Acord de Prelucrare a Datelor (DPA)

Data Processing Agreement (DPA)

1. Introducere / Introduction

RO

Acest Acord de Prelucrare a Datelor ("DPA") reglementează prelucrarea datelor cu caracter personal ale apelanților — clienții, pacienții sau potențialii clienți ai afacerii care contractează serviciul Vocalyy ("Clientul") — de către Vocalyy SRL în calitate de persoană împuternicită, în conformitate cu Articolul 28 din Regulamentul (UE) 2016/679 ("GDPR").

Acest DPA se aplică automat oricărui abonament B2B la serviciul Vocalyy și este încorporat prin referință în Termenii și Condițiile Vocalyy, formând parte integrantă a relației contractuale dintre părți, cu excepția cazului în care Clientul și Vocalyy semnează un DPA negociat separat, caz în care acesta din urmă prevalează.

Acest DPA nu guvernează prelucrarea datelor proprii ale Clientului (persoană de contact, reprezentant legal, date de facturare, date de cont) — acestea sunt tratate în Politica de Confidențialitate, unde Vocalyy acționează ca operator.

EN

This Data Processing Agreement ("DPA") governs the processing of personal data of callers — the customers, patients, or prospective customers of the business that contracts the Vocalyy service ("Client") — by Vocalyy SRL acting as processor, in accordance with Article 28 of Regulation (EU) 2016/679 ("GDPR").

This DPA applies automatically to every B2B subscription to the Vocalyy service and is incorporated by reference into Vocalyy's Terms of Service, forming an integral part of the contractual relationship between the parties, unless the Client and Vocalyy sign a separately negotiated DPA, in which case the latter prevails.

This DPA does not govern the processing of the Client's own data (contact person, legal representative, billing data, account data) — that is addressed in the Privacy Policy, where Vocalyy acts as controller.

2. Definiții / Definitions

RO

• Operator / Controller — Clientul care contractează serviciul Vocalyy și care stabilește scopurile și mijloacele prelucrării datelor apelanților săi.
• Persoană împuternicită / Processor — Vocalyy SRL, care prelucrează datele apelanților exclusiv pe baza instrucțiunilor documentate ale Clientului.
• Persoane vizate / Data Subjects — apelanții, adică persoanele fizice care sună sau sunt sunate prin agentul vocal AI configurat de Vocalyy pentru Client.
• Date cu caracter personal / Personal Data — orice informație referitoare la o persoană fizică identificată sau identificabilă, conform Art. 4(1) GDPR, procesată în cadrul serviciului.
• Sub-împuterniciți / Sub-processors — terții pe care Vocalyy îi folosește pentru a furniza serviciul și care prelucrează, la rândul lor, date ale apelanților în numele Vocalyy (listați în Anexa A).

EN

• Controller (Operator) — the Client that contracts the Vocalyy service and determines the purposes and means of processing its callers' data.
• Processor (Persoană împuternicită) — Vocalyy SRL, which processes callers' data solely on the Client's documented instructions.
• Data Subjects (Persoane vizate) — the callers, i.e. the individuals who call or are called through the AI voice agent configured by Vocalyy for the Client.
• Personal Data (Date cu caracter personal) — any information relating to an identified or identifiable natural person, per Art. 4(1) GDPR, processed within the service.
• Sub-processors (Sub-împuterniciți) — the third parties Vocalyy uses to provide the service and which, in turn, process callers' data on Vocalyy's behalf (listed in Annex A).

3. Obiect, durată, natură și scop al prelucrării / Subject Matter, Duration, Nature and Purpose of Processing

RO

Conform cerințelor Art. 28(3) GDPR, contractul de prelucrare trebuie să specifice obiectul, durata, natura și scopul prelucrării, tipul de date și categoriile de persoane vizate.

Element	Descriere
Obiectul prelucrării	Furnizarea serviciului de agent vocal AI care preia și gestionează apelurile telefonice ale afacerii Clientului.
Durata prelucrării	Pe toată durata abonamentului activ al Clientului, plus perioadele de retenție post-contract descrise în Politica de Retenție.
Natura prelucrării	Colectare, stocare, afișare în dashboard, transcriere automată, transmitere către sub-procesatori, ștergere la expirarea retenției.
Scopul prelucrării	Preluarea apelurilor primite/efectuate în numele Clientului, generarea de răspunsuri conversaționale, programări, raportare către Client prin dashboard.
Categorii de persoane vizate	Apelanții — clienții, pacienții sau potențialii clienți ai Clientului care interacționează cu agentul vocal.

3.1 Ce date prelucrează Vocalyy despre apelanți / What Data Vocalyy Processes About Callers

RO: Vocalyy stochează și afișează în dashboard-ul Clientului: numărul de telefon al apelantului (secțiunea "Istorie apeluri"), metadate ale apelului (dată, oră, durată), și transcrierea completă a conversației (secțiunea "Transcriere apel") — stocată și afișată integral, nu anonimizată automat.

EN: Vocalyy stores and displays in the Client's dashboard the caller's phone number ("Call History" section), call metadata (date, time, duration), and the full conversation transcript ("Call Transcript" section) — stored and displayed in full, not automatically anonymized.

3.2 Perioadele de retenție aplicabile / Applicable Retention Periods

RO/EN: Perioadele exacte de retenție sunt publicate în Politica de Retenție / Retention Policy, parte integrantă din acest DPA prin referință. La data redactării, unele perioade sunt încă în curs de confirmare. / Exact retention periods are published in the Retention Policy, an integral part of this DPA by reference. As of drafting, some periods are still being finalized.

4. Obligațiile persoanei împuternicite (Vocalyy) / Processor Obligations

Structurate conform Art. 28(3)(a)-(h) GDPR.

4.1 (a) Instrucțiuni documentate / Documented instructions

Vocalyy prelucrează datele apelanților exclusiv pe baza instrucțiunilor documentate ale Clientului, cu excepția obligațiilor legale ale UE/statului membru, caz în care Clientul este informat în prealabil. / Vocalyy processes callers' data solely on the Client's documented instructions, unless required otherwise by EU or Member State law, in which case the Client is informed beforehand.

4.2 (b) Confidențialitate / Confidentiality

Persoanele autorizate să proceseze datele s-au angajat la confidențialitate. / Authorized personnel are bound by confidentiality obligations.

4.3 (c) Securitate — Art. 32 GDPR / Security — Art. 32 GDPR

Măsuri tehnice și organizatorice: criptare în tranzit, control acces bazat pe roluri, hashing credențiale, monitorizare. Detalii în Anexa B. / Technical and organizational measures: encryption in transit, role-based access control, credential hashing, monitoring. Details in Annex B.

4.4 (d) Sub-împuternicire / Sub-processing

Clientul acordă Vocalyy autorizație generală scrisă pentru sub-procesatorii din Anexa A, cu notificare de minim 30 de zile pentru orice modificare și drept de opoziție al Clientului. / The Client grants Vocalyy general written authorization for the sub-processors in Annex A, with at least 30 days' notice of any change and the Client's right to object.

4.5 (e) Drepturile persoanelor vizate / Data subject rights

Vocalyy asistă Clientul pentru cererile Art. 15-22 GDPR; cererile primite direct sunt redirecționate către Client. / Vocalyy assists the Client with Art. 15-22 GDPR requests; requests received directly are forwarded to the Client.

4.6 (f) Asistență Art. 32-36 / Assistance with Art. 32-36

În caz de încălcare a securității, Vocalyy notifică Clientul în maxim 48 de ore, pentru a permite respectarea termenului de 72 de ore al Clientului către ANSPDCP (Art. 33 GDPR). / In case of a security breach, Vocalyy notifies the Client within 48 hours, to enable the Client's own 72-hour notification obligation to ANSPDCP (Art. 33 GDPR).

4.7 (g) Ștergere/returnare la final / Deletion or return at contract end

La încetare, Vocalyy șterge sau returnează datele apelanților în 30 de zile, cu excepția obligațiilor legale (ex. date de facturare ale Clientului, 5 ani conform Art. 25 Legea 82/1991, modificată prin Legea 36/2023). / Upon termination, Vocalyy deletes or returns caller data within 30 days, except where legally required to retain it (e.g. the Client's own billing data, 5 years under Art. 25 of Law 82/1991, as amended by Law 36/2023).

4.8 (h) Audit

Vocalyy pune la dispoziție informațiile necesare pentru demonstrarea conformității și permite audituri rezonabile. / Vocalyy makes available information necessary to demonstrate compliance and allows reasonable audits.

5. Obligațiile și garanțiile operatorului (Clientul) / Controller Obligations and Warranties

RO

Clientul, în calitate de operator, garantează că:

• Deține temei juridic valid conform Art. 6(1) GDPR pentru prelucrarea datelor apelanților;
• Informează apelanții că interacționează cu un sistem AI, conform Informațiilor despre Sistemul AI și Art. 50(1) din Regulamentul (UE) 2024/1689, aplicabil din 2 august 2026;
• Deține temei juridic Art. 9 GDPR și îndeplinește Legea 190/2018 Art. 4 pentru date din categorii speciale sau CNP din transcrieri;
• Este responsabil pentru consimțământul apelanților și informarea acestora (Art. 13-14 GDPR);
• Furnizează instrucțiuni exacte și legale.

EN

The Client, as controller, warrants that it:

• Holds a valid legal basis under Art. 6(1) GDPR for processing callers' data;
• Informs callers they are interacting with an AI system, per the AI System Information page and Art. 50(1) of Regulation (EU) 2024/1689, applicable from 2 August 2026;
• Holds a valid basis under Art. 9 GDPR and meets Law 190/2018 Art. 4 for special-category data or CNP in transcripts;
• Is responsible for caller consent and informing them (Art. 13-14 GDPR);
• Provides accurate, lawful instructions.

6. Răspunderea pentru sub-procesatori / Sub-processor Liability

RO: Conform Art. 28(4) GDPR, dacă un sub-procesator nu respectă obligațiile de protecție a datelor, Vocalyy rămâne pe deplin răspunzătoare față de Client. Această răspundere e distinctă de răspunderea comercială pentru întreruperi (acoperită de forța majoră și plafonul comercial, Secțiunea 7).

EN: Under Art. 28(4) GDPR, if a sub-processor fails its data protection obligations, Vocalyy remains fully liable to the Client. This liability is distinct from commercial liability for service outages (covered by force majeure and the commercial cap, Section 7).

7. Clauza de răspundere / Liability Clause

• RO: Răspunderea față de persoanele vizate (Art. 82 GDPR) subzistă independent de acest DPA. Răspunderea comercială e plafonată la taxele din ultimele 12 luni (conform Termenilor). Plafonul nu se aplică dolului/culpei grave (Art. 1355 alin. 1 Cod civil). Vătămarea integrității/sănătății nu poate fi exclusă (Art. 1355 alin. 3) — Vocalyy este un instrument de comunicare, nu serviciu medical/de urgență, obligație de mijloace, apărare prin lipsa raportului de cauzalitate (Art. 1357), nu clauză de excludere. Întreruperile cauzate de furnizori din amonte intră sub forța majoră (Art. 1351).
• EN: Liability toward data subjects (Art. 82 GDPR) subsists independently of this DPA. Commercial liability is capped at the fees paid in the last 12 months (per the Terms). The cap does not apply to intent/gross negligence (Art. 1355(1) Civil Code). Harm to physical/mental integrity or health cannot be excluded (Art. 1355(3)) — Vocalyy is a communication tool, not a medical/emergency service, obligation of means, defended via lack of causal link (Art. 1357), not a contractual exclusion. Interruptions caused by upstream providers fall under force majeure (Art. 1351).

8. Durata și încetarea / Term and Termination

RO/EN: Acest DPA intră în vigoare la activarea abonamentului și rămâne în vigoare pe durata acestuia. Obligațiile de confidențialitate, securitate și ștergere supraviețuiesc încetării, în măsura necesară. / This DPA takes effect on subscription activation and remains in force for its duration. Confidentiality, security, and deletion obligations survive termination as needed.

9. Semnături / Signatures

RO

Câmp	Vocalyy SRL	[Denumire Client]
Denumire	Vocalyy SRL
Reprezentat de
Funcție
Data
Semnătura (nume tastat sau scris de mână)

EN

Field	Vocalyy SRL	[Client Name]
Name	Vocalyy SRL
Represented by
Title
Date
Signature (typed or handwritten name)

Anexa A — Sub-procesatori / Annex A — Sub-processors

RO/EN: Lista completă și actualizată: Lista Sub-procesatorilor / Sub-processor List. Reprodusă aici pentru un DPA de sine stătător. / The complete, up-to-date list is at the Sub-processor List page. Reproduced here so this DPA is self-contained.

Furnizor / Provider	Serviciu / Service	Categorii de date / Data categories	Locație / Location	Mecanism transfer / Transfer mechanism
ElevenLabs [entitate juridică — de confirmat / legal entity — to be confirmed]	AI vocal (STT+TTS); găzduiește audio-ul apelurilor / Voice AI; hosts call audio recordings	Voce/audio, transcriere în tranzit / Voice/audio, transcript in transit	[de confirmat / to be confirmed]	[DPF sau SCC — de confirmat / DPF or SCC — to be confirmed]
Telnyx LLC	Telefonie / rutare apeluri / Telephony / call routing	Număr de telefon, audio în tranzit, metadate / Phone number, audio in transit, call metadata	SUA (opțiune UE — de reconfirmat) / USA (EU residency option — to reconfirm)	DPF [de reconfirmat / to reconfirm]
Anthropic PBC	LLM (Claude) — generează răspunsurile / LLM (Claude) — generates responses	Conținutul transcrierii / Transcript content	[de reconfirmat / to reconfirm]	DPF [de reconfirmat / to reconfirm]
Supabase Inc.	Bază de date PostgreSQL + autentificare / PostgreSQL database + authentication	Date de cont, date operaționale / Account data, operational data	UE (Frankfurt)	N/A (în UE / within EU) [de reconfirmat / to reconfirm]
Render Services Inc.	Găzduire backend / Backend hosting	Date operaționale / Operational data	SUA / USA	DPF [de reconfirmat / to reconfirm]
Resend	Email tranzacțional / Transactional email	Adrese email / Email addresses	SUA / USA	SCC-DPF [de reconfirmat / to reconfirm]
Cal.com Inc.	Programare apeluri demo / Demo call scheduling	Date de contact / Contact data	UE / SUA	[de reconfirmat / to reconfirm]
Stripe Payments Europe Ltd.	Plăți / Payments	Date de facturare/plată / Billing/payment data	UE (Irlanda)	N/A (în UE / within EU) [de reconfirmat / to reconfirm]
Google LLC	Google Workspace Calendar OAuth	Date de calendar / Calendar data	SUA / USA	DPF [de reconfirmat / to reconfirm]
SmartBill SRL	Facturare (România) / Invoicing (Romania)	Date de facturare / Billing data	România / Romania	N/A (intern RO / domestic RO) [de reconfirmat / to reconfirm]

Elementele [de confirmat] urmează a fi confirmate de Vocalyy SRL. OpenAI, L.L.C. NU este și nu a fost folosit de Vocalyy. / Items marked [to be confirmed] are to be confirmed by Vocalyy SRL. OpenAI, L.L.C. is NOT and has NOT been used by Vocalyy.

Anexa B — Măsuri de securitate / Annex B — Security Measures

• Criptarea datelor în tranzit (TLS) / Encryption of data in transit (TLS)
• Control acces bazat pe roluri / Role-based access control
• Stocare securizată a credențialelor (hashing) / Secure credential storage (hashing)
• Monitorizare și jurnalizare acces / Monitoring and access logging
• Contracte de prelucrare cu toți sub-procesatorii din Anexa A / Signed processing agreements with all Annex A sub-processors
• Notificare incidente în maxim 48 de ore / Incident notification within 48 hours

10. Notă finală / Closing Note

Acest document a fost redactat cu asistență informatizată pe baza informațiilor disponibile la data redactării și nu reprezintă consultanță juridică oferită de un avocat licențiat. Vocalyy SRL recomandă revizuirea acestui document de către un avocat specializat în protecția datelor înainte de publicare, semnare sau utilizare în relația cu clienții.

This document was drafted with computer assistance based on information available at the time of drafting and does not constitute legal advice from a licensed attorney. Vocalyy SRL recommends that this document be reviewed by an attorney specializing in data protection before publication, signature, or use in client relationships.

Pagini conexe / Related pages: Privacy Policy · Terms and Conditions · Retention Policy · Sub-processor List · AI System Information