Acord de prelucrare a datelor (DPA)

APLICABILITATE

Acest Acord de prelucrare a datelor („DPA") face parte integrantă din Termenii și Condițiile Wennov Connect și se aplică automat oricărui client care folosește platforma pentru a prelucra date cu caracter personal ale propriilor contacte. Nu este necesară semnarea separată pentru ca prevederile să producă efecte; pentru un exemplar semnat olograf sau electronic, scrieți la office@wennov.ro.

În acest DPA: „Operatorul" este clientul; „Persoana împuternicită" este Glo Wennov SRL, societatea care operează platforma Wennov Connect; „Datele Clientului" sunt datele cu caracter personal pe care Operatorul le încarcă sau le generează prin platformă.

1. OBIECTUL, DURATA ȘI NATURA PRELUCRĂRII

Obiect: furnizarea platformei de comunicare omnichannel. Durata: pe toată durata contractului, plus perioadele de retenție din secțiunea 8. Natura și scopul: stocarea, organizarea, segmentarea, transmiterea și raportarea comunicărilor inițiate de Operator.

Categorii de persoane vizate: contactele Operatorului (clienți, prospecți, abonați) și utilizatorii contului Operatorului.

Categorii de date: nume, număr de telefon, adresă de email, etichete și câmpuri personalizate definite de Operator, starea consimțământului și a dezabonării, conținutul mesajelor trimise și primite, metadate de livrare și interacțiune.

Operatorul nu trebuie să încarce categorii speciale de date (Art. 9 GDPR) sau date privind condamnări penale. Platforma nu este configurată pentru astfel de date, iar Operatorul răspunde pentru încărcarea lor.

2. INSTRUCȚIUNILE OPERATORULUI

Prelucrăm Datele Clientului exclusiv pe baza instrucțiunilor documentate ale Operatorului. Utilizarea platformei și configurările efectuate în interfață constituie instrucțiuni documentate. Dacă o instrucțiune ne pare că încalcă GDPR sau legislația română, vă informăm fără întârziere și putem suspenda executarea ei.

3. CONFIDENȚIALITATE

Personalul nostru cu acces la Datele Clientului este obligat contractual la confidențialitate și beneficiază de instruire privind protecția datelor. Accesul este acordat pe principiul necesității de a cunoaște.

4. MĂSURI DE SECURITATE (ART. 32)

Aplicăm: criptare în tranzit (TLS); criptare la nivel de disc a infrastructurii de stocare; criptare la nivel de aplicație (AES-256) pentru credențialele furnizorilor, parolele SMTP și cheile private DKIM; parole stocate ca hash; autentificare în doi pași, cu posibilitatea impunerii pentru rolurile privilegiate; liste de IP-uri permise; chei API cu domeniu de acces limitat, expirare și rotire; jurnalizare de audit; limitarea ratei cererilor; separarea logică a datelor între clienți (multi-tenancy); backup-uri periodice și proceduri de restaurare testate.

5. SUBPROCESATORI

Operatorul autorizează în general folosirea subprocesatorilor enumerați în secțiunea 5 a Politicii de confidențialitate (/privacy), care include categoria, scopul și localizarea fiecăruia. Impunem fiecărui subprocesator obligații de protecție a datelor cel puțin echivalente cu cele din prezentul DPA și rămânem integral răspunzători față de Operator pentru activitatea acestora.

Anunțăm Operatorul cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui subprocesator. Operatorul se poate opune motivat în acest interval; dacă nu identificăm o soluție rezonabilă, Operatorul poate rezilia serviciile afectate fără penalități.

6. TRANSFERURI INTERNAȚIONALE

Datele principale sunt stocate pe infrastructură din UE/SEE. Anumiți subprocesatori prelucrează date în afara SEE (în special Statele Unite). Aceste transferuri se realizează pe baza Clauzelor Contractuale Standard ale Comisiei Europene, a certificării EU-US Data Privacy Framework acolo unde este aplicabilă, și cu măsuri suplimentare tehnice și organizatorice.

7. ASISTENȚĂ PENTRU DREPTURILE PERSOANELOR VIZATE

Platforma pune la dispoziția Operatorului instrumente pentru a răspunde singur solicitărilor: căutare și export de contacte, editare, ștergere, gestionarea dezabonărilor și export de date. Dacă o persoană vizată ni se adresează direct, nu răspundem în locul Operatorului: transmitem solicitarea Operatorului fără întârzieri nejustificate și îl asistăm, în limita a ceea ce este rezonabil, în soluționarea ei.

8. ȘTERGEREA ȘI RESTITUIREA DATELOR

În timpul contractului, Operatorul poate exporta sau șterge datele oricând din platformă. La încetarea contractului, Datele Clientului sunt șterse în termen de 30 de zile, cu excepția: (a) datelor pe care legea ne obligă să le păstrăm – în special documentele de facturare, 10 ani; (b) copiilor din backup-uri, care se suprascriu în ciclul normal de rotație.

Perioadele de retenție operaționale aplicate automat (mesaje de campanie 60 de zile, mesaje individuale 30 de zile, evidența trimiterilor 60 de zile, jurnale de audit 365 de zile, restul în secțiunea 7 din Politica de confidențialitate) se aplică pe toată durata contractului. ATENȚIE: dacă aveți nevoie de dovezi ale trimiterilor pentru perioade mai lungi, exportați