Acord de prelucrare a datelor

1. Părțile și rolurile

Acest Acord de prelucrare a datelor cu caracter personal („Acordul”) se încheie între Client, în calitate de operator de date, și [denumirea operatorului], [CUI și numărul din registrul comerțului], cu sediul în [sediul social al operatorului] („Operatorul”), în calitate de persoană împuternicită. Se încheie în temeiul art. 28 din Regulamentul (UE) 2016/679 („GDPR”).

În Acord, cuvintele de mai jos au următorul sens:

• „Clientul” este firma sau profesionistul care are un cont în Facturica.
• „Utilizatorul” este persoana care folosește un cont.
• „Serviciul” este aplicația web Facturica.
• „Termenii” sunt termenii de folosire a Serviciului, acceptați de Client la înregistrare.
• „Datele Clientului” sunt datele cu caracter personal pe care Clientul sau Utilizatorii lui le introduc în Serviciu și pe care Operatorul le prelucrează în numele Clientului; ele sunt descrise în Anexa 1.
• „Operator de date”, „persoană împuternicită”, „persoană vizată” și „încălcarea securității datelor cu caracter personal” au sensul din GDPR.

„Operatorul” nu trebuie confundat cu „operatorul de date” din GDPR. În Acord, operator de date este Clientul.

Acordul nu privește datele contului Utilizatorilor (de exemplu nume, email, sesiuni), pentru care Operatorul este operator de date. Acestea sunt descrise în Politica de confidențialitate.

Clientul acceptă Acordul la înregistrare. Operatorul păstrează versiunea acceptată și data acceptării.

2. Obiect, durată, natură și scop

Obiectul: Operatorul prelucrează Datele Clientului pentru a furniza Serviciul, adică pentru emiterea și evidența documentelor comerciale ale Clientului, așa cum se arată în Termeni.

Durata: prelucrarea durează cât timp firma Clientului există în aplicație și se încheie conform secțiunii „Ștergerea sau returnarea datelor”.

Natura și scopul: Operatorul stochează, afișează și procesează Datele Clientului la cererea Clientului și a Utilizatorilor lui, numai pentru a furniza Serviciul. Operațiunile sunt enumerate în Anexa 1.

Categoriile de persoane vizate și categoriile de date sunt în Anexa 1.

3. Instrucțiunile Clientului

Operatorul prelucrează Datele Clientului numai pe baza instrucțiunilor documentate ale Clientului (art. 28 alin. 3 lit. a GDPR). Instrucțiunile Clientului sunt:

• Acordul și Termenii;
• folosirea funcțiilor Serviciului de către Client și de către Utilizatorii lui;
• cererile scrise ale Clientului, trimise la [adresa de contact a operatorului].

Dacă o lege îl obligă pe Operator să prelucreze Datele Clientului în alt mod, Operatorul îl informează pe Client înainte de prelucrare, cu excepția cazului în care legea interzice această informare.

Dacă Operatorul consideră că o instrucțiune încalcă GDPR sau alte dispoziții privind protecția datelor, îl informează imediat pe Client.

Operatorul nu folosește Datele Clientului în scopuri proprii, nu face cu ele profilări sau publicitate și nu le vinde.

Clientul răspunde ca datele pe care le introduce să fie prelucrate legal, inclusiv să aibă un temei pentru prelucrare (art. 6 alin. 1 GDPR) și să își informeze partenerii, acolo unde este cazul.

4. Confidențialitatea personalului

Operatorul se asigură că persoanele autorizate să prelucreze Datele Clientului s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate (art. 28 alin. 3 lit. b GDPR). Aceste persoane au acces la Datele Clientului numai în măsura necesară pentru a furniza Serviciul.

5. Securitatea prelucrării

Operatorul aplică măsurile tehnice și organizatorice din Anexa 2 (art. 28 alin. 3 lit. c și art. 32 GDPR).

Clientul răspunde de securitatea din partea lui: păstrarea secretă a parolelor, activarea autentificării în doi pași, rolurile date Utilizatorilor.

6. Alte persoane împuternicite

Clientul dă Operatorului o autorizare generală de a folosi alte persoane împuternicite. Cele folosite la data acordului sunt în Anexa 3 (art. 28 alin. 2 GDPR).

Operatorul îl informează pe Client înainte de orice adăugare sau înlocuire a unei persoane împuternicite, prin publicarea unei versiuni noi a Acordului, cu Anexa 3 actualizată; aplicația o anunță fiecărui Utilizator după autentificare. Informarea se face cu cel puțin [de completat de operator: termenul de informare înainte de schimbare] înainte ca schimbarea să se aplice. În acest interval, Clientul se poate opune în scris, la [adresa de contact a operatorului].

Dacă Clientul se opune și părțile nu găsesc o soluție, Clientul poate înceta folosirea Serviciului și poate cere ștergerea contului.

Operatorul impune fiecărei alte persoane împuternicite, prin contract, aceleași obligații de protecție a datelor ca cele din Acord și rămâne răspunzător față de Client pentru îndeplinirea lor (art. 28 alin. 4 GDPR).

7. Drepturile persoanelor vizate

Operatorul ajută Clientul, prin măsuri tehnice și organizatorice adecvate și în măsura în care este posibil, să răspundă cererilor persoanelor vizate de exercitare a drepturilor din art. 15–22 GDPR (art. 28 alin. 3 lit. e).

Proprietarul contului poate exporta oricând datele firmei într-un fișier (Setări → Exportă datele firmei). Clientul poate folosi exportul și pentru a răspunde unor astfel de cereri.

Dacă o persoană vizată îi adresează Operatorului o cerere privind Datele Clientului, Operatorul o îndrumă către Client sau, dacă poate identifica Clientul, i-o transmite. Operatorul nu răspunde pe fond fără instrucțiunea Clientului.

Clientul cere ajutorul la [adresa de contact a operatorului]. Operatorul răspunde în timp util, astfel încât Clientul să poată respecta termenul din art. 12 alin. 3 GDPR (o lună).

8. Asistență și încălcările de securitate

Operatorul ajută Clientul să își îndeplinească obligațiile din art. 32–36 GDPR (securitatea prelucrării, notificarea încălcărilor, evaluarea impactului asupra protecției datelor și consultarea prealabilă a autorității), ținând seama de natura prelucrării și de informațiile de care dispune (art. 28 alin. 3 lit. f).

Dacă Operatorul ia cunoștință de o încălcare a securității datelor cu caracter personal care afectează Datele Clientului, îl notifică pe Client fără întârzieri nejustificate (art. 33 alin. 2 GDPR), prin datele de contact ale contului.

Notificarea cuprinde, în măsura în care Operatorul le cunoaște: natura încălcării, categoriile de date și de persoane afectate, consecințele probabile și măsurile luate sau propuse.

Notificarea autorității și a persoanelor vizate este obligația Clientului, ca operator de date, acolo unde legea o cere.

9. Ștergerea sau returnarea datelor

La încetarea prelucrării, Operatorul șterge sau returnează Datele Clientului, la alegerea Clientului, și șterge copiile existente, cu excepția cazului în care legea cere păstrarea lor (art. 28 alin. 3 lit. g GDPR).

Returnarea se face prin exportul datelor firmei, pe care proprietarul contului îl poate face oricând (Setări → Exportă datele firmei). Ștergerea nu se poate face încă din aplicație: se cere la [adresa de contact a operatorului], iar Operatorul răspunde în termenul din art. 12 alin. 3 GDPR (o lună).

Înainte de ștergere, Clientul își exportă datele. După ștergere, datele nu pot fi recuperate.

Copiile de siguranță ale bazei de date țin datele șterse până la expirarea copiei: [de completat de operator: durata copiilor de siguranță].

Jurnalul de activitate al firmei nu poate fi modificat sau șters cât timp firma există în aplicație.

Documentele justificative au termen legal de păstrare de 5 ani, calculat de la 1 iulie a anului următor încheierii exercițiului financiar (art. 25 din Legea contabilității nr. 82/1991). Respectarea lui este obligația Clientului. Clientul își arhivează documentele înainte de ștergerea datelor din Serviciu.

10. Informații și audit

Operatorul pune la dispoziția Clientului informațiile necesare pentru a demonstra respectarea obligațiilor din art. 28 GDPR. De asemenea, permite și facilitează auditurile, inclusiv inspecțiile, efectuate de Client sau de un auditor mandatat de acesta (art. 28 alin. 3 lit. h).

Cererile de informații se trimit la [adresa de contact a operatorului].

Condițiile de audit sunt: [de completat de operator: condițiile de audit].

11. Transferuri

Operatorul prelucrează Datele Clientului prin persoanele împuternicite din Anexa 3, unde este indicată și localizarea lor.

Dacă o persoană împuternicită prelucrează date în afara Spațiului Economic European (SEE), transferul se face pe baza unui mecanism prevăzut de GDPR (art. 44–49). Lista din Anexa 3 se actualizează.

12. Răspunderea

Răspunderea părților una față de alta se stabilește conform Termenilor, inclusiv limitarea răspunderii, în limitele permise de lege.

Această clauză nu afectează drepturile pe care legea le dă persoanelor vizate.

13. Dispoziții finale

Dacă între Termeni și Acord există o neconcordanță privind Datele Clientului, prevalează Acordul.

Operatorul poate modifica Acordul. Versiunea nouă este publicată pe această pagină, cu data ei, iar aplicația o anunță fiecărui Utilizator după autentificare, până când o acceptă. Operatorul păstrează fiecare versiune acceptată și data acceptării ei.

Acordul este supus legii române. Instanța competentă este cea prevăzută în Termeni.

Pentru întrebări despre Acord, scrie la [adresa de contact a operatorului].

14. Anexa 1: detaliile prelucrării

Scopul prelucrării: furnizarea Serviciului către Client. Durata: cât timp firma există în aplicație.

Operațiunile efectuate de Operator în numele Clientului:

• colectarea datelor, prin introducerea lor de către Utilizatori;
• stocarea și organizarea lor în documente și evidențe: facturi, proforme, avize de însoțire, încasări și plăți, cheltuieli, stocuri, documente recurente;
• consultarea, afișarea și actualizarea lor de către Utilizatori, în limita rolurilor;
• generarea de rapoarte, de exporturi pentru programe de contabilitate și a fișierului XML pentru e-Factura;
• transmiterea către ANAF și primirea mesajelor e-Factura, numai cu autorizarea proprie a Clientului în Spațiul Privat Virtual;
• interogarea, la cererea Clientului, a serviciilor publice ANAF și VIES;
• înregistrarea acțiunilor în jurnalul de activitate al firmei;
• ștergerea sau returnarea datelor la încetare.

Categoriile de persoane vizate:

• clienții și furnizorii Clientului, când sunt persoane fizice;
• persoanele de contact ale clienților și furnizorilor Clientului;
• titularul și persoanele de contact ale firmei Clientului, în măsura în care datele firmei sunt date personale;
• persoanele care pot fi identificate prin datele de transport, de exemplu prin numărul de înmatriculare;
• Utilizatorii Clientului, în măsura în care apar în jurnalul de activitate al firmei.

Categoriile de date:

• datele firmei: denumire, CUI, număr de registru, adresă, IBAN, telefon, email;
• datele clienților și furnizorilor: nume sau denumire, CUI sau CNP pentru persoane fizice, adresă, email, telefon, IBAN, persoană de contact;
• documentele care conțin aceste date;
• date de transport: numărul de înmatriculare;
• mesajele e-Factura primite;
• jurnalul de activitate al firmei: cine a făcut ce, în ce rol, asupra cărui document, și un pseudonim al rețelei din care s-a lucrat.

15. Anexa 2: măsurile de securitate

Operatorul aplică aceste măsuri:

• conexiune criptată (HTTPS);
• parolele sunt păstrate numai ca amprentă criptografică (hash);
• autentificare în doi pași, opțională, cu aplicație de coduri; secretul este păstrat criptat, iar codurile de recuperare ca amprentă criptografică;
• criptarea tokenurilor ANAF, a secretelor de autentificare și a mesajelor din coadă;
• roluri și permisiuni pe firmă (manager, operator, contabil, vizualizare);
• jurnal de activitate al firmei care nu poate fi modificat;
• limitarea încercărilor de autentificare;
• sesiuni care pot fi revocate; o sesiune durează cel mult 7 zile și se închide după 12 ore de inactivitate;
• separarea datelor pe firmă.

16. Anexa 3: alte persoane împuternicite

Tabelul cuprinde furnizorii prin care Operatorul prelucrează Datele Clientului. Coloana „Date” arată ce date primește fiecare.

Procesatorul de plăți și furnizorul de email primesc numai date de cont, pentru care Operatorul este operator de date. Ei nu primesc Datele Clientului și sunt arătați în Politica de confidențialitate.

Separat, Serviciul apelează servicii publice, la cererea Clientului:

• ANAF: căutarea unei firme după CUI și e-Factura, cu autorizarea Clientului;
• VIES al Comisiei Europene: verificarea unui cod de TVA;
• BNR: cursuri valutare, fără date personale.