Acordul de prelucrare a datelor (DPA) pentru clienții-organizații

Acest Acord de prelucrare a datelor („DPA") se aplică atunci când folosești procese.online în numele unei organizații — un cabinet de avocatură, un departament juridic, o companie — și membrii echipei tale monitorizează dosare prin serviciu. Face parte integrantă din Termenii și condițiile procese.online: acceptarea termenilor la crearea contului include acest acord, fără a fi nevoie de o semnătură separată.

1. Obiectul și rolurile

Pentru datele cu caracter personal pe care organizația ta le aduce în serviciu — dosarele pe care alegi să le monitorizezi, numele căutate în căutarea după nume, membrii pe care îi inviți în spațiile de lucru — organizația ta este operator (controller) în sensul RGPD, iar Parma Digital SRL (CUI RO42128910) acționează ca persoană împuternicită de operator (processor), conform art. 28 din Regulamentul (UE) 2016/679.

Unde Parma Digital SRL rămâne operator independent:

• datele contului tău — email-ul de autentificare, sesiunile, preferințele, istoricul de facturare — pe care le prelucrăm în nume propriu, așa cum descrie Politica de confidențialitate;
• corpusul public de date judiciare — datele despre dosare, ședințe și instanțe colectate din portal.just.ro și instante.justice.md, pe care le colectăm independent de instrucțiunile oricărui client, în temeiul publicității legale a acestor date.

2. Instrucțiuni documentate

Prelucrăm datele pe care le aduci exclusiv pe baza instrucțiunilor tale documentate — instrucțiunea este folosirea funcțiilor serviciului: adaugi un dosar, îl monitorizăm; inviți un coleg, îi dăm acces; ștergi un dosar sau contul, ștergem datele. Nu folosim datele aduse de tine în alt scop și nu le vindem nimănui.

3. Confidențialitate

Accesul la datele prelucrate în numele tău este limitat la persoanele care au nevoie de el pentru operarea serviciului, obligate la confidențialitate prin contract. Infrastructura tehnică este operată de Bookarest Digital SRL (România) ca sub-procesator, sub aceleași obligații.

4. Măsuri de securitate

Conform art. 32 RGPD, serviciul aplică cel puțin:

• criptare în tranzit (TLS) pe toate conexiunile publice;
• autentificare fără parole, prin link-uri magice cu expirare;
• instalare dedicată — datele procese.online nu se amestecă cu alte produse;
• acces la servere exclusiv pe bază de chei SSH, porturi închise implicit;
• copii de siguranță zilnice pe trei niveluri, cu o copie păstrată în afara furnizorului principal de găzduire, în Uniunea Europeană;
• datele cardurilor bancare nu ajung niciodată la noi — sunt prelucrate exclusiv de Revolut.

5. Sub-procesatori

Ne autorizezi în mod general să folosim sub-procesatorii de mai jos. Lista este aceeași cu cea din Politica de confidențialitate; toți au contracte cu clauze GDPR și, unde este cazul, Clauze Contractuale Standard pentru transferuri internaționale.

• Bookarest Digital SRL (România) — platformă tehnică (autentificare, mesagerie, sincronizare).
• Hetzner Online GmbH (Germania, Falkenstein) — servere și infrastructură de calcul.
• Cloudflare, Inc. (SUA, cu prezență UE) — DNS, CDN, protecție DDoS, edge computing și stocarea copiilor de siguranță off-site (jurisdicție UE).
• Sygnal (broker push notifications) — releu între platformă și sistemele Apple / Google.
• Apple Push Notification Service (APNS) (Apple Inc., SUA) — livrarea push pe dispozitive iOS.
• Google Firebase Cloud Messaging (FCM) (Google LLC, SUA) — livrarea push pe dispozitive Android.
• Resend (SUA) — livrarea email-urilor tranzacționale (link magic, confirmări, facturi).
• Revolut Business (UK / EU) — procesare plăți.

Orice schimbare a listei se anunță cu cel puțin 30 de zile înainte, prin email celor cu cont activ și în aplicație — timp în care poți obiecta sau închide contul fără penalități.

6. Asistență pentru drepturile persoanelor vizate

Dacă o persoană vizată își exercită drepturile RGPD (acces, rectificare, ștergere, portabilitate, opoziție) direct către organizația ta, te asistăm cu informațiile și operațiunile tehnice necesare — de regulă în cel mult 10 zile lucrătoare de la cerere, la contact@procese.online.

7. Notificarea încălcărilor

Dacă apare o încălcare a securității datelor prelucrate în numele tău, te notificăm fără întârzieri nejustificate după ce luăm cunoștință de ea, cu informațiile de care ai nevoie pentru propria notificare către autoritate (art. 33 RGPD): natura încălcării, categoriile și numărul aproximativ de persoane afectate, măsurile luate.

8. Ștergere sau returnare la încetare

La ștergerea contului sau la încetarea contractului, datele aduse de organizația ta se șterg conform duratelor din Politica de confidențialitate — cu excepția a ceea ce legea ne obligă să păstrăm (de exemplu facturile, 10 ani, Cod Fiscal). Înainte de ștergere poți exporta datele monitorizate din aplicație. Corpusul public de date judiciare nu se șterge — el există independent de contul tău.

9. Audit și informare

Îți punem la dispoziție informațiile necesare pentru a demonstra respectarea art. 28 RGPD — această pagină, politica de confidențialitate, lista sub-procesatorilor și, la cerere scrisă, detalii rezonabile despre măsurile de securitate. Audituri la fața locului se organizează la cerere scrisă justificată, pe costul clientului, fără a periclita securitatea celorlalți clienți.

10. Limita prelucrării — datele penale

Datele penale sunt excluse din serviciu. Nu afișăm și nu prelucrăm în numele niciunui client date cu caracter personal privind condamnări penale sau infracțiuni — numele părților ori obiectul unui dosar penal nu apar nimănui, iar dosarele penale sunt reduse la informația nepersonală (instanță, număr, materie, stadiu, termene). Această limită este parte din serviciu și nu poate fi ridicată prin instrucțiunile clientului.

11. Lege aplicabilă

Acest acord urmează legea aplicabilă Termenilor și condițiilor — legea română și RGPD. În caz de conflict între acest DPA și termeni, pentru prelucrarea datelor prevalează DPA-ul.

12. Contact

Pentru orice întrebare despre acest acord: contact@procese.online. Autoritatea de supraveghere competentă este ANSPDCP (dataprotection.ro); pentru datele judiciare moldovenești, CNPDCP (datepersonale.md).