GDPR & DPA

1. Rezumat și arhitectura conformității

AnalizaDosar.ro este construit pe principiul „privacy by design and by default" (art. 25 GDPR). În tabelul de mai jos prezentăm, pe scurt, modul în care platforma se aliniază la principiile fundamentale ale Regulamentului.

2. Părțile acordului

Procesatorul

Operatorul

Beneficiarul (instituția) — identificat în contractul individual de abonament, cu datele de identificare furnizate la crearea contului instituțional.

3. Roluri și responsabilități

• Operator (Beneficiarul): determină scopurile și mijloacele prelucrării datelor cuprinse în documentele încărcate. Răspunde pentru legitimitatea colectării inițiale, pentru informarea persoanelor vizate și pentru exercitarea drepturilor acestora.
• Procesator (CyberSkill): prelucrează datele exclusiv conform instrucțiunilor documentate ale Operatorului, exprimate prin acceptarea acestui DPA și prin utilizarea efectivă a Platformei.

Pentru datele despre vizitatorii site-ului public și clienții comerciali ai CyberSkill, CyberSkill acționează ca operator independent — vezi Politica de confidențialitate.

4. Obiectul, durata și natura prelucrării

5. Instrucțiuni și limitări

Procesatorul prelucrează datele exclusiv pe baza instrucțiunilor documentate ale Operatorului. Constituie instrucțiuni:

• prevederile prezentului DPA;
• contractul de abonament și anexele lui;
• setările configurate de Operator în Platformă;
• solicitările scrise transmise prin canalele oficiale (suport, email DPO).

Procesatorul nu va folosi datele în alte scopuri (ex. publicitate, vânzare, antrenare a unor modele AI proprii sau ale unor terți), decât cu consimțământul scris, expres și separat al Operatorului. Procesatorul informează Operatorul în maximum 5 zile lucrătoare dacă apreciază că o instrucțiune încalcă GDPR sau alte prevederi din legislația UE/română privind protecția datelor.

6. Sub-procesatori autorizați

Lista de sub-procesatori este redusă intenționat la trei furnizori, toți localizați în Uniunea Europeană:

Procesatorul:

• încheie cu fiecare sub-procesator un contract care impune obligații cel puțin echivalente celor din prezentul DPA;
• notifică Operatorul cu minimum 30 zile înainte de adăugarea sau înlocuirea unui sub-procesator;
• permite Operatorului să se opună motivat; în caz de imposibilitate de soluționare, Operatorul poate înceta contractul, fără penalități.

7. Măsuri tehnice și organizatorice (TOMs)

Conform art. 32 GDPR, Procesatorul aplică măsuri adecvate riscului:

Tehnice

• Hosting integral în UE, pe infrastructura Chroot.ro (România) — data center cu certificări de securitate aliniate la ISO 27001;
• Motor AI local, decuplat de internetul public — fără apeluri către LLM-uri externe (OpenAI, Anthropic etc.); ingestia legislativă zilnică este unidirecțională, în reverse-proxy controlat;
• Criptare în repaus (AES-256) și în tranzit (TLS 1.3);
• Autentificare multi-factor obligatorie (TOTP / WebAuthn);
• Segregarea datelor pe tenant la nivel de aplicație și de schemă DB;
• Anonimizare automată a datelor personale înainte de transmiterea către motorul AI;
• Backup zilnic, criptat, cu retenție 30 zile;
• Audit trail integral 24+ luni;
• Sistem de detecție a intruziunilor și monitorizare 24/7;
• Patch management automat, scanare de vulnerabilități periodică.

Organizatorice

• Politică internă de protecție a datelor și de securitate informatică;
• Acord de confidențialitate (NDA) semnat de toți angajații cu acces la date;
• Acces minim necesar (least privilege), revizuit trimestrial;
• Training anual GDPR pentru personalul cu acces la date;
• Procedură formală de management al incidentelor;
• DPO desemnat și înregistrat la ANSPDCP (după caz);
• Registrul prelucrărilor (art. 30 GDPR) menținut și actualizat.

8. Incidente de securitate

În cazul unei breșe de securitate ce poate afecta datele Operatorului, Procesatorul:

1. notifică Operatorul fără întârziere nejustificată, în maximum 72 ore de la luarea la cunoștință;
2. furnizează: natura incidentului, categoriile și numărul aproximativ de persoane vizate, consecințele probabile, măsurile luate sau propuse;
3. asistă Operatorul în notificarea către ANSPDCP și, dacă este cazul, către persoanele vizate (art. 33-34 GDPR);
4. păstrează un registru intern al tuturor incidentelor.

Canalul de raportare: legal@analizadosar.ro (24/7) și prin pagina .well-known/security.txt.

9. Asistență pentru Operator

Procesatorul asistă Operatorul, în limita rezonabilă, în îndeplinirea obligațiilor sale GDPR:

• răspunsul la cererile persoanelor vizate (art. 12-22);
• asigurarea securității prelucrării (art. 32);
• notificarea breșelor (art. 33-34);
• evaluările de impact (DPIA, art. 35);
• consultarea prealabilă (art. 36).

Asistența peste activitățile standard incluse în abonament poate fi facturată separat, la tarifele de listă comunicate.

10. Transferuri internaționale

Toate datele Operatorului rămân pe teritoriul Uniunii Europene, distribuite între cei trei sub-procesatori (Chroot.ro — RO, Stripe — IE, OBLIO — RO). Procesatorul nu efectuează transferuri către țări terțe în afara SEE.

Dacă, în viitor, va fi nevoie de un sub-procesator în afara UE, transferul se va realiza exclusiv pe baza unuia dintre mecanismele art. 44-49 GDPR (decizie de adecvare, Clauze Contractuale Standard 2021/914, scheme certificate gen Data Privacy Framework), însoțit de evaluare TIA și notificat Operatorului în prealabil cu minimum 30 zile.

11. Audit și verificare

Operatorul are dreptul de a verifica respectarea prezentului DPA. Procesatorul:

• pune la dispoziția Operatorului toate informațiile necesare;
• permite și contribuie la audituri rezonabile, cu un preaviz de 30 zile lucrătoare, în timpul programului de lucru, fără să afecteze desfășurarea activității;
• poate furniza, în prealabil, rapoarte de audit independente (ISO 27001, SOC 2 etc.) pentru acoperirea obligației.

Costurile auditurilor inițiate de Operator (fără indicii de neconformitate) sunt suportate de Operator.

12. Durată și ștergere la încetare

La încetarea contractului, la alegerea Operatorului, Procesatorul:

• furnizează un export complet al datelor în format machine-readable (JSON / CSV) în maximum 15 zile lucrătoare; și/sau
• șterge ireversibil datele Operatorului din toate sistemele active în maximum 90 zile de la încetare;
• șterge backup-urile criptate care conțin datele în maximum 30 zile suplimentare (după ciclul natural de retenție);
• furnizează, la cerere, un certificat scris de ștergere.

Excepție: datele necesare pentru îndeplinirea obligațiilor legale (ex. facturare, audit) se păstrează strict pe durata legală minimă.

13. Drepturile persoanelor vizate

Cererile primite direct de Procesator de la persoane vizate ale Operatorului sunt redirecționate fără întârziere către Operator. Procesatorul oferă suport tehnic pentru identificarea, exportul, rectificarea sau ștergerea datelor relevante, conform sect. 9.

Pentru cererile referitoare la datele proprii ale CyberSkill (vizitatori site, clienți comerciali), procesul este descris în Politica de confidențialitate, sect. 9.

14. Descarcă DPA semnabil

Document generat de CYBERSKILL S.R.L., CUI 33007390, J2021005758239, Str. Nerva Traian 27-33, București, Sector 3. Pentru o copie semnată în format PDF a oricărui document legal, scrie la legal@analizadosar.ro.