Acord de prelucrare a datelor (DPA) - art. 28 GDPR

Prezentul Acord de prelucrare a datelor (denumit in continuare „Acordul” sau „DPA”) se incheie in temeiul art. 28 din Regulamentul (UE) 2016/679 (GDPR), intre:

Clientul, in calitate de Operator, care determina scopurile si mijloacele prelucrarii datelor cu caracter personal pe care le stocheaza in serviciile contractate, si
Cloud Data Hosting S.R.L., cu sediul in Str. Clopoteilor nr. 10, Cluj-Napoca, jud. Cluj, Nr. Registrul Comertului J2019002285126, CUI RO41201443 (denumita in continuare „datahost.ro”), in calitate de persoana imputernicita de operator.

Acordul se incheie automat, in forma electronica prevazuta de art. 28 alin. (3) din GDPR, in momentul in care Clientul accepta Termenii si conditiile datahost.ro, si constituie parte integranta din contractul dintre parti. Nu este necesara semnarea unui document separat.

Acordul se aplica pe intreaga durata a contractului de prestari servicii si inceteaza odata cu acesta, cu exceptia obligatiilor care, prin natura lor, supravietuiesc incetarii - confidentialitatea si stergerea sau returnarea datelor.

In caz de neconcordanta intre prezentul Acord si Termenii si conditiile generale, in materie de protectie a datelor cu caracter personal prevaleaza prezentul Acord.

datahost.ro actioneaza in doua calitati distincte, care nu trebuie confundate:

1. – ca operator, pentru datele proprii de relatie comerciala: datele de cont, de facturare, de contact si cele de marketing ale Clientului. Aceasta prelucrare este descrisa in Politica GDPR si nu face obiectul prezentului Acord.
2. – ca persoana imputernicita, pentru datele cu caracter personal continute in informatiile pe care Clientul le stocheaza, le transmite sau le prelucreaza prin serviciile datahost.ro: fisierele site-ului, bazele de date, casutele si mesajele de e-mail, copiile de rezerva. Acestea fac obiectul prezentului Acord.

Obiectul prelucrarii: furnizarea serviciilor contractate de Client - gazduire web, gazduire WordPress si magazine online, conturi reseller, servere VPS si servere dedicate, servicii de e-mail, servicii de administrare si serviciile conexe acestora.

Durata prelucrarii: pe durata contractului dintre parti, la care se adauga termenele de pastrare impuse de lege sau termenele tehnice de retentie a copiilor de rezerva, potrivit sectiunii privind stergerea datelor.

Natura si scopul prelucrarii: operatiuni exclusiv tehnice, necesare furnizarii serviciilor - stocare, gazduire, transmitere, realizarea si pastrarea copiilor de rezerva, migrare, restaurare, mentenanta, monitorizare si masuri de securitate. datahost.ro nu consulta, nu analizeaza si nu utilizeaza in scopuri proprii continutul stocat de Client.

Tipurile de date cu caracter personal si categoriile de persoane vizate: sunt determinate exclusiv de Client, prin natura informatiilor pe care acesta alege sa le incarce si sa le prelucreze prin servicii. Acestea pot include, cu titlu de exemplu, date de identificare si de contact, date de cont, continutul corespondentei electronice sau date privind clientii, utilizatorii, angajatii ori colaboratorii Operatorului.

Prin natura serviciilor de gazduire, datahost.ro nu are cunostinta si nu exercita control asupra categoriilor de date pe care Clientul le stocheaza. Determinarea si documentarea acestora revin integral Operatorului.

Serviciile standard datahost.ro nu sunt configurate special pentru prelucrarea categoriilor speciale de date prevazute la art. 9 din GDPR - date privind sanatatea, date biometrice, date genetice, convingeri religioase sau politice, apartenenta sindicala, viata sexuala ori orientarea sexuala - si nici a datelor privind condamnari penale si infractiuni prevazute la art. 10.

Clientul care intentioneaza sa prelucreze astfel de date prin serviciile datahost.ro are obligatia de a evalua in prealabil daca nivelul de securitate oferit este adecvat riscului si de a ne informa, pentru a putea conveni eventuale masuri suplimentare.

datahost.ro prelucreaza datele cu caracter personal numai pe baza instructiunilor documentate ale Operatorului, inclusiv in ceea ce priveste transferurile de date catre o tara terta sau o organizatie internationala.

Constituie instructiuni documentate ale Operatorului, in sensul prezentului Acord:
1. – contractul de prestari servicii si Termenii si conditiile acceptate;
2. – prezentul Acord;
3. – configurarile si operatiunile efectuate de Client prin panoul de control si prin contul de client;
4. – solicitarile transmise de Client prin sistemul de tichete de suport.

datahost.ro informeaza imediat Operatorul daca apreciaza ca o instructiune primita incalca GDPR sau alte dispozitii privind protectia datelor si poate suspenda executarea instructiunii pana la clarificare.

Prin exceptie, datahost.ro poate prelucra datele in temeiul dreptului Uniunii sau al dreptului national care ii este aplicabil. In acest caz informeaza Operatorul cu privire la cerinta legala inainte de prelucrare, cu exceptia cazului in care legea respectiva interzice o astfel de informare din motive importante de interes public.

datahost.ro se asigura ca persoanele autorizate sa prelucreze datele cu caracter personal s-au angajat sa respecte confidentialitatea sau au o obligatie statutara adecvata de confidentialitate.

Accesul la datele Operatorului este limitat la personalul pentru care acest acces este strict necesar in vederea executarii contractului, pe principiul strictei necesitati, si este acordat prin drepturi de acces individualizate. Obligatia de confidentialitate subzista si dupa incetarea raporturilor de munca sau de colaborare.

Personalul datahost.ro nu acceseaza continutul stocat de Client decat atunci cand acest lucru este necesar pentru executarea unei solicitari a Clientului, pentru remedierea unei probleme tehnice, pentru masuri de securitate sau in temeiul unei obligatii legale.

datahost.ro implementeaza si mentine masuri tehnice si organizatorice adecvate pentru a asigura un nivel de securitate corespunzator riscului, tinand seama de stadiul actual al tehnologiei, de costurile implementarii si de natura, domeniul de aplicare, contextul si scopurile prelucrarii.

Masurile includ, fara a se limita la:
1. – firewall-uri, solutii antimalware si sisteme de detectie a accesului neautorizat;
2. – servere securizate, in centre de date cu acces fizic controlat;
3. – criptarea comunicatiilor prin certificate SSL/TLS, atat pentru colectarea datelor, cat si pentru serviciile de e-mail;
4. – sisteme de gestiune a drepturilor de acces si a proceselor, cu acordarea accesului pe principiul strictei necesitati;
5. – actualizarea programelor utilizate la ultima versiune stabila, pentru a nu prezenta riscuri de securitate cunoscute;
6. – copii de rezerva pe medii de stocare diferite, pentru a preveni deteriorarea sau distrugerea accidentala a datelor;
7. – selectarea atenta a furnizorilor si a sistemelor de prelucrare;
8. – proceduri interne de verificare si de protejare a informatiilor procesate, care asigura furnizarea datelor numai catre destinatari legitimi.

Aceste masuri sunt detaliate si in sectiunea Masuri tehnice pentru securitatea datelor personale din Politica GDPR. datahost.ro poate modifica masurile pe parcursul contractului, cu conditia ca nivelul de securitate sa nu fie diminuat.

Obligatiile Operatorului: configurarea in siguranta a aplicatiilor proprii, actualizarea acestora, alegerea si pastrarea in siguranta a parolelor, gestionarea drepturilor de acces ale propriilor utilizatori si realizarea de copii de rezerva proprii raman in sarcina Clientului, potrivit Termenilor si conditiilor.

Operatorul acorda datahost.ro o autorizatie generala scrisa de a recurge la alte persoane imputernicite (sub-imputerniciti) pentru executarea serviciilor contractate.

Sub-imputernicitii apartin urmatoarelor categorii:
1. – furnizori de infrastructura si centre de date;
2. – furnizori de software pentru panouri de control si administrarea serverelor;
3. – furnizori de servicii conexe necesare functionarii serviciilor - de exemplu servicii de e-mail, de securitate sau de asistenta pentru clienti.

Registrele si registrarii de nume de domenii nu sunt sub-imputerniciti, ci operatori independenti; regimul lor este descris la sectiunea Transferuri internationale de date.

Lista actualizata, nominala, a sub-imputernicitilor se comunica Operatorului la cerere, printr-o solicitare transmisa la [email protected].

datahost.ro impune fiecarui sub-imputernicit, prin contract, aceleasi obligatii de protectie a datelor ca cele prevazute in prezentul Acord si ramane pe deplin raspunzatoare fata de Operator pentru indeplinirea obligatiilor de catre acestia.

datahost.ro informeaza Operatorul cu privire la orice intentie de a adauga sau de a inlocui un sub-imputernicit, cu un termen rezonabil inainte de modificare. Operatorul poate formula obiectii intemeiate in acest termen; daca obiectiile nu pot fi solutionate de comun acord, Operatorul are dreptul de a rezilia serviciul afectat, fara penalitati, cu restituirea sumelor achitate in avans si neconsumate.

Ca regula, datele stocate in serviciile datahost.ro sunt gazduite in Romania, respectiv in Spatiul Economic European.

Atunci cand un sub-imputernicit care prelucreaza in numele datahost.ro este stabilit in afara Spatiului Economic European, transferul are loc numai in temeiul unuia dintre urmatoarele mecanisme:
1. – o decizie de adecvare a Comisiei Europene, potrivit art. 45 din GDPR;
2. – clauzele contractuale standard adoptate de Comisia Europeana, potrivit art. 46 din GDPR, insotite, dupa caz, de masuri suplimentare;
3. – o alta garantie adecvata prevazuta de capitolul V din GDPR.

In temeiul prezentului Acord, datahost.ro nu efectueaza transferuri in afara Spatiului Economic European fara unul dintre temeiurile de mai sus.

Transmiterea datelor detinatorului de domeniu catre registrele si registrarii de nume de domenii, obligatorie pentru inregistrarea si administrarea domeniilor, nu intra sub incidenta prezentului Acord.

Aceste entitati actioneaza in calitate de operatori independenti: isi stabilesc propriile scopuri si mijloace de prelucrare, prin politicile de registru care le sunt aplicabile si prin obligatiile de publicitate a datelor de inregistrare, si nu prelucreaza in numele datahost.ro. Prin urmare, nu au calitatea de sub-imputerniciti si nu li se aplica regimul prevazut la sectiunea anterioara.

Aceasta prelucrare are loc in calitatea datahost.ro de operator si este descrisa in Politica GDPR, impreuna cu datele solicitate pentru fiecare categorie de extensie si cu destinatarii acestora.

datahost.ro asista Operatorul, prin masuri tehnice si organizatorice adecvate, in indeplinirea obligatiei acestuia de a raspunde cererilor prin care persoanele vizate isi exercita drepturile prevazute la art. 12-23 din GDPR - acces, rectificare, stergere, restrictionare, portabilitate si opozitie.

In practica, Operatorul dispune de mijloacele tehnice necesare pentru a solutiona el insusi aceste cereri: acces la panoul de control, la fisierele contului, la casutele de e-mail si la bazele de date, precum si posibilitatea de a extrage, modifica sau sterge datele. Pentru situatiile care depasesc aceste mijloace, datahost.ro ofera sprijin tehnic la solicitarea Operatorului.

Daca o cerere a unei persoane vizate este adresata direct datahost.ro cu privire la date pentru care calitatea de operator apartine Clientului, datahost.ro nu raspunde in locul Operatorului, ci transmite cererea catre acesta fara intarziere nejustificata si informeaza persoana vizata ca cererea a fost redirectionata.

Tinand seama de natura prelucrarii si de informatiile aflate la dispozitia sa, datahost.ro acorda Operatorului asistenta pentru:
1. – asigurarea securitatii prelucrarii (art. 32);
2. – notificarea incalcarilor de securitate catre autoritatea de supraveghere (art. 33) si informarea persoanelor vizate (art. 34);
3. – realizarea evaluarilor de impact asupra protectiei datelor (art. 35);
4. – consultarea prealabila a autoritatii de supraveghere (art. 36).

datahost.ro notifica Operatorul fara intarzieri nejustificate dupa ce ia cunostinta de o incalcare a securitatii datelor cu caracter personal prelucrate in numele acestuia.

Notificarea cuprinde, in masura informatiilor disponibile la momentul respectiv: natura incalcarii, categoriile si numarul aproximativ de persoane vizate si de inregistrari afectate, consecintele probabile si masurile luate sau propuse pentru remediere si pentru limitarea efectelor. Informatiile lipsa sunt comunicate pe masura ce devin disponibile.

Obligatia de a notifica autoritatea de supraveghere in termen de 72 de ore, potrivit art. 33 alin. (1), si de a informa persoanele vizate potrivit art. 34, revine Operatorului, acesta fiind cel care detine contextul complet al prelucrarii.

La incetarea furnizarii serviciilor, datahost.ro sterge sau returneaza Operatorului toate datele cu caracter personal prelucrate in numele acestuia, la alegerea Operatorului, si elimina copiile existente, cu exceptia cazului in care dreptul Uniunii sau dreptul national impune pastrarea lor.

Returnarea: Operatorul poate descarca in orice moment, din panoul de control, o copie completa a datelor sale, de la optiunea Backup / Copie de siguranta. Se recomanda efectuarea acestei operatiuni inainte de incetarea contractului.

Termenele de stergere sunt cele deja prevazute in Termenii si conditiile: contul de gazduire poate fi sters definitiv de pe server in termen de 15 zile de la depasirea datei scadente. Copiile de rezerva sunt suprascrise potrivit ciclului tehnic de rotatie, in termen de cel mult 30 de zile de la stergerea contului.

Documentele financiar-contabile se pastreaza pe perioadele impuse de lege, potrivit Politicii GDPR, insa aceasta pastrare are loc in calitatea datahost.ro de operator, nu in temeiul prezentului Acord.

datahost.ro pune la dispozitia Operatorului toate informatiile necesare pentru a demonstra respectarea obligatiilor prevazute la art. 28 din GDPR si permite desfasurarea de audituri, inclusiv inspectii, efectuate de Operator sau de un auditor mandatat de acesta.

Auditurile se desfasoara in urmatoarele conditii practice, menite sa protejeze securitatea si confidentialitatea celorlalti clienti:
1. – cu un preaviz scris de cel putin 30 de zile;
2. – cel mult o data pe an calendaristic, cu exceptia cazului in care un audit suplimentar este impus de o autoritate de supraveghere sau de producerea unei incalcari de securitate;
3. – in timpul programului normal de lucru si fara a perturba activitatea sau serviciile furnizate altor clienti;
4. – pe cheltuiala Operatorului, sub rezerva semnarii unui acord de confidentialitate de catre auditor;
5. – fara acces la date, sisteme sau informatii care apartin altor clienti.

Obligatia poate fi indeplinita si prin punerea la dispozitie a certificarilor, rapoartelor de audit sau documentatiei de conformitate detinute de datahost.ro ori de sub-imputernicitii sai, daca acestea acopera obiectul solicitarii.

Raspunderea partilor pentru prejudiciile cauzate prin incalcarea GDPR se stabileste potrivit art. 82 din Regulament. Limitarile de raspundere convenite prin Termenii si conditiile nu inlatura raspunderea prevazuta imperativ de GDPR fata de persoanele vizate si fata de autoritatile de supraveghere.

Prezentul Acord este guvernat de legea romana. Autoritatea de supraveghere competenta este Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP), cu sediul in B-dul G-ral. Gheorghe Magheru nr. 28-30, sector 1, Bucuresti.

www.dataprotection.ro

Pentru orice solicitare privind prezentul Acord, inclusiv pentru obtinerea listei sub-imputernicitilor sau pentru programarea unui audit: [email protected]

Termeni si conditii generale
Politica GDPR
Politica de utilizare cookies
DSA - Regulamentul (UE) 2022/2065
Modalitati de contact
Textul integral al Regulamentului (UE) 2016/679 (GDPR)

Ultima actualizare: 19 august 2026.