Acord de prelucrare a datelor (DPA)

Ultima actualizare: 25 octombrie 2026

Acest acord, conform art. 28 din Regulamentul (UE) 2016/679 (GDPR), se încheie între Clientul Culise, ca operator („Operatorul”), și AMHOTECH SOFTWARE S.R.L., CUI RO47079907, nr. de ordine în Registrul Comerțului J2022021395404, cu sediul social în București, Sector 1, Str. Petre S. Aurelian nr. 62, parcela N, lot 9, camera 1, email contact@adnanamatei.ro, ca persoană împuternicită („Împuternicitul”), și face parte din Termenii și condițiile serviciului. Se aplică automat la crearea contului.

1. Obiectul, durata, natura și scopul prelucrării

Împuternicitul găzduiește și prelucrează datele personale introduse de Operator în Culise, exclusiv pentru furnizarea serviciului: gestionarea cererilor și rezervărilor, oferte și comunicări prin email, newsletter (doar către persoanele abonate), formulare web și preluarea leadurilor, plăți online, integrări cu sistemele hotelului (PMS) și copii de siguranță.

Prelucrarea durează pe toată perioada contractului și până la ștergerea datelor conform secțiunii 9.

2. Persoanele vizate și categoriile de date

• persoane vizate: oaspeți, potențiali clienți, persoane de contact ale Operatorului, utilizatorii contului Operatorului;
• date: identificare și contact (nume, email, telefon, adresă), detaliile cererii și ale rezervării (perioadă, persoane, preferințe, prețuri, plăți), comunicările trimise și primite, starea abonării la newsletter, interacțiuni cu emailurile (clic pe linkuri), datele actului de identitate dacă Operatorul le colectează (stocate criptat);
• Operatorul nu introduce categorii speciale de date (art. 9 GDPR) decât dacă au temei legal și sunt strict necesare (ex. cerințe de accesibilitate sau alimentare comunicate de oaspete).

3. Obligațiile Împuternicitului

• prelucrează datele doar pe baza instrucțiunilor documentate ale Operatorului (acești termeni, setările făcute în cont și cererile scrise), inclusiv în privința transferurilor; îl informează dacă o instrucțiune încalcă legea;
• asigură confidențialitatea: persoanele cu acces la date sunt obligate să păstreze confidențialitatea;
• aplică măsurile de securitate de la secțiunea 5 (art. 32 GDPR);
• respectă condițiile pentru subprocesatori de la secțiunea 4;
• îl ajută pe Operator, prin funcțiile aplicației (export, rectificare, ștergere completă a contactului, dezabonare) și la cerere, să răspundă cererilor persoanelor vizate;
• îl ajută pe Operator să își îndeplinească obligațiile din art. 32–36 GDPR (securitate, notificarea încălcărilor, evaluări de impact, consultare prealabilă), ținând cont de informațiile de care dispune;
• la încetarea serviciilor, șterge sau returnează datele, conform secțiunii 9;
• pune la dispoziție informațiile necesare pentru a demonstra respectarea art. 28 și permite audituri rezonabile, anunțate cu cel puțin 30 de zile înainte, pe cheltuiala Operatorului.

4. Subprocesatori

Operatorul autorizează în general folosirea subprocesatorilor. Lista actuală:

• Contabo GmbH (Germania) — găzduirea serverelor aplicației și a bazei de date, stocarea copiilor de siguranță (Object Storage, UE);
• Amazon Web Services EMEA SARL (Luxemburg), regiunea eu-north-1 (Stockholm) — trimiterea emailurilor (Amazon SES) și notificările despre emailuri respinse sau reclamate;
• Google Ireland Limited — doar dacă Operatorul conectează foi Google Sheets (citirea leadurilor din foile partajate de el).

Împuternicitul anunță Operatorul prin email cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui subprocesator; Operatorul poate obiecta motivat, iar dacă obiecția nu se poate rezolva, poate denunța contractul fără penalități. Subprocesatorii au aceleași obligații de protecție a datelor prin contract; Împuternicitul rămâne răspunzător pentru ei.

5. Măsuri tehnice și organizatorice

• izolarea datelor fiecărui cont în baza de date (row-level security) și drepturi pe module și hoteluri pentru utilizatori;
• conexiuni criptate (HTTPS/TLS), inclusiv la trimiterea emailurilor;
• criptare AES-256-GCM pentru cheile de integrare și datele actelor de identitate; parole stocate ca hash;
• autentificare în doi pași prin email, sesiuni care expiră, protecție CSRF, limitarea încercărilor;
• copii de siguranță zilnice criptate, cu restaurare de probă, păstrate 14 zile local și 30 de zile într-o locație separată;
• jurnalul acțiunilor importante (exporturi, ștergeri, schimbări de setări), acces administrativ restricționat;
• protecții anti-spam: listă de suprimare, pauza automată a newsletterelor la rate mari de respingeri sau reclamații, dezabonare dintr-un clic.

6. Încălcarea securității datelor

Împuternicitul notifică Operatorul fără întârzieri nejustificate, în cel mult 48 de ore de la constatarea unei încălcări care afectează datele Operatorului, cu informațiile disponibile (natura încălcării, categoriile și numărul aproximativ de persoane și înregistrări, consecințele probabile, măsurile luate), și îl sprijină la notificarea autorității și a persoanelor vizate.

7. Transferuri

Datele se stochează și se prelucrează în Spațiul Economic European. Un transfer în afara SEE se face doar cu garanțiile din capitolul V GDPR (decizie de adecvare sau clauze contractuale standard).

8. Obligațiile Operatorului

Operatorul răspunde de legalitatea datelor introduse și a instrucțiunilor date, de informarea persoanelor vizate și, pentru comunicările comerciale, de existența consimțământului (inclusiv la importul de fișiere).

9. Încetare: returnarea și ștergerea datelor

După încetarea contractului, Operatorul își poate exporta datele timp de 30 de zile, singur din aplicație sau la cerere, în format XLSX / CSV; apoi Împuternicitul șterge datele din aplicație, cu excepția cazului în care legea cere păstrarea lor. Copiile de siguranță expiră în cel mult 30 de zile de la ștergere, iar jurnalele de securitate după 12 luni.

10. Dispoziții finale

În caz de contradicție între acest acord și termeni, prevalează acest acord în privința protecției datelor. Se aplică legea română.

Contact pentru protecția datelor: contact@adnanamatei.ro.

Termeni și condiții · Confidențialitate · Acord de prelucrare a datelor (DPA) · Ștergerea datelor · Înscriere