Acest Acord stabilește condițiile în care Datix prelucrează date cu caracter personal în numele clienților săi, conform art. 28 din Regulamentul (UE) 2016/679 („GDPR”). Face parte integrantă din Termenii și condițiile Datix și este acceptat odată cu aceștia, la plasarea unei comenzi. Nu este necesară semnarea separată.
1. Părțile și rolurile lor
Operatorul este clientul Datix care folosește serviciile pentru a stoca sau prelucra date cu caracter personal (de exemplu datele vizitatorilor, clienților sau angajaților săi). Operatorul stabilește scopurile și mijloacele prelucrării.
Persoana împuternicită este Datix Cloud S.R.L., cu sediul în Strada Dinicu Golescu nr. 7, parter, spațiul comercial 3, Sector 1, București, cod poștal 010861, România („Datix”), care prelucrează datele doar în numele Operatorului, pentru furnizarea serviciilor.
Datele de cont, de facturare și de comunicare ale clientului sunt prelucrate de Datix în calitate de operator, conform Politicii de confidențialitate, și nu fac obiectul acestui Acord.
2. Obiectul și durata prelucrării
Datix prelucrează datele în măsura necesară furnizării serviciilor comandate: găzduire web, email business, servere VPS, înregistrare de domenii, serviciile Studio Datix (realizarea, optimizarea, securizarea, migrarea și administrarea website-urilor, inclusiv a celor găzduite la alți furnizori) și serviciile conexe. Prelucrarea constă în principal în stocarea, găzduirea, transmiterea, copierea de siguranță și, la cerere, restaurarea datelor. Detaliile sunt descrise în Anexa 1.
Acordul se aplică pe toată durata furnizării serviciilor și până la ștergerea datelor conform secțiunii 12.
3. Prelucrarea conform instrucțiunilor
Datix prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului. Instrucțiunile sunt date prin: acești Termeni și acest Acord; configurările făcute de Operator în serviciu și în zona de client; solicitările trimise prin tichet. Datix nu folosește datele Operatorului în scopuri proprii, nu le vinde și nu le analizează în scop comercial.
Datix poate prelucra datele fără instrucțiuni doar dacă legislația Uniunii sau a României o impune; în acest caz îl informează pe Operator înainte de prelucrare, cu excepția situației în care legea interzice informarea. Datix îl anunță imediat pe Operator dacă o instrucțiune încalcă, în opinia sa, GDPR sau alte dispoziții privind protecția datelor.
4. Confidențialitate
Datix se asigură că persoanele autorizate să aibă acces la date s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate. Accesul la datele Operatorului se face numai atunci când este necesar pentru furnizarea serviciilor, pentru suport tehnic solicitat de Operator, pentru securitate sau pentru respectarea unei obligații legale.
5. Securitatea prelucrării
Ținând cont de stadiul actual al tehnologiei, de costuri și de riscurile pentru persoanele vizate, Datix aplică măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului, conform art. 32 GDPR. Măsurile sunt descrise în Anexa 2 și pot fi actualizate, cu condiția ca nivelul de protecție să nu scadă.
Securitatea datelor depinde și de Operator: acesta răspunde de parolele folosite, de actualizarea aplicațiilor instalate și, în cazul serverelor VPS self-managed, de securitatea sistemului de operare și a software-ului administrat de el.
6. Persoane împuternicite secundare
Operatorul acordă Datix o autorizare generală de a recurge la persoane împuternicite secundare pentru furnizarea serviciilor. Lista actuală se află în Anexa 3.
Datix îl informează pe Operator despre orice adăugare sau înlocuire a unei persoane împuternicite secundare prin actualizarea acestei pagini și prin email, cu cel puțin 30 de zile înainte. Operatorul se poate opune în acest termen, pentru motive întemeiate legate de protecția datelor; dacă părțile nu găsesc o soluție, Operatorul poate înceta serviciile afectate, cu restituirea proporțională a perioadei plătite și neutilizate.
Datix impune fiecărei persoane împuternicite secundare, prin contract, obligații de protecție a datelor cel puțin echivalente cu cele din acest Acord și rămâne pe deplin răspunzătoare față de Operator pentru îndeplinirea acestor obligații.
7. Locul prelucrării și transferuri
Datele din serviciile de găzduire web sunt stocate pe servere din România. Serviciile de email business și VPS se bazează pe furnizori de infrastructură din Uniunea Europeană. Datix nu transferă datele Operatorului în afara Spațiului Economic European, cu excepția cazurilor în care acest lucru este necesar pentru un serviciu cerut de Operator (de exemplu înregistrarea unui domeniu la un registru din afara SEE) și numai cu garanțiile prevăzute de capitolul V din GDPR.
Când Operatorul îi cere asistentului DAX o operațiune în serviciile sale, fragmentele de date necesare acelei operațiuni (de exemplu mesaje de eroare, jurnale sau setări) pot fi prelucrate de furnizorii de modele de inteligență artificială din Anexa 3, inclusiv în afara SEE. Transferul se face în baza cadrului UE–SUA privind protecția datelor sau a clauzelor contractuale standard aprobate de Comisia Europeană, iar furnizorii nu folosesc datele pentru antrenarea modelelor.
8. Asistență pentru operator
Ținând cont de natura prelucrării, Datix îl sprijină pe Operator, prin măsuri tehnice și organizatorice adecvate, în îndeplinirea obligației de a răspunde cererilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). Majoritatea acestor operațiuni pot fi efectuate direct de Operator, din panoul de control al serviciului. Dacă Datix primește o cerere direct de la o persoană vizată, o transmite Operatorului fără întârziere și nu îi răspunde direct, dacă nu este autorizată de Operator.
Datix îl sprijină de asemenea pe Operator, pe baza informațiilor de care dispune, în respectarea obligațiilor prevăzute la art. 32–36 GDPR (securitate, notificarea încălcărilor, evaluarea impactului, consultarea prealabilă). Asistența care depășește funcțiile obișnuite ale serviciilor poate fi taxată la un cost rezonabil, comunicat în prealabil.
9. Notificarea încălcărilor de securitate
Datix îl notifică pe Operator fără întârzieri nejustificate, în cel mult 48 de ore de la momentul în care a luat cunoștință, despre orice încălcare a securității datelor cu caracter personal care afectează datele Operatorului. Notificarea se trimite pe adresa de email din contul clientului și cuprinde, în măsura în care sunt cunoscute: natura încălcării, categoriile și numărul aproximativ de persoane vizate și de înregistrări afectate, consecințele probabile, măsurile luate sau propuse și o persoană de contact. Informațiile care nu sunt disponibile inițial se transmit pe măsură ce devin cunoscute.
Datix ia imediat măsurile necesare pentru limitarea efectelor încălcării. Notificarea nu reprezintă o recunoaștere a vinovăției.
10. Informații și audit
Datix pune la dispoziția Operatorului, la cerere, informațiile necesare pentru a demonstra respectarea obligațiilor din art. 28 GDPR. Operatorul poate efectua sau poate mandata un auditor independent, obligat la confidențialitate, să efectueze un audit, cu o notificare prealabilă de cel puțin 30 de zile, cel mult o dată pe an (cu excepția cazului unei încălcări de securitate sau a unei solicitări a autorității de supraveghere), în timpul programului de lucru și fără a afecta securitatea sau datele altor clienți. Costurile auditului sunt suportate de Operator.
11. Obligațiile clientului
Operatorul garantează că: are un temei legal pentru prelucrarea datelor pe care le încarcă în servicii; a informat persoanele vizate conform art. 13–14 GDPR; instrucțiunile sale respectă legislația privind protecția datelor. Operatorul decide ce date stochează și cum sunt protejate în aplicațiile sale și este responsabil pentru propriile copii de rezervă.
12. Ștergerea sau returnarea datelor
Până la încetarea serviciului, Operatorul își poate descărca oricând datele, folosind instrumentele din panoul de control (manager de fișiere, FTP/SFTP, exportul bazelor de date, IMAP). După încetarea serviciului, datele sunt șterse definitiv în cel mult 30 de zile, iar copiile din backup sunt eliminate la expirarea ciclului normal de rotație, de cel mult 30 de zile. Datix păstrează datele mai mult timp numai dacă legislația Uniunii sau a României o impune.
13. Răspundere și dispoziții finale
Răspunderea părților în legătură cu acest Acord este cea prevăzută de art. 82 GDPR și de limitările din Termenii și condițiile Datix, în măsura permisă de lege. În caz de contradicție între acest Acord și Termenii și condițiile Datix în privința protecției datelor, prevalează acest Acord.
Acordul este guvernat de legea română. Autoritatea de supraveghere competentă pentru Datix este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (dataprotection.ro). Modificările acestui Acord se comunică la fel ca modificările Termenilor și condițiilor.
Anexa 1 – Descrierea prelucrării
Categorii de persoane vizate: stabilite de Operator; de regulă vizitatorii, utilizatorii, clienții, angajații și partenerii Operatorului, precum și persoanele care corespondează cu adresele de email ale acestuia.
Categorii de date: stabilite de Operator; de regulă date de identificare și contact, conținutul mesajelor email, conturi de utilizator, date de comenzi, conținutul website-urilor și al bazelor de date, adrese IP și jurnale tehnice (loguri) generate de servere. Operatorul nu trebuie să stocheze categorii speciale de date (art. 9 GDPR) fără măsuri suplimentare de protecție stabilite de el.
Natura prelucrării: găzduire și stocare, transmitere prin rețea, livrare și primire email, filtrare antispam și antivirus, copii de siguranță și restaurare, jurnalizare tehnică pentru securitate și depanare, suport tehnic la cerere, precum și operațiunile executate de asistentul DAX la cererea Operatorului (diagnosticare, modificări de configurare, reparații, migrare de la alt furnizor și monitorizare).
Scop: furnizarea serviciilor comandate de Operator.
Durata: pe durata serviciilor, plus perioada de ștergere din secțiunea 12.
Anexa 2 – Măsuri tehnice și organizatorice
- Servere găzduite în centre de date profesionale, cu control al accesului fizic, alimentare redundantă și monitorizare permanentă.
- Criptarea traficului prin TLS (certificate SSL pentru website-uri, conexiuni securizate IMAP/SMTP, SFTP și HTTPS pentru panourile de administrare).
- Izolarea conturilor de găzduire între ele și izolarea mașinilor virtuale.
- Protecție împotriva programelor malițioase și a atacurilor asupra aplicațiilor web, firewall și protecție Anti-DDoS.
- Acces administrativ restricționat, pe principiul privilegiului minim, cu adrese de administrare care nu sunt publice.
- Actualizarea periodică a sistemelor și aplicarea patch-urilor de securitate pe infrastructura administrată de Datix.
- Copii de siguranță automate, stocate separat de datele de producție, cu perioadă de păstrare limitată.
- Jurnalizarea accesului și a evenimentelor de securitate, cu perioadă de păstrare limitată.
- Pentru asistentul DAX: acces doar la serviciile clientului autentificat, copie de siguranță înaintea fiecărei modificări, confirmare explicită pentru operațiunile greu de anulat, jurnal al operațiunilor, datele de acces pentru migrare păstrate criptat și șterse la final, fără transmiterea parolelor către furnizorii de modele AI.
- Obligații de confidențialitate pentru personalul și colaboratorii cu acces la date; procedură internă de gestionare a incidentelor.
Anexa 3 – Persoane împuternicite secundare
Datix folosește următoarele categorii de persoane împuternicite secundare:
| Categorie | Rol | Locația datelor |
|---|---|---|
| Furnizorul infrastructurii de găzduire web | Servere și centru de date pentru găzduirea web | România |
| Furnizorul serviciului de email business | Stocarea, trimiterea și primirea mesajelor | Uniunea Europeană |
| Furnizorul infrastructurii pentru servere VPS | Servere și centru de date pentru VPS | Uniunea Europeană |
| Registrarul acreditat de domenii | Înregistrarea și administrarea domeniilor; datele titularului ajung la registrul extensiei (de exemplu ROTLD pentru .ro, EURid pentru .eu) | România / registrul extensiei |
| Furnizorii de modele de inteligență artificială pentru asistentul DAX | Generarea răspunsurilor și a pașilor pentru operațiunile cerute de Operator; primesc doar fragmentele necesare, fără parole, și nu le folosesc pentru antrenare | Uniunea Europeană / Statele Unite (cadrul UE–SUA sau clauze contractuale standard) |
Lista nominală a persoanelor împuternicite secundare îți este pusă la dispoziție la cerere, la contact@datix.ro. Te anunțăm înainte de orice adăugare sau înlocuire, conform secțiunii 6.
La înregistrarea unui domeniu cu o extensie administrată în afara Spațiului Economic European (de exemplu .com), datele titularului ajung la registrul acelei extensii, pentru că altfel domeniul nu poate fi înregistrat. Transferul se face în baza art. 49 alin. (1) lit. b) GDPR sau a garanțiilor oferite de registru.