Acord de prelucrare a datelor.

Când ne angajezi să găzduim, să construim, să întreținem sau să operăm un sistem care ține date personale, datele acelea rămân ale tale. Acordul de față o spune în forma cerută de articolul 28 și e publicat aici, nu produs la cerere — trebuie să-l poți citi înainte să cumperi, nu după.

E gata de semnare. Cere-ne o copie cu datele tale completate la contact@smartix.digital și ți-o returnăm contrasemnată.

1. Părțile

Persoana împuternicită: ECOSOL PRO S.R.L., cu denumirea comercială Smartix Digital, Nr. Reg. Com. J2019003396232, EUID ROONRC.J2019003396232, CUI RO39292598, sediu social Str. 1 Decembrie 1918 nr. 122, sat Roșu, com. Chiajna, jud. Ilfov, România.

Operatorul: tu — clientul indicat în contractul de servicii la care se anexează acest acord.

2. Ce lege se aplică

Regulamentul (UE) 2016/679 (GDPR) ni se aplică în calitate de societate stabilită în România. Acolo unde tu ești stabilit în Republica Moldova, sau unde persoanele ale căror date le prelucrăm se află acolo, se aplică alături de el Legea nr. 195/2024, din 23 august 2026. Cele două sunt aliniate — Legea 195/2024 transpune GDPR — iar acolo unde o clauză s-ar putea citi în două feluri, se citește în sensul protecției mai mari.

3. Unde cade linia dintre noi

Suntem persoana ta împuternicită pentru tot ce pui într-un sistem pe care ți-l operăm: conținutul site-ului și al bazei de date, căsuțele de email, înregistrările dintr-un CRM sau ERP pe care îl implementăm, fișierele pe care le încarci. Nu decidem noi la ce servesc.

Suntem operator independent, nu persoana ta împuternicită, pentru propriile tale date de cont și de facturare — cine ești, ce ai cumpărat, ce ai plătit, ce tichete ai deschis. Acelea sunt acoperite de politica noastră de confidențialitate, secțiunea 10, nu de acordul acesta. Separarea contează: dacă le-am amesteca, am putea pretinde că instrucțiunile tale ne guvernează facturarea, ceea ce ar fi neadevărat și nu ar trece de un audit.

4. Obiect, durată, natură și scop

Obiect: prelucrarea datelor personale conținute în sistemele și serviciile pe care ți le furnizăm. Durată: cât timp furnizăm acele servicii, plus perioada de încheiere din secțiunea 13. Natura și scopul: găzduire, stocare, backup, mentenanță, migrare, dezvoltare, suport tehnic, investigarea incidentelor și operarea oricărei aplicații pe care o rulăm în numele tău — și nimic altceva.

5. Categorii de date și de persoane vizate

Depind de ce introduci tu, iar tu rămâi cel care decide. De regulă:

• Persoane vizate: clienții tăi, prospecții, angajații, furnizorii, persoanele de contact și utilizatorii sistemelor tale.
• Date de identificare și contact: nume, emailuri, telefoane, adrese, identificatori interni.
• Date comerciale: comenzi, facturi, leaduri, oferte, contracte, tichete, corespondență.
• Date tehnice: adrese IP, loguri, conturi, piste de audit, metadate.
• Fișiere: orice documente încarci tu sau utilizatorii tăi.
• Categorii speciale: numai dacă le introduci tu. Spune-ne întâi — cer o evaluare separată și, în cele mai multe cazuri, măsuri peste configurația standard.

6. Instrucțiunile vin de la tine

Prelucrăm date personale numai pe baza instrucțiunilor tale documentate. Contractul de servicii, tichetele tale de suport și cererile tale scrise sunt acele instrucțiuni. Nu folosim ce găzduiești pentru scopuri proprii — nici analytics, nici benchmarking, nici antrenarea unui model.

Dacă apreciem că o instrucțiune încalcă legea aplicabilă, îți spunem înainte de a o executa, cu excepția cazului în care legea ne interzice să o facem.

7. Confidențialitate și acces

Accesul e limitat la persoanele care au nevoie de el ca să facă treaba, fiecare sub o obligație de confidențialitate care supraviețuiește încetării colaborării. Accesul administrativ se folosește pentru operarea, securizarea și suportul serviciului — niciodată ca să îți citim datele din curiozitate sau în scopuri proprii. Accesul e nominal, cu privilegiu minim și protejat prin autentificare cu mai mulți factori.

8. Securitate

Implementăm măsuri tehnice și organizatorice adecvate riscului, descrise în Anexa B. Le ținem la zi: o măsură de acolo poate fi înlocuită cu una echivalentă sau mai bună, niciodată abandonată în tăcere.

9. Subîmputerniciți

Acorzi autorizație generală pentru subîmputerniciții listați în Anexa C. Rămânem răspunzători față de tine pentru ce fac ei și le impunem obligații nu mai slabe decât cele din acest acord.

Dacă intenționăm să adăugăm sau să înlocuim un subîmputernicit, îți spunem cu cel puțin 30 de zile înainte. Poți obiecta pe motive rezonabile de protecția datelor în acest interval; dacă nu putem rezolva obiecția, poți înceta serviciul afectat fără penalizare pentru perioada nefolosită.

10. Localizare și transferuri internaționale

Serverele de origine sunt în Regatul Unit. Cache-ul edge se face în puncte de prezență din SEE, dar originea e locul unde stau datele, iar Anexa C o spune limpede.

• SEE către Regatul Unit. Acoperit de decizia de adecvare a Comisiei Europene pentru Regatul Unit, reînnoită în decembrie 2025. Nu e necesară o garanție suplimentară.
• Moldova către România. Art. 44 alin. (2) din Legea nr. 195/2024 prevede că acest capitol privind transferurile nu se aplică transferurilor către statele membre ale SEE și că pentru ele nu e necesară autorizare specială.
• Transferul ulterior, România către Regatul Unit. Art. 44 alin. (1) cere ca transferurile ulterioare să nu submineze nivelul de protecție, iar art. 46 alin. (2) lit. c) recunoaște în acest scop clauzele standard adoptate de Comisia Europeană, fără autorizare. Acordul publicat al furnizorului nostru de infrastructură lucrează însă deocamdată cu Addendumul britanic la acele clauze, nu cu cele ale Comisiei. Acolo unde ești sub incidența Legii nr. 195/2024, stabilim deci mecanismul aplicabil cu tine, în scris, înainte ca datele tale să fie găzduite, și îl consemnăm în Anexa C. O origine în SEE este posibilă, dar pe un plan de cloud administrat, nu pe platforma partajată — vezi mai jos. Nu ne sprijinim pe un mecanism pe care nu îl putem proba.
• Nu e necesar un reprezentant în Republica Moldova. Art. 27 alin. (2) lit. c) scutește persoanele împuternicite cu sediu într-un stat membru al SEE. Noi avem sediul în România.

Dacă ai nevoie de o origine în SEE, spune-ne înainte de provizionare. Platforma noastră partajată și de reseller rulează din Regatul Unit, Statele Unite sau Singapore — niciuna în SEE — așa că o origine în SEE înseamnă un plan de cloud administrat, în Frankfurt sau Amsterdam, pe care ți-l cotăm. Nu mutăm un pachet existent în altă regiune fără să îți spunem.

11. Cum te asistăm

• Cererile persoanelor vizate. Dacă cineva ne contactează direct despre date pe care le ținem pentru tine, nu răspundem în locul tău — le transmitem fără întârziere nejustificată și îți spunem ce am primit. Te ajutăm la acces, export, rectificare, restricționare sau ștergere, ținând cont de ce poate face efectiv sistemul.
• Evaluări de impact. Acolo unde partea noastră din prelucrare e relevantă pentru un DPIA sau o consultare prealabilă, îți dăm informațiile de care ai nevoie.
• Obligații de securitate. Te asistăm la propriile tale obligații din art. 32–36, în măsura în care informația e a noastră de dat.

12. Încălcări ale securității datelor

Te notificăm fără întârziere nejustificată și, în orice caz, în cel mult 24 de ore de la momentul în care luăm cunoștință de o încălcare care îți afectează datele. O primă notificare poate fi parțială — preferăm să îți spunem repede și să completăm, decât să așteptăm până se întregește tabloul.

Îți comunicăm cel puțin: ce s-a întâmplat, ce sisteme și categorii de date sunt afectate, câte persoane sunt probabil implicate, ce am făcut ca să limităm efectele și o persoană de contact pentru continuare. Păstrăm propria evidență a incidentului și cooperăm la notificările tale către ANSPDCP, CNPDCP sau către persoanele afectate.

13. Returnare și ștergere

La încetarea serviciului alegi tu: returnare sau ștergere. Îți punem datele la dispoziție pentru export, într-un format uzual, timp de 30 de zile de la încetare. După aceea — sau mai devreme, la instrucțiunea ta — le ștergem din sistemele active.

Backupurile sunt excepția onestă. Punctele de restaurare persistă pe un ciclu mobil de 30 de zile și expiră singure. Nu restaurăm din ele ca să recuperăm date șterse și nu sunt folosite ca arhivă. Dacă o obligație legală ne impune să păstrăm ceva, îți spunem exact ce document și ce obligație.

14. Audit

Îți dăm informațiile de care ai nevoie în mod rezonabil ca să demonstrezi respectarea acestui acord — mai întâi Anexa B, documentația furnizorului, certificările și dovezile de configurare, pentru că răspund mai repede decât o vizită la majoritatea întrebărilor. Acolo unde acestea chiar nu sunt suficiente, poți audita sau numi un auditor, cu preaviz rezonabil, la frecvență rezonabilă și fără a perturba alți clienți. Drepturile de audit asupra furnizorului de infrastructură se exercită prin drepturile de care dispunem noi în contractul cu el.

15. Durată, prevalență și lege aplicabilă

Acordul se aplică atât timp cât prelucrăm date personale în numele tău. În materia protecției datelor, el prevalează asupra contractului comercial. Este guvernat de legea română, iar instanțele din București sunt competente — fără a priva un operator din Republica Moldova de protecția Legii nr. 195/2024 sau de dreptul de a se adresa CNPDCP.

Anexa A — Ce prelucrăm, pe serviciu

Se completează pe fiecare proiect. Valorile implicite sunt acestea; orice ieșire din tipar se scrie înainte de semnare, nu se presupune.

• Hosting administrat. Fișiere, baze de date, căsuțe de email, loguri de server și de acces, backupuri.
• Dezvoltare web și mentenanță. Cele de mai sus, plus copii de staging și extrase de diagnostic luate ca să reproducem o defecțiune — create pe tichet, ținute criptat, șterse când defecțiunea e reparată.
• Implementare și suport CRM / ERP. Înregistrările pe care le ții în sistem: contacte, leaduri, oportunități, documente, comunicări, conturi de utilizator și piste de audit.
• SEO și analytics. De regulă agregate și neidentificatoare. Acolo unde un instrument chiar prelucrează date personale, e numit aici înainte să fie pornit.

Anexa B — Măsuri tehnice și organizatorice

• Controlul accesului. Conturi individuale nominale, privilegiu minim, autentificare cu mai mulți factori pe accesul administrativ, revocare promptă la plecare.
• Securitatea transportului. HTTPS cu TLS 1.3 și HSTS; FTP/SFTP criptat pentru transferul de fișiere; fără credențiale pe canale necriptate.
• Disponibilitate. Backupuri zilnice cu retenție de 30 de zile și restaurări testate; angajament de 99,9% uptime pe serviciile găzduite.
• Jurnalizare. Loguri de acces la server și piste de audit administrativ, păstrate proporțional cu scopul de securitate.
• Actualizări. Actualizări de platformă și de aplicație pe ciclul furnizorului; cele de securitate au prioritate.
• Separare. Mediile clienților sunt separate; o copie de diagnostic nu părăsește niciodată mediul pentru care a fost luată.
• Oameni. Angajamente scrise de confidențialitate înainte de acordarea accesului; reguli interne privind datele clienților, copiile tehnice și instrumentele AI.
• Răspuns la incidente. Procedură definită, cu țintă de notificare către tine în 24 de ore.

Anexa C — Subîmputerniciți

Actual la 1 septembrie 2026.

• 20i Ltd (Regatul Unit) — infrastructură de hosting, panou de control, email și backupuri. Origine: Regatul Unit; puncte de prezență edge în SEE. Acționează în baza propriului acord de prelucrare publicat, care tratează transferurile în afara Regatului Unit și a SEE prin UK International Data Transfer Agreement și prin Addendumul britanic la Clauzele Contractuale Standard ale UE. Subîmputerniciții lui proprii se limitează la plăți, înregistrare de domenii, certificate și contabilitate; niciunul nu prelucrează conținut găzduit.

Asta e toată lista. Dacă folosești un serviciu de-al nostru care aduce în joc o altă parte — un procesator de plăți, o platformă de mesagerie, un instrument de analytics — el se adaugă aici în scris, cu preaviz de 30 de zile, înainte să atingă datele tale.

Semnături

Cere-ne o copie cu datele tale și ți-o returnăm semnată.

ECOSOL PRO S.R.L. — denumire comercială Smartix Digital
Nr. Reg. Com. J2019003396232 · CUI RO39292598
Str. 1 Decembrie 1918 nr. 122, sat Roșu, com. Chiajna, jud. Ilfov, România
Email: contact@smartix.digital
Telefon: +40 749 274 274