Flowyer LegalTech LLC furnizează următoarele informații cu privire la datele personale ale partenerilor de afaceri care îi sunt puse la dispoziție.

Flowyer LegalTech LLC (sediul social: Alíz Street 6. Clădirea A, Scara B, Etajul 1, Ușa 6, 1117 Budapesta, Ungaria, cod fiscal: 25556584-4-13; număr de înregistrare la Registrul Comerțului: 13-09-181128) prelucrează datele personale în conformitate cu această notificare, care este recunoscută ca fiind esențială pentru finalizarea comenzii prin citirea acestei notificări.

Softwareul include două servicii IA independente care sunt supuse unor reguli diferite de prelucrare a datelor.

A) Anonimizatorul de documente – prelucrarea datelor

Rolurile în prelucrarea datelor
În ceea ce privește Anonimizatorul de documente, Clientul se califică drept operator de date. Flowyer LegalTech LLC acționează ca persoană împuternicită pe baza instrucțiunilor Clientului.

Domeniul datelor prelucrate
Întregul conținut al documentelor încărcate, precum și datele personale conținute în documente – sunt prelucrate temporar, exclusiv în scopul recunoașterii și anonimizării.

Transferul datelor
Anonimizatorul de documente rulează exclusiv pe servere situate în Uniunea Europeană. Nu are loc niciun transfer de date în afara Uniunii Europene.

Perioada de păstrare a datelor
Documentele încărcate și prelucrate sunt prezente pe server doar pe durata prelucrării (de obicei de la câteva secunde la câteva minute). Sunt șterse automat și permanent la finalizarea prelucrării. Furnizorul de servicii nu creează și nu stochează copii ale documentelor.

Interdicția utilizării datelor
Furnizorul de servicii nu utilizează datele încărcate în Anonimizatorul de documente pentru antrenarea sau dezvoltarea modelelor de inteligență artificială. Modelul lingvistic utilizat este pre-antrenat și funcționează exclusiv în mod de inferență.

Prelucrarea datelor legată de funcția de feedback
a) Clientul poate trimite feedback prin interfața anonimizatorului privind elementele nerecunoscute (fals negativ) sau identificate incorect (fals pozitiv).
b) Scopul prelucrării feedbackului: îmbunătățirea continuă a calității serviciului și creșterea acurateței recunoașterii.
c) Temeiul juridic al prelucrării feedbackului: interesul legitim al Furnizorului de servicii (Articolul 6(1)(f) GDPR) în îmbunătățirea calității serviciului.
d) Perioada de păstrare a datelor conținute în feedback: până la prelucrarea feedbackului și finalizarea îmbunătățirilor necesare, dar nu mai mult de 1 an.
e) Furnizorul de servicii anonimizează sau generalizează orice date personale potențial conținute în feedback în cadrul procesului de dezvoltare; documentele originale nu sunt stocate sau utilizate direct.

B) Asistent IA (Integrare ChatGPT) – prelucrarea datelor

Rolurile în prelucrarea datelor
În ceea ce privește Asistentul IA, Clientul contractează direct cu OpenAI în nume propriu (utilizând propriul cont OpenAI și cheia API). Flowyer LegalTech LLC oferă exclusiv o interfață tehnică pentru accesarea API-ului și nu se califică drept persoană împuternicită în relația cu OpenAI.

Relația dintre Client și OpenAI

Denumire	OpenAI, LLC
Sediul social	San Francisco, Statele Unite ale Americii
Activitate	Serviciu API model lingvistic GPT
Relație contractuală	Direct cu Clientul
Politica de confidențialitate	https://openai.com/policies

Responsabilitățile Clientului:
• Revizuirea și acceptarea termenilor de serviciu și a politicii de confidențialitate ale OpenAI
• Informarea adecvată a propriilor clienți cu privire la transferurile de date

Domeniul datelor prelucrate
Prompturile (instrucțiunile, întrebările) furnizate de Client, orice date personale potențial conținute în acestea și răspunsurile generate. În plus, conținutul șabloanelor de prompturi (butoane rapide) create de Client.

Transferul datelor într-o țară terță
La utilizarea Asistentului IA, prompturile sunt transferate în Statele Unite către serverele OpenAI, prin cheia API proprie a Clientului. Clientul este responsabil pentru temeiul juridic al transferului de date și pentru acordul de protecție a datelor (DPA, SCCs) încheiat cu OpenAI în calitate de partener contractual direct al OpenAI.
Prin utilizarea serviciului Asistent IA, Clientul recunoaște și acceptă transferul datelor în SUA.

Perioada de păstrare a datelor

Locație	Perioada de păstrare
Serverele Flowyer	Fără stocare
Serverele OpenAI	Zero Data Retention

Interdicția utilizării datelor
Începând cu 1 martie 2023, OpenAI nu utilizează oficial datele trimise prin API pentru antrenarea sau dezvoltarea modelelor de IA (cu excepția cazului în care utilizatorul consimte expres). Verificarea și aplicarea acestui aspect au loc în cadrul relației juridice dintre Client și OpenAI.

C) Prevederi comune

Luarea automată a deciziilor
Serviciile IA (nici Anonimizatorul de documente, nici Asistentul IA) nu iau decizii bazate exclusiv pe prelucrarea automată a datelor care produc efecte juridice privind Clientul sau persoanele vizate în sensul Articolului 22 din GDPR. Serviciile IA funcționează exclusiv ca instrumente auxiliare; decizia finală este întotdeauna luată de Client.

Măsuri de securitate a datelor
În ceea ce privește serviciile IA, Furnizorul de servicii aplică următoarele măsuri de securitate a datelor:
• Transmisie criptată a datelor: TLS 1.2 sau superior
• Control al accesului bazat pe roluri
• Înregistrarea evenimentelor de securitate

Tabel rezumativ – Diferențele dintre cele două servicii

Aspect	Anonimizator de documente	Asistent IA (ChatGPT)
Dezvoltator	Flowyer LegalTech LLC	OpenAI, LLC
Locul operării	UE (Germania)	SUA (servere OpenAI)
Transfer de date	Niciunul (doar UE)	Transferat în SUA
Relație contractuală	Client ↔ Flowyer	Client ↔ OpenAI (direct)
Rolul Flowyer	Persoană împuternicită	Doar interfață tehnică
Stocarea datelor	Pe durata prelucrării, apoi șterse	Zero Data Retention
Utilizare pentru antrenare	Nu	Nu (garanție OpenAI)
Garanție de acuratețe	Aproape 100%, dar negarantat	Fără garanție
Obligație de verificare	Da	Da
Opțiune de feedback	Da (fals pozitiv/negativ)	Nu

The following rules apply to data processing in connection with the Document Handover Share function of the Software.

1. Data protection nature of the function

The Document Handover Share function enables the Customer, or an attorney or authorised user acting on behalf of the Customer, to make documents or document folders relating to a matter available to external recipients with read-only access, in a controlled and logged manner.

When the function is used, personal data may be processed both within the content of the shared documents and in connection with the identification of the Recipient, the provision of access, the logging of access events, and the generation of access and download certificates.

2. Controller and processor roles

In relation to the creation of the Share, the determination of the scope of the shared documents, the designation of Recipients, the provision of the Recipients’ e-mail addresses and the determination of the duration of the Share, the Customer shall qualify as the controller.

Flowyer LegalTech Kft. shall act as processor on the basis of the Customer’s instructions in connection with the technical operation of the Share, including in particular the creation of the Share Link, the sending and verification of the Verification Code, the management of the access session, the display of the file list, the provision of download access, logging and the technical generation of certificates.

Flowyer LegalTech Kft. may act as an independent controller in respect of personal data where such processing is necessary for the fulfilment of its own legal obligations, the protection of its IT and service security interests, the prevention of misuse, or the establishment, exercise or defence of legal claims.

3. Categories of personal data processed

In connection with the use of the function, the following personal data may in particular be processed:
a) the Recipient’s e-mail address;
b) technical data relating to the Verification Code sent to the e-mail address provided by the Recipient, including the hashed form of the code, its expiry time, the number of failed attempts and any lockout data;
c) technical identifiers connected to the Share Link and token;
d) the technical identifier, expiry time and status of the Recipient’s access session;
e) data necessary to identify the matter affected by the Share, including in particular the matter number, the subject matter of the case, and the name, identifier and path of the shared file or folder;
f) personal data contained in the shared documents, where the relevant document contains such data;
g) access and security log data, including in particular the time of the event, the Recipient’s e-mail address, the type of event, the identifier and name of the affected file or folder, IP address, browser user-agent data and event identifier;
h) the fact and time of acceptance of the terms of use and privacy notice, and the related technical identifiers;
i) data appearing in download or access certificates, including the technical fingerprint generated from the event data.

4. Purposes of processing

The purposes of processing are:
a) the creation and operation of the Share;
b) the identification of the Recipient and the prevention of unauthorised access;
c) the sending and verification of the Verification Code, the handling of failed attempts and the prevention of misuse;
d) the provision of viewing and download access to the shared documents;
e) the documentation of access events relating to the Share;
f) the management of expiry, revocation and access sessions relating to the Share;
g) the generation of access and download certificates;
h) the prevention, detection and investigation of IT security incidents and misuse;
i) the establishment, exercise or defence of legal claims by the Customer, the Issuing Attorney, the Recipient or the Service Provider.

5. Legal bases of processing

The legal basis for the creation of the Share, the determination of the scope of the shared documents and the designation of the Recipient shall be determined by the Customer. Depending on the nature of the specific matter, such legal basis may in particular be:
a) the performance of a contract or the taking of steps prior to entering into a contract pursuant to Article 6(1)(b) of the GDPR;
b) compliance with a legal obligation pursuant to Article 6(1)(c) of the GDPR;
c) the legitimate interests of the Customer, the Issuing Attorney or a third party pursuant to Article 6(1)(f) of the GDPR, in particular for the secure handover of documents, the performance of an attorney’s mandate, or the establishment, exercise or defence of legal claims;
d) in exceptional cases, the consent of the data subject pursuant to Article 6(1)(a) of the GDPR, where the Customer considers this to be the appropriate legal basis for the specific processing.

The legal basis for the processor activities of Flowyer LegalTech Kft. is the contractual relationship with the Customer and the controller instructions of the Customer.

The legal basis for processing carried out by Flowyer LegalTech Kft. as an independent controller for IT security, misuse prevention, service protection and legal enforcement purposes is the legitimate interest under Article 6(1)(f) of the GDPR. Where the retention or disclosure of certain data is required by law, the legal basis for the processing shall be compliance with a legal obligation under Article 6(1)(c) of the GDPR.

6. Special categories of data and attorney-client privilege

Depending on the case file determined by the Customer, the content of the shared documents may contain special categories of personal data, criminal offence data, attorney-client privileged information, trade secrets or other confidential information.

Flowyer LegalTech Kft. does not analyse, classify or determine the legal nature of the content of the shared documents. The Customer, as controller, shall be responsible for the content of the shared documents, the lawfulness of the Share and the provision of appropriate information to the data subjects.

Where special categories of personal data are processed, the Customer shall determine the applicable exception under Article 9 of the GDPR. Where criminal offence data are processed, the Customer shall determine the applicable conditions under Article 10 of the GDPR.

7. Recipients and processors

Personal data relating to the Share may, by virtue of the nature of the Share, be accessed by:
a) the Recipient for whom the Share has been created;
b) the Customer and the Customer’s authorised users;
c) the Issuing Attorney;
d) those employees or contributors of Flowyer LegalTech Kft. whose access is necessary for the provision of the service, troubleshooting, investigation of security incidents or compliance with legal obligations;
e) hosting, infrastructure, e-mail delivery, logging, file storage or other technical service providers involved as processors or sub-processors in the operation of the Software;
f) authorities, courts or other bodies entitled to receive the data under applicable law.

Depending on the technical solution, file downloads may take place directly through the infrastructure of the file storage provider. The ZIP packaging process may involve a technical contributor or a separate processing environment. When engaging sub-processors, the Service Provider shall ensure that such sub-processors are subject to data protection obligations essentially equivalent to those undertaken towards the Customer.

8. Transfers to third countries

The primary data processing and data handling environment of the Software is based on infrastructure located within the European Union. Where the operation of the function involves a transfer of personal data to a third country, such transfer shall take place only if the conditions set out in Chapter V of the GDPR are met.

9. Data security measures

In operating the function, the Service Provider may apply, in particular, the following data security measures:
a) use of a unique, cryptographically random Share Link;
b) use of a one-time Verification Code linked to an e-mail address;
c) storage of the Verification Code in hashed form;
d) time-limited Verification Code and access session;
e) limitation of failed code entry attempts and temporary lockout;
f) HTTPS-based encrypted data transmission;
g) session cookies protected by HttpOnly and other security settings;
h) logging of access and security events;
i) expiry and revocation mechanisms;
j) use of download URLs with a short validity period;
k) role-based access control on the attorney-side interface of the Software.

10. Retention period

The retention period of data relating to the Share depends on the type of data and the purpose of processing.

The metadata of the Share, including the identifiers connected to the Share Link, the e-mail addresses of Recipients, the subject matter of the Share, its expiry date and status, may be retained for the duration of the Share and thereafter for as long as necessary for the establishment, exercise or defence of legal claims by the Customer or the Service Provider, for accountability obligations, or for IT security interests.

The Verification Code is stored only in hashed form and may be processed for the period necessary to complete the verification process, manage the expiry time and prevent misuse.

Access session data may be processed for the duration of the validity of the session and, for security reasons, for the logging period connected to such session.

Access log data and certificates generated on the basis thereof may be retained for the retention period determined by the Customer, or in the absence thereof for a period aligned with the limitation period for legal claims, attorney document retention obligations and IT security purposes.

The retention period of the shared documents shall be governed by the general document and file management rules of the Software and by the Customer’s own document management and attorney retention obligations.

11. Rights of data subjects

The data subject may exercise the rights provided for under the GDPR, including in particular the right to:
a) request information and access to the personal data relating to them;
b) request the rectification of inaccurate personal data;
c) request the erasure of personal data, where the statutory conditions are met;
d) request restriction of processing;
e) object to processing based on legitimate interests;
f) exercise the right to data portability, depending on the applicable legal basis;
g) withdraw consent at any time where processing is based on consent.

Since, as a general rule, the Customer qualifies as the controller in respect of the creation of the Share and the determination of the scope of the shared documents, data subject requests should primarily be submitted to the Customer or the Issuing Attorney.

Where the data subject submits a request directly to Flowyer LegalTech Kft., the Service Provider may, having regard to its processor role, forward the request to the Customer and cooperate in the fulfilment of the request in accordance with the Customer’s instructions. In respect of processing activities where Flowyer LegalTech Kft. acts as an independent controller, the Service Provider shall assess the request in its own capacity.

12. Complaints and remedies

The data subject may primarily address any data protection question or request to the Issuing Attorney or the Customer. Data protection enquiries addressed to Flowyer LegalTech Kft. may be submitted to support@flowyer.hu with the subject line "Data Protection".

The data subject shall be entitled to lodge a complaint with the Hungarian National Authority for Data Protection and Freedom of Information and shall also be entitled to bring proceedings before a court if they consider that the processing of their personal data infringes applicable data protection laws.

13. Data protection effect of expiry and revocation of the Share

The expiry or revocation of the Share shall result in the termination of the Recipient’s further access right. Expiry or revocation shall not automatically result in the immediate deletion of all personal data relating to the Share, as the retention of certain data, in particular access log data and data necessary for the generation of certificates, may remain necessary for the establishment, exercise or defence of legal claims, accountability, IT security or compliance with legal obligations.

On the basis of an expired or revoked Share, the Recipient shall not be able to perform any further document viewing or download, and active sessions may be invalidated.

Flowyer LegalTech LLC prelucrează datele personale exclusiv în calitate de persoană împuternicită (furnizând servicii de găzduire), cu excepția datelor furnizate pentru îndeplinirea comenzii și în scopuri de contact, detaliate mai sus. Toate deciziile legate de prelucrarea datelor sunt luate exclusiv de partenerul de afaceri operator de date (denumit în continuare „Clientul") care furnizează date personale în legătură cu proprii clienți. Clientul își asumă răspunderea pentru orice pretenții formulate de terți împotriva Flowyer LegalTech LLC privind prelucrarea datelor personale sau încălcarea confidențialității comerciale. Flowyer LegalTech LLC nu ia decizii substanțiale privind prelucrarea datelor, prelucrează datele personale exclusiv conform instrucțiunilor Clientului, nu prelucrează datele în scopuri proprii și stochează și păstrează datele personale în conformitate cu instrucțiunile Clientului. Ambele părți convin că Clientul recunoaște și aprobă sistemul de stocare și păstrare a datelor stabilit de Flowyer LegalTech LLC, păstrând în același timp dreptul de a-l inspecta. Flowyer LegalTech LLC declară că ia în considerare stadiul actual al tehnicii în determinarea și aplicarea măsurilor tehnice și organizatorice pentru asigurarea securității datelor.

Clientul poate specifica acțiuni pe care Flowyer LegalTech LLC să le execute pentru deciziile legate de prelucrarea datelor, pentru a asigura îndeplinirea corespunzătoare a sarcinilor contractuale. Cu toate acestea, Clientul este responsabil pentru legalitatea unor astfel de instrucțiuni. Flowyer LegalTech LLC trebuie să informeze imediat Clientul înainte de executarea unei instrucțiuni dacă aceasta este considerată impracticabilă, neprofesională sau în încălcarea reglementărilor legale. Flowyer LegalTech LLC poate devia de la instrucțiunile Clientului doar dacă este impus de legea (națională sau UE).

Flowyer LegalTech LLC poate angaja persoane împuternicite suplimentare. În acest caz, aceleași obligații de protecție a datelor se vor aplica persoanei împuternicite angajate ca și cele stipulate între Client și Flowyer LegalTech LLC. Flowyer LegalTech LLC se asigură că sunt stabilite contracte cu personalul sau părțile implicate în prelucrarea datelor privind confidențialitatea datelor personale.

Flowyer LegalTech LLC este obligată să prevină accesul neautorizat la date și să notifice Clientul fără întârziere nejustificată despre orice incident de protecție a datelor, furnizând informații detaliate.

Dacă Clientul decide să nu își reînnoiască abonamentul după expirare, Flowyer LegalTech LLC va oferi acces „doar citire" la date, permițând Clientului să acceseze și să copieze datele în același mod ca în timpul încărcării (anumite funcții pot include funcționalitate de export).

Orice dispute apărute în legătură cu cele de mai sus ar trebui rezolvate în primul rând prin negocieri reciproce. Dacă disputa nu poate fi rezolvată în termen de 30 de zile de la inițierea discuțiilor scrise, aceasta poate fi adusă în fața instanței competente cu jurisdicție generală, conform Legii CXXX din 2016.