Politica de Confidențialitate
Ultima actualizare: mai 2025
1. Operator de date
NovaGroup Academy S.R.L., cu sediul în România, este operatorul datelor cu caracter personal prelucrate prin intermediul platformei novagroup.academy, în conformitate cu Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (GDPR) și cu Legea nr. 190/2018 privind măsurile de implementare a GDPR în România.
Contact DPO / responsabil cu protecția datelor: privacy@novagroup.academy
2. Datele colectate
Colectăm următoarele categorii de date:
- Date de identificare: nume complet, adresă de e-mail (pentru părinți/tutori și elevi).
- Date de autentificare: parolă (stocată în formă hash; nu avem acces la parola în clar).
- Date despre copil: prenumele elevului, clasa, performanțe academice în cadrul platformei.
- Date de utilizare: sesiuni de tutoring, timp petrecut, răspunsuri la exerciții, progres pe curriculum.
- Date tehnice: adresă IP, tip browser, sistem de operare, cookie-uri tehnice și analitice (cu consimțământ).
- Date de facturare: procesate exclusiv de furnizorul de plăți (Stripe); nu stocăm date de card.
3. Scopurile și temeiurile prelucrării
| Scop | Temei legal (GDPR) |
|---|---|
| Furnizarea serviciului de tutoring AI | Art. 6(1)(b) — executarea contractului |
| Gestionarea contului și autentificarea | Art. 6(1)(b) — executarea contractului |
| Facturare și gestionarea abonamentelor | Art. 6(1)(b) și (c) — obligație legală |
| Îmbunătățirea platformei și analitics | Art. 6(1)(f) — interes legitim |
| Cookie-uri analitice și de marketing | Art. 6(1)(a) — consimțământ |
| Comunicări despre serviciu (notificări, rapoarte progres) | Art. 6(1)(b) — executarea contractului |
4. Protecția datelor minorilor
Platforma este destinată elevilor din clasele V–VIII (vârsta tipică 10–15 ani). Contul este creat și gestionat de un părinte sau tutore legal. Nu colectăm date de la minori fără consimțământul explicit al părintelui/tutorelui, conform Art. 8 GDPR și Legii nr. 190/2018.
Datele despre activitatea elevului (progres, răspunsuri, timp petrecut) sunt vizibile exclusiv părintelui/tutorelui și administratorilor platformei. Nu partajăm date despre minori cu terțe părți în scopuri de marketing.
5. Destinatarii datelor
Datele dvs. pot fi accesate de:
- Anthropic (Claude AI): conținutul sesiunilor de tutoring este procesat prin API-ul Anthropic pentru generarea răspunsurilor AI. Anthropic acționează ca operator asociat / împuternicit.
- Amazon Web Services: infrastructura de găzduire (AWS Elastic Beanstalk, RDS, Cognito) — certificat ISO 27001, SOC 2.
- Stripe: procesarea plăților — conform PCI-DSS; nu primesc datele de progres ale elevului.
- Vercel: găzduirea aplicației frontend.
- Autorități publice: dacă suntem obligați prin lege.
Toți furnizorii de servicii sunt contractați prin Acorduri de Prelucrare a Datelor (DPA) și asigură garanții adecvate conform Art. 28 GDPR.
6. Transferuri internaționale
Unii furnizori (Anthropic, AWS us-east-1, Stripe) pot procesa date în afara Spațiului Economic European. Transferurile sunt efectuate pe baza Clauzelor Contractuale Standard aprobate de Comisia Europeană (Decizia 2021/914) sau a altor mecanisme adecvate de transfer.
7. Durata stocării
- Datele contului activ: pe durata contractului + 3 ani după ștergerea contului.
- Date de facturare: 10 ani (obligație fiscală conform Codului Fiscal român).
- Jurnale tehnice: 90 de zile.
- Date de sesiune (progres academic): pe durata contului + 2 ani.
8. Drepturile dvs.
Conform GDPR, beneficiați de următoarele drepturi:
- Acces — puteți solicita o copie a datelor prelucrate.
- Rectificare — puteți corecta datele inexacte.
- Ștergere — puteți solicita ștergerea datelor ("dreptul de a fi uitat").
- Restricționare — puteți solicita limitarea prelucrării.
- Portabilitate — puteți primi datele în format structurat (JSON/CSV).
- Opoziție — puteți obiecta față de prelucrarea bazată pe interes legitim.
- Retragerea consimțământului — pentru prelucrările bazate pe consimțământ (cookie-uri analitice).
Pentru exercitarea drepturilor, scrieți la privacy@novagroup.academy. Vom răspunde în termen de 30 de zile. Aveți și dreptul de a depune o plângere la ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal), www.dataprotection.ro.
9. Securitatea datelor
Implementăm măsuri tehnice și organizatorice adecvate: criptare TLS 1.3 în tranzit, criptare AES-256 în repaus, autentificare multi-factor disponibilă, parole stocate cu hash bcrypt, controale de acces bazate pe roluri (RBAC), audituri de securitate periodice.
10. Modificări ale politicii
Vom notifica utilizatorii cu privire la modificările semnificative prin e-mail sau prin notificare în platformă cu cel puțin 30 de zile înainte de intrarea în vigoare. Continuarea utilizării platformei după această dată constituie acceptul modificărilor.