1. Who is responsible

INFINI FLOW S.R.L. (“infiniflow”, “we”) is the controller of the personal data described in this policy, except where the policy names another organisation as controller.

Company

INFINI FLOW S.R.L.

Privacy contact

admin@infiniflow.me

We have not appointed a data protection officer. Write to the address above for any question about your data or to use your rights (section 12).

2. What this policy covers

This policy covers three things:

• The website: infiniflow.me/presentation/, the presentation page, and this page (section 3).
• The MVP: infiniflow.me, a working prototype that we show for evaluation (section 5).
• The app: the infiniflow app, which is in closed testing and used only by its founders (section 7).

Other websites that we link to, and services you connect yourself, such as a watch brand’s account, have their own privacy policies.

3. The website

The website is a presentation page. It has no sign-up, no forms, no advertising and no analytics of its own, and its own code sets no cookies and stores nothing on your device. Our hosting provider’s script, described below, does set cookies.

When you open the home page, your browser contacts our hosting provider and two other services. Each receives the technical data that every web request carries: your IP address, the time, the page requested, and details of your browser and device.

• GoDaddy, our hosting provider, serves the pages and keeps server logs to deliver, secure and repair the site. It also inserts a script of its own into every page it serves, on the website and in the MVP alike. The script sets three cookies on your device (section 10) and reports each visit to GoDaddy: a visitor identifier, the page address, the referrer, browser and device details and page-loading times.
• Google Fonts (Google) supplies the typefaces of the home page.
• cdnjs (Cloudflare) supplies the graphics library that draws the animation on the home page.

We use this data only to show you the page and keep the site working. We do not combine it with other data about you. Legal basis: our legitimate interest in running and securing a website (Article 6(1)(f) of the General Data Protection Regulation, “GDPR”).

4. When you write to us

If you email admin@infiniflow.me, we receive your email address, your name if it shows, your message and anything you attach. We use them to answer you and to keep a record of the conversation. Legal basis: our legitimate interest in answering enquiries and, when you ask us to do something that needs your data, taking steps at your request (Article 6(1)(f) and (b) GDPR). Our email is hosted by Google (Google Workspace), which processes the messages for us. Please do not send medical documents by email. The contact page of the MVP only opens your email app with the message ready; nothing reaches us until you send it.

5. The MVP

The MVP at infiniflow.me is a working prototype that we show for evaluation, for example to the evaluators of a funding programme and to people we invite to try it. It is not a finished product and it gives no medical advice. If you can, use sample documents rather than your real medical records, because a prototype has not had the security review that a finished product will have. Never upload documents about other people.

What we process

Our administrators can see accounts, profile details and usage statistics, including the country of each account, in order to support users and run the evaluation. They can also create an account for a person who has asked for one, and delete accounts. A profile photo, if you upload one, is kept in the MVP’s file storage, where anyone who has its web address can open it. The MVP also has a screen for connecting a Garmin account; it is not active, and the MVP receives no data from Garmin.

You are not obliged to give us any of this data. Without the account data we cannot create your account, and without health data the features that need it (reading a report, a nutrition plan, the calorie tracker) do not work.

Legal bases

• Creating and running your account and the features you ask for: performing a contract or taking steps at your request (Article 6(1)(b) GDPR).
• Your health data: your explicit consent (Article 9(2)(a) GDPR). You give it by ticking the consent box when you complete your profile, after reading this policy (an account that we create at your request does not pass through that screen: we ask for the same consent in writing before you upload health data); the box asks for your consent to the processing of the health data you upload or enter, including by AI services. You can withdraw it at any time by writing to admin@infiniflow.me; we then delete the data concerned. Withdrawing does not affect the lawfulness of processing done before.
• Keeping the MVP secure and working, and answering your messages: our legitimate interest (Article 6(1)(f) GDPR).
• Obeying the law, for example answering an authority’s lawful request: legal obligation (Article 6(1)(c) GDPR).

Who receives your data

• Supabase provides the MVP’s database, sign-in and server functions. It stores your data and files, runs the code that handles them and sends the sign-in and password-reset emails.
• Anthropic, the maker of the Claude AI models, receives: the whole document you upload, so that a model can read the values (a lab report may print your name and other identifiers, and these go too); the photos of meals you submit for analysis; and, to write a nutrition plan, your sex, your calorie target and a list of your markers with their status, for example “high” or “normal”, without your name or contact details. See section 6.
• Image services: pictures of the dishes in a nutrition plan are made by AI image services (OpenAI, and Google through an AI gateway) from the dish name, description and ingredients only. Some sample dish photos are loaded into your browser from the Unsplash image service.

We do not sell personal data, we do not use it for advertising, and we make no decision about you that has legal or similarly significant effects.

6. Artificial intelligence

7. The app and your watch data

Today. The infiniflow app is in closed testing. It is used only by its founders, on their own computers and with their own data. It processes no data about any other person. When a founder switches the AI coach on, that founder’s own training plan and thresholds, a summary of recent training and recovery data (not the raw files), planned sessions compared with completed ones, the latest fitness estimates, reduced copies of the nutrition and supplement plans (which can reveal body weight), the earlier turns of the conversation and the question typed are sent to Anthropic, which sends back an answer.

Before it opens to other people. Before the app processes anyone else’s data we will update this policy, tell you which data goes to which provider, ask separately for your explicit consent for health data and for the AI coach, let you withdraw that consent as easily as you gave it, and sign data processing agreements with our providers. Until then, nobody outside the founding team can use it.

Watch data. The app is designed to read training and recovery data from your watch or from its brand’s online service, such as Garmin Connect, but only after you connect your own account yourself. No watch brand’s service is connected for any user today. When one is, the brand remains an independent controller of the data it holds, under its own privacy policy; we receive from it only the data you allow; we say where the data comes from when we show it; and we do not sell that data or use it for advertising. You can disconnect at any time, and we will delete the data we received through that connection when you ask.

8. Transfers outside the European Economic Area

Some of the providers named in this policy are, or use servers, outside the European Economic Area, mainly in the United States. Where that happens we rely on an adequacy decision of the European Commission (for example the EU–US Data Privacy Framework, for providers certified under it), on the Commission’s standard contractual clauses, or on another safeguard that Chapter V of the GDPR allows. You can ask us for a copy of the safeguard that applies to a given transfer (section 12).

9. How long we keep data

• Website logs: kept by our hosting provider according to its own schedule.
• Emails: for as long as the matter needs and for any period the law requires, then deleted.
• MVP accounts and data: the MVP does not yet delete data automatically. We keep an account and its data until you ask us to delete them or until we close the MVP. If we close the MVP, we delete or anonymise the data. We act on a deletion request within one month.
• The app: the founders’ own data stays on their computers until they delete it.

10. Cookies and similar technologies

We add no advertising, analytics or tracking cookies of our own and no tracking pixels, and our own code sets no cookies in the MVP; the founders’ app sets one sign-in cookie, needed to keep them signed in. The MVP stores two small items in your browser’s local storage: a sign-in session, which keeps you signed in and holds your email address and name, and your language choice. Both are strictly necessary to provide what you asked for, so Romanian law (Law no. 506/2004) does not require your consent for them. You can delete them in your browser settings. The hosting provider’s script (section 3) is different. It sets three cookies on the infiniflow.me domain, on the website and in the MVP alike: _tccl_visitor, a visitor identifier kept for a year, and _tccl_visit and _scc_session, which last 30 and 20 minutes. They are not needed to show you our pages and are set without asking you. You can block or delete these cookies in your browser settings. The outside services named in section 3 may have their own cookie practices; their policies are on their websites.

11. Security

The website is available over HTTPS, and the MVP requires it. The MVP uses a managed database service with sign-in and access rules. The MVP is a prototype and has not yet been independently reviewed for security; its access rules may allow other signed-in users to see some details of your profile (name, phone number, date of birth, sex, height, weight and country). We plan to review it before it is used more widely. Tell us at admin@infiniflow.me if you find a weakness. Unless a personal data breach is unlikely to put you at risk, we will notify the supervisory authority; if the risk is high, we will also notify you, as the law requires.

12. Your rights

Under the GDPR you have the right to:

• access your data and receive a copy;
• have inaccurate data corrected;
• have your data erased;
• restrict how we use your data;
• receive the data you gave us in a common format and have it sent to another service (portability);
• object to processing that rests on our legitimate interest;
• withdraw your consent at any time, without affecting what was done before;
• not be subject to a decision based solely on automated processing that has legal or similarly significant effects (we make no such decisions).

To use any of these rights, email admin@infiniflow.me. We may ask you to confirm who you are, but only with what is needed. We reply within one month; if your request is complex we may extend this by up to two more months and we will tell you why. It is free, unless a request is clearly unfounded or excessive.

13. Complaints

If you think we have handled your data unlawfully, please write to us first so that we can put it right. You also have the right to complain to the Romanian data protection authority, the National Supervisory Authority for Personal Data Processing (ANSPDCP, www.dataprotection.ro), or to the authority in the country where you live or work, and to go to court.

14. Children

The MVP and the app are for adults, aged 18 or over. The MVP does not check your age yet. We do not knowingly collect personal data from children. If you think a child has given us data, write to admin@infiniflow.me and we will delete it.

15. Changes to this policy

We will post any change on this page with its date. If a change matters for your data in the MVP or the app, we will tell you by email before it applies. This is draft 3, written on 30 October 2026.

1. Cine este operatorul datelor

INFINI FLOW S.R.L. („infiniflow”, „noi”) este operatorul datelor cu caracter personal descrise în această politică, cu excepția cazurilor în care politica indică un alt operator.

Societate

INFINI FLOW S.R.L.

Contact pentru protecția datelor

admin@infiniflow.me

Nu am desemnat un responsabil cu protecția datelor. Scrieți-ne la adresa de mai sus pentru orice întrebare despre datele dumneavoastră sau pentru a vă exercita drepturile (secțiunea 12).

2. Ce acoperă această politică

Această politică acoperă trei lucruri:

• Site-ul: infiniflow.me/presentation/, pagina de prezentare și această pagină (secțiunea 3).
• MVP-ul: infiniflow.me, un prototip funcțional pe care îl prezentăm în scop de evaluare (secțiunea 5).
• Aplicația: aplicația infiniflow, aflată în teste închise și folosită doar de fondatorii ei (secțiunea 7).

Alte site-uri către care trimitem și serviciile pe care le conectați dumneavoastră, de exemplu contul unui producător de ceasuri, au propriile politici de confidențialitate.

3. Site-ul

Site-ul este o pagină de prezentare. Nu are înregistrare, formulare, publicitate sau instrumente proprii de analiză, iar propriul său cod nu setează cookie-uri și nu stochează nimic pe dispozitivul dumneavoastră. Scriptul furnizorului nostru de găzduire, descris mai jos, setează însă cookie-uri.

Când deschideți pagina principală, browserul dumneavoastră contactează furnizorul nostru de găzduire și alte două servicii. Fiecare primește datele tehnice pe care le conține orice cerere web: adresa IP, ora, pagina solicitată și detalii despre browser și dispozitiv.

• GoDaddy, furnizorul nostru de găzduire, livrează paginile și păstrează jurnale de server pentru a livra, a securiza și a repara site-ul. Inserează totodată în fiecare pagină pe care o livrează, atât pe site, cât și în MVP, un script propriu. Scriptul setează trei cookie-uri pe dispozitivul dumneavoastră (secțiunea 10) și raportează fiecare vizită către GoDaddy: un identificator al vizitatorului, adresa paginii, pagina de proveniență, detalii despre browser și dispozitiv și timpii de încărcare a paginii.
• Google Fonts (Google) furnizează fonturile paginii principale.
• cdnjs (Cloudflare) furnizează biblioteca grafică ce desenează animația din pagina principală.

Folosim aceste date doar pentru a vă afișa pagina și a menține site-ul în funcțiune. Nu le combinăm cu alte date despre dumneavoastră. Temei juridic: interesul nostru legitim de a administra și a securiza un site, conform art. 6 alin. (1) lit. f) din Regulamentul (UE) 2016/679 („GDPR”).

4. Când ne scrieți

Dacă scrieți la admin@infiniflow.me, primim adresa dumneavoastră de e-mail, numele dumneavoastră, dacă apare, mesajul și orice atașați. Le folosim pentru a vă răspunde și pentru a păstra o evidență a conversației. Temei juridic: interesul nostru legitim de a răspunde solicitărilor și, atunci când ne cereți ceva ce necesită datele dumneavoastră, efectuarea de demersuri la cererea dumneavoastră, conform art. 6 alin. (1) lit. f) și b) din GDPR. Serviciul nostru de e-mail este găzduit de Google (Google Workspace), care prelucrează mesajele în numele nostru. Vă rugăm să nu trimiteți documente medicale prin e-mail. Pagina de contact a MVP-ului doar deschide aplicația dumneavoastră de e-mail cu mesajul pregătit; nimic nu ajunge la noi până nu îl trimiteți.

5. MVP-ul

MVP-ul de la infiniflow.me este un prototip funcțional pe care îl prezentăm în scop de evaluare, de exemplu evaluatorilor unui program de finanțare și persoanelor pe care le invităm să îl încerce. Nu este un produs finalizat și nu oferă sfaturi medicale. Dacă puteți, folosiți documente de test în loc de actele dumneavoastră medicale reale, deoarece un prototip nu a trecut prin verificarea de securitate pe care o va avea un produs finalizat. Nu încărcați niciodată documente despre alte persoane.

Ce prelucrăm

Administratorii MVP-ului pot vedea conturile, datele din profil și statisticile de utilizare, inclusiv țara fiecărui cont, pentru a oferi suport utilizatorilor și a derula evaluarea. De asemenea, pot crea un cont pentru o persoană care a cerut unul și pot șterge conturi. O fotografie de profil, dacă încărcați una, este păstrată în spațiul de stocare a fișierelor al MVP-ului, unde orice persoană care îi cunoaște adresa web o poate deschide. MVP-ul are și un ecran pentru conectarea unui cont Garmin; acesta nu este activ, iar MVP-ul nu primește date de la Garmin.

Nu aveți obligația de a ne furniza aceste date. Fără datele de cont nu vă putem crea contul, iar fără datele privind sănătatea nu funcționează funcțiile care au nevoie de ele (citirea unui buletin, un plan nutrițional, evidența caloriilor).

Temeiuri juridice

• Crearea și administrarea contului și funcțiile pe care le solicitați: executarea unui contract sau efectuarea de demersuri la cererea dumneavoastră, conform art. 6 alin. (1) lit. b) din GDPR.
• Datele dumneavoastră privind sănătatea: consimțământul dumneavoastră explicit, conform art. 9 alin. (2) lit. a) din GDPR. Îl exprimați bifând căsuța de consimțământ atunci când vă completați profilul, după ce ați citit această politică (un cont pe care îl creăm la cererea dumneavoastră nu trece prin acel ecran: vă cerem același consimțământ, în scris, înainte să încărcați date privind sănătatea); căsuța cere consimțământul dumneavoastră pentru prelucrarea datelor privind sănătatea pe care le încărcați sau le introduceți, inclusiv prin servicii de inteligență artificială. Îl puteți retrage oricând, scriind la admin@infiniflow.me; vom șterge apoi datele în cauză. Retragerea nu afectează legalitatea prelucrării efectuate înainte de retragere.
• Menținerea MVP-ului în siguranță și în funcțiune și răspunsul la mesajele dumneavoastră: interesul nostru legitim, conform art. 6 alin. (1) lit. f) din GDPR.
• Respectarea legii, de exemplu răspunsul la o cerere legală a unei autorități: obligație legală, conform art. 6 alin. (1) lit. c) din GDPR.

Cine primește datele dumneavoastră

• Supabase furnizează baza de date, autentificarea și funcțiile de server ale MVP-ului. Stochează datele și fișierele dumneavoastră, rulează codul care le prelucrează și trimite e-mailurile de autentificare și de resetare a parolei.
• Anthropic, producătorul modelelor de inteligență artificială Claude, primește: întregul document încărcat, pentru ca un model să poată citi valorile (un buletin de analize poate conține tipărit numele dumneavoastră și alți identificatori, iar aceștia sunt transmiși odată cu el); fotografiile meselor trimise spre analiză; iar, pentru întocmirea unui plan nutrițional, sexul dumneavoastră, ținta calorică și o listă a markerilor cu starea lor, de exemplu „crescut” sau „normal”, fără numele sau datele dumneavoastră de contact. A se vedea secțiunea 6.
• Servicii de imagini: imaginile preparatelor dintr-un plan nutrițional sunt create de servicii de imagini bazate pe inteligență artificială (OpenAI și Google, printr-un gateway de inteligență artificială), doar pe baza denumirii, descrierii și ingredientelor preparatului. Unele fotografii ilustrative ale preparatelor se încarcă în browserul dumneavoastră de la serviciul de imagini Unsplash.

Nu vindem date cu caracter personal, nu le folosim pentru publicitate și nu luăm nicio decizie cu privire la dumneavoastră care să producă efecte juridice care vă privesc sau să vă afecteze în mod similar într-o măsură semnificativă.

6. Inteligența artificială

7. Aplicația și datele de la ceas

Astăzi. Aplicația infiniflow se află în teste închise. Este folosită doar de fondatorii ei, pe propriile calculatoare și cu propriile date. Nu prelucrează date despre nicio altă persoană. Când un fondator pornește antrenorul bazat pe inteligență artificială, către Anthropic sunt trimise planul de antrenament și pragurile proprii ale acelui fondator, un rezumat al datelor recente de antrenament și de recuperare (nu fișierele brute), sesiunile planificate față de cele efectuate, ultimele estimări de condiție fizică, versiuni condensate ale planurilor nutriționale și de suplimente (care pot dezvălui greutatea corporală), schimburile anterioare din conversație și întrebarea scrisă; Anthropic returnează un răspuns.

Înainte de deschiderea către alte persoane. Înainte ca aplicația să prelucreze datele altcuiva, vom actualiza această politică, vă vom spune ce date ajung la ce furnizor, vă vom cere separat consimțământul explicit pentru datele privind sănătatea și pentru antrenorul bazat pe inteligență artificială, vă vom permite să retrageți acest consimțământ la fel de ușor cum l-ați dat și vom încheia acorduri de prelucrare a datelor cu furnizorii noștri. Până atunci, nimeni în afara echipei fondatoare nu o poate folosi.

Datele de la ceas. Aplicația este concepută să citească datele de antrenament și de recuperare de la ceasul dumneavoastră sau din serviciul online al producătorului acestuia, de exemplu Garmin Connect, dar numai după ce vă conectați dumneavoastră înșivă contul. În prezent, serviciul niciunui producător de ceasuri nu este conectat pentru vreun utilizator. Când va fi, producătorul rămâne operator independent pentru datele pe care le deține, potrivit propriei politici de confidențialitate; primim de la el doar datele a căror transmitere o permiteți; indicăm sursa datelor atunci când le afișăm; nu vindem aceste date și nu le folosim pentru publicitate. Vă puteți deconecta oricând, iar la cerere vom șterge datele primite prin acea conexiune.

8. Transferuri în afara Spațiului Economic European

Unii dintre furnizorii menționați în această politică se află, sau folosesc servere, în afara Spațiului Economic European, în principal în Statele Unite. În acest caz ne bazăm pe o decizie a Comisiei Europene privind caracterul adecvat al nivelului de protecție (de exemplu Cadrul UE–SUA privind confidențialitatea datelor, pentru furnizorii certificați în temeiul acestuia), pe clauzele contractuale standard ale Comisiei sau pe o altă garanție adecvată prevăzută de capitolul V din GDPR. Puteți cere o copie a garanției aplicabile unui anumit transfer (secțiunea 12).

9. Cât timp păstrăm datele

• Jurnalele site-ului: păstrate de furnizorul nostru de găzduire potrivit propriului program.
• E-mailurile: cât timp o cere rezolvarea chestiunii și cât timp cere legea, apoi sunt șterse.
• Conturile și datele din MVP: MVP-ul nu șterge încă automat datele. Păstrăm un cont și datele lui până când ne cereți să le ștergem sau până când închidem MVP-ul. Dacă închidem MVP-ul, ștergem sau anonimizăm datele. Dăm curs unei cereri de ștergere în cel mult o lună.
• Aplicația: datele proprii ale fondatorilor rămân pe calculatoarele lor până când le șterg.

10. Cookie-uri și tehnologii similare

Nu adăugăm cookie-uri proprii de publicitate, de analiză sau de urmărire și nici pixeli de urmărire, iar propriul nostru cod nu setează cookie-uri în MVP; aplicația fondatorilor setează un singur cookie de autentificare, necesar pentru a-i menține autentificați. MVP-ul stochează în stocarea locală (local storage) a browserului dumneavoastră două elemente mici: o sesiune de autentificare, care rămâne activă și conține adresa dumneavoastră de e-mail și numele, și limba aleasă. Ambele sunt strict necesare pentru a vă furniza ceea ce ați solicitat, astfel încât legea română (Legea nr. 506/2004) nu cere consimțământul dumneavoastră pentru ele. Le puteți șterge din setările browserului. Scriptul furnizorului de găzduire (secțiunea 3) este un caz aparte. El setează trei cookie-uri pe domeniul infiniflow.me, atât pe site, cât și în MVP: _tccl_visitor, un identificator al vizitatorului păstrat un an, și _tccl_visit și _scc_session, care durează 30, respectiv 20 de minute. Nu sunt necesare pentru a vă afișa paginile noastre și sunt setate fără a vă întreba. Puteți bloca sau șterge aceste cookie-uri din setările browserului. Serviciile externe menționate în secțiunea 3 pot avea propriile practici privind cookie-urile; politicile lor se găsesc pe site-urile lor.

11. Securitate

Site-ul este disponibil prin HTTPS, iar MVP-ul funcționează numai prin HTTPS. MVP-ul folosește un serviciu gestionat de baze de date, cu autentificare și reguli de acces. MVP-ul este un prototip și nu a fost încă verificat independent din punct de vedere al securității; regulile sale de acces ar putea permite altor utilizatori autentificați să vadă unele date din profilul dumneavoastră (nume, număr de telefon, data nașterii, sex, înălțime, greutate și țară). Intenționăm să îl verificăm înainte ca el să fie folosit pe scară mai largă. Anunțați-ne la admin@infiniflow.me dacă descoperiți o vulnerabilitate. Cu excepția cazului în care este puțin probabil ca o încălcare a securității datelor cu caracter personal să vă expună unui risc, vom notifica autoritatea de supraveghere; dacă riscul este ridicat, vă vom notifica și pe dumneavoastră, potrivit legii.

12. Drepturile dumneavoastră

Potrivit GDPR, aveți dreptul:

• de acces la datele dumneavoastră și de a primi o copie;
• la rectificarea datelor inexacte;
• la ștergerea datelor;
• la restricționarea prelucrării;
• la portabilitatea datelor: să primiți datele pe care ni le-ați furnizat într-un format uzual și să cereți transmiterea lor către un alt serviciu;
• la opoziție față de prelucrarea întemeiată pe interesul nostru legitim;
• de a vă retrage oricând consimțământul, fără a afecta legalitatea prelucrării efectuate înainte de retragere;
• de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată, care produce efecte juridice care vă privesc sau vă afectează în mod similar într-o măsură semnificativă (nu luăm astfel de decizii).

Pentru a vă exercita oricare dintre aceste drepturi, scrieți la admin@infiniflow.me. Vă putem cere să vă confirmați identitatea, dar numai prin informațiile necesare. Răspundem în cel mult o lună; dacă cererea este complexă, putem prelungi termenul cu cel mult două luni și vă vom explica motivul. Este gratuit, cu excepția cererilor în mod vădit nefondate sau excesive.

13. Plângeri

Dacă apreciați că v-am prelucrat datele în mod ilegal, vă rugăm să ne scrieți mai întâi, pentru a putea îndrepta lucrurile. Aveți de asemenea dreptul de a depune plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP, www.dataprotection.ro) sau la autoritatea din țara în care locuiți ori lucrați, precum și de a vă adresa instanței.

14. Minori

MVP-ul și aplicația sunt destinate adulților, cu vârsta de cel puțin 18 ani. MVP-ul nu verifică încă vârsta dumneavoastră. Nu colectăm cu bună știință date cu caracter personal de la copii. Dacă credeți că un copil ne-a dat date, scrieți la admin@infiniflow.me și le vom șterge.

15. Modificări ale politicii

Vom publica orice modificare pe această pagină, cu data ei. Dacă o modificare contează pentru datele dumneavoastră din MVP sau din aplicație, vă vom anunța prin e-mail înainte să se aplice. Acesta este proiectul 3, redactat la 30 octombrie 2026.