Acord de prelucrare a datelor (DPA)¶

Versiunea 1.0 · în vigoare de la 15 august 2026 · AITY CLOUD SRL

Prezentul Acord de prelucrare a datelor („DPA”) face parte din contractul dintre AITY CLOUD SRL, societate română cu răspundere limitată, cu sediul social în SĂCEL nr. 1003, Sat Săcel, Com. Săcel, MARAMUREȘ, cod 437290, România, CUI 39458128 (RO39458128), înregistrată la Registrul Comerțului sub nr. J2018000824245, EUID ROONRC.J2018000824245, capital social subscris și vărsat 5.000 lei, adresă de corespondență Str. Heliade Între Vii nr. 35, cod 023382, Sector 2, București, România, telefon +40735850896 (luni-vineri, 09:00-18:00, ora României), e-mail office@aity.ro („aity”, „Persoana împuternicită”) și Client, format conform Termenilor și condițiilor („Termenii”), și reglementează, potrivit art. 28 din Regulamentul (UE) 2016/679 („GDPR”), prelucrarea de către aity, în numele Clientului, a datelor cu caracter personal din Conținutul Clientului („Datele Clientului”). Versiunile în limba română și engleză sunt ambele oficiale; în caz de divergență, versiunea în limba română prevalează.

1. Domeniu de aplicare și roluri¶

1.1. Prezentul DPA se aplică automat, fără semnătură separată, numai în măsura în care Clientul acționează în calitate de operator sau de persoană împuternicită supusă GDPR, iar aity prelucrează Datele Clientului în numele său. Dacă Clientul este persoana împuternicită a altui operator, garantează că instrucțiunile către aity sunt autorizate de acel operator. Rolurile sunt determinate de prelucrarea efectivă, nu numai de denumirea contractuală. Prelucrarea conținutului folosit de Consumatori exclusiv în scopuri personale sau domestice este descrisă în Politica de confidențialitate.

1.2. DPA nu se aplică datelor pentru care aity este operator (date de cont, facturare, jurnale ale platformei), descrise în Politica de confidențialitate.

1.3. În caz de conflict, DPA prevalează asupra celorlalte Documente contractuale numai cu privire la protecția și prelucrarea Datelor Clientului. DPA nu extinde răspunderea aity și nu modifică termenii comerciali decât dacă prevede expres o derogare aplicabilă subiectului respectiv.

2. Detaliile prelucrării¶

Detaliile prelucrării sunt prevăzute în Anexa 1. Durata prelucrării este durata contractului, plus Perioada de recuperare și perioadele de ștergere și rotație a copiilor de siguranță prevăzute la art. 11.

3. Instrucțiunile Clientului¶

3.1. aity prelucrează Datele Clientului numai pe baza instrucțiunilor documentate ale Clientului, inclusiv în ceea ce privește transferurile, în scopul de a furniza, securiza și monitoriza Serviciile. Instrucțiunile documentate sunt: (a) Documentele contractuale; (b) utilizarea și configurarea Serviciilor de către Client și Utilizatorii săi finali, inclusiv destinatarii, destinațiile de export și comenzile de ștergere; (c) alte instrucțiuni scrise convenite de părți. aity poate prelucra Datele Clientului în afara acestor instrucțiuni numai dacă are această obligație în temeiul dreptului Uniunii sau al dreptului intern care i se aplică; în acest caz, informează Clientul cu privire la obligația juridică înainte de prelucrare, cu excepția cazului în care legea interzice informarea din motive importante de interes public.

3.2. aity informează imediat Clientul dacă, în opinia sa, o instrucțiune încalcă GDPR ori alte dispoziții privind protecția datelor și poate suspenda executarea instrucțiunii până la clarificare, fără a fi obligată la o analiză juridică exhaustivă.

3.3. aity nu utilizează Datele Clientului pentru publicitate, profilare comercială, cercetare de piață ori alte scopuri proprii și nu vinde aceste date.

4. Confidențialitate¶

Persoanele autorizate de aity să prelucreze Datele Clientului sunt supuse unor obligații de confidențialitate contractuale sau legale, iar accesul lor este limitat la ceea ce este necesar pentru furnizarea, securizarea și monitorizarea Serviciilor.

5. Securitatea¶

5.1. aity implementează și menține măsurile tehnice și organizatorice descrise în Anexa 2, asigurând un nivel de securitate adecvat riscului, potrivit art. 32 GDPR.

5.2. Clientul este responsabil de utilizarea securizată a Serviciilor din partea sa: gestionarea credențialelor și a rolurilor de acces, configurarea adecvată a Serviciilor, securitatea propriilor sisteme și aplicații pentru aity Cloud și realizarea copiilor de siguranță proprii conform Termenilor. Clientul informează aity, înainte de prelucrare, despre riscuri ori cerințe legale speciale care nu rezultă în mod rezonabil din utilizarea obișnuită. aity poate actualiza măsurile din Anexa 2 pentru a reflecta evoluția tehnică, fără a reduce material nivelul general de securitate pe durata Serviciilor.

6. Subîmputerniciți¶

6.1. Clientul autorizează în mod general utilizarea de subîmputerniciți pentru prelucrarea Datelor Clientului. Lista curentă, categoriile de servicii, locațiile și data de la care fiecare subîmputernicit este autorizat sunt prevăzute în Anexa 3. Mențiunea „niciunul” este o situație valabilă la data versiunii, nu un angajament că aity nu va utiliza în viitor parteneri de infrastructură ori backup din SEE.

6.2. aity notifică direct Clientul, prin e-mail, cu cel puțin 15 (cincisprezece) zile înainte de a autoriza un nou subîmputernicit pentru Datele Clientului, indicând identitatea, țara, serviciul și prelucrarea vizată. Clientul poate obiecta motivat în acest termen; părțile încearcă mai întâi o soluție rezonabilă. Dacă obiecția nu poate fi soluționată, Clientul poate înceta Serviciul afectat, fără penalități, până la data activării - acesta fiind remediul contractual exclusiv al Clientului pentru obiecție.

6.3. Oricărui subîmputernicit i se impun, prin contract scris, obligațiile aplicabile prevăzute la art. 28 alin. (4) GDPR, aity rămânând pe deplin răspunzătoare față de Client pentru îndeplinirea lor. La cerere, aity furnizează o copie redactată a clauzelor relevante de protecție a datelor, putând elimina informațiile confidențiale, secretele comerciale și datele altor clienți.

7. Asistență¶

7.1. Ținând seama de natura prelucrării, aity asistă Clientul, prin măsuri tehnice și organizatorice adecvate (inclusiv prin funcționalitățile de căutare, export și ștergere ale Serviciilor), în îndeplinirea obligației de a răspunde cererilor persoanelor vizate. Dacă o persoană vizată se adresează direct aity în legătură cu Datele Clientului, aity o va îndruma către Client și nu îi va răspunde pe fond fără instrucțiunile Clientului, cu excepția cazurilor impuse de lege.

7.2. aity asistă Clientul, în mod rezonabil, în îndeplinirea obligațiilor prevăzute de art. 32-36 GDPR (securitate, notificarea încălcărilor, evaluarea impactului, consultarea autorității), ținând seama de informațiile de care dispune. Pentru asistență care depășește funcționalitățile standard ale Serviciilor și un efort rezonabil, aity poate percepe un tarif comunicat în prealabil.

8. Încălcări ale securității¶

aity notifică Clientul, fără întârzieri nejustificate după ce ia cunoștință, cu privire la orice încălcare a securității care afectează Datele Clientului, furnizând informațiile prevăzute de art. 33 alin. (3) GDPR pe măsură ce devin disponibile și cooperând rezonabil la investigare și remediere. Notificarea sau răspunsul aity la un incident nu constituie o recunoaștere a vreunei culpe sau răspunderi. aity nu are obligația de a examina conținutul Datelor Clientului pentru a identifica informații supuse unor cerințe legale specifice; obligațiile Clientului de notificare către autorități și persoane vizate îi aparțin acestuia.

9. Localizarea și transferurile datelor¶

9.1. Datele Clientului stocate în repaus prin Servicii sunt păstrate în Spațiul Economic European, pe infrastructură operată de aity ori de subîmputerniciții din Anexa 3. Accesul administrativ urmează aceleași limite de localizare, cu excepția unui transfer documentat și protejat potrivit prezentului articol.

9.2. Transmiterea de către aity, în numele Clientului, a unui mesaj, export ori alt set de Date ale Clientului către un destinatar, furnizor sau destinație dintr-o țară terță poate constitui un transfer în sensul capitolului V GDPR. aity acționează numai potrivit instrucțiunilor documentate ale Clientului și aplică mecanismul aflat sub controlul său, adecvat destinației și fluxului. Clientul se asigură că instrucțiunea, destinatarii și folosirea ulterioară respectă obligațiile sale. Dacă nu există un mecanism legal disponibil pentru un transfer regulat, aity poate refuza ori suspenda instrucțiunea. Mesajele primite dintr-o țară terță către infrastructura aity din SEE sunt analizate distinct de fluxul de ieșire.

9.3. Orice altă prelucrare în afara SEE are loc numai în baza unei decizii de adecvare ori a unei garanții adecvate prevăzute la art. 46 GDPR, după evaluarea transferului și aplicarea măsurilor suplimentare necesare, precum și cu parcurgerea art. 6.2 pentru un nou subîmputernicit. La cerere, aity pune la dispoziția Clientului o copie ori o descriere a garanției, cu redactările necesare.

10. Audit¶

10.1. aity pune la dispoziția Clientului informațiile necesare pentru a demonstra conformitatea cu art. 28 GDPR: prezentul DPA, descrierea măsurilor din Anexa 2, precum și rapoarte, certificări sau atestări disponibile.

10.2. În măsura în care informațiile de la art. 10.1 nu sunt rezonabil suficiente, Clientul poate efectua un audit, inclusiv o inspecție, direct sau printr-un auditor independent mandatat care nu este concurent al aity. Auditul are loc cel mult o dată în orice perioadă de 12 luni, cu notificare prealabilă de 30 de zile și în timpul programului de lucru. Limita și preavizul nu se aplică în măsura în care auditul este impus de o autoritate competentă, urmează unui incident semnificativ, este urgent pentru protejarea persoanelor vizate ori Clientul prezintă indicii rezonabile de neconformitate materială. Auditul nu permite acces la datele altor clienți ori la informații care ar compromite securitatea; se aplică obligații de confidențialitate, iar domeniul, momentul și durata se coordonează rezonabil. Costurile sunt suportate de Client, inclusiv timpul rezonabil al aity peste o zi lucrătoare, cu excepția măsurii în care auditul dovedește o neconformitate materială imputabilă aity.

11. Ștergerea și returnarea datelor¶

La încetarea Serviciilor se aplică Perioada de recuperare din Termeni. Înainte de expirarea ei, Clientul poate opta pentru returnarea datelor prin export și/sau pentru ștergerea anticipată. După expirare, aity șterge Datele Clientului din sistemele primare în cel mult 30 de zile, cu excepția păstrării impuse de dreptul Uniunii sau dreptul intern. Ștergerea include toate copiile existente; copiile de siguranță sunt izolate de utilizarea curentă și eliminate cel târziu la expirarea ciclului de rotație de 45 de zile de la ștergerea datelor primare. Datele păstrate legal sunt protejate, separate logic și folosite numai în acel scop. La cerere, aity confirmă în scris finalizarea ștergerii.

12. Răspundere¶

Răspunderea totală a fiecărei părți în temeiul prezentului DPA este supusă limitărilor și excluderilor de răspundere din Termeni, în măsura permisă de lege; nimic din prezentul DPA nu limitează drepturile persoanelor vizate sau răspunderea părților față de acestea potrivit art. 82 GDPR.

13. Durata¶

DPA produce efecte cât timp aity prelucrează Date ale Clientului și expiră automat la finalizarea ștergerii prevăzute la art. 11.

Anexa 1 - Detaliile prelucrării¶

Element	Descriere
Obiectul	Furnizarea serviciilor aity Platform (e-mail și colaborare) și aity Cloud (infrastructură cloud)
Natura prelucrării	Colectare tehnică, găzduire, organizare, stocare, transmitere, backup, recuperare, afișare, export și ștergere, conform utilizării și instrucțiunilor Clientului
Scopul	Furnizarea, securizarea și monitorizarea Serviciilor conform contractului
Categorii de persoane vizate	Utilizatorii finali ai Clientului; corespondenții acestora; persoanele ale căror date sunt incluse de Client în conținutul găzduit
Categorii de date	Datele incluse de Client în Conținutul Clientului: date de identificare și contact, conținutul comunicărilor, fișiere, precum și orice alte date pe care Clientul alege să le stocheze ori să le transmită. Clientul este responsabil de a nu stoca date pentru care legea impune cerințe pe care Serviciile nu le îndeplinesc.
Categorii speciale	Numai dacă și în măsura în care Clientul le include în conținutul său, sub responsabilitatea sa

Anexa 2 - Măsuri tehnice și organizatorice¶

păstrarea Datelor Clientului stocate în repaus în SEE și măsuri contractuale și fizice adecvate pentru locațiile de infrastructură;
arhitectură redundantă pentru componentele declarate cu disponibilitate ridicată, copii de siguranță cu acces restricționat, cicluri de rotație documentate și teste periodice de restaurare;
TLS pentru conexiunile externe și pentru fluxurile interne unde este adecvat, protejarea secretelor și a cheilor și controale de acces la mediile de stocare;
control al accesului pe bază de roluri, privilegiu minim și necesitatea de a cunoaște; autentificare puternică pentru accesul administrativ și revizuirea periodică a drepturilor;
segmentarea rețelelor, politici de acces, firewall și protecții anti-malware, anti-phishing și anti-spam adecvate Serviciului;
monitorizare continuă a infrastructurii, jurnalizare cu minimizarea datelor, fără copierea parametrilor confidențiali ai interogărilor în telemetrie, gestionarea vulnerabilităților și actualizări de securitate;
proceduri de răspuns la incidente, continuitate, recuperare și notificare a încălcărilor;
ștergerea datelor primare și expirarea copiilor de siguranță conform art. 11, cu evidență și confirmare la cerere;
testarea, evaluarea și aprecierea periodică a eficacității măsurilor, inclusiv revizuiri interne, scanări și testări de securitate;
pseudonimizare și minimizare unde sunt adecvate naturii prelucrării; instruirea și obligarea la confidențialitate a personalului.

Anexa 3 - Subîmputerniciți¶

Registru valabil la 16 august 2026: niciun subîmputernicit extern nu este activ pentru stocarea obișnuită a Datelor Clientului. Datele sunt operate în SEE de aity. Orice partener de infrastructură ori backup din SEE va fi adăugat aici, cu denumire, țară, serviciu și data autorizării, numai după notificarea prevăzută la art. 6.2.

PayU, SmartBill, furnizorii de identitate și ceilalți destinatari ai datelor pentru care aity este operator nu devin subîmputerniciți prin simpla lor utilizare; rolurile și fluxurile lor sunt descrise separat în Politica de confidențialitate.

Istoricul versiunilor¶

Versiune	Data	Modificări
1.0	15 august 2026	Prima versiune publicată.