← infiniflow

Data protection (GDPR)

infiniflow · INFINI FLOW S.R.L. · Version: draft 1 · 30 October 2026

This page explains how INFINI FLOW S.R.L. (“infiniflow”, “we”) applies the EU General Data Protection Regulation (Regulation (EU) 2016/679, the “GDPR”) to what it is building: a platform that turns blood tests, body composition and watch data into training, nutrition and supplement guidance for endurance athletes. It goes together with our privacy policy, which lists the data item by item. This page adds the legal footing for each use, who receives the data, what protects it, what the law asks of us and how to use your rights. It says what we do today and what we will have done before the app is opened to other people. It does not describe anything that is not happening.

1. In short

  • Who is responsible. INFINI FLOW S.R.L., a company established in Romania, decides why and how the data described here is used. The GDPR therefore applies to everything we do with personal data.
  • What is sensitive. Your blood-test results, body composition, weight, training and recovery data and what you eat are data concerning health, a special category of personal data (Article 9 GDPR). We use them only with your explicit consent, which you can withdraw at any time (section 4).
  • What we do not do. We do not sell personal data, we do not use it for advertising, and we make no decision about you that has legal or similarly significant effects. We add no analytics tools and no advertising or tracking cookies of our own. Our hosting provider’s script is the exception (section 12).
  • Artificial intelligence. Parts of the product use AI models run by other companies. They read documents, draft plans and answer questions. What they produce is information, not medical advice, and no AI makes a decision about you with legal or similarly significant effects (section 6).
  • Your rights. You can ask to see, correct, delete, export or restrict your data, object to its use and withdraw your consent. Write to admin@infiniflow.me; we reply within one month (section 9).
  • Where we are. This page covers the website, the MVP and the app. The app is in closed testing and handles only its founders’ own data. Before it handles anyone else’s, we will complete the steps in section 11.

2. Who we are and the law that applies

INFINI FLOW S.R.L. is the controller (Article 4(7) GDPR): we decide why and how the data described here is used. A provider that handles data only on our instructions is our processor (Article 28). A service that you connect yourself, such as a watch brand’s account, keeps its own data under its own policy and is a separate controller (section 5).

Controller
INFINI FLOW S.R.L.
Contact for data protection
admin@infiniflow.me
Data protection officer
None appointed (section 11)
Supervisory authority
ANSPDCP, the Romanian authority (section 10)

Our establishment is in Romania. The GDPR therefore applies to all the personal data we process, wherever the people concerned live (Article 3(1)), and the Romanian authority is our supervisory authority. The rules we follow are:

  • The GDPR, Regulation (EU) 2016/679.
  • Law no. 190/2018, which puts the GDPR into effect in Romania. Its Article 3 allows health data to be processed for profiling or automated decisions only with the person’s explicit consent or on an express legal provision with safeguards. We rely on explicit consent.
  • Law no. 506/2004, which implements the ePrivacy Directive (2002/58/EC) in Romania: cookies and similar technologies on your device, and marketing messages (section 12).
  • The AI Act, Regulation (EU) 2024/1689. Since 2 August 2026 its Article 50 requires that people are told when they are dealing with an AI system (section 6).

3. What we process in our product, and on what basis

Each row covers one part of the product. The legal basis comes from Article 6 GDPR and, for health data, Article 9. The privacy policy lists the fields one by one.

Part of the productDataWhyLegal basis
Website (presentation page)Your IP address, the time, the page requested and details of your browser and device, in our host’s server logs.To show you the page and keep it secure and working.Legitimate interest (Article 6(1)(f)).
Writing to usYour email address, your name if it shows, your message and attachments.To answer you and keep a record of the conversation.Legitimate interest, and steps at your request (Article 6(1)(f) and (b)).
Your account (MVP)Email address, password (stored only as a one-way hash), name, country, phone (optional), account type, subscription type, language, and a photo if you upload one.To create your account, sign you in and run the service.Performing our contract with you, or steps at your request before entering into it (Article 6(1)(b)).
Your body data (MVP)Sex, date of birth, height, weight and activity level.To work out your plan.Explicit consent (Articles 6(1)(a) and 9(2)(a)).
Blood-test reports (MVP)The report you upload is read by an AI model and we do not keep the file. We keep the values read from it, its file name and, when the AI reader fails and the report is read in your browser instead, the text read from it.To read your report, chart your markers and build your plan.Explicit consent (Articles 6(1)(a) and 9(2)(a)).
Meals and nutrition (MVP)Photos of meals are read by an AI model and we do not keep the pictures. We keep your calorie records, your nutrition plans, the reports made from them and a record of each plan request (sex, calorie target, marker status and the plan).To analyse meals, build a plan and track calories.Explicit consent (Articles 6(1)(a) and 9(2)(a)).
Watch, body-composition and training data (app)Heart rate, power, speed, sleep, heart-rate variability and similar data from files you import or, once you connect it yourself, from a watch brand’s service; weight and body composition from a scan report.To work out training load, energy needs and plans.Explicit consent (Articles 6(1)(a) and 9(2)(a)).
AI coach (app)Your plan and thresholds, a summary of recent training and recovery, planned sessions compared with completed ones, your latest fitness estimates (VO2max), reduced copies of the nutrition and supplement plans (which can reveal your body weight), the earlier turns of the conversation and the questions you type.To answer your questions about your plan.Explicit consent, asked separately (Articles 6(1)(a) and 9(2)(a)).
Support and evaluation (MVP)What our administrators can see: accounts, profile details and usage statistics, including the country of each account.To support users and to run the evaluation of the MVP.Legitimate interest (Article 6(1)(f)); for health data, your explicit consent (Article 9(2)(a)).
Security and legal dutiesAccess records, and any data the law requires us to keep or to give to an authority.To keep the service secure and to obey the law.Legitimate interest; legal obligation (Article 6(1)(f) and (c)).

Rows marked “app” describe what the app does; today it handles only its founders’ own data. The script that our hosting provider inserts into every page is not part of this table: it is the host’s own (section 5, section 12). You are not obliged to give us any of this data. Without the account data we cannot create your account, and without health data the features that need it (reading a report, a nutrition plan, the calorie tracker) do not work.

4. Health data and your consent

Data concerning health is a special category (Article 9 GDPR) and is protected more strictly. In our product it means your blood-test results, body composition, weight, training and recovery data, what you eat, and the plans we derive from them. We use it only on your explicit consent (Article 9(2)(a)). The plans we build from it are a form of profiling (an automatic evaluation of personal aspects, here your health), for which Romanian Law no. 190/2018, Article 3, also asks for explicit consent.

How consent works

  • Separate and unticked. When you register yourself in the MVP, you give consent at the end of registration, by ticking a box that is not ticked for you, next to a link to the privacy policy. The box covers the processing of the health data you upload or enter, including by AI services. In the app, the AI coach stays off until you switch it on, and the switch names the AI provider that will receive the data.
  • Recorded. For registrations you complete yourself since 27 October 2026, the MVP saves in your sign-in account the time of your consent and the version of the privacy policy you saw.
  • Accounts we create for you. An account that we create at your request does not pass through the registration screen with the consent box. Before you upload health data in it, we ask you for the same explicit consent in writing and keep your reply.
  • Withdrawable. You can withdraw it at any time by writing to admin@infiniflow.me. We then stop using the data concerned and delete it. Withdrawing does not affect the lawfulness of processing done before. Today you withdraw by email. We will add a way to do it inside the MVP and the app, as easy as giving consent; the app will have it before it is opened to other people.
  • Needed for the service. The MVP and the app are built on health data, so when you register yourself the MVP asks for this consent, and you cannot finish registering without it.
  • Only for the service. We use your health data to provide the product to you. We do not sell it and we do not use it for advertising.
  • Sample documents. The MVP is a prototype: if you can, use sample documents rather than your real medical records, and on a real report cover your personal numeric code (CNP) and your address before you upload it. Never upload documents about other people. Please do not send medical documents by email.

5. Who receives your data

We share personal data only with the providers below, which we use to run the product, and with an authority when the law requires it. We do not sell it. If you ask, we tell you which specific recipients received your data. The last column is about transfers outside the European Economic Area (EEA).

ProviderWhat it doesWhat it receivesOutside the EEA
SupabaseDatabase, sign-in and server functions of the MVP (our processor).What is in your MVP account: profile and profile photo, blood-test values and file names, meal records, nutrition plans and plan-request records. Uploaded reports and meal photos pass through its functions to the AI provider and are not stored. It sends the sign-up confirmation and password-reset emails.The contracting entity is Supabase Pte. Ltd. (Singapore); data can be processed wherever Supabase or its sub-processors maintain facilities. Its data processing terms include the EU standard contractual clauses.
AnthropicThe Claude AI models: they read your lab report and meal photos, draft nutrition plans and, in the app, answer coach questions (our processor).The whole document you upload (a lab report may print your name and other identifiers, such as your date of birth or personal numeric code); meal photos; for a nutrition plan, your sex, calorie target and marker names with their status, without your name or contact details; for the app’s coach, your plan and thresholds, a summary of recent training and recovery data (not the raw files), planned sessions compared with completed ones, your latest fitness estimates, reduced copies of the nutrition and supplement plans, the earlier turns of the conversation and your question.The contracting entity is Anthropic Ireland, Limited; data can be processed outside the EEA, including in the United States. Its data processing addendum includes the EU standard contractual clauses. Under its published terms it deletes content sent through its API within 30 days (longer only in the cases it lists, such as a legal duty or enforcing its usage policy), and it may not train its models on our content.
Image servicesOpenAI draws the dishes of a nutrition plan. Google’s image model, reached through an AI gateway, draws generic food pictures when an administrator asks.The dish name, description and ingredients, or a food name, only. No personal data.US companies. We send no personal data; in one fallback case your browser loads the finished picture from the provider’s own web address, which shows the provider your IP address, and no transfer safeguard covers that connection.
GoDaddyHosting of the website and of the MVP’s web files (our processor). It also inserts a script of its own into every page it serves, which sets cookies (section 12).The technical data of every visit (IP address, time, page, browser) in its server logs. Through its script: visitor and session identifiers, the page address and referrer, browser and device details and page-loading times.A US company, certified under the EU–US Data Privacy Framework.
GoogleOur email (Google Workspace, our processor) and the typefaces of the presentation page (Google Fonts): your browser contacts Google when you open that page.The emails you send us; for the fonts, your IP address and browser details.A US company, certified under the EU–US Data Privacy Framework; it also offers standard contractual clauses.
CloudflareDelivers the graphics library of the presentation page (cdnjs): your browser contacts it when you open that page.Your IP address and browser details.A US company, certified under the EU–US Data Privacy Framework.
UnsplashSample dish photos shown in the MVP, loaded by your browser.Your IP address and browser details.A US company. Your browser connects to it directly, and no transfer safeguard covers that connection.
Watch brands, such as GarminIndependent controllers: they hold your training data under their own policies.Nothing from us. We receive data from them only after you connect your own account yourself, and only what you allow. No such service is connected for any user today.Their own policies.

GoDaddy, Google and Cloudflare are certified under the EU–US Data Privacy Framework; an adequacy decision of the European Commission finds the protection in certified US companies adequate. Their contracts also contain the Commission’s standard contractual clauses (a ready-made contract that binds the provider to EU data protection rules) as a fallback. For Supabase and Anthropic we rely on the standard contractual clauses in their data processing terms. Where your browser connects directly to a provider that has none of these, as with the sample photos of Unsplash, no safeguard covers your IP address. You can ask us for a copy of the safeguard that applies (section 9).

6. AI and automated decisions

  • What the AI does. In the MVP, a model reads your lab report and your meal photos and drafts a nutrition plan from your sex, calorie target and the status of your markers. In the app, training load, paces, calories and supplement amounts come from fixed, tested rules; the AI coach only explains the plan and proposes changes, the app checks every proposal against its safety rules, and nothing is applied by itself.
  • No automated decisions with legal effect. We make no decision about you based solely on automated processing that has legal or similarly significant effects (Article 22 GDPR). Plans and suggestions are for you to use or ignore. You can ask a person at admin@infiniflow.me to explain or review any result.
  • You are told when you deal with an AI. The AI Act (Article 50) requires this. The app’s coach screen already says that the coach is an AI; in the MVP, the report-upload and meal-photo screens say so, and we will add it to the nutrition-plan screen.
  • No training on your data. infiniflow does not train AI models on your personal data. Under Anthropic’s commercial terms, Anthropic may not train its models on the content we send it.
  • Your consent comes first. Your health data goes to an AI model only on the basis of your explicit consent, which you can withdraw at any time (section 4).

7. How long we keep data and how we delete it

DataHow long
Website logsAs long as our hosting provider keeps them, under its own schedule.
EmailsAs long as the matter needs and the law requires, then deleted.
MVP account and dataUntil you ask us to delete them or we close the MVP. The MVP does not delete anything automatically yet. If we close it, we delete or anonymise the data.
Consent recordWith your account, and deleted with it.
Copies at the AI providerAnthropic deletes content sent through its API within 30 days, except in the cases it lists. The image services receive no personal data.
Backend logs and backupsThe function logs of the MVP’s backend provider can show account details when an administrator creates or deletes an account, and the provider may make routine backups. Both are kept by that provider, on its own schedule; deleted data leaves them when they expire.
The appThe founders’ own data stays on their computers until they delete it. Records of sign-in attempts (keyed hashes of the email and address) are purged after 24 hours.

Deleting your data. Write to admin@infiniflow.me. We act within one month. We delete your account, your profile and the data linked to it. Blood tests, plan-request records and profile-photo files are not removed automatically; we remove them by hand and tell you when it is done. Where the law obliges us to keep something, we tell you what and for how long.

8. How we protect your data

  • Data protection by design and by default (Article 25). We collect what a feature needs and no more. Where we can, we send AI providers less than the whole: a nutrition plan, for example, is requested without your name or contact details, and the app’s coach does not receive the items derived from your blood tests. A lab report is sent whole, so that the model can read it. Today the app keeps its data on the founders’ own computers.
  • Security of processing (Article 32). The website and the MVP are served over HTTPS, and browsers are told to insist on it (for now it lasts five minutes after each visit; we will lengthen this). Passwords are never stored in readable form. The MVP uses a managed database service with sign-in and access rules. We add no analytics tools or tracking scripts of our own, and our providers publish processing terms (section 11).
  • Known limits. The MVP is a prototype and has not yet had an independent security review. Its access rules are still to be reviewed and may let other signed-in users see parts of your profile, so please use sample documents rather than your real medical records. A profile photo, if you upload one, can be opened by anyone who has its web address. We plan to review the MVP’s security before it is used more widely. Tell us at admin@infiniflow.me if you find a weakness.
  • Personal data breaches (Articles 33 and 34). Unless a breach is unlikely to put people at risk, we notify the Romanian authority without undue delay and, where feasible, within 72 hours of becoming aware of it. If the risk is high, we also tell the people concerned without undue delay: what happened, what it may mean for them and what we are doing about it.

9. Your rights and how to use them

Under the GDPR you have the rights below. They apply to every person whose data we process, in the EU or outside it.

RightWhat it meansIn our product
Access (Article 15)To know whether we process your data and to get a copy, with the purposes, the kinds of data, the recipients (the specific ones, if you ask), how long we keep it and where it came from.Ask by email. In the MVP you can already see your profile and your tests, and download your PDF report.
Correction (Article 16)To have inaccurate data corrected and incomplete data completed.Edit your profile in the MVP (the email address and the activity level cannot be changed there; ask us).
Erasure (Article 17)To have your data deleted, for example when you withdraw consent or the data is no longer needed. It does not apply where the law makes us keep it.In the MVP you can delete a blood test, a meal entry or a saved plan yourself; ask us to delete the rest or the whole account.
Restriction (Article 18)To have us stop using your data, apart from storing it, for example while we check a dispute about its accuracy or an objection.Ask by email.
Portability (Article 20)To receive the data you gave us, including what your use of the service recorded, in a structured, commonly used, machine-readable format, and to have it sent to another service where that is technically possible. It covers data we process on your consent or for your contract.Ask by email; we send a file (for example CSV or JSON).
Objection (Article 21)To object, on grounds relating to your situation, to processing based on our legitimate interest. We stop unless we show compelling legitimate grounds that outweigh your interests, or we need the data for legal claims.It covers the website logs and the handling of your emails. Ask by email.
Withdrawing consent (Article 7(3))To withdraw consent at any time, without affecting the lawfulness of processing done before.Ask by email today. A way to do it inside the MVP and the app is coming (section 4).
No solely automated decisions (Article 22)Not to be subject to a decision based solely on automated processing with legal or similarly significant effects.We make no such decisions (section 6).

How to make a request

  • Write to admin@infiniflow.me from the address of your account, or tell us which account is yours, and say which right you want to use. You do not need a reason or special words.
  • We may ask you to confirm who you are, but only with what is needed (Article 12(6)). We will not ask you for more health data to do so.
  • We reply within one month. If your request is complex, or we have many, we may extend this by up to two more months; we tell you within the first month and say why.
  • It is free. If a request is clearly unfounded or excessive, we may charge a reasonable fee or refuse it, and we tell you why (Article 12(4) and (5)).
  • When we correct, delete or restrict data, we tell each recipient we gave it to, unless that is impossible or takes disproportionate effort (Article 19).
  • If we say no, we tell you why and that you may complain to the authority and go to court (section 10).

10. Complaints and the supervisory authority

If you think we have handled your data unlawfully, please write to us first so that we can put it right. You may also complain, free of charge, to the supervisory authority (Article 77 GDPR) and go to court (Articles 78 and 79); if you have suffered damage you may claim compensation (Article 82).

Authority
Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), the Romanian data protection authority
Website
www.dataprotection.ro (the complaint form is on the site)
Email
anspdcp@dataprotection.ro
Post
B-dul G-ral. Gheorghe Magheru nr. 28-30, sector 1, București, cod poștal 010336

You can also complain to the authority of the country where you live or work, or where the problem happened. The authorities are listed on the website of the European Data Protection Board.

11. What the law asks of us, and where we stand

The GDPR makes us accountable for more than answering requests. These are the duties that matter most for a product that handles health data, and where we are with each. The MVP is a prototype shown for evaluation, and we ask people who try it to use sample documents; we complete the steps below before the app is opened to other people and before the MVP is used with real health data. Whenever we add a new kind of data or a new provider, for example when we start taking payments, we update this page and the privacy policy before it applies.

DutyWhere we stand
Processing agreements with our providers (Article 28)The providers in section 5 publish processing terms. Before the app is opened to other people, we will have signed or accepted them in the company’s own accounts for every provider that handles health data.
Record of processing activities (Article 30)Companies with fewer than 250 employees are exempt only if their processing is occasional, unlikely to put people at risk and free of special-category data. Ours is not, so the duty applies to us. We will have the record in place before the app is opened to other people.
Impact assessment (Articles 35 and 36)Required before processing that is likely to result in a high risk (Article 35(1)), and always for large-scale processing of health data (Article 35(3)(b)). Because we use AI on health data to build profiles, we expect it to be required. We will carry out and document one before the app is opened to other people and before the MVP is used with real health data, and consult the authority if a high risk remains.
Data protection officer (Articles 37 to 39)Required when the core activities are large-scale processing of special-category data, or large-scale regular and systematic monitoring of people (which wearable data can be). We have not appointed one: today we process the data of a very small number of people, which we do not consider large scale. We will decide again before the app is opened and before the watch data of other people is connected, and say here what we decided.
Legal basis for health data (Article 9)Explicit consent, as in section 4. We will have this basis reviewed by a specialist before the app is opened to other people.
Breach notification (Articles 33 and 34)As described in section 8.

12. Children, cookies and marketing

  • Children. The MVP and the app are meant for adults, aged 18 or over. The MVP does not check your age yet. In Romania a child can consent to the processing of their data in an online service from the age of 16 (Article 8 GDPR); we ask for 18. We do not knowingly collect children’s data. If you think a child has given us any, write to admin@infiniflow.me and we will delete it.
  • Cookies and similar technologies. We add no advertising, analytics or tracking cookies of our own, and our own code sets no cookies in the MVP. The app sets one sign-in cookie, which keeps you signed in and is needed for that. The MVP keeps two small items in your browser’s local storage: your sign-in session and your language choice. Both are stored only when you sign in or choose a language, and are strictly necessary to give you the service you asked for, so Law no. 506/2004 does not require your consent for them. The hosting provider’s script is different. GoDaddy inserts it into every page of infiniflow.me, the presentation page and the MVP alike. When we tested on 30 October 2026 it set three cookies on this domain: _tccl_visitor (a visitor identifier, kept for a year), _tccl_visit (30 minutes) and _scc_session (20 minutes), and it sent GoDaddy a page-view message and the page-loading times of each visit. These cookies are not needed to show you our pages and are set without asking you. You can block or delete the cookies in your browser settings.
  • Marketing. We send no marketing messages. If we ever do, we will follow Law no. 506/2004: your consent first, and a simple way to unsubscribe in every message.

13. Changes to this page

We post any change on this page with its date. If a change matters for your data in the MVP or the app, we will tell you by email before it applies. Questions about this page: admin@infiniflow.me. This is draft 1, written on 30 October 2026.

Protecția datelor (GDPR)

infiniflow · INFINI FLOW S.R.L. · Versiune: proiect 1 · 30 octombrie 2026

Această pagină explică modul în care INFINI FLOW S.R.L. („infiniflow”, „noi”) aplică Regulamentul general privind protecția datelor al UE (Regulamentul (UE) 2016/679, „GDPR”) produsului pe care îl construiește: o platformă care transformă analizele de sânge, compoziția corporală și datele de la ceas în îndrumări privind antrenamentul, nutriția și suplimentele alimentare pentru sportivii de anduranță. Se citește împreună cu politica noastră de confidențialitate, care enumeră datele una câte una. Această pagină adaugă temeiul juridic al fiecărei utilizări, cine primește datele, ce le protejează, ce ne cere legea și cum vă puteți exercita drepturile. Spune ce facem astăzi și ce vom face înainte ca aplicația să fie deschisă altor persoane. Nu descrie nimic ce nu are loc în prezent.

1. Pe scurt

  • Cine răspunde. INFINI FLOW S.R.L., societate cu sediul în România, decide de ce și cum sunt folosite datele descrise aici. GDPR se aplică, așadar, tuturor prelucrărilor de date cu caracter personal pe care le facem.
  • Ce este sensibil. Rezultatele analizelor de sânge, compoziția corporală, greutatea, datele de antrenament și de recuperare și ce mâncați sunt date privind sănătatea, o categorie specială de date cu caracter personal (art. 9 GDPR). Le folosim numai cu consimțământul dumneavoastră explicit, pe care îl puteți retrage oricând (secțiunea 4).
  • Ce nu facem. Nu vindem date cu caracter personal, nu le folosim pentru publicitate și nu luăm nicio decizie cu privire la dumneavoastră care să producă efecte juridice sau să vă afecteze în mod similar într-o măsură semnificativă. Nu adăugăm instrumente proprii de analiză și nici cookie-uri proprii de publicitate sau de urmărire. Scriptul furnizorului nostru de găzduire este excepția (secțiunea 12).
  • Inteligența artificială. Părți din produs folosesc modele de inteligență artificială (IA) rulate de alte companii. Ele citesc documente, redactează planuri și răspund la întrebări. Ceea ce produc sunt informații, nu sfaturi medicale, iar nicio IA nu ia o decizie cu privire la dumneavoastră care să producă efecte juridice sau să vă afecteze în mod similar într-o măsură semnificativă (secțiunea 6).
  • Drepturile dumneavoastră. Puteți cere accesul la datele dumneavoastră, rectificarea, ștergerea, portabilitatea sau restricționarea prelucrării lor, vă puteți opune utilizării lor și vă puteți retrage consimțământul. Scrieți la admin@infiniflow.me; răspundem în cel mult o lună (secțiunea 9).
  • Unde suntem. Această pagină acoperă site-ul, MVP-ul și aplicația. Aplicația este în teste închise și prelucrează doar datele proprii ale fondatorilor. Înainte să prelucreze datele altcuiva, vom parcurge pașii din secțiunea 11.

2. Cine suntem și ce lege se aplică

INFINI FLOW S.R.L. este operatorul (art. 4 pct. 7 GDPR): noi decidem de ce și cum sunt folosite datele descrise aici. Un furnizor care prelucrează date numai la instrucțiunile noastre este persoana împuternicită de operator (art. 28). Un serviciu pe care îl conectați chiar dumneavoastră, de exemplu contul unui producător de ceasuri, își păstrează propriile date potrivit propriei politici și este un operator separat (secțiunea 5).

Operator
INFINI FLOW S.R.L.
Contact pentru protecția datelor
admin@infiniflow.me
Responsabil cu protecția datelor
Nu a fost desemnat (secțiunea 11)
Autoritate de supraveghere
ANSPDCP, autoritatea din România (secțiunea 10)

Sediul nostru este în România. GDPR se aplică, așadar, tuturor datelor cu caracter personal pe care le prelucrăm, indiferent unde locuiesc persoanele vizate (art. 3 alin. (1)), iar autoritatea din România este autoritatea noastră de supraveghere. Normele pe care le respectăm sunt:

  • GDPR, Regulamentul (UE) 2016/679.
  • Legea nr. 190/2018, care pune în aplicare GDPR în România. Art. 3 din aceasta permite prelucrarea datelor privind sănătatea în scopul creării de profiluri sau al unui proces decizional automatizat numai cu consimțământul explicit al persoanei vizate sau în temeiul unor dispoziții legale exprese, cu măsuri de protecție. Ne întemeiem pe consimțământul explicit.
  • Legea nr. 506/2004, care transpune în dreptul românesc Directiva asupra confidențialității și comunicațiilor electronice (2002/58/CE): cookie-urile și tehnologiile similare de pe dispozitivul dumneavoastră și mesajele de marketing (secțiunea 12).
  • Regulamentul privind inteligența artificială (AI Act), Regulamentul (UE) 2024/1689. Începând cu 2 august 2026, art. 50 din acesta cere ca persoanele să fie informate atunci când interacționează cu un sistem de IA (secțiunea 6).

3. Ce prelucrăm în produsul nostru și pe ce temei

Fiecare rând corespunde unei părți a produsului. Temeiul juridic provine din art. 6 GDPR și, pentru datele privind sănătatea, din art. 9. Politica de confidențialitate enumeră câmpurile unul câte unul.

Parte a produsuluiDateDe ceTemei juridic
Site-ul (pagina de prezentare)Adresa dumneavoastră IP, ora, pagina solicitată și detalii despre browser și dispozitiv, în jurnalele de server ale furnizorului nostru de găzduire.Pentru a vă afișa pagina și a o menține sigură și funcțională.Interes legitim (art. 6 alin. (1) lit. f)).
Când ne scriețiAdresa dumneavoastră de e-mail, numele, dacă apare, mesajul și atașamentele.Pentru a vă răspunde și a păstra o evidență a conversației.Interes legitim și demersuri la cererea dumneavoastră (art. 6 alin. (1) lit. f) și b)).
Contul dumneavoastră (MVP)Adresa de e-mail, parola (păstrată doar într-o formă transformată ireversibil, de tip hash), numele, țara, numărul de telefon (opțional), tipul de cont, tipul de abonament, limba și o fotografie, dacă încărcați una.Pentru a vă crea contul, a vă autentifica și a furniza serviciul.Executarea contractului cu dumneavoastră sau demersuri la cererea dumneavoastră înaintea încheierii lui (art. 6 alin. (1) lit. b)).
Datele dumneavoastră corporale (MVP)Sexul, data nașterii, înălțimea, greutatea și nivelul de activitate.Pentru a întocmi planul dumneavoastră.Consimțământ explicit (art. 6 alin. (1) lit. a) și art. 9 alin. (2) lit. a)).
Buletine de analize de sânge (MVP)Buletinul pe care îl încărcați este citit de un model de IA și nu păstrăm fișierul. Păstrăm valorile citite din el, numele fișierului și, dacă cititorul bazat pe IA eșuează, iar buletinul este citit în schimb în browserul dumneavoastră, textul citit din el.Pentru a citi buletinul, a reprezenta grafic markerii și a întocmi planul.Consimțământ explicit (art. 6 alin. (1) lit. a) și art. 9 alin. (2) lit. a)).
Mese și nutriție (MVP)Fotografiile meselor sunt citite de un model de IA și nu păstrăm imaginile. Păstrăm evidențele dumneavoastră de calorii, planurile nutriționale, rapoartele întocmite pe baza lor și o evidență a fiecărei cereri de plan (sex, țintă calorică, starea markerilor și planul).Pentru a analiza mesele, a întocmi un plan și a urmări caloriile.Consimțământ explicit (art. 6 alin. (1) lit. a) și art. 9 alin. (2) lit. a)).
Date de la ceas, compoziție corporală și antrenament (aplicația)Frecvența cardiacă, puterea, viteza, somnul, variabilitatea frecvenței cardiace și date similare din fișiere importate de dumneavoastră sau, după ce conectați chiar dumneavoastră serviciul unui producător de ceasuri, din acel serviciu; greutatea și compoziția corporală dintr-un raport de scanare.Pentru a calcula încărcarea de antrenament și necesarul de energie și pentru a întocmi planurile.Consimțământ explicit (art. 6 alin. (1) lit. a) și art. 9 alin. (2) lit. a)).
Antrenorul IA (aplicația)Planul și pragurile dumneavoastră, un rezumat al antrenamentului și recuperării recente, sesiunile planificate față de cele efectuate, ultimele estimări de condiție fizică (VO2max), versiuni condensate ale planurilor nutriționale și de suplimente (care pot dezvălui greutatea corporală), schimburile anterioare din conversație și întrebările pe care le scrieți.Pentru a răspunde la întrebările dumneavoastră despre plan.Consimțământ explicit, cerut separat (art. 6 alin. (1) lit. a) și art. 9 alin. (2) lit. a)).
Asistență și evaluare (MVP)Ceea ce pot vedea administratorii noștri: conturile, detaliile din profil și statisticile de utilizare, inclusiv țara fiecărui cont.Pentru a oferi suport utilizatorilor și a derula evaluarea MVP-ului.Interes legitim (art. 6 alin. (1) lit. f)); pentru datele privind sănătatea, consimțământul dumneavoastră explicit (art. 9 alin. (2) lit. a)).
Securitate și obligații legaleEvidențe de acces și orice date pe care legea ne obligă să le păstrăm sau să le transmitem unei autorități.Pentru a menține serviciul în siguranță și a respecta legea.Interes legitim; obligație legală (art. 6 alin. (1) lit. f) și c)).

Rândurile marcate „aplicația” descriu ce face aplicația; astăzi ea prelucrează doar datele proprii ale fondatorilor. Scriptul pe care furnizorul nostru de găzduire îl inserează în fiecare pagină nu face parte din acest tabel: este al furnizorului (secțiunea 5, secțiunea 12). Nu aveți obligația de a ne furniza niciuna dintre aceste date. Fără datele de cont nu vă putem crea contul, iar fără datele privind sănătatea funcțiile care au nevoie de ele (citirea unui buletin, un plan nutrițional, evidența caloriilor) nu funcționează.

4. Datele privind sănătatea și consimțământul dumneavoastră

Datele privind sănătatea sunt o categorie specială (art. 9 GDPR) și sunt protejate mai strict. În produsul nostru ele înseamnă rezultatele analizelor de sânge, compoziția corporală, greutatea, datele de antrenament și de recuperare, ce mâncați și planurile pe care le derivăm din ele. Le folosim numai pe baza consimțământului dumneavoastră explicit (art. 9 alin. (2) lit. a)). Planurile construite pe baza lor sunt o formă de creare de profiluri (o evaluare automată a unor aspecte personale, aici sănătatea dumneavoastră), pentru care și art. 3 din Legea nr. 190/2018 cere consimțământ explicit.

Cum funcționează consimțământul

  • Separat și nebifat. Când vă înregistrați chiar dumneavoastră în MVP, vă dați consimțământul la sfârșitul înregistrării, bifând o căsuță care nu este bifată în prealabil, lângă un link către politica de confidențialitate. Căsuța acoperă prelucrarea datelor privind sănătatea pe care le încărcați sau le introduceți, inclusiv de către servicii de IA. În aplicație, antrenorul IA rămâne oprit până când îl porniți dumneavoastră, iar comutatorul indică furnizorul de IA care va primi datele.
  • Înregistrat. Pentru înregistrările pe care le finalizați chiar dumneavoastră începând cu 27 octombrie 2026, MVP-ul salvează în contul dumneavoastră de autentificare momentul consimțământului și versiunea politicii de confidențialitate pe care ați văzut-o.
  • Conturile create de noi pentru dumneavoastră. Un cont pe care îl creăm la cererea dumneavoastră nu trece prin ecranul de înregistrare cu căsuța de consimțământ. Înainte să încărcați date privind sănătatea în el, vă cerem același consimțământ explicit, în scris, și păstrăm răspunsul dumneavoastră.
  • Poate fi retras. Îl puteți retrage oricând, scriind la admin@infiniflow.me. Încetăm apoi să folosim datele respective și le ștergem. Retragerea nu afectează legalitatea prelucrării efectuate înainte de retragere. Astăzi consimțământul se retrage prin e-mail. Vom adăuga o modalitate de a-l retrage chiar în MVP și în aplicație, la fel de simplu ca acordarea lui; aplicația o va avea înainte de a fi deschisă altor persoane.
  • Necesar pentru serviciu. MVP-ul și aplicația se bazează pe date privind sănătatea, de aceea, când vă înregistrați chiar dumneavoastră, MVP-ul cere acest consimțământ, iar fără el nu puteți finaliza înregistrarea.
  • Numai pentru serviciu. Folosim datele dumneavoastră privind sănătatea pentru a vă furniza produsul. Nu le vindem și nu le folosim pentru publicitate.
  • Documente de test. MVP-ul este un prototip: dacă puteți, folosiți documente de test în loc de actele dumneavoastră medicale reale, iar pe un buletin de analize real acoperiți codul numeric personal (CNP) și adresa înainte de a-l încărca. Nu încărcați niciodată documente despre alte persoane. Vă rugăm să nu trimiteți documente medicale prin e-mail.

5. Cine primește datele dumneavoastră

Transmitem date cu caracter personal numai furnizorilor de mai jos, pe care îi folosim pentru a face produsul să funcționeze, și unei autorități atunci când legea o cere. Nu le vindem. Dacă ne cereți, vă spunem care anume destinatari au primit datele dumneavoastră. Ultima coloană privește transferurile în afara Spațiului Economic European (SEE).

FurnizorCe faceCe primeșteÎn afara SEE
SupabaseBaza de date, autentificarea și funcțiile de server ale MVP-ului (persoană împuternicită de operator).Ce se află în contul dumneavoastră din MVP: profilul și fotografia de profil, valorile din analizele de sânge și numele fișierelor încărcate, înregistrările meselor, planurile nutriționale și evidențele cererilor de plan. Buletinele de analize și fotografiile meselor încărcate trec prin funcțiile sale către furnizorul de IA și nu sunt stocate. Trimite e-mailurile de confirmare a înregistrării și de resetare a parolei.Entitatea contractantă este Supabase Pte. Ltd. (Singapore); datele pot fi prelucrate oriunde Supabase sau subcontractanții săi dispun de infrastructură. Condițiile sale de prelucrare a datelor includ clauzele contractuale standard ale UE.
AnthropicModelele de IA Claude: citesc buletinul de analize și fotografiile meselor, redactează planuri nutriționale și, în aplicație, răspund la întrebările adresate antrenorului (persoană împuternicită de operator).Întregul document încărcat (un buletin de analize poate conține tipărit numele dumneavoastră și alte date de identificare, precum data nașterii sau codul numeric personal); fotografiile meselor; pentru un plan nutrițional, sexul, ținta calorică și numele markerilor cu starea lor, fără numele sau datele dumneavoastră de contact; pentru antrenorul din aplicație, planul și pragurile dumneavoastră, un rezumat al datelor recente de antrenament și de recuperare (nu fișierele brute), sesiunile planificate față de cele efectuate, ultimele estimări de condiție fizică, versiuni condensate ale planurilor nutriționale și de suplimente, schimburile anterioare din conversație și întrebarea dumneavoastră.Entitatea contractantă este Anthropic Ireland, Limited; datele pot fi prelucrate în afara SEE, inclusiv în Statele Unite. Anexa sa privind prelucrarea datelor include clauzele contractuale standard ale UE. Potrivit condițiilor publicate, șterge conținutul trimis prin API în cel mult 30 de zile (mai mult doar în cazurile pe care le enumeră, precum o obligație legală sau impunerea respectării politicii sale de utilizare) și nu are voie să-și antreneze modelele pe conținutul nostru.
Servicii de imaginiOpenAI desenează preparatele dintr-un plan nutrițional. Modelul de imagini al Google, accesat printr-un gateway de IA, desenează imagini generice de alimente atunci când un administrator o cere.Doar numele, descrierea și ingredientele preparatului sau numele unui aliment. Nicio dată cu caracter personal.Companii din SUA. Noi nu trimitem date cu caracter personal; într-un caz de rezervă, browserul dumneavoastră încarcă imaginea finalizată de la adresa web proprie a furnizorului, ceea ce îi arată acestuia adresa dumneavoastră IP, iar această conexiune nu este acoperită de nicio garanție pentru transfer.
GoDaddyGăzduirea site-ului și a fișierelor web ale MVP-ului (persoană împuternicită de operator). Inserează totodată în fiecare pagină pe care o livrează un script propriu, care setează cookie-uri (secțiunea 12).Datele tehnice ale fiecărei vizite (adresa IP, ora, pagina, browserul) în jurnalele sale de server. Prin script: identificatori ai vizitatorului și ai sesiunii, adresa paginii și pagina de proveniență, detalii despre browser și dispozitiv și timpii de încărcare a paginii.Companie din SUA, certificată în temeiul Cadrului UE–SUA privind confidențialitatea datelor.
GoogleServiciul nostru de e-mail (Google Workspace, persoană împuternicită de operator) și fonturile paginii de prezentare (Google Fonts): browserul dumneavoastră contactează Google când deschideți acea pagină.E-mailurile pe care ni le trimiteți; pentru fonturi, adresa dumneavoastră IP și detalii despre browser.Companie din SUA, certificată în temeiul Cadrului UE–SUA privind confidențialitatea datelor; oferă și clauze contractuale standard.
CloudflareLivrează biblioteca grafică a paginii de prezentare (cdnjs): browserul dumneavoastră o contactează când deschideți acea pagină.Adresa dumneavoastră IP și detalii despre browser.Companie din SUA, certificată în temeiul Cadrului UE–SUA privind confidențialitatea datelor.
UnsplashFotografii ilustrative cu preparate afișate în MVP, încărcate de browserul dumneavoastră.Adresa dumneavoastră IP și detalii despre browser.Companie din SUA. Browserul dumneavoastră se conectează direct la ea, iar această conexiune nu este acoperită de nicio garanție pentru transfer.
Producători de ceasuri, precum GarminOperatori independenți: păstrează datele dumneavoastră de antrenament potrivit propriilor politici.Nimic de la noi. Primim date de la ei numai după ce vă conectați chiar dumneavoastră contul și numai ceea ce permiteți. Astăzi niciun astfel de serviciu nu este conectat pentru vreun utilizator.Propriile politici.

GoDaddy, Google și Cloudflare sunt certificate în temeiul Cadrului UE–SUA privind confidențialitatea datelor; o decizie a Comisiei Europene privind caracterul adecvat al nivelului de protecție constată că protecția oferită de companiile certificate din SUA este adecvată. Contractele lor conțin, ca soluție de rezervă, și clauzele contractuale standard ale Comisiei (un contract-tip care obligă furnizorul să respecte normele UE privind protecția datelor). Pentru Supabase și Anthropic ne întemeiem pe clauzele contractuale standard din condițiile lor de prelucrare a datelor. Atunci când browserul dumneavoastră se conectează direct la un furnizor care nu are niciuna dintre acestea, ca în cazul fotografiilor ilustrative de la Unsplash, nicio garanție nu acoperă adresa dumneavoastră IP. Puteți cere o copie a garanției aplicabile (secțiunea 9).

6. IA și deciziile automatizate

  • Ce face IA. În MVP, un model citește buletinul de analize și fotografiile meselor și redactează un plan nutrițional pornind de la sexul, ținta calorică și starea markerilor dumneavoastră. În aplicație, încărcarea de antrenament, ritmurile, caloriile și cantitățile de suplimente rezultă din reguli fixe, testate; antrenorul IA doar explică planul și propune modificări, aplicația verifică fiecare propunere în raport cu regulile sale de siguranță și nimic nu se aplică de la sine.
  • Nicio decizie automatizată cu efect juridic. Nu luăm nicio decizie cu privire la dumneavoastră care să se bazeze exclusiv pe prelucrarea automată și să producă efecte juridice care vă privesc sau să vă afecteze în mod similar într-o măsură semnificativă (art. 22 GDPR). Dumneavoastră decideți dacă folosiți sau ignorați planurile și sugestiile. Puteți cere unei persoane, la admin@infiniflow.me, să explice sau să reexamineze orice rezultat.
  • Vi se spune când interacționați cu o IA. AI Act (art. 50) cere acest lucru. Ecranul antrenorului din aplicație spune deja că antrenorul este o IA; în MVP, ecranul de încărcare a buletinului și ecranul fotografiilor meselor o spun, iar o vom adăuga și pe ecranul planului nutrițional.
  • Datele dumneavoastră nu sunt folosite la antrenarea modelelor. infiniflow nu antrenează modele de IA pe datele dumneavoastră cu caracter personal. Potrivit condițiilor comerciale ale Anthropic, aceasta nu are voie să-și antreneze modelele pe conținutul pe care i-l trimitem.
  • Consimțământul dumneavoastră are prioritate. Datele dumneavoastră privind sănătatea ajung la un model de IA numai pe baza consimțământului dumneavoastră explicit, pe care îl puteți retrage oricând (secțiunea 4).

7. Cât timp păstrăm datele și cum le ștergem

DateCât timp
Jurnalele site-uluiCât timp le păstrează furnizorul nostru de găzduire, potrivit propriului program.
E-mailuriCât timp o cere rezolvarea chestiunii și cât timp impune legea, apoi sunt șterse.
Contul și datele din MVPPână când ne cereți să le ștergem sau până când închidem MVP-ul. MVP-ul nu șterge încă nimic automat. Dacă îl închidem, ștergem sau anonimizăm datele.
Evidența consimțământuluiÎmpreună cu contul dumneavoastră și ștearsă odată cu el.
Copii la furnizorul de IAAnthropic șterge conținutul trimis prin API în cel mult 30 de zile, cu excepția cazurilor pe care le enumeră. Serviciile de imagini nu primesc date cu caracter personal.
Jurnalele și copiile de rezervă ale backend-uluiJurnalele de funcții ale furnizorului de backend al MVP-ului pot arăta detalii ale contului atunci când un administrator creează sau șterge un cont, iar furnizorul poate face copii de rezervă periodice. Ambele sunt păstrate de acel furnizor, potrivit propriului program; datele șterse dispar din ele când acestea expiră.
AplicațiaDatele proprii ale fondatorilor rămân pe calculatoarele lor până când le șterg. Evidențele încercărilor de autentificare (hash-uri cu cheie ale adresei de e-mail și ale adresei de rețea) sunt șterse după 24 de ore.

Ștergerea datelor dumneavoastră. Scrieți la admin@infiniflow.me. Dăm curs cererii în cel mult o lună. Ștergem contul, profilul și datele legate de ele. Analizele de sânge, evidențele cererilor de plan și fișierele cu fotografii de profil nu sunt șterse automat; le ștergem manual și vă anunțăm când am terminat. Dacă legea ne obligă să păstrăm ceva, vă spunem ce și pentru cât timp.

8. Cum vă protejăm datele

  • Asigurarea protecției datelor începând cu momentul conceperii și în mod implicit (art. 25). Colectăm doar datele de care are nevoie o funcție, nimic în plus. Acolo unde putem, trimitem furnizorilor de IA mai puțin decât întregul: un plan nutrițional, de exemplu, este cerut fără numele sau datele dumneavoastră de contact, iar antrenorul din aplicație nu primește elementele derivate din analizele dumneavoastră de sânge. Un buletin de analize este trimis întreg, pentru ca modelul să îl poată citi. Astăzi aplicația își păstrează datele pe calculatoarele proprii ale fondatorilor.
  • Securitatea prelucrării (art. 32). Site-ul și MVP-ul sunt servite prin HTTPS, iar browserele sunt instruite să îl ceară obligatoriu (deocamdată pentru cinci minute după fiecare vizită; vom prelungi perioada). Parolele nu sunt stocate niciodată în formă lizibilă. MVP-ul folosește un serviciu gestionat de baze de date, cu autentificare și reguli de acces. Nu adăugăm instrumente de analiză sau scripturi de urmărire proprii, iar furnizorii noștri publică condiții de prelucrare a datelor (secțiunea 11).
  • Limitări cunoscute. MVP-ul este un prototip și nu a avut încă o evaluare independentă de securitate. Regulile sale de acces urmează să fie verificate și pot permite altor utilizatori autentificați să vadă părți din profilul dumneavoastră, de aceea vă rugăm să folosiți documente de test, nu actele dumneavoastră medicale reale. O fotografie de profil, dacă încărcați una, poate fi deschisă de oricine îi cunoaște adresa web. Intenționăm să evaluăm securitatea MVP-ului înainte ca acesta să fie folosit pe scară mai largă. Spuneți-ne la admin@infiniflow.me dacă descoperiți o vulnerabilitate.
  • Încălcări ale securității datelor cu caracter personal (art. 33 și 34). Cu excepția cazului în care este puțin probabil ca o încălcare să genereze un risc pentru persoane, notificăm autoritatea din România fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de când luăm cunoștință de ea. Dacă riscul este ridicat, informăm fără întârzieri nejustificate și persoanele vizate: ce s-a întâmplat, ce poate însemna pentru ele și ce măsuri luăm.

9. Drepturile dumneavoastră și cum le exercitați

Potrivit GDPR, aveți drepturile de mai jos. Ele se aplică fiecărei persoane ale cărei date le prelucrăm, din UE sau din afara ei.

DreptCe înseamnăÎn produsul nostru
Acces (art. 15)Să aflați dacă vă prelucrăm datele și să primiți o copie a lor, împreună cu informații despre scopuri, categoriile de date, destinatari (cei concreți, dacă ne cereți), cât timp le păstrăm și de unde provin.Cereți prin e-mail. În MVP vă puteți vedea deja profilul și analizele și puteți descărca raportul PDF.
Rectificare (art. 16)Să vi se corecteze datele inexacte și să vi se completeze cele incomplete.Editați-vă profilul în MVP (adresa de e-mail și nivelul de activitate nu pot fi modificate acolo; cereți-ne).
Ștergere (art. 17)Să vi se șteargă datele, de exemplu atunci când vă retrageți consimțământul sau datele nu mai sunt necesare. Nu se aplică atunci când legea ne obligă să le păstrăm.În MVP puteți șterge chiar dumneavoastră o analiză de sânge, o înregistrare de masă sau un plan salvat; cereți-ne să ștergem restul sau întregul cont.
Restricționare (art. 18)Să obțineți ca datele dumneavoastră să nu mai fie folosite, cu excepția stocării, de exemplu cât timp verificăm o contestare a exactității lor sau o opoziție din partea dumneavoastră.Cereți prin e-mail.
Portabilitate (art. 20)Să primiți datele pe care ni le-ați dat, inclusiv ce a înregistrat utilizarea serviciului, într-un format structurat, utilizat în mod curent și care poate fi citit automat, și să cereți transmiterea lor către alt serviciu, în măsura în care este posibil din punct de vedere tehnic. Se aplică datelor prelucrate de noi pe baza consimțământului dumneavoastră sau în vederea executării contractului cu dumneavoastră.Cereți prin e-mail; trimitem un fișier (de exemplu CSV sau JSON).
Opoziție (art. 21)Să vă opuneți, din motive legate de situația dumneavoastră particulară, prelucrării întemeiate pe interesul nostru legitim. Ne oprim, cu excepția cazului în care demonstrăm că avem motive legitime și imperioase care prevalează asupra intereselor dumneavoastră sau că avem nevoie de date pentru constatarea, exercitarea sau apărarea unui drept în instanță.Se aplică jurnalelor site-ului și gestionării e-mailurilor dumneavoastră. Cereți prin e-mail.
Retragerea consimțământului (art. 7 alin. (3))Să vă retrageți oricând consimțământul, fără a afecta legalitatea prelucrării efectuate înainte de retragere.Cereți prin e-mail astăzi. O modalitate de a-l retrage chiar în MVP și în aplicație urmează să fie adăugată (secțiunea 4).
Nicio decizie exclusiv automatizată (art. 22)Să nu faceți obiectul unei decizii bazate exclusiv pe prelucrarea automată, care produce efecte juridice care vă privesc sau vă afectează în mod similar într-o măsură semnificativă.Nu luăm astfel de decizii (secțiunea 6).

Cum depuneți o cerere

  • Scrieți la admin@infiniflow.me de la adresa contului dumneavoastră sau spuneți-ne care este contul dumneavoastră și precizați ce drept doriți să exercitați. Nu aveți nevoie de un motiv sau de formulări speciale.
  • Vă putem cere să vă confirmați identitatea, dar numai prin informațiile necesare pentru aceasta (art. 12 alin. (6)). Nu vă vom cere date suplimentare privind sănătatea în acest scop.
  • Răspundem în cel mult o lună. Dacă cererea este complexă sau primim multe, putem prelungi termenul cu cel mult două luni; vă anunțăm în prima lună și explicăm motivul.
  • Este gratuit. Dacă o cerere este în mod vădit nefondată sau excesivă, putem percepe o taxă rezonabilă sau o putem refuza și vă spunem de ce (art. 12 alin. (4) și (5)).
  • Când rectificăm, ștergem sau restricționăm prelucrarea unor date, informăm fiecare destinatar căruia i-am transmis datele, cu excepția cazului în care acest lucru este imposibil sau implică un efort disproporționat (art. 19).
  • Dacă răspunsul este negativ, vă spunem de ce și că vă puteți adresa autorității și instanței (secțiunea 10).

10. Plângeri și autoritatea de supraveghere

Dacă apreciați că v-am prelucrat datele în mod ilegal, vă rugăm să ne scrieți mai întâi, pentru a putea îndrepta lucrurile. Puteți, de asemenea, să depuneți gratuit o plângere la autoritatea de supraveghere (art. 77 GDPR) și să vă adresați instanței (art. 78 și 79); dacă ați suferit un prejudiciu, puteți cere despăgubiri (art. 82).

Autoritate
Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
Site
www.dataprotection.ro (formularul de plângere se află pe site)
E-mail
anspdcp@dataprotection.ro
Adresă poștală
B-dul G-ral. Gheorghe Magheru nr. 28-30, sector 1, București, cod poștal 010336

Puteți depune o plângere și la autoritatea din țara în care locuiți ori lucrați sau în care s-a produs problema. Autoritățile sunt enumerate pe site-ul Comitetului european pentru protecția datelor.

11. Ce ne cere legea și unde suntem

GDPR ne face responsabili pentru mai mult decât răspunsul la cereri. Iată obligațiile care contează cel mai mult pentru un produs care prelucrează date privind sănătatea, împreună cu stadiul în care ne aflăm în privința fiecăreia. MVP-ul este un prototip prezentat în scop de evaluare, iar persoanelor care îl încearcă le cerem să folosească documente de test; parcurgem pașii de mai jos înainte ca aplicația să fie deschisă altor persoane și înainte ca MVP-ul să fie folosit cu date reale privind sănătatea. Ori de câte ori adăugăm un nou tip de date sau un nou furnizor, de exemplu când începem să încasăm plăți, actualizăm această pagină și politica de confidențialitate înainte ca modificarea să se aplice.

ObligațieUnde suntem
Acorduri de prelucrare a datelor cu furnizorii noștri (art. 28)Furnizorii din secțiunea 5 publică condiții de prelucrare. Înainte ca aplicația să fie deschisă altor persoane, le vom fi semnat sau acceptat, în conturile proprii ale companiei, pentru fiecare furnizor care prelucrează date privind sănătatea.
Evidența activităților de prelucrare (art. 30)Companiile cu mai puțin de 250 de angajați sunt scutite numai dacă prelucrarea lor este ocazională, nu este susceptibilă să genereze un risc pentru persoane și nu include categorii speciale de date. Prelucrarea noastră nu îndeplinește aceste condiții, deci obligația ni se aplică. Vom avea evidența întocmită înainte ca aplicația să fie deschisă altor persoane.
Evaluarea impactului asupra protecției datelor (art. 35 și 36)Obligatorie înainte de o prelucrare susceptibilă să genereze un risc ridicat (art. 35 alin. (1)) și, în orice caz, pentru prelucrarea pe scară largă a datelor privind sănătatea (art. 35 alin. (3) lit. b)). Deoarece folosim IA pe date privind sănătatea pentru a crea profiluri, ne așteptăm să fie necesară. Vom efectua și documenta o astfel de evaluare înainte ca aplicația să fie deschisă altor persoane și înainte ca MVP-ul să fie folosit cu date reale privind sănătatea și vom consulta autoritatea dacă rămâne un risc ridicat.
Responsabil cu protecția datelor (art. 37–39)Obligatoriu când activitățile principale constau în prelucrarea pe scară largă a categoriilor speciale de date sau într-o monitorizare periodică și sistematică a persoanelor pe scară largă (cum poate fi cazul datelor de la dispozitive purtabile). Nu am desemnat unul: astăzi prelucrăm datele unui număr foarte mic de persoane, ceea ce nu considerăm a fi o prelucrare pe scară largă. Vom decide din nou înainte ca aplicația să fie deschisă și înainte de conectarea datelor de la ceasurile altor persoane și vom spune aici ce am hotărât.
Temeiul juridic pentru datele privind sănătatea (art. 9)Consimțământul explicit, ca în secțiunea 4. Vom solicita unui specialist să evalueze acest temei înainte ca aplicația să fie deschisă altor persoane.
Notificarea încălcărilor securității datelor (art. 33 și 34)Așa cum este descrisă în secțiunea 8.

12. Copii, cookie-uri și marketing

  • Copii. MVP-ul și aplicația sunt destinate adulților, cu vârsta de cel puțin 18 ani. MVP-ul nu verifică încă vârsta dumneavoastră. În România, un copil poate consimți la prelucrarea datelor sale în cadrul unui serviciu online începând cu vârsta de 16 ani (art. 8 GDPR); noi cerem 18 ani. Nu colectăm cu bună știință date ale copiilor. Dacă considerați că un copil ne-a dat astfel de date, scrieți la admin@infiniflow.me și le vom șterge.
  • Cookie-uri și tehnologii similare. Nu adăugăm cookie-uri proprii de publicitate, de analiză sau de urmărire, iar propriul nostru cod nu setează cookie-uri în MVP. Aplicația setează un singur cookie de autentificare, care păstrează sesiunea dumneavoastră activă și este necesar pentru aceasta. MVP-ul păstrează două elemente mici în stocarea locală a browserului dumneavoastră: sesiunea de autentificare și limba aleasă. Ambele sunt păstrate numai atunci când vă autentificați sau alegeți o limbă și sunt strict necesare pentru a vă oferi serviciul solicitat, de aceea Legea nr. 506/2004 nu cere consimțământul dumneavoastră pentru ele. Scriptul furnizorului de găzduire este un caz aparte. GoDaddy îl inserează în fiecare pagină de pe infiniflow.me, atât în pagina de prezentare, cât și în MVP. La testul nostru din 30 octombrie 2026, scriptul a setat pe acest domeniu trei cookie-uri: _tccl_visitor (un identificator al vizitatorului, păstrat un an), _tccl_visit (30 de minute) și _scc_session (20 de minute); în plus, la fiecare vizită a trimis către GoDaddy un mesaj de vizualizare a paginii și timpii de încărcare a paginii. Aceste cookie-uri nu sunt necesare pentru a vă afișa paginile noastre și sunt setate fără a vă întreba. Puteți bloca sau șterge cookie-urile din setările browserului.
  • Marketing. Nu trimitem mesaje de marketing. Dacă vom trimite vreodată astfel de mesaje, vom respecta Legea nr. 506/2004: mai întâi consimțământul dumneavoastră, iar fiecare mesaj va conține o modalitate simplă de dezabonare.

13. Modificări ale acestei pagini

Publicăm orice modificare pe această pagină, cu data ei. Dacă o modificare contează pentru datele dumneavoastră din MVP sau din aplicație, vă vom anunța prin e-mail înainte ca ea să se aplice. Întrebări despre această pagină: admin@infiniflow.me. Acesta este proiectul 1, redactat la 30 octombrie 2026.