Acord de prelucrare a datelor

1.Părțile

1. Operatorul: cabinetul de contabilitate care a acceptat Termenii și condițiile Dosar, identificat prin datele din contul său (denumire, CUI, sediu, reprezentant).
2. Persoana împuternicită: [DENUMIRE SRL], cu sediul în [ADRESĂ SEDIU], CUI [CUI], nr. de înregistrare la Registrul Comerțului [Nr. Reg. Com.], e-mail [EMAIL CONTACT], care furnizează serviciul Dosar („Dosar”).

Acordul se încheie electronic, odată cu acceptarea Termenilor și condițiilor, și face parte integrantă din contractul dintre părți („Contractul”). În ceea ce privește protecția datelor, prevederile acestui acord prevalează asupra Termenilor și condițiilor.

[DE VERIFICAT] Dacă o firmă își contractează direct abonamentul, trebuie stabilit dacă acordul se încheie și cu firma respectivă, în calitate de operator pentru propriile documente.

2.Definiții

Termenii „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită”, „persoană vizată”, „încălcarea securității datelor cu caracter personal” și „autoritate de supraveghere” au înțelesul din art. 4 al Regulamentului (UE) 2016/679 („GDPR”). „Subîmputernicit” înseamnă o altă persoană împuternicită, angajată de Dosar pentru a prelucra Datele în numele Operatorului. „Datele” sunt datele cu caracter personal prelucrate de Dosar în numele Operatorului, descrise în Anexa 1. „Firmă” este clientul Operatorului ale cărui documente sunt prelucrate în Dosar.

3.Obiectul și durata

Acordul stabilește condițiile în care Dosar prelucrează Datele în numele Operatorului, pentru furnizarea serviciului descris în Contract. Acordul se aplică pe durata Contractului și, după încetarea acestuia, până la ștergerea sau returnarea tuturor Datelor conform secțiunii 13.

4.Natura și scopul prelucrării

Dosar prelucrează Datele exclusiv pentru a pregăti documentele primare ale Firmelor pentru contabilitate, prin:

• primirea documentelor (WhatsApp, încărcare în aplicația web, redirecționare pe e-mail) și preluarea e-Facturilor din SPV-ul ANAF, pe baza autorizării OAuth acordate de Operator;
• stocarea originalelor și extragerea automată a datelor din imagini și PDF-uri;
• verificarea furnizorilor în serviciul public ANAF pentru plătitorii de TVA (se transmite doar CUI-ul);
• potrivirea documentelor cu tranzacțiile din extrasele de cont și semnalarea problemelor;
• punerea lunii complete la dispoziția Operatorului, pentru verificare și export în programul său de contabilitate;
• operațiunile auxiliare necesare: găzduire, copii de rezervă, trimiterea de notificări, asistență tehnică.

5.Tipurile de date și categoriile de persoane vizate

Sunt descrise în Anexa 1. Operatorul nu va folosi serviciul pentru a transmite intenționat categorii speciale de date (art. 9 GDPR) sau date privind condamnări penale (art. 10 GDPR). Dacă documentele conțin codul numeric personal, Operatorul se asigură că prelucrarea respectă art. 4 din Legea nr. 190/2018 [DE VERIFICAT].

6.Obligațiile Operatorului

1. Operatorul are un temei legal pentru prelucrarea Datelor și pentru transmiterea lor către Dosar și își îndeplinește obligațiile de informare față de persoanele vizate (art. 13 și 14 GDPR).
2. Operatorul are, în SPV, drepturile necesare pentru Firmele ale căror e-Facturi le preia prin Dosar și răspunde de autorizarea acordată.
3. Instrucțiunile Operatorului sunt cele din Contract, din acest acord și din configurarea făcută de el în serviciu. Instrucțiunile suplimentare se transmit în scris (inclusiv pe e-mail) și trebuie să fie compatibile cu funcțiile serviciului. Instrucțiunile care presupun costuri suplimentare semnificative pot fi supuse unei înțelegeri separate [DE VERIFICAT].

7.Obligațiile Dosar ca persoană împuternicită (art. 28 alin. (3) GDPR)

Dosar:

1. prelucrează Datele numai pe baza instrucțiunilor documentate ale Operatorului, inclusiv în ceea ce privește transferurile către țări terțe, cu excepția cazului în care prelucrarea este impusă de dreptul Uniunii sau al României. În acest caz, Dosar îl informează pe Operator înainte de prelucrare, cu excepția cazului în care legea interzice informarea. Dosar îl informează imediat pe Operator dacă, în opinia sa, o instrucțiune încalcă GDPR sau alte dispoziții privind protecția datelor;
2. se asigură că persoanele autorizate să prelucreze Datele s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate;
3. adoptă măsurile de securitate cerute de art. 32 GDPR, descrise în Anexa 2;
4. respectă condițiile pentru angajarea subîmputerniciților din secțiunea 8 (art. 28 alin. (2) și (4) GDPR);
5. asistă Operatorul, prin măsuri tehnice și organizatorice adecvate și în măsura posibilului, în îndeplinirea obligației de a răspunde cererilor persoanelor vizate (art. 12–22 GDPR). Dosar îi transmite Operatorului, fără întârziere nejustificată, orice cerere primită direct de la o persoană vizată și nu răspunde el însuși decât cu acordul Operatorului;
6. asistă Operatorul în asigurarea respectării obligațiilor prevăzute la art. 32–36 GDPR (securitate, notificarea încălcărilor, evaluarea impactului, consultarea prealabilă), ținând seama de natura prelucrării și de informațiile pe care le deține;
7. la alegerea Operatorului, șterge sau returnează toate Datele după încetarea serviciilor și șterge copiile existente, conform secțiunii 13, cu excepția cazului în care legea impune păstrarea lor;
8. pune la dispoziția Operatorului toate informațiile necesare pentru a demonstra respectarea art. 28 GDPR și permite și contribuie la audituri, inclusiv inspecții, efectuate de Operator sau de un auditor mandatat de acesta, conform secțiunii 14.

8.Subîmputerniciți

1. Operatorul acordă Dosar o autorizare scrisă generală de a angaja subîmputerniciți. Subîmputerniciții actuali sunt enumerați în Anexa 3 și se consideră aprobați.
2. Dosar informează Operatorul pe e-mail, cu cel puțin 30 de zile înainte, despre orice adăugare sau înlocuire a unui subîmputernicit, indicând identitatea, activitatea și locul prelucrării.
3. Operatorul se poate opune schimbării, în scris și motivat, în termenul de 30 de zile. Dacă părțile nu găsesc o soluție, Operatorul poate înceta Contractul, fără penalități, înainte ca schimbarea să producă efecte [DE VERIFICAT].
4. Dosar impune fiecărui subîmputernicit, printr-un contract, obligații de protecție a datelor echivalente cu cele din acest acord, în special garanții suficiente privind măsurile tehnice și organizatorice (art. 28 alin. (4) GDPR).
5. Dosar rămâne pe deplin răspunzător față de Operator pentru îndeplinirea obligațiilor subîmputerniciților săi.

9.Transferuri în afara SEE

Datele sunt găzduite în UE (Scaleway, regiunea fr-par, Paris). Dosar transferă Date în afara Spațiului Economic European numai în conformitate cu capitolul V din GDPR. Transferurile posibile la data acordului sunt descrise în Anexa 3: imaginile și PDF-urile documentelor trimise către Anthropic, în SUA, pentru extragerea datelor, dacă nu este configurată procesarea în UE, pe baza clauzelor contractuale standard (Decizia de punere în aplicare (UE) 2021/914) și/sau a Cadrului UE–SUA privind protecția datelor (Decizia de punere în aplicare (UE) 2023/1795) [DE VERIFICAT]; mesajele WhatsApp, în condițiile Meta [DE VERIFICAT].

10.Securitatea prelucrării

Dosar aplică măsurile tehnice și organizatorice din Anexa 2 și le poate actualiza, cu condiția să nu scadă nivelul general de protecție.

11.Încălcarea securității datelor

1. Dosar notifică Operatorul fără întârzieri nejustificate și în cel mult 48 de ore după ce ia cunoștință de o încălcare a securității care afectează Datele.
2. Notificarea cuprinde, în măsura în care sunt cunoscute: natura încălcării, categoriile și numărul aproximativ de persoane vizate și de înregistrări afectate, consecințele probabile, măsurile luate sau propuse pentru remediere și reducerea efectelor, precum și persoana de contact. Informațiile care nu sunt disponibile imediat se transmit ulterior, pe etape (art. 33 alin. (3) și (4) GDPR).
3. Notificarea se transmite pe e-mail la adresa de contact a Operatorului din cont [ȘI PRIN NOTIFICARE ÎN APLICAȚIE — DE CONFIRMAT].
4. Dosar ia fără întârziere măsurile rezonabile pentru limitarea efectelor și cooperează cu Operatorul. Notificarea către autoritatea de supraveghere și informarea persoanelor vizate rămân obligația Operatorului (art. 33 și 34 GDPR).
5. Notificarea nu reprezintă o recunoaștere a vinei sau a răspunderii.

12.Asistență

Dosar oferă asistența prevăzută la lit. e) și f) din secțiunea 7, inclusiv prin funcțiile serviciului (vizualizarea, corectarea, exportul și ștergerea documentelor). Asistența care depășește funcțiile standard ale serviciului poate fi facturată la costuri rezonabile, comunicate în prealabil [DE VERIFICAT].

13.Ștergerea și returnarea Datelor

1. Pe durata Contractului, Operatorul își poate exporta oricând documentele (originalele și datele extrase) din serviciu.
2. După încetarea Contractului, Datele rămân disponibile pentru export timp de 90 de zile [PROPUNERE]. La cererea Operatorului, Dosar le returnează în formatele disponibile [DE VERIFICAT: formatele exacte].
3. La expirarea acestui termen, Dosar șterge definitiv Datele din baza de date și din stocarea de obiecte, inclusiv versiunile anterioare ale fișierelor. Copiile de rezervă zilnice expiră automat în cel mult 30 de zile după ștergere.
4. La cerere, Dosar confirmă în scris ștergerea.
5. Obligația de păstrare a documentelor contabile pe durata prevăzută de Legea contabilității nr. 82/1991 (de regulă 5 sau 10 ani, în funcție de tipul documentului [DE VERIFICAT CU UN EXPERT CONTABIL]) aparține Firmei. Operatorul se asigură că documentele sunt exportate și arhivate înainte de ștergere.

14.Audit și informare

1. La cererea scrisă a Operatorului, Dosar pune la dispoziție, în cel mult 30 de zile, informațiile necesare pentru a demonstra respectarea acestui acord: descrierea măsurilor de securitate, lista subîmputerniciților, răspunsuri la chestionare de securitate rezonabile.
2. Dacă informațiile nu sunt suficiente, Operatorul poate efectua un audit, el însuși sau printr-un auditor independent obligat la confidențialitate, cu o notificare prealabilă de cel puțin 30 de zile, cel mult o dată pe an (cu excepția cazului în care există o încălcare a securității sau o cerere a autorității de supraveghere), în timpul programului de lucru și fără a afecta securitatea altor clienți [PROPUNERE].
3. Costurile auditului sunt suportate de Operator, cu excepția cazului în care auditul constată o încălcare semnificativă a acestui acord de către Dosar [PROPUNERE].
4. Auditul infrastructurii subîmputerniciților (de exemplu Scaleway) se face prin documentația și rapoartele puse la dispoziție de aceștia [DE VERIFICAT].

15.Răspundere

Răspunderea părților se stabilește conform art. 82 GDPR și Contractului. Limitările de răspundere din Contract se aplică în măsura permisă de lege [DE VERIFICAT].

16.Dispoziții finale

• Acordul intră în vigoare odată cu Contractul și încetează la data ștergerii sau returnării tuturor Datelor.
• Modificările acordului se comunică pe e-mail cu cel puțin 30 de zile înainte de intrarea în vigoare, cu excepția celor impuse de lege.
• Dacă o prevedere este nulă, celelalte prevederi rămân valabile.
• Acordul este guvernat de legea română. Litigiile se soluționează conform Contractului.

Anexa 1. Descrierea prelucrării

Anexa 2. Măsuri tehnice și organizatorice de securitate

Găzduire și infrastructură

• Toate componentele rulează la Scaleway SAS, în regiunea fr-par (Paris, Franța): bază de date PostgreSQL administrată, stocare de obiecte pentru originale, containere serverless.

Criptare

• Criptare în tranzit (TLS) pentru conexiunile către serviciu.
• Criptare în repaus pentru baza de date și pentru stocarea de obiecte.
• Secretele pentru autentificarea în doi pași sunt stocate criptat.

Controlul accesului

• Autentificare în doi pași (2FA) obligatorie pentru utilizatorii cabinetelor.
• Parole stocate doar ca hash, cu algoritmul scrypt.
• Izolare la nivel de rând (row-level security) în baza de date, pe cabinet: datele unui cabinet nu sunt accesibile utilizatorilor altui cabinet.
• Sesiune prin cookie HttpOnly și Secure.

Integritate și disponibilitate

• Originalele documentelor sunt stocate cu versiuni (versioning) și sunt scrise o singură dată din aplicație: aplicația nu le poate suprascrie.
• Copii de rezervă zilnice ale bazei de date, păstrate 30 de zile.

Minimizare

• Către serviciul public ANAF pentru plătitorii de TVA se transmite doar CUI-ul.
• Către serviciul de citire automată se transmit doar imaginile și PDF-urile documentelor care trebuie citite.

Măsuri organizatorice

• Obligație de confidențialitate pentru persoanele autorizate să prelucreze Datele (sec. 7 lit. b).
• [DE COMPLETAT: cine are acces administrativ la producție și cum este acordat și retras; procedura de răspuns la incidente; instruirea personalului]

Dosar nu deține în prezent certificări de securitate (de exemplu ISO 27001 sau SOC 2).

Anexa 3. Lista subîmputerniciților

ANAF nu este subîmputernicit: este o autoritate publică, interogată pentru verificarea plătitorilor de TVA (doar CUI) și pentru descărcarea e-Facturilor din SPV, pe baza autorizării OAuth acordate de Operator.