GDPR și drepturile dumneavoastră

1. De ce există pagina asta separat

Politica de confidențialitate răspunde la întrebarea „ce faceți cu datele mele". Pagina asta răspunde la alta, mai practică: „ce pot să fac eu în privința asta". Sunt două întrebări diferite, iar a doua se pierde de obicei la capătul unui document lung. Aici e la ea acasă.

Cadrul legal: Regulamentul (UE) 2016/679 (GDPR), Legea nr. 190/2018 și Legea nr. 506/2004.

2. Drepturile dumneavoastră, pe rând

Dreptul de acces — art. 15

Puteți cere confirmarea că vă prelucrăm datele și o copie a lor, împreună cu scopurile, categoriile, destinatarii și durata de păstrare. Practic: „trimiteți-mi tot ce aveți despre mine". Prima copie e gratuită.

Dreptul la rectificare — art. 16

Dacă o dată e greșită sau incompletă, o corectăm. Nu trebuie să dovediți nimic complicat — ne spuneți care e corectă.

Dreptul la ștergere („dreptul de a fi uitat") — art. 17

Puteți cere ștergerea, iar dacă nu avem un motiv legal să păstrăm datele, ștergem. Motivele care ne pot obliga să păstrăm ceva sunt puține și precise: o obligație legală (documente contabile), constatarea sau apărarea unui drept în justiție. Când nu putem șterge tot, vă spunem exact ce rămâne și de ce.

Dreptul la restricționarea prelucrării — art. 18

Dacă vă contestați exactitatea datelor sau v-ați opus prelucrării, puteți cere ca datele să fie „puse pe pauză": le păstrăm, dar nu le mai folosim, până lămurim situația.

Dreptul la portabilitate — art. 20

Datele pe care ni le-ați dat dumneavoastră, prelucrate pe bază de consimțământ sau de contract, vi le putem da într-un format structurat, citibil automat (de regulă JSON sau CSV) — sau le putem trimite direct altui operator, dacă e tehnic posibil.

Dreptul la opoziție — art. 21

Vă puteți opune oricând prelucrărilor întemeiate pe interesul nostru legitim. În cazul marketingului direct opoziția e absolută: ne oprim, fără să cântărim nimic și fără să vă cerem motive.

Retragerea consimțământului — art. 7 alin. (3)

Acolo unde temeiul e consimțământul — stocarea în browser, înregistrarea apelurilor —, îl puteți retrage oricând, la fel de ușor cum l-ați dat. Pentru browser: butonul Setări cookie, din subsolul oricărei pagini. Retragerea nu afectează legalitatea a ceea ce s-a prelucrat înainte de ea.

Drepturi legate de deciziile automate — art. 22

Nu luăm decizii automate cu efecte juridice asupra dumneavoastră. Chiar și așa, puteți cere oricând ca o conversație purtată cu asistentul să fie preluată de un om.

Dreptul de a depune plângere — art. 77

Vă puteți adresa oricând autorității de supraveghere, fără să treceți întâi pe la noi. Datele ei sunt la capitolul 8. Ne-ar plăcea totuși să încercați întâi cu noi: e mai rapid pentru toată lumea.

3. Cum trimiteți o cerere și ce urmează

1. Scrieți-ne. Un e-mail la contact@fluxer.ai sau o scrisoare la Bd. Decebal nr. 2, Arad. Nu există formular obligatoriu și nu trebuie să invocați articole — „vreau să știu ce date aveți despre mine" e o cerere perfect valabilă.
2. Spuneți-ne ce doriți și de pe ce canal ne-ați scris (numărul de telefon de pe care ați sunat, adresa de e-mail, data conversației). Fără asta căutăm în gol: nu ținem un registru de persoane, ci conversații legate de un număr sau de o adresă.
3. Vă verificăm identitatea, dar rezonabil. Dacă cererea vine de pe adresa sau numărul din conversație, e suficient. Dacă vine de altundeva și privește date sensibile, cerem o confirmare suplimentară — nu ca să vă îngreunăm, ci ca să nu dăm datele dumneavoastră altcuiva care pretinde că sunteți dumneavoastră. Nu vă cerem niciodată copie după buletin.
4. Răspundem în cel mult o lună de la primirea cererii. Dacă e complicată, termenul se poate prelungi cu încă două luni — dar atunci vă anunțăm în prima lună și vă spunem de ce.
5. Este gratuit. Putem cere o taxă rezonabilă doar dacă cererile devin vădit nefondate sau excesive prin repetare — și atunci vă explicăm de ce.

4. Operator sau împuternicit: de care depinde cui vă adresați

GDPR distinge între cine decide prelucrarea și cine doar o execută. La noi diferența e vizibilă cu ochiul liber:

5. Pentru firmele care ne sunt clienți

Când un asistent răspunde în numele firmei dumneavoastră, firma e operator și noi suntem împuternicit. Asta înseamnă, concret:

• Un acord de prelucrare (DPA) conform art. 28 GDPR, parte din contract. Îl trimitem la cerere înainte de semnare, ca să-l puteți da spre analiză.
• Prelucrăm doar la instrucțiunea dumneavoastră, documentată. Nu folosim datele clienților dumneavoastră în scopuri proprii și nu le amestecăm cu ale altui client — fiecare instanță are datele ei, separate.
• Sub-împuterniciții sunt cei din tabelul de furnizori. Vă anunțăm înainte de a adăuga sau înlocui unul și vă puteți opune.
• Vă ajutăm să răspundeți cererilor persoanelor vizate: putem extrage, corecta sau șterge datele unei persoane din instanța dumneavoastră.
• La încetarea contractului, ștergem sau vă returnăm datele, la alegerea dumneavoastră, în afară de ce ne obligă legea să păstrăm.
• Vă punem la dispoziție informațiile necesare pentru a demonstra conformitatea și acceptăm audituri rezonabile.

6. Măsurile pe care le luăm

• Criptare în tranzit (HTTPS/TLS) pe toate suprafețele publice.
• Găzduire în Uniunea Europeană — server și bază de date în Frankfurt, Germania.
• Cheile și secretele furnizorilor păstrate cifrate, separat de restul datelor.
• Acces pe roluri și grupuri, cu autentificare; drepturile se acordă explicit, nu implicit.
• Jurnalizarea acțiunilor: cine, ce, când — inclusiv apelurile către sisteme externe.
• Separarea datelor între clienți: fiecare instanță își vede doar propriile date.
• Verificarea automată a fișierelor primite, înainte ca ele să ajungă în contextul asistentului.
• Copii de siguranță ale bazei de date, în aceeași regiune europeană.

7. Dacă totuși se întâmplă un incident

Dacă are loc o încălcare a securității datelor:

• o documentăm intern, indiferent de gravitate;
• notificăm ANSPDCP în cel mult 72 de ore de la momentul în care am luat cunoștință, dacă există un risc pentru drepturile persoanelor;
• vă anunțăm și pe dumneavoastră, fără întârzieri nejustificate, dacă riscul este ridicat — spunându-vă ce s-a întâmplat, ce date sunt afectate și ce puteți face;
• dacă suntem împuternicit, anunțăm firma client fără întârziere, ca ea să-și poată îndeplini propriile obligații.

8. Responsabilul cu protecția datelor

Nu am desemnat un responsabil cu protecția datelor (DPO): activitatea noastră principală nu constă în monitorizarea sistematică la scară largă a persoanelor și nici în prelucrarea la scară largă a datelor sensibile, deci nu ne încadrăm în situațiile de la art. 37 alin. (1) GDPR.

Asta nu vă lasă fără interlocutor: cererile privind datele sunt tratate de conducerea societății, la contact@fluxer.ai. Dacă situația se schimbă și devine obligatoriu, desemnăm un DPO și publicăm datele lui aici.

9. Autoritatea de supraveghere

Aveți de asemenea dreptul de a vă adresa instanțelor de judecată, potrivit art. 79 GDPR.