Acest acord („DPA”) face parte din Termenii și condițiile AgentOnline și se aplică automat oricărui cont. Părți: firma care folosește Serviciul („Operatorul”) și CULOAREA DIN VIAȚA SA S.R.L., CUI 44820819, nr. Reg. Com. J10/1108/2021, sediul în Sat Topliceni nr. 214, Com. Topliceni, jud. Buzău („Persoana împuternicită”). Se aplică Regulamentul (UE) 2016/679 („GDPR”), art. 28.
1. Obiectul și durata
Persoana împuternicită prelucrează date cu caracter personal în numele Operatorului doar pentru a furniza Serviciul: primirea mesajelor clienților Operatorului pe WhatsApp și în bula de chat, generarea și trimiterea răspunsurilor, afișarea conversațiilor în inbox, programări și mementouri, căutarea produselor și a comenzilor în magazinul conectat de Operator.
Durata: cât timp Operatorul are cont, plus perioada de ștergere de la secțiunea 9.
2. Datele și persoanele vizate
Persoane vizate: clienții și potențialii clienți ai Operatorului care îi scriu pe WhatsApp sau pe site, persoanele pentru care se fac programări, angajații Operatorului care folosesc contul.
Categorii de date: nume afișat, număr de telefon / WhatsApp, email (opțional, la programări sau comenzi), conținutul mesajelor și al mesajelor vocale, programările, numerele de comandă și starea comenzilor.
Operatorul nu trebuie să ceară prin agent date din categoriile speciale (art. 9 GDPR) sau date despre condamnări penale. Dacă acestea apar spontan în mesaje, sunt prelucrate doar în măsura necesară afișării conversației și se șterg după perioada de păstrare.
3. Instrucțiunile Operatorului
Persoana împuternicită prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului: acest DPA, Termenii și setările făcute de Operator în cont (profil, reguli, perioada de păstrare, integrări). Dacă o instrucțiune pare să încalce GDPR, Persoana împuternicită informează imediat Operatorul.
Operatorul garantează că are temei legal pentru prelucrare, că își informează clienții (inclusiv că răspunde un asistent automat) și că respectă politicile WhatsApp.
4. Confidențialitate
Accesul la date îl au doar persoanele autorizate ale Persoanei împuternicite, care s-au angajat să păstreze confidențialitatea, și doar cât e necesar pentru suport, securitate sau depanare.
5. Măsuri de securitate (art. 32)
Criptare în tranzit (TLS) pentru toate conexiunile; tokenurile și cheile integrărilor criptate în bază (AES-256-GCM); baza de date accesibilă doar din rețeaua internă a serverului; separarea strictă a datelor pe firme (verificarea proprietarului la fiecare cerere și un profil izolat la furnizorul WhatsApp); autentificare fără parolă, cu linkuri de unică folosință; protecție împotriva CSRF și SSRF; limite de folosire împotriva abuzurilor; jurnale fără conținutul mesajelor; actualizări de securitate; copii de siguranță ale bazei de date; ștergerea automată după perioada de păstrare.
6. Sub-procesatori
Operatorul autorizează general folosirea sub-procesatorilor de mai jos. Persoana împuternicită impune fiecăruia obligații de protecție a datelor echivalente cu acest DPA și răspunde față de Operator pentru ei. Despre adăugarea sau înlocuirea unui sub-procesator anunțăm pe email cu cel puțin 30 de zile înainte; Operatorul se poate opune motivat, iar dacă nu găsim o soluție, poate rezilia fără penalități.
Hetzner Online GmbH — găzduirea aplicației și a bazei de date. Date: toate datele Serviciului. Locație: Germania (UE). Garanții: în UE; acord de prelucrare art. 28.
Zernio — integrarea tehnică WhatsApp (conectarea numărului, primirea și trimiterea mesajelor). Date: mesajele, numele și numărul de WhatsApp ale clienților, fișierele trimise. Locație: SUA. Garanții: clauze contractuale standard (SCC) ale Comisiei Europene.
Meta Platforms Ireland Ltd. (WhatsApp Business Platform) — transportul mesajelor WhatsApp. Date: mesajele și numerele de WhatsApp. Locație: Irlanda (UE) și SUA. Garanții: EU-U.S. Data Privacy Framework + SCC.
OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C.) — generarea răspunsurilor agentului și transcrierea mesajelor vocale. Date: textul ultimelor mesaje din conversație, profilul firmei, mesajele vocale (fără numărul de telefon al clientului). Locație: SUA. Garanții: SCC + EU-U.S. Data Privacy Framework; datele trimise prin API nu sunt folosite la antrenarea modelelor și se păstrează la OpenAI cel mult 30 de zile, pentru prevenirea abuzurilor.
Resend, Inc. — emailurile tranzacționale (linkul de intrare, notificările, mementourile de programare). Date: adresa de email, conținutul mesajului. Locație: SUA. Garanții: SCC + EU-U.S. Data Privacy Framework.
Stripe Payments Europe Ltd. — plata abonamentului. Date: datele de plată și de facturare ale firmei (nu ale clienților ei). Locație: Irlanda (UE) și SUA. Garanții: EU-U.S. Data Privacy Framework + SCC.
Oblio Software S.R.L. — emiterea facturilor. Date: datele de facturare ale firmei. Locație: România (UE). Garanții: în UE.
Google Ireland Ltd. — intrarea cu Google; Google Calendar, doar dacă îl conectezi pentru programări. Date: emailul contului; programările (nume, telefon, ora) trimise în calendarul tău. Locație: Irlanda (UE) și SUA. Garanții: EU-U.S. Data Privacy Framework + SCC.
Microsoft Ireland Operations Ltd. — calendarul Outlook, doar dacă îl conectezi pentru programări. Date: programările (nume, telefon, ora). Locație: Irlanda (UE) și SUA. Garanții: EU-U.S. Data Privacy Framework + SCC.
Integrările alese de Operator (magazinul lui online — WooCommerce, Shopify, PrestaShop etc., calendarul lui Google / Outlook) sunt furnizori ai Operatorului; noi doar citim sau scriem datele la cererea lui.
7. Transferuri internaționale
Transferurile către sub-procesatorii din afara SEE se fac pe baza deciziei de adecvare EU-U.S. Data Privacy Framework (pentru furnizorii certificați) și/sau a clauzelor contractuale standard (Decizia (UE) 2021/914, modulul 3, persoană împuternicită către persoană împuternicită), cu măsuri suplimentare de minimizare (de exemplu, numărul de telefon al clientului nu se trimite la OpenAI).
8. Asistență pentru Operator
Persoana împuternicită ajută Operatorul, prin funcțiile din cont și la cerere, să răspundă cererilor persoanelor vizate (acces, export, rectificare, ștergere), să realizeze evaluări de impact și consultări prealabile, dacă sunt necesare.
Incidente: Persoana împuternicită notifică Operatorul fără întârzieri nejustificate, în cel mult 48 de ore de la constatarea unei încălcări a securității datelor, cu informațiile disponibile (natura incidentului, datele și persoanele afectate, măsurile luate), ca Operatorul să poată notifica ANSPDCP în 72 de ore.
9. Ștergerea și returnarea datelor
Operatorul poate exporta oricând datele (JSON) și poate alege perioada de păstrare a conversațiilor (3–36 de luni, implicit 12). La ștergerea contului, datele se șterg imediat din aplicație și din copiile de siguranță în cel mult 30 de zile, cu excepția celor pe care legea ne obligă să le păstrăm (facturile).
10. Audit
La cerere scrisă, Persoana împuternicită pune la dispoziție informațiile necesare pentru a demonstra respectarea art. 28 GDPR (descrierea măsurilor, lista sub-procesatorilor, contractele lor de prelucrare). Auditurile la fața locului se fac cu preaviz de 30 de zile, cel mult o dată pe an, pe cheltuiala Operatorului, fără a afecta securitatea celorlalte firme.
11. Răspundere și prioritate
Răspunderea părților e cea din Termeni și din art. 82 GDPR. În caz de contradicție între Termeni și acest DPA, în privința protecției datelor prevalează DPA-ul.
Contact pentru protecția datelor: contact@agentonline.ro.