_Ultima actualizare: 13 septembrie 2026_
Acest Acord de prelucrare („DPA") este un contract conform art. 28 GDPR între studioul de detailing care folosește DetailingManager („Compania", „Operatorul") și Radoslav Moshev, Sofia, str. Pirin, Bulgaria, admin@detailingmanager.com („Persoana împuternicită").
Se aplică atunci când Compania stochează în platformă date cu caracter personal ale clienților, angajaților sau altor persoane fizice proprii. Nu înlocuiește Politica de confidențialitate sau Termenii. Textul este o ciornă de lucru, nu un instrument certificat de un avocat.
1. Obiect și scop
Persoana împuternicită furnizează SaaS-ul DetailingManager (clienți și vehicule, lucrări, documente, memento-uri, campanii email, statistici, căutare VIN) pentru ca Compania să își poată gestiona studioul. Prelucrarea are loc doar în acest scop, pe instrucțiuni documentate ale Companiei (utilizarea produsului și cereri scrise la admin@detailingmanager.com).
2. Durata
DPA-ul durează cât timp Compania are un cont activ. După închiderea confirmată, datele live și fișierele din stocare sunt șterse imediat. Copiile de rezervă de pe același server Hetzner din Nürnberg se păstrează până la 7 zile, apoi sunt suprascrise. Dacă un backup este restaurat în această fereastră, ștergerea se aplică din nou.
3. Categorii de date și persoane vizate
Persoane vizate: clienții Companiei și contactele lor; personalul studioului cu conturi; destinatarii emailurilor pe care le trimite Compania.
Date tipice: nume, telefon, email, adresă, data nașterii, consimțământ de marketing, vehicule (inclusiv VIN și număr de înmatriculare), note și fotografii ale lucrărilor, documente PDF, instantanee ale destinatariilor de campanie.
Compania decide ce introduce. Persoana împuternicită nu colectează date despre clienții studioului din alte surse.
Dacă activează asistentul AI, întrebările scrise de personalul Companiei și înregistrările pe care asistentul le citește pentru a răspunde sunt de asemenea prelucrate conform secțiunilor 5 și 6.
4. Obligațiile persoanei împuternicite
Persoana împuternicită va:
- prelucra datele personale doar pe instrucțiunile Companiei, cu excepția cazului în care dreptul UE sau bulgar impune altfel
- se asigura că persoanele autorizate să prelucreze datele sunt ținute la confidențialitate
- implementa măsurile de securitate din secțiunea 7
- angaja alți împuterniciți doar conform secțiunii 5
- ajuta Compania să răspundă cererilor persoanelor vizate (acces, rectificare, ștergere, portabilitate), inclusiv exportul CSV de clienți din produs
- ajuta Compania la securitate, încălcări și evaluări de impact, ținând seama de natura prelucrării
- șterge sau returna datele personale la sfârșitul serviciului, conform secțiunii 2
- pune la dispoziție informațiile rezonabil necesare pentru a demonstra conformitatea și permite audituri conform secțiunii 9
5. Sub-împuterniciți
Compania autorizează următorii sub-împuterniciți. Modificările esențiale vor fi reflectate în acest DPA și în Politica de confidențialitate.
| Furnizor | Rol | Locație |
|---|---|---|
| Supabase | Bază de date, autentificare, fișiere | Irlanda (AWS eu-west-1) |
| Hetzner / Coolify | Găzduirea aplicației și copii de rezervă (până la 7 zile) | Nürnberg, Germania |
| Resend | Email tranzacțional și de campanie | Irlanda (eu-west-1) |
| Upstash Redis | Limitarea cererilor (IP / contoare) | Belgia (GCP europe-west1) |
| OpenAI Ireland Limited | Asistent AI (doar dacă Compania îl activează) | Irlanda; prelucrarea poate avea loc în afara UE |
| db.vin | Decodare VIN principală | Doar VIN |
| NHTSA vPIC | Decodare VIN de rezervă | Statele Unite (doar VIN) |
Asistentul AI este dezactivat implicit. Un administrator al Companiei trebuie să îl activeze și să confirme o notificare care numește furnizorul; până atunci nimic nu ajunge la OpenAI. Istoricul conversațiilor este stocat în platformă și șters automat după cel mult 14 zile.
Google Analytics 4 și Meta Pixel rulează doar dacă vizitatorul acordă consimțământ de marketing. Nu sunt folosite pentru baza de clienți a Companiei.
6. Transferuri internaționale
Găzduirea de bază, baza de date, fișierele, aplicația, Redis și trimiterea de email sunt în UE (Irlanda, Germania, Belgia).
VIN-ul poate fi trimis către NHTSA vPIC din Statele Unite când decoderul din UE nu returnează un rezultat. Nu se trimit nume, telefon sau email cu acea cerere.
Dacă asistentul AI este activat, întrebările și înregistrările necesare pentru răspuns ajung la OpenAI Ireland Limited, care prelucrează datele din SEE conform Actului adițional privind prelucrarea datelor al OpenAI și le transferă în afara SEE doar în baza clauzelor contractuale standard. Intrările și ieșirile API nu sunt folosite pentru antrenarea modelelor OpenAI. Jurnalele de monitorizare a abuzurilor le pot conține și se păstrează până la 30 de zile, cu excepția cazului în care legea impune o păstrare mai lungă.
Pixelii de marketing (dacă există consimțământ) pot transfera date în afara UE conform termenilor acelor furnizori.
7. Securitate
- Criptare în tranzit (TLS 1.3) și în repaus (AES-256)
- Row-Level Security, astfel încât fiecare chiriaș vede doar rândurile proprii
- Autentificare cu doi factori opțională
- Timeout de sesiune configurabil de Companie
- Roluri cu privilegii minime (admin / manager / angajat)
8. Încălcarea securității datelor
Dacă persoana împuternicită află de o încălcare care afectează datele Companiei, notifică Compania fără întârzieri nejustificate, cu obiectivul de 72 de ore, la emailul de administrator din dosar, cu faptele cunoscute, consecințele probabile și măsurile luate. Compania rămâne responsabilă să notifice autoritatea de supraveghere și persoanele vizate când GDPR o cere.
9. Audituri
Compania poate solicita, cel mult o dată pe an — exceptând după o încălcare — informații scrise sau un rezumat al măsurilor relevante. Auditurile la fața locului sau invazive necesită preaviz rezonabil și nu trebuie să compromită alți chiriași. Persoana împuternicită poate satisface cererea cu certificări sau rapoarte actuale ale sub-împuterniciților (de exemplu Supabase SOC 2).
10. Ștergere și export
Compania poate șterge clienți individuali în produs. Se elimină numele, telefonul, emailul și datele de contact similare; vehiculul și lucrările finalizate rămân fără acele contacte (VIN-ul și numărul de înmatriculare rămân ca istoric al serviciului). Lucrările nefinalizate sunt eliminate.
Un export CSV lizibil de mașină al listei de clienți (și al firmelor) este disponibil administratorilor Companiei.
Pentru ștergerea întregului cont al Companiei scrieți la admin@detailingmanager.com. Datele live sunt eliminate după confirmare; copiile de rezervă de pe același server Hetzner din Nürnberg se păstrează până la 7 zile, apoi sunt suprascrise.
11. Legea aplicabilă
Acest DPA este reglementat de legislația Republicii Bulgaria. Litigiile se soluționează de instanța competentă din Bulgaria.
12. Contact
- Email: admin@detailingmanager.com
- Subiect: DPA / Prelucrare date