Acord de prelucrare a datelor

1. Părțile

Operatorul este clientul care folosește aplicația, identificat în contractul de servicii („tu”).

Împuternicitul este GETVIZUAL MEDIA S.R.L., sediul în Strada Simion Mehedinți nr. 5, Sibiu, județul Sibiu, România, Reg. Com. J2022001245327, CUI 46332873, email castifystudiosibiu@gmail.com („noi”).

Acordul intră în vigoare odată cu contractul de servicii și încetează odată cu el.

2. Obiectul, durata și natura prelucrării

3. Ce ne obligăm să facem

• Să prelucrăm doar la instrucțiunile tale. Utilizarea aplicației de către tine constituie instrucțiunea. Instrucțiuni suplimentare ni le dai în scris. Dacă o instrucțiune ni se pare că încalcă legea, îți spunem înainte să o executăm.
• Să păstrăm confidențialitatea. Persoanele care au acces la date din partea noastră sunt ținute de o obligație de confidențialitate.
• Să luăm măsurile de securitate din secțiunea 6.
• Să te ajutăm când o persoană își exercită drepturile față de tine, când ai nevoie să faci o evaluare de impact sau când trebuie să notifici o breșă.
• Să te anunțăm fără întârziere nejustificată dacă apare o breșă de securitate care afectează datele tale, cu ce știm despre ea: ce s-a întâmplat, ce date sunt afectate, ce am făcut.
• Să ștergem sau să-ți returnăm datele la încetarea contractului, la alegerea ta. Returnarea o poți face singur, oricând, exportându-ți tot conținutul din aplicație — merge și după ce contractul a expirat. Dacă nu ne ceri altceva în cele 30 de zile de după încheiere, se aplică ștergerea: aplicația o face singură, definitiv, iar cu 7 zile înainte ți-o anunță pe ecran.
• Să-ți punem la dispoziție informațiile necesare pentru a demonstra respectarea art. 28 GDPR și să permitem un audit rezonabil, anunțat în prealabil, cel mult o dată pe an, pe cheltuiala ta, cu respectarea confidențialității celorlalți clienți.

4. Ce te obligi tu să faci

• Să ai un temei legal pentru datele personale pe care le introduci în aplicație și să fi informat persoanele vizate.
• Să nu introduci categorii speciale de date.
• Să nu introduci mai multe date decât e nevoie. Aplicația e făcută pentru conținut de marketing, nu ca bază de date de clienți.
• Să-ți administrezi contul astfel încât la el să ajungă doar persoanele care au nevoie.
• Să verifici materialul generat înainte de a-l publica, mai ales acolo unde vorbește despre persoane identificabile — modelul poate afirma despre ele lucruri neadevărate (secțiunea 8).

5. Subîmputerniciți

Ne dai o autorizare generală de a folosi subîmputerniciții de mai jos. Dacă vrem să adăugăm sau să înlocuim unul, te anunțăm cu cel puțin 30 de zile înainte, iar tu poți obiecta motivat; dacă nu găsim o soluție, poți înceta contractul.

Cu fiecare dintre ei avem încheiate condiții de prelucrare a datelor cel puțin la fel de stricte ca acest acord. Răspundem față de tine pentru faptele lor ca pentru ale noastre.

Modelul nu învață din datele tale. Folosim Vertex AI pe un proiect Google Cloud cu facturare activă, unde Google are rolul de împuternicit: nu folosește ce trimitem — nici textele tale, nici răspunsurile generate — ca să-și antreneze sau să-și îmbunătățească modelele. Prompturile se rețin o perioadă limitată, strict pentru detectarea abuzurilor și pentru obligații legale. Nu folosim și nu vom folosi varianta gratuită a acestor servicii, unde condițiile ar fi altele.

6. Măsuri tehnice și organizatorice

Măsurile în vigoare, conform art. 32 GDPR:

• Criptare în tranzit — tot traficul se face prin HTTPS, cu certificat valid. Aplicația nu este accesibilă direct, ci doar prin proxy-ul care impune criptarea.
• Criptare în repaus — baza de date Cloud Firestore criptează datele stocate, la nivel de furnizor.
• Separarea clienților — fiecare cont vede exclusiv propriile date. Regulile bazei de date resping o cerere pentru datele altui cont, indiferent de unde vine.
• Două niveluri de scriere — conținutul pe care îl creezi (profiluri, materiale, calendar) se salvează direct din aplicație, exclusiv în spațiul contului tău, sub reguli care resping orice acces la datele altui cont. Contoarele de consum, starea abonamentului și drepturile de administrare se modifică numai prin server, cu identitate verificată — din browser nu pot fi atinse.
• Autentificare delegată — parolele nu ajung niciodată la noi; autentificarea se face prin Google, cu verificarea jetonului la fiecare cerere.
• Izolare de rețea — aplicația rulează într-o rețea separată de celelalte servicii găzduite pe același server; nu are acces la ele.
• Minimizarea expunerii la erori — mesajele afișate în aplicație nu conțin detalii tehnice interne; erorile reale rămân în jurnalele serverului.
• Protecție împotriva cererilor către rețeaua internă — funcțiile care preiau conținut de pe web verifică adresa de destinație și refuză adresele interne.
• Control al accesului administrativ — panoul de administrare e disponibil unui număr strict limitat de conturi, configurate pe server, nu în aplicație.
• Ștergere la cerere — ștergerea contului elimină datele din toate colecțiile, nu doar din interfață.

7. Transferuri internaționale

Serverul aplicației și baza de date sunt amândouă în Frankfurt, Germania. Datele pe care le încredințezi aplicației se stochează în Uniunea Europeană.

Rămân pe infrastructura globală a Google, care poate include servere din afara Uniunii, doar autentificarea utilizatorilor (Firebase Authentication) și procesarea de moment, la Gemini, a instrucțiunilor trimise spre generare și — pentru hook-uri, scripturi și materialele scoase dintr-un script deja filmat — a materialului trimis a doua oară spre verificarea automată. Pentru acestea, transferurile către Google LLC se întemeiază pe certificarea acesteia în cadrul EU-U.S. Data Privacy Framework și pe Clauzele Contractuale Standard aprobate de Comisia Europeană.

8. Prelucrarea făcută de modelul de limbaj

Conținutul pe care îl introduci — inclusiv datele personale care ajung incidental în el — este transmis unui model de limbaj furnizat de Google, care produce materialul livrat. De regulă textul îi este trimis o singură dată, pentru generare. Fac excepție hook-urile, scripturile și materialele scoase dintr-un script deja filmat — articolul de blog, descrierea lungă de repostat și hook-urile de continuare: acestea sunt trimise a doua oară, pentru verificarea lor automată. Celelalte funcții ale aplicației — calendarul de conținut, planul de funnel, strategia, formatele de Reels, analizele și conversația — nu trec prin verificarea automată. (Indicațiile de filmare fac parte din script și sunt verificate odată cu el.) Locul prelucrării și garanțiile pentru transferul în afara Uniunii sunt cele din secțiunea 7; subîmputernicitul este cel din secțiunea 5.

Materialul rezultat este scris în întregime de model, fără intervenția sau verificarea unui om din partea noastră. Modelul poate produce afirmații inexacte, inclusiv despre persoanele care apar în conținutul introdus de tine. Ca operator, tu răspunzi de exactitatea datelor personale pe care le publici mai departe: noi nu verificăm și nu avem cum să verificăm dacă un text generat spune adevărul despre o persoană. Verificarea înainte de publicare rămâne la tine — vezi secțiunea 7 din Termenii și condițiile.

Prelucrarea aceasta nu constituie o decizie automată cu efecte juridice sau cu efecte similare semnificative asupra persoanelor vizate, în sensul art. 22 GDPR: aplicația scrie texte de marketing, nu ia decizii despre oameni.

9. Răspundere

Răspunderea pentru încălcarea acestui acord urmează limitele din Termenii și condițiile și din contractul de servicii, în măsura în care legea permite limitarea ei.