Acord de Prelucrare a Datelor (DPA)

Art. 28 GDPR + Legea 190/2018 · Acord de sine stătător — faza pre-contractuală (discovery / evaluare); se va integra ca anexă la Contractul de licențiere & servicii SaaS la semnarea acestuia · Nr. CIB-FLS-2026-002 din data de —

Părțile

Art. 1 — Obiect și durată

CIBINNO prelucrează Date cu caracter personal în numele Flash Lighting Services exclusiv pentru evaluarea și, ulterior, furnizarea CIBINNO AI Platform și a serviciilor aferente. În faza pre-contractuală (discovery / evaluare) — faza curentă, înainte de semnarea vreunui contract — prelucrarea se limitează la strictul necesar evaluării, preferabil date anonimizate sau de test (conform NDA). La semnarea Contractului de licențiere & servicii SaaS, prezentul DPA se integrează ca anexă a acestuia, iar durata prelucrării devine egală cu durata Contractului; la încetare se aplică art. 10. Detaliile (categorii de persoane/date, operațiuni), subîmputerniciții și măsurile tehnice sunt în Anexele I-III (rezumat mai jos).

Art. 2 — Instrucțiunile Operatorului

CIBINNO prelucrează Datele numai pe baza instrucțiunilor documentate ale Flash Lighting Services (prezentul DPA, Scoping-ul, configurarea Platformei și, după caz — la implementare — Contractul). Informează Operatorul dacă o instrucțiune pare să încalce GDPR. Nu prelucrează Datele în scopuri proprii; folosirea Asistentului AI nu implică antrenarea de modele pe datele Operatorului (clauză de non-antrenare cu subîmputernicitul LLM — Anexa II).

Art. 3 — Confidențialitatea personalului

Persoanele autorizate să prelucreze Datele s-au angajat la confidențialitate sau au obligație legală de confidențialitate (art. 28 alin. (3) lit. b).

Art. 4 — Securitatea prelucrării (art. 32)

Măsuri tehnice și organizatorice adecvate riscului: criptare în tranzit/la repaus, RBAC, izolare per tenant, jurnal de audit, backup și restaurare. Se sprijină pe infrastructura Microsoft Azure (subîmputernicit) și pe controalele proprii ale Platformei.

Art. 5 — RBAC, jurnalizare și monitorizare

Accesul la Date pe baza Rolurilor RBAC; jurnalul de audit înregistrează accesările și operațiunile, cu retenție minimum 12 luni. Monitorizarea servește securității (art. 32) și interesului legitim (art. 6 alin. (1) lit. f), nu altor scopuri.

Art. 6 — Subîmputerniciți

Operatorul autorizează general recurgerea la subîmputerniciți; CIBINNO informează despre orice adăugare/înlocuire cu un preaviz de 14 zile pentru obiecții. Subîmputerniciții impun aceleași obligații (art. 28 alin. 4). Agreați la semnare: Microsoft Azure (găzduire, regiune UE — West Europe) și subîmputernicitul LLM Azure OpenAI (regiune UE — în SEE) pentru Asistentul AI.

Art. 7 — Transferuri internaționale

Transfer în afara SEE doar cu decizie de adecvare (art. 45), garanții adecvate (art. 46 — SCC) sau derogare (art. 49). Dacă toți subîmputerniciții (inclusiv LLM) sunt în SEE, articolul nu se aplică.

Art. 8 — Asistență acordată Operatorului

CIBINNO asistă Flash Lighting Services la: răspunsul la cererile persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție) prin funcțiile de export/ștergere; și la conformarea cu art. 32-36 (securitate, notificare breșe, DPIA, consultarea autorității).

Art. 9 — Notificarea încălcărilor (breșe)

CIBINNO notifică Operatorul fără întârzieri nejustificate, dar nu mai târziu de 48 ore de la luarea la cunoștință a unei breșe, cu natura, categoriile și numărul aproximativ de persoane afectate, consecințele probabile și măsurile luate. Cooperează la notificarea ANSPDCP și a persoanelor vizate.

Art. 10 — Ștergerea sau returnarea datelor

La încetarea serviciilor, la alegerea Operatorului, CIBINNO returnează sau șterge toate Datele și copiile (mai puțin cele impuse de lege). Export în format structurat, uzual, în 15 zile; ștergere în 30 zile, inclusiv din backup-uri conform ciclului de rotație.

Art. 11 — Audit și inspecții

CIBINNO pune la dispoziție informațiile necesare pentru a demonstra conformitatea cu art. 28 și permite audituri cu preaviz rezonabil (15 zile), fără a afecta securitatea celorlalți tenanți; pot fi satisfăcute prin rapoarte/certificări (ex. Azure) când acoperă obiectul.

Art. 12-13 — Răspundere & dispoziții finale

Răspunderea se stabilește conform art. 82 GDPR, corelată cu plafoanele din Contract. În caz de conflict pe protecția datelor între DPA și Contract, prevalează DPA. Lege aplicabilă: legea română și GDPR. Semnătură electronică (eIDAS) acceptată.

Rezumat anexe

Anexa I — date prelucrate (de la activarea Modulelor, post-contract): contacte clienți/furnizori (nume, e-mail, telefon), identitatea agenților/operatorilor de șantier, date HR (nume, funcție, salarizare, pontaj), localizare GPS echipe/utilaje, conturi de utilizator + adrese IP + jurnal de audit, conținutul interogărilor AI. Prin design, Platforma nu urmărește categorii speciale (art. 9).
Anexa II — subîmputerniciți: Microsoft Azure (găzduire, UE — West Europe) · Azure OpenAI (UE — West Europe) — procesare interogări AI, fără transfer extra-SEE.
Anexa III — măsuri (art. 32): autentificare nominală + MFA, RBAC & need-to-know, criptare TLS + la repaus (Azure), jurnal audit ≥12 luni, backup & restaurare testată, separare medii, gestionarea secretelor, angajamente de confidențialitate, procedură breșe.