Lista subîmputerniciților

Versiune: 0.1-draft Data intrării în vigoare: încă nu este în vigoare (proiect) Stadiu: Proiect supus revizuirii de către un avocat român calificat înainte de utilizare. Elementele marcate [de confirmat] trebuie confirmate înainte de publicare.

1. Despre această listă

1.1. ALTTAB PROFIT SRL („Compania”), care operează platforma 1ads („Platforma”), utilizează subîmputerniciții enumerați mai jos pentru a prelucra Datele Clientului în numele clienților săi (fiecare, un „Client”). Prezenta listă face parte din Anexa 3 la Acordul privind prelucrarea datelor cu caracter personal (data-processing-agreement.md, „DPA”). Termenii cu majusculă au înțelesul prevăzut în DPA și în Termeni (terms-of-service.md).

1.2. Un subîmputernicit este un terț pe care Compania îl angajează, în calitate de persoană împuternicită de operator, pentru a prelucra datele cu caracter personal cuprinse în Datele Clientului. Fiecare subîmputernicit este ținut de un contract scris care conține obligații privind protecția datelor cel puțin la fel de protective ca cele din DPA, conform articolului 28 alineatul (4) din GDPR. Compania rămâne răspunzătoare pentru subîmputerniciții săi.

1.3. Locul principal de stocare a datelor Platformei se află în UE, pe infrastructură on-prem din România. Atunci când un subîmputernicit prelucrează date cu caracter personal în afara Spațiului Economic European (SEE), transferul este acoperit de unul dintre mecanismele prevăzute în capitolul V din GDPR, astfel cum se arată în tabele și se explică în Anexa 4 la DPA.

1.4. Unii subîmputerniciți sunt utilizați numai dacă Clientul activează funcționalitatea sau conectorul aferent. Aceștia sunt enumerați separat în Secțiunea 4.

2. Cum notificăm modificările

2.1. Notificare prealabilă. Cu cel puțin 30 de zile înainte ca un subîmputernicit nou sau înlocuitor să înceapă să prelucreze Date cu Caracter Personal ale Clientului, Compania:

(a) transmite un e-mail persoanei de contact pentru notificări privind incidentele de securitate și subîmputerniciții indicate în Partea B.2 a Formularului de Comandă al fiecărui Client (sau, în lipsa acesteia, titularului contului Clientului); și

(b) actualizează această pagină și registrul modificărilor din Secțiunea 7.

2.2. Conținutul notificării. Notificarea indică denumirea și locația subîmputernicitului, prelucrarea pe care o va efectua, categoriile de date vizate și mecanismul de transfer.

2.3. Destinatari suplimentari. Clienții pot adăuga destinatari suplimentari, cum ar fi responsabilul lor cu protecția datelor, printr-un mesaj la privacy@1ads.net cu subiectul „Notificări subîmputerniciți”.

2.4. Dreptul de obiecție. Un Client poate formula obiecții, pe motive rezonabile legate de protecția datelor, în termen de 30 de zile de la notificare, printr-un mesaj la privacy@1ads.net. Procedura, inclusiv dreptul de a denunța serviciul afectat dacă nu se găsește o soluție, este prevăzută în Secțiunea 10.4 din DPA. Clienții Agenție au obligația de a transmite notificările Clienților lor Finali și de a transmite Companiei obiecțiile acestora.

2.5. Înlocuiri urgente. Dacă un subîmputernicit trebuie înlocuit de urgență din motive de securitate sau de continuitate a serviciului, Compania notifică Clienții cât mai curând posibil, iar dreptul de obiecție se aplică în continuare.

3. Subîmputerniciți principali

Acești subîmputerniciți sunt utilizați pentru toți Clienții.

Componente găzduite de Companie (nu sunt subîmputerniciți). Platforma rulează în clusterul Kubernetes on-prem propriu al Companiei, din România. Următoarele componente rulează în această infrastructură și nu sunt operate de un terț, astfel încât nu sunt subîmputerniciți: bazele de date PostgreSQL, seiful de secrete (HashiCorp Vault), coada de sarcini de fundal (graphile-worker, care rulează pe PostgreSQL), furnizorul de identitate pentru autentificare, autentificare unică și autentificare multifactor (Keycloak, la auth.1ads.net), urmărirea erorilor (Sentry găzduit de Companie) și observabilitatea modelelor de limbaj (Langfuse găzduit de Companie). Clusterul este operat chiar de Companie, sub brandul său FirstIT (FirstIT este un brand al Companiei, nu o entitate juridică separată), astfel încât nu există un subîmputernicit pentru găzduire.

Autentificarea unică (SSO). Atunci când un Client folosește SSO, furnizorul de identitate al Platformei se federează cu furnizorul de identitate propriu al Clientului (de exemplu, Okta, Microsoft Entra ID, Google Workspace sau OneLogin). Acest furnizor de identitate este furnizorul propriu al Clientului, ales și contractat de Client, nu un subîmputernicit al Companiei (Secțiunea 6.1).

Mențiuni privind Furnizorii AI.

• Anthropic. Potrivit termenilor comerciali ai Anthropic, datele de intrare și de ieșire transmise prin API nu sunt utilizate pentru antrenarea modelelor fără permisiunea expresă a clientului. Compania nu va acorda această permisiune. Potrivit politicilor publicate de Anthropic la data prezentei liste, datele de intrare și de ieșire transmise prin API sunt șterse în termen de 30 de zile, cu excepția cazului în care se aplică un regim de păstrare zero a datelor. Conținutul semnalat de sistemele automate de încredere și siguranță ale Anthropic poate fi păstrat până la 2 ani, iar datele pot fi păstrate atunci când legea impune acest lucru. Scorurile de clasificare pentru încredere și siguranță pot fi păstrate până la 7 ani. Modelele pe care Anthropic le desemnează drept „Covered Models” impun o păstrare de cel puțin 30 de zile și, în general, nu sunt eligibile pentru păstrarea zero a datelor; Compania va notifica Clienții conform Secțiunii 10 din DPA înainte de a utiliza un astfel de model pentru Funcționalitățile AI. Compania a solicitat păstrarea zero a datelor. [De confirmat: stadiul solicitării.]
• OpenAI. Potrivit politicilor publicate de OpenAI la data prezentei liste, datele transmise către API-ul OpenAI nu sunt utilizate pentru antrenarea modelelor OpenAI decât dacă clientul optează în acest sens, iar Compania nu a optat. Jurnalele de monitorizare a abuzurilor pot fi păstrate până la 30 de zile, cu excepția cazului în care OpenAI a aprobat pentru Companie păstrarea zero a datelor sau monitorizarea modificată a abuzurilor. [De confirmat: stadiul.]

4. Subîmputerniciți opționali

Acești subîmputerniciți sunt utilizați numai dacă Clientul activează funcționalitatea sau conectorul aferent.

5. Furnizori de date care nu primesc Date cu Caracter Personal ale Clientului

Compania achiziționează de la furnizorii de mai jos date publice privind căutările, tendințele și știrile, pentru Trend Radar și pentru analiza pieței. Compania le transmite interogări (cuvinte-cheie, subiecte, piețe și limbi), nu Date cu Caracter Personal ale Clientului. Subiectele aflate în tendințe pot menționa ocazional persoane publice. Acești furnizori sunt enumerați din motive de transparență. Dacă rolul lor se modifică astfel încât ar primi Date cu Caracter Personal ale Clientului, Compania va urma procedura de notificare din Secțiunea 2.

Celelalte surse publice de tendințe utilizate de Trend Radar (YouTube, Wikipedia, GDELT, API-uri de știri, Bluesky și Mastodon) sunt accesate direct prin interfețele lor publice. Acestea sunt surse de date publice, nu subîmputerniciți.

6. Cine nu este subîmputernicit

6.1. Platformele Terțe. Platformele de publicitate, serviciile de analiză, sistemele de comerț electronic și CRM și rețelele sociale pe care Clientul le conectează sunt furnizorii proprii ai Clientului sau operatori independenți. Acestea nu sunt subîmputerniciți ai Companiei. Exemplele includ Google (Google Ads, Google Analytics 4, Search Console, YouTube), Meta (Facebook, Instagram, Threads), TikTok, LinkedIn, Microsoft Advertising, Amazon Ads, Adobe Analytics, Shopify, WooCommerce, HubSpot, Salesforce, Pipedrive, X și Pinterest. Utilizarea lor de către Client este guvernată de propriile contracte ale Clientului cu furnizorii respectivi. Compania face schimb de date cu acestea numai la instrucțiunea Clientului. Același regim se aplică furnizorilor de identitate pe care Clientul îi folosește pentru autentificarea unică (de exemplu, Okta, Microsoft Entra ID, Google Workspace sau OneLogin): aceștia sunt furnizorii proprii ai Clientului, iar Platforma doar se federează cu ei.

6.2. Furnizorii proprii ai Companiei în calitate de operator. Furnizorii pe care Compania îi utilizează exclusiv în scopuri proprii, în calitate de operator (de exemplu, pentru contabilitate, servicii bancare, sistemul RO e-Factura și site-ul web), sunt descriși în Politica de confidențialitate (privacy-policy.md).

7. Registrul modificărilor

8. Contact

Întrebări privind această listă: privacy@1ads.net. Contact pentru protecția datelor: {{DPO_CONTACT}}.