Politica de confidențialitate

Sănătatea mintală e o categorie specială de date conform GDPR art. 9. La Seempathy, prelucrăm aceste date doar cu consimțământ explicit, le păstrăm criptate și îți oferim control complet asupra lor. Această politică descrie exact ce colectăm, de ce, cu cine partajăm și cum poți exercita drepturile tale.

1. Categorii de date colectate

**Date de identificare**: nume, dată naștere, fotografie, ID/pașaport (doar terapeuți, pentru verificare). **Date de contact**: email, telefon, adresă (opțional). **Date de cont**: parolă (hash), 2FA (criptat), preferințe locale, sesiuni active. **Date de sănătate (categorie specială)**: notele terapeutului, scoruri evaluări (PHQ-9, GAD-7), jurnal mood, mesaje chat cu terapeutul, transcripts sesiuni. **Date plată**: ID tranzacție MAIB, metadate parțiale card (NU numărul complet), facturi. **Date comportamentale**: vizite pagini, evenimente UTM, A/B test bucket — doar dacă ai acceptat „Analytics”. **Comunicări**: log emailuri trimise, preferințe notificări. **Indicatori criză**: log anonimizat de cuvinte-cheie criză detectate (cuvinte + timestamp, NU textul mesajului).

2. Temei legal pentru fiecare categorie

Pentru fiecare categorie de date, prelucrarea are un temei legal explicit: - **Identitate, contact, cont, plată** — executarea contractului (GDPR art. 6(1)(b), Legea 133 art. 5). - **Date sănătate** — consimțământ explicit (GDPR art. 9(2)(a)) + prelucrare pentru scopuri medicale (art. 9(2)(h)). - **Comportamentale** — consimțământ (toggleabil din banner cookies + setările contului). - **Comunicări marketing** — consimțământ (cu opt-out oricând). - **Indicatori criză** — interes vital (GDPR art. 6(1)(d)) + obligație etică profesională.

3. Cu cine partajăm datele

Date personale partajate strict cu: - **Terapeutul tău** (controlor comun cu Seempathy) — pentru livrarea terapiei. DPA semnat la onboarding. - **MAIB** — procesator plăți (datele cardului bancar nu trec prin serverele noastre). - **Hetzner Online GmbH** (DE/FI) — infrastructură. Standard Contractual Clauses. - **Resend** — emailuri tranzacționale (rutare UE). - **SMS.MD** — SMS notificări, doar Moldova. - **Supabase** (auto-găzduit pe serverele noastre Hetzner) — auth + storage + DB. NU vindem, nu închiriem și nu partajăm date cu terți marketing. Nu folosim Google Analytics sau similar — evenimentele comportamentale sunt în propria noastră bază de date.

4. Transfer internațional

Datele tale sunt stocate pe servere în Uniunea Europeană (Hetzner Helsinki, Finlanda). Nu transferăm date în afara SEE. Integrarea MAIB e domestică Moldova — tranzacțiile nu părăsesc niciodată țara sau UE. Dacă în viitor introducem un subprocesor non-UE, vei fi reanunțat și consimțământul va fi cerut din nou.

5. Cât timp păstrăm datele

Conform Codului Sănătății RM (Legea 411/1995) și legislației fiscale: - **Profil cont**: cât e activ + 30 zile soft delete după ștergere. - **Note sesiuni terapie + chat + transcripts + evaluări**: **5 ani** de la ultima sesiune. - **Date plată**: 10 ani (Codul fiscal RM art. 134). - **Consimțăminte marketing**: până la revocare + 2 ani (dovadă consimțământ GDPR art. 7). - **Date analitice / comportamentale**: 13 luni. - **Audit log + log indicatori criză**: 5 ani. Un cron job rulează zilnic pentru a respecta termenele de retenție.

6. Drepturile tale (GDPR art. 15-22, Legea 133 art. 12-15)

Ai dreptul să: - **Acces** — vezi ce date avem despre tine. Buton „Descarcă datele mele” în setări. - **Rectificare** — corectezi date incorecte. Direct din setări sau prin formularul de mai jos. - **Ștergere** („dreptul de a fi uitat”) — solicită ștergerea contului. Soft delete 30 zile, apoi hard delete prin cron. Notele sesiuni rămân anonimizate 5 ani per Codul Sănătății. - **Portabilitate** — primești datele în format JSON portabil. - **Opoziție** — la marketing, profilare, cookies analytics. - **Restricție** prelucrare — dezactivează temporar prelucrarea unor date. - **Retragere consimțământ** — oricând, fără să afecteze legalitatea prelucrării anterioare. **Termen răspuns**: 30 zile calendaristice (cu posibilitate extindere o dată cu 60 zile pentru cereri complexe, cu notificare). **Contact DPO**: dpo@seempathy.md. Dacă nu ești mulțumit de răspunsul nostru, poți depune plângere la **CNPDCP** (Centrul Național pentru Protecția Datelor cu Caracter Personal, www.datepersonale.md).

7. Securitate

**În tranzit**: TLS 1.3 pentru toate conexiunile. Sesiuni video: WebRTC cu DTLS-SRTP. **În repaus**: criptare disc (Hetzner) + criptare la nivel coloană (AES-256-GCM) pentru notele clinice, evaluări, mesaje chat, secrete 2FA, tokenuri OAuth calendar. **Acces**: audit log imutabil pentru orice acces admin la date pacient, păstrat 5 ani. 2FA recomandat insistent pentru admin/terapeut. **Rotație chei**: anuală + imediat la suspiciune de compromitere.

8. Cookies

Folosim 3 categorii (banner CMP la prima vizită): - **Necesare** (mereu active): autentificare, CSRF, locale. - **Analytics** (opțional): măsurare folosire pagini — doar baza noastră de date, nu Google Analytics. - **Marketing** (opțional): newsletter, drip campaigns. Butoanele „Acceptă tot” și „Refuză tot” au prominență egală — fără dark patterns. Alegerea ta e stocată 12 luni, apoi te întrebăm din nou.

9. Contact responsabil protecție date (DPO)

Pentru orice întrebare despre prelucrarea datelor tale: **Email**: dpo@seempathy.md **Adresa**: Seempathy SRL, mun. Chișinău, Republica Moldova Autoritatea de supraveghere: **CNPDCP** — www.datepersonale.md, str. Serghei Lazo 48, MD-2004 Chișinău.

Gestionare cookies

Resetează preferințele tale de cookies și deschide din nou banner-ul.