Acord de Prelucrare a Datelor

Data intrării în vigoare: 1 iunie 2026 | Ultima actualizare: 1 iunie 2026

DPA v1.0 — conform Art. 28 GDPR

Prezentul Acord de Prelucrare a Datelor (DPA) reglementează condițiile în care WELIST S.R.L. prelucrează datele cu caracter personal în calitate de Împuternicit, în numele Operatorului (Beneficiarul platformei Agentio), conform Art. 28 din Regulamentul (UE) 2016/679 (GDPR) și Legii nr. 190/2018.

Prezentul DPA face parte integrantă din Contractul de Prestări Servicii Agentio și se aplică automat tuturor clienților platformei. Prin activarea contului Agentio, Beneficiarul acceptă termenii acestui acord.

1. Părțile acordului

Împuternicitul (Procesatorul de date)

WELIST S.R.L.
Sediu: Jud. Iași, Mun. Iași, Str. Pantelimon, Nr. 23A, Etaj 1
CUI: RO54493544 | Nr. înreg.: J2026025099009
Email: [email protected] | WhatsApp: +40771682564

Operatorul (Controlorul de date)

Persoana fizică, PFA, întreprindere individuală sau persoana juridică care utilizează platforma Agentio prin activarea unui cont și care determină scopurile și mijloacele de prelucrare a datelor cu caracter personal ale propriilor angajați, clienți sau parteneri prin intermediul platformei.

2. Definiții

Date cu caracter personal — orice informații privind o persoană fizică identificată sau identificabilă (Art. 4 GDPR)
Prelucrare — orice operațiune efectuată asupra datelor: colectare, stocare, utilizare, transmitere, ștergere
Operator — Beneficiarul platformei Agentio, care determină scopul prelucrării
Împuternicit — WELIST S.R.L., care prelucrează datele în numele Operatorului
Sub-împuternicit — furnizorii terți utilizați de WELIST S.R.L. pentru furnizarea serviciului
Breșă de date — incident de securitate care duce la divulgarea, pierderea sau alterarea neautorizată a datelor

3. Obiectul și scopul prelucrării

WELIST S.R.L. prelucrează datele cu caracter personal exclusiv pentru furnizarea serviciilor platformei Agentio, conform instrucțiunilor documentate ale Operatorului.

Categorie date	Tipuri specifice	Scop prelucrare
Date de identificare angajați/utilizatori	Nume, număr telefon WhatsApp, rol în firmă	Autentificare, gestionare acces multi-utilizator
Date financiare operaționale	Conținut bonuri fiscale, facturi, chitanțe (furnizor, sumă, dată, categorie)	Procesare OCR și AI pentru extragere date
Date comerciale	Catalog produse/servicii, prețuri, clienți oferte, CUI clienți	Generare oferte PDF, management catalog
Date remindere	Mesajul reminderului, data/ora, numărul de telefon destinatar	Trimitere notificări WhatsApp și apeluri vocale
Date conversații	Istoricul mesajelor WhatsApp (ultimele 30 de zile rulante)	Context conversațional pentru AI
Imagini documente	Fotografii bonuri/facturi uploadate	Extragere automată date prin AI vision

4. Obligațiile Împuternicitului (WELIST S.R.L.)

WELIST S.R.L. se obligă să:

Prelucreze datele exclusiv conform instrucțiunilor documentate ale Operatorului și prevederilor prezentului DPA
Asigure că persoanele autorizate să prelucreze datele s-au angajat la confidențialitate
Implementeze măsuri tehnice și organizatorice adecvate conform Art. 32 GDPR (vezi Secțiunea 7)
Respecte condițiile pentru angajarea sub-împuterniciților conform Art. 28(2)(4) GDPR
Asiste Operatorul în îndeplinirea obligațiilor față de persoanele vizate (Art. 15-22 GDPR)
Asiste Operatorul în asigurarea conformității cu Art. 32-36 GDPR (securitate, notificare breșe, DPIA)
Șteargă sau returneze datele la finalul serviciului, la alegerea Operatorului
Pună la dispoziția Operatorului toate informațiile necesare pentru demonstrarea conformității
Nu transfere datele în afara SEE fără garanții adecvate conform Cap. V GDPR

5. Obligațiile Operatorului (Beneficiarul)

Operatorul se obligă să:

Se asigure că deține temei legal pentru prelucrarea datelor cu caracter personal introduse în platformă
Informeze persoanele vizate (angajați, clienți, parteneri) cu privire la prelucrarea datelor lor prin Agentio
Să nu introducă în platformă sub nicio formă date cu caracter personal din categorii speciale (date de sănătate, biometrice, genetice, orientare sexuală, opinii politice sau convingeri religioase). Platforma Agentio este destinată exclusiv activităților comerciale și financiare. Întreaga răspundere pentru introducerea accidentală sau intenționată a unor astfel de date aparține exclusiv Operatorului
Notifice imediat WELIST S.R.L. în cazul oricărei solicitări din partea persoanelor vizate privind exercitarea drepturilor GDPR
Obțină consimțământul destinatarilor apelurilor vocale automate (Legea 506/2004)
Utilizeze serviciul exclusiv pentru activități legale

6. Sub-împuterniciți autorizați

Operatorul autorizează în mod general angajarea sub-împuterniciților listați mai jos. WELIST S.R.L. va informa Operatorul cu minimum 30 de zile înainte de orice modificare a listei, oferind posibilitatea de a obiecta.

Sub-împuternicit	Serviciu prestat	Locație	Garanții transfer
Anthropic, Inc.	Procesare AI — clasificare intenții, extragere date documente, generare răspunsuri (Claude API)	SUA	Clauze Contractuale Standard (SCC) — Decizia 2021/914/UE
OpenAI, LLC	Transcriere audio mesaje vocale WhatsApp (Whisper API)	SUA	Clauze Contractuale Standard (SCC)
Meta Platforms Ireland Ltd.	Infrastructură WhatsApp Business API — transmitere/recepție mesaje	Irlanda (UE)	Locație UE — GDPR direct aplicabil
Twilio Inc.	Servicii telefonice — număr WhatsApp business, apeluri vocale automate	SUA	Clauze Contractuale Standard (SCC)
ElevenLabs, Inc.	Sinteză vocală text-to-speech pentru apelurile automate de reminder	SUA	Clauze Contractuale Standard (SCC)
Resend, Inc.	Trimitere emailuri tranzacționale (activare cont, notificări)	SUA	Clauze Contractuale Standard (SCC)
Hetzner Online GmbH	Hosting server, stocare date, backup	Nuremberg, Germania (UE)	Locație UE — GDPR direct aplicabil
Stripe, Inc.	Procesare plăți cu card bancar (tokenizare, debitare recurentă)	SUA/UE	SCC + certificare PCI DSS Level 1

WELIST S.R.L. utilizează configurațiile comerciale și API-urile furnizorilor astfel încât datele clienților să nu fie utilizate pentru antrenarea modelelor AI, în măsura în care aceste opțiuni sunt oferite de furnizor. Datele sunt procesate în tranzit și nu sunt stocate persistent de acești furnizori.

7. Măsuri tehnice și organizatorice de securitate

WELIST S.R.L. implementează și menține următoarele măsuri conform Art. 32 GDPR:

Măsuri tehnice

Criptare în tranzit: HTTPS/TLS 1.2+ pentru toate comunicațiile
Criptare la repaus: date stocate pe servere Hetzner cu criptare disc
Autentificare și control acces bazat pe roluri (owner/admin/contributor/readonly)
Backup zilnic automatizat pe Storage Box separat în Germania (UE)
Firewall și rate limiting la nivel Cloudflare și nginx
Geoblocking — acces restricționat geografic
Fail2ban — protecție împotriva atacurilor brute-force SSH
Monitorizare continuă UptimeRobot

Măsuri organizatorice

Acces la date limitat la personalul strict necesar pentru furnizarea serviciului
Credențiale gestionate prin manageri de parole dedicați (KeePassXC)
Rotație periodică a cheilor API și token-urilor de autentificare
Variabile de mediu cu permisiuni restrictive (chmod 600) pentru fișierele cu credențiale
Proceduri documentate pentru gestionarea incidentelor de securitate

8. Notificarea breșelor de date

În cazul unui incident de securitate care implică date cu caracter personal:

WELIST S.R.L. va notifica Operatorul fără întârzieri nejustificate și în maximum 48 de ore de la constatarea breșei, prin email la adresa asociată contului de utilizator
Notificarea va include: natura breșei, categoriile și numărul aproximativ de persoane vizate, datele de contact pentru informații suplimentare, consecințele probabile și măsurile luate
Operatorul este responsabil pentru notificarea ANSPDCP în termen de 72 de ore de la constatare (Art. 33 GDPR), dacă breșa prezintă risc pentru drepturile persoanelor
Notificarea se face la: [email protected]

Notificarea WELIST S.R.L. în 48 de ore nu scutește Operatorul de obligația proprie de notificare a ANSPDCP în 72 de ore, dacă este cazul.

9. Drepturile persoanelor vizate

Când WELIST S.R.L. primește direct o solicitare de exercitare a drepturilor GDPR (Art. 15-22) de la o persoană vizată care nu este utilizatorul direct al platformei:

Redirecționează solicitarea către Operator în maximum 5 zile lucrătoare
Asistă Operatorul în furnizarea răspunsului, în limita datelor deținute
Furnizează export de date în format JSON/CSV la cererea Operatorului, în termen de 7 zile lucrătoare

Operatorul este responsabil pentru răspunsul final către persoana vizată în termenul legal de 30 de zile.

10. Durata prelucrării și ștergerea datelor

Categorie date	Durată păstrare	Acțiune la expirare
Date cont activ	Pe durata abonamentului	Disponibile Operatorului
Date după anulare/suspendare	30 de zile	Ștergere automată ireversibilă
Date financiare și facturi	5 ani de la încheierea exercițiului financiar	Obligație legală — Legea 82/1991, legislație fiscală
Logs sistem și securitate	90 de zile rulante	Ștergere automată
Istoricul conversațiilor WhatsApp	30 de zile rulante	Ștergere automată
Imagini documente procesate	Durata abonamentului + 30 zile	Ștergere la expirare
Backup-uri	30 de zile rulante	Suprascrise automat

La cererea expresă a Operatorului, WELIST S.R.L. poate furniza un export complet al datelor în format JSON/CSV în termen de 7 zile lucrătoare, înainte de ștergerea definitivă.

11. Transferuri internaționale de date

Datele prelucrate prin sub-împuterniciții din SUA (Anthropic, OpenAI, Twilio, ElevenLabs, Resend, Stripe) sunt transferate în baza Clauzelor Contractuale Standard (SCC) aprobate prin Decizia Comisiei Europene 2021/914/UE — cel mai robust mecanism de transfer disponibil.

Stocarea principală a datelor se realizează exclusiv pe servere Hetzner din Germania (UE), eliminând necesitatea transferurilor internaționale pentru datele stocate persistent.

12. Evaluarea impactului (DPIA)

WELIST S.R.L. reevaluează periodic necesitatea efectuării unei Evaluări a Impactului asupra Protecției Datelor (DPIA) în funcție de funcționalitățile platformei și de natura datelor prelucrate. Dacă Operatorul consideră necesară o DPIA pentru propriile activități de prelucrare, WELIST S.R.L. furnizează informațiile necesare.

Dacă Operatorul intenționează să utilizeze platforma pentru prelucrarea la scară largă a datelor speciale (sănătate, biometrice etc.) sau pentru monitorizare sistematică, este responsabilitatea Operatorului să realizeze propria DPIA și să informeze WELIST S.R.L.

14. Audit și conformitate

Operatorul are dreptul să solicite informații privind conformitatea WELIST S.R.L. cu prezentul DPA. WELIST S.R.L. va furniza:

Documentație privind măsurile de securitate implementate
Confirmarea listei actuale de sub-împuterniciți
Rapoarte de incidente (dacă există) relevante pentru datele Operatorului

Solicitările de audit se transmit la [email protected] cu minimum 30 de zile preaviz. WELIST S.R.L. poate solicita ca auditul să fie realizat de un auditor terț neutru, pe cheltuiala Operatorului. Auditul nu se poate desfășura mai mult de o dată pe an, cu excepția cazului unei breșe de date sau al unei cereri din partea ANSPDCP. Auditul se limitează la analizarea documentației și rapoartelor de securitate furnizate — sunt excluse inspecțiile fizice la sediul Împuternicitului sau în centrele de date ale Hetzner, din motive de confidențialitate și securitate multi-tenant. Auditul nu va afecta securitatea, disponibilitatea sau confidențialitatea datelor altor clienți.

15. Modificarea DPA

WELIST S.R.L. poate modifica prezentul DPA cu notificare prealabilă de minimum 30 de zile prin email și publicare pe agentio.ro/dpa. Continuarea utilizării platformei după expirarea termenului constituie acceptul modificărilor. Dacă Operatorul nu acceptă modificările, poate rezilia contractul fără penalități.

16. Legea aplicabilă

Prezentul DPA este guvernat de legislația română și Regulamentul (UE) 2016/679 (GDPR). Litigiile se soluționează conform prevederilor Contractului de Prestări Servicii Agentio.

Pentru aspectele GDPR, autoritatea competentă de supraveghere este ANSPDCP — dataprotection.ro.

17. Instrucțiunile Operatorului

WELIST S.R.L. prelucrează datele cu caracter personal exclusiv pe baza instrucțiunilor documentate ale Operatorului, transmise prin intermediul platformei Agentio (setări cont, încărcare documente, comenzi explicite prin WhatsApp). Orice prelucrare în afara acestor instrucțiuni necesită acord scris prealabil din partea Operatorului, cu excepția cazurilor în care legislația aplicabilă impune altfel.

WELIST S.R.L. va notifica imediat Operatorul dacă consideră că o instrucțiune încalcă GDPR sau altă lege aplicabilă în domeniul protecției datelor, înainte de executarea instrucțiunii respective.

WELIST S.R.L. va notifica Operatorul în maximum 48 de ore dacă primește o solicitare din partea unei autorități de supraveghere (ANSPDCP sau altă autoritate competentă) care privește datele Operatorului.

18. Contact

Pentru orice aspecte legate de prelucrarea datelor sau exercitarea drepturilor GDPR:

WELIST S.R.L.
Email: [email protected]
WhatsApp: +40771682564
Adresă: Str. Pantelimon Nr. 23A, Et. 1, Iași, România

WELIST S.R.L. nu a desemnat un DPO, întrucât nu îndeplinește criteriile obligatorii prevăzute de Art. 37 GDPR. Responsabilul de facto pentru protecția datelor este reprezentantul legal al WELIST S.R.L.