Acord privind prelucrarea datelor

Ultima actualizare: 31 martie 2026

Prezentul act adițional privind prelucrarea datelor („DPA”) face parte din Termenii și condițiile sau din alt acord scris („Contractul”) dintre OPTICOMM AI S.R.L. („OptiComm”, „Persoana împuternicită”) și entitatea client („Clientul”, „Operatorul”) pentru furnizarea Serviciilor. Acesta reglementează prelucrarea datelor cu caracter personal de către OptiComm în numele Clientului, conform articolului 28 din RGPD.

În caz de conflict între DPA și Contract privind prelucrarea datelor cu caracter personal, prevalează DPA.

1. Definiții

Termenii „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită de operator”, „persoană vizată”, „încălcarea securității datelor cu caracter personal” și „autoritate de supraveghere” au sensul din RGPD. „Legislația privind protecția datelor” înseamnă RGPD, Legea nr. 190/2018 și celelalte legi aplicabile. „Persoană împuternicită secundară” înseamnă orice persoană împuternicită angajată de OptiComm pentru prelucrarea datelor cu caracter personal.

2. Roluri și domeniu de aplicare

2.1 Clientul este operatorul, sau persoana împuternicită care acționează în numele propriilor operatori, iar OptiComm este persoana împuternicită pentru datele cu caracter personal incluse în Datele Clientului („Datele personale ale Clientului”). Sunt incluse datele preluate din platformele comerciale conectate și datele de contact, înregistrările audio și transcrierile persoanelor contactate de agenții vocali AI.

2.2 OptiComm prelucrează Datele personale ale Clientului numai pe baza instrucțiunilor documentate ale Clientului, inclusiv cele din Contract și DPA, cu excepția obligațiilor impuse de dreptul UE sau al unui stat membru; în acest caz, informează Clientul, dacă legea nu interzice informarea.

2.3 Obiectul, durata, natura, scopul, tipurile de date și categoriile de persoane vizate sunt descrise în Anexa I.

3. Obligațiile OptiComm

OptiComm se obligă:

a) să prelucreze Datele personale ale Clientului numai conform instrucțiunilor documentate ale acestuia;

b) să asigure obligații de confidențialitate pentru persoanele autorizate să prelucreze datele;

c) să implementeze măsurile tehnice și organizatorice din Anexa II;

d) să respecte condițiile de angajare a persoanelor împuternicite secundare (secțiunea 5);

e) ținând seama de natura prelucrării, să asiste Clientul prin măsuri adecvate, în măsura posibilului, pentru soluționarea cererilor persoanelor vizate (secțiunea 6);

f) să asiste Clientul în respectarea articolelor 32-36 din RGPD privind securitatea, notificarea încălcărilor, evaluările de impact și consultarea prealabilă, ținând seama de natura prelucrării și informațiile disponibile;

g) la alegerea Clientului, să șteargă sau să returneze toate Datele personale ale Clientului după încetarea furnizării Serviciilor și să șteargă copiile existente, dacă legea nu impune păstrarea (secțiunea 11);

h) să pună la dispoziție informațiile necesare demonstrării conformității cu articolul 28 și să permită și să contribuie la audituri (secțiunea 7); și

i) să informeze imediat Clientul dacă, în opinia sa, o instrucțiune încalcă Legislația privind protecția datelor.

4. Obligațiile Clientului

Clientul garantează că: (a) are un temei juridic valabil pentru prelucrare și transmiterea Datelor personale ale Clientului către OptiComm, inclusiv pentru profilare/predicție și înregistrarea apelurilor de către agenții vocali; (b) instrucțiunile respectă Legislația privind protecția datelor; și (c) a furnizat toate informările și a obținut toate consimțămintele necesare, inclusiv privind interacțiunea cu AI și înregistrarea apelurilor, după caz.

5. Persoane împuternicite secundare

5.1 Clientul acordă autorizație generală pentru angajarea de către OptiComm a persoanelor împuternicite secundare. Lista actualizată este la Registrul persoanelor împuternicite secundare și în Anexa III.

5.2 OptiComm impune fiecărui furnizor obligații de protecție a datelor cel puțin la fel de protectoare ca în DPA și rămâne pe deplin răspunzătoare pentru îndeplinirea acestora.

5.3 OptiComm notifică adăugarea sau înlocuirea unui furnizor cu cel puțin treizeci (30) de zile înainte, de exemplu prin actualizarea listei și/sau e-mail. Clientul se poate opune în acest termen din motive rezonabile privind protecția datelor. Părțile vor încerca cu bună-credință soluționarea opoziției; dacă nu reușesc, Clientul poate înceta Serviciile afectate.

6. Drepturile persoanelor vizate

Ținând seama de natura prelucrării, OptiComm asistă Clientul prin măsuri tehnice și organizatorice adecvate, în măsura posibilului, pentru a răspunde cererilor de exercitare a drepturilor din RGPD. Dacă primește direct o cerere privind Datele personale ale Clientului, o transmite prompt Clientului, cu excepția interdicțiilor legale, și răspunde numai la instrucțiunile acestuia.

7. Audituri

7.1 OptiComm pune la dispoziție informațiile necesare demonstrării conformității cu DPA, inclusiv certificări și rapoarte de audit independente actuale, precum certificatul ISO/IEC 27001 și un rezumat al Declarației de aplicabilitate.

7.2 Clientul poate efectua un audit cel mult o dată pe an și suplimentar după o încălcare a securității datelor sau la cererea autorității de supraveghere, cu notificare prealabilă rezonabilă, în programul de lucru, sub obligație de confidențialitate și fără compromiterea securității altor clienți. Părțile pot conveni utilizarea unui auditor independent. Clientul suportă propriile costuri de audit.

8. Securitate

OptiComm implementează măsuri tehnice și organizatorice adecvate riscului, conform Anexei II, susținute de sistemele sale de management certificate, inclusiv ISO/IEC 27001 și ISO/IEC 27018, și aliniate cerințelor NIS2 și, după caz, DORA.

9. Încălcări ale securității datelor cu caracter personal

OptiComm notifică Clientul fără întârzieri nejustificate și, în orice caz, în cel mult patruzeci și opt (48) de ore de la luarea la cunoștință a unei încălcări care afectează Datele personale ale Clientului și furnizează informațiile rezonabil necesare îndeplinirii obligațiilor Clientului din articolele 33 și 34 din RGPD.

10. Transferuri internaționale

10.1 OptiComm nu transferă Datele personale ale Clientului în afara SEE fără garanții adecvate conform capitolului V din RGPD.

10.2 Dacă sunt aplicabile Clauzele contractuale standard (SCC) ale Comisiei Europene, aprobate prin Decizia de punere în aplicare (UE) 2021/914, acestea sunt încorporate prin trimitere în DPA, cu modulele relevante completate conform Anexei IV, și completate cu măsuri suplimentare dacă evaluarea impactului transferului o impune. Aceasta privește anumiți furnizori AI/LLM și vocali care pot prelucra date în afara SEE.

11. Ștergerea și returnarea datelor

La încetarea sau expirarea Serviciilor, OptiComm returnează sau șterge, la alegerea Clientului, Datele personale ale Clientului în treizeci (30) de zile și șterge copiile existente, dacă dreptul UE sau al unui stat membru nu impune păstrarea.

12. Răspundere și durată

12.1 Răspunderea fiecărei părți conform DPA este supusă limitărilor și excluderilor din Contract.

12.2 DPA produce efecte de la data intrării în vigoare și continuă cât timp OptiComm prelucrează Datele personale ale Clientului în temeiul Contractului.

13. Legea aplicabilă

DPA este guvernat de dreptul român și, dacă SCC sunt aplicabile, de legea desemnată în acestea.

Anexa I, Detalii privind prelucrarea

  • Obiect: Furnizarea Serviciilor OptiComm.AI, respectiv predicția nevoilor, tabloul de bord Sales Intelligence și agenții vocali AI, conform Contractului.
  • Durată: Durata Contractului și orice perioadă legală de păstrare.
  • Natură și scop: Găzduire, stocare, analiză, predicție/profilare, gestionarea apelurilor, inclusiv înregistrare și transcriere, și prelucrarea Datelor Clientului pentru furnizarea, securizarea, susținerea și întreținerea Serviciilor.
  • Tipuri de date: Date de contact (nume, telefon, e-mail), identificatori de companie/cont, istoricul comenzilor și tranzacțiilor, date de utilizare și, pentru agenții vocali, înregistrări audio și transcrieri. Clientul controlează datele transmise.
  • Persoane vizate: Angajații și Utilizatorii autorizați ai Clientului; clienții, potențialii clienți și contactele acestuia, inclusiv persoanele contactate de agenții vocali.
  • Categorii speciale: Nu sunt prevăzute. Clientul nu transmite asemenea date fără justificare legală și acord scris.

Anexa II, Măsuri tehnice și organizatorice (rezumat)

  • Guvernanța securității informației certificată ISO/IEC 27001; protecția datelor personale în cloud conform ISO/IEC 27018; guvernanța AI conform ISO/IEC 42001.
  • Criptarea datelor în tranzit (TLS) și în repaus.
  • Acces bazat pe roluri, privilegii minime și autentificare multifactor pentru accesul administrativ.
  • Securitatea rețelei: firewall-uri, segmentare, detectarea/prevenirea intruziunilor.
  • Jurnalizare, monitorizare, alertare și gestionarea incidentelor și evenimentelor de securitate.
  • Ciclu securizat de dezvoltare software și gestionarea modificărilor.
  • Gestionarea vulnerabilităților și teste periodice de penetrare.
  • Copii de siguranță, recuperare în caz de dezastru și continuitatea activității (ISO 22301); managementul serviciilor IT (ISO/IEC 20000-1).
  • Obligații de confidențialitate și instruirea personalului privind securitatea.
  • Verificarea prealabilă a furnizorilor și persoanelor împuternicite secundare.
  • Proceduri de minimizare, păstrare și ștergere securizată a datelor.
  • Răspuns la incidente și notificarea încălcărilor, aliniate NIS2 și, după caz, DORA.

Anexa III, Persoane împuternicite secundare autorizate

Consultați registrul separat, actualizat.

Anexa IV, Configurarea Clauzelor contractuale standard

  • Modul: Modulul doi (operator către persoană împuternicită); modulul trei (persoană împuternicită către persoană împuternicită) când Clientul este el însuși persoană împuternicită.
  • Clauza 7 (aderare): Inclusă.
  • Clauza 9 (persoane împuternicite secundare): Opțiunea 2, autorizație generală scrisă; notificare cu 30 de zile înainte.
  • Clauza 11 (căi de atac): Soluționarea independentă facultativă a litigiilor nu este inclusă.
  • Clauza 17 (legea aplicabilă): Dreptul român.
  • Clauza 18 (instanțe): Instanțele din București, România.
  • Anexele SCC: Se utilizează Anexele I și II ale prezentului DPA.
Înapoi sus