Acordul de prelucrare a datelor

Acest acord respectă art. 28 din Regulamentul (UE) 2016/679 (GDPR). Face parte din Termenii și condițiile crearesiterapid.ro și se acceptă odată cu ei, la crearea contului. Acceptarea electronică e înregistrată (documentul, versiunea și data), așa că acordul are forma scrisă cerută de art. 28 alin. (9) GDPR. Nu trebuie semnat separat.

1Părțile#

1. Operatorul e gazda: persoana sau firma care are un cont crearesiterapid.ro și un site pentru o cazare.
2. Persoana împuternicită e DESIGN A LOT S.R.L., CUI 36470402, Reg. Com. J2022024752404, cu sediul în Șos. Panduri nr. 60, bl. C, sc. 3, et. 4, ap. 50, cam. 2, Sector 5, București, e-mail contact@crearesiterapid.ro („noi”).

2Obiectul#

Acordul acoperă datele personale pe care le prelucrăm în numele gazdei, prin site-ul ei:

Nu folosim aceste date în alt scop, nu le trimitem modelului de AI și nu le folosim pentru reclame. Nu prelucrăm categorii speciale de date; formularul nu le cere.

Codurile de măsurare și de reclamă pe care gazda le adaugă din tabul „Tracking” (Google Analytics și, pe Pro, Google Ads și Meta Pixel) trimit date direct din browserul vizitatorului la furnizorii lor, numai după acordul lui. Noi doar încărcăm bannerul și codurile, după instrucțiunile gazdei; nu primim și nu păstrăm ce colectează ele.

Datele contului gazdei, facturarea și celelalte date pentru care noi suntem operator sunt descrise în Politica de confidențialitate, nu în acest acord.

3Durata#

1. Acordul se aplică cât timp prelucrăm date în numele gazdei: cât timp gazda are un site la noi, inclusiv cât e suspendat, până la ștergerea lui.
2. Cererile se șterg automat după 12 luni de la primire, chiar dacă site-ul rămâne.
3. La ștergerea site-ului se aplică punctul 11.
4. Dovada alegerilor din banner se șterge automat la 18 luni de la alegere: 6 luni cât e valabilă alegerea, plus 12 luni.

4Instrucțiunile gazdei#

1. Prelucrăm datele doar după instrucțiunile documentate ale gazdei, inclusiv în ce privește transferurile în afara Spațiului Economic European. Instrucțiunile sunt acest acord, termenii și setările pe care gazda le alege în cont (de exemplu, formularul de cereri, linkurile de calendar și codurile de măsurare din tabul „Tracking”).
2. Excepție face cazul în care legea ne obligă să prelucrăm altfel. Atunci îi spunem gazdei înainte, dacă legea ne permite.
3. Dacă o instrucțiune ni se pare contrară legii, îi spunem imediat gazdei.

5Obligațiile gazdei#

1. Gazda răspunde că prelucrarea are o bază legală și că informează turiștii (art. 13 GDPR). Informarea e pagina „Confidențialitate” a site-ului (punctul 5.4).
2. Gazda răspunde pentru datele după ce ajung la ea: în căsuța ei de e-mail, în fișierele descărcate sau în alte sisteme ale ei.
3. Gazda își ține la zi adresa de e-mail de contact din datele legale, pentru că acolo trimitem cererile.
4. Pagina „Confidențialitate” a site-ului e informarea pe care gazda o face turiștilor și vizitatorilor (art. 13 GDPR). O generăm noi, din șablonul nostru și din datele firmei gazdei, și ținem la zi părțile despre prelucrarea făcută de noi și de sub-procesatori. Gazda o citește și și-o asumă înainte de publicare și răspunde de ea, inclusiv pentru prelucrările proprii pe care pagina nu le descrie.
5. Dacă gazda adaugă coduri de măsurare sau de reclamă:
   1. răspunde că folosirea lor are temei legal și că le folosește doar pe site-ul cazării pe care o administrează;
   2. acceptă și respectă termenii furnizorilor, inclusiv rolul de operator asociat cu Meta pentru colectarea și transmiterea datelor;
   3. păstrează în contul furnizorului setările care țin datele formularului departe de el și, la Google Analytics, rolul Google de împuternicit: în Google Analytics acceptă termenii de prelucrare a datelor („Data Processing Terms”) și lasă oprite partajarea datelor („Data sharing settings”) și colectarea datelor furnizate de utilizatori („User-provided data collection”); la pixeli lasă oprite „automatic advanced matching” (Meta) și „enhanced conversions” (Google Ads);
   4. secțiunile despre coduri din paginile „Cookie-uri” și „Confidențialitate” le generăm noi, din codurile active; pentru setările din contul furnizorului pe care paginile nu le descriu răspunde gazda (punctul 5.4).

6Confidențialitatea#

Accesul la aceste date îl au doar persoanele care lucrează pentru noi și au nevoie de el pentru serviciu, de exemplu ca să rezolve o problemă tehnică sau o cerere a gazdei. Ele s-au obligat să păstreze confidențialitatea sau au o obligație legală de confidențialitate.

7Securitatea#

Luăm măsuri tehnice și organizatorice potrivite riscului (art. 32 GDPR), între care:

1. conexiuni criptate (HTTPS);
2. conectarea gazdei cu cod de unică folosință pe e-mail, fără parole; codurile și sesiunile nu se păstrează în clar;
3. protecția formularelor din cont împotriva trimiterilor din alte site-uri (CSRF);
4. la formularul de cereri: câmp-capcană pentru roboți, Cloudflare Turnstile (pe adresele nume.kzr.ro, la site-urile fără domeniu propriu) și limite de trimitere pe adresă IP și pe site; adresa IP nu se păstrează, ci doar un hash cu sare, timp de o zi;
5. în aplicație, cererile le vede doar gazda contului care deține site-ul;
6. acces la administrare protejat cu parolă, doar pentru noi;
7. ștergerea automată a cererilor după 12 luni;
8. codurile de măsurare se adaugă doar ca ID-uri verificate, niciodată ca script; se încarcă doar după acordul vizitatorului, iar politica de securitate a paginii (CSP) le permite doar domeniile furnizorilor aleși.

8Sub-procesatorii#

1. Gazda ne dă o autorizare generală scrisă să folosim sub-procesatorii de mai jos pentru datele din acest acord.

2. Pentru transferurile în SUA, baza e decizia de adecvare pentru cadrul UE–SUA privind protecția datelor (EU–US Data Privacy Framework), la care Resend, Cloudflare, Google și Sentry participă, împreună cu clauzele contractuale standard ale Comisiei Europene din acordurile lor de prelucrare.
3. Impunem fiecărui sub-procesator, prin contract, obligații de protecție a datelor cel puțin la fel de stricte ca acestea și răspundem față de gazdă pentru ei.
4. Cloudflare folosește informațiile tehnice primite prin Turnstile și ca să-și îmbunătățească detectarea roboților. Pentru această parte, Cloudflare e operator separat, după politica lui pentru Turnstile.
5. Schimbările: înainte să adăugăm sau să înlocuim un sub-procesator pentru aceste date, îi anunțăm pe e-mail pe gazde, cu cel puțin 30 de zile înainte. Gazda se poate opune, cu motive, în acest interval. Dacă nu găsim o soluție, gazda poate anula abonamentul înainte de schimbare, iar noi îi returnăm partea din preț pentru zilele rămase din perioada plătită.

Stripe, SmartBill și Anthropic nu primesc datele turiștilor. Furnizorii codurilor de măsurare aleși de gazdă (Google, Meta) nu sunt sub-procesatorii noștri: gazda îi alege și are contract direct cu ei, iar datele ajung la ei direct din browserul vizitatorului, numai după acordul acestuia.

9Ajutorul pentru drepturile persoanelor#

1. Gazda vede toate cererile în fila „Cereri” și le poate descărca, cu „Descarcă datele site-ului”, ca fișier CSV. Așa poate răspunde singură la o cerere de acces sau de portabilitate.
2. Pentru ștergerea sau corectarea unei cereri, gazda ne scrie la contact@crearesiterapid.ro și o facem noi, în cel mult 14 zile, ca gazda să poată răspunde turistului în termenul de o lună din art. 12 GDPR.
3. Dacă un turist ne scrie direct nouă, îi transmitem cererea gazdei, fără întârzieri nejustificate, și nu îi răspundem noi pe fond, dacă gazda nu ne cere asta.
4. Ajutăm gazda, ținând cont de ce știm și de natura prelucrării, să își îndeplinească obligațiile din art. 32–36 GDPR: securitatea, notificarea incidentelor, evaluările de impact și consultarea autorității, dacă e cazul.
5. Dovada alegerilor din banner nu apare în cont. Gazda ne-o cere la contact@crearesiterapid.ro, cu codul alegerii sau cu intervalul, și i-o trimitem din jurnal.

10Incidentele de securitate#

1. Dacă aflăm de o încălcare a securității datelor din acest acord, o anunțăm gazdei fără întârzieri nejustificate, pe adresa de e-mail a contului, ca ea să poată anunța ANSPDCP în 72 de ore, dacă e cazul.
2. Îi spunem ce știm în acel moment: ce s-a întâmplat, ce date și câte persoane sunt afectate, ce urmări pot fi, ce măsuri am luat sau propunem și pe cine poate contacta la noi. Completăm pe parcurs ce aflăm.
3. Asta o ajută pe gazdă să își îndeplinească obligațiile față de ANSPDCP și față de turiști.

11Ștergerea la încheiere#

1. Înainte de ștergerea unui site, gazda poate descărca oricând cererile, cu „Descarcă datele site-ului”. Așa le primește înapoi. E-mailurile de dinainte de ștergere îi amintesc asta.
2. Când site-ul se șterge, se șterg și cererile lui, calendarul și dovezile alegerilor din banner. Dacă gazda vrea ca cererile să se șteargă mai devreme, ne scrie și le ștergem.
3. Copia privată de 6 luni, pe care o păstrăm după ștergerea unui site, nu conține cererile.
4. Copiile tehnice ale bazei de date, folosite doar pentru recuperarea după un incident, se păstrează cel mult 30 de zile, în Cloudflare R2, în UE. O cerere ștearsă dispare și din ele în cel mult 30 de zile. Până atunci, nu le folosim decât pentru recuperare.

12Auditul#

1. La cerere, îi punem gazdei la dispoziție informațiile necesare ca să arate că ne respectăm obligațiile din acest acord.
2. Gazda sau un auditor ales de ea, obligat la confidențialitate, poate face un audit, inclusiv o inspecție, anunțat cu cel puțin 30 de zile înainte, cel mult o dată pe an, cu excepția cazurilor în care un incident sau o autoritate o cer. Auditul nu trebuie să afecteze datele altor gazde. Costurile auditului le suportă gazda.

13Alte prevederi#

1. Răspunderea pentru acest acord urmează regulile din Termeni, fără să limiteze drepturile turiștilor din art. 82 GDPR.
2. Dacă acest acord și Termenii spun lucruri diferite despre datele turiștilor, se aplică acest acord.
3. Modificările acordului se fac ca la Termeni: cele importante se anunță pe e-mail cu cel puțin 30 de zile înainte.