Acord de Procesare a Datelor (DPA)

1. Rolurile părților

În sensul Art. 28 GDPR: Clientul acționează ca Operator de date pentru datele cu caracter personal pe care le introduce în Platformă (angajați, clienți B2B, furnizori). Furnizorul acționează ca Persoană Împuternicită (Procesator), prelucrând aceste date exclusiv în numele și conform instrucțiunilor Clientului.

2. Obiectul și durata procesării

Procesarea are loc pe toată durata abonamentului activ, exclusiv în scopul furnizării funcționalităților Platformei (POS, stoc, facturare, payroll, contabilitate, comunicare).

3. Sub-procesatori autorizați

• Supabase Inc. — hosting bază de date și fișiere (regiune UE — Irlanda)
• Vercel Inc. — hosting aplicație web, edge network
• Stripe Inc. — procesare plăți (certificat PCI-DSS Level 1)
• Resend — livrare email tranzacțional

Furnizorul va notifica Clientul cu minimum 30 de zile înainte de adăugarea unui nou sub-procesator, oferind dreptul de opoziție motivată.

4. Măsuri tehnice și organizatorice

Izolare multi-tenant prin Row Level Security la nivel de bază de date (fiecare interogare e filtrată automat după companie_id), criptare în tranzit (TLS 1.2+) și în repaus, control acces bazat pe roluri, audit log pentru toate acțiunile administrative, backup-uri zilnice cu plan de Disaster Recovery testat. Detalii complete: Pagina de Securitate.

5. Asistență pentru drepturile persoanelor vizate

Furnizorul va asista Clientul, în limita posibilităților tehnice, în răspunsul la cererile persoanelor vizate (acces, ștergere, portabilitate) primite de Client, în termen de maximum 10 zile lucrătoare de la solicitare.

6. Notificarea incidentelor de securitate

Furnizorul va notifica Clientul în maximum 48 de ore de la identificarea unei breșe de securitate care afectează datele cu caracter personal procesate, conform Art. 33 GDPR.

7. Ștergerea/returnarea datelor la încetarea contractului

La încetarea abonamentului, Clientul poate exporta toate datele sale (CSV/export complet) în termen de 30 de zile (grace period). După acest interval, datele sunt șterse definitiv din sistemele de producție, cu excepția obligațiilor legale de arhivare fiscală.

8. Contact pentru solicitări DPA

contact@cafetaria.ro — clienții Enterprise/Holding pot solicita o versiune semnată bilateral a acestui acord.