Acord de prelucrare a datelor (DPA)

Acest DPA face parte integrantă din Termenii și condițiile și se aplică automat tuturor clienților care procesează date personale ale clienților lor finali prin eChati. Este conform GDPR (Regulamentul UE 2016/679).

1. Definiții

Operator: tu, clientul eChati care decide scopul și mijloacele procesării
Împuternicit: eChati, care procesează datele pe baza instrucțiunilor tale
Date personale: orice informație referitoare la o persoană fizică identificată sau identificabilă
Sub-procesator: terț angajat de noi pentru a procesa datele (ex: OpenAI, Meta)

2. Obiectul procesării

Natură: stocare, transmitere, analiză AI a mesajelor WhatsApp
Scop: furnizarea serviciului de suport AI conform instrucțiunilor tale
Durata: pe toată perioada contractului, plus retenția configurabilă (vezi politică)
Tipuri de date: nume, telefon, conținut mesaje, metadata interacțiuni
Categorii de persoane vizate: clienții finali ai operatorului care interacționează prin WhatsApp

3. Obligațiile noastre (Împuternicit)

Ne angajăm să:

Procesăm datele numai pe baza instrucțiunilor tale documentate (configurarea agentului, KB, etc.)
Asigurăm confidențialitatea — personalul nostru semnează NDA-uri
Implementăm măsuri tehnice și organizatorice adecvate (TLS, criptare at-rest, backup-uri, control acces)
Te asistăm în îndeplinirea obligațiilor tale GDPR (răspuns la solicitări, DPIA dacă e cazul)
Te notificăm fără întârziere în caz de breach (în maxim 72h)
Ștergem sau returnăm datele la finalul contractului
Oferim informațiile necesare pentru audit

4. Sub-procesatori autorizați

Folosim următorii sub-procesatori. Listă actualizată oricând în Politica de confidențialitate:

OpenAI — generare răspunsuri AI (SUA, cu Standard Contractual Clauses)
Meta WhatsApp Business — livrare mesaje (EU + SUA)
Stripe Payments Europe — procesare plăți (Irlanda)
Resend — email transacțional (EU)
Hosting provider — infrastructură (EU)

Te vom anunța prin email cu cel puțin 30 zile înainte de adăugarea unui nou sub-procesator. Te poți opune motivat — dacă nu ajungem la o soluție, ai dreptul să reziliezi contractul.

5. Transferuri internaționale

Pentru sub-procesatorii din afara SEE (în special OpenAI), folosim Standard Contractual Clauses aprobate de Comisia Europeană. Vezi documentația OpenAI privind transferurile EU pentru detalii.

6. Drepturile persoanelor vizate

Tu ești responsabil de răspunsul către clienții tăi finali. Te asistăm prin:

Funcția de export date pentru tenantul tău (Settings → Cont & date)
Funcția de ștergere cont (purge complet)
API-uri pentru ștergerea unei conversații specifice (la cerere)
Notificări la gdpr@echati.ro

7. Securitate

Aplicăm minim:

TLS 1.2+ pentru toate conexiunile
Criptare at-rest pentru token-uri sensibile (WhatsApp, Stripe customer ID)
Hash bcrypt pentru parole
Acces RBAC pe staff intern (admin / moderator)
Audit log pentru orice acțiune admin
Backup-uri zilnice criptate, păstrate 30 zile
Monitoring (Sentry) și alertare 24/7

8. Notificare de breach

Te notificăm fără întârziere nejustificată după ce devenim conștienți de un breach, în maxim 72 ore, cu informațiile pe care le avem disponibile. Notificarea include:

Natura incidentului și categoriile de date afectate
Numărul aproximativ de persoane vizate
Măsurile luate pentru a remedia
Recomandări pentru tine privind notificarea ANSPDCP

9. Audit

La cerere rezonabilă (max 1 dată pe an, cu preaviz 30 zile, în timpul orelor de lucru), îți punem la dispoziție:

Documentație despre controalele de securitate
Rezultatele auditurilor SOC 2 / ISO 27001 (când vor fi disponibile)
Răspunsuri scrise la întrebări specifice ale auditorului tău

10. Returnare / ștergere date

La finalul contractului, în 30 zile:

Exporturile au fost deja oferite (le poți descărca până la final)
Datele vii sunt șterse din producție
Backup-urile expiră în următoarele 30 zile
Excepție: facturile rămân conform obligației legale RO (10 ani)

11. Contact

DPO eChati: gdpr@echati.ro
Pentru solicitări semnate (cerere oficială): adresa firmei (vezi Termeni).