Politica de confidențialitate

Pe scurt: aplicația și baza de date sunt găzduite în România (UE), nu vindem date nimănui, folosim doar furnizori necesari funcționării serviciului (unii dintre ei prelucrează date în SUA — lista completă e la punctul 4), iar pentru datele lead-urilor clienților noștri acționăm ca persoană împuternicită (procesator).

1. Operatorul

ARHAI S.R.L., Str. Piatra Craiului nr. 36G, Oradea 410183, jud. Bihor, Nr. Reg. Com. J2016000743052, CUI RO35913161 — salut@leaply.ro.

2. Ce date prelucrăm și de ce

a) Date de cont (operator): nume, email, parolă (stocată doar ca hash), telefon, date firmă (CUI, adresă — inclusiv preluate de la ANAF la cererea ta), date de facturare și plată (procesate de Stripe; noi nu stocăm numărul cardului). Temei: executarea contractului, obligații fiscale.

b) Cereri de demo (operator): datele din formularul de pe site (nume, contact, firmă). Temei: pași precontractuali la cererea ta.

c) Datele lead-urilor clienților noștri (persoană împuternicită): nume, număr de telefon sau identificatorul de pe platforma de mesagerie, conținutul mesajelor și al conversațiilor purtate cu asistentul AI al clientului, transcrieri ale apelurilor și ale mesajelor vocale, datele programărilor. Le prelucrăm strict conform instrucțiunilor clientului (operatorul acestor date) pentru a furniza serviciul. Detalii în Anexa 1 la Termeni — Acord de prelucrare a datelor (DPA).

d) Statistici și marketing pe site (operator, doar cu acordul tău): dacă alegi „Accept toate" în fereastra de cookie-uri, folosim Google Analytics 4 (prin Google Tag Manager), Google Ads și Meta Pixel pentru a măsura vizitele și reclamele noastre. Temei: consimțământ, pe care îl poți retrage oricând din politica de cookies (alegi „Doar cele necesare": oprim măsurarea și ștergem cookie-urile de măsurare din browser). Fără acord, aceste scripturi nu se încarcă. Aceste instrumente se folosesc doar pe site-ul nostru, nu în conversațiile lead-urilor.

3. Date privind sănătatea și alte categorii speciale

Unii clienți Leaply sunt clinici (stomatologie, medicină estetică etc.). Pentru lead-urile lor, clinica este operatorul, iar Leaply prelucrează datele doar ca persoană împuternicită, conform instrucțiunilor clinicii.

Asistentul este configurat să colecteze date de contact, serviciul dorit și intervalul preferat pentru programare. Nu pune diagnostice, nu oferă sfaturi medicale și nu solicită istoric medical. Unele șabloane (de exemplu cel pentru clinici stomatologice) pot întreba ce problemă sau ce tratament o interesează pe persoană și dacă are dureri sau e un tratament planificat, pentru a prioritiza programarea; clinica poate modifica sau elimina aceste întrebări.

Dacă o persoană menționează din proprie inițiativă informații despre sănătatea sa, acestea sunt prelucrate doar ca parte a conversației (stocare, generarea răspunsului, afișare în inbox-ul clinicii), conform instrucțiunilor clinicii, și nu sunt folosite în alt scop. Clienții nu au voie să configureze asistentul pentru a colecta categorii speciale de date (art. 9 GDPR) decât dacă au un temei legal conform art. 9 și își informează pacienții. Datele se păstrează conform punctului 6 și se șterg la cererea clinicii.

4. Furnizori (subprocesatori)

Folosim următorii furnizori, fiecare doar pentru scopul indicat. Furnizorii marcați „opțional" primesc date doar dacă tu conectezi integrarea respectivă.

Furnizorii de modele AI primesc conținutul conversațiilor doar pentru a genera răspunsul. Conform condițiilor lor comerciale pentru API, aceștia nu folosesc implicit datele trimise prin API pentru antrenarea modelelor, dar le pot păstra temporar pentru prevenirea abuzurilor.

Separat de lista de mai sus: Google și Meta primesc date de pe site-ul nostru doar cu consimțământul tău (punctul 2.d); ANAF este interogat doar pentru datele publice ale firmei, la cererea ta. Integrările pe care le activezi tu către propriile sisteme (CRM, webhook, Zapier, sisteme de rezervări) transmit date către destinatarii aleși de tine, care sunt furnizorii tăi, nu ai noștri.

5. Transferuri în afara UE

Aplicația și baza de date sunt găzduite în România, iar copia de rezervă off-site e tot în UE. Unii furnizori din tabelul de mai sus (ex. Anthropic, OpenAI, ElevenLabs, Twilio, Resend, Calendly, Cloudflare, Apple, iar Meta, Google și Stripe în anumite cazuri) prelucrează date în SUA. Aceste transferuri se fac pe baza cadrului UE–SUA de protecție a datelor (Data Privacy Framework), pentru furnizorii certificați, și/sau a clauzelor contractuale standard aprobate de Comisia Europeană. Ne poți cere detalii la salut@leaply.ro.

6. Cât păstrăm datele

Datele contului — pe durata contractului și apoi conform obligațiilor legale (ex. documente fiscale 5–10 ani). Conversațiile și datele lead-urilor — cât timp contul clientului e activ sau până când clientul le șterge (din aplicație sau la cerere); la încetarea contractului se șterg din sistemele active în cel mult 30 de zile. Copiile de rezervă se rotesc automat: copii locale orare (ultimele aproximativ 3 zile), o replică continuă a bazei de date (istoric de 7 zile) și o copie zilnică criptată în afara serverului principal (30 de copii zilnice, 4 săptămânale și 6 lunare). Datele șterse din sistemele active dispar din copiile de rezervă pe măsura rotației, în cel mult 6 luni. Copiile de rezervă sunt folosite doar pentru restaurare după incidente.

7. Drepturile tale

Acces, rectificare, ștergere, restricționare, portabilitate, opoziție și retragerea consimțământului — scrie-ne la salut@leaply.ro; răspundem în cel mult 30 de zile. Te poți adresa și ANSPDCP (dataprotection.ro). Dacă ești lead-ul unui client Leaply, adresează-ți cererea afacerii cu care ai comunicat; o sprijinim să o rezolve (inclusiv ștergerea conversației și a datelor tale din platformă).

8. Securitate

Criptare în tranzit (TLS), parole stocate doar ca hash (scrypt), chei și token-uri de acces stocate criptat (AES-256-GCM) și afișate mascat în interfață, acces pe bază de rol, jurnal de audit pentru acțiunile sensibile, copii de rezervă automate verificate zilnic. Notificăm incidentele conform art. 33–34 GDPR.