Acord privind prelucrarea datelor

1. Părțile și rolurile

Prezentul acord se aplică între Client, în calitate de operator, și ONE CORE SPARK S.R.L., CUI 39824776, cu sediul în Bd. Constantin Brâncoveanu nr. 116, Sector 4, București, România („Furnizorul”), în calitate de persoană împuternicită, pentru datele cu caracter personal pe care Clientul le stochează sau le prelucrează pe serverele furnizate prin serviciul Acces Conta. Acordul face parte din contract și se acceptă odată cu Termenii și condițiile. Dacă un Client are un acord de prelucrare propriu, semnat cu Furnizorul, acela prevalează.

2. Obiectul, durata, natura și scopul prelucrării

• Obiectul: găzduirea, administrarea tehnică, salvarea (backup) și restaurarea serverului Clientului și a datelor de pe acesta.
• Durata: pe toată durata contractului, plus perioada de păstrare de după încetare prevăzută în Termeni și ciclul de expirare a copiilor de backup.
• Natura operațiunilor: stocare, copiere de siguranță, restaurare, transfer în cadrul migrării și, numai când este necesar pentru administrare sau suport, consultare. Furnizorul nu analizează, nu modifică și nu extrage datele în alt scop.
• Categoriile de persoane vizate: stabilite de Client, de regulă angajații, colaboratorii, clienții și furnizorii Clientului sau ai clienților săi (de exemplu ai unei firme de contabilitate).
• Categoriile de date: stabilite de Client, de regulă date de identificare (nume, CNP, adresă), date de contact, date financiare și fiscale (conturi bancare, facturi, salarii, contribuții, declarații) și alte date din aplicațiile de contabilitate, salarizare și gestiune. Clientul nu introduce categorii speciale de date (art. 9 GDPR) decât dacă are un temei legal și le protejează corespunzător (de exemplu concediile medicale din salarizare).

3. Obligațiile Furnizorului

• prelucrează datele numai pe baza instrucțiunilor documentate ale Clientului. Contractul, Termenii și cererile din tichete sau de pe email sunt instrucțiuni documentate. Furnizorul informează Clientul dacă o instrucțiune încalcă, în opinia sa, legislația privind protecția datelor;
• asigură confidențialitatea: persoanele care au acces la servere sunt angajate sau contractate de Furnizor și au obligație de confidențialitate;
• aplică măsurile de securitate de la punctul 5;
• nu transferă datele în afara Spațiului Economic European; serverele și copiile de backup se află în România;
• îl ajută pe Client, în măsura posibilului și ținând cont de natura serviciului, să răspundă cererilor persoanelor vizate (acces, rectificare, ștergere, portabilitate) și să își îndeplinească obligațiile din art. 32–36 GDPR;
• pune la dispoziția Clientului informațiile necesare pentru a demonstra respectarea art. 28 GDPR;
• la încetarea contractului, pune datele la dispoziția Clientului pentru descărcare și apoi le șterge, potrivit punctului 8.

4. Accesul Furnizorului la date

Furnizorul administrează serverul ca infrastructură. Accesează conținutul datelor numai când este necesar pentru: (a) intervențiile cerute de Client (suport, migrare, restaurare); (b) remedierea unui incident de securitate sau de funcționare; (c) respectarea unei obligații legale. Furnizorul nu folosește datele Clientului în scop propriu.

5. Măsuri de securitate

• infrastructură proprie, în spații cu acces fizic restricționat la personalul autorizat;
• servere separate logic pentru fiecare client (mașini virtuale dedicate);
• acces la distanță prin Remote Desktop cu conexiune criptată (TLS), conturi individuale pentru fiecare utilizator și parole păstrate criptat în contul de client;
• firewall, actualizări de securitate ale sistemului de operare și monitorizare permanentă;
• backup zilnic, păstrat separat de server, cu acces restricționat, și proceduri de restaurare;
• acces administrativ limitat la personalul autorizat al Furnizorului, cu autentificare securizată;
• ștergerea sigură a datelor la încetarea serviciului.

Clientul răspunde de securitatea propriilor dispozitive și conturi de utilizator, de acordarea accesului doar persoanelor autorizate și de configurarea aplicațiilor sale, potrivit Termenilor.

6. Subîmputerniciți

Serviciul este prestat pe infrastructura proprie a Furnizorului, fără subîmputerniciți care să aibă acces la datele de pe servere. Clientul acordă o autorizare generală pentru folosirea de subîmputerniciți în viitor, de exemplu pentru stocarea copiilor de backup într-o a doua locație din Uniunea Europeană. Furnizorul anunță Clientul pe email cu cel puțin 30 de zile înainte de orice subîmputernicit nou. Clientul poate obiecta motivat în acest termen și, dacă obiecția nu poate fi rezolvată, poate înceta contractul fără costuri. Furnizorul impune subîmputerniciților aceleași obligații de protecție a datelor și răspunde față de Client pentru ei.

7. Incidente de securitate

Furnizorul anunță Clientul fără întârzieri nejustificate, în cel mult 48 de ore de la momentul în care a luat cunoștință de o încălcare a securității datelor de pe serverul Clientului. Notificarea cuprinde, în măsura în care sunt disponibile: natura incidentului, categoriile și numărul aproximativ de persoane și înregistrări afectate, consecințele probabile și măsurile luate sau propuse. Furnizorul colaborează cu Clientul pentru ca acesta să își poată îndeplini obligațiile de notificare către ANSPDCP (art. 33 GDPR) și către persoanele vizate (art. 34 GDPR).

8. Returnarea și ștergerea datelor

La încetarea contractului, datele rămân disponibile Clientului pentru descărcare timp de 30 de zile. La cerere, Furnizorul pune la dispoziție o copie a datelor de aplicație. După această perioadă, serverul se șterge definitiv. Copiile de backup expiră în cel mult 7 zile, potrivit ciclului obișnuit, cu excepția cazului în care legea impune păstrarea lor.

9. Audit

Furnizorul răspunde la cererile rezonabile de informații ale Clientului privind măsurile de protecție a datelor. Clientul poate efectua, pe cheltuiala sa, cel mult o dată pe an (sau după un incident de securitate), un audit al măsurilor relevante, direct sau prin auditor independent obligat la confidențialitate. Cererea se trimite cu cel puțin 30 de zile înainte, iar auditul se face în timpul programului de lucru, fără a afecta securitatea sau datele altor clienți.

10. Răspundere și dispoziții finale

Răspunderea părților pentru prelucrarea datelor este cea prevăzută de art. 82 GDPR și de Termeni, în limitele permise de lege. În caz de neconcordanță între Termeni și acest acord în ceea ce privește protecția datelor, prevalează acest acord. Contact pentru protecția datelor: gdpr@accesconta.ro.