Acord privind prelucrarea datelor (DPA) în temeiul art. 28 GDPR

Anexă la Termenii și condițiile serviciului Rilvo Coworker

Ultima actualizare: 13 octombrie 2026

1. Părți și domeniu de aplicare

1.1. Prezentul Acord privind prelucrarea datelor („Acordul”) se încheie între:

Clientul care s-a abonat la Serviciul Rilvo Coworker, în calitate de operator („Operatorul”); și
S.C. Asperitas Solutions S.A., societate de drept român cu sediul social în Aleea Cioplea nr. 14, parter, cam. 1, Brașov, România, Nr. Reg. Com. J8/985/2017, CUI/cod de TVA RO37465749, contact pentru protecția datelor: privacy@rilvo.net, în calitate de persoană împuternicită de operator („Rilvo” sau „Persoana împuternicită”).

1.2. Acordul este o anexă la Termenii și condițiile serviciului Rilvo Coworker („Termenii”) și face parte integrantă din Contract. Termenii scriși cu majusculă care nu sunt definiți aici au sensul indicat în Termeni; termenii „date cu caracter personal”, „prelucrare”, „persoană vizată”, „încălcarea securității datelor cu caracter personal” și altele similare au sensul prevăzut de Regulamentul (UE) 2016/679 („GDPR”).

1.3. Acordul se aplică datelor cu caracter personal pe care Rilvo le prelucrează în numele Clientului în cadrul furnizării Serviciului. Acesta nu se aplică datelor pe care Rilvo le prelucrează în calitate de operator (de exemplu, datele persoanelor de contact ale Clientului, facturarea și plățile), pentru care se aplică Politica de confidențialitate a Rilvo.

1.4. În materie de protecție a datelor cu caracter personal, în caz de neconcordanță, Acordul prevalează asupra Termenilor.

2. Obiectul, durata, natura și scopul prelucrării

2.1. Obiect. Prelucrarea datelor cu caracter personal necesară pentru furnizarea Serviciului Rilvo Coworker, astfel cum este descris în Termeni și în Anexa A.

2.2. Natura și scopul. Operarea „colegului digital” în numele Clientului: citirea și redactarea de mesaje, pregătirea de ciorne și oferte de preț, follow-up, sortarea solicitărilor primite, mementouri și termene, organizarea documentelor, în cadrul instrumentelor Clientului și prin Telegram, Slack, Discord și celelalte instrumente pe care Clientul le conectează la Serviciu. Operațiunile includ colectarea, consultarea, organizarea, structurarea, stocarea, prelucrarea, inclusiv cu sisteme de inteligență artificială, divulgarea la instrucțiunile Clientului și ștergerea.

2.3. Durata. Acordul are aceeași durată ca și Contractul. După încetare, acesta rămâne în vigoare până la restituirea sau ștergerea datelor prevăzută la art. 11 (în termenul indicat la art. 17.2 din Termeni).

2.4. Categoriile de persoane vizate și de date cu caracter personal sunt indicate în Anexa A.

3. Instrucțiunile Operatorului

3.1. Rilvo prelucrează datele cu caracter personal numai pe baza instrucțiunilor documentate ale Clientului, inclusiv în ceea ce privește transferurile către țări terțe, cu excepția cazului în care acest lucru este impus de dreptul Uniunii sau al statului membru sub incidența căruia se află Rilvo; în acest caz, Rilvo informează Clientul înainte de prelucrare, cu excepția cazului în care legea interzice acest lucru.

3.2. Constituie instrucțiuni documentate: Termenii, prezentul Acord, configurațiile și regulile de aprobare convenite la activare și solicitările ulterioare ale Clientului transmise în scris (inclusiv prin canalele Serviciului).

3.3. Rilvo informează fără întârziere Clientul dacă consideră că o instrucțiune încalcă GDPR sau alte dispoziții privind protecția datelor și poate suspenda executarea acesteia până la confirmarea sau modificarea ei.

4. Obligațiile Operatorului

4.1. Clientul garantează că are un temei juridic valabil pentru prelucrările încredințate Rilvo, că a furnizat persoanelor vizate informațiile necesare și că pune la dispoziția Serviciului numai datele necesare.

4.2. Clientul nu trebuie să furnizeze Serviciului categorii speciale de date (art. 9 GDPR) sau date privind condamnările penale și infracțiunile (art. 10 GDPR), cu excepția cazului în care există un acord prealabil scris separat cu Rilvo, care stabilește măsuri adecvate.

4.3. Clientul acordă Serviciului numai accesul și permisiunile necesare asupra propriilor instrumente și rămâne responsabil pentru verificarea și aprobarea acțiunilor propuse de Serviciu, conform Termenilor.

5. Confidențialitatea personalului

Rilvo garantează că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de confidențialitate, au primit instrucțiuni adecvate și accesează datele numai în măsura necesară pentru furnizarea Serviciului sau a asistenței.

6. Securitatea prelucrării

6.1. Rilvo adoptă măsurile tehnice și organizatorice adecvate prevăzute la art. 32 GDPR, descrise în Anexa B, ținând seama de stadiul actual al dezvoltării, de costuri, de natura prelucrării și de riscurile pentru persoanele vizate.

6.2. Rilvo poate actualiza măsurile în timp, cu condiția ca nivelul general de securitate să nu scadă.

7. Subîmputerniciți

7.1. Clientul acordă Rilvo o autorizație scrisă generală de a recurge la subîmputerniciții indicați în Anexa C și la alți subîmputerniciți în conformitate cu prezentul articol.

7.2. Rilvo informează Clientul prin e-mail cu privire la orice adăugare sau înlocuire a subîmputerniciților, cu un preaviz de cel puțin 15 zile. Clientul se poate opune, în acest termen, pentru motive rezonabile legate de protecția datelor. Dacă Părțile nu găsesc o soluție, Clientul poate denunța Contractul fără costuri înainte ca modificarea să producă efecte; aceasta este singura cale de atac prevăzută în caz de opoziție.

7.3. Rilvo impune subîmputerniciților, printr-un contract scris, obligații de protecție a datelor în esență echivalente cu cele din prezentul Acord și rămâne răspunzătoare față de Client pentru îndeplinirea acestora.

7.4. Canalele și instrumentele pe care Clientul le conectează la Serviciu (de exemplu, Telegram, Slack, Discord, căsuța de e-mail sau software-ul de gestiune al Clientului) sunt furnizori aleși de Client, cu care Clientul are o relație proprie: aceștia nu sunt subîmputerniciți ai Rilvo, cu excepția cazului în care Rilvo este cea care îi contractează pentru furnizarea Serviciului.

7.5. Același lucru este valabil, în planul „Rilvo Coworker cu propriul cont AI” prevăzut în Termeni, pentru furnizorul de modele de inteligență artificială cu care Clientul are un contract direct (de exemplu, OpenAI sau Anthropic). În acest plan, Rilvo trimite solicitările către modele prin contul și cheia API ale Clientului, la instrucțiunile Clientului; furnizorul prelucrează datele în temeiul contractului dintre Client și furnizor și nu este un subîmputernicit al Rilvo. Clientul răspunde pentru condițiile acestui furnizor, inclusiv acordul privind prelucrarea datelor, garanțiile pentru eventualele transferuri în afara SEE și setările privind utilizarea datelor, precum și pentru costurile aferente.

8. Transferuri în afara Spațiului Economic European

8.1. Rilvo transferă date cu caracter personal către țări din afara SEE numai dacă există o garanție prevăzută de capitolul V din GDPR, în special: o decizie privind caracterul adecvat (inclusiv Cadrul UE-SUA privind protecția datelor – EU-U.S. Data Privacy Framework – pentru destinatarii certificați) sau clauze contractuale standard adoptate de Comisia Europeană (art. 46 GDPR), cu eventuale măsuri suplimentare.

8.2. Transferurile prevăzute sunt indicate în Anexa C. Transferurile efectuate de furnizorul AI ales de Client în planul „Rilvo Coworker cu propriul cont AI” sunt reglementate de contractul dintre Client și furnizorul respectiv (art. 7.5).

8.3. Numai la cererea Clientului, Rilvo poate configura Serviciul pentru a utiliza exclusiv modele de inteligență artificială prelucrate în Uniunea Europeană, printr-un contract direct cu un furnizor european (de exemplu, Mistral AI, Franța). În acest caz, nu se utilizează modelele OpenAI și Anthropic indicate în Anexa C. Această opțiune poate implica diferențe de funcționalitate sau de preț, convenite înainte de activare.

9. Asistența acordată Operatorului

9.1. Ținând seama de natura prelucrării, Rilvo asistă Clientul prin măsuri tehnice și organizatorice adecvate pentru a răspunde cererilor persoanelor vizate care își exercită drepturile prevăzute la art. 15-22 GDPR. Dacă Rilvo primește direct o cerere, o transmite Clientului fără întârziere și nu răspunde pe fond fără instrucțiuni.

9.2. Rilvo asistă Clientul, pe baza informațiilor de care dispune, în îndeplinirea obligațiilor prevăzute la art. 32-36 GDPR (securitate, notificarea și comunicarea încălcărilor, evaluarea impactului și consultarea prealabilă).

9.3. Asistența prevăzută de prezentul articol este furnizată fără costuri suplimentare, în limite rezonabile. Activitățile de asistență costisitoare sau repetate pot fi facturate separat, în condiții convenite în prealabil, cu excepția cazului în care sunt determinate de o neexecutare din partea Rilvo.

10. Încălcări ale securității datelor cu caracter personal

10.1. Rilvo notifică Clientului orice încălcare a securității datelor cu caracter personal prelucrate în numele acestuia fără întârzieri nejustificate și, în orice caz, în termen de 48 de ore de la momentul în care a luat cunoștință de aceasta.

10.2. Notificarea cuprinde, în măsura în care sunt disponibile: natura încălcării, categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor în cauză, punctul de contact din partea Rilvo, consecințele probabile și măsurile adoptate sau propuse. Informațiile care nu sunt disponibile imediat sunt furnizate ulterior, fără alte întârzieri.

10.3. Rilvo adoptă fără întârziere măsuri rezonabile pentru a limita încălcarea și a atenua efectele acesteia și cooperează cu Clientul. Notificarea nu constituie o recunoaștere a răspunderii.

11. Restituirea și ștergerea datelor

11.1. La încetarea Contractului, Rilvo încetează prelucrarea datelor Clientului, cu excepția celor necesare pentru restituire sau ștergere.

11.2. La cererea Clientului formulată în termen de 30 de zile de la încetare (art. 17.2 din Termeni), Rilvo restituie datele într-un format utilizat în mod curent și care poate fi citit automat. După expirarea acestui termen, Rilvo șterge datele cu caracter personal ale Clientului, inclusiv copiile, cu excepția cazului în care dreptul Uniunii sau al statului membru impune stocarea acestora. Copiile de rezervă (backup) sunt șterse conform ciclului normal de rotație, în termen de 30 de zile.

11.3. La cerere, Rilvo confirmă în scris ștergerea.

12. Informații și audituri

12.1. Rilvo pune la dispoziția Clientului informațiile necesare pentru a demonstra respectarea art. 28 GDPR, de exemplu o descriere actualizată a măsurilor de securitate și lista subîmputerniciților.

12.2. Clientul, direct sau prin intermediul unui auditor independent obligat să respecte confidențialitatea, poate efectua audituri, inclusiv inspecții, cu un preaviz scris rezonabil de cel puțin 30 de zile, în timpul programului de lucru și fără a compromite securitatea sau confidențialitatea datelor altor clienți. Auditurile se efectuează cel mult o dată pe an, cu excepția cazului unei încălcări a securității datelor cu caracter personal sau al unei solicitări din partea unei autorități de supraveghere, iar costurile aferente sunt suportate de Client.

12.3. Auditurile la subîmputerniciți se bazează, de regulă, pe certificările și rapoartele pe care aceștia le pun la dispoziție.

13. Interdicția utilizării datelor pentru antrenare

Rilvo nu utilizează datele cu caracter personal ale Clientului și nici conținutul prelucrat în numele acestuia pentru a antrena sau îmbunătăți modele de inteligență artificială proprii sau ale terților. Rilvo utilizează modelele OpenAI și Anthropic direct prin API, cu propriile chei API și conturi business, ale căror condiții exclud utilizarea datelor clienților pentru antrenare (Anexa C). Rilvo nu activează opțiuni de partajare a datelor pentru antrenare, nu trimite feedback furnizorilor de modele și nu utilizează modele experimentale sau în versiune preliminară (preview) ale căror condiții prevăd antrenarea pe baza datelor. În planul „Rilvo Coworker cu propriul cont AI”, utilizarea datelor de către furnizor este reglementată de contractul și de setările contului Clientului (art. 7.5); în orice caz, Rilvo nu trimite feedback furnizorului prin contul Clientului.

14. Răspundere

Răspunderea Părților decurgând din prezentul Acord este reglementată de art. 18 din Termeni, fără a aduce atingere prevederilor art. 82 GDPR față de persoanele vizate și normelor imperative aplicabile.

15. Legea aplicabilă și instanța competentă

Acordul este guvernat de legea română. Pentru orice litigiu sunt competente în mod exclusiv instanțele competente din Brașov, România, în conformitate cu art. 24 din Termeni.

Anexa A – Persoane vizate și categorii de date

Categorii de persoane vizate:

personalul Clientului (angajați, colaboratori, proprietari);
clienții și potențialii clienți ai Clientului;
furnizorii și partenerii Clientului;
alte persoane de contact care apar în comunicările și documentele Clientului.

Categorii de date cu caracter personal:

date de contact și de identificare (nume, funcție, societate, e-mail, telefon, adresă);
conținutul comunicărilor (e-mailuri, mesaje, note);
date comerciale (solicitări, oferte de preț, comenzi, condiții, termene, întâlniri);
documentele și conținutul acestora puse la dispoziție de Client;
date tehnice legate de utilizarea Serviciului (jurnale ale acțiunilor, aprobări, identificatori ai conturilor conectate).

Categorii speciale de date: nu sunt prevăzute. Clientul nu trebuie să le furnizeze decât în baza unui acord scris separat (art. 4.2).

Anexa B – Măsuri tehnice și organizatorice

Infrastructură: Serviciul rulează pe un server privat virtual (VPS) dedicat fiecărui Client, furnizat de Hetzner Online GmbH în centre de date situate în Germania (UE). Datele fiecărui Client se află pe VPS-ul propriu, izolat de cele ale altor clienți.
Izolarea rețelei și accesul administrativ: fiecare VPS este conectat la o rețea privată Tailscale, bazată pe protocolul WireGuard și criptată end-to-end; accesul administrativ la VPS-uri are loc exclusiv prin această rețea privată (VPN Tailscale); accesul SSH nu este expus pe interfața publică.
Acces minim: Serviciul utilizează numai accesul și permisiunile necesare asupra instrumentelor Clientului, convenite la activare.
Aprobare umană: Serviciul poate fi configurat să solicite aprobarea Clientului înainte de acțiuni sensibile sau ireversibile (de exemplu, trimiterea către terți, ștergeri); Clientul decide pentru ce acțiuni.
Controlul accesului: acces administrativ limitat la personalul autorizat al Rilvo, cu date de autentificare personale, autentificare prin chei SSH și autentificare multifactor.
Criptare: criptarea datelor în tranzit (TLS; pentru accesul administrativ, rețeaua WireGuard/Tailscale) și criptarea discului VPS-ului.
Copii de rezervă: backup zilnic, păstrat timp de 30 de zile.
Jurnalizare: jurnale ale acțiunilor efectuate de Serviciu și ale accesărilor administrative, păstrate timp de 30 de zile și disponibile Clientului la cerere.
Actualizări și vulnerabilități: actualizarea periodică a sistemului de operare și a componentelor software; patch-urile de securitate critice sunt aplicate cât mai curând posibil.
Separare: fiecare Client dispune de un VPS dedicat; datele unor clienți diferiți nu se află pe aceeași mașină.
Organizare: instrucțiuni și obligații de confidențialitate pentru personal; procedură de gestionare a încălcărilor securității datelor.

Anexa C – Subîmputerniciți autorizați

Subîmputernicit	Serviciu	Țara / locul prelucrării	Garanții pentru transfer
Hetzner Online GmbH	Găzduirea VPS-ului dedicat pe care rulează Serviciul	Germania (UE)	Nu sunt necesare (prelucrare în UE)
OpenAI Ireland Ltd (cu prelucrare de către OpenAI OpCo, LLC și alte afiliate)	Modele de inteligență artificială, utilizate direct prin API, cu cheile API, contul și contractul API ale Rilvo	Irlanda / Statele Unite	Clauze contractuale standard prevăzute în DPA-ul OpenAI
Anthropic Ireland, Limited (cu prelucrare de către Anthropic, PBC)	Modele de inteligență artificială, utilizate direct prin API, cu cheile API, contul și contractul API ale Rilvo	Irlanda / Statele Unite	Clauze contractuale standard (Modulele 2 și 3) prevăzute în DPA-ul Anthropic
Mistral AI SAS	Modele de inteligență artificială, numai dacă Clientul solicită prelucrarea exclusiv în UE (art. 8.3), cu contract direct, activat numai la cerere	Franța / UE (endpoint UE); și subîmputerniciții Mistral AI prelucrează datele numai în UE	Nu sunt necesare: prelucrarea are loc numai în UE
Google Cloud EMEA Limited (Velasco, Clanwilliam Place, Dublin 2, Irlanda), cu prelucrare și de către Google LLC (Google Workspace)	E-mailul de serviciu al Rilvo, utilizat pentru comunicările cu Clientul, care pot conține date cu caracter personal prelucrate în numele Clientului	UE și Statele Unite / alte țări în care operează Google	EU-U.S. Data Privacy Framework (Google LLC certificată) și clauze contractuale standard prevăzute în Cloud Data Processing Addendum al Google

Planul „Rilvo Coworker cu propriul cont AI”. În acest plan, modelele OpenAI și Anthropic nu sunt utilizate prin contul Rilvo: Clientul le utilizează prin propriul cont și prin propriul contract direct cu furnizorul, care este un furnizor al Clientului, și nu un subîmputernicit al Rilvo (art. 7.5). Condițiile furnizorului, inclusiv cele privind utilizarea datelor și transferurile, precum și costurile aferente sunt în sarcina Clientului. Ceilalți subîmputerniciți indicați mai sus rămân neschimbați.

Utilizarea datelor de către furnizorii de modele de inteligență artificială (conform condițiilor publicate de furnizori, verificate la 8 octombrie 2026):

OpenAI (API): datele trimise către API nu sunt utilizate pentru antrenarea modelelor, cu excepția aderării explicite (opt-in). Jurnalele de monitorizare a abuzurilor, care pot conține date de intrare și de ieșire, sunt păstrate până la 30 de zile, cu excepția obligațiilor legale sau a necesității de a preveni prejudicii.
Anthropic (API): condițiile comerciale interzic Anthropic să antreneze modele pe baza conținutului clientului. Datele de intrare și de ieșire sunt șterse în termen de 30 de zile, cu excepția păstrării pe o durată mai lungă pentru aplicarea Usage Policy (până la 2 ani pentru conținutul semnalat de sistemele automate de siguranță) sau pentru îndeplinirea obligațiilor legale.
Mistral AI (API cu plată): datele clientului nu sunt utilizate pentru antrenare, cu excepția aderării (opt-in), a trimiterii de feedback sau a utilizării modelelor Labs/Preview.