Politica de Confidențialitate și Protecția Datelor cu Caracter Personal

CAPITOLUL I - DISPOZIȚII GENERALE ȘI IDENTIFICAREA OPERATORULUI

Articolul 1 - Operatorul de date cu caracter personal. Conform dispozițiilor Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date (Regulamentul General privind Protecția Datelor - "GDPR") și ale Legii nr. 190/2018 privind măsurile de punere în aplicare a GDPR, operatorul de date cu caracter personal este:

Articolul 2 - Obiectul și aplicabilitatea Politicii. Prezenta Politică de Confidențialitate (denumită în continuare "Politica") stabilește cadrul juridic complet pentru prelucrarea datelor cu caracter personal colectate prin intermediul platformei electronice GhidFiscal.ro și serviciilor conexe, fiind aplicabilă tuturor persoanelor fizice care accesează, navighează, utilizează sau interacționează în orice mod cu platforma (denumite în continuare "Persoanele vizate" sau "Utilizatorii").

Articolul 3 - Principiile fundamentale ale prelucrării. Prelucrarea datelor cu caracter personal se efectuează în strictă conformitate cu principiile fundamentale stipulate în art. 5 GDPR: (a) legalitatea, corectitudinea și transparența; (b) limitarea la scopuri specifice; (c) minimizarea datelor; (d) exactitatea; (e) limitarea conservării; (f) integritatea și confidențialitatea; (g) responsabilitatea operatorului.

CAPITOLUL II - CATEGORIILE DE DATE PRELUCRATE ȘI SURSELE DE COLECTARE

Articolul 4 - Date de identificare și autentificare. Pentru furnizarea serviciilor și administrarea conturilor de utilizator, operatorul prelucrează următoarele categorii de date:

• Date de identitate: numele, prenumele (optional), pseudonimul ales;
• Date de contact: adresa de poștă electronică validă;
• Date de autentificare: parola criptată, token-uri de sesiune, preferințe de securitate;
• Date de identificare unică: identificatori generați automat pentru contul de utilizator.

Articolul 5 - Date comportamentale și de interacțiune. Pentru îmbunătățirea serviciilor și personalizarea experienței utilizatorului, se colectează și prelucrează:

• Conversațiile integrale: toate întrebările, solicitările și comunicările adresate sistemului de AI;
• Răspunsurile generate: conținutul complet al răspunsurilor furnizate de sistem;
• Feedback și evaluări: notele, comentariile și aprecierile furnizate de utilizatori;
• Modelele de utilizare: frecvența accesării, durata sesiunilor, orele de utilizare preferentiale;
• Preferințele declarate: setările personalizate, temele de interes manifestate;
• Istoricul de navigare: paginile vizitate, funcționalitățile utilizate, căile de navigare.

Articolul 6 - Date tehnice și de securitate. Pentru asigurarea funcționării optime și securității platformei, se prelucrează automat:

• Date de conectare: adresa IP, localizarea geografică aproximativă, furnizorul de servicii internet;
• Date despre dispozitiv: tipul și modelul dispozitivului, sistemul de operare, browser-ul utilizat;
• Date de performanță: timpul de răspuns, erorile întâlnite, utilizarea resurselor;
• Cookie-uri și tehnologii similare: identificatori unici, preferințe salvate, istoricul sesiunilor;
• Loguri de securitate: tentativele de autentificare, accesările neautorizate detectate, alertele de securitate.

Articolul 7 - Date financiare și de facturare. Pentru procesarea plăților și gestionarea aspectelor comerciale:

• Informații de plată: datele cardului bancar (procesate exclusiv de Stripe Inc., nu sunt stocate local);
• Istoricul tranzacțiilor: sumele plătite, datele tranzacțiilor, statusul plăților;
• Date de facturare: adresa de facturare, informațiile fiscale relevante pentru emiterea facturilor;
• Preferințele de plată: metodele preferate, frecvența de facturare aleasă.

CAPITOLUL III - SCOPURILE PRELUCRĂRII ȘI TEMEIUL JURIDIC

Articolul 8 - Furnizarea serviciilor contractuale. Conform art. 6(1)(b) GDPR - executarea contractului:

Articolul 9 - Dezvoltarea și antrenarea sistemelor de inteligență artificială. Conform art. 6(1)(f) GDPR - interesul legitim și art. 6(1)(a) GDPR - consimțământul:

• Antrenarea și fine-tuning a modelelor lingvistice mari (Large Language Models - LLM);
• Dezvoltarea algoritmilor specializați pentru domeniul fiscal și juridic românesc;
• Crearea de dataset-uri de antrenament pentru îmbunătățirea acurateții răspunsurilor;
• Validarea și testarea performanțelor sistemelor de AI în contexte reale;
• Cercetarea și dezvoltarea de noi funcționalități și capacități ale AI;
• Optimizarea algoritmilor de procesare a limbajului natural în limba română;
• Analiza sentimentelor și satisfacției pentru îmbunătățirea calității serviciilor;
• Dezvoltarea de modele predictive pentru anticiparea nevoilor utilizatorilor;
• Crearea de sisteme de recomandare personalizate pentru conținutul fiscal;
• Licențierea sau comercializarea tehnologiilor dezvoltate către terțe părți.

Articolul 10 - Îmbunătățirea și optimizarea serviciilor. Conform art. 6(1)(f) GDPR - interesul legitim:

• Analiza performanțelor și identificarea domeniilor de îmbunătățire;
• Detectarea și corectarea erorilor în răspunsurile generate automat;
• Optimizarea vitezei de răspuns și a resurselor computaționale;
• Dezvoltarea de noi funcționalități bazate pe nevoile identificate;
• Personalizarea conținutului și a interfețelor pentru diferite categorii de utilizatori;
• Îmbunătățirea măsurilor de securitate și prevenirea accesului neautorizat.

Articolul 11 - Conformitatea cu obligațiile legale. Conform art. 6(1)(c) GDPR - obligația legală:

• Păstrarea evidenței contabile conform Legii contabilității nr. 82/1991;
• Emiterea și arhivarea facturilor conform Codului Fiscal românesc;
• Raportarea către autorități în cazul solicitărilor legale fundamentate;
• Implementarea măsurilor AML/KYC conform legislației privind prevenirea spălării banilor;
• Conservarea datelor pentru investigații judiciare sau administrative la cererea autorităților.

CAPITOLUL IV - DESTINATARII DATELOR ȘI TRANSFERURILE INTERNAȚIONALE

Articolul 12 - Procesatori de date autorizați. Datele cu caracter personal pot fi divulgate următorilor procesatori, în strictă conformitate cu contractele de prelucrare conforme art. 28 GDPR:

Articolul 13 - Interdicția comercializării datelor. Operatorul se angajează în mod expres și irevocabil că NU va vinde, închiria, cesiona cu titlu oneros sau distribui în scopuri comerciale datele cu caracter personal către terțe părți pentru activități de marketing direct, publicitate comportamentală sau alte scopuri comerciale străine de obiectul serviciilor furnizate.

Articolul 14 - Divulgarea către autorități. Datele pot fi divulgate autorităților competente exclusiv în următoarele circumstanțe strict delimitate:

• În baza unei ordonate judecătorești sau hotărâri judecătorești definitive;
• La solicitarea organelor de urmărire penală în cadrul investigațiilor penale;
• Pentru conformitatea cu obligațiile fiscale la cererea ANAF sau a altor autorități fiscale;
• În cadrul procedurilor administrative inițiate de autorități competente;
• Pentru protecția securității naționale conform legilor speciale în vigoare.

CAPITOLUL V - PERIOADA DE CONSERVARE A DATELOR

Articolul 15 - Principiile conservării datelor. Perioada de conservare a datelor se stabilește conform principiului minimizării și al limitării conservării din art. 5(1)(c) și (e) GDPR, ținând cont de:

• Scopurile pentru care datele sunt prelucrate;
• Obligațiile legale de conservare aplicabile;
• Necesitatea de a-și apăra drepturile în justiție;
• Cerințele operaționale legitime ale activității.

Articolul 16 - Perioade specifice de conservare:

Articolul 17 - Ștergerea automată și arhivarea. La expirarea perioadelor de conservare, datele vor fi șterse automat din sistemele active sau transferate în arhive securizate cu acces restricționat, conform procedurilor interne de management al ciclului de viață al datelor.

CAPITOLUL VI - DREPTURILE PERSOANELOR VIZATE

Articolul 18 - Catalogul drepturilor garantate. Conform Capitolului III din GDPR, persoanele vizate beneficiază de următoarele drepturi fundamentale:

Articolul 19 - Limitări și excepții la exercitarea drepturilor. Anumite drepturi pot fi limitate în următoarele circumstanțe prevăzute de art. 23 GDPR și legislația națională:

Articolul 20 - Procedura de exercitare a drepturilor. Pentru exercitarea drepturilor, persoanele vizate pot transmite cereri scrise la adresa [email protected], specificând clar dreptul invocat și motivația. Operatorul va răspunde în termen de maximum 30 de zile calendare, cu posibilitatea prelungirii cu încă 60 de zile în cazuri complexe.

CAPITOLUL VII - MĂSURILE DE SECURITATE ȘI PROTECȚIE

Articolul 21 - Măsuri tehnice de protecție. Conform art. 32 GDPR, operatorul implementează măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului:

• Criptarea end-to-end a datelor în tranzit utilizând protocoale TLS 1.3;
• Criptarea at-rest a bazelor de date cu algoritmi AES-256;
• Autentificarea multi-factor pentru accesul administrativ la sisteme;
• Tokenizarea datelor sensibile și separarea logică a componentelor;
• Monitorizarea în timp real a activităților suspecte și tentativelor de intruziune;
• Backup-uri criptate cu verificarea periodică a integrității;
• Segregarea rețelelor și implementarea de firewall-uri avansate;
• Actualizări regulate de securitate pentru toate componentele sistemului.

Articolul 22 - Măsuri organizatorice de protecție. Din perspectiva organizatorică, se implementează următoarele măsuri:

• Politici de acces restricționat bazate pe principiul "need-to-know";
• Instruirea regulată a personalului în domeniul protecției datelor;
• Contracte de confidențialitate pentru tot personalul cu acces la date;
• Auditări periodice ale sistemelor și procedurilor de securitate;
• Planuri de răspuns la incidente de securitate și breach-uri de date;
• Evaluări periodice ale impactului asupra protecției datelor (DPIA);
• Documentarea completă a tuturor activităților de prelucrare.

Articolul 23 - Notificarea încălcării securității datelor. În conformitate cu art. 33-34 GDPR, în cazul unei încălcări a securității datelor cu caracter personal, operatorul se angajează să:

• Notifice Autoritatea Națională de Supraveghere în termen de 72 de ore de la luarea la cunoștință;
• Informeze persoanele vizate afectate în cazul în care încălcarea prezintă un risc ridicat;
• Documenteze toate încălcările indiferent de obligația de notificare;
• Implementeze măsuri corective imediate pentru limitarea consecințelor.

CAPITOLUL VIII - DISPOZIȚII FINALE ȘI CONTACT

Articolul 24 - Modificarea Politicii. Prezenta Politică poate fi modificată unilateral de către operator cu un preaviz de minimum 30 de zile calendare, prin publicarea pe website și notificarea utilizatorilor activi prin email. Continuarea utilizării serviciilor după intrarea în vigoare a modificărilor constituie acceptarea acestora.

Articolul 25 - Date de contact pentru aspecte GDPR. Pentru orice întrebări, cereri sau reclamații referitoare la prelucrarea datelor cu caracter personal:

Articolul 26 - Dreptul de plângere la autoritatea de supraveghere. Persoanele vizate au dreptul să depună plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), cu sediul în B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, 010336, București, România, email: [email protected].

Articolul 27 - Intrarea în vigoare. Prezenta Politică intră în vigoare la data publicării și se aplică tuturor activităților de prelucrare a datelor cu caracter personal desfășurate de INVESTMENT BOOSTER S.R.L. în cadrul platformei GhidFiscal.ro.