DECLARAȚIA PRIVIND PRELUCRAREA DATELOR CU CARACTER PERSONAL

Protecția datelor cu caracter personal reprezintă o prioritate și o obligație legală pentru compania noastră. În conformitate cu Regulamentul (UE) 2016/679 (GDPR), orice operator trebuie să informeze persoanele vizate cu privire la modul în care datele acestora sunt colectate, utilizate, stocate și protejate.

SDA SERVICII DE DEPOZITARE SI ARHIVARE SRL, cu sediul în Str. 13 Decembrie nr. 96A, 500164 Brașov, România, înregistrată la Registrul Comerțului sub nr. J08/927/2007, CUI RO21472219 (denumită în continuare „SDA” sau „Compania”), vă informează prin prezenta declarație cu privire la prelucrarea datelor dumneavoastră cu caracter personal, atât în calitate de operator de date, cât și în calitate de persoană împuternicită de operator pentru serviciile de arhivare prestate clienților săi (a se vedea secțiunea 3).

1. Ce sunt datele cu caracter personal și prelucrarea acestora

Date cu caracter personal: orice informații privind o persoană fizică identificată sau identificabilă (nume, prenume, adresă poștală, adresă de e-mail, număr de telefon, semnătură, informații financiare/bancare, adresă IP, înregistrări video din incintele securizate SDA sau înregistrări ale sesiunilor de suport tehnic realizate cu informarea prealabilă a utilizatorului, precum și orice alte date necesare furnizării serviciilor contractate).
Prelucrare: orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal (colectare, înregistrare, organizare, structurare, stocare, adaptare, modificare, extragere, consultare, utilizare, divulgare prin transmitere, diseminare, combinare, restricționare, ștergere sau distrugere).

2. Sursele și modalitățile de colectare a datelor

Datele sunt colectate direct de la dumneavoastră sau prin intermediul interacțiunilor pe website-ul www.sda.ro și în aplicațiile SDA.

A. Colectarea directă

Solicitări de ofertă, contractare și comenzi: transmiterea unei solicitări sau plasarea unei comenzi de servicii presupune furnizarea numelui, prenumelui, adresei, adresei de e-mail, datelor de facturare și a altor informații necesare livrării și executării contractului. Furnizarea datelor strict necesare contractării și facturării este necesară pentru încheierea și executarea contractului — fără acestea serviciile nu pot fi prestate; furnizarea altor date suplimentare este opțională.
Servicii de asistență tehnică și relații cu clienții: pentru soluționarea solicitărilor, vă putem solicita numărul de telefon, adresa de e-mail sau alte detalii relevante. Sesiunile de asistență la distanță sau apelurile pot fi înregistrate exclusiv cu informarea prealabilă a interlocutorului.
Newsletter și comunicări de marketing: colectarea adresei de e-mail se realizează exclusiv pe baza consimțământului liber exprimat, prelucrarea încetând automat la revocarea acestuia (dezabonare).
Operațiuni de plată: plățile efectuate prin instrumente electronice sau bancare sunt procesate securizat prin intermediul partenerilor noștri bancari/procesatorilor de plăți autorizați.

B. Colectarea prin date de trafic și navigare

La accesarea site-ului www.sda.ro sunt înregistrate automat informații tehnice de trafic (adresa IP, data și ora accesării, tipul de browser, paginile vizitate). Aceste date sunt utilizate exclusiv pentru menținerea securității platformei, optimizarea performanțelor tehnice și prevenirea fraudelor.

C. Module cookie și tehnologii similare

Cookie-uri strict necesare (tehnice): utilizate pentru menținerea sesiunii de autentificare, securitatea navigării și salvarea preferințelor de confidențialitate (nu necesită consimțământ prealabil).
Cookie-uri de analiză statistică (ex. Google Analytics) și marketing: utilizate exclusiv pe baza consimțământului prealabil acordat prin intermediul modulului de gestionare a preferințelor de cookie-uri disponibil pe site.

3. SDA în calitate de persoană împuternicită de operator (art. 28 GDPR)

Pentru documentele fizice, fișierele digitale și bazele de date încredințate de către clienții noștri în vederea depozitării, arhivării fizice, scanării/digitalizării sau distrugerii securizate:

SDA acționează exclusiv în calitate de persoană împuternicită de operator, conform art. 28 din Regulamentul (UE) 2016/679.
Prelucrarea se realizează strict pe baza instrucțiunilor documentate ale clientului (operatorul de date), conform contractului de prestări servicii și a Acordului de Prelucrare a Datelor (DPA) încheiat între părți.
SDA aplică măsurile tehnice și organizatorice descrise în secțiunea 8 pentru garantarea securității și confidențialității arhivei și acordă asistență clientului-operator în soluționarea cererilor persoanelor vizate.
Persoanele vizate ale căror date se regăsesc în arhivele încredințate SDA își exercită drepturile direct față de clientul-operator; SDA transmite prompt către acesta orice solicitare primită în mod direct.

4. Scopurile și temeiurile juridice ale prelucrării

Încheierea și executarea contractului (art. 6 alin. (1) lit. b GDPR): preluarea solicitărilor de ofertă, emiterea comenzilor, prestarea serviciilor de arhivare/depozitare, comunicarea operațională și suportul tehnic.
Îndeplinirea obligațiilor legale (art. 6 alin. (1) lit. c GDPR): facturarea serviciilor, ținerea evidențelor financiar-contabile, arhivarea documentelor financiar-fiscale conform legislației naționale, precum și obligațiile ce decurg din legislația arhivistică aplicabilă.
Consimțământul persoanei vizate (art. 6 alin. (1) lit. a GDPR): transmiterea newsletterelor informative, comunicărilor de marketing direct, crearea de profiluri în scop de marketing și utilizarea cookie-urilor neesențiale (analiză/publicitate).
Interesul legitim al operatorului (art. 6 alin. (1) lit. f GDPR): asigurarea securității fizice a spațiilor de depozitare, inclusiv prin supraveghere video, și a securității platformelor informatice (considerentul 49 GDPR), protecția împotriva tentativelor de fraudă și constatarea, exercitarea sau apărarea unui drept în instanță.

5. Durata stocării datelor

Datele cu caracter personal sunt păstrate doar pe durata necesară îndeplinirii scopurilor pentru care au fost colectate:

Datele contractuale și de corespondență: pe perioada derulării contractului și ulterior pentru o perioadă de 3 ani (termenul general de prescripție extinctivă).
Documentele financiar-contabile și fiscale: 10 ani, conform prevederilor legislației financiar-fiscale din România.
Datele colectate pe bază de consimțământ (marketing/newsletter): până la retragerea consimțământului (exercitarea opțiunii de dezabonare).
Înregistrările de supraveghere video: păstrate pe o perioadă limitată, de regulă 30 de zile, cu excepția cazurilor în care sunt necesare pentru investigarea unui incident.
Datele din arhiva clienților (în regim de împuternicit): strict pe durata stabilită prin contractul de arhivare/depozitare încheiat cu clientul-operator și conform termenelor de păstrare prevăzute de legislația arhivistică.

La expirarea termenelor legale sau la atingerea scopului prelucrării, datele sunt șterse ireversibil sau distruse securizat conform procedurilor autorizate.

6. Destinatarii datelor cu caracter personal

Datele cu caracter personal colectate de SDA pot fi divulgate, strict în măsura necesității, către următoarele categorii de destinatari:

Furnizori de servicii IT și de mentenanță tehnică, precum și furnizori de servicii de securitate cibernetică, care acționează în calitate de persoane împuternicite, pe bază de contract;
Instituții bancare și procesatori autorizați de plăți;
Consultanți externi, auditori financiari și de certificare, avocați și experți contabili, sub obligație de confidențialitate;
Autorități publice, instanțe judecătorești sau organe de control ale statului, exclusiv în baza unei obligații legale exprese.

7. Transferul internațional de date

Datele cu caracter personal sunt stocate și prelucrate exclusiv pe teritoriul României, în centrele de date proprii ale SDA.
SDA nu transferă date cu caracter personal în afara Spațiului Economic European (SEE).
În situația excepțională în care un transfer internațional ar deveni necesar, acesta se va efectua exclusiv pe baza unor garanții adecvate (decizii de adecvare ale Comisiei Europene sau Clauze Contractuale Standard – SCC, conform art. 44–49 GDPR), cu informarea prealabilă a persoanelor vizate.

8. Măsuri tehnice și organizatorice de securitate

Sistemul de management al securității informației implementat de SDA este certificat conform standardului internațional ISO/IEC 27001 și este auditat extern periodic. Măsurile aplicate includ:

Controlul accesului și autentificare: accesul la aplicații și baze de date este restricționat pe bază de roluri (principiul privilegiului minim) și protejat prin autentificare cu factor multiplu (MFA);
Protecția aplicațiilor: politică de parole cu cerințe de lungime și complexitate, stocarea parolelor exclusiv sub formă de valori hash ireversibile, blocarea conturilor după încercări repetate eșuate și mecanisme de protecție împotriva accesului automatizat;
Jurnalizare completă (audit log): înregistrarea automată a oricărei acțiuni de accesare, extragere sau modificare a datelor (utilizator, dată, oră, operațiune), cu acces restricționat la jurnale;
Criptare: criptarea datelor atât la nivel de stocare, cât și în tranzit, prin protocoale securizate (HTTPS/TLS și tuneluri VPN criptate între sedii);
Copii de siguranță (backup): proceduri zilnice de backup criptat, replicate într-un centru de date secundar, aflat într-o locație diferită;
Securitate fizică: depozitele de arhivă și camerele serverelor sunt monitorizate video, cu acces controlat, restricționat la personalul autorizat, și sunt dotate cu sisteme de detecție și stingere a incendiilor;
Gestionarea incidentelor: proceduri documentate de identificare, analiză și soluționare a incidentelor de securitate, inclusiv notificarea autorității de supraveghere și a persoanelor vizate în cazurile și termenele prevăzute de art. 33 și 34 GDPR;
Politici și instruire: personalul SDA este instruit periodic cu privire la cerințele GDPR și semnează acorduri stricte de confidențialitate.

9. Drepturile persoanelor vizate

Conform Regulamentului (UE) 2016/679, beneficiați de următoarele drepturi:

Dreptul de a fi informat (art. 13 și 14 GDPR): dreptul de a primi informații privind prelucrarea datelor dumneavoastră, inclusiv prin prezenta declarație;
Dreptul de acces (art. 15 GDPR): dreptul de a obține confirmarea dacă vă prelucrăm datele și o copie a acestora;
Dreptul la rectificare (art. 16 GDPR): dreptul de a solicita corectarea sau completarea datelor inexacte;
Dreptul la ștergerea datelor / „dreptul de a fi uitat” (art. 17 GDPR): dreptul de a cere ștergerea datelor în cazurile prevăzute de lege (exceptând obligațiile legale de păstrare);
Dreptul la restricționarea prelucrării (art. 18 GDPR): dreptul de a limita prelucrarea în anumite condiții specifice;
Dreptul la portabilitatea datelor (art. 20 GDPR): dreptul de a primi datele furnizate într-un format structurat, utilizat în mod curent și lizibil automat;
Dreptul la opoziție (art. 21 GDPR): dreptul de a vă opune în orice moment prelucrării întemeiate pe interes legitim sau în scop de marketing direct;
Dreptul de a retrage consimțământul: în orice moment, fără a afecta legalitatea prelucrării efectuate anterior retragerii;
Dreptul de a depune o plângere la autoritatea de supraveghere și dreptul de a vă adresa instanțelor judecătorești competente.

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

B-dul G-ral. Gheorghe Magheru nr. 28-30, Sector 1, cod poștal 010336, București, România E-mail: anspdcp@dataprotection.ro | Website: www.dataprotection.ro

10. Exercitarea drepturilor și date de contact

Pentru exercitarea oricăruia dintre drepturile menționate mai sus sau pentru orice întrebări legate de prelucrarea datelor dumneavoastră, ne puteți contacta:

E-mail dedicat protecției datelor: dpo@sda.ro
Adresă poștală: SDA SERVICII DE DEPOZITARE SI ARHIVARE SRL, Str. 13 Decembrie nr. 96A, 500164 Brașov, România (în atenția Responsabilului cu Protecția Datelor)

Termenul de răspuns la cererile persoanelor vizate este de cel mult o lună de la primirea solicitării, cu posibilitatea prelungirii cu cel mult două luni în cazul cererilor complexe sau numeroase, cu informarea dumneavoastră în termen de o lună asupra motivelor prelungirii, conform art. 12 alin. (3) GDPR.

11. Modificarea prezentei declarații

SDA își rezervă dreptul de a actualiza periodic prezenta declarație pentru a reflecta modificările legislative sau schimbările survenite în procesele noastre operaționale. Versiunea actualizată va fi publicată pe site-ul www.sda.ro cu indicarea datei ultimei revizuiri. În cazul unor modificări substanțiale care vă afectează drepturile, vă vom înștiința prin e-mail sau printr-o notificare vizibilă pe site înainte de intrarea acestora în vigoare.

Data ultimei actualizări: 19 august 2026