Acord de Prelucrare a Datelor (DPA)

1. Partile contractante

Prin acceptarea Termenilor si Conditiilor platformei LUCA, Organizatorul accepta in mod expres termenii prezentului Acord de Prelucrare a Datelor, care reglementeaza toate activitatile de prelucrare a datelor personale ale participantilor efectuate de JBA WEB AGENCY SRL in numele Organizatorului.

2. Obiectul acordului

Prezentul DPA reglementeaza conditiile in care JBA WEB AGENCY SRL, in calitate de Imputernicit, prelucreaza date personale ale participantilor la evenimentele organizate de Organizator, in numele si la instructiunile acestuia, prin intermediul platformei LUCA.

Platforma LUCA este un serviciu software (SaaS) pentru managementul evenimentelor prin intermediul unui asistent virtual WhatsApp bazat pe inteligenta artificiala, care faciliteaza comunicarea automatizata cu participantii, gestionarea inscrierilor, trimiterea de campanii, generarea de certificate si analiza statistica.

JBA WEB AGENCY SRL prelucreaza datele personale ale participantilor exclusiv in scopul furnizarii serviciilor LUCA contractate de Organizator si numai conform instructiunilor documentate ale acestuia, asa cum sunt definite in prezentul DPA si in configuratia platformei.

3. Categorii de date prelucrate

In cadrul furnizarii serviciilor LUCA, Imputernicitul prelucreaza urmatoarele categorii de date personale ale participantilor, exclusiv in baza instructiunilor Operatorului de date:

4. Categorii de persoane vizate

Persoanele vizate ale caror date personale sunt prelucrate in cadrul prezentului DPA sunt participantii la evenimentele organizate de Organizator, respectiv persoanele fizice ale caror date au fost introduse in platforma LUCA de catre Organizator, prin oricare din metodele disponibile (script tracker, fisier CSV, webhook, API direct sau manual).

Participantii pot include, fara a se limita la: cursanti, conferentiari, delegati, inscrisi la workshop-uri, seminare, congrese, concerte sau orice alte tipuri de evenimente gestionate prin platforma.

Organizatorul este responsabil pentru asigurarea temeiului legal corespunzator si pentru informarea participantilor cu privire la prelucrarea datelor lor, anterior introducerii acestora in platforma LUCA.

5. Scopul si natura prelucrarii

Imputernicitul prelucreaza datele personale ale participantilor exclusiv in urmatoarele scopuri, toate efectuate in numele Operatorului de date si la instructiunile acestuia:

• Comunicare AI prin WhatsApp — raspunsuri automate la intrebarile participantilor prin asistentul virtual LUCA, pe baza informatiilor configurate de Organizator.
• Gestionarea participantilor — stocarea, vizualizarea si organizarea datelor participantilor inscrisi la eveniment.
• Trimiterea de campanii WhatsApp — mesaje programate catre participanti (confirmare inscriere, remindere, informatii post-eveniment), pe baza template-urilor configurate de Organizator.
• Generarea certificatelor de participare — producerea si livrarea de documente PDF personalizate cu datele participantilor.
• Analiza si raportare — statistici agregate privind participarea, conversatiile si performanta asistentului AI, care nu permit identificarea individuala a persoanelor vizate.
• Escaladarea intrebarilor — notificarea Organizatorului cu privire la intrebarile la care asistentul AI nu a putut raspunde, inclusiv clasificarea dupa urgenta si categorie.
• (h) Monitorizarea calitatii si imbunatatirea serviciilor — Prestatorul are dreptul de a accesa si analiza conversatiile dintre asistentul AI si participanti in scopul monitorizarii calitatii raspunsurilor AI, depanarii tehnice si imbunatatirii continue a algoritmilor si modelelor de raspuns ale platformei. Datele de conversatie pot fi utilizate in forma anonimizata sau agregata, fara posibilitatea de re-identificare a persoanelor vizate.

Imputernicitul nu utilizeaza datele personale ale participantilor in niciun alt scop decat cel definit de instructiunile Operatorului de date si nu le transmite altor parti decat sub-imputernicitilor listati in sectiunea 9 din prezentul DPA.

6. Durata prelucrarii

Imputernicitul prelucreaza datele personale ale participantilor pe durata relatiei contractuale cu Organizatorul, conform urmatoarelor termene:

• Datele participantilor (telefon, email, mesaje, date participare) — sterse automat la 90 de zile dupa data de incheiere a evenimentului, cu exceptia cazului in care Organizatorul solicita stergerea mai devreme.
• Certificatele de participare generate — sterse odata cu datele participantului sau la cererea explicita a Organizatorului.
• Thread-urile de conversatie OpenAI — sterse din infrastructura OpenAI la momentul stergerii participantului sau evenimentului din platforma.
• La cererea Organizatorului — Imputernicitul va sterge imediat datele personale ale oricarui participant, la solicitarea scrisa a Operatorului de date, indiferent de termenele automate mentionate mai sus.
• La incetarea contractului — Organizatorul dispune de o fereastra de 30 de zile pentru exportul datelor proprii, dupa care toate datele participantilor vor fi sterse irevocabil (a se vedea sectiunea 8 lit. h din prezentul DPA).

Jurnalele anonimizate ale stergerilor, care nu contin date personale identificabile, pot fi pastrate pe termen nedefinit in scopul demonstrarii conformitatii cu GDPR.

7. Obligatiile Imputernicitului (JBA WEB AGENCY SRL)

In conformitate cu art. 28 alin. (3) din GDPR, Imputernicitul se obliga sa respecte urmatoarele obligatii:

8. Obligatiile Operatorului de date (Organizatorul)

Organizatorul, in calitate de Operator de date, isi asuma urmatoarele obligatii:

• Temei legal pentru prelucrare. Organizatorul garanteaza ca detine un temei juridic valid (consimtamant, contract, interes legitim etc., conform art. 6 GDPR) pentru colectarea si prelucrarea datelor personale ale participantilor la evenimentele sale, anterior introducerii acestora in platforma LUCA.
• Informarea persoanelor vizate. Organizatorul se obliga sa informeze participantii, anterior inscrierii lor in platforma, cu privire la: identitatea operatorului de date, scopurile prelucrarii, utilizarea platformei LUCA si a asistentului AI WhatsApp, transferurile de date catre sub-imputernicitii LUCA, drepturile GDPR de care beneficiaza (inclusiv dreptul de stergere prin WhatsApp) si orice alte informatii impuse de art. 13–14 din GDPR.
• Minimizarea datelor. Organizatorul va furniza platformei LUCA exclusiv datele personale necesare scopurilor declarate, in conformitate cu principiul minimizarii datelor prevazut de art. 5 alin. (1) lit. (c) din GDPR. Organizatorul nu va transmite prin platforma date din categoriile speciale prevazute de art. 9 GDPR sau date sensibile de identificare.
• Raspuns la cererile persoanelor vizate. Organizatorul se obliga sa raspunda in termenele legale (maximum 30 de zile) la cererile de exercitare a drepturilor GDPR transmise de participanti sau redirectionate de Imputernicit.
• Acuratetea instructiunilor. Organizatorul se asigura ca instructiunile transmise Imputernicitului (prin configuratia platformei) sunt conforme cu GDPR si cu legislatia aplicabila. Organizatorul va informa imediat Imputernicitul in cazul in care considera ca o instructiune incalca GDPR sau alte dispozitii legale privind protectia datelor.
• Interzicerea datelor sensibile. Organizatorul nu va transmite prin platforma LUCA (prin campuri de formulare, mesaje sau documente) date sensibile, inclusiv CNP, serie/numar CI, date medicale, IBAN sau alte date financiare ale participantilor.

9. Sub-imputerniciti

Autorizare generala prealabila. Prin acceptarea prezentului DPA, Organizatorul acorda JBA WEB AGENCY SRL autorizare generala prealabila pentru angajarea urmatorilor sub-imputerniciti, cu care Imputernicitul a incheiat sau va incheia acorduri de prelucrare a datelor ce impun obligatii echivalente celor din prezentul DPA:

10. Transferuri internationale de date

O parte din sub-imputernicitii platformei LUCA (OpenAI, Resend, Google, Railway) sunt localizati in Statele Unite ale Americii, o tara terta fata de Spatiul Economic European (SEE). In conformitate cu art. 44–49 din GDPR, transferurile de date catre acesti sub-imputerniciti se realizeaza exclusiv pe baza urmatoarelor garantii adecvate:

• Clauze Contractuale Standard (SCC) — adoptate prin Decizia de punere in aplicare (UE) 2021/914 a Comisiei Europene, incheiate cu fiecare sub-imputernicit din tari terte. SCC-urile asigura un nivel echivalent de protectie a datelor cu cel garantat in SEE.
• Cadrul EU–SUA privind confidentialitatea datelor (EU-US Data Privacy Framework — DPF), adoptat prin Decizia de adecvare a Comisiei Europene din 10 iulie 2023, aplicabil sub-imputernicitilor certificati in acest cadru (Google LLC, Meta Platforms, Inc.).

Furnizorul de hosting cPanel/LiteSpeed este stabilit in Romania (Uniunea Europeana) si nu face obiectul unor transferuri internationale de date.

Puteti obtine o copie a garantiilor de transfer aplicabile fiecarui sub-imputernicit, sau informatii suplimentare privind mecanismele de transfer utilizate, prin contactarea responsabilului nostru cu protectia datelor la dpo@getluca.ro.

11. Notificarea incidentelor de securitate

In conformitate cu art. 33–34 din GDPR, Imputernicitul aplica urmatoarea procedura in cazul incidentelor de securitate care implica date personale ale participantilor:

• Termen de notificare: JBA WEB AGENCY SRL va notifica Organizatorul cu privire la orice incident de securitate care afecteaza datele personale prelucrate in cadrul prezentului DPA, in termen de 48 de ore de la momentul in care a luat cunostinta de incident.
• Continutul notificarii va include, in masura in care informatiile sunt disponibile:
  • Natura incidentului de securitate, inclusiv, daca este posibil, categoriile si numarul aproximativ de persoane vizate afectate
  • Categoriile si numarul aproximativ de inregistrari de date cu caracter personal implicate
  • Datele de contact ale responsabilului cu protectia datelor (DPO): dpo@getluca.ro
  • Descrierea consecintelor probabile ale incidentului
  • Descrierea masurilor luate sau propuse pentru remedierea incidentului, inclusiv masurile de atenuare a eventualelor efecte negative
• Asistenta Organizatorului: Imputernicitul va asista Operatorul de date in indeplinirea obligatiei de notificare catre autoritatea de supraveghere (ANSPDCP) si, dupa caz, catre persoanele vizate, furnizand informatiile necesare in cel mai scurt timp posibil.
• Documentarea incidentelor: Imputernicitul va documenta toate incidentele de securitate, inclusiv cele care nu necesita notificare catre autoritatea de supraveghere, punand documentatia la dispozitia Operatorului la cerere.

Notificarile de incident vor fi transmise la adresa de email a Organizatorului inregistrata in platforma sau la orice alta adresa de contact comunicata in scris de Organizator la gdpr@getluca.ro.

12. Dreptul de audit si inspectie

In conformitate cu art. 28 alin. (3) lit. (h) din GDPR, Organizatorul are dreptul de a verifica respectarea de catre JBA WEB AGENCY SRL a obligatiilor ce ii revin in temeiul prezentului DPA.

• Notificare prealabila: Organizatorul trebuie sa transmita o notificare scrisa la gdpr@getluca.ro cu minimum 30 de zile calendaristice inainte de data propusa pentru audit, specificand scopul, domeniul de aplicare si durata estimata a auditului.
• Documentatie disponibila: JBA WEB AGENCY SRL va pune la dispozitia Organizatorului sau a auditorului mandatat de acesta documentatia relevanta privind masurile de securitate, procedurile de prelucrare a datelor si respectarea prezentului DPA.
• Frecventa: Organizatorul poate efectua maximum un audit pe an calendaristic, cu exceptia cazului in care un incident de securitate justifica o verificare suplimentara.
• Costuri: Costurile auditului sunt suportate de Organizator, cu exceptia cazului in care auditul demonstreaza o neconformitate semnificativa din partea Imputernicitului, caz in care costurile rezonabile vor fi suportate de JBA WEB AGENCY SRL.
• Confidentialitate: Auditorul si Organizatorul se obliga sa pastreze confidentialitatea informatiilor comerciale sensibile ale JBA WEB AGENCY SRL la care au acces in cursul auditului.

13. Raspunderea partilor

13.1. Fiecare parte este responsabila pentru respectarea propriilor obligatii care ii revin in temeiul GDPR si al prezentului DPA. Raspunderea fiecarei parti fata de cealalta parte este guvernata de prevederile Termenilor si Conditiilor platformei LUCA.

13.2. JBA WEB AGENCY SRL nu este responsabila pentru niciuna din urmatoarele situatii:

• Prelucrarea datelor personale efectuata in afara instructiunilor Organizatorului sau cu incalcarea prezentului DPA de catre Organizator
• Furnizarea de catre Organizator a unor date personale fara un temei legal valabil
• Neinformarea participantilor de catre Organizator cu privire la drepturile lor GDPR
• Transmiterea de date sensibile prin platforma, in ciuda interdictiei prevazute in prezentul DPA
• Incidentele de securitate cauzate de vulnerabilitati ale sub-imputernicitilor, in afara controlului rezonabil al Imputernicitului

13.3. Raspunderea totala a JBA WEB AGENCY SRL in temeiul prezentului DPA este limitata in conformitate cu sectiunea 9.3 din Termenii si Conditii.

13.4. In relatia cu persoanele vizate, fiecare parte va fi responsabila pentru prejudiciile cauzate prin incalcarea propriilor obligatii GDPR, conform art. 82 din GDPR.

14. Durata si incetarea acordului

14.1. Prezentul DPA intra in vigoare la data acceptarii Termenilor si Conditiilor platformei LUCA de catre Organizator si ramane in vigoare pe intreaga durata in care JBA WEB AGENCY SRL prelucreaza date personale ale participantilor in numele Organizatorului.

14.2. Prezentul DPA supravietuieste incetarii contractului principal (a Termenilor si Conditiilor) pana la momentul in care toate datele personale ale participantilor sunt sterse sau returnate Organizatorului, conform prevederilor sectiunii 7 lit. (g) din prezentul DPA.

14.3. La incetarea prezentului DPA, JBA WEB AGENCY SRL va:

• Inceta imediat orice prelucrare a datelor personale ale participantilor in scopul furnizarii serviciilor LUCA
• Pune la dispozitia Organizatorului un export complet al datelor in termen de 30 de zile de la solicitare
• Sterge irevocabil toate datele personale ale participantilor dupa expirarea ferestrei de export sau la solicitarea imediata a Organizatorului
• Transmite o confirmare scrisa a stergerii datelor

15. Dispozitii finale

15.1. Legea aplicabila. Prezentul DPA este guvernat si interpretat in conformitate cu legislatia romana, inclusiv Regulamentul (UE) 2016/679 (GDPR) si Legea nr. 190/2018 privind masurile pentru punerea in aplicare a Regulamentului (UE) 2016/679.

15.2. Solutionarea litigiilor. Orice litigiu izvorat din sau in legatura cu prezentul DPA va fi solutionat pe cale amiabila in termen de 30 de zile de la notificarea scrisa a partii adverse. In lipsa unei solutionari amiabile, litigiul va fi supus competentei exclusive a instantelor judecatoresti din Iasi, Romania.

15.3. Parte integranta din contractul principal. Prezentul DPA este parte integranta din Termenii si Conditiile platformei LUCA si trebuie citit impreuna cu Politica de Confidentialitate. In cazul oricarei contradictii intre prezentul DPA si Termenii si Conditiile, prevederile DPA vor prevala in ceea ce priveste protectia datelor cu caracter personal.

15.4. Modificari. JBA WEB AGENCY SRL isi rezerva dreptul de a actualiza prezentul DPA pentru a reflecta schimbarile legislative, de practica sau de serviciu. Modificarile semnificative vor fi comunicate cu minimum 15 zile inainte de intrarea in vigoare. Continuarea utilizarii platformei dupa aceasta data constituie acceptarea DPA-ului actualizat.

15.5. Separabilitate. Daca orice prevedere a prezentului DPA este declarata invalida sau inaplicabila, restul prevederilor raman in vigoare si vor fi interpretate intr-o maniera care reflecta cat mai fidel intentia initiala a partilor.

15.6. Contact. Pentru orice intrebari sau solicitari referitoare la prezentul DPA, va puteti adresa la:

Vom raspunde la orice solicitare in termen de maximum 30 de zile calendaristice de la primirea acesteia. De asemenea, aveti dreptul de a depune o plangere la Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) la adresa anspdcp@dataprotection.ro sau pe site-ul www.dataprotection.ro.