Anexa IV — Clauze Contractuale Standard (SCC-uri)
Acord de Prelucrare a Datelor între [CUSTOMER] și [PLATFORM PROVIDER]Ultima actualizare: [DATE]
Prezentare Generală
Prezenta Anexă IV face parte din Acordul de Prelucrare a Datelor („DPA") dintre Client („Operator") și [PLATFORM PROVIDER] („Persoana împuternicită de operator"). Prezenta Anexă are ca obiect cerințele privind transferurile internaționale în temeiul Capitolului V din GDPR.
1. Aplicabilitate
1.1 Când se Aplică SCC-urile
SCC-urile sunt necesare atunci când datele cu caracter personal sunt transferate din SEE într-o țară care nu face obiectul unei decizii de adecvare în temeiul art. 45 din Regulamentul (UE) 2016/679 (GDPR).
Scenarii de transfer actuale:
| Transfer | De la | Către | Mecanism |
|---|---|---|---|
| [PLATFORM PROVIDER] → Google LLC (Firebase, Cloud Storage) | UE (SEE) | SUA | EU-US Data Privacy Framework (DPF) + SCC-urile din DPA Google Cloud |
| [PLATFORM PROVIDER] → Railway Corp. | UE (SEE) | SUA | ⚠️ Neîncheiat — Termenii de Prelucrare a Datelor Railway au fost solicitați și nu au fost obținuți; transferul se întemeiază în prezent exclusiv pe implementarea în regiunea UE (a se vedea Secțiunea 3.1) |
| [PLATFORM PROVIDER] → NewsmanApp SRL | UE (SEE) | România (SEE) | Nu sunt necesare SCC-uri — România este stat membru al UE |
| Client → [PLATFORM PROVIDER] | SEE | România (SEE) | Nu sunt necesare SCC-uri — România este stat membru al UE |
| [PLATFORM PROVIDER] → Anthropic PBC (Claude API) | UE (SEE) | SUA | ⚠️ Nu a fost stabilit — la dosar nu figurează niciun acord încheiat, nicio Clauză Contractuală Standard și niciun mecanism întemeiat pe o decizie de adecvare (a se vedea Secțiunea 3.1) |
| [PLATFORM PROVIDER] → Cloudflare, Inc. (proxy invers, Turnstile, CDN) | UE (SEE) | Rețea edge globală, SUA | DPA Cloudflare pentru Clienți + Clauze Contractuale Standard |
| [PLATFORM PROVIDER] → Meta Platforms, Inc. (Conversions API) | UE (SEE) | SUA | Termenii de Prelucrare a Datelor Meta + Clauze Contractuale Standard; transmitere prin contul publicitar al Clientului (a se vedea Secțiunea 3.2) |
| [PLATFORM PROVIDER] → TikTok Pte. Ltd. (Events API) | UE (SEE) | SUA / Singapore | ⚠️ Neîncheiat — Clauzele Contractuale Standard au fost solicitate și nu au fost obținute (a se vedea Secțiunea 3.3) |
| [PLATFORM PROVIDER] → SendSMS.ro | UE (SEE) | România (SEE) | Nu sunt necesare SCC-uri — România este stat membru al UE |
| Browserul participantului sau al vizitatorului → Google LLC (Google Analytics, încorporare YouTube); browserul personalului → Google Fonts, în previzualizarea din editorul de pagini | SEE (dispozitivul vizitatorului) | SUA | Termenii generali Google aplicabili serviciului în cauză; transferul nu este acoperit de DPA Google Cloud invocat mai sus (a se vedea Secțiunea 3.1) |
| Browserul participantului sau al vizitatorului → Meta Platforms, Inc. și TikTok Pte. Ltd. (pixeli publicitari) | SEE (dispozitivul vizitatorului) | SUA / Singapore | Termenii Instrumentelor de Business Meta; Termenii Produselor de Business TikTok; transmitere prin conturile publicitare ale Clientului (a se vedea Secțiunea 3.2) |
| Browserul participantului sau al vizitatorului → Microsoft Corporation (Microsoft Clarity) | SEE (dispozitivul vizitatorului) | UE (Microsoft Ireland Operations Limited), cu transfer ulterior în SUA | DPA Microsoft pentru Produse și Servicii + Clauze Contractuale Standard în interiorul grupului; Microsoft acționează în calitate de operator independent |
Notă: România este stat membru al UE. Transferurile de la Client către [PLATFORM PROVIDER] nu necesită SCC-uri, întrucât ambele părți se află în SEE. Stocarea persistentă a [PLATFORM PROVIDER] se află în SEE — regiunea UE a Railway; Cloud Functions Firebase în europe-west3, Realtime Database în europe-west1 și Firestore în multi-regiunea UE. Cu toate acestea, traficul participanților și al vizitatorilor către API-ul de producție este rutat prin rețeaua edge globală Cloudflare înainte de a ajunge la aceste origini din UE, iar transferurile din browser enumerate mai sus pleacă direct de pe dispozitivul vizitatorului către destinatar, în afara infrastructurii [PLATFORM PROVIDER].
Destinatari angajați de [PLATFORM PROVIDER] și destinatari angajați de Client. Google LLC (Firebase și Cloud Storage), Railway Corp., NewsmanApp SRL, Cloudflare, Inc. și Anthropic PBC sunt angajați de [PLATFORM PROVIDER] și sunt tratați în Evaluarea Impactului Transferului de la Secțiunea 3.1. Platformele publicitare și furnizorii de mesagerie sunt accesați cu acreditările furnizate de Client și sunt tratați la Secțiunea 3.2. Anexa III enumeră Meta Platforms, Inc., Google LLC (Google Analytics și Google Ads), TikTok Pte. Ltd. și LinkedIn Corporation atât ca subîmputerniciți numerotați ai [PLATFORM PROVIDER], cât și ca integrări furnizate de Client; ⚠️ această încadrare stabilește care dintre Părți are calitatea de exportator al transferului și face obiectul unei analize.
LinkedIn Corporation. Către LinkedIn Corporation nu are loc niciun transfer. LinkedIn Insight Tag și LinkedIn Conversions API, descrise în Anexa III, sunt prevăzute în modelul de date al integrărilor, dar nu sunt implementate: în browserul vizitatorului nu se emite niciun Insight Tag și nu se transmite nicio conversie pe partea de server.
GAP-CONTRACT-03 · CONTRACT — DEFICIENȚĂ CUNOSCUTĂ, REMEDIERE ÎN CURS
Prezenta anexă descria anterior trei destinatari ai datelor cu caracter personal — Google LLC, Railway Corp. și NewsmanApp SRL — și niciunul în plus. În realitate, date cu caracter personal sunt transmise și către Anthropic PBC în Statele Unite, către TikTok Pte. Ltd. în Statele Unite și în Singapore, către Cloudflare, Inc. prin rețeaua sa edge globală și, direct din browserul vizitatorului, către Google LLC, prin conținut video YouTube integrat în pagină; niciunul dintre acești destinatari nu figura în prezenta Anexă și niciunul nu a făcut obiectul Evaluării Impactului Transferului de mai jos. Această neconcordanță este consemnată în registrul de remediere a conformității și face obiectul unei analize.
2. SCC-uri Operator–Împuternicit (Client → [PLATFORM PROVIDER])
Întrucât atât Clientul, cât și [PLATFORM PROVIDER] sunt stabiliți în SEE, nu sunt necesare SCC-uri pentru relația principală Operator–Împuternicit. DPA-ul guvernează relația de prelucrare în conformitate cu art. 28 GDPR.
2.1 Clienți din Regatul Unit
Pentru clienții stabiliți în Regatul Unit, se aplică Acordul de Transfer Internațional de Date al Regatului Unit (IDTA) sau Addendum-ul Regatului Unit la SCC-urile UE (ICO, în vigoare din martie 2022).
Contactați [PLATFORM PROVIDER LEGAL EMAIL] pentru a iniția încheierea mecanismului de transfer adecvat pentru Regatul Unit.
2.2 Alți Clienți în Afara SEE
Pentru clienții stabiliți în afara SEE și a Regatului Unit, datele cu caracter personal circulă înspre SEE: Clientul, în calitate de Operator, instruiește [PLATFORM PROVIDER], în calitate de Împuternicit, să prelucreze date cu caracter personal pe o infrastructură situată în SEE. Un flux orientat înspre SEE nu constituie transfer în sensul Capitolului V din GDPR, iar SCC-urile Comisiei Europene (2021, Decizia 2021/914/UE) nu reprezintă instrumentul potrivit pentru acesta. În locul lor se aplică următoarele:
- Termenii aplicabili: DPA-ul, care pune în aplicare cerințele art. 28 alin. (3) GDPR, guvernează în întregime relația de prelucrare. Pentru datele cu caracter personal care circulă de la Client către infrastructura din SEE a [PLATFORM PROVIDER] nu este necesar niciun mecanism de transfer în temeiul Capitolului V.
- Transferuri ulterioare efectuate de [PLATFORM PROVIDER]: transferurile de la [PLATFORM PROVIDER] către destinatarii enumerați la Secțiunea 1.1 rămân supuse mecanismelor consemnate acolo, independent de locul de stabilire al Clientului.
- Transferuri înapoi, în afara SEE: atunci când Clientul instruiește [PLATFORM PROVIDER] să restituie date cu caracter personal către propriile sale sisteme ori să le pună la dispoziția unui terț din afara SEE — de exemplu prin exporturi de contacte și de segmente, prin integrări cu platforme publicitare, prin destinațiile link-urilor urmărite sau prin webhook-uri de ieșire — respectivul transfer ulterior este un export al Clientului și necesită propriul mecanism de transfer al acestuia, astfel cum prevede Secțiunea 6.3 din DPA (Transferurile Clientului).
- Legea aplicabilă: România (stat membru supus GDPR). Jurisdicție: instanțele din România.
- Autoritatea de supraveghere: ANSPDCP din România este autoritatea de supraveghere a [PLATFORM PROVIDER]. Un operator care nu are niciun sediu în Uniune nu are o autoritate de supraveghere principală în temeiul art. 56 GDPR și rămâne răspunzător în fața autorității de supraveghere din fiecare stat membru în care sunt afectate persoane vizate.
⚠️ Prezenta Anexă prevedea anterior că SCC-urile din 2021 se aplicau clienților din afara SEE în temeiul Modulului 2 (Operator–Împuternicit), cu Clientul în calitate de exportator și cu [PLATFORM PROVIDER] în calitate de importator, precum și că Anexele I(A), I(B), I(C) și II ale acelui instrument urmau să fie completate în consecință. Aceasta descrie un transfer din SEE către exterior și nu corespunde direcției în care circulă în realitate datele cu caracter personal în temeiul prezentului DPA. Poziția corectată, expusă mai sus, trebuie validată de un consilier GDPR calificat înainte de încheierea prezentei Anexe.
Pentru a solicita DPA-ul și orice documentație de transfer aplicabilă locului dumneavoastră de stabilire, contactați [PLATFORM PROVIDER LEGAL EMAIL]. [PLATFORM PROVIDER] va răspunde în termen de 5 zile lucrătoare.
3. Evaluarea Impactului Transferului (TIA)
3.1 Transferuri către SUA (Destinatari Angajați de [PLATFORM PROVIDER])
| Factor | Evaluare |
|---|---|
| Cadrul juridic | SUA — CLOUD Act, FISA Secțiunea 702, Ordinul Executiv 14086 |
| Mecanismul de adecvare Google | EU-US Data Privacy Framework (DPF, iulie 2023) — Google LLC este certificat DPF |
| Mecanismul de adecvare Railway | ⚠️ Niciunul încheiat. Railway Corporation este stabilită în Statele Unite, astfel încât nu poate fi exclus accesul administrativ din Statele Unite la datele găzduite în regiunea UE. Termenii de Prelucrare a Datelor Railway au fost solicitați și nu au fost obținuți, iar la dosar nu figurează nicio Clauză Contractuală Standard; transferul se întemeiază exclusiv pe implementarea în regiunea UE. ⚠️ Regiunea de implementare nu este documentată în evidențele [PLATFORM PROVIDER] și trebuie confirmată din proiectul Railway |
| Mecanismul de adecvare Anthropic | ⚠️ Nu a fost stabilit. Cererile de generare cu AI sunt efectuate pe partea de server către api.anthropic.com, găzduit în Statele Unite, printr-o singură cheie API la nivel de platformă. La dosar nu figurează niciun acord încheiat, nicio Clauză Contractuală Standard și niciun mecanism întemeiat pe o decizie de adecvare, iar perioada de retenție practicată de Anthropic pentru intrările și ieșirile API nu a fost confirmată |
| Mecanismul de adecvare Cloudflare | DPA Cloudflare pentru Clienți, care încorporează Clauze Contractuale Standard. În producție, Cloudflare realizează terminarea TLS pentru traficul participanților și primește fiecare cerere a acestora, iar verificarea Turnstile transmite adresa IP a vizitatorului către Cloudflare |
| Mecanismul de adecvare Meta | Termenii de Prelucrare a Datelor Meta, care încorporează Clauze Contractuale Standard. Evenimentele Conversions API transmise pe partea de server pleacă prin contul publicitar al Clientului — a se vedea Secțiunea 3.2 |
| Măsuri suplimentare | Stocare persistentă în SEE: Cloud Functions în europe-west3, Realtime Database în europe-west1, Firestore în multi-regiunea UE. ⚠️ Locația bucket-ului Cloud Storage nu este documentată în evidențele [PLATFORM PROVIDER] și trebuie confirmată. Criptare în repaus și în tranzit; DPA Google Cloud cu SCC-uri |
| Transferuri din browser către Google LLC | Nu sunt acoperite de DPA Google Cloud citat mai sus. Pagina de vizionare a participantului încorporează materialul video într-un iframe www.youtube.com, nu în varianta fără cookie-uri. Cererea pleacă din browserul vizitatorului, înainte de orice decizie privind consimțământul pentru cookie-uri și independent de aceasta, și dezvăluie către Google LLC adresa IP și user agent-ul vizitatorului. Fonturile web de pe paginile de destinație publicate sunt livrate de pe domeniul propriu al paginii și nu contactează Google din browserul vizitatorului. A se vedea Politica privind Cookie-urile |
| Risc rezidual | Scăzut pentru transferul către Google Cloud (certificarea DPF, stocarea în SEE și SCC-urile din DPA Google Cloud). ⚠️ Neevaluat pentru Railway Corp. și pentru Anthropic PBC, în privința cărora nu a fost încheiat niciun instrument de transfer, precum și pentru transferurile din browser către Google LLC, care se situează în afara instrumentului invocat pentru Firebase și Cloud Storage |
Concluzie: Transferurile către Google LLC în temeiul Termenilor de Prelucrare a Datelor și Securitate Google Cloud beneficiază de o protecție adecvată, la fel ca transferurile către Cloudflare, Inc. în temeiul DPA Cloudflare pentru Clienți. Transferurile către Railway Corp. și către Anthropic PBC se desfășoară în prezent fără un instrument de transfer încheiat, iar transferurile din browser către Google LLC, identificate mai sus, se situează în afara mecanismului invocat pentru Firebase și Cloud Storage. Nu a fost luată nicio decizie de suspendare a acestor transferuri și niciunul dintre ele nu este suspendat în prezent; poziția face obiectul unei analize. Prezenta concluzie nu se extinde asupra destinațiilor evaluate la Secțiunea 3.3.
Raportul cu Secțiunea 6.2 din DPA. Prezenta Anexă tratează relația cu Railway drept transfer către o țară terță, pornind de la faptul că Railway Corporation este stabilită în Statele Unite și că accesul administrativ din Statele Unite la datele găzduite în regiunea UE nu poate fi exclus. Secțiunea 6.2 din DPA consemnează aceeași relație drept „Găzduire în regiune UE (fără transfer)". Această neconcordanță este consemnată în registrul de remediere a conformității; clasificarea face obiectul unei analize.
3.2 Integrări Furnizate de Client
Atunci când Clientul configurează o integrare cu propriile acreditări, Clientul are calitatea de exportator al transferului și îi revin atât mecanismul de transfer, cât și Evaluarea Impactului Transferului pentru transferul respectiv. Anexa III identifică următoarele integrări furnizate de Client:
- Notificări push mobile (FCM) prin proiectul Firebase propriu al Clientului — Google LLC (SUA)
- Livrare de e-mailuri prin contul propriu al Clientului la NewsmanApp SRL (România, SEE)
- Cache CDN și invalidarea cache-ului prin contul Cloudflare propriu al Clientului — Cloudflare, Inc. (rețea edge globală)
- Platforme publicitare prin conturile publicitare proprii ale Clientului — Meta Platforms, Inc. (SUA), Google LLC pentru Google Analytics și Google Ads (SUA), TikTok Pte. Ltd. (SUA și Singapore) și LinkedIn Corporation (SUA)
- Livrare de SMS-uri tranzacționale prin contul propriu al Clientului la SendSMS.ro (România, SEE)
Pentru fiecare dintre acestea, Clientul răspunde de:
- Efectuarea propriei Evaluări a Impactului Transferului pentru transferul Client ↔ terț
- Asigurarea existenței unui mecanism de transfer adecvat (pentru proiectul Firebase propriu al Clientului, DPA Google Cloud se aplică automat)
- Aducerea transferului la cunoștința participanților, în propria Politică de Confidențialitate
Evaluarea Impactului Transferului efectuată mai sus de [PLATFORM PROVIDER] nu acoperă integrările furnizate de Client.
Transmiterea de pe infrastructura din SEE. [PLATFORM PROVIDER] efectuează aceste transmiteri pe baza instrucțiunilor Clientului și cu acreditările acestuia, însă o face de pe o infrastructură pe care o operează în SEE. Atunci când destinația se află în afara SEE — Meta Platforms, Inc., Google LLC, TikTok Pte. Ltd. —, repartizarea între Părți a calității de exportator se interpretează împreună cu Secțiunea 6.3 din DPA (Transferurile Clientului). ⚠️ Anexa III încadrează acești destinatari atât ca subîmputerniciți numerotați ai [PLATFORM PROVIDER], cât și ca integrări furnizate de Client; această încadrare face obiectul unei analize.
Firebase furnizat de Client (FCM). Atunci când Clientul utilizează propriul proiect Firebase pentru notificări push (a se vedea Secțiunea 3.4 din DPA și Anexa III), Clientul efectuează propria Evaluare a Impactului Transferului pentru transferul Client ↔ Google (FCM), DPA Google Cloud se aplică automat în contul Google Cloud propriu al Clientului, iar Clientul aduce transferul la cunoștința participanților în propria Politică de Confidențialitate. Evaluarea Impactului Transferului efectuată mai sus de [PLATFORM PROVIDER] nu acoperă proiectele Firebase furnizate de Client.
Furnizorul de mesagerie. SendSMS.ro este stabilită în România (SEE), astfel încât transmiterea mesajelor nu atrage aplicarea Capitolului V din GDPR.
Anthropic PBC nu este o integrare furnizată de Client. Generarea cu AI se realizează printr-o singură cheie API la nivel de platformă, deținută de [PLATFORM PROVIDER]. Nu există acreditări per organizație și nici comutator per organizație, astfel încât Anthropic PBC este subîmputernicit al [PLATFORM PROVIDER] și este evaluat la Secțiunea 3.1.
3.3 Transferuri către Singapore și SUA (TikTok Pte. Ltd.)
Integrarea TikTok Events API pe partea de server este activă începând cu 8 mai 2026. Aceasta transmite câte un eveniment CompleteRegistration către business-api.tiktok.com la fiecare înregistrare, pentru orice organizație care a activat integrarea TikTok. Sunt transmise hash-uri SHA-256 pentru adresa de e-mail, prenumele, numele și identificatorul de înregistrare ale persoanei înregistrate, împreună cu adresa IP brută a acesteia, cu user agent-ul brut, cu identificatorul de click ttclid și cu valoarea cookie-ului _ttp. Pe această cale nu se transmite niciun număr de telefon: câmpul rămâne gol la asamblarea evenimentului, indiferent de numărul consemnat în fișa contactului. Nu există nicio condiție de consimțământ publicitar; singura suprimare este restricționarea prelucrării în temeiul art. 18 GDPR.
| Factor | Evaluare |
|---|---|
| Destinații | SUA și Singapore (centre de date TikTok, conform Anexei III) |
| Cadrul juridic | SUA — CLOUD Act, FISA Secțiunea 702, Ordinul Executiv 14086. Singapore — nicio decizie de adecvare în temeiul art. 45 GDPR |
| Mecanismul de adecvare | Niciunul. TikTok Pte. Ltd. nu deține certificare în cadrul EU-US Data Privacy Framework, iar Singapore nu face obiectul niciunei decizii de adecvare |
| Mecanismul de transfer | ⚠️ Neîncheiat. Clauzele Contractuale Standard au fost solicitate de la TikTok și nu au fost obținute |
| Riscul de acces al autorităților | Necesită analiza dreptului din Singapore și a posibilității de acces din partea entităților grupului TikTok stabilite în afara SEE. ⚠️ Neevaluat |
| Măsuri suplimentare | Câmpurile direct identificatoare sunt transformate în hash SHA-256 înainte de transmitere. Adresa IP și user agent-ul sunt transmise fără hash, iar hash-urile îi sunt furnizate TikTok tocmai pentru a fi corelate cu propriile sale evidențe de utilizatori, astfel încât transformarea în hash nu funcționează drept măsură suplimentară eficace pentru acest transfer |
| Risc rezidual | ⚠️ Neevaluat |
Concluzie: Nu a fost consemnată nicio decizie de suspendare sau de continuare a transferului către TikTok. Concluzia de la Secțiunea 3.1 se limitează la destinatarii evaluați acolo și nu se extinde asupra TikTok Pte. Ltd.
GAP-CONTRACT-02 · CONTRACT — DEFICIENȚĂ CUNOSCUTĂ, REMEDIERE ÎN CURS
Prezenta anexă descria anterior o evaluare a transferurilor către Statele Unite limitată la Google LLC și la Railway Corp., cu concluzia că nu se impune nicio suspendare a transferurilor. În realitate, TikTok Events API transmite către TikTok Pte. Ltd., în Statele Unite și în Singapore, la fiecare înregistrare începând cu 8 mai 2026, identificatori de contact sub formă de hash, împreună cu adresa IP și user agent-ul persoanei înregistrate, în formă brută, fără Clauze Contractuale Standard încheiate și fără nicio condiție de consimțământ publicitar. Această neconcordanță este consemnată în registrul de remediere a conformității și face obiectul unei analize.
4. Starea SCC-urilor Subîmputerniciților
| Subîmputernicit | Mecanism de Transfer | Modul SCC | Status |
|---|---|---|---|
| Google LLC (Firebase / Cloud) | EU-US DPF + DPA Google Cloud | Modulul 3 (P2P) | Activ — Google aplică automat |
| Railway Corp. | ⚠️ Niciunul încheiat — exclusiv implementare în regiunea UE | Modulul 3 (P2P), dacă va fi încheiat | ⚠️ Neîncheiat — Termenii de Prelucrare a Datelor au fost solicitați de la Railway și nu au fost obținuți |
| NewsmanApp SRL | Nu sunt necesare SCC-uri (SEE) | N/A | România (UE) |
| Anthropic PBC | ⚠️ Nu a fost stabilit | Modulul 3 (P2P), dacă va fi încheiat | ⚠️ Neîncheiat — la dosar nu figurează niciun acord, nicio Clauză Contractuală Standard și niciun mecanism întemeiat pe o decizie de adecvare |
| Cloudflare, Inc. | DPA Cloudflare pentru Clienți + SCC-uri | Modulul 3 (P2P) | Activ — termenii standard Cloudflare |
| Meta Platforms, Inc. | Termenii de Prelucrare a Datelor Meta + SCC-uri, prin contul publicitar al Clientului | Modulul 3 (P2P) | Activ — termenii standard Meta; ⚠️ încadrarea exportatorului face obiectul unei analize (Secțiunea 3.2) |
| Google LLC (Google Analytics / Google Ads) | EU-US DPF + Termenii de Prelucrare a Datelor Google Ads, prin contul publicitar al Clientului | Modulul 3 (P2P) | Activ — Google aplică automat; ⚠️ încadrarea exportatorului face obiectul unei analize (Secțiunea 3.2) |
| TikTok Pte. Ltd. | ⚠️ Nu a fost stabilit | Modulul 3 (P2P), dacă va fi încheiat | ⚠️ Neîncheiat — SCC-urile au fost solicitate de la TikTok și nu au fost obținute; Events API pe partea de server este activ (Secțiunea 3.3) |
| LinkedIn Corporation (Microsoft) | DPA Microsoft pentru Produse și Servicii + SCC-uri | Modulul 3 (P2P) | Neimplementat — nu are loc niciun transfer |
| Microsoft Corporation (Microsoft Clarity), contractat pentru clienții din UE prin Microsoft Ireland Operations Limited | DPA Microsoft pentru Produse și Servicii + SCC-uri în interiorul grupului | N/A — Microsoft acționează în calitate de operator independent | Activ — termenii standard Microsoft |
| SendSMS.ro | Nu sunt necesare SCC-uri (SEE) | N/A | România (UE) |
Copii ale instrumentelor de transfer identificate mai sus ca fiind active, indiferent dacă au fost încheiate ori se aplică automat, sunt disponibile la cerere scrisă adresată la [PLATFORM PROVIDER LEGAL EMAIL]. Pentru un instrument marcat drept neîncheiat sau nestabilit nu poate fi furnizată nicio copie, întrucât un astfel de instrument nu există.
GAP-CONTRACT-01 · CONTRACT — DEFICIENȚĂ CUNOSCUTĂ, REMEDIERE ÎN CURS
Prezenta anexă descria anterior mecanismul de transfer Railway drept „SCC-uri (Modulul 3) + regiune UE", cu statusul „Activ — DPA Railway", și oferea la cerere, fără nicio rezervă, copii ale Clauzelor Contractuale Standard încheiate sau aplicate automat. Nu au fost obținute nici Acordul de Prelucrare a Datelor cu Railway, nici Clauze Contractuale Standard — Anexa III consemnează garanția ca fiind solicitată și încă neobținută —, astfel încât transferul se întemeiază exclusiv pe implementarea în regiunea UE și nu există niciun instrument care ar putea fi furnizat la cerere. Această neconcordanță este consemnată în registrul de remediere a conformității și face obiectul unei analize.
5. Actualizări ale Prezentei Anexe
[PLATFORM PROVIDER] va actualiza prezenta Anexă atunci când:
- Un nou subîmputernicit necesită garanții pentru transferul internațional
- Comisia Europeană actualizează sau înlocuiește modelele de SCC-uri
- EU-US Data Privacy Framework este invalidat sau modificat în mod semnificativ
- Sunt adoptate sau revocate noi decizii de adecvare
Clienții vor fi notificați în conformitate cu Secțiunea 5.3 din DPA (Modificări ale Subîmputerniciților) și cu Secțiunea 15.2 din DPA (Modificări ale Anexelor), care prevăd un preaviz de 30 de zile pentru adăugarea de subîmputerniciți.
Transferuri apărute după întocmirea prezentei Anexe. Următoarele modificări relevante pentru transferuri au produs efecte după întocmirea prezentei Anexe și sunt reflectate pentru prima dată în tabelele de mai sus:
- 22 februarie 2026 — generare cu AI prin Anthropic PBC (SUA)
- 21 aprilie 2026 — vizualizare de pagină transmisă pe server prin Meta Conversions API de pe paginile de destinație ale funnel-urilor
- 8 mai 2026 — oglindirea pe server prin TikTok Events API (SUA și Singapore)
- 10 iunie 2026 — Cloudflare, Inc. a fost interpusă, în producție, drept proxy invers în fața traficului participanților
Prezenta Anexă nu consemnează nicio notificare prealabilă a acestor adăugări în temeiul Secțiunii 5.3 din DPA.
GAP-CONTRACT-04 · CONTRACT — DEFICIENȚĂ CUNOSCUTĂ, REMEDIERE ÎN CURS
Prezenta anexă descria anterior obligația de a fi actualizată ori de câte ori un nou subîmputernicit necesită garanții pentru transferul internațional, iar Secțiunea 6.2 din DPA angajează [PLATFORM PROVIDER] să revizuiască anual Evaluarea Impactului Transferului. Patru modificări relevante pentru transferuri au produs efecte între februarie și iunie 2026 fără ca prezenta Anexă să fie revizuită, iar nicio revizuire anuală finalizată a Evaluării Impactului Transferului nu este consemnată. Această neconcordanță este consemnată în registrul de remediere a conformității și face obiectul unei analize.
6. Contact pentru Încheierea SCC-urilor
E-mail: [PLATFORM PROVIDER LEGAL EMAIL] Subiect: „Cerere de încheiere a SCC-urilor — [Customer Name]"
Răspuns în termen de 5 zile lucrătoare.
Versiunea Documentului: 1.0 (DRAFT) Întocmit de: [Legal Team] Stadiul Revizuirii: ⚠️ NECESITĂ REVIZUIRE JURIDICĂ — Concluziile TIA și alegerea modulelor SCC trebuie validate de un consilier GDPR calificat înainte de utilizare.
Ultima actualizare: [DATE]