Politica de confidențialitate

1. Operator

Operatorul datelor tale este NAKO AGENCY SRL, IDNO 1020600005334, str. Mălina Mică 14, Chișinău, Republica Moldova — compania din spatele Lyra. Pentru orice întrebare privind datele personale, sau ca să-ți exerciți drepturile de mai jos, scrie-ne la contact@nakoagency.com.

1-bis. Cine răspunde pentru ce

Sunt două feluri de date, cu roluri diferite. Datele contului și ale afacerii tale — email, organizație, echipă, sesiuni — le prelucrăm ca operator: noi hotărâm ce ne trebuie ca să-ți livrăm serviciul, și tot nouă ne ceri socoteală pentru ele. Datele clienților TĂI care ajung în Lyra — conversațiile pe care le poartă cu tine, contactele lor — sunt altceva: acolo operatorul ești TU, iar noi le prelucrăm ca persoană împuternicită, numai la instrucțiunea ta și numai ca să funcționeze ce ai cerut. Practic: dacă un client de-al tău cere ștergerea sau corectarea datelor lui, tu hotărăști, iar noi executăm. Dacă un client îți scrie ție și nu știe cui să se adreseze, îndrumă-l spre tine; dacă ne scrie nouă, îl trimitem la tine și te anunțăm.

2. Ce date prelucrăm

Cont: adresa de email și parola (stocată doar ca hash). Afacere: numele organizației, identificatorul (slug), rolul tău în echipă. Securitate: sesiunile active (browser și sistem de operare, momentul ultimei activități), jurnalul de audit (autentificări, delogări, revocări de sesiune, invitații, suspendări), codul de țară al conexiunii, factorul 2FA și codurile de recuperare (stocate ca hash). Invitații: emailul persoanei invitate și rolul propus.

3. Ce prelucrăm din conversații, și ce NU

Agentul AI citește conversațiile cu clienții tăi ca să răspundă în locul tău — asta e chiar serviciul. Le prelucrăm ca persoană împuternicită, la instrucțiunea ta. Pentru a genera răspunsul, textul conversației ajunge la furnizorul modelului de limbaj, pe care îl numim la secțiunea 5-bis. Dincolo de asta nu merge nicăieri: nu folosim conținutul conversațiilor pentru antrenarea vreunui model, nu îl trimitem altor terți și nu îl folosim în scopuri proprii. Ce nu prelucrăm deloc: adresa IP brută (păstrăm doar codul de țară și o amprentă criptografică a browserului) și date de card — plățile nu sunt active.

Dacă ești clientul care scrie afacerii: când agentul nu știe răspunsul, întrebarea ta poate fi transmisă afacerii (proprietarul sau echipa lui) ca să-ți răspundă; afacerea decide asupra datelor tale și nu e un terț față de ele. În afară de furnizorul modelului de limbaj (secțiunea 5-bis) și de afacerea căreia îi scrii, conținutul conversațiilor nu merge nicăieri: nu-l folosim pentru antrenarea vreunui model, nu-l trimitem altor terți și nu-l folosim în scopuri proprii.

4. De ce le prelucrăm (temeiuri legale)

Executarea contractului (art. 6(1)(b)): crearea contului, autentificarea, funcționarea aplicației. Interes legitim (art. 6(1)(f)): securitatea platformei, prevenirea abuzurilor, jurnalul de audit, remedierea erorilor, păstrarea dovezii că ai acceptat Termenii și condițiile, pentru apărarea în caz de dispută. Obligație legală (art. 6(1)(c)): păstrarea unor evidențe cerute de lege. Consimțământ (art. 6(1)(a)): doar acolo unde îl cerem explicit.

5. Cine mai are acces

Furnizori care ne ajută să livrăm serviciul, fiecare cu acord de prelucrare: Supabase (autentificare și bază de date, regiune UE), Vercel (găzduirea aplicației web: funcțiile rulează în UE, la Frankfurt; prima verificare a cererii se poate face pe un server Vercel din afara UE, cel mai apropiat de vizitator), Hetzner Online GmbH (Germania, UE; găzduirea aplicației și a proceselor de fundal; baza de date rămâne la Supabase), Resend (livrare e-mail), Sentry (monitorizarea erorilor), GitLab (codul sursă și integrarea continuă, Statele Unite; nu primește date ale clienților), Langfuse (observabilitatea apelurilor către modelul de limbaj — primește doar date despre apel: modelul, consumul de tokeni, durata, tipul erorii și identificatori tehnici ai contului și ai conversației, niciodată textul conversațiilor), PostHog (măsurarea paginilor vizitate, doar dacă accepți; găzduire în Uniunea Europeană). Nu vindem date personale nimănui. Separat, doar pe paginile publice și numai dacă accepți înregistrarea sesiunii: Microsoft Corporation (Microsoft Clarity, Statele Unite) primește date despre navigare și le folosește și în scopuri proprii, inclusiv publicitate.

Pentru protecție anti-abuz și securitatea rețelei, furnizorul nostru de găzduire (Vercel) procesează temporar adresa IP a vizitatorilor pe baza interesului legitim (art. 6(1)(f) GDPR, considerentul 49). Nu stocăm adresa IP în acest scop.

5-bis. Furnizorul modelului de limbaj

Pentru ca agentul să compună răspunsul, textul conversației ajunge la Anthropic. Când proprietarul afacerii răspunde la o întrebare la care agentul nu a știut, răspunsul lui ajunge și el la Anthropic, ca să fie generalizat — transformat într-un răspuns general, fără datele tale personale, pe care afacerea îl poate salva în cunoașterea agentului ca să răspundă și altor clienți. Anthropic primește doar ce e nevoie pentru a genera și a generaliza răspunsul; nu-l folosim pentru altceva, nu-l trimitem altor terți și nu antrenăm modele cu el. Anthropic se află în Statele Unite, deci aceste date sunt transferate în afara Uniunii Europene. Tot la Anthropic ajunge și textul documentelor pe care afacerea le încarcă pentru a propune întrebări frecvente.

5-ter. Telegram

Dacă îi scrii afacerii prin Telegram, mesajele tale trec mai întâi prin Telegram — e serviciul de mesagerie pe care îl folosești tu, cu contul tău, în condițiile lui. Noi primim acolo ce ne trimiți. Telegram nu prelucrează mesajele la cererea noastră și nu acționează în numele nostru: are propria relație cu tine și propria politică de confidențialitate.

6. Transferuri în afara UE

Datele sunt găzduite în Uniunea Europeană. Unele prelucrări au loc în afara Uniunii Europene, printre care furnizorul modelului de limbaj (secțiunea „Furnizorul modelului de limbaj”), Vercel, GitLab și Microsoft Clarity (secțiunea „Cine mai are acces”).

7. Cât timp le păstrăm

Datele de cont: pe durata contului, plus maximum 30 de zile după ștergere (pentru recuperare accidentală). Dovada că ai acceptat Termenii și condițiile (versiunea acceptată, limba, data și modul în care ai acceptat) o păstrăm pe durata contului și încă 3 ani după ștergerea lui, ca să putem dovedi acordul dacă apare o dispută. Dovada nu conține numele sau adresa ta de email, ci doar un cod derivat criptografic din identificatorul contului. După acești 3 ani se șterge automat. Jurnalul de audit de securitate: 12 luni. Sesiunile: până la expirare sau revocare. Invitațiile neacceptate: 7 zile.

8. Drepturile tale

Ai dreptul de acces, rectificare, ștergere, restricționare, portabilitate și opoziție. Îți poți exporta datele direct din aplicație. Pentru ștergere sau orice altă cerere, scrie-ne la adresa de contact. Ai dreptul să depui plângere la o autoritate de protecție a datelor. Dacă locuiești în Uniunea Europeană, te poți adresa autorității din statul tău de reședință. Dacă locuiești în Republica Moldova, autoritatea competentă este Centrul Național pentru Protecția Datelor cu Caracter Personal (datepersonale.md).

9. Securitate

Criptare în tranzit (HTTPS), parole stocate doar ca hash, verificare în doi pași (TOTP) opțională, izolare strictă între organizații la nivel de bază de date (row level security), jurnal de audit pentru acțiunile sensibile, sesiuni revocabile din aplicație.

10. Minori

Serviciul se adresează afacerilor și persoanelor de peste 18 ani. Nu colectăm intenționat date ale minorilor. Dacă afli că un minor ne-a furnizat date, scrie-ne și le ștergem.

11. Analiză de utilizare

Despre analiza de utilizare și consimțământ, vezi Politica de cookie-uri.