Acord de prelucrare a datelor

Acest Acord de prelucrare a datelor („Acordul”) face parte din Contractul dintre DIMAX.RO S.R.L., cu sediul în Oraș Filiași, Bld. Racoțeanu nr. 216, Camera 1, Et. 1, Județ Dolj, România, J16/1920/2021, CUI 44650706 („Manifolio”, persoana împuternicită) și Client (operatorul) și se aplică atunci când Manifolio prelucrează date cu caracter personal în numele Clientului, conform art. 28 din Regulamentul (UE) 2016/679 („GDPR”). Se acceptă odată cu Termenii și condițiile, de către proprietarul Organizației, printr-o bifă separată la acceptarea invitației (sau la prima intrare după o versiune nouă); acceptarea se înregistrează. La cerere, punem la dispoziție un exemplar pentru semnare. Pentru lucrările pregătitoare făcute de echipa noastră înainte de acceptare, Clientul semnează o comandă de servicii care trimite la acest Acord.

1. Definiții

Termenii „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită”, „persoană vizată” și „încălcare a securității datelor cu caracter personal” au sensul din art. 4 GDPR. „Datele Clientului” sunt datele cu caracter personal din Conținutul Clientului și din Datele Site-ului, așa cum sunt definite în Termeni. „Subcontractant” este o altă persoană împuternicită la care Manifolio apelează pentru prelucrarea Datelor Clientului. Ceilalți termeni cu majusculă au sensul din Termeni.

2. Rolurile părților

Clientul este operatorul Datelor Clientului. Dacă Clientul este o agenție care folosește Manifolio pentru proprii clienți, el acționează ca persoană împuternicită a acestora, iar Manifolio ca persoană împuternicită secundară; Clientul garantează că are autorizarea operatorului său pentru folosirea Manifolio și a subcontractanților, transmite el instrucțiunile operatorului său și rămâne singurul nostru interlocutor.

Pentru datele pe care le prelucrăm în nume propriu (de exemplu conturi, facturare, securitate, date tehnice și de utilizare), suntem operator, conform Politicii de confidențialitate.

3. Detaliile prelucrării

Obiectul, durata, natura și scopul prelucrării, tipurile de date și categoriile de persoane vizate sunt descrise în Anexa 1.

4. Obligațiile Clientului

Clientul:

• se asigură că are un temei legal pentru Datele Clientului, inclusiv pentru statisticile și formularele de pe site-urile lui;
• îi informează pe vizitatori și pe celelalte persoane vizate, conform art. 13 și 14 GDPR;
• nu introduce și nu cere prin formulare categorii speciale de date (art. 9 GDPR) sau date privind condamnări penale fără un temei legal și fără să fie necesar;
• configurează Serviciul (câmpuri, formulare, perioade de păstrare, membri și roluri) conform propriilor obligații și evaluează dacă măsurile din Anexa 2 sunt adecvate pentru datele pe care le încredințează;
• răspunde pentru legalitatea instrucțiunilor sale.

5. Obligațiile Manifolio

Manifolio:

• prelucrează Datele Clientului doar pe baza instrucțiunilor documentate ale Clientului: Contractul, setările făcute în admin și cererile trimise prin API constituie instrucțiunile complete la data acceptării; instrucțiunile suplimentare se convin în scris și pot fi taxate dacă depășesc Serviciul standard. Dacă legea ne obligă la o altă prelucrare, informăm Clientul înainte, dacă legea permite;
• prin aceste instrucțiuni, Clientul ne autorizează și să prelucrăm Datele Clientului în măsura necesară pentru securitatea, integritatea și depanarea Serviciului și pentru a crea date agregate sau anonimizate, care nu mai permit identificarea persoanelor vizate, conform secțiunii 6 din Termeni; nu încercăm să reidentificăm persoanele vizate;
• informează de îndată Clientul dacă o instrucțiune încalcă, în opinia sa, GDPR sau alte dispoziții privind protecția datelor;
• se asigură că persoanele autorizate să prelucreze Datele Clientului s-au angajat să respecte confidențialitatea sau au o obligație legală în acest sens;
• aplică măsurile tehnice și organizatorice din Anexa 2, conform art. 32 GDPR; le poate actualiza și înlocui în timp, ținând seama de stadiul tehnologiei, cu condiția să nu scadă nivelul general de protecție;
• respectă condițiile de la secțiunea 6 pentru subcontractanți;
• ajută Clientul, prin măsuri tehnice și organizatorice adecvate și ținând seama de natura prelucrării, să răspundă cererilor persoanelor vizate (art. 12-23 GDPR), în principal prin funcțiile admin-ului și ale API-ului (secțiunea 9);
• ajută Clientul să își îndeplinească obligațiile de la art. 32-36 GDPR (securitate, notificarea încălcărilor, evaluarea impactului, consultarea prealabilă), ținând seama de natura prelucrării și de informațiile pe care le are; asistența care depășește documentația și funcțiile standard ale Serviciului se poate taxa rezonabil, cu excepția celei datorate unei încălcări a noastre;
• șterge sau returnează Datele Clientului la încetarea serviciilor, conform secțiunii 10;
• pune la dispoziția Clientului informațiile necesare pentru a demonstra respectarea art. 28 GDPR și permite auditurile de la secțiunea 11.

6. Subcontractanți

Clientul dă o autorizare generală scrisă pentru folosirea subcontractanților din Anexa 3, publicată la Subcontractanți, și pentru adăugarea sau înlocuirea lor conform acestei secțiuni.

• Schimbări. Anunțăm intenția de a adăuga sau de a înlocui un subcontractant cu un preaviz rezonabil, de regulă de cel puțin 30 de zile, prin email către proprietarii organizațiilor, în admin sau prin actualizarea paginii, astfel încât Clientul să aibă posibilitatea de a formula obiecții.
• Opoziția. Clientul se poate opune în scris, în acest termen, pentru motive rezonabile legate de protecția datelor. Analizăm obiecția și putem propune o soluție (de exemplu o configurare care evită subcontractantul). Dacă nu se ajunge la o soluție acceptabilă, Clientul poate înceta Contractul pentru serviciile afectate înainte de data schimbării, cu restituirea proporțională a sumelor plătite în avans; acesta este remediul lui exclusiv. Lipsa obiecției în termen valorează acceptarea schimbării.
• Urgențe. Dacă trebuie să schimbăm un subcontractant mai repede, de exemplu pentru securitate, pentru continuitatea Serviciului sau pentru că un furnizor își încetează serviciul, anunțăm Clientul cât mai curând, iar dreptul de opoziție se aplică de la data anunțului.
• Aceleași obligații. Impunem fiecărui subcontractant, prin contract, obligații de protecție a datelor care oferă garanții suficiente, în esență echivalente cu cele din acest Acord, și răspundem față de Client pentru îndeplinirea lor, conform art. 28 alin. (4) GDPR. Pentru furnizorii care oferă contracte standard, acceptarea acestora îndeplinește această cerință dacă oferă un nivel de protecție echivalent.

7. Transferuri internaționale

Datele Clientului sunt stocate, ca regulă, în Uniunea Europeană. Rețeaua Cloudflare poate procesa cererile în tranzit în centrul de date cel mai apropiat de vizitator, inclusiv în afara SEE, iar unii subcontractanți pot accesa datele din afara SEE pentru operarea și suportul serviciilor lor. Orice transfer în afara SEE se face doar cu garanțiile din capitolul V GDPR, cum ar fi o decizie de adecvare (inclusiv Cadrul UE–SUA pentru protecția datelor, pentru furnizorii certificați) sau clauzele contractuale standard din Decizia (UE) 2021/914, încheiate cu subcontractantul, cu măsuri suplimentare unde e cazul. În măsura în care este necesar, Clientul ne împuternicește să încheiem clauzele contractuale standard cu subcontractanții în numele său.

8. Încălcarea securității datelor

Manifolio notifică Clientul fără întârzieri nejustificate, de regulă în cel mult 48 de ore, după ce a luat cunoștință de o încălcare a securității care afectează Datele Clientului. Notificarea cuprinde, în măsura în care sunt disponibile, informațiile de la art. 33 alin. (3) GDPR, iar informațiile care nu sunt disponibile imediat se transmit pe etape, fără întârzieri nejustificate. Notificarea se face la adresa de email a proprietarilor Organizației sau prin alt mijloc rezonabil.

Manifolio ia măsuri rezonabile pentru limitarea efectelor și cooperează cu Clientul. Notificarea sau răspunsul la o încălcare nu reprezintă o recunoaștere a vinei sau a răspunderii. Încercările nereușite care nu compromit securitatea datelor (de exemplu scanări, încercări de autentificare respinse sau atacuri de tip DDoS fără acces la date) nu se notifică.

9. Cereri ale persoanelor vizate și ale autorităților

Dacă o persoană vizată ne adresează direct o cerere privind Datele Clientului, o transmitem Clientului fără întârziere și nu îi răspundem noi, decât pentru a o îndruma către Client.

Serviciul pune la dispoziția Clientului mijloace prin care poate răspunde singur cererilor, cum ar fi căutarea, exportul, corectarea și ștergerea conținutului și a fișierelor media, precum și o unealtă pentru cererile vizitatorilor, care găsește după adresa de email răspunsurile la formulare din site-urile Organizației, le exportă și le șterge, inclusiv copiile din istoricul webhook-urilor. Statisticile pseudonimizate nu pot fi legate de o persoană. Dacă o autoritate ne cere Datele Clientului, informăm Clientul înainte de a le dezvălui, dacă legea permite, și dezvăluim doar ce suntem obligați.

10. Ștergerea și returnarea datelor

Exportul. Pe durata Contractului și în perioada de grație de mai jos, proprietarii pot cere din admin exportul Organizației, într-un format electronic structurat, care poate cuprinde conținutul, structura, fișierele media (sau adresele lor, peste o anumită mărime), răspunsurile la formulare, statisticile, membrii și jurnalul de audit. Arhiva rămâne disponibilă o perioadă limitată (în prezent 7 zile). Exportul constituie returnarea datelor, în sensul art. 28 alin. (3) lit. g) GDPR.

Ștergerea Organizației. Un proprietar poate șterge Organizația din admin. Din acel moment, Serviciul se oprește pentru Organizație. Timp de 30 de zile Organizația poate fi restaurată, la cerere. După acest termen, Manifolio șterge automat Datele Clientului din sistemele active (baza de date, stocarea fișierelor, cache); în jurnalul de audit rămân doar rânduri pseudonimizate.

Încetarea Contractului. Dacă Contractul încetează altfel, Clientul își poate exporta datele în cele 30 de zile de după încetare, după care Organizația se șterge ca mai sus, într-un termen rezonabil, de regulă de cel mult 30 de zile. Copiile de siguranță, acolo unde există, se șterg conform ciclului lor de rotație, iar până atunci rămân protejate conform acestui Acord și nu se folosesc activ. Păstrăm date doar dacă dreptul Uniunii sau dreptul român ne obligă, caz în care le protejăm conform acestui Acord.

Pe durata Contractului, datele șterse de Client (de exemplu fișiere media, importuri, răspunsuri la formulare) se elimină definitiv după perioadele tehnice aplicate de Serviciu, de regulă de cel mult 30 de zile.

11. Audituri

Clientul își exercită dreptul de audit în primul rând prin informațiile pe care i le punem la dispoziție la cerere: descrierea actualizată a măsurilor din Anexa 2, răspunsuri la chestionare rezonabile de securitate și, unde există, rapoartele de certificare sau de audit ale subcontractanților (de exemplu SOC 2 sau ISO/IEC 27001). Dacă acestea nu sunt suficiente pentru a demonstra respectarea art. 28 GDPR, Clientul sau un auditor independent, care nu este concurent al nostru și este obligat la confidențialitate, poate efectua un audit, cel mult o dată la 12 luni (sau mai des, dacă o cere o autoritate de supraveghere ori după o încălcare a securității care afectează Datele Clientului), cu o notificare de cel puțin 30 de zile, după un plan convenit, în timpul programului de lucru, fără a perturba Serviciul, fără acces la datele altor clienți sau la informații care ar pune în pericol securitatea Serviciului. Costurile auditului, inclusiv timpul rezonabil al echipei noastre, sunt suportate de Client, cu excepția cazului în care auditul constată o încălcare semnificativă a acestui Acord de către noi.

12. Răspundere și durată

Răspunderea părților pentru acest Acord este cea din Termeni, inclusiv limitările de acolo, fără a limita drepturile persoanelor vizate de la art. 82 GDPR și răspunderea care nu poate fi limitată potrivit legii. Acordul se aplică cât timp Manifolio prelucrează Datele Clientului. Putem modifica acest Acord în condițiile din secțiunea 21 a Termenilor, fără a reduce garanțiile cerute de art. 28 GDPR. În caz de neconcordanță între acest Acord și Termeni, în ce privește protecția datelor prevalează Acordul.

Anexa 1. Detaliile prelucrării

Anexa 2. Măsuri tehnice și organizatorice

Manifolio aplică măsuri tehnice și organizatorice adecvate riscului, care includ, fără a se limita la ele și cu posibilitatea de a fi înlocuite cu măsuri cel puțin echivalente:

Controlul accesului. Autentificare cu parolă stocată doar sub formă de hash criptografic cu sare; sesiuni protejate (cookie-uri securizate, expirare la inactivitate și absolută); autentificare în doi pași, obligatorie pentru echipa Manifolio; limitarea încercărilor de autentificare și de resetare; linkuri de resetare de unică folosință, cu valabilitate scurtă; roluri și permisiuni pe organizație și pe proiect.

Izolarea clienților. Separarea logică a datelor fiecărui client, verificată pe mai multe niveluri (în aplicație și în baza de date, prin securitate la nivel de rând), și teste automate ale izolării.

Chei API. Chei secrete păstrate doar sub formă derivată și arătate o singură dată, cu permisiuni și medii separate, restricții de domeniu pentru cheile publice și revocare cu efect imediat.

Trasabilitate. Jurnal de audit protejat împotriva modificării, cu marcarea acțiunilor echipei Manifolio; jurnale ale cererilor API pentru perioade limitate.

Criptare. Criptare în tranzit (TLS) pentru conexiuni; criptare la repaus asigurată de furnizorii de infrastructură; protecție suplimentară pentru secretele sensibile.

Minimizarea datelor. Statistici fără cookie-uri și fără stocarea adreselor IP; respectarea semnalelor Do Not Track și Global Privacy Control; eliminarea metadatelor încorporate în imagini; funcțiile AI oprite implicit, fără păstrarea la noi a conținutului trimis.

Siguranța aplicației. Validarea datelor de intrare, antete de securitate, semnarea webhook-urilor și alte practici de dezvoltare sigură.

Disponibilitate și recuperare. Infrastructură distribuită cu protecție împotriva atacurilor de tip DDoS; bază de date administrată de un furnizor specializat, în UE; posibilitatea Clientului de a-și exporta oricând datele; monitorizarea stării Serviciului. Existența și durata copiilor de siguranță ale furnizorului depind de planul folosit și sunt indicate la Subcontractanți.

Ștergere și portabilitate. Funcții de export și de ștergere, unealta pentru cererile vizitatorilor, perioadă de grație la ștergerea Organizației și curățare automată ulterioară, cu urmă pseudonimizată în audit.

Organizatoric. Acces pe principiul celui mai mic privilegiu; obligații de confidențialitate pentru echipă; procedură de tratare și notificare a incidentelor; evaluarea furnizorilor; raportarea vulnerabilităților la security@manifolio.com.

Anexa 3. Subcontractanți

Lista actualizată, cu sediul, scopul și locul prelucrării, este la Subcontractanți și face parte din acest Acord.