Acord de prelucrare a datelor (DPA)

Anexă la Termeni și condiții · versiunea din 21.10.2026 · art. 28 din Regulamentul (UE) 2016/679 („GDPR”)

1. Părți și roluri

Clientul (școala de conducători auto) este operator. SC MindBridge Hub SRL, CUI RO52648677, Nr. Reg. Com. J2025076489007 („Prestatorul”) este persoană împuternicită și prelucrează datele numai pentru furnizarea Ora de condus, conform instrucțiunilor documentate ale Clientului. Termenii și condițiile, setările făcute de Client în Platformă și cererile transmise prin aceasta constituie instrucțiunile Clientului.

2. Obiectul, durata, natura și scopul

Înregistrarea ședințelor de pregătire practică, transmiterea și verificarea lor în Registrul Național al Cursanților (ARR), administrarea școlii, istoricul și exportul. Prelucrarea durează cât contractul, plus perioada de export de 30 de zile de la încetare.

3. Categorii de persoane vizate și de date

Persoane vizate	Date
Instructori și personalul școlii	nume, e-mail, rol, CNP-ul instructorilor (criptat; folosit numai pentru completarea câmpului „CNP instructor auto” din ARR), jurnal de activitate, adresă IP
Cursanți	nume, cod unic de înregistrare ARR, categorie, perioada de instruire, orele și kilometrii efectuați, ședințele (dată, interval, instructor, vehicul, kilometri)
Reprezentanții școlii	nume, e-mail, telefon

CNP-ul cursanților este afișat de ARR în timpul operațiunii, dar nu este stocat de Platformă. Nu se prelucrează categorii speciale de date.

4. Obligațiile Prestatorului

prelucrează datele numai pe baza instrucțiunilor Clientului și îl informează dacă o instrucțiune pare să încalce legea;
asigură confidențialitatea: acces numai pentru persoanele care au nevoie, obligate la confidențialitate;
aplică măsuri tehnice și organizatorice adecvate (art. 32 GDPR): criptare în tranzit (HTTPS) și a datelor de acces ARR și a CNP-urilor (AES-256), separare strictă între școli, roluri și permisiuni, autentificare cu doi factori pentru administratorii platformei, jurnal de audit, acces de suport limitat în timp, motivat și jurnalizat, copii de rezervă zilnice, găzduire în Uniunea Europeană;
apelează la subîmputerniciți numai potrivit secțiunii 5;
îl asistă pe Client, prin funcțiile Platformei (export, corectare, ștergere) și la cerere, în răspunsul la cererile persoanelor vizate;
notifică Clientul fără întârzieri nejustificate, și în cel mult 48 de ore de la constatare, despre orice încălcare a securității datelor, cu informațiile necesare pentru obligațiile Clientului față de ANSPDCP și persoanele vizate;
îl asistă pe Client la evaluări de impact și consultări prealabile, dacă sunt necesare;
la încetare, pune datele la dispoziție pentru export 30 de zile, apoi le șterge, inclusiv din copiile de rezervă, la expirarea ciclului lor (30 de zile), dacă legea nu cere păstrarea;
pune la dispoziție informațiile necesare pentru a demonstra respectarea acestui acord și permite audituri rezonabile, anunțate cu cel puțin 30 de zile înainte.

5. Subîmputerniciți

Clientul autorizează în general folosirea subîmputerniciților din lista publicată. Prestatorul anunță orice schimbare cu cel puțin 30 de zile înainte, iar Clientul poate obiecta motivat; dacă obiecția nu poate fi rezolvată, Clientul poate înceta contractul. Prestatorul impune subîmputerniciților obligații de protecție a datelor echivalente și răspunde pentru ei.

6. Transferuri în afara SEE

Datele sunt găzduite în Uniunea Europeană. Unii furnizori sunt companii din SUA; transferurile posibile se fac în baza Cadrului UE-SUA privind confidențialitatea datelor (Data Privacy Framework) sau a clauzelor contractuale standard ale Comisiei Europene.

7. Obligațiile Clientului

Clientul are temei legal pentru prelucrare (în special obligația legală de a raporta pregătirea practică în Registrul Național al Cursanților) și informează persoanele vizate. Prestatorul pune la dispoziție o Politică de confidențialitate pe care instructorii o confirmă la activarea contului.