Politica de confidențialitate Serasmart AI

Versiunea 1.0 · în vigoare de la [de completat: data_in_vigoare]

Această Politică de confidențialitate explică ce date cu caracter personal prelucrăm când folosești Serasmart AI, de ce, pe ce temei legal, cui le transmitem, cât timp le păstrăm și ce drepturi ai. Ea este întocmită conform Regulamentului (UE) 2016/679 („GDPR”), Legii nr. 190/2018 privind măsurile de punere în aplicare a GDPR și Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice. Termenii cu majusculă (de exemplu Utilizator, Cont, Conținutul Utilizatorului, Rezultate, Model Terț, Conector) au sensul din Termenii și condițiile Serasmart AI.

1. Cine este operatorul și cum ne contactezi

1.1 Operatorul datelor tale este SERANO CONSULT SRL, cod unic de înregistrare 25281467, număr de ordine în registrul comerțului J2009000644234, cu sediul în [de completat: sediu] (denumită în continuare „noi”). Noi decidem scopurile și mijloacele prelucrării descrise în această Politică.

1.2 Pentru orice întrebare sau cerere privind datele tale personale ne poți scrie la support@serasmartai.com. Aceeași adresă este folosită pentru exercitarea drepturilor descrise în secțiunea 9.

1.3 Politica se aplică site-ului serasmartai.com, aplicației instalabile de pe telefon, aplicației pentru Windows, aplicației de telefon care rulează prin Cloudflare și accesului prin API, oriunde folosești Serasmart cu Contul tău. În aplicația pentru Windows, o parte din date (de exemplu conversațiile, fișierele și setările) pot fi păstrate de serviciul local al aplicației, în dosarul ei de date de pe calculatorul tău.

1.4 Această Politică nu se aplică site-urilor, aplicațiilor și serviciilor terțe pe care le deschizi din Serasmart (de exemplu pagina de plată Stripe sau aplicațiile pe care le conectezi). Acestea au propriile politici.

2. Ce date prelucrăm

2.1 Datele Contului. Adresa de e-mail, numele, parola (păstrăm doar o amprentă bcrypt a ei, nu parola însăși), rolul și starea Contului, data creării și data ultimei autentificări. La înregistrare îți trimitem un cod de confirmare a adresei de e-mail; păstrăm doar o amprentă a codului, valabilă 15 minute și pentru cel mult 5 încercări.

2.2 Sesiuni și securitate. Pentru fiecare dispozitiv pe care te autentifici păstrăm o amprentă a tokenului de sesiune, tipul de browser sau de aplicație (user agent), adresa IP, data creării și momentul ultimei activități. Le vezi în Setări → Cont. Adresa IP mai apare: în jurnalul de securitate (la înregistrare și la autentificare), în limitatoarele de încercări ținute temporar în memoria serverului (autentificări greșite și conturi noi) și, pentru aplicația de telefon care rulează prin Cloudflare, în evidența încercărilor de autentificare, ștearsă zilnic.

2.3 Conținutul tău. Conversațiile și mesajele (inclusiv răspunsurile generate), proiectele, asistenții, memoriile și indexul lor de căutare, skill-urile, automatizările, pluginurile, design-urile, fișierele din Bibliotecă și textul extras din ele, aplicațiile conectate (inclusiv tokenurile de acces primite de la ele) și setările Contului (poreclă, ocupație, „despre mine”, instrucțiuni personalizate, ton, poză de profil, preferințe de aspect).

2.4 Voce și imagini. Când dictezi, înregistrarea este transformată în text și nu este salvată de noi. Când ceri o imagine sau un video, textul cererii este trimis furnizorului care le generează (vezi secțiunea 5.2).

2.5 Utilizare și Plan. Pentru fiecare Cont și zi: numărul de mesaje, imagini, video-uri, secunde de voce, Utilizarea consumată, modelele folosite și ultimele 100 de acțiuni. Planul, portofelul de Utilizare cu istoricul lui și reînnoirile. Un jurnal al acțiunilor făcute în aplicațiile conectate, care păstrează doar numele câmpurilor trimise, nu valorile lor.

2.6 Plăți. Plățile se fac pe pagina Stripe. Noi păstrăm corespondența dintre Contul tău și clientul Stripe și ultimele evenimente de plată. La începerea plății trimitem la Stripe adresa ta de e-mail, identificatorul Contului, Planul, perioada de facturare și moneda; Stripe îți cere adresa de facturare și datele cardului. Datele cardului le vede doar Stripe, noi nu le primim.

2.7 Date pentru îmbunătățire (opționale). Doar dacă pornești comutatoarele din Setări → Confidențialitate și doar când evaluezi un răspuns cu 👍 sau 👎. Detaliile sunt în secțiunea 11.

2.8 Comunicări. Mesajele pe care ni le trimiți pe e-mail și răspunsurile noastre. Notificările din aplicație (de exemplu rezultatul unei automatizări sau avertizările de Utilizare). Singurul e-mail trimis automat în prezent este codul de confirmare de la înregistrare; nu trimitem e-mailuri de marketing.

2.9 Date tehnice. Serverele primesc, la fiecare cerere, adresa IP și datele tehnice ale cererii (de exemplu browserul și pagina cerută). Serverul de actualizări al aplicației pentru Windows vede adresa IP, tipul aplicației și versiunea ei. [DE COMPLETAT: dacă serverul web păstrează jurnale de acces (adresa IP, adresa cerută, ora) și cât timp]

2.10 Ce nu cerem. Nu îți cerem date sensibile (de exemplu despre sănătate, religie, opinii politice sau date biometrice), nu folosim instrumente de analiză a traficului sau de publicitate și nu îți urmărim locația. Dacă incluzi singur astfel de date în Conținutul tău, le prelucrăm doar ca să îți răspundem, la cererea ta (vezi secțiunea 3.4).

3. De ce prelucrăm datele și pe ce temei legal

3.1 Prelucrăm datele pentru scopurile și pe temeiurile din tabelul de mai jos (articolul 6 alineatul (1) din GDPR):

3.2 Când prelucrarea se bazează pe interesul legitim, am cântărit interesul nostru față de drepturile tale și am limitat datele la ce este necesar. Te poți opune acestei prelucrări (vezi secțiunea 9.1).

3.3 Adresa de e-mail și parola sunt necesare pentru încheierea contractului: fără ele nu putem crea Contul. Celelalte date de profil sunt opționale.

3.4 Nu folosim Conținutul tău pentru alte scopuri decât cele de mai sus. Dacă Conținutul tău include categorii speciale de date (articolul 9 din GDPR), le prelucrăm doar pentru că tu le-ai făcut cunoscute în cererea ta și doar ca să îți răspundem. Îți recomandăm să nu introduci astfel de date dacă nu este necesar.

4. De unde provin datele

4.1 Majoritatea datelor le primim direct de la tine: la înregistrare, în setări și prin Conținutul pe care îl trimiți.

4.2 Unele date se generează automat când folosești Serviciile: sesiunile, adresele IP, Utilizarea, jurnalul aplicațiilor conectate și Rezultatele generate de modele.

4.3 Unele date le primim de la terți: de la Stripe (starea plăților și identificatorul de client), de la aplicațiile pe care le conectezi (doar datele pe care le autorizezi tu, în limitele permisiunilor date) și din căutările web sau paginile pe care ceri să fie citite.

4.4 Dacă introduci date despre alte persoane, acestea provin de la tine (vezi secțiunea 14).

5. Cui transmitem datele

5.1 Nu vindem datele tale și nu le transmitem pentru publicitate. Le transmitem doar destinatarilor de mai jos, în măsura necesară scopului.

5.2 Destinatarii și ce primesc:

5.3 În funcție de serviciu și de contractele lor, unii destinatari acționează ca persoane împuternicite (prelucrează datele în numele nostru, de exemplu găzduirea), iar alții ca operatori independenți, după propriile politici (de exemplu Stripe pentru datele de plată sau aplicațiile pe care le conectezi).

5.4 Pentru Conturile Utilizatorilor folosim numai API-urile plătite ale furnizorilor de modele AI. Acești furnizori prelucrează cererile pentru a genera răspunsul și le pot păstra o perioadă limitată, conform propriilor condiții (de exemplu pentru siguranță și prevenirea abuzurilor). Ce pot face furnizorii cu cererile primite este stabilit de condițiile lor comerciale pentru API.

5.5 Un model AI este ales pentru fiecare cerere, la alegerea ta sau automat (vezi secțiunea 12). Conținutul trimis ajunge doar la furnizorul modelului folosit pentru acel răspuns; dacă acel model nu răspunde, cererea poate fi trimisă următorului model disponibil.

5.6 În cazul unei reorganizări, fuziuni sau vânzări a activității, datele pot fi transferate succesorului, care va fi obligat să respecte această Politică. Te vom informa înainte.

6. Transferuri în afara Spațiului Economic European

6.1 Unii destinatari din secțiunea 5.2, în special furnizorii de modele AI, pot fi stabiliți sau pot prelucra date în afara Spațiului Economic European (de exemplu în Statele Unite ale Americii), în concordanță cu clauza 14.1 din Termeni.

6.2 Pentru aceste transferuri, furnizorii se bazează pe garanțiile prevăzute de capitolul V din GDPR: o decizie de adecvare a Comisiei Europene (de exemplu, pentru companiile americane certificate, cadrul UE–SUA privind protecția datelor) sau clauzele contractuale standard adoptate de Comisia Europeană, după cum prevăd condițiile fiecărui furnizor.

6.3 Ne poți cere, la adresa din secțiunea 1.2, informații despre garanțiile folosite pentru un anumit destinatar.

7. Cât timp păstrăm datele

7.1 Păstrăm datele doar cât este necesar scopului pentru care au fost colectate:

7.2 La ștergerea Contului se șterg Contul, sesiunile, permisiunile, notificările, cererile de acces, codurile, conținutul tău (conversații, memorii, Bibliotecă, proiecte, asistenți, skill-uri, automatizări, aplicații conectate, design-uri, setări), evidența Utilizării, jurnalul aplicațiilor conectate, datele pentru îmbunătățire și cheile de acces la API. Păstrăm, separat, doar ce ne obligă legea să păstrăm (de exemplu facturile și evidențele contabile) și ce este necesar pentru constatarea, exercitarea sau apărarea unui drept în justiție. [DE COMPLETAT: ce date din evidențele de plată și din jurnalul de securitate rămân după ștergerea Contului și cât timp]

7.3 Ștergerea unei conversații, a unei memorii sau a unui fișier din Setări le elimină din Serviciile noastre. Datele trimise deja unui furnizor de modele AI pentru un răspuns sunt păstrate de acel furnizor conform condițiilor sale (vezi secțiunea 5.4).

8. Cum protejăm datele

8.1 Folosim măsuri tehnice și organizatorice potrivite riscului, printre care:

• parolele se păstrează doar ca amprentă bcrypt; tokenurile de sesiune, cheile de acces la API și codurile de confirmare se păstrează doar ca amprente;
• conexiunile se fac prin HTTPS, cu certificate reînnoite automat, și cu antete de securitate (HSTS, politică strictă de conținut, fără trimiterea adresei paginii către alte site-uri);
• numărul de încercări de autentificare și de creare de conturi este limitat;
• datele fiecărui Cont sunt separate în interogări, iar cererile către adrese date de Utilizatori sunt verificate ca să nu ajungă în rețele interne;
• acțiunile aplicațiilor conectate au clase de risc și, pentru cele care schimbă ceva, cer aprobarea ta;
• sesiunile sunt vizibile și pot fi încheiate oricând de pe toate dispozitivele.

8.2 Îți spunem deschis ce nu facem încă: conversațiile, fișierele și tokenurile aplicațiilor conectate nu sunt criptate la nivel de aplicație pe server; ele sunt protejate prin accesul restricționat la server, permisiunile fișierelor și izolarea containerelor.

8.3 Niciun sistem nu este complet sigur. Dacă are loc o încălcare a securității datelor care prezintă un risc pentru drepturile tale, o notificăm Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal și, când legea cere, te informăm fără întârzieri nejustificate.

8.4 Te rugăm să folosești o parolă puternică, pe care nu o folosești în altă parte, și să te deconectezi de pe dispozitivele pe care nu le mai folosești.

9. Drepturile tale

9.1 Conform GDPR, ai dreptul: (a) de acces la datele tale; (b) la rectificarea datelor inexacte; (c) la ștergerea datelor; (d) la restricționarea prelucrării; (e) la portabilitatea datelor; (f) să te opui prelucrării bazate pe interesul legitim; (g) să îți retragi oricând consimțământul, fără a afecta prelucrarea făcută înainte; (h) să nu faci obiectul unei decizii bazate exclusiv pe prelucrare automată care produce efecte juridice (vezi secțiunea 12); (i) să depui o plângere la autoritatea de supraveghere (vezi secțiunea 9.5).

9.2 Multe dintre aceste drepturi le poți exercita singur, direct în Serasmart:

9.3 Pentru orice alt drept, sau dacă nu poți folosi Setările, scrie-ne la adresa din secțiunea 1.2, de preferință de pe adresa de e-mail a Contului. Putem cere informații suplimentare doar ca să confirmăm că cererea vine de la tine.

9.4 Răspundem în cel mult o lună de la primirea cererii. Termenul poate fi prelungit cu încă două luni pentru cereri complexe sau numeroase; în acest caz te anunțăm în prima lună și îți explicăm motivul. Exercitarea drepturilor este gratuită; pentru cereri vădit nefondate sau excesive putem percepe o taxă rezonabilă sau putem refuza, cu explicații.

9.5 Poți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), Bulevardul General Gheorghe Magheru nr. 28-30, sector 1, București, www.dataprotection.ro, sau la autoritatea din statul în care locuiești sau muncești. Te rugăm să ne scrii întâi, ca să putem rezolva problema. Poți, de asemenea, să te adresezi instanței.

10. Memoria, istoricul și conversațiile

10.1 Memoria și căutarea în conversațiile anterioare sunt pornite implicit. Când sunt pornite, Serasmart reține singur preferințele, deciziile și detaliile de durată din conversațiile tale și le folosește când sunt relevante, iar la o întrebare caută în celelalte conversații ale tale ce are legătură cu ea. Le poți opri oricând în Setări → Memorie; cu memoria oprită, nu se mai reține nimic nou. Memoriile existente le poți vedea, modifica și șterge din pagina Memorie.

10.2 Serasmart nu are un mod incognito sau de conversație temporară. Conversațiile se păstrează conform alegerii din secțiunea 7.1; dacă nu vrei ca o conversație să rămână, o poți șterge.

10.3 Pentru căutarea în memorie, textul memoriilor și întrebarea pot fi trimise unui furnizor de căutare semantică (vezi secțiunea 5.2).

11. Nu antrenăm modele pe conversațiile tale; date pentru îmbunătățire

11.1 Serasmart nu folosește conversațiile tale pentru a antrena modele de inteligență artificială (clauza 7.3 din Termeni).

11.2 Datele pentru îmbunătățire se păstrează doar dacă pornești tu comutatoarele din Setări → Confidențialitate → „Ajută la îmbunătățirea Serasmart AI” (oprite implicit) și doar când evaluezi un răspuns cu 👍 sau 👎:

• cu primul comutator („Păstrează evaluările mele ca să îmbunătățească Serasmart AI”) se păstrează evaluarea, tipul sarcinii, modelul și numărul de tokeni, fără textul conversației;
• cu al doilea comutator („Păstrează și întrebarea, și răspunsul”, care se poate porni doar împreună cu primul) se păstrează și întrebarea și răspunsul evaluat, fiecare de cel mult 3.000 de caractere.

11.3 Înainte de păstrare, adresele de e-mail se înlocuiesc cu [email] și numerele de telefon cu [number], printr-o căutare automată de tipare. Această înlocuire nu este garantată, iar numele proprii și alte date nu se elimină. Nu porni al doilea comutator dacă evaluezi conversații cu date personale.

11.4 O intrare nu conține numele, e-mailul sau identificatorul Contului, ci doar două amprente cu cheie (pentru Cont și pentru răspuns), care permit înlocuirea unei evaluări vechi și retragerea datelor tale. Datele sunt pseudonimizate, nu anonime. Le poate consulta doar administratorul Serasmart, pentru a alege modele mai potrivite și a înțelege unde au greșit răspunsurile.

11.5 Oprirea unui comutator șterge ce s-a păstrat sub el. Poți șterge oricând tot cu „Șterge ce am dat”. Datele sunt incluse în exportul datelor și se șterg odată cu Contul.

12. Decizii automate

12.1 Când alegi „Serasmart Auto” sau nu alegi un model, un sistem automat decide ce model răspunde, după tipul și dificultatea cererii și după Planul tău. Limitele Planului și trecerea pe Planul Free după o plată eșuată se aplică automat, conform Termenilor.

12.2 Aceste decizii servesc la executarea contractului și nu produc efecte juridice asupra ta și nici efecte similare semnificative, în sensul articolului 22 din GDPR. Dacă nu ești de acord cu o decizie, ne poți scrie la adresa din secțiunea 1.2 și o analizează un om.

13. Copii

13.1 Serasmart poate fi folosit de la 16 ani (clauza 4.1 din Termeni). Vârsta de la care o persoană își poate da singură consimțământul pentru serviciile societății informaționale, în România, este de 16 ani (articolul 8 din GDPR).

13.2 În prezent nu verificăm automat vârsta la înregistrare. Dacă aflăm că un Cont aparține unei persoane sub 16 ani, închidem Contul și ștergem datele, cu excepțiile din secțiunea 7.2. Un părinte sau un reprezentant legal ne poate scrie la adresa din secțiunea 1.2.

14. Datele altor persoane pe care le introduci

14.1 Dacă introduci în Serasmart date despre alte persoane (de exemplu colegi sau clienți), tu răspunzi de temeiul legal al acestei prelucrări și de informarea lor (clauza 7.4 din Termeni). Introdu doar ce este necesar.

14.2 Un acord de prelucrare a datelor pentru organizațiile care folosesc Serasmart în numele lor nu este încă publicat. Până atunci, te rugăm să ne scrii înainte de a folosi Serasmart pentru date personale ale clienților sau angajaților unei organizații.

15. Stocarea în browser și cookie-urile

15.1 Serasmart nu folosește cookie-uri. Aplicația păstrează în browserul tău câteva informații necesare (de exemplu sesiunea și limba). Detaliile sunt în Politica de cookie-uri, la adresa serasmartai.com/legal/cookie-uri/.

16. Modificarea Politicii

16.1 Putem actualiza această Politică, de exemplu când se schimbă Serviciile, destinatarii sau legea. Versiunea în vigoare este mereu cea publicată la serasmartai.com/legal/, cu data intrării în vigoare și istoricul versiunilor.

16.2 Pentru modificările importante te anunțăm cu cel puțin 30 de zile înainte de intrarea în vigoare, printr-un mesaj în aplicație și, când este posibil, prin e-mail. Pentru o prelucrare nouă bazată pe consimțământ îți cerem consimțământul înainte.

16.3 Politica este redactată în limba română; traducerile au scop informativ, iar în caz de diferență prevalează versiunea în limba română.

17. Contact

Pentru orice întrebare despre această Politică sau despre datele tale, scrie-ne la support@serasmartai.com. Operator: SERANO CONSULT SRL, CUI 25281467, nr. ordine registrul comerțului J2009000644234, sediul: [de completat: sediu].

Istoricul versiunilor

• Versiunea 1.0 — prima versiune publicată, în vigoare de la [de completat: data_in_vigoare].