Politica de confidențialitate

Cine suntem și ce date prelucrăm

1. Cine suntem și ce acoperă această politică

Operatorul Corpus este [[DE COMPLETAT: DENUMIREA COMPLETĂ A SOCIETĂȚII]], cu sediul în [[DE COMPLETAT: ADRESA COMPLETĂ]], înregistrată la Oficiul Registrului Comerțului sub nr. [[DE COMPLETAT: NR. REGISTRUL COMERȚULUI]], CUI [[DE COMPLETAT: CUI]] („Corpus”, „Societatea”, „noi”).

Această Politică explică modul în care prelucrăm date cu caracter personal atunci când:

• vizitați site-ul [[DE COMPLETAT: DOMENIU]];
• creați sau utilizați un cont Corpus;
• utilizați modulele Corpus (Lemma, Memorie și dosare, Analiză și redactare, Monitorizare) ori alte funcții;
• cumpărați sau administrați un abonament;
• lucrați într-un spațiu de lucru al unei organizații;
• ne contactați pentru suport, reclamații, securitate ori alte solicitări;
• primiți comunicări operaționale sau de marketing;
• participați la un program de recomandare ori la o promoție.

2. Rolurile noastre în materia protecției datelor

Rolul Corpus depinde de context.

2.1 Corpus ca operator

Acționăm, de regulă, ca operator pentru datele necesare administrării propriei relații cu utilizatorii, precum:

• înregistrarea și administrarea Contului;
• autentificarea, securitatea și prevenirea fraudei;
• abonamente, plăți, facturare și relația contractuală;
• comunicări operaționale și preferințe de marketing;
• suport și reclamații;
• analiza utilizării site-ului și Serviciului, în limitele configurate;
• respectarea obligațiilor legale și apărarea drepturilor noastre.

2.2 Corpus ca persoană împuternicită

Atunci când o firmă de avocatură, o companie sau altă organizație introduce în dosarele Corpus documente și date ale clienților, angajaților, contrapărților ori altor persoane și stabilește scopurile prelucrării, organizația este, de regulă, operator, iar Corpus acționează ca persoană împuternicită sau subîmputernicită.

În aceste situații:

• prelucrăm Conținutul clientului numai pe baza instrucțiunilor documentate;
• se aplică Acordul privind prelucrarea datelor („DPA”);
• persoanele vizate trebuie, în principal, să își exercite drepturile prin organizația care controlează spațiul de lucru;
• putem redirecționa o solicitare către clientul-organizație, dacă acesta este operatorul relevant.

2.3 Conturi administrate de organizații

Dacă utilizați un cont furnizat sau administrat de o organizație, administratorii autorizați ai spațiului de lucru pot:

• vedea că sunteți membru al organizației;
• administra locul licențiat, rolurile și permisiunile;
• accesa, partaja, exporta ori șterge conținutul organizației, în funcție de drepturi;
• elimina accesul dumneavoastră;
• primi informații administrative despre utilizarea spațiului de lucru.

Conținutul dintr-un spațiu de lucru organizațional aparține și este controlat potrivit relației dintre utilizator și organizație. Ștergerea contului individual nu determină automat ștergerea dosarelor deținute de organizație.

3. Datele noastre de contact

Operator: [[DE COMPLETAT: DENUMIREA SOCIETĂȚII]] Sediu: [[DE COMPLETAT: ADRESA]] E-mail confidențialitate: [[DE COMPLETAT: EMAIL PRIVACY]] E-mail securitate: [[DE COMPLETAT: EMAIL SECURITATE]] Responsabil cu protecția datelor: [[DE COMPLETAT: DPO SAU „NU ESTE DESEMNAT; CERERILE SE TRANSMIT LA...”]]

4. Ce categorii de date prelucrăm

Nu solicităm în mod intenționat date ale persoanelor sub 18 ani pentru crearea unui Cont.

5. De unde obținem datele

Putem obține date:

• direct de la dumneavoastră;
• de la organizația care vă invită ori administrează Contul;
• din Conținutul utilizatorului încărcat de dumneavoastră sau de colegi;
• de la WorkOS, Stripe și alți furnizori tehnici;
• din integrările pe care decideți să le conectați;
• automat, prin site, aplicații, loguri, cookie-uri și tehnologii similare;
• din surse publice, atunci când o funcție Corpus este concepută să utilizeze astfel de surse.

6. Scopurile și temeiurile prelucrării

Atunci când folosim interesul legitim, evaluăm necesitatea, impactul asupra persoanei și garanțiile disponibile. Puteți solicita informații suplimentare privind această evaluare.

7. Conținut juridic, date sensibile și obligațiile clientului

Corpus este conceput pentru activitate juridică și poate prelucra documente care conțin date foarte sensibile, inclusiv categorii speciale de date și date privind condamnări sau infracțiuni.

Dacă încărcați astfel de date, confirmați că:

• aveți un temei legal și autoritatea de a le prelucra;
• respectați obligațiile de informare, secret profesional, confidențialitate și minimizare;
• configurați accesul numai pentru persoane autorizate;
• nu utilizați Corpus pentru a eluda restricțiile legale aplicabile datelor.

În raporturile B2B, clientul stabilește temeiul juridic și instrucțiunile pentru Conținutul clientului. Corpus nu transformă, prin simpla găzduire, o afirmație ori o informație dintr-un document într-un fapt verificat.

Inteligență artificială, furnizori și transferuri

8. Cum folosim furnizori și modele de inteligență artificială

Pentru anumite funcții, Corpus poate trimite către un model AI:

• textul întrebării;
• instrucțiuni tehnice;
• fragmente relevante din documente;
• documente întregi, numai când funcția solicitată necesită acest lucru și interfața indică ori permite această prelucrare;
• metadate strict necesare executării cererii.

Aplicăm, în măsura posibilului, selecție și minimizare, astfel încât furnizorul să primească doar conținutul necesar.

Corpus nu utilizează Conținutul privat al utilizatorilor pentru antrenarea ori îmbunătățirea modelelor proprii. Angajăm furnizori AI numai în baza unor termeni, setări și/sau acorduri contractuale care nu permit folosirea conținutului transmis de Corpus pentru antrenarea ori îmbunătățirea modelelor furnizorului.

Modelele pot fi:

• operate pe infrastructură controlată de Corpus;
• furnizate prin API de o terță parte;
• dezvoltate de o entitate și găzduite de o altă entitate în centre de date din SEE sau SUA.

Lista entităților care primesc efectiv date, scopul și locația sunt menținute în registrul de subprocesatori. Originea modelului nu este, singură, o indicație privind transferul datelor.

9. Cui divulgăm datele

Putem divulga date următoarelor categorii de destinatari, numai în măsura necesară:

9.1 Furnizori tehnici

• WorkOS, pentru autentificare, identitate și administrarea organizațiilor;
• Stripe, pentru plăți, facturare și prevenirea fraudei;
• furnizori de hosting, baze de date, stocare și rețea;
• furnizori de modele AI și infrastructură de inferență;
• furnizori de e-mail tranzacțional;
• furnizori de analytics [[DE COMPLETAT: FURNIZOR NEALES]];
• furnizori de monitorizare a erorilor și performanței [[DE COMPLETAT]];
• furnizori de suport și ticketing [[DE COMPLETAT]].

9.2 Organizația și administratorii săi

Dacă utilizați un spațiu de lucru organizațional, datele și conținutul pot fi accesibile organizației, administratorilor și colegilor autorizați, conform permisiunilor.

9.3 Consultanți și autorități

Putem divulga date avocaților, auditorilor, contabililor, asigurătorilor ori autorităților atunci când este necesar pentru conformitate, apărarea drepturilor, securitate sau îndeplinirea unei obligații legale.

9.4 Operațiuni corporative

În cazul unei fuziuni, achiziții, reorganizări, finanțări ori vânzări de active, datele pot fi comunicate sub obligații de confidențialitate și cu respectarea legislației.

Nu vindem date cu caracter personal și nu vindem Conținutul utilizatorului.

10. Stripe și datele de plată

Plățile sunt procesate prin Stripe. Integrarea trebuie configurată astfel încât datele complete ale cardului să fie colectate direct de Stripe, iar Corpus să primească doar datele necesare administrării tranzacției, precum identificatori, status, marcă și ultimele cifre.

Stripe poate acționa, în funcție de activitate, ca persoană împuternicită și/sau operator independent. Rolurile, entitatea contractuală și transferurile trebuie confirmate în registrul de furnizori înainte de lansare.

11. Transferuri internaționale

Unii destinatari pot fi situați în afara Spațiului Economic European.

Atunci când transferăm date într-un stat fără decizie de adecvare, folosim mecanisme recunoscute de legislația aplicabilă, precum:

• clauzele contractuale standard ale Comisiei Europene;
• măsuri tehnice și organizaționale suplimentare, după caz;
• alte derogări ori garanții permise de lege.

Pentru furnizori din SUA, putem utiliza o decizie de adecvare aplicabilă furnizorului certificat și/sau clauze contractuale standard, după situație.

Puteți solicita informații privind garanțiile relevante la [[DE COMPLETAT: EMAIL PRIVACY]].

Păstrare, ștergere și securitate

12. Cât timp păstrăm datele

Păstrăm datele numai atât cât este necesar scopului și obligațiilor aplicabile.

La ștergerea unui Cont, putem păstra date limitate dacă sunt necesare pentru obligații legale, prevenirea fraudei, litigii, securitate ori demonstrarea conformității.

Datele anonimizate în mod ireversibil pot fi păstrate fără limitarea aplicabilă datelor personale.

13. Ștergerea și exportul datelor

Utilizatorii pot solicita exportul și ștergerea datelor prin funcțiile disponibile în Cont sau la [[DE COMPLETAT: EMAIL PRIVACY/SUPORT]].

Pentru spațiile de lucru organizaționale:

• cererea unui membru poate fi supusă drepturilor și instrucțiunilor organizației;
• eliminarea membrului nu șterge automat conținutul organizației;
• exportul sau ștergerea întregului spațiu de lucru este gestionat de administrator ori de reprezentantul autorizat al organizației.

Înainte de închiderea unui spațiu de lucru, clientul trebuie să exporte datele pe care dorește să le păstreze.

14. Accesul personalului Corpus

Personalul Corpus nu accesează în mod obișnuit Conținutul utilizatorului pentru operarea curentă.

Accesul poate avea loc, limitat și autorizat, pentru:

• suport solicitat de utilizator;
• investigarea unei erori ori a unui incident;
• securitate, prevenirea fraudei și abuzului;
• respectarea unei obligații legale.

Aplicăm, după caz:

• control pe roluri și principiul necesității de a cunoaște;
• autentificare puternică;
• jurnalizarea accesului privilegiat;
• confidențialitate contractuală;
• proceduri de aprobare și revizuire;
• limitarea duratei accesului.

15. Măsuri de securitate

Aplicăm măsuri tehnice și organizaționale proporționale cu riscul, care pot include:

• criptarea comunicațiilor;
• criptarea datelor stocate, unde este adecvat;
• separarea logică a organizațiilor și a spațiilor de lucru;
• controlul accesului și autentificare multifactor;
• copii de siguranță și recuperare;
• monitorizare, logare și răspuns la incidente;
• gestionarea vulnerabilităților și actualizărilor;
• evaluarea furnizorilor și acorduri privind protecția datelor;
• dezvoltare software securizată și revizuirea schimbărilor;
• minimizarea datelor trimise furnizorilor AI.

Niciun sistem nu este complet lipsit de risc. Utilizatorii trebuie să își protejeze credențialele și să configureze corect accesul la dosare.

Comunicări și drepturile tale

16. Comunicări operaționale și de marketing

16.1 Comunicări operaționale

Putem trimite fără opțiunea de a le dezactiva pe durata relației contractuale mesaje strict necesare privind:

• autentificarea și securitatea;
• perioada de probă, debitarea și facturarea;
• indisponibilități și mentenanță;
• modificări contractuale, legale ori de confidențialitate;
• actualizări majore necesare utilizării ori securității Serviciului;
• răspunsuri la solicitări.

16.2 Comunicări promoționale

Ofertele, campaniile de recomandare și mesajele promoționale sunt trimise:

• pe baza consimțământului; sau
• în situațiile limitate în care legea permite promovarea unor servicii similare către clienți existenți, cu posibilitatea clară de opoziție la colectarea adresei și în fiecare mesaj.

Vă puteți dezabona gratuit prin linkul din mesaj sau din preferințele Contului. Dezabonarea de la marketing nu oprește mesajele operaționale.

16.3 Invitații și recomandări

Recomandăm folosirea unui link de invitație pe care utilizatorul îl distribuie direct. Dacă Corpus transmite o invitație la o adresă introdusă de utilizator, mecanismul trebuie să limiteze mesajele, să identifice expeditorul invitației și să ofere o modalitate de opoziție.

Utilizatorul nu trebuie să furnizeze adresa unei persoane pentru campanii repetate fără un temei legal.

17. Analytics și monitorizarea erorilor

Vom utiliza un serviciu de analytics, însă furnizorul nu este încă selectat. Înainte de activare vom completa:

• numele și entitatea furnizorului;
• evenimentele colectate;
• utilizarea cookie-urilor ori a stocării locale;
• locația datelor;
• perioada de retenție;
• posibilitatea de opt-out;
• rolul furnizorului și transferurile.

Principiul de configurare este că analytics-ul și monitorizarea nu trebuie să colecteze:

• textul întrebărilor juridice;
• conținutul documentelor;
• răspunsurile AI ori EvidencePack-urile;
• denumirile sensibile ale dosarelor;
• identificatori de clienți sau părți, dacă nu sunt strict necesari și protejați.

Analytics neesențial bazat pe cookie-uri ori tehnologii similare nu va fi activat înainte de consimțământ, atunci când consimțământul este cerut de lege.

18. Drepturile persoanelor vizate

În condițiile legii, aveți dreptul:

• la informare și acces;
• la rectificarea datelor inexacte;
• la ștergere;
• la restricționarea prelucrării;
• la portabilitatea datelor;
• la opoziție față de prelucrările bazate pe interes legitim și față de marketing direct;
• să retrageți consimțământul fără a afecta prelucrările anterioare;
• să nu faceți obiectul unei decizii bazate exclusiv pe prelucrare automată care produce efecte juridice sau similare semnificative, în condițiile legii;
• să depuneți o plângere la o autoritate de supraveghere.

Drepturile nu sunt absolute. Putem refuza ori limita o cerere dacă legea permite, de exemplu pentru protejarea drepturilor altora, păstrarea probelor sau respectarea obligațiilor legale.

19. Cum vă exercitați drepturile

Trimiteți cererea la [[DE COMPLETAT: EMAIL PRIVACY]].

Putem solicita informații rezonabile pentru verificarea identității și a autorității solicitantului. Nu vom cere mai multe date decât sunt necesare.

Dacă datele sunt controlate de o organizație-client, putem transmite cererea organizației și o putem asista potrivit DPA.

Vom răspunde în termenul legal și vă vom informa dacă este necesară o prelungire permisă de lege.

20. Decizii automate și profilare

Corpus utilizează automatizări pentru furnizarea funcțiilor, securitate, detectarea abuzului și generarea de rezultate AI.

Societatea nu intenționează să ia, în calitate de operator, decizii exclusiv automate care produc față de utilizator efecte juridice sau similare semnificative, fără garanțiile cerute de lege.

Rezultatele AI nu reprezintă decizii ale Societății privind drepturile unei persoane. Utilizatorii nu trebuie să folosească Corpus ca unic factor pentru decizii cu impact semnificativ asupra unor persoane fără analiză și control uman adecvat.

21. Persoane sub 18 ani

Corpus este destinat exclusiv persoanelor de cel puțin 18 ani. Nu creăm în mod intenționat Conturi pentru minori.

Documentele juridice încărcate pot conține date despre minori. Clientul trebuie să se asigure că prelucrarea este legală și că accesul este limitat corespunzător.

Alte informații

22. Cookie-uri și tehnologii similare

Detaliile privind cookie-urile, stocarea locală, SDK-urile și gestionarea consimțământului sunt prevăzute în Politica privind cookie-urile.

Puteți modifica opțiunile neesențiale din [[DE COMPLETAT: LINK/NUME CENTRU PREFERINȚE COOKIE]].

23. Modificarea acestei Politici

Putem actualiza Politica pentru a reflecta schimbări legislative, tehnice sau operaționale.

Dacă modificarea este materială, vom furniza o notificare adecvată înainte de aplicare. Versiunea curentă și data actualizării vor fi publicate pe site.

24. Plângeri

Aveți dreptul de a depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal sau la autoritatea competentă din statul în care locuiți, lucrați ori considerați că a avut loc încălcarea.

Vă încurajăm să ne contactați mai întâi la [[DE COMPLETAT: EMAIL PRIVACY]] pentru a încerca soluționarea directă.

25. Registru preliminar de furnizori și subprocesatori

Acest tabel nu poate fi publicat ca listă finală până la confirmarea contractelor, entităților și regiunilor.

26. Contact final

Pentru întrebări privind această Politică sau prelucrarea datelor:

[[DE COMPLETAT: DENUMIREA SOCIETĂȚII]] Adresă: [[DE COMPLETAT: ADRESA]] E-mail: [[DE COMPLETAT: EMAIL PRIVACY]] DPO: [[DE COMPLETAT, DACĂ ESTE CAZUL]]