Act adițional privind prelucrarea datelor

Realytics Corp Limited

Ultima actualizare: 5 august 2026 | În vigoare din: 5 august 2026

Prezentul Act adițional privind prelucrarea datelor și Anexele sale („DPA”) reflectă acordul dintre Realytics și Client (astfel cum sunt definiți mai jos), împreună „Părțile” („Parties”), cu privire la Prelucrarea Datelor cu caracter personal ale Clientului în temeiul termenilor și condițiilor de utilizare, al contractului de abonament, al formularului de comandă sau al oricărui alt acord scris ori electronic încheiat între Părți care face trimitere la prezentul DPA („Contractul” („Agreement”)).

Prezentul DPA este încorporat în Contract și face parte integrantă din acesta fără a fi necesară vreo semnătură suplimentară din partea vreuneia dintre Părți. O copie care poate fi semnată este disponibilă la cerere, la adresa , pentru Clienții ale căror proceduri interne impun acest lucru.

În caz de conflict între prezentul DPA și Contract, prevalează prezentul DPA. În caz de conflict între prezentul DPA și Clauzele contractuale standard menționate la Secțiunea 9, prevalează Clauzele contractuale standard.

1. Definiții

Termenii scriși cu majusculă care nu sunt definiți aici au sensul care le este atribuit în Contract.

„Afiliat” („Affiliate”) înseamnă o entitate care deține sau controlează entitatea în cauză, este deținută sau controlată de aceasta ori se află sub proprietate sau control comun cu aceasta, unde „control” înseamnă puterea de a conduce administrarea sau afacerile unei entități, iar „deținere” înseamnă deținerea beneficiară a cincizeci la sută (50%) sau mai mult din titlurile de valoare cu drept de vot ori din drepturile de vot echivalente.

„Legislația aplicabilă privind protecția datelor” („Applicable Data Protection Law”) înseamnă întreaga legislație referitoare la protecția datelor și la viața privată aplicabilă Prelucrării în temeiul prezentului DPA, inclusiv Legislația europeană privind protecția datelor, CCPA, Virginia Consumer Data Protection Act, Colorado Privacy Act, Connecticut Data Privacy Act, Utah Consumer Privacy Act, precum și alte legi statale aplicabile din Statele Unite privind viața privată.

„CCPA” înseamnă California Consumer Privacy Act, astfel cum a fost modificată prin California Privacy Rights Act, împreună cu normele sale de aplicare.

„Operator” („Controller”) înseamnă entitatea care stabilește scopurile și mijloacele Prelucrării Datelor cu caracter personal, inclusiv o „întreprindere” („business”), astfel cum acest termen este definit în Legislația aplicabilă privind protecția datelor.

„Client” („Customer”) înseamnă entitatea care încheie Contractul cu Realytics pentru accesul la Servicii sau pentru utilizarea acestora.

„Datele cu caracter personal ale Clientului” („Customer Personal Data”) înseamnă Datele cu caracter personal descrise în Anexa I pe care Clientul sau Utilizatorii săi Autorizați le transmit către Servicii, le încarcă în Servicii ori le fac accesibile prin intermediul Serviciilor, sau pe care Realytics le Prelucrează în numele Clientului în temeiul Contractului și în privința cărora Clientul este fie Operator, fie Persoană împuternicită de operator care acționează în numele unui Operator terț.

„Persoană vizată” („Data Subject”), „a Prelucra” („Process”), „Prelucrat” („Processed”) și „Prelucrare” („Processing”) au fiecare sensul atribuit în Legislația aplicabilă privind protecția datelor.

„Date la nivel de unitate” („Establishment-Level Data”) înseamnă date care se referă la o afacere, un brand, un magazin, o sucursală, un punct de vânzare, un local sau la o altă locație comercială ori persoană juridică și care nu sunt utilizate de Realytics pentru a identifica, a individualiza sau a construi profilul vreunei persoane fizice.

„Legislația europeană privind protecția datelor” („European Data Protection Laws”) înseamnă GDPR, legea Regatului Unit privind protecția datelor din 2018 (Data Protection Act 2018) împreună cu UK GDPR, precum și Legea federală elvețiană privind protecția datelor, fiecare astfel cum a fost modificată sau înlocuită.

„GDPR” înseamnă Regulamentul (UE) 2016/679, precum și același regulament astfel cum a fost încorporat în dreptul Regatului Unit.

„Date cu caracter personal” („Personal Data”) înseamnă date cu caracter personal sau informații cu caracter personal, astfel cum sunt definite în Legislația aplicabilă privind protecția datelor.

„Încălcarea securității Datelor cu caracter personal” („Personal Data Breach”) înseamnă o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea sau divulgarea neautorizată a Datelor cu caracter personal transmise, stocate ori Prelucrate în alt mod, sau la accesul neautorizat la acestea.

„Persoana împuternicită de operator” („Processor”) înseamnă entitatea care Prelucrează Date cu caracter personal în numele unui Operator, inclusiv un „furnizor de servicii” („service provider”), astfel cum acest termen este definit în Legislația aplicabilă privind protecția datelor.

„Realytics” înseamnă Realytics Corp Limited, societate înregistrată în Cipru sub numărul HE424817, cu sediul social la 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus, sau, în cazul în care Contractul este încheiat cu Reality Analytics, Inc., acea entitate.

„Autoritate de reglementare” („Regulator”) înseamnă autoritatea de supraveghere sau de aplicare a legii care are competență asupra Prelucrării.

„Servicii” („Services”) înseamnă serviciile furnizate de Realytics Clientului în temeiul Contractului.

„Clauzele contractuale standard” („Standard Contractual Clauses”) sau „SCC” înseamnă clauzele contractuale standard aprobate prin Decizia de punere în aplicare (UE) 2021/914 a Comisiei din 4 iunie 2021.

„Subîmputernicit” („Sub-Processor”) înseamnă orice Persoană împuternicită de operator angajată de Realytics, inclusiv un Afiliat Realytics, pentru a Prelucra Datele cu caracter personal ale Clientului.

2. Roluri și domeniu de aplicare

2.1 Rolul de Persoană împuternicită de operator. În ceea ce privește Datele cu caracter personal ale Clientului, Clientul este Operatorul, iar Realytics este Persoana împuternicită de operator. Atunci când Clientul acționează în calitate de Persoană împuternicită de operator în numele unui Operator terț, Realytics acționează în calitate de Subîmputernicit al Clientului, iar Clientul răspunde de asigurarea faptului că instrucțiunile sale către Realytics sunt autorizate de Operatorul relevant. Realytics va Prelucra Datele cu caracter personal ale Clientului numai astfel cum se prevede în prezentul DPA și în conformitate cu instrucțiunile Clientului.

2.2 Rolul de Operator. Realytics acționează în calitate de Operator, iar nu de Persoană împuternicită de operator, în ceea ce privește datele de înregistrare a contului, detaliile utilizatorilor autorizați, informațiile de facturare și de plată, corespondența de asistență, precum și datele de utilizare și de telemetrie ale Serviciilor, pe care Realytics le Prelucrează în scopul furnizării, securizării, susținerii, întreținerii și îmbunătățirii Serviciilor, al gestionării relației cu clientul, al prevenirii fraudelor, al continuității activității și al desfășurării funcțiilor esențiale de afaceri, precum contabilitatea, facturarea și conformitatea juridică. Prelucrarea acelor date de către Realytics în calitate de Operator este descrisă în Politica de confidențialitate Realytics și nu este guvernată de prezentul DPA.

2.3 Datele proprii ale Realytics. Seturile de date pe care Realytics le compilează, le licențiază sau le derivă independent de Client — inclusiv datele obținute prin explorarea automată a paginilor web accesibile publicului, seturile de date licențiate de la terți și Datele la nivel de unitate — nu constituie Date cu caracter personal ale Clientului și nu sunt guvernate de prezentul DPA, indiferent dacă sunt sau nu prezentate Clientului prin intermediul Serviciilor.

2.4 Afiliații Clientului. Atunci când Afiliații Clientului au achiziționat abonamente la Servicii direct în temeiul Contractului, prezentul DPA se aplică acelor abonamente, iar fiecare astfel de Afiliat este considerat Operator pentru propriile Date cu caracter personal ale Clientului. Clientul răspunde de coordonarea tuturor comunicărilor cu Realytics în temeiul prezentului DPA, în nume propriu și în numele Afiliaților săi, și are dreptul de a transmite și de a primi astfel de comunicări în numele acestora.

2.5 Durata. Realytics va Prelucra Datele cu caracter personal ale Clientului pe durata Contractului, iar ulterior numai în măsura permisă de Secțiunea 8.

3. Obligațiile Clientului

3.1 Clientul va Prelucra Datele cu caracter personal ale Clientului și va emite instrucțiuni către Realytics în conformitate cu Legislația aplicabilă privind protecția datelor. Clientul răspunde în exclusivitate de exactitatea, calitatea și legalitatea Datelor cu caracter personal ale Clientului, precum și de mijloacele prin care a obținut acele date.

3.2 Clientul garantează că deține toate drepturile necesare și un temei juridic valabil pentru a furniza Realytics Datele cu caracter personal ale Clientului în vederea Prelucrării avute în vedere de Contract. Atunci când Legislația aplicabilă privind protecția datelor impune acest lucru, Clientul răspunde de obținerea și de păstrarea unei evidențe a oricăror consimțăminte necesare ale Persoanelor vizate. În cazul retragerii unui consimțământ, Clientul răspunde de notificarea Realytics, iar Realytics rămâne responsabilă de punerea în aplicare a oricărei instrucțiuni rezultate, în conformitate cu prezentul DPA.

3.3 Date interzise. Clientul nu va transmite către Servicii și nu va permite Utilizatorilor săi Autorizați să transmită:

(a) categorii speciale de Date cu caracter personal în sensul articolului 9 din GDPR, respectiv date care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase sau filozofice, apartenența sindicală, date genetice, date biometrice prelucrate în scopul identificării, date privind sănătatea ori date privind viața sexuală sau orientarea sexuală a unei persoane fizice;

(b) Date cu caracter personal referitoare la condamnări penale sau la infracțiuni;

(c) Date cu caracter personal ale copiilor cu vârsta sub șaisprezece (16) ani; sau

(d) numere de card de plată, numere de cont financiar, numere de identificare emise de autoritățile publice ori date de geolocalizare precisă ale unei persoane fizice identificate.

Serviciile nu sunt concepute pentru a Prelucra datele descrise în prezenta Secțiune 3.3, iar Realytics nu are nicio obligație și nicio răspundere cu privire la astfel de date dacă acestea sunt transmise cu încălcarea prezentei Secțiuni.

3.4 Despăgubire. Clientul va apăra Realytics și Afiliații săi, îi va despăgubi și îi va exonera de răspundere pentru orice pretenție, cerere, procedură, amendă, pierdere sau cheltuială (inclusiv onorarii juridice rezonabile) care decurge din sau are legătură cu (a) Datele cu caracter personal ale Clientului pentru care Clientul nu a avut un temei legal sau drepturile necesare pentru a le furniza Realytics, (b) încălcarea de către Client a Secțiunii 3.3 sau (c) orice instrucțiune a Clientului care determină încălcarea de către Realytics a Legislației aplicabile privind protecția datelor, cu condiția ca Realytics să fi notificat Clientul în temeiul Secțiunii 4.1 litera (c) acolo unde a putut face acest lucru.

4. Obligațiile Realytics în calitate de Persoană împuternicită de operator

4.1 În măsura în care Realytics Prelucrează Datele cu caracter personal ale Clientului în numele Clientului, Realytics:

(a) va Prelucra Datele cu caracter personal ale Clientului numai pe baza instrucțiunilor documentate ale Clientului, care includ Contractul, prezentul DPA, configurarea și utilizarea Serviciilor de către Client, precum și orice altă instrucțiune scrisă rezonabilă, conformă cu prezentul DPA, inclusiv în privința transferurilor către țări terțe, cu excepția cazului în care acest lucru este impus pentru respectarea unei legi căreia Realytics îi este supusă;

(b) atunci când o lege impune o Prelucrare care nu se bazează pe instrucțiunile Clientului, va informa Clientul cu privire la acea cerință legală înainte de Prelucrare, cu excepția cazului în care legea interzice o astfel de divulgare;

(c) va informa prompt Clientul dacă, în opinia Realytics, o instrucțiune a Clientului încalcă Legislația aplicabilă privind protecția datelor;

(d) se va asigura că personalul autorizat să Prelucreze Datele cu caracter personal ale Clientului este ținut de o obligație de confidențialitate și va limita accesul la personalul care are nevoie de acesta pentru a furniza, susține sau securiza Serviciile; și

(e) va menține o politică scrisă de securitate a informațiilor care acoperă Prelucrarea Datelor cu caracter personal ale Clientului.

4.2 Restricții aplicabile furnizorului de servicii și persoanei împuternicite de operator. Realytics nu va:

(a) păstra, utiliza sau divulga Datele cu caracter personal ale Clientului altfel decât în măsura necesară pentru furnizarea Serviciilor și pentru executarea Contractului ori în alt mod permis de Legislația aplicabilă privind protecția datelor;

(b) păstra, utiliza sau divulga Datele cu caracter personal ale Clientului în afara relației comerciale directe dintre Realytics și Client;

(c) „vinde” („sell”) sau „partaja” („share”) Datele cu caracter personal ale Clientului, astfel cum acești termeni sunt definiți în Legislația aplicabilă privind protecția datelor; sau

(d) combina Datele cu caracter personal ale Clientului cu Date cu caracter personal primite de la sau în numele oricărei alte persoane ori colectate din interacțiunile proprii ale Realytics cu persoane fizice, cu excepția cazurilor permise de Secțiunea 5 sau în măsura necesară pentru furnizarea Serviciilor.

Părțile confirmă că divulgarea Datelor cu caracter personal ale Clientului de către Client către Realytics nu face parte din vreo contraprestație bănească sau altă contraprestație de valoare schimbată între Părți. Realytics va asigura Datelor cu caracter personal ale Clientului același nivel de protecție a vieții private care îi este impus Clientului de Legislația aplicabilă privind protecția datelor și va notifica Clientul dacă stabilește că nu își mai poate îndeplini obligațiile ce îi revin în temeiul Legislației aplicabile privind protecția datelor.

5. Analiza la nivel de unitate și îmbunătățirea serviciilor

5.1 Scop. Serviciile funcționează prin raportarea activității comerciale la nivelul unei afaceri, al unui brand sau al unei locații fizice. Realytics nu urmărește să identifice, să individualizeze, să creeze profiluri sau să ia decizii cu privire la persoane fizice individuale și nu încearcă să reidentifice persoane fizice în niciunul dintre seturile de date pe care le deține.

5.2 Utilizare permisă. Realytics poate utiliza Datele la nivel de unitate și datele agregate sau statistice derivate din funcționarea Serviciilor, inclusiv datele derivate din Datele cu caracter personal ale Clientului, pentru a furniza, securiza, întreține, analiza și îmbunătăți Serviciile, inclusiv pentru a dezvolta, antrena, testa și evalua modelele analitice și de învățare automată care fac parte din Servicii.

5.3 Limite. Realytics va utiliza date în temeiul Secțiunii 5.2 numai în măsura în care acestea au fost agregate sau reduse la Date la nivel de unitate, astfel încât să nu mai identifice și să nu mai poată fi utilizate în mod rezonabil pentru a identifica vreo persoană fizică și să nu mai identifice Clientul. Realytics nu va divulga niciunui alt client Datele cu caracter personal ale Clientului ca atare și niciun rezultat care identifică Clientul.

5.4 Date la nivel individual. Realytics nu deține și nu caută înregistrări la nivel individual privind persoane fizice în seturile de date care stau la baza Serviciilor.

5.5 Opoziție. Atunci când o Persoană vizată își exercită dreptul la opoziție în temeiul articolului 21 din GDPR cu privire la Prelucrarea efectuată în temeiul prezentei Secțiuni, Realytics va da efect acelei opoziții în conformitate cu Legislația aplicabilă privind protecția datelor.

6. Securitate

6.1 Ținând seama de stadiul actual al tehnologiei, de costurile implementării și de natura, domeniul de aplicare, contextul și scopurile Prelucrării, precum și de riscurile pentru Persoanele vizate, Realytics va implementa și va menține măsuri tehnice și organizatorice adecvate pentru a proteja Datele cu caracter personal ale Clientului împotriva unei Încălcări a securității Datelor cu caracter personal. Acele măsuri sunt descrise în Anexa II.

6.2 Realytics poate actualiza periodic măsurile prevăzute în Anexa II, cu condiția ca astfel de actualizări să nu conducă la o degradare semnificativă a securității generale a Serviciilor.

6.3 La cererea scrisă a Clientului și sub rezerva prevederilor de confidențialitate din Contract, Realytics va furniza informațiile rezonabil necesare pentru a demonstra conformitatea cu prezenta Secțiune 6, care pot include chestionare de securitate completate și, atunci când sunt disponibile, rezumate ale rapoartelor de audit sau ale certificărilor emise de terți, care pot fi redactate din motive de securitate sau de confidențialitate.

6.4 Audit. Atunci când Legislația aplicabilă privind protecția datelor impune acest lucru și atunci când informațiile furnizate în temeiul Secțiunii 6.3 nu sunt suficiente, Clientul poate solicita un audit al Prelucrării Datelor cu caracter personal ale Clientului de către Realytics. Un astfel de audit poate fi efectuat cel mult o dată în orice perioadă de douăsprezece (12) luni, necesită o notificare scrisă prealabilă de cel puțin treizeci (30) de zile și este condiționat de acordul prealabil al Părților cu privire la domeniul de aplicare, la momentul și la durata acestuia. Clientul suportă propriile costuri și va rambursa costurile rezonabile ale Realytics aferente timpului alocat sprijinirii auditului. Rezultatele auditului constituie Informații Confidențiale ale Realytics. Clientul va notifica prompt Realytics cu privire la orice neconformitate identificată, iar Realytics va depune eforturi rezonabile din punct de vedere comercial pentru a remedia orice neconformitate confirmată. Nicio prevedere a prezentei Secțiuni nu limitează un audit sau o inspecție impuse de o Autoritate de reglementare.

7. Subîmputerniciți

7.1 Autorizare. Clientul acordă Realytics o autorizație generală scrisă pentru a angaja Afiliați Realytics și Subîmputerniciți terți în vederea Prelucrării Datelor cu caracter personal ale Clientului în legătură cu Serviciile. Aceasta constituie autorizația scrisă prealabilă a Clientului în sensul Clauzei 9 din Clauzele contractuale standard. Lista actuală a Subîmputerniciților este disponibilă la realytics.com/legal/subprocessors și este reprodusă în Anexa III.

7.2 Notificare și opoziție. Realytics va notifica orice nou Subîmputernicit prin actualizarea listei cu cel puțin cincisprezece (15) zile înainte ca acel Subîmputernicit să primească acces la Datele cu caracter personal ale Clientului și va pune la dispoziție un mecanism prin care Clientul se poate abona la notificările privind actualizările. Clientul se poate opune, pentru motive rezonabile legate de protecția datelor, în termen de paisprezece (14) zile de la notificare. Dacă în acest termen Clientul nu răspunde, Subîmputernicitul este considerat acceptat.

7.3 Soluționare. În cazul în care Clientul se opune, Părțile vor discuta opoziția cu bună-credință. Dacă nu se ajunge la o soluție în termen de treizeci (30) de zile, Clientul poate rezilia partea afectată a Serviciilor prin notificare scrisă, iar Realytics va rambursa proporțional orice taxe plătite în avans care acoperă perioada ulterioară rezilierii.

7.4 Transmiterea obligațiilor și răspunderea. Realytics va impune fiecărui Subîmputernicit obligații de protecție a datelor care asigură Datelor cu caracter personal ale Clientului cel puțin același nivel de protecție ca prezentul DPA. În cazul în care un Subîmputernicit nu își îndeplinește acele obligații, Realytics rămâne răspunzătoare față de Client pentru executarea obligațiilor acelui Subîmputernicit.

8. Ștergere și restituire

8.1 La expirarea sau rezilierea Contractului, la cererea scrisă a Clientului ori atunci când scopul Prelucrării a fost îndeplinit, Realytics va șterge Datele cu caracter personal ale Clientului în termen de treizeci (30) de zile, cu excepția cazului și în măsura în care păstrarea este impusă de lege.

8.2 Datele cu caracter personal ale Clientului conținute în copiile de rezervă de rutină vor fi șterse în conformitate cu ciclul obișnuit de copii de rezervă al Realytics și, în orice caz, în termen de nouăzeci (90) de zile de la reziliere.

8.3 Clientul poate exporta Datele cu caracter personal ale Clientului utilizând funcționalitatea de export a Serviciilor în orice moment pe durata Contractului, fără costuri suplimentare. În cazul în care Clientul solicită o extragere personalizată care necesită efort de inginerie, Realytics poate percepe costurile sale rezonabile.

8.4 Realytics va menține confidențialitatea oricăror Date cu caracter personal ale Clientului păstrate în temeiul Secțiunii 8.1 și le va Prelucra numai în măsura necesară pentru respectarea legii căreia îi este supusă.

8.5 Datele agregate și Datele la nivel de unitate create în mod legal în temeiul Secțiunii 5 înainte de reziliere, care nu identifică Clientul și nicio persoană fizică, nu fac obiectul ștergerii în temeiul prezentei Secțiuni.

9. Transferuri internaționale

9.1 Clauzele contractuale standard. Atunci când Datele cu caracter personal ale Clientului provenite din Spațiul Economic European, din Regatul Unit sau din Elveția sunt transferate către o țară care nu a făcut obiectul unei decizii privind caracterul adecvat, Părțile convin să fie ținute de Modulul Doi (Operator către Persoana împuternicită de operator) din Clauzele contractuale standard, care sunt încorporate prin trimitere în prezentul DPA. Atunci când Clientul acționează în calitate de Persoană împuternicită de operator în numele unui Operator terț, se aplică în schimb Modulul Trei (Persoana împuternicită de operator către Persoana împuternicită de operator). Clientul respectă obligațiile exportatorului de date, iar Realytics respectă obligațiile importatorului de date.

9.2 Opțiuni. În sensul Clauzelor contractuale standard:

(a) clauza opțională de aderare prevăzută la Clauza 7 se aplică atunci când oricare dintre Părți notifică în scris celeilalte Părți că aceasta este necesară;

(b) la Clauza 9 se aplică Opțiunea 2 (autorizație generală scrisă), cu termenul de notificare prevăzut la Secțiunea 7.2;

(c) la Clauza 11, formularea opțională privind soluționarea independentă a litigiilor nu se aplică;

(d) la Clauza 17 se aplică Opțiunea 1, iar Clauzele sunt guvernate de legea Republicii Cipru;

(e) la Clauza 18 litera (b), litigiile vor fi soluționate de instanțele din Republica Cipru;

(f) Anexa I la Clauzele contractuale standard se completează cu informațiile din Anexa I la prezentul DPA, iar Anexa II cu informațiile din Anexa II la prezentul DPA; și

(g) încheierea prezentului DPA constituie semnătura fiecărei Părți pe Clauzele contractuale standard și pe anexele acestora.

9.3 Regatul Unit. Pentru transferurile supuse UK GDPR, Părțile convin asupra Actului adițional privind transferul internațional de date din Regatul Unit (UK International Data Transfer Addendum, versiunea B1.0) emis de Information Commissioner, care este încorporat prin trimitere. Tabelul 1 se completează cu datele Părților din Anexa I; Tabelul 2 identifică exportatorul ca Operator și importatorul ca Persoană împuternicită de operator; Tabelele 3 și 4 se completează cu informațiile din Anexa I, respectiv Anexa II.

9.4 Elveția. Pentru transferurile supuse Legii federale elvețiene privind protecția datelor, Comisarul federal pentru protecția datelor și informații este autoritatea de supraveghere competentă, trimiterile la GDPR se citesc ca trimiteri la Legea elvețiană, iar Persoanele vizate din Elveția își pot valorifica drepturile în Elveția.

9.5 Transferuri ulterioare. Realytics poate transfera Datele cu caracter personal ale Clientului către Reality Analytics, Inc. și către Subîmputerniciții enumerați în Anexa III, în fiecare caz sub rezerva unor garanții adecvate în temeiul Legislației aplicabile privind protecția datelor.

9.6 Schimbarea mecanismului. În cazul în care Clauzele contractuale standard sau Actul adițional din Regatul Unit sunt modificate, înlocuite ori declarate nevalabile sau insuficiente de o instanță ori de o Autoritate de reglementare competentă, Părțile convin că vor fi aplicabile în mod automat, de la data la care devin aplicabile, clauzele de înlocuire sau actualizate corespunzătoare ori orice mecanism alternativ de transfer valabil în temeiul Legislației aplicabile privind protecția datelor și că Realytics poate implementa garanții suplimentare, după caz, fără a modifica prezentul DPA.

10. Drepturile persoanelor vizate și asistență

10.1 Atunci când Realytics primește din partea unei Persoane vizate o cerere de exercitare a drepturilor de acces, de rectificare, de ștergere, de restricționare, de portabilitate sau de opoziție cu privire la Datele cu caracter personal ale Clientului, Realytics va informa prompt Persoana vizată, în măsura permisă de lege, că cererea trebuie adresată Clientului și va notifica Clientului cererea.

10.2 Ținând seama de natura Prelucrării, Realytics va sprijini Clientul prin măsuri tehnice și organizatorice adecvate, în măsura în care acest lucru este rezonabil posibil, în îndeplinirea obligației Clientului de a răspunde unor astfel de cereri. Atunci când Clientul nu poate soluționa o cerere prin funcționalitatea Serviciilor, Realytics va depune eforturi rezonabile din punct de vedere comercial pentru a acorda asistență.

10.3 La cererea Clientului și ținând seama de natura Prelucrării și de informațiile aflate la dispoziția Realytics, Realytics va acorda Clientului asistență rezonabilă în efectuarea unei evaluări a impactului asupra protecției datelor referitoare la utilizarea Serviciilor de către Client, precum și în orice consultare prealabilă cu o Autoritate de reglementare în temeiul articolului 36 din GDPR, în fiecare caz în măsura în care Clientul nu are altfel acces la informațiile relevante.

11. Încălcarea securității Datelor cu caracter personal

11.1 Realytics va notifica Clientul cu privire la o Încălcare a securității Datelor cu caracter personal care afectează Datele cu caracter personal ale Clientului fără întârzieri nejustificate și, în orice caz, în termen de șaptezeci și două (72) de ore de la momentul în care ia cunoștință de aceasta, utilizând datele de contact furnizate de Client în acest scop. Clientul răspunde de menținerea actualizată a acelor date.

11.2 Notificarea va include, în măsura în care sunt cunoscute la acel moment, natura încălcării, categoriile și volumul aproximativ ale Datelor cu caracter personal ale Clientului afectate, consecințele probabile, precum și măsurile luate sau propuse. Atunci când informațiile nu sunt disponibile la momentul notificării, Realytics le va furniza etapizat, pe măsură ce devin disponibile.

11.3 Realytics va lua măsuri rezonabile din punct de vedere comercial pentru a limita și a remedia încălcarea, în măsura în care remedierea se află sub controlul său, și va acorda Clientului asistență rezonabilă pentru a-i permite acestuia să notifice Autoritățile de reglementare și Persoanele vizate afectate, atunci când Clientul este obligat să facă acest lucru.

11.4 Clientul răspunde în exclusivitate de respectarea obligațiilor de notificare a încălcărilor care îi revin, precum și de orice obligații de notificare față de terți.

11.5 Prezenta Secțiune nu se aplică unei Încălcări a securității Datelor cu caracter personal cauzate de Client, de Utilizatorii săi Autorizați ori de produse sau servicii care nu sunt furnizate de Realytics.

11.6 Notificarea de către Realytics a unei Încălcări a securității Datelor cu caracter personal nu constituie o recunoaștere a culpei sau a răspunderii.

12. Dispoziții generale

12.1 Răspundere. Răspunderea fiecărei Părți și cea a Afiliaților săi, care decurge din sau are legătură cu prezentul DPA, fie contractuală, delictuală ori întemeiată pe orice altă formă de răspundere, este supusă limitărilor și excluderilor de răspundere prevăzute în Contract. Orice trimitere din Contract la răspunderea unei Părți desemnează răspunderea cumulată a acelei Părți și a tuturor Afiliaților săi în temeiul Contractului și al tuturor actelor adiționale privind prelucrarea datelor luate împreună. Nicio prevedere a prezentului DPA nu limitează vreo răspundere care nu poate fi limitată în temeiul Legislației aplicabile privind protecția datelor, inclusiv drepturile Persoanei vizate prevăzute la articolele 79 și 82 din GDPR.

12.2 Legea aplicabilă. Prezentul DPA este guvernat de legea aplicabilă Contractului. Atunci când Contractul nu precizează o lege aplicabilă, prezentul DPA este guvernat de legea Republicii Cipru, iar instanțele din Cipru au competență exclusivă, sub rezerva Secțiunilor 9.2 litera (e) și 9.3.

12.3 Ordinea de prioritate. Prezentul DPA înlocuiește orice clauză contrară din Contract în ceea ce privește Prelucrarea Datelor cu caracter personal ale Clientului. Cu excepția modificărilor aduse prin prezentul DPA, Contractul rămâne pe deplin în vigoare.

12.4 Modificări ale prezentului DPA. Realytics poate actualiza prezentul DPA pentru a reflecta modificări ale Legislației aplicabile privind protecția datelor, ale Serviciilor sau ale Subîmputerniciților săi, cu condiția ca nicio actualizare să nu reducă semnificativ protecțiile acordate Datelor cu caracter personal ale Clientului. Realytics va notifica modificările semnificative cu cel puțin treizeci (30) de zile în avans, prin publicarea DPA actualizat și, atunci când Clientul s-a abonat la notificări, prin e-mail.

12.5 Nulitate parțială. În cazul în care vreo prevedere a prezentului DPA este declarată nevalabilă sau inaplicabilă, restul prevederilor rămân în vigoare.

12.6 Absența unui parteneriat. Nicio prevedere a prezentului DPA nu creează un parteneriat, o asociere în participațiune sau un raport de mandat între Părți.

12.7 Durata. Prezentul DPA intră în vigoare la data intrării în vigoare a Contractului și încetează automat la expirarea sau rezilierea Contractului, cu excepția prevederilor care supraviețuiesc prin natura lor, inclusiv Secțiunile 8, 9 și 12.1.

12.8 Contact. Întrebările privind prezentul DPA pot fi trimise la . Aspectele de securitate pot fi trimise la .

Anexa I — Descrierea Prelucrării

A. Lista părților

Exportatorul de date (Operator): Clientul, astfel cum este identificat în Contract. Activități relevante pentru transfer: primirea Serviciilor în temeiul Contractului. Semnătura și data: încheierea prezentului DPA constituie semnătura Clientului pe prezenta Anexă.

Importatorul de date (Persoana împuternicită de operator): Entitatea Realytics identificată în Contract, respectiv fie Realytics Corp Limited, număr de înregistrare HE424817, 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus, fie Reality Analytics, Inc., 1000 N. West Street, Suite 1200, Wilmington, Delaware 19801, United States. Contact: . Activități relevante pentru transfer: furnizarea Serviciilor către Client în temeiul Contractului. Semnătura și data: încheierea prezentului DPA constituie semnătura Realytics pe prezenta Anexă.

B. Descrierea transferului

C. Autoritatea de supraveghere competentă

Oficiul Comisarului pentru Protecția Datelor cu Caracter Personal al Republicii Cipru.

Anexa II — Măsuri tehnice și organizatorice

Realytics menține măsuri tehnice și organizatorice destinate să protejeze Datele cu caracter personal ale Clientului împotriva unei Încălcări a securității Datelor cu caracter personal, ținând seama de natura, domeniul de aplicare, contextul și scopurile Prelucrării, precum și de riscul pentru Persoanele vizate. Realytics nu publică detalii amănunțite privind arhitectura sistemelor sau implementarea securității atunci când acest lucru ar crea un risc de securitate.

A. Controlul accesului

Realytics restricționează accesul la Datele cu caracter personal ale Clientului la personalul care are nevoie de acces pentru a furniza, susține, întreține sau securiza Serviciile. Accesul este acordat pe bază de rol, necesită autentificare și este retras atunci când nu mai este necesar. Personalul cu acces la Datele cu caracter personal ale Clientului este ținut de obligații de confidențialitate.

B. Securitatea transmisiei

Realytics protejează Datele cu caracter personal ale Clientului transmise prin rețele publice utilizând criptarea în tranzit, acolo unde acest lucru este adecvat din punct de vedere tehnic.

C. Segregare și minimizare

Realytics utilizează controale logice destinate să separe mediile și datele clienților în cadrul Serviciilor. Realytics limitează Prelucrarea Datelor cu caracter personal ale Clientului la ceea ce este necesar pentru scopurile descrise în Contract și în prezentul DPA și utilizează agregarea, anonimizarea sau Datele la nivel de unitate acolo unde scopul permite acest lucru.

D. Copii de rezervă și reziliență

Realytics menține măsuri de creare a copiilor de rezervă și de recuperare destinate să susțină disponibilitatea și restaurarea Serviciilor și a Datelor cu caracter personal ale Clientului după un incident, în funcție de nivelul de Serviciu și de Contract.

E. Gestionarea incidentelor

Realytics menține proceduri de identificare, investigare, limitare și remediere a incidentelor de securitate care afectează Serviciile.

F. Gestionarea Subîmputerniciților

Realytics contractează cu Subîmputerniciții în condiții care impun obligații de protecție a datelor ce asigură cel puțin același nivel de protecție ca prezentul DPA și menține lista publicată a Subîmputerniciților descrisă în Secțiunea 7.

Anexa III — Subîmputerniciți

Note. Hetzner Online GmbH furnizează servere dedicate bare-metal și facilități de centre de date. Realytics nu acordă Hetzner acces la Datele cu caracter personal ale Clientului, iar Hetzner nu Prelucrează Datele cu caracter personal ale Clientului în numele Realytics; este menționată din motive de transparență, în calitate de furnizor de infrastructură de găzduire.

Meta Platforms, TikTok, LinkedIn și Google Ads sunt utilizate de Realytics pentru propriile activități de marketing și publicitate, în cadrul cărora Realytics acționează în calitate de Operator. Acestea nu Prelucrează Datele cu caracter personal ale Clientului și, prin urmare, nu sunt Subîmputerniciți în temeiul prezentului DPA. Rolul lor este descris în Politica de confidențialitate Realytics.

Realytics nu permite Subîmputerniciților enumerați mai sus care furnizează inferență cu modele de inteligență artificială să utilizeze Datele cu caracter personal ale Clientului pentru a-și antrena propriile modele și contractează cu aceștia în condiții care exclud o astfel de utilizare.