Acord de prelucrare a datelor

Anexă la contractul PoligonAuto, versiunea 1.0

Operatorul: Clientul (Magazinul) care a acceptat Termenii și condițiile, {{DENUMIRE_CLIENT}}, CUI {{CUI_CLIENT}}.

Persoana împuternicită: POLIGON TECH S.R.L., CUI RO44336321, sediul în Oraș Cajvana nr. 797, jud. Suceava, cod poștal 727100, e-mail pentru protecția datelor contact@poligontech.com („Furnizorul”). Furnizorul nu are DPO; adresa de mai sus este punctul de contact și primește răspuns în cel mult 30 de zile.

Acceptare: acordul se acceptă odată cu Termenii și condițiile, prin bifa administratorului Magazinului la prima autentificare (Termeni, art. 2.2). Furnizorul înregistrează versiunea, utilizatorul și data și ora acceptării.

Termenii folosiți au sensul din Regulamentul (UE) 2016/679 („GDPR”).

1. Obiect

1.1. Furnizorul prelucrează date cu caracter personal în numele Operatorului, numai pentru a presta serviciul PoligonAuto descris în Termeni și condiții („Serviciul”).

1.2. Detaliile prelucrării sunt în Anexa 1.

1.3. Acest acord nu se aplică datelor pentru care Furnizorul este el însuși operator: conturile și securitatea autentificării, facturarea, site-ul și statisticile proprii. Pentru acestea se aplică Politica de confidențialitate.

2. Instrucțiuni

2.1. Furnizorul prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului, inclusiv în privința transferurilor în afara SEE, cu excepția cazului în care legea îl obligă. În acel caz, Furnizorul îl informează pe Operator înainte, dacă legea nu interzice.

2.2. Instrucțiunile sunt: acest acord, Termenii, setările făcute de Operator în aplicație și cererile scrise trimise la contact@poligontech.com.

2.3. Furnizorul îl anunță imediat pe Operator dacă o instrucțiune i se pare contrară GDPR.

3. Confidențialitate

3.1. Furnizorul se asigură că persoanele cu acces la date s-au angajat să păstreze confidențialitatea sau au o obligație legală în acest sens. Accesul se acordă doar cât este necesar (de exemplu pentru asistență cerută de Operator sau pentru remedierea unei erori).

4. Securitate (art. 32)

4.1. Furnizorul aplică măsurile din Anexa 3. Le poate îmbunătăți, dar nu le poate reduce semnificativ.

5. Subprocesatori

5.1. Operatorul dă o autorizare generală pentru subprocesatorii din Anexa 2.

5.2. Furnizorul anunță prin e-mail orice subprocesator nou sau înlocuit cu cel puțin 30 de zile înainte. Operatorul poate obiecta motivat în acest interval. Dacă părțile nu găsesc o soluție, Operatorul poate rezilia contractul fără penalități, înainte de schimbare.

5.3. Furnizorul impune fiecărui subprocesator, prin contract, obligații de protecție a datelor echivalente cu acest acord. Furnizorul răspunde față de Operator pentru subprocesatorii săi.

6. Transferuri în afara SEE

6.1. Datele stocate de Serviciu se află în Uniunea Europeană (Google Cloud europe-central2, Varșovia, și europe-west4, Țările de Jos).

6.2. Excepție: autentificarea (Firebase Authentication) este prelucrată de Google în SUA. Transferul se bazează pe decizia de adecvare UE–SUA (Data Privacy Framework) și/sau pe clauzele contractuale standard din Google Cloud Data Processing Addendum. Datele transferate sunt e-mailul, parola criptată, IP-ul și informații despre browser ale utilizatorilor aplicației.

6.3. Orice alt transfer se face numai cu garanțiile din capitolul V GDPR și după notificarea de la art. 5.2.

7. Drepturile persoanelor vizate

7.1. Furnizorul îl ajută pe Operator să răspundă cererilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție), în primul rând prin funcțiile aplicației (căutare, editare, ștergere, export).

7.2. Dacă primește direct o cerere privind datele Operatorului, Furnizorul o transmite Operatorului în 5 zile lucrătoare și nu răspunde singur, cu excepția confirmării primirii.

8. Încălcarea securității datelor

8.1. Furnizorul îl notifică pe Operator fără întârzieri nejustificate și în cel mult 48 de ore de la constatarea unei încălcări a securității datelor Operatorului.

8.2. Notificarea cuprinde, în măsura cunoscută: natura încălcării, categoriile și numărul aproximativ de persoane și înregistrări, consecințele probabile, măsurile luate sau propuse și o persoană de contact. Informațiile lipsă se transmit ulterior, pe măsură ce devin disponibile.

8.3. Furnizorul îl ajută pe Operator să își îndeplinească obligațiile de notificare către ANSPDCP (72 de ore, art. 33) și către persoanele vizate (art. 34).

9. Asistență pentru DPIA și consultări

9.1. Furnizorul pune la dispoziție informațiile de care Operatorul are nevoie pentru o evaluare a impactului (art. 35) sau pentru consultarea ANSPDCP (art. 36).

10. Audit

10.1. Furnizorul pune la dispoziție, la cerere, informațiile necesare pentru a demonstra respectarea art. 28 GDPR: acest acord, lista măsurilor, certificările subprocesatorilor (de exemplu ISO 27001 sau SOC 2 ale Google Cloud).

10.2. Operatorul poate face un audit sau îl poate încredința unui auditor obligat la confidențialitate, cel mult o dată pe an (sau după o încălcare a securității), cu notificare de 30 de zile și pe cheltuiala sa. Auditul nu poate accesa datele altor clienți.

11. Sfârșitul prelucrării

11.1. La încetarea contractului, contul rămâne 30 de zile în regim „doar citire”, în care Operatorul își poate exporta toate datele (Termeni, art. 11.3). La alegerea Operatorului, Furnizorul îi returnează datele (prin export) și apoi le șterge din sistemele active în următoarele 30 de zile. Copiile de siguranță expiră în cel mult 35 de zile (Termeni, art. 11.4). Fac excepție datele a căror păstrare o impune legea Uniunii sau legea română.

11.2. Instrucțiune de anonimizare. Operatorul îl instruiește pe Furnizor ca, înainte de ștergere, să extragă din datele Serviciului numai următoarele statistici (Termeni, art. 12):

• (a) indicatori anonimi pe magazin: planul, numărul de luni active, județul și numărul lunar de comenzi, vânzări și NIR-uri, fără denumire, CUI, adresă sau alt element care identifică Magazinul;
• (b) cifra de afaceri, doar agregată pe grupuri de cel puțin 5 magazine, astfel încât niciun magazin, în special un PFA sau o II, să nu poată fi identificat. Cifra de afaceri a unui singur magazin nu se păstrează.

Statisticile nu permit identificarea vreunei persoane fizice (clienți, angajați, persoane de contact, titularul unui PFA sau al unei II) și nu conțin nume, telefoane, CNP/CIF ale persoanelor fizice, numere de înmatriculare, serii VIN sau texte libere. După anonimizare, datele nu mai sunt date cu caracter personal (considerentul 26 GDPR).

11.3. Furnizorul confirmă ștergerea în scris.

12. Răspundere și durată

12.1. Răspunderea fiecărei părți este cea din art. 82 GDPR și din Termeni (art. 15).

12.2. Acordul durează cât contractul și, după aceea, cât timp Furnizorul mai deține date ale Operatorului.

Anexa 1: Detaliile prelucrării

Anexa 2: Subprocesatori

Alertele interne către Furnizor trec prin ntfy.sh (Anexa 2B). Ele conțin doar numele sau ID-ul magazinului și tipul erorii, fără date cu caracter personal, deci ntfy.sh nu este subprocesator.

Anexa 2B: Alți furnizori (informativ, nu sunt subprocesatori)

Acești furnizori nu au acces la datele introduse de Operator în aplicație. FGO și Revolut prelucrează doar datele de facturare ale Operatorului, pentru relația contractuală dintre Furnizor și Operator. ntfy.sh primește doar alerte fără date cu caracter personal.

Anexa 3: Măsuri tehnice și organizatorice

1. Izolarea datelor: fiecare magazin are datele separate (stores/{storeId}). Regulile de securitate ale bazei de date permit unui cont accesul doar la magazinul său.
2. Control acces: autentificare cu parolă. Roluri (administrator și angajat) stabilite doar pe server. Conturile pot fi dezactivate imediat, iar sesiunile revocate. Accesul personalului Furnizorului este limitat și cu autentificare în doi pași.
3. Criptare: HTTPS/TLS la transfer, criptare la stocare (implicit în Google Cloud).
4. Disponibilitate: copii de siguranță și recuperare la un moment anterior, păstrate cel mult 35 de zile. Infrastructura Google Cloud are certificări ISO 27001 și SOC 2.
5. Minimizare: AI-ul nu păstrează facturile. Rapoartele de erori filtrează valorile introduse. Statisticile PostHog nu salvează nimic pe dispozitiv și nu conțin date despre clienții Operatorului. Alertele interne (ntfy.sh) nu conțin date personale.
6. Jurnale: jurnalele tehnice se păstrează cel mult {{ZILE_JURNALE}} zile.
7. Incidente: procedură de răspuns, registru intern al încălcărilor, notificare conform art. 8.
8. Dezvoltare: medii de test separate, cu date fictive. Datele reale nu sunt folosite pentru test fără instrucțiunea Operatorului.

Acceptat electronic de Operator prin bifa de la Termeni, art. 2.2 (se înregistrează versiunea, utilizatorul și data și ora).