Acord privind prelucrarea datelor

01Părți și domeniu de aplicare

Persoana împuternicită: Interactive Media Solutions S.R.L. (IMS SRL), CUI 37237457, Reg. Com. J18/241/2017, Str. 23 August nr. 1B, Et. 1, Ap. 8, Târgu Jiu, jud. Gorj, România, e-mail [email protected], [email protected] („noi”).

Operatorul: clientul — organizația sau profesionistul care a acceptat Termenii și condițiile și folosește Serviciul în scopuri proprii de afaceri („tu”).

Acest Acord se aplică ori de câte ori prelucrăm date personale în numele tău, ca parte a Serviciului. Nu acoperă datele pe care le prelucrăm ca operator independent (contul, facturarea și evidențele de securitate), descrise în Politica de confidențialitate. În caz de conflict privind protecția datelor între acest Acord și Termeni, prevalează Acordul.

02Obiect, durată, natură și scop

• Obiect: datele personale din conținutul trimis Serviciului de tine sau de utilizatorii tăi — prompturi, mesaje, fișiere, apeluri de unelte și rezultatele lor, transcrieri de sesiune și răspunsurile generate de model pe baza lor.
• Durată: cât timp folosești Serviciul, plus perioada de ștergere din „Ștergere și returnare”.
• Natură: stocare, transmitere, rutare către furnizorii de modele AI, generare de răspunsuri, sincronizare între dispozitivele tale și ștergere.
• Scop: furnizarea gateway-ului, consolei, aplicațiilor și API-urilor codai, așa cum sunt descrise în Termeni — și nimic altceva. Nu folosim datele tale la antrenarea modelelor decât dacă optezi pentru asta și niciodată pentru publicitate.

03Categorii de date și de persoane vizate

• Categorii de date: date de identificare și contact, date profesionale, conținutul comunicărilor, cod sursă și documente care conțin date personale, date tehnice și ale dispozitivelor (adresă IP, user agent, identificatori) și orice alte date pe care alegi să le incluzi în conținut.
• Categorii speciale (art. 9 GDPR) și date privind infracțiuni: nu sunt necesare Serviciului. Nu le trimite decât dacă ai un temei legal și ai evaluat riscul; dacă o faci, se aplică aceleași garanții.
• Persoane vizate: angajații, colaboratorii și utilizatorii tăi autorizați; clienții, potențialii clienți și corespondenții tăi; orice alte persoane ale căror date apar în conținutul trimis.

04Obligațiile tale ca operator

• Ai un temei legal pentru prelucrare și ai informat persoanele vizate conform legii.
• Instrucțiunile tale respectă legea. Termenii, acest Acord și configurarea Serviciului de către tine (chei, păstrare, sincronizarea sesiunilor, BYOK) sunt instrucțiunile tale complete; alte instrucțiuni se convin în scris.
• Răspunzi pentru conținutul trimis și pentru configurarea sigură a accesului la cont.

05Obligațiile noastre ca persoană împuternicită

• Prelucrăm datele personale doar pe baza instrucțiunilor tale documentate, inclusiv pentru transferuri, cu excepția cazului în care dreptul UE sau cel român impune altfel — situație în care te informăm în prealabil, dacă legea nu interzice.
• Te informăm imediat dacă apreciem că o instrucțiune încalcă GDPR.
• Toate persoanele autorizate să prelucreze datele au obligații de confidențialitate.
• Aplicăm măsurile de securitate descrise mai jos (art. 32 GDPR).
• Te asistăm, ținând cont de natura prelucrării, la soluționarea cererilor persoanelor vizate (art. 12–23) și în privința securității, notificării încălcărilor, evaluărilor de impact și consultării prealabile (art. 32–36). Majoritatea cererilor se pot rezolva direct din consolă.
• Punem la dispoziție informațiile necesare pentru a demonstra respectarea art. 28 și permitem audituri conform secțiunii de mai jos.

06Subîmputerniciți

Ne dai o autorizare generală pentru subîmputerniciții listați la codai.ro/ro/subprocessors. Impunem fiecăruia obligații de protecție a datelor echivalente cu acest Acord și rămânem răspunzători față de tine pentru modul în care și le îndeplinesc.

Anunțăm orice adăugare sau înlocuire intenționată cu cel puțin 30 de zile înainte, pe pagina subîmputerniciților și prin e-mail către titularul contului. Te poți opune din motive rezonabile de protecție a datelor în acest termen; dacă nu putem rezolva obiecția, poți înceta partea afectată a Serviciului și primești rambursarea proporțională a sumelor preplătite nefolosite.

07Măsuri de securitate

• Găzduire în UE pe Google Cloud (europe-west1, Belgia); criptare în tranzit (TLS 1.2+) și în repaus; secretele și credențialele furnizorilor gestionate în Cloud KMS / Secret Manager.
• Cheile API stocate doar ca hash; autentificare printr-un serviciu dedicat OpenID Connect, cu passkey-uri și TOTP; revocarea sesiunilor per dispozitiv.
• Acces minim necesar la producție, limitat la personalul autorizat al operatorului; jurnalizarea acțiunilor administrative.
• Izolarea datelor clienților pe cont; plafoane de cheltuieli și limite de rată împotriva abuzului.
• Copii de siguranță ale bazei de date cu recuperare la un moment dat, păstrate 30 de zile; proceduri de recuperare în caz de dezastru testate.
• Program de raportare responsabilă ([email protected]) și actualizarea promptă a dependențelor.

08Încălcări ale securității datelor

Te notificăm fără întârzieri nejustificate și în orice caz în cel mult 72 de ore de la momentul în care am luat cunoștință de o încălcare a securității datelor care îți afectează datele. Notificarea descrie, în măsura cunoscută, natura încălcării, categoriile și numărul aproximativ de persoane vizate și de înregistrări, consecințele probabile și măsurile luate sau propuse. Furnizăm informații suplimentare pe etape, pe măsură ce devin disponibile.

09Ștergere și returnare

Poți exporta datele din consolă oricând. La încetarea Serviciului sau la ștergerea contului, ștergem datele personale prelucrate în numele tău în 30 de zile, inclusiv din backup-uri, cu excepția cazului în care dreptul UE sau cel român ne obligă să le păstrăm; datele păstrate rămân protejate de acest Acord.

10Audituri

La cerere furnizăm informațiile necesare pentru a demonstra conformitatea, inclusiv răspunsuri la chestionare de securitate rezonabile. Dacă acestea nu sunt suficiente sau o autoritate de supraveghere o cere, tu (sau un auditor independent obligat la confidențialitate) poți audita conformitatea noastră o dată pe an, cu notificare scrisă de 30 de zile, în timpul programului de lucru și fără a perturba Serviciul. Fiecare parte își suportă costurile, cu excepția cazului în care auditul relevă o încălcare semnificativă din partea noastră.

11Transferuri internaționale

Prelucrăm datele tale în UE/SEE. Când un subîmputernicit prelucrează date în afara UE/SEE, într-o țară fără decizie de adecvare, transferul este acoperit de Clauzele Contractuale Standard ale Comisiei Europene (Decizia (UE) 2021/914, modulul 3 împuternicit-către-împuternicit) sau de certificarea subîmputernicitului în cadrul EU-US Data Privacy Framework, împreună cu măsuri suplimentare acolo unde este cazul.

Traficul cu cheie proprie (BYOK) merge direct din aplicațiile tale către furnizorul configurat și nu este prelucrat de noi.

12Durată, răspundere și lege

Acest Acord se aplică cât timp prelucrăm date personale în numele tău. Se aplică limitarea răspunderii din Termeni, cu excepția cazurilor în care GDPR prevede altfel. Acordul este guvernat de legea română. Întrebări: [email protected].