Acord privind Prelucrarea Datelor cu Caracter Personal (DPA)

Ultima actualizare: 29 octombrie 2026

Prezentul Acord privind Prelucrarea Datelor cu Caracter Personal („DPA” sau „Acordul”) face parte din Termenii și Condițiile încheiate între client („Operatorul”) și TidyChat („Persoana împuternicită de operator”) și reglementează prelucrarea datelor cu caracter personal pe care TidyChat o efectuează în numele Operatorului, în conformitate cu articolul 28 din Regulamentul (UE) 2016/679 („GDPR”).

În caz de conflict între prezentul Acord și Termenii și Condițiile, prezentul Acord prevalează în ceea ce privește prelucrarea datelor cu caracter personal. Dacă Operatorul și TidyChat au încheiat separat un acord scris privind prelucrarea datelor, acel acord prevalează față de versiunea publicată aici, cu excepția cazului în care acesta prevede altfel.

1. Definiții

Termenii „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită de operator”, „persoană vizată” și „încălcarea securității datelor cu caracter personal” au înțelesul prevăzut la articolul 4 din GDPR. În plus:

„Serviciul” înseamnă platforma TidyChat, inclusiv asistentul AI pentru WhatsApp și pentru chatul de pe site, inboxul comun și funcționalitățile de gestionare a contactelor și a lead-urilor, astfel cum sunt descrise în Termenii și Condițiile.
„Sub-împuternicit” înseamnă orice terț angajat de Persoana împuternicită de operator pentru a prelucra date cu caracter personal în numele Operatorului.
„Utilizatori autorizați” înseamnă membrii echipei Operatorului cărora Operatorul le acordă acces la Serviciu.

2. Obiectul, natura și scopul prelucrării

Obiectul: furnizarea Serviciului către Operator.

Natura: operațiunile necesare funcționării Serviciului, în special colectarea, înregistrarea, stocarea, organizarea, consultarea, utilizarea, divulgarea către Operator și către Utilizatorii săi autorizați, generarea de răspunsuri automate cu ajutorul inteligenței artificiale, transcrierea mesajelor vocale și interpretarea fișierelor trimise de persoanele vizate, precum și ștergerea.

Scopul: exclusiv furnizarea Serviciului în conformitate cu instrucțiunile documentate ale Operatorului. Persoana împuternicită de operator nu prelucrează datele cu caracter personal ale Operatorului în scopuri proprii și nu le vinde unor terți.

3. Durata prelucrării

Prelucrarea continuă atât timp cât Operatorul utilizează Serviciul și atât timp cât Operatorul menține un cont activ sau date cu caracter personal în cadrul Serviciului. La încetare se aplică Secțiunea 12 (Ștergerea sau returnarea datelor).

4. Categoriile de persoane vizate

Persoanele vizate sunt stabilite prin modul în care Operatorul utilizează Serviciul și pot include:

clienții și potențialii clienți ai Operatorului;
persoanele care contactează Operatorul prin WhatsApp sau prin chatul de pe site-ul Operatorului;
Utilizatorii autorizați ai Operatorului;
orice alte persoane ale căror date cu caracter personal sunt introduse în Serviciu de către Operator sau de către Utilizatorii săi autorizați.

5. Tipurile de date cu caracter personal

Tipurile de date prelucrate depind de modul în care Operatorul configurează și utilizează Serviciul și pot include:

date de identificare și de contact (de exemplu, nume, număr de telefon WhatsApp, adresă de e-mail, fotografie de profil);
conținutul mesajelor schimbate cu Operatorul, inclusiv mesaje vocale, imagini, documente și locații partajate;
metadatele conversațiilor (de exemplu, data și ora mesajelor, canalul utilizat, stadiul conversației);
informații despre potențialii clienți pe care Operatorul alege să le colecteze sau să le înregistreze în Serviciu (de exemplu, interesul exprimat, bugetul, programările);
datele Utilizatorilor autorizați necesare pentru administrarea contului.

Serviciul nu este destinat prelucrării categoriilor speciale de date cu caracter personal prevăzute la articolul 9 din GDPR. Operatorul este responsabil să nu introducă astfel de date în Serviciu și să nu solicite persoanelor vizate să le furnizeze, cu excepția cazului în care dispune de un temei juridic adecvat.

6. Instrucțiunile Operatorului

Persoana împuternicită de operator prelucrează datele cu caracter personal numai pe baza instrucțiunilor documentate ale Operatorului, inclusiv în ceea ce privește transferurile de date cu caracter personal către o țară terță sau o organizație internațională, cu excepția cazului în care această obligație îi revine în temeiul dreptului Uniunii sau al dreptului intern al unui stat membru care se aplică Persoanei împuternicite de operator.

Atunci când prelucrarea este impusă de un astfel de drept, Persoana împuternicită de operator informează Operatorul cu privire la această cerință juridică înainte de prelucrare, cu excepția cazului în care dreptul respectiv interzice o astfel de informare din motive importante legate de interesul public.

Instrucțiunile documentate ale Operatorului includ prezentul Acord, Termenii și Condițiile, precum și configurațiile, setările și instrucțiunile stabilite de Operator în cadrul Serviciului, inclusiv instrucțiunile date asistentului AI, câmpurile de date și regulile de mesagerie automată.

Persoana împuternicită de operator informează imediat Operatorul dacă, în opinia sa, o instrucțiune încalcă GDPR sau alte dispoziții aplicabile ale dreptului Uniunii sau ale dreptului intern al unui stat membru privind protecția datelor.

Operatorul este responsabil pentru asigurarea legalității activităților sale de prelucrare, inclusiv pentru stabilirea unui temei juridic adecvat, furnizarea informărilor privind confidențialitatea impuse de lege, obținerea consimțămintelor necesare și respectarea cerințelor aplicabile ale platformelor de mesagerie.

7. Confidențialitatea

Persoana împuternicită de operator se asigură că persoanele autorizate să prelucreze date cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de confidențialitate și că accesul la datele cu caracter personal este limitat la ceea ce este necesar pentru furnizarea Serviciului.

8. Măsurile tehnice și organizatorice de securitate

Persoana împuternicită de operator pune în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului, în conformitate cu articolul 32 din GDPR. La data prezentei versiuni, aceste măsuri includ:

criptarea traficului (TLS) între dispozitivele utilizatorilor și rețeaua de distribuție a conținutului a Serviciului;
stocarea criptată, la nivelul aplicației, a datelor de autentificare și a cheilor de acces (de exemplu, datele de autentificare ale canalelor, cheile API, secretele pentru autentificarea în doi pași);
izolarea logică a datelor fiecărui spațiu de lucru (cont de client), impusă în codul aplicației și verificată prin teste automate pentru entitățile principale;
controlul accesului bazat pe roluri, atât pentru Utilizatorii autorizați (proprietar, administrator, agent, vizualizator), cât și pentru personalul TidyChat, conform principiului privilegiului minim;
autentificarea obligatorie în doi pași pentru conturile personalului TidyChat;
un jurnal de audit al operațiunilor relevante, de tip „numai adăugare”, cu înregistrări înlănțuite criptografic, a cărui integritate este verificată zilnic;
accesul la fișierele media numai prin adrese URL semnate, cu valabilitate limitată în timp;
eliminarea conținutului mesajelor, a numerelor de telefon și a adreselor de e-mail din rapoartele automate de erori;
găzduirea bazei de date și a celorlalte servicii interne într-o rețea privată, fără expunere directă la internet.

Persoana împuternicită de operator revizuiește și îmbunătățește periodic aceste măsuri și poate înlocui o măsură cu o alta cel puțin echivalentă.

9. Sub-împuterniciții

Operatorul acordă Persoanei împuternicite de operator o autorizare generală scrisă de a angaja sub-împuterniciți, în măsura în care acest lucru este necesar pentru furnizarea și întreținerea Serviciului.

Persoana împuternicită de operator menține o listă actualizată a sub-împuterniciților autorizați, care precizează identitatea acestora, activitățile de prelucrare și locurile relevante de prelucrare. Lista este pusă la dispoziție pe pagina Sub-împuterniciților a Serviciului.

Persoana împuternicită de operator:

a. Notifică Operatorul în prealabil cu privire la orice adăugare sau înlocuire preconizată a unui sub-împuternicit, înainte ca respectivul sub-împuternicit să înceapă prelucrarea datelor cu caracter personal ale Operatorului.

b. Acordă Operatorului un termen de 15 zile de la notificare pentru a se opune modificării propuse, pe baza unor motive rezonabile legate de protecția datelor.

c. Depune eforturi rezonabile pentru a soluționa orice obiecție. Atunci când o obiecție nu poate fi soluționată în mod rezonabil, Operatorul poate înceta utilizarea Serviciului afectat sau poate înceta serviciile de prelucrare relevante, în conformitate cu condițiile contractuale aplicabile.

d. Impune fiecărui sub-împuternicit, printr-un contract scris sau printr-un alt act juridic obligatoriu, obligații de protecție a datelor care asigură în esență același nivel de protecție ca cele impuse Persoanei împuternicite de operator prin prezentul Acord, inclusiv măsuri tehnice și organizatorice de securitate adecvate.

e. Rămâne pe deplin răspunzătoare față de Operator pentru îndeplinirea obligațiilor privind protecția datelor ale fiecărui sub-împuternicit, în conformitate cu articolul 28 alineatul (4) din GDPR.

Angajarea sub-împuterniciților nu reduce obligațiile Persoanei împuternicite de operator prevăzute în prezentul Acord.

Atunci când un sub-împuternicit prelucrează date cu caracter personal în afara Spațiului Economic European, Persoana împuternicită de operator se asigură că transferul relevant respectă capitolul V din GDPR, astfel cum este descris în detaliu în Secțiunea 14.

10. Asistența privind drepturile persoanelor vizate

Ținând seama de natura prelucrării, Persoana împuternicită de operator asistă Operatorul, prin măsuri tehnice și organizatorice adecvate, în îndeplinirea obligației acestuia de a răspunde cererilor persoanelor vizate care își exercită drepturile prevăzute în capitolul III din GDPR (de exemplu, accesul, rectificarea, ștergerea, restricționarea, portabilitatea, opoziția). Serviciul permite Operatorului să consulte, să corecteze, să exporte și să șteargă datele contactelor sale.

Dacă o persoană vizată contactează direct Persoana împuternicită de operator în legătură cu datele prelucrate în numele Operatorului, Persoana împuternicită de operator transmite cererea Operatorului fără întârzieri nejustificate și nu răspunde pe fond decât pe baza instrucțiunilor Operatorului sau atunci când legea impune acest lucru.

11. Asistența privind obligațiile de securitate și încălcările securității datelor cu caracter personal

Persoana împuternicită de operator asistă Operatorul în îndeplinirea obligațiilor care îi revin în temeiul articolelor 32–36 din GDPR, ținând seama de natura prelucrării și de informațiile de care dispune, inclusiv în ceea ce privește evaluările impactului asupra protecției datelor și consultarea prealabilă a autorității de supraveghere.

În cazul unei încălcări a securității datelor cu caracter personal care afectează datele Operatorului, Persoana împuternicită de operator notifică Operatorul fără întârzieri nejustificate după ce ia cunoștință de aceasta și îi furnizează, pe măsură ce devin disponibile, informațiile de care Operatorul are nevoie pentru a-și îndeplini propriile obligații de notificare: natura încălcării, categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor în cauză, consecințele probabile, precum și măsurile luate sau propuse.

12. Ștergerea sau returnarea datelor

Operatorul poate solicita returnarea sau ștergerea datelor cu caracter personal prelucrate în numele său, sub rezerva legii aplicabile și a capacităților tehnice ale Serviciului.

Persoana împuternicită de operator pune la dispoziție o funcționalitate adecvată de export al datelor sau alte mijloace rezonabile de returnare a datelor cu caracter personal într-un format structurat, utilizat în mod curent și care poate fi citit automat.

La încetarea serviciilor de prelucrare, Persoana împuternicită de operator, la alegerea Operatorului, returnează sau șterge datele cu caracter personal prelucrate în numele Operatorului și șterge copiile existente, cu excepția cazului în care dreptul Uniunii sau dreptul intern al unui stat membru impune păstrarea în continuare a acestora.

Ștergerea spațiului de lucru

Atunci când un proprietar autorizat al spațiului de lucru sau un administrator TidyChat inițiază o cerere de ștergere a spațiului de lucru:

a. Spațiul de lucru este suspendat, iar accesul este restricționat.

b. Începe o perioadă de recuperare de 30 de zile, în care proprietarul autorizat al spațiului de lucru poate anula cererea de ștergere.

c. Dacă cererea nu este anulată, spațiul de lucru și datele cu caracter personal asociate acestuia, inclusiv contactele, conversațiile, mesajele, lead-urile, atașamentele și alte înregistrări operaționale, sunt șterse definitiv din sistemele de producție active la sfârșitul perioadei de 30 de zile, sub rezerva cerințelor legale aplicabile privind păstrarea.

d. Datele rămase în copiile de rezervă sunt șterse sau suprascrise prin procesul obișnuit de rotație a copiilor de rezervă, în termen de cel mult 30 de zile suplimentare de la ștergerea din sistemele de producție active.

e. Pe durata perioadei de păstrare a copiilor de rezervă, aceste date sunt protejate împotriva accesului sau utilizării curente. Atunci când o copie de rezervă este restaurată, cererile de ștergere aplicabile se aplică din nou.

Închiderea contului și încetarea serviciului

Întreruperea unei funcționalități cu plată, expirarea unui sold preplătit sau deconectarea unui canal de mesagerie nu constituie, prin ele însele, o cerere de ștergere a spațiului de lucru.

Ștergerea unui cont individual de utilizator se tratează separat de ștergerea spațiilor de lucru care aparțin altor utilizatori sau care sunt partajate cu aceștia.

Atunci când încetarea impune ștergerea sau returnarea datelor cu caracter personal din spațiul de lucru, Persoana împuternicită de operator pune la dispoziția Operatorului un mijloc adecvat de a-și exercita opțiunea în temeiul prezentei Secțiuni.

Excepții privind păstrarea impusă de lege

Persoana împuternicită de operator poate păstra date cu caracter personal atunci când acest lucru este impus de dreptul Uniunii sau de dreptul intern al unui stat membru aplicabil ori atunci când se aplică o altă obligație legală de păstrare.

Orice date păstrate sunt limitate la ceea ce este necesar, sunt protejate prin garanții adecvate și sunt șterse sau anonimizate la expirarea cerinței de păstrare aplicabile.

Persoana împuternicită de operator nu păstrează datele cu caracter personal ale Operatorului în scopuri care nu au legătură cu prezentul Acord.

13. Auditurile și informațiile privind conformitatea

Persoana împuternicită de operator pune la dispoziția Operatorului toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la articolul 28 din GDPR și permite desfășurarea auditurilor, inclusiv a inspecțiilor, efectuate de Operator sau de un auditor mandatat de Operator, și contribuie la acestea.

Auditurile au loc, de regulă, cel mult o dată pe an, cu o notificare scrisă prealabilă rezonabilă, în timpul programului de lucru, fără a perturba în mod nejustificat activitatea Persoanei împuternicite de operator și cu respectarea confidențialității informațiilor privind alți clienți. Această limitare nu se aplică în cazul unei încălcări a securității datelor cu caracter personal, al unei cerințe a unei autorități de supraveghere sau atunci când există motive rezonabile de a suspecta o nerespectare semnificativă a prezentului Acord.

14. Transferurile internaționale

Infrastructura principală a Serviciului este găzduită în Uniunea Europeană. Anumiți sub-împuterniciți și furnizori de servicii autorizați pot prelucra date cu caracter personal sau pot avea acces la acestea din locații situate în afara Spațiului Economic European (SEE), inclusiv din Statele Unite ale Americii.

Persoana împuternicită de operator nu transferă date cu caracter personal prelucrate în numele Operatorului către o țară din afara SEE și nu permite accesul la astfel de date din afara SEE, cu excepția cazului în care transferul respectă capitolul V din GDPR.

După caz, transferurile internaționale se întemeiază pe unul sau mai multe dintre următoarele mecanisme legale:

a. O decizie privind caracterul adecvat al nivelului de protecție adoptată de Comisia Europeană în temeiul articolului 45 din GDPR, inclusiv transferurile către organizațiile eligibile certificate în cadrul Cadrului UE–SUA privind protecția datelor (EU–US Data Privacy Framework), după caz.

b. Clauzele Contractuale Standard (CCS) adoptate de Comisia Europeană în temeiul articolului 46 din GDPR, utilizând modulele corespunzătoare și anexele completate, însoțite, atunci când este necesar, de garanții suplimentare.

c. Un alt mecanism de transfer valabil, permis de legislația aplicabilă privind protecția datelor.

Persoana împuternicită de operator se asigură că sunt stabilite măsuri adecvate privind transferul cu sub-împuterniciții relevanți înainte de transferul datelor cu caracter personal.

Atunci când Persoana împuternicită de operator se bazează pe garanții contractuale, inclusiv pe CCS, aceste garanții sunt încorporate în acte juridice obligatorii încheiate între părțile relevante, astfel cum impune legea aplicabilă.

Persoana împuternicită de operator pune la dispoziție, la cerere rezonabilă și sub rezerva restricțiilor de confidențialitate aplicabile, informații privind transferurile internaționale relevante și garanțiile aferente.

Detaliile privind sub-împuterniciții autorizați, rolurile lor de prelucrare și locurile relevante de prelucrare sunt menținute pe pagina Sub-împuterniciților a Serviciului.

Atunci când datele cu caracter personal sunt prelucrate prin intermediul platformelor de mesagerie terțe conectate, inclusiv WhatsApp, Operatorul ia act de faptul că platforma relevantă poate prelucra datele în conformitate cu propriile sale condiții și măsuri aplicabile privind confidențialitatea. O astfel de prelucrare se evaluează în funcție de rolurile și obligațiile respective ale părților în materie de protecție a datelor.

Nicio prevedere a prezentei Secțiuni nu limitează drepturile Operatorului sau obligațiile Persoanei împuternicite de operator prevăzute de legislația aplicabilă privind protecția datelor.

15. Răspunderea și dispoziții finale

Răspunderea părților în temeiul prezentului Acord este supusă limitărilor prevăzute în Secțiunea 8 din Termenii și Condițiile, în măsura permisă de lege. Prezentul Acord poate fi modificat în conformitate cu Termenii și Condițiile, iar Operatorul este informat în prealabil cu privire la modificările semnificative. Nicio modificare nu poate reduce obligațiile Persoanei împuternicite în temeiul articolului 28 din GDPR sau nivelul de protecție a datelor cu caracter personal asigurat prin prezentul Acord; modificările privind sub-împuterniciții urmează procedura de notificare și opoziție din Secțiunea 9. Prezentul Acord este publicat în limbile română, engleză și ebraică; versiunea în limba română este textul cu valoare juridică obligatorie și prevalează în caz de neconcordanță.