Acord de Prelucrare a Datelor (DPA)

Art. 28 GDPR + Legea 190/2018 · anexă la Contractul de licențiere & servicii SaaS · Nr. [se completează] din data de [la acceptare]

Părțile

Art. 1 — Obiect și durată

CIBINNO prelucrează Date cu caracter personal în numele TIAB exclusiv pentru furnizarea CIBINNO AI Platform și a serviciilor aferente, conform Contractului. Durata prelucrării = durata Contractului; la încetare se aplică art. 10. Detaliile (categorii de persoane/date, operațiuni), subîmputerniciții și măsurile tehnice sunt în Anexele I-III (rezumat mai jos).

Art. 2 — Instrucțiunile Operatorului

CIBINNO prelucrează Datele numai pe baza instrucțiunilor documentate ale TIAB (Contractul, prezentul DPA, Scoping-ul Aprobat și configurarea Platformei). Informează Operatorul dacă o instrucțiune pare să încalce GDPR. Nu prelucrează Datele în scopuri proprii; folosirea Asistentului AI nu implică antrenarea de modele pe datele Operatorului (clauză de non-antrenare cu subîmputernicitul LLM — Anexa II).

Art. 3 — Confidențialitatea personalului

Persoanele autorizate să prelucreze Datele s-au angajat la confidențialitate sau au obligație legală de confidențialitate (art. 28 alin. (3) lit. b).

Art. 4 — Securitatea prelucrării (art. 32)

Măsuri tehnice și organizatorice adecvate riscului: criptare în tranzit/la repaus, RBAC, izolare per tenant, jurnal de audit, backup și restaurare. Se sprijină pe infrastructura Microsoft Azure (subîmputernicit) și pe controalele proprii ale Platformei.

Art. 5 — RBAC, jurnalizare și monitorizare

Accesul la Date pe baza Rolurilor RBAC; jurnalul de audit înregistrează accesările și operațiunile, cu retenție minimum 12 luni. Monitorizarea servește securității (art. 32) și interesului legitim (art. 6 alin. (1) lit. f), nu altor scopuri.

Art. 6 — Subîmputerniciți

Operatorul autorizează general recurgerea la subîmputerniciți; CIBINNO informează despre orice adăugare/înlocuire cu un preaviz de 14 zile pentru obiecții. Subîmputerniciții impun aceleași obligații (art. 28 alin. 4). Agreați la semnare: Microsoft Azure (găzduire, regiune UE — West Europe) și subîmputernicitul LLM Azure OpenAI (regiune UE — în SEE) pentru Asistentul AI.

Art. 7 — Transferuri internaționale

Transfer în afara SEE doar cu decizie de adecvare (art. 45), garanții adecvate (art. 46 — SCC) sau derogare (art. 49). Dacă toți subîmputerniciții (inclusiv LLM) sunt în SEE, articolul nu se aplică.

Art. 8 — Asistență acordată Operatorului

CIBINNO asistă TIAB la: răspunsul la cererile persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție) prin funcțiile de export/ștergere; și la conformarea cu art. 32-36 (securitate, notificare breșe, DPIA, consultarea autorității).

Art. 9 — Notificarea încălcărilor (breșe)

CIBINNO notifică Operatorul fără întârzieri nejustificate, dar nu mai târziu de 48 ore de la luarea la cunoștință a unei breșe, cu natura, categoriile și numărul aproximativ de persoane afectate, consecințele probabile și măsurile luate. Cooperează la notificarea ANSPDCP și a persoanelor vizate.

Art. 10 — Ștergerea sau returnarea datelor

La încetarea serviciilor, la alegerea Operatorului, CIBINNO returnează sau șterge toate Datele și copiile (mai puțin cele impuse de lege). Export în format structurat, uzual, în 15 zile; ștergere în 30 zile, inclusiv din backup-uri conform ciclului de rotație.

Art. 11 — Audit și inspecții

CIBINNO pune la dispoziție informațiile necesare pentru a demonstra conformitatea cu art. 28 și permite audituri cu preaviz rezonabil (15 zile), fără a afecta securitatea celorlalți tenanți; pot fi satisfăcute prin rapoarte/certificări (ex. Azure) când acoperă obiectul.

Art. 12-13 — Răspundere & dispoziții finale

Răspunderea se stabilește conform art. 82 GDPR, corelată cu plafoanele din Contract. În caz de conflict pe protecția datelor între DPA și Contract, prevalează DPA. Lege aplicabilă: legea română și GDPR. Semnătură electronică (eIDAS) acceptată.

Rezumat anexe

Anexa I — date prelucrate (doar Modulele activate): contacte clienți/furnizori (nume, e-mail, telefon), identitatea agenților/operatorilor, date HR (nume, funcție, salarizare, pontaj), localizare GPS șoferi, conturi de utilizator + adrese IP + jurnal de audit, conținutul interogărilor AI. Prin design, Platforma nu urmărește categorii speciale (art. 9).
Anexa II — subîmputerniciți: Microsoft Azure (găzduire, UE — West Europe) · Azure OpenAI (UE — West Europe) — procesare interogări AI, fără transfer extra-SEE.
Anexa III — măsuri (art. 32): autentificare nominală + MFA, RBAC & need-to-know, criptare TLS + la repaus (Azure), jurnal audit ≥12 luni, backup & restaurare testată, separare medii, gestionarea secretelor, angajamente de confidențialitate, procedură breșe.