Acordul de prelucrare a datelor

Ultima actualizare: 14 octombrie 2026

Acest acord stabilește cum prelucrează baseray date cu caracter personal în numele clienților săi firme, așa cum cere articolul 28 din RGPD. Face parte din termenii noștri și se aplică automat fiecărui client firmă, din momentul în care folosește serviciul. Nu este nevoie de semnătură. Dacă aveți nevoie de un exemplar semnat de ambele părți, scrieți-ne la [email protected].

1. Definiții

• Clientul, dumneavoastră: firma care a acceptat termenii noștri.
• baseray, noi: furnizorul serviciului baseray.
• Datele personale ale clientului: datele cu caracter personal pe care dumneavoastră sau membrii dumneavoastră le introduceți în serviciu și pe care le prelucrăm în numele dumneavoastră. Anexa 1 le descrie.
• RGPD: Regulamentul (UE) 2016/679. Ceilalți termeni, cum ar fi operator, persoană împuternicită, încălcare a securității datelor cu caracter personal și autoritate de supraveghere, au sensul din RGPD.
• Persoană împuternicită secundară: o firmă pe care o angajăm pentru a prelucra datele personale ale clientului.

2. Cine controlează ce date

• Dumneavoastră sunteți operatorul datelor personale ale clientului: pe cine invitați în spațiul de lucru și cu ce rol, listele de clienți potențiali și clădirile salvate create de membrii dumneavoastră și orice date cu caracter personal pe care membrii le introduc în serviciu. Le prelucrăm ca persoană împuternicită de dumneavoastră.
• Noi suntem operatorul datelor pe care le compilăm și le publicăm: datele despre clădiri și despre firmele înregistrate din aplicație, din API, din exporturi și de pe paginile publice. Când primiți aceste date, deveniți operator independent pentru propria utilizare a lor, de exemplu atunci când contactați o firmă. Acest acord nu acoperă aceste date; pentru ele se aplică termenii noștri, politica de utilizare acceptabilă și legea.
• Suntem, de asemenea, operatorul contului fiecărei persoane: autentificare, securitate, sesiuni, facturare, analiză de utilizare și jurnale, așa cum descrie politica de confidențialitate.

3. Instrucțiunile dumneavoastră

Prelucrăm datele personale ale clientului numai conform instrucțiunilor dumneavoastră documentate. Acestea sunt termenii noștri, acest acord și modul în care dumneavoastră și membrii dumneavoastră folosiți serviciul, de exemplu când invitați pe cineva, creați o listă sau conectați un asistent AI. Vă anunțăm dacă o instrucțiune ni se pare că încalcă RGPD sau altă lege privind protecția datelor.

Prelucrăm datele personale ale clientului în afara instrucțiunilor dumneavoastră numai dacă dreptul Uniunii sau al unui stat membru ne obligă. În acest caz vă informăm în prealabil, cu excepția cazului în care legea respectivă interzice acest lucru.

4. Obligațiile dumneavoastră

• Aveți un temei legal pentru datele personale pe care le introduceți în serviciu și oferiți persoanelor vizate informațiile cerute de lege.
• Nu introduceți în serviciu categorii speciale de date cu caracter personal (articolul 9 din RGPD) și nici date privind condamnări penale.
• Instrucțiunile dumneavoastră respectă legea.

5. Confidențialitate

Oricine din cadrul baseray are acces la datele personale ale clientului este obligat să păstreze confidențialitatea și le folosește doar pentru furnizarea serviciului.

6. Securitate

Protejăm datele personale ale clientului prin măsuri tehnice și organizatorice adecvate riscului (articolul 32 din RGPD). Anexa 2 le rezumă, iar pagina de securitate le descrie în detaliu. Putem îmbunătăți aceste măsuri, dar nu vom reduce nivelul general de protecție.

7. Persoane împuternicite secundare

• Ne acordați o autorizare generală de a angaja persoane împuternicite secundare. Lista actuală se află pe pagina persoanelor împuternicite, care le numește pe cele care prelucrează datele personale ale clientului.
• Fiecare persoană împuternicită secundară este obligată printr-un contract scris la obligații de protecție a datelor care oferă același nivel de protecție ca acest acord. Răspundem în continuare față de dumneavoastră pentru activitatea ei.
• Anunțăm pe acea pagină orice nouă persoană împuternicită secundară pentru datele personale ale clientului cu cel puțin 30 de zile înainte să înceapă. Pentru a primi aceste anunțuri prin e-mail, scrieți-ne la [email protected].
• Vă puteți opune unei noi persoane împuternicite secundare, pe motive întemeiate de protecție a datelor, în acele 30 de zile. Vom căuta atunci împreună o soluție. Dacă nu există una, puteți înceta abonamentul afectat înainte ca schimbarea să intre în vigoare și vă rambursăm sumele plătite în avans pentru perioada de după încetare.

8. Transferuri în afara UE

Stocăm datele personale ale clientului în UE, în regiunea Poland Central a Microsoft Azure. Unele persoane împuternicite secundare le prelucrează în afara Spațiului Economic European: Cloudflare transportă traficul prin rețeaua sa globală, iar Resend, o firmă din SUA, trimite e-mailurile de invitație în spațiul de lucru. Pentru fiecare astfel de transfer ne bazăm pe Cadrul de confidențialitate a datelor UE-SUA, dacă destinatarul este certificat, sau pe clauzele contractuale standard aprobate de Comisia Europeană (Decizia (UE) 2021/914). Autorizați aceste transferuri.

9. Sprijin pentru îndeplinirea obligațiilor dumneavoastră

• Cererile persoanelor vizate. Serviciul vă permite să rezolvați singuri majoritatea cererilor: proprietarul și administratorii spațiului de lucru pot elimina membri și pot retrage invitații, iar membrii pot șterge liste și clădiri salvate. Când aveți nevoie de mai mult, vă sprijinim prin măsuri tehnice și organizatorice adecvate. Dacă cineva ne contactează în legătură cu datele personale ale clientului, îl îndrumăm către dumneavoastră și nu răspundem în numele dumneavoastră decât dacă ne cereți.
• Evaluări și autorități. Vă oferim informațiile de care aveți nevoie în mod rezonabil pentru o evaluare a impactului asupra protecției datelor, pentru o consultare prealabilă a autorității de supraveghere sau pentru o cerere a unei autorități.

10. Încălcări ale securității datelor

Vă notificăm fără întârzieri nejustificate, și pe cât posibil în cel mult 48 de ore, după ce aflăm de o încălcare a securității datelor cu caracter personal care afectează datele personale ale clientului. Scriem la adresa de e-mail a proprietarului spațiului de lucru. Notificarea descrie, în măsura în care știm la acel moment, ce s-a întâmplat, categoriile și numărul aproximativ de persoane și înregistrări afectate, consecințele probabile și măsurile luate sau propuse. Completăm informațiile pe măsură ce le aflăm, vă ajutăm să vă îndepliniți propriile obligații de notificare și luăm măsuri rezonabile pentru a limita prejudiciul.

11. Ștergere și returnare

• Puteți șterge oricând datele personale ale clientului: ștergeți liste și clădiri salvate, retrageți invitații, eliminați membri sau ștergeți întregul spațiu de lucru. Ștergerea unui spațiu de lucru îi elimină imediat datele din baza noastră de date și nu poate fi anulată.
• La încetarea contractului alegeți dacă returnăm sau ștergem datele personale ale clientului. Scrieți-ne la [email protected]: vă trimitem, dacă doriți, o copie într-un format obișnuit, care poate fi citit automat (CSV sau JSON), apoi ștergem datele din baza noastră de date în cel mult 30 de zile de la cerere.
• Datele rămase în copiile de siguranță ale bazei de date se șterg automat odată cu acestea, cel mult la 7 luni după ștergere.
• Păstrăm o copie numai dacă dreptul Uniunii sau al unui stat membru ne obligă. Acest acord continuă să protejeze o astfel de copie.

12. Informații și audit

• Vă punem la dispoziție informațiile necesare pentru a demonstra că respectăm articolul 28 din RGPD: acest acord, pagina de securitate și răspunsuri la un chestionar de securitate rezonabil, o dată pe an.
• Dacă acestea nu sunt suficiente, ne puteți audita conformitatea, direct sau printr-un auditor independent obligat la confidențialitate. Anunțați-ne în scris cu cel puțin 30 de zile înainte, respectați programul nostru de lucru și limitați perturbările. Auditurile au loc cel mult o dată la 12 luni, cu excepția cazului în care o cere o autoritate de supraveghere sau a avut loc o încălcare a securității datelor. Fiecare parte își suportă propriile costuri.

13. Răspundere și durată

• Răspunderea fiecărei părți în temeiul acestui acord este supusă limitării răspunderii din termenii noștri (secțiunea 16), în măsura permisă de lege.
• Acest acord se aplică atât timp cât prelucrăm date personale ale clientului în numele dumneavoastră.

14. Ordinea de prioritate

Pentru prelucrarea datelor personale ale clientului, acest acord prevalează asupra termenilor noștri. Acolo unde se aplică clauzele contractuale standard, acestea prevalează asupra acestui acord. Acordul este guvernat de aceeași lege și de aceleași instanțe ca termenii noștri (secțiunea 20). Este disponibil în engleză, română și cehă; dacă versiunile diferă, prevalează versiunea în limba engleză.

Anexa 1: Detaliile prelucrării

Anexa 2: Măsuri de securitate

• Criptare în tranzit: orice conexiune la baseray.ai, app.baseray.ai și api.baseray.ai folosește HTTPS.
• Criptare în repaus: discurile pe care se află bazele noastre de date sunt criptate de Microsoft Azure.
• Copii de siguranță: baza de date este copiată zilnic într-un spațiu de stocare separat, redundant pe zone, în aceeași regiune, criptat în repaus, și păstrată cel mult 7 luni. Restaurarea din aceste copii a fost testată.
• Găzduire în UE, în regiunea Poland Central a Microsoft Azure.
• Parolele sunt stocate ca hash bcrypt, iar cheile API și tokenurile OAuth ca hash SHA-256. Niciunele nu pot fi citite înapoi.
• Autentificarea în doi pași cu o aplicație de autentificare este disponibilă pentru orice cont.
• Încercările de autentificare sunt limitate. Sesiunile se încheie după 120 de minute de inactivitate, cu excepția cazului în care alegeți să rămâneți autentificat.
• Fiecare cerere este verificată în raport cu membrii spațiului de lucru și rolurile lor. Doar proprietarul și administratorii pot gestiona membrii și facturarea.
• Asistenții AI se conectează prin OAuth 2.1 cu PKCE; tokenurile de acces expiră după o oră, iar tokenurile de reîmprospătare se schimbă la fiecare utilizare.
• Datele cardului se introduc direct la Stripe și nu ajung niciodată pe serverele noastre.
• Accesul la panoul intern de administrare este limitat la o listă scurtă de conturi nominale ale personalului.
• Secretele de configurare sunt păstrate într-un manager de secrete, nu în cod.