Acord de prelucrare a datelor cu caracter personal

Pentru datele cu caracter personal prelucrate prin serviciul Druma TMS în numele Clientului, Clientul este operatorul de date și Druma este persoana împuternicită de operator, în sensul definițiilor din articolul 4 al Regulamentului general privind protecția datelor (Regulamentul (UE) 2016/679, „RGPD”).

Pentru datele pe care Druma le colectează în nume propriu (datele contului Clientului, evidențele de facturare, prospecții de marketing), Druma este operator independent; acea prelucrare este guvernată de Nota de informare privind confidențialitatea a Druma, nu de prezentul Acord (DPA).

Druma prelucrează date cu caracter personal în numele Clientului exclusiv în scopul furnizării Serviciului, care include obținerea Datelor de Machetă a Formularului, astfel cum este descrisă în secțiunea 4.1. Prezentul DPA intră în vigoare la data de început a abonamentului Clientului și rămâne în vigoare pe durata abonamentului, la care se adaugă perioadele de export și de ștergere a datelor de după încetare, prevăzute în secțiunea 11.

Persoane vizate:

• Angajații, colaboratorii și șoferii Clientului.
• Clienții Clientului și persoanele de contact ale acestora.
• Transportatorii subcontractați de Client și personalul acestora.
• Alte persoane identificabile ale căror date sunt introduse de Client în Serviciu (destinatari, persoane de contact la rampă etc.).

Categorii de date cu caracter personal:

• Date de identificare (nume, identificator de angajat, rol).
• Date de contact (e-mail, telefon, limbă).
• Date de localizare, în două forme distincte:
  • Poziția în timp real a vehiculului din telematică — un singur rând per vehicul, suprascris la fiecare actualizare; un traseu separat, de scurtă durată, al pozițiilor recente (pentru vizualizarea de urmărire a vehiculului pe harta live) este păstrat 48 de ore, apoi șters.
  • Semnale de poziție din aplicația de șofer și coordonatele înregistrate atunci când un șofer schimbă starea unei comenzi (sosit, încărcat, livrat) — păstrate 90 de zile, apoi șterse.
• Date privind calificarea șoferilor și documentele acestora (permis, CPC/atestat, ADR și datele de expirare ale avizului medical, precum și documentele încărcate), astfel cum sunt înregistrate de Client.
• Date derivate — componentele și rezultatul scorului de performanță al șoferului, care constituie creare de profiluri în sensul articolului 4 alineatul (4) din RGPD, dar nu produce efecte juridice sau efecte similare semnificative și nu implică un proces decizional automatizat în sensul articolului 22.
• Date de tahograf și privind timpii de conducere (ore de conducere rămase, înregistrări ale stării de lucru provenite de la furnizorii de telematică, acolo unde sunt conectați; prelucrate în temeiul obligațiilor de conformitate cu Regulamentul (CE) 561/2006 și Regulamentul (UE) 165/2014).
• Date operaționale (comenzi, confirmări de stare, timpi de așteptare, întârzieri).
• Conținutul documentelor (CMR, POD, semnături eCMR, documente de identitate acolo unde fluxurile de conformitate le impun).
• Conținutul comunicărilor (mesaje între planificator și șofer, transcrieri ale asistentului AI).

Druma nu prelucrează cu bună știință categorii speciale de date (articolul 9 RGPD). Clientul nu trebuie să încarce în Serviciu date privind sănătatea, date biometrice, religioase sau alte categorii speciale de date, cu excepția cazurilor strict impuse de un flux de gestionare a incidentelor sau de asigurare, situație în care Clientul își asumă obligațiile suplimentare prevăzute la articolul 9.

Druma prelucrează Datele Clientului numai pe baza instrucțiunilor documentate ale Clientului, inclusiv în ceea ce privește transferurile internaționale, cu excepția cazului în care dreptul Uniunii sau dreptul unui stat membru impune altfel (caz în care Druma va informa Clientul, cu excepția situației în care legea interzice informarea).

Instrucțiunile documentate ale Clientului includ: (a) Condițiile de utilizare și prezentul DPA, (b) opțiunile de configurare efectuate în cadrul Serviciului și (c) orice instrucțiuni scrise suplimentare ale Clientului pe care Druma le confirmă în scris.

Druma va informa Clientul dacă, în opinia sa, o instrucțiune încalcă RGPD sau o altă dispoziție legală privind protecția datelor.

4.1 Datele de Machetă a Formularului.

(a) „Datele de Machetă a Formularului” sunt datele care descriu unde se află denumirile rubricilor și casetele tipărite pe un tip de formular tipărit, de exemplu o scrisoare de transport CMR, și nimic altceva. Ele constau exclusiv din: (i) coordonate și dimensiuni ale denumirilor rubricilor și ale casetelor, exprimate în raport cu cadrul formularului tipărit; (ii) identificatori ai denumirilor rubricilor tipărite, preluați dintr-o listă închisă de formulări tipărite pe formulare, pe care Druma o ține la zi („Lista Denumirilor de Rubrici”); și (iii) numărători și măsuri statistice, precum mediana sau dispersia, calculate pe mai multe documente.

(b) Clientul dă instrucțiuni Druma să analizeze documentele Clientului în cadrul Serviciului pentru a obține Datele de Machetă a Formularului și să le utilizeze pentru a îmbunătăți modul în care Serviciul citește aceleași tipuri de formulare pentru toți clienții. Această analiză este prelucrare a Datelor Clientului în numele Clientului și intră sub incidența prezentului DPA. Instrucțiunea se aplică pe durata abonamentului. Ea nu depinde de o opțiune de configurare, iar Serviciul nu are pentru ea un comutator la nivel de client.

(c) Datele de Machetă a Formularului nu conțin nimic din cele ce urmează, iar Druma nu le obține într-un mod care le-ar face să conțină: text dactilografiat, scris, ștampilat sau tipărit într-un document completat; nume, adresă, număr de înmatriculare, referință, număr, dată sau sumă; semnătură, ștampilă sau imagine ori o parte a acestora; un identificator al Clientului sau al unui utilizator, client, transportator, șofer, comandă sau document al Clientului; un extras dintr-un document. Un cuvânt care nu figurează în Lista Denumirilor de Rubrici este eliminat la crearea Datelor de Machetă a Formularului și nu este niciodată stocat în ele.

(d) Datele de Machetă a Formularului descriu un formular tipărit, nu o persoană sau un transport. Ele sunt păstrate fără niciun identificator al Clientului, fără legătură cu vreun document și agregate pe mai multe documente. Druma nu va încerca să le lege de un Client, de un document sau de o persoană și nu le va combina cu alte date în acest scop. Druma tratează Datele de Machetă a Formularului ca date anonime în sensul considerentului (26) din RGPD. Dacă se constată că Datele de Machetă a Formularului se raportează la o persoană identificabilă, Druma va trata de la acel moment datele afectate drept Date ale Clientului în temeiul prezentului DPA și va informa Clientul fără întârzieri nejustificate.

(e) Documentele, textul citit din ele, valorile extrase din ele și etichetele sau corecturile atașate acestora („Exemple de Citire”) rămân în contul de companie al Clientului. Druma nu folosește Exemplele de Citire pentru a citi documentele altui client, nu le divulgă altui client și nu comunică niciunui alt client nimic derivat din ele, cu excepția Datelor de Machetă a Formularului. Druma păstrează Exemplele de Citire cel mult 12 luni de la verificarea documentului și 30 de zile atunci când nimeni nu a etichetat sau corectat citirea. Druma le șterge imediat ce Clientul șterge documentul sau comanda aferentă, precum și la ștergerea companiei Clientului.

(f) Datele de Machetă a Formularului deja obținute nu sunt Date ale Clientului și nu pot fi atribuite Clientului. Din acest motiv ele nu se șterg și nu se restituie la ștergerea sau restituirea Datelor Clientului conform secțiunii 11. Druma le poate păstra după încheierea abonamentului.

(g) Între părți, Druma este titulara Datelor de Machetă a Formularului și le poate folosi în orice scop legitim de operare și îmbunătățire a Serviciului. Prezenta secțiune 4.1 nu conferă Druma niciun drept asupra Datelor Clientului în afara prelucrării descrise la litera (b).

Clientul acordă Druma o autorizație scrisă generală pentru a angaja sub-procesatorii (persoanele împuternicite ulterioare) enumerați în Anexa III la prezentul DPA. Anexa III este lista completă și de referință — este generată din aceeași sursă ca tabelul din Nota de informare privind confidențialitatea, astfel încât cele două documente nu pot conține informații diferite. Nu există nicio altă listă separată, mai scurtă.

Multe dintre pozițiile din Anexa III sunt marcate „only if you connect it” (doar dacă îl conectați). Acei destinatari nu primesc niciun fel de date decât dacă Clientul activează integrarea respectivă — conectorii de telematică, agregate frigorifice, e-facturare, burse de transport și mesagerie fac toți parte din această categorie. Un Client care nu conectează niciunul dintre aceștia partajează date doar cu destinatarii platformei de bază: e-mail, rutare, hărți și AI.

Druma va notifica Clientul prin e-mail cu cel puțin 30 de zile înainte ca un nou sub-procesator să înceapă prelucrarea Datelor Clientului. Dacă Clientul obiectează în mod rezonabil față de un nou sub-procesator din motive legate de protecția datelor, Clientul poate denunța, prin notificare scrisă, partea afectată a Serviciului.

Druma rămâne responsabilă pentru respectarea prezentului DPA de către fiecare sub-procesator și impune fiecărui sub-procesator obligații de protecție a datelor cel puțin la fel de protectoare ca cele din prezentul DPA.

• Criptare — TLS 1.2+ în tranzit; criptare în repaus (AES-256) în mod implicit, prin furnizorii noștri de infrastructură.
• Controlul accesului — securitate la nivel de rând (row-level security) pe tabelele care conțin date ale clienților; izolarea companiilor (multi-tenant); acces bazat pe roluri, pe principiul privilegiului minim, pentru personal.
• Autentificare — token-uri JWT, HMAC sau service-role pe fiecare endpoint de server; autentificare în doi pași disponibilă opțional tuturor utilizatorilor.
• Gestionarea secretelor — credențialele sunt stocate într-un seif (vault) administrat, niciodată în codul sursă.
• Jurnalizare de audit — jurnal automat al modificărilor pe tabelele sensibile, păstrat 12 luni.
• Backup și recuperare — copii de rezervă zilnice automate realizate de furnizorul bazei de date, păstrate 7 zile. Obiective de recuperare documentate: un recovery point objective de 24 de ore și un recovery time objective de 8 ore lucrătoare, cu ipotezele și limitările cunoscute consemnate în planul nostru de continuitate a activității și de recuperare în caz de dezastru, pe care îl punem la dispoziție la cerere. Acestea sunt obiective operaționale, nu o garanție de nivel al serviciului.
• Gestionarea vulnerabilităților — actualizarea dependențelor, verificări automate la fiecare pull request (verificarea tipurilor, teste, build, lint-uri de securitate, analiză statică Semgrep și audit al dependențelor; modificările sunt revizuite de inginerul care le-a scris, fără un al doilea evaluator independent), monitorizarea erorilor și alertare prin Sentry, precum și o politică publicată de raportare a vulnerabilităților (security.txt, raportări la [email protected]) cu termene declarate de confirmare și remediere.
• Personal și confidențialitate (art. 28 alin. (3) lit. (b)) — Druma se asigură că fiecare persoană autorizată să prelucreze Datele Clientului, fie angajat, colaborator sau liber-profesionist, s-a angajat să respecte confidențialitatea sau se află sub o obligație statutară adecvată de confidențialitate. Acest angajament este contractual, obligă fiecare persoană în mod individual, acoperă toate Datele Clientului la care aceasta poate avea acces și rămâne în vigoare și după încetarea colaborării cu Druma. Accesul se acordă pe principiul privilegiului minim și al necesității de a cunoaște și se revocă la încetarea colaborării sau a necesității. Fiecare astfel de persoană este, de asemenea, obligată să prelucreze Datele Clientului numai pe baza instrucțiunilor documentate ale Druma, care urmează, la rândul lor, instrucțiunile Clientului conform secțiunii 4.
• Diligența privind sub-procesatorii — evaluarea posturii de securitate a fiecărui sub-procesator înainte de contractare, cu utilizarea certificărilor publicate de aceștia (SOC 2, ISO 27001 etc.) acolo unde sunt disponibile.

7.1 Drepturile persoanelor vizate (art. 28 alin. (3) lit. (e)).

Serviciul include instrumente integrate (Setări → GDPR) pe care Clientul le poate folosi pentru a soluționa cererile de acces, rectificare, ștergere și portabilitate fără a ne contacta. Pentru cererile care nu pot fi soluționate prin aceste instrumente, Druma va asista Clientul prin măsuri tehnice și organizatorice adecvate, în măsura în care acest lucru este posibil, ținând seama de natura prelucrării și de informațiile aflate la dispoziția Druma. Dacă o persoană vizată contactează Druma direct în legătură cu Datele Clientului, Druma nu va răspunde pe fond; va transmite cererea Clientului fără întârzieri nejustificate și va informa persoana vizată că a făcut acest lucru.

7.2 Evaluările de impact asupra protecției datelor și consultarea prealabilă (art. 28 alin. (3) lit. (f), art. 35 și art. 36).

Ținând seama de natura prelucrării și de informațiile aflate la dispoziția Druma, Druma va asista Clientul în asigurarea respectării obligațiilor care îi revin în temeiul articolelor 32-36 RGPD. În special, la cererea scrisă rezonabilă a Clientului adresată la [email protected], Druma va:

• Furniza informațiile de care Clientul are nevoie pentru a efectua o evaluare de impact asupra protecției datelor conform articolului 35 — descrierea operațiunilor de prelucrare efectuate de Druma, categoriile de date și de persoane vizate, fluxurile de date și destinatarii (Anexa III), perioadele de păstrare și măsurile tehnice și organizatorice din Anexa II, într-o formă pe care Clientul o poate integra în propria DPIA.
• Pune la dispoziție propria DPIA a Druma privind urmărirea GPS, datele de tahograf și scorul de performanță al șoferilor, pe care Clientul o poate folosi ca punct de plecare pentru propria evaluare. Aceasta nu înlocuiește evaluarea Clientului: Clientul este operatorul și trebuie să își evalueze propriul context operațional, poziția comitetului de întreprindere (acolo unde există) și cerințele dreptului muncii din legislația națională.
• Răspunde într-un termen rezonabil la întrebările ulterioare privind riscurile și măsurile de atenuare și va semnala Clientului orice modificare a Serviciului despre care Druma consideră că poate afecta în mod semnificativ o DPIA existentă.
• Acorda asistență rezonabilă Clientului în cadrul oricărei consultări prealabile cu o autoritate de supraveghere conform articolului 36, inclusiv prin furnizarea documentației și prin răspunsuri la întrebările tehnice ale autorității privind rolul Druma de persoană împuternicită.

Druma acordă această asistență fără costuri suplimentare atunci când cererea este proporțională cu prelucrarea efectuată pentru Client. Druma nu stabilește dacă este necesară o DPIA — această evaluare aparține Clientului, în calitate de operator.

Druma va notifica Clientul fără întârzieri nejustificate și, în orice caz, în termen de 48 de ore de la momentul în care ia cunoștință de o încălcare a securității datelor cu caracter personal care afectează Datele Clientului. Notificarea va descrie (în măsura în care aceste informații sunt cunoscute): natura încălcării, categoriile și numărul aproximativ de persoane vizate și de înregistrări afectate, consecințele probabile și măsurile luate sau propuse pentru remediere.

Clientul este responsabil de orice notificare ulterioară a persoanelor vizate și a autorităților de supraveghere în temeiul articolelor 33 și 34 RGPD.

Incidente de securitate fără date cu caracter personal. Druma va notifica de asemenea Clientul fără întârzieri nejustificate și, în orice caz, în termen de 48 de ore de la momentul în care ia cunoștință de un incident de securitate care afectează în mod semnificativ disponibilitatea sau integritatea Serviciului ori a Datelor Clientului, chiar dacă nu a avut loc o încălcare a securității datelor cu caracter personal. Notificarea va descrie ceea ce se cunoaște despre cauză, serviciile și datele afectate, durata sau amploarea estimată și măsurile luate. Acest angajament există deoarece un Client care este el însuși entitate esențială sau importantă poate avea propriul termen de notificare care curge din momentul luării la cunoștință, iar acesta nu poate porni de la informații pe care nu le deține.

Druma pune la dispoziția Clientului toate informațiile necesare pentru a demonstra respectarea articolului 28 RGPD și permite desfășurarea de audituri, inclusiv inspecții, și contribuie la acestea, efectuate de Client sau de un auditor mandatat de Client. Restul acestei secțiuni descrie modul în care se realizează acest lucru — nu restrânge dreptul în sine.

9.1 Informațiile furnizate de Druma la cerere. La cererea scrisă rezonabilă adresată la [email protected], Druma va furniza:

• O copie actualizată a prezentului DPA, a Notei de informare privind confidențialitatea și a listei sub-procesatorilor (Anexa III).
• O descriere a măsurilor tehnice și organizatorice în vigoare (Anexa II), suficient de detaliată pentru a demonstra respectarea articolului 32.
• Un chestionar de securitate completat, folosind modelul propriu al Clientului atunci când acesta este furnizat și are o lungime rezonabilă.
• O prezentare a arhitecturii și a fluxurilor de date, inclusiv locul unde sunt stocate Datele Clientului, care sub-procesatori primesc care categorii de date și garanțiile de transfer aplicabile.
• Certificările și rapoartele de atestare disponibile ale sub-procesatorilor (SOC 2, ISO 27001 și echivalente), acolo unde Druma are permisiunea să le partajeze, precum și evidențele proprii ale Druma privind diligența asupra sub-procesatorilor din Anexa II.
• Cel mai recent rezumat al testului de penetrare sau al revizuirii de securitate a Druma, acolo unde există unul.

9.2 Auditul de la distanță este modalitatea implicită — pentru că acolo se află probele. Druma nu deține și nu operează niciun centru de date. Serviciul rulează în întregime pe infrastructură cloud administrată, operată de sub-procesatorii din Anexa III, iar personalul Druma lucrează din birouri obișnuite și de la distanță, fără Date ale Clientului păstrate în sedii proprii. Prin urmare, auditurile se desfășoară implicit de la distanță: chestionare și pachete de probe, revizuiri prin partajare de ecran ale configurației live (controlul accesului, politicile RLS, criptarea, jurnalizarea, sarcinile de retenție), prezentări ale arhitecturii și certificările și atestările sub-procesatorilor. O inspecție fizică a centrului de date al unui sub-procesator este guvernată de programul de audit propriu al acelui sub-procesator; Druma va transmite și va susține o astfel de cerere și va comunica orice raport pe care are dreptul să îl partajeze.

9.3 Inspecția la fața locului a sediilor și sistemelor proprii ale Druma. Clientul sau un auditor independent mandatat de Client, care nu este un concurent al Druma, poate inspecta sediile, echipamentele, evidențele și sistemele proprii ale Druma. O astfel de inspecție are loc cu o notificare scrisă prealabilă de 30 de zile, în timpul programului normal de lucru, sub rezerva semnării de către auditor a unui angajament de confidențialitate rezonabil și a unor măsuri proporționale de protejare a datelor celorlalți clienți, a securității Druma și a oricărei obligații de confidențialitate față de terți. Druma va pune la dispoziție personal competent pentru inspecție și va răspunde în scris constatărilor. Termenul de notificare și limita de frecvență din 9.4 nu se aplică, iar Druma va coopera prompt și fără condiții suplimentare, atunci când o inspecție sau furnizarea de informații este cerută de o autoritate de supraveghere competentă sau atunci când urmează unei încălcări a securității datelor care afectează Datele Clientului.

9.4 Frecvența. Cu excepția cazurilor descrise la finalul punctului 9.3, auditurile și inspecțiile sunt limitate la una pe an calendaristic, astfel încât să rămână proporționale cu prelucrarea.

9.5 Costurile. Druma își suportă propriile costuri de răspuns la cererile de audit, inclusiv informațiile enumerate la 9.1 și timpul personalului alocat unui audit de la distanță sau la fața locului; Druma nu percepe niciun tarif pentru îndeplinirea obligației sale de la articolul 28 alineatul (3) litera (h). Clientul suportă onorariile oricărui auditor terț pe care îl mandatează și propriile costuri de participare. Atunci când Clientul solicită audituri peste frecvența prevăzută la 9.4, din alte motive decât cele de la 9.3, părțile vor conveni în prealabil un tarif rezonabil pentru timpul suplimentar al Druma.

10.1 Segmentul Client–Druma nu necesită garanții de transfer. Druma este stabilită în România, iar administrația sa centrală se află în România. Datele Clientului sunt găzduite în mod implicit în Uniunea Europeană. Un transfer de la Client (operator) către Druma (persoană împuternicită) este, prin urmare, un transfer intra-SEE și nu intră sub incidența capitolului V. Pentru acest segment nu sunt necesare și nu se încheie Clauze Contractuale Standard — iar prezentul DPA nu are ca efect transformarea Clientului în parte la vreun set de astfel de clauze.

10.2 Druma este exportatorul pentru segmentul următor. Atunci când un sub-procesator din Anexa III este stabilit în afara SEE sau prelucrează Datele Clientului în afara SEE, transferul este efectuat de Druma în calitate de exportator de date către acel sub-procesator în calitate de importator de date. Atunci când Druma însăși transferă Datele Clientului către un destinatar din afara SEE, transferul este acoperit de mecanismul indicat pentru acel sub-procesator în Anexa III: o decizie de adecvare, Cadrul UE-SUA privind confidențialitatea datelor (EU-US Data Privacy Framework) (decizia de adecvare din 10 iulie 2023) dacă destinatarul este certificat, sau Clauzele Contractuale Standard 2021 ale Comisiei Europene (Decizia de punere în aplicare (UE) 2021/914) în temeiul termenilor proprii de prelucrare a datelor ai destinatarului. Druma nu declară că a încheiat separat Modulul Trei cu fiecare destinatar. Google Cloud: sub-procesatorul Druma este Google Cloud EMEA Limited, stabilită în SEE. Transferurile ulterioare efectuate de Google, de exemplu accesul Google LLC din Statele Unite, țin de Google însăși: Google se bazează pentru Statele Unite pe EU-US Data Privacy Framework (Google LLC este certificată), iar pentru alte țări terțe pe clauze contractuale standard între Google și propriii sub-procesatori (Google Cloud Data Processing Addendum, Appendix 3, secțiunea 4.1). Sub-procesatorii Google sunt listați la cloud.google.com/terms/subprocessors.

10.3 Evaluarea transferurilor. Înainte de a se baza pe un destinatar din afara SEE, Druma analizează categoriile de date pe care acesta le primește și termenii publicați de transfer ai destinatarului (acordul său de prelucrare a datelor, Clauzele Contractuale Standard pe care le oferă și eventualul statut de caracter adecvat sau de Data Privacy Framework) și aplică măsurile suplimentare descrise în prezentul DPA — criptarea în tranzit și în repaus și minimizarea datelor trimise fiecărui destinatar. Druma nu a întocmit o evaluare scrisă separată a impactului transferului pentru fiecare destinatar; Clientul, în calitate de operator, rămâne responsabil pentru propria evaluare a transferului, iar Druma va furniza la cerere informațiile pe care le deține. Druma reia această analiză atunci când circumstanțele unui destinatar sau mediul juridic se schimbă în mod semnificativ.

10.4 Copii. Copii ale Clauzelor Contractuale Standard și ale termenilor de prelucrare a datelor ai destinatarilor pe care se bazează Druma (cu clauzele comerciale ocultate) sunt disponibile Clientului la cerere, la [email protected]. Clientul, în calitate de operator, se poate întemeia pe acestea ca dovadă a garanțiilor aplicabile transferurilor ulterioare ale datelor sale.

10.5 Destinatari din afara SEE. Următorii destinatari din Anexa III primesc sau pot primi date cu caracter personal în afara SEE. Garanția aferentă fiecăruia este indicată alături (listă menținută în limba engleză):

• Supabase (Supabase, Inc.) (may leave the EEA) — Data is stored in the EU. The vendor is US-established, so remote support access is covered by the 2021 SCCs in the Supabase DPA.
• Cloudflare, Inc. (leaves the EEA) — 2021 SCCs in the Cloudflare DPA; EU-US Data Privacy Framework where applicable.
• Sentry (Functional Software, Inc.) (may leave the EEA) — Data is stored in the Sentry EU region. The vendor is US-established, so support access is covered by the 2021 SCCs in the Sentry DPA.
• Resend, Inc. (leaves the EEA) — 2021 SCCs in the Resend DPA. Migration to an EU-resident email provider is on the roadmap.
• Google Cloud — Vertex AI, Google Search grounding (company and site enrichment only) (may leave the EEA) — Google’s terms exclude Google Search grounding from the EU data-location commitment, so the search query derived from the identifiers above, and the grounded request, may be processed outside the EEA. Google retains grounding queries for up to 3 days for debugging; this cannot be disabled. Transfer safeguards: Google Cloud EMEA Limited is in the EEA; for onward transfers Google relies on the EU-US Data Privacy Framework (Google LLC is certified) for the US and on Standard Contractual Clauses between Google and its own subprocessors for other third countries (Google Cloud DPA, Appendix 3, section 4.1). This is not a new sub-processor (Google already) but a disclosure refinement for this one feature.
• Anthropic PBC (leaves the EEA) — Transfer to the United States under the 2021 EU Standard Contractual Clauses (Module Two, controller to processor, and Module Three, processor to processor) incorporated in Anthropic’s Data Processing Addendum, which forms part of its commercial terms, with a UK Addendum and a Swiss Addendum (Irish law and courts). Anthropic notifies changes to its own sub-processors in advance, with a 15-day objection window; customer data is deleted within 30 days after termination. Under Anthropic’s commercial terms, API inputs and outputs are not used to train its models; retention is as stated in those terms. Druma prefers Google Gemini on the EU endpoint where EU-only processing is required: the fallback for the documentation chatbot is Gemini.
• Mistral AI SAS (may leave the EEA) — Mistral AI SAS is established in France. Under its API terms customer data is not used to train its models; the API keeps requests for a short period for abuse monitoring unless zero data retention is agreed for the account. Because the processing location of every request and the sub-processors of Mistral are not yet confirmed in writing, Druma lists the transfer as possible and relies on the 2021 EU Standard Contractual Clauses (Module Three, processor to processor) for any onward transfer outside the EEA.
• Google Cloud Translation API (leaves the EEA) — Google Cloud Translation (Basic) has a global endpoint, so data cannot be kept in a specific region. Google Cloud EMEA Limited is in the EEA; for onward transfers Google relies on the EU-US Data Privacy Framework (Google LLC is certified) for the US and on Standard Contractual Clauses between Google and its own subprocessors for other third countries (Google Cloud DPA, Appendix 3, section 4.1). Message auto-translation can be switched off per user in profile settings.
• Google LLC — Firebase Cloud Messaging (leaves the EEA) — EU-US Data Privacy Framework (Google LLC is certified).
• Meta Platforms (WhatsApp Business Cloud API) (leaves the EEA) — 2021 SCCs. Off unless the company enables the WhatsApp driver channel.
• Transporeon GmbH (Germany, Trimble group) (may leave the EEA) — Processing is in the EU; the parent group is US-established, so group-level access is covered by the 2021 SCCs in the Transporeon DPA.
• Dr. Meier & Schmidt GmbH, Cargoclix (Germany) (may leave the EEA) — The hosting location and any transfer safeguard are confirmed with Cargoclix before a Customer connects.
• Geotab Inc. (may leave the EEA) — Druma connects to whichever Geotab database host the Customer’s own Geotab account resolves to. Where that host is outside the EEA the Customer’s own agreement with Geotab governs the transfer.
• Samsara Inc. (may leave the EEA) — Druma connects to Samsara’s EU shard by default. The vendor is US-established, so vendor-side access is covered by the 2021 SCCs in the Samsara DPA; a Customer that overrides the endpoint to a non-EU shard makes that transfer under its own agreement.
• ORBCOMM Inc. (leaves the EEA) — 2021 SCCs in the ORBCOMM agreement.
• Thermo King TracKing (Trane Technologies) (leaves the EEA) — 2021 SCCs in the Thermo King agreement.
• Carrier — Lynx Fleet (Carrier Global Corporation) (leaves the EEA) — 2021 SCCs in the Carrier agreement.
• CHEP (Brambles Limited) (may leave the EEA) — No personal data is transmitted. Where CHEP processing takes place outside the EEA it is covered by the Customer’s own CHEP account terms.

18 dintre cei 35 destinatari din Anexa III fac parte din acest grup; ceilalți prelucrează Datele Clientului exclusiv în interiorul SEE.

La încheierea furnizării serviciilor legate de prelucrare, Druma, la alegerea Clientului, fie va restitui Clientului toate Datele Clientului, fie le va șterge, și va șterge copiile existente — cu excepția cazului în care dreptul Uniunii sau dreptul unui stat membru aplicabil Druma impune stocarea în continuare. Alegerea aparține Clientului; Druma nu decide în locul acestuia.

11.1 Regula implicită, dacă Clientul nu comunică nimic. Datele Clientului sunt păstrate timp de 90 de zile de la data efectivă a încetării sau suspendării. Pe toată această perioadă, Clientul poate exporta oricând o copie completă din Setări → GDPR (format JSON și CSV prelucrabil automat, plus documentele stocate), iar contul poate fi reactivat cu datele intacte. La sfârșitul celor 90 de zile, Druma șterge Datele Clientului din sistemele sale live. Aceeași perioadă de 90 de zile este prevăzută în secțiunea 13 din Condițiile de utilizare și în tabelul de păstrare din Nota de informare privind confidențialitatea.

11.2 Restituirea sau ștergerea anticipată, la instrucțiune. Clientul poate instrui Druma în scris, în orice moment — pe durata abonamentului sau în fereastra de 90 de zile — să restituie Datele Clientului, să le șteargă sau ambele. Druma va da curs instrucțiunii în termen de 30 de zile de la primire și va confirma în scris finalizarea. Restituirea se face în același format de export prelucrabil automat, printr-o metodă de transfer securizată convenită cu Clientul.

11.3 Copiile existente, inclusiv copiile de rezervă. Ștergerea se extinde și asupra copiilor existente ale Datelor Clientului. Copiile de rezervă criptate ale bazei de date și instantaneele de tip point-in-time-recovery păstrate de furnizorul nostru de baze de date sunt imuabile și nu pot fi editate selectiv fără a le distruge integritatea ca mecanism de recuperare. Datele Clientului aflate încă într-o copie de rezervă nu sunt, prin urmare, șterse individual în momentul ștergerii din sistemele live: ele sunt suprascrise pe măsură ce acea copie de rezervă iese din rotația normală și, în orice caz, în cel mult 35 de zile de la ștergerea din sistemele live. În această perioadă, copiile de rezervă rămân criptate în repaus și cu acces controlat și sunt folosite exclusiv pentru recuperare în caz de dezastru — niciodată pentru a restaura, a servi sau a prelucra în alt mod date care au fost șterse. Ștergerea acoperă și copiile deținute de sub-procesatori, conform termenelor de ștergere din propriile lor acorduri cu Druma.

11.4 Situațiile în care legea impune Druma păstrarea datelor. Druma păstrează și nu șterge datele a căror stocare este impusă de dreptul Uniunii sau de dreptul unui stat membru aplicabil Druma: facturile și evidențele contabile (10 ani de la data emiterii — Legea contabilității nr. 82/1991, art. 25, și Directiva TVA a UE, art. 244); documentele de transport eCMR și eFTI (7 ani, acoperind termenul de prescripție din art. 32 al Convenției CMR și cerințele de acces al autorităților din Regulamentul (UE) 2020/1056 privind eFTI); și jurnalul de audit (12 luni). Aceste evidențe rămân izolate și cu acces controlat, sunt prelucrate exclusiv în scopul obligației legale care le impune și sunt șterse la expirarea perioadei de păstrare.

11.5 Certificarea ștergerii. La cerere scrisă, Druma va confirma în scris finalizarea ștergerii și va identifica orice categorie de date păstrată în temeiul punctului 11.4, împreună cu temeiul juridic și data la care expiră perioada de păstrare.

Druma a implementat pregătirea pentru Regulamentul eFTI al UE (Regulamentul (UE) 2020/1056). Începând cu 9 iulie 2027, autoritățile competente de control în transporturi pot accesa datele de transport asociate unui link unic eFTI (UIL) în cadrul controalelor în trafic. Atunci când o comandă de transport gestionată prin Serviciu este asociată unui UIL, datele aferente expediției — descrierea mărfii, ruta și părțile expediției — pot fi accesate de autoritățile autorizate prin platforma eFTI.

Acest acces este impus de lege (art. 6 alin. (1) lit. (c) RGPD). Druma înregistrează fiecare eveniment de acces al autorităților în jurnalul de operațiuni eFTI, conform cerințelor Regulamentului, și pune aceste jurnale la dispoziția Clientului la cerere. Clientul, în calitate de operator-transportator, este responsabil de informarea persoanelor vizate afectate cu privire la această posibilitate în nota sa de informare întocmită conform articolului 13.

• Ordinea de prevalență — în caz de conflict între prezentul DPA și Condițiile de utilizare, prezentul DPA prevalează în chestiunile privind datele cu caracter personal.
• Răspunderea — pretențiile dintre părți în temeiul prezentului DPA sunt supuse plafonului de răspundere din secțiunea 11 a Condițiilor de utilizare. Acest plafon nu se aplică răspunderii pentru deces sau vătămare corporală, pentru fraudă sau oricărei răspunderi care nu poate fi limitată potrivit legii aplicabile — inclusiv răspunderii față de persoanele vizate pentru prejudicii cauzate de o prelucrare cu încălcarea RGPD, în temeiul articolului 82 RGPD. Nicio prevedere din prezentul DPA sau din Condițiile de utilizare nu restrânge drepturile sau căile de atac ale unei persoane vizate față de oricare dintre părți și nu modifică repartizarea răspunderii între operator și persoana împuternicită prevăzută la articolul 82 alineatele (1)-(3) RGPD.
• Modificări — Druma poate actualiza prezentul DPA pentru a reflecta modificări legislative, ale sub-procesatorilor sau ale măsurilor de securitate, cu notificare prin e-mail cu 30 de zile înainte.
• Istoric versiuni — 2026-10-27: a fost adăugată secțiunea 4.1 (Datele de Machetă a Formularului). Clientul dă instrucțiuni Druma să obțină din documentele sale date anonime despre macheta formularelor, fără conținut de document, iar aceste date sunt folosite pentru toți clienții. Secțiunea 2 și Anexa I fac acum trimitere la ea. Niciun sub-procesator nou. 2026-10-25: Anexa I nu mai enumeră datele de localizare transmise către ANAF; Druma nu transmite poziții GPS către ANAF. Intrarea ANAF din Anexa III a fost restrânsă în consecință. Niciun sub-procesator nou. 2026-10-05: clarificare care înlocuiește intrarea din 2026-10-04 (care preciza că datele cu caracter personal pot părăsi SEE pentru Vertex AI și pe care Druma nu a notificat-o Clienților ca modificare de sub-procesatori). Intrarea Google Cloud Vertex AI din Anexa III precizează acum că solicitările sunt procesate pe endpoint-ul multi-regional UE al Google, unde, conform condițiilor Google, datele sunt stocate, iar procesarea ML se desfășoară în statele membre UE (Druma este configurată să folosească endpoint-ul UE). Entități Google, inclusiv Google LLC din SUA, pot accesa în cazuri limitate datele pentru a întreține serviciul sau a remedia probleme tehnice; pentru transferurile ulterioare, Google se bazează pe EU-US Data Privacy Framework și pe clauze contractuale standard cu propriii sub-procesatori (Google Cloud DPA, Appendix 3, secțiunea 4.1). Dezvăluie și singura excepție: Google Search grounding, folosit de funcționalitățile opționale de îmbogățire a datelor companiilor și amplasamentelor, pe care condițiile Google îl exclud din angajamentul pentru UE (o cerere cu grounding poate fi procesată în afara UE) și pentru care Google păstrează interogările până la 3 zile. Vertex AI era deja sub-procesator și nu este unul nou; 5 octombrie 2026 este data publicării acestei versiuni. 2026-10-04: înlocuită, așa cum s-a descris. 2026-08-19: versiunea anterioară. Versiunea în limba engleză este cea obligatorie.
• Legea aplicabilă — legea română; instanțele din București.
• Contact — [email protected].
• Anexele — Anexa I (părțile și descrierea prelucrării), Anexa II (măsurile tehnice și organizatorice — secțiunea 6 de mai sus) și Anexa III (sub-procesatorii) fac parte integrantă din prezentul DPA și din Clauzele Contractuale Standard menționate în secțiunea 10.

A. Părțile

B. Descrierea prelucrării

Anexa II (măsurile tehnice și organizatorice, inclusiv măsurile invocate ca măsuri suplimentare pentru transferuri) este secțiunea 6 a prezentului DPA.

Lista completă a sub-procesatorilor și a celorlalți destinatari terți angajați de Druma, scopul fiecăruia, datele cu caracter personal pe care fiecare le primește efectiv, locul unde le prelucrează și dacă datele părăsesc SEE. Acest tabel și tabelul sub-procesatorilor din Nota de informare privind confidențialitatea sunt generate dintr-o sursă unică, astfel încât sunt întotdeauna identice. Tabelul este menținut în limba engleză.

Pozițiile marcate „only if you connect it” (doar dacă îl conectați) nu primesc date decât dacă Clientul activează integrarea respectivă. Druma notifică Clientul prin e-mail cu cel puțin 30 de zile înainte ca un nou sub-procesator să înceapă prelucrarea Datelor Clientului, iar Clientul poate obiecta conform secțiunii 5.

Funcționalitatea opțională Druma AI lipsește în mod deliberat din această listă. Dacă un administrator de companie conectează cheia API proprie a companiei de la OpenAI, Anthropic sau Google, datele trimise prin Druma AI sunt prelucrate de acel furnizor în temeiul acordului propriu al Clientului cu acesta. Acel furnizor este un sub-procesator al Clientului, nu al Druma, iar Druma nu oferă nicio garanție de transfer pentru el.