Acord de Procesare a Datelor (DPA)

1. Rolurile părților

În sensul Art. 28 GDPR:

• Clientul acționează ca Operator de date pentru datele cu caracter personal pe care le introduce în Platformă (angajați, clienți B2B, furnizori, date operaționale).
• Furnizorul (SPECIALTY GENERAL BUSINESS SRL, CUI RO35630343) acționează ca Persoană Împuternicită (Procesator), prelucrând aceste date exclusiv în numele și conform instrucțiunilor Clientului.
• Pentru datele proprii platformei (conturi utilizatori, lead-uri, facturare abonament), Furnizorul acționează în calitate de Operator de date independent, conform Politicii de Confidențialitate.

2. Obiectul și durata procesării

Procesarea are loc pe toată durata abonamentului activ, exclusiv în scopul furnizării funcționalităților Platformei (POS, stoc, facturare, payroll, contabilitate, comunicare).

3. Sub-procesatori autorizați

• Infrastructură server (self-hosted) — baza de date PostgreSQL și stocarea fișierelor sunt găzduite pe un server dedicat administrat de Furnizor, în Uniunea Europeană (România). Nu utilizăm Supabase Inc. cloud.
• Stripe Inc. — procesare plăți (certificat PCI-DSS Level 1; Standard Contractual Clauses pentru transferuri extra-UE)
• Resend Inc. — livrare email tranzacțional
• Anthropic PBC — procesare AI/LLM pentru funcționalitățile AI Hub (date minimale transmise, fără date cu caracter personal identificabile când poate fi evitat)
• Sentry — monitorizare erori aplicație (date tehnice anonimizate, fără date cu caracter personal operaționale)

Furnizorul va notifica Clientul cu minimum 30 de zile înainte de adăugarea unui nou sub-procesator, oferind dreptul de opoziție motivată.

4. Măsuri tehnice și organizatorice

Izolare multi-tenant prin Row Level Security la nivel de bază de date (fiecare interogare e filtrată automat după companie_id), criptare în tranzit (TLS 1.2+) și în repaus, control acces bazat pe roluri, audit log pentru toate acțiunile administrative, backup-uri zilnice cu plan de Disaster Recovery testat. Detalii complete: Pagina de Securitate.

5. Asistență pentru drepturile persoanelor vizate

Furnizorul va asista Clientul, în limita posibilităților tehnice, în răspunsul la cererile persoanelor vizate (acces, ștergere, portabilitate) primite de Client, în termen de maximum 10 zile lucrătoare de la solicitare.

6. Notificarea incidentelor de securitate

Furnizorul va notifica Clientul în maximum 48 de ore de la identificarea unei breșe de securitate care afectează datele cu caracter personal procesate, conform Art. 33 GDPR.

7. Ștergerea/returnarea datelor la încetarea contractului

La încetarea abonamentului, Clientul poate exporta toate datele sale (CSV/export complet) în termen de 30 de zile (grace period). După acest interval, datele sunt marcate pentru ștergere și eliminate din sistemele de producție în termen de 90 de zile, cu excepția obligațiilor legale de arhivare fiscală (10 ani pentru documente contabile).

8. Contact pentru solicitări DPA

contact@cafetaria.ro · SPECIALTY GENERAL BUSINESS SRL, Bdul. Dinicu Golescu 38 Et. P, Sectorul 1, București 010873 — clienții Enterprise/Holding pot solicita o versiune semnată bilateral a acestui acord.