Acord de prelucrare a datelor

În vigoare din 14 octombrie 2026

Acest acord se încheie între tine, un coach care folosește Mealstone („tu”), și MJK APPS SRL, cu sediul în Str. Islazului nr. 24, 435100 Baia Sprie, jud. Maramureș, România, nr. Registrul Comerțului J2019000866242, CUI RO40832934 („noi”). Se referă la datele cu caracter personal ale clienților tăi pe care le prelucrăm pentru tine în Mealstone și îndeplinește cerințele articolului 28 din RGPD. Face parte din condițiile noastre de utilizare și îl accepți când te înregistrezi ca coach.

1. Roluri și domeniu de aplicare

• Pentru datele clienților tăi, tu ești operatorul, iar noi suntem persoana împuternicită de operator. „Datele clienților” înseamnă datele cu caracter personal, descrise în Anexa 1, ale:
  • clienților tăi;
  • persoanelor pe care le inviți;
  • persoanelor care îți cer să lucrezi cu ele.
  Sunt datele pe care le prelucrăm cât timp aceste persoane lucrează cu tine sau cât timp cererea lor către tine este deschisă.
• Pentru propriile noastre scopuri, noi suntem operatorul și se aplică politica noastră de confidențialitate: conturile și conectarea, evidența acordurilor, abonamentele, lista de coachi, părerile despre aplicație și securitatea.
• Când colaborarea se încheie, pierzi imediat accesul la datele clientului. Clientul își păstrează datele în propriul cont, iar din acel moment le deținem pentru client, conform politicii noastre de confidențialitate. Ce ai adăugat doar pentru tine despre client, cum ar fi notițele, ciornele, rezumatele AI și semnalele de alarmă, rămâne stocat acolo unde nimeni nu îl poate citi. Îl vezi din nou doar dacă clientul revine la tine, iar ștergerea lui se face așa cum este descris în secțiunea 10. Ce păstrezi tu este o intrare în lista foștilor clienți: numele clientului, perioada colaborării și felul în care s-a încheiat aceasta.

2. Instrucțiunile tale

Instrucțiunile tale către noi sunt:

• condițiile de utilizare și acest acord;
• ce faci în Mealstone, de exemplu când inviți un client, ceri o ciornă AI, publici un plan sau închei colaborarea.

Prelucrăm datele clienților doar conform acestor instrucțiuni, pentru a-ți furniza Mealstone ție și clienților tăi, cu excepția cazului în care dreptul Uniunii sau dreptul unui stat membru ne impune altceva. În acest caz, te informăm înainte, cu excepția situației în care legea respectivă interzice acest lucru. Dacă considerăm că o instrucțiune încalcă legislația privind protecția datelor, te informăm.

3. Responsabilitățile tale

Confirmi că ai o bază legală pentru a-ți îndruma clienții și pentru a le prelucra datele în Mealstone și răspunzi pentru menținerea ei. În special:

• Datele despre sănătate necesită acordul explicit al clientului tău. Mealstone îl cere pentru tine, înainte ca un client să introducă vreo informație despre sănătate, și înregistrează fiecare decizie. Coachingul din aplicație se încheie atunci când un client își retrage acordul.
• Spune-le clienților tăi cum le folosești datele. Politica noastră de confidențialitate explică cum funcționează Mealstone, iar tu le-o poți indica clienților. Tu răspunzi pentru informarea lor despre felul în care le folosești tu datele.
• Adaugă doar datele de care ai nevoie, în locurile destinate lor.
• Răspunde la cererile clienților tăi privind datele lor. Clienții pot face singuri o mare parte din acestea în aplicație, iar noi te ajutăm cu restul.
• Efectuează o evaluare a impactului asupra protecției datelor dacă prelucrarea pe care o faci o impune. Te ajutăm cu informații despre Mealstone.

4. Confidențialitatea

Toți cei care lucrează pentru noi și pot accesa datele clienților sunt obligați să păstreze confidențialitatea acestora și le accesează doar când munca lor o cere.

Ca să ajute cu o problemă raportată de tine sau de un client, un membru al personalului nostru de asistență poate vizualiza aplicația așa cum o vezi tu sau acel client: numai în citire, cel mult 30 de minute o dată și numai cu un motiv. Fiecare astfel de sesiune este înregistrată, cu cine a vizualizat, contul cui, când și de ce, iar înregistrarea se păstrează un an.

5. Securitatea

Protejăm datele clienților prin măsurile din Anexa 2, ținând seama de riscurile prelucrării datelor despre sănătate. Le menținem la zi. Le putem modifica, dar niciodată într-un mod care să reducă nivelul de protecție.

6. Subîmputerniciții

• Ne autorizezi să folosim subîmputerniciții enumerați în Anexa 3.
• Fiecare dintre ei este obligat printr-un contract la obligații de protecție a datelor echivalente cu cele pe care ni le asumăm prin acest acord. Rămânem răspunzători față de tine pentru ei.
• Te anunțăm prin e-mail cu cel puțin 30 de zile înainte să adăugăm sau să înlocuim un subîmputernicit. Te poți opune din motive rezonabile legate de protecția datelor. Dacă nu putem soluționa obiecția ta, îți poți încheia abonamentul și îți poți șterge contul înainte ca schimbarea să intre în vigoare.

7. Unde sunt prelucrate datele

Datele clienților sunt stocate în UE, în regiunea Google Cloud din Țările de Jos (europe-west4), și sunt prelucrate de AI în UE, prin multiregiunea UE a Vertex AI, care păstrează prelucrarea în statele membre ale UE. Unele servicii funcționează în afara UE:

• Conectarea: Google o operează din Statele Unite. Serviciul păstrează datele de conectare ale conturilor și nu conține date de coaching.
• Notificările push: serviciile push ale Google și Apple funcționează la nivel mondial. Textele notificărilor noastre nu includ niciodată greutatea, măsurătorile sau fotografiile unui client ori termeni legați de sănătate. Cu previzualizarea mesajelor activată, așa cum este implicit, primele 80 de caractere ale unui mesaj din conversație trec și ele prin aceste servicii, la fel cum pot trece fotografia de profil a unui client sau logoul tău. Oricine își poate dezactiva previzualizările din setările de notificări.

Aceste transferuri sunt protejate prin Cadrul de confidențialitate a datelor UE-SUA și prin clauzele contractuale standard ale Comisiei Europene.

8. Cum te ajutăm

Ținând seama de ce prelucrăm și de informațiile de care dispunem, te ajutăm:

• să răspunzi la cererile prin care clienții tăi își exercită drepturile. Clienții își pot schimba deja acordurile, pot cere o copie a datelor și își pot șterge contul din aplicație.
• să îți îndeplinești obligațiile privind securitatea, încălcările securității datelor cu caracter personal, evaluările impactului și consultarea autorității.

Dacă un client ne trimite o cerere privind datele pe care le prelucrăm pentru tine, ți-o transmitem fără întârziere.

9. Încălcarea securității datelor cu caracter personal

Dacă o încălcare a securității datelor cu caracter personal afectează datele clienților, te informăm fără întârzieri nejustificate și în cel mult 72 de ore de la momentul în care am aflat de ea. Îți comunicăm:

• ce s-a întâmplat;
• datele și persoanele afectate;
• consecințele probabile;
• ce facem în această privință.

Dacă la început nu știm totul, îți trimitem restul informațiilor de îndată ce le aflăm. Limităm efectele încălcării și te ajutăm să notifici autoritatea și clienții tăi atunci când legea o cere.

10. Când se încheie prelucrarea

De fiecare dată când se încheie o colaborare, păstrăm pentru tine o intrare în lista foștilor clienți, cu numele clientului, perioada colaborării și felul în care s-a încheiat aceasta. O ștergem la 3 ani după încheierea colaborării sau mai devreme, dacă o elimini tu. Intrarea rămâne dacă clientul își șterge contul. Ce ai adăugat doar pentru tine despre client rămâne stocat, fără să poată fi citit, așa cum descrie secțiunea 1.

Când îți ștergi contul sau când îl închidem noi:

• legătura cu clienții tăi se întrerupe, iar aceștia își păstrează propriile date în conturile lor;
• ștergem imediat ce ai adăugat doar pentru tine, cum ar fi notițele, ciornele, rezumatele AI, răspunsurile salvate și mesajele programate, precum și memoria ta de răspunsuri;
• semnalele de alarmă, ciornele de feedback pentru check-inuri și cele pentru consultații, precum și descrierile fotografiilor meselor, care fac parte din evidențele unui client, rămân în contul acelui client, unde nimeni nu le poate citi, până când clientul își șterge contul.

Datele șterse dispar din copiile noastre de rezervă în cel mult 7 zile. Păstrăm datele mai mult timp doar acolo unde legea o cere.

Înainte de asta, ne poți cere o copie a datelor clienților pe care le prelucrăm pentru tine. Ți-o trimitem într-un format utilizat în mod curent și care poate fi citit automat, în cel mult 30 de zile de la cererea ta, iar apoi ștergem datele așa cum este descris mai sus.

11. Informații și audituri

Îți punem la dispoziție informațiile de care ai nevoie pentru a demonstra că respectăm acest acord. Acestea includ acest acord, măsurile de securitate și subîmputerniciții din anexele sale, precum și certificările principalului nostru furnizor, Google Cloud.

Dacă acestea nu sunt suficiente, tu sau un auditor obligat să păstreze confidențialitatea puteți audita modul în care respectăm acordul:

• cu o notificare prealabilă de cel puțin 30 de zile;
• pe cheltuiala ta;
• cel mult o dată pe an, cu excepția cazului în care o încălcare sau o autoritate impune mai mult.

12. Răspunderea și prioritatea

Fiecare parte răspunde, conform RGPD, pentru partea din prelucrare de care este responsabilă. În rest, răspunderea urmează condițiile noastre de utilizare. Pentru prelucrarea datelor clienților, acest acord are prioritate față de condițiile de utilizare. Acordul se aplică atât timp cât prelucrăm date ale clienților pentru tine.

Anexa 1: Detaliile prelucrării

Anexa 2: Măsurile de securitate

• Criptarea: datele sunt criptate în timpul transmiterii și la stocare.
• Regulile de acces: regulile de pe server permit accesul la datele clientului doar clientului și coachului cu care lucrează în prezent, nimănui altcuiva. Acordurile, conținutul publicat, abonamentele și notificările sunt scrise numai de funcțiile noastre de server.
• Verificarea aplicației: cererile care nu vin de la aplicațiile autentice sunt respinse.
• Fișierele media private:
  • fotografiile de progres, fotografiile meselor și fotografiile din conversație se deschid doar pentru persoanele conectate care au dreptul să le vadă, niciodată printr-un link;
  • videoclipurile din conversație se deschid printr-un link pe care îl primesc doar persoanele din conversație;
  • locația și detaliile dispozitivului sunt eliminate din fotografii înainte de încărcare;
  • fotografiile de progres sunt afișate din memorie și nu sunt salvate niciodată pe dispozitiv. Fotografiile meselor și fotografiile din conversație se păstrează în spațiul de stocare propriu al aplicației de pe dispozitiv, în afara galeriei foto, până la 60 de zile după ultima deschidere;
  • pe Android, capturile de ecran sunt blocate pe ecranele care afișează fotografii de progres.
• AI: la fiecare cerere AI despre un client se verifică dacă coachul și clientul lucrează împreună. Evidențele de utilizare a AI nu includ conținutul. Furnizorul de AI nu are voie să folosească datele pentru antrenarea modelelor.
• Notificările: textele notificărilor noastre nu includ niciodată greutatea, măsurătorile, fotografii sau termeni legați de sănătate. Previzualizarea mesajelor funcționează așa cum descrie secțiunea 7.
• Oamenii: doar membrii nominalizați ai echipei pot accesa sistemele de producție, fiecare prin propriul cont Google sau Apple, și numai când munca lor o cere. Fiecare cont cu acces la ele folosește verificarea în doi pași.
• Reziliența: în fiecare zi se face o copie de rezervă a bazei de date, iar fiecare copie de rezervă se păstrează 7 zile.
• Limitele de utilizare: limitele impuse acțiunilor sensibile împiedică abuzurile.
• Procedura pentru încălcări: urmăm o procedură scrisă pentru încălcările securității datelor cu caracter personal.

Anexa 3: Subîmputerniciții