Acord privind prelucrarea datelor — DPA

1. Părți, acceptare și prioritate

RIALDA MEDIA S.R.L., CUI 3401872, nr. registrul comerțului J1993000734123, EUID ROONRC.J1993000734123, capital social 30.200 lei, sediu: Str. René Descartes nr. 4, Cluj-Napoca, județul Cluj, România.

Clientul operator este identificat în comanda ori contractul acceptat, împreună cu reprezentantul și contactul pentru date. Acest DPA devine parte a contractului prin acceptare documentată; simpla vizitare a paginii nu îl semnează. Identitatea clientului, versiunea acceptată și instrucțiunile se păstrează în evidența contractuală.

Acordul reglementează numai datele procesate de Rialda Media în numele clientului prin Heris AI. Pentru datele pe care Rialda Media le procesează ca operator în scopuri proprii se aplică Politica de confidențialitate. În caz de conflict privind datele procesate pentru client, DPA și dispozițiile imperative GDPR prevalează asupra termenilor comerciali.

2. Obiect, scop și durată

Prelucrarea susține răspunsul la solicitări, gestionarea conversațiilor, calificarea comercială, revenirile permise și facilitarea programărilor. Durata este cea a serviciului și perioada necesară returnării ori ștergerii la încetare, fără continuarea altor scopuri.

Operațiunile pot include colectare prin canalele autorizate, stocare, organizare, consultare, transmitere către componenta AI, generare de răspunsuri, sincronizare cu calendarul autorizat, export și ștergere. Canalele sunt numai cele acceptate în configurație: WhatsApp Business API/Web, Instagram, Messenger, chat pe site, Telegram, email și SMS. Integrările suplimentare nu sunt autorizate doar pentru că există în catalog.

Accesul poate începe în proba de 7 zile și continuă în abonamentul activ. Cele 25 de credite de probă, limitele comerciale și soldul nu modifică obligațiile de protecție, returnare și ștergere a datelor. Sesiunea de pornire se desfășoară cu acces limitat, la instrucțiunea clientului.

3. Instrucțiuni și obligațiile operatorului

Instrucțiunile documentate sunt contractul, această anexă, configurațiile aprobate și cererile scrise ale persoanelor autorizate. Rialda Media prelucrează numai pe aceste instrucțiuni, inclusiv pentru transferuri, cu excepția unei obligații legale; informează înainte despre aceasta dacă legea nu interzice informarea.

Operatorul stabilește scopul și temeiul, informează persoanele, obține permisiunile cerute pentru mesaje, respectă opozițiile și verifică legalitatea sursei datelor. Limitează datele încărcate și menține informații exacte. O instrucțiune de a trimite marketing nu este dovada consimțământului destinatarului.

Împuternicitul informează imediat dacă apreciază că o instrucțiune încalcă GDPR sau alte norme aplicabile. Părțile suspendă operațiunea afectată până la clarificare; acest lucru nu justifică prelucrarea ilegală la cererea clientului. Dacă Rialda Media stabilește scopuri și mijloace în afara instrucțiunilor, rolul și răspunderea se apreciază potrivit legii.

4. Confidențialitate și securitate

Persoanele autorizate sunt ținute de confidențialitate contractuală sau legală. Accesul se limitează la necesitate, se revizuiește și se retrage la încetarea sarcinii. Colaboratorii nu primesc date prin conturi comune necontrolate.

Rialda Media implementează și menține măsuri adecvate riscului potrivit art. 32 GDPR, ținând cont de natura datelor, stadiul tehnicii, costuri și impact. Măsurile sunt descrise în Anexa II, se verifică înainte de activarea datelor reale și se actualizează fără reducerea nejustificată a protecției.

Clientul are la rândul său obligații privind autentificarea, accesul utilizatorilor și dispozitivele, testarea și protejarea datelor exportate. Împuternicitul nu se exonerează de propriile obligații pentru că platforma este furnizată de un terț.

5. Subîmputerniciți

Clientul autorizează în general angajarea subîmputerniciților pentru funcțiile documentate în registrul asociat și în fișa configurației sale. Furnizorul principal al platformei este OneGlimpse B.V. (DMChamp), Țările de Jos. Sunt autorizate numai componentele necesare serviciului și compatibile cu instrucțiunile operatorului; catalogul extins nu înseamnă că toate componentele sunt active.

Înainte de prima prelucrare, furnizăm inventarul relevant de entități, funcții, date și localizări, inclusiv lanțul din platformă și garanțiile transferurilor. Îl păstrăm datat în dosarul clientului. Dacă nu avem informațiile sau garanțiile necesare, funcția afectată nu se activează pentru date reale.

Informăm despre adăugarea ori înlocuirea unui subîmputernicit înaintea schimbării și oferim o posibilitate efectivă de opoziție; planificarea urmărește un preaviz de cel puțin 14 zile. Dacă notificarea din amonte nu permite acest interval, cerem amânarea ori suspendăm componenta afectată până la clarificare, nu eliminăm dreptul de opoziție.

Obiecțiile motivate prin protecția datelor se trimit la mentor@danielbarnuti.com. Căutăm o alternativă conformă; dacă nu poate fi găsită într-un termen rezonabil, clientul poate înceta componenta afectată fără penalitate și se regularizează perioada neprestată.

Impunem contractual subîmputerniciților obligații de protecție corespunzătoare art. 28 GDPR. Rialda Media rămâne răspunzătoare față de operator pentru îndeplinirea obligațiilor subîmputerniciților în condițiile art. 28 alin. (4).

6. Asistență și solicitări ale persoanelor

Ținând cont de natura prelucrării și informațiile disponibile, asistăm operatorul prin măsuri tehnice și organizatorice pentru drepturile persoanelor, securitate, notificări, evaluarea impactului și consultarea prealabilă a autorității. Dacă primim direct o cerere privind datele clientului, îl informăm fără întârziere și nu răspundem pe fond fără instrucțiuni, exceptând o obligație legală.

Furnizăm informații și funcții disponibile pentru identificare, export, rectificare, restricționare și ștergere. Nu cerem date suplimentare excesive pentru verificarea identității. Pentru o lucrare extraordinară pot fi negociate costuri proporționale în avans, dar acestea nu împiedică îndeplinirea obligațiilor obligatorii ale împuternicitului.

7. Incidente privind datele

Notificăm operatorul fără întârzieri nejustificate după ce luăm cunoștință despre o încălcare a securității datelor sale. Nu așteptăm finalizarea anchetei interne pentru prima notificare. Aceasta include ce se cunoaște despre natura incidentului, persoanele și înregistrările afectate, consecințe, măsuri și contact; completările se transmit etapizat fără întârziere.

Cooperăm pentru limitarea efectelor, investigare, dovezi și remediere. Clientul decide notificarea persoanelor și autorității în rol de operator, inclusiv respectarea termenului legal de 72 de ore când acesta se aplică. Împuternicitul nu folosește acel termen ca permisiune de a amâna notificarea clientului.

Pentru incidentele în propriile operațiuni de operator, Rialda Media își îndeplinește direct obligațiile legale. Contact pentru incidente: mentor@danielbarnuti.com, cu subiectul „Incident date Heris AI”; nu includeți parole sau întregi baze de date în mesaj.

8. Transferuri în afara SEE

Un transfer necesită instrucțiuni documentate și respectarea capitolului V GDPR. Verificăm destinatarii, accesul din alte state, mecanismul și măsurile suplimentare. Folosim o decizie de adecvare sau clauzele contractuale standard 2021/914 și modulul potrivit rolurilor reale; într-un lanț împuternicit–subîmputernicit poate fi necesar modulul 3, nu se presupune că modulul 2 acoperă orice relație.

DPF poate fi invocat numai dacă destinatarul este certificat și activitatea este în domeniul certificării. O declarație generică „servere UE” nu este o garanție pentru autentificare globală ori AI extern. La cerere furnizăm informații despre garanții, cu redacții necesare pentru confidențialitate. Nu activăm transferul dacă mecanismul aplicabil nu poate fi demonstrat.

9. Audit și dovezi

Punem la dispoziție informații suficiente pentru demonstrarea respectării art. 28 GDPR și permitem/contribuim la audituri, inclusiv inspecții, de către operator sau auditorul mandatat. În mod obișnuit se începe cu documente și verificări la distanță; o certificare nu elimină automat dreptul de audit necesar.

Auditul de rutină se planifică, de regulă, cu 30 de zile de preaviz, în timpul programului și fără acces la datele altor clienți. Costurile externe se agrează rezonabil. Această organizare nu limitează controalele autorităților, verificările justificate de un incident ori suspiciune serioasă sau informațiile legal datorate. Furnizorii din amonte se implică potrivit contractelor și legii; Rialda Media nu promite drepturi fizice de acces pe care nu le deține.

10. Returnare, ștergere și răspundere

La încetare, operatorul alege returnarea sau ștergerea datelor; eliminăm copiile după returnare, cu excepția păstrării impuse de dreptul UE sau național. Stabilim înaintea închiderii metoda de export, formatul disponibil și calendarul ștergerii, inclusiv ciclul real al copiilor de siguranță din amonte, și documentăm executarea.

Copiile reziduale nu se folosesc pentru scopuri noi, sunt protejate și eliminate prin ciclul documentat. Dacă restaurarea pentru recuperare reintroduce date șterse, instrucțiunea se reaplică. Nu păstrăm datele conversațiilor în scop de apărare în mod nelimitat; orice excepție trebuie să aibă necesitate, temei și acces limitat.

Limitele comerciale se aplică doar în măsura compatibilă cu GDPR și legea. Nu restrâng dreptul persoanei vizate la despăgubire, competențele autorităților sau răspunderea obligatorie pentru subîmputerniciți. Contractul nu poate exclude intenția sau culpa gravă.

Anexa I. Fișa prelucrării și instrucțiunile

Operator: clientul profesional identificat în comanda acceptată. Împuternicit: RIALDA MEDIA S.R.L. Contact: mentor@danielbarnuti.com.

Persoane: potențiali clienți, clienți existenți, reprezentanți și utilizatori autorizați ai operatorului. Date uzuale: nume, contact, identificator de canal, mesaj și comentariu, atașamente necesare, preferințe, disponibilitate și programare, metadate tehnice.

Frecvență: la fiecare interacțiune și sincronizare autorizată. Scop: administrarea conversațiilor și programărilor afacerii. Durată: serviciul și închiderea conform secțiunii 10. Acces: utilizatorii nominali aprobați de operator și persoanele autorizate ale furnizorilor.

Fișa clientului se completează înainte de activare cu: canalele și metoda de conectare; modelul AI; calendarul; sursele de date; destinatarii și țările; temeiul marketingului; setarea informării AI; escaladarea umană; retenția și exportul; persoanele cu acces; data și dovada aprobării.

Date speciale, date penale și date despre minori: neautorizate în configurația standard. O cerere de programare medicală poate reprezenta dată specială chiar fără diagnostic. Dacă asemenea date sunt previzibile, se analizează art. 6 și 9 GDPR, minimizarea, transferurile, riscul și eventual DPIA; se aprobă o anexă specifică înaintea prelucrării. Nu este permisă simpla introducere a datelor sensibile în baza de cunoștințe.

Anexa II. Măsuri și limite operaționale

Măsurile urmărite pentru configurația activată sunt: acces nominal și limitat; confidențialitate; parole puternice și 2FA unde este disponibilă; transport criptat; gestionarea sigură a cheilor și tokenurilor; separarea conturilor; actualizarea permisiunilor; reducerea datelor transmise către AI; export și ștergere; backup și recuperare; evidență și notificare a incidentelor.

Implementarea funcțiilor tehnice din platformă aparține furnizorului acesteia și se verifică prin documentație și dovadă contractuală; Rialda Media gestionează utilizatorii și instrucțiunile asupra cărora are control. Nu declarăm audit independent, SOC 2 sau ISO 27001 pentru Heris AI și nu atribuim mărcii certificări ale altor entități.

Înaintea datelor reale se validează lista exactă a subîmputerniciților, transferurile, accesul, retenția și ștergerea. Măsurile suplimentare rezultate din analiza de risc se consemnează în fișa clientului. Politica de securitate publică explică sursele și distincția dintre declarațiile furnizorului și controalele verificate de Rialda Media.

Anexa III. Lanțul furnizorilor și acceptarea

Furnizor principal platformă: OneGlimpse B.V. — DMChamp, Țările de Jos, nr. KvK 78315654, pentru funcțiile activate și datele necesare. Lista publică din amonte: https://dmchamp.com/subprocessors/. Condițiile DPA ale platformei: secțiunea relevantă din https://dmchamp.com/terms/.

Registrul Heris AI distinge furnizorii contractați direct, subîmputerniciții din amonte și operatorii canalelor. În dosarul fiecărui client se păstrează inventarul efectiv datat; nu se tratează legătura către o listă variabilă ca înlocuitor al notificării schimbărilor și dreptului de opoziție.

Acceptare: clientul și reprezentantul sunt cei din comandă; acordul se acceptă prin semnătură ori un mecanism electronic documentat care permite identificarea, versiunea și conținutul. Reprezentant Rialda Media: Daniel-Ioan Bărnuți. Data, versiunea și instrucțiunile sunt atașate comenzii. Pagina este modelul contractual public; nu pretinde că un client neidentificat l-a semnat.