Acordul de prelucrare a datelor (DPA)
Conform art. 28 din Regulamentul (UE) 2016/679 (GDPR). Face parte din Termenii și condițiile mecanio.
1. Părțile
Operatorul este firma care folosește mecanio („Atelierul”), pentru datele pe care le introduce despre clienții, angajații și partenerii săi.
Persoana împuternicită este ARHAI S.R.L., CUI RO35913161, Reg. Com. J2016000743052, Str. Piatra Craiului nr. 36G, Oradea, jud. Bihor, e-mail contact@arhai.ro, telefon 0750265636 („Prestatorul”).
Acordul se încheie prin acceptarea Termenilor la crearea contului și durează cât timp Atelierul folosește Platforma, plus perioada necesară ștergerii datelor.
2. Obiectul prelucrării
| Natura și scopul | Găzduirea și prelucrarea datelor necesare funcționării programului de gestiune a service-ului: comenzi de lucru, clienți, vehicule, programări, facturi, mesaje SMS și e-mail către clienți, agentul AI, la cererea utilizatorilor Atelierului. |
|---|---|
| Categorii de persoane | clienții Atelierului (persoane fizice și reprezentanți ai firmelor), angajații și colaboratorii Atelierului, persoanele de contact ale furnizorilor |
| Categorii de date | nume, telefon, e-mail, adresă, date de identificare din facturi (CNP doar dacă Atelierul îl introduce pe factură), numere de înmatriculare și serii de șasiu, istoricul lucrărilor și al plăților, mesaje, pontajul angajaților; fotografii ale vehiculelor din inspecții (pot surprinde persoane sau obiecte); imaginea semnăturii olografe la recepție și predare; cererile de programare online și accesările portalului clientului; fișele RAR Auto-Pass (serie de șasiu, kilometri, tipul lucrării); conversațiile cu agentul AI; amprenta (hash) adresei IP la formularele publice |
| Date sensibile | Platforma nu este destinată datelor din categoriile speciale (art. 9 GDPR); Atelierul nu le introduce. |
3. Obligațiile Prestatorului
- Prelucrează datele doar pe baza instrucțiunilor documentate ale Atelierului — Termenii, acest acord și acțiunile utilizatorilor în aplicație — cu excepția cazurilor în care legea îl obligă; în acest caz, informează Atelierul înainte, dacă legea permite.
- Se asigură că persoanele cu acces la date s-au angajat să respecte confidențialitatea.
- Aplică măsurile tehnice și organizatorice din Anexa 1.
- Folosește alți împuterniciți doar în condițiile de la punctul 4.
- Ajută Atelierul, prin funcțiile aplicației și la cerere, să răspundă cererilor persoanelor vizate (acces, rectificare, ștergere, portabilitate). Din fișa unui client, patronul sau managerul Atelierului: corectează datele; exportă într-un fișier JSON datele clientului (date de contact, vehicule, comenzi, facturi, programări, comunicări, inspecții, acorduri); anonimizează clientul, adică șterge telefonul, e-mailul, notițele, comunicările, acordurile și linkurile de portal. Facturile emise nu se modifică, iar dacă clientul are facturi emise, numele, codul fiscal și adresa de pe ele rămân, cât timp legea contabilității cere păstrarea lor.
- Ajută Atelierul să își îndeplinească obligațiile privind securitatea, notificarea încălcărilor și evaluările de impact, în măsura informațiilor pe care le are.
- Notifică Atelierul fără întârzieri nejustificate, și în cel mult 48 de ore de la constatare, despre orice încălcare a securității datelor Atelierului, cu informațiile disponibile.
- La încetarea contractului, la alegerea Atelierului, îi pune la dispoziție exportul datelor și le șterge, în cel mult 30 de zile, cu excepția celor pe care legea îl obligă să le păstreze.
- Pune la dispoziția Atelierului informațiile necesare pentru a demonstra respectarea acestui acord și permite audituri rezonabile, cu preaviz de 30 de zile, cel mult o dată pe an, pe cheltuiala Atelierului.
4. Alți împuterniciți (subprocesatori)
Atelierul autorizează în general folosirea furnizorilor de mai jos. Prestatorul anunță pe e-mail orice furnizor nou cu cel puțin 15 zile înainte; Atelierul se poate opune motivat, iar dacă nu se găsește o soluție, poate înceta contractul fără penalități. Prestatorul impune fiecărui furnizor obligații de protecție a datelor echivalente și răspunde pentru ei.
| Furnizor | Pentru ce | Unde | Când |
|---|---|---|---|
| Furnizorul de servere (hosting) al Prestatorului | Găzduirea aplicației și a bazei de date, copii de siguranță | Spațiul Economic European | întotdeauna |
| Furnizorul de stocare a fișierelor (compatibil S3), ales de Prestator | Pozele din inspecții, semnăturile de la recepție și predare, logo-ul atelierului. Cât timp stocarea nu e configurată, fișierele stau în baza de date, la furnizorul de hosting. | Spațiul Economic European | dacă atelierul încarcă fișiere |
| Stripe Payments Europe Ltd. | Încasarea abonamentelor cu cardul. Datele cardului nu trec prin mecanio. | Irlanda (UE); transferuri către Stripe Inc. (SUA) pe baza clauzelor contractuale standard | dacă plătiți cu cardul |
| Intelligent IT SRL (SmartBill) | Emiterea facturilor fiscale (pentru abonament și, dacă atelierul conectează contul său, pentru clienții atelierului) | România | la facturare |
| Resend (Plus Five Five, Inc.) | Trimiterea e-mailurilor automate (confirmare cont, invitații, resetare parolă, facturi, notificări de plată) și a e-mailurilor către clienții atelierului (programări online, linkul către portalul clientului) | SUA, pe baza clauzelor contractuale standard / EU-US Data Privacy Framework | întotdeauna |
| SMSLink sau SMSAdvert (furnizorul SMS activ) | Trimiterea SMS-urilor către clienții atelierului (programări, mașină gata, mementouri) | România | dacă atelierul trimite SMS-uri |
| Anthropic, PBC | Agentul AI: procesează textul cererii și datele necesare răspunsului. Anthropic nu folosește datele trimise prin API pentru antrenarea modelelor. | SUA, pe baza clauzelor contractuale standard | doar când un utilizator folosește agentul AI |
| ANAF (SPV / e-Factura) | Transmiterea facturilor electronice, dacă atelierul conectează e-Factura | România | dacă atelierul folosește e-Factura |
Dacă Atelierul își configurează propriul server de e-mail (SMTP), propriul cont SMS sau propria cheie Anthropic, acești furnizori sunt aleși de Atelier și lucrează pe contractul lui direct cu ei.
5. Transferuri internaționale
Datele sunt găzduite în Spațiul Economic European. Transferurile către furnizorii din afara SEE se fac doar pe baza clauzelor contractuale standard ale Comisiei Europene sau a unei decizii de adecvare (inclusiv cadrul UE-SUA privind protecția datelor).
6. Obligațiile Atelierului
- Are temei legal pentru datele introduse și informează persoanele vizate (de exemplu, clienții care primesc SMS-uri).
- Stabilește cine din atelier are acces și cu ce rol, și păstrează confidențialitatea parolelor.
- Nu introduce date din categoriile speciale și nici date care nu sunt necesare.
7. Răspundere
Fiecare parte răspunde conform art. 82 GDPR. Limitarea răspunderii din Termeni se aplică și acestui acord, în măsura permisă de lege.
Anexa 1 — Măsuri tehnice și organizatorice
- Criptare în tranzit: toate conexiunile la Platformă folosesc HTTPS (TLS).
- Parole: păstrate doar ca hash bcrypt; limitarea încercărilor de autentificare.
- Chei de integrare: credențialele SmartBill, ANAF și SMS sunt criptate în baza de date (AES-256-GCM).
- Izolare: fiecare interogare e filtrată pe atelier; un atelier nu poate accesa datele altuia.
- Control acces: roluri în atelier (patron, manager, consilier, mecanic, magazie, contabil), verificate pe server la fiecare acțiune.
- Infrastructură: aplicația rulează în containere fără drepturi de administrator; baza de date nu e expusă public.
- Copii de siguranță: periodice, pentru restaurare în caz de incident.
- Actualizări: dependințele software se verifică pentru vulnerabilități înainte de fiecare publicare.
- Jurnale: acțiunile importante din conturi și din administrarea Platformei se înregistrează.
- Incidente: procedură internă de răspuns, cu notificarea Atelierului conform punctului 3.7.
Contact
Pentru orice întrebare legată de acest acord: contact@arhai.ro.
Versiunea din 15 octombrie 2026.