← Legal
EN·RO
ÎN VIGOARE · v1.0 · 2026-08-14

BadMars — Lista subîmputerniciților (sub-processors)

Versiune efectivă v1.0 (2026-08-14). Pentru consumatorii din România, versiunea română este versiunea contractuală obligatorie.

BadMars (operat de Nivobit Digital SRL, România — exportatorul din SEE) recurge la terții din registru pentru a opera Serviciul. Un subîmputernicit (sub-processor) prelucrează date cu caracter personal în numele BadMars, atunci când BadMars acționează în calitate de persoană împuternicită de operator. Un furnizor care determină în mod independent scopurile sau mijloacele esențiale ale prelucrării sale este menționat la secțiunea Operatori independenți / destinatari.

Notificarea modificărilor

Oferim o notificare prealabilă de 30 de zile cu privire la orice subîmputernicit nou sau înlocuit, înainte ca acesta să înceapă să prelucreze date cu caracter personal — o nouă versiune a acestei pagini, plus un e-mail către titularii de nivel business (Fleet/Enterprise), care pot formula obiecții; remediul pentru o obiecție susținută este încetarea contractului.

Registrul transferurilor — subîmputerniciți (persoane împuternicite de operator)

Fiecare înregistrare reprezintă un lanț de prelucrare. Faptele provin din documentele proprii ale furnizorului; VERIFY marchează ceea ce trebuie confirmat la data publicării.

Anthropic — inferență AI (analiza principală a Panelului / Panel)

  • Entitate contractantă: Anthropic Ireland, Limited (Dublin) — clienții din SEE/UK/Elveția contractează cu entitatea irlandeză în temeiul Commercial Terms ale Anthropic (în vigoare din 17 iun. 2025); Anthropic, PBC este entitatea pentru SUA/restul lumii.
  • Rol RGPD: subîmputernicit (sub-processor)
  • Categorii de date: textul materialului transmis (Payload); conținutul raportului (Report)/discuției ulterioare (Debrief), în mod tranzitoriu, pentru generare
  • Locul prelucrării: entitate contractantă din SEE; inferență ulterioară în Statele Unite (fără regiune de inferență în UE)
  • Transfer ulterior (SEE → SUA): transferul propriu al Anthropic în temeiul DPA-ului său — nu este un flux direct BadMars → SUA (DPA §12.3). BadMars → Anthropic Ireland este intra-SEE.
  • Importatorul este supus art. 3 RGPD?:
  • Mecanism de transfer (etapa ulterioară): SCC — Decizia Comisiei 2021/914 (Modulul 2/3) + addenda UK/Elveția. Anthropic NU este certificat DPF (DPA-ul său specifică SCC; nicio înregistrare în registrul DPF).
  • Antrenare permisă?: Nu — Commercial Terms: „Anthropic may not train models on Customer Content from Services."
  • Retenție la furnizor: ștergere automată standard în termen de 30 de zile; până la 2 ani (intrări/ieșiri) / 7 ani (scoruri de clasificare) doar dacă este semnalat de trust-&-safety. ZDR neactivat (cont comercial/pe credit, self-serve — confirmat de proprietar). Notă: „Covered Models" (clasa Mythos) implică o retenție obligatorie de 30 de zile chiar și în regim ZDR (în vigoare din 9 iun. 2026) —
  • Ultima verificare:
  • Dovezi: Commercial Terms (anthropic.com/legal/commercial-terms) · DPA (anthropic.com/legal/data-processing-addendum) · retenție (privacy.claude.com, art. 7996866) · subîmputerniciți (trust.anthropic.com/subprocessors —

OpenAI — inferență AI (failover + text embeddings)

  • Entitate contractantă: OpenAI Ireland Ltd (Dublin) — clienții din SEE/Elveția, de la termenii din 15 feb. 2024. Entitatea din SUA = OpenAI, L.L.C. / OpenAI OpCo —
  • Rol RGPD: subîmputernicit (sub-processor)
  • Categorii de date: aceleași ca la Anthropic, doar când sunt direcționate către OpenAI sau pentru embeddings
  • Locul prelucrării: entitate contractantă din SEE cu prelucrare ulterioară în SUA (infrastructură principală Azure)
  • Transfer ulterior (SEE → SUA): în temeiul DPA-ului OpenAI — a nu se caracteriza drept un transfer direct BadMars → SUA (DPA §12.3)
  • Importatorul este supus art. 3 RGPD?:
  • Mecanism de transfer (etapa ulterioară): prelucrarea ulterioară în țări terțe a OpenAI Ireland este supusă garanțiilor din DPA-ul OpenAI — SCC 2021/914 + UK Addendum (importatorul/modulul ulterior exact este păstrat în dovezile interne de transfer, nu afirmat public). OpenAI NU este certificat DPF (doar SCC conform DPA-ului său; coroborat de analize juridice).
  • Antrenare permisă?: Nu — datele din API nu sunt folosite pentru antrenare din 1 mar. 2023 (doar prin opt-in)
  • Retenție la furnizor: monitorizarea abuzurilor timp de 30 de zile; ZDR/Modified Abuse Monitoring doar pentru clienți eligibili aprobați + endpoint-uri prin echipa de vânzări — neactivat
  • Ultima verificare:
  • Dovezi: DPA (openai.com/policies/data-processing-addendum, v.010126 —· ghid data-controls (developers.openai.com) · lista subîmputerniciților (openai.com/policies/sub-processor-list —

Hetzner Online GmbH — găzduire, bază de date, stocare de obiecte, backup-uri

  • Entitate contractantă: Hetzner Online GmbH (Germania). Regiunile din SUA și Singapore sunt operate de Hetzner US LLC / Hetzner Singapore Pte. Ltd. — BadMars folosește exclusiv locații din UE/Germania.
  • Rol RGPD: subîmputernicit (sub-processor)
  • Categorii de date: toate datele de cont stocate, materialele transmise (Payloads), rapoartele, backup-urile
  • Locul prelucrării: Germania (UE); Hetzner prelucrează datele principale/de facturare exclusiv în UE; backup-urile rămân în regiunea aleasă
  • Mecanism de transfer: — (intra-UE, niciunul) pentru utilizarea în regiunea UE; DPF N/A (entitate germană)
  • Retenție la furnizor: conform contractului / până la ștergere
  • Ultima verificare:
  • Dovezi: pagina de protecție a datelor (docs.hetzner.com) · DPA (hetzner.com/AV/DPA_en.pdf; semnare din cont) · PDF cu subîmputerniciți la hetzner.com/AV —

Cloudflare, Inc. — DNS, CDN, WAF, protecție anti-bot Turnstile

  • Entitate contractantă: Cloudflare, Inc. (Delaware, SUA) — singura entitate contractantă/importatoare pentru clienții din UE (Customer DPA v6.4, în vigoare din 3 apr. 2026)
  • Rol RGPD: subîmputernicit (sub-processor)
  • Categorii de date: adresă IP, metadatele cererilor, semnale de provocare Turnstile
  • Locul prelucrării: rețea edge distribuită geografic / Statele Unite (fără fixare exclusiv în UE pentru serviciile generale)
  • Importator din țară terță: Cloudflare, Inc. (SUA) — BadMars → Cloudflare este un transfer direct SEE → SUA
  • Importatorul este supus art. 3 RGPD?:
  • Mecanism de transfer: DPF-first — Cloudflare se autocertifică pentru DPF EU-US + UK Extension + Swiss-US (participant #5666 —
  • Retenție la furnizor:
  • Ultima verificare:
  • Dovezi: DPA v6.4 (cloudflare.com/cloudflare-customer-dpa) · lista subîmputerniciților (cloudflare.com/gdpr/subprocessors, act. 1 oct. 2025)

Resend (Plus Five Five, Inc.) — e-mail tranzacțional

  • Entitate contractantă: Plus Five Five, Inc. (San Francisco, SUA) — transfer direct SEE → SUA
  • Rol RGPD: subîmputernicit (sub-processor)
  • Categorii de date: adresă de e-mail, nume, conținutul mesajului tranzacțional
  • Locul prelucrării: Statele Unite
  • Importatorul este supus art. 3 RGPD?:
  • Mecanism de transfer: DPF (EU-US + UK Extension — participant #8907;
  • Retenție la furnizor: retenție a jurnalului de trimiteri timp de 30 de zile (Free/Pro/Scale; Enterprise flexibil); datele de cont șterse la 90 de zile după încetare; evidențele de conformitate păstrate 3 ani
  • Ultima verificare:
  • Dovezi: DPA (resend.com/legal/dpa, act. 31 dec. 2025) · changelog DPF (resend.com/changelog) · lista subîmputerniciților (resend.com/legal/subprocessors — 22 de subîmputerniciți din SUA, act. 15 iul. 2026)

Functional Software, Inc. (Sentry) — monitorizarea erorilor

  • Entitate contractantă: Functional Software, Inc. d/b/a Sentry (San Francisco, SUA)
  • Rol RGPD: subîmputernicit (sub-processor)
  • Categorii de date: date de diagnostic/eroare; identificatori tehnici incidentali (conținutul materialului transmis / payload este curățat înainte de trimitere)
  • Locul prelucrării: regiunea UE (Frankfurt) selectată (hosting ruling §7)
  • Acces la distanță / de administrare — expunere reziduală în afara SEE (documentele proprii ale Sentry): regiunea UE nu elimină expunerea în temeiul Capitolului V. Datele de cont/autentificare/2FA/token de acces/SSO și datele din jurnalul de audit al organizației, plus orice conținut al tichetelor de suport, sunt rezidente în SUA indiferent de regiune; suportul tehnic este operat printr-un afiliat din Canada (Sentry Software Canada Inc.) și prin Intercom, cu sediul în SUA. Se bazează pe DPF + SCC pentru acel transfer rezidual către SUA/CA.
  • Mecanism de transfer: DPF (EU-US + UK Extension + Swiss-US — participant #5869;
  • Retenție la furnizor:
  • Ultima verificare:
  • Dovezi: DPA v5.1.0 (sentry.io/legal/dpa, în vigoare din 29 mai 2024) · documente privind locația de stocare a datelor (docs.sentry.io) · lista subîmputerniciților (sentry.io/legal/subprocessors, act. 1 iun. 2026)

Operatori independenți / destinatari / persoane împuternicite pe partea de operator (nu subîmputerniciți de Conținut al Clientului)

Niciunul dintre rândurile Google nu este un subîmputernicit al Conținutului Clientului: OAuth este un operator independent, iar GA4 este o persoană împuternicită pentru analiza web a BadMars, pe partea de operator (nu Conținut al Clientului de nivel Fleet) — motiv pentru care ambele figurează aici, și nu în registrul transferurilor de mai sus.

Google — „Sign in with Google" (OAuth)

  • Rol: Operator independent pentru datele de cont pe care le returnează (mutat din registrul persoanelor împuternicite — v4).
  • Entitate contractantă: Google LLC / Google Ireland —
  • Date divulgate / primite: identificatorul contului Google, e-mail, nume — doar dacă utilizatorul alege această autentificare (sursă: Google, Privacy Policy Art. 14)
  • Transfer: guvernat de termenii proprii ai Google în calitate de operator
  • Dovezi: support.google.com/accounts (art. 12849458 / 12921417); business.safety.google/controllerterms

Google — Google Analytics 4 (condiționat de consimțământ)

  • Rol: persoana împuternicită pe partea de operator pentru analiză a BadMars, în temeiul Google Ads Data Processing Terms, condiționată de consimțământ în modul de bază Consent Mode — Google Analytics nu este contactat până când vizitatorul nu își exprimă consimțământul (owner ruling 2026-08-13; inginerie: loaderul GA setat pe modul de bază). Google Signals + funcțiile de publicitate OPRITE (verificat de proprietar) — cu Signals activat, Google devine operator asociat, așa că menținerea sa oprită păstrează poziția de persoană împuternicită.
  • Categorii de date: date de utilizare/analiză, identificatori online — doar după consimțământul pentru cookie-uri
  • Locul prelucrării: Statele Unite
  • Mecanism de transfer: DPF — Google LLC se autocertifică pentru DPF EU-US + Swiss-US (participant #5780, acoperă Google LLC + subsidiarele deținute integral din SUA, inclusiv Analytics; în vigoare pentru Ads/Analytics din 1 sep. 2023;
  • Dovezi: Google Ads Data Processing Terms (google.com/analytics/terms/dpa) · cadre de transfer (policies.google.com/privacy/frameworks) · business.safety.google/adsdatatransfers
  • (Comportamentul privind cookie-urile/consimțământul se regăsește în Politica privind cookie-urile.)

Paddle.com Market Ltd — Comerciant Înregistrat (Merchant of Record)

  • Rol: Operator independent al tranzacției de achiziție (vânzător înregistrat; gestionează plata, taxele, facturarea în temeiul propriilor termeni pentru cumpărători și al propriei politici de confidențialitate). Nu este un subîmputernicit al BadMars.
  • Date: datele de achiziție/tranzacție pe care cumpărătorul le furnizează către Paddle (niciun fel de date de card nu ajung la BadMars)
  • Dovezi: termenii Paddle pentru cumpărători/de confidențialitate —

Notă privind onestitatea în privința soluțiilor de rezervă (fallback)

OpenAI este menționat de la bun început deoarece serviciul poate direcționa inferența către el (failover și embeddings), chiar și în lunile în care nu o face niciodată. Menționarea acestei capabilități înseamnă că un failover la mijloc de lună nu constituie niciodată o modificare surprinzătoare a acestei pagini.

Adăugări viitoare (neactive în prezent)

  • Pixeli de publicitate — Meta Platforms (Facebook) și TikTok ar urma să fie adăugați pentru măsurarea de marketing, condiționați de consimțământ și menționați aici înainte de a intra în funcțiune. Aceștia acționează ca destinatari / operatori independenți (sau asociați) ai datelor de pixel; activarea lor declanșează, de asemenea, tratamentul „Do Not Sell or Share" din California, prevăzut în Politica de confidențialitate.
  • Apple / Google (operatori independenți) și RevenueCat (subîmputernicit) ar urma să fie adăugați pentru o viitoare aplicație mobilă, fiecare cu notificarea de 30 de zile menționată mai sus.