Politica de confidențialitate

1. Cine suntem

Această politică descrie modul în care MP RIVERSIDE GROUP SRL (CUI 34152763, Str. Efta Botoca nr. 1, Timișoara, România), denumită în continuare „Symbai", „noi" sau „operatorul", prelucrează datele cu caracter personal, în conformitate cu Regulamentul (UE) 2016/679 („GDPR") și legislația română aplicabilă (Legea nr. 190/2018).

Politica acoperă website-ul symbai.app și aplicațiile Symbai POS, Symbai Staff, Symbai Portal și Symbai Connect. Pentru orice întrebare privind protecția datelor ne poți scrie la hello@symbai.app.

2. Rolul nostru: operator și persoană împuternicită

Symbai are un rol dublu, în funcție de context:

• Operator — pentru datele pe care le colectăm direct în relația cu tine: solicitări prin formularul de contact de pe website, comunicarea comercială, administrarea conturilor de client (firmele abonate) și facturare.
• Persoană împuternicită (procesator) — pentru datele pe care firma care folosește Symbai (angajatorul tău sau comerciantul de la care comanzi) le introduce și le prelucrează în platformă prin aplicațiile Symbai POS, Symbai Staff și Symbai Portal. În acest caz, firma respectivă este operatorul, iar noi prelucrăm datele exclusiv conform instrucțiunilor sale și în baza unui acord de prelucrare a datelor (DPA). Pentru exercitarea drepturilor asupra acestor date te poți adresa direct firmei respective sau nouă, iar noi transmitem cererea operatorului.

3. Ce date colectăm și în ce scop

3.1. Website (symbai.app)

Când completezi formularul de contact/cerere de ofertă colectăm: numele, firma, numărul de telefon, adresa de email și mesajul tău. Scop: să te contactăm și să îți pregătim o ofertă. Temei: demersuri precontractuale la cererea ta (art. 6 alin. 1 lit. b) și interesul nostru legitim de a răspunde solicitărilor (art. 6 alin. 1 lit. f). Website-ul folosește doar cookie-uri strict necesare funcționării (vezi secțiunea 9).

Măsurăm și traficul site-ului: pentru fiecare pagină vizitată reținem adresa IP, pagina, momentul, durata aproximativă a vizitei, pagina de pe care ai ajuns la noi, țara (dedusă din IP) și tipul de browser. Ca să putem distinge vizitele aceleiași persoane de cele ale altora (o adresă IP e adesea comună mai multor oameni), browserul tău păstrează un identificator aleatoriu, propriu site-ului symbai.app, fără nicio informație despre tine; îl poți șterge oricând din datele de navigare ale browserului. Folosim aceste date exclusiv intern, ca să înțelegem ce pagini sunt citite și cât — fără profiluri publicitare, fără urmărire pe alte site-uri și fără transmitere către terți; se păstrează cel mult 12 luni. Temei: interesul nostru legitim de a ne îmbunătăți site-ul și materialele (art. 6 alin. 1 lit. f).

Când intri în demo-ul live îți cerem prenumele, numele, telefonul și emailul, împreună cu acordul tău explicit. Detaliile complete (ce colectăm, de ce, cât păstrăm) sunt pe pagina Prelucrarea datelor în demo.

3.2. Symbai POS (aplicație pentru angajați)

Aplicație profesională de tip POS, folosită de personalul unităților HoReCa. Prelucrăm, în numele angajatorului:

• date de identificare și de cont: ID de utilizator/angajat, nume, prenume, email, telefon, cod PIN, rol și locația de lucru;
• date de identificare fiscală și facturare introduse pentru clienți sau firme, precum adresă, CNP, CUI/CIF și alte identificatoare necesare documentelor solicitate;
• date operaționale: pontaj/program de lucru, note de lucru, comenzi procesate, istoric de achiziții și tranzacții de plată (numerar și card);
• fotografii realizate sau alese de utilizator pentru conversațiile de serviciu și ca dovezi HACCP;
• date tehnice: adresa IP, identificatorul dispozitivului generat de aplicație, tipul dispozitivului și jurnale de activitate (pentru securitate).

Scop: autentificare, gestionarea comenzilor și a operațiunilor, procesarea plăților, pontaj și securitatea sistemului. Camera este folosită doar la cererea ta, pentru scanarea codurilor de produs, operaționale sau de cameră și pentru fotografii în conversațiile de serviciu ori ca dovezi HACCP. Galeria este accesată numai după ce alegi o fotografie.

3.3. Symbai Staff (aplicație pentru angajați — teren, livrări, producție)

Aplicație profesională pentru operațiuni de teren. În plus față de datele de la 3.2, prelucrăm:

• locația precisă în prim-plan pentru check-in la vizite de vânzări, pontaj, sugestii de clienți din apropiere și operarea traseelor de livrare;
• locația precisă în fundal exclusiv pe durata unei ture/curse active de livrare, pentru ca dispeceratul să vadă traseul și statusul livrării în timp real. Urmărirea în fundal pornește numai după acordul tău explicit și se oprește la finalul turei; poți revoca permisiunea oricând din setările telefonului;
• imagini sau videoclipuri alese pentru conversațiile de serviciu, precum și fotografii realizate sau alese, note și semnături furnizate ca dovadă de livrare/recepție marfă/activitate;
• când angajatorul activează verificarea de identitate la pontaj, selfie-ul de pontaj și fotografia de profil sunt comparate o singură dată pentru a genera date biometrice: un rezultat și un scor de similitudine. În modul AI, imaginile sunt transmise securizat furnizorului nostru de inteligență artificială, OpenAI, exclusiv pentru această verificare; rezultatele neclare sau neconcordante sunt revizuite de un manager și nu produc singure o decizie cu efect juridic semnificativ;
• date despre clienți, comenzi și adrese fizice de livrare necesare activității alocate, precum și date introduse în vânzări/CRM;
• date financiare operaționale necesare activității alocate, precum numerarul colectat/predat, cheltuieli de combustibil, solduri și datorii comerciale B2B;
• un identificator de dispozitiv generat de aplicație pentru asocierea dispozitivului autorizat cu turele și sincronizarea operațională și, opțional, greutăți citite prin Bluetooth de la cântarul din unitate.

Scop: coordonarea livrărilor și a operațiunilor de teren, dovada livrării, trasabilitatea producției. Temei: executarea raportului de muncă și interesul legitim al angajatorului de a-și organiza activitatea; localizarea în fundal se activează pe baza consimțământului tău în aplicație.

3.4. Symbai Portal (aplicație pentru clienți)

Aplicație destinată clienților unei unități (restaurant, hotel, parc). Prelucrăm, în numele comerciantului:

• date de cont: nume, email, telefon, preferințe și setări de confidențialitate;
• activitate: comenzi, rezervări, puncte de fidelitate, recenzii, mesaje în chat, badge-uri;
• date de dispozitiv necesare notificărilor push (token de notificare);
• opțional, dacă folosești funcția „Familie", datele minorilor pe care îi adaugi tu, în calitate de părinte/tutore, pe propria răspundere și cu acordul tău (vezi secțiunea 8).

Scop: funcționarea contului, comenzi și rezervări, programul de fidelitate și comunicările pe care le alegi. Camera se folosește doar pentru a scana codul QR de la masă. Comunicările de marketing (email/SMS/push) se trimit numai pe baza consimțământului tău, pe care îl poți retrage oricând din aplicație.

3.5. Symbai Connect: conturi Google și asistenți

Symbai Connect conectează contul Google ales de tine la asistenții compatibili și, printr-o autorizare separată în cloud, la firma Symbai aleasă. Aprobi accesul pe pagina oficială Google; Symbai nu îți cere și nu păstrează parola Google. Prelucrăm identificatorul contului Google, numele, emailul, permisiunile acordate și tokenurile de autorizare pentru identificarea și menținerea conexiunii.

• Gmail pe calculator: accesul opțional de citire caută și preia mesajele și atașamentele necesare cererilor tale. Accesul opțional la ciorne permite crearea acestora; Google include și trimiterea în această permisiune, iar Connect controlează separat dacă trimiterea este activată. Trimiterea necesită permisiunea corespunzătoare și acțiunea cerută de tine.
• Drive pe calculator: poți alege citirea întregului Drive pentru căutarea și citirea documentelor existente sau accesul la fișiere selectate. Scrierea opțională este limitată la fișierele selectate pentru aplicație ori create cu aceasta.
• Gmail în firmă: autorizarea pentru trimitere în cloud acordă dreptul de trimitere, fără să solicite citirea inboxului sau a Drive-ului. Alegi firma și activezi separat comenzile aprobate către furnizori, emailurile operaționale ori mesajele cerute asistenților. Destinatarii, conținutul și atașamentele sunt transmise către Google pentru livrare. Conexiunea poate funcționa cu PC-ul oprit.

Tokenurile autorizării locale sunt păstrate criptat pe calculator; cele ale autorizării cloud sunt păstrate criptat în mediul serverului firmei alese. Tokenurile nu sunt furnizate asistenților. Dacă permiți accesul din Claude Code sau Codex la conexiunea locală, conținutul emailurilor și documentelor solicitate ajunge la asistent și poate fi transmis către Anthropic, respectiv OpenAI, pentru rezolvarea cererii tale. Stocarea conversației rezultate depinde de setările contului și termenii furnizorului; verifică-le înainte de acordarea accesului. Utilizatorii firmei pot folosi expeditorul cloud numai în limitele drepturilor lor Symbai și ale utilizărilor activate de tine.

Symbai folosește datele Google pentru funcțiile descrise aici, nu pentru vânzarea datelor, publicitate personalizată sau antrenarea unor modele AI generale. Utilizarea și transferul datelor Google sunt supuse Google API Services User Data Policy, inclusiv cerințelor Limited Use. Conectarea unui asistent nu autorizează reutilizări fără legătură cu cererile tale.

Autorizarea se păstrează până la eliminarea conexiunii, cu respectarea expirării sau revocării Google. Connect nu creează în fundal o arhivă a inboxului ori a Drive-ului. În cloud se păstrează identitatea expeditorului, statusul livrării, identificatorii mesajelor și înregistrările pentru evitarea duplicatelor, împreună cu evidențele firmei; acest jurnal de livrare nu stochează corpul emailului sau atașamentele. Comenzile și documentele firmei urmează regulile de păstrare din secțiunea 7. Deconectarea elimină autorizarea stocată și solicită revocarea la Google; nu șterge emailurile deja livrate, documentele firmei sau conversațiile asistentului. Revocarea la Google poate afecta și alte autorizări ale aceleiași aplicații. Pentru retragere completă verifică conexiunile cu aplicații terțe din Google, setările Connect și setările firmei. Pentru datele păstrate în Symbai folosește procedura din secțiunea 10; istoricul asistentului se gestionează la furnizorul respectiv.

3.6. Integrarea TikTok

Conectarea TikTok este opțională și se autorizează pe pagina oficială TikTok. Symbai nu solicită și nu păstrează parola TikTok. Prelucrăm identificatorul contului ales, numele afișat, fotografia de profil, permisiunile și tokenurile de autorizare, păstrate criptat pe serverul firmei care folosește Symbai. Consultăm informațiile despre creator necesare publicării: opțiunile de vizibilitate și interacțiune disponibile și limitele comunicate de TikTok.

La publicare transmitem către TikTok videoclipul sau fotografiile selectate, textul și opțiunile confirmate de tine. Păstrăm materialele, setările, identificatorii și rezultatele procesării pentru administrarea postărilor și evitarea duplicatelor. Pentru videoclipurile publice eligibile putem prelua totalurile disponibile de vizualizări, aprecieri, comentarii și distribuiri; acestea nu identifică persoanele care au vizionat. Accesul respectă permisiunile acordate în TikTok și drepturile din firma aleasă. Evidențele postărilor se păstrează pe durata serviciului și conform instrucțiunilor firmei, potrivit secțiunilor 2 și 7. TikTok prelucrează conținutul și datele primite conform propriilor termeni și propriei politici de confidențialitate.

Poți elimina conexiunea din Symbai și retrage accesul aplicației din setările TikTok. Eliminarea conexiunii șterge tokenurile păstrate de Symbai și oprește utilizarea lor; nu solicită automat revocarea la TikTok. Identitatea contului și istoricul pot rămâne în evidențele firmei, inclusiv pentru verificarea postărilor în curs după reconectare. Deconectarea nu șterge postările din TikTok. Pentru datele rămase în Symbai urmează procedura de ștergere sau scrie la hello@symbai.app.

3.7. Facebook, Instagram și Meta Ads

Conectarea este opțională. Când folosești conectarea prin aplicația Symbai, autorizezi accesul pe pagina oficială Meta, apoi alegi în Symbai pagina Facebook, contul Instagram asociat sau contul de reclame pentru brandul tău. Nu solicităm și nu păstrăm parola Facebook sau codurile de autentificare. Disponibilitatea conectării depinde de aprobările Meta.

În limitele permisiunilor acordate, prelucrăm identificatorii și numele conturilor autorizate, tokenuri de acces, postări și materiale media, comentarii, mesaje și datele expeditorilor, statistici disponibile și informații despre campanii, bugete și rezultate. Folosim aceste date pentru funcțiile alese: publicare, administrarea interacțiunilor și a inboxului, rapoarte și administrarea reclamelor. Conectarea singură nu pornește reclame. Dacă activezi un asistent pentru aceste funcții, conținutul necesar poate fi prelucrat și de furnizorii AI descriși în această politică.

Pentru conectarea prin aplicația Symbai, tokenurile sunt păstrate criptat; accesul la date este limitat de drepturile din firma și brandul selectat. Transmitem către Meta conținutul, răspunsurile și setările pe care le trimiți sau le autorizezi prin funcțiile Symbai. Meta prelucrează aceste date conform propriilor termeni și propriei politici. Datele importate și evidențele rezultate se păstrează pe durata serviciului și conform instrucțiunilor firmei, potrivit secțiunilor 2 și 7.

Poți deconecta un cont din Symbai sau retrage accesul aplicației din setările Meta. Deconectarea oprește folosirea conexiunii; nu șterge automat postările publicate în Meta ori toate copiile și evidențele din Symbai. Pentru ștergere, folosește procedura de ștergere a datelor. Cererile primite prin Meta primesc un cod și o pagină de urmărire; finalizarea este confirmată după procesarea datelor conexiunii și verificarea copiilor din CRM, materialelor și exporturilor vizate. Putem păstra evidența minimă a cererii și a retragerii accesului pentru a documenta soluționarea și a preveni reactivarea unei autorizări retrase.

4. Temeiurile legale ale prelucrării

• Executarea unui contract (art. 6 alin. 1 lit. b) — furnizarea serviciilor, a conturilor și a comenzilor;
• Obligație legală (art. 6 alin. 1 lit. c) — obligații fiscale, contabile și de arhivare;
• Interes legitim (art. 6 alin. 1 lit. f) — securitatea sistemului, prevenirea fraudei, organizarea activității, îmbunătățirea produsului;
• Consimțământ (art. 6 alin. 1 lit. a) — comunicări de marketing, localizare în fundal, notificări push. Poate fi retras oricând, fără a afecta legalitatea prelucrării anterioare.
• Verificarea biometrică la pontaj — este dezactivată implicit; dacă o activează, angajatorul, în calitate de operator, trebuie să stabilească și să comunice temeiurile aplicabile potrivit art. 6 și art. 9 GDPR și dreptului muncii. Symbai o execută numai la instrucțiunea operatorului.

5. Cui divulgăm datele

TikTok primește datele și materialele pentru funcțiile pe care le autorizezi, conform secțiunii 3.6.

Nu vindem date personale. Le putem divulga, strict pentru scopurile de mai sus, către:

• firma care folosește Symbai (angajatorul tău sau comerciantul), în calitate de operator al datelor operaționale;
• procesatori de plăți — de ex. Viva.com, pentru tranzacțiile cu cardul (operatori independenți pentru datele de plată);
• OpenAI — procesator pentru comparația punctuală a selfie-ului cu fotografia de profil, numai dacă firma activează verificarea AI la pontaj;
• Google, pentru funcțiile contului Google autorizate de tine, și Anthropic sau OpenAI, dacă alegi asistentul corespunzător, conform secțiunii 3.5;
• furnizori de găzduire și infrastructură IT din Uniunea Europeană, care stochează datele în mod securizat;
• autorități publice, atunci când legea ne obligă.

6. Unde stocăm datele și transferuri

Instanțele Symbai sunt găzduite în Uniunea Europeană și izolate pentru fiecare firmă. Unele servicii specializate, inclusiv furnizorul AI folosit opțional pentru verificarea la pontaj, pot prelucra temporar date în afara Spațiului Economic European. Pentru aceste transferuri folosim garanțiile prevăzute de GDPR, inclusiv clauze contractuale standard și acorduri de prelucrare a datelor.

7. Cât timp păstrăm datele

• datele de cont și operaționale — pe durata utilizării serviciului de către firmă și conform instrucțiunilor acesteia;
• documentele cu relevanță fiscală/contabilă — pe durata impusă de lege (de regulă 10 ani);
• datele din formularul de contact — de regulă 24 de luni de la ultima interacțiune, dacă nu devenim parteneri contractuali;
• datele de măsurare a traficului pe site (IP, pagină, durată) — cel mult 12 luni;
• datele localizării de teren — pe termen scurt, atât cât e necesar pentru dovada și analiza livrării.
• selfie-ul de pontaj și rezultatul comparației — împreună cu înregistrarea de pontaj, conform perioadei stabilite de angajator și obligațiilor legale aplicabile; imaginile trimise prin API către OpenAI pot fi păstrate de furnizor cel mult 30 de zile în configurația standard, apoi sunt șterse, cu excepția obligațiilor legale;

La expirarea termenelor, datele sunt șterse sau anonimizate în siguranță.

8. Datele minorilor

Serviciile noastre nu se adresează direct copiilor. În aplicația Symbai Portal, un părinte/tutore poate adăuga date despre proprii copii prin funcția „Familie"; în acest caz confirmi că ai autoritatea și consimțământul necesar. Poți șterge oricând aceste date din aplicație sau printr-o cerere la hello@symbai.app.

9. Cookie-uri

Website-ul symbai.app folosește cookie-uri și tehnologii strict necesare funcționării și securității (de ex. protecția formularului) și un singur identificator propriu, păstrat în browserul tău, pentru măsurarea traficului descrisă în secțiunea 2 — aleatoriu, fără date personale, fără terți și fără urmărire pe alte site-uri. Nu folosim cookie-uri de publicitate și nu creăm profiluri de marketing pe website. Aplicațiile mobile nu folosesc cookie-uri de urmărire; nu folosim identificatori de publicitate și nu urmărim activitatea ta în alte aplicații sau site-uri.

10. Drepturile tale

Conform GDPR, ai dreptul la:

• acces la datele tale și informații despre prelucrare;
• rectificarea datelor inexacte;
• ștergerea datelor („dreptul de a fi uitat");
• restricționarea prelucrării;
• portabilitatea datelor (primirea lor într-un format structurat);
• opoziție la prelucrarea bazată pe interes legitim;
• retragerea consimțământului, oricând;
• a nu fi supus unor decizii automate cu efecte semnificative.

Îți poți exercita drepturile din aplicație (secțiunile „Confidențialitate" / „Legal & GDPR"), pe pagina noastră de ștergere a datelor, sau scriindu-ne la hello@symbai.app. Răspundem în cel mult 30 de zile. Dacă datele sunt gestionate de firma care folosește Symbai, îți transmitem cererea către aceasta.

11. Securitate

Aplicăm măsuri tehnice și organizatorice adecvate: transmisie criptată (HTTPS/TLS), autentificare (parolă/PIN), permisiuni bazate pe rol, acces restricționat la baze de date, instanțe izolate per firmă și monitorizarea accesului. Datele transmise prin API către furnizorul AI nu sunt folosite implicit pentru antrenarea modelelor. Verificarea facială este un instrument de sprijin pentru manager; rezultatul AI nu este singurul temei al unei decizii cu efect semnificativ.

12. Autoritatea de supraveghere

Dacă ești nemulțumit de modul în care îți prelucrăm datele, ai dreptul să depui o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), www.dataprotection.ro. Te rugăm însă să ne contactezi întâi pe noi — de cele mai multe ori putem rezolva rapid.

13. Modificări

Putem actualiza această politică. Vom publica versiunea nouă pe această pagină, cu data actualizării. Modificările importante vor fi comunicate în aplicație sau prin email.