Acordul de Prelucrare a Datelor

Operator: Clientul serviciului Kontevia, o persoană juridică sau un liber-profesionist care prelucrează date cu caracter personal conținute în documentele sale contabile și în alte date transmise Serviciului.

Persoană împuternicită: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Republica Cehă, Cod de identificare fiscală (Company ID) 22103741, înregistrată în Registrul Comerțului ținut de Tribunalul Municipal din Praga, dosarul nr. C 410771. Contact pentru protecția datelor: hello@kontevia.com.

1.1. Acest Acord reglementează drepturile și obligațiile părților atunci când Persoana împuternicită prelucrează date cu caracter personal în numele Operatorului în cadrul furnizării serviciului Kontevia („Serviciul”).

1.2. Acest Acord face parte integrantă din Termenii și Condițiile și intră în vigoare atunci când Operatorul se înregistrează pentru Serviciu. Se aplică atât timp cât Persoana împuternicită prelucrează date cu caracter personal pentru Operator.

2.1. Persoana împuternicită prelucrează date cu caracter personal exclusiv în scopul furnizării Serviciului, respectiv:

• primirea și digitalizarea documentelor contabile transmise prin chat, e-mail sau încărcare;
• extragerea datelor din documente prin recunoaștere optică a caracterelor și modele de extragere automatizate;
• categorizare, detectarea duplicatelor și propuneri de tratament TVA;
• emiterea de facturi și alte documente conform instrucțiunilor Operatorului;
• importul tranzacțiilor bancare conectate de Operator și corelarea acestora cu documentele;
• pregătirea de sinteze, rapoarte și exporturi către sistemul contabil sau consultantul Operatorului;
• stocarea documentelor și a datelor în cadrul Serviciului pe durata contractului și a perioadei de export.

2.2. Persoana împuternicită prelucrează date cu caracter personal doar pe baza instrucțiunilor documentate ale Operatorului, inclusiv instrucțiuni privind transferurile către țări terțe, cu excepția cazului în care este obligată să facă acest lucru în temeiul dreptului Uniunii sau al statului membru; în acest caz, Persoana împuternicită informează Operatorul înainte de prelucrare, cu excepția cazului în care legea interzice acest lucru.

3.1. Persoane vizate: partenerii de afaceri ai Operatorului (furnizori, clienți, persoane de contact), angajații și colaboratorii Operatorului, în cazul în care sunt procesate documente de salarizare sau de cheltuieli, precum și propriii utilizatori ai Serviciului ai Operatorului.

3.2. Categorii de date cu caracter personal: date de identificare (nume, denumire firmă, cod unic de înregistrare și cod de TVA); date de contact (adresă, e-mail, telefon); date financiare (sume facturate, numere de cont bancar, referințe de plată); date privind angajarea, în cazul transmiterii documentelor de salarizare (funcție, salariu, coduri de asigurare); date privind utilizarea, ale utilizatorilor Operatorului.

3.3. Persoana împuternicită nu necesită categorii speciale de date în sensul Articolului 9 GDPR. Operatorul se angajează să nu transmită astfel de date prin intermediul Serviciului, cu excepția cazului în care acestea sunt conținute într-un document pe care Operatorul este obligat prin lege să îl păstreze, caz în care Operatorul este responsabil pentru temeiul legal.

Persoana împuternicită se angajează să:

• prelucreze date cu caracter personal doar pe baza instrucțiunilor documentate ale Operatorului și numai în măsura necesară pentru Serviciu;
• se asigure că persoanele autorizate să prelucreze date cu caracter personal și-au asumat un angajament de confidențialitate sau au o obligație legală adecvată de confidențialitate;
• implementeze măsurile tehnice și organizatorice prevăzute la Articolul 32 GDPR, în special cele enumerate în Anexa la acest Acord;
• nu angajeze o altă persoană împuternicită fără autorizarea scrisă prealabilă și generală a Operatorului, pe care Operatorul o acordă în temeiul Articolului 6 din acest Acord;
• ținând cont de natura prelucrării, să asiste Operatorul prin măsuri tehnice și organizatorice adecvate în răspunsul la cererile persoanelor vizate care își exercită drepturile;
• asiste Operatorul în asigurarea conformității cu Articolele 32-36 GDPR (securitate, notificarea încălcărilor, evaluarea impactului asupra protecției datelor, consultare prealabilă), ținând cont de natura prelucrării și de informațiile disponibile Persoanei împuternicite;
• la alegerea Operatorului, șterge sau returneze toate datele cu caracter personal după încheierea furnizării Serviciului și șteargă copiile existente, cu excepția cazului în care dreptul Uniunii sau al statului membru impune stocarea;
• pună la dispoziția Operatorului toate informațiile necesare pentru a demonstra conformitatea cu Articolul 28 GDPR și să permită și să contribuie la audituri, inclusiv inspecții, efectuate de Operator sau de un auditor mandatat de Operator;
• informeze imediat Operatorul dacă, în opinia sa, o instrucțiune încalcă GDPR sau alte dispoziții privind protecția datelor ale Uniunii sau ale statului membru.

5.1. Persoana împuternicită notifică Operatorul cu privire la orice încălcare a securității datelor cu caracter personal fără întârzieri nejustificate și cel târziu în 48 de ore de la data la care a luat cunoștință de aceasta.

5.2. Notificarea conține cel puțin: o descriere a naturii încălcării, incluzând, acolo unde este posibil, categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor afectate; numele și datele de contact ale persoanei responsabile; o descriere a consecințelor probabile; și o descriere a măsurilor luate sau propuse pentru abordarea încălcării și atenuarea efectelor acesteia.

5.3. Persoana împuternicită cooperează cu Operatorul pentru îndeplinirea obligațiilor de notificare ale Operatorului față de autoritatea de supraveghere competentă și față de persoanele vizate.

6.1. Operatorul acordă o autorizație generală Persoanei împuternicite pentru a angaja persoane subîmputernicite în vederea prelucrării datelor cu caracter personal.

6.2. Lista actualizată a persoanelor subîmputernicite, cu scopul și localizarea fiecăreia, este publicată pe pagina Persoane subîmputernicite a site-ului web al Persoanei împuternicite și face parte din anexa la acest Acord.

6.3. Persoana împuternicită informează Operatorul cu privire la orice adăugare sau înlocuire intenționată a persoanelor subîmputernicite cu cel puțin 14 zile în avans, prin e-mail la adresa de contact a Operatorului sau printr-o notificare în cadrul Serviciului, oferind Operatorului posibilitatea de a se opune.

6.4. Dacă Operatorul ridică o obiecție justificată în termen de 14 zile de la notificare, Persoana împuternicită fie renunță la schimbarea intenționată, fie oferă Operatorului posibilitatea de a rezilia contractul fără penalizare și cu rambursarea taxelor preplătite pentru perioada neutilizată.

6.5. Persoana împuternicită impune fiecărei persoane subîmputernicite, prin contract, aceleași obligații privind protecția datelor prevăzute în acest Acord, în special garanții suficiente pentru implementarea măsurilor tehnice și organizatorice adecvate. În cazul în care o persoană subîmputernicită nu își îndeplinește obligațiile, Persoana împuternicită rămâne pe deplin răspunzătoare față de Operator pentru îndeplinirea obligațiilor respectivei persoane subîmputernicite.

7.1. Datele cu caracter personal sunt stocate pe servere situate în Uniunea Europeană. Persoana împuternicită nu transferă date cu caracter personal în afara Spațiului Economic European, cu excepția persoanelor subîmputernicite enumerate pe pagina Persoane subîmputernicite și doar cu garanții adecvate în temeiul Capitolului V GDPR.

7.2. Astfel de transferuri se bazează pe o decizie de adecvare a Comisiei Europene (inclusiv cadrul UE-SUA privind confidențialitatea datelor pentru destinatarii certificați), pe clauzele contractuale standard adoptate de Comisie în temeiul Articolului 46 alineatul (2) litera (c) GDPR sau pe alte garanții adecvate, completate cu măsuri suplimentare atunci când o evaluare a impactului transferului o impune.

8.1. Persoana împuternicită oferă Operatorului o asistență rezonabilă în gestionarea cererilor persoanelor vizate de a-și exercita drepturile prevăzute la Articolele 15-22 GDPR (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). Serviciul include funcții de căutare, export și ștergere care permit Operatorului să gestioneze direct majoritatea cererilor.

8.2. Dacă o persoană vizată contactează direct Persoana împuternicită, aceasta redirecționează persoana vizată către Operator fără întârzieri nejustificate și informează Operatorul, cu excepția cazului în care cererea privește date pentru care Persoana împuternicită însăși este operator.

9.1. Persoana împuternicită permite Operatorului sau unui auditor mandatat de Operator să efectueze audituri și inspecții pentru a verifica conformitatea cu acest Acord și cu GDPR.

9.2. Auditurile se efectuează pe cheltuiala Operatorului, cu un preaviz rezonabil de cel puțin 14 zile lucrătoare, în timpul programului de lucru și într-un mod care nu perturbă activitatea Persoanei împuternicite și nu compromite securitatea datelor altor clienți. Auditorul trebuie să fie ținut de confidențialitate.

9.3. În locul unui audit la fața locului, Persoana împuternicită poate furniza certificate actuale, rapoarte ale unor auditori independenți sau alte documente care demonstrează conformitatea cu măsurile de securitate, în cazul în care acestea sunt suficiente pentru a răspunde întrebărilor Operatorului.

10.1. Acest Acord este valabil pe toată durata relației contractuale dintre Operator și Persoana împuternicită, respectiv atât timp cât Operatorul utilizează Serviciul.

10.2. După încheierea relației contractuale, Persoana împuternicită: permite Operatorului să își exporte datele timp de 90 de zile; după perioada de 90 de zile, șterge ireversibil toate datele cu caracter personal ale Operatorului; șterge copiile de rezervă în cel mult 45 de zile de la ștergerea datelor primare; și confirmă ștergerea la cererea Operatorului. Sunt excluse datele pe care Persoana împuternicită trebuie să le păstreze în temeiul dreptului Uniunii sau al statului membru (în special evidențele de facturare).

10.3. Obligațiile din acest Acord, în special confidențialitatea și securitatea, rămân în vigoare după încheierea relației contractuale atât timp cât Persoana împuternicită deține orice date cu caracter personal ale Operatorului.

11.1. Persoana împuternicită răspunde pentru prejudiciile cauzate de o prelucrare efectuată cu încălcarea acestui Acord sau a GDPR, în conformitate cu Articolul 82 GDPR, în special atunci când nu a respectat obligațiile GDPR specifice persoanelor împuternicite sau a acționat în afara sau împotriva instrucțiunilor legale ale Operatorului.

11.2. Limitările de răspundere din Termeni și Condiții se aplică acestui Acord în măsura permisă de lege; ele nu limitează drepturile persoanelor vizate.

12.1. Prezentul Acord este guvernat de legislația Republicii Cehe și de legislația direct aplicabilă a Uniunii Europene, în special GDPR.

12.2. În caz de conflict între prezentul Acord și Termenii și condițiile, prezentul Acord prevalează în chestiunile privind protecția datelor cu caracter personal.

12.3. Modificările aduse prezentului Acord necesită formă scrisă, care include o versiune actualizată publicată pe site și notificată Operatorului în conformitate cu Termenii și condițiile.

12.4. Litigiile care decurg din prezentul Acord sunt soluționate de instanțele Republicii Cehe competente conform sediului Persoanei împuternicite, fără a aduce atingere drepturilor persoanelor vizate și autorităților de supraveghere.

Criptare

• Criptare AES-256 a datelor stocate, inclusiv a copiilor de rezervă.
• TLS 1.2 sau superior pentru toate datele în tranzit, inclusiv conexiunile cu subîmputerniciții.

Controlul accesului

• Acces conform principiului minimului necesar; fiecare angajat și sistem are doar permisiunile necesare rolului său.
• Autentificare multifactor pentru accesul administrativ și la infrastructură.
• Separarea spațiilor de lucru ale clienților la nivelul aplicației și al bazei de date.
• Revizuirea periodică și revocarea promptă a drepturilor de acces.

Disponibilitate și reziliență

• Copii de rezervă automate periodice, cu proceduri de restaurare testate.
• Infrastructură de găzduire redundantă în cadrul Uniunii Europene.
• Monitorizarea disponibilității și performanței, cu alerte.

Integritate și jurnalizare

• Jurnalizarea accesului la datele cu caracter personal și a acțiunilor administrative.
• Istoric de audit pentru documente: cine le-a trimis, modificat, aprobat sau exportat și când.
• Detectarea anomaliilor și a incidentelor de securitate.

Măsuri organizatorice

• Obligații de confidențialitate pentru tot personalul și contractorii cu acces la datele cu caracter personal.
• Instruirea personalului în domeniul protecției datelor și al securității.
• Proceduri interne documentate pentru prelucrarea datelor cu caracter personal și soluționarea cererilor persoanelor vizate.
• Plan de răspuns la incidente, cu roluri definite și termene de notificare.
• Evaluarea protecției datelor pentru noii subîmputerniciți înainte de angajare.