ACORD DE PRELUCRARE A DATELOR (DPA) — Art. 28 GDPR

1. DEFINIȚII

Termenii „date cu caracter personal", „prelucrare", „operator", „persoană împuternicită", „persoană vizată", „încălcare a securității" au înțelesul din art. 4 GDPR.

2. ROLURILE PĂRȚILOR

Pentru datele clienților și personalului salonului prelucrate prin platformă, Operatorul (Salonul) determină scopurile și mijloacele și este OPERATOR; Primer prelucrează aceste date EXCLUSIV în numele Operatorului și este PERSOANĂ ÎMPUTERNICITĂ. Primer rămâne OPERATOR SEPARAT doar pentru datele prelucrate în scopuri proprii de platformă (facturarea abonamentului, securitate, prevenirea fraudei, îmbunătățirea agregată a serviciului, obligații legale proprii). Prezentul articol se aplică sub rezerva excepțiilor prevăzute expres la art. 16 și 17, care descriu prelucrări în care Primer are calitatea de operator asociat, respectiv de operator în nume propriu.

3. OBIECT ȘI DURATĂ [Art. 28(3)]

Obiectul este prelucrarea necesară furnizării platformei Primer (programări, comunicări, gestiune salon, asistent AI, marketing inițiat de Operator). Durata = durata Acordului Principal, plus perioada de ștergere de la art. 11. Obiectul și durata stabilite la prezentul articol privesc prelucrarea pe care Primer o efectuează în numele Operatorului, în calitate de persoană împuternicită. Art. 16 și 17 descriu prelucrări în care Primer nu are această calitate, iar durata lor este cea prevăzută în articolele respective.

4. NATURA ȘI SCOPUL [Art. 28(3)]

Natura: colectare, înregistrare, organizare, structurare, stocare, adaptare, extragere, consultare, utilizare, transmitere către sub-împuterniciți, divulgare prin diseminare sau punere la dispoziție în alt mod, atunci când Operatorul dispune publicarea prin configurările platformei — în special site-ul public al Operatorului, paginile de rezervare, prezentarea echipei, galeria și catalogul de servicii, precum și conținutul propriu al Operatorului publicat în registrul de recenzii, restricționare, ștergere și distrugere. Scopul: gestionarea programărilor și a relației cu clienții salonului, trimiterea de notificări/SMS/e-mail, procesarea plăților, raportare, funcții de asistent AI, campanii de marketing dispuse de Operator — strict conform instrucțiunilor Operatorului.

5. TIPURI DE DATE ȘI CATEGORII DE PERSOANE VIZATE [Art. 28(3)]

Persoane vizate: clienții salonului, vizitatorii site-ului, personalul/colaboratorii salonului. Tipuri de date: nume, telefon, e-mail, istoric programări și servicii, preferințe, note (inclusiv eventuale date privind alergii/scalp comunicate voluntar — date potențial sensibile, prelucrate doar la inițiativa Operatorului), date de plată tokenizate (prin Stripe), date de utilizare/analytics, identificatori publicitari acolo unde Operatorul activează marketingul. Primer nu solicită categorii speciale de date; dacă Operatorul le introduce, răspunde de temeiul legal. Se adaugă la tipurile de date de mai sus, ca date publicate: conținutul recenziei, nota, modul de afișare a autorului ales de acesta, ziua sau luna vizitei potrivit acelui mod, denumirea serviciului și numele afișat al persoanei care l-a prestat, precum și răspunsul public al Operatorului. Date puse la dispoziție potrivit art. 17: identificatorul intern al rezervării, ziua calendaristică locală a acesteia, clasa și starea ei la momentul sigilării și cele cinci elemente de eligibilitate enumerate la art. 17 lit. (c); persoanele vizate corespunzătoare sunt clienții Operatorului care au efectuat o rezervare prin canalul online.

6. INSTRUCȚIUNILE OPERATORULUI [Art. 28(3)(a)]

Primer prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului (inclusiv acest DPA, Acordul Principal și configurările din platformă), inclusiv pentru transferuri internaționale, cu excepția obligațiilor impuse de dreptul UE/al statului membru — caz în care Primer informează Operatorul înainte, dacă legea nu interzice. Primer informează imediat Operatorul dacă o instrucțiune încalcă, în opinia sa, GDPR.

7. CONFIDENȚIALITATE [Art. 28(3)(b)]

Primer asigură că personalul autorizat s-a angajat la confidențialitate sau este supus unei obligații legale de confidențialitate, pe baza principiului „need-to-know".

8. SECURITATE [Art. 28(3)(c) cu Art. 32]

Primer implementează măsuri tehnice și organizatorice adecvate, incluzând: criptare în tranzit (TLS) și în repaus pentru datele sensibile; control al accesului bazat pe roluri și autentificare; izolarea multi-tenant a datelor pe salon; tokenizarea datelor de card (delegată Stripe — Primer nu stochează PAN); jurnale de audit pentru operațiuni privind bani/autentificare/date de tenant; copii de rezervă și capacitate de restaurare; testare periodică; segregarea mediilor dev/prod; gestionarea secretelor în Azure Key Vault; limitarea ratei pe endpoint-urile sensibile.

9. SUB-ÎMPUTERNICIȚI [Art. 28(2) și 28(3)(d)]

Operatorul acordă o AUTORIZAȚIE GENERALĂ pentru sub-împuterniciții din Anexa 1. Primer impune fiecăruia, prin contract, obligații echivalente de protecție a datelor și rămâne pe deplin răspunzător față de Operator. Primer notifică Operatorul cu cel puțin 30 de zile înainte de adăugarea/înlocuirea unui sub-împuternicit; Operatorul poate obiecta motivat din motive de protecție a datelor, iar dacă nu se găsește o soluție, poate rezilia serviciul afectat.

10. ASISTENȚĂ [Art. 28(3)(e) și (f)]

(e) Primer asistă Operatorul în a răspunde cererilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). (f) Primer asistă Operatorul la conformitatea cu art. 32-36: securitate, notificarea încălcărilor și DPIA/consultarea prealabilă. Notificare încălcare: Primer informează Operatorul FĂRĂ ÎNTÂRZIERE NEJUSTIFICATĂ (țintă: 48 de ore de la luarea la cunoștință), cu natura încălcării, categoriile și numărul aproximativ de persoane/înregistrări, consecințele probabile și măsurile luate, pentru a permite notificarea în 72 de ore conform art. 33.

11. ȘTERGERE/RESTITUIRE [Art. 28(3)(g)]

La încetarea serviciilor, la alegerea Operatorului, Primer șterge sau returnează toate datele și șterge copiile existente, în termen de 30 zile, cu excepția cazului în care legea impune păstrarea. Copiile din backup-uri se suprascriu conform ciclului de rotație.

12. AUDIT [Art. 28(3)(h)]

Primer pune la dispoziția Operatorului toate informațiile necesare pentru a demonstra conformitatea cu art. 28 și permite audituri/inspecții de către Operator sau un auditor mandatat, cu preaviz rezonabil (min. 30 de zile), cel mult o dată pe an (sau la o încălcare confirmată / cerere a autorității), în orele de program, fără perturbare disproporționată și sub confidențialitate. Primer poate satisface această obligație și prin certificări/rapoarte relevante.

13. TRANSFERURI INTERNAȚIONALE

Pentru orice transfer în afara SEE, Părțile se bazează pe Clauzele Contractuale Standard (CCS) ale UE (Decizia 2021/914), modulul corespunzător, încorporate prin referință, plus măsuri suplimentare unde e necesar. Anumiți sub-împuterniciți (ex. Anthropic, Meta, Google) pot prelucra date în SUA pe baza CCS și/sau a EU-US Data Privacy Framework.

14. RĂSPUNDERE

Răspunderea fiecărei Părți decurge din art. 82 GDPR. Limitările din Acordul Principal se aplică cumulat, fără a limita răspunderea care nu poate fi exclusă legal. Fiecare Parte răspunde pentru amenzile administrative imputabile.

15. PREVALENȚĂ

În caz de conflict privind protecția datelor, acest DPA prevalează asupra Acordului Principal.

16. OPERATORI ASOCIAȚI PENTRU REGULA DE INVITARE LA RECENZIE [Art. 26 GDPR]

Prin excepție de la art. 2, pentru UN SINGUR segment de prelucrare — regula care stabilește CINE primește invitația de a lăsa o recenzie după o vizită finalizată — Părțile sunt OPERATORI ASOCIAȚI în sensul art. 26 GDPR. Motivul este de fapt, nu de formă: Primer decide uniform, la nivel de platformă și per țară, temeiul și populația invitată (interes legitim plus excepția pentru clienți existenți acolo unde transpunerea art. 13(2) din Directiva 2002/58 a fost verificată, consimțământ în rest), iar Operatorul NU poate deroga — nici în plus, nici în minus. Cine determină scopul și mijloacele este operator, oricum s-ar numi în contract. REPARTIZAREA TRANSPARENTĂ A OBLIGAȚIILOR, cerută de art. 26 alin. (1): (a) Primer stabilește și publică regula de invitare, frecvența (o invitație per vizită eligibilă, o perioadă de răcire și un plafon pe viață) și conținutul invitației, care nu conține publicitate; (b) Operatorul este comerciantul în sensul excepției pentru clienți existenți (art. 13 alin. (2) din Directiva 2002/58, așa cum este transpusă în țara sa) — el a prestat serviciul, el a obținut direct contactul și invitația pleacă în numele lui; (c) Operatorul afișează mențiunea de colectare și oferă opoziția la momentul obținerii contactului, pe ușile pe care le operează el; (d) Primer asigură dreptul de opoziție (art. 21 GDPR) în fiecare mesaj, într-un singur pas și gratuit, și îl onorează definitiv, fără ca Operatorul să îl poată ridica; (e) Primer răspunde de informarea persoanelor vizate cu privire la această prelucrare (art. 13-14), prin politica de invitare la recenzie publicată de Primer și prin documentul public al registrului. ESENȚA ACESTUI ACORD SE PUNE LA DISPOZIȚIA PERSOANEI VIZATE, conform art. 26 alin. (2), prin aceeași politică publicată. Indiferent de repartizare, persoana vizată își poate exercita drepturile față de oricare dintre Părți (art. 26 alin. (3)); Părțile își transmit reciproc, fără întârziere, cererile primite. Pentru registrul public de recenzii — publicarea, ancorarea criptografică și garanția de onestitate a corpusului — Primer rămâne OPERATOR SEPARAT, nu operator asociat.

17. ANGAJAMENTUL ZILNIC ASUPRA POPULAȚIEI DE REZERVĂRI [Art. 28 alin. (10) și Art. 6 alin. (1) lit. f) GDPR]

Prin excepție de la art. 2 și în continuarea ultimului paragraf al art. 16, pentru prelucrarea denumită în continuare „angajamentul zilnic" — calcularea unei amprente criptografice pentru fiecare rezervare din populația definită mai jos, construirea și publicarea unei rădăcini zilnice peste acele amprente, ancorarea ei temporală, includerea capului de lanț al Operatorului în rădăcina zilnică de rețea a platformei, păstrarea materialului de deschidere și eliberarea dovezilor de apartenență — Primer acționează ca OPERATOR ÎN NUME PROPRIU, iar nu ca persoană împuternicită de Operator și nici ca operator asociat cu acesta. (a) MOTIVUL ÎNCADRĂRII, care este de fapt, nu de formă. Primer stabilește singur, uniform la nivelul platformei și fără drept de derogare al Operatorului, scopul acestei prelucrări și mijloacele ei esențiale: categoriile de destinatari, tipul de valori derivate care se calculează și se publică, regula de eligibilitate și versiunea ei, dimensiunea fixă a arborelui, ora sigilării și durata publicării. Potrivit art. 28 alin. (10) GDPR, cel care stabilește scopurile și mijloacele prelucrării este operator în ceea ce privește prelucrarea respectivă, oricum ar fi denumit în contract. În consecință, art. 6 din prezentul acord nu se aplică acestei prelucrări; activarea funcției de către Operator, descrisă la lit. (j), NU constituie o instrucțiune documentată în sensul art. 28 alin. (3) lit. a) GDPR, ci o condiție de care Primer își leagă propria prelucrare. (b) TEMEIUL JURIDIC. Primer prelucrează în temeiul art. 6 alin. (1) lit. f) GDPR. Interesul legitim urmărit este acela ca populația de rezervări din care pot pleca invitațiile la recenzie să fie fixată public înainte de a exista vreun răspuns, astfel încât afirmația că din ea nu s-a ales ulterior să nu mai fie doar declarată, ci și verificabilă; interesul este al Primer, al Operatorului și al persoanelor care citesc recenziile. Considerentul (47) GDPR recunoaște ca temei interesele legitime ale operatorului, ținând seama de așteptările rezonabile ale persoanelor vizate întemeiate pe relația lor cu operatorul. Evaluarea interesului legitim, cu testul necesității și cu punerea în balanță, este întocmită în scris înainte de prima prelucrare și se pune la dispoziția Operatorului și a persoanei vizate, la cerere. Nu se utilizează consimțământul: o valoare deja ancorată nu poate fi retrasă, iar un temei a cărui retragere nu poate fi onorată ar fi neconform prin construcție. (c) CE SE PRELUCREAZĂ. Populația unei zile este formată din rezervările Operatorului efectuate de client prin canalul online, a căror zi calendaristică locală, stabilită după fusul orar al locației, este cel târziu ziua respectivă și care nu au intrat într-un angajament anterior al Operatorului. Rezervările anulate, neprezentările și rezervările pe care Operatorul le-a eliminat din propriul calendar fac parte din populație, cu starea lor consemnată, tocmai pentru ca populația să nu poată fi restrânsă după ce a devenit cunoscut ce urmează. Populația unei zile are, în schimb, două margini de calendar, declarate aici pentru ca lipsa unei rezervări dintr-un angajament să nu poată fi citită niciodată ca o restrângere: nu cuprinde rezervările a căror zi este anterioară primului angajament publicat al Operatorului, pentru că un angajament nu se poate lua retroactiv asupra unei perioade pentru care el nu exista; și nu cuprinde rezervările a căror zi este mai veche decât fereastra de păstrare prevăzută la lit. (h), socotită de la ziua sigilată, pentru că pentru acele zile materialul de deschidere este deja distrus, iar o rezervare readusă într-un arbore de azi ar afirma că populația de azi a cuprins o vizită de acum câteva luni. Ambele margini sunt puse în aplicare de mecanism, în chiar interogarea care alcătuiește populația, și niciuna dintre ele nu este la îndemâna Operatorului. Pentru fiecare rezervare din populație se calculează o amprentă de 32 de octeți din: un separator de domeniu, versiunea regulii, identificatorul Operatorului, ziua calendaristică, un identificator mascat al rezervării obținut printr-o funcție cu cheie, un angajament separat asupra unui vector de eligibilitate de opt octeți cu lățime fixă, și un secret aleatoriu de 32 de octeți propriu acelei amprente. Vectorul de eligibilitate consemnează exclusiv: existența unui număr de telefon, existența unui temei de comunicare, faptul că persoana figurează pe lista de blocare a Operatorului, atingerea plafonului de invitații pe viață, existența unei recenzii anterioare a aceleiași persoane la Operator, starea rezervării la momentul sigilării și clasa rezervării. Amprentele sunt așezate în poziții alese aleatoriu într-un arbore de dimensiune fixă, identică în fiecare zi, în care sloturile rămase primesc amprente de umplutură calculate după aceeași regulă și indistinguibile de cele reale. Dacă rezervările unei zile depășesc dimensiunea arborelui, surplusul nu este exclus, ci amânat: acele rezervări rămân neintrate într-un angajament și intră în angajamentul unei zile următoare — motiv pentru care populația este definită prin „cel târziu ziua respectivă", iar nu prin „chiar ziua respectivă". Aceasta este a treia și ultima cauză pentru care o rezervare poate lipsi din angajamentul propriei zile; celelalte două sunt cele două margini de calendar de mai sus, iar toate trei sunt enumerate aici tocmai pentru ca absența să nu poată fi citită niciodată ca restrângere. (d) CE NU SE PRELUCREAZĂ NICIODATĂ ÎN ACEST SCOP. Ora rezervării sau a vizitei, serviciul prestat sau categoria lui, prețul, personalul care a prestat serviciul, locația, orice identificator al clientului și orice element derivat dintr-un identificator al clientului, precum și orice element care privește o recenzie. Aceste categorii nu intră în amprentă, nu intră în vector și nu se publică. (e) CE SE PUBLICĂ. Se publică, pentru fiecare zi calendaristică: ziua, un număr de ordine care crește cu exact o unitate pe zi, versiunea regulii, dimensiunea arborelui, rădăcina zilnică, amprenta intrării anterioare și amprenta intrării curente; separat, capul de lanț al Operatorului ca frunză a rădăcinii zilnice de rețea a platformei și ancorarea temporală a acesteia. O zi fără nicio rezervare produce o intrare care nu se deosebește de cea a unei zile pline. Documentul public poartă și o descriere a ceea ce angajamentul dovedește și a ceea ce nu dovedește. (f) CE NU SE PUBLICĂ NICIODATĂ. Nicio dovadă de apartenență; niciun secret; niciun identificator mascat; nicio poziție de amprentă în arbore; niciun identificator de rezervare; niciun moment mai fin decât ziua calendaristică, nici pentru intrare, nici pentru vreun element al ei; și niciun număr din care să reiasă câte rezervări a avut Operatorul în ziua respectivă — angajamentul nu conține un asemenea număr, prin construcție, iar dimensiunea arborelui este un parametru fix la care fiecare zi este adusă prin umplutură. (g) DOVADA DE APARTENENȚĂ. O dovadă că o anumită rezervare se afla în angajamentul zilei se eliberează, la cerere: persoanei vizate care a lăsat recenzia provenită din acea rezervare; unei autorități de supraveghere sau unei instanțe, în cadrul unei cereri sau proceduri; și unui auditor mandatat, sub obligație de confidențialitate. Dovada nu se publică niciodată și nu apare în niciun document public, export, interfață pentru agenți sau răspuns al asistentului. Vectorul de eligibilitate NU se deschide niciodată pe calea prin care persoana vizată își obține propria dovadă: acolo dovada poartă angajamentul asupra vectorului, nu conținutul lui. Vectorul se deschide exclusiv la o cerere expresă și motivată, adresată prin calea de administrare și de audit, consemnată ca atare, cu motivul consemnat odată cu ea; implicit, deschiderea este închisă, iar o cerere care nu arată motivul este refuzată înainte ca mecanismul să deschidă sau să citească ceva din sigiliu: nicio frunză, niciun secret, niciun vector și nicio dovadă nu se ating înaintea refuzului, iar o deschidere refuzată nu produce nicio dovadă. Eliberarea dovezii este mărginită de termenul de la lit. (h). După colapsul de păstrare al unei zile se mai poate elibera numai dovada de apartenență a unei rezervări din care a rezultat o recenzie publicată, calculată și păstrată înainte de colaps. Pentru orice altă rezervare a acelei zile nu mai există nimic de eliberat — nici la cererea persoanei vizate, nici la cererea unei autorități de supraveghere sau a unei instanțe, nici la cererea unui auditor — pentru că materialul de deschidere nu mai există la Primer. O recenzie publicată după împlinirea acelui termen nu poartă nicio dovadă de apartenență, iar răspunsul spune aceasta în termeni proprii, în loc să afirme că rezervarea nu ar fi fost sigilată. Primer consemnează fiecare eliberare de dovadă, la toate ușile prin care se eliberează, precum și dacă la acea eliberare vectorul a fost deschis și, la calea de administrare și de audit, motivul invocat; consemnează, la fel, cererea îndreptățită căreia mecanismul nu a avut ce să îi deschidă — pentru că rezervarea nu a fost sigilată, pentru că materialul ei a fost distrus la cererea persoanei sau pentru că ziua ei fusese deja uitată. Evidența unei eliberări numește ziua la care se referea numai cât timp materialul de deschidere al acelei zile mai există, iar la colapsul de păstrare de la lit. (h) se distruge împreună cu acel material, în chiar operațiunea care îl distruge; astfel, nicio evidență care numește o zi nu supraviețuiește lucrului pe care acea zi îl putea deschide. Orice altă evidență nu numește nicio zi — cererea căreia nu i s-a deschis nimic și eliberarea unei dovezi care a supraviețuit zilei din care provine — și se șterge la 90 de zile de la data la care a fost scrisă. Evidența nu poate fi modificată, iar ștergerea ei este admisă exclusiv pe traseul de uitare de la lit. (h) și numai după împlinirea termenului. Consemnarea nu este o urmare a eliberării, ci condiția ei: dacă evidența nu poate fi scrisă, dovada nu se eliberează. Cererea primește atunci un răspuns de indisponibilitate temporară, cu invitația de a reveni, și nu i se predă nimic. Regula este scrisă astfel pentru că altfel promisiunea de la teza întâi ar fi adevărată numai când platforma nu este ocupată, iar o promisiune adevărată numai uneori nu este promisiunea care se semnează aici. Cererea pe care Primer o refuză nu se consemnează în nicio evidență, la niciuna dintre uși, și nu din omisiune. Trei motive, fiecare de sine stătător: la ușa prin care persoana vizată își obține propria dovadă, orice solicitant neîndreptățit primește un răspuns identic, care nu arată dacă recenzia cerută există, iar un rând scris pe o recenzie anume ar răspunde tocmai la întrebarea pe care acel răspuns o refuză; rândul ar stoca o persoană care, prin ipoteza refuzului, nu este autorul recenziei pe care rândul o numește, ceea ce ar fi o prelucrare fără necesitate, contrară art. 5 alin. (1) lit. c) GDPR; și ar fi o scriere nemărginită, declanșată de un solicitant neautentificat. (h) PĂSTRAREA. Rădăcina zilnică, amprentele intrărilor și lanțul lor rămân publicate și ancorate pe durată nedeterminată: sunt un registru în care se poate doar adăuga, iar ancorarea lui temporală nu poate fi retrasă de niciuna dintre Părți. Materialul de deschidere — secretul amprentei, secretul vectorului, vectorul, identificatorul mascat și legătura cu rezervarea — se păstrează separat de artefactul publicat și sub măsuri de natură tehnică și organizatorică proprii, în sensul art. 4 pct. 5 GDPR, care cere ca informațiile suplimentare „să fie stocate separat și să facă obiectul unor măsuri de natură tehnică și organizatorică care să asigure neatribuirea respectivelor date cu caracter personal unei persoane fizice identificate sau identificabile"; separarea se raportează la artefactul publicat, în care materialul de deschidere nu apare în nicio formă. Materialul se păstrează numai atât timp cât servește scopului de la lit. (b), iar termenele sunt următoarele. Pentru o rezervare din care nu a rezultat o recenzie publicată: cel mult 90 de zile de la publicarea angajamentului zilei din care face parte. La împlinirea acestui termen, un mecanism automat care rulează zilnic distruge, pentru întreaga zi deodată și într-o singură operațiune care fie reușește în întregime, fie nu produce niciun efect: rândul de amprentă al fiecărei asemenea rezervări, cu tot ce poartă el — valoarea amprentei, poziția ei, secretul amprentei, secretul vectorului, vectorul, identificatorul mascat și legătura cu rezervarea — precum și sămânța din care se derivau amprentele de umplutură ale zilei. Din acel moment populația zilei respective nu mai poate fi recompusă, deschisă sau numărată de nimeni, Primer inclusiv. Pentru o rezervare din care a rezultat o recenzie publicată: până când recenzia respectivă încetează a mai fi publicată. Înaintea distrugerii descrise mai sus se calculează și se păstrează șirul de amprente care leagă amprenta acelei rezervări de rădăcina zilei, pentru ca dovada de la lit. (g) să supraviețuiască colapsului fără ca ceva din restul zilei să fie păstrat în acest scop. Termenul de 90 de zile este o regulă a mecanismului, nu un termen de punere în funcțiune, și el este scris ca atare și în baza de date: aceasta refuză distrugerea unei amprente a cărei zi se află încă în fereastră, refuză distrugerea unei amprente pe care o recenzie publicată o numește și refuză orice asemenea distrugere în afara operațiunii care o execută. Rezervarea însăși, păstrată de Primer pe propriul ei temei și cu propriul ei termen, nu este atinsă de această operațiune. Amprenta care rămâne după o distrugere cerută de persoana vizată intră în situația descrisă la lit. (i). (i) ȘTERGEREA (art. 17 GDPR) — EXECUTARE, NU DEROGARE. La cererea întemeiată a unei persoane vizate, Primer distruge secretul amprentei, secretul vectorului, conținutul vectorului, identificatorul mascat și legătura dintre amprentă și rezervare, consemnând momentul distrugerii; distrugerea este ireversibilă și este refuzată de baza de date dacă nu se face în întregime și dintr-o dată. Prin aceasta se elimină întregul conținut personal propriu amprentei. Amprenta unei persoane și poziția ei în arbore NU au fost publicate niciodată și nu se publică: potrivit lit. (e) și lit. (f), publicat rămâne numai ce este enumerat acolo, adică rădăcina zilnică ancorată, care angajează amprenta fără a o divulga. Pe evidența internă a Primer rămân valoarea amprentei și poziția ei, și rămân dintr-un motiv care privește alte persoane: fără ele rădăcina zilei nu se mai poate recompune, iar fiecare altă persoană din populația acelei zile își pierde dovada. În privința acestor două elemente, motivul de la art. 17 alin. (1) lit. (a) nu este întrunit cât timp ele rămân necesare scopului de la lit. (b); dacă cererea este întemeiată pe o opoziție potrivit art. 21 alin. (1), motivele legitime care prevalează, în sensul art. 17 alin. (1) lit. (c), sunt și ele mărginite la aceste două elemente: imposibilitatea retragerii unei valori deja ancorate și dreptul celorlalte persoane din aceeași populație de a-și păstra dovada. Această necesitate are un termen scurt, fix și scris: pentru o rezervare din care nu a rezultat o recenzie publicată, valoarea amprentei și poziția ei nu supraviețuiesc colapsului de păstrare de la lit. (h) — rândul se șterge în întregime, cel mult la 90 de zile de la ziua sigilată, deci reziduul dispare pentru toată lumea, Primer inclusiv, fără să fie nevoie de vreo cerere. Rămâne numai rădăcina zilei, care angajează o mulțime pe care nimeni nu o mai poate deschide. Pentru o rezervare din care a rezultat o recenzie publicată, reziduul se păstrează cât timp recenzia este publicată, iar motivul este cel arătat mai sus: fără el, dovada acelei recenzii și dovada celorlalte recenzii ale aceleiași zile nu se mai pot verifica. Această limitare se comunică persoanei, motivat, potrivit art. 12 alin. (4) GDPR; restul cererii se execută integral. Aceasta este executarea dreptului la ștergere, nu o derogare de la el: art. 4 pct. 2 GDPR include distrugerea printre operațiunile de prelucrare, iar art. 17 cere ca datele să nu mai fie atribuibile persoanei, nu ca un anumit octet să dispară dintr-un artefact public. Față de orice altă persoană decât Primer, amprenta angajată în rădăcina publicată nu este atribuibilă: preimaginea ei conține 32 de octeți de entropie generați criptografic, care au fost distruși, iar reconstituirea lor nu este un mijloc pe care să fie rezonabil probabil să îl utilizeze cineva, în sensul considerentului (26). Față de Primer, ceea ce rămâne nu adaugă nimic la ceea ce rezervarea păstrată de Primer, pe propriul ei temei și cu propriul ei termen, spune deja: din regula publicată la lit. (c) rezultă că orice rezervare online a unei zile face parte din angajamentul acelei zile, ceea ce se citește direct din evidența rezervărilor, fără nicio amprentă; la încetarea perioadei de păstrare a rezervării dispare și această cale. Primer menține, pe durata publicării, măsurile de care depinde concluzia de mai sus: funcția de amprentare rămâne una nespartă, iar la degradarea ei se emite o versiune nouă de regulă fără rescrierea celor vechi; secretele nu părăsesc platforma decât în dovezile de la lit. (g); secretele se generează dintr-un generator criptografic și niciodată dintr-un element al persoanei; iar Primer se obligă să mențină ciclul de suprascriere a copiilor de rezervă ale secretelor sub termenul de răspuns la o cerere de ștergere, să îl măsoare înainte de prima sigilare și să îl verifice cel puțin anual. Dreptul de a se opune, prevăzut la lit. (o), rămâne disponibil separat și produce efecte asupra viitorului. (j) ACTIVAREA, OPRIREA ȘI LIMITELE OPERATORULUI. Angajamentul se calculează pentru Operator numai dacă sunt îndeplinite, cumulativ: modulul de recenzii este activat de Operator; Operatorul a semnat prezenta versiune a acordului sau una ulterioară; și platforma deține cheia cu care se sigilează — în lipsa ei nu se calculează nicio amprentă, pentru niciun Operator. Operatorul poate opri modulul oricând, cu efect imediat asupra zilelor următoare. Operatorul NU poate modifica, retrage sau reordona un angajament deja publicat, nu poate scoate o rezervare dintr-o populație deja sigilată, nu poate adăuga una și nu poate cere recalcularea unei rădăcini. Aceste limite nu sunt o promisiune de conduită, ci sunt puse în aplicare de mecanismul însuși: baza de date refuză, față de oricine, modificarea oricăreia dintre valorile publicate ale unei intrări — ziua, numărul de ordine, versiunea regulii, dimensiunea arborelui, rădăcina, amprenta intrării anterioare și amprenta intrării curente — refuză ștergerea unei intrări, refuză golirea registrului și refuză orice zi lipsă din lanț. Singurele scrieri ulterioare admise sunt ale Primer, sunt enumerate limitativ și niciuna dintre ele nu atinge vreo valoare publicată: înscrierea marcării temporale de la lit. (l) împreună cu legătura către rădăcina zilnică de rețea în care a intrat capul de lanț — o singură operațiune, câte o dată pentru fiecare intrare — și colapsul de păstrare de la lit. (h), care distruge sămânța de umplutură și consemnează momentul, o singură dată. După oricare dintre ele, octeții publicați ai zilei sunt identici cu cei de dinainte. Oprirea modulului nu retrage angajamentele deja publicate. (k) PUNEREA DATELOR LA DISPOZIȚIE DE CĂTRE OPERATOR. Prin activarea prevăzută la lit. (j), Operatorul pune la dispoziția Primer, în calitatea acestuia de operator în nume propriu, datele enumerate la art. 5 sub titlul „date puse la dispoziție potrivit art. 17"; Operatorul răspunde de existența unui temei propriu pentru această punere la dispoziție, temei care, în lipsa unei alte alegeri comunicate în scris, este cel de la art. 6 alin. (1) lit. f) GDPR. Primer publică, în toate limbile platformei, un paragraf-model care descrie angajamentul zilnic și trimite la politica publicată de Primer. În măsura în care Operatorul menține o informare proprie a clienților săi potrivit art. 13 GDPR, el include în ea acel paragraf, la prima actualizare a informării și cel târziu în 90 de zile de la data efectivă a prezentei versiuni. Informarea persoanelor vizate cu privire la prelucrarea de la prezentul articol rămâne în sarcina Primer, care o realizează prin politica sa publicată și prin documentul public al registrului. Operatorul transmite Primer, fără întârziere, orice cerere primită de la o persoană vizată care privește angajamentul zilnic, iar Primer îi transmite Operatorului, în aceleași condiții, cererile pe care le primește și care privesc datele Operatorului. (l) MARCAREA TEMPORALĂ. Rădăcina zilnică de rețea a platformei este trimisă, sub forma unei singure valori de 32 de octeți, unei rețele publice de marcare temporală, pentru a se putea dovedi ulterior că valoarea exista la acel moment. Această valoare este rezultatul a cel puțin treisprezece niveluri succesive de amprentare peste amprenta oricărei rezervări și nu este însoțită de niciun alt element; ea nu privește o persoană fizică identificată sau identificabilă pentru operatorii rețelei respective, care nu dețin și nu pot obține informația suplimentară necesară atribuirii. În consecință, rețeaua de marcare temporală este un DESTINATAR TEHNIC DECLARAT al acestei valori, iar nu un sub-împuternicit în sensul art. 28 alin. (2) și (4) GDPR, și nu se înscrie în Anexa 1. Primer declară acest lucru în documentele sale publice. (m) LEGĂTURA CU ART. 16. Regula potrivit căreia invitația la recenzie pentru o rezervare online se trimite numai după publicarea angajamentului zilei acelei rezervări este un element al regulii de invitare, pe care art. 16 lit. (a) o atribuie deja Primer spre stabilire și publicare, iar art. 16 lit. (e) o acoperă la informarea persoanelor vizate. Prezentul articol nu extinde sfera art. 16 și nu creează pentru Operator obligații suplimentare privind invitarea. (n) NEATINGEREA CELORLALTE CLAUZE. Prezentul articol nu modifică obligațiile Primer în calitate de persoană împuternicită pentru restul prelucrărilor și nu diminuează drepturile Operatorului prevăzute la art. 11 și 12, care se aplică în continuare, în întregime, prelucrărilor efectuate de Primer în numele Operatorului. (o) OPOZIȚIA (art. 21 alin. (1) GDPR). Persoana vizată se poate opune în orice moment, din motive legate de situația particulară în care se află, includerii rezervărilor sale în angajamentele zilnice. Primer onorează opoziția fără a invoca motive legitime care să prevaleze: din momentul înregistrării ei, nicio rezervare ulterioară a acelei persoane — la Operator sau la oricare alt operator care folosește platforma — nu mai intră în populația de la lit. (c), iar materialul de deschidere al rezervărilor ei deja sigilate, la oricare dintre acești operatori, se distruge potrivit lit. (i). Sfera aceasta nu este o alegere de curtoazie, ci urmarea încadrării de la lit. (a): opoziția privește prelucrarea efectuată de Primer în nume propriu, nu relația comercială cu un anumit Operator, așa încât ea se înregistrează la nivel de platformă și produce efecte peste tot unde persoana are rezervări. Operatorul ia cunoștință de acest efect prin prezenta clauză: o opoziție înregistrată de o persoană care este și clientul altui operator al platformei scoate acea persoană și din populațiile Operatorului. În schimb, Operatorul nu poate înregistra, ridica sau consulta o opoziție, și nu i se pune la dispoziție nicio poartă în acest scop — un operator care ar putea marca proprii clienți în afara populației ar deține exact filtrul pe care angajamentul îl exclude, purtând un nume de protecție a datelor. Faptul opoziției nu se comunică Operatorului: starea pe care el o vede pentru o asemenea rezervare este eticheta comună mai multor situații fără legătură cu opoziția, iar niciun motiv separat nu i se arată. Singurele elemente asupra cărora opoziția nu produce efect sunt valoarea de amprentă deja angajată într-o rădăcină publicată și ancorată și poziția ei, pentru motivele arătate la lit. (i); acele motive se comunică persoanei, motivat. Angajamentele deja publicate nu se retrag. Opoziția se poate exercita prin oricare dintre canalele prin care Primer primește cereri ale persoanelor vizate, inclusiv prin mijloace automate, potrivit art. 21 alin. (5) GDPR. Potrivit art. 21 alin. (4) GDPR, Primer aduce acest drept în atenția persoanei vizate în mod explicit și separat de orice alte informații, cel târziu în momentul primei comunicări pe care i-o adresează în legătură cu prelucrarea de la prezentul articol; politica publicată nu ține locul acestei mențiuni, ci o însoțește. Primer răspunde unei opoziții în termenul prevăzut la art. 12 alin. (3) GDPR.

Anexa 1 — Sub-împuterniciți