Contractul privind prelucrarea datelor
Prezentul contract, încheiat în temeiul art. 28 din Regulamentul (UE) 2016/679 (denumit în continuare „RGPD”), se încheie între Organizația care utilizează platforma Negotiq (denumită în continuare „Operatorul”) și SynQflows, s.r.o., nr. de identificare 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (denumită în continuare „Persoana împuternicită”) și face parte integrantă din Condițiile de utilizare. Acesta se încheie prin acceptarea Condițiilor de utilizare și produce efecte pe durata Contractului. Termenii scriși cu inițială majusculă au înțelesul atribuit în Condițiile de utilizare.
1. Obiectul și sfera prelucrării
| Obiect | prelucrarea datelor cu caracter personal pe care Operatorul sau Utilizatorii săi le introduc pe Platformă ori pe care Platforma, la instrucțiunea acestora, le primește sau le transmite: Conținutul Utilizatorului (Cereri, specificații, atașamente, liste de prețuri, date ale colegilor și ale persoanelor de contact), mesajele trimise la Adresa de recepție, datele de acces la sistemele conectate și datele descărcate din acestea, precum și datele transmise către Webhookurile Operatorului |
|---|---|
| Natura și scopul | stocarea, punerea la dispoziția persoanelor autorizate și a contrapărților la negociere, importul și conversia listelor de prețuri, primirea și evaluarea mesajelor de e-mail, descărcarea datelor din sistemele conectate, exportul comenzilor, transmiterea notificărilor către Webhookuri, efectuarea copiilor de siguranță și alte prelucrări tehnice necesare pentru furnizarea Platformei |
| Categoriile de persoane vizate | angajații și colaboratorii Operatorului; persoanele de contact ale partenerilor săi de afaceri; expeditorii mesajelor trimise la Adresa de recepție; persoanele ale căror date sunt cuprinse într-o listă de prețuri descărcată dintr-un sistem conectat |
| Categoriile de date | date de identificare și de contact (nume, adresă de e-mail de serviciu, telefon, funcție); date privind mesajele de e-mail (expeditor, destinatar, subiect, momentul primirii, rezultatele verificării expeditorului) și atașamentele acestora; datele de autentificare în sistemele conectate; alte date pe care Operatorul le include în conținut. Operatorul nu introduce categorii speciale de date și nici date privind condamnările penale |
| Durata | pe durata Contractului și până la ștergerea potrivit articolului 8; mesajele primite la Adresa de recepție 90 de zile de la primire; înregistrările privind livrarea Webhookurilor cel mult 90 de zile |
2. Instrucțiunile Operatorului
- Persoana împuternicită prelucrează datele cu caracter personal numai pe baza instrucțiunilor documentate ale Operatorului, inclusiv în ceea ce privește transferurile către țări terțe. Instrucțiunile sunt date prin Condițiile de utilizare, prin prezentul contract și prin setările Platformei; prin configurarea unei Integrări (Adresa de recepție, conectarea ERP, Webhook, Cheie API pentru un agent al unui terț), Operatorul dă instrucțiunea de prelucrare în măsura în care Integrarea o impune. Alte instrucțiuni sunt date de Administratorul Organizației în formă textuală.
- În cazul în care consideră că o instrucțiune încalcă RGPD sau alte dispoziții privind protecția datelor, Persoana împuternicită informează imediat Operatorul și nu este obligată să execute instrucțiunea până la primirea răspunsului acestuia.
- În cazul în care dreptul Uniunii sau dreptul intern al unui stat membru impune Persoanei împuternicite prelucrarea, aceasta informează în prealabil Operatorul, cu excepția cazului în care dreptul respectiv interzice acest lucru (art. 28 alin. (3) lit. (a) din RGPD).
- Persoana împuternicită nu prelucrează datele cu caracter personal ale Operatorului în scopuri proprii. Statisticile anonimizate și agregate (art. 11 alin. (2) din Condițiile de utilizare) nu conțin date cu caracter personal. Înregistrările din Lanțul de audit, Confirmările și Înregistrările AP2 sunt prelucrate de Persoana împuternicită în calitate de operator independent, în conformitate cu Politica de confidențialitate, și nu în temeiul prezentului contract.
- Operatorul răspunde pentru legalitatea prelucrării, pentru informarea persoanelor vizate și pentru faptul că are dreptul de a introduce datele cu caracter personal pe Platformă și de a acorda accesul la sistemele conectate.
3. Obligațiile Persoanei împuternicite
- Persoana împuternicită se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de confidențialitate.
- Persoana împuternicită pune în aplicare măsurile tehnice și organizatorice prevăzute la art. 32 din RGPD, indicate în Anexa 1. Aceasta le poate modifica, cu condiția ca nivelul general de securitate să nu fie redus.
- Persoana împuternicită asistă Operatorul în soluționarea cererilor persoanelor vizate, în primul rând prin intermediul instrumentelor Platformei (exportul datelor în format JSON, rectificarea datelor, închiderea contului unui Utilizator sau al Organizației). Cererea pe care o primește direct de la o persoană vizată o transmite Operatorului fără întârzieri nejustificate și nu răspunde ea însăși pe fond la aceasta.
- Persoana împuternicită asistă Operatorul în îndeplinirea obligațiilor prevăzute la art. 32–36 din RGPD (securitatea, notificarea încălcărilor, evaluarea impactului și consultarea prealabilă), ținând seama de natura prelucrării și de informațiile de care dispune.
4. Alte persoane împuternicite
- Operatorul acordă Persoanei împuternicite o autorizare generală pentru recrutarea altor persoane împuternicite. Lista actuală:
Altă persoană împuternicită Activitate Localizare, garanții Railway Corporation găzduirea aplicației și a bazei de date, copii de siguranță SUA / UE; clauzele contractuale standard (modulul 3) sau EU-U.S. Data Privacy Framework Anthropic, PBC conversia listelor de prețuri nestructurate în tabele (numai la utilizarea funcționalității) SUA; clauzele contractuale standard (modulul 3); fără antrenarea modelelor pe baza datelor furnizorul serviciului de recepție a e-mailurilor (furnizorul concret va fi adăugat pe listă înainte de lansarea funcționalității) primirea mesajelor trimise la Adresele de recepție și transmiterea lor către Platformă se va indica împreună cu furnizorul; transferuri în afara SEE numai cu garanțiile prevăzute la articolul 7 furnizorul serviciului de e-mail (SMTP) livrarea facturilor, a somațiilor de plată și a mesajelor operaționale (adresa destinatarului și conținutul mesajului) UE - Persoana împuternicită informează Operatorul cu privire la orice adăugare sau înlocuire preconizată a unei alte persoane împuternicite cu cel puțin 14 zile înainte, pe Platformă sau prin e-mail către Administratorul Organizației. În acest termen, Operatorul poate formula obiecții pentru motive întemeiate legate de protecția datelor cu caracter personal. Părțile vor încerca să găsească o soluție; în cazul în care nu o găsesc, Operatorul poate denunța Contractul fără penalități, cu efect înainte de recrutarea celeilalte persoane împuternicite.
- Persoana împuternicită impune altor persoane împuternicite, prin contract, aceleași obligații privind protecția datelor ca cele care îi revin în temeiul prezentului contract, inclusiv garanții suficiente pentru punerea în aplicare a măsurilor tehnice și organizatorice, și rămâne pe deplin răspunzătoare față de Operator pentru îndeplinirea obligațiilor acestora (art. 28 alin. (4) din RGPD).
- Sistemele alese chiar de Operator (sistemele ERP conectate, fluxurile de produse, punctele finale ale Webhookurilor și agenții terților) nu sunt alte persoane împuternicite ale Persoanei împuternicite; Persoana împuternicită le transmite date la instrucțiunea Operatorului.
5. Încălcarea securității datelor cu caracter personal
- Persoana împuternicită notifică Operatorului încălcarea securității datelor cu caracter personal fără întârzieri nejustificate, cel târziu în termen de 48 de ore de la momentul în care a luat cunoștință de aceasta, prin e-mail către Administratorul Organizației și pe Platformă.
- Notificarea cuprinde informațiile prevăzute la art. 33 alin. (3) din RGPD de care dispune Persoana împuternicită (natura încălcării, categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor, punctul de contact, consecințele probabile și măsurile luate sau propuse); informațiile care nu sunt încă cunoscute sunt furnizate etapizat.
- Persoana împuternicită ia de îndată măsuri pentru remedierea încălcării și atenuarea efectelor acesteia, cooperează cu Operatorul și documentează încălcarea. Notificarea nu constituie o recunoaștere a răspunderii.
6. Informații și audituri
- Persoana împuternicită pune la dispoziția Operatorului informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la art. 28 din RGPD, în primul rând prin documentul Securitate și încredere și prin răspunsurile la un chestionar de securitate rezonabil.
- În cazul în care aceste informații nu sunt suficiente, Persoana împuternicită permite efectuarea unui audit de către Operator sau de către un auditor independent obligat să păstreze confidențialitatea și care nu este concurent al Persoanei împuternicite, cu o notificare prealabilă de cel puțin 30 de zile, cel mult o dată pe an calendaristic (cu excepția cazului unei încălcări a securității sau a unei solicitări a autorității de supraveghere), pe cheltuiala Operatorului, fără acces la datele altor clienți și fără a pune în pericol securitatea acestora.
- Competențele de investigare ale autorităților de supraveghere nu sunt afectate.
7. Transferuri în afara SEE
- Transferurile către țări terțe au loc numai cu garanțiile prevăzute în capitolul V din RGPD.
- În cazul în care Persoana împuternicită transferă date cu caracter personal către o altă persoană împuternicită dintr-o țară terță pentru care nu există o decizie privind caracterul adecvat (sau în cazul în care destinatarul nu este certificat în cadrul EU-U.S. Data Privacy Framework), aceasta încheie cu respectiva persoană clauzele contractuale standard prevăzute de Decizia de punere în aplicare (UE) 2021/914 a Comisiei, modulul 3 (transfer de la persoana împuternicită la persoana împuternicită), evaluează cadrul juridic din țara destinatarului și adoptă măsuri suplimentare (în special criptarea în tranzit și în repaus și reducerea la minimum a datelor).
- Operatorul autorizează prin prezentul contract astfel de transferuri. Persoana împuternicită pune la dispoziția Operatorului, la cerere, o copie a garanțiilor; clauzele comerciale din aceasta pot fi înnegrite.
8. Ștergerea și returnarea datelor
- Pe durata Contractului, Operatorul poate oricând exporta datele Organizației în format JSON și poate șterge el însuși datele.
- După încetarea Contractului, Persoana împuternicită, la alegerea Operatorului, returnează (export) sau șterge datele cu caracter personal în termen de 30 de zile, inclusiv copiile acestora, cu excepția cazului în care legea impune stocarea lor în continuare. Copiile de siguranță sunt suprascrise în ciclul obișnuit, cel târziu în termen de 90 de zile; până atunci, acestea sunt protejate și nu sunt utilizate.
- Mesajele primite la Adresa de recepție sunt șterse automat după 90 de zile. Persoana împuternicită încetează să utilizeze datele de acces la un sistem conectat imediat după eliminarea conexiunii și le șterge cel târziu în termenul prevăzut la alineatul (2).
- Prezentul articol nu se aplică înregistrărilor prevăzute la art. 2 alin. (4) a doua și a treia teză.
9. Răspundere, prioritate și legea aplicabilă
Răspunderea părților este guvernată de art. 82 din RGPD și de Condițiile de utilizare, inclusiv de limitările prevăzute de acestea, în măsura în care legea le permite. În chestiunile privind protecția datelor cu caracter personal, prezentul contract prevalează asupra Condițiilor de utilizare. Prezentul contract este guvernat de dreptul Republicii Cehe.
Anexa 1 — Măsuri tehnice și organizatorice
- Criptare și pseudonimizare: criptarea tuturor comunicațiilor (TLS) și criptarea datelor stocate la furnizorul de găzduire; datele de acces la sistemele conectate și secretele de semnare ale Webhookurilor criptate cu AES-256-GCM; parolele sub formă de amprentă (hash) Argon2id; codurile de recuperare, sesiunile de autentificare și cheile API stocate numai sub formă de amprentă; pseudonimizarea înregistrărilor din Lanțul de audit după închiderea contului.
- Controlul accesului: acces pe bază de roluri administrate de Administratorul Organizației; separarea datelor fiecărei Organizații, impusă la nivelul aplicației; atașamentele numai pentru persoanele autorizate și întotdeauna pentru descărcare; acces la mediul de producție numai pentru personalul autorizat al Persoanei împuternicite, obligat să păstreze confidențialitatea.
- Protecția conturilor și a sesiunilor: cookie-uri HttpOnly, Secure și SameSite; verificarea originii (Origin) la solicitările care modifică date; blocarea temporară a contului după încercări repetate eșuate de autentificare; schimbarea parolei încheie toate sesiunile; limite privind numărul de solicitări la API.
- Integritate și verificabilitate: Lanțul de audit cu înregistrări legate criptografic, a căror modificare sau ștergere este blocată de un declanșator (trigger) al bazei de date; semnături Ed25519 ale Mandatelor, Confirmărilor și Înregistrărilor AP2; Webhookuri semnate cu HMAC-SHA256.
- Disponibilitate și restaurare: copii de siguranță periodice ale bazei de date; suprascrierea copiilor de siguranță cel târziu în termen de 90 de zile.
- Reducere la minimum și ștergere: mesajele de la Adresa de recepție 90 de zile; jurnalele operaționale cel mult 90 de zile; în cazul potențialilor furnizori, numai date de contact generale ale companiilor; importul automat din e-mailuri numai de la Expeditori verificați.
- Dezvoltare securizată: teste automate ale invarianților de securitate (separarea Organizațiilor, limitele Agenților, confidențialitatea limitelor) la fiecare modificare; dependențe cu versiuni fixate exact; Agenții nu tratează conținutul fișierelor drept instrucțiuni.
- Incidente și revizuire: procedura de gestionare a incidentelor și de notificare potrivit articolului 5; un canal pentru raportarea vulnerabilităților; revizuirea periodică a eficacității măsurilor.
O descriere mai detaliată este cuprinsă în documentul Securitate și încredere.