Politica de confidențialitate.

RT Design Studio (SRL), cu sediul în Chișinău, Republica Moldova, operează serviciul aihost.md. Suntem operator de date cu caracter personal în sensul GDPR (Regulamentul UE 2016/679) și al Legii nr. 175/2024 din Republica Moldova privind protecția datelor cu caracter personal (intrare în vigoare 23 august 2026, înlocuiește Legea 133/2011).

Politica asta îți spune ce date colectăm, de ce, cum le stocăm și ce drepturi ai. Citește-o până la capăt — e scrisă să fie de înțeles, nu să te epuizeze.

Colectăm strictul necesar pentru a oferi serviciul. Anume:

2.1. La înregistrare cont:

• Email — pentru autentificare (cod OTP) și comunicări tranzacționale
• Username ales de tine — devine subdomeniul tu.aihost.md
• Numele afișat (opțional) — folosit în UI personalizat
• Cheia SSH publică — pentru a-ți permite acces la container

2.2. La utilizarea serviciului:

• IP address — log-uri server pentru securitate (păstrate 30 zile)
• User agent (browser + OS) — pentru sesiuni active
• Timestamps — ultimul login, ultima activitate container, ora cererilor
• Resource usage — CPU, RAM, disk consumate de container-ul tău (pentru billing și fair use)

2.3. La plată (când vom adăuga plăți):

• Date de facturare — nume / denumire, adresă, IDNO sau CNP (pentru facturi conform legislației MD)
• Istoric tranzacții — sume, date, status
• Datele de card nu trec niciodată prin serverele noastre — sunt procesate de partenerul de plăți (Stripe / MAIB e-commerce / etc.) care e conform PCI-DSS

Pentru claritate maximă, iată lucrurile pe care nu le vedem niciodată, chiar dacă ele există în container-ul tău:

• Cheile API ale agenților AI (Claude, Codex, Gemini) — trăiesc în container-ul tău (~/.aihost/agent-keys.env), nu sunt sincronizate niciunde, nu apar în log-urile noastre
• Codul sursă din container-ul tău — proprietatea ta integrală (vezi secțiunea 6 din ToS)
• Datele aplicației tale (Postgres user-data, uploads, log-uri ale aplicației tale) — sunt în container-ul tău izolat
• Conținutul SSH-sessions — nu interceptăm/logăm ceea ce tipezi în terminal
• Conținutul email-urilor pe care le trimiți prin integrări (Resend, etc.) — direct user → provider

Conform GDPR Art. 6 (echivalent art. 5 Legea 175/2024 MD), fiecare categorie de date are o bază legală:

• Email + autentificare — necesar pentru executarea contractului (Art. 6(1)(b))
• Date de facturare — obligație legală fiscală (Art. 6(1)(c)) + Codul Fiscal MD
• IP + log-uri securitate — interes legitim de a proteja serviciul (Art. 6(1)(f))
• Resource usage — necesar pentru executarea contractului (verificare limite plan) (Art. 6(1)(b))
• Comunicări marketing (când vor exista) — doar cu consimțământ explicit + opt-in (Art. 6(1)(a))

Toate datele tale sunt stocate fizic în Republica Moldova, pe servere oferite de iHost SRL, Chișinău, Moldova.

Nu transferăm date în afara Moldovei, cu următoarele excepții (necesare pentru funcționare):

• Email-urile tranzacționale pleacă prin Resend (UE/SUA) — adresa ta de email + conținutul mesajului tranzecesc temporar serverele lor
• Cookie-urile esențiale și serviciile de plată (când vor exista) pot trece prin procesatori internaționali (Stripe, etc.) care au propriile măsuri de conformitate
• Backup-urile sunt stocate tot în MD (același datacenter sau un al doilea server în țară), pentru disaster recovery local

Retenția e diferită pe categorie:

• Date cont — atât timp cât contul e activ. Plus 30 de zile după ștergere (perioadă de grație, în caz că vrei să revii)
• Backup-uri container — retenția planului tău (30 zile pe Hobby, 90 zile pe Starter și Pro). După termen sunt șterse automat
• Log-uri server (IP, useragent, timestamps) — 30 zile
• Date de facturare — 5 ani (obligație fiscală conform legislației MD)
• Tranzacții și facturi emise — 7 ani (obligație contabilă)

După termenul de retenție, datele sunt șterse definitiv din sistemele noastre, inclusiv din backup-uri (la următorul ciclu de rotație, max 90 zile).

Ai următoarele drepturi pe care le poți exercita în orice moment:

• Acces — să afli ce date avem despre tine (Art. 15)
• Rectificare — să corectezi date incorecte (Art. 16). Poți face asta direct din dashboard
• Ștergere („dreptul de a fi uitat") — să-ți ștergi contul + datele (Art. 17). Excepție: datele pe care suntem obligați legal să le păstrăm (facturi)
• Portabilitate — să exporți datele tale într-un format structurat (Art. 20). Codul + DB-ul container-ului tău sunt deja portabile complet (vezi ToS secțiunea 6)
• Restricționare procesare — să ne ceri să oprim procesarea pentru o perioadă (Art. 18)
• Obiecție la procesare — împotriva interesului legitim (Art. 21)
• Plângere autoritate — la Centrul Național pentru Protecția Datelor cu Caracter Personal din Republica Moldova (datepersonale.md) sau la autoritatea ta națională din UE

Pentru exercitarea oricărui drept, scrie la legal@aihost.md. Răspundem în maxim 30 zile calendaristice.

Folosim un număr minim de cookie-uri, grupate în 3 categorii cu consimțământ separat:

• Esențiale (mereu ON, fără consent) — sesiune autentificare, tema, flash messages, preferință consent. Fără acestea aplicația nu funcționează, conform ePrivacy Directive.
• Analitice (opt-in explicit) — Google Analytics 4 dacă și când e configurat, agregate + IP-uri anonimizate. Nu se încarcă dacă n-ai dat consent. Retenție 14 luni.
• Marketing (opt-in explicit) — retargeting / ads. Nu folosim actualmente, dar avem infrastructura de consent pregătită pentru viitor.

Preferințele tale sunt salvate în cookie-ul aihost-consent pe 12 luni. Le poți schimba oricând din Setări → Confidențialitate & date.

Detaliat în Politica de Cookies.

Folosim un set restrâns de furnizori care procesează date în numele nostru. Lista completă, la zi:

• iHost SRL (Chișinău, Moldova) — infrastructură hardware (DC, networking, server fizic)
• Resend (UE/SUA) — livrare email-uri tranzacționale (DPA semnat)
• Cloudflare (global) — DNS, DDoS protection (DPA semnat, EU SCC)

Vom adăuga la această listă (cu notificare în avans):

• Procesator de plăți (Stripe sau MAIB e-commerce — TBD)

Pentru detalii contractuale despre cum tratăm datele tale, vezi Data Processing Agreement.

Aplicăm măsuri tehnice și organizatorice rezonabile:

• HTTPS/TLS pe toate conexiunile (HSTS forțat)
• Container-uri user izolate prin Docker (network namespaces, cgroup limits)
• SSH cu autentificare doar prin chei publice (parolele dezactivate)
• Parolele și API key-urile noastre interne stocate criptat (nu în cleartext)
• Backup-uri zilnice + retenție conform planului
• Monitoring ops + alerte la activități anormale
• Acces la infrastructură limitat la membrii echipei (least privilege)

În caz de breach de date, notificăm autoritățile competente în 72h și utilizatorii afectați fără întârziere nejustificată (conform GDPR Art. 33-34).

aihost.md nu se adresează persoanelor sub 16 ani. Nu colectăm conștient date de la minori. Dacă afli că un minor și-a creat cont, contactează-ne la legal@aihost.md și-l vom șterge prompt.

Putem actualiza politica când:

• Adăugăm features noi care implică date noi
• Schimbăm un subprocesator
• Legislația aplicabilă se modifică

Pentru schimbări materiale (de impact pentru tine) notificăm prin email cu cel puțin 30 zile înainte de intrarea în vigoare. Pentru schimbări minore (clarificări, typo-uri), doar actualizăm versiunea + data în antet.

Versiunile vechi sunt disponibile la cerere.

Persoana responsabilă cu protecția datelor (Data Protection Officer): Radu Trifan. Nu suntem obligați formal să avem DPO conform Legea 175/2024 (nu procesăm la scară largă categorii speciale de date), dar am desemnat unul oricum pentru claritate operațională.

Întrebări, cereri privind drepturile tale, sau orice altă chestiune de privacy: legal@aihost.md sau privacy@aihost.md.

Răspundem în maxim 30 zile calendaristice (obligație Legea 175 art. 15).

Plângere autoritate: Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP).