Acord de Prelucrare a Datelor (DPA)

Data Processing Agreement (DPA)

1. Introducere / Introduction

RO

Acest Acord de Prelucrare a Datelor ("DPA") reglementează prelucrarea datelor cu caracter personal ale apelanților — clienții, pacienții sau potențialii clienți ai afacerii care contractează serviciul Vocalyy ("Clientul") — de către D.O.D.O. OFFICE OUTLET S.R.L. (persoană juridică română, cu sediul social în Sat Dudu, Comuna Chiajna, Str. Rezervelor nr. 54, bl. 7, ap. 23, jud. Ilfov, CUI 48578743, Nr. ORC/J J23/4990/2023, care operează platforma și marca „Vocalyy") în calitate de persoană împuternicită, în conformitate cu Articolul 28 din Regulamentul (UE) 2016/679 ("GDPR").

Acest DPA se aplică automat oricărui abonament B2B la serviciul Vocalyy și este încorporat prin referință în Termenii și Condițiile Vocalyy, formând parte integrantă a relației contractuale dintre părți, cu excepția cazului în care Clientul și Vocalyy semnează un DPA negociat separat, caz în care acesta din urmă prevalează.

Acest DPA nu guvernează prelucrarea datelor proprii ale Clientului (persoană de contact, reprezentant legal, date de facturare, date de cont) — acestea sunt tratate în Politica de Confidențialitate, unde Vocalyy acționează ca operator.

EN

This Data Processing Agreement ("DPA") governs the processing of personal data of callers — the customers, patients, or prospective customers of the business that contracts the Vocalyy service ("Client") — by D.O.D.O. OFFICE OUTLET S.R.L. (a Romanian legal entity, registered office at Sat Dudu, Comuna Chiajna, Str. Rezervelor nr. 54, bl. 7, ap. 23, Ilfov County, Romania, VAT/CUI 48578743, Trade Registry No. J23/4990/2023, operating the "Vocalyy" platform and brand) acting as processor, in accordance with Article 28 of Regulation (EU) 2016/679 ("GDPR").

This DPA applies automatically to every B2B subscription to the Vocalyy service and is incorporated by reference into Vocalyy's Terms of Service, forming an integral part of the contractual relationship between the parties, unless the Client and Vocalyy sign a separately negotiated DPA, in which case the latter prevails.

This DPA does not govern the processing of the Client's own data (contact person, legal representative, billing data, account data) — that is addressed in the Privacy Policy, where Vocalyy acts as controller.

2. Definiții / Definitions

RO

• Operator / Controller — Clientul care contractează serviciul Vocalyy și care stabilește scopurile și mijloacele prelucrării datelor apelanților săi.
• Persoană împuternicită / Processor — D.O.D.O. OFFICE OUTLET S.R.L. (marca Vocalyy), care prelucrează datele apelanților exclusiv pe baza instrucțiunilor documentate ale Clientului.
• Persoane vizate / Data Subjects — apelanții, adică persoanele fizice care sună sau sunt sunate prin agentul vocal AI configurat de Vocalyy pentru Client.
• Date cu caracter personal / Personal Data — orice informație referitoare la o persoană fizică identificată sau identificabilă, conform Art. 4(1) GDPR, procesată în cadrul serviciului.
• Sub-împuterniciți / Sub-processors — terții pe care Vocalyy îi folosește pentru a furniza serviciul și care prelucrează, la rândul lor, date ale apelanților în numele Vocalyy (listați în Anexa A).

EN

• Controller (Operator) — the Client that contracts the Vocalyy service and determines the purposes and means of processing its callers' data.
• Processor (Persoană împuternicită) — D.O.D.O. OFFICE OUTLET S.R.L. (Vocalyy brand), which processes callers' data solely on the Client's documented instructions.
• Data Subjects (Persoane vizate) — the callers, i.e. the individuals who call or are called through the AI voice agent configured by Vocalyy for the Client.
• Personal Data (Date cu caracter personal) — any information relating to an identified or identifiable natural person, per Art. 4(1) GDPR, processed within the service.
• Sub-processors (Sub-împuterniciți) — the third parties Vocalyy uses to provide the service and which, in turn, process callers' data on Vocalyy's behalf (listed in Annex A).

3. Obiect, durată, natură și scop al prelucrării / Subject Matter, Duration, Nature and Purpose of Processing

RO

Conform cerințelor Art. 28(3) GDPR, contractul de prelucrare trebuie să specifice obiectul, durata, natura și scopul prelucrării, tipul de date și categoriile de persoane vizate. Acestea sunt detaliate mai jos.

Element	Descriere
Obiectul prelucrării	Furnizarea serviciului de agent vocal AI care preia și gestionează apelurile telefonice ale afacerii Clientului.
Durata prelucrării	Pe toată durata abonamentului activ al Clientului, plus perioadele de retenție post-contract descrise mai jos și în Politica de Retenție.
Natura prelucrării	Colectare, stocare, afișare în dashboard, transcriere automată, transmitere către sub-procesatori, ștergere la expirarea retenției.
Scopul prelucrării	Preluarea apelurilor primite/efectuate în numele Clientului, generarea de răspunsuri conversaționale, programări, raportare către Client prin dashboard.
Categorii de persoane vizate	Apelanții — clienții, pacienții sau potențialii clienți ai Clientului care interacționează cu agentul vocal.

3.1 Ce date prelucrează Vocalyy despre apelanți / What Data Vocalyy Processes About Callers

RO: Vocalyy stochează și afișează în dashboard-ul Clientului următoarele categorii de date despre apelanți:

• Numărul de telefon al apelantului (secțiunea "Istorie apeluri")
• Metadate ale apelului: dată, oră, durată
• Transcrierea completă a conversației (secțiunea "Transcriere apel") — aceasta este stocată și afișată integral. Această practică este declarată onest și transparent; transcrierea nu este anonimizată automat.

EN: Vocalyy stores and displays in the Client's dashboard the following categories of caller data:

• The caller's phone number ("Call History" section)
• Call metadata: date, time, duration
• The full conversation transcript ("Call Transcript" section) — stored and displayed in full. This practice is stated honestly and transparently; transcripts are not automatically anonymized.

3.2 Perioadele de retenție aplicabile / Applicable Retention Periods

RO: Perioadele exacte de retenție pentru fiecare categorie de date de mai sus sunt publicate și actualizate în Politica de Retenție, care face parte integrantă din acest DPA prin referință.

EN: The exact retention periods for each data category above are published and kept current in the Retention Policy, which forms an integral part of this DPA by reference.

4. Obligațiile persoanei împuternicite (Vocalyy) / Processor Obligations

Structurate conform Art. 28(3)(a)-(h) GDPR.

4.1 (a) Prelucrare doar pe bază de instrucțiuni documentate / Processing only on documented instructions

RO: Vocalyy prelucrează datele apelanților exclusiv pe baza instrucțiunilor documentate ale Clientului — configurarea agentului vocal, scriptul conversației și scopul declarat al apelurilor — cu excepția cazului în care o obligație legală a Uniunii Europene sau a unui stat membru impune altfel, caz în care Vocalyy informează Clientul despre acea cerință legală, cu excepția situațiilor în care legea interzice o astfel de informare din motive importante de interes public.

EN: Vocalyy processes callers' data solely on the Client's documented instructions — the voice agent configuration, the conversation script, and the stated purpose of the calls — unless required otherwise by EU or Member State law, in which case Vocalyy shall inform the Client of that legal requirement before processing, unless that law prohibits such information on important grounds of public interest.

4.2 (b) Confidențialitatea personalului / Confidentiality of personnel

RO: Vocalyy se asigură că persoanele autorizate să proceseze datele s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate.

EN: Vocalyy ensures that persons authorized to process the data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality.

4.3 (c) Măsuri de securitate conform Art. 32 GDPR / Security measures per Art. 32 GDPR

RO: Vocalyy implementează măsuri tehnice și organizatorice adecvate riscului, incluzând, fără a se limita la: criptarea datelor în tranzit, controlul accesului bazat pe roluri, stocarea securizată a credențialelor (hashing), monitorizare și jurnalizare a accesului la date sensibile. Detaliile sunt rezumate în Anexa B.

EN: Vocalyy implements technical and organizational measures appropriate to the risk, including but not limited to: encryption of data in transit, role-based access control, secure credential storage (hashing), and monitoring/logging of access to sensitive data. Details are summarized in Annex B.

4.4 (d) Reguli privind sub-împuternicirea / Sub-processing rules

RO: Clientul acordă Vocalyy o autorizație generală scrisă pentru angajarea sub-procesatorilor listați în Anexa A a acestui DPA. Vocalyy va informa Clientul cu cel puțin 30 de zile înainte de orice modificare privind adăugarea sau înlocuirea unui sub-procesator, oferind Clientului posibilitatea de a se opune acelei modificări. Notificarea se face prin email către contactul principal al Clientului și/sau prin actualizarea Listei Sub-procesatorilor. Fiecare sub-procesator este obligat, prin contract, să respecte aceleași obligații de protecție a datelor ca și Vocalyy.

EN: The Client grants Vocalyy a general written authorization to engage the sub-processors listed in Annex A of this DPA. Vocalyy will inform the Client at least 30 days in advance of any change involving the addition or replacement of a sub-processor, giving the Client the opportunity to object to that change. Notice is given by email to the Client's primary contact and/or by updating the Sub-processor List. Each sub-processor is contractually bound to the same data protection obligations as Vocalyy.

4.5 (e) Asistență pentru drepturile persoanelor vizate / Assistance with data subject rights

RO: Ținând cont de natura prelucrării, Vocalyy asistă Clientul, prin măsuri tehnice și organizatorice adecvate, în îndeplinirea obligației de a răspunde cererilor prin care apelanții își exercită drepturile prevăzute la Art. 15-22 GDPR (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). Cererile primite direct de Vocalyy de la un apelant sunt redirecționate către Client fără întârzieri nejustificate, Vocalyy neavând calitatea de a răspunde direct în numele Clientului decât la instrucțiunea acestuia.

EN: Taking into account the nature of the processing, Vocalyy assists the Client, through appropriate technical and organizational measures, in fulfilling its obligation to respond to requests through which callers exercise their rights under Art. 15-22 GDPR (access, rectification, erasure, restriction, portability, objection). Requests received directly by Vocalyy from a caller are forwarded to the Client without undue delay, as Vocalyy is not entitled to respond directly on the Client's behalf except on the Client's instruction.

4.6 (f) Asistență pentru obligațiile Art. 32-36 GDPR / Assistance with Art. 32-36 obligations

RO: Vocalyy asistă Clientul în asigurarea conformității cu obligațiile privind securitatea prelucrării (Art. 32), notificarea încălcărilor de securitate (Art. 33-34) și, dacă e cazul, evaluările de impact asupra protecției datelor (Art. 35). În cazul unei încălcări a securității datelor care afectează datele apelanților, Vocalyy notifică Clientul în maxim 48 de ore de la momentul în care a luat cunoștință de incident, pentru a permite Clientului să își îndeplinească propria obligație de notificare a ANSPDCP în termenul de 72 de ore prevăzut la Art. 33 GDPR.

EN: Vocalyy assists the Client in ensuring compliance with the obligations regarding security of processing (Art. 32), personal data breach notification (Art. 33-34), and, where applicable, data protection impact assessments (Art. 35). In the event of a data security breach affecting caller data, Vocalyy notifies the Client within 48 hours of becoming aware of the incident, to enable the Client to meet its own 72-hour notification obligation to ANSPDCP under Art. 33 GDPR.

4.7 (g) Ștergerea sau returnarea datelor la finalul contractului / Deletion or return of data at contract end

RO: La încetarea abonamentului, Vocalyy șterge sau returnează Clientului, la alegerea acestuia, toate datele apelanților prelucrate în cadrul serviciului, în termen de 30 de zile, și șterge copiile existente, cu excepția cazului în care dreptul Uniunii sau al statului membru impune păstrarea datelor respective (de exemplu, datele de facturare ale Clientului, păstrate 5 ani conform Art. 25 din Legea contabilității nr. 82/1991, astfel cum a fost modificată prin Legea 36/2023 — această excepție vizează datele de facturare ale Clientului, nu datele apelanților).

EN: Upon termination of the subscription, Vocalyy deletes or returns to the Client, at the Client's choice, all caller data processed under the service, within 30 days, and deletes existing copies, unless Union or Member State law requires retention of such data (for example, the Client's own billing data, retained for 5 years under Art. 25 of Accounting Law No. 82/1991, as amended by Law 36/2023 — this exception concerns the Client's own billing data, not caller data).

4.8 (h) Dreptul de audit / Audit rights

RO: Vocalyy pune la dispoziția Clientului toate informațiile necesare pentru a demonstra conformitatea cu obligațiile prevăzute la Art. 28 GDPR și permite și contribuie la audituri, inclusiv inspecții, efectuate de Client sau de un auditor mandatat de acesta, cu un preaviz rezonabil și în limite care nu afectează securitatea altor clienți Vocalyy.

EN: Vocalyy makes available to the Client all information necessary to demonstrate compliance with the obligations set out in Art. 28 GDPR and allows for and contributes to audits, including inspections, conducted by the Client or an auditor mandated by the Client, with reasonable prior notice and within limits that do not compromise the security of other Vocalyy clients.

5. Obligațiile și garanțiile operatorului (Clientul) / Controller Obligations and Warranties

RO

Clientul, în calitate de operator al datelor apelanților săi, garantează și se obligă că:

• Deține un temei juridic valid conform Art. 6(1) GDPR (de exemplu, consimțământ, interes legitim sau executarea unui contract) pentru prelucrarea datelor apelanților prin agentul vocal Vocalyy;
• Informează apelanții că interacționează cu un sistem de inteligență artificială, în conformitate cu Informațiile despre Sistemul AI Vocalyy și cu Art. 50(1) din Regulamentul (UE) 2024/1689 (EU AI Act), obligație care se va aplica începând cu 2 august 2026;
• Deține temei juridic valid conform Art. 9 GDPR și îndeplinește condițiile Legii 190/2018 Art. 4 pentru orice date din categorii speciale (inclusiv date de sănătate) sau CNP care pot ajunge în transcrierile conversațiilor, având în vedere că transcrierile complete sunt stocate de Vocalyy;
• Este responsabil pentru obținerea oricărui consimțământ necesar de la apelanți și pentru informarea acestora conform Art. 13-14 GDPR;
• Furnizează instrucțiuni exacte, legale și documentate cu privire la configurarea agentului vocal și scopul apelurilor.

EN

The Client, as controller of its callers' data, warrants and undertakes that it:

• Holds a valid legal basis under Art. 6(1) GDPR (e.g., consent, legitimate interest, or contract performance) for processing callers' data through the Vocalyy voice agent;
• Informs callers that they are interacting with an artificial intelligence system, in accordance with Vocalyy's AI System Information page and Art. 50(1) of Regulation (EU) 2024/1689 (EU AI Act), an obligation that will apply from 2 August 2026;
• Holds a valid legal basis under Art. 9 GDPR and meets the conditions of Law 190/2018 Art. 4 for any special-category data (including health data) or national ID numbers (CNP) that may appear in call transcripts, given that full transcripts are stored by Vocalyy;
• Is responsible for obtaining any necessary consent from callers and for informing them under Art. 13-14 GDPR;
• Provides accurate, lawful, and documented instructions regarding the voice agent's configuration and the purpose of the calls.

6. Răspunderea pentru sub-procesatori / Sub-processor Liability

RO

Conform Art. 28(4) GDPR, atunci când Vocalyy angajează un sub-procesator, aceleași obligații de protecție a datelor prevăzute în acest DPA se aplică și acelui sub-procesator. Dacă sub-procesatorul nu își respectă obligațiile de protecție a datelor, Vocalyy rămâne pe deplin răspunzătoare față de Client pentru îndeplinirea obligațiilor acelui sub-procesator.

Această răspundere este distinctă de răspunderea comercială pentru întreruperi de serviciu: întreruperile cauzate de un sub-procesator (de exemplu, indisponibilitate temporară a unui furnizor cloud) pot fi acoperite de clauza de forță majoră și de plafonul de răspundere comercială descris la Secțiunea 7, dar conformitatea GDPR a acelui sub-procesator rămâne responsabilitatea Vocalyy față de Client.

EN

Under Art. 28(4) GDPR, where Vocalyy engages a sub-processor, the same data protection obligations set out in this DPA apply to that sub-processor. If the sub-processor fails to fulfil its data protection obligations, Vocalyy remains fully liable to the Client for the performance of that sub-processor's obligations.

This liability is distinct from commercial liability for service outages: interruptions caused by a sub-processor (e.g., a temporary cloud provider outage) may be covered by the force majeure clause and the commercial liability cap described in Section 7, but the GDPR compliance of that sub-processor remains Vocalyy's responsibility to the Client.

7. Clauza de răspundere / Liability Clause

RO

• Răspunderea față de persoanele vizate (Art. 82 GDPR) subzistă independent de clauzele acestui DPA și nu poate fi exclusă sau limitată prin contract. Clientul, ca operator, răspunde pentru prelucrarea neconformă cu GDPR; Vocalyy, ca persoană împuternicită, răspunde dacă nu și-a respectat obligațiile specifice sau a acționat contrar instrucțiunilor legale ale Clientului. Dacă mai multe părți sunt implicate în aceeași prelucrare care a cauzat un prejudiciu, poate exista răspundere solidară, conform Art. 82(4) GDPR.
• Răspunderea comercială a Vocalyy față de Client pentru orice cerere legată de acest DPA sau de Serviciu este plafonată la suma taxelor plătite de Client în ultimele 12 luni, conform limitării de răspundere din Termenii și Condiții.
• Acest plafon nu se aplică în caz de dol (intenție) sau culpă gravă, conform Art. 1355 alin. 1 din Codul civil.
• Vătămarea integrității fizice/psihice sau a sănătății unei persoane nu poate fi exclusă sau limitată prin contract (Art. 1355 alin. 3 Cod civil). Cu privire la acest tip de prejudiciu, precizăm: Vocalyy este exclusiv un instrument de comunicare, nu un serviciu medical, de urgență, juridic sau de consiliere. Vocalyy nu are obligația de a preveni sau de a răspunde la o urgență a unui terț apărută în cursul unui apel. Vocalyy garantează configurarea, mentenanța și conectivitatea agentului vocal ca obligație de mijloace, nu de rezultat. Protecția Vocalyy în astfel de situații rezultă din absența unei obligații de rezultat și din lipsa raportului de cauzalitate (Art. 1357 Cod civil) între serviciul furnizat și un eventual prejudiciu al unui terț, nu dintr-o clauză contractuală de excludere a răspunderii.
• Întreruperile de serviciu cauzate de furnizori din amonte (inclusiv sub-procesatori) sunt supuse regulilor de forță majoră (Art. 1351 Cod civil).

EN

• Liability toward data subjects (Art. 82 GDPR) subsists independently of the clauses of this DPA and cannot be excluded or limited by contract. The Client, as controller, is liable for processing that does not comply with GDPR; Vocalyy, as processor, is liable where it has not complied with its specific obligations or has acted contrary to the Client's lawful instructions. Where multiple parties are involved in the same processing that caused damage, joint and several liability may apply under Art. 82(4) GDPR.
• Commercial liability of Vocalyy to the Client for any claim related to this DPA or the Service is capped at the fees paid by the Client in the preceding 12 months, consistent with the liability limitation in the Terms of Service.
• This cap does not apply in cases of intent (dol) or gross negligence, under Art. 1355(1) of the Civil Code.
• Harm to a person's physical or mental integrity or health cannot be excluded or limited by contract (Art. 1355(3) Civil Code). Regarding this type of harm, we clarify: Vocalyy is exclusively a communication tool, not a medical, emergency, legal, or advisory service. Vocalyy has no duty to prevent or respond to a third party's emergency arising during a call. Vocalyy warrants the configuration, maintenance, and connectivity of the voice agent as an obligation of means, not of result. Vocalyy's protection in such situations arises from the absence of a duty of result and from the lack of a causal link (Art. 1357 Civil Code) between the service provided and any harm to a third party — not from a contractual exclusion clause.
• Service interruptions caused by upstream providers (including sub-processors) are subject to the force majeure rules (Art. 1351 Civil Code).

8. Durata și încetarea / Term and Termination

RO

Acest DPA intră în vigoare la data activării abonamentului Clientului și rămâne în vigoare pe toată durata acestuia. Obligațiile privind confidențialitatea, securitatea și ștergerea/returnarea datelor (Secțiunea 4.7) supraviețuiesc încetării abonamentului, în măsura necesară pentru îndeplinirea lor. Încetarea abonamentului de bază (conform Termenilor și Condițiilor) atrage automat încetarea acestui DPA, sub rezerva obligațiilor supraviețuitoare menționate mai sus.

EN

This DPA takes effect on the date the Client's subscription is activated and remains in force for its duration. The obligations relating to confidentiality, security, and deletion/return of data (Section 4.7) survive termination of the subscription, to the extent necessary for their fulfilment. Termination of the underlying subscription (under the Terms of Service) automatically terminates this DPA, subject to the surviving obligations noted above.

9. Semnături / Signatures

RO

Câmp	D.O.D.O. OFFICE OUTLET S.R.L.	[Denumire Client]
Denumire	D.O.D.O. OFFICE OUTLET S.R.L. (marca Vocalyy)
Reprezentat de	Olaru Ciprian Valentin
Funcție	Administrator
Data
Semnătura (nume tastat sau scris de mână)

EN

Field	D.O.D.O. OFFICE OUTLET S.R.L.	[Client Name]
Name	D.O.D.O. OFFICE OUTLET S.R.L. (Vocalyy brand)
Represented by	Olaru Ciprian Valentin
Title	Administrator
Date
Signature (typed or handwritten name)

Anexa A — Lista Sub-procesatorilor / Annex A — Sub-processor List

RO

Lista completă și actualizată se găsește și la Lista Sub-procesatorilor. O reproducem aici pentru ca acest DPA să fie complet, de sine stătător.

EN

The complete, up-to-date list is also available at the Sub-processor List. It is reproduced here so this DPA is complete and self-contained.

Furnizor / Provider	Serviciu / Service	Categorii de date / Data categories	Locație / Location	Mecanism transfer / Transfer mechanism
ElevenLabs, Inc. [denumire juridică exactă și sediu social — de confirmat / exact registered name and address — to be confirmed]	AI vocal (STT Scribe + TTS); procesare în tranzit. Vocalyy nu folosește stocarea ElevenLabs pentru înregistrări; retenția proprie a ElevenLabs e guvernată de DPA-ul lor (sec. 9.2) / Voice AI (STT Scribe + TTS); transit processing. Vocalyy does not use ElevenLabs storage for recordings; ElevenLabs' own retention is governed by their DPA (sec. 9.2)	Voce/audio, transcriere în tranzit / Voice/audio, transcript in transit	SUA (statul New York) / USA (State of New York)	SCC (încorporate în DPA-ul ElevenLabs) / SCC (incorporated in the ElevenLabs DPA)
Telnyx LLC	Telefonie / rutare apeluri / Telephony / call routing	Număr de telefon, audio în tranzit, metadate apel / Phone number, audio in transit, call metadata	SUA (cu opțiune reședință UE) / USA (EU residency option)	DPF
Anthropic PBC	Generarea asistată de răspunsuri la tichetele de suport / AI-assisted drafting of support-ticket replies	Conținutul mesajelor de suport transmise de Client / Content of support messages submitted by the Client	SUA / USA	DPF
OpenAI, L.L.C.	Motor conversațional voce-la-voce (API Realtime, GPT-4o) pentru unii agenți; sinteză vocală; embeddings pentru baza de cunoștințe / Integrated voice-to-voice engine (Realtime API, GPT-4o family) for some agents; text-to-speech; knowledge-base embeddings	Voce/audio, transcriere, conținut conversație / Voice/audio, transcript, conversation content	SUA / USA	DPF sau SCC / DPF or SCC
Deepgram, Inc.	Transcriere vocală (furnizor alternativ, activabil per agent) / Speech-to-text (alternative provider, enabled per agent)	Voce/audio, transcriere în tranzit / Voice/audio, transcript in transit	SUA / USA	SCC
Supabase Inc.	Bază de date PostgreSQL + autentificare + stocare (inclusiv înregistrările audio ale apelurilor, bucket „call-recordings", păstrate 30 de zile) / PostgreSQL database + authentication + storage (incl. call audio recordings, "call-recordings" bucket, kept for 30 days)	Date de cont, date operaționale, înregistrări audio / Account data, operational data, audio recordings	UE (Frankfurt)	N/A (în UE / within EU)
Render Services Inc.	Găzduire backend / Backend hosting	Date operaționale/aplicație / Operational/application data	SUA / USA	DPF [de reconfirmat dacă încă în uz / to reconfirm if still in use]
Resend	Email tranzacțional / Transactional email	Adrese email, conținut notificări / Email addresses, notification content	SUA / USA	SCC-DPF [de reconfirmat dacă încă în uz / to reconfirm if still in use]
Cal.com Inc.	Verificarea programărilor — sub-procesator opțional, activat exclusiv dacă și când Clientul își conectează propriul cont; cheia de acces este retransmisă, niciodată stocată de Vocalyy / Booking lookup — optional sub-processor, activated only if and when the Client connects their own account; the access key is relayed, never stored by Vocalyy	Date de contact și de programare / Contact and booking data	UE / SUA	SCC
Stripe Payments Europe Ltd.	Plăți / Payments	Date de facturare/plată / Billing/payment data	UE (Irlanda)	N/A (în UE / within EU) [de reconfirmat dacă încă în uz / to reconfirm if still in use]
Google LLC	Google Workspace Calendar și Sheets (OAuth) — sub-procesator opțional, activat exclusiv dacă și când Clientul își conectează propriul cont Google	Date de calendar/programare / Calendar/scheduling data	SUA / USA	DPF [de reconfirmat dacă încă în uz / to reconfirm if still in use]

Singurul element rămas necompletat este denumirea juridică exactă și sediul social al ElevenLabs, care vor fi preluate din documentele de facturare ale furnizorului. / The only outstanding item is ElevenLabs’ exact registered name and address, which will be taken from the provider’s billing documents.

Anexa B — Rezumatul măsurilor de securitate / Annex B — Security Measures Summary

RO

• Criptarea datelor în tranzit (TLS)
• Control al accesului bazat pe roluri, limitat la personalul autorizat
• Stocarea securizată a credențialelor (hashing)
• Monitorizare și jurnalizare (logging) a accesului la date sensibile
• Contracte de prelucrare semnate cu toți sub-procesatorii din Anexa A
• Proceduri de notificare a incidentelor de securitate în maxim 48 de ore către Client

EN

• Encryption of data in transit (TLS)
• Role-based access control, limited to authorized personnel
• Secure credential storage (hashing)
• Monitoring and logging of access to sensitive data
• Signed processing agreements with all sub-processors listed in Annex A
• Security incident notification procedures within 48 hours to the Client

10. Notă finală / Closing Note

Pagini conexe / Related pages: Politica de Confidențialitate · Termeni și Condiții · Politica de Retenție · Lista Sub-procesatorilor · Despre Sistemul AI