Împuternicitul prelucrează următoarele categorii de date cu caracter personal:

Date sensibile: Împuternicitul NU prelucrează categorii speciale de date (Art. 9 GDPR) — date de sănătate, biometrice, genetice, opinii politice sau religioase.

Împuternicitul se obligă să:

1. Prelucreze datele cu caracter personal exclusiv conform instrucțiunilor documentate ale Operatorului.
2. Asigure că persoanele autorizate să prelucreze date au semnat angajamente de confidențialitate.
3. Implementeze măsuri tehnice și organizatorice adecvate conform Art. 32 GDPR.
4. Nu angajeze un alt împuternicit fără acordul prealabil scris al Operatorului (Art. 28(2)).
5. Asiste Operatorul în îndeplinirea obligațiilor privind drepturile persoanelor vizate (Art. 15-22).
6. Asiste Operatorul în evaluarea impactului asupra protecției datelor (DPIA), dacă este necesar.
7. La încetarea contractului, să șteargă sau returneze toate datele cu caracter personal.
8. Pună la dispoziția Operatorului toate informațiile necesare pentru demonstrarea conformității.

Împuternicitul implementează următoarele măsuri tehnice și organizatorice:

Operatorul autorizează Împuternicitul să utilizeze următorii sub-împuterniciți, cu obligația de a impune aceleași obligații de protecție a datelor:

Împuternicitul va notifica Operatorul cu minimum 30 de zile înainte de adăugarea sau înlocuirea unui sub-împuternicit. Operatorul are dreptul de a obiecta.

Datele cu caracter personal sunt stocate și prelucrate preponderent în Uniunea Europeană. În cazul transferurilor către state terțe, Împuternicitul asigură:

1. Existența unei decizii de adecvare a Comisiei Europene (Art. 45 GDPR), sau
2. Clauze contractuale standard (SCC) aprobate de Comisia Europeană (Art. 46(2)(c)), sau
3. Reguli corporatiste obligatorii (BCR) aprobate de autoritatea de supraveghere (Art. 47).

Transferurile către SUA sunt acoperite de EU-US Data Privacy Framework (DPF) acolo unde sub-împuternicitul este certificat, sau prin SCC suplimentare.

Perioadele de retenție sunt stabilite conform principiului minimizării datelor:

Împuternicitul asistă Operatorul în îndeplinirea cererilor persoanelor vizate, în conformitate cu Art. 15-22 GDPR:

Termenul de răspuns este de maximum 30 de zile de la primirea cererii, extensibil cu 60 de zile pentru cereri complexe (cu notificarea persoanei vizate).

În conformitate cu Art. 33 GDPR, Împuternicitul notifică Operatorul despre orice încălcare a securității datelor cu caracter personal:

Notificarea include:

1. Natura încălcării și categoriile de date afectate
2. Numărul aproximativ de persoane vizate afectate
3. Consecințele probabile ale încălcării
4. Măsurile luate sau propuse pentru remediere
5. Datele de contact ale DPO

La încetarea contractului de servicii, Împuternicitul va:

1. Returnarea datelor: La cererea Operatorului, exporta toate datele cu caracter personal în format structurat (JSON/CSV) în termen de 30 de zile.
2. Ștergerea completă: După returnare (sau la cererea expresă), șterge ireversibil toate datele cu caracter personal din toate sistemele, inclusiv backup-uri, în termen de 90 de zile.
3. Certificare: Furnizează o confirmare scrisă a ștergerii complete.
4. Excepții: Datele reținute conform obligațiilor legale (ex: date financiare — 10 ani) vor fi izolate și protejate până la expirarea perioadei de retenție.

Operatorul are dreptul de a efectua audituri pentru verificarea conformității Împuternicitului, în conformitate cu Art. 28(3)(h) GDPR:

1. Audit la distanță: Accesul la rapoarte de conformitate, jurnale de audit și documentația de securitate — disponibil permanent prin platforma Click Post.
2. Audit la fața locului: Cu notificare prealabilă de minimum 30 de zile lucrătoare, maximum o dată pe an, în timpul orelor de program.
3. Costurile auditului: Suportate de Operator, cu excepția cazului în care auditul relevă neconformități semnificative.

Comunicările oficiale în cadrul prezentului DPA se efectuează prin:

Împuternicitul notifică Operatorul prin email și prin platforma Click Post pentru: modificări ale sub-împuterniciților, incidente de securitate, actualizări ale DPA.

Fiecare parte este răspunzătoare pentru daunele cauzate de prelucrarea care încalcă prezentul DPA sau GDPR, conform Art. 82 GDPR.

Împuternicitul despăgubește Operatorul pentru orice amenzi, costuri sau daune rezultate din nerespectarea instrucțiunilor Operatorului sau a obligațiilor din prezentul DPA, cu excepția cazurilor în care Operatorul a furnizat instrucțiuni nelegale sau incomplete.

Limitarea răspunderii: Răspunderea totală a Împuternicitului nu va depăși valoarea serviciilor prestate în ultimele 12 luni, cu excepția cazurilor de neglijență gravă sau intenție.

Prezentul DPA intră în vigoare la data semnării contractului de servicii și rămâne valabil pe toată durata relației contractuale.

Obligațiile de confidențialitate și protecție a datelor supraviețuiesc încetării contractului pentru o perioadă de 5 ani.

Prezentul DPA poate fi actualizat de Împuternicit pentru a reflecta modificări ale legislației sau ale practicilor de prelucrare, cu notificarea Operatorului cu minimum 30 de zile înainte.

Prezentul DPA este guvernat de legislația României și a Uniunii Europene, în special Regulamentul (UE) 2016/679 (GDPR).

Orice litigii se soluționează de instanțele competente din Bacău, România, cu excepția cazurilor în care legislația UE impune o altă jurisdicție.

Autoritatea de supraveghere competentă este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), cu sediul în București, România.