Acord de prelucrare a datelor

1. Părțile și încheierea acordului

Operatorul: Clientul care a încheiat un Abonament FrameCRM („Operatorul”).

Persoana împuternicită: Pavlo Okhmak, întreprinzător individual (persoană fizică ce desfășoară activități economice) înregistrat în Registrul autorizațiilor comerciale al Republicii Cehe (živnostenský rejstřík), număr de identificare a întreprinderii (IČO) 29485941, cu sediul (locul de desfășurare a activității) la Bezručova 4201, 430 03 Chomutov, Republica Cehă, neplătitor de TVA („Persoana împuternicită”).

Prezentul Acord de prelucrare a datelor („DPA”) face parte din Termenii și condițiile. Operatorul îl acceptă prin confirmarea acordului la înregistrarea în FrameCRM; nu este necesară semnătura. DPA îndeplinește cerința privind contractul prevăzută la art. 28 alin. (3) din Regulamentul (UE) 2016/679 (GDPR).

Versiunea în limba cehă a prezentului DPA este cea obligatorie; acest text în limba română este o traducere pusă la dispoziție exclusiv cu titlu informativ, iar în caz de neconcordanță prevalează versiunea în limba cehă. În materie de protecție a datelor cu caracter personal, DPA are prioritate față de Termenii și condițiile.

2. Obiectul, durata, natura și scopul prelucrării

• Obiectul: prelucrarea datelor cu caracter personal pe care Operatorul sau utilizatorii săi le introduc în FrameCRM.
• Durata: pe durata Abonamentului și ulterior, până la ștergerea datelor în conformitate cu articolul 10.
• Natura prelucrării: colectare (inclusiv solicitări și programări de pe site-ul sau din formularul de programare online al Operatorului, dacă le utilizează), stocare, organizare, afișare, căutare, modificare, export, pregătirea mementourilor și a mesajelor pe care utilizatorii Operatorului le trimit ei înșiși clienților (de exemplu, printr-un link WhatsApp), notificări pentru utilizatorii Operatorului (prin Telegram, dacă Operatorul a activat această opțiune), emiterea de documente precum facturi, backup și ștergere.
• Scopul: furnizarea serviciului FrameCRM — evidența clienților, vehiculelor, comenzilor, calendarului, mementourilor, recenziilor, facturilor, stocurilor, salariilor și statisticilor Operatorului.

3. Categoriile de persoane vizate și de date cu caracter personal

Persoanele vizate: clienții și potențialii clienți ai Operatorului, persoanele de contact ale acestora, angajații și alți utilizatori ai Operatorului.

Categoriile de date:

• date de identificare și de contact (nume, telefon, e-mail, adresă);
• date despre vehicul (marcă, model, număr de înmatriculare, VIN, kilometraj);
• istoricul comenzilor, programări, prețuri și evidența plăților, note;
• date de facturare (numele de facturare, adresa, numărul de identificare a întreprinderii / codul de TVA);
• fotografii (în principal ale vehiculelor), care pot conține și alte date cu caracter personal;
• comunicarea cu clienții și recenziile;
• date despre utilizatorii Operatorului (nume, e-mail, telefon, rol, înregistrările autentificărilor, jurnalul activităților) și, dacă Operatorul utilizează funcția de salarizare, regulile lor de remunerare, câștigurile și plățile.

Nu este prevăzută prelucrarea unor categorii speciale de date (art. 9 GDPR) sau a datelor referitoare la condamnări penale; Operatorul nu introduce astfel de date în FrameCRM.

4. Obligațiile Operatorului

Operatorul răspunde pentru existența unui temei juridic pentru prelucrare, pentru informarea corespunzătoare a persoanelor vizate, pentru exactitatea datelor introduse și pentru conformitatea cu legea a instrucțiunilor sale către Persoana împuternicită. Operatorul protejează datele de autentificare ale utilizatorilor săi.

5. Obligațiile Persoanei împuternicite

Persoana împuternicită:

• prelucrează datele cu caracter personal numai pe baza instrucțiunilor documentate ale Operatorului — Termenii și condițiile, prezentul DPA, precum și setările și acțiunile Operatorului în aplicație sunt considerate astfel de instrucțiuni —, inclusiv în ceea ce privește transferurile către țări terțe; informează imediat Operatorul dacă consideră că o instrucțiune este ilegală;
• se asigură că persoanele autorizate să prelucreze datele s-au angajat să respecte confidențialitatea;
• ia măsurile tehnice și organizatorice prevăzute la art. 32 GDPR (articolul 7);
• respectă condițiile privind recurgerea la alte persoane împuternicite (articolul 6);
• asistă Operatorul în soluționarea cererilor persoanelor vizate — în special prin funcționalitățile aplicației pentru căutarea, rectificarea, exportul și ștergerea datelor;
• asistă Operatorul în îndeplinirea obligațiilor prevăzute la art. 32–36 GDPR, ținând seama de natura prelucrării și de informațiile disponibile;
• șterge sau returnează datele după încetarea serviciului (articolul 10);
• pune la dispoziția Operatorului informațiile necesare pentru a demonstra conformitatea și permite audituri (articolul 11);
• nu utilizează datele Operatorului în scopuri proprii.

6. Alte persoane împuternicite (subprocesatori)

Operatorul acordă o autorizare generală pentru recurgerea la alte persoane împuternicite. La data intrării în vigoare a prezentului DPA, acestea sunt:

Plățile pentru Abonament sunt procesate de Stripe; cu toate acestea, Stripe nu prelucrează date cu caracter personal ale clienților Operatorului.

Mesajele către clienți prin WhatsApp sunt trimise de utilizatorii Operatorului din propria lor aplicație WhatsApp (link click-to-chat); prin urmare, WhatsApp (Meta) nu este un subprocesator al Persoanei împuternicite, iar utilizarea WhatsApp de către Operator este guvernată de propria sa relație cu Meta. Atunci când un utilizator decodează un VIN, numai VIN-ul (fără alte date) este trimis către baza de date publică gratuită NHTSA vPIC (Departamentul Transporturilor al SUA) pentru identificarea mărcii și a modelului; adresele studiourilor pot fi căutate în OpenStreetMap (Nominatim).

Persoana împuternicită va informa Operatorul prin e-mail, cu cel puțin 14 zile înainte, cu privire la orice intenție de a adăuga sau înlocui un subprocesator. Operatorul se poate opune din motive întemeiate legate de protecția datelor; dacă părțile nu găsesc o soluție, Operatorul poate anula Abonamentul cu efect de la data modificării. Persoana împuternicită impune subprocesatorilor săi aceleași obligații privind protecția datelor și rămâne răspunzătoare pentru îndeplinirea acestora.

Transferurile către țări terțe au loc numai cu garanțiile prevăzute în capitolul V din GDPR (decizii privind caracterul adecvat, clauze contractuale standard).

7. Măsuri tehnice și organizatorice

• criptarea în tranzit (HTTPS/TLS) și criptarea datelor stocate de către furnizorul bazei de date;
• autentificarea prin parolă sau prin linkuri de autentificare de unică folosință (cu valabilitate limitată), sesiuni securizate, roluri și permisiuni ale utilizatorilor în cadrul contului;
• separarea logică a datelor fiecărui client;
• accesul Persoanei împuternicite la datele de producție numai în măsura necesară (asistență, depanare), protejat prin autentificare puternică;
• backupuri periodice la furnizorul bazei de date, cu posibilitatea de restaurare;
• actualizarea continuă a software-ului și a dependențelor, gestionarea secretelor în afara codului sursă;
• jurnale ale operațiunilor și ale evenimentelor de securitate;
• reducerea la minimum a datelor — nu se transmit date cu caracter personal ale clienților către instrumentele de analiză;
• o procedură de răspuns la incidentele de securitate.

8. Încălcarea securității datelor cu caracter personal

Persoana împuternicită notifică Operatorului încălcarea securității datelor cu caracter personal fără întârzieri nejustificate și cel târziu în 48 de ore de la data la care a luat cunoștință de aceasta. Notificarea conține informațiile prevăzute la art. 33 alin. (3) GDPR de care dispune Persoana împuternicită și va fi completată pe măsură ce devin disponibile informații suplimentare. Persoana împuternicită ia măsuri rezonabile pentru atenuarea consecințelor.

9. Cererile persoanelor vizate

Dacă Persoana împuternicită primește o cerere de la o persoană vizată privind datele Operatorului, o transmite Operatorului fără întârzieri nejustificate și nu răspunde ea însăși la aceasta, cu excepția cazului în care Operatorul o autorizează.

10. Ștergerea și returnarea datelor

Pe durata Abonamentului, Operatorul poate exporta și șterge datele în orice moment. După încetarea Abonamentului, Persoana împuternicită păstrează datele timp de 90 de zile, perioadă în care Operatorul le poate solicita într-un format care poate fi citit automat. Ulterior, Persoana împuternicită șterge datele definitiv; copiile din backupuri expiră prin rotația backupurilor în cel mult încă 30 de zile. Aceasta nu se aplică în cazul în care păstrarea este impusă de lege.

11. Informații și audituri

La cerere, Persoana împuternicită îi furnizează Operatorului informațiile necesare pentru a demonstra respectarea art. 28 GDPR, de regulă sub forma unor răspunsuri scrise și a documentației. Operatorul sau un auditor mandatat de acesta și obligat să păstreze confidențialitatea poate efectua un audit sau o inspecție la fața locului cu o notificare prealabilă de cel puțin 30 de zile, cel mult o dată pe an (cu excepția investigării unei încălcări a securității datelor cu caracter personal sau a cererii unei autorități de supraveghere), pe cheltuiala Operatorului.

12. Răspundere și dispoziții finale

Răspunderea părților este reglementată de art. 82 GDPR și, în rest, de Termenii și condițiile. Prezentul DPA rămâne în vigoare atât timp cât Persoana împuternicită prelucrează datele Operatorului. Acesta este guvernat de legislația Republicii Cehe.

Contact pentru protecția datelor: info@frame-webs.com.