Acordul de prelucrare a datelor (DPA)

Engleza și româna sunt versiunile originale; versiunile în alte limbi sunt traduceri oferite pentru comoditate, iar dacă diferă, prevalează versiunea în engleză.

Versiune 2026-10-20.

1. Părți și obiect

Acest acord se încheie între clientul de găzduire (operatorul) și Casapu Cristian-Costinel Întreprindere Individuală, marca MediaLab Works, nr. de ordine în Registrul Comerțului F16/641/2020, CUI 43060600, cu sediul în Ciupercenii Vechi, mun. Calafat, jud. Dolj, România (persoana împuternicită, „noi”). Se aplică datelor personale pe care clientul sau vizitatorii și utilizatorii serviciilor clientului le stochează ori le prelucrează într-un cont de găzduire: site-uri, aplicații, baze de date, căsuțe de e-mail, fișiere și backup-uri („datele găzduite”). Face parte din Termeni și se acceptă la comandarea găzduirii.

Datele pe care le prelucrăm ca operator, în scopurile noastre (contul tău de client, facturarea, suportul, securitatea sistemelor noastre), sunt descrise în Politica de confidențialitate, nu aici.

2. Detaliile prelucrării

• Obiectul și natura: stocarea, găzduirea, punerea la dispoziție pe internet, transmiterea (web și e-mail), backup-ul și restaurarea datelor găzduite, precum și operațiunile tehnice necesare (jurnale, monitorizare, securitate).
• Scopul: furnizarea serviciului de găzduire comandat de client.
• Durata: cât există contul de găzduire, plus termenele de ștergere de la secțiunea 9.
• Categoriile de persoane vizate: stabilite de client, de regulă vizitatorii, utilizatorii, clienții, angajații și corespondenții site-urilor și căsuțelor de e-mail ale clientului.
• Categoriile de date personale: stabilite de client, de regulă date de identificare și de contact, date de cont, conținutul mesajelor și fișierelor și date tehnice (adrese IP și detaliile cererilor din jurnalele serverului web). Categoriile speciale de date (art. 9 GDPR) și datele privind condamnările penale se prelucrează doar dacă clientul alege să le stocheze; clientul răspunde de existența unui temei legal și de eventualele garanții suplimentare.

3. Instrucțiuni

Prelucrăm datele găzduite doar pe baza instrucțiunilor documentate ale clientului, care sunt: Termenii, acest acord și acțiunile pe care clientul le face în contul lui și în programele găzduite. Nu accesăm conținutul datelor găzduite, cu excepția situațiilor în care este necesar pentru furnizarea serviciului, pentru suportul cerut de client, pentru restaurarea unui backup la cererea clientului, pentru protejarea securității serverului sau pentru respectarea legii ori a unui ordin al unei autorități (caz în care informăm clientul, dacă legea nu interzice). Nu folosim datele găzduite în scopuri proprii, nu le vindem și nu le analizăm pentru publicitate. Dacă apreciem că o instrucțiune încalcă GDPR, îl informăm pe client.

4. Confidențialitate

Doar persoanele care operează serviciul au acces la server și sunt obligate să păstreze confidențialitatea. MediaLab Works este o întreprindere individuală: în prezent, această persoană este titularul ei.

5. Măsuri de securitate (art. 32 GDPR)

• Locația: datele găzduite, backup-urile lor și căsuțele de e-mail sunt stocate pe serverele noastre din România, în UE.
• Izolarea: un utilizator Linux pentru fiecare client, cu limite de resurse; site-uri în containere fără root, fără acces la alte conturi sau la rețeaua locală; baze de date cu un utilizator separat pentru fiecare client, inaccesibile din internet.
• Accesul: autentificare în doi pași pentru panoul nostru de administrare, agentul root al serverului limitat la o listă fixă de operațiuni; accesul clientului prin SFTP / SSH (cu chei de la planul Standard).
• Criptarea în tranzit: HTTPS cu certificate gratuite pentru fiecare site, SFTP / SSH și TLS pentru e-mail.
• Backup: zilnic, criptat (restic), pe un disc separat din același server, păstrat după plan. Nu este stocat într-o a doua locație.
• Monitorizare și actualizări: monitorizarea disponibilității, actualizarea sistemului de operare și a imaginilor de container, jurnale ale operațiunilor de administrare fără date secrete; jurnalele serverului web se păstrează 14 zile.
• Parolele sunt afișate clientului o singură dată și păstrate de noi doar ca hash sau deloc.

Clientul răspunde de securitatea a ceea ce instalează și configurează (aplicații, plugin-uri, parole, accesul dat altora).

6. Subîmputerniciți

Clientul dă o autorizare generală pentru subîmputerniciții de mai jos. Îl informăm pe client prin e-mail cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui subîmputernicit; clientul se poate opune pentru un motiv rezonabil, iar dacă nu putem rezolva obiecția, clientul poate anula găzduirea, cu rambursarea perioadei plătite în avans și nefolosite.

Stripe (Stripe Payments Europe, Ltd.) procesează plățile pentru găzduire ca operator separat pentru datele de plată; nu primește datele găzduite. Vezi Politica de confidențialitate.

7. Asistență pentru client

Ținând seama de natura prelucrării, îl ajutăm pe client să:

• răspundă cererilor persoanelor vizate (acces, rectificare, ștergere, portabilitate …): clientul poate găsi, exporta, modifica sau șterge singur datele găzduite, din cont, prin SFTP / SSH și în bazele de date; dacă o persoană vizată ne scrie direct, îi transmitem cererea clientului fără întârzieri nejustificate;
• își îndeplinească obligațiile privind securitatea, notificarea incidentelor, evaluările impactului asupra protecției datelor și consultarea prealabilă (art. 32–36 GDPR), cu informațiile pe care le avem.

8. Încălcarea securității datelor

Îl notificăm pe client fără întârzieri nejustificate și în orice caz în cel mult 72 de ore de la momentul în care luăm cunoștință de o încălcare a securității datelor personale care afectează datele găzduite, prin e-mail la adresa contului. Notificarea descrie, în măsura în care se cunosc: natura încălcării, categoriile și numărul aproximativ de persoane vizate și de înregistrări, consecințele probabile, măsurile luate sau propuse și un punct de contact. Informațiile pe care nu le avem încă le trimitem de îndată ce le avem. Clientul, ca operator, decide asupra notificării autorității de supraveghere și a persoanelor vizate.

9. Returnarea și ștergerea la final

• Cât timp contul este activ, clientul poate descărca oricând toate datele găzduite (SFTP / SSH, exporturi ale bazelor de date, IMAP pentru căsuțele de e-mail).
• După încheierea abonamentului, contul este suspendat și șters după 30 de zile, împreună cu site-urile, bazele de date, căsuțele de e-mail și zonele DNS. Backup-ul final se păstrează în aceste 30 de zile și apoi se șterge. Backup-urile zilnice mai vechi se șterg odată cu contul.
• După returnarea banilor sau o încetare pentru încălcare se aplică aceleași termene, cu excepția cazului în care clientul cere o ștergere mai devreme.
• Păstrăm o copie doar acolo unde legea ne obligă.

10. Informații și audituri

Punem la dispoziția clientului informațiile necesare pentru a demonstra respectarea art. 28 GDPR (acest acord, descrierea măsurilor, răspunsuri la întrebări rezonabile). Auditurile, inclusiv inspecțiile, făcute de client sau de un auditor obligat la confidențialitate sunt permise o dată pe an sau după un incident, cu o notificare de cel puțin 30 de zile, în timpul programului de lucru, fără acces la datele altor clienți și pe cheltuiala clientului.

11. Răspundere și prioritate

Răspunderea este reglementată de Termeni și de art. 82 GDPR. În caz de conflict privind prelucrarea datelor găzduite, acest acord are prioritate față de Termeni. Se aplică legea română.