Acord privind prelucrarea datelor

1. Părțile, rolurile și aplicarea

Acest acord („DPA”) se încheie între clientul organizațional care folosește EasyInspect („Clientul” sau „Operatorul”) și Inspectify S.R.L., CUI 53216456, nr. Registrul Comerțului J2026000662008, cu sediul în Str. Ana Ipătescu nr. 71, 100337 Ploiești, jud. Prahova („Inspectify” sau „Persoana împuternicită”).

DPA face parte din contract prin canalul indicat în oferta aplicabilă. Pentru contractarea online, persoana care îl acceptă în numele Clientului declară că are dreptul să oblige Clientul, iar dovada identifică organizația și versiunea acceptată. Pentru contractarea directă, DPA poate fi inclus într-o ofertă sau într-un formular de comandă ori poate fi semnat separat. Plata prin Stripe nu este o condiție pentru încheierea DPA.

DPA se aplică atunci când Inspectify prelucrează date cu caracter personal în numele Clientului pentru furnizarea serviciului. Pentru datele pe care Inspectify le prelucrează ca operator independent, inclusiv unele date de relație comercială, securitate și facturare, se aplică Politica de confidențialitate.

2. Obiectul și durata

Inspectify prelucrează datele descrise în Anexa 1 pentru a furniza, securiza, menține și sprijini serviciul, pe durata contractului și apoi numai cât este necesar pentru returnare, export, ștergere, apărarea unor drepturi sau îndeplinirea unei obligații legale.

3. Instrucțiunile Clientului

Inspectify prelucrează datele numai pe baza instrucțiunilor documentate ale Clientului, inclusiv pentru un transfer către o țară terță sau o organizație internațională. Contractul, configurarea autorizată a contului, utilizarea funcțiilor și cererile valide transmise prin canalele aprobate constituie instrucțiuni documentate. Inspectify informează Clientul dacă apreciază că o instrucțiune încalcă legislația aplicabilă, cu excepția cazului în care legea interzice informarea.

Dacă dreptul Uniunii sau dreptul român obligă Inspectify să prelucreze date în afara instrucțiunii, Inspectify informează Clientul despre cerința legală înainte de prelucrare, cu excepția cazului în care legea interzice informarea din motive importante de interes public.

Clientul este responsabil pentru legalitatea instrucțiunilor, pentru temeiul prelucrării, pentru informarea persoanelor vizate și pentru exactitatea și necesitatea datelor încărcate. Clientul nu va încărca date care nu sunt necesare scopurilor sale profesionale și nu va folosi serviciul pentru decizii exclusiv automate cu efect juridic asupra unei persoane fără o bază juridică și măsuri adecvate.

4. Confidențialitate și personal autorizat

Inspectify limitează accesul la persoanele care au nevoie de date pentru atribuțiile lor. Aceste persoane sunt obligate la confidențialitate și primesc instrucțiuni adecvate privind securitatea și protecția datelor. Obligația continuă după încetarea accesului sau a raportului aplicabil.

5. Securitatea prelucrării

Inspectify aplică măsuri tehnice și organizatorice adecvate riscului, descrise în Anexa 2. Inspectify poate actualiza măsurile pentru a răspunde riscurilor și evoluției tehnice, fără să reducă în mod material nivelul general de protecție în perioada contractuală.

6. Încălcări ale securității datelor

După ce ia cunoștință de o încălcare a securității datelor cu caracter personal prelucrate în numele Clientului, Inspectify notifică Clientul fără întârzieri nejustificate. Notificarea include informațiile disponibile despre natura incidentului, categoriile aproximative de date și persoane, consecințele probabile, măsurile luate sau propuse și un punct de contact. Inspectify poate transmite informațiile în etape pe măsură ce investigația continuă.

7. Subprocesatori

Clientul acordă o autorizare generală pentru subprocesatorii din Anexa 3. Inspectify impune prin contract obligații de protecție a datelor cel puțin echivalente cu obligațiile aplicabile din acest DPA și rămâne responsabil față de Client pentru îndeplinirea obligațiilor subprocesatorului, conform GDPR.

Inspectify informează Clientul prin email sau printr-o notificare în cont despre adăugarea ori înlocuirea preconizată a unui subprocesator cu cel puțin 15 zile înainte de implicarea acestuia. Clientul poate formula în acest termen o obiecție motivată privind protecția datelor. Părțile încearcă cu bună-credință să folosească un furnizor alternativ, să limiteze funcția afectată sau să aplice o altă măsură rezonabilă. Dacă nu există o soluție, Inspectify nu implică subprocesatorul pentru datele Clientului și poate suspenda funcția afectată, iar Clientul poate înceta partea afectată a serviciului conform contractului aplicabil.

8. Transferuri internaționale

Inspectify nu transferă datele în afara Spațiului Economic European decât pe baza instrucțiunilor Clientului și a unui mecanism permis de lege. După caz, părțile folosesc o decizie de adecvare aplicabilă destinatarului, Cadrul UE-SUA privind confidențialitatea datelor numai pentru un destinatar eligibil sau clauzele contractuale standard aprobate prin Decizia (UE) 2021/914, cu modulul și măsurile suplimentare aplicabile. Inspectify pune la dispoziție informații rezonabile pentru evaluarea transferului, sub rezerva confidențialității și securității. Mecanismul concret pentru fiecare furnizor și dovada că se aplică relației Inspectify trebuie verificate înainte de versiunea efectivă.

9. Cererile persoanelor vizate

Ținând cont de natura prelucrării, Inspectify ajută Clientul prin măsuri tehnice și organizatorice adecvate să răspundă cererilor de acces, rectificare, ștergere, restricționare, portabilitate și opoziție. Dacă primește direct o cerere privind datele controlate de Client, Inspectify o transmite Clientului, dacă legea permite, și nu răspunde în numele Clientului fără instrucțiuni.

10. Asistență de conformitate

Inspectify oferă informații și asistență rezonabilă pentru securitate, notificarea incidentelor, evaluările de impact și consultarea autorității de supraveghere, ținând cont de natura prelucrării și de informațiile disponibile. Părțile pot conveni costuri rezonabile pentru cereri complexe care depășesc funcțiile standard, cu excepția cazului în care cererea este necesară din cauza încălcării obligațiilor Inspectify.

11. Informații și audit

Inspectify pune la dispoziție informațiile necesare pentru a demonstra respectarea art. 28 GDPR și permite și contribuie la audituri, inclusiv inspecții, efectuate de Client sau de un auditor mandatat de Client. Se pot folosi mai întâi rapoarte, certificări și evaluări documentare disponibile. Organizarea auditului poate include un preaviz rezonabil, confidențialitate și măsuri pentru protejarea altor clienți, fără să elimine dreptul la audit cerut de GDPR sau o cerere a autorității competente.

12. Returnarea și ștergerea

La încetarea contractului, Clientul păstrează accesul până la finalul perioadei plătite, apoi are o fereastră controlată de 30 de zile pentru un export aprobat. La alegerea Clientului, Inspectify returnează datele prin exportul aprobat sau le șterge, apoi șterge copiile existente, cu excepția datelor pe care dreptul Uniunii sau dreptul român impune să le păstreze. După fereastra aprobată, Inspectify șterge datele cu caracter personal și copiile existente, sub rezerva instrucțiunii Clientului, a unui litigiu și a păstrării obligatorii. Inspectify poate păstra numai rezultate agregate care au fost anonimizate ireversibil și nu mai sunt date cu caracter personal. Copiile de siguranță expiră prin ciclul de recuperare și ștergere configurat și verificat. Nicio perioadă maximă nu devine garanție contractuală înainte de verificarea configurației și a testelor de recuperare.

13. Prioritate, răspundere și lege aplicabilă

În caz de conflict privind prelucrarea datelor, acest DPA prevalează asupra condițiilor generale. Clauzele contractuale standard prevalează pentru transferurile pe care le reglementează. Limitările de răspundere din contractul principal se aplică în măsura permisă de lege și fără a restrânge drepturile persoanelor vizate. DPA este guvernat de legea română. Litigiile sunt soluționate de instanțele competente pentru sediul Inspectify din Ploiești, fără a afecta normele obligatorii sau competența autorităților de supraveghere.

Anexa 1 — Detaliile prelucrării

Obiect, natură și scop

Găzduirea, organizarea, afișarea, căutarea, validarea, importul, exportul, transmiterea, protejarea, copierea de siguranță și ștergerea datelor necesare pentru administrarea activității ISCIR și a contului.

Categorii de persoane vizate

• utilizatori, reprezentanți și personal al Clientului;
• personal RSVTI, personal deservent, operatori și persoane autorizate;
• reprezentanți, contacte și personal ai clienților sau furnizorilor Clientului;
• alte persoane ale căror date sunt introduse legal de Client în evidențele sale.

Tipuri de date

• nume, email, telefon, rol, organizație și identificatori de cont;
• date profesionale, autorizări, calificări, termene și relații cu echipamente;
• CNP, seria și numărul actului de identitate, adresă, date de emitere și expirare, numai când funcția și instrucțiunea Clientului le cer;
• imagini temporare ale actelor încărcate pentru extragere, dacă Clientul activează și folosește funcția;
• documente, note, evidențe tehnice și metadate operaționale;
• jurnale de acces, securitate, eroare și audit necesare serviciului.

Date sensibile și cu risc ridicat

Serviciul nu este proiectat pentru categorii speciale de date conform art. 9 GDPR. Clientul nu trebuie să le încarce fără instrucțiuni contractuale distincte. CNP, datele actului și imaginile actelor au risc ridicat și sunt supuse minimizării, accesului restrâns, retenției scurte și controalelor din Anexa 2.

PT CR 8-2025 include CNP în anumite tabele și formulare și cere copii ale actului de identitate în anumite proceduri. Clientul trebuie să evalueze fiecare flux separat. Prescripția nu justifică folosirea CNP în fiecare evidență și nici nu face obligatoriu importul automat al imaginii în EasyInspect. Dacă Clientul se bazează pe interes legitim pentru un număr de identificare național, art. 4 din Legea nr. 190/2018 cere măsuri de minimizare, securitate și confidențialitate, desemnarea responsabilului cu protecția datelor în condițiile legii, termene de stocare și ștergere sau revizuire și instruirea periodică a persoanelor care prelucrează datele.

Anexa 2 — Măsuri tehnice și organizatorice

• autentificare și autorizare pe roluri, cu verificarea relației de organizație;
• separarea logică a organizațiilor și reguli de acces evaluate pe server;
• criptare în tranzit și folosirea criptării furnizorilor pentru datele stocate;
• gestionarea secretelor în servicii aprobate și interdicția includerii lor în cod sau probe;
• jurnale limitate pentru autentificare, securitate, administrare și acțiuni sensibile;
• minimizarea datelor din analiză, erori și telemetrie; fără CNP, imagini de act sau tokenuri în aceste canale;
• consimțământ explicit înainte de analiza neesențială și posibilitatea de retragere;
• ștergerea imaginilor temporare de act după procesare și o curățare automată de rezervă aproximativ la o oră;
• pentru toate cererile OpenRouter cu date din aplicație: zdr: true, data_collection: "deny", fără fallback neconform și eroare sigură dacă nu există endpoint eligibil;
• guardrail ZDR la nivel de cont sau cheie, logarea prompturilor dezactivată și folosirea intrărilor/ieșirilor dezactivată;
• copii de siguranță, proceduri de restaurare și cicluri de ștergere verificate;
• testare automată, revizuirea modificărilor și separarea stărilor implementat, configurat, testat și activ;
• proceduri pentru incidente, vulnerabilități, accesul personalului și încetarea accesului.

Anexa 3 — Subprocesatori pentru datele controlate de Client

Această listă include numai furnizorii care pot prelucra date în numele Clientului prin EasyInspect. Inspectify verifică înainte de publicare entitatea contractuală, serviciul activ, locațiile, contractul de prelucrare și mecanismul de transfer aplicabil fiecărui furnizor.

Furnizori folosiți de Inspectify ca operator

Furnizorii de mai jos sunt prezentați pentru transparență, dar nu fac parte din autorizarea generală de subprocesare din această anexă atunci când prelucrează date pentru scopurile proprii de facturare, administrare, comunicare, securitate sau analiză ale Inspectify. Rolul exact se stabilește separat pentru fiecare serviciu activ și este descris în Politica de confidențialitate.

Anexa 4 — Instrucțiuni pentru funcțiile AI și importul actelor

1. Clientul decide dacă activează și folosește funcția și trebuie să aibă un temei legal pentru date.
2. Inspectify trimite numai conținutul necesar cererii către modelele și endpointurile aprobate.
3. Importul de act și CNP folosește numai rutare Zero Data Retention și refuză furnizorii care colectează sau păstrează conținutul.
4. Niciun retry sau fallback nu poate elimina regulile de protecție.
5. Rezultatul este un ajutor pentru completare. O persoană autorizată trebuie să îl verifice înainte de utilizare.
6. Inspectify nu folosește conținutul Clientului pentru antrenarea modelelor.

Contact pentru protecția datelor