Acord de Prelucrare a Datelor (DPA)

Ultima actualizare: 23 februarie 2026

Acest acord defineşte termenii în care SITP procesează datele personale în numele stației ITP.

Conform GDPR Art. 28, orice procesator de date (Data Processor) trebuie să aibă un contract scris cu operatorul de date (Data Controller).

Acceptarea electronică a acestui acord la înregistrare constituie semnătură valabilă.

1. Părțile Contractante

1.1. Operatorul de Date (Data Controller)

Stația ITP înregistrată pe platformă, identificată prin licența RAR și CUI-ul furnizat la înregistrare. Operatorul determină scopurile și mijloacele prelucrării datelor personale ale clienților (proprietari de vehicule).

1.2. Procesatorul de Date (Data Processor)

[COMPANY_NAME]
CUI: [CUI]
Adresă: [REGISTERED_ADDRESS]
Contact DPO: [GDPR_EMAIL]

Procesatorul procesează datele personale în numele Operatorului, conform instrucțiunilor acestuia și în scopul furnizării serviciilor SITP.

2. Obiectul și Durata Acordului

Obiectul: Procesarea datelor personale în scopul furnizării serviciilor platformei SITP (gestionare clienți, programări, rapoarte ITP, alertări SMS/email, statistici).

Durata: Pe toată perioada abonamentului activ + 30 de zile după expirare sau încetare (pentru posibilă reactivare). După această perioadă, toate datele sunt șterse permanent.

3. Categoriile de Date Procesate

3.1. Persoane vizate

  • Proprietari de vehicule (clienții stației ITP)
  • Inspectori tehnici
  • Administratori ai stației ITP

3.2. Tipuri de date personale

  • Date de identificare: nume, prenume
  • Date de contact: telefon, email
  • Date vehicul: număr înmatriculare, VIN, marcă, model, an fabricație
  • Rapoarte ITP: rezultate inspecție, defecte identificate
  • Fotografii tehnice (defecte vehicul)
  • Date facturare: facturi, istoric plăți (nu date card bancar)

4. Scopul Prelucrării

Procesatorul procesează datele exclusiv pentru următoarele scopuri:

  • Gestionarea bazei de date clienți și programări pentru stația ITP
  • Întocmirea rapoartelor de inspecție tehnică și stocarea fotografiilor
  • Trimiterea notificărilor SMS și email către clienți (la comanda stației ITP)
  • Generarea statisticilor și rapoartelor pentru stație
  • Facturare și contabilitate (emitere facturi pentru abonament și SMS)
  • Suport tehnic pentru utilizatori

Procesatorul nu folosește datele pentru scopuri proprii (marketing, analize, vânzare date terților).

5. Obligațiile Procesatorului (SITP)

5.1. Măsuri de securitate (GDPR Art. 32)

Procesatorul implementează măsuri tehnice și organizatorice adecvate:

  • Criptare în tranzit (HTTPS/TLS) și la stocare (bază de date, R2)
  • Parole hash-uite (bcrypt) — nu stocăm parole în clar
  • Control acces bazat pe roluri (administratori vs. inspectori)
  • Izolare multi-tenant (fiecare stație vede doar datele proprii)
  • Backup automat zilnic cu criptare
  • Monitorizare log-uri pentru acces neautorizat

5.2. Confidențialitate

Angajații și colaboratorii Procesatorului care au acces la date personale semnează clauze de confidențialitate și sunt instruiți cu privire la protecția datelor.

5.3. Subprocesori (GDPR Art. 28(2))

Procesatorul poate angaja subprocesori terți (Vercel, Neon, Cloudflare, Stripe, etc.). Lista completă este disponibilă la pagina Subprocesori.

Operatorul este notificat cu 30 de zile înainte de adăugarea unui nou subprocesor. Dacă nu este de acord, Operatorul poate rezilia acordul.

5.4. Asistență pentru drepturile persoanelor vizate (GDPR Art. 28(3)(e))

Procesatorul asistă Operatorul în răspunsul la cererile persoanelor vizate:

  • Drept de acces: Export date disponibil în Setări
  • Drept de rectificare: Operatorul poate modifica date direct din platformă
  • Drept de ștergere: Funcție de ștergere client disponibilă în platformă
  • Drept de portabilitate: Export JSON cu toate datele

5.5. Notificare breach (GDPR Art. 33(2))

În cazul unei breșe de securitate care afectează datele personale, Procesatorul notifică Operatorul în termen de maximum 72 de ore de la descoperire, prin email la adresa administratorului stației.

Notificarea include: natura breșei, categoriile de date afectate, măsurile luate, recomandări pentru Operator.

5.6. Audit

Operatorul poate solicita rapoarte de conformitate sau efectuarea unui audit (cu preaviz de 30 de zile). Costurile auditului sunt suportate de Operator, cu excepția cazului în care auditul identifică neconformități grave ale Procesatorului.

5.7. Ștergerea datelor (GDPR Art. 28(3)(g))

La încetarea contractului (expirare sau anulare abonament), Procesatorul șterge sau returnează (la cerere) toate datele personale în termen de 30 de zile.

Ștergerea include: date din baza de date, fotografii din stocare R2, backup-uri. Doar log-urile de audit sunt păstrate 3 ani pentru conformitate GDPR.

6. Obligațiile Operatorului (Stația ITP)

Operatorul este responsabil pentru:

  • Legalitatea prelucrării: Obținerea consimțământului clienților pentru trimiterea de alertări SMS și utilizarea datelor conform legislației
  • Răspuns la cereri GDPR: Operatorul răspunde cererilor persoanelor vizate (Art. 12-22). Procesatorul oferă instrumente tehnice (export, ștergere), dar Operatorul este responsabilitatea finală
  • Notificare ANSPDCP: În caz de breach, Operatorul trebuie să notifice ANSPDCP (Autoritatea Națională de Supraveghere) în 72 de ore. Procesatorul asistă cu informații, dar Operatorul are obligația legală de notificare
  • Informarea persoanelor vizate: Operatorul informează clienții despre prelucrarea datelor (politica de confidențialitate, consimțământ SMS)

7. Transferuri Internaționale de Date

Majoritatea datelor sunt stocate în Uniunea Europeană (Neon - Germania, Cloudflare R2 - UE, Pusher - Irlanda, SMSO.ro - România).

Unii subprocesori (Vercel, Stripe, Google) pot procesa date în afara UE (SUA). Procesatorul se asigură că acești subprocesori respectă garanțiile GDPR:

  • Clauze Contractuale Standard (SCC) aprobate de Comisia Europeană
  • EU-US Data Privacy Framework (cadrul de adecvare UE-SUA)
  • Certificări echivalente: SOC 2, ISO 27001

8. Încetarea Acordului

Acordul încetează la:

  • Expirarea abonamentului (fără reînnoire)
  • Anularea abonamentului de către Operator
  • Ștergerea contului (solicitată de Operator din Setări)
  • Reziliere pentru neconformitate (30 zile preaviz)

La încetare:

  • Datele sunt păstrate 30 de zile (pentru posibilă reactivare)
  • După 30 de zile, ștergere permanentă automată (cron job)
  • Operatorul poate solicita ștergere imediată (Setări → Șterge Cont)
  • Operatorul poate solicita export înainte de ștergere (Setări → Export Date)

9. Legea Aplicabilă și Jurisdicție

Acest acord se supune:

  • GDPR — Regulamentul UE 2016/679
  • Legea 190/2018 privind protecția datelor cu caracter personal (România)

Eventualele litigii se soluționează pe cale amiabilă sau la instanțele competente din București, România.

10. Contact Data Protection Officer (DPO)

Pentru întrebări legate de acest Acord de Prelucrare a Datelor sau despre conformitatea GDPR:

Contact DPO SITP: [GDPR_EMAIL]

Acest acord este conform cu GDPR Art. 28 și Legea 190/2018.

Versiunea curentă: 2026-02-23-v1