Acord prelucrare date (DPA)

Email 360 — angajamentul nostru față de protecția datelor conform GDPR Art. 28.

1. Cine procesează datele tale

Email 360 (operator: Email 360 (True Media Design)) este persoana împuternicită conform GDPR Art. 28 pentru datele pe care le procesezi prin platforma noastră — contacte, conținut email, evenimente de tracking, segmente, campanii.

Tu rămâi operatorul de date pentru destinatarii tăi. Email 360 procesează datele doar pe baza instrucțiunilor tale documentate prin folosirea platformei (trimitere campanii, sincronizare inbox, segmentare, automatizări).

2. Locație infrastructură: EU Frankfurt

Toate datele sunt găzduite în Uniunea Europeană (Frankfurt, Germania) pe servere Mochahost. NU transferăm date în afara EU/SEE fără mecanism legal valid (Standard Contractual Clauses + măsuri suplimentare conform Schrems II).

3. Sub-procesori autorizați

Pentru a livra serviciul, Email 360 folosește următorii sub-procesori. Lista e publicată transparent și actualizată la fiecare schimbare. Notificare cu 30 zile înainte la adăugare/schimbare, conform GDPR Art. 28(2).

Sub-procesor	Rol	Locație	Bază legală
Mochahost (Tier.Net) Privacy Policy	Hosting aplicație + DB MySQL	EU — Frankfurt 🇩🇪	SCC (US parent, EU server)
Resend DPA	Livrare email transactional / campanii	EU + US (SCC)	SCC + EU pop-uri când posibil
Anthropic (Claude) Commercial Terms	AI compose / classify (BYOK opt-in)	US (SCC)	Zero retention pe API (default), BYOK per-user
Sentry DPA	Error tracking (no PII în payload)	EU (Frankfurt)	SCC + scrubbing PII
Stripe DPA	Procesare plăți abonament (opțional viitor)	EU + US (SCC)	SCC + tokenization

4. Drepturile destinatarilor tăi (GDPR Art. 15-22)

Email 360 te ajută să răspunzi cererilor destinatarilor prin funcționalități built-in:

• Acces (Art. 15) — Export CSV / JSON per contact din /app/contacte.
• Rectificare (Art. 16) — Edit inline pe orice contact.
• Ștergere (Art. 17) — Bulk delete + GDPR purge cu istoric de audit (funcția I.11 livrată Faza 5 v0.7.0).
• Restricționare (Art. 18) — Marchează cont ca „suspended” — exclus din campanii și automatizări.
• Portabilitate (Art. 20) — Export CSV / JSON cu toate atributele.
• Opoziție (Art. 21) — Dezabonare 1-click conformă RFC 8058 + pagină publică preferințe (P3.32 + P3.56).

5. Măsuri tehnice și organizatorice

• Encrypție în tranzit: TLS 1.3 obligatoriu (HTTPS strict).
• Encrypție în repaus: chei API (BYOK Anthropic/OpenAI) cu AES-256 prin APP_KEY Laravel.
• Backup zilnic MySQL + retenție 14 zile.
• Multi-tenancy strictă: scoping `tenant_id` global pe toate query-urile (BelongsToTenant trait, fail-safe).
• Audit log pe acțiuni administrative (super-admin, schimbări plan, ștergeri date).
• Acces personal limitat (need-to-know basis).

6. Notificare incidente (GDPR Art. 33-34)

În caz de breach de securitate cu impact asupra datelor tale, te notificăm fără întârziere nejustificată, în max 72 ore de la descoperire, conform Art. 33. Notificarea include natura breach-ului, categoriile de date afectate, măsuri luate, contact responsabil.

7. Durata stocării

• Datele de cont (utilizator, organizație): pe durata abonamentului + 30 zile după închidere (pentru reactivare).
• Date de campanii și inbox: pe durata abonamentului. La închidere cont: export disponibil 30 zile, apoi ștergere automată.
• Log-uri tehnice (audit, errors): 90 zile.
• Backup-uri: 14 zile rolling.

8. Contact responsabil protecție date

Pentru orice cerere GDPR sau întrebare DPA: dpo@email-360.ro.