Politica de confidențialitate
Cum colectăm, utilizăm, protejăm și partajăm datele cu caracter personal în Academa.
1. Operatorul datelor
Operatorul Platformei este ACADEMA STUDIES SRL , cu sediul în Str. Paul Greceanu nr. 11, bl. 21A, sc. A, et. 1, ap. 12, camera 1, sector 2, București, România, înregistrată la Registrul Comerțului sub nr. J40/16047/2017, CUI/CIF 38234343.
Pentru solicitări privind protecția datelor ne puteți contacta la: office@academa.ro .
Responsabil cu protecția datelor: Nu a fost desemnat un responsabil cu protecția datelor.
2. Rolurile privind prelucrarea datelor
Pentru conturile create direct în Academa, administrarea Platformei, securitate, contractare, facturare și comunicarea cu utilizatorii, Academa acționează, de regulă, în calitate de operator de date.
Atunci când o școală, o organizație sau o altă instituție stabilește scopurile și mijloacele prelucrării datelor elevilor, instituția respectivă poate avea calitatea de operator, iar Academa poate acționa în calitate de persoană împuternicită.
Rolurile, responsabilitățile și instrucțiunile aplicabile trebuie stabilite contractual și, atunci când este necesar, printr-un acord de prelucrare a datelor în conformitate cu articolul 28 GDPR.
3. Sursele datelor
Putem primi datele personale:
- direct de la persoana vizată;
- de la un părinte, tutore sau reprezentant autorizat;
- de la profesorul, școala sau organizația care administrează contul;
- automat, prin utilizarea Platformei și a funcțiilor sale;
- de la furnizorii de plăți, autentificare, comunicare sau alte servicii, în limita necesară furnizării serviciului.
4. Datele pe care le putem prelucra
| Categorie | Exemple |
|---|---|
| Identificare și cont | nume, adresă de e-mail, rol, identificator intern, data nașterii sau grupa de vârstă, dacă sunt necesare, și parole stocate sub formă de hash |
| Date educaționale | resurse alocate, răspunsuri, încercări, progres, scoruri, feedback, teme, înregistrări și mesaje |
| Conținut furnizat | texte, fișiere, înregistrări audio, întrebări, instrucțiuni și răspunsuri introduse sau încărcate în Platformă |
| Date asociate funcțiilor AI | instrucțiuni trimise modelului, fragmente de context relevante, răspunsurile generate și identificatori tehnici minimizați |
| Date tehnice și de securitate | adresă IP, marcaje temporale, browser, dispozitiv, pagini accesate, durată de activitate, jurnale și evenimente de securitate |
| Date contractuale și de plată | plan, comandă, factură, statutul plății și istoricul tranzacțiilor; datele complete ale cardului nu sunt stocate de Academa atunci când plata este procesată de un furnizor extern |
| Comunicări | solicitări de suport, reclamații, notificări și preferințe de comunicare |
5. Scopurile, temeiurile juridice și perioadele de păstrare
| Scop | Temei juridic | Durată orientativă |
|---|---|---|
| Crearea contului și furnizarea serviciului | executarea contractului sau efectuarea demersurilor precontractuale | pe durata contului și pentru o perioadă limitată după închiderea acestuia |
| Alocări, progres și rapoarte educaționale | executarea contractului; după caz, obligația legală sau temeiul stabilit de instituția care este operator | conform contractului, scopului educațional și regulilor aplicabile de păstrare |
| Generarea, corectarea sau clasificarea asistată de AI | executarea serviciului solicitat; interes legitim sau, atunci când legea îl impune, consimțământ separat | cât este necesar furnizării funcției și conform configurației și contractului aplicabil furnizorului AI |
| Securitatea, prevenirea fraudei și apărarea drepturilor | interes legitim sau obligație legală | de regulă 6–24 de luni; mai mult dacă există un incident, o investigație sau un litigiu |
| Facturare și evidențe financiar-contabile | obligație legală | perioada prevăzută de legislația fiscală și contabilă aplicabilă |
| Răspunsul la solicitări și reclamații | executarea contractului, interes legitim sau obligație legală | de regulă până la 3 ani de la soluționare, dacă legea sau situația nu impune o altă perioadă |
| Marketing prin e-mail | consimțământ, atunci când acesta este cerut de lege | până la retragerea consimțământului sau expirarea perioadei interne de revalidare |
Perioadele concrete de păstrare sunt stabilite în funcție de scopul prelucrării, obligațiile legale, contractele aplicabile, termenele de prescripție și necesitatea apărării drepturilor.
La expirarea perioadei aplicabile, datele sunt șterse, anonimizate sau agregate, exceptând situațiile în care păstrarea lor este necesară pentru îndeplinirea unei obligații legale, soluționarea unui litigiu sau protejarea unui drept.
6. Date obligatorii și date opționale
Datele marcate ca obligatorii sunt necesare pentru crearea contului, furnizarea serviciului, securitate, facturare sau îndeplinirea obligațiilor legale. Refuzul furnizării acestora poate împiedica înregistrarea, cumpărarea sau utilizarea funcționalității respective.
Furnizarea datelor marcate ca opționale este voluntară. Refuzul furnizării lor nu împiedică accesul la funcțiile care nu depind de datele respective.
7. Utilizarea OpenAI și Anthropic Claude
Platforma poate utiliza API-uri sau servicii comerciale furnizate de OpenAI și Anthropic pentru generarea, corectarea, explicarea, rezumarea ori clasificarea conținutului.
În funcție de funcționalitatea utilizată, către furnizor poate fi transmis textul introdus de utilizator, contextul selectat de Platformă, instrucțiunile tehnice necesare și identificatori minimizați.
Academa urmărește să limiteze conținutul transmis la ceea ce este necesar funcției solicitate. Nu intenționăm să transmitem parole, date medicale, date cu caracter special, informații confidențiale sau date inutile despre minori.
Utilizatorii nu trebuie să introducă asemenea informații în câmpurile destinate AI decât dacă prelucrarea este strict necesară, legală și aprobată în mod expres pentru scopul respectiv.
Înainte de activarea unei integrări AI care prelucrează date personale, Academa trebuie să verifice condițiile contractuale aplicabile, rolurile privind protecția datelor, subîmputerniciții, locațiile de prelucrare, perioadele de păstrare, utilizarea datelor pentru dezvoltarea modelelor și mecanismele aplicabile transferurilor internaționale.
Politicile aplicabile produselor pentru consumatori, precum versiunile individuale ChatGPT sau Claude, nu trebuie considerate automat identice condițiilor aplicabile serviciilor comerciale sau API-urilor folosite de Platformă.
Configurația și contractele efectiv utilizate de Academa prevalează în ceea ce privește condițiile tehnice de prelucrare și păstrare.
8. Destinatarii și persoanele împuternicite
Putem transmite date, numai în măsura necesară, către:
- profesori, părinți, tutori, instituții sau administratori autorizați, în funcție de rolurile și permisiunile stabilite;
- furnizori de găzduire, comunicații, securitate, suport, plăți și inteligență artificială;
- contabili, auditori, avocați și alți consultanți supuși obligațiilor de confidențialitate;
- autorități, instanțe sau alte persoane, atunci când divulgarea este impusă sau permisă în mod justificat de lege.
| Furnizor | Scop | Locație | Informații |
|---|---|---|---|
| OpenAI Ireland Ltd. | generarea și verificarea asistată de conținut educațional, dacă funcția este activă | SEE și, după caz, alte jurisdicții acoperite de garanții legale | Detalii |
| Anthropic, PBC / entitatea Anthropic contractantă | generarea și verificarea asistată de conținut educațional prin modelele Claude, dacă funcția este activă | SUA și, după caz, alte jurisdicții acoperite de garanții legale | Detalii |
| ROMARG SRL | găzduirea aplicației și a bazei de date | România și Spațiul Economic European | Detalii |
| Stripe Payments Europe, Limited și entitățile Stripe aplicabile | procesarea plăților, autentificarea tranzacțiilor și prevenirea fraudei | SEE și, după caz, alte jurisdicții acoperite de garanții legale | Detalii |
9. Transferurile internaționale
Anumiți furnizori pot prelucra date în afara României sau a Spațiului Economic European.
Atunci când GDPR impune acest lucru, transferurile se bazează pe un mecanism legal corespunzător, precum o decizie de adecvare, clauzele contractuale standard aprobate de Comisia Europeană sau alte garanții permise de lege, împreună cu măsuri suplimentare atunci când acestea sunt necesare.
Informații suplimentare despre garanțiile aplicabile pot fi solicitate la adresa de confidențialitate indicată în această politică.
10. Consimțământul
Atunci când prelucrarea se bazează pe consimțământ, acesta este solicitat separat, pentru un scop determinat, printr-o acțiune afirmativă, liberă, specifică și informată. Căsuțele de consimțământ nu sunt prebifate.
Refuzul unei prelucrări opționale nu blochează serviciile care nu depind de prelucrarea respectivă.
Consimțământul poate fi retras oricând, la fel de ușor cum a fost acordat, fără a afecta legalitatea prelucrării efectuate înainte de retragere.
Acceptarea Termenilor și condițiilor nu înlocuiește consimțământul GDPR atunci când legea impune obținerea unui consimțământ separat.
11. Datele copiilor
Aplicăm o protecție sporită datelor copiilor, inclusiv măsuri de minimizare, acces bazat pe roluri, informări adaptate vârstei și limitarea utilizării datelor în funcțiile AI.
Pentru oferirea directă către un copil a unor servicii ale societății informaționale, atunci când prelucrarea se bazează pe consimțământ, copilul trebuie să aibă cel puțin 16 ani pentru a consimți singur.
Sub această vârstă este necesară autorizarea titularului răspunderii părintești și efectuarea unor eforturi rezonabile pentru verificarea autorizării, ținând seama de tehnologia disponibilă.
Consimțământul pentru protecția datelor și aprobarea necesară pentru încheierea unui contract de către un minor sunt aspecte juridice distincte și pot necesita verificări separate.
Profesorii, instituțiile și reprezentanții care creează sau administrează conturi pentru copii trebuie să aibă autoritatea și temeiul juridic necesare și să furnizeze informările obligatorii.
12. Deciziile automatizate și profilarea
Academa poate utiliza automatizări pentru calcularea scorurilor orientative, recomandarea unor materiale, afișarea progresului sau organizarea conținutului educațional.
Aceste automatizări nu sunt destinate să producă singure efecte juridice sau efecte similare semnificative asupra elevului.
Un rezultat generat automat nu trebuie folosit ca unic temei pentru note oficiale, sancțiuni, admitere, orientare educațională sau alte decizii importante.
Atunci când o decizie importantă implică o evaluare automatizată, trebuie asigurate, după caz, intervenția umană, posibilitatea persoanei de a-și exprima punctul de vedere și posibilitatea contestării rezultatului.
13. Drepturile persoanei vizate
În condițiile prevăzute de GDPR, puteți solicita:
- informarea și accesul la datele personale;
- rectificarea datelor inexacte sau incomplete;
- ștergerea datelor;
- restricționarea prelucrării;
- portabilitatea datelor;
- opoziția la prelucrarea bazată pe interes legitim;
- opoziția, în orice moment, la folosirea datelor pentru marketing direct;
- retragerea consimțământului;
- să nu faceți obiectul unei decizii exclusiv automatizate în situațiile protejate de lege;
- informații despre garanțiile aplicabile transferurilor internaționale.
Cererile pot fi trimise la: office@academa.ro .
Putem solicita informații rezonabile pentru verificarea identității și prevenirea divulgării datelor către persoane neautorizate.
Vom răspunde fără întârzieri nejustificate și, de regulă, în cel mult o lună de la primirea cererii. Termenul poate fi prelungit în condițiile GDPR, caz în care persoana va fi informată cu privire la prelungire și la motivele acesteia.
Aveți dreptul să depuneți o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal și să vă adresați instanțelor competente.
14. Securitatea și incidentele
Aplicăm măsuri tehnice și organizatorice proporționale cu riscurile prelucrării, precum controlul accesului, autentificarea, protejarea transmisiilor, copii de siguranță, jurnalizare, actualizări de securitate și reguli aplicabile furnizorilor.
Niciun sistem informatic nu este complet lipsit de risc, iar securitatea absolută nu poate fi garantată.
Încălcările securității datelor sunt evaluate și documentate. Atunci când GDPR impune notificarea autorității de supraveghere, aceasta se efectuează fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la luarea la cunoștință.
Persoanele afectate vor fi informate fără întârzieri nejustificate atunci când încălcarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile lor și când legea impune această comunicare.
15. Actualizarea politicii
Putem actualiza această Politică pentru a reflecta modificări legislative, tehnice, contractuale sau funcționale.
Versiunea actualizată și data aplicării vor fi publicate pe această pagină. Modificările semnificative vor fi comunicate printr-un mijloc adecvat.
Dacă o modificare privește o prelucrare bazată pe consimțământ și legea impune obținerea unui nou consimțământ, acesta va fi solicitat separat.
1. Data controller
The Platform is operated by ACADEMA STUDIES SRL , having its registered office at Str. Paul Greceanu nr. 11, bl. 21A, sc. A, et. 1, ap. 12, camera 1, sector 2, București, România, registered with the Trade Register under no. J40/16047/2017, tax identification number 38234343.
For data-protection requests, you may contact us at: office@academa.ro .
Data Protection Officer or privacy contact: Nu a fost desemnat un responsabil cu protecția datelor.
2. Data-protection roles
For accounts created directly through Academa, Platform administration, security, contracting, billing and communication with users, Academa generally acts as a data controller.
Where a school, organisation or other institution determines the purposes and means of processing student data, that institution may act as the controller and Academa may act as its processor.
The applicable roles, responsibilities and instructions must be established contractually and, where required, through a data-processing agreement complying with Article 28 GDPR.
3. Sources of personal data
We may receive personal data:
- directly from the data subject;
- from a parent, guardian or authorised representative;
- from the teacher, school or organisation responsible for the account;
- automatically through use of the Platform and its features;
- from payment, authentication, communication and other service providers, to the extent necessary to provide the service.
4. Personal data we may process
| Category | Examples |
|---|---|
| Identity and account data | name, email address, role, internal identifier, date of birth or age group where necessary, and passwords stored in hashed form |
| Educational data | assigned resources, answers, attempts, progress, scores, feedback, homework, recordings and messages |
| User-provided content | text, files, audio recordings, questions, instructions and answers entered or uploaded to the Platform |
| Data associated with AI features | instructions sent to a model, relevant context fragments, generated results and minimised technical identifiers |
| Technical and security data | IP address, timestamps, browser, device, pages accessed, activity duration, logs and security events |
| Contract and payment data | plan, order, invoice, payment status and transaction history; Academa does not store full card details where payment is processed by an external provider |
| Communications | support requests, complaints, notifications and communication preferences |
5. Purposes, legal bases and retention periods
| Purpose | Legal basis | Indicative retention period |
|---|---|---|
| Account creation and provision of the service | performance of a contract or steps taken before entering into a contract | for the duration of the account and a limited period after closure |
| Assignments, progress and educational reports | performance of a contract; where applicable, a legal obligation or the legal basis established by the institution acting as controller | according to the contract, educational purpose and applicable retention rules |
| AI-assisted generation, correction or classification | performance of the requested service; legitimate interests or, where required by law, separate consent | for as long as necessary to provide the feature and according to the relevant provider configuration and contract |
| Security, fraud prevention and protection of rights | legitimate interests or a legal obligation | generally 6–24 months; longer where an incident, investigation or dispute exists |
| Billing and financial records | legal obligation | for the period required by applicable tax and accounting laws |
| Handling requests and complaints | performance of a contract, legitimate interests or a legal obligation | generally up to 3 years after resolution, unless another period is required |
| Email marketing | consent, where required by law | until consent is withdrawn or the internal revalidation period expires |
Specific retention periods are determined according to the purpose of processing, legal obligations, applicable contracts, limitation periods and the need to establish, exercise or defend legal claims.
When the applicable period expires, personal data is deleted, anonymised or aggregated unless continued retention is necessary to comply with a legal obligation, resolve a dispute or protect a legal right.
6. Required and optional information
Information marked as required is necessary for account creation, provision of the service, security, billing or compliance with legal obligations. Failure to provide it may prevent registration, purchase or use of the relevant feature.
Providing information marked as optional is voluntary. Refusal to provide optional information does not prevent access to features that do not depend on that information.
7. Use of OpenAI and Anthropic Claude
The Platform may use APIs or commercial services supplied by OpenAI and Anthropic to generate, correct, explain, summarise or classify content.
Depending on the feature used, the provider may receive text entered by the user, context selected by the Platform, necessary technical instructions and minimised identifiers.
Academa seeks to limit submitted content to what is necessary for the requested feature. We do not intend to submit passwords, medical information, special-category data, confidential information or unnecessary information about children.
Users must not enter such information into AI-related fields unless the processing is strictly necessary, lawful and expressly approved for that purpose.
Before enabling an AI integration that processes personal data, Academa must assess the relevant contractual terms, data-protection roles, subprocessors, processing locations, retention periods, use of data for model development and international-transfer mechanisms.
Policies applying to consumer products, such as individual versions of ChatGPT or Claude, must not automatically be treated as identical to the conditions applying to the commercial services or APIs used by the Platform.
The configuration and contracts actually used by Academa prevail regarding the applicable technical processing and retention conditions.
8. Recipients and processors
We may disclose data, only to the extent necessary, to:
- authorised teachers, parents, guardians, institutions or administrators, according to the relevant roles and permissions;
- hosting, communication, security, support, payment and artificial intelligence providers;
- accountants, auditors, lawyers and other advisers subject to confidentiality obligations;
- authorities, courts or other persons where disclosure is required or lawfully justified.
| Provider | Purpose | Location | Information |
|---|---|---|---|
| OpenAI Ireland Ltd. | generarea și verificarea asistată de conținut educațional, dacă funcția este activă | SEE și, după caz, alte jurisdicții acoperite de garanții legale | Details |
| Anthropic, PBC / entitatea Anthropic contractantă | generarea și verificarea asistată de conținut educațional prin modelele Claude, dacă funcția este activă | SUA și, după caz, alte jurisdicții acoperite de garanții legale | Details |
| ROMARG SRL | găzduirea aplicației și a bazei de date | România și Spațiul Economic European | Details |
| Stripe Payments Europe, Limited și entitățile Stripe aplicabile | procesarea plăților, autentificarea tranzacțiilor și prevenirea fraudei | SEE și, după caz, alte jurisdicții acoperite de garanții legale | Details |
9. International transfers
Certain providers may process personal data outside Romania or the European Economic Area.
Where required by the GDPR, transfers rely on an appropriate legal mechanism, such as an adequacy decision, the standard contractual clauses approved by the European Commission or other legally permitted safeguards, together with supplementary measures where necessary.
Additional information about the applicable safeguards may be requested using the privacy contact address provided in this Policy.
10. Consent
Where processing relies on consent, consent is requested separately for a specific purpose through a freely given, specific, informed and affirmative action. Consent boxes are not pre-selected.
Refusal of optional processing does not prevent access to services that do not depend on that processing.
Consent may be withdrawn at any time as easily as it was given. Withdrawal does not affect the lawfulness of processing carried out before the withdrawal.
Acceptance of the Terms and Conditions does not replace GDPR consent where the law requires separate consent.
11. Children’s data
We apply enhanced safeguards to children’s data, including data minimisation, role-based access, age-appropriate information and limitations on the use of data in AI features.
Where an information society service is offered directly to a child and the processing relies on consent, the child must be at least 16 years old to provide consent independently.
Below that age, authorisation from the holder of parental responsibility is required, together with reasonable efforts to verify that authorisation, taking available technology into consideration.
Data-protection consent and the approval required for a child to enter into a contract are separate legal matters and may require separate checks.
Teachers, institutions and representatives creating or managing accounts for children must have the necessary authority and lawful basis and must provide the required privacy information.
12. Automated decisions and profiling
Academa may use automated processes to calculate indicative scores, recommend materials, display progress or organise educational content.
These processes are not intended, on their own, to produce legal or similarly significant effects on a student.
An automatically generated result must not be used as the sole basis for official grades, sanctions, admission, educational guidance or other important decisions.
Where an important decision involves automated evaluation, appropriate safeguards must be provided, where applicable, including human intervention, an opportunity for the person to express their point of view and the ability to challenge the result.
13. Data-subject rights
Subject to the conditions established by the GDPR, you may request:
- information about and access to your personal data;
- rectification of inaccurate or incomplete data;
- erasure of personal data;
- restriction of processing;
- data portability;
- objection to processing based on legitimate interests;
- objection at any time to direct marketing;
- withdrawal of consent;
- not to be subject to a solely automated decision in circumstances protected by law;
- information about safeguards applying to international transfers.
Requests may be sent to: office@academa.ro .
We may request reasonable information to verify identity and prevent disclosure of personal data to unauthorised persons.
We will respond without undue delay and generally within one month of receiving the request. The period may be extended under the conditions established by the GDPR, in which case the person will be informed of the extension and the reasons for it.
You have the right to lodge a complaint with the Romanian National Supervisory Authority for Personal Data Processing and to bring proceedings before the competent courts.
14. Security and personal-data breaches
We apply technical and organisational measures proportionate to the risks, including access controls, authentication, protection of data in transit, backups, logging, security updates and rules applying to service providers.
No information system is entirely free from risk, and absolute security cannot be guaranteed.
Personal-data breaches are assessed and documented. Where notification to the supervisory authority is required by the GDPR, it will be made without undue delay and, where feasible, within 72 hours after becoming aware of the breach.
Affected persons will be informed without undue delay where the breach is likely to result in a high risk to their rights and freedoms and the law requires such communication.
15. Updates to this Policy
We may update this Policy to reflect legislative, technical, contractual or functional changes.
The updated version and effective date will be published on this page. Material changes will be communicated through an appropriate method.
Where a change relates to processing based on consent and the law requires renewed consent, it will be requested separately.