Clauze de prelucrare a datelor

1 Părțile și rolurile

WEB HAT SOLUTIONS S.R.L., CUI 42934264, cu sediul în București, Sector 2, Strada Despot Vodă nr. 3-5, parter, ap. 2, camera 1, România, contact office@webhat.ro, este Furnizorul. Clientul, contractul principal și persoanele autorizate sunt identificate în Anexa 1.

Clientul stabilește scopurile prelucrării și mijloacele esențiale ale acesteia, în calitate de operator. Furnizorul acționează ca persoană împuternicită pentru conținutul și operațiunile încredințate. Dacă Clientul este el însuși împuternicit, documentează mandatul și autorizarea operatorului, iar Furnizorul acționează ca subîmputernicit în limitele acelui mandat.

Furnizorul este operator distinct pentru administrarea propriei relații contractuale, conturilor de acces, securității serviciului și obligațiilor sale legale, în măsura în care stabilește scopurile acestor prelucrări. Aceste operațiuni sunt descrise separat în politica de confidențialitate și nu transformă conținutul Clientului în date utilizabile liber de Furnizor.

2 Obiectul durata și limitele serviciului

Prelucrarea acoperă găzduirea aplicației, primirea și stocarea materialelor, organizarea pe clienți și campanii, realizarea variantelor tehnice de preview, editarea, partajarea controlată, exportul și ștergerea. Generarea AI și transmiterea către rețele sociale sunt incluse numai dacă sunt comandate și autorizate pentru serviciul concret.

Operațiunile se desfășoară pe durata contractului principal, apoi numai pentru returnarea sau ștergerea datelor și pentru eventualele obligații legale de păstrare. Natura datelor, persoanele vizate, scopurile și instrucțiunile sunt detaliate în Anexa 1. Clientul poate restrânge categoriile și operațiunile înainte de încărcare.

3 Instrucțiuni documentate și utilizare permisă

Furnizorul prelucrează datele numai potrivit contractului, anexelor și instrucțiunilor documentate ale persoanelor autorizate de Client. Instrucțiunile pot fi transmise în scris, inclusiv prin email sau prin acțiuni explicite în platformă; pentru operațiunile relevante se păstrează dovada instrucțiunii.

Furnizorul nu vinde conținutul, nu îl folosește pentru publicitate proprie și nu îl folosește pentru antrenarea unor modele AI în scop propriu. O instrucțiune de generare AI nu autorizează automat partajarea datelor pentru antrenarea modelelor unui terț.

Dacă o instrucțiune pare contrară normelor de protecție a datelor, Furnizorul informează imediat Clientul și suspendă operațiunea afectată până la clarificare. Dacă o prelucrare este impusă prin lege Furnizorului, acesta informează Clientul înainte, în măsura în care legea nu interzice informarea.

4 Obligațiile și drepturile Clientului

Clientul stabilește temeiurile legale, informează persoanele vizate, verifică drepturile asupra materialelor și autorizează accesul propriilor utilizatori. Poate cere rectificarea instrucțiunilor, limitarea accesului, exportul, ștergerea și informații necesare verificării obligațiilor Furnizorului.

Pentru imagini cu minori, Clientul documentează temeiul și drepturile aplicabile, inclusiv acordul reprezentantului legal acolo unde este necesar. Fotografiile obișnuite nu sunt tratate automat ca date biometrice; utilizarea pentru identificare biometrică nu intră în serviciul standard. Datele privind sănătatea sau alte categorii speciale, condamnările și identificatorii naționali nu se încarcă fără instrucțiuni distincte, evaluarea riscului și măsuri adecvate convenite anterior.

5 Confidențialitate și securitate

Furnizorul limitează accesul personalului la ceea ce este necesar și se asigură că persoanele autorizate au obligații de confidențialitate. Accesul se retrage atunci când nu mai este necesar. Personalul primește instrucțiuni privind protecția datelor și raportarea incidentelor.

Furnizorul aplică măsuri proporționale cu riscul, descrise în Anexa 2, și le reevaluează periodic. Măsurile urmăresc confidențialitatea, integritatea, disponibilitatea, refacerea accesului și verificarea eficacității protecțiilor. O modificare tehnică nu poate reduce nivelul de protecție convenit.

Nu se garantează absența oricărui incident și nu se declară certificări, criptare integrală la stocare sau localizare exclusiv în Uniunea Europeană fără dovezi aplicabile configurației contractate. Măsurile suplimentare necesare se stabilesc înainte de operațiunea care le impune.

6 Furnizori tehnici și subîmputerniciți

Web Hat Solutions rămâne furnizorul contractual direct, inclusiv când folosește infrastructură în regim reseller. Pentru furnizorii care prelucrează date în numele Clientului, este necesară autorizarea scrisă prealabilă, specifică sau generală, din partea Clientului. Anexa 3 identifică serviciile și autorizările; simpla apariție a unui nume în model nu reprezintă autorizare sau dovada unui acord existent.

În cazul autorizării generale, Furnizorul anunță în scris adăugarea sau înlocuirea unui subîmputernicit cu cel puțin 15 zile calendaristice înainte de transmiterea datelor către acesta. Clientul poate formula o obiecție motivată privind protecția datelor în acest interval. Părțile caută o alternativă; până la soluționare nu se transmite către noul furnizor conținutul Clientului care a obiectat. Dacă alternativa nu este posibilă, poate înceta componenta afectată fără a restrânge drepturile legale ale Clientului.

Furnizorul impune printr-un contract obligatoriu subîmputernicitului obligații de protecție cel puțin echivalente celor aplicabile operațiunii delegate. Rămâne răspunzător față de Client pentru îndeplinirea acestor obligații. Un abonament comercial sau o politică publică nu este prezentat, singur, drept acord de prelucrare verificat.

7 Transferuri AI și rețele sociale

Un transfer în afara Spațiului Economic European se efectuează numai potrivit instrucțiunilor documentate și cu mecanismul legal aplicabil identificat în Anexa 3, inclusiv evaluările și măsurile suplimentare necesare. Aceste clauze nu sunt, prin ele însele, clauze standard pentru transferuri internaționale și nu înlocuiesc instrumentele necesare acelui transfer.

Funcțiile AI folosesc numai datele necesare instrucțiunii Clientului. Înainte de activare se stabilesc serviciul, datele transmise, condițiile de păstrare și rolul furnizorului. Nu se promit Zero Data Retention, neantrenarea în orice configurație sau procesarea exclusiv europeană fără verificarea contului și serviciului.

Publicarea și partajarea către Facebook sau Instagram sunt instrucțiuni distincte de pregătirea unui preview. Se verifică destinatarul, conținutul și drepturile necesare. Meta nu este calificată automat drept subîmputernicit pentru toate operațiunile; rolurile și condițiile serviciului activat se documentează separat. Revocarea accesului sau ștergerea din SOCIAL HAT nu elimină automat o copie deja publicată pe o rețea socială.

8 Asistență pentru drepturi și evaluări

Furnizorul transmite fără întârziere nejustificată Clientului cererile persoanelor vizate referitoare la datele prelucrate în numele său și nu decide independent asupra lor, în lipsa unei autorizări sau obligații legale. Furnizează informațiile și sprijinul tehnic rezonabil necesare accesului, rectificării, exportului, restricționării ori ștergerii, astfel încât Clientul să își poată respecta termenele legale.

În funcție de natura serviciului și informațiile disponibile, Furnizorul sprijină evaluarea impactului, consultarea prealabilă a autorității și verificarea riscurilor. O verificare de identitate se limitează la ceea ce este necesar; nu se solicită parole, coduri de autentificare sau tokenuri prin email.

9 Încălcări ale securității datelor

Furnizorul informează Clientul fără întârziere nejustificată după ce ia cunoștință de o încălcare a securității datelor prelucrate în numele său. Nu așteaptă încheierea investigației pentru prima informare. Comunică pe măsura disponibilității natura incidentului, categoriile și volumul aproximativ afectat, consecințele probabile, măsurile luate sau propuse și punctul de contact.

Furnizorul limitează incidentul, păstrează dovezile necesare în mod controlat și cooperează pentru remediere. Clientul decide notificările care îi revin ca operator; comunicarea Furnizorului nu substituie termenul legal aplicabil Clientului față de autoritate. Contactul Furnizorului pentru incidente și cereri este office@webhat.ro, fără a desemna prin aceasta un DPO.

10 Returnarea ștergerea și copiile de siguranță

La încetarea serviciilor, Clientul alege în scris returnarea sau ștergerea datelor. Furnizorul organizează exportul ori eliminarea din sistemele active și confirmă operațiunea. Înainte de încetare se documentează calendarul concret și formatul de returnare în Anexa 1; păstrarea ulterioară nu poate fi justificată doar prin lipsa unei instrucțiuni.

Sunt tratate distinct originalele, variantele de preview, referințele și copiile locale temporare, legăturile de partajare, conexiunile și operațiunile programate. O comandă de ștergere aplicabilă trebuie să prevină utilizarea ulterioară a datelor, inclusiv publicări aflate în așteptare. Mutarea în coș nu este prezentată ca ștergere definitivă.

Copiile de siguranță sunt izolate de utilizarea curentă, protejate și eliminate conform termenului maxim convenit și verificat în Anexa 1. Dacă se restaurează un backup, se reaplică ștergerile și restricțiile relevante înainte de revenirea datelor în utilizare. Se comunică eventualele limitări legale de eliminare, temeiul, datele păstrate și termenul aplicabil; acestea nu se reutilizează în alte scopuri.

Jurnalele zilnice de upload și sincronizare se curăță după 90 de zile de la închiderea zilei; auditul Meta după 12 luni de la închiderea lunii. O scriere ulterioară prelungește retenția fișierului pentru protejarea înregistrărilor recente, iar un fișier ocupat este reexaminat la următoarea rulare. Această regulă nu acordă un drept general de păstrare a conținutului care trebuie șters și nu stabilește retenția backupurilor terților.

11 Verificări audit și evidențe

Furnizorul pune la dispoziție informațiile necesare demonstrării respectării obligațiilor sale și permite, respectiv sprijină, audituri și inspecții realizate de Client sau de auditorul său mandatat. Părțile convin un preaviz rezonabil, confidențialitatea și protejarea datelor altor clienți, fără a goli de conținut dreptul la audit sau intervenția urgentă în caz de incident ori cerere a autorității.

Furnizorul documentează categoriile de prelucrare, accesul autorizat, furnizorii implicați și rezultatele măsurilor de remediere. O taxă sau o procedură administrativă nu poate împiedica îndeplinirea obligațiilor legale esențiale. Nicio clauză nu exclude răspunderea care nu poate fi înlăturată prin contract.

12 Intrarea în vigoare și prioritatea clauzelor

Clauzele produc efecte după identificarea părților, completarea elementelor individuale și acceptarea documentată, în scris, inclusiv electronic, de către reprezentanți autorizați. Publicarea modelului pe site, existența unui cont sau simpla navigare nu constituie acceptare și nu creează retroactiv un acord.

Pentru protecția datelor, aceste clauze prevalează asupra unor prevederi incompatibile din contractul principal, fără a reduce drepturile persoanelor vizate sau obligațiile imperative. Modificările se documentează și se acceptă în condițiile contractuale aplicabile; o versiune nouă publicată pe site nu înlocuiește automat versiunea acceptată. Se aplică dreptul român și dreptul Uniunii Europene, fără restrângerea căilor de atac prevăzute de GDPR.

Anexa 1 Fișa prelucrării și instrucțiunile Clientului

Client denumire CUI sediu
[de completat pentru contractul concret]

Contract principal număr și dată
[de completat]

Reprezentant autorizat și contact pentru date
[de completat]

Servicii liste și conturi vizate
[de completat; fără parole sau tokenuri]

Durata și persoanele care pot da instrucțiuni
[de completat]

Operațiuni opționale AI și publicare socială
[se selectează separat serviciile autorizate]

Scop: pregătirea, organizarea, previzualizarea și administrarea materialelor social media ale Clientului, plus operațiunile suplimentare autorizate expres. Natura: colectare, înregistrare, organizare, stocare, adaptare tehnică, consultare, transmitere la instrucțiune, restricționare și eliminare.

Persoane vizate: utilizatori autorizați, angajați și colaboratori ai Clientului, persoane de contact, participanți la activități și persoane identificabile în materialele furnizate. Minorii pot fi incluși numai în condițiile clauzei 4 și ale instrucțiunilor specifice.

Date: nume și contacte de lucru, identificatori de utilizator/pagină/cont social, roluri, texte, imagine și voce, metadate tehnice, comentarii, aprobări și istoricul operațiunilor. Datele speciale și identificatorii naționali nu sunt incluse implicit. Categoriile efectiv necesare se restrâng pentru Clientul concret.

• Instrucțiuni suplimentare și restricții pentru categorii de date: [de completat].
• Țări și servicii autorizate, inclusiv eventuala utilizare AI: [de completat prin Anexa 3].
• La încetare: [returnare / ștergere], format de export și calendar pentru datele active: [de completat].
• Termen maxim verificat pentru eliminarea din backup și procedura de reaplicare a ștergerilor: [de completat înainte de acceptare].
• Data acceptării, versiunea anexelor și semnătura sau dovada acceptării electronice pentru fiecare parte: [de completat].

Anexa 2 Măsuri tehnice și organizatorice

Măsurile următoare reprezintă cerințe contractuale de validat pentru configurația aleasă înainte de acceptare, nu o certificare că toate protecțiile sunt deja implementate. Părțile consemnează în fișa serviciului implementarea, responsabilul și dovezile verificării.

• Acces individual, roluri și privilegiu minim, separarea clienților și revizuirea drepturilor; protecție suplimentară a accesului administrativ proporțională cu riscul.
• HTTPS pentru comunicații, parole stocate ca hash, secrete în afara zonei publice și limitarea utilizării tokenurilor la operațiunile autorizate. Criptarea datelor la stocare și gestionarea cheilor se stabilesc conform riscului, fără a presupune criptarea integrală a tuturor fișierelor.
• Autorizare pe server pentru date și media, protecția sesiunilor și comenzilor de modificare, linkuri de partajare controlabile și retragerea accesului care nu mai este necesar.
• Staging local temporar pentru upload, verificarea transferului Cloud, curățarea copiilor temporare după confirmare și evitarea introducerii secretelor în jurnale.
• Gestionarea actualizărilor și vulnerabilităților, revizuirea schimbărilor, teste de izolare și verificări periodice ale controalelor.
• Copii de siguranță cu acces limitat, retenție documentată, teste de restaurare și procedură de recuperare; un inventar tehnic gol nu este dovadă de absență a copiilor.
• Procedură de incident și escaladare, registru de ștergeri/restricții reaplicabil după restaurare, controlul furnizorilor și dovezi de instruire/confidențialitate a personalului.

Anexa 3 Registrul furnizorilor și autorizarea lor

Pentru fiecare serviciu folosit cu datele Clientului se completează identitatea juridică exactă din contractul contului, operațiunile, categoriile de date, locațiile de stocare și acces, garanțiile, perioada de păstrare și dovada autorizării. Configurația se verifică înainte de transmitere. Lista de lucru de mai jos nu dovedește acceptarea unor acorduri și nu autorizează implicit serviciile enumerate.

• ROMARG S.R.L. - infrastructură hosting în regim reseller. Contractul și condițiile de prelucrare aplicabile, backupurile și accesul de suport se individualizează pentru serviciul contractat.
• Google Drive - stocare Cloud. Se identifică entitatea și contractul contului, condițiile de prelucrare în numele Clientului, locațiile și mecanismul transferurilor. Existența unui abonament consumer Google One nu demonstrează, singură, un DPA de împuternicit.
• OpenAI API - numai pentru operațiuni AI autorizate separat. Se verifică entitatea contractuală, acordul de prelucrare, endpointurile, datele transmise, retenția, opțiunile de utilizare a datelor și transferurile.
• Facebook și Instagram - destinatari pentru conectări sau publicări comandate. Se documentează entitatea, rolul și condițiile fiecărei operațiuni; nu sunt înscrise automat ca subîmputerniciți pentru toate datele.
• Autorizație aleasă de Client: [specifică pentru lista completată / generală scrisă cu notificarea și dreptul de obiecție din clauza 6]. Furnizori aprobați, restricții, dată și dovadă: [de completat].

Repere legislative

Clauze redactate pentru acest serviciu, nu reproducerea unei versiuni oficiale de clauze contractuale standard.

• Regulamentul UE 2016/679 articolele 28 32 și 33
• EDPB Rolurile de operator și persoană împuternicită