Organizer DPA

Acordul de prelucrare a datelor pentru organizatori

Ultima actualizare: 1 octombrie 2026 Versiunea: 1.1

Anexă la Termenii pentru organizatori și echipe.

1. Părțile și obiectul

1.1. Acest acord („Acordul”) se încheie între organizator (definit în Termenii pentru organizatori și echipe), în calitate de operator, și Victor Chilari, persoană fizică din Republica Moldova, care operează platforma INVOLVO (https://involvo.io; support@involvo.io), în calitate de persoană împuternicită de operator („INVOLVO”).

1.2. Acordul îndeplinește cerințele art. 28 din Legea nr. 195/2024 privind protecția datelor cu caracter personal și, unde se aplică, ale art. 28 din Regulamentul (UE) 2016/679 („GDPR”). Face parte din Termenii pentru organizatori și echipe și este acceptat electronic odată cu aceștia, prin pasul de acceptare din aplicație descris la pct. 1.4 din Termenii pentru organizatori și echipe. INVOLVO păstrează evidența acceptării: utilizatorul, versiunea Termenilor pentru organizatori și echipe acceptată (care include versiunea acestui Acord publicată la acea dată), data și, după caz, declarația de reprezentant. Dacă acest Acord se modifică într-un mod care cere o nouă acceptare, versiunea Termenilor pentru organizatori și echipe se schimbă și acceptarea se cere din nou. La cerere, trimitem o copie a Acordului pregătită pentru semnare, fără modificarea conținutului.

1.3. Ordinea de prioritate: (1) clauzele contractuale standard de la pct. 12, unde se aplică; (2) acest Acord; (3) Termenii pentru organizatori și echipe; (4) Termenii de utilizare.

2. Domeniu de aplicare și roluri

2.1. Acordul se aplică Datelor de eveniment: datele cu caracter personal pe care INVOLVO le prelucrează în numele organizatorului, descrise în Anexa 1.

2.2. Pentru Datele de eveniment, organizatorul este operator, iar INVOLVO este persoană împuternicită. Dacă organizatorul este el însuși persoană împuternicită pentru un alt operator (de exemplu, o filială care organizează pentru o structură națională), INVOLVO acționează ca persoană împuternicită ulterioară, iar organizatorul garantează că operatorul său a autorizat folosirea INVOLVO în condițiile acestui Acord.

2.3. Acordul nu se aplică prelucrărilor pentru care INVOLVO este operator independent, descrise în Politica de confidențialitate INVOLVO și enumerate în tabelul de la pct. 2.5: conturi și profiluri, istoricul participării afișat în profil, creditele de contribuție, punctele și Stelele de Impact, funcțiile sociale, check-in-ul cu dovezi foto și prin ambasadori la evenimente nerevendicate, linkurile de urmărire, securitatea, prevenirea fraudei, moderarea și statisticile. Organizatorul și INVOLVO nu sunt operatori asociați pentru aceste prelucrări.

2.4. Datele pe care organizatorul le exportă sau le copiază în afara INVOLVO sunt prelucrate de organizator ca operator independent; acest Acord nu se mai aplică acelor copii.

2.5. Rolurile, pe categorii de date:

3. Instrucțiuni

3.1. INVOLVO prelucrează Datele de eveniment numai pe baza instrucțiunilor documentate ale organizatorului, inclusiv în privința transferurilor către țări terțe. Instrucțiunile sunt: Termenii pentru organizatori și echipe, acest Acord și setările pe care organizatorul le face în instrumentele INVOLVO (formulare, decizii, check-in, mesaje, ștergeri). Instrucțiuni suplimentare se dau în scris la support@involvo.io și trebuie să fie compatibile cu funcționarea platformei.

3.2. Organizatorul instruiește INVOLVO să șteargă răspunsurile unui aplicant la formular atunci când aplicantul își șterge contul INVOLVO.

3.3. Organizatorul permite INVOLVO să folosească, ca operator independent, rezultatul deciziilor sale (faptul că o aplicare a fost aprobată, că o persoană a participat sau a avut un rol) pentru funcțiile de platformă de la pct. 2.3. INVOLVO nu folosește răspunsurile la întrebările proprii ale organizatorului, notițele echipei sau conținutul mesajelor organizatorului în scopuri proprii.

3.4. INVOLVO informează imediat organizatorul dacă, în opinia sa, o instrucțiune încalcă legislația privind protecția datelor. Dacă legea obligă INVOLVO la o prelucrare, INVOLVO informează organizatorul înainte, cu excepția cazului în care legea interzice acest lucru.

4. Confidențialitate

INVOLVO se asigură că persoanele autorizate să prelucreze Datele de eveniment s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate. În prezent, accesul administrativ la bazele de date aparține operatorului INVOLVO.

5. Securitate

5.1. INVOLVO aplică măsurile tehnice și organizatorice descrise în Anexa 2, adecvate riscului (art. 32 din Legea nr. 195/2024 și din GDPR). INVOLVO poate actualiza măsurile, fără a reduce nivelul general de protecție.

5.2. Organizatorul răspunde pentru securitatea din partea sa: cine primește roluri în echipă, retragerea rolurilor, protejarea conturilor echipei și a fișierelor exportate.

6. Persoane împuternicite ulterioare

6.1. Organizatorul acordă INVOLVO o autorizare generală de a folosi persoane împuternicite ulterioare. Cele folosite în prezent pentru Datele de eveniment sunt marcate „Da” în Lista furnizorilor și a persoanelor împuternicite ulterioare publicată pe wiki.involvo.io („Lista furnizorilor”), care constituie Anexa 3.

6.2. INVOLVO anunță organizatorul prin e-mail (la adresele administratorilor organizației și ale creatorului evenimentului) cu cel puțin 14 zile înainte ca o persoană împuternicită ulterioară nouă sau înlocuitoare să prelucreze Datele de eveniment și actualizează Lista furnizorilor. Organizatorul poate formula obiecții motivate, legate de protecția datelor, în aceste 14 zile, la support@involvo.io. Dacă obiecția nu poate fi rezolvată de bună-credință, organizatorul poate înceta folosirea serviciului în privința Datelor de eveniment afectate (ștergând evenimentele respective); INVOLVO restituie, proporțional, Stelele de Impact folosite pentru planul organizației rămas neconsumat.

6.3. Dacă un furnizor trebuie înlocuit urgent pentru securitatea sau continuitatea serviciului, INVOLVO anunță organizatorul cât mai curând posibil, iar termenul de obiecție curge de la notificare.

6.4. INVOLVO impune fiecărei persoane împuternicite ulterioare, prin contract, obligații de protecție a datelor în esență echivalente cu cele din acest Acord, cu excepțiile de la pct. 6.5, și răspunde față de organizator pentru îndeplinirea obligațiilor acestora.

6.5. Excepții cunoscute. Cerința de la pct. 6.4 nu este îndeplinită în prezent pentru următorii furnizori; statutul actual este indicat în Lista furnizorilor:

• Vercel Inc. (găzduirea aplicației): planul gratuit nu include un acord de prelucrare a datelor. INVOLVO se angajează să treacă la un plan Vercel care include un acord de prelucrare și clauze contractuale standard înainte de lansarea publică a platformei sau de începerea oricărei activități comerciale.
• Brevo (doar corespondența de asistență): acordul de prelucrare este în curs de verificare.

Primesc Date de eveniment și următorii destinatari, care nu sunt marcați „Da” în Lista furnizorilor și pentru care nu există un acord de prelucrare:

• GitHub, Inc. păstrează copii de siguranță ale bazei de date, care conțin și Date de eveniment. Cea de producție este criptată înainte de încărcare; cea a mediului de dezvoltare, care poate conține și date reale, nu este criptată. GitHub acționează ca operator independent.
• Telegram: mesajele organizatorului (titlul și textul) ajung la Telegram doar pentru destinatarii care și-au conectat contul Telegram și au activat notificările pe Telegram. Telegram acționează ca operator independent și nu oferă acord de prelucrare sau clauze contractuale standard.

7. Drepturile persoanelor vizate

7.1. INVOLVO ajută organizatorul, prin măsuri tehnice și organizatorice adecvate, să răspundă cererilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). Organizatorul poate vedea, exporta și șterge Datele de eveniment prin instrumentele INVOLVO.

7.2. Dacă INVOLVO primește o cerere privind Datele de eveniment, o transmite organizatorului în cel mult 5 zile lucrătoare și nu răspunde pe fond fără instrucțiunile organizatorului, cu excepția confirmării primirii și a indicării organizatorului.

8. Asistență

INVOLVO ajută organizatorul, ținând cont de natura prelucrării și de informațiile de care dispune, să își îndeplinească obligațiile privind securitatea, notificarea încălcărilor de securitate, evaluarea impactului asupra protecției datelor și consultarea prealabilă a autorității de supraveghere (art. 32–36 din Legea nr. 195/2024 și din GDPR).

9. Încălcarea securității datelor

9.1. INVOLVO notifică organizatorul fără întârzieri nejustificate și cel târziu în 48 de ore după ce ia cunoștință de o încălcare a securității care afectează Datele de eveniment.

9.2. Notificarea cuprinde, în măsura în care sunt disponibile: natura încălcării, categoriile și numărul aproximativ de persoane și înregistrări afectate, consecințele probabile, măsurile luate sau propuse și persoana de contact. Informațiile care nu sunt disponibile imediat se transmit ulterior, pe etape, fără întârzieri nejustificate.

9.3. INVOLVO ia imediat măsuri pentru limitarea încălcării și cooperează cu organizatorul. Notificarea nu reprezintă o recunoaștere a vinovăției. Decizia de a notifica autoritatea de supraveghere și persoanele vizate aparține organizatorului, pentru Datele de eveniment.

10. Ștergere și returnare

10.1. Pe durata folosirii serviciului, organizatorul poate exporta aplicările, prezența și feedbackul (fișiere CSV) și poate șterge Datele de eveniment. Ștergerea unui eveniment de către administratorii organizației șterge definitiv aplicările, răspunsurile, participanții, prezențele și feedbackul acelui eveniment.

10.2. Când un aplicant își șterge contul, răspunsurile sale la formular și notițele echipei despre participarea sa sunt șterse; notițele echipei despre aplicare, motivația și motivul refuzului participării rămân asociate unei înregistrări anonimizate până la ștergerea evenimentului.

10.3. La încetarea folosirii serviciului, organizatorul poate exporta datele înainte de a șterge evenimentele. La cererea organizatorului, INVOLVO șterge Datele de eveniment rămase în cel mult 30 de zile, cu excepția cazului în care legea impune păstrarea lor.

10.4. Copiile de siguranță ale bazei de date sunt păstrate cel mult 90 de zile (producție, criptate) și 30 de zile (mediul de dezvoltare), după care sunt șterse automat. Datele șterse nu sunt restaurate din copii de siguranță, cu excepția restaurării după un incident, caz în care ștergerile sunt reaplicate.

11. Informații și audit

11.1. INVOLVO pune la dispoziția organizatorului informațiile necesare pentru a demonstra respectarea art. 28 (inclusiv documentul complet privind măsurile de securitate) și răspunde la chestionare rezonabile de conformitate, cel mult o dată pe an, cu excepția cazului unei încălcări de securitate sau a unei solicitări a unei autorități.

11.2. Dacă informațiile nu sunt suficiente, organizatorul (sau un auditor independent, obligat la confidențialitate) poate efectua un audit, cu un preaviz de cel puțin 30 de zile, cel mult o dată la 12 luni, în mod proporțional, de preferință la distanță și pe cheltuiala organizatorului. Auditurile cerute de o autoritate de supraveghere sunt întotdeauna permise.

12. Transferuri internaționale

12.1. Organizatori din Republica Moldova. Între organizator și INVOLVO nu are loc un transfer internațional. Transferurile ulterioare către persoane împuternicite din afara Spațiului Economic European (SEE) se bazează pe clauzele contractuale standard ale Comisiei Europene incluse în acordurile furnizorilor (art. 46 alin. (2) lit. c) din Legea nr. 195/2024), cu excepțiile de la pct. 6.5 privind Vercel, GitHub și Telegram. Transferurile către state din SEE nu necesită garanții suplimentare (art. 44 alin. (2) din Legea nr. 195/2024).

12.2. Organizatori din Uniunea Europeană sau din SEE. Republica Moldova nu beneficiază de o decizie de adecvare a Comisiei Europene. Pentru orice transfer de Date de eveniment de la organizator către INVOLVO, părțile încorporează prin trimitere clauzele contractuale standard adoptate prin Decizia de punere în aplicare (UE) 2021/914 a Comisiei („CCS”), astfel:

• Modulul doi (operator către persoană împuternicită), când organizatorul este operator; Modulul trei (persoană împuternicită către persoană împuternicită), când organizatorul acționează pentru un alt operator;
• organizatorul este exportatorul de date, iar INVOLVO este importatorul de date; semnarea CCS este înlocuită de acceptarea electronică a acestui Acord;
• Clauza 7 (clauza de aderare): se aplică;
• Clauza 9 litera (a): opțiunea 2, autorizare generală scrisă, cu notificare prealabilă de cel puțin 14 zile, conform pct. 6;
• Clauza 11 litera (a): opțiunea privind organismul independent de soluționare a litigiilor nu se aplică;
• Clauza 13: autoritatea de supraveghere competentă este cea din statul membru în care este stabilit organizatorul;
• Clauza 17: legea statului membru în care este stabilit organizatorul, dacă aceasta recunoaște drepturile terților beneficiari; în caz contrar, legea României;
• Clauza 18: instanțele statului membru a cărui lege se aplică potrivit Clauzei 17;
• Anexa I.A: părțile de la pct. 1 (datele organizatorului sunt cele din pagina sa din INVOLVO); Anexa I.B: Anexa 1 la acest Acord; Anexa I.C: autoritatea de la Clauza 13; Anexa II: Anexa 2; Anexa III: Lista furnizorilor.

12.3. Precizare privind art. 3 alin. (2) GDPR. Comisia Europeană precizează că CCS din 2021 sunt destinate importatorilor ale căror prelucrări nu intră sub incidența GDPR, iar prelucrările INVOLVO pot intra sub incidența GDPR potrivit art. 3 alin. (2). Până la adoptarea unor clauze dedicate acestei situații, părțile folosesc CCS din 2021 ca garanție contractuală, în măsura în care are loc un transfer și este necesară o garanție. INVOLVO se angajează să ofere noile clauze în cel mult 6 luni de la adoptarea lor.

12.4. Informații pentru evaluarea transferului. La cerere, INVOLVO furnizează informațiile de care organizatorul are nevoie pentru evaluarea impactului transferului (Clauza 14 din CCS), inclusiv despre cadrul legal din Republica Moldova (Legea nr. 195/2024, în vigoare din 23 august 2026, și autoritatea independentă de supraveghere) și despre măsurile din Anexa 2. INVOLVO notifică organizatorul despre orice cerere a unei autorități publice privind Datele de eveniment și o contestă atunci când există motive legale, conform Clauzei 15 din CCS.

12.5. Organizatori din alte state. Contactați-ne la support@involvo.io înainte de a folosi INVOLVO pentru date supuse unor reguli speciale de transfer.

13. Răspundere

Răspunderea părților este cea prevăzută în Termenii pentru organizatori și echipe. Față de persoanele vizate, fiecare parte răspunde conform legii (inclusiv art. 82 GDPR, unde se aplică), iar limitările de răspundere dintre părți nu afectează drepturile persoanelor vizate.

14. Durată și modificări

14.1. Acordul se aplică cât timp INVOLVO prelucrează Date de eveniment pentru organizator și încetează după ștergerea acestora conform pct. 10.

14.2. Acordul nu poate fi modificat unilateral în defavoarea organizatorului, cu excepția actualizărilor Listei furnizorilor (conform pct. 6), a măsurilor de securitate (fără reducerea nivelului de protecție) și a modificărilor impuse de lege. Orice altă modificare este anunțată cu cel puțin 30 de zile înainte, iar organizatorul poate înceta folosirea serviciului înainte de intrarea ei în vigoare.

Anexa 1 — Detaliile prelucrării

Anexa 2 — Măsuri tehnice și organizatorice (rezumat)

Documentul complet privind măsurile de securitate al INVOLVO este disponibil organizatorilor la cerere.

• Criptare în tranzit: HTTPS obligatoriu; conexiunile către baza de date sunt criptate, cu verificarea certificatului.
• Găzduire și stocare: baza de date de producție în Uniunea Europeană (Frankfurt, Germania).
• Controlul accesului: acces la Datele de eveniment doar pentru echipa organizatorului, pe baza rolurilor, verificat pe server la fiecare cerere. Participanții confirmați văd despre ceilalți participanți (doar cei confirmați care au făcut check-in) prenumele, inițiala numelui, fotografia, numele de utilizator, starea și motivația scrisă de participant (pe cardurile de networking ale platformei); răspunsurile la formular, notițele echipei și codurile din linkurile de confirmare nu le sunt transmise. Ambasadorii nu primesc adresele de e-mail în lista de prezență și în coada cererilor; coada este accesibilă echipei care gestionează evenimentul și, dintre ambasadori, doar celui care conduce check-in-ul la acel eveniment și este prezent. Revizuirea unei prezențe este verificată față de evenimentul pentru care utilizatorul are drepturi.
• Autentificare: parolele sunt stocate doar în formă criptografică, nu în clar; sesiunile sunt de scurtă durată, cu reînnoire rotativă a tokenurilor și detectarea refolosirii lor; încercările de autentificare sunt limitate. Autentificarea în doi pași pentru conturile utilizatorilor nu este încă disponibilă.
• Protecția aplicației web: protecții împotriva atacurilor web uzuale (injectare de conținut, încadrarea paginii în alte site-uri) și limitarea ratei cererilor.
• Minimizare: metadatele, inclusiv locația din fotografii, sunt eliminate din imaginile stocate; lista de prezență nu transmite nimănui coordonatele, precizia, distanța sau informațiile despre dispozitiv; codurile secrete sunt eliminate din adresele trimise pentru statistici; e-mailul de bun venit nu conține parole; datele de autentificare și cookie-urile sunt eliminate din rapoartele de eroare.
• Copii de siguranță: copii ale bazei de date de producție de două ori pe săptămână, criptate înainte de stocare, păstrate 90 de zile; datele pot fi restaurate din ele după un incident (pct. 10.4).
• Jurnalizare: jurnal de audit pentru acțiunile de gestionare a evenimentelor (inclusiv trimiterea mesajelor și înregistrările la intrare).
• Furnizori: persoane împuternicite ulterioare alese cu acorduri de prelucrare (cu excepțiile de la pct. 6.5) și, unde este posibil, cu stocare în UE.
• Organizatoric: acces administrativ restrâns la operatorul INVOLVO; procedură de gestionare a incidentelor cu notificare în termenele de la pct. 9.

Anexa 3 — Persoane împuternicite ulterioare

Lista furnizorilor și a persoanelor împuternicite ulterioare, publicată pe wiki.involvo.io, rândurile marcate „Da” în coloana „Sub-împuternicit pentru organizatori”.

Istoricul modificărilor