Prezentul Acord de prelucrare a datelor (DPA) face parte din contractul dintre un client de tip întreprindere, entitate din sectorul public sau altă organizație (Clientul) și František Mráz, IČO 07961731, care își desfășoară activitatea sub denumirea DIRI AI (Persoana împuternicită de operator), în cazul în care DIRI AI prelucrează Date cu Caracter Personal ale Clientului în numele Clientului.
1. Definiții și roluri
Legislația aplicabilă privind protecția datelor înseamnă GDPR, legislația cehă privind protecția datelor și orice altă lege privind confidențialitatea care se aplică prelucrării în cauză. Date cu Caracter Personal ale Clientului înseamnă datele cu caracter personal incluse în Conținutul Clientului pe care DIRI AI le prelucrează exclusiv pe baza instrucțiunilor documentate ale Clientului. Incident de securitate are sensul prevăzut în secțiunea 8.
Clientul este operator sau persoană împuternicită de operator, după caz. DIRI AI este persoană împuternicită de operator sau persoană împuternicită subsecventă pentru Datele cu Caracter Personal ale Clientului. DIRI AI rămâne operator independent pentru propriile sale activități de administrare a contului, facturare, prevenirea fraudei, respectarea cerințelor legale și administrarea securității, descrise în Politica de confidențialitate.
2. Domeniul de aplicare și durata
DIRI AI va prelucra Datele cu Caracter Personal ale Clientului numai pentru a furniza, securiza, asista și șterge serviciul, conform descrierii din Anexa 1 și instrucțiunilor documentate. Prezentul DPA începe odată cu contractul de servicii și continuă până când Datele cu Caracter Personal ale Clientului sunt șterse sau returnate, sub rezerva păstrării prevăzute de lege.
Contractul de servicii, setările, solicitările de asistență și utilizarea legitimă a funcțiilor documentate ale produsului constituie instrucțiuni. O instrucțiune care depășește serviciul standard poate necesita o modificare scrisă, o taxă sau o analiză tehnică. DIRI AI va informa fără întârziere Clientul dacă, în opinia sa rezonabilă, o instrucțiune încalcă Legislația aplicabilă privind protecția datelor și poate suspenda prelucrarea afectată cât timp părțile soluționează situația.
3. Obligațiile persoanei împuternicite de operator
DIRI AI va:
- prelucra Datele cu Caracter Personal ale Clientului numai pe baza instrucțiunilor documentate, cu excepția cazului în care dreptul Uniunii sau al unui stat membru impune altfel; atunci când este permis, va informa Clientul înainte de acea prelucrare;
- asigura că persoanele autorizate să le prelucreze sunt obligate să respecte confidențialitatea;
- implementa și menține măsuri adecvate riscului, descrise în Anexa 2;
- sprijini Clientul, ținând seama de natura prelucrării și de informațiile disponibile, în ceea ce privește drepturile persoanelor vizate, securitatea, evaluările încălcărilor, evaluările impactului asupra protecției datelor (DPIA) și consultările cu autoritățile de reglementare;
- păstra evidențele și informațiile necesare pentru a demonstra respectarea articolului 28 din GDPR;
- notifica Clientul dacă primește o solicitare obligatorie din partea unei autorități cu privire la Datele cu Caracter Personal ale Clientului, cu excepția cazului în care legea interzice notificarea; și
- nu vinde Datele cu Caracter Personal ale Clientului, nu le utiliza pentru publicitate din partea terților, nu efectua identificare biometrică sau recunoaștere a emoțiilor și nu antrena un model de uz general cu acestea fără un acord scris distinct și un temei juridic legal.
4. Obligațiile Clientului
Clientul răspunde de legalitatea, corectitudinea și exactitatea instrucțiunilor sale și ale Datelor cu Caracter Personal ale Clientului. Clientul trebuie să:
- furnizeze notificările necesare și să stabilească un temei juridic valid;
- configureze în mod proporțional accesul, păstrarea și rolurile;
- evite datele din categorii speciale, datele privind condamnări penale și infracțiuni, datele cardurilor de plată, datele de autentificare, datele privind sănătatea sau datele secrete ale clienților reali, atunci când nu sunt necesare;
- gestioneze consultarea angajaților/lucrătorilor, regulile de monitorizare, obligațiile față de sindicate sau consiliile de întreprindere și supravegherea umană;
- răspundă persoanelor vizate și să finalizeze orice DPIA necesară; și
- se asigure că instrucțiunile sale nu folosesc DIRI AI în scopuri interzise sau cu risc ridicat.
5. Persoane împuternicite subsecvente
Clientul acordă o autorizație generală pentru persoanele împuternicite subsecvente de pe Lista persoanelor împuternicite subsecvente în vigoare. DIRI AI va obliga fiecare persoană împuternicită subsecventă la obligații de protecție a datelor cel puțin la fel de protectoare, în esență, ca obligațiile relevante din prezentul DPA și rămâne răspunzătoare pentru executarea acestora în măsura prevăzută de lege.
DIRI AI ar trebui să notifice cu cel puțin 30 de zile în avans o nouă persoană împuternicită subsecventă care va prelucra Date cu Caracter Personal ale Clientului. Clientul poate formula obiecții în acest interval, pe motive rezonabile de protecție a datelor. Părțile vor căuta o garanție rezonabilă sau o alternativă. Dacă nu există în mod rezonabil nicio astfel de soluție, oricare dintre părți poate înceta funcția sau serviciul afectat fără penalități pentru perioada afectată plătită în avans și neutilizată.
O înlocuire urgentă, necesară din motive de securitate, de lege sau de continuitate a serviciului, poate fi efectuată mai devreme, cu notificare cât mai curând posibil în mod rezonabil. DIRI AI înregistrează și transmite aceste notificări printr-un canal de contact comercial durabil.
6. Transferuri internaționale
DIRI AI nu va efectua un transfer restricționat fără un mecanism legal. În funcție de transfer, acesta poate fi o decizie de adecvare, clauzele contractuale standard aplicabile ale Comisiei Europene, Addendumul pentru Regatul Unit sau o altă garanție valabilă. DIRI AI va efectua și documenta o evaluare a transferului, precum și măsuri suplimentare rezonabile, atunci când acestea sunt necesare.
La cererea rezonabilă a Clientului, DIRI AI va furniza informațiile relevante privind garanțiile, sub rezerva confidențialității și a eliminării din motive de securitate a anumitor informații. Lista persoanelor împuternicite subsecvente identifică furnizorii și scopurile; Registrul de furnizori și transferuri al DIRI AI consemnează locațiile și mecanismele de transfer aplicabile. Sediul unui furnizor sau regiunea selectată nu constituie, prin ele însele, o dovadă că nu are loc niciun transfer.
7. Solicitările persoanelor vizate și asistența
Dacă DIRI AI primește o solicitare privind Datele cu Caracter Personal ale Clientului, nu va răspunde pe fond decât pe baza instrucțiunilor Clientului sau atunci când legea o impune. Va transmite fără întârziere solicitarea, atunci când Clientul poate fi identificat, și va pune la dispoziție funcțiile disponibile de export, corectare și ștergere în regim de autoservire.
Asistența standard rezonabilă este inclusă. Asistența disproporționată, repetitivă sau personalizată poate fi taxată, pentru clienții comerciali, la un tarif rezonabil convenit, în măsura în care legea permite, însă DIRI AI nu va taxa activitatea cauzată de propria sa încălcare.
8. Incidente de securitate și încălcări ale securității datelor cu caracter personal
Un Incident de securitate este distrugerea, pierderea sau modificarea accidentală ori ilegală a Datelor cu Caracter Personal ale Clientului, sau divulgarea ori accesul neautorizat la acestea, odată confirmate. Sunt excluse încercările nereușite care nu compromit Datele cu Caracter Personal ale Clientului, precum scanările blocate sau autentificările eșuate.
DIRI AI va notifica Clientul fără întârzieri nejustificate după ce ia cunoștință de un Incident de securitate. Obiectivul operațional este o primă notificare în termen de 48 de ore, atunci când este posibil în mod rezonabil, însă standardul juridic este cel al notificării fără întârzieri nejustificate. Notificarea va include informațiile disponibile privind:
- natura, momentul și sistemele/persoanele vizate afectate;
- consecințele probabile;
- limitarea, atenuarea și remedierea;
- un punct de contact; și
- informațiile necesare în mod rezonabil pentru obligațiile de notificare ale Clientului.
Informațiile pot fi furnizate pe etape. DIRI AI va păstra dovezile relevante, va coopera cu Clientul și va furniza actualizări adecvate. Notificarea nu reprezintă o recunoaștere a culpei sau a răspunderii. Clientul decide dacă trebuie să notifice o autoritate de reglementare sau persoanele afectate, cu excepția cazului în care DIRI AI are o obligație legală distinctă.
Termenul de 48 de ore este un obiectiv operațional, nu un termen garantat, și nu amână nicio notificare anterioară impusă de lege sau de prezentul DPA.
9. Returnarea și ștergerea
Pe durata abonamentului și a perioadei documentate de export, Clientul poate exporta Conținutul Clientului disponibil într-un format uzual, care poate fi citit automat. La încetare sau la cererea scrisă, DIRI AI va șterge sau va returna Datele cu Caracter Personal ale Clientului, la alegerea Clientului, cu excepția cazului în care legea impune păstrarea.
Ștergerea din sistemele active ar trebui finalizată în termen de 30 de zile după perioada aplicabilă de închidere/export. Copiile de rezervă criptate și izolate pot rămâne până la ciclul de expirare verificat al furnizorului; ele rămân protejate, nu sunt restaurate pentru utilizare obișnuită și vor fi șterse din nou dacă sunt restaurate în scopul recuperării în caz de dezastru. Evidențele privind facturarea, securitatea, frauda, pretențiile și suspendarea ștergerii din motive juridice sunt păstrate numai în scopurile DIRI AI în calitate de operator și potrivit Politicii de păstrare a datelor.
DIRI AI menține controale ale ciclului de viață pentru perioada aplicabilă de export, operațiunile de ștergere și ciclul de expirare a copiilor de rezervă ale furnizorului și le reexaminează după o modificare importantă a ciclului de viață sau a furnizorului.
10. Audit și dovezi
La o cerere scrisă rezonabilă, cel mult o dată pe an, DIRI AI va furniza informațiile necesare pentru a demonstra conformitatea, precum prezentul DPA, informații despre persoanele împuternicite subsecvente, documentația de securitate și rapoartele independente disponibile. Cereri suplimentare sunt permise după un Incident de securitate important sau la cerința unei autorități de reglementare.
Dacă aceste informații sunt insuficiente, Clientul poate solicita un audit la distanță proporțional, efectuat de un auditor independent calificat, obligat să respecte confidențialitatea. Un audit la fața locului este o soluție de ultimă instanță, în timpul programului normal de lucru, fără acces la datele altor clienți și fără a compromite securitatea. Clientul suportă costurile rezonabile ale auditului, cu excepția cazului în care auditul identifică o încălcare importantă din partea DIRI AI. Nicio certificare a unui furnizor nu este prezentată ca o certificare a DIRI AI.
11. Răspunderea și ordinea de prioritate
Răspunderea în temeiul prezentului DPA urmează contractul de servicii, cu excepția cazului în care Legislația aplicabilă privind protecția datelor nu permite o limitare. Dacă prezentul DPA este în conflict cu contractul de servicii în privința prelucrării Datelor cu Caracter Personal ale Clientului, prevalează prezentul DPA. Legea imperativă și clauzele contractuale standard aplicabile, semnate, prevalează asupra ambelor.
12. Contact și încheiere
Contact pentru confidențialitate: privacy@diriai.com. Prezentul DPA devine parte a unui contract numai dacă versiunea exactă 1.2.0 este pusă la dispoziție înainte de comandă și este încorporată printr-un contract de servicii valabil sau printr-o comandă semnată.
Versiune: 1.2.0. Data: 30 august 2026.
Anexa 1 — Detalii privind prelucrarea
| Element | Descriere |
|---|---|
| Obiectul | Găzduirea și operarea unui serviciu de instruire prin conversații vocale/text asistate de IA, de raportare, de administrare a echipei, de asistență, de securitate, de export și de ștergere |
| Durata | Durata abonamentului, plus perioada documentată de export/ștergere și excepțiile prevăzute de lege |
| Natura | Colectarea, înregistrarea acolo unde este activată, structurarea, stocarea, regăsirea, transmiterea către furnizori aprobați, analiza, generarea, evaluarea prin scor, asistența, restricționarea, exportul și ștergerea |
| Scopurile | Furnizarea simulărilor și a rapoartelor solicitate de client; administrarea spațiului de lucru și a limitelor; securizarea, asistența și întreținerea serviciului |
| Persoane vizate | Utilizatorii Clientului, administratorii, cursanții, angajații/colaboratorii reprezentați în conținut și alte persoane ale căror date sunt transmise în mod legal de Client |
| Tipuri de date | Nume, date de contact profesionale și de cont, roluri, identificatori, scenarii, intrări text/vocale, audio opțional, transcrieri, adnotări, rapoarte, scoruri, date de utilizare, de dispozitiv/rețea și de audit, mesaje de asistență |
| Date speciale | Nu sunt prevăzute și nici autorizate în planurile standard. Clientul nu trebuie să le transmită decât dacă s-au convenit o instrucțiune scrisă distinctă și un temei, o evaluare și garanții conform articolelor 9/10 |
| Frecvența | La cerere și în mod continuu pentru administrarea contului, a securității și a serviciului |
| Returnare/ștergere | Export în regim de autoservire/la cerere, urmat de ștergere conform secțiunii 9 și Politicii de păstrare a datelor |
Anexa 2 — Măsuri tehnice și organizatorice
Acestea sunt cerințe contractuale minime de proiectare, nu o certificare:
- Controlul accesului: conturi unice, autorizare bazată pe roluri și limitată la chiriaș, privilegii minime, calitatea de membru administrată de administrator și revizuirea accesului privilegiat.
- Autentificare și sesiuni: cookie-uri de sesiune protejate, transport securizat, limitarea ratei, separarea credențialelor/secretelor și autentificare cu mai mulți factori acolo unde este oferită.
- Separarea chiriașilor: identificatori de chiriaș și autorizare pe server pentru Conținutul Clientului și acțiunile administrative; teste privind accesul între chiriași.
- Criptare: TLS pentru datele în tranzit acolo unde este acceptat și criptare la repaus gestionată de furnizor acolo unde este verificată; chei și secrete excluse din codul sursă și din jurnale.
- Minimizarea datelor: înregistrare dezactivată implicit, telemetrie controlată, depanare restricționată în producție, fără datele complete ale cardului, filtrarea conținutului din jurnale și păstrare configurabilă/scurtă.
- Jurnalizare și monitorizare: evenimente de securitate/administrare auditabile, monitorizare sanitizată a erorilor, alertare și dovezi protejate, cu limite de acces și de păstrare.
- Disponibilitate și recuperare: monitorizarea stării serviciului, cozi și reîncercări acolo unde este adecvat, copii de rezervă ale furnizorului, proceduri de restaurare și revizuire periodică a recuperării; planurile standard nu includ un obiectiv contractual de recuperare, cu excepția cazului în care s-a convenit expres.
- Dezvoltare sigură: revizuirea modificărilor, teste automate, verificări ale dependențelor și ale secretelor, separarea mediilor și modificări controlate în producție.
- Răspuns la incidente: proces documentat de triere, limitare, colectare a dovezilor, notificare și învățare din experiență, cu responsabilitate stabilită pentru contact.
- Gestionarea furnizorilor: analiza DPA/securității, evaluarea regiunii și a transferurilor, configurare cu un minim de date și analiza încetării colaborării/ștergerii.
- Ștergere și continuitate: operațiuni de ciclu de viață pentru conținut, exporturi, jurnale și obiecte ale furnizorilor; expirarea copiilor de rezervă și suspendările din motive juridice documentate separat.
- Personal și guvernanță: confidențialitate, acces pe principiul necesității de a cunoaște, revizuirea periodică a accesului, instruire privind confidențialitatea/securitatea și evidențe ale prelucrării.
Anexa 3 — Persoane împuternicite subsecvente aprobate
Lista în vigoare de la https://diriai.com/en/legal/subprocessors este încorporată prin trimitere. Un furnizor este autorizat prin prezenta Anexă numai pentru funcția enumerată pe care DIRI AI o utilizează efectiv în temeiul unui contract aplicabil cu furnizorul.