Acord de prelucrare a datelor.

1. Obiectul și domeniul Acordului

Operatorul utilizează ContaChat pentru gestionarea sesizărilor interne și a conversațiilor sau Nuvaro HR pentru organizarea datelor de personal preluate din REGES Online, a istoricului, alertelor, cererilor HR și documentelor pregătite în aplicație. AMC VECTOR SRL prelucrează datele numai pentru furnizarea, securizarea, mentenanța și suportul produsului selectat, conform instrucțiunilor documentate ale Operatorului.

Operatorul rămâne responsabil pentru stabilirea scopurilor și mijloacelor prelucrării, legalitatea datelor introduse, informarea persoanelor vizate și instrucțiunile transmise către AMC VECTOR SRL.

Pentru Nuvaro HR, Operatorul confirmă că utilizatorii au acces autorizat la registrul angajatorului și că solicită numai operațiuni de citire și sincronizare necesare scopului declarat. Nuvaro HR nu transmite modificări în REGES Online; Operatorul verifică datele preluate și orice document pregătit înainte de folosire.

În cadrul organizației, toate conturile și rolurile cărora Clientul le acordă acces la Nuvaro HR pot consulta datele disponibile în spațiul organizației, inclusiv informațiile despre dizabilitate sau invaliditate și certificatele ori autorizațiile importate, atunci când acestea există. Clientul stabilește cine primește acces și se asigură că acesta este necesar pentru scopurile profesionale autorizate.

2. Încheierea și intrarea în vigoare a Acordului

Prezentul Acord de prelucrare a datelor cu caracter personal („Acordul”) face parte integrantă din contractul de furnizare a serviciilor Data25, încheiat între AMC VECTOR SRL, în calitate de Furnizor, și organizația Client, identificată prin denumirea și CUI/CIF-ul furnizate la înregistrare.

Acordul este pus la dispoziția Clientului în format electronic înainte de activarea serviciilor care implică prelucrarea datelor cu caracter personal în numele acestuia.

Prin acceptarea electronică explicită a Acordului, efectuată de o persoană care declară că este autorizată să reprezinte Clientul, părțile convin aplicarea prevederilor sale în cadrul raportului contractual, sub rezerva îndeplinirii condițiilor legale pentru încheierea valabilă a contractului.

Furnizorul confirmă acceptarea și activarea raportului contractual prin email, după confirmarea adresei de email a reprezentantului, conform Termenilor și condițiilor Data25.

Acordul intră în vigoare la data confirmării electronice a încheierii contractului de către Furnizor și se aplică pe durata prelucrării datelor în numele Clientului, inclusiv în perioada de trial.

Furnizorul păstrează evidența electronică a acceptării, inclusiv identificarea organizației și a utilizatorului, data și ora, versiunea documentului și elementele tehnice necesare demonstrării integrității și acceptării acestuia.

Clientul poate consulta și descărca versiunea aplicabilă a Acordului din contul organizației sau o poate solicita Furnizorului. Pentru condiții negociate individual, părțile pot încheia un acord separat.

Obligațiile privind confidențialitatea, securitatea, incidentele, auditul și ștergerea sau returnarea datelor supraviețuiesc încetării atât timp cât AMC VECTOR SRL păstrează sau poate accesa datele.

3. Instrucțiuni și limitele prelucrării

AMC VECTOR SRL prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului, inclusiv cele din Contractul principal, prezentul Acord, setările organizației și solicitările transmise prin canalele de suport autorizate.

Dacă o instrucțiune încalcă legislația aplicabilă privind protecția datelor, AMC VECTOR SRL informează Operatorul înainte de prelucrare, cu excepția cazului în care legea interzice informarea. AMC VECTOR SRL nu va folosi datele Operatorului pentru vânzarea de publicitate sau pentru scopuri proprii incompatibile cu serviciul.

4. Categorii de persoane vizate

• operatorii, experții contabili și administratorii organizației Operatorului;
• angajații, colaboratorii și reprezentanții Operatorului;
• persoanele menționate în sesizări, conversații și documente;
• alte persoane ale căror date sunt introduse de Operator în ContaChat, inclusiv, dacă este cazul, persoane asociate clienților Operatorului;
• salariați actuali și foști sau alte persoane ale căror informații de personal sunt prelucrate de Operator în Nuvaro HR, precum și angajatorii și reprezentanții acestora.

5. Categorii de date și operațiuni

Pentru ContaChat pot fi prelucrate nume, prenume, rol profesional, date de contact, date despre organizație, identificatori de cont, istoricul acțiunilor, mesaje, atașamente, statusuri, priorități, termene și date tehnice sau de securitate.

Pentru Nuvaro HR pot fi prelucrate date de identificare și contact ale salariaților, inclusiv CNP și date de identificare din registru, data nașterii, adresă, funcție, departament, statut profesional, date despre contracte și istoricul acestora, programul de lucru, salariul și sporurile, locul de muncă, suspendările și încetările, alertele și evenimentele HR, cereri, note interne și conținutul documentelor generate sau încărcate. Sincronizarea read-only din REGES Online poate include date despre dizabilitate sau invaliditate, certificate ori autorizații de muncă, dacă acestea există în sursă și sunt necesare funcționalităților de personal. Operatorul stabilește și documentează temeiul legal aplicabil și transmite numai datele și instrucțiunile necesare. Utilizatorii nu trebuie să încarce voluntar documente medicale sau alte date sensibile suplimentare care nu sunt necesare funcționalităților Nuvaro HR.

Operațiunile pot include colectarea, înregistrarea, organizarea, stocarea, consultarea, sincronizarea din sursa autorizată, transmiterea în cadrul organizației, pregătirea documentelor, suportul tehnic, backupul, restaurarea, exportul și ștergerea datelor.

În ContaChat nu sunt necesare categorii speciale de date. Nuvaro HR poate prelucra date privind sănătatea în măsura în care sunt prezente în REGES Online și sunt necesare funcționalităților de personal, de exemplu informații privind dizabilitatea sau invaliditatea. Operatorul este responsabil să stabilească și să documenteze condiția legală aplicabilă, să informeze persoanele vizate și să limiteze datele și instrucțiunile la ceea ce este necesar. Nu sunt necesare documente medicale sau alte date sensibile suplimentare încărcate voluntar de utilizatori. Datele privind condamnări sau infracțiuni nu sunt solicitate de serviciile standard.

6. Obligațiile AMC VECTOR SRL

• să prelucreze datele doar în scopul și pe durata stabilite prin Acord și Contractul principal;
• să asigure că persoanele autorizate să acceseze datele sunt ținute de obligații de confidențialitate;
• să aplice măsuri tehnice și organizatorice adecvate riscului;
• să informeze Operatorul fără întârzieri nejustificate despre incidentele de securitate care afectează datele acestuia;
• să sprijine Operatorul, în măsura rezonabilă și necesară, pentru cererile persoanelor vizate, incidente, evaluări de impact și consultări cu autoritatea de supraveghere;
• să șteargă sau să returneze datele la încetarea serviciului, conform instrucțiunilor Operatorului și obligațiilor legale.

7. Obligațiile Operatorului

• să aibă un temei legal pentru colectarea și folosirea datelor;
• să informeze persoanele vizate și să gestioneze cererile acestora;
• să transmită numai instrucțiuni legale, clare și necesare;
• să configureze corect rolurile și accesul utilizatorilor din organizație;
• să nu introducă parole, date de autentificare sau date care nu sunt necesare pentru scopul urmărit;
• să raporteze prompt orice acces neautorizat, pierdere sau divulgare suspectată;
• pentru Nuvaro HR, să dețină autoritatea necesară pentru accesarea registrului angajatorului, să informeze salariații și să verifice acuratețea datelor importate și a documentelor pregătite.

8. Confidențialitate și securitate

Părțile păstrează confidențiale informațiile nepublice primite în cadrul relației contractuale. AMC VECTOR SRL aplică măsuri proporționale cu riscul, inclusiv controlul accesului pe roluri și organizații, autentificare, protejarea transmisiilor prin HTTPS, jurnalizarea evenimentelor relevante, actualizări, backup și proceduri de gestionare a incidentelor. Copiile de siguranță Hostico sunt păstrate maximum 14 zile și se șterg potrivit rotației tehnice a furnizorului.

Măsurile concrete sunt descrise în Anexa 2 și pot fi actualizate pentru a menține un nivel de securitate adecvat, fără diminuarea nejustificată a protecției.

9. Subîmputerniciți

Operatorul autorizează utilizarea subîmputernicitului indicat în Anexa 3. AMC VECTOR SRL poate propune înlocuirea sau adăugarea unui subîmputernicit, cu informarea Operatorului și cu acordarea unui termen rezonabil pentru obiecții motivate privind protecția datelor.

AMC VECTOR SRL se asigură că subîmputerniciții au obligații de protecție a datelor și securitate cel puțin echivalente celor din prezentul Acord și rămâne responsabilă față de Operator pentru obligațiile subîmputerniciților, conform legii și Contractului principal.

10. Drepturile persoanelor vizate

Ținând cont de natura prelucrării, AMC VECTOR SRL sprijină Operatorul prin măsuri tehnice și organizatorice rezonabile pentru răspunsul la cereri de acces, rectificare, ștergere, restricționare, portabilitate sau opoziție. AMC VECTOR SRL nu răspunde direct persoanei vizate în numele Operatorului decât la instrucțiunea acestuia sau dacă legea impune acest lucru.

11. Incidente de securitate

AMC VECTOR SRL notifică Operatorul fără întârzieri nejustificate după ce ia cunoștință de o încălcare a securității datelor prelucrate în numele acestuia. Notificarea va conține, în măsura în care informațiile sunt disponibile, natura incidentului, categoriile și numărul aproximativ de persoane sau înregistrări afectate, consecințele probabile și măsurile luate sau propuse.

Operatorul rămâne responsabil pentru evaluarea obligației de notificare a autorității de supraveghere și a persoanelor vizate, iar AMC VECTOR SRL va oferi sprijin rezonabil.

12. Transferuri internaționale

Prelucrările se realizează în Spațiul Economic European, în măsura în care acest lucru este disponibil pentru serviciile contractate. Dacă este necesar un transfer către o țară terță, AMC VECTOR SRL va utiliza un mecanism legal de transfer și garanțiile prevăzute de GDPR, informând Operatorul atunci când este necesar.

13. Audit și demonstrarea conformității

AMC VECTOR SRL pune la dispoziția Operatorului informațiile rezonabil necesare pentru demonstrarea respectării obligațiilor din prezentul Acord și permite audituri rezonabile, cu notificare prealabilă, în timpul programului de lucru, fără afectarea securității, confidențialității sau continuității serviciilor pentru alți clienți.

Auditurile sunt limitate la prelucrările Operatorului, nu accesează datele altor clienți și se realizează, de regulă, cel mult o dată pe an, cu excepția unui incident sau a unei cerințe legale.

14. Returnarea și ștergerea datelor

Administratorul organizației poate descărca exportul standard disponibil din cont, în format ZIP. Arhiva include datele structurate ContaChat și Nuvaro HR, atașamentele și fișierele documentelor și șabloanelor care sunt disponibile la momentul exportului. Exportul exclude parolele, tokenurile de acces și credențialele tehnice. La expirarea trialului, organizația are o perioadă de grație de 30 de zile pentru a descărca exportul, după care fluxul automat elimină înregistrările organizației și fișierele HR stocate în directorul privat al acesteia. Organizațiile care au o sesizare sub păstrare juridică activă nu sunt șterse până la eliberarea marcajului.

Ștergerea din aplicație nu elimină instantaneu copiile de siguranță tehnice; acestea urmează ciclul separat al furnizorului de infrastructură. La încetarea unui abonament plătit ori în cazul unei păstrări cerute de lege sau al unui litigiu, termenul și pașii aplicabili se stabilesc prin Contractul principal și instrucțiunile documentate ale Operatorului. Operatorul poate solicita păstrarea juridică numai pentru datele și perioadele justificate, prin instrucțiune documentată.

15. Ordinea documentelor și legea aplicabilă

Prezentul Acord completează Contractul principal. În cazul unui conflict privind protecția datelor, prevederile obligatorii ale GDPR prevalează, iar prevederea mai specifică privind prelucrarea datelor prevalează între Părți. Orice limitări comerciale de răspundere se aplică numai în măsura permisă de lege și conform Contractului principal.

Acordul este guvernat de legea română. Orice litigiu va fi soluționat de instanțele competente, cu respectarea regulilor contractuale aplicabile Părților.

16. Notificări și modificări

Notificările privind prelucrarea datelor și securitatea se transmit prin canalele contractuale ale Părților. Modificările Acordului se fac în scris, inclusiv în format electronic, și se aprobă de reprezentanții autorizați ai Părților.