Politica de Confidențialitate

1. Operatorul de Date

Operatorul de date cu caracter personal este:

• Denumire: GALIAN SOFTWARE DEVELOPMENT SRL
• CUI: RO45988048
• Nr. Reg. Com.: J12/2051/2022
• Sediu social: Str. Tulcea 6, Cod 400594, Cluj-Napoca, jud. Cluj, România
• Email general: contact@cursuri-ai.ro

1.1 Punct de Contact pentru Protecția Datelor

Pentru orice solicitări, întrebări sau sesizări legate de prelucrarea datelor cu caracter personal sau pentru exercitarea drepturilor prevăzute de GDPR (acces, rectificare, ștergere, portabilitate, opoziție, restricționare), Utilizatorii pot contacta punctul nostru de contact dedicat protecției datelor:

• Email contact GDPR: contact@cursuri-ai.ro (subiect: „GDPR")
• Adresă poștală: GALIAN SOFTWARE DEVELOPMENT SRL — Str. Tulcea 6, Cod 400594, Cluj-Napoca, jud. Cluj, România (cu mențiunea „În atenția: Responsabil Protecția Datelor")
• Termen de răspuns: maxim 30 de zile calendaristice de la primirea cererii (Art. 12 alin. 3 GDPR)

Notă: Conform Art. 37 GDPR, GALIAN SOFTWARE DEVELOPMENT SRL nu este obligată să desemneze un Responsabil cu Protecția Datelor (DPO) — nu suntem autoritate publică, nu prelucrăm date cu caracter personal la scară largă ca activitate principală și nu prelucrăm categorii speciale de date sau date privind condamnări penale. Cu toate acestea, am stabilit voluntar un punct de contact dedicat pentru a asigura răspunsuri prompte și specializate la solicitările GDPR.

1.2 Autoritatea de Supraveghere

Dacă nu ați primit un răspuns satisfăcător la solicitarea dumneavoastră, aveți dreptul de a depune o plângere la autoritatea de supraveghere:

• Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
• B-dul G-ral. Gheorghe Magheru nr. 28-30, Sector 1, Cod 010336, București
• Telefon: +40.318.059.211 / +40.318.059.212
• Email: anspdcp@dataprotection.ro
• Web: www.dataprotection.ro

Prelucrarea datelor cu caracter personal se realizează în conformitate cu Regulamentul (UE) 2016/679 (Regulamentul General privind Protecția Datelor — GDPR) și Legea nr. 190/2018 privind măsurile de punere în aplicare a GDPR în România.

2. Categorii de Date Personale Colectate

2.1. Date furnizate direct de Utilizator

• Date de identificare: prenume, nume, adresa de email.
• Date de autentificare: parola (stocată exclusiv în formă criptată/hash).
• Date de facturare: informații necesare emiterii facturilor (procesate prin Stripe).
• Feedback voluntar: răspunsurile la sondajele de satisfacție afișate în Platformă (scor de recomandare NPS, scor de satisfacție CSAT și comentariile opționale asociate). Completarea acestor sondaje este întotdeauna voluntară și poate fi refuzată fără nicio consecință.
• Feedback de produs (doar pentru conturile invitate): când echipa îți pornește în cont fereastra de feedback de produs, colectăm ce trimiți voluntar prin ea: felul observației, mesajul, capturile de ecran pe care alegi să le atașezi, pagina de pe care scrii (adresa și titlul), dimensiunea ferestrei și browserul. Capturile se salvează fără metadate (de exemplu fără locația unei fotografii). O captură poate arăta și date ale altor persoane vizibile pe ecran (de pildă numele studenților): fereastra are un instrument cu care le acoperi înainte de trimitere și te rugăm să-l folosești. Feedbackul îl vede doar echipa Cursuri AI; tu vezi în aceeași fereastră starea lui și răspunsul echipei.
• Întrebări și sugestii pe blog: atunci când trimiți voluntar o întrebare sau o sugestie pe un articol de blog, colectăm numele afișat, adresa de email și conținutul mesajului, împreună cu confirmarea acordului tău pentru publicare și data acestuia. Trimiterea este întotdeauna voluntară. După aprobarea de către un moderator, se publică public pe pagina articolului doar numele afișat și conținutul mesajului; adresa de email nu este niciodată publicată și este folosită exclusiv pentru contact în legătură cu mesajul și pentru prevenirea abuzurilor.

2.2. Date colectate automat

• Date tehnice: adresa IP, tipul browserului, sistemul de operare, rezoluția ecranului.
• Date de utilizare: paginile vizitate, cursurile accesate, progresul în cursuri, rezultatele la quizuri și la evaluările de competențe, timpul petrecut pe platformă.
• Evenimente de produs (analytics first-party): interacțiuni în interiorul Platformei (de exemplu: începerea sau finalizarea unei lecții, finalizarea unui curs, finalizarea ghidului de bun venit, utilizarea căutării, începerea unei evaluări de competențe). Aceste evenimente sunt colectate și stocate exclusiv pe serverele noastre, fără instrumente de analiză ale unor terți, și nu conțin date de identificare directă (nume, email) în conținutul evenimentului.
• Evenimente de pâlnie (vizitatori fără cont): pentru a înțelege unde renunță vizitatorii înainte de a-și face cont, înregistrăm evenimente agregate despre paginile comerciale și de conținut (pagina principală, paginile de prezentare a platformei, catalog, pagini de curs, previzualizări, trasee de învățare, blog, prețuri) și despre momentul în care cineva apasă butonul care duce la plată, împreună cu cât s-a derulat din pagină și cât timp a stat pe ea. Aceste evenimente nu conțin adresa IP, niciun identificator de dispozitiv, niciun cookie de urmărire și niciun text introdus de dumneavoastră, și nu sunt transmise unor terți. Dacă nu sunteți autentificat, ele nu sunt legate de nicio identitate. Dacă sunteți autentificat, sunt asociate contului dumneavoastră, la fel ca celelalte evenimente de produs de mai sus. Temeiul este interesul legitim (art. 6 alin. (1) lit. f) GDPR) de a îmbunătăți funcționarea Platformei.
• Cookie-uri și tehnologii similare: conform Politicii de Cookie-uri.

3. Scopurile și Temeiurile Legale ale Prelucrării

3.1 Programarea unei discuții cu echipa noastră

Când programezi o discuție pe o pagină cursuri-ai.ro/programare/…, folosim, la cererea ta, pentru a pregăti și a ține întâlnirea (Art. 6 alin. 1 lit. b GDPR): numele, adresa de email, firma și telefonul, dacă le scrii; răspunsurile la întrebările paginii (de exemplu, câți oameni are echipa, rolul tău, ce vrei să vezi); adresele colegilor pe care alegi să-i inviți, cel mult cinci, folosite doar pentru această întâlnire (invită-i doar dacă știu de ea); ora aleasă, mutările și anulările, cu motivul, dacă îl scrii, și momentul în care ai confirmat că vii. Păstrăm și fusul orar al browserului tău, ca să-ți arătăm ora corect, și de unde ai ajuns pe pagină: parametrii de campanie din link (utm), doar numele site-ului care te-a trimis și doar pagina de intrare, fără restul adresei, ca să știm ce canale aduc discuțiile (interes legitim, Art. 6 alin. 1 lit. f GDPR). Datele ajung la persoana din echipa Cursuri AI cu care vorbești și la managerul ei, în CRM-ul nostru; întâlnirea se creează în Google Calendar, cu linkul Google Meet, iar confirmarea și memento-urile pleacă pe email prin Amazon SES, serviciul de email al AWS (secțiunea 5). Memento-ul poate veni și pe WhatsApp, doar dacă ai bifat separat acordul pentru mesaje WhatsApp lângă numărul de telefon. Le păstrăm împreună cu fișa ta din CRM și le ștergem odată cu ea; poți cere oricând accesul la ele sau ștergerea lor (secțiunea 7).

3.2 Apelurile la numărul nostru de telefon

Când ne suni la 0800 885 813, folosim, ca să-ți răspundem și, dacă apelul s-a pierdut sau ai sunat în afara programului, ca să te sunăm înapoi: numărul de pe care suni (dacă nu e ascuns), ora și durata apelului, dacă ți-a răspuns cineva și colegul care a răspuns, iar după convorbire rezultatul ei și o notă scurtă a colegului. Temeiul este art. 6 alin. (1) lit. b) GDPR când ne suni despre contul tău, o comandă sau o ofertă pe care ne-o ceri, iar pentru celelalte apeluri interesul nostru legitim de a-ți răspunde (lit. f). Convorbirile nu se înregistrează și nu se transcriu. Apelul trece prin Amazon Connect, centrala telefonică a AWS din regiunea Frankfurt (secțiunea 5), și apare în CRM-ul nostru, unde îl văd colegii din echipa Cursuri AI care răspund la telefon și managerii lor; dacă avem deja o fișă a ta sau ne ceri o ofertă, apelul intră în istoricul ei. Amazon Connect păstrează datele apelului 24 de luni, apoi AWS le șterge; în CRM, apelul rămâne în istoricul fișei tale cât timp există fișa. Poți cere oricând accesul la aceste date sau ștergerea lor (secțiunea 7).

4. Durata de Stocare a Datelor

• Date de cont: pe durata existenței contului. După cererea de ștergere, comunicările de marketing se opresc imediat, iar datele sunt anonimizate ireversibil după 30 de zile (perioadă de grație în care poți anula cererea din cont); datele de facturare se păstrează conform punctului următor.
• Date de facturare: 5 ani de la data de 1 iulie a anului următor celui în care au fost întocmite, conform art. 25 din Legea contabilității nr. 82/1991, astfel cum a fost modificată prin Legea nr. 36/2023, sau un termen mai lung dacă legislația fiscală o impune.
• Date de utilizare și progres: pe durata existenței contului; anonimizate la ștergerea contului.
• Evenimente de produs (analytics first-party): pe durata existenței contului; la ștergerea contului, legătura cu utilizatorul este eliminată definitiv, iar datele rămân exclusiv în formă anonimă, agregată.
• Feedback voluntar (NPS/CSAT): pe durata existenței contului; șters definitiv odată cu ștergerea contului.
• Feedback de produs (cu capturile de ecran): cât timp ne e util pentru îmbunătățirea Platformei, cel mult pe durata existenței contului; îl putem șterge mai devreme, după ce l-am rezolvat. Se șterge definitiv, cu tot cu capturi, odată cu ștergerea contului; poți cere oricând ștergerea unui feedback anume scriind la adresa din Secțiunea 1.1.
• Întrebări și sugestii pe blog: mesajele aprobate rămân publicate cât timp articolul este disponibil sau până la retragerea consimțământului ori solicitarea de ștergere; mesajele respinse sau neaprobate sunt șterse în cel mult 12 luni. Îți poți retrage oricând acordul sau poți cere eliminarea mesajului scriind la adresa de contact din Secțiunea 1.1.
• Date despre certificatele de finalizare: registrul de autenticitate (număr, hash de verificare, curs, dată, status valid/revocat) este păstrat indefinit pentru ca terții care primesc certificatul să poată verifica autenticitatea oricând. La ștergerea contului, numele complet al titularului inscripționat în registru se anonimizează („Titular anonimizat"), iar afișarea publică a numelui este dezactivată automat. PDF-urile descărcate anterior rămân în posesia titularului și a destinatarilor lor — anonimizarea nu se aplică retroactiv copiilor distribuite.
• Jurnalul emailurilor trimise: metadatele fiecărui email trimis de Platformă (destinatar, tip de email, subiect, data trimiterii, starea livrării și evenimentele ei), inclusiv ale emailurilor către persoane fără cont, de pildă clienții și persoanele de contact din discuțiile comerciale (ofertă, cod de confirmare, proformă, programare) — 24 de luni de la trimitere; conținutul HTML al emailurilor contului — 90 de zile, apoi este șters automat (pentru emailurile către persoane fără cont, conținutul nu se păstrează). La ștergerea contului sau a datelor din evidența comercială, destinatarul, subiectul, conținutul și codurile promoționale din jurnal se anonimizează (rămân doar cifrele agregate). Detalii în secțiunea 7.1.
• Lead-uri fără cont (adrese lăsate în formularele „trimite-mi programa / ghidul / articole noi” și pe paginile de campanie cu un material): dacă adresa nu este confirmată prin linkul din emailul de verificare (double opt-in), se șterge în 30 de zile; după dezabonare, se șterge în 12 luni. Cererile de ofertă pentru companii se păstrează pe durata demersurilor precontractuale și, dacă nu se încheie un contract, cel mult 12 luni de la ultimul schimb de mesaje.
• Date tehnice (loguri): de regulă 30 de zile, maximum 12 luni.
• Cookie-uri: conform duratelor specificate în Politica de Cookie-uri.

4.bis Datele despre Certificatele de Finalizare

La cererea ta, putem emite atestări private de finalizare a cursurilor (denumite „Certificat de Finalizare"). Prelucrarea datelor pentru aceste documente are caracteristici distincte, descrise mai jos.

4.bis.1 Date prelucrate

• Numele complet (nume + prenume), inscripționat pe certificat la momentul emiterii;
• Adresa de email (pentru livrarea certificatului);
• Numărul certificatului (format: CAI-AAAA-NNNNNN) și hash-ul de verificare (URL public);
• Titlul și versiunea cursului, scorul mediu la quiz-uri, procentul de lecții finalizate, timpul de studiu;
• Textul exact al consimțământului acordat la emitere (câmp consent_snapshot);
• Preferința privind afișarea publică a numelui pe pagina de verificare (câmp public_visibility);
• Asocierea cu contul de companie prin care ai acces, dacă este cazul, și dacă certificatul apare în panoul companiei (câmp shared_with_company, secțiunea 4.septies).

4.bis.2 Scopurile și temeiurile legale

• Emiterea și gestionarea certificatului (conținutul intern al documentului și pagina de verificare nepublică) — art. 6 alin. (1) lit. b) GDPR (executarea contractului dintre titular și Operator);
• Afișarea numelui pe pagina publică de verificare (oricine cu hash-ul vede numele) — art. 6 alin. (1) lit. a) GDPR (consimțământul expres acordat la emitere, retragibil oricând din contul tău);
• Trimiterea emailului de notificare cu certificatul — art. 6 alin. (1) lit. b) GDPR (executarea contractului), email tranzacțional, nu se supune opt-out-ului de marketing;
• Păstrarea registrului de autenticitate după ștergerea contului — art. 17 alin. (3) lit. e) GDPR (necesar pentru constatarea, exercitarea sau apărarea unui drept în instanță — terți care dețin certificatul au interesul legitim să-i verifice autenticitatea);
• Afișarea în panoul companiei a certificatelor emise, începând cu 2 noiembrie 2026, membrilor care au acces prin contul unei companii, pentru cursurile oferite prin acel cont: numărul, cursul, data emiterii, treapta și starea (valabil sau revocat), în pagina companiei, în exportul ei și în dosarul ei de instruire (secțiunea 4.septies) — art. 6 alin. (1) lit. f) GDPR (interesul legitim al companiei care plătește accesul de a ține evidența instruirii pe care o plătește), cu informare explicită la emitere, în textul de consimțământ. Nu apar certificatele emise înainte de această dată, cele pentru cursuri cumpărate de tine și nici cele ale unei instituții de învățământ.

4.bis.3 Destinatari

• Amazon Web Services (Amazon SES) — sub-procesor pentru livrarea emailului tranzacțional de emitere a certificatului (conținut: nume complet, număr certificat, link pagina de verificare); aceeași entitate este listată în tabelul de la secțiunea 5;
• Orice terț care primește de la titular hash-ul certificatului (URL public) — vede câmpurile detaliate la secțiunea „4.bis.1" exclusiv conform preferinței public_visibility (cu nume / fără nume);
• Compania prin care ai acces — administratorul contului de companie vede, cât timp ești membru, numărul, cursul, data emiterii, treapta și starea certificatelor emise începând cu 2 noiembrie 2026 pentru cursurile oferite prin contul companiei; managerul departamentului tău le vede doar în citire. Compania nu primește PDF-ul certificatului; cu numărul, poate verifica certificatul pe pagina de verificare, unde numele tău apare doar dacă ai ales afișarea publică;
• Stripe — niciodată; certificatele nu se transmit către Stripe.

4.bis.4 Drepturile specifice

• Poți activa sau dezactiva oricând afișarea publică a numelui din contul tău (secțiunea „Certificate"). Dezactivarea retrage consimțământul GDPR art. 7 alin. (3) și se propagă imediat pe pagina publică;
• Poți solicita revocarea unui certificat propriu prin email la contact@cursuri-ai.ro. Revocarea înseamnă că pagina publică afișează statusul „Revocat"; documentul nu este șters din registru;
• La ștergerea contului (art. 17 GDPR) numele complet din registrul certificatelor se anonimizează în „Titular anonimizat" iar afișarea publică a numelui se forțează pe false. Verificarea autenticității rămâne operațională pentru cei care au PDF-ul (esențial pentru protecția terților care i-au acordat încredere);
• Pentru detalii complete, vezi Politica de Certificare.

4.ter Datele Destinatarului unui Cadou

Platforma permite cumpărarea unui acces de o lună ca dar pentru altă persoană (pagina „Cadou"). În acest caz, cumpărătorul ne furnizează datele unui terț, iar prelucrarea are particularitățile de mai jos.

4.ter.1 Date prelucrate despre destinatar

• Numele destinatarului (opțional, apare pe felicitare);
• Adresa de email a destinatarului (obligatorie doar dacă cumpărătorul alege livrarea directă; lipsește când cumpărătorul preferă să înmâneze el codul);
• Mesajul personal scris de cumpărător, dacă există;
• Codul cadou, starea lui și, după activare, contul pe care a fost activat.

4.ter.2 Scopurile și temeiurile legale

• Livrarea cadoului către destinatar (emailul cu felicitarea și codul) — art. 6 alin. (1) lit. b) GDPR în raport cu cumpărătorul (executarea contractului încheiat de acesta) și art. 6 alin. (1) lit. f) GDPR în raport cu destinatarul (interesul legitim de a primi un bun cumpărat pentru el);
• Memento-uri despre un cod neactivat — art. 6 alin. (1) lit. f) GDPR; sunt strict limitate ca număr și încetează la activare sau la expirarea codului;
• Informarea cumpărătorului că darul a fost activat — art. 6 alin. (1) lit. b) GDPR.

4.ter.3 Ce NU facem cu adresa destinatarului

Adresa de email a destinatarului nu intră în nicio listă de marketing și nu declanșează nicio secvență comercială. Emailurile pe care le primește pe baza cadoului — livrarea codului, memento-urile despre el, anunțul de final de acces — sunt tranzacționale. Destinatarul primește comunicări comerciale (inclusiv invitația de a continua după luna primită) numai dacă își creează cont pe platformă și își exprimă el însuși consimțământul, conform secțiunii 7.1; fără acel consimțământ, nu îi trimitem niciun mesaj comercial.

4.ter.4 Drepturile destinatarului

• Poate ignora cadoul: nu i se creează niciun cont și nu se prelucrează nimic în plus;
• Poate cere ștergerea datelor sale legate de cadou scriind la contact@cursuri-ai.ro; ștergem numele, adresa și mesajul, păstrând doar codul și evidența contabilă a comenzii cumpărătorului;
• Datele destinatarului se păstrează cât timp codul poate fi activat, plus termenele contabile aplicabile comenzii cumpărătorului (secțiunea 4).

4.quater Programul de Afiliere

Platforma are un program propriu de afiliere (pagina programului și secțiunea 13.4 din Termeni și Condiții). Prelucrarea privește două categorii de persoane: partenerii și persoanele care ajung pe Platformă prin linkul unui partener.

4.quater.1 Datele partenerilor

• Date de identificare și contact: numele, adresa de email și numărul de telefon;
• Date de facturare, completate de partener în Setări: adresa (persoane fizice) sau denumirea, CUI-ul, numărul de înregistrare la Registrul Comerțului și adresa (firme);
• Date de plată: IBAN-ul, numele titularului contului și banca;
• Facturile încărcate de firme pentru cererile de plată;
• Codul și linkul de afiliere, numele personalizat ales pentru link, comisioanele calculate, cererile de plată și plățile efectuate.
• Ce ne spui în cererea de înscriere (toate opționale): site-ul și profilurile publice pe rețelele sociale, canalele pe care vrei să ne recomanzi, mărimea aproximativă a audienței și cum vrei să ne recomanzi; plus versiunea condițiilor programului pe care le-ai acceptat, data acceptării și o amprentă criptografică a adresei IP (nu adresa în sine), ca dovadă a acceptării.

Scopuri și temeiuri: gestionarea contului de partener, calculul și plata comisioanelor și emailurile legate de acestea — art. 6 alin. (1) lit. b) GDPR (executarea contractului de afiliere); păstrarea documentelor justificative ale plăților — art. 6 alin. (1) lit. c) GDPR (obligații legale contabile și fiscale). Durata: cât timp există contul de partener; documentele justificative ale plăților, conform termenelor de la secțiunea 4.

4.quater.2 Ce află partenerul despre persoanele recomandate

Dacă îți creezi cont după ce ai ajuns pe Platformă prin linkul unui partener (atribuirea este posibilă doar dacă ai acceptat cookie-urile de marketing, vezi Politica de Cookie-uri) sau prin invitația unei companii al cărei administrator este partener, partenerul vede în contul său: numele tău, adresa de email parțial ascunsă (de exemplu, io***@exemplu.ro), data creării contului, dacă ai efectuat o plată și comisionul care îi revine. Primește și câte un email cu numele tău când îți creezi contul și când prima ta plată generează comision. Pentru o comandă de cadou sau de advertorial plătită prin linkul unui partener, acesta vede numele cumpărătorului sau al firmei și comisionul.

Partenerul nu vede datele tale de plată, cursurile pe care le parcurgi sau alte date din contul tău.

Temei: art. 6 alin. (1) lit. f) GDPR — interesul legitim al Operatorului și al partenerului de a calcula și verifica transparent comisionul datorat pentru o recomandare. Te poți opune acestei prelucrări (art. 21 GDPR) scriind la adresa din secțiunea 1.1.

4.quater.3 Echipele de afiliați

Dacă ești partener într-o echipă de afiliați (condițiile programului, „Echipe de afiliați”), liderul echipei vede în contul său numele și adresa ta de email, starea contului tău de partener, data intrării în echipă, procentul tău, numărul de clickuri, de conturi și de clienți aduși de tine și comisioanele tale și pe ale lui din vânzările tale. Liderul nu vede datele clienților aduși de tine, datele tale de plată sau facturare. Temei: art. 6 alin. (1) lit. b) GDPR — executarea condițiilor programului de afiliere pe care le-ai acceptat intrând în echipă. Datele nu mai sunt afișate liderului după ce ieși din echipă; comisioanele împărțite deja rămân în evidența plăților.

4.quinquies Comenzile de Advertorial

Prin pagina Advertoriale (și secțiunea 13.6 din Termeni și Condiții) firmele și alți profesioniști (de exemplu, PFA) pot comanda publicarea unui articol publicitar plătit. Pentru o comandă prelucrăm:

• datele persoanei de contact: numele, adresa de email și, dacă îl completezi, numărul de telefon;
• denumirea firmei și site-ul promovat; adresa de facturare și codul fiscal se completează în pagina de plată Stripe;
• conținutul brief-ului: produsul promovat, mesajul, publicul, îndemnul, linkurile și observațiile, textul articolului dacă îl trimiți tu și, în domeniile reglementate, informațiile de conformitate (de exemplu, licența, autorizarea sau sponsorul campaniei);
• evidența comenzii: pachetul, suma, momentul acceptării condițiilor, starea plății și a publicării, legătura cu contul tău, dacă ești autentificat, și codul partenerului, dacă ai ajuns prin linkul unuia.

Scopuri și temeiuri: executarea comenzii — plata, emailul cu linkul către brief, redactarea, verificarea și publicarea articolului și comunicarea pe durata comenzii — art. 6 alin. (1) lit. b) GDPR, iar pentru persoana de contact desemnată de firmă, interesul nostru legitim de a comunica cu clientul, lit. f); facturarea și evidența contabilă — lit. c); calculul comisionului, când comanda vine prin linkul unui partener (secțiunea 4.quater).

Destinatari și păstrare: plata se procesează de Stripe, iar emailurile legate de comandă pleacă prin Amazon SES, serviciul de email al AWS (secțiunea 5). Articolul publicat conține numele sponsorului și linkurile convenite, nu datele persoanei de contact. Comenzile începute și neplătite se șterg automat după 3 zile. Pentru comenzile plătite, datele se păstrează cât e necesar pentru executarea contractului, inclusiv cât timp articolul rămâne publicat, și pentru apărarea drepturilor născute din el; datele de facturare, conform secțiunii 4. Poți cere oricând accesul, rectificarea sau ștergerea datelor care nu ne mai sunt necesare și te poți opune prelucrării întemeiate pe interesul legitim (art. 21 GDPR), scriind la adresa din secțiunea 1.1.

4.sexies Accesul prin Instituții de Învățământ

O instituție de învățământ (de exemplu, o universitate) poate folosi Platforma în activitatea ei didactică și poate da acces cadrelor didactice și studenților săi. Dacă ai contul legat de o astfel de instituție — printr-o invitație primită pe email sau prin linkul ori codul unei discipline —, pe lângă restul acestei politici se aplică regulile de mai jos. Ele îți sunt prezentate pe scurt și pe pagina de înscriere, înainte să intri la o disciplină, într-o notă de informare cu versiune; când nota se schimbă, aplicația ți-o arată din nou, ca să confirmi că ai citit-o.

4.sexies.1 Cine răspunde de date

• Instituția hotărăște să folosească Platforma la disciplinele ei și urmărește parcursul studenților săi. Pentru această urmărire ea este operator, iar GALIAN SOFTWARE DEVELOPMENT SRL prelucrează datele în numele ei, ca persoană împuternicită (art. 28 GDPR), pe baza contractului încheiat cu instituția. Temeiul legal al acestei prelucrări îl stabilește instituția.
• Pentru contul tău — crearea lui, autentificarea, securitatea, conversațiile cu Profesorul Virtual AI, emailurile de serviciu și obligațiile noastre legale — rămânem operator, ca pentru orice Utilizator, în temeiul art. 6 alin. (1) lit. b) GDPR (Termenii pe care îi accepți la crearea contului).

4.sexies.2 Date prelucrate în plus

• apartenența la instituție și rolul tău (student, profesor sau administrator); pentru profesori, titlul didactic afișat studenților;
• disciplinele la care ești înscris, data și calea înscrierii (cod, invitație sau adăugare de către profesor), grupa sau seria, dacă o completezi tu ori profesorul, versiunea notei de informare care ți-a fost afișată și momentul în care ai confirmat-o;
• întrebările pe care le trimiți profesorului din lecții și răspunsurile lui. Dacă profesorul cere o propunere de răspuns, textul întrebării (cu mesajele anterioare ale firului), titlul lecției și conținutul ei, cu pasaje din cărțile disciplinei, ajung la furnizorul de AI (Anthropic, ca la Profesorul Virtual AI), fără numele tău sau adresa ta de email; propunerea nu ți se trimite: răspunsul îl citește, îl adaptează și îl trimite profesorul, semnat cu numele lui;
• temele pe care le predai la o disciplină (textul și fișierele), momentul predării, punctajul și observațiile profesorului;
• încercările tale la testele online ale disciplinei: când le-ai început și încheiat, ce ai răspuns și punctajul obținut;
• notele trecute de profesor în catalogul disciplinei, cu sesiunea fiecăreia (normală, restanță sau mărire), și nota finală;
• la o componentă a notei încheiată înainte de înscrierea ta, hotărârea celor care predau la disciplină: echivalarea (o notă din situația ta școlară anterioară, cu observația lor, pe care o vezi și tu) sau scutirea (componenta nu intră în media ta, iar celelalte se socotesc pe restul ponderii; motivul notat îl văd doar cei care predau), cu numele celui care a hotărât și momentul hotărârii;
• contestațiile pe care le depui la o notă publicată: textul tău, nota contestată, momentul depunerii și răspunsul titularului (admisă, cu nota nouă, sau respinsă, cu motivul lui);
• prezența consemnată de profesor la întâlnirile disciplinei (curs, seminar, laborator);
• în sala live a unui curs: prezența pe care ți-o consemnezi cu codul sau cu codul QR arătat de profesor pe ecran intră în foaia de prezență a întâlnirii, ca mai sus, cu ora la care ai făcut-o; ca de pe un telefon să se facă prezența unui singur student la o întâlnire, ținem o amprentă a telefonului (un număr aleator din cookie-ul UNIVERSITY_DEVICE, fără model, număr de telefon sau locație), iar o încercare de pe telefonul cu care și-a făcut deja prezența un coleg e refuzată și o vede profesorul, cu numele amândurora; amprenta și încercările se șterg odată cu sala, la cel mult 30 de zile după curs; răspunsurile tale la întrebările rapide puse clasei nu se notează, profesorul vede doar câți au ales fiecare variantă, iar răspunsurile se păstrează cel mult 30 de zile după încheierea cursului;
• prelungirile de termen pe care ți le dă profesorul la o temă sau la un test, cu motivul notat de el (îl văd doar cei care predau la disciplină);
• mesajele pe care le scrii în discuțiile disciplinei;
• notificările din aplicație despre ce s-a întâmplat pentru tine (o notă publicată, o temă evaluată, un termen prelungit, un răspuns la un mesaj sau la o contestație a ta, o temă sau un test nou, un termen schimbat, o întâlnire mutată sau anulată), păstrate 90 de zile;
• dacă pornești notificările pe telefon (doar la cererea ta, din clopoțel sau din profil, și numai cu permisiunea dată de browser): pentru fiecare dispozitiv, adresa dată de serviciul de notificări al browserului, cheile cu care se criptează mesajul pentru el, numele scurt al dispozitivului (de exemplu „iPhone · Safari”), data pornirii, momentul ultimei notificări primite și numărul trimiterilor eșuate la rând;
• dacă îți creezi linkul personal de calendar (din Calendar, ca aplicația ta de calendar, de pildă Google Calendar, Apple Calendar sau Outlook, să-ți citească singură orarul): păstrăm doar amprenta linkului, nu linkul însuși, momentul creării și momentul ultimei citiri. Linkul se arată o singură dată. Oricine îl are vede prin el, fără autentificare, calendarul tău din aplicație: pentru student, întâlnirile grupei lui și termenele care i se adresează, doar ce e publicat; pentru cine predă, ale disciplinelor lui, fără ciorne; de fiecare, titlul, disciplina, ora și locul, fără note, fără prezență și fără numele studenților. Aplicația de calendar pe care o alegi tu îl citește de pe serverele ei. Îl poți înlocui oricând cu unul nou (cel vechi nu mai merge) sau îl poți opri;
• faptul că ai completat evaluarea unei discipline, nu și ce ai răspuns: răspunsurile se păstrează fără nicio legătură cu tine;
• adresa de email pe care un profesor sau un administrator al instituției ți-a trimis o invitație; adresa ne este furnizată de instituție, iar invitația este valabilă 14 zile;
• dacă instituția își organizează studenții pe facultăți, programe și serii: rândul tău din lista seriei, așa cum îl trimite secretariatul instituției (adresa de email, numele, grupa și, dacă îl trimite, numărul matricol, pe care administratorul instituției îl poate corecta), cu programul de studii, anul de studiu și anul universitar ale seriei; lista o vede doar administratorul instituției. Cei care predau la disciplinele tale văd numele seriei, în antetul disciplinei, și numărul tău matricol, lângă numele tău (în lista studenților, în catalog, în foaia de prezență, în fișa ta și în fișierele pe care le descarcă), iar tu îți vezi numărul matricol în profil, fără să-l poți schimba. Lista nu te înscrie la nimic: pe baza ei, administratorul te poate înscrie la disciplinele anului (dacă ai deja cont de student în instituție, cu adresa de email confirmată) sau îți poate trimite invitații (și când contul tău de student are adresa neconfirmată; dacă îți confirmi adresa cât invitațiile sunt valabile, intri la disciplinele lor);
• dacă predai la o disciplină: semnalările de greșeli pe care le trimiți echipei noastre despre o lecție a unui curs propriu al instituției (textul tău, secțiunea lecției și pasajul selectat, dacă e unul, cu numele, titlul didactic și adresa ta de email, disciplina, momentul trimiterii și starea semnalării: nouă sau rezolvată). Le vede echipa noastră, în administrarea platformei și în emailul pe care îl primește, la care îți poate răspunde pe adresa ta; în jurnalul de administrare al instituției rămâne doar faptul că ai trimis o semnalare (lecția, secțiunea, disciplina), fără textul ei;
• dacă predai la o disciplină și instituția folosește Biblioteca (cărțile disciplinei, pe care Profesorul Virtual AI, Pacienții AI, generatorul de subiecte și cel de întrebări pentru banca profesorului le folosesc și le citează, cu sursa): pentru fiecare carte pe care o încarci, numele tău ca cel care a încărcat-o și a declarat temeiul drepturilor asupra ei, temeiul ales, momentul declarației și versiunea textului ei. Cartea se păstrează în spațiul de stocare privat al instituției, în Uniunea Europeană; paginile scanate le citește furnizorul de AI (Anthropic, ca la Profesorul Virtual AI), fără numele tău. Căutările tale din „Încercați o întrebare” nu se salvează. Datele declarației rămân cât cartea e în bibliotecă; după scoaterea ei păstrăm doar o urmă, fără conținutul cărții (titlul, temeiul, cine și când l-a declarat, momentul și motivul scoaterii), cât timp un titular de drepturi poate ridica o pretenție, ca să putem dovedi pe ce temei am prelucrat cartea (interesul nostru legitim, art. 6 alin. (1) lit. f) GDPR);
• dacă predai la o disciplină și instituția folosește Pacienții AI: datele pe care le dai generatorului de cazuri clinice (diagnosticul, contextul, nivelul, obiectivele, capcanele și, dacă alegi, date anonimizate dintr-un caz real) sunt trimise furnizorului de AI (Anthropic, ca la Profesorul Virtual AI) ca să genereze un caz cu un pacient fictiv, fără numele sau adresa ta de email. Datele dintr-un caz real se trimit doar la primul pas al generării și se șterg după el (rămâne doar faptul că le-ai dat); un text cu un CNP, un număr de telefon, o adresă de email sau o dată calendaristică completă este refuzat. Nu introduce nimic care ar putea identifica un pacient real. Restul datelor date generatorului rămân la caz, cu costul generării, cât timp există cazul, și le văd cei care predau la disciplină și administratorii instituției;
• mesajele pe care ni le trimiți cu „Semnalează o problemă” din meniul contului: textul tău, cu numele și adresa ta de email, instituția, rolul tău în ea, versiunea aplicației, browserul și, dacă alegi să o incluzi, pagina pe care erai (fără datele altor studenți), plus numărul de referință și starea mesajului. Le citește echipa noastră, în administrarea platformei și în emailul pe care îl primește, la care îți poate răspunde pe adresa ta; instituția nu le vede;
• dacă instituția folosește Pacienții AI (consultații clinice simulate) și disciplina ta are cazuri: consultațiile tale cu pacientul simulat — un pacient fictiv, jucat de un model AI —, adică ce i-ai spus și ce ți-a răspuns, aparatele examinate, investigațiile cerute și rezultatele primite, intervențiile, timpul simulat, notițele tale și concluzia trimisă (diagnosticul, diagnosticul diferențial, argumentarea și conduita), cu concordanța și observația puse de profesor. Întrebările tale către pacient (cu replicile anterioare ale consultației) sunt trimise furnizorului de AI (Anthropic, ca la Profesorul Virtual AI) pentru a genera răspunsul pacientului; nu îi trimitem numele tău sau adresa ta de email. Examinarea, rezultatele investigațiilor și evoluția pacientului vin din cazul scris de autor, fără AI. Nu scrie în consultație date despre pacienți reali. Consultațiile se șterg odată cu înscrierea ta la disciplină;
• dacă instituția folosește simularea clinică: rezultatele antrenamentului din Human Atlas (testele de identificare anatomică, vizibile doar membrului): pentru fiecare test, tipul și nivelul lui, sistemele alese, momentul, durata și, la fiecare întrebare, structura întrebată, dacă ai răspuns corect, din câte încercări și în cât timp. Se păstrează ultimele 300 de teste, până le ștergi tu din panoul de progres, până ieși din instituție sau până îți ștergi contul;
• jurnalul de administrare al instituției: cine a invitat, a înscris, a scos sau a suspendat pe cine și când.

Pe pagina de înscriere cu linkul sau codul unei discipline îți cerem adresa de email ca să îți trimitem un link de confirmare, valabil 48 de ore. Adresa nu intră în evidența disciplinei până când nu deschizi linkul și nu termini înscrierea.

4.sexies.3 Ce vede profesorul și ce nu vede

Profesorul unei discipline vede, despre studenții înscriși la ea și numai pentru cursurile disciplinei:

• numele și adresa de email, grupa sau seria (dacă e completată), numărul matricol (dacă l-a trimis secretariatul), data și calea înscrierii;
• lecțiile deschise și terminate, inclusiv progresul făcut la aceste cursuri înainte de înscriere;
• timpul petrecut la fiecare lecție, rezultatele la quizuri (pe lecție și media lor) și data ultimei activități;
• întrebările trimise din lecțiile acestor cursuri;
• temele pe care le-ai predat (textul și fișierele), încercările la testele online cu punctajul lor, notele din catalog (pe sesiuni), echivalările și scutirile și contestațiile tale la ele, prezența consemnată la întâlniri și prelungirile de termen primite;
• consultațiile tale cu pacienții AI ai disciplinei, întregi (dialogul cu pacientul simulat, acțiunile, rezultatele și concluzia), cu ce ai acoperit din investigațiile și anamneza-cheie ale cazului. Concordanța diagnosticului o propune întâi o regulă fixă a cazului (îți compară diagnosticul cu formulările acceptate scrise de autorul cazului, fără AI), iar profesorul o poate schimba; tu o vezi, cu observația lui, după ce scenariul adevărat îți este arătat.

Aceleași date le văd și cei care predau la disciplină alături de titularul ei (de exemplu, asistenții de seminar sau de laborator). Punctajul unui test online se socotește după cheia de răspunsuri scrisă de profesor; notele și observațiile le dă profesorul, nu un sistem automat.

Discuțiile disciplinei sunt la vedere pentru toți cei înscriși la ea: mesajele pe care le scrii acolo apar, cu numele tău, și colegilor tăi, nu doar celor care predau. Evaluarea disciplinei de către studenți este anonimă: profesorul și administratorii instituției văd doar rezultatele adunate, și numai de la cinci răspunsuri în sus.

Fișierele pe care le predai sunt păstrate într-un spațiu de stocare privat și verificate automat împotriva programelor rău-intenționate înainte să poată fi descărcate de profesor.

Profesorul poate descărca aceste date ca fișier (un tabel sau, pentru note, catalogul de semnat, în PDF). Administratorii instituției văd aceleași date, pentru toate disciplinele ei. Echipa noastră are acces la ele numai pentru suport tehnic, securitate și tratarea sesizărilor privind conținutul.

Nici profesorul, nici administratorii instituției nu văd conversațiile tale cu Profesorul Virtual AI, notițele, semnele de carte și fișele tale, activitatea ta la cursuri din afara disciplinei sau parola contului.

4.sexies.4 Emailuri

Emailurile legate de acest acces — invitația, linkul de confirmare a adresei, anunțul unei întrebări noi (pentru profesor) și al unui răspuns (pentru student), anunțurile și mementoul pe care profesorul disciplinei ți le poate trimite despre ea, vestea că o temă a fost evaluată sau că au fost publicate note, mementoul de dinaintea termenului unei teme sau al unui test, vestea că o întâlnire a disciplinei a fost anulată ori că a fost mutată cu mai puțin de 48 de ore înainte, anunțul către administratorii instituției că termenul de acces se apropie și, după ștergerea instituției din platformă, mesajul către administratorii ei cu ce s-a șters (în cifre), cât mai rămân datele în copiile de siguranță și cum își pot șterge propriul cont — sunt emailuri de serviciu (secțiunea 7.1). Invitația pleacă pe o adresă dată de instituție, în temeiul interesului legitim al acesteia și al nostru de a o transmite (art. 6 alin. (1) lit. f) GDPR); dacă o ignori, nu ți se creează niciun cont. Contul deschis prin instituție nu este înscris la comunicări comerciale (acestea cer consimțământul tău separat, conform secțiunii 7.1), iar ofertele adresate celor fără abonament nu se trimit membrilor unei instituții.

Notificările pe telefon pleacă doar spre dispozitivele pe care le-ai pornit tu, în temeiul consimțământului tău (art. 6 alin. (1) lit. a) GDPR), pe care îl retragi oricând: pe un dispozitiv sau peste tot, din clopoțel sau din profil, ori din setările browserului. Ele repetă pe scurt vestile din clopoțel, fără note și fără numele altor studenți, și anunță cursul live al grupei tale; între 22:00 și 07:00 (ora României) pleacă doar anunțul cursului live. Mesajul trece prin serviciul de notificări al producătorului browserului tău (de exemplu Google, Apple, Mozilla sau Microsoft), ales de browser, nu de noi, care poate funcționa și în afara Uniunii Europene; conținutul este criptat cap-coadă, deci serviciul vede adresa dispozitivului, momentul și mărimea mesajului, nu și textul lui. Profesorul și administratorii instituției nu văd dacă ai pornit notificările.

4.sexies.5 Cât păstrăm datele și cum ieși

• Poți ieși oricând dintr-o disciplină, din aplicație; te poate scoate și profesorul sau un administrator al instituției. Din acel moment profesorul nu îți mai vede progresul. Când nu mai ești la nicio disciplină, legătura contului cu instituția se șterge; contul rămâne al tău, în condițiile secțiunii 4. Dacă instituția ți-a suspendat accesul, legătura rămâne, cu înscrierile tale, până la reactivare sau până când un administrator te scoate din instituție; cât ești suspendat nu primești notificări (nici în aplicație, nici pe telefon), iar linkul personal de calendar nu funcționează, dar dispozitivele cu notificări și linkul rămân păstrate până atunci.
• Întrebările trimise profesorului rămân în evidența disciplinei până la ștergerea ei sau a contului tău; le ștergem mai devreme la cererea ta.
• Temele predate, încercările la teste, notele (cu contestațiile lor, echivalările și scutirile) și prezența rămân în evidența disciplinei până când ești scos din ea, până la ștergerea ei sau a contului tău. Cât ai astfel de activitate consemnată, nu poți ieși singur din disciplină: retragerea o face profesorul, iar ștergerea contului rămâne oricând la îndemâna ta. Un fișier șters mai poate rămâne cel mult 30 de zile în copiile de siguranță ale spațiului de stocare.
• Invitațiile neacceptate se șterg la 90 de zile după ce au expirat sau au fost anulate.
• Semnalările de greșeli în lecții rămân până la ștergerea contului tău, a lecției sau a instituției.
• Mesajele trimise cu „Semnalează o problemă” se șterg la 12 luni de la ultimul schimb de mesaje, ca cele trimise prin formularul de contact (secțiunea 4). La ștergerea contului rămâne din ele doar urma cererii (numărul de referință, starea și momentele), fără numele, adresa și textul tău.
• Rândul tău din lista unei serii rămâne până când administratorul instituției te scoate din listă (sau o înlocuiește cu una fără tine) ori până la ștergerea seriei, a programului sau a facultății ei. Dacă adresa ta nu ajunge la un cont în instituție, rândul se șterge singur la 60 de zile după încheierea anului universitar al seriei (30 septembrie); la același termen, adresa ta iese și din rezultatul înscrierii seriei, dacă acolo a fost refuzată (de exemplu, pentru că aparține altei instituții).
• Datele unui dispozitiv cu notificări pe telefon se șterg când oprești notificările pe el sau peste tot, când ieși din cont pe acel dispozitiv, când serviciul de notificări ne spune că adresa nu mai există (de exemplu, după ce ai blocat notificările din browser), după 10 trimiteri eșuate la rând sau odată cu ieșirea din instituție ori cu ștergerea contului.
• Linkul personal de calendar (amprenta lui și cele două momente) se șterge când îl oprești, când ieși din instituție sau când îți ștergi contul; când îl înlocuiești cu unul nou, rămâne doar cel nou.
• La ștergerea contului se șterg apartenența, înscrierile, întrebările, invitațiile, semnalările de greșeli în lecții și rândurile tale din listele de serie (iar adresa ta iese dintre cele refuzate la înscrierea unei serii), împreună cu temele predate, încercările la teste, notele, echivalările și scutirile, contestațiile și prezența; mesajele tale din discuțiile disciplinelor rămân în firul lor fără numele și fără textul tău, iar numele tău din jurnalul de administrare (și după ce ai ieșit din instituție) și din notificările primite de alții (de pildă, vestea unui răspuns al tău într-o discuție) se înlocuiește cu mențiunea „Cont șters”. Dacă nu ți-ai confirmat adresa de email, ce privește doar adresa (invitațiile trimise pe ea, rândul ei din lista unei serii, refuzurile ei la înscrierea unei serii și rândurile de jurnal care o pomenesc, dar nu sunt scrise de contul tău și nici nu-l numesc) nu se șterge odată cu contul, fiindcă poate fi al titularului adresei; invitațiile și rândurile fără cont se șterg oricum la termenele de mai sus.
• La încetarea colaborării cu instituția, datele prelucrate în numele ei se șterg sau i se predau, potrivit contractului cu aceasta. Pentru predare, administratorul instituției poate cere din aplicație o arhivă cu datele instituției, în mai multe părți (tabelele cu înscrierile, notele, prezența și celelalte date de mai sus, cu materialele și temele predate; din evaluarea disciplinei, doar rezultatele adunate, ca în aplicație, fără cine a răspuns și ce; nu intră notificările din aplicație și cele pe telefon, linkul personal de calendar, răspunsurile la întrebările rapide din sala live și amprentele telefoanelor de pe care s-a făcut prezența acolo, care se șterg fără să fie predate); arhiva o pot descărca doar cel care a cerut-o și echipa noastră, din administrarea platformei. Se poate descărca 7 zile; se șterge la curățenia zilnică următoare, iar copia de siguranță a spațiului de stocare se păstrează cel mult încă 30 de zile. Instituția se șterge din platformă doar după ce accesul ei a fost oprit; atunci se șterg toate datele de mai sus și, odată cu cursurile proprii ale instituției, progresul, quizurile, conversațiile cu Profesorul Virtual AI, notițele, semnele de carte, fișele și datele de utilizare ale tale de la lecțiile acelor cursuri. Contul tău rămâne, fără legătura cu instituția, iar certificatele emise rămân în registrul de autenticitate (vezi secțiunea 4.bis). Înregistrările emailurilor deja trimise (invitații, anunțuri, notificări) rămân cât spune secțiunea 7.1.3.

4.sexies.6 Drepturile tale

Drepturile din secțiunea 7 le exerciți scriindu-ne la contact@cursuri-ai.ro sau adresându-te instituției. Exportul datelor din cont cuprinde apartenența, înscrierile și întrebările tale, activitatea de la discipline, rândurile tale din listele de serie (cu numărul matricol și cu refuzurile adresei tale la înscrierea unei serii, dacă au existat) și dispozitivele cu notificări pe telefon (fără cheile lor de criptare), semnalările de greșeli în lecții trimise de tine, mesajele trimise cu „Semnalează o problemă”, rândurile din jurnalul de administrare care te privesc, răspunsurile primite la întrebările tale, linkul personal de calendar (doar momentul creării și al ultimei citiri, fără link) și rezultatele antrenamentului din Human Atlas. Ce privește doar adresa ta de email (invitațiile trimise pe ea, rândul ei din lista unei serii, refuzurile ei) intră în export după ce ți-ai confirmat adresa. Cererile care privesc prelucrarea făcută de instituție (de exemplu, opoziția la urmărirea progresului de către profesor) le transmitem acesteia, care răspunde în calitate de operator.

4.septies Accesul prin Contul unei Companii

O companie poate cumpăra locuri pe Platformă pentru oamenii ei. Dacă ai acces printr-un astfel de loc, compania este operator pentru datele tale de învățare din contul ei, iar noi le prelucrăm în numele ei, potrivit secțiunii 12.1 din Termeni și Condiții. Mai jos găsești ce vede compania și ce nu vede.

4.septies.1 Ce vede administratorul companiei

• Numele, adresa de email, departamentul, starea accesului (inclusiv termenul unui acces de evaluare) și data intrării în echipă;
• Progresul la cursuri: cursurile începute și terminate, lecțiile parcurse pe fiecare curs, timpul de studiu, ultima activitate și rezultatele medii la quiz-uri. În pagina „Progres echipă” apar toate cursurile pe care le-ai început pe Platformă, cu excepția celor ale unei instituții de învățământ (secțiunea 4.sexies);
• Cursurile obligatorii primite de la companie și unde ai ajuns cu fiecare;
• Certificatele de finalizare emise începând cu 2 noiembrie 2026 pentru cursurile oferite prin contul companiei (numărul, cursul, data emiterii, treapta și starea; secțiunea 4.bis), în pagina companiei, în exportul ei și în „Dosarul de instruire AI”, un document PDF pe care compania îl poate descărca pentru evidența ei internă. Dosarul enumeră tot doar cursurile oferite prin contul companiei.

Compania nu vede conversațiile tale cu Profesorul Virtual AI, notițele, lecțiile salvate, cardurile de recapitulare sau răspunsurile tale la quiz-uri, și nici abonamentul sau plățile tale personale.

4.septies.2 Managerul departamentului

Dacă administratorul pune un coleg manager la departamentul tău, acel coleg vede doar în citire, pentru oamenii din departament: progresul la cursuri, cursurile obligatorii și certificatele de mai sus, plus dosarul de instruire restrâns la departament. Nu vede nimic despre plată, locuri sau invitații.

4.septies.3 Emailurile despre cursurile obligatorii

Când compania îți dă un curs obligatoriu, primești un email cu el, apoi un memento cu cel mult trei zile înainte de termen și unul dacă termenul trece fără să fi terminat cursul. Sunt emailuri de serviciu (secțiunea 7.1), legate de accesul pe care ți-l oferă compania; administratorul le poate opri pentru toată echipa.

4.septies.4 Intrarea pe domeniul companiei

Administratorul poate porni intrarea pe domeniul adresei companiei (de exemplu, @firma.ro). Atunci, oricine are o adresă pe acel domeniu vede în aplicație numele companiei și poate cere un loc. Dacă ceri un loc, îți trimitem un link pe email ca să confirmi că adresa e a ta; după confirmare, administratorul vede numele tău, adresa de email și data cererii și decide. Dacă a ales asta, cererea confirmată primește direct un loc cât sunt locuri libere. Cererea se păstrează cât timp ai contul și se șterge odată cu el.

4.septies.5 Autentificarea unică (SSO) și sincronizarea conturilor (SCIM)

Compania își poate lega pe Platformă propriul furnizor de identitate (de exemplu Microsoft Entra ID, Google Workspace sau Okta), pe un domeniu al cărui titular și-a dovedit că este. Atunci:

• intri cu contul de la companie: furnizorul companiei ne confirmă cine ești și ne trimite numele, adresa de email și identificatorul contului tău la el, pe care îl păstrăm ca să te recunoaștem la intrările următoare;
• dacă administratorul a ales asta, oamenii companiei de pe acel domeniu nu mai intră cu parola, doar prin furnizorul companiei;
• prin sincronizarea conturilor (SCIM), furnizorul companiei îți poate crea contul, cu numele și adresa ta de email, și îți poate da sau lua locul în echipă; când compania te scoate din aplicația furnizorului, locul se eliberează. La prima intrare îți dai acordul pentru Termeni. Contul, progresul și certificatele rămân ale tale.

Aceste date le primim de la compania ta (art. 14 GDPR), cu temeiul din secțiunea 4.septies.6. Legătura cu furnizorul companiei se șterge odată cu contul tău sau când compania își șterge SSO-ul de pe Platformă.

4.septies.6 Temeiul și ieșirea din echipă

Prelucrarea are la bază executarea contractului cu compania, care îți oferă accesul (art. 6 alin. (1) lit. b) GDPR), și interesul legitim al companiei de a organiza și urmări instruirea pe care o plătește (art. 6 alin. (1) lit. f) GDPR). Când ieși din echipă, compania nu îți mai vede progresul, cursurile obligatorii sau certificatele; jurnalul de activitate al companiei păstrează acțiunile făcute în cont (de exemplu, intrarea ta în echipă). Progresul și certificatele rămân în contul tău. Pentru drepturile tale te poți adresa companiei sau nouă, la contact@cursuri-ai.ro.

5. Destinatarii Datelor

Datele cu caracter personal pot fi transmise următoarelor categorii de destinatari:

Până în octombrie 2026, emailurile au fost trimise prin Brevo (Sendinblue SAS, Franța); după închiderea contului, datele păstrate de Brevo se șterg potrivit contractului încheiat cu acesta.

Nu vindem, închiriem sau schimbăm datele personale ale Utilizatorilor cu terțe părți în scopuri de marketing.

6. Transferuri Internaționale de Date

În cazul transferurilor de date în afara Spațiului Economic European (SEE), ne asigurăm că sunt implementate garanții adecvate, inclusiv:

• Clauze contractuale standard aprobate de Comisia Europeană (Art. 46 alin. 2 lit. c GDPR).
• Decizii de adecvare ale Comisiei Europene, acolo unde există.

7. Drepturile Persoanelor Vizate

În conformitate cu GDPR, Utilizatorii au următoarele drepturi:

• Dreptul de acces (Art. 15) — dreptul de a obține confirmarea prelucrării și o copie a datelor.
• Dreptul la rectificare (Art. 16) — dreptul de a corecta datele inexacte sau incomplete.
• Dreptul la ștergere („dreptul de a fi uitat") (Art. 17) — dreptul de a solicita ștergerea datelor, cu anumite excepții legale.
• Dreptul la restricționarea prelucrării (Art. 18) — dreptul de a limita prelucrarea în anumite circumstanțe.
• Dreptul la portabilitatea datelor (Art. 20) — dreptul de a primi datele într-un format structurat, utilizat în mod curent și care poate fi citit automat.
• Dreptul de opoziție (Art. 21) — dreptul de a se opune prelucrării bazate pe interes legitim.
• Dreptul de a nu face obiectul unei decizii automate (Art. 22) — dreptul de a nu fi supus unei decizii bazate exclusiv pe prelucrare automată.

Pentru exercitarea acestor drepturi, Utilizatorul poate trimite o cerere la contact@cursuri-ai.ro. Vom răspunde în termen de 30 de zile de la primirea cererii.

7.0 Prelucrarea prin Sisteme de Inteligență Artificială

Platforma utilizează sisteme de inteligență artificială („AI") pentru a oferi funcționalitatea de Profesor Virtual AI (chat text, voce sintetică, rezumate, quiz-uri adaptive). Aceste sisteme procesează:

• Conținutul cererilor tale (întrebări text sau audio transcris, împreună cu mesajele anterioare din aceeași conversație) — în scopul generării unui răspuns relevant la lecția accesată.
• Contextul lecției (titlu, conținut educațional) — pentru ca AI-ul să răspundă din conținutul exact al cursului.
• Pasaje din bibliografia disciplinei, doar la lecțiile cursurilor proprii ale unei instituții de învățământ care folosește Biblioteca (secțiunea 4.sexies.2): întrebarea ta (cu cea dinainte, dacă e o continuare scurtă, și cu titlul lecției) e transformată într-un vector de căutare de Amazon Web Services (Amazon Bedrock, în Uniunea Europeană), cu care căutăm în cărțile disciplinei; pasajele găsite ajung la furnizorul AI împreună cu întrebarea, iar răspunsul le citează, cu sursa. Căutarea nu se salvează separat: rămâne doar conversația, cu sursele citate (secțiunea 7.0.1). O memorie temporară, fără legătură cu contul tău, păstrează vectorul întrebării cel mult 7 zile și rezultatul căutării cel mult 24 de ore, ca o întrebare repetată să primească răspuns mai repede.
• Un rezumat al progresului tău, la fiecare mesaj trimis Profesorului Virtual AI: câte dintre lecțiile cursului ai parcurs, dacă ai terminat deja lecția curentă, scorul tău mediu aproximativ la quizurile cursului și titlurile a cel mult cinci lecții la care ai avut sub 70% la ultimele tale zece încercări de quiz (din orice curs). La un quiz adaptiv generat pe loc se trimit doar aceste titluri. Scopul: un răspuns potrivit nivelului tău, care revine discret asupra lecțiilor mai grele pentru tine.
• Identificatori interni (ID-ul utilizatorului, ID-ul lecției) — pentru contabilizarea utilizării și prevenirea abuzului (fair-use). Rămân la noi.

Furnizorilor AI (secțiunea 7.0.2) le trimitem doar conținutul descris mai sus; nu le trimitem numele tău, adresa de email sau ID-ul tău de utilizator.

7.0.1 Stocarea Conversațiilor în Baza Noastră de Date

Pentru a-ți oferi accesul la istoricul conversațiilor cu Profesorul Virtual AI și pentru continuitatea experienței tale de învățare, stocăm conversațiile (întrebări + răspunsuri) în baza noastră de date pe serverele noastre din Uniunea Europeană. Conversațiile sunt asociate contului tău și lecției în care au fost inițiate.

• Ce stocăm: întrebările tale text, răspunsurile generate de AI, ID-ul lecției, momentul conversației, numărul de mesaje schimbate.
• Ce NU stocăm în baza noastră: înregistrări audio brute (sunt procesate în timp real și șterse imediat după transcriere), date biometrice vocale.
• Temei legal: executarea contractului (Art. 6 alin. 1 lit. b GDPR) — accesul la istoricul conversațiilor face parte din serviciul Profesor Virtual AI inclus în abonament.
• Durata stocării: conversațiile rămân stocate pe durata existenței contului tău, cu o excepție: cele de la lecțiile cursurilor proprii ale unei instituții de învățământ se șterg odată cu instituția (secțiunea 4.sexies.5). La ștergerea contului (secțiunea 7 — Dreptul la ștergere), conversațiile sunt eliminate definitiv din baza noastră de date în termen de maxim 30 de zile.
• Acces la conversațiile tale: doar tu (din contul tău) și personalul nostru tehnic strict necesar pentru depanare (sub clauză de confidențialitate). Nu sunt vizibile altor utilizatori.
• Ștergere selectivă: poți șterge oricând o conversație individuală din interfața Profesor Virtual AI, fără a-ți afecta contul.

Această stocare este distinctă de prelucrarea la furnizorii AI (Anthropic / OpenAI) descrisă mai jos. Prelucrarea la furnizori este efemeră (maxim 30 de zile la furnizor); stocarea la noi este pe durata contului, pentru a-ți oferi acces la istoric.

7.0.2 Furnizori AI și Transferuri Internaționale

Furnizori AI utilizați: modele de inteligență artificială oferite de Anthropic (SUA, modele text) și OpenAI (SUA, voce sintetică și transcriere); pentru căutarea în cărțile unei instituții de învățământ, modele rulate de Amazon Web Services (Amazon Bedrock, în UE), unde furnizorii modelelor nu au acces la cereri. Transferurile de date în afara SEE sunt acoperite de clauze contractuale standard aprobate de Comisia Europeană (Art. 46 alin. 2 lit. c GDPR).

Conținutul tău NU este folosit pentru antrenarea modelelor. Avem acorduri DPA cu furnizorii care exclud utilizarea pentru training. Conținutul conversațional este șters automat la furnizor în maxim 30 de zile.

7.0.3 Logging Operațiuni AI (Audit Trail)

Păstrăm un jurnal tehnic („audit log") al fiecărei operațiuni AI efectuate pe platformă, în linie cu principiile de transparență ale Regulamentului (UE) 2024/1689 (AI Act, Art. 50). Acesta conține doar metadate — NU conține textul întrebărilor sau al răspunsurilor:

• Tipul operațiunii (chat, rezumat, quiz, flashcards, voce, transcriere)
• Identificatorul modelului AI folosit și furnizorul lui (Anthropic / OpenAI)
• Numărul de tokens consumați și costul estimativ
• Statusul (succes / eșec) și durata operațiunii
• ID intern utilizator și ID lecție (fără date personale directe)

Scopul: investigații tehnice, depanare, monitorizarea costurilor și a calității serviciului, prevenirea abuzurilor. Temei legal: interesul legitim al Operatorului (Art. 6 alin. 1 lit. f GDPR) — monitorizarea costurilor, calității și securității serviciului. Durata retenției: 24 de luni de la data operațiunii, după care jurnalele sunt șterse automat.

7.0.4 Transparență AI (Art. 50 AI Act)

Conform Art. 50 din Regulamentul (UE) 2024/1689 (AI Act), te informăm în mod explicit că interacționezi cu un sistem AI, că răspunsurile pot conține erori și că audio-ul redat este voce sintetică. Vezi Termenii și Condițiile, secțiunea 10.1, pentru detalii complete.

7.1 Comunicări prin Email, Marketing și Dreptul de Dezabonare

7.1.1 Emailuri de serviciu și emailuri de marketing

Platforma trimite două categorii de emailuri, cu temeiuri diferite:

• Emailuri de serviciu — necesare executării contractului (Art. 6 alin. 1 lit. b GDPR): confirmarea comenzii pe suport durabil, plăți reușite sau eșuate, anularea sau încetarea accesului, emiterea certificatului de finalizare, progresul în cursurile cumpărate, invitațiile și notificările din conturile de companie, confirmarea automată a mesajelor trimise prin formularul de contact și notificările legale (DSA, modificarea Termenilor). Acestea nu pot fi dezactivate cât timp contul este activ, pentru că fără ele nu putem executa contractul; nu conțin oferte și nu au linkuri de dezabonare.
• Emailuri de marketing — secvențe automate (bun venit, îndemnuri la primul curs, coș abandonat, re-implicare, win-back), campanii punctuale și oferte. Le poți opri oricând, cu un singur click (secțiunea 7.1.4).

7.1.2 Temeiul emailurilor de marketing

• Consimțământ (Art. 6 alin. 1 lit. a și Art. 7 GDPR; art. 12 alin. 1 din Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice) — exprimat prin bifa opțională, separată, de la înregistrare sau din setările contului. Fără această bifă nu trimitem comunicări comerciale. Consimțământul poate fi retras oricând, fără a afecta legalitatea prelucrării anterioare.
• Clienți existenți (art. 12 alin. 2 din Legea nr. 506/2004) — Utilizatorilor care au achiziționat un abonament le putem trimite, folosind adresa de email obținută la achiziție, comunicări despre produse sau servicii similare ale Cursuri AI, cu posibilitatea de a refuza, simplu și gratuit, atât la colectarea adresei, cât și la fiecare mesaj (link de dezabonare).
• Lead-uri fără cont — adresele lăsate în formularele „trimite-mi programa”, „trimite-mi ghidul” sau „vreau articolele noi” sunt folosite doar după confirmarea prin linkul din emailul de verificare (double opt-in), pe bază de consimțământ. Pe paginile de campanie (cursuri-ai.ro/resurse/…), textul de sub buton spune că primești materialul paginii și newsletterul Cursuri AI (articole noi, cursuri noi și oferte, de cel mult două ori pe lună); la fel caseta „Newsletter” de la articolele blogului, care îți trimite pe loc cele mai recente trei articole, apoi cel mult trei emailuri în următoarele două săptămâni și newsletterul, de cel mult două ori pe lună. Te dezabonezi oricând, din linkul aflat în fiecare email. Cererile de ofertă pentru companii sunt prelucrate ca demersuri precontractuale la solicitarea persoanei (Art. 6 alin. 1 lit. b GDPR) și nu se transformă în abonare la marketing fără o bifă separată.

Trimitem cel mult un email de marketing pe zi către aceeași adresă, doar în zilele lucrătoare și sâmbăta, între 09:00 și 19:00 (ora României).

7.1.3 Jurnalul emailurilor, evenimentele de livrare și suprimarea adreselor

Pentru fiecare email trimis păstrăm o înregistrare (destinatar, tip, subiect, data, starea livrării, conținutul HTML pentru 90 de zile) — temeiul este executarea contractului pentru emailurile de serviciu și interesul nostru legitim (Art. 6 alin. 1 lit. f GDPR) de a dovedi ce am transmis, de a depana livrarea și de a respecta obligația de evidență (Art. 5 alin. 2). Înregistrarea există și pentru emailurile trimise unor persoane fără cont pe Platformă, cum sunt clienții și persoanele de contact cu care purtăm discuții comerciale (ofertă, cod de confirmare, proformă, programare) sau destinatarii unui cadou; pentru acestea nu păstrăm conținutul emailului, ci doar metadatele, 24 de luni. Înregistrarea se include în exportul datelor tale și se anonimizează la ștergerea contului sau a datelor tale din evidența comercială. Furnizorul nostru de email este Amazon Web Services, prin serviciul Amazon SES (persoană împuternicită, art. 28 GDPR, pentru toate emailurile Platformei, în regiunea Frankfurt). Amazon SES ne returnează evenimente despre fiecare email: livrat, respins (bounce), blocat, reclamat ca spam și, acolo unde clientul de email permite, deschis și click pe un link. Dezabonarea prin butonul clientului de email ne ajunge direct (secțiunea 7.1.4). Emailurile pot conține un pixel de urmărire a deschiderii; emailurile de marketing pot conține și linkuri redirecționate prin domeniul de urmărire al Amazon SES (un domeniu al AWS, awstrack.me) pentru înregistrarea click-urilor. În emailurile de serviciu (de pildă oferte, coduri de confirmare, resetarea parolei) linkurile nu sunt redirecționate. Aceste evenimente ne ajută să măsurăm dacă mesajele sunt utile, să reducem frecvența lor și să alegem ora la care îți trimitem newsletterul: din orele la care ai deschis emailurile noastre sau ai dat click în ele (și, dacă ai cont, la care ai parcurs lecții) în ultimele 180 de zile, calculăm o oră între 9:00 și 19:00 și o păstrăm în contul tău sau în evidența adresei tale; fără suficiente date, folosim ora la care citește majoritatea abonaților. Ora se recalculează în fiecare noapte și nu iese niciodată din intervalul de mai sus. Temeiul este interesul legitim (Art. 6 alin. 1 lit. f GDPR); te poți opune oricând (Art. 21 GDPR), cel mai simplu prin dezabonarea de la marketing — după dezabonare nu mai primești emailuri de marketing, deci nici urmărirea lor. Datele de deschidere și click sunt agregate în statistici interne și nu sunt transmise altor terți. Evenimentele de la Amazon SES ne ajung printr-o coadă de mesaje din aceeași regiune AWS, unde stau cel mult 4 zile până le prelucrăm; cele care nu pot fi prelucrate se păstrează cel mult 14 zile, pentru depanare.

Dacă un email este respins definitiv de serverul destinatarului (bounce), este blocat sau este marcat ca spam de destinatar, suprimăm adresa: nu-i mai trimitem emailuri de marketing, iar emailurile de serviciu se reiau doar după ce actualizezi adresa din cont. Adresa respinsă definitiv sau de la care am primit o reclamație de spam intră și pe lista de suprimare a contului nostru Amazon SES, unde rămâne până când o scoatem; ne poți cere asta la adresa din secțiunea 1.1. Suprimarea protejează atât destinatarul, cât și reputația domeniului nostru de expediere.

Emailurile echipei de vânzări pleacă din adresa de Gmail a colegului care îți scrie și nu conțin pixeli de urmărire: nu știm dacă le-ai deschis sau citit. Linkurile spre cursuri-ai.ro din aceste emailuri și de pe pagina broșurii pe care ți-o trimitem sunt însă personale (cursuri-ai.ro/p/… și cursuri-ai.ro/brosura/…): vedem când deschizi din ele o pagină a site-ului sau broșura, ce pagină și de câte ori, fără adresa IP și fără date despre dispozitiv; verificările automate ale serverelor de email nu se numără. Temeiul este interesul nostru legitim (Art. 6 alin. 1 lit. f GDPR) de a afla ce informații îți sunt utile și de a nu-ți scrie fără rost; datele rămân cât timp te păstrăm în evidența comercială și se șterg odată cu datele tale de acolo. Te poți opune oricând (Art. 21 GDPR), răspunzând la email sau la adresa din secțiunea 1.1.

Păstrăm dovada consimțământului de marketing — sursa (înregistrare, setări cont, formular de lead), versiunea textului bifei și data — precum și data și sursa dezabonării, pentru a demonstra respectarea obligațiilor de evidență (Art. 5 alin. 2 și Art. 7 alin. 1 GDPR).

7.1.4 Dezabonarea

Ai dreptul de a te opune oricând prelucrării datelor în scop de marketing direct (Art. 21 alin. 2 GDPR). Procesăm imediat cererile de dezabonare prin următoarele canale:

• Un singur click pe linkul „Dezabonează-te” din subsolul fiecărui email de marketing sau pe butonul „Dezabonare” al clientului de email (Gmail, Yahoo, Apple Mail, Outlook) — implementat conform RFC 8058 (List-Unsubscribe / List-Unsubscribe-Post One-Click). Nu se cere autentificare și nu se cere confirmare suplimentară.
• Secțiunea „Notificări” din contul tău (la adresa /app/profile) — comută între primit / nu-primit emailuri de marketing.
• Email la contact@cursuri-ai.ro cu subiectul „Unsubscribe” — procesăm manual în maximum 24 de ore.

Dezabonarea de la marketing nu afectează emailurile de serviciu descrise la 7.1.1. Pentru a înceta complet primirea oricăror emailuri trebuie să ștergi contul (Art. 17 GDPR; vezi secțiunea 7 — Dreptul la ștergere).

8. Securitatea Datelor

Implementăm măsuri tehnice și organizatorice adecvate pentru protejarea datelor personale, inclusiv:

• Criptarea datelor în tranzit (HTTPS/TLS).
• Criptarea datelor la repaus: baza de date, copiile ei de siguranță și spațiul privat de stocare a fișierelor.
• Stocarea parolelor exclusiv în formă hash (bcrypt).
• Controlul accesului bazat pe roluri.
• Limitarea numărului de sesiuni simultane pe cont: la depășire, cea mai veche sesiune se închide automat.
• Monitorizarea accesului și logarea activităților.
• Actualizări regulate de securitate ale componentelor software.

9. Datele Minorilor

Platforma nu este destinată persoanelor cu vârsta sub 16 ani. Nu colectăm cu bună știință date personale ale minorilor sub această vârstă. Dacă descoperim că am colectat astfel de date, le vom șterge imediat.

10. Modificarea Politicii de Confidențialitate

Ne rezervăm dreptul de a actualiza această politică. Utilizatorii vor fi notificați prin email și/sau printr-un anunț pe Platformă cu privire la modificările semnificative. Data ultimei actualizări este afișată în partea superioară a acestei pagini.

11. Plângeri

Dacă considerați că prelucrarea datelor dumneavoastră personale încalcă GDPR, aveți dreptul de a depune o plângere la:

• Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
• Adresă: B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, cod poștal 010336, București, România
• Website: dataprotection.ro
• Email: anspdcp@dataprotection.ro

12. Contact

Pentru orice întrebări privind prelucrarea datelor personale:

• Email: contact@cursuri-ai.ro
• Adresă: GALIAN SOFTWARE DEVELOPMENT SRL, Str. Tulcea 6, Cod 400594, Cluj-Napoca, jud. Cluj, România