Data Processing Agreement

Acord de Prelucrare a Datelor, versiunea 1

Intră în vigoare la 2026-09-20. AstroWay API, api.astroway.info. Clarificat la 2026-10-12: secțiunea 2 precizează ce trimit endpoint-urile AI către modelele lingvistice. Nicio obligație de niciuna dintre părți nu s-a modificat.

1. Cine suntem și ce acoperă acest acord

Acest acord este încheiat între tine, Clientul, acționând în calitate de operator de date, și Maksym Burkhan, antreprenor individual (ФОП), Ucraina, care operează api.astroway.info în calitate de persoană împuternicită de operator pentru tine, în conformitate cu Articolul 28 GDPR.

Acesta se aplică atâta timp cât contul tău există și trimiți cereri către API, și guvernează doar datele pe care le trimiți prin API. Detaliile contului tău sunt o chestiune separată, unde noi suntem operatorul și se aplică politica noastră de confidențialitate.

2. Ce prelucrăm și de ce

Obiectul și scopul. Trimiți date de naștere către API: o dată, o oră, un fus orar sau un decalaj, și coordonate. Calculăm un rezultat astrologic și îl returnăm. Acesta este întregul scop, iar apelul API este instrucțiunea ta.

Categorii de persoane vizate. Utilizatorii tăi finali, sau oricine a cărui dată de naștere o trimiți.

Tipuri de date. Data și ora nașterii, coordonatele și câmpurile opționale name și city. name și city nu sunt niciodată stocate: sunt păstrate în memorie pe durata cererii și nu sunt scrise nicăieri.

Durata. Pe durata existenței contului tău, sub rezerva secțiunii 9.

Ce înregistrăm despre apel, nu despre persoană. Endpoint-ul, metoda, starea, latența, numărul de octeți, un rezumat ireversibil cu sare al adresei IP a apelantului și primii 16 biți ai acelei adrese, User-Agent-ul, originea și o țară, oraș și operator de rețea aproximative. Păstrăm aceste date timp de 30 de zile.

Endpoint-uri AI. /v1/interpret/*, /v1/horoscope/*, /v1/reports/ai/* și /v1/ai/* generează textul cu modele lingvistice terțe. Acești furnizori primesc doar harta calculată: semne, case și aspecte cu orbe la grad întreg. Nu primesc niciodată data nașterii, ora, coordonatele, numele sau locul pe care le-ai trimis, motiv pentru care nu sunt sub-împuterniciți conform secțiunii 4. Textul liber pe care îl scrii tu, cum ar fi o întrebare de tarot sau un mesaj de chat, este transmis modelului așa cum a fost scris.

3. Ce ne angajăm să facem

• Prelucrăm datele tale doar conform instrucțiunilor tale documentate, care sunt apelurile API pe care le faci și orice instrucțiune scrisă pe care ne-o trimiți, cu excepția cazului în care legislația UE sau a unui stat membru impune altfel, caz în care te informăm înainte de prelucrare, cu excepția cazului în care legea interzice acest lucru.
• Dacă o instrucțiune ni se pare ilegală, o semnalăm imediat în loc să o executăm în tăcere.
• Serviciul este operat de o singură persoană, care este obligată la confidențialitate și este singura persoană cu acces administrativ.
• Menținem măsurile de securitate din secțiunea 5.
• Te ajutăm să răspunzi unei solicitări a unei persoane vizate și te ajutăm cu obligațiile tale conform Articolelor 32 până la 36, în măsura în care acest lucru este posibil și ținând cont de ceea ce deținem. Această precizare este a legii, și aici este concretă: nu stocăm niciun nume, niciun e-mail și niciun identificator pentru utilizatorii tăi finali, deci de obicei nu putem găsi rândurile unei persoane în sistemul nostru. Tu poți face acest lucru, prin propriile tale înregistrări, iar DELETE /v1/me/account șterge tot ce deținem pentru contul tău.
• Nu folosim datele tale în scopuri proprii, nu le vindem și nu le folosim pentru a antrena modele.

4. Sub-împuterniciți

Doi, și aceștia sunt infrastructura:

Sub-împuternicit	Rol	Locație
Hetzner Online GmbH	calcul, baze de date și stocare fișiere	Nürnberg, Germania
Cloudflare, Inc.	CDN, DNS și protecție DDoS, cu reguli de cache pentru regiunea UE	Companie din SUA, servere edge din UE deservesc traficul din UE

Le impunem aceleași obligații de protecție a datelor pe care le avem și noi aici, și rămânem pe deplin răspunzători față de tine pentru ceea ce fac ei.

Îți dăm autorizație generală pentru acești doi. Te vom anunța prin e-mail înainte de a adăuga sau înlocui unul, și poți obiecta pe motive rezonabile de protecție a datelor; dacă nu putem rezolva obiecția, poți înceta să folosești serviciul și îți rambursăm partea neutilizată a perioadei pentru care ai plătit.

Furnizorii noștri de plăți și e-mail nu sunt incluși în mod deliberat în acest tabel, deoarece nu văd niciodată date acoperite de prezentul acord. Brevo îți trimite e-mailuri tranzacționale, iar Monobank preia plățile cu cardul, LiqPay fiind adăugat în octombrie 2026. Ambele privesc contul tău, nu utilizatorii tăi finali, deci sunt menționate în politica de confidențialitate.

5. Securitate

• Transportul se face exclusiv prin TLS, iar HTTP simplu este redirecționat.
• Parolele sunt hash-uite cu bcrypt, iar cheile API sunt stocate hash-uite.
• Adresele IP sunt stocate doar ca un SHA-256 cu sare, calculat la scrierea rândului. Sarea se află în mediul serverului, niciodată în cod.
• Conturile de baze de date sunt separate per consumator, fiecare cu cel mai restrâns set de permisiuni care funcționează, iar baza de date ascultă doar pe interfața loopback.
• Backup-urile sunt criptate cu AES-256 înainte de a părăsi mașina.
• Accesul administrativ se face prin cheie SSH, o singură persoană, fără acreditări partajate.

Ce nu avem, pentru că a pretinde ar fi mai rău decât a spune: nu deținem un raport SOC 2 și nici un certificat ISO 27001 propriu. Hetzner deține ISO/IEC 27001 pentru centrul de date în care se află serverele noastre.

6. Transferuri, explicate clar

Datele tale sunt prelucrate pe servere din Nürnberg, Germania, și nu le replicăm în afara SEE.

Suntem totuși stabiliți în Ucraina, care nu are o decizie de adecvare conform Articolului 45. Conform Orientărilor EDPB 05/2021, acest lucru singur constituie un transfer către o țară terță, la fel și accesul administrativ din Ucraina la acele servere germane, deoarece accesul la distanță contează chiar și atunci când nimic nu este copiat. Așadar, nu îți spunem că nu există un transfer transfrontalier; există unul, și acesta este ceea ce îl acoperă.

Încheiem Clauzele Contractuale Standard ale Deciziei de punere în aplicare (UE) 2021/914, Modulul Doi (operator către persoană împuternicită de operator), care sunt încorporate în prezentul acord prin referință și prevalează asupra acestuia în caz de conflict. Secțiunile 2, 5 și 4 ale prezentului acord servesc drept Anexele I, II și III, respectiv. O copie semnată care menționează ambele părți este disponibilă la cerere la legal@astroway.info.

Ceea ce este transferat în practică este accesul administrativ autentificat la sistemele din Germania, nu exportul unei baze de date.

7. Demonstrarea conformității

Îți oferim informațiile de care ai nevoie pentru a demonstra conformitatea cu Articolul 28 prin prezentul acord și descrierea noastră de securitate de mai sus, și vom completa un chestionar de securitate scris rezonabil în orice perioadă de douăsprezece luni gratuit.

Dacă acest lucru nu este suficient, poți audita conformitatea cu prezentul acord o dată în orice perioadă de douăsprezece luni, cu un preaviz scris de treizeci de zile, de la distanță, în timpul orelor de program, acoperind doar prelucrarea pe care o efectuăm pentru tine și niciodată datele altui client. Suporti costul auditului și al oricărui auditor pe care îl numești. Aceste limite nu se aplică în cazul în care o autoritate de supraveghere solicită o inspecție.

8. În caz de încălcare

Te notificăm fără întârzieri nejustificate după ce luăm la cunoștință o încălcare a securității datelor cu caracter personal care afectează datele pe care le prelucrăm pentru tine, prin e-mail la adresa de e-mail a contului tău. Prima notificare poate fi incompletă, și vom reveni cu informații pe măsură ce aflăm mai multe.

Nu deținem detalii de contact pentru utilizatorii tăi finali, deci notificarea acestora în temeiul Articolului 34 îți revine ție.

9. Încetarea acordului

Când contul tău se încheie, spune-ne dacă dorești ca datele pe care le deținem pentru tine să fie returnate sau șterse, și vom face acest lucru. Dacă nu ne spui nimic, le ștergem.

Singura excepție este ceea ce legislația fiscală ne impune să păstrăm: înregistrările de plată, timp de 1095 de zile conform §44.3 din Codul Fiscal al Ucrainei. Trei ani, nu șapte, cum estimase un proiect anterior al acestui text. Articolul 17(3)(b) GDPR exclude înregistrările păstrate pentru o obligație legală din dreptul la ștergere, motiv pentru care o cerere de ștergere nu le afectează.

10. Acceptarea prezentului acord

O accepți în tabloul tău de bord, iar înregistrarea acestei acceptări menționează contul tău, versiunea și momentul. Articolul 28(9) impune ca contractul să fie în scris, “inclusiv în formă electronică”, deci acea înregistrare este contractul și nu este nimic de așteptat. PDF-ul pe care îl poți descărca conține aceeași înregistrare. O copie pe hârtie contrasemnată este disponibilă la cerere.

Dacă modificăm în mod substanțial acest text, devine o nouă versiune și îți cerem să o accepți pe aceea; versiunea pe care ai acceptat-o rămâne cea cu care ai fost de acord.