Politica de confidențialitate – Smart Living

Ultima actualizare: 6 noiembrie 2026

Această politică explică ce date personale prelucrăm prin aplicația și serviciul „Smart Living" (iOS, Android și web, disponibile la https://smart.torcip.com), în ce scopuri, pe ce temei legal și care sunt drepturile dumneavoastră. Este redactată în conformitate cu Regulamentul (UE) 2016/679 (GDPR) și cu Legea nr. 190/2018.

1. Cine suntem (operatorul de date)

Operatorul datelor este:

• TORCIP S.R.L.
• Sediu: Str. Weiner Palada 12, Sat Roșu, Comuna Chiajna, Județul Ilfov, România
• CUI: 49862521 · Nr. Reg. Com.: J2024002471231
• E-mail de contact: contact@torcip.com

Nu am desemnat un responsabil cu protecția datelor (DPO), întrucât prelucrarea noastră nu intră în situațiile care impun obligatoriu un DPO conform art. 37 GDPR. Pentru orice chestiune privind datele personale, operatorul poate fi contactat la contact@torcip.com.

2. Ce este Smart Living

Smart Living este un serviciu de control al unei locuințe inteligente pentru apartamente rezidențiale. Structura este ierarhică: dezvoltator → clădire → apartament. Utilizatorii pot fi rezidenți și membri de familie, administratori de imobil, instalatori și administratori de sistem, fiecare cu roluri și drepturi diferite.

Dispozitivele sunt controlate printr-un hub aflat în apartament. Automatizările de siguranță (închiderea robinetului la detectarea unei scurgeri de apă, detecția de fum/CO, butonul de panică) rulează local, pe hub, și funcționează chiar și fără conexiune la internet. Excepție: la o instalație care are doar gateway-ul Zigbee, fără un calculator local care să ruleze regulile, și pentru care protecția prin server a fost activată explicit, închiderea robinetului la o scurgere este decisă de serverul nostru și nu funcționează fără internet. Aplicația afișează acest mod.

3. Ce date prelucrăm

Prelucrăm doar datele necesare funcționării serviciului:

• Date de cont: adresă de e-mail, nume, parolă (stocată doar ca hash, niciodată în clar).
• Conectare cu Google sau Apple (opțional): dacă alegeți „Continuă cu Google” sau „Continuă cu Apple”, primim de la acel furnizor doar numele, adresa de e-mail (la Apple poate fi o adresă privată de redirecționare „Ascunde adresa de e-mail”, care funcționează normal) și identificatorul contului la furnizor — și le folosim doar pentru a vă crea contul și a vă conecta. Nu primim și nu stocăm parola contului Google/Apple, fotografia de profil sau contactele. Singura excepție, la Apple: păstrăm criptat token-ul de reîmprospătare emis de Apple, exclusiv ca să putem revoca legătura cu Apple când vă ștergeți contul (cerință Apple); nu îl folosim pentru nimic altceva și se șterge odată cu contul. Nu folosim acești furnizori pentru publicitate sau urmărire. Conturile create astfel nu au parolă; puteți seta una oricând din „Ai uitat parola?”. În aplicația web, butonul Google este încărcat direct de la Google (accounts.google.com) când se deschide pagina de conectare, deci Google poate vedea adresa IP a browserului chiar dacă nu alegeți acest buton; pe Android și iOS nu se încarcă nimic de la Google înainte să apăsați butonul.
• Sesiuni: etichetă/denumire dispozitiv și marcaje de timp. Nu stocăm adrese IP pentru sesiuni. Adresele IP sunt folosite doar tranzitoriu, în memorie, pentru limitarea ratei de cereri (protecție anti-abuz) și nu sunt salvate.
• Jurnal de securitate al contului: pentru a vă proteja contul de încercări de ghicire a parolei, înregistrăm evenimentele de autentificare: parolă greșită, blocare temporară a contului (după 10 parole greșite în 15 minute contul se blochează 15 minute), deblocare, cod 2FA greșit, cerere și finalizare de resetare a parolei, schimbarea parolei, sesiuni închise și încercări pe un cont suspendat — cu data și ora, platforma (Android/iOS/web) și versiunea aplicației. Nu înregistrăm adresa IP, parola sau token-uri. Evenimentele legate de contul dumneavoastră se șterg odată cu contul. O încercare pe o adresă de e-mail care nu are cont nu păstrează adresa: păstrăm doar o amprentă criptografică cu cheie secretă (un cod din care adresa nu poate fi citită), care se șterge automat după 90 de zile.
• Apartenență și roluri: apartamentul/apartamentele la care aveți acces și rolul atribuit.
• Invitații în locuință: adresa de e-mail a persoanei pe care o invitați, rolul propus și răspunsul ei.
• Stări și comenzi ale dispozitivelor: starea dispozitivelor și comenzile trimise.
• Jurnal de audit pentru acțiunile relevante pentru siguranță.
• Consum de energie: citiri de energie (kWh, cost).
• Alerte generate de sistem.
• Token-uri pentru notificări push (Expo / Apple APNs / Google FCM).
• Dovezi ale instalatorului: fotografii/PDF-uri pentru avizarea de siguranță a instalației.
• Secrete 2FA (TOTP) ale administratorilor, stocate criptat.
• Rapoarte de erori (crash logs) și diagnostic: când aplicația se blochează sau întâmpină o eroare, trimite automat un raport tehnic doar către serverul nostru: tipul și mesajul erorii, locul din cod (stack trace), ecranul curent și ultimele acțiuni tehnice din aplicație (ecrane deschise, apeluri către server, starea comenzilor — fără numele dispozitivelor sau ale camerelor), versiunea și build-ul aplicației, sistemul de operare, modelul telefonului, limba și identificatorul dispozitivului (vezi mai jos). Sunt incluse și erorile părții native a aplicației (Android/iOS) și blocajele interfeței de peste 1 secundă; acestea sunt salvate mai întâi într-un fișier local, în spațiul privat al aplicației de pe telefon, și trimise la următoarea pornire, apoi fișierul este șters. Colectăm și măsurători de performanță agregate (timpul de pornire, timpul de încărcare a ecranelor, durata apelurilor către server), legate doar de identificatorul dispozitivului. Adresele de e-mail, token-urile, parametrii din adrese (query string) și token-urile push sunt eliminate pe telefon înainte de trimitere și din nou pe server. Dacă sunteți autentificat, raportul este legat de cont printr-un pseudonim (hash), iar lista internă a problemelor reține și ce conturi au fost afectate, ca echipa să vă poată ajuta — raportul nu conține e-mail, nume sau adresă IP. Erorile serverului nostru sunt înregistrate în același loc, fără date personale. Puteți opri trimiterea oricând din Setări → „Trimite diagnostic”; rapoartele încă netrimise sunt șterse de pe telefon.
• Identificatorul dispozitivului: la prima pornire, aplicația generează un cod aleator (UUID) propriu și îl păstrează pe telefon (în spațiul securizat al sistemului — Keychain/Keystore — ca să rămână la actualizări; în browser, în spațiul local al site-ului). Îl trimite doar către serverul nostru, împreună cu rapoartele de erori, măsurătorile de performanță și sesiunea (la conectare și la verificarea periodică a contului), ca să putem face statistici pe dispozitiv: erori și performanță pe dispozitiv, câte instalări sunt active și ce versiuni ale aplicației rulează. Pe server păstrăm doar o amprentă criptografică cu cheie secretă (hash) a codului, cu platforma, versiunea aplicației, sistemul de operare, prima și ultima zi în care a fost văzut și, dacă sunteți autentificat, contul conectat pe acel dispozitiv. Nu este un identificator de publicitate sau hardware (nu folosim IDFA, AAID/GAID, IMEI, adresa MAC, numărul de serie sau Android ID), nu facem amprentare a dispozitivului (fingerprinting), nu îl asociem cu adresa IP și nu îl folosim pentru urmărire sau publicitate. Pe iPhone, codul nu se copiază pe alt telefon la restaurarea dintr-o copie de rezervă. Codul însoțește sesiunea și atunci când diagnosticul este oprit, pentru că statisticile de instalări active și versiuni țin de funcționarea serviciului. Când opriți „Trimite diagnostic” din Setări, codul este șters de pe telefon și nu se mai trimite nimic până la următoarea pornire; atunci se generează unul nou, fără legătură cu cel vechi, care însoțește doar sesiunea (nu și rapoarte de erori sau măsurători de performanță, cât timp diagnosticul rămâne oprit).
• Programul Smart Living Bridge (opțional): dacă instalați pe un PC din locuință programul care adaugă dispozitive Matter prin Wi-Fi (becuri, benzi LED), acesta se conectează doar la serverul nostru, printr-o singură conexiune criptată inițiată de PC. Trimite: producătorul și modelul dispozitivelor, tipul lor Matter, identificatorul lor din rețeaua noastră Matter (numărul nodului și al punctului final, nu seria și nici numele pe care i l-ați dat), ce pot face și starea lor (aprins, luminozitate, culoare), dacă sunt online și versiunea programului. Pe server păstrăm aceste date ca pentru orice alt dispozitiv, doar amprenta criptografică (hash) a cheii de acces a programului și momentul ultimei conectări. Nu stocăm adresa IP a PC-ului sau a dispozitivelor. Codul de asociere pe care îl introduceți în aplicație trece prin serverul nostru spre program, este folosit o singură dată și nu este salvat: nici în baza de date, nici în jurnale. Pe PC, programul ține local cheia de acces (accesibilă doar contului dumneavoastră de Windows), datele tehnice Matter ale dispozitivelor și un jurnal tehnic local, din care sunt eliminate cheile, codurile și adresele IP. Nu trimite date către terți și nu conține instrumente de analiză. Când eliminați un dispozitiv, acesta dispare din aplicație și i se șterg starea și istoricul, iar o înregistrare minimă (tipul și numele lui, fără date despre dumneavoastră) rămâne alături de acțiunile deja înregistrate în jurnalul de audit. Puteți revoca oricând accesul programului din Setări.
• Cereri de suport: textul mesajelor și fișierele pe care le atașați; din imagini eliminăm metadatele (de ex. poziția GPS) înainte de salvare.
• Jurnal atașat la o cerere de suport („Trimite jurnal”): doar dacă bifați această opțiune în formularul de suport (și doar cât timp „Trimite diagnostic” este pornit), atașăm cererii ultimele acțiuni tehnice din aplicație (aceleași ca mai sus, deja curățate pe telefon), ecranul curent, modelul telefonului, sistemul de operare și versiunea aplicației, pentru ca echipa de suport să poată înțelege problema. Jurnalul rămâne cu cererea și se șterge odată cu ea sau cu contul.

Nu folosim SDK-uri de analiză, de raportare a erorilor (de ex. Sentry, Crashlytics) sau de publicitate, nu facem urmărire prin terți, nu colectăm geolocație și nu colectăm adrese IP în scop de analiză.

4. În ce scopuri și pe ce temei legal

5. Cine are acces la date (împuterniciți și furnizori)

Nu vindem datele dumneavoastră. Le divulgăm doar destinatarilor de mai jos, în limitele descrise pentru fiecare:

• Găzduire: server propriu la DigitalOcean, centru de date Frankfurt (UE) — DigitalOcean ca persoană împuternicită.
• DNS: numele smart.torcip.com este gestionat la Cloudflare, doar ca serviciu DNS. Traficul aplicației, al site-ului și al programului Smart Living Bridge nu trece prin Cloudflare: ajunge direct la serverul nostru din Frankfurt, iar conexiunea criptată (TLS) se încheie pe serverul nostru.
• Rapoarte de erori și diagnostic: nu sunt transmise niciunui terț (nu folosim Sentry, Crashlytics sau servicii similare); sunt prelucrate doar pe serverul nostru din Frankfurt (UE).
• Livrare e-mail: e-mailurile serviciului (de exemplu verificarea adresei, resetarea parolei, invitațiile) sunt trimise prin Resend. Resend primește adresa destinatarului și conținutul mesajului și le poate prelucra și în afara UE, inclusiv în Statele Unite, în condițiile sale contractuale.
• Furnizori de conectare (doar dacă îi folosiți): Google (Google Ireland Ltd.) și Apple (Apple Distribution International Ltd.) gestionează pasul de conectare pe platforma lor, conform propriilor politici de confidențialitate; ei ne confirmă identitatea dumneavoastră, iar noi nu le transmitem date despre locuință, dispozitive sau modul în care folosiți aplicația.
• Notificări push: Expo, Apple (APNs) și Google (FCM) (persoane împuternicite). Acești furnizori pot prelucra date în afara UE; transferurile se bazează pe Cadrul UE-SUA privind confidențialitatea datelor (Data Privacy Framework) și/sau Clauze Contractuale Standard (SCC). Prin push transmitem doar informația minimă necesară afișării notificării.
• Dispozitive/hub (gateway-ul nostru Zigbee): dispozitivele sunt conectate prin gateway-ul nostru Zigbee din apartament și serviciul nostru Zigbee2MQTT, pe serverul nostru din UE (Frankfurt). Nu folosim cloud-ul unui producător de dispozitive; comenzile, stările și citirile senzorilor nu tranzitează serverele unui furnizor terț de dispozitive. Singura excepție este puntea demonstrativă Tuya, descrisă imediat mai jos.
• Punte demonstrativă cu un panou de perete Tuya (opțională): o funcție demonstrativă, oprită implicit și nedestinată locuințelor obișnuite, pe care o activăm noi pe server (nu există o opțiune în aplicație), doar dacă proprietarul locuinței o dorește. Numai acolo, prin cloud-ul Tuya (centrul de date pentru Europa Centrală) trec doar identificatorii tehnici ai dispozitivelor legate și valori: comenzile pornit/oprit și valorile senzorilor afișate pe panou (temperatură, umiditate, scurgere), fără nume, e-mail sau adresă. Contul Smart Life și panoul sunt supuse termenilor și politicii de confidențialitate Tuya.

• Asistenți AI (doar dacă îi conectați dumneavoastră): puteți conecta opțional un asistent AI, de exemplu Claude (Anthropic) sau ChatGPT (OpenAI), la locuința dumneavoastră. Conexiunea o inițiați dumneavoastră din asistent, vă conectați la contul Smart Living și aprobați explicit pe pagina noastră ce poate vedea asistentul și dacă poate comanda dispozitive (controlul este oprit implicit). Asistentul primește doar ceea ce cere în conversație: numele afișat al locuinței (clădire · apartament), dispozitivele cu numele, camera și starea lor, istoricul senzorilor, consumul de energie, alertele, scenele, automatizările și programările. Aceste date ajung la furnizorul asistentului (Anthropic, respectiv OpenAI), care le prelucrează ca operator independent, conform propriilor termeni și politici de confidențialitate, posibil în afara UE. Nu transmitem niciodată asistentului numele, adresa de e-mail sau telefonul persoanelor, adresa locuinței, parola, token-uri sau identificatorii tehnici ai dispozitivelor. Comenzile trimise prin asistent sunt înregistrate în jurnalul de audit ca acțiuni ale dumneavoastră, cu mențiunea că au venit prin asistent. Puteți retrage accesul oricând din Setări → Asistenți AI; accesul se retrage automat și la schimbarea parolei sau la cererea de ștergere a contului.

Vă putem furniza la cerere lista actualizată a persoanelor împuternicite.

6. Transferuri internaționale

Datele sunt găzduite în UE (Frankfurt). Serviciile auxiliare de e-mail și push pot implica transferuri în afara Spațiului Economic European. Pentru push, transferurile se realizează cu garanții adecvate: Cadrul UE-SUA privind confidențialitatea datelor (acolo unde furnizorul este certificat) și/sau Clauze Contractuale Standard aprobate de Comisia Europeană. Pentru e-mail, transferul are loc în condițiile contractuale ale Resend. Puntea demonstrativă Tuya, doar acolo unde este activată, folosește centrul de date Tuya pentru Europa Centrală; nu avem informații despre alte locuri în care Tuya ar prelucra aceste date, iar pentru acestea se aplică termenii Tuya. Puteți obține o copie a garanțiilor scriindu-ne la adresa de la secțiunea 1.

7. Cât timp păstrăm datele

• Date de cont: pe durata contului activ.
• Ștergerea contului: la cerere, cu o perioadă de grație de 30 de zile (anulabilă); după expirare, ștergere definitivă.
• Jurnalul de audit de siguranță și jurnalul acțiunilor administrative: păstrate fără un termen de ștergere; nu se șterg automat și nici la ștergerea contului sau a locuinței. La ștergerea contului, actorul este pseudonimizat: identificatorul contului dumneavoastră este înlocuit cu un pseudonim, inclusiv acolo unde contul apare ca destinatar al unei acțiuni administrative (de ex. atribuirea unui rol sau a unei sarcini). Jurnalul de audit identifică semnatarul unei avizări doar prin identificatorul contului, nu prin nume.
• Atestări de siguranță ale instalatorului (dovezile testului fizic): păstrate fără un termen de ștergere; o atestare finalizată nu poate fi ștearsă. La ștergerea contului instalatorului, referința la contul semnatarului este eliminată, iar numele introdus la semnare este înlocuit cu un pseudonim; atestarea rămâne valabilă.
• Copii de rezervă (backup): ciclu continuu de 14 zile.
• Date de consum energetic: 24 de luni.
• Token-uri push: până la deconectare sau ștergerea contului.
• Conexiuni cu asistenți AI: acordul și token-urile de acces (păstrate doar ca amprentă criptografică) până la retragerea accesului, schimbarea parolei sau ștergerea contului; un token de acces expiră după o oră, unul de reîmprospătare după 30 de zile. Păstrăm data ultimei utilizări a fiecărei conexiuni, fără adresa IP.
• Rapoarte de erori și diagnostic: 90 de zile, apoi se șterg automat. La ștergerea contului, rapoartele legate de pseudonimul contului sunt șterse.
• Identificatorul dispozitivului (pe server): 90 de zile de la ultima utilizare, apoi se șterge automat; se șterge imediat odată cu contul conectat pe acel dispozitiv.
• Cereri de suport și atașamente: până la ștergerea contului.
• Invitații în locuință: adresa persoanei invitate, rolul propus și răspunsul rămân în istoricul locuinței, fără un termen de ștergere; o invitație fără răspuns nu expiră singură. Adresa este înlocuită cu o valoare din care nu poate fi citită când persoana invitată își șterge contul și când locuința este ștearsă din aplicație („Șterge casa”). La ștergerea contului celui care a trimis invitația se elimină doar legătura cu acel cont; adresa persoanei invitate rămâne.
• Jurnal de securitate al contului: 90 de zile, apoi se șterge automat; evenimentele legate de cont se șterg imediat odată cu contul, iar încercările pe adrese fără cont (păstrate doar ca amprentă cu cheie, fără adresa IP) expiră după 90 de zile.

8. Ștergerea contului

Vă puteți șterge contul:

• în aplicație: Setări → Șterge contul;
• pe web: https://smart.torcip.com/delete-account.

Ștergerea declanșează perioada de grație de 30 de zile descrisă la secțiunea 7. Anumite înregistrări de siguranță și atestări pot fi păstrate anonimizat conform secțiunii 7.

9. Drepturile dumneavoastră

Conform GDPR, aveți dreptul de: acces, rectificare, ștergere, restricționare a prelucrării, portabilitate, opoziție (inclusiv la prelucrările bazate pe interes legitim). Pentru exercitarea drepturilor, scrieți-ne la adresa de e-mail de la secțiunea 1.

Dacă apreciați că v-am încălcat drepturile, puteți depune o plângere la autoritatea de supraveghere:

• Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
• Adresă: B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, cod poștal 010336, București, România
• Web: www.dataprotection.ro · E-mail: anspdcp@dataprotection.ro

10. Copii

Serviciul nu se adresează copiilor sub 16 ani. Conform Legii nr. 190/2018, vârsta consimțământului pentru serviciile societății informaționale în România este de 16 ani. Dacă un cont este creat pentru un minor sub 16 ani, acesta trebuie autorizat de titularul răspunderii părintești.

11. Securitate

Aplicăm măsuri tehnice și organizatorice adecvate: parole stocate doar ca hash, criptarea secretelor 2FA, autentificare cu doi factori pentru administratori, transmitere criptată (TLS), găzduire în UE și minimizarea datelor (ex. fără stocarea IP-urilor). Automatizările critice de siguranță rulează local, pe hub, cu excepția modului prin server descris la secțiunea 2.

12. Modificări ale acestei politici

Putem actualiza această politică. Versiunea curentă va fi marcată cu data de la începutul documentului („Ultima actualizare"). Modificările importante vor fi comunicate prin aplicație sau e-mail.

13. Contact

Pentru orice întrebare privind datele personale: contact@torcip.com, TORCIP S.R.L., Str. Weiner Palada 12, Sat Roșu, Comuna Chiajna, Județul Ilfov, România.