Politica de confidențialitate

1. Operatorul de date

Operatorul va fi persoana juridică ce administrează platforma: [DE COMPLETAT: denumire, CUI, adresă, e-mail DPO/contact]. Până la completare, platforma funcționează ca mediu de dezvoltare și testare, nu ca serviciu public de producție.

2. Ce date prelucrăm

• Date de cont: nume, adresă de e-mail, parolă stocată sub formă de hash de către Supabase Auth, rol, stare a contului, date de acceptare a termenilor.
• Date de contact opționale: număr de telefon, dacă îl adaugi în profil.
• Date profesionale publice: nume profesional, titlu, prezentare, studii, experiență, specializări, limbi, cabinete, durata ședinței.
• Mesaje private: conținutul conversațiilor dintre client și psiholog. Acestea sunt stocate pentru funcționarea serviciului și nu sunt analizate automat.
• Date tehnice: adresă IP și user-agent pentru limitarea abuzurilor și jurnale de securitate, în măsura în care sunt colectate de infrastructură.
• Formular de contact: nume, e-mail, subiect și mesaj.

3. Scopuri și temeiuri juridice

• Furnizarea serviciului (cont și mesagerie) — executarea contractului, art. 6 alin. (1) lit. b) GDPR.
• Securitate, prevenirea abuzurilor, jurnale administrative — interes legitim, art. 6 alin. (1) lit. f) GDPR.
• Comunicări de marketing — consimțământ separat, art. 6 alin. (1) lit. a) GDPR, atunci când este solicitat.
• Obligații legale — art. 6 alin. (1) lit. c) GDPR, dacă legea impune păstrarea anumitor date.

Datele din mesajele private pot avea legătură cu sănătatea. Platforma nu solicită astfel de date și recomandă transmiterea lor doar în cadrul ședinței, prin canalele agreate de psiholog. Temeiul pentru prelucrarea mesajelor este furnizarea serviciului de comunicare solicitat de utilizator.

4. Destinatari și furnizori

• Supabase — găzduirea bazei de date PostgreSQL, autentificare și storage. Regiunea proiectului trebuie aleasă în UE; contractul de prelucrare și eventualele transferuri trebuie evaluate înainte de lansare.
• Furnizorul de hosting pentru aplicația Next.js — [DE COMPLETAT: furnizor, regiune, DPA].
• Resend — trimiterea e-mailurilor tranzacționale, dacă este configurat. E-mailurile nu includ conținutul mesajelor private.
• Autorități publice — doar la solicitare legală și în limitele legii.

Nu vindem date și nu le folosim pentru profilare comercială. Mesajele private nu sunt trimise către servicii AI externe.

5. Transferuri internaționale

Locația de găzduire se configurează la crearea proiectului Supabase și la alegerea furnizorului de hosting. Dacă datele ajung în afara Spațiului Economic European, trebuie încheiate garanții adecvate (decizie de adecvare sau clauze contractuale standard) și documentată evaluarea transferului. Această evaluare este [DE COMPLETAT ÎNAINTE DE LANSARE].

6. Retenție

Datele contului și mesajele sunt păstrate cât timp contul este activ. La ștergerea contului, datele asociate sunt eliminate prin cascade din baza de date, cu excepția jurnalelor de securitate care pot fi păstrate pentru o perioadă limitată, fără conținut privat. Termenele exacte și procesul de ștergere periodică trebuie aprobate și verificate înainte de producție.

Solicitările de export sau ștergere sunt înregistrate în cont și procesate de administrator. Unele date pot fi păstrate dacă există o obligație legală sau un temei legitim pentru apărarea unor drepturi.

7. Drepturile tale

• Acces la date și copie a acestora.
• Rectificarea datelor inexacte.
• Ștergerea datelor, în limitele legii.
• Restricționarea prelucrării și opoziția la prelucrarea bazată pe interes legitim.
• Portabilitatea datelor furnizate.
• Retragerea consimțământului, fără a afecta prelucrările anterioare.
• Depunerea unei plângeri la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).

Îți poți exercita drepturile din cont, la pagina „Confidențialitate”, sau prin formularul de contact. Vom răspunde în termenul legal aplicabil.

8. Securitate

Accesul la date este controlat prin politici RLS, verificări de rol pe server și funcții dedicate. Parolele nu sunt stocate în clar. Cheia de serviciu este folosită exclusiv pe server. Jurnalele nu includ parole, tokenuri sau conținutul mesajelor. Nicio măsură tehnică nu elimină complet riscul; incidentele de securitate se tratează conform procedurii operatorului.

9. Minori

Contul este destinat persoanelor de cel puțin 16 ani. Pentru persoanele sub această vârstă este necesară implicarea unui reprezentant legal, conform regulilor aplicabile. Platforma nu colectează intenționat date ale copiilor fără acordul unui adult.

10. Cookie-uri

Folosim cookie-uri esențiale pentru autentificare și securitatea sesiunii. Nu sunt configurate instrumente de analiză sau marketing. Detalii și opțiuni în pagina de gestionare a consimțământului.