Acord de Prelucrare a Datelor (DPA)

Model: art. 28 RGPD. Vocalyy (D.O.D.O. OFFICE OUTLET S.R.L.) este împuternicit; Clientul este Operator.

Părțile

• D.O.D.O. OFFICE OUTLET S.R.L., societate cu răspundere limitată de drept român, cu sediul în Sat Dudu, Comuna Chiajna, Str. Rezervelor nr. 54, bl. 7, ap. 23, județul Ilfov, CUI 48578743, ONRC J23/4990/2023, reprezentată prin administrator Olaru Ciprian Valentin, care operează serviciul Vocalyy („Împuternicitul” / „Vocalyy”); și
• Clientul din Comanda / abonamentul aplicabil („Operatorul”).

Cadrul legal: RGPD, în special art. 28; Legea nr. 190/2018; Legea nr. 506/2004 (înregistrarea apelurilor); ANSPDCP; SCC (Decizia (UE) 2021/914); eIDAS și Legea nr. 214/2024.

Definiții

Datele apelanților

Înregistrările audio, transcrierile, numerele de telefon ale apelanților, metadatele apelurilor, detaliile de programare/comandă.

Configurarea Clientului

Tot ceea ce Clientul setează sau antrenează pe agentul său AI: instrucțiunile și scripturile, întrebările pe care le pune agentul, afirmațiile pe care le face, baza de cunoștințe și documentele folosite pentru antrenare și integrările conectate. Este distinctă de antrenarea modelelor AI terțe, pe care Vocalyy o interzice asupra Datelor apelanților (art. 6.5).

Date din categorii speciale

Datele enumerate la art. 9(1) RGPD, inclusiv datele privind sănătatea.

Date interzise

Codul numeric personal (CNP), numerele cardurilor de plată (PAN), datele conturilor bancare (IBAN); a se vedea art. 5.5.

Art. 1: Roluri și domeniu de aplicare

1.1. Pentru Datele apelanților, Operatorul stabilește scopurile și mijloacele prelucrării; Vocalyy prelucrează datele în numele acestuia, în calitate de împuternicit (art. 28 RGPD).

1.2. Vocalyy este operator independent pentru propriile date de cont, facturare și suport și pentru telemetria de securitate agregată (reglementate de Politica de confidențialitate și de Termeni, nu de prezentul DPA). Nu există operatori asociați în sensul art. 26 RGPD.

1.3. Ordinea de prioritate: legislația imperativă a UE și a României > prezentul DPA > Termenii > Comanda.

Art. 2: Obiectul, durata, natura și scopul prelucrării (art. 28(3) RGPD)

Obiectul

Prelucrarea Datelor apelanților pentru operarea Serviciului de agenți vocali AI (preluarea apelurilor, înregistrarea, transcrierea, preluarea programărilor/comenzilor, notificările, punerea datelor la dispoziție).

Durata

Durata Termenilor, plus perioadele de retenție din Anexa 3, plus art. 12.

Natura

Primirea audio a apelurilor prin subîmputerniciții de telefonie; înregistrarea și stocarea; generarea și stocarea transcrierilor și a datelor structurate prin subîmputerniciții AI; confirmări prin SMS/mesagerie; livrarea în panoul de administrare și prin API.

Scopul

Exclusiv furnizarea Serviciului pe baza instrucțiunilor documentate; niciodată antrenarea modelelor AI terțe pe Datele apelanților, cu excepția celor prevăzute la art. 6.5.

2.1. Tipuri de date. Înregistrări audio; transcrieri și rezumate/entități generate de AI; numerele de telefon ale apelanților și metadatele apelurilor; detalii de programare/comandă; conținutul Operatorului (contacte CRM, baza de cunoștințe).

2.2. Persoane vizate. Apelanții; utilizatorii Operatorului; contactele din CRM și din baza de cunoștințe.

2.3. Categorii speciale (art. 9 RGPD). Datele din categorii speciale sunt permise în Serviciu numai dacă Operatorul a semnat Actul adițional privind datele de sănătate (Anexa 4), condiție aplicată la înscriere. Datele privind sănătatea nu sunt solicitate în mod implicit.

2.4. Înregistrarea este permanent activă. Înregistrarea apelurilor este o funcție permanentă și integrantă a Serviciului și nu poate fi dezactivată. Apelanții primesc anunțul de înregistrare și dezvăluirea utilizării AI la începutul fiecărui apel (Legea nr. 506/2004; art. 50 din Regulamentul AI).

2.5. Numere de telefon. Acolo unde Vocalyy furnizează un număr de telefon pentru Serviciu, acel număr este obținut de la un furnizor terț de comunicații electronice pe numele Vocalyy și pus la dispoziția Operatorului. Operatorul este responsabil de utilizarea legală a liniei și a tuturor apelurilor preluate sau inițiate prin aceasta (Legea nr. 506/2004; RGPD).

Art. 3: Instrucțiunile Operatorului și legalitatea prelucrării

3.1. Vocalyy prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului; Vocalyy informează Operatorul fără întârziere dacă o instrucțiune încalcă RGPD și poate suspenda executarea acesteia.

3.2. Garanțiile Operatorului. Operatorul garantează:

• (a) un temei valid conform art. 6(1) RGPD;
• (b) un temei valid pentru înregistrare și îndeplinirea obligației de informare a apelantului, respectiv de obținere a consimțământului acestuia (Legea nr. 506/2004; art. 13/14 RGPD);
• (c) date din categorii speciale numai în baza unei Anexe 4 semnate și a unei condiții valide conform art. 9(2) RGPD;
• (d) niciun apel comercial automat cu AI către consumatori din România fără opt-in prealabil (Legea nr. 506/2004 art. 12), cu dezvăluirea utilizării AI la începutul apelului (art. 50 din Regulamentul AI) și cu posibilitatea de a solicita un operator uman;
• (e) monitorizarea angajaților conform art. 5 din Legea nr. 190/2018.

3.3. Responsabilitatea Clientului și despăgubirea. Ca între părți, Operatorul este singurul responsabil pentru Configurarea Clientului și pentru legalitatea, conform RGPD și legislației aplicabile, a: (a) întrebărilor pe care le pune agentul și a afirmațiilor pe care le face; (b) datelor cu caracter personal pe care agentul le colectează și a temeiului legal, a informării apelantului și a consimțământului pentru colectarea acestora; și (c) oricăror aspecte care decurg din modul în care Operatorul antrenează sau configurează agentul. Operatorul despăgubește și exonerează Vocalyy de orice pretenție, amendă sau pierdere, inclusiv din partea unei persoane vizate sau a ANSPDCP, care decurge din Configurarea Clientului sau din instrucțiunile sale. Vocalyy rămâne responsabil doar pentru propriile obligații de împuternicit. Acolo unde Vocalyy furnizează formularea implicită (anunțul de înregistrare și dezvăluirea AI), Vocalyy menține conformitatea acesteia; din momentul în care Operatorul o modifică, Operatorul o deține. Nicio prevedere din prezenta clauză nu limitează drepturile persoanei vizate sau atribuțiile autorității de supraveghere.

Art. 4: Confidențialitate

4.1. Persoanele autorizate sunt ținute de angajamente scrise de confidențialitate, care supraviețuiesc încetării; accesul se acordă strict pe baza principiului necesității de a cunoaște.

4.2. Funcții AI din platformă. Acolo unde un asistent AI din platformă prelucrează Date ale apelanților (inclusiv transcrieri), accesul personalului Vocalyy la conversațiile cu asistentul AI este restrâns la personal desemnat, pe roluri, pe baza principiului necesității de a cunoaște, și este jurnalizat; funcția și faptul unui astfel de acces sunt dezvăluite Operatorului. Fără utilizare secundară; fără antrenarea modelelor (art. 6.5).

Art. 5: Securitate (art. 32 RGPD)

5.1. Măsuri tehnice și organizatorice (Anexa 2): TLS 1.2+ în tranzit; AES-256 în repaus pentru înregistrări, transcrieri și credențiale; control al accesului pe roluri și principiul privilegiului minim; autentificare multifactor (MFA) pentru administratori; credențiale stocate sub formă de hash cu salt; izolarea tenanților (securitate la nivel de rând); segmentarea rețelei; jurnalizare, monitorizare și alertare; gestionarea cheilor; procedură documentată de răspuns la incidente (art. 8); copii de rezervă și recuperare în caz de dezastru, proporționale cu disponibilitatea; revizuirea periodică a securității subîmputerniciților; instruirea personalului privind protecția datelor. Jurnalele operaționale/de server care pot conține fragmente din conversații sunt supuse controlului accesului și se șterg conform programului din Anexa 3.

5.2. Accesul la înregistrările și transcrierile apelurilor este restrâns la rolurile de titular/administrator ale Operatorului (privilegiu minim), iar fiecare acces este jurnalizat.

5.3. Prezentul DPA nu declară nicio certificare (ISO 27001 / SOC 2) și niciun procent de disponibilitate; orice angajament de disponibilitate există numai în SLA-ul separat, pentru planurile enterprise care îl încorporează.

5.4. Vocalyy asistă Operatorul în îndeplinirea obligațiilor sale prevăzute la art. 32, 33-34, 35 și 36 RGPD.

5.5. Date interzise. Operatorul nu trebuie să își configureze agentul să solicite CNP, numere de card de plată sau date de cont bancar. Vocalyy aplică detectarea și anonimizarea automată a acestor valori în transcrieri și jurnale și nu stochează valorile brute. Vocalyy nu este procesator de plăți, iar Serviciul nu intră în domeniul de aplicare PCI-DSS pentru datele titularilor de card.

Art. 6: Subîmputerniciți (art. 28(2) și (4) RGPD)

6.1. Autorizare generală scrisă, sub rezerva prezentului art. 6; lista curentă se află în Anexa 5 și este publicată pe pagina de subîmputerniciți (lista oficială).

6.2. Vocalyy notifică cu cel puțin 30 de zile înainte orice adăugare sau înlocuire; Operatorul poate formula obiecții pe motive rezonabile de protecție a datelor; dacă nu se găsește o soluție de atenuare în alte 30 de zile, Operatorul poate înceta Serviciul afectat fără penalități, cu rambursarea perioadei preplătite neutilizate.

6.3. Transmiterea obligațiilor (art. 28(4) RGPD). Fiecare subîmputernicit este obligat prin contract scris la obligații care nu oferă o protecție mai redusă; Vocalyy rămâne pe deplin răspunzător.

6.4. Transferuri internaționale: a se vedea art. 7.

6.5. Restricția privind antrenarea modelelor AI. Subîmputerniciții AI au interdicția contractuală de a folosi Datele apelanților pentru antrenarea modelelor lor generale, conform condițiilor de prelucrare a datelor ale fiecărui furnizor.

Art. 7: Transferuri internaționale (Capitolul V RGPD)

7.1. Datele cu caracter personal în repaus sunt găzduite în Uniunea Europeană (Supabase, regiunea Frankfurt, Germania). Acolo unde un subîmputernicit prelucrează Date ale apelanților în SUA, transferul se bazează pe un mecanism valid conform art. 7.2.

7.2. Pentru fiecare transfer în SUA, Vocalyy se bazează pe: (a) certificarea în cadrul EU-US Data Privacy Framework (DPF), acolo unde este în vigoare; și/sau (b) SCC (Decizia (UE) 2021/914), o evaluare documentată a impactului transferului (TIA) și măsuri suplimentare (criptare în tranzit și în repaus, controlul accesului, minimizarea datelor).

7.3. Subîmputerniciții din SUA care primesc Date ale apelanților au fiecare propriile SCC, propria TIA și confirmarea interdicției de antrenare, dezvăluite Operatorului și în informarea apelantului.

7.4. Operatorul poate solicita SCC, rezumatul TIA sau detaliile DPF la agent@vocalyy.ro.

Art. 8: Încălcarea securității datelor cu caracter personal (art. 33(2) și 34 RGPD)

8.1. Vocalyy notifică Operatorul fără întârzieri nejustificate și, în orice caz, în termen de 48 de ore de la luarea la cunoștință (24 de ore pentru datele din categorii speciale prelucrate în baza Anexei 4).

8.2. Conținutul notificării: natura încălcării, categoriile și numerele aproximative, consecințele probabile, măsurile luate, punctul de contact, cu actualizări succesive.

8.3. Pentru conținutul apelurilor și metadatele comunicațiilor electronice, Vocalyy asistă Operatorul în aplicarea Legii nr. 506/2004.

8.4. Asistența acordată nu constituie o recunoaștere a răspunderii.

Art. 9: Drepturile persoanelor vizate (art. 28(3)(e) RGPD)

Vocalyy asistă Operatorul, prin măsuri tehnice și organizatorice, în îndeplinirea obligațiilor prevăzute la art. 15-22 RGPD, inclusiv prin identificarea, exportul și ștergerea înregistrărilor și transcrierilor unui apelant. O cerere primită direct de Vocalyy este transmisă Operatorului în termen de 3 zile lucrătoare; Vocalyy doar confirmă primirea și redirecționează cererea.

Art. 10: Evidențe (art. 30(2) RGPD)

Vocalyy ține evidența activităților de prelucrare și o pune la dispoziția ANSPDCP, la cerere.

Art. 11: Audit (art. 28(3)(h) RGPD)

Informații la cerere; un audit o dată pe an calendaristic (plus audituri pentru motive întemeiate), cu o notificare prealabilă de cel puțin 30 de zile, în timpul programului de lucru, fără perturbări nerezonabile și cu respectarea confidențialității.

Art. 12: Retenție, returnare și ștergere

12.1. Datele apelanților se păstrează conform Anexei 3 și apoi se șterg automat prin procesul programat de ștergere.

12.2. La încetarea contului curge o perioadă de grație de 30 de zile, în care Operatorul poate exporta datele sau reactiva contul. La finalul perioadei de grație, Vocalyy șterge definitiv toate Datele apelanților, contactele și programările/comenzile salvate, cu excepția scheletului de facturare de la art. 12.5.

12.3. Un cont este încetat atunci când (a) abonamentul este anulat (perioada de grație începe imediat) sau (b) abonamentul este neplătit și rămâne neplătit 30 de zile de la scadență (după care curge perioada de grație).

12.4. Vocalyy transmite un e-mail titularului contului Operatorului cu 7 zile înainte de ștergere, cu un link de export.

12.5. Data, durata și costul fiecărui apel se păstrează timp de 5 ani (Legea nr. 82/1991). Fără date cu caracter personal ale apelanților.

12.6. Excepția de retenție legală: pentru datele supuse unei obligații legale sau unei pretenții juridice în curs se păstrează doar minimul necesar, cu informarea Operatorului. Ștergerea se certifică la cerere.

Art. 13: Răspundere

Răspunderea agregată totală a fiecărei părți este plafonată la valoarea taxelor plătite pentru Serviciul afectat în cele 3 luni anterioare evenimentului, sub rezerva excepțiilor care nu pot fi plafonate (art. 1355 Cod civil, dol / culpă gravă; confidențialitate; cereri ale persoanelor vizate în temeiul art. 82 RGPD; legislația imperativă privind protecția consumatorului). Despăgubirea datorată de Client conform art. 3.3 este o alocare între părți și nu limitează răspunderea proprie a Vocalyy, în calitate de împuternicit, față de persoanele vizate sau față de ANSPDCP.

Art. 14: Contacte

Contactul împuternicitului pentru toate aspectele privind protecția datelor: agent@vocalyy.ro. Un responsabil cu protecția datelor (DPO) extern este numit și notificat ANSPDCP (art. 37 RGPD); datele de contact ale DPO se publică după finalizarea numirii. Contactul Operatorului: conform Comenzii.

Art. 15: Legea aplicabilă și semnarea

15.1. Legea română; jurisdicția conform Termenilor (instanța competentă pentru sediul din județul Ilfov). Drepturile persoanelor vizate prevăzute la art. 77-79 RGPD nu sunt afectate.

15.2. Acceptarea prin click (click-through) constituie încheierea prezentului DPA pentru IMM-uri; clienții de dimensiuni mai mari solicită de regulă un exemplar semnat olograf sau cu semnătură electronică calificată (eIDAS / Legea nr. 214/2024).

Anexe

• Anexa 1: Descrierea prelucrării (tabelul de la art. 2).
• Anexa 2: Măsuri tehnice și organizatorice.
• Anexa 3: Programul de retenție (mai jos).
• Anexa 4: Actul adițional privind datele de sănătate (condiție prealabilă înscrierii, pentru datele din categorii speciale).
• Anexa 5: Lista subîmputerniciților (mai jos).
• Anexa 6: SCC (Decizia (UE) 2021/914, Modulele 2/3), prin referință.

Anexa 3: Programul de retenție

Un proces automat de ștergere aplică fiecare perioadă, pe tip de date.

Contactele adăugate sau importate de Operator și programările/comenzile salvate (evidențele CRM proprii ale Operatorului) se păstrează pe durata contractului și se șterg la încetare, conform art. 12. Un contact creat automat dintr-un apel face parte din Datele apelanților și se șterge odată cu ele, la 90 de zile de la cel mai recent apel al acelui apelant. Operatorul poate impune, prin instrucțiune scrisă, o perioadă mai scurtă pentru orice categorie. O clinică ce a semnat Anexa 4 poate dispune o perioadă mai lungă, în baza propriului temei privind evidențele medicale.

Anexa 5: Lista subîmputerniciților

Lista oficială și actualizată este publicată pe pagina de subîmputerniciți și se poate modifica cu un preaviz de 30 de zile (art. 6.2). Folosim următoarele categorii de furnizori de servicii; furnizorul concret se poate schimba, iar orice modificare semnificativă o notificăm cu 30 de zile înainte.