Acord de prelucrare a datelor

Acest acord stabilește cum prelucrează ADR Vest datele personale pe care organizația ta le introduce în DigiVest CRM, conform articolului 28 alineatul (3) din Regulamentul (UE) 2016/679 (GDPR). Fondatorul îl acceptă în numele organizației, odată cu Termenii și condițiile, din care face parte.

1. Părțile#

• Operatorul: organizația care folosește DigiVest CRM („organizația”). Ea decide ce date introduce, despre cine și de ce.
• Persoana împuternicită: ADR Vest (Agenția pentru Dezvoltare Regională Vest), CUI TBD, sediu TBD („noi”), care oferă serviciul DigiVest CRM în calitate de coordonator al DigiVest EDIH.

Responsabilul nostru cu protecția datelor poate fi contactat la TBD.

2. Legătura cu Termenii și cu contractul semnat#

Acest acord face parte din Termenii și condițiile DigiVest CRM. Organizația a semnat deja cu ADR Vest un contract pentru servicii DigiVest EDIH. Dacă acel contract conține deja clauze despre prelucrarea datelor personale, clauzele din contractul semnat prevalează asupra acestui acord, iar acest acord le completează acolo unde ele nu spun nimic. Alinierea exactă dintre cele două documente: TBD.

Pentru datele contului utilizatorilor (nume, e-mail, rol) și pentru datele de utilizare, ADR Vest este operator, nu persoană împuternicită. Acestea sunt descrise în Politica de confidențialitate, nu în acest acord.

3. Obiectul, durata, natura și scopul prelucrării#

• Obiectul: datele personale pe care organizația și utilizatorii ei le introduc sau le încarcă în serviciu („datele organizației”).
• Durata: cât timp organizația are acces la serviciu, plus perioada de recuperare și de ștergere de la secțiunea 10.
• Natura: stocare, organizare, afișare, căutare, modificare, copiere de siguranță, export, transmitere prin e-mailurile de notificare configurate de organizație, transmitere către asistenții AI conectați de utilizatori și ștergere.
• Scopul: exclusiv furnizarea serviciului DigiVest CRM către organizație.

Descrierea detaliată este în Anexa I.

4. Instrucțiunile organizației#

Prelucrăm datele organizației doar pe baza instrucțiunilor ei documentate. Instrucțiunile sunt:

• acest acord și Termenii și condițiile;
• felul în care organizația configurează și folosește serviciul (de exemplu, ce câmpuri creează, ce notificări activează, ce șterge);
• instrucțiunile scrise transmise de un administrator al organizației, care se încadrează în ceea ce face serviciul.

Excepția este situația în care legea Uniunii sau legea română ne obligă să prelucrăm datele altfel. Atunci informăm organizația înainte, dacă legea nu ne interzice acest lucru.

Dacă o instrucțiune ni se pare contrară GDPR sau altor reguli privind protecția datelor, îi spunem imediat organizației.

Nu folosim datele organizației pentru scopurile noastre. Nu le vindem, nu le folosim pentru publicitate și nu antrenăm modele AI cu ele.

5. Confidențialitate#

Doar personalul ADR Vest care administrează serviciul poate accesa datele organizației, și doar atunci când este necesar: pentru asistență, la cererea organizației; pentru securitatea serviciului; sau când legea ne obligă. Aceste persoane sunt obligate să păstreze confidențialitatea, prin contract sau prin lege.

6. Securitatea prelucrării#

Aplicăm măsurile tehnice și organizatorice descrise în Anexa II, conform articolului 32 din GDPR, și le îmbunătățim în timp. Nu vom reduce nivelul general de protecție pe durata acestui acord.

Organizația își alege singură o parte din măsuri: de exemplu, cine are cont și ce rol are, dacă păstrează autentificarea în doi pași activă și ce câmpuri marchează ca sensibile. Dacă introduce categorii speciale de date (articolul 9 din GDPR) sau CNP, organizația decide dacă măsurile din Anexa II sunt potrivite pentru riscul prelucrării ei.

7. Asistență pentru organizație#

Cererile persoanelor vizate

Organizația răspunde cererilor persoanelor ale căror date le prelucrează. Cele mai multe le poate rezolva direct în aplicație (vizualizare, corectare, ștergerea unei înregistrări). Persoanele de contact se arhivează, nu se șterg una câte una; dacă organizația are nevoie să șteargă definitiv o persoană de contact, ne poate cere ajutorul. Pentru orice altă cerere pe care nu o poate rezolva singură, o ajutăm cu măsurile tehnice pe care le avem, inclusiv cu exportul datelor. Dacă o persoană vizată ne scrie direct nouă despre datele organizației, îi transmitem cererea organizației fără întârziere și nu îi răspundem în fond fără instrucțiunile ei.

Evaluări de impact și consultări

La cerere, îi dăm organizației informațiile pe care le avem despre serviciu, de care are nevoie pentru o evaluare a impactului asupra protecției datelor (DPIA) sau pentru consultarea prealabilă a autorității de supraveghere (articolele 35 și 36 din GDPR).

8. Încălcarea securității datelor#

Dacă aflăm de o încălcare a securității care afectează datele organizației, o anunțăm fără întârzieri nejustificate și în cel mult 48 de ore de când am aflat. Trimitem notificarea administratorilor organizației, pe e-mail, și includem, pe măsură ce le aflăm:

• ce s-a întâmplat și când;
• ce categorii de date și aproximativ câte persoane și înregistrări sunt afectate;
• consecințele probabile;
• ce am făcut și ce propunem ca să limităm efectele;
• persoana de contact de la noi.

Notificarea autorității de supraveghere și a persoanelor vizate, dacă este necesară, rămâne în sarcina organizației, ca operator. O ajutăm cu informațiile de care are nevoie.

9. Persoane împuternicite secundare (subprocesatori)#

Organizația ne dă o autorizare generală să folosim persoane împuternicite secundare. Lista actuală este în Anexa III și în pagina Persoane împuternicite secundare.

• Înainte să adăugăm sau să înlocuim un subprocesator, anunțăm administratorii organizației pe e-mail cu cel puțin 30 de zile înainte.
• Organizația se poate opune, în scris, în acest interval, pentru motive întemeiate legate de protecția datelor. Discutăm atunci o soluție. Dacă nu găsim una, organizația poate înceta să folosească serviciul, își poate exporta datele și nu datorează nimic pentru aceasta.
• Impunem fiecărui subprocesator, prin contract, obligații de protecție a datelor echivalente cu cele din acest acord. Răspundem față de organizație pentru felul în care subprocesatorii își îndeplinesc aceste obligații.

10. Ștergerea sau returnarea datelor#

La sfârșitul relației, organizația alege dacă își recuperează datele, iar apoi le ștergem. Calendarul care se aplică acum este:

Dacă accesul încetează din alt motiv, organizația are cel puțin 30 de zile ca să își recupereze datele, apoi le ștergem în același mod. Astăzi, exportul complet se face la cerere, la adresa TBD: primești fișiere CSV cu înregistrările și fișierele încărcate în forma lor originală, în cel mult TBD zile.

Pe durata folosirii serviciului, înregistrările pe care organizația le șterge stau 90 de zile în Coșul de gunoi, de unde administratorul le poate restaura, apoi sunt șterse definitiv împreună cu fișierele lor.

Păstrăm date după aceste termene doar dacă legea Uniunii sau legea română ne obligă.

11. Informații și audit#

Punem la dispoziția organizației informațiile necesare ca să arate că ne respectăm obligațiile din articolul 28 din GDPR. Pentru audit, procedăm în această ordine:

1. Documentație: acest acord, pagina Securitate și alte informații despre măsurile noastre, la cerere.
2. Chestionare: răspundem în scris la întrebările rezonabile ale organizației.
3. Inspecții la fața locului: dacă primii doi pași nu sunt suficienți sau dacă o autoritate de supraveghere o cere, organizația (sau un auditor independent, obligat să păstreze confidențialitatea) poate face o inspecție, cu o notificare prealabilă rezonabilă, în timpul programului de lucru și fără să afecteze datele altor organizații.

12. Transferuri în afara Spațiului Economic European#

Baza de date și fișierele organizației sunt stocate în România. Traficul spre aplicație trece prin rețeaua Cloudflare, Inc. (SUA). Transferul se bazează pe Cadrul UE-SUA privind confidențialitatea datelor (EU-US Data Privacy Framework) și pe clauzele contractuale standard adoptate de Comisia Europeană, incluse în acordul de prelucrare a datelor al Cloudflare. Nu facem alte transferuri fără să anunțăm organizația conform secțiunii 9.

13. Răspundere#

Răspunderea fiecărei părți în baza acestui acord urmează regulile din Termenii și condițiile, secțiunea „Răspundere”: limita este TBD, nu se aplică pentru intenție sau culpă gravă (articolul 1355 din Codul civil) și nu acoperă serviciile terților pe care organizația le conectează singură. Răspunderea față de persoanele vizate rămâne cea prevăzută de articolul 82 din GDPR. Dacă contractul semnat prevede altceva, se aplică contractul semnat.

14. Modificări#

Dacă modificăm în mod important acest acord, anunțăm administratorii organizației pe e-mail cu cel puțin 30 de zile înainte, iar noua versiune trebuie acceptată din nou în aplicație.

Anexa I. Descrierea prelucrării#

Anexa II. Măsuri tehnice și organizatorice#

• Găzduire: servere proprii ADR Vest, în Timișoara, România. Baza de date și fișierele nu părăsesc România.
• Criptare în tranzit: conexiunile folosesc TLS, prin Cloudflare, în modul Full (strict), adică și conexiunea dintre Cloudflare și serverele noastre este criptată și verificată.
• Parole: stocate doar ca hash bcrypt.
• Autentificare în doi pași (MFA): printr-o aplicație de autentificare (TOTP), activă implicit pentru fiecare organizație și obligatorie pentru administratorii platformei. Administratorul unei organizații o poate opri pentru organizația lui.
• Sesiuni: expiră după 8 ore, sau după 30 de zile dacă utilizatorul alege „Ține-mă minte”. Cookie-urile de sesiune sunt httpOnly.
• Linkuri din e-mail: linkurile de invitație și de resetare a parolei sunt stocate doar sub formă de hash și expiră.
• Roluri: administrator, consultant sau membru (poate scrie), vizualizator (poate doar citi). Rolul și apartenența la organizație se verifică din nou la fiecare cerere, așa că o retragere a accesului are efect imediat.
• Izolarea organizațiilor: impusă în cod, la fiecare interogare, și verificată prin teste automate.
• Câmpuri sensibile: organizația poate marca un câmp ca sensibil. Valoarea lui nu este trimisă prin MCP și nu apare în raportul tipărit.
• Dezvoltare: fiecare modificare trece prin teste automate înainte de a fi pusă în producție.
• Recuperare: înregistrările șterse pot fi restaurate din Coșul de gunoi timp de 90 de zile.
• Copii de siguranță: frecvență, locație și durată de păstrare: TBD.
• Acces intern: doar pentru asistență la cererea organizației, pentru securitate sau când legea ne obligă.
• Incidente: notificarea organizației în cel mult 48 de ore (secțiunea 8).
• Adrese IP: folosite doar în memorie, pentru a limita cererile către unele adrese de autorizare. Nu sunt stocate.

Anexa III. Persoane împuternicite secundare#

Găzduirea și serverul de e-mail sunt infrastructura proprie a ADR Vest, în România, și nu sunt furnizori terți. Lista actualizată: Persoane împuternicite secundare.

Istoricul modificărilor#

• 20 octombrie 2026: prima versiune.