Acord de prelucrare a datelor

1. Părțile

Operatorul este școala de șoferi care deține contul DrivingOS. Școala decide ce date se colectează despre cursanți și în ce scop.

Persoana împuternicită este CREATIVEAPP S.R.L., CUI 52963046, cu sediul în str. Pictor Ion Andreescu nr. 1A, mun. Bacău, jud. Bacău, care furnizează platforma DrivingOS și prelucrează datele exclusiv la instrucțiunea școlii.

Acordul se aplică din momentul în care școala începe să folosească platforma și ține cât timp există contul.

2. Ce avem voie să facem cu datele

Prelucrăm datele numai pentru a furniza platforma școlii: stocare, afișare, generarea documentelor pe care le cere școala, trimiterea notificărilor pe care școala le configurează, copii de siguranță și asistență tehnică la cerere.

Nu folosim datele cursanților în scopuri proprii. Nu le vindem, nu le închiriem, nu le folosim pentru publicitate și nu antrenăm modele cu ele.

Dacă o instrucțiune primită de la școală ni se pare că încalcă legislația privind protecția datelor, o semnalăm și putem suspenda executarea ei până la clarificare.

3. Confidențialitate

Accesul la datele școlii este limitat la persoanele care au nevoie de el pentru operarea și mentenanța platformei, toate obligate la confidențialitate. Nu accesăm datele dintr-un cont decât pentru mentenanță sau la o solicitare de asistență venită de la școală.

4. Măsuri de securitate

Măsurile tehnice și organizatorice aplicate platformei:

• check_circle Izolarea datelor intre scoli. Fiecare scoala are propria schema de baza de date. Separarea nu depinde de un filtru scris in cod, ci de conexiunea insasi.
• check_circle Control al accesului pe roluri. Drepturile se acorda per modul si per actiune, cu exceptii per utilizator. Rolul este atribuit explicit, nu dedus.
• check_circle Criptare in tranzit. Tot traficul ruleaza pe HTTPS, cu HSTS activ.
• check_circle Copii de siguranta criptate. Backup zilnic al bazei de date si al fisierelor, criptat, cu retentie 7 zile / 6 luni / 2 ani.
• check_circle Criptarea secretelor stocate. Credentialele catre sisteme externe ale scolii sunt criptate simetric si nu sunt afisate niciodata in interfata.
• check_circle Jurnal de audit. Modificarile asupra datelor sunt inregistrate cu autor, moment si valoare anterioara.
• check_circle O singura sesiune activa. Autentificarea dintr-un loc nou incheie sesiunea anterioara.

5. Sub-procesatori

Școala autorizează, prin acceptarea acestui acord, furnizorii din Anexa 2. Lista este completă, nu exemplificativă: în afara ei, niciun terț nu prelucrează datele școlii.

Dacă intenționăm să adăugăm sau să înlocuim un sub-procesator, anunțăm școala cu cel puțin 30 de zile înainte. Dacă școala se opune motivat, poate rezilia serviciul fără penalități, iar sumele plătite în avans pentru perioada neutilizată se restituie.

Fiecare sub-procesator este obligat contractual la același nivel de protecție ca cel din acest acord. Răspundem față de școală pentru faptele lor ca pentru ale noastre.

6. Drepturile cursanților

Cursantul își exercită drepturile față de școală, care este operatorul. Noi punem la dispoziție, în aplicație, mijloacele necesare: acces, rectificare, export și ștergere.

Dacă primim direct o cerere de la un cursant, nu îi răspundem pe fond — o redirecționăm către școală, fără întârziere.

7. Incidente de securitate

Dacă luăm cunoștință de o încălcare a securității care afectează datele școlii, o anunțăm în cel mult 24 de ore, cu ce știm la acel moment: ce s-a întâmplat, ce date sunt afectate, ce am făcut și ce recomandăm.

Notificarea către autoritatea de supraveghere și, unde e cazul, către persoanele vizate, rămâne obligația școlii, ca operator. O sprijinim cu informațiile pe care le deținem.

8. Audit

La cerere, punem la dispoziția școlii informațiile necesare pentru a demonstra respectarea obligațiilor din acest acord. Școala poate solicita un audit, cu un preaviz rezonabil, în timpul programului de lucru și fără a afecta securitatea datelor celorlalte școli din platformă.

9. Ștergerea și returnarea datelor

La încetarea contractului, școala își poate exporta datele. După expirarea perioadei de export, ștergem datele din sistemele active.

Copiile de siguranță expiră automat conform ciclului de retenție (7 zile / 6 luni / 2 ani) și nu sunt accesate în acest interval decât pentru restaurare.

10. Transferuri în afara UE

Datele școlii sunt găzduite în România. Un singur sub-procesator este o societate din afara UE — este marcat ca atare în Anexa 2, împreună cu temeiul transferului.

Anexa 1 — obiectul prelucrării

Persoane vizate

• Cursanti si candidati inscrisi la scoala de soferi
• Parinti sau reprezentanti legali, in cazul cursantilor minori
• Instructori si personal auxiliar al scolii
• Utilizatori cu cont in aplicatia scolii

Categorii de date

Anexa 2 — sub-procesatori autorizați

Lista de mai jos este completă la data de 18 septembrie 2026 și cuprinde toți terții care pot prelucra datele introduse de școală în aplicație.

Servicii care NU prelucrează datele școlii

Le enumerăm ca să fie clar de ce lipsesc din lista de mai sus — nu din omisiune, ci pentru că nu ating datele cursanților.

Servicii de pe site-ul public

Rulează doar pe drivingos.ro, nu în aplicația școlii, și sunt controlate prin bannerul de consimțământ.

• Google (Tag Manager, Analytics 4, Ads) — Masurarea traficului si a conversiilor pe site-ul public. Date de navigare ale vizitatorului site-ului drivingos.ro, controlate prin bannerul de consimtamant si Google Consent Mode v2.
• Meta Platforms (Conversions API) — Masurarea conversiilor din campanii, pe site-ul public. Evenimente de conversie de pe drivingos.ro, trimise doar dupa consimtamant.