Contract de prelucrare a datelor

Ultima actualizare: 23 octombrie 2026

Documentul reproduce termenii aplicabili între firma client, în calitate de operator, și BIRSAN DANIEL AUTOMATIONS S.R.L., în calitate de persoană împuternicită, atunci când societatea operează asistentul AI pentru firma respectivă. Termenii constituie anexă la contractul de servicii.

• Obiectul și aplicarea documentului
• Părțile și definițiile
• Obiectul, durata, natura și scopul prelucrării
• Categoriile de date prelucrate
• Obligațiile persoanei împuternicite
• Subîmputerniciții
• Obligațiile și garanțiile operatorului
• Transferuri internaționale
• Măsuri tehnice și organizatorice
• Răspunderea
• Anexele și actualizarea lor

Obiectul și aplicarea documentului

Documentul cuprinde termenii impuși de articolul 28 din Regulamentul (UE) 2016/679 (GDPR) pentru situația în care o firmă încredințează societății prelucrarea datelor cu caracter personal ale clienților săi.

Termenii se semnează odată cu contractul de servicii, în calitate de anexă la acesta, și se aplică pe toată durata lui. În caz de neconcordanță privind prelucrarea datelor cu caracter personal, prezentul document prevalează asupra contractului de servicii.

Pagina reproduce termenii standard. Produce efecte versiunea semnată, cu anexele completate pentru firma client.

Părțile și definițiile

• Operator: firma de închirieri auto care utilizează serviciul. Ea stabilește scopurile și mijloacele prelucrării datelor clienților săi.
• Persoană împuternicită: BIRSAN DANIEL AUTOMATIONS S.R.L., societate cu răspundere limitată înmatriculată în România, cu sediul social în Prodănești 52, Com. Creaca, Jud. Sălaj, România. Prelucrează datele exclusiv în numele operatorului și pe baza instrucțiunilor acestuia.
• Cod de identificare fiscală (CUI): RO55702495. Nr. înregistrare Registrul Comerțului: J2026057905000.
• Contact pentru aspecte privind prelucrarea: bda@bdautomations.ro. Incidente de securitate: support@bdautomations.ro.
• Persoane vizate: clienții și potențialii clienți ai operatorului, care scriu sau telefonează asistentului.
• Date cu caracter personal, prelucrare, încălcarea securității datelor: cu înțelesul dat de articolul 4 din GDPR.

Obiectul, durata, natura și scopul prelucrării

Obiectul: societatea operează pentru operator un asistent AI care răspunde clienților acestuia pe WhatsApp, pe Facebook Messenger, într-un widget de chat aflat pe site-ul operatorului și la telefon.

Scopul: asistentul răspunde la întrebări, calculează prețul pe baza regulilor de preț ale operatorului, preia rezervări, transmite un mesaj înainte de predarea mașinii și transferă discuția către o persoană din firma operatorului ori de câte ori situația nu este clară.

Natura prelucrării: colectare, înregistrare, stocare, consultare, utilizare și transmitere către canalele de mai sus, prin mijloace automate.

Durata: pe durata contractului de servicii, la care se adaugă intervalul necesar ștergerii sau returnării datelor la încetarea acestuia.

Asistentul este configurat să se prezinte ca sistem de inteligență artificială la începutul conversației, potrivit articolului 50 din Regulamentul (UE) 2024/1689, și să transfere discuția unei persoane din firma operatorului la cererea persoanei vizate.

Categoriile de date prelucrate

În numele operatorului sunt prelucrate următoarele categorii de date:

• numele clientului final;
• numărul de telefon;
• adresa de email;
• conținutul conversației, inclusiv transcrierea apelului atunci când este utilizată linia telefonică;
• detaliile rezervării: datele calendaristice, locurile de preluare și de predare, clasa de mașină, numărul de zbor;
• acolo unde operatorul configurează astfel: vechimea permisului de conducere și alte date de eligibilitate similare, cerute de regulile operatorului.

Nu se solicită date de card: plata rămâne în sistemele operatorului. Nu se prelucrează date din categoriile speciale prevăzute de articolul 9 din GDPR, iar asistentul nu este configurat să le solicite.

Obligațiile persoanei împuternicite

În calitate de persoană împuternicită, societatea se obligă la următoarele:

• Prelucrează datele numai pe baza instrucțiunilor documentate ale operatorului, inclusiv în ceea ce privește transferurile. Contractul de servicii, fișa de prețuri și politici și configurarea asistentului constituie instrucțiuni documentate.
• Informează operatorul înainte de executarea unei instrucțiuni despre care apreciază că încalcă GDPR sau legislația română aplicabilă.
• Asigură că persoanele care au acces la date, în practică fondatorul societății, sunt ținute de o obligație de confidențialitate care se menține și după încetarea contractului.
• Aplică măsurile de securitate enumerate mai jos, potrivit articolului 32 din GDPR.
• Nu adaugă și nu înlocuiește un subîmputernicit fără informarea prealabilă, în scris, a operatorului, care are dreptul de a obiecta.
• Asistă operatorul în soluționarea cererilor persoanelor vizate (acces, rectificare, ștergere, opoziție, portabilitate): identifică, exportă sau șterge conversațiile, la cererea operatorului.
• Asistă operatorul în îndeplinirea obligațiilor prevăzute de articolele 32-36 din GDPR: securitate, notificarea încălcărilor, evaluarea impactului, consultarea autorității de supraveghere.
• Notifică operatorul cu privire la orice încălcare a securității datelor fără întârziere nejustificată și, în orice caz, în cel mult 24 de ore de la momentul la care ia cunoștință de aceasta, cu informațiile disponibile în acel moment, completate pe măsură ce devin cunoscute. Notificarea este transmisă de la support@bdautomations.ro.
• La încetarea contractului șterge sau returnează datele, la alegerea operatorului, și elimină copiile existente, cu excepția celor a căror păstrare este impusă de lege.
• Pune la dispoziția operatorului informațiile necesare pentru a demonstra respectarea articolului 28 și permite auditurile sau inspecțiile efectuate de operator ori de un auditor mandatat de acesta, anunțate din timp și organizate fără întreruperea serviciului.

Subîmputerniciții

Serviciul utilizează furnizorii de mai jos. Cu fiecare dintre ei se încheie un contract de prelucrare care impune aceleași obligații de protecție a datelor ca cele din prezentul document, potrivit articolului 28 alineatul (4) din GDPR, iar fiecare primește numai datele necesare rolului său. Societatea răspunde față de operator pentru îndeplinirea obligațiilor de către subîmputerniciții pe care îi angajează.

Lista este menținută la zi. Înainte de adăugarea sau înlocuirea unui subîmputernicit, operatorul este informat în scris și poate obiecta. Dacă nu se identifică o soluție de comun acord, oricare dintre părți poate înceta serviciul afectat, în condițiile contractului de servicii.

Locul prelucrării pentru fiecare furnizor este indicat în anexa semnată. Acolo unde datele sunt prelucrate în afara Uniunii Europene, transferul se întemeiază pe clauzele contractuale standard adoptate de Comisia Europeană.

Obligațiile și garanțiile operatorului

Operatorul se obligă și garantează următoarele:

• Instrucțiunile transmise societății sunt legale, iar prelucrarea solicitată are un temei juridic valabil; operatorul garantează legalitatea colectării și a transmiterii datelor pe care le pune la dispoziție sau care sunt colectate prin intermediul serviciului.
• Informează proprii clienți că le răspunde un asistent AI și despre modul în care le sunt prelucrate datele; conținutul acestei informări îi revine în întregime.
• Menține corectă fișa de prețuri și politici utilizată de asistent, din care acesta calculează prețul și răspunde la întrebările privind regulile firmei.
• Comunică persoanele îndreptățite să transmită instrucțiuni și anunță orice modificare a acestora.
• Nu transmite date din categorii speciale sau date privind minori, în lipsa unui acord scris contrar.
• Comunică, la încetarea contractului, dacă datele se șterg sau se returnează.

Transferuri internaționale

Datele sunt prelucrate în Uniunea Europeană, cu două excepții: conținutul conversațiilor transmis modelului (Anthropic PBC, Statele Unite) și subîmputerniciții care prelucrează în afara Uniunii, indicați în anexă. Pentru aceștia se aplică clauzele contractuale standard adoptate de Comisia Europeană, împreună cu termenii de prelucrare ai fiecărui furnizor. O copie poate fi solicitată la bda@bdautomations.ro.

Măsuri tehnice și organizatorice

Măsurile aplicate sunt următoarele:

• Traficul este criptat (HTTPS).
• Accesul la panoul de administrare se face pe bază de parolă, iar paginile acestuia nu sunt indexate.
• Sunt colectate strict câmpurile necesare serviciului.
• Adresele IP se păstrează exclusiv sub formă de hash cu sare; adresa în clar nu este scrisă nicăieri.
• Baza de date are copii de siguranță.
• Accesul la date îl are o singură persoană: fondatorul societății, sub obligație de confidențialitate.
• Datele se șterg sau se returnează la încetarea contractului.

Societatea nu deține certificări ISO și nu invocă standarde pe care nu le aplică. Măsurile suplimentare solicitate de operator se convin în scris înainte de semnare.

Societatea nu a desemnat un responsabil cu protecția datelor și nu are această obligație pentru activitatea descrisă.

Răspunderea

Răspunderea părților în legătură cu prezentul document urmează regimul și limitele convenite prin contractul de servicii.

Limitările convenite nu se aplică în măsura în care legea nu permite limitarea răspunderii și nu afectează drepturile persoanelor vizate față de oricare dintre părți, potrivit articolului 82 din GDPR.

Anexele și actualizarea lor

Anexa 1 descrie serviciul astfel cum este configurat pentru operator: canalele active, datele prelucrate și termenele de păstrare solicitate. Anexa 2 cuprinde lista subîmputerniciților, cu rolul și locul prelucrării fiecăruia.

Anexele se actualizează când intervine o modificare, iar versiunea nouă este transmisă operatorului înainte de a produce efecte; operatorul poate obiecta față de un subîmputernicit nou, în condițiile secțiunii privind subîmputerniciții. Pagina de față se actualizează odată cu ele, iar data actualizării este indicată dedesubt. Prelucrarea datelor vizitatorilor site-ului, distinctă de serviciu, este descrisă în Politica de confidențialitate: https://bdautomations.ro/confidentialitate.

Vezi și: Termeni și condiții · Politica de confidențialitate · Politica de cookie-uri

Data processing agreement

Last updated: 23 October 2026

This document reproduces the terms that apply between the client company, as controller, and BIRSAN DANIEL AUTOMATIONS S.R.L., as processor, when the company runs the AI assistant for that client. The terms form an annex to the service contract.

• Purpose and application of this document
• The parties and the definitions
• Subject matter, duration, nature and purpose of the processing
• Categories of data processed
• Obligations of the processor
• Sub-processors
• Obligations and warranties of the controller
• International transfers
• Technical and organisational measures
• Liability
• The annexes and how they are updated

Purpose and application of this document

This document sets out the terms article 28 of Regulation (EU) 2016/679 (GDPR) requires where a company entrusts the processing of its customers' personal data to the company.

The terms are signed together with the service contract, as an annex to it, and apply for its entire duration. In the event of a discrepancy concerning the processing of personal data, this document prevails over the service contract.

This page reproduces the standard terms. The version that takes effect is the signed one, with the annexes completed for the client company.

The parties and the definitions

• Controller: the car rental company using the service. It determines the purposes and the means of the processing of its customers' data.
• Processor: BIRSAN DANIEL AUTOMATIONS S.R.L., a limited liability company registered in Romania, with its registered office at Prodănești 52, Com. Creaca, Jud. Sălaj, Romania. It processes the data solely on behalf of the controller and on its instructions.
• Tax identification number (CUI): RO55702495. Trade Register number: J2026057905000.
• Contact for processing matters: bda@bdautomations.ro. Security incidents: support@bdautomations.ro.
• Data subjects: the controller's customers and prospective customers, who write to or telephone the assistant.
• Personal data, processing, personal data breach: with the meaning given by article 4 GDPR.

Subject matter, duration, nature and purpose of the processing

Subject matter: the company runs an AI assistant for the controller that answers its customers on WhatsApp, on Facebook Messenger, in a chat widget on the controller's website and on a telephone line.

Purpose: the assistant answers questions, quotes prices from the controller's own price rules, takes bookings, sends a message before the car is handed over, and transfers the conversation to a person at the controller whenever the situation is unclear.

Nature of the processing: collection, recording, storage, consultation, use and transmission to the channels above, by automated means.

Duration: for the term of the service contract, plus the time needed to delete or return the data when it ends.

The assistant is configured to identify itself as an artificial intelligence system at the start of the conversation, as article 50 of Regulation (EU) 2024/1689 requires, and to transfer the conversation to a person at the controller at the data subject's request.

Categories of data processed

The following categories of data are processed on behalf of the controller:

• the customer's name;
• the phone number;
• the email address;
• the content of the conversation, including the call transcript where the telephone line is used;
• the booking details: dates, pick-up and drop-off places, vehicle class, flight number;
• where the controller configures it: driving licence age and similar eligibility data required by the controller's own rules.

No card details are asked for: payment stays in the controller's own systems. No special categories of data within the meaning of article 9 GDPR are processed, and the assistant is not configured to ask for them.

Obligations of the processor

As the processor, the company undertakes the following:

• It processes the data only on the controller's documented instructions, including as regards transfers. The service contract, the price and policy card and the assistant configuration are documented instructions.
• It informs the controller before carrying out an instruction that in its view breaches the GDPR or applicable Romanian law.
• It ensures that the people with access to the data, in practice the company's founder, are bound by a confidentiality obligation that continues after the contract ends.
• It applies the security measures listed below, in line with article 32 GDPR.
• It does not add or replace a sub-processor without informing the controller in writing in advance, and the controller has the right to object.
• It assists the controller in answering data subject requests (access, rectification, erasure, objection, portability): it finds, exports or deletes the conversations at the controller's request.
• It assists the controller with the duties in articles 32 to 36 GDPR: security, breach notification, impact assessment, consulting the supervisory authority.
• It notifies the controller of any personal data breach without undue delay and in any event within 24 hours of becoming aware of it, with the information available at that moment, completed as more becomes known. The notice is sent from support@bdautomations.ro.
• When the contract ends it deletes or returns the data, as the controller chooses, and removes the existing copies, except those the law requires to be kept.
• It makes available to the controller the information needed to demonstrate compliance with article 28 and allows audits or inspections by the controller or by an auditor it mandates, announced in advance and arranged without interrupting the service.

Sub-processors

The service uses the providers below. A processing agreement is concluded with each of them, imposing the same data protection obligations as those in this document, as article 28(4) GDPR requires, and each receives only the data its role requires. The company remains liable to the controller for the performance of the obligations of the sub-processors it engages.

The list is kept up to date. Before a sub-processor is added or replaced, the controller is informed in writing and may object. If no agreed solution is found, either party may end the affected service under the terms of the service contract.

The place of processing for each provider is stated in the signed annex. Where data is processed outside the European Union, the transfer is based on the standard contractual clauses adopted by the European Commission.

Obligations and warranties of the controller

The controller undertakes and warrants the following:

• The instructions given to the company are lawful and the processing requested has a valid legal basis; the controller warrants the lawfulness of the collection and of the transfer of the data it provides or that is collected through the service.
• It informs its own customers that an AI assistant answers them and how their data is processed; the content of that notice is entirely its responsibility.
• It keeps accurate the price and policy card the assistant uses, from which the assistant quotes prices and answers questions about the company's rules.
• It states who is entitled to give instructions and gives notice of any change.
• It does not send special categories of data or data about children, unless otherwise agreed in writing.
• It states, when the contract ends, whether the data is to be deleted or returned.

International transfers

The data is processed in the European Union, with two exceptions: the conversation content sent to the model (Anthropic PBC, United States) and the sub-processors that process outside the Union, named in the annex. For those, the standard contractual clauses adopted by the European Commission apply, together with each provider's own processing terms. A copy can be requested at bda@bdautomations.ro.

Technical and organisational measures

The measures applied are the following:

• Traffic is encrypted (HTTPS).
• The back office is reached with a password and its pages are not indexed.
• Only the fields the service needs are collected.
• IP addresses are kept only as a salted hash; the address itself is written nowhere.
• The database is backed up.
• One person has access to the data: the company's founder, under a confidentiality obligation.
• The data is deleted or returned when the contract ends.

The company holds no ISO certifications and invokes no standards it does not apply. Any further measure the controller requires is agreed in writing before signature.

The company has not appointed a data protection officer and is not required to for the activity described.

Liability

The parties' liability in connection with this document follows the regime and the limits agreed in the service contract.

The agreed limitations do not apply to the extent that the law does not allow liability to be limited, and they do not affect the rights of data subjects against either party under article 82 GDPR.

The annexes and how they are updated

Annex 1 describes the service as configured for the controller: the channels in use, the data processed and the retention periods requested. Annex 2 is the list of sub-processors, with the role and the place of processing of each.

The annexes are updated when something changes and the new version is sent to the controller before it takes effect; the controller may object to a new sub-processor, under the sub-processors section. This page is updated with them, and the date of the update is shown below. The processing of website visitors' data, which is separate from the service, is described in the Privacy policy: https://bdautomations.ro/confidentialitate.

See also: Terms and conditions · Privacy policy · Cookie policy