Politică de Confidențialitate

1. Operator și date de contact

Operatorul de date este AVOCAI LEGAL S.R.L., care operează platforma AvocAI: CIF RO55450487, Nr. înmatriculare J2026050507001, cu sediul în Aleea Petre Buzatov nr. 1C, camera 2, et. 1, Iași, județul Iași.

• E-mail general: [email protected]
• Contact pentru protecția datelor: [email protected]

Vom desemna un Responsabil cu Protecția Datelor (DPO) în sensul art. 37 GDPR atunci când desemnarea devine obligatorie; datele de contact ale acestuia vor fi publicate aici la momentul desemnării.

Când suntem operator și când suntem persoană împuternicită. AvocAI este operator pentru datele necesare conturilor, abonamentelor și facturării, securității platformei, comunicărilor și site-ului public. Pentru documentele și datele clienților pe care le încărcați în dosare, operatorul sunteți dumneavoastră (avocatul sau cabinetul), iar AvocAI este persoană împuternicită: le prelucrează numai pentru funcționalitățile pe care le folosiți, pe baza instrucțiunilor dumneavoastră și sub obligație de confidențialitate.

2. Categoriile de date prelucrate

3. Scopul, temeiul legal și termenul de retenție

Pentru datele sensibile (art. 9) și judiciare (art. 10) cuprinse în Input-uri, scopul prelucrării este stabilit de Utilizatorul-avocat (operator), nu de AvocAI; le prelucrăm exclusiv ca persoană împuternicită, pe baza instrucțiunilor Operatorului.

4. Date din Input-uri privind terți (clienții Utilizatorului)

Input-urile încărcate pot conține date personale ale unor terți. Pentru aceste date:

• Utilizatorul-avocat acționează ca operator, iar AvocAI ca persoană împuternicită (art. 4 pct. 8 GDPR);
• Utilizatorul-avocat este responsabil de informarea persoanelor vizate (art. 13-14 GDPR), cu excepțiile prevăzute de art. 14 alin. (5) GDPR, inclusiv cea privind secretul profesional (art. 11 din Legea nr. 51/1995).

5. Destinatari și transferuri

Datele pot fi accesate de:

• Personalul AvocAI — pe principiul accesului strict necesar, sub obligație de confidențialitate;
• Furnizori de servicii — Amazon Web Services (găzduire, baze de date, stocarea fișierelor în Amazon S3, e-mail tranzacțional și SMS pentru autentificarea în doi pași), un furnizor de servere din Uniunea Europeană (servere pentru calculul indexului de căutare al documentelor și al întrebărilor, recunoașterea textului scanat și primirea e-mailurilor), Cloudflare (livrarea și protecția site-ului), Anthropic (modelele AI care generează răspunsurile) și ip-api.com (localizarea aproximativă a adresei IP la autentificare, pentru securitatea contului);
• Google — dacă alegeți să conectați Google Calendar, pentru importul evenimentelor. Google prelucrează datele ca operator independent, conform propriei politici de confidențialitate;
• Furnizorul browserului, pentru dictarea vocală — dictarea din chat și pagina Transcrieri folosesc recunoașterea vocală a browserului. În Google Chrome, sunetul este trimis la Google pentru a fi transformat în text; în alte browsere, la furnizorul acelui browser. Pe pagina Transcrieri, textul rezultat rămâne în browserul dumneavoastră; în chat, textul dictat este trimis odată cu mesajul, ca orice mesaj scris. Dacă nu doriți acest lucru, nu folosiți dictarea pentru informații confidențiale;
• Google și Meta, pentru statistici și măsurarea campaniilor — doar cu acordul dumneavoastră dat prin preferințele cookie, conform Politicii de Cookies. Pentru datele colectate prin Meta Pixel, AvocAI și Meta Platforms Ireland Ltd. sunt operatori asociați pentru colectarea și transmiterea acestor date;
• Resurse încărcate de la terți — aplicația încarcă fonturile de la Google Fonts, iar site-urile create cu constructorul de site-uri pot include hărți, imagini și videoclipuri de la Google Maps, Unsplash, YouTube sau Vimeo. Acești furnizori primesc adresa IP a browserului;
• Autorități publice — la cerere legală expresă, cu notificarea Utilizatorului, cu excepția cazului în care notificarea este interzisă de lege.

Documentele, dosarele, notițele și conversațiile sunt stocate pe servere închiriate de AvocAI de la Amazon Web Services și de la un furnizor de servere din Uniunea Europeană.

Ce primește asistentul AI. Răspunsurile sunt generate de modelele Anthropic (SUA). Pentru fiecare răspuns, modelul primește mesajul dumneavoastră, fragmentele relevante din documentele disponibile asistentului, fișierele atașate în conversație și, într-o conversație dintr-un dosar, datele dosarului necesare răspunsului. Documentele încărcate în dosar sunt disponibile asistentului în mod implicit; puteți dezactiva această opțiune pentru fiecare document în parte. Anthropic poate păstra temporar textul primit, pentru securitate și prevenirea abuzurilor, conform propriilor condiții.

Pseudonimizarea. Dosarele și conversațiile create începând cu 14 octombrie 2026 pornesc pseudonimizate, cu excepția cazului în care alegeți altfel la crearea dosarului sau înainte de primul mesaj al conversației. Numele persoanelor și datele de identificare detectate (de exemplu CNP, numere de telefon, adrese de e-mail) sunt înlocuite înainte ca textul să ajungă la model, iar legătura cu datele reale rămâne numai pe serverele AvocAI. Datele calendaristice, instituțiile publice, localitățile și trimiterile la legislație rămân neschimbate. Dacă pseudonimizarea nu poate fi aplicată din cauza unei erori tehnice, mesajul nu este trimis. Dosarele și conversațiile create înainte de această dată, precum și cele pentru care ați ales să nu fie pseudonimizate, sunt transmise modelului așa cum au fost scrise. Textul trimis asistentului în afara unui dosar sau a unei conversații (fluxuri, redactare, verificări pe documente personale) este pseudonimizat cât timp setarea „Cereri AI fără dosar” rămâne activă. În aplicație, opțiunile apar sub denumirea „Anonimizat pentru AI”, în fila Setări → Anonimizare.

Pseudonimizarea nu este o anonimizare (art. 4 pct. 5 GDPR): faptele speței rămân vizibile modelului, iar o informație de identificare formulată neobișnuit poate să nu fie recunoscută. De aceea vă recomandăm să nu introduceți în mesaje date de identificare care nu sunt necesare.

Transferuri în afara SEE: unii furnizori sunt situați în SUA (Anthropic, Cloudflare, Google, Meta, ip-api.com). Comunicațiile dintre browser și platformă sunt criptate (HTTPS). Transferurile către Cloudflare, Google și Meta se fac în baza EU-US Data Privacy Framework și a Clauzelor Contractuale Standard 2021/914. Pentru textul transmis către Anthropic, pseudonimizarea descrisă mai sus este o măsură suplimentară de protecție.

6. Decizii automatizate și profilare (art. 22 GDPR)

Platforma generează Output-uri prin modele AI. În condițiile utilizării conforme Termenilor — cu verificare profesională umană obligatorie — Output-urile nu produc efecte juridice automate și nu constituie decizii automatizate în sensul art. 22 GDPR, întrucât Utilizatorul-avocat exercită întotdeauna decizia profesională finală.

Indiferent de calificare, persoanele vizate au dreptul să solicite intervenție umană, să își exprime punctul de vedere și să conteste — la [email protected].

7. Drepturile persoanei vizate (art. 15-22 GDPR)

Persoana vizată are dreptul:

• de acces (art. 15), de rectificare (art. 16), la ștergere (art. 17);
• la restricționarea prelucrării (art. 18) și la portabilitate (art. 20) — într-un format structurat, utilizat în mod curent și care poate fi citit automat, la cerere;
• de opoziție (art. 21) și de a nu face obiectul unei decizii automatizate (art. 22);
• de a retrage oricând consimțământul, pentru prelucrările întemeiate pe consimțământ, și de a depune plângere la ANSPDCP sau la instanța competentă.

Unele drepturi se aplică doar în condițiile prevăzute de GDPR: de exemplu, portabilitatea privește datele prelucrate pe baza consimțământului sau a contractului, prin mijloace automatizate, iar dreptul de la art. 22 privește deciziile bazate exclusiv pe prelucrare automată.

Pentru datele din documentele încărcate de un avocat sau cabinet, operatorul este acesta; cererea poate fi adresată lui, iar AvocAI îl sprijină să răspundă.

Cum se exercită: prin e-mail la [email protected]. Răspundem gratuit, în termen de o lună, cu posibilitatea prelungirii cu încă două luni pentru cereri complexe (cu notificare).

8. Cookies și tehnologii similare

Modul în care folosim cookie-urile este descris în documentul separat Politica de Cookies.

9. Securitatea datelor

Implementăm măsuri tehnice și organizatorice adecvate riscului (art. 32 GDPR), printre care: criptarea comunicațiilor dintre browser și platformă, pseudonimizarea textului transmis modelului AI, controlul accesului pe principiul accesului strict necesar și jurnalizarea accesului la documentele din dosare.

AvocAI nu folosește datele utilizatorilor pentru a antrena modele de inteligență artificială. În setări există opțiunea „Îmbunătățește modelul”, dezactivată implicit, pe care în prezent nu o folosim. Dacă vom începe, vom folosi doar conținut anonimizat al utilizatorilor care au activat-o și vă vom anunța înainte.

10. Incidente de securitate

În cazul unei încălcări a securității datelor:

• notificăm Utilizatorul-operator (când acționăm ca persoană împuternicită) fără întârziere nejustificată și nu mai târziu de 24 de ore de la luarea la cunoștință;
• notificăm ANSPDCP în maximum 72 de ore (art. 33 GDPR), când suntem operator și incidentul prezintă risc;
• notificăm persoanele vizate când riscul este ridicat (art. 34 GDPR).

11. Date despre minori

Platforma este destinată exclusiv profesioniștilor adulți; prin crearea contului confirmați că aveți cel puțin 18 ani. Documentele încărcate de Utilizatori pot conține însă date despre persoane de orice vârstă, inclusiv minori (de exemplu, în dosare de familie sau penale). Aceste date sunt prelucrate în numele Utilizatorului, în aceleași condiții ca celelalte date din documente (secțiunea 4).

12. Modificări ale Politicii

Fiecare versiune poartă data ultimei actualizări. Modificările importante sunt anunțate cu cel puțin 30 de zile înainte, prin e-mail sau în aplicație.

13. Lege aplicabilă și contact

Politica este guvernată de legea română și de GDPR. Plângerile pot fi adresate ANSPDCP sau instanței competente, conform art. 79 GDPR.