1. Obiect, Durată, Natură și Scop
Persoana Împuternicită prelucrează datele personale conținute în Datele Clientului exclusiv pentru a furniza Serviciul, pe durata Termenilor plus fereastra de export post-reziliere și retenția legală. Natura prelucrării: găzduire, stocare, transmitere (inclusiv către autorități publice la instrucțiunea Operatorului), structurare, backup și afișare.
2. Categorii de Date și Persoane Vizate
- Persoane vizate: clienții, furnizorii, angajații, colaboratorii, semnatarii de contracte și contactele Operatorului.
- Categorii de date: date de identificare (nume, CNP/CUI unde sunt introduse), date de contact, date financiare (facturi, extrase bancare, salarizare unde e folosită), date contractuale, date de audit semnătură.
- Categorii speciale: Serviciul nu este proiectat pentru date din categorii speciale; Operatorul nu trebuie să le încarce decât dacă un modul le suportă explicit cu garanții adecvate.
3. Prelucrare pe Baza Instrucțiunilor Documentate
Persoana Împuternicită prelucrează datele personale doar pe baza instrucțiunilor documentate ale Operatorului — Termenii, acest APD, opțiunile de configurare din Serviciu și acțiunile explicite (ex. transmiterea unei e-facturi către ANAF) constituie astfel de instrucțiuni — cu excepția cazului în care legea UE sau română o impune, caz în care Persoana Împuternicită informează Operatorul înainte de prelucrare, dacă nu este interzis.
4. Confidențialitate și Securitate (art. 32)
Persoanele autorizate să prelucreze date sunt obligate la confidențialitate. Persoana Împuternicită implementează măsuri incluzând criptare TLS în tranzit, criptare în repaus, izolarea tenanților la nivel de organizație, RBAC, MFA/passkeys, jurnale de audit înlănțuite prin hash, managementul vulnerabilităților și backupuri testate. Detalii pe pagina Securitate.
5. Sub-procesatori
Operatorul acordă autorizare generală pentru sub-procesatorii listați pe pagina Sub-procesatori. Persoana Împuternicită notifică modificările cu cel puțin 15 zile în avans (prin acea pagină și prin e-mail pentru modificări materiale); Operatorul poate obiecta pe motive rezonabile de protecție a datelor, caz în care părțile caută o soluție sau Operatorul poate rezilia pro-rata serviciul afectat. Persoana Împuternicită impune obligații echivalente de protecție a datelor tuturor sub-procesatorilor și rămâne pe deplin răspunzătoare pentru prestația lor.
6. Asistență acordată Operatorului
Ținând cont de natura prelucrării, Persoana Împuternicită asistă Operatorul cu cererile persoanelor vizate (unelte self-service de export/rectificare/ștergere plus suport) și cu obligațiile prevăzute la articolele 32–36 GDPR, inclusiv suport pentru notificarea încălcărilor și informații rezonabile pentru DPIA-uri.
7. Notificarea Încălcării Datelor Personale
Persoana Împuternicită notifică Operatorul fără întârziere nejustificată, dar nu mai târziu de 48 de ore de la luarea la cunoștință a unei încălcări a datelor personale ce afectează Datele Clientului, furnizând informațiile cerute de art. 33(3) GDPR pe măsură ce devin disponibile.
8. Ștergere și Returnare
La reziliere, Operatorul poate exporta Datele Clientului timp de 30 de zile. Ulterior, Persoana Împuternicită șterge datele personale în 90 de zile din toate sistemele, cu excepția backupurilor (șterse conform ciclului continuu de backup de 35 de zile) și a datelor supuse retenției legale, care sunt izolate și șterse la finalul perioadei legale.
9. Audituri
Persoana Împuternicită pune la dispoziție informațiile necesare pentru a demonstra conformitatea (documentație, certificări, rapoarte ale terților unde sunt disponibile) și permite audituri ale Operatorului sau ale unui auditor mandatat, cel mult o dată pe an, cu preaviz de 30 de zile, în timpul programului de lucru, sub confidențialitate și pe cheltuiala Operatorului, fără acces la datele altor clienți.
10. Transferuri Internaționale
Prelucrarea are loc în UE. Orice transfer în afara SEE se bazează pe decizii de adecvare sau pe Clauze Contractuale Standard; mecanismul de transfer pe sub-procesator este documentat pe pagina Sub-procesatori.