Acord de Prelucrare a Datelor (DPA)

Prezentul Acord este un Document Contractual (art. 3.1 lit. c și art. 11.2 din Contractul de Prestări Servicii) și reglementează prelucrarea datelor cu caracter personal pe care Clientul le încarcă în Platforma Fintaxy sau le transmite Prestatorului în vederea prestării Serviciilor, conform art. 28 din Regulamentul (UE) 2016/679 („GDPR”).

1. Părțile și rolurile

1.1. Clientul este Operator al datelor cu caracter personal pe care le transmite (datele angajaților, colaboratorilor, administratorilor, partenerilor comerciali și ale altor persoane care apar în Documentele Contabile).

1.2. Confirm Solutions OÜ (cod de înregistrare 17109468, Ahtri tn 12, 15551 district Kesklinna, Tallinn, județul Harju, Estonia) este Persoană împuternicită de Operator.

1.3. Conform art. 11.2 din Contract, DS Accounting & Advisory Services S.R.L. (J2021018972400, CUI RO45161740, București) prelucrează datele pentru serviciile de contabilitate ca subprocesator al Persoanei împuternicite, iar FINTAXY SOFTWARE ROMANIA S.R.L. (J2026051400004, CUI 55481912, Galați), Reprezentantul Local, accesează datele din Platformă pentru suport și pentru reprezentarea Clientului în fața autorităților (art. 7.1 din Contract), ca subprocesator; pentru datele de contract și de facturare ale Clientului acționează ca operator asociat, conform art. 1.4. Lista completă a subprocesatorilor este publicată în Lista subprocesatorilor.

1.4. Pentru datele proprii ale Clientului și ale reprezentantului său legal, necesare încheierii și executării Contractului, Confirm Solutions OÜ și FINTAXY SOFTWARE ROMANIA S.R.L. sunt operatori asociați; aceste prelucrări sunt descrise în Politica de Confidențialitate.

2. Obiectul, durata, natura și scopul prelucrării

2.1. Obiect: prelucrarea datelor conținute în Documentele Contabile și în informațiile transmise de Client pentru prestarea Serviciilor descrise în Descrierea Serviciilor.

2.2. Durata: pe toată durata Contractului, plus perioada necesară returnării sau ștergerii datelor conform art. 12.

2.3. Natura și scopul: colectare prin Platformă, stocare, citire automată a documentelor, înregistrare în evidența contabilă, calculul salariilor, întocmirea și depunerea declarațiilor și raportărilor la autorități, comunicarea cu Clientul, arhivare.

2.4. Categorii de persoane vizate: angajații și colaboratorii Clientului (inclusiv persoanele remunerate prin contracte de drepturi de autor sau de mandat), administratorii și asociații, partenerii comerciali persoane fizice și persoanele de contact ale partenerilor, persoanele care apar în documentele justificative.

2.5. Categorii de date: date de identificare (nume, CNP, serie și număr act de identitate, data nașterii, cetățenie); date de contact (adresă, telefon, e-mail); date profesionale și de muncă (funcție, contract, salariu, concedii, beneficii); date financiare (IBAN, tranzacții bancare, sume facturate și încasate); date fiscale (cod de identificare fiscală, obligații declarative).

2.6. Nu se prelucrează categorii speciale de date (art. 9 GDPR) decât în măsura în care apar incidental în documentele transmise de Client (de exemplu certificate medicale pentru concedii), caz în care sunt prelucrate exclusiv în scopul legal pentru care au fost transmise.

3. Obligațiile Persoanei împuternicite

Confirm Solutions OÜ:

3.1. prelucrează datele numai pe baza instrucțiunilor documentate ale Clientului, inclusiv a celor din Contract și din prezentul Acord, cu excepția cazului în care legea Uniunii sau legea română îi impune o prelucrare; în acest caz informează Clientul înainte de prelucrare, dacă legea nu interzice informarea;

3.2. informează Clientul dacă, în opinia sa, o instrucțiune încalcă GDPR sau altă dispoziție legală, și poate suspenda executarea instrucțiunii până la confirmarea sau modificarea ei;

3.3. nu folosește datele în scopuri proprii, de marketing sau ale unor terți;

3.4. asigură că persoanele autorizate să prelucreze datele sunt ținute de obligații de confidențialitate și au acces numai la datele necesare sarcinilor lor;

3.5. implementează măsurile tehnice și organizatorice descrise la art. 5;

3.6. respectă condițiile de recurgere la subprocesatori de la art. 6;

3.7. asistă Clientul, prin măsuri tehnice și organizatorice adecvate, pentru a răspunde cererilor persoanelor vizate (art. 7);

3.8. asistă Clientul la respectarea obligațiilor privind securitatea, notificarea încălcărilor, evaluarea impactului și consultarea prealabilă (art. 8 și 9);

3.9. la încetarea Serviciilor, șterge sau returnează datele conform art. 12;

3.10. pune la dispoziția Clientului informațiile necesare pentru a demonstra respectarea obligațiilor și permite auditurile conform art. 10.

4. Obligațiile Clientului

4.1. Clientul garantează că datele transmise au fost colectate legal, că a informat persoanele vizate conform art. 13 și 14 GDPR și art. 11.3 din Contract (inclusiv despre prelucrarea de către Subcontractor) și că deține temeiul legal pentru transmiterea lor către Persoana împuternicită.

4.2. Clientul transmite instrucțiunile în scris, prin Platformă sau la contact@fintaxy.com, și răspunde pentru legalitatea instrucțiunilor date.

4.3. Clientul nu transmite prin Platformă date care nu sunt necesare Serviciilor.

5. Măsuri de securitate

5.1. Persoana împuternicită aplică, ținând seama de stadiul tehnicii, de costuri, de natura, domeniul, contextul și scopurile prelucrării și de riscurile pentru persoanele vizate, cel puțin următoarele măsuri:

a) criptarea datelor în tranzit (TLS) și criptarea datelor de identificare ale persoanelor fizice stocate în Platformă (AES-256);

b) autentificarea utilizatorilor prin cont Google și sesiuni limitate în timp; separarea datelor fiecărui Client (spațiu de lucru) și acces numai pentru membrii desemnați de Client;

c) scanarea antivirus a fișierelor încărcate; semnarea criptografică a comunicațiilor între componentele Platformei; păstrarea secretelor și a cheilor într-un serviciu dedicat de gestionare a cheilor;

d) jurnalizarea accesului și a operațiunilor, cu mascarea datelor sensibile în jurnale;

e) găzduirea în centre de date din Uniunea Europeană, cu copii de siguranță și proceduri de restaurare;

f) limitarea accesului angajaților și al subprocesatorilor la datele strict necesare; proceduri pentru drepturile de acces și pentru revocarea lor; obligații de confidențialitate;

g) aplicarea principiilor „protecția datelor începând cu momentul conceperii” și „în mod implicit” în dezvoltarea Platformei;

h) informarea Clientului, la cerere, despre locul în care se prelucrează datele (găzduire, copii de siguranță, mentenanță, suport).

5.2. Persoana împuternicită poate actualiza măsurile fără a reduce nivelul general de securitate și informează Clientul despre modificările semnificative.

6. Subprocesatori

6.1. Clientul autorizează în general recurgerea la subprocesatorii publicați în Lista subprocesatorilor, inclusiv DS Accounting & Advisory Services S.R.L. și FINTAXY SOFTWARE ROMANIA S.R.L.

6.2. Persoana împuternicită notifică Clientul prin e-mail, cu cel puțin 15 zile înainte, despre orice adăugare sau înlocuire a unui subprocesator. Clientul se poate opune, motivat, în 10 Zile lucrătoare de la notificare; Părțile caută cu bună-credință o soluție, iar dacă nu se ajunge la un acord, Clientul poate denunța Contractul, fără penalități, până la data la care noul subprocesator începe prelucrarea.

6.3. Persoana împuternicită impune fiecărui subprocesator, prin contract scris, obligații de protecție a datelor cel puțin echivalente cu cele din prezentul Acord și rămâne răspunzătoare față de Client pentru îndeplinirea obligațiilor subprocesatorilor.

7. Drepturile persoanelor vizate

7.1. Persoana împuternicită transmite Clientului, fără întârziere, orice cerere primită direct de la o persoană vizată în legătură cu datele Clientului și nu răspunde acesteia fără instrucțiunile Clientului, cu excepția confirmării primirii.

7.2. Persoana împuternicită răspunde în scris cererilor de informații ale Clientului în cel mult 10 Zile lucrătoare, pentru ca acesta să poată răspunde persoanelor vizate și autorităților în termenele legale.

8. Încălcarea securității datelor

8.1. Persoana împuternicită notifică Clientul fără întârzieri nejustificate și în cel mult 48 de ore de la momentul în care ia cunoștință de o încălcare a securității datelor Clientului.

8.2. Notificarea conține, în măsura în care informațiile sunt disponibile: natura încălcării, categoriile și numărul aproximativ de persoane vizate și de înregistrări afectate, consecințele probabile, măsurile luate sau propuse și un punct de contact. Informațiile pot fi furnizate în etape.

8.3. Persoana împuternicită cooperează cu Clientul la investigarea, limitarea și remedierea încălcării. Încălcările cauzate de Client sau de utilizatorii săi rămân în responsabilitatea Clientului.

9. Evaluarea impactului și consultarea prealabilă

Persoana împuternicită asistă Clientul, în mod rezonabil și pe baza informațiilor pe care le deține, la realizarea evaluărilor de impact asupra protecției datelor și la consultarea prealabilă a autorității de supraveghere, atunci când GDPR le impune.

10. Audit

10.1. Persoana împuternicită pune la dispoziția Clientului, la cerere, informațiile necesare pentru a demonstra respectarea art. 28 GDPR, inclusiv prezentul Acord, lista subprocesatorilor și descrierea măsurilor de securitate.

10.2. Clientul poate efectua, direct sau printr-un auditor independent care nu este concurent al Persoanei împuternicite, cel mult un audit pe an calendaristic, cu notificare scrisă cu cel puțin 20 de Zile lucrătoare înainte, în timpul programului de lucru și fără a perturba activitatea Persoanei împuternicite. Audituri suplimentare sunt posibile după o încălcare a securității. Costurile auditului sunt suportate de Client.

10.3. Persoana împuternicită poate furniza, în locul auditului la fața locului, rapoarte de audit sau certificări independente, dacă sunt disponibile.

11. Transferuri în afara Uniunii Europene

11.1. Datele Clientului sunt prelucrate, de regulă, în Uniunea Europeană; excepțiile și mecanismul de transfer pentru fiecare furnizor sunt indicate în Lista subprocesatorilor. Transferul către o țară terță se face numai: (i) pe baza unei decizii de adecvare a Comisiei Europene, inclusiv Cadrul UE–SUA privind confidențialitatea datelor pentru furnizorii certificați; sau (ii) pe baza clauzelor contractuale standard adoptate de Comisia Europeană, completate, dacă este necesar, cu măsuri suplimentare. Mecanismul aplicabil fiecărui subprocesator este indicat în Lista subprocesatorilor.

11.2. La cerere, Persoana împuternicită pune la dispoziția Clientului o copie a garanțiilor aplicabile.

12. Ștergerea sau returnarea datelor

12.1. În 5 Zile lucrătoare de la încetarea Serviciilor, Clientul poate solicita în scris, la contact@fintaxy.com: (i) returnarea unei copii a datelor sale, prin transfer securizat, într-un format uzual; și/sau (ii) ștergerea datelor. Persoana împuternicită dă curs cererii în cel mult 20 de Zile lucrătoare. Documentele arhivate în Platformă rămân disponibile Clientului pentru descărcare pe durata termenului de 20 de Zile lucrătoare.

12.2. În lipsa unei cereri, datele sunt șterse după expirarea termenului de la art. 12.1, cu excepția celor pe care Persoana împuternicită sau subprocesatorii trebuie să le păstreze în temeiul legii (de exemplu 10 ani pentru documentele contabile, conform Legii nr. 82/1991) sau pentru a dovedi modul de prestare a Serviciilor. Aceste date rămân protejate conform prezentului Acord și sunt prelucrate numai în scopul arhivării.

13. Răspundere și dispoziții finale

13.1. Răspunderea Părților pentru încălcarea prezentului Acord urmează regulile din Contract și din Condițiile Generale, cu respectarea art. 82 GDPR.

13.2. În privința prelucrării datelor cu caracter personal, prezentul Acord completează Condițiile Generale; în caz de neconcordanță se aplică ierarhia din art. 3.4 din Contract. Părțile îl adaptează în cazul modificării GDPR sau a legislației aplicabile; modificările se notifică cu cel puțin 15 zile înainte de intrarea în vigoare, conform art. 9 din Contract.

13.3. Nulitatea unei clauze nu afectează celelalte clauze.

Contact

Pentru orice comunicare privind prezentul Acord: contact@fintaxy.com.