Acord de prelucrare a datelor cu caracter personal (DPA)

Acest acord de prelucrare a datelor („Acordul” sau „DPA”) se încheie potrivit art. 28 din Regulamentul (UE) 2016/679 (Regulamentul general privind protecția datelor, „GDPR”) între:

Clientul, adică persoana juridică sau profesionistul identificat în contul creat în Platformă și în cererea de înregistrare aprobată, reprezentat de persoana care acceptă acest Acord în numele său, în calitate de operator („Clientul” sau „Operatorul”);

și

CyberSkill S.R.L., care operează brandul AgentVocal AI, cu sediul în Str. Nerva Traian nr. 27-33, sc. B, et. 1, ap. 6, Sector 3, București, România, înregistrată la Registrul Comerțului sub nr. J23/5758/2021 (EUID/cod unic: J2021005758239), CUI 33007390, cod de TVA RO33007390, email contact@agentvocalai.ro, în calitate de persoană împuternicită („CyberSkill” sau „Persoana împuternicită”).

Clientul și CyberSkill sunt denumiți împreună „Părțile” și fiecare „Partea”.

Preambul#

(A) CyberSkill furnizează Clientului serviciul AgentVocal AI, adică agenți vocali bazați pe inteligență artificială care efectuează și primesc apeluri telefonice în numele Clientului, împreună cu funcțiile asociate, în condițiile Termenilor și condițiilor („Termenii”) și ale ofertei acceptate de Client.

(B) Pentru furnizarea Serviciului, CyberSkill prelucrează date cu caracter personal pentru care Clientul este operator, în special datele persoanelor pe care agentul vocal le sună sau care sună la numerele Clientului.

(C) Părțile încheie acest Acord pentru a stabili, potrivit art. 28 alin. (3) GDPR, obiectul, durata, natura și scopul prelucrării, tipurile de date, categoriile de persoane vizate și drepturile și obligațiile fiecărei Părți.

(D) Pentru datele vizitatorilor site-ului, ale solicitanților de înregistrare, ale Utilizatorilor și ale persoanelor de contact ale Clientului, precum și pentru datele de facturare, CyberSkill acționează ca operator propriu, potrivit Părții A din Politica de confidențialitate. Aceste prelucrări nu fac obiectul prezentului Acord.

1. Încheierea Acordului#

1.1. Acordul se încheie online, prin bifarea căsuței de acceptare din Platformă de către persoana care acționează în numele Clientului, fără semnătură olografă. Prin bifare, această persoană declară că are dreptul să îl reprezinte pe Client și să îl oblige prin acest Acord.

1.2. Acordul are formă scrisă, în format electronic, în sensul art. 28 alin. (9) GDPR. CyberSkill păstrează dovada acceptării: versiunea Acordului, data și ora, contul Utilizatorului care a acceptat și adresa IP de la care s-a făcut acceptarea. [DE CONFIRMAT: implementarea tehnică a bifei și a jurnalului de acceptare în Platformă.]

1.3. Clientul poate descărca oricând versiunea acceptată a Acordului. La cererea Clientului, Părțile pot încheia și o versiune semnată a Acordului, care prevalează potrivit secțiunii 15.

2. Definiții#

Termenii folosiți cu majusculă care nu sunt definiți aici au înțelesul din Termeni. Termenii „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită”, „persoană vizată”, „încălcarea securității datelor cu caracter personal”, „categorii speciale de date” și „autoritate de supraveghere” au înțelesul din art. 4 și art. 9 GDPR. În plus:

• Date Personale ale Clientului: datele cu caracter personal pe care CyberSkill le prelucrează în numele Clientului în cadrul Serviciului, descrise în Anexa 1.
• Serviciul: serviciul AgentVocal AI, astfel cum este definit în Termeni.
• Platforma: aplicația web prin care se configurează și se folosește Serviciul, inclusiv portalul Clientului.
• Persoană apelată: orice persoană fizică cu care agentul vocal al Clientului poartă o conversație, fie că este sunată de agent, fie că sună ea la numărul Clientului.
• Sub-împuternicit: orice terț pe care CyberSkill îl angajează pentru a efectua activități de prelucrare a Datelor Personale ale Clientului.
• Instrucțiuni: instrucțiunile documentate ale Clientului privind prelucrarea, potrivit secțiunii 5.
• Incident: o încălcare a securității datelor cu caracter personal care afectează Datele Personale ale Clientului.
• SEE: Spațiul Economic European.
• Legislația privind protecția datelor: GDPR, Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR, Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice și orice altă normă aplicabilă.

3. Obiectul, durata, natura și scopul prelucrării#

3.1. Obiectul. CyberSkill prelucrează Datele Personale ale Clientului exclusiv pentru a furniza Serviciul Clientului, potrivit Termenilor, ofertei acceptate, configurației făcute de Client în Platformă și Instrucțiunilor.

3.2. Natura prelucrării. Prelucrarea cuprinde, după funcțiile activate de Client: efectuarea și primirea apelurilor telefonice de către agentul vocal; recunoașterea vorbirii, generarea răspunsurilor și sinteza vocii în timp real; înregistrarea audio a convorbirilor; transcrierea lor; generarea automată de rezumate, rezultate și clasificări ale apelurilor; stocarea și administrarea listelor de contacte și a cadenței de apelare; trimiterea mesajelor de follow-up prin WhatsApp, SMS sau email; schimbul de date cu sistemele Clientului (de exemplu CRM, ERP, calendar) prin integrările configurate; stocarea, afișarea în portal, raportarea, exportul și ștergerea datelor.

3.3. Scopul prelucrării. Scopurile sunt stabilite de Client, ca operator, de exemplu confirmarea comenzilor, recuperarea documentelor sau completarea dosarelor, recepția apelurilor și programări, sondaje și feedback, informarea clienților Clientului. CyberSkill nu prelucrează Datele Personale ale Clientului în scopuri proprii.

3.4. Durata. Prelucrarea durează pe toată perioada în care CyberSkill furnizează Serviciul Clientului, la care se adaugă perioada necesară returnării și ștergerii datelor potrivit secțiunii 12.

3.5. Tipurile de date, categoriile de persoane vizate și celelalte detalii ale prelucrării sunt descrise în Anexa 1.

4. Obligațiile Clientului, în calitate de operator#

Clientul decide pe cine sună agentul, ce spune agentul, în ce scop și ce face cu rezultatele. Clientul se obligă:

4.1. Temeiul legal. Să se asigure că are, pentru fiecare prelucrare pe care o instruiește, un temei legal valabil potrivit art. 6 GDPR (de exemplu executarea unui contract cu persoana apelată, interesul legitim documentat sau consimțământul, după caz) și că datele de contact pe care le încarcă sau le pune la dispoziție au fost obținute legal.

4.2. Informarea persoanelor vizate. Să informeze persoanele vizate potrivit art. 13 și 14 GDPR, inclusiv despre faptul că discută cu un asistent virtual bazat pe inteligență artificială, și să le pună la dispoziție informațiile complete despre prelucrare (scopul, temeiul, perioada de păstrare, drepturile lor și modul de exercitare).

4.3. Anunțul înregistrării apelului. Dacă activează înregistrarea sau transcrierea apelurilor, să configureze agentul astfel încât persoana apelată să fie informată despre acest lucru la începutul apelului, înainte să comunice informații, și să aprobe textul acestei informări. Clientul răspunde de conținutul textelor și al instrucțiunilor date agentului.

4.4. Comunicări comerciale și lista „nu suna”. Să respecte regulile privind comunicările comerciale nesolicitate și apelurile de marketing (inclusiv Legea nr. 506/2004), să nu folosească Serviciul pentru apeluri de marketing fără acordul persoanei atunci când legea îl cere, să mențină și să actualizeze lista de persoane care nu doresc să fie contactate și să adauge în ea, fără întârziere, orice persoană care cere acest lucru, inclusiv în cursul unui apel. Platforma oferă mecanisme de restricționare a numerelor, dar responsabilitatea pentru conținutul listei aparține Clientului.

4.5. Categorii speciale de date. Să nu instruiască agentul să solicite și să nu încarce în Platformă categorii speciale de date (art. 9 GDPR, de exemplu date privind sănătatea, originea etnică, convingerile religioase sau politice, datele biometrice folosite pentru identificare) și nici date privind condamnări penale (art. 10 GDPR), cu excepția cazului în care Părțile convin în scris altfel, după o analiză a temeiului legal și a măsurilor suplimentare. Persoana apelată poate comunica spontan astfel de date în timpul convorbirii; în acest caz, ele ajung în înregistrare și în transcriere doar ca parte a fluxului normal al Serviciului, iar Clientul decide ce face cu ele, inclusiv ștergerea lor.

4.6. Instrucțiuni conforme cu legea. Să dea Instrucțiuni conforme cu Legislația privind protecția datelor și să nu ceară CyberSkill nicio prelucrare care ar încălca legea.

4.7. Evaluarea impactului. Să evalueze, ca operator, dacă prelucrarea necesită o evaluare a impactului asupra protecției datelor (art. 35 GDPR) și să o efectueze atunci când este necesară, cu asistența CyberSkill potrivit secțiunii 9.

4.8. Supravegherea umană. Să supravegheze funcționarea agentului și să nu folosească rezultatele generate automat ca unic temei pentru decizii care produc efecte juridice asupra persoanelor vizate sau care le afectează în mod similar semnificativ, fără intervenție umană, potrivit secțiunii 9 din Termeni.

4.9. Securitatea pe partea Clientului. Să păstreze confidențialitatea datelor de autentificare, să acorde acces la Platformă doar Utilizatorilor care au nevoie de el, să activeze verificarea în doi pași atunci când Platforma o oferă și să asigure securitatea propriilor sisteme conectate la Serviciu.

5. Instrucțiunile Clientului#

5.1. CyberSkill prelucrează Datele Personale ale Clientului numai pe baza Instrucțiunilor documentate ale Clientului, inclusiv în ceea ce privește transferurile către o țară terță sau o organizație internațională, cu excepția cazului în care prelucrarea este impusă de dreptul Uniunii sau de dreptul român. În acest din urmă caz, CyberSkill informează Clientul despre cerința legală înainte de prelucrare, cu excepția cazului în care legea interzice această informare din motive importante de interes public.

5.2. Constituie Instrucțiuni documentate: (a) Termenii, oferta acceptată și acest Acord; (b) configurația Serviciului făcută de Client sau la cererea Clientului în Platformă (agenți, texte, scenarii, liste, campanii, program, integrări, opțiunea de înregistrare, mesaje de follow-up, restricții); (c) acțiunile Utilizatorilor Clientului în Platformă; (d) instrucțiunile transmise în scris de Client, inclusiv prin email la contact@agentvocalai.ro.

5.3. CyberSkill informează imediat Clientul dacă, în opinia sa, o Instrucțiune încalcă Legislația privind protecția datelor. CyberSkill poate suspenda executarea acelei Instrucțiuni până când Clientul o confirmă sau o modifică.

5.4. Instrucțiunile care depășesc funcțiile standard ale Serviciului pot fi tarifate separat, după o ofertă acceptată de Client.

6. Confidențialitate#

6.1. CyberSkill se asigură că persoanele autorizate să prelucreze Datele Personale ale Clientului (angajați, colaboratori) s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de confidențialitate.

6.2. Accesul personalului CyberSkill la Datele Personale ale Clientului este limitat la ce este necesar pentru furnizarea Serviciului, configurare, suport tehnic, investigarea incidentelor și respectarea legii.

6.3. CyberSkill nu vinde Datele Personale ale Clientului, nu le dezvăluie terților decât potrivit acestui Acord sau legii și nu le folosește pentru antrenarea unor modele proprii de inteligență artificială ori în alte scopuri proprii.

7. Securitatea prelucrării#

7.1. Ținând cont de stadiul actual al tehnologiei, de costurile implementării, de natura, domeniul de aplicare, contextul și scopurile prelucrării și de riscurile pentru drepturile și libertățile persoanelor vizate, CyberSkill aplică măsurile tehnice și organizatorice cerute de art. 32 GDPR, descrise în Anexa 2.

7.2. CyberSkill poate actualiza măsurile din Anexa 2, cu condiția ca nivelul general de securitate să nu scadă.

7.3. Clientul a analizat măsurile din Anexa 2 și confirmă că, pentru prelucrările pe care le instruiește, le consideră adecvate. Dacă Clientul are nevoie de măsuri suplimentare, Părțile le pot conveni în scris.

8. Sub-împuterniciți#

8.1. Autorizare generală. Clientul acordă CyberSkill o autorizare generală scrisă de a angaja Sub-împuterniciți pentru furnizarea Serviciului. Categoriile de Sub-împuterniciți folosite la data acestui Acord sunt descrise în Anexa 3. Lista nominală actualizată a Sub-împuterniciților se pune la dispoziția Clientului la cerere scrisă transmisă la contact@agentvocalai.ro.

8.2. Notificare prealabilă și drept de opoziție. CyberSkill informează Clientul, prin email la adresa de contact din cont sau prin Platformă, cu cel puțin [DE CONFIRMAT: 15] zile înainte, despre orice intenție de a adăuga sau de a înlocui un Sub-împuternicit. Clientul se poate opune, în scris și motivat, pe motive rezonabile legate de protecția datelor, în acest termen. Părțile discută cu bună-credință o soluție. Dacă nu se ajunge la o soluție, Clientul poate înceta, fără penalități, partea din Serviciu care nu poate fi furnizată fără noul Sub-împuternicit, prin notificare scrisă înainte de data schimbării.

8.3. Situații urgente. Dacă înlocuirea unui Sub-împuternicit este necesară de urgență pentru continuitatea sau securitatea Serviciului (de exemplu încetarea activității furnizorului sau un incident de securitate), CyberSkill poate face schimbarea cu notificarea Clientului cât mai repede posibil, iar dreptul de opoziție de la punctul 8.2 se aplică în continuare.

8.4. Aceleași obligații. CyberSkill impune fiecărui Sub-împuternicit, printr-un contract sau alt act juridic, obligații de protecție a datelor care oferă garanții suficiente, în esență echivalente celor din acest Acord, în special privind securitatea prelucrării. [DE CONFIRMAT: existența și conținutul acordurilor de prelucrare cu fiecare furnizor.]

8.5. Răspundere. CyberSkill rămâne pe deplin răspunzătoare față de Client pentru îndeplinirea obligațiilor Sub-împuterniciților săi, potrivit art. 28 alin. (4) GDPR.

8.6. Furnizori aleși de Client. Nu sunt Sub-împuterniciți ai CyberSkill furnizorii pe care Clientul îi alege și cu care are un contract propriu (de exemplu CRM-ul, ERP-ul, serverul de email sau contul de mesagerie ale Clientului) și în care Serviciul transmite date la Instrucțiunea Clientului. Relația cu acești furnizori este responsabilitatea Clientului.

9. Asistență acordată Clientului#

9.1. Drepturile persoanelor vizate. Ținând seama de natura prelucrării, CyberSkill asistă Clientul, prin măsuri tehnice și organizatorice adecvate și în măsura posibilului, în îndeplinirea obligației de a răspunde cererilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). Clientul are în Platformă instrumente pentru a consulta înregistrările și transcrierile și pentru a restricționa numere. Pentru operațiunile pe care Clientul nu le poate face singur în Platformă (de exemplu ștergerea definitivă a unei înregistrări sau extragerea tuturor datelor unei persoane), CyberSkill le efectuează la cererea scrisă a Clientului, într-un termen care să îi permită Clientului să răspundă în termenul legal. [DE CONFIRMAT: lista operațiunilor disponibile în Platformă și termenul intern de răspuns, de exemplu 5 zile lucrătoare.]

9.2. Cereri primite direct. Dacă o persoană vizată se adresează direct CyberSkill cu o cerere privind Datele Personale ale Clientului, CyberSkill transmite cererea Clientului fără întârziere nejustificată și nu îi răspunde direct persoanei, cu excepția îndrumării ei către Client sau a cazului în care Clientul autorizează altfel.

9.3. Securitate, evaluarea impactului și consultarea prealabilă. Ținând seama de natura prelucrării și de informațiile de care dispune, CyberSkill asistă Clientul în asigurarea respectării obligațiilor de la art. 32-36 GDPR: securitatea prelucrării, notificarea și comunicarea Incidentelor, evaluarea impactului asupra protecției datelor și consultarea prealabilă a autorității de supraveghere. Asistența constă în special în furnizarea descrierii prelucrării, a măsurilor de securitate și a informațiilor despre Sub-împuterniciți.

9.4. Costuri. Asistența standard, rezonabilă ca volum, este inclusă în prețul Serviciului. Asistența care presupune un efort semnificativ sau repetat, din motive care nu țin de CyberSkill, poate fi tarifată după o estimare comunicată în prealabil Clientului.

10. Notificarea încălcărilor securității datelor#

10.1. CyberSkill notifică Clientul fără întârzieri nejustificate după ce ia cunoștință de un Incident și, în orice caz, în cel mult [DE CONFIRMAT: 48 de ore] de la momentul în care a luat cunoștință de acesta, pentru a-i permite Clientului să își îndeplinească obligația de notificare a autorității de supraveghere în termenul de 72 de ore prevăzut de art. 33 GDPR.

10.2. Notificarea se transmite prin email la adresa de contact din cont și, dacă este posibil, telefonic, și cuprinde, în măsura în care sunt disponibile: natura Incidentului, categoriile și numărul aproximativ de persoane vizate și de înregistrări afectate, consecințele probabile, măsurile luate sau propuse pentru remediere și pentru reducerea efectelor, precum și o persoană de contact. Dacă nu toate informațiile sunt disponibile de la început, ele se transmit treptat, fără întârzieri nejustificate.

10.3. CyberSkill ia de îndată măsurile rezonabile pentru a limita Incidentul și efectele lui și cooperează cu Clientul la investigare.

10.4. Notificarea autorității de supraveghere și comunicarea către persoanele vizate sunt făcute de Client, ca operator. CyberSkill nu comunică direct cu persoanele vizate despre un Incident fără acordul Clientului, cu excepția cazului în care legea o cere.

10.5. Notificarea unui Incident nu reprezintă o recunoaștere a vinei sau a răspunderii CyberSkill.

11. Transferuri în afara SEE#

11.1. Datele Personale ale Clientului sunt găzduite în România.

11.2. Anumiți Sub-împuterniciți, în special din categoriile procesare vocală și inteligență artificială, mesagerie și email, pot prelucra date în afara SEE. CyberSkill transferă sau permite transferul Datelor Personale ale Clientului în afara SEE numai dacă există o garanție adecvată potrivit capitolului V din GDPR, și anume: (a) o decizie de adecvare a Comisiei Europene (inclusiv, pentru Statele Unite, certificarea destinatarului în cadrul EU-U.S. Data Privacy Framework); sau (b) clauzele contractuale standard adoptate de Comisia Europeană (Decizia de punere în aplicare (UE) 2021/914), în modulul potrivit, împreună cu măsuri suplimentare atunci când sunt necesare în urma unei evaluări a transferului. [DE CONFIRMAT: lista transferurilor efective și garanția aplicabilă fiecăruia; evaluarea impactului transferului.]

11.3. Prin acceptarea acestui Acord, Clientul instruiește CyberSkill să efectueze transferurile necesare furnizării Serviciului, cu respectarea punctului 11.2. La cererea scrisă a Clientului, CyberSkill comunică ce garanție se aplică fiecărui transfer.

12. Ștergerea sau returnarea datelor la încetare#

12.1. În timpul contractului. Datele Personale ale Clientului se păstrează pe perioada stabilită de Client. Clientul poate cere oricând, în scris, ștergerea anumitor date (de exemplu înregistrări, transcrieri, liste). [DE CONFIRMAT: perioada implicită de păstrare a înregistrărilor, transcrierilor și listelor dacă Clientul nu stabilește una, și mecanismul tehnic de ștergere automată.]

12.2. La încetare. La încetarea furnizării Serviciului, din orice motiv, Clientul poate cere, în termen de [DE CONFIRMAT: 30] de zile, returnarea Datelor Personale ale Clientului, într-un format structurat, utilizat în mod curent (de exemplu fișiere audio pentru înregistrări și fișiere tabelare pentru transcrieri, rezultate și liste). [DE CONFIRMAT: formatele de export efectiv disponibile.]

12.3. După returnare sau după expirarea termenului de la punctul 12.2, CyberSkill șterge Datele Personale ale Clientului, inclusiv copiile existente, în cel mult [DE CONFIRMAT: 30] de zile. Copiile din sistemele de backup se șterg odată cu rotația normală a acestora, în cel mult [DE CONFIRMAT: 90] de zile, iar până atunci rămân protejate potrivit acestui Acord și nu sunt folosite activ. La cererea Clientului, CyberSkill confirmă în scris ștergerea.

12.4. Excepții. Se păstrează doar datele pe care dreptul Uniunii sau dreptul român obligă CyberSkill să le stocheze, cât timp o cere legea și cu protecția prevăzută de acest Acord. Datele necesare facturării Serviciului (de exemplu data, durata și costul apelurilor, fără conținutul convorbirilor) sunt prelucrate de CyberSkill ca operator, pe temeiul obligațiilor legale fiscale și contabile, potrivit Politicii de confidențialitate.

13. Informații și audit#

13.1. CyberSkill pune la dispoziția Clientului toate informațiile necesare pentru a demonstra respectarea obligațiilor din art. 28 GDPR și din acest Acord, în special descrierea prelucrării, măsurile din Anexa 2, informațiile despre Sub-împuterniciți și, dacă există, rapoarte sau certificări relevante. CyberSkill nu declară, la data acestui Acord, nicio certificare de securitate.

13.2. CyberSkill permite și contribuie la audituri, inclusiv inspecții, efectuate de Client sau de un auditor independent mandatat de Client, cu următoarele reguli: (a) Clientul solicită auditul în scris, cu cel puțin [DE CONFIRMAT: 30] de zile înainte, precizând scopul și întinderea; (b) auditul se face, de regulă, cel mult o dată pe an, cu excepția cazului în care a avut loc un Incident sau o autoritate de supraveghere o cere; (c) auditul se desfășoară în timpul programului de lucru, fără a perturba nejustificat activitatea CyberSkill și fără acces la datele altor clienți sau la informații confidențiale care nu privesc Clientul; (d) auditorul este obligat la confidențialitate și nu este un concurent al CyberSkill; (e) Părțile încearcă mai întâi să răspundă nevoilor Clientului prin documente și chestionare scrise; (f) costurile auditului sunt suportate de Client, cu excepția cazului în care auditul constată o încălcare semnificativă a acestui Acord de către CyberSkill.

13.3. CyberSkill informează Clientul fără întârziere despre orice control sau solicitare a unei autorități de supraveghere care privește Datele Personale ale Clientului, în măsura în care legea permite.

14. Răspundere#

14.1. Fiecare Parte răspunde pentru încălcarea propriilor obligații din acest Acord și din Legislația privind protecția datelor. Față de persoanele vizate, răspunderea Părților este cea prevăzută de art. 82 GDPR și nu poate fi limitată prin acest Acord.

14.2. Potrivit art. 82 alin. (2) GDPR, CyberSkill răspunde pentru prejudiciul cauzat de prelucrare numai dacă nu și-a respectat obligațiile care îi revin în mod specific ca persoană împuternicită sau dacă a acționat în afara Instrucțiunilor legale ale Clientului ori contrar acestora.

14.3. Clientul răspunde față de CyberSkill pentru orice prejudiciu, amendă sau pretenție a unui terț (inclusiv a autorităților) rezultată din Instrucțiunile sale, din lipsa temeiului legal pentru prelucrare, din neinformarea persoanelor vizate sau din încălcarea secțiunii 4.

14.4. În relația dintre Părți, limitările de răspundere din secțiunea 10 a Termenilor se aplică și acestui Acord, în măsura permisă de lege. Ele nu se aplică prejudiciilor cauzate cu intenție sau din culpă gravă. [DE CONFIRMAT: dacă plafonul din Termeni se aplică și răspunderii din DPA sau se stabilește un plafon separat.]

15. Durată, încetare și ordinea de prioritate#

15.1. Acordul intră în vigoare la data acceptării lui de către Client și rămâne în vigoare cât timp CyberSkill prelucrează Date Personale ale Clientului, inclusiv după încetarea Serviciului, până la finalizarea returnării și ștergerii potrivit secțiunii 12.

15.2. Acordul încetează automat odată cu contractul de furnizare a Serviciului. Clientul nu poate înceta Acordul separat cât timp folosește Serviciul, deoarece Serviciul nu poate fi furnizat fără el. Obligațiile care, prin natura lor, continuă după încetare (confidențialitate, ștergere, răspundere, audit pentru perioada trecută) rămân în vigoare.

15.3. Ordinea de prioritate. În privința protecției datelor cu caracter personal, în caz de neconcordanță între acest Acord și Termeni sau oferta acceptată, prevalează acest Acord. În celelalte privințe se aplică Termenii. Un acord de prelucrare a datelor semnat separat între Părți prevalează asupra acestei versiuni acceptate online. Clauzele contractuale standard încheiate pentru un transfer, dacă este cazul, prevalează asupra oricărei alte prevederi în privința acelui transfer.

15.4. Modificări. CyberSkill poate actualiza acest Acord atunci când se schimbă Serviciul, Sub-împuterniciții sau legislația. Modificările importante se comunică Clientului prin email sau în Platformă cu cel puțin [DE CONFIRMAT: 30] de zile înainte de intrarea lor în vigoare. Clientul care nu este de acord poate înceta contractul potrivit secțiunii 13 din Termeni. Modificările impuse de lege sau de o autoritate pot intra în vigoare la data cerută de acestea. Fiecare versiune are un identificator propriu (de exemplu „2026-10-02-v1”).

16. Legea aplicabilă și litigii#

16.1. Acest Acord este guvernat de legea română și de dreptul Uniunii Europene aplicabil.

16.2. Părțile vor încerca să rezolve pe cale amiabilă orice neînțelegere. În lipsa unei înțelegeri, litigiile se soluționează de instanțele competente din municipiul București.

16.3. Dacă o prevedere a acestui Acord este considerată nevalidă, celelalte prevederi rămân valabile, iar Părțile o înlocuiesc cu o prevedere valabilă cât mai apropiată de scopul ei. Versiunea în limba română prevalează asupra oricărei traduceri.

---

Anexa 1. Descrierea prelucrării#

Anexa 2. Măsuri tehnice și organizatorice de securitate#

Măsurile de mai jos descriu situația la data versiunii acestui Acord. Ele pot evolua potrivit secțiunii 7.2.

A. Controlul accesului la Platformă#

• Accesul la portal se face numai pe bază de cont individual, cu parolă stocată sub formă de hash (nu în clar).
• Limitarea și blocarea încercărilor repetate de autentificare: după 10 încercări eșuate de pe aceeași adresă IP sau de pe același dispozitiv, sursa respectivă este blocată până la deblocarea de către un administrator.
• Verificare în doi pași prin cod unic trimis prin SMS (6 cifre, valabil 5 minute, număr limitat de încercări, codul este stocat doar sub formă de hash). Verificarea în doi pași poate fi activată pentru conturile administrative și, la cererea Clientului, pentru toți Utilizatorii contului său. Dispozitivele marcate ca de încredere sunt recunoscute pentru cel mult 30 de zile.
• Roluri distincte (administrator CyberSkill, manager, client), cu drepturi diferite în Platformă.
• Sesiunile de autentificare expiră după o perioadă de inactivitate și sunt protejate împotriva atacurilor de tip CSRF.

B. Separarea datelor între clienți#

• Fiecare înregistrare relevantă (apeluri, liste, campanii, mesaje, agenți, numere) este asociată unui singur client, iar interogările din portal sunt filtrate după clientul Utilizatorului autentificat.
• Accesul la un apel și la înregistrarea lui audio este permis numai Utilizatorilor clientului căruia îi aparține apelul sau administratorilor CyberSkill. Încercările de acces neautorizat sunt refuzate și jurnalizate.
• Înregistrările audio nu sunt accesibile prin linkuri publice; ele se descarcă numai printr-o sesiune autentificată și autorizată.

C. Jurnalizare și trasabilitate#

• Jurnal de audit pentru autentificări (reușite, eșuate, verificare în doi pași) și pentru acțiunile de modificare făcute în portal (creare, editare, ștergere, activare).
• Jurnalizarea accesului la înregistrările audio și a refuzurilor de acces.
• Atunci când personalul CyberSkill accesează contul unui Client pentru suport, acțiunile sunt marcate distinct în jurnal, astfel încât să nu fie confundate cu acțiunile Utilizatorilor Clientului.

D. Criptare și protecția secretelor#

• Toate conexiunile la Platformă se fac prin HTTPS (TLS), cu politică HSTS.
• Datele de conectare ale Clientului la sistemele sale (de exemplu SMTP, IMAP, SMS, mesagerie, SIP) sunt stocate criptat în baza de date.
• Antete de securitate HTTP (politică de securitate a conținutului, protecție împotriva încadrării paginilor în alte site-uri, politică de referință și de permisiuni restrictive).
• Criptarea la nivel de stocare a bazei de date și a fișierelor audio: [DE CONFIRMAT].

E. Infrastructură, continuitate și backup#

• Găzduire în România, pe servere administrate de CyberSkill la un furnizor de găzduire. [DE CONFIRMAT: tipul centrului de date și măsurile de securitate fizică ale furnizorului.]
• Codul aplicației este versionat, iar fiecare publicare a unei versiuni noi este însoțită de o copie de siguranță a codului.
• Backup periodic al bazei de date și al înregistrărilor audio, cu frecvență, locație și durată de păstrare: [DE CONFIRMAT].
• Monitorizarea automată a erorilor și a stării integrărilor, cu alerte către echipa tehnică.

F. Minimizarea și controlul datelor#

• Clientul stabilește dacă apelurile sunt înregistrate și ce date conțin listele de contacte.
• Liste de restricționare („nu suna”) gestionate de Client în Platformă, verificate de mecanismul de apelare automată și înainte de trimiterea mesajelor SMS și WhatsApp.
• Ferestre orare și reguli de cadență configurabile, care limitează apelurile la intervalele stabilite de Client.
• Ștergerea automată a datelor la expirarea unei perioade de păstrare: [DE CONFIRMAT, nu este implementată la data acestei versiuni pentru înregistrări și transcrieri].

G. Măsuri organizatorice#

• Acces la date al personalului CyberSkill limitat la cei care au nevoie de el pentru furnizarea Serviciului și suport, cu obligații de confidențialitate (secțiunea 6).
• Procedură de tratare a incidentelor și de notificare a Clientului (secțiunea 10). [DE CONFIRMAT: procedură internă scrisă.]
• Contracte cu Sub-împuterniciții, cu obligații de protecție a datelor (secțiunea 8).
• Instruirea personalului privind protecția datelor: [DE CONFIRMAT].

Anexa 3. Sub-împuterniciți (pe categorii)#

Potrivit politicii noastre de a nu face publici furnizorii tehnici ai Serviciului, Sub-împuterniciții sunt prezentați mai jos pe categorii. Lista nominală actualizată (denumire, sediu, locul prelucrării și garanția de transfer, dacă este cazul) se pune la dispoziția Clientului la cerere scrisă transmisă la contact@agentvocalai.ro, sub rezerva confidențialității.

Nu sunt Sub-împuterniciți ai CyberSkill furnizorii aleși de Client cu care acesta are contract propriu (secțiunea 8.6).

Anexa 4. Contact pentru protecția datelor#

Pentru CyberSkill S.R.L. (persoana împuternicită):

• Email: contact@agentvocalai.ro (inclusiv pentru cereri privind lista Sub-împuterniciților, asistență pentru cererile persoanelor vizate, audit și Incidente)
• Telefon / WhatsApp: +40 723 444 825
• Adresă: Str. Nerva Traian nr. 27-33, sc. B, et. 1, ap. 6, Sector 3, București, România

CyberSkill nu a desemnat un responsabil cu protecția datelor (DPO). [DE CONFIRMAT: dacă desemnarea este obligatorie potrivit art. 37 GDPR.]

Pentru Client (operatorul): persoana de contact și adresa de email indicate în contul Clientului din Platformă. Clientul menține aceste date actualizate; notificările trimise la ele se consideră primite.

Autoritatea de supraveghere din România: Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), www.dataprotection.ro.