Politica GDPR

01. Operatorul de date cu caracter personal

SC BEMOTECH S.R.L. (denumită în continuare „Operatorul") este responsabilă pentru prelucrarea datelor cu caracter personal în contextul furnizării serviciului VELA.

Notă: SC BEMOTECH S.R.L. nu are obligația legală de a desemna un responsabil cu protecția datelor (DPO) conform art. 37 GDPR, deoarece prelucrările de date efectuate nu intră în categoriile care impun această obligație. Responsabilitățile GDPR sunt gestionate direct de reprezentantul legal.

02. Principiile prelucrării datelor

Bemotech prelucrează datele cu caracter personal cu respectarea strictă a principiilor prevăzute la art. 5 din GDPR:

03. Categorii de persoane vizate și date prelucrate

3.1 Reprezentanți ai companiilor client (persoane fizice)

• Datele de identificare: nume, prenume, funcție în companie;
• Date de contact profesionale: email, telefon;
• Date de facturare ale companiei reprezentate;
• Date de autentificare în dashboard (email + hash parolă sau token OAuth).

3.2 Utilizatori finali (angajați/colaboratori ai companiei client)

• Numărul de telefon WhatsApp;
• Conținutul mesajelor transmise asistentului AI VELA (interogări ERP);
• Metadate ale conversațiilor (timestamp, statusul mesajului).

3.3 Vizitatorii website-ului velaconsulting.ai

• Adresa IP (anonimizată);
• Date de navigare anonime (paginile accesate, durata vizitei);
• Datele furnizate voluntar prin formularul de contact.

04. Baze legale de prelucrare (art. 6 GDPR)

05. Relația Operator — Persoană împuternicită (DPA)

În contextul furnizării serviciului VELA, SC BEMOTECH S.R.L. poate acționa în două roluri distincte față de compania client:

5.1 Operator independent

Pentru datele de cont, facturare și utilizare a platformei proprii (dashboard, autentificare, facturi), Bemotech acționează ca operator independent.

5.2 Persoană împuternicită (Processor)

Pentru datele din sistemul ERP al companiei client (stocuri, facturi, clienți ERP etc.) pe care asistentul AI le accesează și le procesează, Bemotech acționează ca persoană împuternicită de operator (compania client este Operatorul acestor date).

În această calitate, Bemotech:

• Prelucrează aceste date exclusiv conform instrucțiunilor documentate ale Clientului;
• Nu utilizează datele ERP ale Clientului în alte scopuri decât furnizarea serviciului;
• Prelucrarea datelor ERP ale Clientului este reglementată de Acordul de Prelucrare a Datelor (DPA), document separat care constituie Acordul de Prelucrare a Datelor (DPA) conform Art. 28 GDPR, aplicabil din momentul activării serviciului;
• Notifică Clientul în termen de 48 de ore în cazul unui incident de securitate care afectează datele ERP procesate.

Lista completă a sub-procesatorilor terți care prelucrează date în numele Bemotech este disponibilă în Politica de Confidențialitate, secțiunea 04.

06. Măsuri tehnice și organizatorice (art. 32 GDPR)

Bemotech implementează măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului:

Măsuri tehnice:

• Criptare TLS 1.2+ pentru toate datele în tranzit;
• Criptare AES-256 pentru datele sensibile stocate;
• Autentificare cu factori multipli (2FA) pentru acces administrativ;
• Segregarea rețelei și firewall configurate prin Tailscale (VPN privat);
• Monitorizare continuă a securității și detectarea intruziunilor;
• Backup-uri criptate zilnice cu retenție de 30 de zile;
• Scanare regulată pentru vulnerabilități de securitate;
• Izolarea containerelor Docker pentru fiecare client (arhitectură multi-tenant);
• Acces SSH bazat exclusiv pe chei criptografice (fără parole).

Măsuri organizatorice:

• Politici interne de securitate a informației;
• Principiul need-to-know pentru accesul la datele clienților;
• Acorduri de confidențialitate cu personalul și colaboratorii care au acces la date;
• Proceduri documentate de răspuns la incidente de securitate;
• Revizuirea periodică a drepturilor de acces.

07. Notificarea și gestionarea incidentelor (art. 33-34 GDPR)

În cazul unui incident de securitate (breșă de date), Bemotech va proceda astfel:

• Evaluarea imediată a incidentului și limitarea impactului;
• Notificarea ANSPDCP în termen de 72 de ore de la descoperire, dacă este probabilă o amenințare la adresa drepturilor și libertăților persoanelor fizice;
• Notificarea persoanelor vizate afectate fără întârzieri nejustificate, dacă incidentul prezintă un risc ridicat pentru drepturile și libertățile acestora;
• Documentarea incidentului în registrul intern de incidente;
• Notificarea companiei Client (în calitate de Operator al datelor ERP) în termen de 48 de ore.

08. Drepturile persoanelor vizate (art. 15-22 GDPR)

Orice persoană fizică ale cărei date sunt prelucrate de Bemotech are dreptul de a exercita, prin cerere scrisă adresată la [email protected], următoarele drepturi:

Dacă solicitarea este complexă sau numărul solicitărilor este mare, termenul de răspuns poate fi extins cu maximum 2 luni suplimentare, cu informarea persoanei vizate.

09. Autoritatea de supraveghere

Autoritatea națională de supraveghere a prelucrării datelor cu caracter personal în România este:

10. Actualizări ale politicii GDPR

Prezenta Politică GDPR poate fi actualizată periodic pentru a reflecta modificări ale practicilor de prelucrare a datelor, ale legislației aplicabile sau ale serviciilor oferite. Vom notifica utilizatorii înregistrați prin email cu privire la orice modificare semnificativă, cu minimum 30 de zile înainte de intrarea în vigoare.

Versiunea curentă a politicii este întotdeauna disponibilă la adresa velaconsulting.ai/legal/gdpr.