Acord de prelucrare a datelor

1. Părțile și obiectul

Acordul se încheie între:

• Agenția, clientul care acceptă acest acord odată cu Termenii și condițiile, cu aceeași bifă, în calitate de operator;
• SECUND AI AUTOMATIONS, întreprindere individuală înregistrată în Germania, titular Albert Cristian Crăciun, cu sediul în Untere Kirchgasse 17, 97318 Kitzingen, Germania, cod de TVA UE DE463884018 („Secund”), în calitate de persoană împuternicită.

Acordul stabilește cum prelucrează Secund datele cu caracter personal în numele Agenției, când îi furnizează platforma descrisă în Termenii și condițiile. Se încheie în formă electronică (art. 28 alin. (9) GDPR) și face parte din același contract. Pentru datele personale, acordul are prioritate față de Termenii și condițiile.

Acordul nu privește datele pentru care Secund este operator: conturile Utilizatorilor Agenției, facturarea și securitatea platformei. Acestea sunt descrise în Politica de confidențialitate.

Noțiunile au înțelesul din art. 4 GDPR, iar celelalte cuvinte scrise cu majusculă au înțelesul din Termenii și condițiile. „Subîmputernicit” înseamnă altă persoană împuternicită pe care Secund o folosește pentru datele Agenției.

2. Durata, natura și scopul prelucrării

Acordul se aplică de la acceptarea lui până la ștergerea tuturor datelor Agenției.

Secund prelucrează datele doar ca să presteze serviciul ales de Agenție: să răspundă oamenilor care îi scriu și să îi califice, să anunțe Agenția, să păstreze Conversațiile pentru ea, să programeze vizionări, să citească proprietățile din CRM, să le publice pe Facebook și Instagram, să scrie anunțuri, să întocmească analize de piață și să îi ajute pe Utilizatori să folosească Platforma, prin Asistentul Secund.

Operațiunile sunt: colectarea, înregistrarea, stocarea, consultarea, structurarea (extragerea automată a detaliilor și calcularea scorului de calificare), transmiterea către Agenție și către subîmputerniciți, publicarea la cererea Agenției și ștergerea. Prelucrarea este automată; o parte din texte sunt scrise de un model de inteligență artificială.

Fiecare prelucrare este descrisă la Descrierea prelucrărilor.

3. Persoanele vizate și categoriile de date

Persoanele vizate sunt:

• Vizitatorii, adică oamenii care scriu Asistentului Agenției pe site sau pe Whatsapp;
• clienții, proprietarii și agenții ale căror date apar în sistemul CRM al Agenției, în proprietățile și anunțurile ei sau în informațiile date Asistentului;
• clienții ale căror vizionări sunt programate prin Platformă.

Datele sunt: mesajele și răspunsurile din Conversații; detaliile extrase din ele (intenția, zona, tipul proprietății, bugetul, termenul, modul de plată, numele, telefonul, dorința de a vorbi cu un om sau de a face o vizionare); scorul de calificare și rezumatul Conversației; datele proprietăților; datele vizionărilor; identificatori tehnici.

Serviciul nu are nevoie de categorii speciale de date (art. 9 GDPR) și nici de date despre condamnări penale (art. 10 GDPR). Asistentul nu le cere. Dacă un Vizitator le scrie totuși, ele rămân în Conversație până la ștergerea ei; Agenția poate șterge oricând o Conversație.

Pentru analiza de piață se citesc din anunțurile publice doar datele proprietăților, niciodată numele sau telefonul celui care a publicat anunțul.

4. Instrucțiunile Agenției

Secund prelucrează datele doar după instrucțiunile documentate ale Agenției, inclusiv pentru transferurile în afara Spațiului Economic European (SEE), cu excepția cazului în care legea Uniunii sau a statului membru îl obligă; atunci anunță Agenția înainte, dacă legea permite.

Instrucțiunile sunt: Termenii și condițiile, acest acord și setările Agenției din Platformă, de exemplu ce Automatizări pornește, ce informații dă Asistentului, ce Conexiuni face, cui trimite alertele și ce Conversații șterge. Alte instrucțiuni le dă un Administrator, prin email; dacă cer o muncă în afara serviciului obișnuit, părțile se înțeleg înainte.

Agenția acceptă prin acest acord perioada de păstrare de 12 luni a Conversațiilor, aceeași pentru toate agențiile.

Secund anunță imediat Agenția dacă, în opinia lui, o instrucțiune încalcă GDPR sau alte reguli privind protecția datelor.

5. Obligațiile Agenției

Agenția răspunde de legalitatea prelucrării și stabilește temeiul legal pentru datele pe care le pune sau le aduce în Platformă, de exemplu demersurile făcute la cererea Vizitatorului înainte de un contract sau interesul ei legitim.

Agenția își informează Vizitatorii și clienții (art. 13 și 14 GDPR). Sub caseta de chat de pe site, Vizitatorul citește că agenția salvează Conversația ca să îl poată contacta, cu legătura spre nota pentru vizitatori. Agenția menționează Asistentul și programarea vizionărilor în propria notă de informare.

Agenția răspunde cererilor persoanelor vizate, nu folosește Platforma ca să ceară date sensibile și nu pune în Platformă date de care serviciul nu are nevoie.

Meta (Facebook, Instagram, Whatsapp), Google Calendar și sistemele CRM sunt serviciile Agenției, folosite în baza contractelor ei cu acești furnizori; ele nu sunt subîmputerniciții Secund. Agenția răspunde de respectarea acestor contracte.

6. Confidențialitatea și accesul oamenilor Secund

La server și la baza de date au acces administrativ doar titularul Secund și partenerul lui, obligați să păstreze confidențialitatea, și după încheierea colaborării.

Ei nu citesc Conversațiile Agenției. Le accesează doar când Agenția o cere în scris, pentru o problemă semnalată de ea, sau când legea o cere, și doar cât este nevoie.

Discuțiile Utilizatorilor cu Asistentul Secund nu sunt Conversații: ei le citesc, ca să îmbunătățească ajutorul, cum arată Descrierea prelucrărilor.

7. Securitatea prelucrării

Secund aplică măsuri tehnice și organizatorice potrivite riscului (art. 32 GDPR):

• Cheile de acces ale Agenției sunt criptate cu AES 256 GCM; cheia de criptare există doar pe serverul Secund, nu în baza de date, nici în cod, iar fiecare decriptare se înregistrează cu agenția, conexiunea, motivul și momentul.
• Datele fiecărei agenții sunt separate în baza de date, prin securitate la nivel de rând; un test automat verifică separarea.
• Toate conexiunile sunt criptate (HTTPS), cu certificate reînnoite automat.
• Firewallul lasă să intre doar traficul web și accesul administrativ, iar accesul administrativ la server se face doar cu cheie criptografică, nu cu parolă.
• Copii de siguranță zilnice ale serverului, păstrate 7 zile; actualizări de securitate instalate automat.
• Motorul de automatizare nu păstrează conținutul rulărilor; istoricul lor păstrează doar starea, momentul și numerele.
• Privilegiul minim: din CRM Platforma citește proprietățile și doar adaugă clienții calificați, fără să schimbe sau să șteargă ceva; motorul primește cheia unei agenții doar pentru rularea în curs; Agentul vede doar munca lui.
• Limite împotriva abuzului pentru fiecare Vizitator, adresă IP și agenție.
• Parolele Utilizatorilor nu se păstrează în clar.

Secund poate actualiza măsurile, fără să scadă nivelul de protecție.

8. Subîmputerniciții

Agenția dă Secund o autorizare generală scrisă să folosească subîmputerniciți. Lista actuală:

• Supabase: baza de date, autentificarea și stocarea; păstrează Conversațiile, informațiile Asistentului, Conexiunile și Cheile de acces criptate. Datele stau în Uniunea Europeană (Frankfurt, Germania); companie din SUA.
• Hetzner Online GmbH, Germania: serverul pe care rulează Platforma și motorul de automatizare, cu copiile de siguranță (Helsinki, Finlanda).
• OpenAI: modelul de inteligență artificială care scrie răspunsurile Asistentului și ale Asistentului Secund, extrage detaliile și rezumatul Conversațiilor și scrie textele cerute (companie din SUA). Datele trimise prin API nu sunt folosite pentru antrenarea modelelor.
• Resend: trimite emailurile Platformei, inclusiv alertele cu numele și telefonul oamenilor calificați și mesajele din formularul de contact (companie din SUA, trimitere din Irlanda).
• Apify Technologies s.r.o., Cehia: citește anunțurile publice pentru analiza de piață; primește doar datele proprietății căutate.
• OpenStreetMap Foundation, Regatul Unit (Nominatim): găsește pe hartă adresa proprietății analizate; primește doar adresa.

Secund încheie cu fiecare subîmputernicit acordul lui de prelucrare a datelor, cu obligații echivalente celor din acest acord, și răspunde față de Agenție pentru felul în care subîmputerniciții își îndeplinesc obligațiile.

Secund anunță prin email, cu cel puțin 30 de zile înainte, orice subîmputernicit nou sau înlocuit: cine este, ce face și unde prelucrează datele. Agenția se poate opune prin email în 14 zile de la anunț, cu motive legate de protecția datelor. Dacă părțile nu găsesc o soluție, Agenția poate înceta contractul înainte de schimbare și primește înapoi partea plătită și nefolosită a abonamentului.

9. Transferurile în afara SEE

Secund transferă date ale Agenției în afara SEE doar către subîmputerniciții de mai sus și doar cu garanțiile din capitolul V GDPR: decizia privind caracterul adecvat, inclusiv cadrul de protecție a datelor dintre UE și SUA pentru companiile certificate (art. 45), sau clauzele standard adoptate de Comisia Europeană (art. 46).

Astăzi, Conversațiile și informațiile Asistentului ajung în SUA la OpenAI, iar emailurile trec prin Resend. Regatul Unit are o decizie privind caracterul adecvat. La cerere, Secund trimite o copie a garanțiilor.

10. Asistența pentru Agenție

Drepturile persoanelor vizate: Agenția vede în Platformă Conversațiile și detaliile extrase și poate șterge o Conversație. Dacă Secund primește direct o cerere a unei persoane vizate, o trimite Agenției fără întârziere și nu răspunde singur, decât la instrucțiunea ei. La cerere, Secund ajută Agenția cu ce nu poate face singură din Platformă, de exemplu o copie a unei Conversații pentru dreptul de acces sau de portabilitate.

Încălcarea securității datelor: Secund anunță Agenția fără întârzieri nejustificate, în cel mult 48 de ore de când a aflat. Anunțul cuprinde, pe măsură ce sunt cunoscute, natura încălcării, categoriile și numărul aproximativ de persoane și înregistrări afectate, consecințele probabile, măsurile luate și o persoană de contact. Secund limitează imediat efectele și ajută Agenția să anunțe autoritatea și, dacă este cazul, persoanele vizate (art. 33 și 34 GDPR); anunțarea lor rămâne obligația Agenției.

La cerere, Secund dă Agenției informațiile de care are nevoie pentru o evaluare a impactului și pentru consultarea prealabilă a autorității (art. 35 și 36 GDPR). Secund ține evidența prelucrărilor făcute în numele Agenției (art. 30 alin. (2) GDPR) și cooperează cu autoritatea de supraveghere (art. 31 GDPR).

11. Ștergerea sau returnarea datelor

Conversațiile se șterg automat la 12 luni de la începutul lor, iar Agenția poate șterge oricând o Conversație. Celelalte date rămân cât timp există contul Agenției sau până când Agenția le șterge.

La încetare, Agenția alege: cere prin email o copie a datelor, pe care Secund o trimite gratuit, în format structurat (CSV sau JSON), în cel mult 30 de zile, apoi își șterge contul; sau își șterge direct contul. La ștergerea contului, datele Agenției se șterg imediat, iar din copiile de siguranță dispar în cel mult 7 zile. Excepție fac datele pe care legea obligă Secund să le păstreze.

La cerere, Secund confirmă ștergerea în scris.

12. Informații și audituri

La cerere, Secund dă Agenției informațiile care arată că respectă art. 28 GDPR: descrierea măsurilor de securitate, lista subîmputerniciților și, dacă există, rapoartele sau certificările lor.

Dacă acestea nu ajung, Agenția poate face un audit, direct sau prin intermediul unui auditor independent obligat la confidențialitate, anunțat cu cel puțin 30 de zile înainte, cel mult o dată pe an, cu excepția unei încălcări a securității datelor. Auditul se face în zilele lucrătoare, fără acces la datele altor agenții și fără să pună în pericol securitatea Platformei. Costurile sunt ale Agenției.

13. Răspunderea și dispoziții finale

Fiecare parte răspunde conform art. 82 GDPR. Între părți se aplică limitele de răspundere din Termenii și condițiile, în măsura în care legea le permite.

Acordul încetează odată cu contractul. Obligațiile privind ștergerea, confidențialitatea și securitatea durează până la ștergerea tuturor datelor Agenției. Legea aplicabilă, instanța și modificarea acordului urmează regulile din Termenii și condițiile.

Contact: contact@secund.ro.

14. Descrierea prelucrărilor

Asistentul pe site. Mesajul ajunge pe serverul Secund. Platforma trimite modelului de inteligență artificială instrucțiunile, informațiile Agenției, ultimele mesaje ale Conversației și mesajul nou; modelul întoarce răspunsul și detaliile, iar Platforma calculează scorul după reguli fixe și salvează Conversația. Dacă există un motiv de alertă și se cunoaște un telefon, pleacă un email de alertă la adresele alese de Agenție. Când Asistentul nu poate răspunde, Vizitatorul lasă numele, telefonul și mesajul în formularul de contact. Browserul Vizitatorului păstrează un identificator aleatoriu, ca discuția să continue 24 de ore pe același site. Adresa IP se folosește pe moment, împotriva abuzului, și rămâne cel mult 30 de zile în jurnalele tehnice ale serverului.

Asistentul pe Whatsapp. La fel ca pe site, pe numărul de Whatsapp al Agenției, legat prin cod QR. Legătura rulează pe serverul Secund. Se adaugă numărul de telefon și numele din profilul de Whatsapp al omului. Mesajele rămân și în aplicația Whatsapp a Agenției.

Informațiile Agenției pentru Asistent: textele completate de Agenție, întrebările și răspunsurile ei și textul extras din documentele încărcate (se păstrează doar textul și numele fișierului). Pot cuprinde numele și datele de contact ale agenților. Se trimit modelului de inteligență artificială la fiecare răspuns.

Proprietățile din CRM: Platforma citește periodic, doar prin citire, proprietățile Agenției din CRM, ca să le publice, să le analizeze și ca Asistentul să răspundă despre ele.

Vizionările: când Asistentul sau un agent programează o vizionare, proprietatea, numele și telefonul clientului și nota agentului intră în calendarul Google al agentului, conectat de el.

Publicarea pe Facebook și Instagram: proprietățile noi din CRM se publică o singură dată pe pagina Agenției, cu un text scris de modelul de inteligență artificială; postarea rămâne pe pagina Agenției, la Meta.

Analiza de piață și anunțurile scrise: din datele proprietății, Platforma citește anunțuri publice asemănătoare și scrie raportul, respectiv textele anunțului, cu ajutorul modelului de inteligență artificială; raportul ajunge la Agenție pe email.

Asistentul Secund: fereastra de ajutor din Platformă, în care Utilizatorii întreabă cum se folosește Platforma. Modelul de inteligență artificială primește întrebarea, ultimele mesaje ale discuției, rolul Utilizatorului, pagina deschisă și ce este conectat și pornit în contul Agenției; nu primește Conversațiile cu Vizitatorii. Discuțiile se păstrează 30 de zile, apoi se șterg singure. Titularul Secund și partenerul lui le citesc, mai ales pe cele la care asistentul nu a știut să răspundă, ca să îmbunătățească ajutorul. Utilizatorii nu scriu în ele datele clienților; dacă o fac totuși, datele se șterg odată cu discuția.

Unde se păstrează: în baza de date Supabase, în Uniunea Europeană. Cât timp: Conversațiile 12 luni; discuțiile cu Asistentul Secund 30 de zile; restul cât există contul sau până când Agenția le șterge.