Acord privind prelucrarea datelor cu caracter personal

Versiune: 0.1-draft Data intrării în vigoare: încă nu este în vigoare (proiect) Stadiu: Proiect supus revizuirii de către un avocat român calificat înainte de utilizare. Nu se semnează și nu se publică în această formă.

1. Părțile, obiectul și încorporarea

1.1. Prezentul Acord privind prelucrarea datelor cu caracter personal („DPA”) se încheie între:

(a) ALTTAB PROFIT SRL, societate cu răspundere limitată constituită în România, cu sediul social în Str. Doamna Oltea nr. 70, Sector 2, București, cod poștal 020231, România, înregistrată în Registrul Comerțului sub nr. J2004020548403, EUID {{EUID}}, cod unic de înregistrare (CUI) RO17030480, capital social {{SHARE_CAPITAL}}, care operează platforma 1ads disponibilă la https://app.1ads.net („Compania”); și

(b) clientul identificat în Formularul de Comandă („Clientul”),

denumite individual „Partea” și împreună „Părțile”.

1.2. Prezentul DPA face parte integrantă din Termeni (terms-of-service.md) și din fiecare Formular de Comandă semnat de Părți (împreună, „Contractul”), în care este încorporat. DPA se aplică atunci când și în măsura în care Compania prelucrează Date cu Caracter Personal ale Clientului în numele Clientului pentru furnizarea Platformei.

1.3. Prezentul DPA produce efecte de la cea mai târzie dintre următoarele date: (i) încă nu este în vigoare (proiect) și (ii) data la care Formularul de Comandă care face trimitere la Contract este semnat de ambele Părți. DPA se aplică pe toată durata în care Compania prelucrează Date cu Caracter Personal ale Clientului, inclusiv după încetarea Contractului (a se vedea Secțiunea 16).

1.4. Platforma este oferită exclusiv profesioniștilor, în cadrul unui program cu acces restricționat. Clientul confirmă că acționează în scopuri legate de activitatea sa comercială, industrială, de producție, artizanală sau liberală și că nu este consumator.

2. Definiții și interpretare

2.1. Termenii cu majusculă care nu sunt definiți în prezentul DPA au înțelesul prevăzut în Contract. Termenii „operator”, „persoană împuternicită de operator”, „persoană vizată”, „date cu caracter personal”, „prelucrare”, „încălcarea securității datelor cu caracter personal”, „pseudonimizare” și „autoritate de supraveghere” au înțelesul prevăzut în GDPR.

2.2. În prezentul DPA:

• „Date ale Contului” (Account Data) înseamnă datele cu caracter personal pe care Compania le prelucrează în calitate de operator pentru gestionarea relației comerciale și a contului Clientului: informațiile din cererile de acces, datele de contact și ale semnatarilor, datele de identitate și de autentificare ale Utilizatorilor Autorizați, datele de facturare și plată, comunicările de suport și datele de securitate, astfel cum sunt descrise în Politica de confidențialitate (privacy-policy.md).
• „Client Agenție” (Agency Customer) înseamnă un Client care este o agenție de publicitate, de marketing sau o entitate similară și care utilizează Platforma pentru a presta servicii propriilor clienți.
• „Funcționalități AI” (AI Features) înseamnă funcționalitățile Platformei care utilizează modele de inteligență artificială, inclusiv chatul AI, automatizările „Performance Guardian”, „Trend Radar” și „Web Intelligence”, redactarea asistată de AI și generarea de imagini prin AI.
• „Furnizori AI” (AI Providers) înseamnă Subîmputerniciții care furnizează Companiei servicii de inferență a modelelor AI, enumerați în Anexa 3.
• „Legislația Aplicabilă privind Protecția Datelor” înseamnă GDPR; Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR; Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice; precum și orice altă lege a Uniunii Europene sau a unui stat membru al UE privind protecția datelor care se aplică prelucrării efectuate în temeiul prezentului DPA.
• „Utilizatori Autorizați” (Authorized Users) înseamnă persoanele fizice cărora Clientul le permite accesul la Platformă în cadrul contului Clientului, inclusiv angajații și colaboratorii Clientului și, în cazul Clienților Agenție, reprezentanții Clienților Finali invitați de Client (de exemplu, în portalul de aprobare pentru clienți).
• „Zi Lucrătoare” înseamnă orice zi, cu excepția zilelor de sâmbătă și duminică și a sărbătorilor legale din România.
• „Datele Clientului” (Customer Data) înseamnă toate datele transmise, încărcate, conectate, importate sau generate de către sau pentru Client ori Utilizatorii săi Autorizați prin intermediul Platformei, inclusiv datele preluate din Platformele Terțe la indicația Clientului, instrucțiunile (prompturile) și Rezultatele. Datele Clientului nu includ Datele Contului și nici Datele de Utilizare.
• „Date cu Caracter Personal ale Clientului” înseamnă datele cu caracter personal cuprinse în Datele Clientului.
• „DPF” înseamnă Cadrul UE-SUA privind protecția datelor (EU-U.S. Data Privacy Framework), recunoscut prin Decizia de punere în aplicare (UE) 2023/1795 a Comisiei.
• „Client Final” (End Client) înseamnă un client al unui Client Agenție în numele căruia Clientul Agenție utilizează Platforma.
• „GDPR” înseamnă Regulamentul (UE) 2016/679 (Regulamentul general privind protecția datelor).
• „Formular de Comandă” (Order Form) înseamnă documentul de comandă semnat de Companie și de Client, care face trimitere la Termeni și stabilește planul contractat, tarifele și eventualele clauze speciale.
• „Rezultate” (Outputs) înseamnă conținutul produs de Funcționalitățile AI pentru Client, precum analize, recomandări, modificări propuse, texte și imagini.
• „Platforma” (Platform) înseamnă platforma software furnizată ca serviciu (SaaS) 1ads, inclusiv aplicația web de la https://app.1ads.net, portalul de aprobare pentru clienți, instanțele white-label, API-ul REST public și serverul MCP.
• „Transfer Restricționat” înseamnă un transfer de date cu caracter personal către o țară din afara Spațiului Economic European („SEE”) care nu beneficiază de o decizie privind caracterul adecvat în temeiul articolului 45 din GDPR.
• „CCS” înseamnă clauzele contractuale standard anexate la Decizia de punere în aplicare (UE) 2021/914 a Comisiei, inclusiv Modulul 2 (de la operator la persoana împuternicită), Modulul 3 (de la persoana împuternicită la persoana împuternicită) și Modulul 4 (de la persoana împuternicită la operator).
• „Incident de Securitate” înseamnă o încălcare a securității datelor cu caracter personal (astfel cum este definită în GDPR) care afectează Date cu Caracter Personal ale Clientului prelucrate de Companie sau de Subîmputerniciții săi.
• „Subîmputernicit” (Sub-processor) înseamnă orice persoană împuternicită de operator pe care Compania o angajează pentru a prelucra Date cu Caracter Personal ale Clientului.
• „Platforme Terțe” (Third-Party Platforms) înseamnă serviciile pe care Clientul le conectează la Platformă și pe care Clientul le utilizează în baza propriilor contracte cu furnizorii acestora, inclusiv platforme de publicitate (precum Google Ads, Meta, TikTok, LinkedIn, Microsoft Advertising și Amazon Ads), servicii de analiză (precum Google Analytics 4, Adobe Analytics și Google Search Console), sisteme de comerț electronic și CRM (precum Shopify, WooCommerce, HubSpot, Salesforce și Pipedrive) și rețele sociale (precum Facebook, Instagram, Threads, TikTok, LinkedIn, YouTube, X și Pinterest).
• „Date de Utilizare” (Usage Data) înseamnă datele de contorizare, facturare, configurare, performanță și securitate privind utilizarea Platformei (de exemplu, numărul de credite AI, de rulări ale automatizărilor și de apeluri API), cu excepția conținutului Datelor Clientului.

2.3. Termenul „inclusiv” înseamnă „inclusiv, fără a se limita la”. Titlurile au rol exclusiv orientativ. Trimiterile la un act normativ includ actul respectiv, astfel cum este modificat sau înlocuit.

3. Rolurile Părților

3.1. Compania în calitate de persoană împuternicită. În ceea ce privește Datele cu Caracter Personal ale Clientului, Clientul este operator (sau, conform Secțiunii 3.2, persoană împuternicită), iar Compania este persoana împuternicită de Client.

3.2. Clienții Agenție: lanțul de persoane împuternicite. Atunci când un Client Agenție utilizează Platforma pentru un Client Final care este operatorul datelor cu caracter personal respective:

(a) Clientul Agenție acționează ca persoană împuternicită a Clientului Final, iar Compania acționează ca subîmputernicit al Clientului Agenție;

(b) Clientul Agenție garantează că a obținut și va menține în vigoare autorizarea prealabilă scrisă a Clientului Final (articolul 28 alineatele (2) și (4) din GDPR) pentru angajarea Companiei și a Subîmputerniciților enumerați în Anexa 3 și că propriul contract cu Clientul Final impune obligații privind protecția datelor cel puțin la fel de protective ca cele din prezentul DPA;

(c) instrucțiunile Clientului Agenție către Companie sunt considerate instrucțiuni ale Clientului Final, transmise prin intermediul Clientului Agenție. Clientul Agenție are obligația de a transmite Clientului Final orice notificare pe care Compania o face în temeiul prezentului DPA (inclusiv notificările privind noi Subîmputerniciți și Incidentele de Securitate) și de a transmite Companiei orice instrucțiune sau obiecție a Clientului Final;

(d) Compania primește instrucțiuni numai de la Clientul Agenție. Acțiunile efectuate de reprezentanții Clientului Final în calitate de Utilizatori Autorizați (de exemplu, aprobările date în portalul de aprobare pentru clienți) sunt considerate acțiuni ale Clientului Agenție;

(e) funcționalitățile white-label (logo, domeniu sau expeditor de e-mail personalizat) nu modifică rolurile Părților. Clientul Agenție rămâne responsabil pentru informarea Clienților Finali cu privire la faptul că datele lor sunt prelucrate de Companie și de Subîmputerniciții săi;

(f) Clientul Agenție nu va conveni cu niciun Client Final obligații privind protecția datelor care trebuie transmise Companiei potrivit articolului 28 alineatul (4) din GDPR și care depășesc prezentul DPA, cu excepția cazului în care Compania le-a acceptat în scris;

(g) dacă Clientul Agenție a încetat să existe în drept sau în fapt ori a devenit insolvent, Compania poate urma instrucțiunile documentate ale Clientului Final pentru a returna sau a șterge Datele cu Caracter Personal ale Clientului care privesc respectivul Client Final.

3.3. Compania în calitate de operator. Compania acționează ca operator independent pentru Datele Contului, pentru Datele de Utilizare și pentru datele privind vizitatorii site-ului https://1ads.net. Aceste prelucrări sunt reglementate de Politica de confidențialitate (privacy-policy.md) și de Politica privind cookie-urile (cookie-policy.md), nu de prezentul DPA. Compania acționează, de asemenea, ca operator atunci când prelucrează un volum limitat de Date cu Caracter Personal ale Clientului în cazurile în care legea impune acest lucru ori în cazurile strict necesare pentru securizarea Platformei, prevenirea abuzurilor sau constatarea, exercitarea ori apărarea unor drepturi în instanță (de exemplu, păstrarea jurnalelor de audit care consemnează acțiunile efectuate în Platformă). Aceste prelucrări rămân supuse Secțiunii 7 în cazurile în care termenii Platformelor Terțe le restricționează.

3.4. Platformele Terțe nu sunt Subîmputerniciți. Furnizorii Platformelor Terțe sunt furnizorii proprii ai Clientului sau operatori independenți. Aceștia nu sunt Subîmputerniciți ai Companiei. Datele circulă către și dinspre Platformele Terțe la instrucțiunea Clientului, prin conexiunile autorizate de acesta. Clientul este responsabil pentru contractele sale cu acești furnizori și pentru modul în care utilizează serviciile lor. Compania nu răspunde pentru modul în care Platformele Terțe prelucrează datele după ce acestea le-au fost transmise la instrucțiunea Clientului.

3.5. Detaliile prelucrării sunt prevăzute în Anexa 1.

4. Responsabilitățile Clientului

4.1. Clientul răspunde pentru legalitatea prelucrării Datelor cu Caracter Personal ale Clientului și a instrucțiunilor sale. În special, Clientul are obligația:

(a) să dispună de un temei juridic valabil în temeiul articolului 6 din GDPR (și, după caz, al articolului 9 din GDPR) pentru fiecare activitate de prelucrare pe care o dispune, inclusiv pentru încărcarea conversiilor de pe server (server-side) și pentru prelucrarea comentariilor și a mesajelor directe de pe rețelele sociale;

(b) să furnizeze persoanelor vizate informațiile prevăzute la articolele 13 și 14 din GDPR și să obțină orice consimțământ necesar, inclusiv consimțământul impus de Legea nr. 506/2004 pentru cookie-uri sau tehnologii similare pe propriile proprietăți digitale, precum și orice consimțământ sau semnal de consimțământ impus de Platformele Terțe pentru măsurarea ori personalizarea publicității;

(c) să nu transmită Platformei, cu excepția cazului în care s-a convenit în scris într-un Formular de Comandă: categorii speciale de date cu caracter personal (articolul 9 din GDPR), date cu caracter personal privind condamnări penale și infracțiuni (articolul 10 din GDPR), numere naționale de identificare, date ale cardurilor de plată sau date cu caracter personal ale unor copii despre care Clientul știe că nu au împlinit vârsta consimțământului digital;

(d) atunci când transmite identificatori pentru măsurarea conversiilor, să furnizeze numai identificatorii acceptați de Platforma Terță respectivă și pe care Clientul are dreptul să îi partajeze, normalizați și criptați prin funcție hash (hashed) conform cerințelor platformei respective, sau să permită Platformei să le aplice funcția hash înainte de transmitere;

(e) să configureze Platforma în mod corespunzător, inclusiv rolurile și permisiunile, fluxurile de aprobare, setările de păstrare a datelor pe care Platforma le face configurabile, SSO și MFA, și să păstreze în siguranță datele de autentificare și cheile API;

(f) să evite introducerea în prompturile AI, în briefuri sau în fișierele încărcate a mai multor date cu caracter personal decât este necesar pentru sarcina respectivă;

(g) să respecte Politica de utilizare acceptabilă (acceptable-use-policy.md), inclusiv interdicția de a utiliza Platforma pentru publicitate politică sau pe teme sociale în UE, în sensul Regulamentului (UE) 2024/900.

4.2. Clientul informează Compania fără întârzieri nejustificate dacă ia cunoștință de faptul că o prelucrare efectuată în temeiul prezentului DPA încalcă Legislația Aplicabilă privind Protecția Datelor.

5. Obligațiile Companiei privind prelucrarea

5.1. Instrucțiuni documentate. Compania prelucrează Datele cu Caracter Personal ale Clientului numai pe baza instrucțiunilor documentate ale Clientului, cu excepția cazului în care dreptul Uniunii sau dreptul intern căruia îi este supusă Compania impune altfel. În acest caz, Compania informează Clientul cu privire la cerința legală respectivă înainte de prelucrare, cu excepția cazului în care legea interzice o astfel de informare din motive importante legate de interesul public. Instrucțiunile documentate ale Clientului sunt:

(a) Contractul, inclusiv prezentul DPA și Formularul de Comandă;

(b) configurarea și utilizarea Platformei de către Client, inclusiv acțiunile Utilizatorilor Autorizați (precum conectarea unei Platforme Terțe, rularea unei automatizări, aprobarea unei modificări propuse sau programarea unei publicări); și

(c) alte instrucțiuni scrise pe care Clientul le transmite și pe care Compania le acceptă în scris ca fiind conforme cu Contractul.

5.2. Instrucțiuni nelegale. Compania informează imediat Clientul dacă, în opinia sa, o instrucțiune încalcă Legislația Aplicabilă privind Protecția Datelor. Compania poate suspenda prelucrarea afectată până când Clientul confirmă sau modifică instrucțiunea. Compania nu are obligația de a efectua o analiză juridică a instrucțiunilor Clientului.

5.3. Instrucțiuni în afara obiectului Contractului. Instrucțiunile care presupun o prelucrare ce depășește funcționalitățile Platformei pot face obiectul unei modificări a Formularului de Comandă, inclusiv al unor tarife convenite în prealabil.

5.4. Interdicția utilizării în scopuri proprii ale Companiei. Compania nu va:

(a) vinde sau închiria Date cu Caracter Personal ale Clientului și nici nu le va divulga unor terți, cu excepția cazurilor permise de prezentul DPA;

(b) utiliza Date cu Caracter Personal ale Clientului în scopuri proprii, inclusiv pentru publicitate, creare de profiluri, constituirea sau îmbogățirea de profiluri ori pentru orice alt client;

(c) utiliza Datele Clientului pentru a antrena, a ajusta (fine-tuning) sau a îmbunătăți în alt mod modele AI, fie ale sale, fie ale unor terți.

5.5. Furnizorii AI și antrenarea modelelor. Compania utilizează Furnizorii AI prin serviciile lor API comerciale. Potrivit termenilor API aplicabili Companiei la data intrării în vigoare a prezentului DPA, Furnizorii AI nu utilizează datele de intrare și de ieșire transmise prin API pentru a-și antrena modelele, cu excepția cazului în care clientul API optează în mod expres pentru aceasta. Compania nu va opta pentru o astfel de utilizare în privința Datelor Clientului. Compania a solicitat societății Anthropic un regim de păstrare zero a datelor (zero data retention). Până la confirmarea unui astfel de regim și aplicarea lui serviciilor utilizate, se aplică perioadele standard de păstrare ale Furnizorului AI, rezumate în Anexa 3. Înainte de a utiliza pentru Funcționalitățile AI un model pe care Anthropic îl desemnează drept „Covered Model” (pentru care se aplică o perioadă minimă de păstrare și pentru care păstrarea zero a datelor nu este, în general, disponibilă), Compania va notifica Clientul conform Secțiunii 10. Compania nu garantează practicile Furnizorilor AI dincolo de angajamentele contractuale asumate de aceștia față de Companie. Compania va informa Clientul, conform Secțiunii 10, cu privire la orice modificare a acestor angajamente care reduce în mod semnificativ protecția Datelor cu Caracter Personal ale Clientului.

5.6. Date agregate și de-identificate. Compania poate genera statistici agregate sau de-identificate pe baza Datelor de Utilizare pentru a opera, securiza și îmbunătăți Platforma, cu condiția ca rezultatul să nu permită identificarea Clientului, a vreunui Utilizator Autorizat sau a vreunei persoane vizate. Compania nu va genera astfel de statistici din datele obținute de la Platformele Terțe ai căror termeni interzic acest lucru (a se vedea Secțiunea 7).

5.7. Evidențe. Compania ține o evidență a activităților de prelucrare desfășurate în numele Clientului, conform articolului 30 alineatul (2) din GDPR.

6. Funcționalitățile AI și aprobarea umană

6.1. Propuneri, nu acțiuni. Funcționalitățile AI analizează Datele Clientului și generează Rezultate, inclusiv propuneri de modificare a campaniilor de pe Platformele Terțe (de exemplu, modificări de buget, de stare, de licitare sau de creative). Funcționalitățile AI nu efectuează singure modificări în conturile de publicitate ale Clientului. O modificare se execută numai după ce un Utilizator Autorizat care deține rolul necesar o aprobă sau în baza unei politici de aprobare automată configurate de Client în limitele maxime impuse de Platformă. Politicile de aprobare automată sunt dezactivate pe durata Programului de Acces (access-program-terms.md, Secțiunea 8.5), fără excepții.

6.2. Publicare. Conceptele generate de Trend Radar nu sunt niciodată publicate automat. Postările și răspunsurile organice se publică pe Platformele Terțe numai la inițiativa Utilizatorilor Autorizați ori după programarea sau aprobarea lor de către aceștia, în conformitate cu fluxul de aprobare configurat de Client.

6.3. Pista de audit. Fiecare propunere, aprobare, respingere și acțiune executată se înregistrează în jurnalul de audit al Platformei, iar identitatea Utilizatorului Autorizat care a aprobat se înregistrează în formă pseudonimizată (Anexa 2).

6.4. Fără decizii privind persoanele fizice. Funcționalitățile AI sunt concepute pentru a sprijini deciziile privind activitățile de marketing. Ele nu sunt concepute pentru a lua decizii privind persoane vizate individuale care produc efecte juridice sau efecte similare semnificative în sensul articolului 22 din GDPR. Clientul nu le va utiliza în acest scop.

6.5. Conținut generat de AI. Platforma încorporează în imaginile generate de AI informații de proveniență care pot fi citite automat (C2PA content credentials), adaugă un indicator prelucrabil automat textelor generate de AI care părăsesc Platforma prin exporturi, prin API sau prin serverul MCP (ai-transparency-notice.md, Secțiunea 5) și aplică etichetele de conținut AI oferite de Platformele Terțe, acolo unde acestea sunt disponibile. Clientul rămâne responsabil, în calitate de implementator și de editor, pentru obligațiile de transparență aplicabile conținutului pe care îl publică, inclusiv în temeiul articolului 50 din Regulamentul (UE) 2024/1689 privind inteligența artificială („Regulamentul IA”).

7. Cerințe privind datele provenite de la Platformele Terțe

7.1. Compania accesează Platformele Terțe în calitate de dezvoltator de aplicații și este obligată să respecte termenii și politicile acestora pentru dezvoltatori. În cazul în care acești termeni impun limite mai stricte decât prezentul DPA privind stocarea, utilizarea, combinarea sau ștergerea datelor, Clientul instruiește Compania să aplice limitele mai stricte. În special:

(a) Meta. Datele de Platformă (Platform Data) primite de la Meta (Facebook, Instagram, Threads) sunt prelucrate numai în numele și la indicația Clientului care le-a conectat, și nu în scopurile proprii ale Companiei ori în scopurile altui client. Ele sunt păstrate separat din punct de vedere logic de datele altor clienți, nu sunt niciodată reunite între clienți și nu sunt niciodată vândute. Compania le șterge atunci când Clientul sau utilizatorul în cauză solicită acest lucru, atunci când Clientul nu mai are cont sau atunci când nu mai sunt necesare. Compania informează cu promptitudine Clientul cu privire la orice comunicare primită de la Meta referitoare la solicitarea unui utilizator.

(b) LinkedIn. Datele de profil și datele privind activitatea socială ale membrilor LinkedIn (alții decât Utilizatorii Autorizați autentificați), precum persoanele care comentează pe pagina Clientului, sunt stocate temporar (cache) cel mult 24 de ore. Această perioadă este mai scurtă decât cele 48 de ore permise de LinkedIn pentru datele privind activitatea socială a membrilor. Aceste date sunt afișate numai Utilizatorilor Autorizați asociați paginii sau contului LinkedIn respectiv, nu sunt exportate, nu sunt transmise Furnizorilor AI și nu sunt puse la dispoziție prin API sau prin serverul MCP, nu sunt combinate cu alte date pentru a crea sau îmbogăți profiluri ori liste de potențiali clienți (leads) și nu sunt utilizate în scopuri de publicitate, vânzări sau recrutare. Datele agregate de raportare privind publicitatea și paginile sunt păstrate cel mult un an, în conformitate cu cerințele LinkedIn privind stocarea datelor.

(c) Google și YouTube. Utilizarea datelor primite prin API-urile Google respectă Politica privind datele utilizatorilor pentru serviciile API Google (Google API Services User Data Policy), inclusiv cerințele de utilizare limitată (Limited Use). Datele primite prin Serviciile API YouTube sunt actualizate sau șterse cel puțin o dată la 30 de zile și sunt șterse, după revocarea autorizării, în termenele impuse de Politicile pentru dezvoltatori ale Serviciilor API YouTube.

(d) Shopify. Compania tratează datele protejate ale clienților (protected customer data) în conformitate cu termenii API Shopify și dă curs webhook-urilor obligatorii privind confidențialitatea (solicitări de date ale clienților, ștergerea datelor clienților și ștergerea datelor magazinului).

(e) Alte platforme. Termenii TikTok for Developers, ai API-ului Microsoft Advertising, ai API-ului Amazon Ads, Acordul pentru dezvoltatori X (X Developer Agreement) și termenii celorlalte Platforme Terțe se aplică în același mod.

7.2. Perioadele de păstrare care rezultă din aceste cerințe sunt prevăzute în Calendarul de păstrare a datelor (data-retention-schedule.md).

8. Confidențialitatea personalului

8.1. Compania se asigură că fiecare persoană pe care o autorizează să prelucreze Date cu Caracter Personal ale Clientului (angajați, colaboratori și personalul Subîmputerniciților) s-a angajat să respecte confidențialitatea sau are o obligație legală corespunzătoare de confidențialitate.

8.2. Accesul la Datele cu Caracter Personal ale Clientului este limitat la personalul care are nevoie de el pentru a furniza, a asigura suportul sau a securiza Platforma. Acest personal primește instruire privind protecția datelor și securitatea, adecvată rolului său. Accesul este retras cu promptitudine atunci când nu mai este necesar.

8.3. Personalul Companiei nu accesează conținutul Datelor Clientului, cu excepția situațiilor în care: (a) furnizează suportul solicitat de Client; (b) investighează un eveniment de securitate, un abuz sau o suspiciune de încălcare a Contractului; sau (c) legea impune acest lucru. Aceste accesări sunt înregistrate în jurnale.

9. Securitatea prelucrării

9.1. Ținând seama de stadiul actual al tehnologiei, de costurile implementării și de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscurile pentru persoanele vizate, Compania implementează și menține măsurile tehnice și organizatorice descrise în Anexa 2. Aceste măsuri îndeplinesc cerințele articolului 32 din GDPR. Măsurile marcate «planificate» în Anexa 2 nu sunt încă implementate și nu fac parte din angajamentele Companiei până când Compania notifică Clientul că au fost implementate.

9.2. Compania poate actualiza măsurile din Anexa 2 pe măsură ce tehnologia și riscurile evoluează, cu condiția ca nivelul general de securitate să nu scadă.

9.3. Clientul răspunde pentru măsurile de securitate care se află sub controlul său. Acestea includ gestionarea Utilizatorilor Autorizați și a rolurilor lor, impunerea SSO sau MFA, protejarea cheilor API și a datelor de autentificare ale clienților MCP, precum și verificarea modificărilor propuse înainte de aprobarea lor.

9.4. La data intrării în vigoare a prezentului DPA, Compania nu deține nicio certificare sau atestare de securitate emisă de un terț (precum ISO/IEC 27001 sau un raport SOC 2). Compania va informa Clientul dacă obține o astfel de certificare.

10. Subîmputerniciți

10.1. Autorizare generală scrisă. Clientul acordă Companiei o autorizare generală scrisă de a angaja Subîmputerniciți. Subîmputerniciții autorizați la data Formularului de Comandă sunt cei enumerați în Anexa 3 și publicați în Lista subîmputerniciților (subprocessors.md). Unii Subîmputerniciți sunt angajați numai dacă Clientul activează funcționalitatea sau conectorul aferent (marcați ca „opțional” în Anexa 3).

10.2. Obligațiile Subîmputerniciților. Compania angajează fiecare Subîmputernicit printr-un contract scris care impune obligații privind protecția datelor cel puțin la fel de protective ca cele din prezentul DPA, în special garanții suficiente pentru măsuri tehnice și organizatorice adecvate, conform articolului 28 alineatul (4) din GDPR. Compania rămâne pe deplin răspunzătoare față de Client pentru îndeplinirea de către fiecare Subîmputernicit a obligațiilor sale privind protecția datelor.

10.3. Notificarea modificărilor. Compania notifică Clientul cu privire la orice intenție de a adăuga sau înlocui un Subîmputernicit cu cel puțin 30 de zile înainte. Notificarea se transmite prin e-mail persoanei de contact pentru notificări indicate în Formularul de Comandă (sau, în lipsa acesteia, titularului contului Clientului), iar Lista subîmputerniciților se actualizează în același timp. Notificarea indică identitatea și locația Subîmputernicitului, prelucrarea pe care o va efectua și mecanismul de transfer. În cazul în care o înlocuire este necesară de urgență din motive de securitate sau de continuitate a serviciului, Compania o poate efectua cu un termen de notificare mai scurt. În acest caz, Compania notifică Clientul cât mai curând posibil, iar dreptul de obiecție al Clientului prevăzut la Secțiunea 10.4 se aplică în continuare.

10.4. Dreptul de obiecție. Clientul se poate opune unui Subîmputernicit nou sau înlocuitor, pe motive rezonabile legate de protecția datelor, printr-o comunicare scrisă la privacy@1ads.net în termen de 30 de zile de la notificare. Părțile vor discuta obiecția cu bună-credință. Compania poate propune o alternativă, cum ar fi o configurare care evită utilizarea Subîmputernicitului pentru Client sau o modificare a funcționalității afectate. Dacă nu se convine o soluție în termen de 30 de zile de la obiecție, Clientul poate denunța Formularul de Comandă afectat sau partea din acesta care nu poate fi furnizată fără Subîmputernicitul respectiv, prin notificare scrisă. În acest caz, Compania restituie tarifele plătite în avans pentru partea denunțată, aferente perioadei ulterioare încetării. Dacă Clientul nu formulează obiecții în termenul de 30 de zile, Subîmputernicitul se consideră autorizat.

10.5. Clienții Agenție. Clientul Agenție are obligația de a-și informa Clienții Finali cu privire la modificările privind Subîmputerniciții și de a transmite orice obiecție a acestora conform Secțiunii 10.4.

11. Transferuri internaționale

11.1. Platforma este găzduită în UE, în clusterul Kubernetes on-prem propriu al Companiei din România (UE), pe care Compania îl operează ea însăși, sub brandul său FirstIT. Bazele de date ale Platformei, sistemul de gestionare a secretelor, coada de sarcini de fundal, furnizorul de identitate (autentificare, SSO și MFA), urmărirea erorilor și observabilitatea modelelor de limbaj rulează în interiorul acestui cluster.

11.2. Compania efectuează un Transfer Restricționat de Date cu Caracter Personal ale Clientului numai cu respectarea capitolului V din GDPR, pe baza: (a) unei decizii privind caracterul adecvat, inclusiv DPF, atunci când certificarea destinatarului este activă și acoperă transferul; sau (b) a CCS, împreună cu o evaluare a impactului transferului și cu orice măsuri suplimentare identificate prin aceasta; sau (c) a unui alt mecanism permis de articolul 46 din GDPR.

11.3. CCS sunt încorporate conform Anexei 4, care cuprinde și un rezumat al evaluării impactului transferului efectuate de Companie.

11.4. Dacă un mecanism de transfer este invalidat sau încetează să se aplice, Compania va recurge la un mecanism alternativ valabil (de exemplu, CCS în locul DPF). Dacă nu există un astfel de mecanism, Compania va suspenda transferul afectat și va informa Clientul.

11.5. Compania poate oferi în viitor, pentru anumite planuri, o opțiune de limitare a prelucrării AI la teritoriul UE. Această opțiune nu este disponibilă la data intrării în vigoare a prezentului DPA. Ea se va aplica numai dacă și atunci când va fi inclusă în mod expres într-un Formular de Comandă.

12. Asistență privind solicitările persoanelor vizate

12.1. Ținând seama de natura prelucrării, Compania sprijină Clientul, prin măsuri tehnice și organizatorice adecvate, în soluționarea cererilor persoanelor vizate care își exercită drepturile prevăzute în capitolul III din GDPR (acces, rectificare, ștergere, restricționare, portabilitate și opoziție).

12.2. Platforma pune la dispoziția Clientului funcții de tip self-service pentru a identifica, exporta și șterge Date cu Caracter Personal ale Clientului și pentru a deconecta Platformele Terțe. În cazul în care aceste funcții nu sunt suficiente, Compania oferă, la cerere, asistență suplimentară rezonabilă. Asistența care depășește funcționalitățile standard ale Platformei poate fi tarifată la tarife rezonabile convenite în prealabil, cu excepția cazului în care cererea rezultă dintr-o încălcare a prezentului DPA de către Companie.

12.3. Dacă primește o cerere direct de la o persoană vizată în legătură cu Date cu Caracter Personal ale Clientului, Compania nu va răspunde pe fond fără autorizarea Clientului, cu excepția confirmării faptului că cererea a fost redirecționată. Compania redirecționează cererea către Client fără întârzieri nejustificate și în orice caz în termen de cinci (5) Zile Lucrătoare, dacă poate identifica Clientul în cauză. În cazul în care cererea privește date primite de la Meta, Compania informează Clientul și cu privire la orice comunicare conexă primită de la Meta (Secțiunea 7.1 litera (a)).

12.4. Pagina publică Instrucțiuni privind ștergerea datelor (data-deletion-instructions.md) explică modul în care persoanele vizate și Utilizatorii Autorizați pot solicita ștergerea datelor și pot revoca accesul la Platformele Terțe.

13. Asistență privind evaluările impactului, consultarea prealabilă și conformitatea

13.1. Ținând seama de natura prelucrării și de informațiile de care dispune, Compania acordă Clientului asistență rezonabilă privind:

(a) evaluările impactului asupra protecției datelor prevăzute la articolul 35 din GDPR și consultarea prealabilă a autorităților de supraveghere prevăzută la articolul 36 din GDPR, în măsura în care acestea privesc utilizarea Platformei de către Client;

(b) respectarea de către Client a obligațiilor prevăzute la articolele 32-34 din GDPR.

13.2. Această asistență se acordă în principal prin punerea la dispoziție a prezentului DPA, a Anexei 2, a Listei subîmputerniciților, a documentației care descrie Funcționalitățile AI și fluxurile lor de date, precum și prin răspunsuri la chestionare rezonabile privind securitatea și confidențialitatea (cel mult o dată la 12 luni, cu excepția cazului în care o modificare semnificativă sau un Incident de Securitate justifică solicitări mai frecvente).

14. Notificarea încălcărilor securității datelor cu caracter personal

14.1. Notificarea. Compania notifică Clientul cu privire la un Incident de Securitate fără întârzieri nejustificate și în orice caz în termen de 48 de ore de la momentul în care a luat cunoștință de acesta. Compania ia cunoștință de un Incident de Securitate atunci când are un grad rezonabil de certitudine că a avut loc o încălcare a securității datelor cu caracter personal care afectează Date cu Caracter Personal ale Clientului.

14.2. Conținutul notificării. Notificarea cuprinde, în măsura în care sunt cunoscute la acel moment: (a) natura Incidentului de Securitate, inclusiv categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor în cauză; (b) numele și datele de contact ale persoanei de contact din cadrul Companiei; (c) consecințele probabile; și (d) măsurile luate sau propuse pentru remedierea Incidentului de Securitate și pentru atenuarea posibilelor sale efecte negative. Dacă nu este posibil ca toate informațiile să fie furnizate în același timp, Compania le furnizează etapizat, fără alte întârzieri nejustificate.

14.3. Canalul de notificare. Notificarea se transmite prin e-mail persoanei de contact pentru securitate sau pentru notificări indicate în Formularul de Comandă (sau, în lipsa acesteia, titularului contului Clientului) și, dacă este posibil, și prin intermediul Platformei.

14.4. Cooperarea. Compania ia măsuri rezonabile pentru a limita, investiga și remedia Incidentul de Securitate. Compania cooperează cu Clientul și furnizează informațiile solicitate în mod rezonabil, astfel încât Clientul să își poată îndeplini obligațiile prevăzute la articolele 33 și 34 din GDPR. Clientul răspunde pentru notificarea autorității de supraveghere competente și a persoanelor vizate afectate, atunci când aceasta este obligatorie. Compania nu notifică autoritățile de supraveghere sau persoanele vizate cu privire la un Incident de Securitate care afectează Date cu Caracter Personal ale Clientului în numele Clientului, cu excepția cazului în care Clientul îi dă această instrucțiune sau legea o impune.

14.5. Lipsa recunoașterii răspunderii. Notificarea unui Incident de Securitate sau măsurile luate ca răspuns la acesta nu reprezintă o recunoaștere a culpei sau a răspunderii.

14.6. Încercările nereușite sau activitățile care nu compromit securitatea Datelor cu Caracter Personal ale Clientului nu constituie Incidente de Securitate. Exemplele includ ping-uri, scanări de porturi, încercări de autentificare blocate și încercări de blocare a serviciului (denial-of-service) care nu duc la acces neautorizat.

15. Solicitări din partea autorităților publice

15.1. Dacă o autoritate publică (inclusiv o autoritate de aplicare a legii sau un serviciu de informații) solicită Companiei acces la Date cu Caracter Personal ale Clientului, Compania:

(a) va încerca să redirecționeze autoritatea pentru a solicita datele direct de la Client;

(b) va notifica cu promptitudine Clientul, cu excepția cazului în care legea interzice acest lucru, astfel încât Clientul să poată solicita un ordin de protecție sau o altă cale de atac;

(c) va analiza legalitatea solicitării și o va contesta dacă, în urma unei evaluări atente, există motive rezonabile să se considere că este nelegală; și

(d) va divulga numai volumul minim de date necesar pentru a se conforma unei solicitări obligatorii.

15.2. Anexa 4 cuprinde angajamente suplimentare privind solicitările referitoare la datele transferate în afara SEE.

16. Restituirea și ștergerea Datelor cu Caracter Personal ale Clientului

16.1. Pe durata Contractului. Clientul poate exporta și șterge Datele Clientului în orice moment, utilizând funcțiile Platformei sau API-ul. Datele pe care termenii Platformelor Terțe impun ștergerea mai devreme (Secțiunea 7) sunt șterse în aceste termene mai scurte.

16.2. La încetarea Contractului. La încetarea Contractului sau a unui Formular de Comandă:

(a) Compania încetează sincronizarea datelor din Platformele Terțe pentru contul afectat. Compania șterge tokenurile OAuth stocate și, dacă Platforma Terță permite acest lucru, le revocă;

(b) timp de 30 de zile de la data încetării („Perioada de Export”, astfel cum este definită în Secțiunea 25.2 din Termeni), Compania acordă administratorilor Clientului, la cerere, acces doar în citire la Datele Clientului sau un export al acestora, într-un format utilizat în mod curent și care poate fi citit automat;

(c) după expirarea Perioadei de Export, Compania șterge Datele Clientului din sistemele active în termen de 30 de zile. Copiile reziduale din copiile de rezervă (backup) sunt suprascrise sau expiră în termen de cel mult 14 zile de la acel moment. Până la expirare, copiile de rezervă sunt protejate conform Anexei 2 și nu sunt utilizate în niciun alt scop decât recuperarea în caz de dezastru;

(d) la cererea scrisă a Clientului, Compania confirmă în scris ștergerea.

16.3. Păstrarea impusă de lege. Secțiunea 16.2 nu se aplică Datelor cu Caracter Personal ale Clientului pe care dreptul Uniunii sau dreptul intern obligă Compania să le păstreze. Aceste date rămân protejate în temeiul prezentului DPA, sunt prelucrate numai în scopul impus de lege și sunt șterse la expirarea perioadei legale de păstrare.

16.4. Clienții Agenție. Un Client Agenție poate șterge oricând, pe durata Contractului, Spațiul de Lucru al unui Client Final. Secțiunile 16.2 litera (c) și 16.3 se aplică ulterior datelor din acel Spațiu de Lucru.

16.5. Prezenta Secțiune se aplică fără a aduce atingere drepturilor Clientului de a schimba furnizorul și de a porta datele în temeiul Regulamentului (UE) 2023/2854 (Regulamentul privind datele), astfel cum sunt prevăzute în Termeni (terms-of-service.md).

16.6. Perioadele de păstrare pentru fiecare categorie de date sunt prevăzute în Calendarul de păstrare a datelor (data-retention-schedule.md).

17. Audituri și informații

17.1. Mai întâi documentația. La cererea scrisă a Clientului, Compania pune la dispoziția acestuia toate informațiile necesare în mod rezonabil pentru a demonstra respectarea articolului 28 din GDPR și a prezentului DPA. Acestea includ versiunea actuală a Anexei 2, Lista subîmputerniciților, politicile relevante, rezumate ale testelor de securitate (dacă există) și răspunsuri la un chestionar de securitate rezonabil. Dacă obține o certificare sau un raport de audit emis de un terț, Compania îl poate furniza pentru a da curs solicitărilor de audit, în măsura în care acesta acoperă controalele relevante.

17.2. Audituri. Dacă informațiile furnizate conform Secțiunii 17.1 nu sunt suficiente în mod rezonabil pentru a demonstra conformitatea, Clientul poate efectua un audit, inclusiv o inspecție, direct sau printr-un auditor independent. Se aplică următoarele condiții:

(a) cel mult o dată în orice perioadă de 12 luni, cu excepția cazului în care o autoritate de supraveghere impune acest lucru sau în care a avut loc un Incident de Securitate în ultimele 12 luni;

(b) cu o notificare scrisă prealabilă de cel puțin 30 de zile, cu un domeniu și un plan propuse și convenite în prealabil;

(c) în Zile Lucrătoare și în timpul programului normal de lucru, de la distanță acolo unde este posibil, și fără a perturba în mod nerezonabil activitatea Companiei;

(d) de către un auditor care este ținut de obligații scrise de confidențialitate și nu este un concurent al Companiei;

(e) fără acces la datele altor clienți, la informații supuse unor obligații de confidențialitate față de terți sau la spațiile terților, inclusiv ale Subîmputerniciților și ale oricărui centru de date al unui terț în care se află serverele Companiei. Pentru acestea, Compania furnizează rapoartele de audit sau certificările proprii ale Subîmputerniciților, dacă există;

(f) pe cheltuiala Clientului, cu excepția cazului în care auditul relevă o încălcare semnificativă a prezentului DPA de către Companie, caz în care Compania își suportă propriile costuri și costurile rezonabile ale auditului.

17.3. Clientul transmite Companiei raportul de audit. Fiecare Parte păstrează confidențialitatea constatărilor auditului. Compania remediază fără întârzieri nejustificate orice neconformitate confirmată.

17.4. Nicio prevedere a prezentei Secțiuni nu limitează competențele unei autorități de supraveghere sau drepturile de audit prevăzute de CCS. În ceea ce privește CCS, Părțile convin că prezenta Secțiune descrie modul de exercitare a acestor drepturi de audit.

18. Răspunderea

18.1. Răspunderea fiecărei Părți care decurge din sau în legătură cu prezentul DPA, fie ea contractuală, delictuală sau de altă natură, este supusă excluderilor și limitărilor de răspundere prevăzute în Termeni (terms-of-service.md). Prezentul DPA și Contractul au un singur plafon de răspundere, cumulat. Ele nu instituie plafoane separate.

18.2. Secțiunea 18.1 nu limitează: (a) răspunderea oricăreia dintre Părți față de persoanele vizate în temeiul articolului 82 din GDPR sau al drepturilor terților beneficiari prevăzute în CCS; (b) răspunderea care nu poate fi limitată sau exclusă potrivit legii aplicabile, inclusiv răspunderea pentru fapte săvârșite cu intenție sau din culpă gravă, conform articolului 1355 din Codul civil; sau (c) orice alt aspect pe care Termenii îl exclud din plafonul de răspundere.

18.3. Atunci când ambele Părți răspund pentru același prejudiciu cauzat unei persoane vizate, fiecare Parte poate recupera de la cealaltă partea din despăgubire care corespunde cotei de răspundere a celeilalte Părți, conform articolului 82 alineatul (5) din GDPR.

19. Durata și încetarea

19.1. Prezentul DPA rămâne în vigoare atât timp cât Compania prelucrează Date cu Caracter Personal ale Clientului în numele Clientului.

19.2. Secțiunile 14, 15, 16, 17, 18 și 22 rămân în vigoare după încetarea Contractului atât timp cât Compania sau Subîmputerniciții săi dețin Date cu Caracter Personal ale Clientului.

20. Ordinea de prioritate

20.1. În caz de conflict între documentele aplicabile prelucrării Datelor cu Caracter Personal ale Clientului, se aplică următoarea ordine de prioritate:

(a) CCS, în cazul în care se aplică potrivit Anexei 4;

(b) clauzele speciale dintr-un Formular de Comandă care indică în mod expres Secțiunea din prezentul DPA pe care o modifică, cu condiția ca acestea să nu reducă protecția impusă de articolul 28 din GDPR;

(c) prezentul DPA;

(d) Termenii și celelalte documente care alcătuiesc Contractul.

20.2. Pentru toate aspectele care nu privesc prelucrarea datelor cu caracter personal, se aplică ordinea de prioritate prevăzută în Secțiunea 3.3 din Termeni.

21. Modificarea prezentului DPA

21.1. Compania poate actualiza prezentul DPA pentru a reflecta modificări ale Legislației Aplicabile privind Protecția Datelor, ghiduri sau decizii ale autorităților de supraveghere ori ale instanțelor, cerințe ale Platformelor Terțe sau modificări ale Platformei care nu reduc protecția Datelor cu Caracter Personal ale Clientului. Compania transmite o notificare prin e-mail cu cel puțin 30 de zile înainte, cu excepția cazului în care legea impune un termen mai scurt.

21.2. Modificările privind Subîmputerniciții urmează procedura din Secțiunea 10 și nu necesită modificarea prezentului DPA.

21.3. Orice modificare care reduce în mod semnificativ protecția Datelor cu Caracter Personal ale Clientului necesită acordul scris al Clientului.

22. Legea aplicabilă și jurisdicția

22.1. Prezentul DPA este guvernat de legea română. Această prevedere nu aduce atingere dispozițiilor CCS privind legea aplicabilă și jurisdicția (Anexa 4).

22.2. Litigiile care decurg din sau în legătură cu prezentul DPA sunt de competența exclusivă a instanțelor competente din București, România. Această prevedere se aplică sub rezerva drepturilor imperative ale persoanelor vizate și a competenței autorităților de supraveghere.

23. Acceptarea expresă a anumitor clauze

23.1. Părțile iau act de faptul că prezentul DPA face parte din clauzele standard ale Companiei. Potrivit articolelor 1202 și 1203 din Codul civil, următoarele clauze produc efecte față de Client numai dacă sunt acceptate în mod expres, în scris, de către acesta. Formularul de Comandă (a se vedea order-form-template.md) cuprinde în acest scop o declarație dedicată de acceptare expresă:

(a) Secțiunea 5.2 (dreptul Companiei de a suspenda prelucrarea în cazul instrucțiunilor pe care le consideră nelegale);

(b) Secțiunile 10.3 și 10.4 (modificarea Subîmputerniciților prin notificare și autorizarea considerată acordată în lipsa unei obiecții);

(c) Secțiunea 16.2 (ștergerea Datelor Clientului după expirarea Perioadei de Export);

(d) Secțiunea 17.2 (limitările privind auditurile);

(e) Secțiunea 18 (limitarea răspunderii prin trimitere la Termeni);

(f) Secțiunea 21.1 (dreptul Companiei de a modifica prezentul DPA prin notificare);

(g) Secțiunea 22 (legea aplicabilă și alegerea instanței competente).

24. Dispoziții finale

24.1. Notificări. Notificările către Companie în temeiul prezentului DPA se transmit la privacy@1ads.net, cu copie la support@1ads.net pentru notificările contractuale. Raportările privind Incidentele de Securitate și vulnerabilitățile se transmit Companiei la ops@1ads.net. Persoana de contact a Companiei pentru protecția datelor este: {{DPO_CONTACT}}.

24.2. Clauza de salvgardare. Dacă o prevedere a prezentului DPA este nulă sau inaplicabilă, celelalte prevederi rămân în vigoare. Prevederea nulă se înlocuiește cu o prevedere valabilă care se apropie cel mai mult de scopul acesteia.

24.3. Limba. Prezentul DPA este redactat în limba engleză și este însoțit de o traducere în limba română. Se aplică regulile privind limba din Secțiunea 28.1 din Termeni: în caz de neconcordanță între versiuni, prevalează versiunea în limba engleză, cu excepția cazurilor în care legea română impune în mod imperativ utilizarea limbii române.

24.4. Semnătura. Formularul de Comandă și, odată cu acesta, prezentul DPA se semnează olograf sau cu semnătură electronică calificată, conform Secțiunii 28.2 din Termeni.

Anexa 1 – Descrierea prelucrării

A. Părțile și rolurile acestora

B. Obiectul prelucrării

Furnizarea Platformei 1ads: conectarea Platformelor Terțe ale Clientului, consolidarea și analiza datelor de marketing, de analiză, de vânzări și din rețelele sociale, furnizarea Funcționalităților AI, propunerea și (după aprobare) executarea modificărilor pe Platformele Terțe, generarea de creative, programarea și publicarea conținutului, gestionarea fluxurilor de aprobare și suportul aferent.

C. Durata

Pe durata Contractului, la care se adaugă Perioada de Export și termenele de ștergere prevăzute în Secțiunea 16 și în Calendarul de păstrare a datelor (data-retention-schedule.md).

D. Natura prelucrării

Colectare prin API-uri autorizate de Client; înregistrare; stocare; organizare și structurare; consultare; analiză și combinare în cadrul spațiului (tenant) Clientului (de exemplu, asocierea comenzilor cu campaniile pentru calculul randamentului investiției pe toate canalele, al profitului și al incrementalității), cu excepția cazurilor în care termenii Platformelor Terțe interzic combinarea (Secțiunea 7); prelucrare prin modele AI; generarea de Rezultate; transmiterea către Platformele Terțe la instrucțiunea Clientului (de exemplu, modificări ale campaniilor, publicări, răspunsuri și încărcări de conversii); pseudonimizare și aplicarea funcțiilor hash; restricționare; ștergere.

E. Scopurile prelucrării

1. Raportare și analiză pentru canalele de publicitate, analiză, comerț electronic, CRM și rețele sociale.
2. Calculul randamentului investiției și al profitului (inclusiv costul bunurilor vândute, rambursările și refuzurile de plată ramburs) și estimarea incrementalității.
3. Performance Guardian: analiza campaniilor în raport cu obiectivele KPI ale Clientului și propunerea de modificări.
4. Trend Radar: detectarea tendințelor publice și propunerea de concepte de reclame sau de postări, sub rezerva unui filtru de siguranță a mărcii (brand safety).
5. Web Intelligence: citirea paginilor web publice desemnate de Client sau relevante pentru piața Clientului.
6. Asistență prin chatul AI și creative generate de AI.
7. Programarea și publicarea conținutului organic și gestionarea comentariilor și a mesajelor directe de pe profilurile sociale ale Clientului.
8. Fluxuri de aprobare, inclusiv portalul de aprobare pentru clienți.
9. Încărcarea conversiilor de pe server către Platformele Terțe (de exemplu, Google Data Manager API, Meta Conversions API și LinkedIn Conversions API).
10. Acces prin API și serverul MCP, livrare white-label, suport pentru clienți, securitate și jurnale de audit.

F. Categoriile de persoane vizate

1. Utilizatorii Autorizați (personalul și colaboratorii Clientului, personalul agenției, reprezentanții Clienților Finali), în măsura în care apar în Datele Clientului (de exemplu, în conversații, aprobări, comentarii și jurnale de audit).
2. Utilizatorii conturilor Clientului de pe Platformele Terțe (de exemplu, numele și adresele de e-mail ale administratorilor conturilor de publicitate, returnate de API-uri).
3. Clienții și potențialii clienți ai Clientului (sau ai Clientului Final) ale căror date sunt cuprinse în comenzile de comerț electronic și în înregistrările CRM pe care Clientul le conectează.
4. Utilizatorii rețelelor sociale care interacționează cu paginile și profilurile Clientului (persoane care comentează, persoane care trimit mesaje directe, persoane menționate în postări), inclusiv membrii LinkedIn.
5. Persoanele fizice înfățișate sau numite în materialele creative, briefurile sau prompturile furnizate de Client (de exemplu, modele, influenceri sau purtători de cuvânt).
6. Persoanele fizice ale căror date cu caracter personal apar în mod incidental pe paginile web publice sau în sursele publice de tendințe prelucrate la indicația Clientului (de exemplu, persoane publice menționate în știri).

G. Categoriile de date cu caracter personal

1. Date de identificare și de contact: nume, adresă de e-mail, număr de telefon, nume de utilizator, adresa URL a fotografiei de profil, funcție, companie, astfel cum sunt furnizate de Client sau returnate de Platformele Terțe.
2. Date privind comenzile și clienții: ID comandă, ID client, data și valoarea comenzii, produse, monedă, reduceri, rambursări, starea refuzului la plata ramburs, localitatea sau regiunea de livrare, precum și identificatorii necesari pentru asocierea comenzilor cu campaniile (de exemplu, identificatori de clic precum gclid, fbclid sau ttclid și parametri UTM).
3. Identificatori hashed: adrese de e-mail și numere de telefon normalizate și transformate prin funcția hash SHA-256, precum și alte chei de asociere acceptate de o Platformă Terță (a se vedea Secțiunea I.1).
4. Date privind evenimentele pentru încărcarea conversiilor, dacă sunt furnizate de Client: denumirea și momentul evenimentului, valoarea, adresa IP, agentul utilizatorului (user agent) și identificatorii cookie ai platformei (de exemplu, fbp și fbc ai Meta).
5. Date privind interacțiunile sociale: conținutul comentariilor și al mesajelor directe, marcaje temporale, numele și identificatorul public al profilului, reacții și mențiuni.
6. Date privind conturile de publicitate: identificatori și indicatori ai conturilor, campaniilor și creativelor, precum și numele și adresele de e-mail ale utilizatorilor conturilor. În general, aceste date nu sunt date cu caracter personal, cu excepția cazului în care identifică persoane fizice.
7. Date privind interacțiunea cu AI: prompturi, fișiere încărcate, context extras, Rezultate, feedback și comentarii la aprobări.
8. Materiale creative: imagini, videoclipuri și texte furnizate de Client sau generate pentru acesta, care pot înfățișa sau numi persoane fizice.
9. Identificatori pseudonimizați ai Utilizatorilor Autorizați în jurnalele de audit.

H. Categorii speciale de date

Nu se intenționează prelucrarea unor astfel de date. Clientul nu va transmite categorii speciale de date (Secțiunea 4.1 litera (c)). Conținutul de tip text liber, precum comentariile și mesajele directe, poate dezvălui în mod incidental categorii speciale de date (de exemplu, informații privind sănătatea menționate de o persoană care comentează). Acest conținut este prelucrat numai în măsura necesară pentru afișarea și gestionarea lui, cu perioadele scurte de păstrare prevăzute în Secțiunea I.2. Clientul este responsabil pentru moderarea acestuia.

I. Mențiuni speciale

1. Identificatori hashed. Aplicarea unei funcții hash reprezintă pseudonimizare, nu anonimizare. Identificatorii hashed rămân date cu caracter personal și sunt protejați ca atare. Ei sunt utilizați exclusiv pentru transmiterea evenimentelor de conversie către Platforma Terță desemnată de Client. Compania nu îi asociază cu alte seturi de date, nu îi utilizează pentru niciun alt client și nu îi păstrează mai mult decât prevede Calendarul de păstrare a datelor. Clientul răspunde pentru temeiul juridic, pentru transparență și pentru orice semnale de consimțământ impuse de Platforma Terță destinatară.
2. Comentarii și mesaje directe. Acestea sunt date cu caracter personal ale unor terți. În mod implicit, ele sunt păstrate 30 de zile de la preluare. Clientul poate modifica această perioadă în limitele puse la dispoziție de Platformă, cu respectarea în toate cazurile a oricărei limite mai scurte impuse de Platforma Terță în cauză.
3. Datele membrilor LinkedIn. Datele de profil și datele privind activitatea socială ale membrilor LinkedIn care nu sunt Utilizatori Autorizați sunt stocate temporar (cache) cel mult 24 de ore și sunt supuse restricțiilor prevăzute la Secțiunea 7.1 litera (b). Identificatorii membrilor LinkedIn (URN) pot fi păstrați mai mult timp, în limitele permise de LinkedIn, numai în măsura necesară pentru eliminarea duplicatelor și pentru audit.
4. Datele de Platformă Meta. Datele de Platformă Meta sunt separate pentru fiecare Client și sunt prelucrate numai în numele Clientului respectiv (Secțiunea 7.1 litera (a)).
5. Tokenuri OAuth. Tokenurile care permit accesul la Platformele Terțe sunt date de autentificare, nu conținut. Ele sunt criptate cu motorul Transit al HashiCorp Vault, cu o cheie derivată pentru fiecare tenant, conexiune și furnizor, pot fi decriptate numai de un serviciu de tokenuri izolat, nu sunt transmise niciodată modelelor AI și nu sunt înregistrate niciodată în jurnale (Anexa 2).
6. Prelucrarea prin AI. Pentru a răspunde unei solicitări sau pentru a rula o automatizare, Platforma transmite Furnizorilor AI instrucțiunile și extrasele din Datele Clientului necesare pentru sarcina respectivă. Datele membrilor LinkedIn nu sunt transmise niciodată Furnizorilor AI (Secțiunea 7.1 litera (b)). Datele cu caracter personal sunt reduse la minimum acolo unde sarcina permite, iar urmele (traces) de observabilitate sunt prelucrate cu eliminarea datelor cu caracter personal (Anexa 2).

J. Frecvența

Continuă, pe durata Contractului, în funcție de utilizarea Platformei de către Client și de programul automatizărilor sale (de exemplu, din oră în oră, la 12 ore sau zilnic).

K. Păstrarea

Conform Secțiunii 16 și Calendarului de păstrare a datelor (data-retention-schedule.md).

L. Prelucrarea de către Subîmputerniciți

Conform Anexei 3, pentru scopurile și categoriile de date indicate acolo și pe durata Contractului.

Anexa 2 – Măsuri tehnice și organizatorice

*[Notă de redactare: înainte de semnare, fondatorul și responsabilul tehnic trebuie să confirme că fiecare măsură de mai jos este implementată în producție astfel cum este descrisă. Măsurile marcate [de confirmat înainte de semnare] nu au fost încă confirmate; aceleași elemente sunt marcate [De confirmat] în security-overview.md. Înainte de semnarea oricărui Formular de Comandă, fiecare astfel de element trebuie fie confirmat (iar marcajul eliminat în AMBELE documente în același timp), fie marcat [Planificat – neimplementat încă], fie eliminat. Măsurile marcate «planificate» sunt supuse Secțiunii 9.1.]*

1. Guvernanță și gestionarea riscurilor

1.1. O persoană desemnată răspunde de securitatea informațiilor și de protecția datelor. Contact: ops@1ads.net pentru aspecte de securitate și privacy@1ads.net pentru aspecte de protecție a datelor. 1.2. Politici scrise privind securitatea, controlul accesului, răspunsul la incidente, păstrarea datelor și gestionarea furnizorilor, revizuite cel puțin anual. 1.3. O evaluare a riscurilor înainte de introducerea unor noi activități de prelucrare, a unor noi Funcționalități AI sau a unor noi Subîmputerniciți. 1.4. În prezent nu este deținută nicio certificare emisă de un terț (Secțiunea 9.4).

2. Găzduire și securitate fizică

2.1. Platforma rulează în clusterul Kubernetes on-prem propriu al Companiei din România (UE), pe care Compania îl operează ea însăși, sub brandul său FirstIT. Platforma nu rulează într-un cloud public, iar clusterul nu este operat de un terț, astfel încât nu există un Subîmputernicit pentru găzduire (Anexa 3). Serverele se află la {{DATACENTER_FACILITY}}. [de confirmat înainte de semnare: controlul accesului fizic, alimentarea cu energie, răcirea și protecția la incendiu ale locației.] 2.2. Bazele de date PostgreSQL, sistemul de gestionare a secretelor (HashiCorp Vault), coada de sarcini de fundal (graphile-worker, pe PostgreSQL) și furnizorul de identitate (Keycloak, pentru autentificare, SSO și MFA) rulează în interiorul clusterului. Ele nu sunt expuse direct în internetul public; este expus numai serverul web de la marginea rețelei (Caddy), care publică doar site-ul, aplicația, API-ul și paginile de autentificare Keycloak. Interfața de administrare Keycloak este accesibilă numai de la o listă de adrese permise (Secțiunea 6.5). Pentru urmărirea erorilor se folosește instanța Sentry găzduită și operată de Companie, sub brandul său FirstIT, în aceeași infrastructură [de confirmat: expunerea în rețea a punctului de acces Sentry și regula din politica de rețea care permite componentelor api și worker să îi raporteze erorile].

3. Izolarea clienților (tenant isolation)

3.1. Fiecare înregistrare din Datele Clientului poartă un identificator al spațiului clientului (tenant) și, atunci când aparține unui spațiu de lucru al unui client, un identificator al spațiului de lucru (workspace). Izolarea dintre clienți, precum și dintre spațiile de lucru ale aceluiași client, este impusă în baza de date prin politici de securitate la nivel de rând (row-level security, RLS) în PostgreSQL, pe tenant și pe spațiu de lucru, pe lângă verificările de autorizare la nivelul aplicației. Rolurile de bază de date ale aplicației nu sunt superuser și nu au atributul BYPASSRLS, astfel încât nu pot ocoli aceste politici. Numai rolul de salvare are atributul BYPASSRLS, pentru a permite exporturi complete ale bazei de date. Acest rol are drept exclusiv de citire (rolul predefinit PostgreSQL pg_read_all_data), nu poate modifica date și este folosit numai de procesul zilnic de salvare. [de confirmat: prima salvare și prima restaurare reușite] Formularul public de cerere de acces folosește un rol separat, care poate doar să adauge cereri de acces. Fiecare solicitare și fiecare sarcină de fundal rulează în contextul unui singur tenant. 3.2. Pentru Clienții Agenție, fiecare Client Final are un spațiu de lucru (workspace) separat în cadrul tenantului Clientului Agenție. Accesul la acesta poate fi restricționat la anumiți Utilizatori Autorizați. 3.3. Datele provenite de la Platformele Terțe ai căror termeni impun separarea (în special Datele de Platformă Meta) nu sunt niciodată reunite sau utilizate între tenanți. 3.4. Controalele de izolare a tenanților sunt acoperite de teste automate care rulează în fluxul de implementare (deployment pipeline). [de confirmat înainte de semnare]

4. Gestionarea identităților și a accesului

4.1. Utilizatori Autorizați. Autentificarea, SSO și MFA sunt furnizate de furnizorul de identitate găzduit de Companie (Keycloak). Autentificarea unică (SSO) este disponibilă prin federare cu furnizorul de identitate propriu al Clientului (de exemplu, Okta, Microsoft Entra ID, Google Workspace sau OneLogin), care este furnizorul Clientului și nu un Subîmputernicit. Sincronizarea automată a directorului nu este disponibilă la lansare. Autentificarea multifactor (MFA) este obligatorie pentru toți utilizatorii care nu se autentifică prin SSO. Detectarea atacurilor de tip „forță brută” este activată în furnizorul de identitate. [de confirmat înainte de semnare] 4.2. Control al accesului bazat pe roluri (RBAC) la nivel de tenant și de spațiu de lucru, inclusiv permisiuni separate pentru vizualizarea datelor, propunerea modificărilor, aprobarea modificărilor și administrarea contului. 4.3. Expirarea sesiunilor și posibilitatea ca administratorii Clientului să revoce sesiuni și să elimine utilizatori. 4.4. Acces prin API și MCP. OAuth 2.1 pentru serverul MCP, credențiale API cu domeniu limitat, limitarea ratei solicitărilor (rate limiting) și revocare de către Client. 4.5. Personalul Companiei. Accesul la mediul de producție este limitat la un număr mic de persoane nominalizate, pe baza principiului privilegiului minim. Acesta necesită MFA, este înregistrat în jurnale și este revizuit cel puțin trimestrial. Accesul este retras cu promptitudine atunci când persoana pleacă din Companie sau își schimbă rolul. [de confirmat înainte de semnare]

5. Criptare și gestionarea cheilor

5.1. În tranzit, prin rețele publice. Toate punctele de acces publice ale Platformei sunt servite prin TLS de serverul web de la marginea rețelei, cu certificate Let's Encrypt și HTTP Strict Transport Security (HSTS). Conexiunile de la Platformă către Platformele Terțe și Subîmputerniciți utilizează TLS. Versiunea minimă: TLS 1.2. [de confirmat înainte de semnare] 5.2. În interiorul clusterului. Traficul dintre componentele din rețeaua privată a clusterului (de exemplu, de la aplicație la PostgreSQL sau de la serviciul de tokenuri la Vault) nu este criptat în prezent. El circulă într-o singură rețea privată și este restricționat prin politici de rețea de tip „interzis implicit” (Secțiunea 6.1). Criptarea acestui trafic intern (Cilium WireGuard sau TLS) este [Planificat – neimplementat încă] și este programată înainte de disponibilitatea generală. 5.3. În repaus. Copiile de rezervă ale bazelor de date sunt criptate cu age înainte de a fi scrise pe spațiul de stocare pentru copii de rezervă (Secțiunea 9.1). Fluxul de export dintre baza de date și procesul de salvare traversează rețeaua internă a clusterului, care nu este încă criptată (Secțiunea 5.2). Criptarea în repaus a discurilor serverelor, inclusiv a volumelor bazelor de date: [de confirmat cu responsabilul infrastructurii. Până la confirmare, nu se afirmă criptarea în repaus a discurilor.] 5.4. Tokenuri OAuth. Tokenurile sunt criptate cu motorul Transit al HashiCorp Vault (AES-256-GCM), cu o cheie derivată pentru fiecare tenant, conexiune și furnizor. Materialul cheilor nu părăsește niciodată Vault. Numai un serviciu de tokenuri izolat, cu o politică Vault strict delimitată, poate solicita criptarea sau decriptarea, și numai pentru tenantul și conexiunea în cauză, la momentul unui apel API. Tokenurile nu sunt transmise niciodată modelelor AI, nu sunt afișate utilizatorilor după conectare și nu sunt înregistrate niciodată în jurnale. [de confirmat înainte de semnare: excluderea tokenurilor din jurnale și din rapoartele de erori] 5.5. Secretele (date de autentificare pentru baze de date, chei API pentru Subîmputerniciți) sunt stocate în Vault, nu în codul sursă sau în imaginile containerelor, iar fiecare componentă primește numai propriile secrete. Secretele sunt rotite după orice suspiciune de compromitere. [de confirmat înainte de semnare: rotirea periodică și jurnalele de audit ale Vault.]

6. Securitatea rețelei

6.1. Politicile de rețea Kubernetes interzic implicit orice trafic și permit apoi, pentru fiecare componentă, numai conexiunile de care are nevoie (de exemplu, numai componentele aplicației și procesul de salvare pot accesa PostgreSQL și numai serviciul de tokenuri poate accesa Vault). 6.2. Traficul de ieșire către internet al componentelor Platformei este limitat prin politici de rețea la adrese publice și la porturile de care are nevoie fiecare componentă (HTTPS, prin care trec și apelurile către API-ul Amazon SES folosite pentru trimiterea e-mailurilor, și transmiterea SMTP către Amazon SES, atunci când o componentă, cum este furnizorul de identitate, trimite e-mailuri prin SMTP). Intervalele de adrese private, link-local și interne sunt blocate, ceea ce reduce riscul de falsificare a solicitărilor din partea serverului (server-side request forgery). O listă de destinații permise, aplicată printr-un proxy de ieșire (egress proxy), este [Planificat – neimplementat încă]. 6.3. Web Intelligence citește numai pagini accesibile public. Respectă fișierele robots.txt și opțiunile de excludere de la extragerea de text și date (text and data mining) și nu se autentifică pe site-uri și nici nu ocolește controalele de acces. 6.4. Protecție împotriva blocării serviciului și a abuzurilor prin limitarea ratei solicitărilor și prin protecțiile de rețea de la marginea infrastructurii Companiei. [de confirmat înainte de semnare: protecția DDoS în amonte] Formularul public de cerere de acces este protejat printr-un câmp ascuns de tip „capcană” (honeypot) și prin verificarea duratei completării, fără CAPTCHA furnizat de terți, iar e-mailul de confirmare către solicitant este limitat la unul pe adresă la 24 de ore. 6.5. Interfețele administrative ale furnizorului de identitate sunt accesibile din internet numai de la o listă de adrese permise.

7. Jurnalizare, monitorizare și audit

7.1. Jurnalul de audit. Un jurnal de audit în care se pot doar adăuga înregistrări (append-only) consemnează evenimentele relevante pentru securitate și pentru activitate. Acestea includ autentificările, modificările de permisiuni, conectările și deconectările Platformelor Terțe, propunerile AI, aprobările și respingerile, modificările executate pe Platformele Terțe, publicările, exporturile și ștergerile de date, precum și accesul administrativ al personalului Companiei. Identitățile Utilizatorilor Autorizați sunt pseudonimizate în jurnal. Integritatea jurnalului este ancorată într-o stocare imuabilă (de tip write-once), astfel încât orice modificare ulterioară să poată fi detectată. [de confirmat înainte de semnare] Administratorii Clientului pot consulta jurnalul de audit al tenantului lor. 7.2. Monitorizare operațională și alertare privind disponibilitatea, erorile și evenimentele de securitate. [de confirmat înainte de semnare] Sistemul de urmărire a erorilor (Sentry, găzduit în infrastructura Companiei) rulează numai pe partea de server și este configurat să elimine datele cu caracter personal și secretele înainte de stocarea evenimentelor. [de confirmat înainte de semnare] 7.3. Sistemul de observabilitate pentru modelele de limbaj (Langfuse, găzduit de Companie în propriul cluster) este configurat cu eliminarea datelor cu caracter personal și cu perioada de păstrare prevăzută în Calendarul de păstrare a datelor.

8. Garanții specifice pentru AI

8.1. Aprobarea umană. Funcționalitățile AI propun și nu acționează. Modificările pe Platformele Terțe sunt executate numai după aprobarea unui Utilizator Autorizat care deține rolul necesar sau în baza unei politici de aprobare automată configurate de Client, în limitele maxime impuse de Platformă (de exemplu, modificări maxime de buget). Aprobarea automată este dezactivată pe durata Programului de Acces (access-program-terms.md, Secțiunea 8.5), fără excepții. Este disponibilă aprobarea în mai mulți pași (agenție, apoi client). 8.2. Garanții împotriva injecției de instrucțiuni (prompt injection). Conținutul provenit din surse neverificate (pagini web, comentarii, mesaje directe, surse de tendințe, fișiere încărcate) este tratat ca date, nu ca instrucțiuni. El este separat clar de instrucțiunile de sistem. Permisiunile instrumentelor AI sunt limitate la tenant, la rolul utilizatorului și la sarcina în cauză. Propunerile generate de AI sunt validate în raport cu scheme și reguli de politică înainte de a fi prezentate spre aprobare. Modelele AI nu pot accesa tokenurile OAuth și nu pot executa direct modificări. 8.3. Siguranța mărcii. Trend Radar aplică un filtru de siguranță a mărcii: tendințele sensibile sunt blocate sau necesită aprobarea unui Utilizator Autorizat cu rol de nivel superior, iar conceptele nu sunt niciodată publicate automat. 8.4. Minimizare. Furnizorilor AI li se transmit numai datele necesare pentru o sarcină. Datele de autentificare sunt excluse, iar datele cu caracter personal sunt eliminate din urmele de observabilitate. 8.5. Alegerea furnizorilor. Compania utilizează serviciile API comerciale ale Furnizorilor AI, care în mod implicit nu utilizează datele API pentru antrenarea modelelor, și a solicitat păstrarea zero a datelor acolo unde aceasta este oferită (Secțiunea 5.5). 8.6. Proveniența conținutului. Imaginile generate de AI conțin informații de proveniență C2PA (content credentials), textele generate de AI poartă un indicator prelucrabil automat atunci când părăsesc Platforma prin exporturi, prin API sau prin serverul MCP, iar etichetele AI ale Platformelor Terțe sunt aplicate acolo unde sunt disponibile. [de confirmat înainte de semnare: marcarea textelor]

9. Disponibilitate, copii de rezervă și recuperare

9.1. Copii de rezervă logice (exporturi de tip dump), efectuate în fiecare noapte, ale bazelor de date PostgreSQL, cu un rol de bază de date cu drept exclusiv de citire. Fiecare export este criptat cu age (X25519) înainte de a fi scris pe un spațiu de stocare în rețea din aceeași locație din România (UE), care reprezintă un domeniu de defectare separat de discul bazei de date. În cluster se află numai cheia publică; cheia privată necesară pentru restaurare este păstrată offline. Copiile de rezervă sunt păstrate cel mult 14 zile și apoi sunt șterse automat. [de confirmat: prima salvare și prima restaurare reușite] Punctul de recuperare este de cel mult 24 de ore; replicarea bazei de date cu arhivare continuă este [Planificat – neimplementat încă]. 9.2. Restaurarea din copiile de rezervă este testată periodic. [De confirmat frecvența; planificată trimestrial.] 9.3. Sarcinile de fundal și programările rulează pe o coadă de sarcini stocată în PostgreSQL (graphile-worker). Sarcinile eșuate sunt reluate de un număr limitat de ori, iar fiecare sarcină își înregistrează progresul, astfel încât o reluare să nu repete un pas deja finalizat, de exemplu executarea de două ori a unei acțiuni aprobate. [de confirmat înainte de semnare] 9.4. Clusterul are mai multe noduri, iar componentele pot fi repornite pe alt nod dacă unul se defectează. Baza de date PostgreSQL rulează în prezent ca instanță unică, pe stocare locală. [De confirmat.]

10. Dezvoltare securizată și gestionarea modificărilor

10.1. Codul sursă este gestionat prin control al versiunilor. Modificările sunt verificate de alți dezvoltatori (peer review) [de confirmat înainte de semnare], iar implementările în producție se realizează printr-un flux CI/CD (Jenkins), cu reconciliere GitOps (Flux) pornind de la configurații versionate. 10.2. Scanare automată a vulnerabilităților imaginilor containerelor (Trivy) în fluxul de compilare, precum și a vulnerabilităților dependențelor. Vulnerabilitățile sunt remediate în funcție de gravitate. [de confirmat înainte de semnare; de confirmat termenele-țintă de remediere, de exemplu 7 zile pentru vulnerabilitățile critice.] 10.3. Medii separate de dezvoltare, testare (staging) și producție. Datele Clientului din producție nu sunt utilizate în mediile de non-producție decât dacă au fost anonimizate. [de confirmat înainte de semnare] 10.4. Testare periodică a securității, inclusiv teste de penetrare independente, cu o frecvență adecvată riscului. [De confirmat dacă și când va avea loc primul test de penetrare.] 10.5. Un canal de raportare a vulnerabilităților la ops@1ads.net.

11. Răspunsul la incidente

11.1. O procedură documentată de răspuns la incidente care acoperă detectarea, trierea, limitarea, eliminarea, recuperarea, notificarea (în termen de 48 de ore către Client, Secțiunea 14) și analiza ulterioară incidentului. [de confirmat înainte de semnare] 11.2. O evidență a tuturor Incidentelor de Securitate, inclusiv a faptelor, efectelor și măsurilor de remediere, conform articolului 33 alineatul (5) din GDPR.

12. Personal

12.1. Angajamente de confidențialitate pentru întregul personal și pentru colaboratori (Secțiunea 8). 12.2. Instruire privind securitatea și protecția datelor la integrare și cel puțin anual. [de confirmat înainte de semnare] 12.3. Retragerea accesului în ultima zi de lucru a persoanelor care părăsesc Compania.

13. Minimizarea, păstrarea și ștergerea datelor

13.1. Perioadele de păstrare sunt aplicate prin procese automate de ștergere, conform Calendarului de păstrare a datelor, inclusiv 24 de ore pentru datele membrilor LinkedIn, 30 de zile implicit pentru comentarii și mesaje directe și cel mult 14 zile pentru copiile de rezervă ale bazelor de date. 13.2. Ștergerea Datelor Clientului la cerere și la încetarea Contractului (Secțiunea 16). 13.3. Tokenurile OAuth sunt șterse și, acolo unde Platforma Terță permite, revocate atunci când o conexiune este eliminată.

14. Gestionarea Subîmputerniciților

14.1. Verificarea prealabilă a confidențialității și securității înainte de angajare. Clauze scrise privind prelucrarea datelor, inclusiv CCS acolo unde este necesar. Revizuire periodică. 14.2. Evaluări ale impactului transferului pentru Transferurile Restricționate (Anexa 4).

Anexa 3 – Subîmputerniciți

Lista actualizată a Subîmputerniciților, cu entitatea, locația, scopul, categoriile de date și mecanismul de transfer, este publicată în Lista subîmputerniciților (subprocessors.md). Lista în vigoare la data Formularului de Comandă face parte din prezenta Anexă 3 și este rezumată mai jos, conform versiunii 0.1-draft.

Componentele care rulează în infrastructura proprie a Companiei nu sunt Subîmputerniciți: bazele de date PostgreSQL, HashiCorp Vault, coada de sarcini graphile-worker, furnizorul de identitate Keycloak, sistemul de urmărire a erorilor Sentry găzduit de Companie și instrumentul de observabilitate pentru modelele de limbaj Langfuse, găzduit tot de Companie. Compania operează ea însăși această infrastructură, sub brandul său FirstIT. Furnizorii de identitate pe care Clientul îi folosește pentru autentificarea unică (de exemplu, Okta, Microsoft Entra ID, Google Workspace sau OneLogin) sunt furnizorii proprii ai Clientului, cu care Platforma se federează; aceștia nu sunt Subîmputerniciți.

Păstrarea datelor la Anthropic. Datele de intrare și de ieșire transmise prin API sunt șterse, în mod implicit, în termen de 30 de zile. Conținutul semnalat pentru încălcarea politicilor de utilizare poate fi păstrat mai mult (până la 2 ani), iar scorurile de clasificare pentru încredere și siguranță (trust and safety) pot fi păstrate până la 7 ani. S-a solicitat păstrarea zero a datelor (Secțiunea 5.5). Modelele pe care Anthropic le desemnează drept „Covered Models” impun o păstrare de cel puțin 30 de zile și, în general, nu sunt eligibile pentru păstrarea zero a datelor; Compania va notifica Clientul conform Secțiunii 10 înainte de a utiliza un astfel de model pentru Funcționalitățile AI.

DataForSEO OÜ (Estonia), SerpApi, LLC (SUA) și GNews (entitatea urmează a fi confirmată) furnizează Companiei date publice privind căutările, tendințele și știrile. Aceștia primesc numai interogări, nu date cu caracter personal; nu sunt Subîmputerniciți și sunt enumerați în subprocessors.md din motive de transparență.

Platformele Terțe nu sunt Subîmputerniciți (Secțiunea 3.4).

Anexa 4 – Transferuri internaționale

1. Harta transferurilor

1.1. Datele cu Caracter Personal ale Clientului sunt stocate în UE, pe infrastructura on-prem a Companiei din România (UE). Autentificarea (Keycloak), urmărirea erorilor (Sentry), observabilitatea modelelor de limbaj (Langfuse) și coada de sarcini sunt găzduite acolo de Companie și nu presupun niciun transfer. Transferurile Restricționate au loc numai atunci când datele sunt prelucrate de un Subîmputernicit situat în afara SEE sau accesate de acolo, astfel cum sunt identificați în Anexa 3 și în subprocessors.md. Acești Subîmputerniciți se află în prezent în SUA (Anthropic, OpenAI în cazul prelucrării în SUA și Firecrawl). E-mailurile tranzacționale sunt prelucrate de Amazon SES în UE (Irlanda); orice acces al entităților AWS din afara SEE este acoperit de CCS din acordul AWS privind prelucrarea datelor și, dacă entitatea este certificată, de DPF. [De confirmat: că administratorii Companiei nu accesează infrastructura de la distanță din afara SEE.] Transferurile către Elveția (Windsor.ai) și către Canada (Unified.to, pentru organizațiile comerciale supuse PIPEDA) sunt acoperite de decizii ale Comisiei Europene privind caracterul adecvat.

1.2. Atunci când Clientul este stabilit în SEE, transferul de la Client către Companie nu constituie un Transfer Restricționat.

2. Mecanismele de transfer

2.1. DPF. Pentru un Subîmputernicit din SUA care deține o certificare DPF activă ce acoperă datele în cauză, transferul se întemeiază pe decizia privind caracterul adecvat aferentă DPF (Decizia de punere în aplicare (UE) 2023/1795 a Comisiei). Compania verifică fiecare certificare în Lista oficială DPF înainte de a se baza pe aceasta și, ulterior, cel puțin anual. [Notă de redactare: de verificat statutul DPF pentru Anthropic PBC, OpenAI, SideGuide Technologies, Inc. și Amazon Web Services, Inc. înainte de publicare.] În cauza Latombe/Comisia (cauza T-553/23, hotărârea din 3 septembrie 2025), Tribunalul Uniunii Europene a respins acțiunea în anulare a deciziei privind caracterul adecvat aferente DPF. Împotriva hotărârii s-a declarat recurs la Curtea de Justiție (cauza C-703/25 P). Compania monitorizează soluția. CCS servesc drept soluție de rezervă (Secțiunea 2.4).

2.2. CCS, Modulul 3 (de la persoana împuternicită la persoana împuternicită). Atunci când Compania, în calitate de persoană împuternicită sau de subîmputernicit, transferă Date cu Caracter Personal ale Clientului către un Subîmputernicit dintr-o țară terță care nu beneficiază de o decizie privind caracterul adecvat, Compania și Subîmputernicitul încheie CCS, Modulul 3. În majoritatea cazurilor, acestea sunt încorporate în acordul de prelucrare a datelor al Subîmputernicitului.

2.3. CCS, Modulul 2 (de la operator la persoana împuternicită). Atunci când Compania, în calitate de operator, transferă Date ale Contului către o persoană împuternicită dintr-o țară terță care nu beneficiază de o decizie privind caracterul adecvat, se aplică Modulul 2. Datele de autentificare rămân în UE, deoarece furnizorul de identitate este găzduit de Companie. Această prelucrare este descrisă în Politica de confidențialitate.

2.4. Soluția de rezervă. Atunci când un Subîmputernicit este certificat DPF și a semnat și CCS, CCS se aplică automat dacă DPF încetează să mai fie un mecanism de transfer valabil.

2.5. Clienți din afara SEE: CCS, Modulul 4 (de la persoana împuternicită la operator). Atunci când Clientul este stabilit într-o țară terță care nu beneficiază de o decizie privind caracterul adecvat, iar Compania (în calitate de persoană împuternicită din UE) transferă Clientului Date cu Caracter Personal ale Clientului, CCS, Modulul 4, sunt încorporate prin trimitere în prezentul DPA. Compania este „exportatorul de date”, iar Clientul este „importatorul de date”. Dacă Clientul este un Client Agenție stabilit într-o astfel de țară terță și acționează ca persoană împuternicită pentru Clienții săi Finali, se aplică în același mod CCS, Modulul 3, Compania fiind exportatorul de date. [Notă de redactare: Modulul 4 sau Modulul 3 este necesar numai atunci când datele primite de Companie sunt supuse GDPR. De confirmat de către avocat.]

2.6. Date din Regatul Unit și din Elveția. Atunci când Date cu Caracter Personal ale Clientului supuse UK GDPR sau Legii federale elvețiene privind protecția datelor sunt transferate mai departe către o țară terță, CCS se aplică împreună cu Actul adițional al Regatului Unit privind transferurile internaționale de date (UK International Data Transfer Addendum) sau cu adaptările impuse de Comisarul federal elvețian pentru protecția datelor și informații, după caz.

3. Opțiunile selectate în CCS încorporate prin prezentul DPA (Modulul 4 și, după caz, Modulul 3)

4. Evaluarea impactului transferului (rezumat)

4.1. Domeniu. Compania a evaluat transferurile către Subîmputerniciții din SUA enumerați în Anexa 3. [Notă de redactare: evaluarea completă, în formă scrisă, trebuie finalizată și păstrată la dosar. Textul de mai jos este un rezumat.]

4.2. Datele transferate. În principal date comerciale (indicatori de performanță ai publicității, setări ale campaniilor, date de analiză agregate), cu un volum limitat de date cu caracter personal. Aceste date cu caracter personal constau în: prompturi și extrase de context transmise pentru inferența AI, care pot include date cu caracter personal precum textul comentariilor (niciodată date ale membrilor LinkedIn) sau date la nivel de comandă atunci când o sarcină o impune; adrese URL și conținutul paginilor publice pentru crawling. Datele de identitate ale Utilizatorilor Autorizați pentru autentificare nu sunt transferate, deoarece furnizorul de identitate este găzduit de Companie în UE. Tokenurile OAuth nu sunt transmise niciodată Furnizorilor AI. Identificatorii hashed pentru încărcarea conversiilor nu sunt transmiși Furnizorilor AI. Ei sunt transmiși direct Platformei Terțe desemnate de Client.

4.3. Legislația țării de destinație. Legislația SUA permite autorităților publice să acceseze datele deținute de anumiți furnizori de servicii, inclusiv în temeiul Secțiunii 702 din Foreign Intelligence Surveillance Act și al Ordinului executiv 12333. Ordinul executiv 14086 a introdus limite de necesitate și proporționalitate, precum și un mecanism de atac (inclusiv Data Protection Review Court). Comisia Europeană a luat în considerare aceste garanții la adoptarea deciziei privind caracterul adecvat aferente DPF, iar ele se aplică tuturor datelor transferate din UE, indiferent de instrumentul de transfer utilizat. Evaluarea ia în considerare și evoluțiile care afectează organismele de supraveghere din SUA, inclusiv modificările din 2025 privind componența Privacy and Civil Liberties Oversight Board, precum și motivele invocate în cauza C-703/25 P. Dacă aceste evoluții slăbesc semnificativ garanțiile, Compania va aplica măsuri suplimentare sau va suspenda transferurile afectate (Secțiunea 11.4).

4.4. Măsuri suplimentare. (a) Criptarea în tranzit prin rețele publice (TLS 1.2 sau o versiune superioară) pentru toate transferurile către Subîmputerniciți. (b) Minimizarea datelor: se transmit numai extrasele relevante pentru sarcină, datele de autentificare sunt excluse, iar datele cu caracter personal sunt eliminate din urmele de observabilitate. (c) Păstrarea pe termen scurt la Furnizorii AI: s-a solicitat păstrarea zero a datelor, iar în caz contrar se aplică perioada standard de păstrare a furnizorului. (d) Angajamente contractuale ale Subîmputerniciților de a notifica și de a contesta solicitările de acces ale autorităților, în măsura permisă de lege. (e) Angajamentele proprii ale Companiei prevăzute în Secțiunea 15. (f) Stocarea setului principal de date în UE, pe infrastructura proprie a Companiei din România (UE), cu copii de rezervă criptate ale bazelor de date. Criptarea în repaus a discurilor serverelor: [de confirmat cu responsabilul infrastructurii].

4.5. Concluzie. Având în vedere natura datelor, măsurile de minimizare și de păstrare, precum și garanțiile prevăzute de legislația SUA descrise mai sus, Compania consideră că datele transferate vor beneficia de un nivel de protecție echivalent în esență cu cel garantat în UE. Evaluarea este revizuită cel puțin anual, la schimbarea unui Subîmputernicit și atunci când intervin evoluții juridice relevante (inclusiv soluția din cauza C-703/25 P).

4.6. Clientul poate solicita o copie a evaluării complete a impactului transferului, sub rezerva confidențialității.