Confidențialitatea ta

Pe scurt: Datele tale despre ciclu, sănătate și jurnal sunt date sensibile (Art. 9 GDPR). Le procesăm exclusiv pe baza consimțământului tău expres, le criptăm în tranzit (TLS 1.2+) și în repaus (AES-256), NU le vindem, NU le folosim pentru publicitate și NU antrenăm modele AI publice cu ele. Le poți exporta sau șterge complet oricând, direct din aplicație.

1. Operatorul de date

Asha Wellness SRL, cu sediul în strada Sub Cetate, 45B, Floresti, judetul Cluj, , România, înregistrată 54979383 (denumită în continuare „Operatorul").

Email contact GDPR: contact@theasha.app / support@theasha.app

Pentru orice cerere privind drepturile tale (acces, rectificare, ștergere, portabilitate, opoziție, restricționare) primești răspuns în maxim 30 de zile calendaristice (Art. 12(3) GDPR), prelungibil cu încă 60 de zile pentru cereri complexe.

2. Ce date colectăm

2.1. Date de cont (necesare pentru funcționare):

• Email și parolă (hash bcrypt) — sau autentificare prin Google / Apple Sign-In
• Nume (opțional), vârstă, limbă preferată
• Identificator anonim al dispozitivului pentru sesiune

2.2. Date de sănătate — categorie specială (Art. 9 GDPR):

• Date despre ciclul menstrual: dată început/sfârșit, lungime, regularitate, flux
• Simptome, mood, intensitate durere, libido, intercourse (opțional)
• Date despre sarcină, due date, conditii (dacă activezi modul sarcină)
• Date menopauză și pre-menopauză (dacă activezi modul)
• Somn (ore, calitate), hidratare, exerciții, medicamente luate
• Afecțiuni declarate (ex. PCOS, endometrioză, diabet, hipotiroidie)
• Greutate, înălțime, obiective fitness
• Note personale, jurnal, alimente consumate

2.3. Date de utilizare:

• Conversații cu asistentul AI „Asha" și cereri de generare (planuri, analize)
• Preferințe de afișare, obiective personale, consimțăminte acordate
• Adresă IP, tip dispozitiv, sistem de operare, versiune aplicație (pentru securitate și debugging)
• Token push (FCM Android / APNS iOS) — doar dacă activezi notificările

2.4. Date de plată (doar pentru utilizatorii Pro):

Plățile sunt procesate prin Apple App Store / Google Play Billing. Statusul abonamentului ne este comunicat prin RevenueCat. Nu vedem și nu stocăm date de card.

2.5. Ce NU colectăm:

• NU colectăm geolocație precisă (GPS)
• NU avem cookies de tracking, advertising sau analytics third-party
• NU folosim fingerprinting de dispozitiv
• NU accesăm contactele, microfonul sau camera (decât dacă încarci o poză tu)

3. Temeiul legal al prelucrării

• Consimțământul tău expres (Art. 6(1)(a) și Art. 9(2)(a) GDPR) — pentru toate datele de sănătate. Îl poți retrage oricând din Setări → Șterge cont sau prin email la contact@theasha.app / support@theasha.app.
• Executarea contractului (Art. 6(1)(b)) — pentru autentificare, abonament Pro, funcționalitatea de bază.
• Obligație legală (Art. 6(1)(c)) — păstrare facturi, logging anti-fraudă conform legislației fiscale și de e-commerce.
• Interes legitim (Art. 6(1)(f)) — securitate, prevenirea fraudei, debugging, îmbunătățirea serviciului. Poți obiecta oricând.

3.a Utilizarea datelor prin Apple HealthKit și Google Health Connect

Dacă alegi să sincronizezi Asha cu Apple HealthKit (iOS) sau Google Health Connect (Android), aplicația citește exclusiv datele pe care le autorizezi tu în ecranul nativ de permisiuni (ex.: pași, puls, puls de repaus, somn, greutate, distanță, calorii active, minute active, tensiune arterială, nutriție/hidratare, antrenamente, ciclu menstrual).

Scopul strict al utilizării — aceste date sunt folosite EXCLUSIV pentru funcționalitatea de bază a aplicației: personalizarea analizei zilnice în funcție de faza ciclului tău, adaptarea intensității antrenamentelor generate, calcularea macronutrienților și a scorului de activitate, afișarea evoluției în calendar și insights.

Respectăm Health Connect Permissions Policy și Limited Use Requirements:

• NU transferăm și NU vindem datele Health Connect / HealthKit către platforme de publicitate, brokeri de date sau terți în scop de marketing.
• NU folosim aceste date pentru targetare publicitară, profilare comercială sau reclame personalizate.
• NU antrenăm modele AI publice sau proprii cu datele tale de sănătate din HealthKit / Health Connect.
• NU divulgăm aceste date decât dacă legea o impune (ex.: solicitare judiciară).
• Datele sunt procesate securizat (TLS 1.2+ în tranzit, AES-256 în repaus în infrastructura noastră) și pot fi șterse oricând din Setări → Sincronizare sănătate → Dezactivează, precum și direct din Apple Health / Health Connect.
• Poți revoca permisiunile în orice moment din Apple Health (Settings → Health → Data Access & Devices → Asha) sau Health Connect (Settings → Apps → Health Connect → Permisiuni).
• Înainte de a-ți cere permisiunile native, aplicația îți afișează un ecran clar (in-app prominent disclosure) care explică exact ce date citim și de ce, conform cerințelor Google Play și Apple App Store.

3.b Recomandări medicale

Asha este o aplicație de wellness și educație pentru sănătate, NU este un dispozitiv medical. Nu oferă diagnostic, tratament, prescripție sau interpretare clinică a rezultatelor de laborator. Toate insight-urile, planurile nutriționale, planurile de exerciții, reminder-ele de medicamente și răspunsurile asistentului AI „Asha" au caracter strict informativ și educațional. Pentru orice decizie medicală trebuie să consulți un medic licențiat.

4. Cum folosim datele

• Pentru a calcula predicții ale ciclului, ferestrei fertile și ovulației
• Pentru a-ți oferi analize personalizate (rapoarte AI, corelații simptome, insights)
• Pentru a genera planuri nutriționale și de exerciții bazate pe faza ciclului și obiectivele tale
• Pentru a-ți trimite notificări push (doar dacă le activezi)
• Pentru a procesa plăți și gestiona abonamentul Pro
• Pentru a îmbunătăți serviciul (analize agregate, complet anonimizate)
• Pentru a răspunde la solicitările tale și la cererile GDPR
• NU folosim datele tale pentru publicitate targetată, nu le vindem și nu le partajăm cu brokeri de date. NU antrenăm modele AI publice cu datele tale personale. Decizii automatizate cu efect juridic semnificativ NU se iau (Art. 22 GDPR).

5. Sub-procesatori și partajarea datelor

Datele sunt partajate doar cu sub-procesatori atent selectați, sub clauze contractuale GDPR (Data Processing Agreements) și clauze standard contractuale (SCC) ale Comisiei Europene unde e cazul:

Lista sub-procesatorilor poate fi actualizată. Modificările esențiale îți vor fi notificate cu cel puțin 30 de zile înainte. Autorități publice — doar dacă suntem obligați legal (ex. ordin judecătoresc).

6. Transferuri internaționale de date

Unii sub-procesatori (Google, Apple, RevenueCat) procesează date în SUA. Toate transferurile se realizează sub:

• Clauze standard contractuale (SCC) ale UE (Decizia 2021/914)
• EU-US Data Privacy Framework (acolo unde furnizorul este certificat)
• Măsuri tehnice suplimentare: criptare end-to-end, pseudonimizare unde e posibil
• Aceste garanții asigură un nivel de protecție echivalent celui din UE, conform jurisprudenței Schrems II.

7. Cât timp păstrăm datele

8. Drepturile tale GDPR

În calitate de persoană vizată (Art. 12-22 GDPR), ai dreptul:

• De acces (Art. 15) — să afli ce date avem despre tine
• De rectificare (Art. 16) — să corectezi date incorecte sau incomplete
• La ștergere (Art. 17) — „dreptul de a fi uitat"
• La restricționarea prelucrării (Art. 18)
• La portabilitate (Art. 20) — export în format structurat (JSON, CSV, PDF)
• De opoziție (Art. 21) la prelucrare bazată pe interes legitim
• De a-ți retrage consimțământul oricând, fără să afecteze legalitatea prelucrării anterioare
• De a nu fi supus unei decizii automate cu efect juridic semnificativ (Art. 22)
• De a depune plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP): www.dataprotection.ro
• Poți exercita majoritatea acestor drepturi direct din aplicație: Setări → Date și confidențialitate → Export date / Șterge cont. Pentru solicitări complexe, scrie la contact@theasha.app / support@theasha.app.

9. Securitate

• Conexiuni criptate HTTPS / TLS 1.2+ pentru toate transferurile
• Criptare în repaus pentru baza de date (AES-256)
• Row-Level Security (RLS) — fiecare utilizator vede DOAR datele proprii
• Hash bcrypt
• PIN local opțional pentru deblocarea aplicației
• Backup-uri zilnice criptate, retenție 30 de zile
• Audit log pentru acțiunile sensibile
• Limite anti-abuz pe cererile AI (rate limiting per utilizator)
• În caz de breșă de securitate care îți afectează datele, te vom notifica în maxim 72 de ore conform Art. 33-34 GDPR și vom notifica ANSPDCP.

10. Cookies și stocare locală

Folosim doar mecanisme strict necesare pentru funcționare:

• Token de sesiune (autentificare)
• Preferințe de limbă, temă, dashboard
• PIN hash local (dacă activezi PIN lock)
• NU folosim cookies de tracking, analytics third-party, publicitate sau social plugins. Nu este necesar bannerul de cookies pentru aceste mecanisme strict necesare (Considerentul 30, Directiva ePrivacy).

10.a Tracking și publicitate (Apple ATT / Google Play Data Safety)

NU te urmărim în alte aplicații sau site-uri. Asha nu folosește identificatori publicitari (IDFA / GAID), nu se conectează la rețele de advertising, nu face cross-app tracking și nu partajează date cu brokeri de date sau parteneri de marketing.

• iOS — App Tracking Transparency (ATT): aplicația NU cere permisiunea ATT pentru că nu efectuează tracking în sensul Apple. Nici o categorie de date nu este „Used to Track You" în Privacy Nutrition Label.
• Android — Google Play Data Safety: datele colectate (cont, sănătate, activitate în app, diagnostice) sunt folosite exclusiv pentru funcționarea serviciului și pentru cererile tale explicite. Datele de sănătate NU sunt partajate cu terți în scop comercial și pot fi șterse din aplicație în orice moment.
• NU integrăm Firebase Analytics, Google Analytics, Meta Pixel, TikTok Pixel sau alte SDK-uri de analytics comportamental. Firebase este folosit exclusiv pentru livrarea notificărilor push (FCM) pe Android.
• Erori tehnice minime pot fi înregistrate local sau în infrastructura noastră (Supabase logs) strict pentru debugging și securitate, fără profilare comportamentală.

11. Minori

Aplicația este destinată persoanelor de minim 16 ani (vârsta minimă pentru consimțământ digital în România conform Legii 190/2018, art. 8). Sub această vârstă, prelucrarea necesită consimțământul părintelui sau al tutorelui legal (Art. 8 GDPR).

Dacă descoperim că am colectat date de la o persoană sub 16 ani fără consimțământul părintelui, ștergem datele imediat. Sesizați la contact@theasha.app / support@theasha.app.

12. Decizii automatizate și AI

Asistentul AI „Asha", planurile generate și analizele sunt produse de modele de inteligență artificială (Google Gemini). Acestea sunt orientative și informative, NU constituie diagnostic, prescripție sau sfat medical. NU iau decizii cu efect juridic semnificativ asupra ta.

Conținutul datelor trimise către modelul AI este limitat la cererea ta și un context anonimizat (faza ciclului, obiective). Conform termenilor de utilizare ai API-ului furnizorului (Google API Terms & Data Processing Addendum), datele trimise NU sunt folosite pentru antrenarea sau îmbunătățirea modelelor AI publice.

13. Modificări ale politicii

Vom actualiza această politică când e necesar (modificări legislative, sub-procesatori noi, funcționalități noi). Modificările esențiale îți vor fi notificate în aplicație și prin email (dacă contul tău are email valid), iar utilizarea în continuare a serviciului implică acceptarea noii versiuni. Versiunile anterioare sunt arhivate la cerere.

14. Contact

Întrebări sau cereri GDPR: contact@theasha.app / support@theasha.app

Ultima actualizare: 23 iulie 2026