Drepturi GDPR

1. Cadrul Legal — Ce Este GDPR?

Regulamentul General privind Protecția Datelor (General Data Protection Regulation — GDPR), adoptat prin Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016, este legislația principală a Uniunii Europene în materia protecției datelor cu caracter personal. GDPR se aplică direct în toate statele membre ale UE, inclusiv în România, fără a necesita transpunere națională suplimentară, și este completat în România de Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR.

GDPR are ca obiectiv fundamental protecția dreptului fundamental la viață privată și la protecția datelor cu caracter personal, consacrat la art. 8 din Carta Drepturilor Fundamentale a Uniunii Europene. Regulamentul impune operatorilor de date (organizațiile care colectează și utilizează datele personale) obligații stricte privind transparența, legalitatea, securitatea și responsabilitatea în prelucrarea datelor, conferind în același timp persoanelor fizice drepturi puternice de control asupra datelor lor.

Prezenta pagină explică în detaliu drepturile pe care le aveți în calitate de persoană vizată (persoana ale cărei date sunt prelucrate) față de Poly Tool Design SRL, operatorul platformei Ortexo. Pentru informații complete privind datele colectate, scopurile prelucrării și măsurile de securitate, consultați Politica de Confidențialitate.

2. Principiile GDPR pe care le Respectăm

Conform art. 5 GDPR, orice prelucrare de date cu caracter personal trebuie să respecte șapte principii fundamentale. Iată cum Poly Tool Design SRL aplică fiecare principiu în activitatea sa:

• Legalitate, echitate și transparență: Prelucrăm datele dumneavoastră exclusiv în baza unui temei juridic valid prevăzut de art. 6 GDPR (consimțământ, executarea contractului, obligație legală sau interes legitim). Vă informăm complet și în termeni clari, prin Politica de Confidențialitate și prin prezenta pagină, cu privire la toate activitățile de prelucrare.
• Limitarea scopului: Datele colectate sunt utilizate exclusiv pentru scopurile declarate la momentul colectării și comunicate prin Politica de Confidențialitate. Nu utilizăm datele în scopuri incompatibile cu cele pentru care au fost colectate inițial, fără a obține un nou temei juridic sau consimțământ suplimentar.
• Minimizarea datelor: Colectăm strict datele necesare îndeplinirii scopurilor declarate. Nu colectăm date în exces sau cu caracter speculativ. De exemplu, pentru crearea contului solicităm doar adresa de e-mail — câmpuri suplimentare (denumire cabinet, telefon) sunt opționale.
• Exactitate: Luăm măsuri rezonabile pentru a menține datele corecte și actualizate. Utilizatorii pot modifica datele de profil direct din setările contului. Datele inexacte sunt rectificate sau șterse la solicitarea persoanei vizate.
• Limitarea stocării: Datele sunt păstrate numai pe perioada necesară îndeplinirii scopurilor pentru care au fost colectate, respectând termenele de retenție descrise în Politica de Confidențialitate (Secțiunea 9). La expirarea perioadei de retenție, datele sunt șterse securizat sau anonimizate ireversibil.
• Integritate și confidențialitate: Implementăm măsuri tehnice și organizatorice adecvate (criptare, control acces, autentificare securizată, monitorizare) pentru a proteja datele împotriva prelucrării neautorizate, pierderii accidentale, distrugerii sau deteriorării. Detalii complete privind măsurile de securitate se găsesc în Politica de Confidențialitate (Secțiunea 12).
• Responsabilitate (Accountability): Poly Tool Design SRL este responsabilă de respectarea tuturor principiilor GDPR și poate demonstra această conformitate. Documentăm activitățile de prelucrare, evaluăm impactul asupra protecției datelor atunci când este necesar și menținem relații contractuale adecvate cu toți procesatorii de date.

3. Temeiurile Juridice Utilizate pentru Prelucrare

GDPR impune ca orice prelucrare de date cu caracter personal să se întemeieze pe cel puțin unul dintre cele șase temeiuri juridice prevăzute de art. 6 GDPR. Poly Tool Design SRL utilizează următoarele temeiuri, în funcție de activitatea de prelucrare:

• Consimțământul [art. 6(1)(a)]: Utilizat pentru cookie-urile analitice și datele din formularul de contact. Consimțământul este liber (nu este condiționat de accesul la Serviciu), specific (acordat separat per categorie), informat (prin prezenta politică și Politica de Cookie-uri) și poate fi retras oricând fără consecințe negative.
• Executarea contractului [art. 6(1)(b)]: Utilizat pentru datele de cont, datele de utilizare a platformei și datele de plată. Prelucrarea este necesară pentru furnizarea Serviciului în condițiile agreate prin Termenii și Condițiile de Utilizare.
• Obligație legală [art. 6(1)(c)]: Utilizat pentru datele de facturare și contabile, a căror păstrare este impusă de Legea contabilității nr. 82/1991 și Codul Fiscal (Legea 227/2015).
• Interesul legitim [art. 6(1)(f)]: Utilizat pentru securitatea platformei, prevenirea fraudei și îmbunătățirea Serviciului. Compania a efectuat testul de echilibrare prevăzut de GDPR și a concluzionat că interesele sale legitime nu prevalează asupra drepturilor fundamentale ale persoanelor vizate în aceste contexte specifice.

4. Dreptul de Acces (Articolul 15 GDPR)

Ce înseamnă: Aveți dreptul de a obține din partea Poly Tool Design SRL confirmarea că datele dumneavoastră cu caracter personal sunt sau nu sunt prelucrate. Dacă datele sunt prelucrate, aveți dreptul de a accesa datele respective și de a obține o copie a acestora, împreună cu informații detaliate privind:

• Scopurile prelucrării datelor dumneavoastră;
• Categoriile de date cu caracter personal prelucrate;
• Destinatarii sau categoriile de destinatari cărora datele le-au fost sau urmează a le fi divulgate;
• Perioada de stocare a datelor sau criteriile utilizate pentru stabilirea acesteia;
• Existența dreptului de a solicita rectificarea, ștergerea sau restricționarea prelucrării;
• Dreptul de a depune o plângere la autoritatea de supraveghere;
• Dacă datele nu au fost colectate direct de la dumneavoastră, orice informații disponibile privind sursa lor;
• Existența unor procese decizionale automatizate, inclusiv profilare, și logica implicată în astfel de procese.

Limitări: Dreptul de acces nu trebuie să aducă atingere drepturilor și libertăților altor persoane. Dacă furnizarea copiei datelor ar putea afecta drepturile altor persoane (de exemplu, comunicările conțin și date ale altor persoane), Compania poate furniza o copie anonimizată sau poate refuza furnizarea acelor porțiuni, motivând decizia.

Cum să exercitați dreptul: Trimiteți o solicitare scrisă la adresa de e-mail sau poștală de la Secțiunea 12. Compania va furniza copia datelor în format electronic (JSON sau CSV), gratuit, în termen de 30 de zile.

5. Dreptul la Rectificare (Articolul 16 GDPR)

Ce înseamnă: Aveți dreptul de a obține fără întârzieri nejustificate rectificarea datelor cu caracter personal inexacte care vă privesc. Ținând seama de scopurile prelucrării, aveți dreptul de a obține completarea datelor cu caracter personal care sunt incomplete, inclusiv prin furnizarea unei declarații suplimentare.

Exemple practice: Dacă adresa de e-mail asociată contului dumneavoastră este greșită, puteți solicita corectarea sa. Dacă denumirea firmei sau cabinetului din profilul dumneavoastră este incorectă, o puteți modifica direct din setările contului sau prin solicitare.

Acțiune imediată disponibilă: Datele de profil (nume, denumire companie, preferințe) pot fi modificate direct din secțiunea „Setări cont" a platformei, fără a fi necesară contactarea echipei de suport. Dacă adresa de e-mail de autentificare trebuie modificată, contactați-ne direct, deoarece aceasta implică verificarea identității.

Obligația Companiei: Dacă datele dumneavoastră au fost transmise unor terți (procesatori de date sau alte destinatari), Compania va notifica aceștia privind rectificarea, în măsura în care este posibil și proporțional.

6. Dreptul la Ștergere — „Dreptul de a fi Uitat" (Articolul 17 GDPR)

Ce înseamnă: Aveți dreptul de a obține ștergerea datelor dumneavoastră cu caracter personal fără întârzieri nejustificate, iar Compania are obligația de a șterge aceste date atunci când se aplică unul dintre motivele de mai jos.

Motive care justifică ștergerea:

• Datele nu mai sunt necesare pentru scopurile pentru care au fost colectate sau prelucrate;
• Vă retrageți consimțământul pe care se întemeia prelucrarea și nu există niciun alt temei juridic;
• Vă opuneți prelucrării conform art. 21 GDPR și nu există motive legitime imperioase care să prevaleze;
• Datele au fost prelucrate ilegal;
• Datele trebuie șterse pentru respectarea unei obligații legale conform dreptului UE sau al statului membru.

Excepții — când ștergerea nu este posibilă:

• Pentru respectarea obligațiilor legale de păstrare a documentelor fiscale și contabile (datele de facturare sunt păstrate 5 ani conform legii române);
• Pentru constatarea, exercitarea sau apărarea unui drept în instanță;
• În baza altor temeiuri prevăzute la art. 17 alin. (3) GDPR.

Efectul practic: La ștergerea contului, toate datele de utilizare (conversații AI, dosare, documente, bookmarks) sunt eliminate în termen de 30 de zile, cu excepția datelor de facturare (păstrate 5 ani conform legii) și a unui jurnal minim de securitate (păstrat maximum 1 an). Compania va confirma în scris finalizarea ștergerii.

7. Dreptul la Restricționarea Prelucrării (Articolul 18 GDPR)

Ce înseamnă: Aveți dreptul de a obține restricționarea prelucrării datelor dumneavoastră, ceea ce înseamnă că Compania poate stoca datele, dar nu le poate utiliza activ, în oricare dintre situațiile de mai jos.

Situații în care restricționarea este aplicabilă:

• Contestarea exactității datelor: Dacă contestați exactitatea datelor prelucrate, prelucrarea este restricționată pe perioada în care Compania verifică exactitatea datelor, de obicei cel mult 30 de zile.
• Prelucrare ilegală cu opoziție la ștergere: Dacă prelucrarea este ilegală, dar preferați restricționarea în locul ștergerii, deoarece doriți să păstrați datele pentru un scop specific (de exemplu, constatarea unui drept în instanță).
• Date necesare Utilizatorului, nu Companiei: Dacă Compania nu mai are nevoie de date, dar dumneavoastră solicitați păstrarea lor pentru constatarea, exercitarea sau apărarea unui drept în justiție.
• Verificarea echilibrului de interese: Dacă v-ați exercitat dreptul la opoziție conform art. 21 GDPR și se verifică dacă motivele legitime ale Companiei prevalează asupra drepturilor dumneavoastră.

Efectul restricționării: Datele restricționate pot fi numai stocate. Compania nu le va prelucra activ fără consimțământul dumneavoastră, cu excepția stocării, sau pentru constatarea, exercitarea sau apărarea unui drept în instanță, sau pentru protecția drepturilor unei alte persoane fizice sau juridice, sau din motive de interes public important.

Notificarea ridicării restricției: Compania vă va informa înainte de ridicarea restricției de prelucrare.

8. Dreptul la Portabilitatea Datelor (Articolul 20 GDPR)

Ce înseamnă: Aveți dreptul de a primi datele cu caracter personal pe care le-ați furnizat Companiei într-un format structurat, utilizat în mod curent și care poate fi citit automat (de exemplu, JSON sau CSV), și dreptul de a transmite aceste date unui alt operator de date fără obstacole din partea Companiei.

Condiții de aplicabilitate: Dreptul la portabilitate se aplică numai: (i) datelor furnizate direct de dumneavoastră Companiei (date de cont, conversații AI, dosare create, documente încărcate); (ii) când prelucrarea se întemeiază pe consimțământ sau pe un contract; (iii) când prelucrarea se efectuează prin mijloace automatizate. Dreptul nu se aplică datelor derivate sau inferite de Companie din datele furnizate.

Datele care fac obiectul portabilității la Ortexo:

• Date de profil (nume, e-mail, preferințe);
• Istoricul conversațiilor AI (întrebări și răspunsuri);
• Dosarele și structura acestora;
• Marcajele și notele create;
• Istoricul căutărilor efectuate.

Format și transmitere: Datele vor fi furnizate în format JSON sau CSV, în funcție de tipul de date, în termen de 30 de zile de la solicitare. Dacă este tehnic fezabil și o solicitați, Compania poate transmite datele direct unui alt operator specificat de dumneavoastră.

9. Dreptul la Opoziție (Articolul 21 GDPR)

Ce înseamnă: Aveți dreptul de a vă opune în orice moment, din motive legate de situația particulară, prelucrării datelor dumneavoastră cu caracter personal care se întemeiază pe interesul legitim al Companiei [art. 6(1)(f)] sau pe un interes public.

Efectul opoziției: La primirea opoziției, Compania va înceta prelucrarea datelor, cu excepția cazului în care poate demonstra că există motive legitime imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților dumneavoastră sau că prelucrarea este necesară pentru constatarea, exercitarea sau apărarea unui drept în instanță.

Prelucrările care se întemeiază pe interesul legitim la Ortexo:

• Securitatea platformei și prevenirea fraudei (log-uri de activitate);
• Îmbunătățirea calității Serviciului pe baza datelor de utilizare;
• Trimiterea de comunicări administrative privind Serviciul (notificări despre modificări ale Termenilor, alerte de securitate).

Opoziția față de prelucrarea în scopuri de marketing direct: În cazul în care Compania prelucrează datele dumneavoastră în scopuri de marketing direct (dacă este aplicabil în viitor), aveți dreptul de a vă opune în orice moment prelucrării în acest scop, inclusiv profilării în măsura în care este legată de marketing direct. Odată formulată opoziția față de prelucrarea în scop de marketing, Compania va înceta imediat prelucrarea în aceste scopuri, fără verificarea echilibrului de interese.

10. Dreptul de a Nu fi Supus Deciziilor Individuale Automate (Articolul 22 GDPR)

Ce înseamnă: Aveți dreptul de a nu fi supus unei decizii luate exclusiv pe baza prelucrării automate, inclusiv profilarea, care produce efecte juridice sau vă afectează în mod similar într-o măsură semnificativă.

Situația la Ortexo: Poly Tool Design SRL nu ia decizii bazate exclusiv pe prelucrarea automată care să producă efecte juridice sau efecte semnificative similare asupra Utilizatorilor. Răspunsurile generate de Sistemul AI al platformei sunt instrumente informative și de cercetare juridică; ele nu constituie și nu pot fi interpretate ca decizii automatizate cu efecte juridice. Utilizatorul este singurul responsabil pentru deciziile luate pe baza informațiilor furnizate de platformă.

Singura formă de prelucrare automată cu efecte concrete utilizată de Companie este verificarea automată a cotei de utilizare (numărul de interogări AI consumate raportat la limita planului de abonament), care poate duce la restricționarea temporară a accesului la funcția AI. Aceasta nu constituie o decizie cu efecte juridice semnificative în sensul art. 22 GDPR, ci o funcționalitate tehnică a Serviciului agreată prin Termenii și Condițiile de Utilizare.

11. Dreptul de a Retrage Consimțământul

Atunci când prelucrarea se întemeiază pe consimțământul dumneavoastră (de exemplu, cookie-urile analitice sau datele din formularul de contact), aveți dreptul de a vă retrage consimțământul în orice moment.

Efectele retragerii: Retragerea consimțământului nu afectează legalitatea prelucrărilor efectuate pe baza consimțământului înainte de retragerea acestuia. Retragerea consimțământului nu vă afectează dreptul de a continua să utilizați Serviciul, cu excepția funcționalităților care depind direct de prelucrarea bazată pe consimțământ (de exemplu, dacă retrageți consimțământul pentru cookie-urile analitice, Google Analytics nu va mai colecta date privind navigarea dumneavoastră).

Modalități de retragere:

• Cookie-uri analitice: Prin banner-ul de consimțământ (opțiunea „Modifică preferințele" disponibilă în footer) sau prin setările browser-ului.
• Date din formularul de contact: Prin transmiterea unei solicitări scrise la adresa de e-mail a Companiei, solicitând ștergerea datelor transmise prin formularul de contact.

12. Procedura Detaliată de Exercitare a Drepturilor

Pasul 1 — Formularea solicitării

Transmiteți solicitarea dumneavoastră la adresa de e-mail contact@polytooldesign.com sau prin poștă la adresa Poly Tool Design SRL, Blvd. Ferdinand 95, Constanța, 900717, România.

Solicitarea trebuie să conțină:

• Numele dumneavoastră complet;
• Adresa de e-mail asociată contului Ortexo (pentru verificarea identității);
• Dreptul specific pe care doriți să îl exercitați (acces, rectificare, ștergere etc.);
• O descriere a datelor vizate de solicitare, dacă este cazul;
• Orice informații suplimentare relevante.

Pasul 2 — Verificarea identității

Înainte de procesarea solicitării, Compania va verifica identitatea solicitantului pentru a preveni divulgarea datelor unor terți neautorizați. Verificarea se realizează prin confirmarea că solicitarea provine de la adresa de e-mail asociată contului sau, dacă este necesar, prin solicitarea unor informații suplimentare de identificare. Compania nu va solicita documente de identitate de tip scan, cu excepția cazurilor în care există motive serioase de îndoială privind identitatea solicitantului.

Pasul 3 — Procesarea și răspunsul

Compania va analiza solicitarea și va răspunde în termen de 30 de zile calendaristice de la data primirii (sau de la data verificării identității, dacă este necesară). Termenul poate fi prelungit cu maximum 2 luni suplimentare, exclusiv în cazul solicitărilor complexe sau al unui volum ridicat de solicitări simultane. Dacă termenul este prelungit, dumneavoastră veți fi notificat în primele 30 de zile cu privire la prelungire și la motivele acesteia.

Pasul 4 — Gratuitate și excepții

Serviciul de exercitare a drepturilor este gratuit. Cu toate acestea, dacă solicitările dumneavoastră sunt în mod vădit nefondate sau excesive (în special din cauza caracterului lor repetitiv), Compania poate: (i) percepe o taxă rezonabilă ținând cont de costurile administrative ale furnizării informațiilor sau ale luării măsurilor solicitate; sau (ii) refuza să dea curs solicitării, motivând în scris această decizie.

Pasul 5 — Refuzul solicitării

Dacă Compania refuză să dea curs total sau parțial solicitării dumneavoastră, veți fi informat în scris cu privire la: motivele refuzului; dreptul dumneavoastră de a depune o plângere la ANSPDCP; dreptul de a vă adresa instanțelor judecătorești competente.

13. Termenele de Răspuns — Rezumat

• Termen standard de răspuns: 30 de zile calendaristice de la data primirii solicitării.
• Termen extins (solicitări complexe): Maximum 3 luni totale (30 de zile + 2 luni extensie), cu notificare în primele 30 de zile.
• Confirmare de primire: Compania va confirma primirea solicitării în termen de 5 zile lucrătoare.
• Formatul răspunsului: Răspunsul va fi transmis prin e-mail, în format electronic, dacă nu solicitați altfel.

14. Limitări ale Drepturilor

GDPR recunoaște că drepturile persoanelor vizate nu sunt absolute și pot fi limitate în anumite circumstanțe, conform art. 23 GDPR. Compania poate restricționa exercitarea drepturilor dumneavoastră în măsura necesară pentru:

• Respectarea obligațiilor legale (de exemplu, păstrarea documentelor fiscale și contabile nu poate fi împiedicată de dreptul la ștergere);
• Protejarea securității naționale, apărarea națională sau siguranța publică;
• Prevenirea, cercetarea, detectarea sau urmărirea penală a infracțiunilor;
• Protejarea independenței judiciare și a procedurilor judiciare;
• Prevenirea, cercetarea, detectarea și urmărirea penală a încălcărilor deontologice ale profesiilor reglementate;
• Protejarea persoanei vizate sau a drepturilor și libertăților altor persoane;
• Constatarea, exercitarea sau apărarea unui drept în instanță.

Compania va notifica persoana vizată cu privire la orice restricție a exercitării drepturilor și la motivele acesteia, în măsura în care comunicarea nu ar contraveni scopului restricției.

15. Autoritatea de Supraveghere — ANSPDCP

Dacă considerați că prelucrarea datelor dumneavoastră cu caracter personal de către Poly Tool Design SRL încalcă prevederile GDPR sau ale legislației naționale aplicabile, aveți dreptul de a depune o plângere la autoritatea națională de supraveghere a protecției datelor, fără a aduce atingere oricăror alte căi de atac administrative sau judiciare.

Autoritatea competentă în România este:

• Denumire: Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
• Adresă: B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, cod poștal 010336, București, România
• Telefon: +40.318.059.211 sau +40.318.059.212
• E-mail: anspdcp@dataprotection.ro
• Website: www.dataprotection.ro

Plângerile pot fi depuse online prin formularul disponibil pe site-ul ANSPDCP, prin e-mail sau prin poștă. ANSPDCP are competența de a investiga plângeri, de a desfășura audituri, de a emite avertismente și de a aplica amenzi administrative operatorilor care încalcă GDPR.

Vă încurajăm să ne contactați direct în primul rând, la adresa de e-mail de mai jos, deoarece depunem eforturi active pentru a soluționa orice problemă legată de protecția datelor rapid și favorabil pentru dumneavoastră.

16. Căi de Atac Judiciare

Fără a aduce atingere dreptului de a depune plângere la ANSPDCP, aveți dreptul de a exercita o cale de atac judiciară eficace împotriva Companiei dacă considerați că drepturile dumneavoastră în temeiul GDPR au fost încălcate prin prelucrarea datelor cu caracter personal fără a respecta GDPR.

Procedurile judiciare se inițiază la instanțele judecătorești competente. În România, conform Legii nr. 190/2018, acțiunile judiciare în materia protecției datelor sunt de competența tribunalului de la domiciliul reclamantului (persoana vizată) sau de la sediul Companiei (Constanța).

Dacă ați suferit un prejudiciu material sau moral ca urmare a încălcării GDPR, aveți dreptul la despăgubiri din partea operatorului sau a procesatorului responsabil de încălcare, conform art. 82 GDPR.

17. Actualizări ale Prezentei Pagini

Prezenta pagină poate fi actualizată periodic pentru a reflecta modificările legislative, interpretările autorităților de supraveghere sau evoluțiile practicilor de prelucrare ale Companiei. Data ultimei actualizări este indicată în antetul paginii. Modificările semnificative vor fi comunicate Utilizatorilor prin e-mail sau prin notificare pe platformă.

Pentru informații complete privind datele colectate și prelucrările efectuate de Companie, consultați Politica de Confidențialitate și Politica de Cookie-uri.

18. Contact

Pentru exercitarea drepturilor GDPR sau pentru orice întrebări legate de protecția datelor dumneavoastră cu caracter personal:

• E-mail (recomandat): contact@polytooldesign.com
• Adresă poștală: Poly Tool Design SRL, Blvd. Ferdinand 95, Constanța, 900717, România
• Termen de răspuns: 30 de zile calendaristice