Acord de prelucrare a datelor în temeiul art. 28 GDPR

Versiunea din 2 octombrie 2026

între

clientul respectiv al serviciului BookinX, al cărui nume, respectiv denumire, adresă și date de contact sunt indicate în cadrul înregistrării sau al administrării contractului,

denumit în continuare „Beneficiarul” sau „Operatorul”,

și

Robert F. Craciun

Girardigasse 4/28

1060 Wien

Austria

Telefon: +436641664446

E-mail: robert@x-orbit.app

operatorul serviciului BookinX, precum și Xorbit

denumit în continuare „Prestatorul” sau „Persoana împuternicită de operator”.

Denumiți împreună, în continuare, „Părțile”.

Prezentul acord de prelucrare a datelor, inclusiv anexele sale, este denumit în continuare „APD”.

⸻

1. Obiect și domeniu de aplicare

1.1. Prestatorul pune la dispoziția Beneficiarului serviciul de rezervare a programărilor BookinX. Cu BookinX, Beneficiarul poate, în special, să configureze pagini de rezervare, să administreze programări și să permită clienților săi finali și persoanelor interesate să rezerve programări.

1.2. În măsura în care Prestatorul prelucrează date cu caracter personal în numele Beneficiarului în cadrul furnizării BookinX, Beneficiarul acționează în calitate de operator în sensul art. 4 pct. 7 GDPR, iar Prestatorul în calitate de persoană împuternicită de operator în sensul art. 4 pct. 8 GDPR.

1.3. Prezentul APD concretizează drepturile și obligațiile Părților în materie de protecție a datelor și face parte integrantă din contractul principal existent între Părți privind utilizarea BookinX.

1.4. Prezentul APD se aplică exclusiv activităților de prelucrare în cadrul cărora Prestatorul prelucrează date cu caracter personal în numele Beneficiarului.

1.5. În măsura în care Prestatorul prelucrează date cu caracter personal în scopuri proprii și pe propria răspundere în materie de protecție a datelor, în special pentru administrarea contractului, facturare, securitatea IT sau îndeplinirea propriilor obligații legale, aceste activități de prelucrare nu fac obiectul prezentului APD. Acestea sunt guvernate de politica de confidențialitate a BookinX și de dispozițiile legale aplicabile.

1.6.Pe paginile de rezervare, Prestatorul operează, pe propria răspundere, o statistică de utilizare bazată pe consimțământ, pe servere proprii din Austria. Conținutul rezervărilor nu este inclus în aceasta.

⸻

2. Încheierea electronică a contractului

2.1. Prezentul APD se încheie electronic, ca parte integrantă a raportului contractual privind utilizarea BookinX.

2.2. Beneficiarul își exprimă acordul cu privire la prezentul APD în cadrul înregistrării, printr-o declarație electronică expresă.

2.3. Versiunea APD în vigoare la momentul încheierii contractului este prevăzută cu o dată a versiunii, respectiv cu un identificator de versiune, și este pusă la dispoziția Beneficiarului în format electronic.

2.4. Prestatorul documentează în mod corespunzător încheierea APD. În acest scop pot fi stocate în special contul de client, versiunea contractului utilizată, respectiv identificatorul de versiune, și momentul exprimării acordului.

2.5. În cazul unor contradicții între prezentul APD și alte acorduri ale Părților, în ceea ce privește prelucrarea datelor cu caracter personal în numele operatorului prevalează dispozițiile prezentului APD, cu excepția cazului în care dreptul imperativ prevede altfel.

⸻

3. Obiectul, natura și scopul prelucrării

3.1. Obiectul prelucrării îl constituie furnizarea și operarea tehnică a serviciului de rezervare a programărilor BookinX pentru Beneficiar.

3.2. Prelucrarea cuprinde, în măsura în care este necesar pentru prestația convenită, în special:

a. colectarea și primirea datelor de rezervare,

b. stocarea și administrarea rezervărilor,

c. afișarea și transmiterea informațiilor privind programările și participanții,

d. trimiterea e-mailurilor necesare din punct de vedere tehnic în legătură cu rezervările,

e. administrarea angajaților și a permisiunilor acestora,

f. administrarea și afișarea disponibilităților pentru programări,

g. în cazul în care integrarea calendarului este activată, accesul necesar din punct de vedere tehnic la informațiile din calendar,

h. în cazul în care funcția de videoconferință este activată, furnizarea sau intermedierea tehnică a datelor necesare în acest scop,

i. salvarea și restaurarea datelor,

j. jurnalizarea legată de securitate,

k. exportul, rectificarea și ștergerea datelor cu caracter personal.

3.3. Detaliile privind obiectul și scopul prelucrării, tipurile de date și categoriile de persoane vizate rezultă din Anexa 1.

⸻

4. Durata prelucrării

4.1. Prelucrarea în numele operatorului are loc, în principiu, pe durata contractului principal privind utilizarea BookinX.

4.2. După încetarea contractului principal, Prestatorul prelucrează date cu caracter personal numai în măsura în care acest lucru este necesar pentru returnarea, exportul sau ștergerea datelor ori în temeiul unor obligații legale imperative.

4.3. Înainte de ștergerea definitivă, Beneficiarul poate solicita un export al datelor controlate de acesta într-un format uzual, care poate fi citit automat, în special CSV sau JSON.

4.4. Datele cu caracter personal prelucrate în numele operatorului sunt șterse cel târziu la șase luni de la încetarea contractului principal sau returnate la instrucțiunea Beneficiarului, cu excepția cazului în care dreptul Uniunii sau dreptul austriac impune stocarea în continuare.

4.5. În măsura în care, după ștergerea lor din sistemele de producție, datele cu caracter personal mai există exclusiv în copii de rezervă, iar o ștergere selectivă nu este posibilă din punct de vedere tehnic sau ar implica un efort disproporționat, acestea pot rămâne stocate până la expirarea regulată a termenului de păstrare a copiei de rezervă respective. Pe durata acestei perioade, ele nu pot fi prelucrate în alte scopuri și trebuie protejate împotriva accesului productiv obișnuit.

⸻

5. Obligația de respectare a instrucțiunilor

5.1. Prestatorul prelucrează date cu caracter personal exclusiv pe baza instrucțiunilor documentate ale Beneficiarului, cu excepția cazului în care este obligat la o anumită prelucrare în temeiul dreptului Uniunii sau al dreptului austriac.

5.2. Se consideră instrucțiuni documentate în special:

a. prezentul APD și contractul principal,

b. setările și configurațiile efectuate de Beneficiar în cadrul BookinX,

c. activarea funcțiilor și integrărilor opționale de către Beneficiar sau de către utilizatorii autorizați ai acestuia,

d. instrucțiunile Beneficiarului în formă text.

5.3. Dacă Prestatorul este obligat la o prelucrare în temeiul dreptului Uniunii sau al dreptului austriac, acesta informează Beneficiarul cu privire la această obligație legală înainte de prelucrare, cu excepția cazului în care dreptul respectiv interzice o astfel de informare din motive importante de interes public.

5.4. Dacă Prestatorul consideră că o instrucțiune a Beneficiarului încalcă GDPR sau alte dispoziții aplicabile privind protecția datelor, acesta informează de îndată Beneficiarul.

5.5. Prestatorul poate suspenda executarea unei instrucțiuni vădit ilegale până la clarificarea situației.

⸻

6. Obligațiile Beneficiarului

6.1. Beneficiarul este responsabil pentru legalitatea prelucrării datelor cu caracter personal și pentru respectarea drepturilor persoanelor vizate.

6.2. Beneficiarul se asigură în special că pentru prelucrările efectuate prin BookinX există un temei juridic suficient și că persoanele vizate primesc informațiile privind protecția datelor impuse de lege.

6.3. Beneficiarul emite exclusiv instrucțiuni legale.

6.4. Beneficiarul decide în special cu privire la scopul și mijloacele esențiale ale prelucrării datelor clienților săi finali, ale persoanelor interesate și ale angajaților săi, precum și cu privire la activarea integrărilor opționale.

6.5. Beneficiarul informează de îndată Prestatorul dacă constată erori, nereguli sau posibile încălcări ale securității datelor în legătură cu prelucrarea în numele operatorului.

⸻

7. Confidențialitate și secretul datelor

7.1. Prestatorul garantează că persoanele autorizate să prelucreze date cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de confidențialitate.

7.2. Datele cu caracter personal pot fi prelucrate numai în conformitate cu instrucțiunile documentate ale Beneficiarului și numai în măsura în care acest lucru este necesar pentru îndeplinirea sarcinilor respective.

7.3. Obligația de confidențialitate continuă să se aplice și după încetarea activității respective.

7.4. Prestatorul și angajații săi respectă, în măsura în care este aplicabil, secretul datelor în temeiul § 6 din Legea austriacă privind protecția datelor (DSG).

⸻

8. Măsuri tehnice și organizatorice

8.1. Ținând seama de stadiul actual al tehnologiei, de costurile implementării și de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscurile cu grade diferite de probabilitate și gravitate, Prestatorul ia măsuri tehnice și organizatorice adecvate în temeiul art. 32 GDPR.

8.2. Măsurile tehnice și organizatorice convenite sunt descrise în Anexa 2.

8.3. Pe durata contractului, Prestatorul poate dezvolta în continuare măsurile tehnice și organizatorice și le poate înlocui cu măsuri echivalente sau mai eficiente, cu condiția ca nivelul de securitate convenit să nu fie astfel diminuat.

8.4. Modificările esențiale relevante pentru securitate sunt documentate în mod corespunzător.

⸻

9. Separarea clienților (mandanților) și a accesului

9.1. Prestatorul utilizează mecanisme tehnice și organizatorice pentru separarea datelor diferiților beneficiari.

9.2. Accesul la datele cu caracter personal este restricționat conform principiului necesității de a cunoaște (need-to-know) și al privilegiului minim (least privilege).

9.3. Rolurile și permisiunile sunt controlate pe server.

9.4. Accesările bazei de date țin seama de alocările pe mandanți și pe resurse, pentru a preveni accesul neautorizat între mandanți.

⸻

10. Sprijin în privința drepturilor persoanelor vizate

10.1. Ținând seama de natura prelucrării, Prestatorul sprijină Beneficiarul, prin măsuri tehnice și organizatorice adecvate, în îndeplinirea obligațiilor sale față de persoanele vizate.

10.2. Aceasta privește în special drepturile la:

a. acces,

b. rectificare,

c. ștergere,

d. restricționarea prelucrării,

e. portabilitatea datelor,

f. opoziție, în măsura în care este aplicabil.

10.3. Dacă o persoană vizată adresează o cerere direct Prestatorului, iar aceasta privește date cu caracter personal prelucrate în numele unui beneficiar, Prestatorul transmite de îndată cererea beneficiarului respectiv, în măsura în care este posibilă o asociere.

10.4. Prestatorul nu răspunde din proprie inițiativă, pe fond, la o astfel de cerere, cu excepția cazului în care a primit instrucțiuni în acest sens de la Beneficiar sau are o obligație legală în acest sens.

⸻

11. Alte obligații de sprijin

11.1. Ținând seama de natura prelucrării și de informațiile de care dispune, Prestatorul sprijină Beneficiarul în respectarea obligațiilor prevăzute la art. 32-36 GDPR.

11.2. Sprijinul cuprinde în special:

a. securitatea prelucrării,

b. investigarea și evaluarea încălcărilor securității datelor cu caracter personal,

c. îndeplinirea obligațiilor legale de notificare și de informare,

d. evaluările impactului asupra protecției datelor în temeiul art. 35 GDPR,

e. consultările prealabile ale autorității de supraveghere competente în temeiul art. 36 GDPR.

11.3. În acest scop, Prestatorul pune la dispoziția Beneficiarului, într-o măsură adecvată, informațiile de care dispune și care sunt necesare pentru verificarea respectivă.

⸻

12. Încălcări ale securității datelor cu caracter personal

12.1. Dacă Prestatorul ia cunoștință de o încălcare a securității datelor cu caracter personal care privește date prelucrate în numele Beneficiarului, acesta informează Beneficiarul de îndată și, în orice caz, cel târziu în termen de 48 de ore de la luarea la cunoștință.

12.2. Notificarea conține, în măsura în care informațiile corespunzătoare sunt disponibile:

a. o descriere a naturii încălcării,

b. categoriile de date cu caracter personal și de persoane vizate afectate,

c. în măsura posibilului, numărul aproximativ de persoane vizate și de înregistrări afectate,

d. consecințele cunoscute sau probabile ale încălcării,

e. măsurile de remediere deja luate sau propuse,

f. datele de contact pentru informații suplimentare.

12.3. Dacă nu toate informațiile sunt disponibile în același timp, acestea sunt completate treptat, fără alte întârzieri nejustificate.

12.4. Decizia privind necesitatea unei notificări către o autoritate de supraveghere în temeiul art. 33 GDPR sau a unei informări a persoanelor vizate în temeiul art. 34 GDPR revine Beneficiarului, în calitate de operator.

12.5. Prestatorul documentează în mod corespunzător încălcările securității datelor care îl privesc și sprijină Beneficiarul în clarificarea necesară a situației de fapt.

⸻

13. Subcontractanți (persoane împuternicite secundare)

13.1. Beneficiarul acordă Prestatorului o autorizare generală pentru recurgerea la subcontractanții enumerați în Anexa 3.

13.2. Prestatorul informează Beneficiarul cu cel puțin 30 de zile înainte de recurgerea intenționată la un nou subcontractant sau de înlocuirea unui subcontractant existent.

13.3. Informarea poate avea loc în special prin e-mail sau prin contul de client BookinX.

13.4. Beneficiarul se poate opune unei modificări în termenul de 30 de zile, din motive obiectiv justificate legate de protecția datelor.

13.5. Dacă Părțile nu pot soluționa o opoziție justificată, iar subcontractantul respectiv este necesar pentru furnizarea prestației, serviciul în cauză, respectiv contractul principal, poate fi încetat în conformitate cu dispozițiile convenite privind rezilierea.

13.6. Prestatorul obligă contractual subcontractanții la respectarea unor obligații privind protecția datelor care, în ceea ce privește activitățile de prelucrare preluate, corespund cerințelor art. 28 alin. (4) GDPR.

13.7. Prestatorul rămâne răspunzător față de Beneficiar, în măsura prevăzută de lege, pentru îndeplinirea obligațiilor privind protecția datelor ale subcontractanților săi.

⸻

14. Transferuri către țări terțe

14.1. Prelucrarea datelor cu caracter personal are loc, în principiu, în cadrul Uniunii Europene, respectiv al Spațiului Economic European, cu excepția cazului în care în Anexa 3 se indică altfel.

14.2. Un transfer de date cu caracter personal către o țară terță sau către o organizație internațională are loc numai dacă sunt îndeplinite condițiile prevăzute la art. 44 și urm. GDPR.

14.3. În măsura în care este necesar, un transfer către o țară terță se întemeiază în special pe o decizie privind caracterul adecvat a Comisiei Europene sau pe garanții adecvate în temeiul art. 46 GDPR.

14.4. În măsura în care pentru un transfer către o țară terță sunt necesare clauze contractuale standard sau măsuri de protecție suplimentare, acestea sunt instituite înainte de începerea transferului respectiv.

⸻

15. Dovezi și drepturi de control

15.1. La cerere, Prestatorul pune la dispoziția Beneficiarului toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la art. 28 GDPR.

15.2. Dovada poate fi făcută în special prin:

a. descrieri ale măsurilor tehnice și organizatorice,

b. rapoarte de securitate sau de audit,

c. verificări interne documentate,

d. alte dovezi adecvate.

15.3. Beneficiarul are dreptul de a efectua controale, el însuși sau printr-un auditor independent obligat la confidențialitate, în măsura în care acest lucru este necesar pentru verificarea respectării prezentului APD.

15.4. Inspecțiile la fața locului au loc, în principiu, după o notificare prealabilă adecvată, în timpul programului de lucru obișnuit.

15.5. Nu este necesară o notificare prealabilă în măsura în care un incident de securitate grav sau o suspiciune întemeiată privind o încălcare semnificativă a protecției datelor face ca un control la scurt timp să fie obiectiv necesar.

15.6. Controalele se efectuează astfel încât secretele comerciale, interesele de securitate și datele cu caracter personal ale altor beneficiari să rămână protejate în mod corespunzător.

15.7. Prestatorul cooperează cu autoritatea de supraveghere a protecției datelor competentă în măsura impusă de lege.

⸻

16. Returnare și ștergere

16.1. După încetarea prelucrării în numele operatorului, Prestatorul, la alegerea Beneficiarului, șterge datele cu caracter personal prelucrate în numele acestuia sau le returnează Beneficiarului, cu excepția cazului în care există o obligație legală de stocare în continuare.

16.2. Înainte de ștergerea definitivă, Beneficiarul poate solicita un export al datelor stocate pentru el în format CSV și/sau JSON.

16.3. Dacă Beneficiarul nu emite o instrucțiune diferită, Prestatorul are dreptul să șteargă datele în conformitate cu punctul 4.

16.4. Datele care trebuie stocate în continuare în temeiul obligațiilor legale de păstrare sunt blocate pentru alte scopuri, respectiv prelucrarea lor este restricționată la măsura impusă de lege.

⸻

17. Răspundere

17.1. Pentru răspunderea Părților pentru încălcări ale GDPR se aplică dispozițiile legale, în special art. 82 GDPR.

17.2. Dispozițiile legale imperative privind răspunderea rămân neafectate.

17.3. Limitările răspunderii din contractul principal nu se aplică în măsura în care o astfel de limitare este inadmisibilă conform GDPR sau altor dispoziții de drept imperativ.

⸻

18. Modificări ale prezentului APD

18.1. Modificările prezentului APD sunt comunicate Beneficiarului în formă text sau printr-un alt mijloc de comunicare electronică durabil.

18.2. Modificările esențiale ale drepturilor și obligațiilor Părților sunt anunțate cu un termen de preaviz adecvat.

18.3. Modificările privind recurgerea la subcontractanți sau înlocuirea acestora sunt supuse, independent de aceasta, punctului 13.

18.4. Versiunile prezentului APD aplicabile Beneficiarului sunt prevăzute cu o dată a versiunii, respectiv cu un identificator de versiune, și sunt documentate în mod trasabil.

⸻

19. Legea aplicabilă și instanța competentă

19.1. Prezentul APD este guvernat de dreptul austriac, cu excepția cazului în care dreptul imperativ al Uniunii sau alte dispoziții de drept imperativ prevăd altfel.

19.2. În măsura în care o convenție atributivă de competență este permisă de lege, pentru litigiile decurgând din sau în legătură cu prezentul APD se convine competența instanțelor competente material din Viena, Austria.

19.3. Instanțele competente prevăzute imperativ de lege și drepturile persoanelor vizate conform GDPR nu sunt restrânse prin aceasta.

⸻

20. Dispoziții finale

20.1. Anexele 1-3 fac parte integrantă din prezentul APD.

20.2. Prezentul APD încetează, în principiu, odată cu contractul principal. Dispozițiile privind confidențialitatea, protecția datelor, returnarea, ștergerea, dovezile și răspunderea se aplică, în măsura necesară, și după încetarea contractului.

20.3. Dacă anumite dispoziții ale prezentului APD sunt sau devin nule sau inaplicabile, celelalte dispoziții rămân neafectate. Dispoziția nulă sau inaplicabilă este înlocuită de dispozițiile legale aplicabile.

⸻

Anexa 1 – Obiectul prelucrării, tipurile de date și persoanele vizate

1. Obiect

Furnizarea și operarea serviciului de rezervare a programărilor BookinX.

Beneficiarul poate configura pagini de rezervare și poate permite clienților săi finali și persoanelor interesate să rezerve programări. Angajații Beneficiarului pot administra rezervări și, în măsura în care sunt activate, pot utiliza funcțiile de calendar și de videoconferință.

2. Scopul prelucrării

Prelucrarea are loc în special în vederea:

primirii și administrării rezervărilor de programări,
coordonării și afișării disponibilităților,
comunicării în legătură cu programările,
administrării angajaților implicați în procesul de rezervare,
sincronizării cu calendarele conectate,
pregătirii programărilor (agendă, obiective ale discuției, documente),
rezervării de săli de către angajații Beneficiarului,
furnizării tehnice a videoconferințelor, în măsura în care sunt activate,
înregistrării, transcrierii și rezumării videoconferințelor, în măsura în care sunt pornite de persoana organizatoare,
afișării profilurilor publice ale angajaților, în măsura în care sunt publicate,
importului de liste de utilizatori de către Beneficiar,
ținerii unui jurnal de modificări pentru administratorii Beneficiarului,
asigurării securității, disponibilității și posibilității de restaurare a serviciului.

3. Categorii de persoane vizate

3.1. Clienții finali și persoanele interesate ale Beneficiarului

Persoane care rezervă o programare printr-o pagină de rezervare BookinX sau care interacționează cu Beneficiarul în legătură cu o rezervare de programare.

3.2. Angajații Beneficiarului

Angajați, colaboratori independenți sau alți utilizatori autorizați de Beneficiar, care oferă, administrează sau participă la programări prin BookinX.

4. Categorii de date cu caracter personal

4.1. Clienți finali și persoane interesate

În funcție de configurație:

formula de adresare,
titlul,
prenumele,
numele de familie,
adresa de e-mail,
societatea,
mesajul, respectiv informațiile de rezervare introduse de clientul final,
ora programării,
fusul orar,
limba,
momentul exprimării consimțământului, în măsura în care un consimțământ este documentat prin BookinX,
date tehnice de livrare în legătură cu e-mailurile,
informații privind pregătirea programării, în special completări la agendă și obiectivul propriu al discuției,
accesările paginii de pregătire a programării,
în cazul pornirii înregistrării unei videoconferințe: imagine și sunet (pe termen scurt), înregistrare audio (până la transcriere), transcriere, rezumat, precum și numele afișat și momentele în care persoana vorbește.

4.2. Angajații Beneficiarului

În funcție de utilizare și configurație:

numele,
adresa de e-mail,
numărul de telefon,
rolul și permisiunea,
fotografia de profil, opțional,
scurta prezentare, opțional,
videoclipul de prezentare, opțional,
funcția, respectiv poziția, și departamentul,
formula de adresare și limba, inclusiv dintr-o listă de utilizatori importată de Beneficiar,
informațiile profilului public, opțional: mesajul de bun venit, textul „Über mich” (despre mine), motto-ul, descrierea societății, videoclipul societății, bannerul de profil,
codul QR și cartea de vizită digitală (nume, societate, număr de telefon, adresă de e-mail), opțional,
intervalele ocupate din calendar, în cazul unui calendar conectat (Microsoft 365, Google Calendar sau Apple Calendar),
programările și absențele scrise, respectiv înregistrate, în cazul unui calendar conectat,
rezervările de săli (sala, titlul, începutul, sfârșitul, persoana care efectuează rezervarea),
înregistrările din jurnalul de modificări (cine a modificat ce și când, fără conținutul modificat),
în cazul pornirii înregistrării unei videoconferințe: imagine și sunet (pe termen scurt), înregistrare audio (până la transcriere), transcriere, rezumat, precum și numele afișat și momentele în care persoana vorbește,
tokenuri de acces stocate criptat pentru serviciile conectate.

5. Categorii speciale de date cu caracter personal

În cadrul funcțiilor sale obișnuite, BookinX nu este conceput pentru a colecta categorii speciale de date cu caracter personal în sensul art. 9 GDPR. În cazul înregistrărilor videoconferințelor, vocile nu sunt evaluate în scopul identificării persoanelor; asocierea vorbitorilor are loc exclusiv pe baza numelui afișat în conferință.

În măsura în care Beneficiarul permite transmiterea unor astfel de date, în special prin câmpuri de text liber sau prin alte posibilități de introducere, Beneficiarul este responsabil pentru existența unui temei juridic corespunzător, precum și pentru îndeplinirea cerințelor suplimentare în materie de protecție a datelor.

Prestatorul prelucrează astfel de date exclusiv în conformitate cu instrucțiunile documentate ale Beneficiarului și în cadrul funcțiilor BookinX convenite.

6. Operațiuni de prelucrare

În funcție de utilizare, în special:

colectarea,
înregistrarea,
organizarea,
stocarea,
consultarea,
afișarea,
transmiterea,
sincronizarea,
actualizarea,
salvarea,
exportul,
restricționarea,
ștergerea.

7. Locul principal al prelucrării

Prelucrarea principală are loc pe servere proprii ale Prestatorului din Austria.

Alte locuri de prelucrare rezultă din Anexa 3.

⸻

Anexa 2 – Măsuri tehnice și organizatorice

1. Criptarea transportului

Criptarea conexiunilor externe prin TLS.
Prevenirea, respectiv redirecționarea accesărilor necriptate, în măsura în care este posibil din punct de vedere tehnic.
Comunicare criptată cu serviciile externe conectate.

2. Securitatea parolelor

Nicio stocare a parolelor în text clar.
Hashing-ul parolelor prin Argon2id.
Alegerea și verificarea periodică a unor parametri Argon2id adecvați.

3. Protecția tokenurilor de acces externe

Stocarea criptată a tokenurilor de acces pentru serviciile conectate.
Criptare prin AES-256-GCM.
Separarea cheilor de criptare de datele utile criptate.
Rotația cheilor.
Restricționarea accesului la chei la componentele necesare din punct de vedere tehnic și la persoanele autorizate.

4. Controlul accesului și permisiuni

Control al accesului bazat pe roluri.
Verificarea permisiunilor pe server.
Separarea mandanților la nivelul bazei de date.
Separarea resurselor și verificarea alocării resurselor către un mandant.
Aplicarea principiului necesității de a cunoaște (need-to-know) și al privilegiului minim (least privilege).

5. Gestionarea sesiunilor

Sesiuni gestionate pe server.
Termene de expirare definite.
Posibilitatea invalidării sesiunilor pe server.
Tratarea, din perspectiva securității, a sesiunilor existente în cazul unor modificări relevante.

6. Protecția împotriva atacurilor automatizate și a abuzurilor

Limitări ale ratei de solicitări (rate limits) pentru punctele finale relevante pentru securitate.
Limitarea solicitărilor automatizate, în special în cazul funcțiilor de autentificare și al funcțiilor de rezervare accesibile public.
Validarea pe server a datelor de intrare relevante.

7. Jurnalizare

Jurnalizarea operațiunilor relevante din punctul de vedere al securității și al administrării într-un jurnal de audit.
Jurnal de modificări pentru administratorii Beneficiarului: momentul, persoana, acțiunea și obiectul vizat, niciodată conținutul modificat; vizibil numai pentru administratorii propriului mandant.
Durata de păstrare a jurnalului de audit: în principiu 12 luni.
Restricționarea accesului la informațiile de audit.
Nicio utilizare a jurnalelor de audit în scopuri publicitare sau pentru crearea de profiluri publicitare.

8. Salvarea datelor

Copii de rezervă zilnice criptate.
Copie de rezervă suplimentară în afara serverului principal.
Păstrarea copiilor de rezervă zilnice timp de 14 zile.
Păstrarea copiilor de rezervă săptămânale timp de 8 săptămâni.
Restricționarea accesului la copiile de rezervă.
Teste periodice de restaurare.

9. Disponibilitate și posibilitate de restaurare

Măsuri de restaurare a datelor cu caracter personal după incidente tehnice sau fizice.
Verificarea posibilității de restaurare a copiilor de rezervă.
Efectuarea și documentarea testelor de restaurare.

10. Verificări de securitate

Verificări de securitate înaintea lansărilor.
Verificarea modificărilor relevante pentru securitate înainte de punerea în producție.
Prioritizarea pe bază de risc și remedierea deficiențelor de securitate constatate.
Verificarea periodică a eficacității măsurilor de securitate.

11. Minimizarea datelor

Limitarea prelucrării la datele necesare pentru funcția respectivă, respectiv la datele furnizate de Beneficiar în cadrul funcțiilor prevăzute.
Datele de profil opționale sunt prelucrate numai dacă sunt utilizate funcțiile corespunzătoare.
Integrările de calendar sunt activate numai după conectarea expresă de către un utilizator autorizat.

12. Urmărire și publicitate

Niciun instrument de urmărire publicitară în cadrul prelucrării în numele operatorului.
Nicio utilizare a datelor de rezervare sau a datelor angajaților prelucrate în numele operatorului pentru publicitate personalizată.

13. Verificare și dezvoltare ulterioară

Măsurile tehnice și organizatorice sunt verificate periodic, precum și după modificări esențiale sau incidente de securitate, și sunt dezvoltate în continuare în funcție de risc și de stadiul actual al tehnologiei.

⸻

Anexa 3 – Subcontractanți

Beneficiarul își acordă autorizarea generală pentru subcontractanții enumerați mai jos.

1. netcup GmbH

Furnizor: netcup GmbH

Sediu: Germania

Prestație: Trimiterea tehnică a e-mailurilor

Date prelucrate: Adrese de e-mail, informații privind expeditorul și destinatarul, precum și date de e-mail și de livrare necesare din punct de vedere tehnic

Prelucrare: Uniunea Europeană, respectiv Spațiul Economic European

Utilizare: Parte integrantă a trimiterii e-mailurilor de către BookinX

⸻

2. Microsoft Ireland Operations Limited

Furnizor: Microsoft Ireland Operations Limited

Sediu: Irlanda

Prestație: Microsoft Graph, Microsoft 365 și Microsoft Teams

Date prelucrate: În funcție de funcția activată, date ale angajaților, intervale ocupate din calendar, programări, precum și date de identificare, de autentificare și de conexiune necesare din punct de vedere tehnic

Utilizare: Numai în măsura în care un utilizator autorizat conectează, respectiv activează o integrare Microsoft corespunzătoare cu BookinX.

În măsura în care, în cadrul furnizării prestației, are loc un transfer de date cu caracter personal în afara SEE, acesta are loc exclusiv cu respectarea condițiilor prevăzute la art. 44 și urm. GDPR.

⸻

3. Google Ireland Limited

Furnizor: Google Ireland Limited

Sediu: Irlanda

Prestație: Google Calendar API

Date prelucrate: În funcție de funcția activată, intervale ocupate din calendar, programări, adresa de e-mail a contului Google, precum și date de autentificare și de conexiune necesare din punct de vedere tehnic

Utilizare: Numai în măsura în care un utilizator autorizat își conectează Google Calendar cu BookinX.

⸻

4. Apple Distribution International Ltd.

Furnizor: Apple Distribution International Ltd.

Sediu: Irlanda

Prestație: Calendar iCloud (CalDAV)

Date prelucrate: În funcție de funcția activată, intervale ocupate din calendar, programări, Apple ID, precum și date de conexiune necesare din punct de vedere tehnic

Utilizare: Numai în măsura în care un utilizator autorizat își conectează Apple Calendar cu BookinX.

⸻

5. Infrastructura de copii de rezervă

Infrastructură proprie a Prestatorului

Prestație: Copie de rezervă externă criptată

Date prelucrate: Salvarea criptată a datelor stocate de BookinX

Utilizare: Salvarea și restaurarea datelor

În cazul în care a doua copie este operată exclusiv pe infrastructura proprie a Prestatorului și nu este implicată nicio altă persoană împuternicită de operator, această înregistrare nu se aplică.

⸻

Infrastructură proprie a Prestatorului (nu sunt subcontractanți)

Videoconferință (Xorbit Meeting): instanță proprie Jitsi Meet la meet.x-orbit.app, pe servere ale Prestatorului din Austria.
Înregistrare și transcriere (opțional): înregistrare prin instanța proprie Jitsi (Jibri), recunoaștere vocală cu Whisper și rezumare cu modelul lingvistic Qwen 2.5 prin Ollama, toate pe servere ale Prestatorului; niciun transfer către terți și nicio antrenare a modelelor cu datele clienților. Fișierul video este șters imediat după înregistrare, înregistrarea audio după transcriere; transcrierea și rezumatul sunt criptate, ștergerea are loc la 30 de zile după încheierea înregistrării, respectiv a programării.
Gestionarea programărilor și a conferințelor (MeetinX): componentă internă a BookinX pe aceleași servere din Austria; creează camere de conferință și înregistrări în calendar. E-mailul participanților și linkurile conferințelor sunt stocate criptat, iar e-mailul participanților este șters la 30 de zile după încheierea programării.
Salvarea datelor: salvare zilnică, criptată (GPG, AES-256) pe un server la netcup, precum și o a doua copie criptată pe un dispozitiv al Prestatorului din Austria; păstrare 14 zile pentru copiile zilnice, 8 săptămâni pentru cele săptămânale.

⸻

Acord electronic

În cadrul înregistrării poate fi utilizată următoarea declarație:

Accept condițiile de utilizare și acordul de prelucrare a datelor (APD) și confirm că sunt autorizat să le încheie pentru clientul indicat.

Condițiile de utilizare și prezentul APD sunt puse la dispoziție în format electronic înainte de exprimarea declarației.

BookinX documentează versiunea APD, respectiv identificatorul de versiune în vigoare la încheierea contractului și momentul exprimării acordului.