Acord de prelucrare a datelor cu caracter personal

Persoana împuternicită prelucrează date personale în numele Operatorului exclusiv pentru furnizarea, securizarea, întreținerea și asistarea serviciului AutoDeck DMS: CRM, inventar, vânzări, documente, comunicări, raportare și site-ul public al dealerului.

Prelucrarea începe la activarea serviciului și durează cât Contractul principal, inclusiv perioada limitată necesară returnării, ștergerii sau păstrării datelor impuse de lege. Operațiunile includ colectarea prin interfața pusă la dispoziție Operatorului, structurarea, stocarea, consultarea, transmiterea la furnizorii autorizați, exportul, restricționarea, anonimizarea și ștergerea.

Datele prelucrate sunt limitate la cele introduse sau generate prin utilizarea configurată de Operator.

• Date: nume, date de contact, adresă, identificatori fiscali sau de identitate atunci când sunt necesari, preferințe și consimțăminte, comunicări și note CRM, programări, date despre vehicule și tranzacții, documente contractuale/fiscale, date de facturare, conturi de utilizator, roluri, jurnale de acces, identificatori tehnici și adrese IP.
• Persoane vizate: clienți și potențiali clienți ai dealerului, reprezentanți și persoane de contact ale clienților persoane juridice, angajați, colaboratori și utilizatori ai dealerului, precum și vizitatori ai site-ului public al dealerului.
• Date speciale sau date privind condamnări/infracțiuni nu trebuie introduse decât dacă Operatorul documentează necesitatea, temeiul legal și instrucțiunile suplimentare aplicabile.

Persoana împuternicită prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului, inclusiv pentru transferuri internaționale. Contractul principal, configurările și acțiunile autorizate în Platformă, tichetele de suport și instrucțiunile scrise agreate constituie instrucțiuni documentate.

Dacă dreptul Uniunii sau dreptul român impune o altă prelucrare, Persoana împuternicită informează Operatorul înainte, cu excepția unei interdicții legale. Dacă o instrucțiune pare să încalce legislația privind protecția datelor, Persoana împuternicită informează fără întârziere Operatorul și poate suspenda instrucțiunea până la clarificare.

• Operatorul stabilește scopurile și temeiurile legale, furnizează informările, răspunde cererilor persoanelor vizate și configurează perioadele de păstrare permise de lege.
• Operatorul acordă acces numai utilizatorilor autorizați, păstrează datele de autentificare confidențiale și nu solicită prelucrări ilegale sau disproporționate.

Persoana împuternicită autorizează accesul numai persoanelor care au nevoie de acesta pentru serviciu și se asigură că acestea sunt obligate legal sau contractual la confidențialitate. Obligația continuă după încetarea accesului. Drepturile sunt acordate după rol și revocate atunci când nu mai sunt necesare.

Persoana împuternicită menține măsuri tehnice și organizatorice adecvate riscului, descrise în Anexa 2. Măsurile urmăresc confidențialitatea, integritatea, disponibilitatea și reziliența, restaurarea disponibilității și verificarea periodică a eficacității controalelor.

Operatorul recunoaște că securitatea este o responsabilitate comună și aplică măsurile aflate sub controlul său, inclusiv gestionarea utilizatorilor, autentificarea multifactor și terminalele securizate.

Operatorul acordă o autorizare generală scrisă pentru subîmputerniciții din Anexa 1. Persoana împuternicită va informa Operatorul în scris cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui subîmputernicit care va prelucra datele Operatorului, oferind posibilitatea unei obiecții motivate privind protecția datelor.

Fiecărui subîmputernicit i se impun prin contract obligații de protecție a datelor cel puțin echivalente pentru serviciul relevant. Persoana împuternicită rămâne răspunzătoare față de Operator pentru îndeplinirea obligațiilor subîmputernicitului. Dacă o obiecție justificată nu poate fi soluționată rezonabil, părțile vor limita serviciul afectat sau vor aplica drepturile de încetare din Contractul principal.

Ținând seama de natura prelucrării, Persoana împuternicită ajută Operatorul, prin funcțiile Platformei și prin măsuri rezonabile, să răspundă cererilor de acces, rectificare, ștergere, restricționare, portabilitate și opoziție. Dacă primește direct o cerere privind datele Operatorului, o transmite fără întârziere Operatorului și nu răspunde în numele lui fără instrucțiuni sau obligație legală.

Persoana împuternicită asistă rezonabil Operatorul cu securitatea prelucrării, notificarea încălcărilor, informarea persoanelor vizate, evaluările de impact și consultarea prealabilă, ținând seama de natura prelucrării și informațiile disponibile.

Orice încălcare a securității datelor Operatorului este notificată acestuia fără întârzieri nejustificate după constatare. Notificarea va include, pe măsura disponibilității, natura incidentului, categoriile și volumele aproximative, consecințele probabile, măsurile luate sau propuse și punctul de contact. Persoana împuternicită păstrează evidența incidentului și cooperează astfel încât Operatorul să își poată îndeplini obligațiile în termen.

La alegerea Operatorului, după încetarea serviciului, Persoana împuternicită returnează datele într-un format disponibil în Platformă sau le șterge și elimină copiile, cu excepția datelor pe care dreptul Uniunii sau dreptul român impune să le păstreze. Alegerea și termenul operațional se completează în Anexa 3.

Ștergerea din copiile de siguranță urmează ciclul documentat de retenție; până la suprascriere, copiile rămân izolate și nu sunt folosite în alte scopuri. Documentele fiscale, contabile sau alte evidențe supuse unei obligații legale sunt păstrate numai în limita și pe durata acelei obligații, cu acces restricționat.

Persoana împuternicită pune la dispoziție informațiile necesare pentru demonstrarea respectării articolului 28 și permite audituri rezonabile efectuate de Operator sau de un auditor independent mandatat de acesta. Auditurile se notifică, de regulă, cu 30 de zile înainte, se desfășoară în timpul programului, fără a compromite datele altor clienți, securitatea sau secretele comerciale, iar costurile extraordinare rezonabile pot fi convenite în prealabil. Aceste limite nu împiedică un audit urgent după un incident sau la cererea autorității competente.

Datele operaționale ale tenantului român sunt găzduite în regiunea UE. Orice transfer în afara Spațiului Economic European se face numai la instrucțiunea documentată a Operatorului și cu un mecanism valabil conform articolelor 44–49 GDPR: decizie de adecvare, clauze contractuale standard aplicabile, reguli corporatiste obligatorii sau o derogare legală, împreună cu măsuri suplimentare când evaluarea transferului le cere.

Folosirea furnizorilor globali de email, SMS, plăți sau stocare poate implica acces ori transfer internațional conform anexei și contractului furnizorului. Operatorul trebuie să confirme înainte de semnare furnizorii activi și mecanismul fiecărui transfer.

Acordul este guvernat de dreptul român și de dreptul Uniunii Europene aplicabil. Autoritatea de supraveghere competentă în România este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), fără a limita competența altei autorități stabilite de GDPR.

Modificările acordului sunt valabile în scris. Dacă o clauză devine inaplicabilă, celelalte rămân în vigoare, iar părțile o înlocuiesc cu o clauză legală cu scop echivalent.