Acord de prelucrare a datelor (DPA)

Acordul se încheie între afacerea care folosește OraSync („Operatorul”) și Doimih Design S.R.L., CUI 27344782, cu sediul în Str. Drm. Gura Putnei nr. 137A, Sector 3, București, România („Împuternicitul”).

Acordul face parte din Termenii și condițiile și produce efecte cât timp Operatorul are un cont OraSync. În privința protecției datelor, prevalează asupra oricărei alte clauze contractuale.

• Prelucrează datele doar pe baza instrucțiunilor documentate ale Operatorului: acest acord, configurarea făcută de Operator în platformă și cererile lui scrise. Dacă o instrucțiune încalcă legea, îl informează imediat.
• Se asigură că persoanele care au acces la date s-au obligat să respecte confidențialitatea.
• Aplică măsurile de securitate de la secțiunea 5.
• Folosește subîmputerniciți doar în condițiile secțiunii 6.
• Îl ajută pe Operator să răspundă cererilor persoanelor vizate, prin funcțiile platformei și, la nevoie, direct. Cererile primite de la persoanele vizate îi sunt transmise Operatorului fără întârziere.
• Îl ajută pe Operator cu securitatea prelucrării, cu notificarea încălcărilor și cu evaluările de impact (art. 32–36 GDPR), în măsura informațiilor pe care le deține.
• Nu folosește datele în scopuri proprii, nu le vinde și nu trimite mesaje de marketing clienților Operatorului.

• Are un temei legal pentru fiecare prelucrare și își informează clienții conform art. 13 GDPR, inclusiv despre folosirea OraSync.
• Obține acordul clienților acolo unde legea îl cere, de exemplu pentru mesajele pe WhatsApp sau pe email.
• Introduce în platformă doar datele necesare scopului și configurează accesul echipei proporțional cu rolul fiecăruia.
• Păstrează confidențialitatea datelor de autentificare ale contului.

• Găzduire în centre de date din Uniunea Europeană;
• Criptarea traficului (HTTPS) și a copiilor de siguranță;
• Izolarea datelor fiecărui Operator în baza de date (row-level security);
• Control al accesului pe roluri și locații, verificat pe server la fiecare cerere;
• Parole stocate ca hash, blocarea contului după încercări greșite repetate, sesiuni cu durată limitată;
• Jurnal de audit care nu poate fi modificat din aplicație;
• Loguri tehnice fără numere de telefon și fără conținutul mesajelor;
• Copii de siguranță orare, păstrate într-o locație separată și testate automat prin restaurare.

Operatorul dă o autorizare generală pentru folosirea subîmputerniciților de mai jos. Împuternicitul impune fiecăruia, prin contract, obligații de protecție a datelor cel puțin echivalente cu cele din acest acord și răspunde pentru ei.

Avansurile plătite online de clienți sunt procesate direct în contul Stripe al Operatorului, prin cheia API a acelui cont configurată de superadmin. Operatorul își păstrează relația comercială cu Stripe; Împuternicitul transmite către Stripe doar datele necesare plății.

Mesajele WhatsApp sunt trimise prin contul WhatsApp Business al Operatorului. Relația cu Meta Platforms Ireland Ltd. este reglementată de contractul direct dintre Operator și Meta; Împuternicitul transmite mesajele în numele Operatorului.

Înainte de a adăuga sau înlocui un subîmputernicit, Împuternicitul îl anunță pe Operator pe email cu cel puțin 30 de zile înainte. Operatorul se poate opune, motivat, în acest interval. Dacă nu se găsește o soluție, Operatorul poate înceta contractul fără penalități.

Împuternicitul îl notifică pe Operator fără întârzieri nejustificate, în cel mult 48 de ore de la constatarea unei încălcări care afectează datele Operatorului.

Notificarea include, în măsura în care sunt cunoscute: natura încălcării, categoriile și numărul aproximativ de persoane și de înregistrări afectate, consecințele probabile și măsurile luate sau propuse. Informațiile care nu sunt disponibile imediat se transmit pe măsură ce devin cunoscute.

Împuternicitul nu transferă datele Operatorului în afara Spațiului Economic European. Orice transfer viitor se va face doar cu notificarea de la secțiunea 6 și cu garanțiile prevăzute de capitolul V din GDPR.

La încetarea contractului, datele Operatorului rămân disponibile 90 de zile, timp în care Operatorul poate cere o copie a lor, într-un format structurat.

După acest termen, datele se șterg definitiv din baza de date. Din copiile de siguranță criptate dispar pe măsură ce acestea expiră, în cel mult 12 luni.

Excepție fac datele pe care Împuternicitul este obligat prin lege să le păstreze, de exemplu documentele de facturare.

Împuternicitul pune la dispoziția Operatorului informațiile necesare pentru a demonstra respectarea acestui acord.

Operatorul poate efectua un audit, direct sau printr-un auditor obligat la confidențialitate, cel mult o dată pe an, cu o notificare prealabilă de 30 de zile, pe costul său și fără a afecta securitatea altor clienți. Auditurile cerute de o autoritate de supraveghere nu sunt supuse acestor limite.

Pentru orice aspect legat de acest acord: [email protected].