Anexa 1 – Acord de prelucrare a datelor cu caracter personal
Acest acord face parte din contractul dintre Client, în calitate de operator, și FABRIQON SRL, în calitate de persoană împuternicită. El se aplică datelor cu caracter personal din Datele Clientului și este încheiat conform art. 28 GDPR, în formă electronică (art. 28 alin. (9) GDPR), prin aceeași acceptare ca Termenii.
1. Detaliile prelucrării
| Element | Descriere |
|---|---|
| Natura și obiectul | Găzduirea, stocarea, organizarea, consultarea, exportul și ștergerea datelor în Platformă; importul datelor la cererea Clientului; suport tehnic |
| Scopul | Furnizarea Platformei și a serviciilor de implementare și suport, conform Termenilor |
| Durata | Durata contractului, plus 30 de zile pentru export și termenul de ștergere din copiile de siguranță |
| Persoane vizate | Angajații și colaboratorii Clientului; persoanele de contact ale clienților, furnizorilor și partenerilor Clientului |
| Categorii de date | Identificare și contact (nume, e-mail, telefon); date profesionale (funcție, departament, competențe); activitatea în producție (operații, timpi de lucru, cantități, neconformități înregistrate); date de autentificare și jurnale |
| Categorii speciale | Nu se prelucrează. Clientul nu introduce în Platformă date din art. 9 și 10 GDPR |
2. Obligațiile Fabriqon
2.1 Prelucrează datele numai pe baza instrucțiunilor documentate ale Clientului, inclusiv privind transferurile. Termenii, configurarea Contului și cererile de suport constituie aceste instrucțiuni. Fabriqon informează Clientul dacă o instrucțiune încalcă GDPR sau dacă legea îl obligă la o prelucrare diferită, cu excepția cazului în care legea interzice informarea.
2.2 Se asigură că persoanele autorizate să prelucreze datele s-au obligat să respecte confidențialitatea.
2.3 Aplică măsurile de securitate prevăzute la art. 32 GDPR, descrise în secțiunea 7.
2.4 Asistă Clientul, prin măsuri tehnice și organizatorice adecvate, să răspundă cererilor persoanelor vizate. Transmite Clientului, fără întârziere, cererile primite direct.
2.5 Asistă Clientul în respectarea art. 32–36 GDPR (securitate, notificarea încălcărilor, evaluarea impactului, consultarea prealabilă), ținând seama de informațiile de care dispune.
2.6 La încetarea contractului, permite exportul datelor timp de 30 de zile, apoi le șterge. Datele din copiile de siguranță se șterg prin rotație în cel mult [30 de zile]. Fac excepție datele pe care legea obligă Fabriqon să le păstreze.
2.7 Pune la dispoziția Clientului informațiile necesare pentru a demonstra respectarea art. 28 GDPR și permite auditurile prevăzute la secțiunea 9.
2.8 Ține evidența activităților de prelucrare efectuate pentru Client (art. 30 alin. (2) GDPR).
3. Obligațiile Clientului
3.1 Clientul are un temei legal pentru prelucrare și informează persoanele vizate conform art. 13–14 GDPR. Aceasta include informarea angajaților despre înregistrarea activității lor în producție.
3.2 Clientul dă instrucțiuni conforme cu legea și nu introduce în Platformă categorii speciale de date.
4. Subîmputerniciți
4.1 Clientul autorizează general Fabriqon să folosească subîmputerniciții din secțiunea 8.
4.2 Fabriqon anunță Clientul cu cel puțin 30 de zile înainte de a adăuga sau înlocui un subîmputernicit. Clientul se poate opune motivat în 15 zile. Dacă părțile nu găsesc o soluție, Clientul poate denunța contractul fără penalități.
4.3 Fabriqon impune fiecărui subîmputernicit obligații de protecție a datelor echivalente și răspunde față de Client pentru acesta (art. 28 alin. (4) GDPR).
5. Transferuri
Datele sunt stocate în UE. Un transfer în afara SEE are loc numai cu garanțiile prevăzute la art. 44–46 GDPR.
6. Încălcarea securității datelor
6.1 Fabriqon notifică Clientul fără întârzieri nejustificate, în cel mult 48 de ore de la constatarea unei încălcări a securității Datelor Clientului.
6.2 Notificarea descrie, în măsura în care sunt cunoscute: natura încălcării, categoriile și numărul aproximativ de persoane și înregistrări afectate, consecințele probabile, măsurile luate și persoana de contact (art. 33 alin. (3) GDPR). Informațiile încă necunoscute se transmit pe etape.
7. Măsuri tehnice și organizatorice
- Criptarea datelor în tranzit (TLS) [și la repaus].
- Separarea logică a datelor fiecărui client.
- Control al accesului pe roluri, după principiul privilegiului minim.
- Parolele Utilizatorilor stocate criptat ireversibil (hash).
- Acces al personalului Fabriqon doar pentru suport și mentenanță, [cu autentificare în doi factori].
- Copii de siguranță [zilnice], păstrate [30 de zile] în UE și testate periodic.
- Jurnale de acces și monitorizare a infrastructurii.
- Aplicarea la timp a actualizărilor de securitate.
- Infrastructură în centrele de date ale DigitalOcean, cu certificările de securitate publicate de acesta.
- Obligații scrise de confidențialitate pentru personal.
8. Lista subîmputerniciților
| Subîmputernicit | Serviciu | Locația datelor | Garanții pentru transfer |
|---|---|---|---|
| DigitalOcean, LLC | Găzduire cloud: servere, baze de date, stocare, copii de siguranță | UE – [Frankfurt, Germania / Amsterdam, Țările de Jos] | DPA DigitalOcean; clauze contractuale standard / EU-US Data Privacy Framework |
| [Furnizor e-mail tranzacțional] | Trimiterea e-mailurilor din Platformă | [ ] | [ ] |
| [Alt furnizor] | [ ] | [ ] | [ ] |
9. Audit
Fabriqon răspunde la cererile de informații ale Clientului în cel mult 30 de zile. Clientul poate efectua un audit la fața locului cel mult o dată pe an, cu un preaviz de 30 de zile, pe cheltuiala sa, în timpul programului de lucru. Auditul se face de Client sau de un auditor obligat la confidențialitate. Limita anuală nu se aplică după o încălcare a securității datelor.
10. Răspundere și durată
Răspunderea părților se stabilește conform art. 82 GDPR și art. 11 din Termeni, în măsura permisă de lege. Acordul se aplică atât timp cât Fabriqon prelucrează Datele Clientului.