Acord de prelucrare a datelor (APD)

Versiunea 2, proiect, neverificat de un avocat, pe baza legal-tpl-dpa v1

Ultima actualizare: 29 octombrie 2026 · Versiunea: 2 · În vigoare de la: 29 octombrie 2026

Link permanent la versiunea 2

Acest APD face parte din contractul dintre clientul persoană juridică sau profesionist („Operatorul”) și Human Synthesis SRL, Sat Buciumeni, Comuna Buciumeni, nr. 279, județul Dâmbovița, 137065, România, Registrul Comerțului J15/860/12.06.2024, cod TVA RO50224420 („Persoana împuternicită”) pentru aiactaudit.ai („Serviciul”). Clientul îl acceptă împreună cu termenii și condițiile la înregistrare, iar noi înregistrăm versiunea acceptată.

Dacă clientul este el însuși persoană împuternicită. Experții, precum responsabilii externi cu protecția datelor și consultanții, prelucrează adesea datele clienților lor în numele acestora. În acest caz, clientul acționează ca persoană împuternicită a propriului client, iar acest APD este un acord de subcontractare a prelucrării între client și noi, în aceleași condiții; „Operatorul” înseamnă atunci clientul, care transmite instrucțiunile propriului client.

1. Obiectul, durata, natura și scopul: Persoana împuternicită prelucrează date cu caracter personal doar pentru a furniza Serviciul conform contractului (spații de lucru ale clienților, inventarul de IA, clasificare, registrul obligațiilor, cronologie, mementouri, jurnalul modificărilor, export și alerte din monitorizarea legislativă), pe durata acestuia și până la ștergere conform clauzei 10.
2. Tipurile de date și persoanele vizate: persoanele de contact ale clienților Operatorului, invitate ca oaspeți: nume, adrese de e-mail, funcții; angajații clienților Operatorului ale căror date cu caracter personal Operatorul le introduce în rânduri din inventarul de IA, note de dovadă sau răspunsuri la clasificare: nume, funcții, date de contact profesionale și informațiile introduse. Nicio categorie specială de date: Serviciul nu este conceput pentru acestea, iar Operatorul nu ar trebui să le introducă. Niciuna dintre aceste date nu este trimisă vreodată unui furnizor de IA.
3. Instrucțiuni: Persoana împuternicită prelucrează datele doar pe baza instrucțiunilor documentate ale Operatorului (contractul, acest APD și utilizarea de către Operator a setărilor Serviciului), inclusiv în privința transferurilor, cu excepția cazului în care dreptul UE sau al unui stat membru impune altfel, caz în care informează în prealabil Operatorul, dacă legea nu interzice acest lucru. Informează Operatorul dacă o instrucțiune pare să încalce legislația privind protecția datelor.
4. Confidențialitate: persoanele autorizate să prelucreze datele s-au angajat să respecte confidențialitatea.
5. Securitate (art. 32 GDPR): Persoana împuternicită aplică măsurile din Anexa 1.
6. Subprocesatori: Operatorul acordă o autorizare generală pentru subprocesatorii enumerați la https://aiactaudit.ai/ro/subprocesatori. Persoana împuternicită anunță noii subprocesatori cu cel puțin 30 de zile înainte (prin e-mail sau pe acea pagină, cu opțiune de abonare); Operatorul se poate opune din motive rezonabile privind protecția datelor și, dacă nu se găsește o soluție, poate rezilia Serviciul afectat. Persoana împuternicită impune subprocesatorilor aceleași obligații și rămâne răspunzătoare pentru ei.
7. Asistență: Persoana împuternicită ajută Operatorul, ținând seama de natura prelucrării, să răspundă cererilor persoanelor vizate, precum și în privința securității, notificării încălcărilor, evaluărilor de impact și consultării prealabile.
8. Încălcări ale securității datelor cu caracter personal: Persoana împuternicită notifică Operatorul fără întârzieri nejustificate și în termen de 48 de ore de la data la care a luat cunoștință, cu informațiile disponibile.
9. Transferuri: datele sunt stocate de Cloudflare (Cloudflare D1 și R2); configurația Persoanei împuternicite nu fixează o regiune de stocare, astfel că locația este aleasă de Cloudflare și se poate afla în afara SEE. Transferurile în afara SEE au loc doar conform art. 44–49 GDPR (decizie de adecvare, inclusiv EU-US Data Privacy Framework, sau clauzele contractuale standard, modulul 3 pentru subprocesatori).
10. Ștergere sau returnare: la încetarea Serviciului, Operatorul își poate exporta datele timp de 30 de zile; apoi Persoana împuternicită le șterge, inclusiv copiile, în 90 de zile (copiile de siguranță prin rotație), cu excepția cazului în care legea impune stocarea.
11. Audituri: Persoana împuternicită pune la dispoziție informațiile necesare pentru a demonstra conformitatea cu obligațiile sale (acest APD, documentația de securitate, certificările furnizorilor săi de găzduire) și permite audituri efectuate de Operator sau de auditorul său, cel mult o dată pe an, cu o notificare prealabilă de 30 de zile, pe costul Operatorului, fără acces la datele altor clienți.
12. Răspundere și ordinea de prioritate: se aplică limitele de răspundere din contract. Dacă acest APD contravine contractului, în materie de protecție a datelor prevalează acest APD.
13. Legea aplicabilă și instanțele competente: acest APD este guvernat de legea română. Competente sunt instanțele de la sediul social al Persoanei împuternicite.

Anexa 1: măsuri de securitate Criptare în tranzit (TLS) și în repaus de către furnizorul de găzduire; acces limitat în funcție de rol, cu autentificare în doi pași pentru personal; jurnalizarea accesului administrativ; copii de siguranță zilnice cu teste de restaurare; separarea datelor clienților (o cheie de client pe fiecare înregistrare, accesul între clienți refuzat și jurnalizat); dezvoltare securizată cu revizuirea codului, teste automate și audituri de securitate ale fiecărui endpoint; actualizarea dependențelor; răspuns la incidente cu registru al încălcărilor; confidențialitatea personalului.