Politica de confidențialitate

Pe scurt

Prelucrăm doar datele de care e nevoie pentru pregătirea ta pentru Bac.
Nu vindem datele și nu facem reclamă pe baza lor.
Pentru elevii sub 16 ani, funcțiile cu AI, corectarea, comunitatea și audio cer acordul părintelui.
Nota dată de AI este o estimare. Nicio decizie cu efecte juridice nu se ia automat.
Îți poți descărca datele, îți poți șterge contul și te poți dezabona de la emailurile de progres.
Întrebări: [email protected].

1. Cine suntem

Operatorul datelor este Metaflow AI SRL (CUI 53399116, J2026004210001), cu sediul în Sat Tilișca nr. 535, jud. Sibiu, cod poștal 557280. Contact pentru orice întrebare despre date personale: [email protected]. Platforma se numește Mr Bac.

2. Ce prelucrăm, de ce și cât păstrăm

Tabelul de mai jos arată, pentru fiecare scop, temeiul legal, categoriile de date și durata de păstrare. Dacă nu furnizezi datele necesare unui scop (de exemplu emailul sau parola), nu putem crea contul.

Scop	Temei legal	Categorii de date	Cât păstrăm
Cont și autentificare	Executarea contractului (art. 6(1)(b) GDPR)	Nume, email, parolă (stocată doar sub formă criptată), clasa, profilul de examen, data nașterii, școala (opțional), poza de profil (opțional).	Cât există contul. La ștergerea contului, datele se șterg. Un cont nefolosit 24 de luni se șterge automat, după un email de avertizare trimis cu cel puțin 30 de zile înainte (nu se șterg conturile cu abonament activ).
Progres la învățare: lecții, quiz-uri, teste, serii, plan de studiu, clasamente	Executarea contractului; pentru recomandările adaptive, interesul nostru legitim de a-ți personaliza pregătirea (art. 6(1)(f))	Răspunsuri, scoruri, teme parcurse, zile active, puncte, activitate în aplicație.	Cât există contul. La ștergerea contului, datele se șterg.
Tutorele AI, evaluarea eseurilor și conținutul de studiu generat cu AI	Executarea contractului; pentru elevii sub 16 ani, acordul părintelui (art. 6(1)(a), art. 8)	Mesajele către tutore, textul eseurilor și al răspunsurilor, fotografiile cu lucrări trimise pentru transcriere. Către OpenAI trimitem doar textul sau imaginea necesară răspunsului și clasa sau materia, fără numele și fără adresa de email.	Conversațiile cu tutorele se șterg automat la 12 luni după ultimul mesaj; eseurile, cât există contul. La ștergerea contului, tot ce ține de AI se șterge. Furnizorul AI poate păstra temporar datele pentru prevenirea abuzurilor, conform contractului lui.
Corectarea de către profesori a lucrărilor încărcate	Executarea contractului; pentru elevii sub 16 ani, acordul părintelui	Fotografiile lucrărilor scrise de mână, materia, nota și observațiile corectorului. Corectorul vede un cod, nu numele contului.	Fotografiile lucrărilor se șterg automat la 12 luni după corectare (nota și observațiile corectorului rămân cât există contul). La ștergerea contului, fotografiile se șterg imediat.
Plăți și abonament	Executarea contractului; obligație legală pentru evidențele contabile (art. 6(1)(c))	Planul ales, sumele, data și starea plăților, ultimele cifre ale cardului, un identificator (token) pentru încasările recurente primit de la Netopia. Numărul complet al cardului nu ajunge niciodată la serverele noastre. Pentru factură: numele și emailul plătitorului.	Cât durează abonamentul. Documentele contabile se păstrează perioada cerută de legea contabilă, chiar dacă ștergi contul; la ștergere, încasările sunt anonimizate (fără nume).
Emailuri de serviciu: confirmare, parolă, plăți, consimțământ parental, avertizări despre trial	Executarea contractului; obligație legală, după caz	Adresa de email și conținutul mesajului.	Mesajele nu se păstrează în aplicație; jurnalul tehnic de trimitere se curăță periodic.
Emailuri de progres și îndemnuri: raportul săptămânal, simulări, corecturi nefolosite, inactivitate, numărătoarea până la Bac	Interesul nostru legitim de a-ți susține pregătirea (art. 6(1)(f)); mesajele nu conțin oferte comerciale. Te poți dezabona oricând (opt-out) din fiecare email sau din Setări, iar alegerea se respectă imediat	Adresa de email (a elevului sau a părintelui), progresul rezumat în mesaj.	Până la dezabonare sau ștergerea contului.
Notificări push, în browser și în aplicația mobilă	Consimțământul tău (permisiunea dată browserului sau telefonului), retras oricând din Setări, din browser sau din setările telefonului	În browser: un identificator tehnic al abonării (adresa de livrare și cheile de criptare) și mesajul trimis. În aplicația mobilă: identificatorul de notificare al telefonului (token Expo Push), platforma (iOS sau Android) și mesajul trimis; cel mult câteva telefoane pe cont.	Până la dezabonare sau la ieșirea din cont pe acel telefon; identificatorii care nu mai funcționează se elimină la prima trimitere eșuată.
Aplicația mobilă (iOS / Android)	Executarea contractului; pentru cameră, microfon și galerie, acțiunea ta explicită de fiecare dată	Aceleași date ca pe site. În plus: sesiunea de autentificare, păstrată criptat pe telefon; fotografiile sau înregistrările pe care le trimiți tu (cameră, galerie, microfon). Blocarea cu Face ID / amprentă rămâne în întregime pe telefon: nu primim date biometrice. Aplicația nu conține trackere de reclame.	Sesiunea: până la ieșirea din cont sau ștergerea aplicației. Fotografiile și înregistrările: ca la rândurile de mai sus (AI, corectare, proba orală).
Abonamente cumpărate prin App Store sau Google Play	Executarea contractului; obligație legală pentru evidențele contabile (art. 6(1)(c))	Produsul cumpărat, un identificator al tranzacției dat de magazin, data de expirare și starea abonamentului (activ, în perioadă de grație, încheiat), notificările magazinului despre reînnoiri, anulări și rambursări. Datele cardului și contul tău Apple / Google rămân la Apple sau Google, care sunt operatori independenți pentru plată.	Cât există contul; documentele contabile, perioada cerută de legea contabilă.
Comunitate: întrebări, răspunsuri, clase, duele, clasament	Executarea contractului; pentru elevii sub 16 ani, acordul părintelui	Mesajele publicate, username-ul ales de tine, poza de profil (dacă o adaugi), punctele. Alți elevi văd doar username-ul tău, nu numele. Poți alege să nu apari în clasamente.	Până ștergi conținutul sau contul. Rapoartele de moderare se păstrează cât există conținutul vizat.
Suport: cereri trimise din aplicație sau pe email	Interesul nostru legitim de a-ți răspunde; executarea contractului	Mesajul tău, răspunsul nostru, categoria cererii.	Cât există contul. La ștergerea contului, cererile se șterg.
Securitate, prevenirea abuzurilor și funcționarea tehnică	Interesul nostru legitim (art. 6(1)(f))	Adresa IP la limitarea numărului de cereri (sub formă de amprentă), jurnale tehnice ale joburilor și ale erorilor, jurnalul acțiunilor administrative.	Jurnalele tehnice se șterg automat după 30–180 de zile, în funcție de tip. Dovada ștergerii unui cont (amprenta criptografică a emailului și identificatorul intern) se păstrează cel mult 90 de zile.
Consimțământul părintelui pentru elevii sub 16 ani	Obligație legală (art. 8 GDPR, Legea nr. 190/2018) și dovada consimțământului (art. 7(1))	Emailul părintelui, versiunea textului confirmat, data și ora confirmării, adresa IP de la care s-a confirmat.	Cât există contul elevului.

3. Elevii sub 16 ani și acordul părintelui

Conform art. 8 GDPR și Legii nr. 190/2018, pentru elevii sub 16 ani prelucrarea bazată pe consimțământ cere acordul părintelui sau al tutorelui legal. La înscriere trimitem un email părintelui, cu un link semnat, valabil 14 zile. Părintele citește textul acordului și apasă butonul de confirmare. Păstrăm ca dovadă adresa lui de email, data și ora, adresa IP de la care a confirmat și versiunea textului.

Până la confirmare, contul rămâne limitat: lecțiile, testele din lecții și progresul sunt disponibile, iar tutorele AI, corectarea, eseurile, quiz-urile și flashcard-urile generate cu AI, comunitatea, poza de profil, versiunea audio și proba orală rămân închise. Acordul poate fi retras oricând, scriind la [email protected]. Retragerea nu afectează prelucrările făcute înainte de ea.

4. Inteligența artificială și prelucrarea automată

Tutorele și evaluarea eseurilor folosesc modele de la OpenAI. Trimitem textul (sau imaginea) necesar răspunsului, nu numele sau emailul tău. Nu introduce în conversații date pe care nu vrei să le trimitem unui furnizor de AI (de exemplu date de sănătate sau date ale altor persoane).
Nota estimată de AI este orientativă și nu este nota oficială a unui examen. Corectura făcută de un profesor este separată și este indicată ca atare.
Calculăm automat recomandări de studiu (teme slabe, planul zilei), un indicator de risc de pierdere a seriei și momentul unor mesaje de îndemn. Este o formă de profilare cu scop educațional. Nu produce efecte juridice și nu te exclude de la nicio funcție; poți opri mesajele de îndemn din Setări.
Conținutul generat cu AI este marcat ca atare în aplicație. Nu folosim datele tale pentru a antrena modele proprii. Conform condițiilor furnizorului pentru API, datele trimise nu sunt folosite implicit pentru antrenarea modelelor.

5. Cui transmitem datele

Nu vindem datele. Le primesc, strict în numele nostru și pe baza unor contracte de prelucrare, următorii furnizori:

Contabo — găzduirea serverului pe care rulează aplicația. Locație: servere situate în Uniunea Europeană.
Supabase — baza de date, autentificarea conturilor și stocarea fișierelor încărcate (poze de profil, lucrări, audio). Locație: datele sunt stocate în Uniunea Europeană, la Frankfurt; furnizorul este o societate din Statele Unite, cu acces de administrare din afara Uniunii.
OpenAI — tutorele AI, evaluarea eseurilor, generarea de conținut de studiu și transcrierea fotografiilor cu lucrări. Locație: Statele Unite ale Americii.
ElevenLabs — transformarea eseurilor în audiobook (text în voce). Locație: Statele Unite ale Americii.
Resend — trimiterea emailurilor (confirmări, notificări, consimțământ parental, rapoarte). Locație: Statele Unite ale Americii.
Netopia Payments — procesarea plăților cu cardul (datele cardului ajung la Netopia, nu la noi). Locație: România.
Upstash — limitarea numărului de cereri (protecție împotriva abuzului); primește doar amprente ale adresei IP sau ale contului, nu date în clar. Locație: servere situate în Uniunea Europeană sau în Statele Unite, după configurare.
Expo (Expo Application Services) — livrarea notificărilor push către aplicația mobilă (iOS și Android): primește identificatorul tehnic de notificare al telefonului și textul notificării, prin serviciile Apple (APNs) și Google (FCM). Locație: Statele Unite ale Americii.
Sentry — raportarea erorilor tehnice ale aplicației, fără date de identificare (nu trimitem adrese IP și nici cookie-uri). Locație: Statele Unite ale Americii sau Uniunea Europeană, după configurarea contului.
Serviciile de notificări push ale browserelor (de exemplu Google, Apple, Mozilla, Microsoft), dacă activezi notificările. Mesajele sunt criptate.
Profesorii-corectori, care primesc lucrările trimise la corectare, fără numele contului, și sunt obligați la confidențialitate.
Apple (App Store) și Google (Google Play), dacă cumperi abonamentul din magazinul telefonului: ei procesează plata ca operatori independenți, după propriile lor politici de confidențialitate. Noi primim doar datele despre abonament descrise în tabel.

Putem transmite date autorităților, dacă legea ne obligă (de exemplu pentru suspiciuni de infracțiuni).

6. Transferuri în afara Uniunii Europene

Unii furnizori (Supabase, OpenAI, ElevenLabs, Resend, Upstash, Expo (Expo Application Services), Sentry) pot prelucra date în afara Spațiului Economic European, în special în Statele Unite. În acest caz transferul se face pe baza unor garanții adecvate prevăzute de GDPR, de exemplu cadrul de confidențialitate UE–SUA (Data Privacy Framework), dacă furnizorul este certificat, sau clauze contractuale standard. Poți cere detalii despre garanțiile aplicate, scriind la [email protected].

7. Drepturile tale și cum le exerciți

acces la datele tale și o copie a lor;
rectificarea datelor incorecte;
ștergerea datelor („dreptul de a fi uitat");
restricționarea prelucrării și opoziția la prelucrările bazate pe interes legitim;
portabilitatea datelor;
retragerea consimțământului, oricând, fără să afecteze prelucrările anterioare;
plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), dataprotection.ro.

Descărcare și ștergere în aplicație. Din Setări poți descărca o copie a datelor tale (fișier JSON) și îți poți șterge contul. Descărcarea automată este disponibilă o dată la 72 de ore, ca să protejăm serviciul de cereri repetate (art. 12 GDPR). Dacă ai nevoie de o copie mai devreme, scrie-ne la [email protected] și îți răspundem în cel mult o lună, gratuit.

Pentru orice altă cerere, scrie-ne la [email protected]. Răspundem în cel mult 30 de zile. Putem cere o dovadă a identității, ca să nu dăm datele altcuiva.

8. Securitate și incidente

Datele sunt transmise criptat (HTTPS), parolele sunt stocate sub formă criptată, iar accesul la datele elevilor este restricționat prin reguli la nivel de bază de date și prin roluri. Dacă apare o încălcare a securității datelor, o notificăm autorității (ANSPDCP) în 72 de ore de când aflăm, iar dacă riscul pentru tine este ridicat, te anunțăm și pe tine.

9. Cookie-uri

Folosim doar cookie-uri esențiale. Detalii în Politica de cookies.

10. Modificări

Putem actualiza această politică. Versiunea în vigoare este mereu aici, cu data ultimei actualizări afișată sus. Dacă modificarea este importantă, te anunțăm în aplicație sau prin email.