Politica de confidențialitate

2. Ce date colectăm

2.1. Date de cont

• Adresă de email și nume afișat;
• Hash al parolei (parola în clar nu este niciodată stocată);
• Limba și preferințele de notificare.

2.2. Date de firmă

• Nume firmă, CUI, adresă fiscală, cont bancar;
• Profil pentru oferte: CAEN, CPV de interes, regiuni NUTS, valoare estimată;
• Membri ai echipei (email, rol în firmă).

2.3. Conținut încărcat de utilizator

• Catalog de produse, articole BOQ, portofoliu de servicii și CV-uri experți;
• Documente atașate la oferte (atestate, ISO, RTE, etc.);
• Notițe și statusuri pe pipeline-ul ofertei.

2.4. Date de utilizare și diagnostic

• Analiză (doar cu consimțământ): pagini accesate, acțiuni în produs (ex. rulare analiză, generare ofertă), sursa traficului — prin Google Analytics 4, cu identificator pseudonim de utilizator și companie. Se activează numai după acceptul din bannerul de cookie-uri;
• Monitorizare erori: la apariția unei erori tehnice colectăm detaliile erorii, contextul acțiunii, identificatorul contului și al companiei (Sentry) — pentru a diagnostica și remedia problemele;
• Jurnal AI: evidența acțiunilor AI facturabile (acțiune, anunț, model, dată) — pentru contorizarea creditelor afișată în pagina Utilizare.

2.5. Conținut procesat de AI

Când folosiți funcțiile AI, transmitem către Anthropic (procesatorul nostru AI): documentația publică de atribuire din SEAP și, pentru funcțiile de asistență la ofertă, conținutul relevant introdus de dumneavoastră (denumiri de produse din catalog, linii de ofertă, descrieri). Anthropic nu folosește aceste date pentru antrenarea modelelor.

2.6. Date de plată

• Stripe procesează plata; primim ultimele 4 cifre ale cardului, marca și data expirării;
• Numărul complet al cardului nu ajunge niciodată pe serverele noastre.

3. Scopul prelucrării

Folosim datele pentru:

• Furnizarea Serviciului (matching, AI, pipeline, alerte);
• Facturare și încasare;
• Suport tehnic și răspuns la solicitări;
• Securitate, prevenirea fraudei și abuzului;
• Notificări tranzacționale (email cu rezultatul plății, parola resetată);
• Comunicări de produs (newsletter), numai cu consimțământ explicit;
• Statistici interne agregate pentru îmbunătățirea Serviciului.

Nu vindem date către terți și nu folosim conținutul utilizatorilor pentru a antrena modele AI generale.

4. Temeiul legal (GDPR Art. 6)

• Executarea contractului (Art. 6(1)(b)) — pentru date strict necesare furnizării Serviciului;
• Interes legitim (Art. 6(1)(f)) — pentru securitate, prevenire fraudă, statistici interne;
• Obligație legală (Art. 6(1)(c)) — pentru păstrarea documentelor fiscale (în NL: 7 ani);
• Consimțământ (Art. 6(1)(a)) — pentru cookies analitice (Google Analytics, activ doar după acceptul din banner) și newsletter-uri.

5. Subprocesatori

Pentru a opera Serviciul, transmitem date către următorii subprocesatori, fiecare având încheiat un acord de prelucrare a datelor (DPA) compatibil GDPR:

Anthropic nu folosește conținutul nostru pentru antrenarea modelelor.

6. Stocare și păstrare

Datele active (cont, conținut, oferte) sunt stocate în Uniunea Europeană (Firebase, regiunea europe-west1).

• Date de cont și conținut: pe toată durata contului. La închidere, păstrate 30 de zile pentru recuperare, apoi șterse;
• Date fiscale (facturi, plăți): 7 ani conform legii olandeze;
• Logs de utilizare și jurnal AI: maximum 12 luni;
• Evenimente de eroare (Sentry): maximum 90 de zile;
• Email-uri de marketing: până la dezabonare.

7. Drepturile dumneavoastră (GDPR)

Conform GDPR, aveți dreptul:

• De acces — să primiți o copie a datelor pe care le avem despre dumneavoastră;
• De rectificare — să corectați date inexacte;
• De ștergere („dreptul de a fi uitat") — să cereți ștergerea datelor (cu excepția celor pe care suntem obligați legal să le păstrăm);
• De restricționare a prelucrării în anumite circumstanțe;
• De portabilitate — să primiți datele într-un format structurat, machine-readable;
• De opoziție la prelucrarea bazată pe interes legitim;
• De a retrage consimțământul oricând (pentru prelucrările bazate pe consimțământ).

Pentru a exercita oricare dintre aceste drepturi, scrieți la privacy@elicit.ro. Vom răspunde în maximum 30 de zile.

Aveți dreptul să depuneți o plângere la autoritatea de supraveghere:

• În România: ANSPDCP (dataprotection.ro);
• În Țările de Jos (locul stabilit al Operatorului): Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

8. Securitate

Implementăm măsuri tehnice și organizatorice rezonabile pentru a proteja datele:

• Criptare în tranzit (TLS 1.2+) pentru toate conexiunile;
• Criptare la odihnă (Firebase / Google Cloud) pentru datele stocate;
• Autentificare cu Firebase Authentication; parole hash-uite;
• Acces intern restricționat pe baza principiului „need to know";
• Reguli Firestore stricte care izolează datele fiecărei firme.

În caz de breșă de securitate care afectează datele dumneavoastră, vom notifica autoritatea de supraveghere și utilizatorii afectați conform obligațiilor GDPR (Art. 33-34).

9. Transferuri internaționale de date

Unii subprocesatori (Anthropic, Resend, Stripe) au sedii în SUA. Aceste transferuri se efectuează pe baza clauzelor contractuale standard aprobate de Comisia Europeană, care oferă protecție echivalentă cu cea din UE. Detaliile exacte sunt disponibile la cerere.

10. Minori

Serviciul nu este destinat persoanelor sub 18 ani și nu colectăm intenționat date de la minori. Dacă luăm cunoștință că am colectat date de la o persoană sub 18 ani, le vom șterge fără întârziere.

11. Modificări ale politicii

Putem actualiza această politică pentru a reflecta schimbări legale sau de produs. Modificările materiale vor fi notificate prin email cu cel puțin 30 de zile înainte de intrarea în vigoare.

12. Contact

Pentru orice întrebare legată de această politică sau de datele dumneavoastră, scrieți la privacy@elicit.ro sau la adresa Willemstraat 65, 5611HC Eindhoven, Netherlands.