Acordul de prelucrare a datelor

1. Părțile și încheierea acordului

• Operatorul ești tu, utilizatorul AI SAGA: contabil, firmă de contabilitate sau firmă care își ține singură evidența, pentru datele personale pe care le prelucrezi cu ajutorul serviciului.
• Persoana împuternicită suntem noi, CAZARE LA CABANE S.R.L., care operează site-ul sub numele aisaga.ro (cod unic de înregistrare 53013311, număr de ordine în Registrul Comerțului J2025092907000, sediul în Mun. Ploiești, Str. Mihai Bravu nr. 235F, ap. 96, jud. Prahova, cod poștal 100403, România).
• Dacă tu prelucrezi datele în numele clientului, ca persoană împuternicită a lui, acest acord se aplică între tine și noi, iar noi devenim persoană împuternicită ulterioară. În acest caz, te asiguri că ai autorizarea clientului tău să folosești serviciul și furnizorii din secțiunea 9, iar instrucțiunile pe care ni le dai respectă contractul tău cu el.

Acordul se încheie în formă electronică, prin acceptarea Termenilor și condițiilor la crearea contului, și are valoarea unui contract scris, potrivit art. 28 alin. (9) GDPR. Nu este nevoie de semnătură. Dacă ai nevoie de o confirmare pentru evidențele tale, ți-o trimitem pe e-mail, la cerere.

2. Termeni folosiți

Termenii „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită”, „persoană vizată” și „încălcarea securității datelor cu caracter personal” au sensul din art. 4 GDPR. În plus:

Datele clienților

Datele personale din SAGA sau din fișierele tale pe care asistentul le prelucrează la cererile tale.

Împuternicit ulterior

Un furnizor pe care ne bazăm și care prelucrează Datele clienților în numele nostru.

SEE

Spațiul Economic European: statele Uniunii Europene, Islanda, Liechtenstein și Norvegia.

Ceilalți termeni au sensul din Termenii și condițiile AI SAGA.

3. Obiectul, durata, natura și scopul prelucrării

• Obiectul. Prelucrăm Datele clienților în numele tău, doar ca să îți furnizăm serviciul AI SAGA descris în Termeni și numai la cererile tale.
• Durata. Cât timp este în vigoare contractul dintre noi. Pe serverul nostru, o cerere este prelucrată doar cât durează formularea răspunsului.
• Natura prelucrării făcute de noi. Primim cererea ta criptat pe serverul api.aisaga.ro: conversația de până atunci, textul cererii și datele de care asistentul are nevoie (vezi secțiunea 4). Verificăm cheia de licență și soldul, transmitem cererea furnizorului de modele de inteligență artificială și îți trimitem înapoi răspunsul. Conținutul cererii și al răspunsului nu se păstrează pe server.
• Ce se întâmplă în browserul tău. Citirea datelor din SAGA WEB, mascarea datelor personale înainte de trimitere, transformarea fișierelor, generarea fișierelor de import și a rapoartelor, precum și scrierile în SAGA WEB cerute sau aprobate de tine le face extensia, pe calculatorul tău, sub controlul tău. Verificările revizuirii complete se calculează tot acolo. La fel procedurile dosarului de audit, iar dosarul se construiește tot în calculatorul tău: nu îl primim și nu îl păstrăm. Conversațiile, profilurile firmelor, rețetele de lucru (structura fișierelor și alegerile tale, fără rânduri, sume sau nume din fișiere) și preferințele stau în stocarea locală a extensiei, separat pe fiecare CUI. Noi nu avem acces la ele. Repetarea unei sarcini după rețeta ei, când nu are nevoie de asistent, se face integral în browserul tău, fără să trimită Date ale clienților.
• Colectorul de date și verificarea calității. Pentru unele citiri din SAGA WEB, asistentul principal poate da culegerea datelor unui model de inteligență artificială mai mic al aceluiași împuternicit ulterior (furnizorul de modele din secțiunea 9). Colectorul primește doar întrebările asistentului și rezultatele citirilor, mascate ca în secțiunea 4, doar citește și nu ia decizii; ce culege verifică extensia, iar răspunsul și orice scriere rămân la asistentul principal. Pentru un procent mic de culegeri, alese la întâmplare, aceleași date, deja trimise în acea acțiune, se trimit încă o dată aceluiași împuternicit ulterior, ca asistentul principal să verifice culegerea. Verificarea face parte din serviciu, ca să asigurăm calitatea răspunsurilor, nu se taxează, iar din ea păstrăm doar rezultatul, fără Date ale clienților.
• Copia bazei de date. Când accepți sau ceri o copie a bazei, programul SAGA WEB o generează și o descarcă direct în calculatorul tău. Noi nu primim, nu vedem și nu păstrăm conținutul ei; asistentul află doar numele și mărimea fișierului.
• Scopul. Exclusiv executarea cererilor tale. Nu folosim Datele clienților în scopuri proprii, nu le vindem, nu creăm profiluri și nu antrenăm modele de inteligență artificială cu ele.

Lecțiile pe care alegi să ni le trimiți din panou (reguli generale despre SAGA) nu sunt Date ale clienților: extensia și apoi serverul nostru le verifică să nu conțină date de firmă sau date personale, iar o lecție care le conține nu pleacă. Pentru lecții suntem operator, după Politica de confidențialitate.

Codul fiscal și denumirea firmelor pentru care folosești extensia le păstrăm în contul tău, ca evidență a consumului de credite. Pentru aceste date, care privesc de regulă persoane juridice, se aplică Politica de confidențialitate.

4. Tipurile de date și persoanele vizate

Ce date ajung la noi depinde de ce îi ceri asistentului. Pot fi prelucrate date despre:

• clienții și furnizorii persoane fizice ai firmelor pentru care lucrezi, inclusiv PFA, întreprinderi individuale și întreprinderi familiale;
• reprezentanții, asociații și persoanele de contact ale firmelor partenere;
• salariații și colaboratorii firmelor pentru care lucrezi, când lucrezi cu date despre ei;
• alte persoane care apar în documentele contabile sau în extrasele de cont, de exemplu plătitori sau beneficiari ai unor plăți;
• tu și colegii tăi, când apăreți în documentele prelucrate.

Tipurile de date pot fi:

• date de identificare: nume, cod fiscal, CNP sau date din actele de identitate, când apar în SAGA ori în documente;
• date de contact: adresă, telefon, e-mail;
• date financiare și bancare: IBAN, banca, plăți, încasări, solduri;
• date din documentele contabile: facturi, chitanțe, bonuri, sume, bunuri și servicii;
• date de salarizare: sumele de pe statul de salarii pentru fiecare salariat (de exemplu brutul, netul, impozitul, contribuțiile, avansul, reținerile și restul de plată), cu numele, prenumele și codul din SAGA, când îl întrebi pe asistent despre salarii; fără CNP, act de identitate, adresă, telefon sau e-mail;
• alte date despre muncă, de exemplu funcția și datele de angajare și de plecare, când le folosești;
• orice alte date pe care alegi să le trimiți asistentului, în text, în fișiere, în PDF-uri sau în imagini.

Ce date pleacă și cine alege. Fișierele se transformă în browserul tău, pe toate rândurile. La asistent pleacă automat numele fișierului, foile, coloanele și primul rând; alte rânduri le cere asistentul, în tranșe, cât îi trebuie pentru sarcină. Din SAGA WEB, după acordul tău, primește primele rânduri ale fiecărei liste citite și rândurile pe care le cere apoi. La fiecare pas se retrimite conversația de până atunci, cu datele citite anterior. Înainte de trimitere, extensia înlocuiește CNP-urile, IBAN-urile persoanelor fizice, seria și numărul actelor de identitate, numerele de telefon și adresele de e-mail cu etichete (de exemplu [CNP#1]), pe care le pune la loc tot în calculatorul tău, în panou, în fișierele generate și în scrierile în SAGA; adresele persoanelor fizice și locul de muncă al salariaților devin și ele etichete, iar datele delegatului ajung doar ca „completat”; numele, adresele firmelor și sumele nu se maschează, iar mascarea poate scăpa un format neobișnuit. PDF-urile și imaginile se trimit întregi; dacă vrei să plece doar o parte, folosește un export Excel sau CSV cu coloanele necesare. Lista salariaților se citește doar cu acordul tău: numărătorile se fac în browserul tău și pleacă doar numerele. Sumele din statul de salarii pleacă doar când îl întrebi pe asistent despre salarii, după acordul tău cerut o dată pe conversație și pe firmă, și doar cu numele, prenumele, codul din SAGA și sumele fiecărui salariat; Lista nominală a salariaților activi într-o lună (numele, prenumele, funcția, datele de angajare și de plecare) pleacă doar când o ceri, după acordul tău cerut o dată pe conversație și pe firmă. CNP-ul, actul de identitate, adresa, telefonul și e-mailul nu pleacă niciodată, locul de muncă pleacă doar ca etichetă, iar datele despre sănătate (orele și indemnizațiile de concediu medical, absențele) nu pleacă. Lista asociaților se citește doar cu acordul tău, fără CNP, act de identitate, adresă, telefon, e-mail sau IBAN; ecranul cu diurnele nu se citește deocamdată, iar cel cu utilizatorii SAGA nu se citește niciodată. Înregistrarea pentru asistența la erori pornește doar cu acordul tău, iar extensia încearcă să mascheze din ea, încă din browser, parolele, tokenurile, cookie-urile, adresele de e-mail, numerele de card și CNP-urile și păstrează doar o parte din IBAN-uri; mascarea automată poate scăpa formatele neobișnuite, iar numele, adresele și telefoanele din răspunsurile SAGA WEB nu se maschează.

Date sensibile. Serviciul nu este făcut pentru categoriile speciale de date (art. 9 GDPR), de exemplu datele despre sănătate, și nici pentru datele despre condamnări penale (art. 10 GDPR). Nu le trimite asistentului. Dacă totuși trebuie să le folosești într-o sarcină, răspunzi tu de existența unui temei legal și de necesitatea lor.

5. Instrucțiunile tale

• Prelucrăm Datele clienților doar pe baza instrucțiunilor tale documentate. Instrucțiunile sunt: Termenii și acest acord, cererile pe care le trimiți asistentului, acordurile pe care le dai în panou și setările pe care le alegi în extensie.
• Prin acceptarea acestui acord ne dai și instrucțiunea de a transmite Datele clienților împuterniciților ulteriori din secțiunea 9, inclusiv în afara SEE, în condițiile din secțiunea 10.
• Alte instrucțiuni ni le poți da în scris, pe e-mail. Le aplicăm dacă sunt compatibile cu serviciul; dacă presupun costuri suplimentare, le stabilim împreună înainte.
• Te informăm imediat dacă, în opinia noastră, o instrucțiune încalcă GDPR sau alte reguli privind protecția datelor.
• Dacă o lege ne obligă să prelucrăm datele altfel, te anunțăm înainte, cu excepția cazului în care legea ne interzice.

6. Obligațiile tale ca operator

• Ai un temei legal pentru prelucrarea Datelor clienților și pentru folosirea serviciului, inclusiv a furnizorilor din secțiunea 9.
• Informezi persoanele vizate, cum cer art. 13 și 14 GDPR, inclusiv despre folosirea unor instrumente informatice cu persoane împuternicite, dintre care unele prelucrează date în afara SEE.
• Trimiți asistentului doar datele necesare pentru sarcina cerută și răspunzi de exactitatea lor.
• Respecți obligațiile de confidențialitate și de secret profesional care ți se aplică și decizi tu dacă anumite date pot fi prelucrate prin serviciu.
• Faci, când legea o cere, evaluarea impactului asupra protecției datelor.
• Răspunzi la cererile persoanelor vizate, cu ajutorul nostru (secțiunea 11).

7. Confidențialitatea

Datele clienților sunt confidențiale. Au acces la ele, în măsura în care e necesar, doar persoanele autorizate de noi, care s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate. Pentru că serverul nostru nu păstrează conținutul cererilor, noi vedem Date ale clienților doar dacă ni le trimiți tu, de exemplu într-un mesaj de asistență, și, în contul tău, codul fiscal și denumirea firmelor pentru care folosești extensia.

8. Măsurile de securitate

Luăm măsuri tehnice și organizatorice potrivite riscului, potrivit art. 32 GDPR, printre care:

• toate conexiunile dintre extensie, site, cont și api.aisaga.ro sunt criptate (HTTPS);
• serverul nu păstrează conținutul cererilor și al răspunsurilor, ci doar datele de consum (data, nivelul de analiză, volumul de text prelucrat, costul, durata);
• parolele și cheile de licență se păstrează doar ca hash, iar cheile de acces la serviciile partenere se păstrează criptat;
• panoul de administrare cere autentificare în doi pași, iar acțiunile de administrare rămân în jurnal;
• accesul la server și la baza de date este restrâns, iar încercările repetate de conectare greșită sunt blocate temporar;
• în extensie, înainte de trimitere, CNP-urile, IBAN-urile persoanelor fizice, datele actelor de identitate, telefoanele și adresele de e-mail se înlocuiesc cu etichete, iar serverul numără, fără să le păstreze, valorile scăpate nemascate;
• în extensie, bariera tehnică „doar citire” blochează orice scriere în SAGA WEB în afara celor cerute de tine, cu aprobarea legată de documentul cerut; asistentul verifică firma selectată înainte de orice scriere și recitește din SAGA ce a scris;
• din statele de salarii și din lista asociaților pleacă spre asistent doar câmpurile dintr-o listă fixă (nume, cod, sume), niciodată CNP-ul, actul de identitate, adresa sau telefonul;
• colectorul de date are doar unelte de citire, verificate și pe serverul nostru; nu primește salariile, fișierele sau extrasele, iar ce culege verifică extensia înainte să ajungă la asistentul principal;
• rețetele de lucru nu conțin rânduri din fișiere, sume, nume de parteneri sau date personale, iar exportul lor e un fișier criptat cu o frază aleasă de tine, pe care noi nu îl primim și nu îl putem deschide;
• datele păstrate de extensie sunt separate pe fiecare firmă (CUI).

Datele din browserul tău sunt sub controlul tău. Protejează-le: folosește un profil de Chrome și un cont de calculator protejate cu parolă și nu lăsa calculatorul deschis la îndemâna altora.

Putem actualiza măsurile de securitate, cu condiția să nu scadă nivelul de protecție.

9. Împuterniciții ulteriori

Prin acest acord ne dai autorizația generală scrisă să folosim împuterniciți ulteriori. Acum folosim:

• furnizorul de modele de inteligență artificială, cu sediul în SUA: primește cererea și datele trimise de extensie și generează răspunsul, inclusiv pentru colectorul de date și pentru verificarea calității (secțiunea 3). Potrivit politicii sale publice, păstrează datele cererilor cel mult 30 de zile, iar pe cele semnalate automat ca posibile încălcări ale regulilor lui de utilizare până la 2 ani, pentru siguranță și prevenirea abuzurilor; potrivit contractului său, nu le folosește la antrenarea modelelor;
• Cyber_Folks SRL (București, România), furnizorul de găzduire a serverului: pe serverul lui rulează api.aisaga.ro, prin care cererile trec fără să fie păstrate;
• Cloudflare, Inc., SUA, care redirecționează mesajele trimise la contact@aisaga.ro: primește Date ale clienților doar dacă ni le trimiți pe e-mail. Te rugăm să nu ne trimiți astfel de date pe e-mail; dacă avem nevoie de un exemplu, îți cerem o variantă anonimizată.

Stripe, SmartBill și furnizorul e-mailurilor automate prelucrează doar datele contului tău (plăți, facturi, mesaje de serviciu), nu și Datele clienților. Pentru ele se aplică Politica de confidențialitate.

Folosim numai împuterniciți ulteriori care, prin contractele lor de prelucrare a datelor, își asumă obligațiile cerute de art. 28 alin. (3) GDPR, inclusiv garanții suficiente privind securitatea. La furnizorii mari, acestea sunt condițiile lor standard de prelucrare a datelor. Verificăm aceste contracte înainte să folosim un furnizor și răspundem față de tine pentru felul în care își îndeplinesc obligațiile.

Identitatea împuterniciților ulteriori. La cererea ta scrisă, ca operator, îți comunicăm denumirea, sediul, datele de contact, țara prelucrării și garanția de transfer pentru fiecare împuternicit ulterior. Folosești aceste informații doar pentru obligațiile tale legale și le păstrezi confidențiale.

Schimbarea împuterniciților. Te anunțăm pe e-mail cu cel puțin 30 de zile înainte să adăugăm sau să înlocuim un împuternicit ulterior. Dacă ne-ai cerut identitatea împuterniciților ulteriori, anunțul o include și pe a celui nou. În acest termen poți formula o obiecție motivată. Dacă nu găsim împreună o soluție, poți înceta contractul înainte ca schimbarea să se aplice, iar noi îți rambursăm valoarea creditelor valabile neconsumate. Într-o urgență de securitate putem înlocui un furnizor mai repede, dar te anunțăm imediat.

10. Transferurile în afara Spațiului Economic European

Datele clienților ajung în afara SEE doar la împuterniciții ulteriori din SUA de mai sus, și numai cu una dintre garanțiile prevăzute în capitolul V din GDPR:

• pentru furnizorul de modele de inteligență artificială: clauzele contractuale standard adoptate prin Decizia de punere în aplicare (UE) 2021/914 a Comisiei și, unde e cazul, decizia de adecvare privind cadrul UE–SUA pentru protecția datelor, Decizia de punere în aplicare (UE) 2023/1795 a Comisiei;
• pentru Cloudflare: certificarea sa în cadrul UE–SUA pentru protecția datelor și clauzele contractuale standard.

Poți cere o copie a garanțiilor aplicabile la contact@aisaga.ro. Putem omite din copie informațiile comerciale confidențiale, dacă nu sunt necesare ca să înțelegi garanțiile.

Când un transfer se bazează pe clauzele contractuale standard, evaluăm legislația țării de destinație și măsurile suplimentare aplicate și îți punem evaluarea la dispoziție, la cerere.

11. Cererile persoanelor vizate

• Datele clienților se află în SAGA, în fișierele tale și în browserul tău, deci de cele mai multe ori poți răspunde direct cererilor de acces, rectificare sau ștergere.
• Te ajutăm, prin informații și măsuri tehnice potrivite, să răspunzi la cererile prin care persoanele vizate își exercită drepturile din capitolul III GDPR.
• Dacă o persoană vizată ne scrie direct despre Date ale clienților, o îndrumăm către tine și îți transmitem cererea, fără întârzieri nejustificate. Nu răspundem noi în locul tău, cu excepția cazului în care ne ceri asta.

12. Încălcarea securității datelor

Dacă aflăm de o încălcare a securității care privește Datele clienților, te anunțăm pe e-mail fără întârzieri nejustificate și, în orice caz, în cel mult 48 de ore de la momentul în care am aflat. Îți transmitem informațiile de care ai nevoie ca să o notifici, la rândul tău, autorității de supraveghere în termenul de 72 de ore din art. 33 GDPR:

• ce s-a întâmplat și, când e posibil, categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor afectate;
• consecințele probabile;
• măsurile luate sau propuse ca să remediem încălcarea și să îi limităm efectele;
• persoana de contact de la noi.

Dacă nu avem toate informațiile de la început, ți le transmitem treptat, pe măsură ce le aflăm. Notificarea noastră nu înseamnă că recunoaștem o vină.

13. Alte forme de asistență

• Te ajutăm să îți îndeplinești obligațiile din art. 32–36 GDPR (securitatea prelucrării, notificarea incidentelor, evaluarea impactului, consultarea prealabilă a autorității), ținând cont de natura prelucrării și de informațiile pe care le avem.
• Dacă o autoritate ne cere Date ale clienților, te anunțăm, cu excepția cazului în care legea ne interzice, și transmitem doar ce suntem obligați.

14. Ștergerea și returnarea datelor

• Serverul nostru nu păstrează conținutul cererilor după ce trimite răspunsul, așa că, la încetarea contractului, nu avem Date ale clienților de returnat sau de șters, cu excepția codului fiscal și a denumirii firmelor din contul tău, păstrate după Politica de confidențialitate. Datele originale rămân în SAGA și în fișierele tale.
• Datele păstrate de extensie în browserul tău le ștergi tu: o conversație din Istoric, rețetele unei firme cu „Uită”, toate eliminând extensia din Chrome. Fișierele descărcate în Descărcări › AISAGA, inclusiv copiile bazei, rămân pe calculator până le ștergi tu.
• Potrivit politicii sale publice, furnizorul de modele de inteligență artificială șterge datele cererilor în cel mult 30 de zile, iar pe cele semnalate automat ca posibile încălcări ale regulilor lui de utilizare, în cel mult 2 ani.
• Dacă ne-ai trimis Date ale clienților pe e-mail, le ștergem la cererea ta sau la încetarea contractului, cu excepția cazului în care legea ne obligă să le păstrăm.

15. Informații și audit

• Îți punem la dispoziție, la cerere, informațiile necesare ca să demonstrăm că ne respectăm obligațiile din acest acord: descrierea măsurilor de securitate, evidența prelucrărilor pe care le facem în numele tău, identitatea împuterniciților ulteriori (în condițiile din secțiunea 9) și garanțiile pentru transferuri.
• Dacă informațiile nu sunt suficiente, poți face un audit, inclusiv o inspecție, direct sau printr-un auditor independent care s-a angajat să păstreze confidențialitatea. Ne anunți cu cel puțin 30 de zile înainte, auditul se face în timpul programului de lucru, fără acces la datele altor utilizatori, cel mult o dată la 12 luni, cu excepția unui incident de securitate sau a unei cereri a autorității, iar costurile tale le suporți tu.
• Contribuim la audit cu informațiile și cu accesul rezonabil de care ai nevoie.
• Pentru împuterniciții ulteriori, auditul se face prin rapoartele, certificările și condițiile pe care aceștia le pun la dispoziție.

16. Răspunderea

Fiecare dintre noi răspunde față de persoanele vizate potrivit art. 82 GDPR. Între noi, pentru acest acord se aplică regulile privind răspunderea din secțiunea 12 a Termenilor, în măsura în care legea permite. Ele nu limitează drepturile persoanelor vizate.

17. Durata, modificarea și prioritatea acordului

• Acordul este în vigoare cât timp este în vigoare contractul dintre noi și, după aceea, cât timp mai prelucrăm Date ale clienților.
• Îl putem modifica în aceleași condiții ca Termenii (secțiunea 18 a Termenilor), inclusiv regula de reacceptare expresă pentru clauzele din secțiunea 20 a Termenilor. Modificările impuse de lege, de exemplu clauze contractuale standard noi, se pot aplica de la data cerută de lege.
• Pentru prelucrarea Datelor clienților, acest acord are prioritate față de Termeni, dacă există o contradicție între ele.

18. Contact

Pentru orice întrebare despre acest acord sau despre prelucrarea Datelor clienților, scrie-ne la contact@aisaga.ro, cu subiectul „Date personale”.