Politică de confidențialitate

1. Introducere

Veluvanto s.r.o. („noi”, „nouă” sau „nostru”) se angajează să vă protejeze confidențialitatea. Această Politică de confidențialitate explică modul în care colectăm, utilizăm, dezvăluim și protejăm datele dumneavoastră cu caracter personal atunci când utilizați serviciile Veluvanto, în conformitate cu Regulamentul general privind protecția datelor (GDPR, Regulamentul (UE) 2016/679) și Legea cehă nr. 110/2019 Coll. privind prelucrarea datelor cu caracter personal.

2. Operatorul de date

Operatorul de date pentru datele dumneavoastră cu caracter personal este:

Veluvanto s.r.o.
Sediul social: Korunní 2569/108, Vinohrady, 101 00 Praha 10
IČO: 249 15 122
E-mail: privacy@veluvanto.com

Responsabilul cu protecția datelor (DPO): Am stabilit că desemnarea unui Responsabil cu protecția datelor nu este obligatorie conform Articolului 37 din GDPR, având în vedere natura și amploarea activităților noastre de prelucrare (nu prelucrăm categorii speciale de date la scară largă, nu suntem o autoritate publică și nu efectuăm o monitorizare sistematică la scară largă). Pentru toate chestiunile legate de confidențialitate, contactați-ne la privacy@veluvanto.com.

3. Datele cu caracter personal pe care le colectăm

Colectăm următoarele categorii de date cu caracter personal:

3.1 Date de cont

• Adresa de e-mail, numele și poza de profil (din contul dumneavoastră Google atunci când vă conectați prin Google OAuth sau din contul dumneavoastră Microsoft când vă conectați prin Microsoft OAuth)
• Setările și preferințele contului

3.2 Date din documente

• Fișierele pe care le încărcați în serviciu (documente, facturi, contracte etc.)
• Metadate extrase din documente (date, entități, sume, etichete)
• Rezumate, traduceri și categorisiri ale documentelor dumneavoastră generate de AI

3.3 Date de utilizare

• Funcționalitățile utilizate, acțiunile întreprinse și interacțiunile cu serviciul
• Creditele AI consumate și starea abonamentului

3.4 Date tehnice

• Adresa IP, tipul și versiunea browserului, tipul de dispozitiv și sistemul de operare
• Identificatorii de sesiune și jurnalele de acces
• Marcajele temporale ale acțiunilor în scopuri de securitate și audit

3.5 Date de plată

• Adresa de facturare și istoricul tranzacțiilor (detaliile cardului de plată sunt procesate direct de Paddle.com Market Limited, comerciantul nostru oficial, și nu sunt stocate de noi)

Obligația de a furniza date (Art. 13 alin. (2) lit. (e) din GDPR): Furnizarea adresei de e-mail și a datelor de cont este o cerință contractuală — fără aceasta, nu puteți crea un cont sau utiliza serviciul. Furnizarea datelor de plată este necesară pentru a accesa planurile plătite. Furnizarea conținutului documentelor este voluntară; dumneavoastră alegeți ce să încărcați. Nu aveți obligația legală de a furniza niciuna dintre cele de mai sus, dar refuzul de a furniza datele solicitate va însemna că nu vă putem oferi serviciul.

4. Temeiurile juridice pentru prelucrare

Prelucrăm datele dumneavoastră cu caracter personal pe baza următoarelor temeiuri juridice prevăzute la Articolul 6 din GDPR:

5. Prelucrarea prin AI a documentelor dumneavoastră

Documentele dumneavoastră sunt prelucrate folosind tehnologia AI pentru a oferi funcționalități precum categorisirea automată, căutarea full-text, extragerea de metadate, rezumarea, traducerea și asistentul de chat AI.

Documentele dumneavoastră nu sunt utilizate niciodată pentru antrenarea modelelor AI. Prelucrarea prin AI este efectuată exclusiv pentru a vă furniza serviciul. Furnizorul nostru de AI (Google LLC prin Vertex AI) acționează ca persoană împuternicită de noi în baza unui Addendum de prelucrare a datelor Google Cloud și are interdicție contractuală de a vă utiliza datele pentru a-și antrena sau îmbunătăți modelele de AI.

Rezidența datelor în UE pentru prelucrarea prin AI: Inferența AI pentru analiza documentelor, căutarea semantică, traducere, rezumat și chat-ul AI este realizată prin Google Cloud Vertex AI, configurat să utilizeze regiuni de centre de date din UE (europe-west). Conținutul documentelor trimis pentru prelucrare prin AI nu părăsește Spațiul Economic European.

Prelucrarea prin AI constituie o prelucrare automatizată a datelor cu caracter personal. Pentru consumatorii care utilizează Veluvanto în scopuri personale, Veluvanto s.r.o. acționează ca operator de date pentru documentele dumneavoastră. Pentru clienții comerciali care încarcă documente ce conțin date cu caracter personal ale unor terțe părți (de exemplu, date ale angajaților, facturi ale clienților), Veluvanto s.r.o. acționează ca persoană împuternicită de operator în numele Operatorului. Consultați Acordul de prelucrare a datelorpentru detalii privind acordurile de prelucrare B2B.

Pentru informații suplimentare despre sistemele noastre de AI, consultați Notificarea privind transparența AI.

6. Stocarea și securitatea datelor

Luăm în serios securitatea datelor dumneavoastră:

• Toate documentele și datele sunt stocate pe stocarea de obiecte Backblaze B2 în centre de date din UE (Amsterdam, Țările de Jos); Backblaze deține certificarea SOC 2 Type II
• Serverele de aplicații rulează pe infrastructura Hetzner Online GmbH în centre de date din UE (Germania/Finlanda); Hetzner deține certificarea ISO/IEC 27001:2022 (valabilă 2025–2028)
• Datele sunt criptate în tranzit (TLS 1.2+) și în repaus (AES-256)
• Implementăm controale stricte de acces și jurnalizare de audit
• Evaluări și actualizări periodice de securitate
• Accesul la datele cu caracter personal este restricționat la personalul autorizat, pe baza principiului nevoii de a cunoaște

Notificarea încălcării securității datelor cu caracter personal (Art. 33 și 34 GDPR)

a) Notificarea autorității de supraveghere (Art. 33 GDPR)
În cazul unei încălcări a securității datelor cu caracter personal, vom notifica autoritatea de supraveghere competentă fără întârzieri nejustificate și, dacă este posibil, în termen de cel mult 72 de ore de la data la care am luat cunoștință de aceasta, cu excepția cazului în care este puțin probabil ca încălcarea să genereze un risc pentru drepturile și libertățile persoanelor fizice.

b) Informarea persoanei vizate (Art. 34 GDPR)
În cazul în care încălcarea securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, vom informa persoanele afectate fără întârzieri nejustificate. Informarea va fi redactată într-un limbaj simplu și clar și va conține cel puțin informații despre natura încălcării, consecințele probabile ale acesteia și măsurile luate sau propuse pentru a atenua efectele sale. În cazul în care informarea individuală ar necesita un efort disproporționat, vom asigura o comunicare la fel de eficientă prin intermediul unui anunț public sau al unei măsuri similare.

7. Partajarea datelor și subîmputerniciții

Nu vindem datele dumneavoastră cu caracter personal. Putem partaja informațiile dumneavoastră numai în următoarele cazuri:

7.1 Subîmputerniciți

Utilizăm următorii furnizori de servicii terți care pot prelucra datele dumneavoastră cu caracter personal:

• Google LLC — Furnizor de identitate (autentificare Google OAuth); transferurile de date către SUA sunt acoperite de Clauze Contractuale Standard (SCC)
• Microsoft Corporation — Furnizor de identitate (autentificare Microsoft OAuth); prelucrarea datelor este guvernată de Addendumul de protecție a datelor al Microsoft
• Paddle.com Market Limited — Procesarea plăților și facturarea (Comerciant de înregistrare); transferurile de date către Regatul Unit sunt acoperite de Decizia de adecvare privind Regatul Unit
• Google LLC (Vertex AI) — Inferență de modele AI (modele Gemini) pentru procesarea documentelor, căutare semantică, chat AI, traducere și rezumat; prelucrarea este configurată să rămână în regiunile Google Cloud din UE (europe-west); face obiectul Addendumului de prelucrare a datelor Google Cloud; datele din API nu sunt utilizate implicit pentru antrenarea modelelor
• Backblaze, Inc. (B2 Cloud Storage) — Stocare principală de obiecte pentru documente și copii de siguranță; datele sunt stocate exclusiv în UE (Amsterdam, Țările de Jos); certificat SOC 2 Type II; Politica de confidențialitate Backblaze
• IDrive, Inc. (e2 Cloud Storage) — Stocare de obiecte pentru recuperare în caz de dezastru pentru documente și copii de siguranță; datele sunt stocate exclusiv în UE (Frankfurt, Germania); certificat SOC 2; nu există o durată minimă de stocare
• Hetzner Online GmbH — Infrastructură cloud și servere de aplicații; datele sunt stocate exclusiv în UE (Germania/Finlanda); certificat ISO/IEC 27001:2022
• Cloudflare, Inc. — Rețea de distribuție a conținutului (CDN) și servicii de securitate (protecție DDoS, optimizare performanță); procesează metadatele solicitărilor HTTP (adresă IP, user-agent, marcaje temporale); transferurile de date către SUA sunt acoperite de Clauze Contractuale Standard (SCC)

7.2 Cerințe legale

Putem dezvălui datele dumneavoastră dacă acest lucru este cerut de lege, printr-un ordin judecătoresc sau de către o autoritate guvernamentală, ori atunci când considerăm că dezvăluirea este necesară pentru a ne proteja drepturile sau siguranța celorlalți.

7.3 Transferuri de activitate

În cazul unei fuziuni, achiziții sau vânzări de active, datele dumneavoastră cu caracter personal pot fi transferate. Vă vom notifica înainte ca datele dumneavoastră cu caracter personal să fie transferate și să devină subiectul unei alte politici de confidențialitate.

8. Transferuri internaționale de date

Stocăm și prelucrăm datele dumneavoastră în principal în Uniunea Europeană. Tabelul de mai jos descrie rezidența datelor pentru fiecare subîmputernicit:

• Backblaze, Inc. (B2 Cloud Storage — stocare principală): Toate documentele, datele utilizatorilor și copiile de siguranță sunt stocate pe Backblaze B2 în UE (Amsterdam, Țările de Jos). Nu există transfer internațional.
• IDrive, Inc. (e2 Cloud Storage — stocare pentru recuperare în caz de dezastru): Copiile de siguranță ale documentelor și datelor sunt stocate pe IDrive e2 în UE (Frankfurt, Germania). IDrive, Inc. este o companie din SUA; transferurile de date sunt acoperite de Clauze Contractuale Standard (SCC).
• Hetzner Online GmbH (infrastructură): Serverele de aplicații și infrastructura de calcul sunt găzduite exclusiv în Germania/Finlanda. Nu există transfer internațional.
• Google LLC (Vertex AI — prelucrare AI): Conținutul documentelor este procesat prin Google Cloud Vertex AI configurat în regiuni din UE (europe-west). Nu are loc niciun transfer în afara SEE pentru inferența AI.
• Google LLC (autentificare OAuth): Adresa dumneavoastră de e-mail și profilul Google sunt partajate cu Google în timpul autentificării. Transferul către SUA este acoperit de Clauze Contractuale Standard (SCC, Decizia de punere în aplicare a Comisiei (UE) 2021/914).
• Paddle.com Market Limited (plăți): Adresa de facturare și datele tranzacției sunt partajate cu Paddle pentru procesarea plăților. Transferul către Regatul Unit este acoperit de Decizia de adecvare privind Regatul Unit.
• Cloudflare, Inc. (CDN / securitate): Metadatele solicitărilor HTTP (adresă IP, user-agent, marcaje temporale) sunt procesate de Cloudflare. Transferul către SUA este acoperit de SCC.

Puteți solicita o copie a garanțiilor de transfer relevante contactându-ne la privacy@veluvanto.com.

9. Drepturile dumneavoastră conform GDPR

În conformitate cu GDPR (Capitolul III), aveți următoarele drepturi:

• Dreptul de acces (Art. 15): Solicitarea unei copii a datelor dumneavoastră cu caracter personal pe care le deținem
• Dreptul la rectificare (Art. 16): Solicitarea corectării datelor inexacte sau incomplete
• Dreptul la ștergerea datelor / Dreptul de a fi uitat (Art. 17): Solicitarea ștergerii datelor dumneavoastră
• Dreptul la portabilitatea datelor (Art. 20): Primirea datelor dumneavoastră într-un format structurat, utilizat în mod curent și lizibil automat (arhivă JSON sau ZIP care conține documentele și metadatele dumneavoastră). Contactați-ne pentru a solicita un export.
• Dreptul de opoziție la prelucrarea bazată pe interes legitim (Art. 21 alin. (1)): Opoziția la prelucrarea bazată pe interesele noastre legitime (de exemplu, securitate, analiză). Vom înceta prelucrarea, cu excepția cazului în care demonstrăm motive legitime imperioase.
• Dreptul de opoziție la marketing direct (Art. 21 alin. (2)): Aveți un drept absolut de a vă opune în orice moment prelucrării datelor dumneavoastră cu caracter personal în scopuri de marketing direct, fără excepții. Ne vom opri imediat în urma opoziției.
• Dreptul la restricționarea prelucrării (Art. 18): Solicitarea limitării prelucrării în anumite circumstanțe
• Dreptul de retragere a consimțământului (Art. 7 alin. (3)): Retragerea consimțământului în orice moment, fără a afecta legalitatea prelucrării efectuate anterior
• Dreptul de a nu face obiectul unei decizii automatizate (Art. 22): Consultați Secțiunea 10 de mai jos

Pentru a vă exercita oricare dintre aceste drepturi, contactați-ne la privacy@veluvanto.com. Vom răspunde în termen de o lună. Este posibil să fie necesar să vă verificăm identitatea înainte de a vă îndeplini solicitarea.

Dreptul dumneavoastră de opoziție la prelucrarea bazată pe interes legitim (Art. 21 alin. (4) GDPR): Atunci când vă prelucrăm datele pe baza intereselor noastre legitime (Art. 6 alin. (1) lit. (f) GDPR — inclusiv securitatea, prevenirea fraudelor și analiza serviciilor), aveți dreptul de a vă opune în orice moment. În urma opoziției, vom înceta această prelucrare, cu excepția cazului în care demonstrăm motive legitime și imperioase care prevalează asupra intereselor, drepturilor și libertăților dumneavoastră sau dacă prelucrarea este necesară pentru constatarea, exercitarea sau apărarea unui drept în instanță. Pentru a exercita acest drept, contactați privacy@veluvanto.com.

Dreptul de a depune o plângere: Aveți dreptul de a depune o plângere la o autoritate de supraveghere. În Republica Cehă, aceasta este:

Úřad pro ochranu osobních údajů (ÚOOÚ)
Pplk. Sochora 27, 170 00 Praha 7
Site web: www.uoou.cz
E-mail: posta@uoou.cz

10. Prelucrarea automatizată și crearea de profiluri

Veluvanto utilizează prelucrarea automatizată prin AI pentru a identifica și extrage metadate (date calendaristice, entități, categorii, sume). Această prelucrare automatizată:

• Este efectuată exclusiv pentru a vă furniza serviciul
• Nu nu efecte juridice și nu vă afectează în mod similar într-o măsură semnificativă
• Nu nu creare de profiluri în scopuri de marketing sau de luare a deciziilor

Puteți corecta oricând orice metadate inexacte generate de AI în vizualizarea detaliată a documentului. Pentru mai multe informații despre sistemele noastre de AI și limitările acestora, consultați Notificarea privind transparența AI.

11. Păstrarea datelor

Păstrăm datele dumneavoastră cu caracter personal atât timp cât contul dumneavoastră este activ sau atât timp cât este necesar pentru a vă furniza serviciile. Perioade specifice de păstrare:

• Datele contului și documentele: Păstrate până la ștergerea contului. La ștergerea contului, datele sunt șterse definitiv în termen de 30 de zile.
• Înregistrări de facturare: Păstrate timp de 10 ani, conform cerințelor legii contabilității din Cehia (Legea nr. 563/1991 Coll.).
• Jurnale de securitate și acces: Păstrate timp de 12 luni.
• Date de utilizare (funcționalități utilizate, credite AI consumate, interacțiuni): Păstrate timp de 24 de luni, apoi anonimizate prin agregare sau șterse.
• Metadate generate de AI (rezumate, etichete, entități extrase): Păstrate pe durata de viață a documentului asociat. Șterse odată cu documentul.
• Consimțământ de marketing: Până când vă retrageți consimțământul.
• Conturi închise din cauza depășirii spațiului de stocare: Conturi închise din cauza depășirii prelungite a spațiului de stocare (așa cum este descris în Secțiunea 19 din Termenii de utilizare) — toate datele cu caracter personal și documentele sunt șterse definitiv în termen de 30 de zile de la închidere, în conformitate cu Articolul 17 din GDPR.

Documentele mutate în Coșul de gunoi sunt păstrate timp de 30 de zile înainte de ștergerea definitivă.

12. Cookie-uri

Utilizăm cookie-uri și tehnologii similare. Utilizăm doar cookie-uri strict necesare pentru funcționarea serviciului (gestionarea sesiunii și autentificare). Nu utilizăm cookie-uri de urmărire sau cookie-uri publicitare de la terți. Pentru informații detaliate, consultați Politica de cookie-uri.

13. Confidențialitatea datelor minorilor

Serviciul nostru nu se adresează copiilor sub 18 ani. Nu colectăm cu bună știință date cu caracter personal de la copii. Dacă considerați că am colectat din greșeală date de la un copil, vă rugăm să ne contactați și le vom șterge cu promptitudine.

14. Modificări ale acestei politici

Putem actualiza această Politică de confidențialitate din când în când. Vă vom notifica cu privire la orice modificări substanțiale prin e-mail și prin postarea noii politici pe această pagină cu o dată actualizată a „Ultimei actualizări”, cu cel puțin 30 de zile înainte ca modificările să intre în vigoare. Pentru modificări semnificative ale modului în care vă prelucrăm datele, vom solicita un nou consimțământ acolo unde este necesar.

15. Contactați-ne

Pentru orice întrebări legate de această Politică de confidențialitate, pentru a vă exercita drepturile sau pentru orice nelămuriri privind protecția datelor:

Veluvanto s.r.o.
Korunní 2569/108, Vinohrady, 101 00 Praha 10
E-mail: privacy@veluvanto.com