1. Cine suntem
City Twin este o platformă dezvoltată și operată de Asociația Română pentru Smart City (ARSC). Contact: [email protected], tel. +40 31 425 42 63. Sediu: Integral Business Center, Bd. Pipera nr. 1-IA, Voluntari, Ilfov, România.
Responsabil cu protecția datelor (DPO): [email protected].
2. Două roluri diferite
Rolul nostru GDPR depinde de context:
- Demonstrația publică (modelul Brașov de pe citytwin.ro): prelucrăm preponderent date deschise, ne-personale (zone, proiecte, infrastructură, statistici). Aici ARSC acționează ca operator pentru puținele date tehnice descrise mai jos.
- Instanță livrată unei instituții: instituția (de regulă primăria) este operatorul datelor din modelul ei, iar ARSC este persoană împuternicită de operator, care prelucrează strict conform instrucțiunilor ei, în baza unui contract și a unui Acord de prelucrare (DPA).
3. Ce date prelucrăm
3.1 Măsurarea traficului: fără cookie-uri publicitare, fără profilare
City Twin nu utilizează cookie-uri publicitare și nu folosește cookie-uri pentru profilarea utilizatorilor. Pentru funcționarea interfeței pot fi păstrate local preferințe strict funcționale (vezi 3.2). Furnizorii de infrastructură pot utiliza, în anumite situații, mecanisme strict necesare pentru securitate și protecția serviciului.
Pentru a ști câți vizitatori avem și ce pagini sunt citite, folosim o soluție de măsurare a traficului găzduită pe propria noastră infrastructură din Uniunea Europeană. Nu folosim Google Analytics și niciun instrument publicitar. Soluția înregistrează statistici agregate - pagina vizitată, sursa de proveniență, tipul de dispozitiv - fără cookie-uri, fără identificatori persistenți și fără urmărire între site-uri. Nu putem reconstitui parcursul unei anumite persoane, nu îmbogățim datele din alte surse și nu le vindem.
Din acest motiv nu afișăm un banner de cookie-uri: nu stocăm și nu citim informații de pe dispozitivul tău în scop de urmărire, deci nu există consimțământ de cerut pentru aceasta.
3.2 Stocare locală (în browserul tău)
Salvăm în localStorage, doar pe dispozitivul tău, preferințe funcționale (ex. stratul de hartă ales, dacă ai văzut turul, confirmarea privind încărcarea unui model). Aceste date nu pleacă de pe dispozitiv și pot fi șterse oricând din browser.
3.3 Întrebările către asistentul AI
Pentru generarea răspunsului sunt transmise către serviciul de raționament întrebarea ta și informațiile din modelul orașului necesare răspunsului - o formă compactă a modelului, fără seriile de date brute. Nu cerem și nu avem nevoie de date care te identifică. Recomandăm să nu introduci date cu caracter personal în întrebări. Modelele încărcate de utilizator rămân local în browser și sunt trimise la serviciul AI doar în momentul în care pui o întrebare.
Dacă trimiți voluntar feedback asupra unui răspuns (butoanele 👍 / 👎), păstrăm pe serverul nostru din UE întrebarea, evaluarea și informații tehnice limitate necesare îmbunătățirii serviciului. Se salvează doar la apăsarea butonului, fără identificatori de utilizator: aplicația nu asociază feedbackul cu adresa IP, iar jurnalele tehnice ale infrastructurii sunt descrise în pagina Furnizori și transferuri de date. Asupra textului aplicăm filtre pentru reducerea riscului de stocare accidentală a datelor personale. Temei: interes legitim (îmbunătățirea serviciului), Art. 6(1)(f). Retenție: 12 luni. Vezi și Transparență privind asistentul AI.
3.4 Jurnale tehnice
Furnizorii noștri de infrastructură pot înregistra, pentru securitate și funcționare, date tehnice minime (adresă IP, momentul cererii, tip de browser). Le folosim pentru a preveni abuzul (ex. limitarea ratei de cereri) și a menține serviciul, în baza interesului legitim. Nu le folosim pentru profilare.
3.5 Imaginile camerelor publice
Pentru funcția de trafic, afișăm imagini din camere publice puse la dispoziție de operatorii lor. Numărarea obiectelor se face local, în browserul utilizatorului - imaginile nu sunt trimise către un server al nostru și nu sunt stocate. Imaginile pot conține persoane; provin din fluxuri deja publice ale operatorilor și sunt afișate cu atribuire, fără stocare.
3.6 Formularele de contact și de pilot
Dacă ne scrii prin formularul de contact sau prin formularul de pilot de pe pagina principală, prelucrăm datele pe care le completezi voluntar: nume, e-mail, telefon (opțional), funcție/rol, instituție, județ, tipul comunității și mesajul. Le folosim exclusiv pentru a te contacta în legătură cu solicitarea ta (un pilot sau o implementare City Twin). Temeiul este consimțământul tău, exprimat prin bifa de confirmare din formular (Art. 6(1)(a) GDPR); îl poți retrage oricând scriind la [email protected].
Datele din formulare sunt stocate pe infrastructura City Twin din Uniunea Europeană (Germania). Comunicarea cu serverul poate tranzita furnizorii de securitate și distribuție descriși în pagina privind furnizorii și transferurile de date. Datele din formular nu sunt folosite pentru profilare, nu sunt vândute și sunt păstrate doar cât e necesar pentru a-ți răspunde și a gestiona o eventuală relație de pilot, apoi sunt șterse la cerere sau când scopul a fost atins (vezi secțiunea 6).
4. Temeiul legal (GDPR Art. 6)
| Prelucrare | Temei |
|---|---|
| Răspunsuri AI la întrebările tale | Interes legitim - a furniza serviciul solicitat (Art. 6(1)(f)) |
| Datele din formularele de contact / pilot | Consimțământ (Art. 6(1)(a)) - voluntar, retractabil oricând |
| Feedback pe un răspuns AI (👍/👎, la apăsare) | Interes legitim - corectarea răspunsurilor slabe (Art. 6(1)(f)) |
| Preferințe locale (localStorage) | Necesare pentru funcționarea cerută de tine |
| Jurnale tehnice / anti-abuz | Interes legitim - securitatea rețelei și a informației (Art. 6(1)(f)) |
| Date din modelul unei instituții | Stabilit de instituție (operator); noi prelucrăm ca persoană împuternicită de operator (art. 28) |
Pentru prelucrările întemeiate pe interesul legitim (Art. 6(1)(f)) am efectuat un test de echilibrare: interesul de a furniza și securiza serviciul cerut nu prevalează asupra drepturilor tale, întrucât datele sunt minimizate, nepersonale ca regulă, nu sunt folosite pentru profilare și nu sunt vândute. Te poți opune oricând (vezi secțiunea 7).
5. Furnizorii noștri și transferurile de date
Folosim furnizori terți pentru găzduire, hărți, trafic, vreme și raționament AI. Categoriile lor, cu regiunea de prelucrare, sunt la Furnizori și transferuri de date.
6. Cât păstrăm datele
- Preferințe locale: până le ștergi tu din browser.
- Întrebări AI: prelucrate pentru a genera răspunsul; nu construim un istoric personal pe serverele noastre. Reținerea la furnizorul AI este guvernată de politica lui (vezi pagina despre furnizori).
- Feedback pe un răspuns (doar dacă apeși 👍/👎): întrebarea, evaluarea și informațiile tehnice limitate, păstrate cel mult 12 luni, fără identificatori de utilizator.
- Date din formularele de contact / pilot: păstrate cât e necesar pentru a-ți răspunde și a gestiona o eventuală relație de pilot; șterse la retragerea consimțământului sau când scopul a fost atins.
- Jurnale tehnice: perioadă scurtă, conform setărilor furnizorilor de infrastructură.
- Date dintr-un spațiu City Twin dedicat unei instituții: conform DPA-ului încheiat cu instituția.
7. Drepturile tale (GDPR Art. 15-22)
În funcție de prelucrarea aplicabilă, poți avea dreptul de acces, rectificare, ștergere, restricționare, opoziție și portabilitate. Pentru datele dintr-un spațiu City Twin dedicat unei instituții, adresează cererea instituției (operatorul); te putem sprijini ca împuternicit. Scrie-ne la [email protected].
Poți depune plângere la autoritatea de supraveghere - în România, ANSPDCP (dataprotection.ro).
8. Date personale puse din greșeală
Platforma nu este destinată datelor cu caracter personal. Dacă observi că un model conține din greșeală date personale, anunță-ne la [email protected]: le eliminăm și, dacă e cazul, notificăm incidentul conform GDPR (în 72 de ore către autoritate, când e necesar). Vezi și Termenii, secțiunea privind conținutul încărcat.
9. Securitate (GDPR Art. 32)
În temeiul art. 32 din GDPR aplicăm măsuri tehnice și organizatorice adecvate riscului. O descriere publică a principalelor categorii de măsuri este disponibilă pe pagina Securitatea informației. Documentația destinată evaluărilor instituționale se pune la dispoziție la cerere, în cadrul contractual.
10. Evidența prelucrărilor (ROPA)
Menținem, după caz, o evidență a activităților de prelucrare conform art. 30 din GDPR. Pentru un spațiu City Twin dedicat unei instituții, evidența se corelează cu cea a operatorului prin DPA.
11. Cadrul legal aplicabil
- GDPR - Regulamentul (UE) 2016/679;
- Legea nr. 190/2018 (măsuri de aplicare a GDPR în România);
- NIS2 - Directiva (UE) 2022/2555 și legislația română de transpunere (securitate cibernetică);
- AI Act - Regulamentul (UE) 2024/1689 (vezi Termeni);
- Directiva ePrivacy 2002/58/CE (cookie-uri) - nu stocăm și nu citim informații de pe dispozitivul tău în scop de urmărire, deci nu cerem consimțământ în acest scop.
12. Modificări
Putem actualiza această politică. Versiunea curentă, cu data, e mereu aici. Modificările importante vor fi semnalate în platformă.