Acord de prelucrare a datelor (DPA)

1. Părțile și obiectul acordului

Prezentul Acord de prelucrare a datelor („Acordul”) se încheie între utilizatorul profesionist al DosarLaZi („Operatorul” sau „Clientul”) și [DENUMIRE OPERATOR], CUI [CUI], cu sediul în [ADRESĂ] („Persoana împuternicită” sau „DosarLaZi”), în temeiul art. 28 din Regulamentul (UE) 2016/679 („GDPR”).

Acordul completează Termenii și condițiile și se aplică datelor cu caracter personal pe care Clientul le introduce în Serviciu ca operator. În caz de neconcordanță privind protecția datelor, prevalează prezentul Acord.

2. Roluri

• Clientul este operator pentru datele clienților săi și ale altor persoane pe care le introduce în notițe, etichete, mementouri sau în alte câmpuri libere. Clientul stabilește scopurile și mijloacele esențiale ale prelucrării și răspunde de existența unui temei legal, de informarea persoanelor vizate și de respectarea secretului profesional.
• DosarLaZi este persoană împuternicită pentru aceste date și le prelucrează exclusiv pentru furnizarea Serviciului, conform instrucțiunilor Clientului.
• DosarLaZi este operator independent pentru datele contului Clientului (e-mail, nume, telefon, abonament, facturare) și pentru datele tehnice și de securitate, conform Politicii de confidențialitate.
• Datele publice preluate de pe portal.just.ro sunt obținute de DosarLaZi dintr-o sursă publică, pentru toți utilizatorii care urmăresc dosarul; ele nu sunt furnizate de Client, iar portal.just.ro nu este o persoană împuternicită a DosarLaZi.

3. Detaliile prelucrării

4. Obligațiile DosarLaZi ca persoană împuternicită

DosarLaZi se obligă:

1. să prelucreze datele numai pe baza instrucțiunilor documentate ale Clientului. Instrucțiunile sunt date prin Termeni, prin prezentul Acord și prin modul în care Clientul folosește funcțiile Serviciului. DosarLaZi informează Clientul dacă apreciază că o instrucțiune încalcă legea;
2. să nu folosească datele Clientului în scopuri proprii, să nu le vândă și să nu le dezvăluie terților, cu excepția sub-împuterniciților din secțiunea 7 și a cazurilor impuse de lege (despre care Clientul este informat, dacă legea permite);
3. să asigure că persoanele cu acces la date s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate;
4. să aplice măsurile tehnice și organizatorice din Anexă, adecvate riscului (art. 32 GDPR);
5. să sprijine Clientul, în măsura posibilului, în răspunsul la cererile persoanelor vizate (secțiunea 6);
6. să sprijine Clientul în îndeplinirea obligațiilor privind securitatea, notificarea incidentelor, evaluarea impactului și consultarea prealabilă (art. 32–36 GDPR), ținând cont de natura prelucrării și de informațiile disponibile;
7. să șteargă sau să returneze datele la încetarea Serviciului (secțiunea 10);
8. să pună la dispoziția Clientului informațiile necesare pentru a demonstra respectarea art. 28 GDPR și să permită audituri, conform secțiunii 9.

5. Obligațiile Clientului

• să aibă un temei legal pentru prelucrarea datelor pe care le introduce și să informeze persoanele vizate, potrivit art. 13–14 GDPR;
• să respecte obligațiile profesionale, inclusiv secretul profesional, și să aprecieze ce informații este oportun să noteze în Serviciu;
• să aplice principiul minimizării: de exemplu, să folosească inițiale sau referințe interne în locul datelor complete, când este suficient;
• să protejeze datele de autentificare și să nu permită accesul persoanelor neautorizate la cont;
• să ne transmită orice instrucțiune suplimentară în scris.

6. Cererile persoanelor vizate

Clientul poate răspunde singur la majoritatea cererilor, direct din aplicație: poate vedea, corecta, exporta prin copiere și șterge notițele, etichetele și mementourile. Dacă DosarLaZi primește direct o cerere privind date pentru care Clientul este operator, o redirecționează Clientului fără întârziere și nu răspunde pe fond decât cu acordul acestuia.

7. Sub-împuterniciți

Clientul acordă DosarLaZi o autorizare generală de a folosi sub-împuterniciții de mai jos. DosarLaZi impune fiecăruia, prin contract, obligații de protecție a datelor cel puțin echivalente cu cele din prezentul Acord și rămâne răspunzător față de Client pentru îndeplinirea lor.

Apple, Google (pentru plățile din aplicații) și NETOPIA Financial Services SA (NETOPIA Payments) sau Stripe Payments Europe Ltd. (Stripe), după procesatorul afișat la plată prelucrează doar date de plată ale contului, ca operatori independenți sau ca împuterniciți ai DosarLaZi, și nu au acces la notițele Clientului.

DosarLaZi anunță Clientul, prin e-mail sau în aplicație, cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui sub-împuternicit. Clientul se poate opune motivat în acest termen; dacă nu se găsește o soluție, Clientul poate înceta contractul și primește rambursarea proporțională a abonamentului plătit și neconsumat.

8. Transferuri internaționale

Datele sunt stocate în România. Transferurile în afara SEE, inclusiv cele implicate de notificările push, se fac numai cu garanții adecvate potrivit capitolului V GDPR – decizie de adecvare (de exemplu, cadrul UE–SUA privind protecția datelor, pentru furnizorii certificați) și/sau clauze contractuale standard. Clientul poate reduce datele transmise prin push folosind etichete fără date personale.

9. Incidente de securitate și audit

• DosarLaZi notifică Clientul fără întârzieri nejustificate, în cel mult 48 de ore de la constatarea unei încălcări a securității datelor care afectează datele Clientului. Notificarea cuprinde, în măsura disponibilă: natura incidentului, categoriile și numărul aproximativ de persoane și înregistrări afectate, consecințele probabile și măsurile luate sau propuse. Informațiile pot fi furnizate treptat.
• Clientul rămâne responsabil, ca operator, de notificarea ANSPDCP și a persoanelor vizate, când este cazul; DosarLaZi îl sprijină cu informațiile de care dispune.
• La cererea scrisă a Clientului, cel mult o dată pe an (sau ori de câte ori o cere ANSPDCP ori după un incident), DosarLaZi furnizează informații și documente privind măsurile aplicate. Un audit la fața locului se poate face cu un preaviz de cel puțin 30 de zile, de către un auditor obligat la confidențialitate, fără a afecta securitatea sau datele altor clienți; costurile auditului sunt suportate de Client.

10. Durata, ștergerea și returnarea datelor

• Acordul se aplică pe durata în care Clientul are cont în DosarLaZi.
• Clientul poate șterge oricând notițele, mementourile, dosarele sau întregul cont din aplicație. Datele șterse sunt eliminate din baza de date activă imediat, iar din copiile de siguranță la următorul ciclu de suprascriere ([DURATĂ BACKUP]).
• Înainte de ștergerea contului, Clientul poate cere un export al notițelor și mementourilor într-un format structurat (JSON sau CSV), la contact@dosarlazi.ro.
• DosarLaZi poate păstra date doar dacă legea îi impune acest lucru; în acest caz, datele rămân protejate și nu sunt prelucrate în alt scop.

11. Răspundere

Răspunderea părților pentru încălcarea prezentului Acord urmează art. 82 GDPR și limitările din Termeni, în măsura permisă de lege. Fiecare parte răspunde pentru propriile obligații: Clientul pentru legalitatea datelor introduse și a instrucțiunilor date, DosarLaZi pentru prelucrarea conformă cu Acordul.

12. Acord semnat

Acordul produce efecte prin acceptarea Termenilor la crearea contului. Dacă politicile interne ale cabinetului cer un exemplar semnat sau un acord pe modelul propriu, scrieți-ne la contact@dosarlazi.ro și vă trimitem un exemplar spre semnare.

Anexă – Măsuri tehnice și organizatorice

• Criptarea transportului: toate conexiunile dintre aplicații și server folosesc HTTPS.
• Autentificare: parole stocate cu algoritmi de hash adecvați; limitarea încercărilor de autentificare; sesiunile se pot închide prin deconectare.
• Separarea datelor: fiecare cont are acces doar la propriile dosare, notițe și mementouri; verificarea drepturilor se face pe server, la fiecare cerere.
• Acces administrativ: limitat la persoanele autorizate și înregistrat într-un jurnal de audit (cine, ce acțiune, când).
• Protecția serverului: codul, configurarea și jurnalele sunt ținute în afara zonei publice a site-ului; secretele din setări sunt păstrate criptat; cheile de servicii terțe nu sunt expuse aplicațiilor.
• Protecția aplicației: validarea datelor primite, protecție împotriva falsificării cererilor pe paginile web, limitarea cererilor excesive.
• Minimizare și ștergere automată: ștergerea automată a datelor expirate (conturi neconfirmate, dosare neurmărite, istoric vechi de notificări, coduri și tokenuri expirate).
• Găzduire: la un furnizor din România, cu copii de siguranță periodice conform politicii acestuia.
• Organizatoric: acces la date doar pe principiul „nevoii de a cunoaște”, angajamente de confidențialitate, procedură internă de gestionare a incidentelor.

Această pagină nu reprezintă consultanță juridică. Pentru întrebări: contact@dosarlazi.ro.