Acord de prelucrare a datelor (DPA)

⚠ Document în lucru. Acest text este un draft în curs de verificare juridică. Până la validarea de către un avocat, are caracter informativ. (Nota se scoate la publicarea versiunii validate.)

Versiunea 1.16 - draft din 18 septembrie 2026 · Anexă la Termenii și condițiile WebID

De ce există documentul de față, pe scurt. Dacă site-ul tău primește programări, trimite SMS-uri clienților tăi sau vorbește cu vizitatorii tăi, prin el trec datele personale ale clienților tăi. Pentru ele, legea spune clar cine e cine: tu ești operatorul (tu decizi de ce sunt colectate), iar noi suntem persoana împuternicită (operăm infrastructura, în numele tău). Articolul 28 din GDPR cere ca relația aceasta să fie pusă în scris - exact ce face acordul de față. Iar el te protejează în primul rând pe tine: la orice verificare, poți arăta că prelucrarea prin furnizorul tău de site e reglementată, cu garanții și furnizori cunoscuți.

Acordul se acceptă o singură dată, printr-o bifă separată la comandă, și se aplică automat tuturor modulelor cu prelucrare de date pe care le activezi, acum sau ulterior.

1. Părțile și rolurile

• Operatorul: tu - clientul identificat în comandă, titularul site-ului.
• Persoana împuternicită: noi - FAMILIA TASE SRL (brandul WebID), Str. Erou Chivu Dumitru nr. 27, VILA 2, Voluntari, jud. Ilfov, 077190, CUI RO41641665, Nr. Reg. Com. J40/12194/2019, e-mail contact@webid.ro.

Termenii „date personale", „prelucrare", „persoană vizată", „încălcare a securității datelor" au sensul din GDPR (Regulamentul (UE) 2016/679).

Ce NU acoperă acest acord: datele tale de client al nostru (numele tău, facturarea, contul) - pentru ele suntem noi înșine operator, iar informarea e în Nota de confidențialitate. Nici datele de plată ale clienților tăi prin modulul Plăți: contul de încasare e al tău, deschis direct la procesatorul de plăți, iar datele cardului merg de la clientul tău direct la procesator - nu trec prin noi și nu le vedem.

2. Obiectul, durata, natura și scopul prelucrării

• Obiectul: operarea tehnică a site-ului tău și a modulelor activate, în măsura în care implică date personale ale clienților, pacienților, oaspeților sau vizitatorilor tăi („persoanele vizate").
• Durata: cât timp ai servicii active care implică prelucrare, plus perioada de predare și ștergere de la §10.
• Natura: găzduire și stocare, colectare prin formulare, transmitere de mesaje, generare de conținut, afișare, copii de siguranță, ștergere.
• Scopul: exclusiv furnizarea serviciilor comandate de tine. Nu folosim datele clienților tăi în scopuri proprii - nu le vindem, nu le folosim pentru marketingul nostru, nu ne antrenăm produse pe ele.

3. Ce date, ale cui - pe module

Datele sunt cele adecvate și limitate la funcționarea fiecărui modul. Nu colectăm categorii suplimentare din proprie inițiativă.

4. Date sensibile - cazul cabinetelor (art. 9 GDPR)

O programare la un cabinet medical poate dezvălui, prin simpla ei existență, informații despre sănătate („consult ortodontic, marți") - adică o categorie specială de date, cu regim întărit.

• Partea ta: ca operator, temeiul pentru datele de sănătate e al tău - în mod tipic art. 9(2)(h) GDPR (furnizarea de asistență medicală), pentru care ești calificat ca profesionist supus secretului profesional. Tot ție îți revine informarea pacienților tăi (nota ta de confidențialitate, afișată pe site-ul tău).
• Partea noastră: tratăm datele de programare de la cabinete ca date sensibile, cu măsurile de la §6, acces restrâns la strictul necesar și fără nicio utilizare secundară.
• Modulele de mesaje (Confirmări, Recenzii) trimit texte neutre, fără detalii de diagnostic sau tratament dincolo de ce configurezi tu.

5. Instrucțiunile tale

1. Prelucrăm datele numai pe instrucțiunile tale documentate. Instrucțiunile = acest acord + contractul + configurarea pe care o faci în panou (ce module activezi, ce câmpuri ceri, ce mesaje se trimit) + cererile tale scrise ulterioare, dacă sunt rezonabile tehnic.
2. Același lucru e valabil pentru transferurile în afara UE/SEE - au loc doar în condițiile de la §7.
3. Dacă o instrucțiune a ta încalcă, în opinia noastră, GDPR sau altă normă de protecție a datelor, te informăm imediat înainte de a o executa.

6. Confidențialitate și securitate (art. 32 GDPR)

1. Oamenii: accesul la datele clienților tăi e limitat la persoanele care au nevoie de el pentru a-ți furniza serviciile, toate sub obligație de confidențialitate.
2. Măsurile tehnice și organizatorice pe care le menținem includ:

• arhitectură cu suprafață mică de atac: partea publică a site-ului e statică (fișiere, fără bază de date expusă); datele modulelor stau în spatele panoului protejat prin autentificare;
• criptarea comunicațiilor (HTTPS/TLS) pe panou și pe site-urile găzduite pe infrastructura operată de noi; dacă site-ul tău rulează pe găzduirea ta, certificatul și configurarea lui țin de furnizorul tău - te ajutăm la instalare;
• parole individuale pentru panou, cu acces separat pentru membrii echipei tale, pe care îl controlezi tu;
• copii de siguranță zilnice, păstrate pe trepte de vechime (detaliile la §10, «La final»), și puncte de restaurare la fiecare salvare de conținut, cu posibilitatea revenirii la versiuni anterioare;
• jurnalizare tehnică pentru diagnosticare și investigarea incidentelor;
• actualizarea componentelor software și remedierea vulnerabilităților descoperite.

1. Măsurile evoluează cu tehnologia; nu le vom reduce sub nivelul descris aici.

7. Sub-împuterniciții și transferurile în afara UE/SEE

1. Autorizare generală. Ne autorizezi să folosim sub-împuterniciți (furnizori care prelucrează date în numele nostru, pentru tine) din lista de la §12.
2. Notificare la schimbare. Dacă adăugăm sau înlocuim un sub-împuternicit, te anunțăm în scris cu cel puțin 14 zile înainte (pe e-mailul de contact). Poți obiecta în acest termen, din motive rezonabile legate de protecția datelor. Dacă obiectezi și nu găsim o soluție (alt furnizor, altă configurare), poți înceta modulul afectat, fără să-ți percepem ceva pentru perioada rămasă; sumele deja plătite urmează regula din Termeni. Regula există tocmai pentru că unii furnizori (în special cei de AI) se pot schimba pe parcurs.

⚠ Ce NU e o schimbare de sub-împuternicit: trecerea la alt model sau altă versiune la ACELAȘI furnizor - de exemplu un model de inteligență artificială mai nou, de la aceeași companie. Sub-împuternicitul e entitatea care prelucrează datele, nu produsul pe care îl folosim de la ea. Astfel de schimbări le facem fără notificare, atât timp cât nu scade nivelul serviciului și nu se schimbă nici țara, nici condițiile de prelucrare.

1. Aceleași obligații. Impunem fiecărui sub-împuternicit, prin contract, obligații de protecție a datelor echivalente cu cele de aici. Rămânem responsabili față de tine pentru sub-împuterniciții noștri.
2. Transferuri în afara UE/SEE: au loc numai către țări cu decizie de adecvare a Comisiei Europene (pentru SUA: furnizori certificați în EU-U.S. Data Privacy Framework) sau pe baza clauzelor contractuale standard (SCC), cu măsuri suplimentare unde e cazul. Mecanismul concret pentru fiecare furnizor e în tabelul de la §12.
3. Angajament explicit: nu folosim sub-împuterniciți care prelucrează date personale în China - pentru niciun serviciu, inclusiv asistenții vocali.

8. Reguli speciale pentru Asistentul Vocal

Asistentul vocal e serviciul cu cea mai directă expunere - o conversație liberă, cu voce, cu vizitatorii tăi. Regulile de mai jos se aplică din clipa în care activezi modulul, iar noi îl proiectăm și îl operăm pe principiul minimizării datelor (art. 5 GDPR):

1. Asistentul nu colectează date personale prin voce. E instruit ca, atunci când un vizitator vrea să lase date de contact sau să facă o programare, să-l invite să le introducă în formular, nu să le rostească. Formularul are consimțământ explicit și text scris, verificabil; vocea n-are niciuna din ele.
2. Transcrierile nu se păstrează. Conversația e transcrisă doar cât durează, pentru ghidarea răspunsurilor, apoi se elimină. Nu construim istoric de conversații identificabile pentru site-ul tău.
3. Informarea vizitatorului: la pornirea asistentului, vizitatorului i se afișează o notă scurtă de informare (furnizată de platformă) despre prelucrarea vocală și furnizorul implicat. E o cerință față de vizitator, distinctă de acest DPA, și e afișată de fiecare dată, înainte de începerea conversației.
4. Furnizorul de AI vocal e sub-împuternicit (§12), cu condițiile de retenție consemnate acolo. Nu avem control fizic asupra serverelor furnizorului; de aceea alegerea lui se face pe criterii stricte de retenție și localizare, iar schimbarea lui urmează procedura de la §7, «Notificare la schimbare».
5. Partea ta: nu configura asistentul într-un mod care contrazice principiile de mai sus (de exemplu, nu-i cere să colecteze verbal date medicale).

9. Asistența pe care ți-o dăm

1. Drepturile persoanelor vizate. Dacă un client al tău își exercită un drept GDPR (acces, ștergere, rectificare...), iar cererea ne parvine nouă, ți-o redirecționăm fără întârziere - operatorul care îi răspunde ești tu. Te ajutăm cu ce ține de sistem: găsirea, exportul, corectarea sau ștergerea datelor lui din module.
2. Incidente de securitate. Dacă aflăm de o încălcare a securității datelor care privește datele clienților tăi, te anunțăm fără întârzieri nejustificate, cel târziu în 48 de ore de la constatare, cu informațiile de care ai nevoie pentru propriile tale obligații (art. 33-34 GDPR): ce s-a întâmplat, ce date și câte persoane par afectate, ce măsuri am luat. Notificarea către autoritate, dacă e necesară, e decizia și obligația ta ca operator - dar nu te lăsăm singur în ea.
3. Evaluări de impact (DPIA) și consultări cu autoritatea: îți punem la dispoziție informațiile despre prelucrare de care ai nevoie, în măsura în care le deținem noi.

10. La final: predarea și ștergerea datelor

1. La încetarea serviciilor care implică prelucrare, alegi: îți predăm datele (export într-un format uzual, utilizabil), le ștergem, sau ambele - întâi predarea, apoi ștergerea.
2. Dacă nu ceri altceva, la 30 de zile de la încetare ștergem datele clienților tăi din sistemele active. Copiile de siguranță le facem noi, pe același server pe care stau datele: arhive ale datelor (nu ale paginilor publicate), făcute zilnic doar când s-a schimbat ceva, păstrate pe trepte de vechime - cea mai veche copie are cel mult 182 de zile; datele modulului Programări au copii zilnice păstrate 14 zile. Ce a fost șters din sistemele active dispare din copii prin această rotație, deci cel târziu la 182 de zile după ștergere. Copiile nu sunt criptate separat - sunt protejate de aceleași măsuri ca datele vii (§6) și nu sunt accesibile pe web. Pe lângă ele, furnizorul de găzduire ține un backup săptămânal al contului, conform politicii lui de retenție (§12).
3. Excepție: datele pe care legea ne obligă să le păstrăm (de exemplu evidențe de facturare - dar acelea sunt oricum date ale relației noastre directe, nu ale clienților tăi).

11. Verificare și răspundere

1. Informații și audit. La cerere, îți punem la dispoziție informațiile necesare ca să verifici respectarea acestui acord (descrierea măsurilor, lista sub-împuterniciților cu contractele-cadru relevante, certificări unde există). Poți cere un audit - o dată pe an, cu notificare rezonabilă, în timpul programului, fără acces la datele altor clienți; costurile auditului sunt ale tale.
2. Răspunderea urmează regulile din Termeni §14 și art. 82 GDPR: fiecare parte răspunde pentru partea ei de obligații - noi pentru obligațiile persoanei împuternicite, tu pentru cele ale operatorului (temei, informare, instrucțiuni).
3. În caz de conflict între acest DPA și Termeni, pentru protecția datelor prevalează DPA-ul.

12. Lista sub-împuterniciților

Versiunea curentă a listei. La orice schimbare se aplică procedura de notificare de la §7, «Notificare la schimbare». Data ultimei actualizări: 28 iulie 2026 (draft).

Despre retenția datelor la furnizorii AI: rubrica de retenție pentru fiecare furnizor AI (dacă și cât păstrează datele transmise prin API, dacă le folosește pentru antrenare) se consemnează aici pe baza termenilor scriși ai furnizorului, cu link la ei - nu pe baza reputației. [Se completează la verificarea contului real, înainte de publicare.]

Despre copiile de siguranță: copiile noastre sunt descrise la §10, «La final». Furnizorul de găzduire ține, separat, un backup săptămânal al contului, păstrat conform politicii lui de retenție.

O precizare despre revânzare: dacă furnizăm găzduirea sub marca noastră (revânzare „white-label"), furnizorul real rămâne în această listă. Lista răspunde la întrebarea cine prelucrează efectiv datele, nu la ce nume apare pe factură.

13. Acceptare și versiuni

Acordul se acceptă prin bifă distinctă la comandă („Accept Acordul de prelucrare a datelor"), cu link către această pagină. Bifa nu e niciodată pre-bifată. Păstrăm dovada: cine a acceptat, când, ce versiune. Modificările acordului urmează regulile din Termeni §17, iar pentru lista sub-împuterniciților - procedura de la §7, «Notificare la schimbare».

FAMILIA TASE SRL · Str. Erou Chivu Dumitru nr. 27, VILA 2, Voluntari, jud. Ilfov, 077190 · CUI RO41641665 · contact@webid.ro

Versiunea 1.16 - draft din 18 septembrie 2026.