Acord de prelucrare a datelor (DPA)

1. Părțile și rolurile

Operator: organizația clientă (comerciantul sau agenția care folosește platforma). Persoană împuternicită: ITERIO S.R.L., CUI 47926190, Ocna Mureș, județul Alba, România.

Clientul decide ce date conectează și ce materiale generează; noi le prelucrăm doar pe baza instrucțiunilor lui documentate, care sunt date prin folosirea platformei, prin setările ei și prin contractul semnat. Dacă o instrucțiune ni se pare că încalcă GDPR sau altă lege privind protecția datelor, îl informăm imediat pe client.

2. Obiectul, durata și natura prelucrării

Obiect și scop: furnizarea platformei — analiza reclamelor, semnale de scalare, calcul de profit, cercetare de piață, generarea de reclame video și pagini de produs. Natura: colectare din platformele conectate de client, stocare, analiză (inclusiv cu modele AI), generare de materiale, ștergere.

Durata: pe durata contractului, plus perioadele de ștergere de la secțiunea 6.

Categorii de persoane vizate: utilizatorii platformei din partea clientului și, indirect, persoanele care apar în materialele încărcate sau în reclamele clientului. Tipuri de date: identificare și contact ale utilizatorilor (nume, e-mail), jurnale de acțiuni, imaginea și vocea persoanelor din materialele clientului. Din comenzile Shopify și Fulfilo NU preluăm date de identificare ale cumpărătorilor. Nu prelucrăm categorii speciale de date (art. 9 GDPR) decât dacă clientul le încarcă, ceea ce Termenii îi cer să nu facă fără temei.

3. Obligațiile noastre

Prelucrăm datele doar pe baza instrucțiunilor documentate ale clientului; persoanele cu acces sunt ținute la confidențialitate; aplicăm măsuri tehnice și organizatorice adecvate (art. 32 GDPR): criptare în repaus a secretelor, izolare per organizație la nivel de bază de date, jurnalizarea accesului intern, backup zilnic cu probă lunară de restaurare.

Asistăm clientul, în măsura posibilă, la cererile persoanelor vizate și la obligațiile din art. 32–36 GDPR (securitate, notificarea încălcărilor, evaluări de impact, consultare prealabilă).

Anunțăm clientul fără întârziere nejustificată, și în orice caz în cel mult 48 de ore de la constatare, despre o încălcare a securității care îi privește datele, cu informațiile pe care le avem la acel moment.

4. Subprocesatori

Clientul autorizează general subprocesatorii de mai jos. Îi impunem fiecăruia, prin contract, obligații de protecție a datelor echivalente cu cele din acest acord și răspundem față de client pentru ei. Îl anunțăm pe client înainte de a adăuga sau înlocui unul, iar clientul poate obiecta motivat.

Cei marcați „la alegerea clientului” intră în joc doar dacă clientul își pune propria cheie (BYOK); pe acele conturi, relația contractuală cu furnizorul e a clientului. Platformele pe care clientul le conectează (Meta, TikTok, Shopify, Fulfilo) nu sunt subprocesatori: sunt sursele datelor lui, operatori independenți.

• Vercel Inc. — găzduirea aplicației web și a API-ului · UE/SUA
• Neon Inc. — baza de date (PostgreSQL gestionat) · UE (Frankfurt)
• Cloudflare, Inc. (R2) — stocarea fișierelor: imagini, clipuri, montaje · UE/global
• Hetzner Online GmbH — serverul de randare video și oglinda de backup · Germania
• Resend, Inc. — e-mailuri tranzacționale și alerte · UE/SUA
• Functional Software, Inc. (Sentry) — erori tehnice și urme de execuție · UE
• Anthropic PBC — modele de limbaj pentru scripturi, analize și recenzii · SUA · la alegerea clientului
• OpenAI, L.L.C. — generare de imagini și text · SUA · la alegerea clientului
• Google LLC — generare de imagini/video, transcriere și analiza video a reclamelor · UE/SUA · la alegerea clientului
• KIE.ai — generare de imagini și clipuri video · global · la alegerea clientului
• fal.ai — generare și procesare de media · SUA · la alegerea clientului
• ElevenLabs Inc. — voce sintetică și sincronizare labială · SUA · la alegerea clientului
• Apify Technologies s.r.o. — colectarea reclamelor publice din biblioteci de reclame · UE (Cehia) · la alegerea clientului

5. Transferuri în afara SEE

Unii subprocesatori prelucrează date în Statele Unite. Transferurile se fac pe baza deciziei de adecvare pentru Cadrul de confidențialitate a datelor UE-SUA, unde furnizorul e certificat, sau a clauzelor contractuale standard ale Comisiei Europene, cu măsurile suplimentare din contractele respective.

6. Ștergerea și returnarea datelor

La încetarea contractului, organizația se arhivează, iar datele și fișierele ei se șterg definitiv după 30 de zile (job automat, cu jurnal). Până atunci, clientul poate cere un export al materialelor livrate.

La deconectarea Meta se șterg datele de reclame sincronizate; la deconectarea TikTok, cheltuiala adusă din TikTok; la dezinstalarea din Shopify ștergem datele magazinului în cel mult 48 de ore. Media de cercetare se șterge automat după 30 de zile, iar fișierele intermediare ale reclamelor clientului după 30 de zile: cadrele, clipurile și vocea rulărilor anulate sau picate, și — la rulările livrate — doar versiunile neaprobate ale căror unități au deja o versiune aprobată mai NOUĂ. Un fișier fără succesor aprobat nu se atinge, iar reclamele livrate rămân până la ștergerea lor de către client sau până la arhivarea organizației.

Capturile de ecran trimise prin „Feedback” se șterg automat la 90 de zile după ce problema e rezolvată.

Copiile din backup dispar odată cu rotația lor normală (cel mult 35 de zile). Jurnalul de audit se păstrează conform Politicii de confidențialitate.

7. Audit

Punem la dispoziție informațiile necesare pentru a dovedi respectarea art. 28 GDPR și permitem audituri rezonabile, anunțate cu cel puțin 30 de zile înainte, cel mult o dată pe an sau după un incident de securitate, pe cheltuiala clientului.

8. Contact

ITERIO S.R.L. · contact@iterio.io