Acord de prelucrare a datelor (ContractCube Cloud)

Prezentul Acord de prelucrare a datelor („Acordul”) face parte din Termenii și acordul de licență („Termenii”) încheiați între Vallentes Consulting SRL, cu sediul în Str. Principală nr. 67, Camera nr. 1, Sat Valea Dragului, Com. Valea Dragului, județul Giurgiu, România, înregistrată la Registrul Comerțului sub nr. J2020004853233, cod fiscal (CUI) 43196815, cod de TVA RO43196815 („Furnizorul”), și clientul care se abonează la ContractCube Cloud („Clientul”). Acordul se aplică numai ContractCube Cloud. Aplicația desktop ContractCube și ContractCube Server Edition păstrează datele pe dispozitivele sau serverele proprii ale Clientului, iar Furnizorul nu prelucrează aceste date.

1. Definiții

Termeni precum „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită”, „persoană vizată”, „încălcarea securității datelor cu caracter personal” și „autoritate de supraveghere” au înțelesul din Regulamentul (UE) 2016/679 („GDPR”). „Datele personale ale Clientului” înseamnă datele cu caracter personal pe care Clientul și utilizatorii săi le păstrează în ContractCube Cloud sau le trimit prin acesta. „Subîmputernicit” înseamnă un terț angajat de Furnizor pentru a prelucra Datele personale ale Clientului.

2. Rolurile

Clientul este operatorul Datelor personale ale Clientului (sau o persoană împuternicită care acționează pentru propriul operator, caz în care Clientul confirmă că are autorizarea acelui operator). Furnizorul este persoana împuternicită. Pentru datele de cont, facturare și securitate privind utilizatorii Clientului, de care Furnizorul are nevoie pentru funcționarea și securizarea serviciului, Furnizorul este operator independent, conform Politicii de confidențialitate.

3. Obiectul, durata, natura și scopul

• Obiectul: găzduirea și prelucrarea Datelor personale ale Clientului, pentru ca acesta să poată gestiona contracte, documente, parteneri, obligații, registre, aprobări, semnături electronice și facturi electronice.
• Durata: durata abonamentului Clientului, plus perioadele de export și ștergere de la secțiunea 11.
• Natura: stocare, organizare, regăsire, afișare, căutare și extragere de text, trimiterea de emailuri și reamintiri la instrucțiunile Clientului, fluxuri de semnare electronică, copii de siguranță și ștergere.
• Scopul: furnizarea ContractCube Cloud conform Termenilor. Furnizorul nu folosește Datele personale ale Clientului în niciun alt scop, inclusiv pentru publicitate, profilare sau antrenarea modelelor de inteligență artificială.

Categoriile de persoane vizate și de date cu caracter personal sunt enumerate în Anexa 1.

4. Instrucțiunile

Furnizorul prelucrează Datele personale ale Clientului numai pe baza instrucțiunilor documentate ale Clientului. Termenii, prezentul Acord și modul în care Clientul folosește și configurează serviciul reprezintă instrucțiunile complete ale Clientului. Dacă Furnizorul trebuie să prelucreze date în temeiul dreptului Uniunii sau al unui stat membru, îl informează mai întâi pe Client, cu excepția cazului în care legea respectivă interzice acest lucru. Furnizorul îl informează pe Client dacă, în opinia sa, o instrucțiune încalcă legislația privind protecția datelor.

5. Confidențialitatea

Furnizorul se asigură că persoanele autorizate să prelucreze Datele personale ale Clientului s-au angajat să respecte confidențialitatea. Personalul accesează spațiul de lucru al unui Client numai atunci când este necesar pentru asistența cerută de Client, pentru întreținerea sau securizarea serviciului sau când legea o impune.

6. Securitatea

Furnizorul aplică măsurile tehnice și organizatorice descrise în Anexa 2 și le menține adecvate riscului, ținând seama de stadiul actual al dezvoltării și de costurile de implementare. Furnizorul poate actualiza aceste măsuri, cu condiția ca nivelul general de protecție să nu scadă.

7. Subîmputerniciții

Clientul acordă Furnizorului o autorizare generală de a angaja Subîmputerniciți. Subîmputerniciții actuali sunt enumerați în Anexa 3. Furnizorul anunță prin email proprietarii spațiului de lucru cu cel puțin 30 de zile înainte de a adăuga sau înlocui un Subîmputernicit. Clientul poate formula obiecții întemeiate privind protecția datelor în această perioadă. Dacă părțile nu pot soluționa obiecția, Clientul poate înceta abonamentul și primește rambursarea proporțională a sumelor plătite în avans pentru perioada rămasă. Furnizorul impune fiecărui Subîmputernicit obligații de protecție a datelor echivalente celor din prezentul Acord și răspunde pentru Subîmputerniciții săi.

Serviciile pe care Clientul alege să le conecteze (de exemplu propriul server de email, un furnizor de inteligență artificială folosit cu cheia proprie a Clientului, webhook-uri, ANAF SPV sau un furnizor de identitate pentru autentificarea unică) nu sunt Subîmputerniciți. Datele trimise către acestea sunt trimise la instrucțiunea Clientului și în baza propriului acord al Clientului cu serviciul respectiv.

8. Transferuri internaționale

Datele personale ale Clientului sunt păstrate în Uniunea Europeană (centrul de date OVH din regiunea Hauts-de-France, Franța). Atunci când un Subîmputernicit poate prelucra date în afara Spațiului Economic European, transferul se bazează pe o decizie privind caracterul adecvat (inclusiv Cadrul UE-SUA privind protecția datelor, dacă destinatarul este certificat) sau pe Clauzele contractuale standard adoptate de Comisia Europeană, cu măsuri suplimentare atunci când este necesar.

9. Asistența

Ținând seama de natura prelucrării, Furnizorul îl sprijină pe Client:

• în soluționarea cererilor persoanelor vizate, în principal prin funcțiile serviciului (căutarea, exportul, rectificarea și ștergerea înregistrărilor și documentelor). Furnizorul transmite Clientului orice cerere primită direct și nu răspunde la ea decât dacă este autorizat;
• la evaluările impactului asupra protecției datelor și la consultările prealabile, prin informațiile din prezentul Acord și prin alte informații rezonabile, la cerere;
• în îndeplinirea obligațiilor de securitate prevăzute la articolul 32 GDPR.

10. Încălcări ale securității datelor

Furnizorul îl notifică pe Client fără întârzieri nejustificate și, în orice caz, în cel mult 48 de ore de la momentul în care a luat cunoștință de o încălcare a securității care afectează Datele personale ale Clientului. Notificarea descrie, în măsura în care sunt cunoscute, natura încălcării, categoriile și numărul aproximativ de persoane vizate și de înregistrări afectate, consecințele probabile și măsurile luate sau propuse. Furnizorul transmite informații suplimentare pe măsură ce acestea devin disponibile.

11. Returnarea și ștergerea

Clientul își poate exporta datele oricând în timpul abonamentului. După încetarea abonamentului, spațiul de lucru rămâne disponibil pentru export timp de 30 de zile, cu excepția cazului în care Clientul îl șterge mai devreme. Furnizorul șterge apoi Datele personale ale Clientului din sistemele active. Copiile din copiile de siguranță sunt suprascrise în cel mult 14 zile după aceea. Furnizorul poate păstra date numai atunci când dreptul Uniunii sau al unui stat membru o impune și numai în acel scop.

12. Auditul

Furnizorul pune la dispoziție toate informațiile necesare în mod rezonabil pentru a demonstra respectarea articolului 28 GDPR, inclusiv prezentul Acord, descrierea măsurilor din Anexa 2 și răspunsuri la chestionare de securitate rezonabile. O dată pe an sau după o încălcare a securității datelor, Clientul poate efectua un audit, direct sau printr-un auditor independent obligat la confidențialitate, cu o notificare prealabilă de cel puțin 30 de zile, în timpul programului de lucru și fără acces la datele altor clienți. Fiecare parte își suportă propriile costuri, cu excepția cazului în care auditul constată o încălcare semnificativă a prezentului Acord de către Furnizor.

13. Răspunderea și prioritatea

Răspunderea în temeiul prezentului Acord este supusă limitărilor din Termeni, cu excepția cazurilor în care GDPR nu permite o astfel de limitare. În caz de conflict privind protecția datelor, prezentul Acord prevalează asupra Termenilor. Prezentul Acord este guvernat de legea română, iar instanțele indicate în Termeni sunt competente.

14. Natura serviciului

ContractCube este un software pentru organizarea și urmărirea contractelor, a documentelor și termenelor aferente. Furnizorul nu oferă consultanță juridică. Clientul rămâne responsabil pentru stabilirea scopurilor și temeiurilor juridice ale prelucrării sale, pentru conținutul pe care îl păstrează și pentru respectarea legislației privind protecția datelor; prezentul Acord și funcțiile serviciului nu înlocuiesc consultanța de specialitate.

Anexa 1. Categorii de date

Persoane vizate:

• utilizatorii Clientului (angajați și alte persoane invitate de Client);
• persoanele de contact ale partenerilor, furnizorilor și clienților Clientului;
• semnatarii documentelor trimise spre semnare electronică;
• persoanele care depun sau sunt menționate în documentele înregistrate în registrele Clientului (de exemplu petenții);
• orice alte persoane menționate în contractele, documentele și facturile electronice încărcate de Client.

Categorii de date cu caracter personal:

• date de identificare și de contact: nume, funcție, firmă, adresă de email, număr de telefon, adresă poștală;
• conținutul contractelor și documentelor încărcate de Client, inclusiv textul extras din acestea;
• dovezi ale semnăturii electronice: nume, email, semnătură tastată sau desenată, momentul semnării, adresa IP, informații despre browser, verificarea codului unic și textul consimțământului;
• înregistrări în registre, aprobări, comentarii, reamintiri și istoricul activității;
• date din facturile electronice primite din ANAF SPV sau importate de Client;
• emailurile și atașamentele primite în căsuța de intrare pentru contracte a Clientului.

Categoriile speciale de date (articolul 9 GDPR) și datele privind condamnările penale nu sunt necesare pentru serviciu. Dacă le încarcă, de exemplu în petiții înregistrate în registre, Clientul răspunde de existența unui temei juridic, iar măsurile din Anexa 2 se aplică.

Anexa 2. Măsuri tehnice și organizatorice

• Criptarea în tranzit: tot accesul la serviciu se face prin HTTPS (TLS 1.2 sau mai nou).
• Criptarea datelor stocate: documentele și atașamentele încărcate sunt criptate cu AES-256-GCM. Secretele stocate (parolele serverelor de email, tokenurile de conectare, secretele pentru autentificarea în doi pași) sunt criptate.
• Parolele sunt păstrate numai ca hash-uri scrypt cu salt.
• Controlul accesului: patru roluri (proprietar, administrator, editor, vizualizator); autentificare opțională în doi pași cu o aplicație de autentificare, pe care proprietarii o pot impune; autentificare unică prin furnizorul de identitate al Clientului; lista sesiunilor cu deconectare de la distanță.
• Separarea: datele fiecărui spațiu de lucru sunt separate printr-un identificator al spațiului de lucru, aplicat la fiecare interogare și acoperit de teste automate.
• Integritatea: jurnalele de evenimente pentru semnături electronice și registre sunt înlănțuite prin hash și nu pot fi modificate sau șterse prin baza de date; documentele semnate conțin dovezile semnării și pot fi verificate după hash pe o pagină publică de verificare.
• Accesul administrativ la platformă este restricționat printr-un token secret și o listă de adrese de rețea permise și nu este accesibil din internet.
• Disponibilitatea: copii de siguranță zilnice ale bazei de date, păstrate 14 zile; o procedură documentată pentru restaurarea serviciului și mutarea lui pe alt server.
• Jurnalizarea: acțiunile relevante pentru securitate (autentificări, schimbări de rol, schimbări ale autentificării în doi pași, exporturi, ștergeri) sunt înregistrate într-un jurnal de activitate.
• Protecția împotriva abuzurilor: limite de frecvență pentru autentificare, coduri unice și punctele publice de acces; conexiunile de ieșire ale serviciului către adrese din rețele private sunt blocate.
• Dezvoltarea: modificările sunt testate automat înainte de punerea în producție; datele din producție nu sunt folosite niciodată pentru teste.

Anexa 3. Subîmputerniciți

Subîmputernicit	Serviciu	Locație	Date
OVH SAS, Roubaix, Franța	Servere, stocare și copii de siguranță	Hauts-de-France, Franța	Toate Datele personale ale Clientului
Google Ireland Limited (Google Workspace)	Livrarea emailurilor trimise de serviciu	UE, cu posibile transferuri în baza Clauzelor contractuale standard	Adresele destinatarilor și conținutul emailurilor (de exemplu reamintiri, cereri de semnare, notificări)

Procesatorul de plăți (Stripe Payments Europe, Ltd.) prelucrează datele de plată ca operator independent și nu are acces la Datele personale ale Clientului.