Art. 1 — Partile

1.1. IMPUTERNICITUL

1.2. OPERATORUL

Persoana juridica reprezentata de cluster_admin-ul care a acceptat prezenta Anexa prin click in platforma SafeHub. Identitatea Operatorului este determinata din profilul cluster_admin-ului (firma asociata) la momentul acceptarii, iar dovada acceptarii este pastrata in evidenta interna SafeHub (user_id, IP, timestamp, hash document).

Operatorul declara ca este Persoana Imputernicita a clientilor sai finali (firmele beneficiare ale serviciilor SSM/SU) si autorizeaza SAFEHUB SRL sa actioneze ca Sub-Imputernicit in raport cu acesti clienti, conform DPA-urilor incheiate intre Operator si clientii finali.

Art. 2 — Obiect

Prezenta Anexa reglementeaza conditiile in care SAFEHUB SRL prelucreaza date cu caracter personal in numele Operatorului, in cadrul utilizarii platformei SafeHub pentru gestionarea fiselor de instruire SSM/SU, semnaturilor electronice, rapoartelor de conformitate si comunicarii cu angajatii / clientii finali.

Activitatile de prelucrare includ:

• Stocare si gestionare date angajati ai clientilor finali ai Operatorului
• Generare PDF-uri fise de instruire SSM/SU
• Procesare semnaturi electronice prin sub-imputerniciti (eSemneaza.ro)
• Trimitere notificari email prin sub-imputerniciti (Brevo)
• Generare rapoarte de conformitate
• Backup criptat off-site (Backblaze B2)

Art. 3 — Categorii de date prelucrate

Art. 4 — Obligatiile Imputernicitului (SAFEHUB SRL)

SAFEHUB SRL se obliga:

• Sa prelucreze datele exclusiv conform instructiunilor Operatorului (configurari din platforma + ToS + DPA)
• Sa asigure confidentialitatea datelor — accesul personalului propriu pe baza de need-to-know
• Sa implementeze masuri tehnice si organizatorice adecvate (Art. 32 GDPR): criptare in tranzit, criptare la stocare pentru date sensibile, MFA pentru conturi admin, audit log centralizat, backup criptat off-site cu protectie anti-ransomware. SAFEHUB SRL este certificat ISO/IEC 27001 (certificat emis de ISOTRANS, organism acreditat — disponibil la /iso-27001-isotrans.pdf)
• Sa nu transfere date catre tari terte fara mecanism adecvat (SCC, decizie de adecvare, DPF)
• Sa notifice Operatorul in maximum 24 ore in caz de incident de securitate (data breach)
• Sa asiste Operatorul in indeplinirea drepturilor data subject (acces, rectificare, stergere, portabilitate)
• Sa stearga sau sa returneze toate datele la incetarea contractului, conform optiunii Operatorului
• Sa puna la dispozitia Operatorului toate informatiile necesare pentru a demonstra conformitatea cu Art. 28 GDPR si sa permita audit la cerere

Art. 5 — Obligatiile Operatorului (cluster_admin)

• Sa configureze corect platforma — definirea rolurilor, alocarea SSM/PSI per punct lucru, validarea datelor introduse
• Sa obtina temeiurile legale necesare pentru prelucrarile efectuate (consimtamantul angajatilor unde aplicabil)
• Sa incheie DPA propriu cu clientii finali (firmele beneficiare), in care SAFEHUB SRL apare ca sub-imputernicit autorizat
• Sa pastreze confidentialitatea credentialelor de acces si sa activeze 2FA pe cont
• Sa notifice SAFEHUB SRL in cazul unor cereri venite din partea data subject sau a autoritatilor

Art. 6 — Sub-imputerniciti autorizati

Operatorul autorizeaza in mod expres SAFEHUB SRL sa foloseasca urmatorii sub-imputerniciti pentru livrarea serviciilor:

Lista actuala: /legal/sub-processors

SAFEHUB SRL se obliga:

• Sa incheie contracte de sub-imputernicire cu fiecare sub-imputernicit, cu clauze cel putin echivalente cu prezenta Anexa
• Sa notifice Operatorul cu cel putin 30 de zile inainte de adaugarea unui sub-imputernicit nou, prin email
• Sa permita Operatorului dreptul de obiectie scrisa, conform GDPR Art. 28(2)
• Sa raspunda pentru actele/omisiunile sub-imputerniciilor ca pentru actele proprii

Pentru sub-imputerniciti din afara UE/SEE, SAFEHUB SRL a implementat Clauzele Contractuale Standard (SCC) sau mecanisme de transfer echivalente (DPF).

Art. 7 — Locatia prelucrarii

Serverele de productie ale SafeHub sunt gazduite de Hetzner Online GmbH in Nuremberg, Germania (UE). Backup-urile criptate sunt stocate suplimentar la Backblaze B2 EU-Central-003, Amsterdam, Olanda (UE), si Hetzner Storage Box, Helsinki, Finlanda (UE).

Niciun transfer de date in afara UE/SEE nu se efectueaza in cadrul operatiunilor obisnuite. Pentru Cloudflare (CDN/WAF/Turnstile), rutarea poate trece prin edge-uri globale; aplicabile SCC + DPF, vezi /legal/sub-processors.

Art. 8 — Durata si incetare

Prezenta Anexa este valabila pe toata durata utilizarii platformei SafeHub de catre Operator. La incetarea contractului:

• Operatorul are 30 zile pentru a descarca toate datele prin functia de export
• Dupa 30 zile, datele sunt sterse din productie, ramanand exclusiv in backup-uri pentru maxim 365 zile, criptate
• Backup-urile sunt ulterior sterse automat, ireversibil
• Pastram doar evidenta acceptarii DPA (user_id, version, accepted_at, ip, hash) pentru 7 ani — conform obligatiilor de probatie

Art. 9 — Modificari DPA

SAFEHUB SRL se obliga sa notifice Operatorul cu cel putin 30 de zile inainte de orice modificare a prezentei Anexe. La data efectiva, Operatorul va fi solicitat sa accepte din nou DPA-ul prin click-to-accept in platforma.

Dezacordul Operatorului cu noua versiune da dreptul de a inceta contractul fara penalitati, in cadrul perioadei de 30 zile.

Art. 10 — Litigii

Prezenta Anexa este guvernata de legea romana. Litigiile se rezolva amiabil sau, in lipsa intelegerii, in instantele competente teritorial de la sediul SAFEHUB SRL.

Autoritatea de supraveghere competenta este Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) — www.dataprotection.ro.