Acord de prelucrare a datelor (DPA)

Prezentul acord se încheie între:

• Utilizatorul platformei Invitera care creează și publică invitații („Operatorul" — tu), și
• CABIO GROUP SRL, CUI 55193324, J2026043851005, Str. Cetății nr. 30, camera 1, Sibiu, jud. Sibiu, e-mail [email protected] („Persoana împuternicită" sau „Invitera").

Acordul guvernează prelucrarea datelor cu caracter personal ale invitaților și ale altor persoane pe care Operatorul le introduce sau le colectează prin platformă, efectuată de Invitera în numele Operatorului, conform art. 28 din Regulamentul (UE) 2016/679 („GDPR").

Acordul face parte integrantă din Termenii și condițiile Invitera și se consideră acceptat la crearea contului. Pentru datele Operatorului însuși (cont, facturare), Invitera acționează ca operator de date, conform Politicii de confidențialitate — acele prelucrări nu fac obiectul prezentului acord.

• Durata: pe durata existenței contului și a invitațiilor/albumelor active, plus perioadele de grație descrise în Politica de confidențialitate (ștergere automată).
• Natura: colectare, stocare, structurare, afișare, transmitere prin e-mail, ștergere.
• Scopul: exclusiv furnizarea funcționalităților platformei — publicarea invitației, colectarea confirmărilor de prezență (RSVP), gestionarea listei de invitați, a planului de mese și a cazării, albumul foto al evenimentului și trimiterea de remindere către invitați.

Persoane vizate: invitații la evenimentul Operatorului și alte persoane ale căror date le introduce Operatorul (ex. însoțitori, copii — doar numărul acestora).

Categorii de date:

• date de identificare și contact: nume, telefon, e-mail (dacă sunt furnizate);
• date despre participare: prezența confirmată, însoțitor, număr de copii, preferințe de meniu, mesaj/urare, opțiunea privind cazarea;
• date organizatorice introduse de Operator: lista invitaților, așezarea la mese, cazare;
• conținut media: fotografii și videoclipuri încărcate în albumul evenimentului (pot conține imagini ale persoanelor);
• date tehnice anti-spam la trimiterea formularului RSVP: amprentă tehnică a browserului și hash derivat din IP (IP-ul brut nu se stochează).

Nu se prelucrează categorii speciale de date (art. 9 GDPR) în mod intenționat; Operatorul se obligă să nu introducă astfel de date.

Invitera se obligă:

• să prelucreze datele doar pe baza instrucțiunilor documentate ale Operatorului (instrucțiunile fiind date prin utilizarea funcționalităților platformei), inclusiv în ce privește transferurile internaționale, cu excepția cazului în care legea o obligă altfel — caz în care va informa Operatorul înainte, dacă legea nu interzice;
• să se asigure că persoanele autorizate să prelucreze datele s-au angajat la confidențialitate;
• să implementeze măsurile tehnice și organizatorice din Anexa 1 (art. 32 GDPR);
• să respecte condițiile pentru subîmputerniciți (secțiunea 5);
• să asiste Operatorul, în măsura posibilului, la îndeplinirea obligației de a răspunde cererilor persoanelor vizate (acces, rectificare, ștergere etc.) — platforma oferă instrumente directe: editarea/ștergerea RSVP-urilor, a invitaților și a fișierelor din album;
• să asiste Operatorul la respectarea obligațiilor din art. 32–36 GDPR (securitate, notificarea încălcărilor, evaluări de impact), ținând cont de natura prelucrării; Invitera va notifica Operatorul fără întârzieri nejustificate după ce ia cunoștință de o încălcare a securității datelor prelucrate în numele lui;
• la încetare (ștergerea invitației, expirarea perioadelor de retenție sau ștergerea contului), să șteargă datele prelucrate în numele Operatorului, cu excepția celor a căror păstrare e cerută de lege; ștergerea se face automat, conform termenelor din Politica de confidențialitate;
• să pună la dispoziția Operatorului informațiile necesare pentru a demonstra conformitatea cu art. 28 GDPR și să permită audituri, în limite rezonabile: pentru un serviciu standardizat, auditul se realizează în principal prin documentația publicată (politici, lista subîmputerniciților, certificările acestora) și prin răspunsuri scrise la întrebări rezonabile transmise la [email protected].

Operatorul autorizează în mod general utilizarea următorilor subîmputerniciți:

Invitera va încheia cu fiecare subîmputernicit un acord care impune obligații de protecție a datelor echivalente celor din prezentul acord și rămâne răspunzătoare față de Operator pentru îndeplinirea obligațiilor de către subîmputerniciți.

Modificarea listei: Invitera va publica lista actualizată în Politica de confidențialitate și va informa Operatorii (e-mail sau notificare în cont) cu cel puțin 15 zile înainte de adăugarea unui subîmputernicit nou, timp în care Operatorul poate obiecta; dacă obiecția nu poate fi rezolvată rezonabil, Operatorul poate înceta utilizarea serviciului și cere ștergerea datelor.

Notă: Stripe și Oblio nu sunt subîmputerniciți în sensul prezentului acord — prelucrează datele de plată/facturare ale Operatorului, pentru care Invitera este operator.

Datele sunt stocate în Uniunea Europeană. Dacă un subîmputernicit poate prelucra date în afara UE/SEE, transferul se face doar cu garanții adecvate (clauzele contractuale standard ale Comisiei Europene sau alt mecanism valid conform cap. V GDPR).

Operatorul se obligă:

• să aibă un temei legal pentru datele pe care le introduce sau le colectează prin platformă și să informeze invitații cu privire la prelucrare (formularul RSVP al platformei include un link către informarea de confidențialitate);
• să nu introducă date care nu sunt necesare scopului (minimizare) și să nu introducă categorii speciale de date;
• să configureze și să folosească instrumentele platformei (ștergere RSVP-uri, invitați, fișiere) pentru a răspunde cererilor persoanelor vizate;
• să răspundă, în calitate de operator, cererilor persoanelor vizate primite direct; dacă o persoană vizată contactează Invitera pentru date prelucrate în numele Operatorului, Invitera va redirecționa cererea către Operator, în măsura în care e posibil.

Răspunderea părților este guvernată de art. 82 GDPR și de Termenii și condițiile Invitera. Prezentul acord prevalează asupra Termenilor în ceea ce privește prelucrarea datelor în numele Operatorului. Legea aplicabilă este legea română.

• criptarea comunicațiilor în tranzit (HTTPS/TLS) pentru toate paginile și API-urile;
• parole stocate exclusiv sub formă de hash;
• controlul accesului pe bază de rol (utilizator/furnizor/administrator) și politici de securitate la nivel de bază de date (row-level security);
• izolarea datelor fiecărui Operator: invitațiile, RSVP-urile și albumele sunt accesibile doar contului proprietar;
• protecție anti-spam și anti-abuz la formularele publice (amprentă tehnică, hash IP, limitare de frecvență);
• ștergerea automată a datelor la expirarea perioadelor de retenție (RSVP-uri ~90 de zile după expirarea invitației; fișierele din album la expirarea albumului);
• copii de siguranță periodice ale bazei de date;
• jurnalizare tehnică pentru investigarea incidentelor, fără stocarea IP-urilor brute ale invitaților;
• acces la infrastructură restricționat la personalul autorizat, pe principiul nevoii de a cunoaște.