Lista furnizorilor și a subîmputerniciților — Anexa 3 la DPA

Versiunea 2026-10-19 — Lista furnizorilor și a subîmputerniciților. Prezenta listă constituie Anexa 3 la DPA pentru prelucrările efectuate în numele Firmei. Rolul fiecărui furnizor este indicat distinct. Aplicarea contractuală și modificarea subîmputerniciților respectă DPA-ul, inclusiv procedura de informare și posibilitatea de opoziție prevăzute de acesta.

VLACH DEV S.R.L., CUI 54881260, nr. Reg. Com. J2026038208005, EUID ROONRC.J2026038208005, sediul Str. Malu Roșu nr. 55, bl. 4F, et. 1, ap. 7, Ploiești, Prahova, România. Contact: hello@vatrum.app, tel. +40 733 948 684.

Lista identifică entitățile și rolurile după documentația juridică publică a furnizorilor. Regiunile de stocare de mai jos sunt configurația contractată de Vatrum, care trebuie asigurată la furnizarea serviciului. Lista nu este un certificat al setărilor conturilor. Un DPA public produce efecte numai în condițiile acceptării ori încorporării sale în contractul aplicabil. Activarea unei funcții este condiționată de contractele și garanțiile necesare. Autorizarea subîmputernicirii privește numai operațiunile în care entitatea are efectiv acest rol.

1. Subprocesatori pentru serviciul de bază

Railway Corporation — găzduire și bază de date

Primește datele din baza de date, configurația serviciului și jurnalele tehnice necesare. Configurația contractată pentru aplicație, bază de date și copii este Amsterdam, Țările de Jos, UE. Railway Corporation este entitate din SUA; regiunea europeană nu exclude accesul internațional pentru administrare și suport. Pentru datele prelucrate în numele Firmei se aplică DPA și, când transferul o cere, SCC în modulul corespunzător relației. Datele proprii de cont și utilizare ale Railway pot avea un rol distinct de operator.

Document contractual și garanții: https://railway.com/legal/dpa. Ciclul de copii administrat pentru platforma Vatrum se limitează contractual la 30 de zile; VlachDev configurează și verifică această limită, nu o deduce din denumirea regiunii.

Cloudflare, Inc. — fișiere Cloudflare R2

Primește fișierele încărcate și generate: fotografii, PDF-uri, planuri, documente și arhive de export. Configurația contractată este jurisdicția UE pentru R2. Cloudflare, Inc. este entitate din SUA și poate implica acces și prelucrări internaționale pentru furnizarea și securitatea serviciului. Pentru conținutul prelucrat în numele Firmei se aplică DPA; pentru transferurile fără adecvare aplicabilă, SCC și evaluarea transferului. Nu se promite că orice metadată, suport ori serviciu Cloudflare rămâne exclusiv în UE.

Document contractual: https://www.cloudflare.com/cloudflare-customer-dpa/. Restricția R2 se aplică serviciului configurat, fără a constitui o restricție geografică universală asupra tuturor activităților Cloudflare.

Plus Five Five, Inc. — Resend, comunicări prin e-mail

Primește adresa și numele destinatarului, subiectul, mesajul, atașamentele necesare și metadatele livrării ori respingerii. Regiunea contractată pentru serviciul de e-mail este eu-west-1, Irlanda. Plus Five Five, Inc. este entitate din SUA. Se aplică DPA Resend și SCC corespunzătoare pentru accesul ori prelucrarea din țări terțe fără adecvare aplicabilă. Mesajele trimise în numele Firmei rămân sub instrucțiunile acesteia; propriile date de abonament ale VlachDev sunt o prelucrare distinctă.

Document contractual: https://resend.com/legal/dpa. VlachDev păstrează dovada versiunii acceptate și configurează retenția potrivit scopului mesajelor, fără a invoca o regiune UE ca dovadă a absenței transferurilor.

Functional Software, Inc. — Sentry, monitorizarea erorilor

Primește evenimente tehnice minimizate despre erori, identificatorul firmei, browserul și contextul tehnic necesar. Pentru evenimente este contractată regiunea UE, Germania. Entitatea juridică este din SUA; datele de cont, suport și anumite metadate pot fi prelucrate distinct de regiunea evenimentelor. Se aplică DPA și SCC pentru transferurile care le necesită. Erorile sunt înregistrate și, după caz, transmise furnizorului de monitorizare după filtrarea datelor care nu sunt necesare diagnosticării. Sunt excluse conținuturile operaționale și secretele de autentificare. Urmele de performanță de pe server sunt supuse acelorași măsuri de minimizare. Configurația Vatrum nu autorizează session replay ori funcții AI suplimentare ale Sentry prin simpla acceptare a acestei liste. Din browser se trimit numai erori; de pe servere, și urme tehnice de performanță, cu o rată configurată de eșantionare de cel mult 10% din cereri, fără conținutul lor.

Document contractual: https://sentry.io/legal/dpa/. Limita pentru evenimentele proprii de erori Vatrum este 90 de zile; retenția și copiile furnizorului sunt verificate separat în configurația contractată și în procedura de ștergere. Datele necesare nu se păstrează automat nelimitat.

2. Inteligența artificială

Anthropic Ireland, Limited — API pentru funcțiile AI

Pot fi transmise numai textul, documentul ori imaginea necesare funcției solicitate: planuri, fotografii pentru extragere (bonurile de carburant și bordul vehiculelor, facturile furnizorilor, imaginile satelit pentru umbrire), catalog, explicații de ofertă ori suport.

Modelele folosite la data acestei versiuni, prin același API: Claude Sonnet 5.5 (asistentul din aplicație și răspunsurile pe WhatsApp), Claude Haiku 4.5 (rezumatul conversațiilor lungi, sortarea tichetelor, explicația ofertei, potrivirea cu catalogul și alte funcții scurte), Claude Sonnet 4.6 (importul și completarea catalogului, citirea bonurilor, a bordului și a facturilor furnizorilor, umbrirea din imaginea satelit, camerele din imagine) și Claude Opus 4.8 (citirea planului casei și propunerile de răspuns la tichete). Pentru completarea fișei unui produs din catalog, la cererea utilizatorului, se folosește și unealta de căutare pe internet a API-ului Anthropic: modelul caută documentația produsului după denumire, marcă, model și cod; nu se transmit date despre persoane. Căutarea este o funcție distinctă a furnizorului, cu condițiile ei.

Pentru asistentul conversațional și funcțiile sale activate se pot transmite întrebarea utilizatorului ori mesajul primit de la client prin WhatsApp, partea necesară din istoricul inclus în cerere și contextul necesar răspunsului sau ciornei. Modulele posibile sunt: clienți, oferte, facturi, lucrări, catalog, indicatorii tabloului de bord, calendar, gestiune, furnizori și comenzi, mentenanță.

Datele pot include nume și date de contact, adresa intervenției, persoanele alocate unei intervenții, contacte ale furnizorilor, produse și serii de echipamente, referințe de documente, valori, date, stări și descrieri. Se transmit numai datele necesare din modulele activate, în limita drepturilor actuale ale utilizatorului sau, pe WhatsApp, a profilului tehnic și a clientului verificat. Numărul de telefon și numele afișat în WhatsApp nu se transmit modelului dacă nu sunt necesare.

Nu se transmit către AI fișierele primite prin WhatsApp, conținutul lor extras prin OCR/transcriere ori alte conversii, nici numele de fișiere sau metadatele lor care nu sunt necesare. Filtrarea textului se aplică și legendelor, mesajelor citate și istoricului. Restricțiile privind pontajul, concediile, sănătatea, identificatorii naționali, actele și secretele se aplică întregului context. Se exclud și categoriile speciale de date în sensul art. 9 GDPR, separat datele privind condamnările penale și infracțiunile în sensul art. 10 GDPR, precum și numerele complete de conturi ori carduri.

Pentru extragerea planului lucrării se poate transmite imaginea sau porțiunea necesară din planul casei ori acoperișului, încărcată și selectată expres de utilizatorul autorizat, împreună cu instrucțiunile și parametrii tehnici necesari. În funcție de operațiunea efectivă, contextul poate include geometria, dimensiunile, camerele, pereții, golurile, suprafețele acoperișului și parametrii necesari schiței activate.

Adresa exactă, numele, cartușele cu date personale, identificatorii cadastrali, semnăturile și metadatele nu se transmit dacă nu sunt necesare. Se minimizează copia destinată modelului, fără alterarea originalului și fără eliminarea mențiunilor de autor cerute legal.

Schițele și parametrii calculați local nu se transmit furnizorului AI prin simpla folosire a unui calculator. Sunt incluși în cerere numai dacă funcția activată îi necesită și acest flux este descris. Retenția și transferurile furnizorului rămân cele din rubrica aplicabilă; nu se presupune că imaginile sunt șterse odată cu rezultatul local.

Pentru memoria personală activată separat pot fi transmise elementele necesare personalizării răspunsurilor, create la solicitarea utilizatorului. Acest flux nu autorizează transmiterea datelor excluse și nu modifică termenii de păstrare sau garanțiile aplicabile furnizorului.

Nu se trimit parole, chei de acces sau alte secrete de autentificare. Datele medicale, identificatorii naționali și copiile actelor sunt excluse din fluxul obișnuit al asistentului; un eventual flux special necesită verificare și informare distincte înainte de activare.

Termenii comerciali standard indică Anthropic Ireland, Limited pentru clienții din SEE, Elveția și Regatul Unit; infrastructura declarată poate implica SUA, Europa, Asia și Australia. Serviciul este folosit ca subprocesator pentru conținutul Firmei, în baza DPA și a garanțiilor pentru prelucrările ulterioare, inclusiv SCC unde sunt necesare.

Termenii comerciali API interzic antrenarea modelelor pe conținutul clientului. Regula standard de retenție API este eliminarea intrărilor și ieșirilor în 30 de zile, cu excepții declarate pentru obligații legale, funcții care păstrează conținut până la ștergerea sa și siguranța serviciului. Conținutul semnalat pentru încălcarea regulilor poate fi păstrat până la doi ani, iar scorurile de siguranță până la șapte ani. Nu se afirmă „zero retenție” fără un acord aplicabil funcției exacte. Pentru eficiență, partea fixă a instrucțiunilor și, la asistent și pe WhatsApp, conversația până la ultimul mesaj sunt păstrate temporar în cache-ul de prompt al furnizorului, pe durata scurtă implicită a acestuia, distinct de retenția de mai sus. Termenul local de 90 de zile al istoricului AI și termenele canalului WhatsApp nu modifică retenția Anthropic.

VlachDev minimizează înainte de trimitere datele de identificare și exclude datele medicale, copiile actelor și secretele care nu sunt necesare. Folosirea lor într-o funcție specială cere instrucțiune și evaluare distincte. Nu se trimit date ale altor firme ca exemple de suport.

Documente: https://www.anthropic.com/legal/commercial-terms; https://www.anthropic.com/legal/data-processing-addendum; https://privacy.claude.com/en/articles/7996866-how-long-do-you-store-my-organization-s-data. Lista subprocesatorilor ulteriori și garanțiile aplicabile sunt furnizate împreună cu documentația de transfer la cerere.

3. Hărți și calcule — roluri distincte

Google Ireland Limited — Google Maps Platform / Solar API

Primește coordonatele clădirii și metadatele cererii necesare studiului solar. Termenii pentru serviciile Google de tip controller prevăd rolul Google de operator independent pentru datele acoperite; nu îl prezentăm automat ca subprocesator supus DPA generic Google Cloud. Pentru datele europene, termenii controller identifică Google Ireland Limited drept operator final european, cu posibile prelucrări ulterioare internaționale potrivit garanțiilor Google.

Firma documentează scopul și temeiul și instruiește trimiterea minimă necesară studiului solicitat, fără nume, CNP ori documente de identitate. Eliminarea numelui nu face coordonatele anonime: o coordonată a unei locuințe poate rămâne dată personală. Contul contractual Google și conținutul efectiv al cererilor se verifică potrivit termenilor serviciului. Un transfer către un operator independent nu este autorizat doar prin autorizarea generală a subprocesatorilor.

Documente: https://cloud.google.com/maps-platform/terms/eea; https://business.safety.google/controllerterms/; https://policies.google.com/privacy/frameworks. VlachDev aplică termenii serviciului exact și contului de facturare folosit; această listă nu substituie acceptarea lor.

Mapbox, Inc. — hărți, geocodare și imagini

Primește adresa ori coordonatele solicitate și, pentru hărți încărcate direct, IP-ul, browserul și identificatorii tehnici necesari. La afișarea unei hărți cerute de utilizator, browserul încarcă de la Mapbox plăcile și stilul hărții, cu cheia publică a contului Vatrum și adresa paginii; biblioteca Mapbox verifică această cheie și transmite un eveniment de încărcare a hărții, folosit de Mapbox la facturare, pentru care păstrează în stocarea locală a browserului un identificator aleatoriu și momentul ultimului eveniment. Aceste trei operațiuni însoțesc afișarea hărții și nu pot fi oprite separat în biblioteca Mapbox; de aceea biblioteca se încarcă și cererile spre Mapbox pleacă numai după acordul utilizatorului („Accept și încarcă harta”), dat după informarea din aplicație și retras oricând, cu ștergerea datelor bibliotecii din browser. Fără acord, pagina continuă fără hartă. Măsurătorile de performanță ale bibliotecii, neesențiale, sunt oprite. Geocodarea adreselor se face de pe server, nu din browser. Infrastructura poate implica SUA. Pentru datele acoperite de DPA, Mapbox are rol de procesator; pentru date proprii de facturare, utilizare și alte operațiuni descrise în politica produsului poate fi operator independent. Rolul se aplică operațiunii concrete, fără a eticheta întregul serviciu într-un singur fel.

Pentru transferurile în SUA se folosesc garanțiile contractuale aplicabile și SCC unde sunt necesare; DPF se invocă numai după verificarea certificării valabile și a sferei sale. Stocarea de informații sau accesarea informațiilor din browser care nu este strict necesară unui serviciu solicitat expres necesită consimțământ prealabil, în condițiile legii; acceptarea DPA nu îl înlocuiește.

Documente: https://www.mapbox.com/legal/dpa; https://www.mapbox.com/legal/privacy; https://www.mapbox.com/legal/subprocessors; https://www.mapbox.com/legal/notice-of-certification.

Comisia Europeană, Centrul Comun de Cercetare — PVGIS

Primește coordonate și parametri tehnici pentru calculul producției fotovoltaice. Este un serviciu al unei instituții UE, supus cadrului său de protecție a datelor, inclusiv Regulamentului (UE) 2018/1725 pentru prelucrările instituției. Nu este prezentat ca subprocesator comercial doar pentru că se apelează API. Se transmit numai coordonatele și parametrii necesari, fără identificatori de client. Documentație și informare: https://joint-research-centre.ec.europa.eu/photovoltaic-geographical-information-system-pvgis_en.

4. Servicii care cer identificare suplimentară înainte de autorizare

Autorizarea prin această anexă nu acoperă un endpoint OpenStreetMap neidentificat ori servicii terțe de plăci de hartă și geocodare descrise numai prin marca OpenStreetMap. OpenStreetMap Foundation este o entitate din Regatul Unit, dar nu operează automat orice server care folosește date OSM. Dacă se propune un astfel de endpoint, VlachDev comunică în prealabil operatorul efectiv, datele, țările, rolul și garanțiile și aplică procedura DPA; până atunci acea transmitere nu este autorizată.

Notificările push ale browserului, pornite de utilizator din Setări, trec prin serviciul de notificări al browserului folosit de el: Google LLC (Firebase Cloud Messaging, pentru Chrome și browserele bazate pe Chromium), Mozilla Corporation (pentru Firefox), Apple Inc. (Apple Push Notification service, pentru Safari) ori Microsoft Corporation (Windows Push Notification Services, pentru Edge). Serviciul îl alege browserul utilizatorului; Vatrum trimite notificările numai către aceste gazde. Conținutul notificării — titlul, textul scurt și legătura spre pagina din aplicație — este criptat de la capăt la capăt cu cheile browserului destinatar, iar serviciul de push nu îl poate citi; acesta primește adresa tehnică a abonamentului, momentul, mărimea mesajului și durata de livrare, de cel mult 24 de ore. Conținutul criptat nu face metadatele anonime. Furnizorii sunt entități din SUA și prelucrează metadatele potrivit condițiilor browserului și ale serviciului lor; rolul lor se stabilește după aceste condiții. Notificările push sunt opționale: VlachDev oferă notificări în aplicație și pe e-mail pentru operațiunile esențiale.

5. Propriile plăți și facturi ale VlachDev

Stripe Payments Europe, Limited, Irlanda, procesează plățile abonamentului și poate acționa atât ca procesator pentru operațiunile prevăzute de DPA, cât și ca operator pentru fraudă, obligații financiare și alte scopuri proprii. Nu este automat subprocesator pentru toate Datele Firmei. Documente: https://stripe.com/legal/dpa și https://stripe.com/privacy. Prelucrările și transferurile ulterioare urmează garanțiile aplicabile serviciului exact.

Intelligent IT S.R.L., România, sub marca SmartBill, furnizează facturarea propriilor abonamente VlachDev; pentru prelucrarea în numele VlachDev se aplică anexa DPA la termenii SmartBill. Datele proprii ale contului SmartBill pot avea un rol distinct de operator. Documente: https://www.smartbill.ro/termeni-si-conditii și https://www.smartbill.ro/politica-de-confidentialitate.

ANAF primește date potrivit operațiunilor fiscale. Poate primi factura completă și pentru validare ori transformare în PDF, inclusiv dacă transmiterea e-Factura propriu-zisă nu este pornită. Firma trebuie informată înainte de această transmitere. ANAF nu este subprocesator comercial.

6. Integrări ale Firmei și modificări

Stripe, SmartBill, Meta, Google Ads, TikTok și furnizorii de formulare contractați direct de Firmă urmează rolul real al integrării și contractele Firmei. Integrarea formularelor de lead-uri Google Ads, conectată la contul Firmei, permite importarea în Vatrum a datelor completate în formularele acesteia; conectarea și funcționarea ei pot implica schimburi tehnice cu Google. Ea nu este utilizată pentru încărcarea către Google a bazei de clienți, a facturilor sau a conversiilor, dacă asemenea funcții nu sunt oferite și activate separat. Existența unei integrări nu îi transformă automat în subprocesatori ai VlachDev și nici nu exclude această calitate când fluxul și contractul o impun. Se transmit numai datele necesare funcției activate. Formularul Vatrum este o componentă a Serviciului.

Integrarea WhatsApp folosește contul WhatsApp Business al Firmei. Furnizorii contractați direct de Firmă și rolurile lor sunt indicați în configurația integrării și în informarea privind protecția datelor furnizată de Firmă propriilor interlocutori; nu devin automat subprocesatori ai VlachDev. Pentru fiecare serviciu se verifică entitatea contractantă, rolul, țările, transferurile, retenția și eventualii intermediari. Dacă VlachDev angajează un furnizor să prelucreze Datele Firmei în numele său, acesta este inclus în Lista furnizorilor și a subîmputerniciților, cu autorizarea aplicabilă, înainte de transmitere.

Schimbările furnizorilor contractați direct de VlachDev se notifică, de regulă, cu 30 de zile înainte; cazurile urgente și schimbările furnizorilor ulteriori urmează art. 6.2 DPA. Obiecțiile privind protecția datelor au efect real înaintea transmiterii contestate. Copiile contractelor, SCC și informațiile privind țările și garanțiile aplicabile se pot solicita la hello@vatrum.app, cu protejarea justificată a informațiilor confidențiale.