Acord de Prelucrare a Datelor (DPA)

1. Părți și acceptare

Prezentul Acord de Prelucrare a Datelor („DPA") completează contractul principal de servicii dintre:

• Operatorul de date (Controller): orice persoană juridică sau persoană fizică autorizată („tu", „Clientul") care folosește serviciul Neofir cu un cont activ, fie pe plan gratuit, fie pe plan plătit;
• Persoana împuternicită de operator (Processor): ZYNTHYR OÜ, societate înregistrată în Estonia, Registry Code 17501982, sediu în Tallinn, operatoare a produsului Neofir („noi", „Neofir").

Acest DPA se aplică automat din momentul în care:

• Bifezi acceptarea Termenilor, Politicii de confidențialitate și a acestui DPA în formularul de onboarding (click-wrap), sau
• Folosești în mod activ serviciul Neofir (utilizarea constituie acceptare implicită, conform Art. 28(9) GDPR — formă electronică).

Versiunea acceptată este stocată în baza noastră de date (câmp accepted_dpa_at + accepted_dpa_version) și poate fi descărcată oricând în PDF cu semnătură electronică din panoul de control sau la cerere la hello@neofir.com.

2. Definiții

Termenii folosiți în acest DPA au înțelesul atribuit de GDPR (Regulamentul UE 2016/679):

• Date cu caracter personal — orice informație privind o persoană fizică identificată sau identificabilă (Art. 4(1)).
• Prelucrare — orice operațiune efectuată asupra datelor (Art. 4(2)).
• Operator — persoana fizică sau juridică care stabilește scopul și mijloacele prelucrării (Art. 4(7)). În acest DPA = Clientul.
• Persoană împuternicită de operator — entitatea care prelucrează date în numele Operatorului (Art. 4(8)). În acest DPA = Neofir / ZYNTHYR OÜ.
• Sub-procesator — orice terț angajat de Procesator pentru a executa activități specifice de prelucrare în numele Operatorului (Art. 28(2)). Lista live: neofir.com/sub-processors.
• Incident de securitate (data breach) — încălcarea securității ce duce la distrugerea, pierderea, modificarea, divulgarea sau accesul neautorizat la date (Art. 4(12)).
• Persoană vizată — persoana fizică ale cărei date sunt prelucrate. În contextul Neofir = clientela finală a organizației Client.
• SCC — Clauze Contractuale Standard adoptate de Comisia Europeană (Decizia 2021/914) pentru transferuri extra-UE.

3. Obiect, durată, natură și scop

Obiect: Procesatorul (Neofir) prelucrează date cu caracter personal ale persoanelor vizate (clientela finală a Operatorului) exclusiv pentru a oferi Operatorului serviciul Neofir — asistent AI conversațional multi-canal cu funcționalități de programare, sincronizare calendar, răspuns la întrebări frecvente și mesagerie tranzacțională.

Durată: Pe toată perioada în care Operatorul are cont Neofir activ, plus perioadele de retenție prevăzute la §13.

Natura prelucrării: automatizată, prin sisteme de tip SaaS multi-tenant cu izolare per-organizație (Row-Level Security PostgreSQL).

Scopul: exclusiv executarea instrucțiunilor documentate ale Operatorului. Utilizarea normală a interfețelor Neofir (dashboard web, API, webhook-uri către canalele conectate) constituie instrucțiuni documentate în sensul Art. 28(3)(a). Procesatorul nu:

• folosește datele clientelor pentru antrenarea modelelor proprii sau ale unor terți (Google Gemini este accesat prin tier-ul plătit al API-ului, ai cărui termeni exclud folosirea conținutului trimis pentru antrenarea modelelor);
• face marketing direct propriu către persoanele vizate;
• vinde, închiriază sau cedează datele către terți în alt scop decât operarea serviciului;
• combină datele tale cu cele ale altor Operatori pentru profilare comercială.

4. Tipuri de date și categorii de persoane vizate

Categorii de persoane vizate: clientela finală a Operatorului — persoane fizice care interacționează cu asistentul Neofir prin canalele Operatorului (widget pe site, Instagram DM, WhatsApp Business via Twilio BSP, opțional TikTok DM).

Categorii de date cu caracter personal:

Categorie	Exemple	Sursă
Identificare	Nume, prenume	Furnizat voluntar de persoana vizată în conversație sau formular booking
Contact	Număr telefon (E.164), adresă email	Furnizat voluntar în conversație sau formular booking
Identificator rețea socială	Instagram ID, Facebook Page-scoped ID, TikTok Open ID	Webhook platforma terță (Meta, ByteDance)
Conținut conversație	Mesaje text schimbate cu asistentul	Furnizat în conversație
Date programare	Serviciu, dată, oră, notițe scurte	Furnizat în conversație
Date tehnice	Adresă IP, user-agent, ID anonim vizitator (cookie tehnic)	Captate automat pentru sesionizare și anti-abuz

Date speciale (Art. 9 GDPR): Procesatorul nu prelucrează intenționat date sensibile (sănătate, biometrice, orientare politică/religioasă/sexuală). Operatorul se obligă să nu încarce documente cu astfel de date în RAG-ul Neofir. Dacă date sensibile apar accidental într-o conversație (ex.: cliente menționează o condiție medicală în chat), li se aplică același nivel de securitate și retenție ca restul datelor.

5. Obligațiile Operatorului

Operatorul:

• Stabilește scopul și mijloacele prelucrării în relația cu propria clientelă;
• Garantează că are temei legal (Art. 6 GDPR — de regulă executarea unui contract sau interes legitim) pentru ca Procesatorul să prelucreze datele;
• Informează clientela despre prezența asistentului AI și prelucrarea automată (recomandat: clauză vizibilă în formularul de programare propriu sau în footer-ul site-ului);
• Răspunde direct solicitărilor persoanelor vizate (acces, rectificare, ștergere), folosind uneltele puse la dispoziție de Procesator (Settings → Cont → Șterge, export conversații/booking-uri din dashboard);
• Nu împărtășește credențialele de cont (api_key, parolă dashboard, token-uri OAuth) cu terți neautorizați;
• Notifică Procesatorul imediat în caz de compromitere a contului la hello@neofir.com.

6. Obligațiile Procesatorului (Art. 28(3))

Procesatorul:

• (a) prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului. Utilizarea API-ului, dashboard-ului și webhook-urilor constituie astfel de instrucțiuni. Dacă o instrucțiune încalcă GDPR, Procesatorul informează imediat Operatorul;
• (b) asigură că personalul cu acces la date are angajament de confidențialitate (NDA + clauze contractuale, valabile minim 5 ani după încetarea relației de muncă);
• (c) ia toate măsurile de securitate prevăzute la §8 și Anexa I (Art. 32);
• (d) respectă condițiile pentru sub-procesatori prevăzute la §9 (Art. 28(2));
• (e) asistă Operatorul prin măsuri tehnice și organizatorice pentru a răspunde solicitărilor persoanelor vizate (§10);
• (f) asistă Operatorul la conformitate cu Art. 32-36 (securitate, notificare breach, DPIA, consultare prealabilă);
• (g) la alegerea Operatorului, șterge sau returnează toate datele la încetarea contractului, conform §13;
• (h) pune la dispoziția Operatorului toate informațiile necesare pentru demonstrarea conformității, inclusiv documentația publică (/sub-processors, /privacy, acest DPA) și — la cerere scrisă — răspunde unui chestionar anual de conformitate (§14).

7. Confidențialitate

Personalul Procesatorului care are acces la datele Operatorului:

• Are obligația de confidențialitate (statutară sau contractuală) cu durată de minim 5 ani de la încetarea relației de muncă/colaborare;
• A primit training de bază GDPR la angajare;
• Accesează datele exclusiv pe baza principiului „need to know"; toate accesele admin sunt logate în admin_audit_log.

Datele Operatorului nu sunt accesibile celorlalți Operatori (multi-tenant cu RLS).

8. Măsuri de securitate (Art. 32)

Procesatorul implementează măsurile tehnice și organizatorice detaliate în Anexa I de la finalul acestui DPA. Rezumat:

• TLS 1.2+ pe toate endpoint-urile publice, HSTS activ;
• Bază de date Postgres izolată per-proiect, Row-Level Security pe toate tabelele tenant;
• Token-uri OAuth (Google Calendar, Meta/Instagram, TikTok) criptate la nivel de coloană cu AES-GCM 256-bit, niciodată stocate în clar;
• Backup-uri zilnice Supabase cu retenție 7 zile;
• 2FA obligatoriu pe toate conturile admin (GitHub, Railway, Vercel, Supabase, Google Cloud);
• Logging și audit pe toate operațiunile admin sensibile;
• Sentry error tracking cu beforeSend hook care strip-uiește PII (telefon, email, body request) înainte de transmitere.

9. Sub-procesatori autorizați (Art. 28(2))

Operatorul autorizează general Procesatorul să folosească sub-procesatori pentru operarea serviciului Neofir. Lista completă, actualizată, este publicată permanent la neofir.com/sub-processors (versiune curentă: 1.2, 11 sub-procesatori — Supabase, Railway, Vercel, Google, Resend, Stripe, RoMarg, Twilio, Meta, Sentry, ElevenLabs).

Notificare modificări: Procesatorul anunță Operatorul pe email cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui sub-procesator.

Dreptul de opoziție: Operatorul poate obiecta motivat în interval de 30 de zile de la notificare. Dacă obiecția face imposibilă oferirea serviciului în forma actuală (de exemplu: nu putem opera fără bază de date), Operatorul poate denunța contractul cu rambursare pro-rata a abonamentului plătit.

Toți sub-procesatorii au DPA semnat cu ZYNTHYR OÜ sau termeni standard echivalenți (EU-US Data Privacy Framework / SCC pentru transferuri extra-UE). Procesatorul rămâne responsabil în fața Operatorului pentru actele și omisiunile sub-procesatorilor.

10. Drepturile persoanelor vizate

Procesatorul oferă Operatorului următoarele unelte tehnice pentru a răspunde solicitărilor persoanelor vizate (Art. 15-22 GDPR):

Drept GDPR	Funcționalitate Neofir
Acces (Art. 15)	Export conversații + programări per telefon/email din dashboard sau API GET /v1/conversations
Rectificare (Art. 16)	Editare manuală booking / contact din dashboard
Ștergere (Art. 17)	Settings → Cont → Șterge contul (slug-typed confirmation) cu cascade pe toate datele tenant; sau ștergere selectivă booking/conversație
Portabilitate (Art. 20)	Export JSON al programărilor + conversațiilor la cerere (SLA 24h)
Opoziție (Art. 21)	Dezactivare bot per canal (Instagram/WhatsApp/widget) din Settings → Integrări
Restricționare (Art. 18)	Suspendare cont temporară la cerere via hello@neofir.com

SLA asistență Procesator: răspuns la solicitări transmise la hello@neofir.com în maximum 5 zile lucrătoare. Operatorul își păstrează obligația de a transmite răspunsul final persoanei vizate în 30 de zile (Art. 12(3)).

11. Notificare incident de securitate (Art. 33)

În caz de incident de securitate care afectează datele cu caracter personal ale Operatorului, Procesatorul:

• Notifică Operatorul prin email-ul de contact al contului în maximum 48 de ore de la momentul în care Procesatorul ia cunoștință de incident;
• Furnizează: natura încălcării, categoriile și numărul aproximativ de persoane vizate, categoriile și numărul aproximativ de înregistrări afectate, consecințele probabile, măsurile luate sau propuse;
• Asistă Operatorul în transmiterea notificării către ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal) sau autoritatea competentă din statul membru relevant, dacă este cazul (Art. 33);
• Asistă Operatorul la comunicarea către persoanele vizate, dacă riscul este ridicat (Art. 34);
• Cooperează cu autoritatea de supraveghere la cerere.

12. Asistență pentru evaluări de impact (DPIA — Art. 35-36)

Dacă Operatorul desfășoară o evaluare de impact privind protecția datelor (DPIA) pentru o prelucrare cu risc ridicat care implică Neofir, Procesatorul oferă, la cerere scrisă, informațiile aflate în mod rezonabil în posesia sa:

• Descrierea naturii și scopurilor prelucrărilor efectuate de Neofir;
• Lista actualizată de sub-procesatori și locațiile lor;
• Măsurile de securitate aplicate (Anexa I);
• Documentația privind transferurile internaționale.

13. Retenție și ștergere

Pe durata contractului activ:

• Date programare (booking): păstrate complet 24 de luni de la data programării. După 24 luni, customer_email și customer_phone sunt nullify-ate automat de jobul cron jobs/gdpr-retention.ts;
• Conversații: păstrate 24 de luni; după, mesajele rămân anonimizate (identificator vizitator șters);
• Documente RAG: păstrate cât timp Operatorul nu le șterge din dashboard;
• Token-uri OAuth: păstrate cât timp Operatorul menține conexiunea activă în Settings → Integrări;
• Log-uri aplicație Pino (Railway): retenție 7 zile;
• Stack-trace erori (Sentry): retenție 30 zile, fără PII.

La încetarea contractului:

• La cererea Operatorului (sau automat dacă alege „Șterge contul" din Settings → Cont), toate datele tenant sunt șterse cascade în maximum 30 de zile;
• Operatorul poate alege returnarea datelor în loc de ștergere (export JSON / CSV) la hello@neofir.com;
• Backup-urile Supabase (7 zile rolling) pot conține date reziduale până la ciclul de rotație; sunt criptate la rest și inaccesibile operațional;
• Facturi și date contabile aferente plăților Stripe sunt păstrate 10 ani conform obligației fiscale EE și RO (date pseudonimizate dacă posibil).

14. Audit și inspecție (Art. 28(3)(h))

Operatorul are dreptul, o dată pe an calendaristic, să solicite Procesatorului:

• Un raport de conformitate sau certificare echivalentă (de exemplu raportul SOC 2 publicat de Supabase, paginile de securitate publicate de Vercel/Railway/Google Cloud);
• Răspuns scris la un chestionar de conformitate standard (SIG Lite, CAIQ);
• Demonstrație live (videoconferință de maxim 60 minute) a măsurilor tehnice descrise la §8.

Audituri on-site fizice sunt acceptate doar pentru clienți enterprise (peste 10.000 EUR/an plătiți), cu notificare prealabilă de 30 de zile, costuri în sarcina Operatorului, fără perturbarea operațiunilor curente ale Procesatorului.

15. Transferuri internaționale (Cap. V)

Datele primare ale Operatorului sunt stocate în Uniunea Europeană (Supabase Frankfurt eu-central-1, Railway EU West, Vercel Frankfurt edge, RoMarg București).

Anumiți sub-procesatori operează servere în SUA (Google, Resend, Sentry) sau combinate Irlanda + SUA (Stripe, Twilio, Meta). Toate transferurile extra-UE sunt acoperite de:

• EU-US Data Privacy Framework (Decizia de adecvare a Comisiei Europene din 10 iulie 2023) — pentru sub-procesatorii certificați (Google, Stripe, Twilio, Meta);
• Standard Contractual Clauses (SCC) versiunea 2021 — pentru sub-procesatorii necertificați DPF (Resend, Sentry).

Procesatorul nu efectuează transferuri către țări terțe fără cadru de adecvare sau SCC valid.

16. Răspundere

Răspunderea Procesatorului în baza acestui DPA este limitată la suma plătită de Operator în ultimele 12 luni anterioare evenimentului declanșator. Sunt excluse daunele indirecte (pierderi de profit, oportunitate, reputație), cu excepția cazurilor de neglijență gravă, dol sau încălcare intenționată.

Limitele de mai sus nu se aplică în raport cu obligațiile de despăgubire prevăzute de Art. 82 GDPR (răspundere solidară controller-processor față de persoana vizată), care rămân integrale și nelimitabile contractual între părți și persoana vizată.

17. Durată și încetare

Prezentul DPA intră în vigoare la momentul acceptării (click-wrap onboarding sau utilizare implicită) și rămâne valabil pe toată durata contractului principal de servicii Neofir, plus perioadele de retenție de la §13.

Încetează automat la încetarea contractului principal. Procesatorul poate denunța acest DPA cu preaviz de 30 de zile dacă Operatorul folosește serviciul cu încălcarea repetată a obligațiilor de la §5.

18. Drept aplicabil și soluționarea litigiilor

Prezentul DPA este guvernat de dreptul Uniunii Europene, în primul rând Regulamentul (UE) 2016/679 (GDPR), și subsidiar de dreptul Republicii Estonia (jurisdicția sediului social al Procesatorului).

Litigiile sunt soluționate prioritar pe cale amiabilă, prin notificare scrisă la hello@neofir.com și negociere directă de minim 30 de zile. În caz de eșec, competentă este instanța de la sediul Operatorului (consumator UE) sau, la alegerea Operatorului, instanța de la sediul Procesatorului din Tallinn.

Anexa I — Măsuri tehnice și organizatorice (Art. 32 GDPR)

I.1 Securitate în tranzit

• TLS 1.2+ pe toate endpoint-urile publice (api.neofir.com, app.neofir.com, cdn.neofir.com, neofir.com);
• HSTS activat cu max-age 1 an, includeSubDomains;
• Certificate Let's Encrypt cu auto-renewal lunar;
• Webhook-urile inbound semnate HMAC (Meta: SHA-256 App Secret; Twilio: SHA-1 Auth Token; Stripe: signing secret).

I.2 Securitate la rest

• Postgres (Supabase, Frankfurt) cu izolare per-proiect;
• Row-Level Security (RLS) activă pe toate tabelele tenant — multi-tenant nativ; service_role bypass folosit doar de backend după verificare manuală a organization_id;
• Token-uri OAuth + secret-uri sensibile criptate la nivel de coloană cu AES-GCM (cheie 256-bit, rotabilă) — niciodată stocate în clar;
• Backup-uri Postgres zilnice cu retenție 7 zile (politica Supabase Pro);
• Encrypted disk storage la furnizorul de infrastructură (AWS pentru Supabase, Google Cloud pentru Railway).

I.3 Autentificare și acces

• Operatorul (cont Client): Supabase Auth cu Google OAuth, email + parolă (bcrypt, min 8 caractere) sau OTP telefon prin Twilio;
• Clientele finale (persoanele vizate): nu necesită autentificare — interacționează anonim pe canalele publice;
• Sesiuni dashboard: JWT cu rotație, cookie Secure + HttpOnly + SameSite=Lax;
• Acces admin platform: limitat la 1 persoană (administrator Neofir) + agenți AI scriptați și audit-uiți (Claude Code), gate-uit pe lista de email-uri în env var PLATFORM_ADMIN_EMAILS;
• 2FA obligatoriu pe toate conturile cu acces admin (GitHub, Railway, Vercel, Supabase, Google Cloud, Meta Business, Twilio).

I.4 Logging, monitoring și audit

• Toate operațiunile admin sensibile (suspendare cont, ștergere, accesare date alt tenant) logate în tabela admin_audit_log;
• Log-uri aplicație (Pino structured JSON) cu retenție 7 zile la Railway;
• Error tracking (Sentry) cu hook beforeSend care strip-uiește PII (telefon, email, body request, header-uri Authorization) înainte de transmitere;
• Sampling trace 10% pe plan Sentry free;
• Health-check endpoint /health monitorizat extern.

I.5 Anti-fraud și disponibilitate

• Rate-limit per IP + per organizație + per email (configurabil în apps/backend/src/lib/rate-limit.ts);
• Detectare bot pe dashboard (Vercel BotID);
• Quotă lunară per organizație cu reset cron 0 0 1 * *;
• Webhook signature verification cu rejection a payload-urilor invalide (logged pentru detection abuse).

I.6 Continuitate operațională

• Backup zilnic Supabase, point-in-time recovery 7 zile;
• Redeploy 1-click pe Railway (rollback la commit precedent);
• Vercel deployment cu rolling release și preview environments per branch;
• Cron jobs (booking reminder, GDPR retention, Instagram token refresh, quota reset) cu logare ciclu și recuperare la următorul tick în caz de eșec.

I.7 Personalul Procesatorului

• Personal cu acces la date cu clauze contractuale de confidențialitate (NDA);
• Training GDPR de bază la angajare;
• Acces revocat la încetarea relației contractuale, în maxim 24 ore.

19. Contact

← Înapoi la pagina principală  ·  Politica de confidențialitate  ·  Termeni și condiții  ·  Sub-procesatori