Acord de Prelucrare a Datelor

Preambul și context

Prezentul Acord de Prelucrare a Datelor ("DPA") este încheiat între:

• Operatorul de date ("Clientul"): compania sau entitatea care utilizează Serviciile Whapi.ro;
• Procesatorul de date ("Whapi"): SC ADDO VISION SOLUTIONS SRL, cu sediul social în București, Șos. Berceni nr. 39, Sector 4, înregistrată la Registrul Comerțului sub nr. J2013010973404, EUID ROONRC.J2013010973404, CUI RO32203240.

DPA-ul se aplică în legătură cu prelucrarea Datelor cu Caracter Personal ale Utilizatorilor Finali ai Clientului prin intermediul platformei Whapi.ro, în scopul furnizării Serviciilor. În caz de neconcordanță între DPA și Termenii și Condițiile în materie de protecția datelor, prevalează DPA.

1. Definiții

• „Date cu Caracter Personal" – orice informație care poate identifica o persoană fizică (număr de telefon, nume, etc.) conform Art. 4(1) GDPR.
• „Utilizatori Finali" – persoanele fizice cu care Clientul comunică prin WhatsApp prin intermediul Platformei.
• „Prelucrare" – orice operațiune efectuată cu date personale (stocare, transmitere, analiză).
• „Sub-procesator" – orice persoană împuternicită de Whapi să prelucreze Date cu Caracter Personal în numele Clientului.
• „Incident de securitate" – orice breșă de securitate care duce la distrugerea, pierderea, modificarea sau divulgarea neautorizată a datelor.

2. Obiectul și durata prelucrării

Obiect: Whapi prelucrează Date cu Caracter Personal exclusiv pentru a furniza Serviciile solicitate de Client, inclusiv: stocarea și transmiterea mesajelor WhatsApp, gestionarea contactelor, executarea automatizărilor configurate de Client.

Durata: Pe durata valabilității contractului de servicii, plus perioada de export și ștergere prevăzută la art. 10.

3. Natura și scopul prelucrării, tipurile de date și persoanele vizate

Tip de date	Scopul prelucrării
Numărul de telefon al Utilizatorilor Finali	Transmiterea mesajelor WhatsApp
Conținutul mesajelor (text, fișiere media)	Livrarea, stocarea și afișarea conversațiilor
Datele de contact (nume, email)	Mini-CRM, segmentare campanii
Câmpuri personalizate	Personalizarea mesajelor, definite de Client
Date tehnice ale mesajelor (stare de livrare, dată și oră)	Raportare și funcționarea Serviciilor

Categorii de persoane vizate: clienții, potențialii clienți, pacienții, abonații și alte persoane de contact ale Clientului cu care acesta comunică prin WhatsApp, precum și angajații și colaboratorii Clientului care folosesc Platforma (agenți).

3.1 Categorii speciale de date

Platforma nu este concepută pentru prelucrarea categoriilor speciale de date prevăzute la Art. 9 GDPR (de exemplu date privind sănătatea) și nici a datelor privind condamnări penale. Clientul nu va transmite astfel de date prin Platformă decât dacă sunt îndeplinite cumulativ următoarele condiții, de care Clientul răspunde:

• are un temei valid conform Art. 9(2) GDPR (de regulă consimțământul explicit al persoanei vizate) și a informat persoana vizată;
• a evaluat riscurile prelucrării și, unde este cazul, a efectuat o evaluare a impactului asupra protecției datelor (DPIA);
• limitează datele la strictul necesar – de exemplu, clinicile transmit confirmări și remindere de programare, iar rezultatele analizelor și documentele medicale nu se includ în mesaj, ci se pun la dispoziție printr-un link securizat către sistemul propriu al Clientului.

4. Obligațiile Whapi (Procesatorul)

Whapi se obligă să:

• Prelucreze Datele cu Caracter Personal exclusiv conform instrucțiunilor documentate ale Clientului (contractul, acest DPA și setările făcute de Client în Platformă), inclusiv în ceea ce privește transferurile în afara SEE, cu excepția cazului în care legea îi impune altfel;
• Informeze imediat Clientul dacă, în opinia sa, o instrucțiune încalcă GDPR sau alte dispoziții privind protecția datelor;
• Asigure că persoanele autorizate să prelucreze datele s-au angajat la confidențialitate;
• Implementeze măsuri tehnice și organizatorice adecvate conform Art. 32 GDPR, descrise în Declarația de Securitate;
• Respecte condițiile pentru angajarea sub-procesatorilor (Art. 28(2) și (4) GDPR), conform art. 6;
• Asiste Clientul, prin măsuri tehnice și organizatorice adecvate, în îndeplinirea obligațiilor față de persoanele vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție);
• Asiste Clientul în respectarea obligațiilor prevăzute la Art. 32–36 GDPR: securitatea prelucrării, notificarea incidentelor de securitate către autoritate și către persoanele vizate, evaluarea impactului asupra protecției datelor (DPIA) și consultarea prealabilă a autorității;
• Ștergă sau returneze toate datele la încheierea contractului, la alegerea Clientului, conform art. 10;
• Pună la dispoziția Clientului toate informațiile necesare pentru demonstrarea conformității și să permită audituri, inclusiv inspecții, conform art. 9.

5. Obligațiile Clientului (Operatorul)

Clientul se obligă să:

• Se asigure că prelucrarea datelor Utilizatorilor Finali prin Whapi.ro are o bază legală validă (consimțământ, contract, interes legitim);
• Colecteze consimțământul explicit (opt-in) al Utilizatorilor Finali înainte de a-i contacta prin WhatsApp;
• Informeze Utilizatorii Finali despre prelucrarea datelor lor, conform Art. 13-14 GDPR;
• Respecte drepturile Utilizatorilor Finali și să proceseze solicitările de acces, ștergere sau portabilitate;
• Respecte condițiile de la art. 3.1 pentru categoriile speciale de date;
• Informeze Utilizatorii Finali atunci când interacționează cu un chatbot AI și să încheie acordurile necesare cu furnizorul de AI pe care îl conectează la Platformă (art. 6.3);
• Respecte Politica Anti-Spam Whapi.ro și politicile Meta.

6. Sub-procesatori

6.1 Lista sub-procesatorilor

Clientul acordă Whapi o autorizare generală de a utiliza sub-procesatori. La data ultimei actualizări, sub-procesatorii implicați în prelucrarea datelor Utilizatorilor Finali sunt:

Sub-procesator	Activitate	Locul prelucrării
Hetzner Online GmbH	Infrastructură cloud / găzduirea Platformei	Germania (UE)
ClausWeb SRL	Găzduire web	România (UE)
WhatsApp Ireland Limited / Meta Platforms Ireland Limited (cu sub-procesare de către Meta Platforms, Inc.)	WhatsApp Cloud API – transmiterea și primirea mesajelor	UE și SUA

Meta furnizează WhatsApp Cloud API și în baza termenilor acceptați direct de Client la conectarea contului său WhatsApp Business, inclusiv WhatsApp Business Data Processing Terms.

Whapi impune fiecărui sub-procesator, prin contract, obligații de protecție a datelor echivalente cu cele din acest DPA și rămâne răspunzător față de Client pentru îndeplinirea lor.

6.2 Sub-procesatori noi și dreptul de opoziție

Whapi va notifica Clientul prin email cu cel puțin 14 zile înainte de adăugarea sau înlocuirea oricărui sub-procesator. Clientul se poate opune motivat, în scris, în acest termen. Dacă părțile nu găsesc o soluție, Clientul poate înceta contractul înainte ca schimbarea să producă efecte, iar sumele plătite în avans pentru perioada rămasă i se rambursează proporțional.

6.3 Furnizorii de AI conectați de Client

Whapi nu furnizează modele de inteligență artificială. Furnizorul de AI pe care Clientul îl conectează la Platformă pentru funcția „AI Chat Bot" este ales și contractat direct de Client și nu este sub-procesator al Whapi. Activarea integrării reprezintă instrucțiunea Clientului ca Whapi să transmită conținutul conversațiilor către acel furnizor. Clientul răspunde de încheierea acordului de prelucrare a datelor cu furnizorul de AI, de legalitatea transferurilor de date către acesta și de informarea Utilizatorilor Finali.

7. Incidente de securitate

În cazul unui incident de securitate care afectează Datele cu Caracter Personal, Whapi va notifica Clientul fără întârzieri nejustificate și în cel mult 48 de ore de la momentul în care a luat cunoștință de incident, prin email la adresa înregistrată în cont, cu informații despre: natura incidentului, categoriile de date afectate, numărul estimat de persoane afectate, consecințele probabile și măsurile luate sau propuse. Dacă nu toate informațiile sunt disponibile de la început, ele vor fi transmise etapizat. Whapi cooperează cu Clientul pentru ca acesta să își poată îndeplini obligațiile de notificare prevăzute la Art. 33–34 GDPR.

8. Transferuri internaționale

Infrastructura de găzduire Whapi.ro este situată exclusiv în Uniunea Europeană: serverele sunt găzduite la Hetzner Online GmbH (Germania) și ClausWeb SRL (România). Mesajele transmise prin WhatsApp Cloud API sunt prelucrate și de Meta, ceea ce poate implica transferuri în afara SEE, în special în SUA. Aceste transferuri se efectuează pe baza deciziei de adecvare privind Cadrul UE–SUA de confidențialitate a datelor (Data Privacy Framework) și/sau a Clauzelor Contractuale Standard (SCC) adoptate prin Decizia de punere în aplicare (UE) 2021/914 a Comisiei Europene.

Transferurile către furnizorul de AI conectat de Client (art. 6.3) au loc la instrucțiunea Clientului și sub răspunderea acestuia.

9. Audit și conformitate

Whapi pune la dispoziția Clientului, la cerere scrisă adresată la hi@whapi.ro, informațiile necesare pentru a demonstra respectarea obligațiilor din acest DPA și răspunde în termen de 30 de zile.

Dacă aceste informații nu sunt suficiente, Clientul poate efectua un audit, inclusiv o inspecție, direct sau printr-un auditor independent ținut de obligația de confidențialitate și care nu este concurent al Whapi. Auditul se desfășoară cel mult o dată pe an (sau ori de câte ori îl solicită o autoritate de supraveghere ori după un incident de securitate), cu un preaviz scris de 30 de zile, în timpul programului de lucru, fără a perturba activitatea Whapi și fără acces la datele altor clienți. Costurile auditului sunt suportate de Client.

10. Ștergerea datelor

La încetarea contractului, Whapi va:

• Permite exportul datelor în format CSV/JSON timp de 30 de zile;
• Șterge ireversibil toate datele în maxim 60 de zile de la încetare, cu excepția celor pe care legea o obligă să le păstreze;
• Confirma ștergerea în scris la solicitarea Clientului.

11. Contact și semnare DPA individualizat

Dacă afacerea ta necesită un DPA semnat separat (personalizat sau cu antet), te rugăm să ne contactezi la hi@whapi.ro cu subiectul "Solicitare DPA semnat".