unless the law requires longer.
Invoices and accounting records: as long as Romanian tax law requires (generally 10 years), on the property's behalf.
Arrival forms: 5 years, as the Romanian norms on tourist records require.
Social media access tokens: until the property disconnects the account or stops using Arova.
Google Photos: the tokens and the account's email until the property disconnects Google Photos or stops using Arova; the picked items until the property deletes them, or within 90 days after it stops using Arova.
Server logs: up to 90 days.

8. Your rights

Under the GDPR you can ask for access to your data, its correction or deletion, a copy in a portable format, to restrict or object to processing, and to withdraw consent at any time. Guests should contact the property they stayed with; we help the property answer. Write to alexandra@stidevelopment.com. You may also complain to the Romanian data protection authority, ANSPDCP (dataprotection.ro).

9. Security

Data travels encrypted (HTTPS); passwords are hashed; access tokens (including Google, Meta and TikTok tokens) and other secrets are stored encrypted; backups are kept in a locked, versioned store; access is limited to the people who need it.

10. Cookies

Arova uses only what it needs to work: a login session cookie, and the browser's local storage for preferences such as the language. No advertising cookies.

11. Changes

We will update this page when our practices change and show the date of the last update at the top.

Politica de confidențialitate

Ultima actualizare: 26 octombrie 2026

1. Cine suntem

Arova este o platformă de administrare pentru cazări turistice și pensiuni (recepție și mesaje, rezervări, acces smart-home, facturare și marketing), operată de Streaming Technology Innovation SRL, Peștera 140D, Peștera, jud. Brașov, România, CUI 44415425, nr. Reg. Com. J2023007335234 („Arova”, „noi”). Contact: alexandra@stidevelopment.com.

2. Rolul nostru

Pentru proprietarii și echipele care folosesc Arova (contul, autentificarea și setările lor) suntem operator de date.
Pentru oaspeții acestor proprietăți (mesaje, rezervări, fișe de anunțare), operatorul este proprietatea, iar Arova prelucrează datele în numele acesteia, ca persoană împuternicită, conform Regulamentului general privind protecția datelor (GDPR).

3. Ce date prelucrăm

Date de cont: nume, adrese de email, numere de telefon, sesiuni de autentificare și dispozitivele folosite, setări.
Date despre proprietate și firmă: detaliile proprietății, denumirea firmei, coduri fiscale și de înregistrare, date bancare pentru facturi.
Date ale oaspeților (în numele proprietății): nume, telefon, email, mesajele schimbate pe WhatsApp, SMS sau email, rezervări și plăți, facturi, fișa de anunțare a sosirii cerută de legea română (datele actului de identitate și semnătura) și folosirea paginii Smart Guest Home (de ex. deschiderea porții sau setarea încălzirii).
Date smart-home: citiri și evenimente de la dispozitivele proprietății (temperaturi, senzori de uși și ferestre, încuietori, camere), conectate de proprietate.
Date din rețele sociale (când o proprietate își conectează conturile): pagina de Facebook, contul profesional de Instagram și/sau contul de TikTok alese de proprietate, numele și identificatorii lor, tokenurile de acces, precum și postările, textele, fotografiile și videoclipurile create de proprietate în Arova și publicate prin Arova, cu linkurile și rezultatele lor de bază.
Date tehnice: jurnale de server, adrese IP și detalii despre browser, păstrate pentru securitate și depanare.

4. De ce le prelucrăm și pe ce temei

Pentru a furniza serviciul la care proprietatea s-a abonat — contract (art. 6 alin. (1) lit. b) GDPR).
Pentru obligațiile legale ale proprietății pentru care folosește Arova — facturare, e-Factura, fișe de anunțare (art. 6 alin. (1) lit. c), în numele proprietății).
Pentru securitatea Arova, prevenirea abuzurilor și remedierea problemelor — interes legitim (art. 6 alin. (1) lit. f)).
Mesajele de marketing către oaspeți sunt trimise de proprietate doar celor care au fost de acord, iar fiecare mesaj oferă posibilitatea dezabonării.

5. Rețele sociale (Facebook, Instagram, TikTok)

Când o proprietate își conectează pagina de Facebook, contul de Instagram sau contul de TikTok, Arova folosește accesul primit doar pentru: a afișa conturile în care proprietatea poate posta, a publica postările create sau aprobate de echipa proprietății în Arova și a-i arăta proprietății linkurile și rezultatele de bază ale acestor postări. Nu publicăm nimic ce proprietatea nu a creat sau aprobat, nu citim mesaje private prin aceste conexiuni și nu vindem și nu împărtășim aceste date în scop publicitar. Tokenurile de acces sunt păstrate criptat. Proprietatea se poate deconecta oricând (vezi Ștergerea datelor); tokenurile sunt atunci șterse.

Google Foto. Când o proprietate își conectează contul Google, Arova cere acces doar la fotografiile și videoclipurile pe care echipa proprietății le alege de fiecare dată în selectorul Google Foto (permisiunea photospicker.mediaitems.readonly) și la adresa de email a contului, pentru a arăta ce cont este conectat. Elementele alese sunt copiate în biblioteca media a proprietății din Arova, pentru postările create de echipă; Arova nu poate vedea restul bibliotecii Google Foto sau albumele.

Partajare: fotografiile și videoclipurile alese sunt transmise doar rețelelor sociale (Facebook, Instagram, TikTok) în care echipa proprietății alege să publice o postare, în momentul publicării. Nu sunt trimise furnizorilor de AI din secțiunea 6 și nici altcuiva.
Protecție: tokenurile de acces și de reîmprospătare Google sunt păstrate criptat; elementele copiate sunt păstrate în spațiul privat al proprietății (Amazon Web Services, UE — Frankfurt), accesibil doar echipei proprietății.
Păstrare și ștergere: tokenurile și adresa de email a contului sunt păstrate până când proprietatea deconectează Google Foto (accesul este atunci revocat la Google și ele sunt șterse) sau nu mai folosește Arova; elementele copiate rămân în biblioteca proprietății până le șterge, iar după ce proprietatea nu mai folosește Arova sunt șterse în 90 de zile.

Folosirea și transferul de către Arova al informațiilor primite prin API-urile Google respectă Politica privind datele utilizatorilor pentru serviciile API Google, inclusiv cerințele de utilizare limitată (Limited Use): aceste date sunt folosite doar pentru această funcție, nu sunt folosite niciodată în scop publicitar, nu sunt vândute și nu sunt folosite pentru antrenarea modelelor AI. Proprietatea poate deconecta Google Foto oricând; accesul Arova este atunci revocat și tokenurile șterse (elementele copiate rămân în biblioteca proprietății până le șterge).

6. Cui transmitem datele

Doar furnizorilor de servicii necesari funcționării Arova, prin contracte care protejează datele, și doar pentru funcțiile pe care proprietatea le folosește:

Găzduire și stocare: Amazon Web Services (UE — Frankfurt).
Mesaje: Twilio (WhatsApp și SMS), furnizorul de email al proprietății.
Asistență AI (redactarea răspunsurilor, traduceri, rezumate): furnizori de modele lingvistice accesați prin OpenRouter. Datele primite prin API-urile Google (Google Foto) nu le sunt trimise niciodată.
Plăți și facturare: Stripe, NETOPIA Payments, SmartBill, ANAF (e-Factura).
Smart home: furnizorii dispozitivelor proprietății (de ex. Tuya, TTLock, Salus, TP-Link Tapo).
Rețele sociale: Meta (Facebook, Instagram) și TikTok, când proprietatea le conectează; Google Foto (doar elementele alese), când proprietatea îl conectează; date de căutare Google pentru analiza pieței.

Unii furnizori se află în afara Spațiului Economic European; transferurile se bazează pe deciziile de adecvare ale Comisiei Europene sau pe clauze contractuale standard.

7. Cât timp păstrăm datele

Datele de cont și ale proprietății: cât timp proprietatea folosește Arova, apoi sunt șterse sau anonimizate în 90 de zile, dacă legea nu cere mai mult.
Facturile și evidențele contabile: cât cere legislația fiscală română (în general 10 ani), în numele proprietății.
Fișele de anunțare: 5 ani, conform normelor privind evidența turiștilor.
Tokenurile de acces la rețelele sociale: până când proprietatea deconectează contul sau nu mai folosește Arova.
Google Foto: tokenurile și emailul contului până când proprietatea deconectează Google Foto sau nu mai folosește Arova; elementele alese până când proprietatea le șterge, sau în 90 de zile după ce nu mai folosește Arova.
Jurnalele de server: până la 90 de zile.

8. Drepturile dumneavoastră

Conform GDPR puteți cere accesul la date, rectificarea sau ștergerea lor, o copie într-un format portabil, restricționarea prelucrării sau vă puteți opune acesteia și vă puteți retrage oricând consimțământul. Oaspeții se adresează proprietății la care au stat; noi o ajutăm să răspundă. Scrieți-ne la alexandra@stidevelopment.com. Puteți depune și o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP, dataprotection.ro).

9. Securitate

Datele circulă criptat (HTTPS); parolele sunt stocate sub formă de hash; tokenurile de acces (inclusiv cele Google, Meta și TikTok) și celelalte secrete sunt păstrate criptat; copiile de siguranță sunt păstrate într-un spațiu blocat și versionat; accesul este limitat la persoanele care au nevoie de el.

10. Cookie-uri

Arova folosește doar ce îi trebuie ca să funcționeze: un cookie de sesiune pentru autentificare și spațiul de stocare local al browserului pentru preferințe, precum limba. Fără cookie-uri publicitare.

11. Modificări

Vom actualiza această pagină când practicile noastre se schimbă și vom afișa sus data ultimei actualizări.