Acord de prelucrare a datelor (DPA)

1. Părțile și rolurile

Operator: organizația clientă (comerciantul care folosește platforma). Persoană împuternicită: ITERIO S.R.L., CUI 47926190, Ocna Mureș, județul Alba, România.

Clientul decide ce date conectează și ce materiale generează; noi le prelucrăm doar pe baza instrucțiunilor lui, care sunt date prin folosirea platformei și prin contractul semnat.

2. Obiectul, durata și natura prelucrării

Obiect: furnizarea platformei — analiza reclamelor, semnale de scalare, calcul de profit, cercetare de piață, generarea de reclame video și pagini de produs.

Durata: pe durata contractului, plus perioadele de ștergere de la secțiunea 6.

Categorii de persoane vizate: utilizatorii platformei din partea clientului (nume, e-mail, jurnal de acțiuni) și, indirect, persoanele care apar în materialele încărcate de client. Din comenzile Shopify NU preluăm date de identificare ale cumpărătorilor.

3. Obligațiile noastre

Prelucrăm datele doar pe baza instrucțiunilor documentate ale clientului; ținem la confidențialitate persoanele cu acces; aplicăm măsuri tehnice și organizatorice adecvate (criptare în repaus a secretelor, izolare per organizație la nivel de bază de date, jurnalizarea accesului intern, backup zilnic cu probă lunară de restaurare).

Asistăm clientul la cererile persoanelor vizate și la evaluările de impact, în limita a ce ne poate cere rezonabil un operator.

Anunțăm clientul fără întârziere nejustificată dacă aflăm de o încălcare a securității care îi privește datele.

4. Subprocesatori

Clientul autorizează general subprocesatorii de mai jos. Îi anunțăm înainte de a adăuga sau înlocui unul, iar clientul poate obiecta motivat.

Cei marcați „la alegerea clientului” intră în joc doar dacă clientul conectează contul respectiv sau își pune propria cheie (BYOK); pe acele conturi, relația contractuală cu furnizorul e a clientului.

• Vercel Inc. — găzduirea aplicației web și a API-ului · UE/SUA
• Neon Inc. — baza de date (PostgreSQL gestionat) · UE (Frankfurt)
• Cloudflare, Inc. (R2) — stocarea fișierelor: imagini, clipuri, montaje · UE/global
• Hetzner Online GmbH — serverul de randare video și oglinda de backup · Germania
• Resend, Inc. — e-mailuri tranzacționale și alerte · UE/SUA
• Functional Software, Inc. (Sentry) — erori tehnice și urme de execuție · UE
• Anthropic PBC — modele de limbaj pentru scripturi, analize și recenzii · SUA · la alegerea clientului
• OpenAI, L.L.C. — generare de imagini și text · SUA · la alegerea clientului
• Google LLC — generare de imagini/video și transcriere · UE/SUA · la alegerea clientului
• KIE.ai — generare de imagini și clipuri video · global · la alegerea clientului
• fal.ai — generare și procesare de media · SUA · la alegerea clientului
• ElevenLabs Inc. — voce sintetică și sincronizare labială · SUA · la alegerea clientului
• Apify Technologies s.r.o. — colectarea reclamelor publice din biblioteci de reclame · UE (Cehia) · la alegerea clientului
• Meta Platforms Ireland Ltd. — sursa datelor de reclame, la conectarea contului de către client · UE/SUA · la alegerea clientului
• Shopify International Ltd. — sursa produselor și comenzilor, la instalarea aplicației de către client · UE/Canada · la alegerea clientului

5. Transferuri în afara SEE

Unii subprocesatori prelucrează date în Statele Unite. Transferurile se fac pe baza clauzelor contractuale standard ale Comisiei Europene și/sau a Cadrului de confidențialitate a datelor UE-SUA, după caz, cu măsurile suplimentare din contractele respective.

6. Ștergerea și returnarea datelor

La încetarea contractului, organizația se arhivează, iar datele și fișierele ei se șterg definitiv după 30 de zile (job automat, cu jurnal). Până atunci, clientul poate cere un export al materialelor livrate.

La deconectarea Meta se șterg datele de reclame sincronizate; la dezinstalarea din Shopify ștergem datele magazinului în cel mult 48 de ore. Media de cercetare se șterge automat după 30 de zile, iar fișierele intermediare ale reclamelor clientului după 30 de zile: cadrele, clipurile și vocea rulărilor anulate sau picate, și — la rulările livrate — doar versiunile neaprobate ale căror unități au deja o versiune aprobată mai NOUĂ. Un fișier fără succesor aprobat nu se atinge, iar reclamele livrate rămân până la ștergerea lor de către client sau până la arhivarea organizației.

Copiile din backup dispar odată cu rotația lor normală (maximum 35 de zile).

7. Audit

Punem la dispoziție informațiile necesare pentru a dovedi respectarea art. 28 GDPR și permitem audituri rezonabile, anunțate, cel mult o dată pe an sau după un incident de securitate.

8. Contact

ITERIO S.R.L. · contact@iterio.io