Acord privind prelucrarea datelor (DPA)

Aceasta este versiunea-tip a acordului privind prelucrarea datelor cu caracter personal (DPA). Se aplică atunci când „GARM INC” SRL (ITCore), în baza unui contract de outsourcing IT, deservește infrastructura unui client și are astfel acces la date cu caracter personal: administrează servere, rețele și VPN, asigură securitatea informațională, configurează copierea de rezervă și monitorizarea, întreține 1C și UNA, Microsoft 365 și Active Directory, deservește stațiile de lucru, asigură helpdesk-ul, întreține sistemele de supraveghere video și de control al accesului, telefonia IP și îndeplinește funcția de director IT în regim de abonament (vCIO).

În aceste cazuri clientul este operator, iar noi — persoană împuternicită de operator. Nu decidem ce date păstrează clientul și în ce scop; asigurăm doar funcționarea sistemelor în care acestea se află.

Acordul se semnează ca anexă la contractul principal. Datele părților, numărul contractului, descrierea prelucrării (Anexa 1) și lista subîmputerniciților (Anexa 3) se completează la semnare. Aici este publicat textul pe care îl propunem implicit.

Operatorul („Clientul”) — compania indicată în contractul principal.

Persoana împuternicită („Executantul”) — „GARM INC” SRL, IDNO 1017600028014, sediul: MD-2043, mun. Chișinău, bd. Traian 2, of. 135, Republica Moldova. Responsabilul cu protecția datelor (DPO): dpo@itcore.md; e-mail general: info@itcore.md.

Termenii „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită”, „persoană vizată”, „încălcarea securității datelor cu caracter personal” și „autoritate de supraveghere” au sensul din Regulamentul (UE) 2016/679 (GDPR) și din Legea Republicii Moldova nr. 195/2024 privind protecția datelor cu caracter personal.

Subîmputernicit — terț pe care Executantul îl implică în prelucrarea datelor Clientului. Sistemele Clientului — serverele, rețelele, stațiile de lucru, conturile, serviciile cloud, sistemele de contabilitate și alte echipamente și programe pe care Clientul le-a încredințat Executantului spre deservire. SEE — Spațiul Economic European.

Executantul prelucrează datele cu caracter personal doar pentru prestarea serviciilor din contractul principal și doar conform instrucțiunilor documentate ale Clientului. Instrucțiuni sunt contractul principal, prezentul acord și solicitările trimise de persoanele împuternicite ale Clientului de la adresele de e-mail indicate în contract sau prin sistemul de solicitări convenit (helpdesk).

Solicitările obișnuite ale utilizatorilor Clientului în cadrul helpdesk-ului (resetarea parolei, configurarea stației de lucru, restaurarea unui fișier) se execută în modul stabilit de contractul principal. Instrucțiunile care schimbă volumul sau soarta datelor — exportul, ștergerea în masă, transmiterea datelor unui terț, acordarea cuiva a accesului la e-mailul, fișierele sau înregistrările video ale altei persoane — Executantul le acceptă doar în scris, de la o persoană împuternicită a Clientului. Dispozițiile verbale nu țin loc de astfel de instrucțiuni.

Executantul nu folosește datele Clientului în scopuri proprii: nu construiește pe ele produse, nu antrenează modele, nu le analizează în afara sarcinilor Clientului și nu le transmite terților, cu excepția subîmputerniciților din secțiunea 8.

Clientul, în calitate de operator, răspunde de legalitatea prelucrării: temeiul legal și consimțământul persoanelor vizate, unde este necesar, informarea angajaților săi și a altor persoane vizate (inclusiv despre supravegherea video și controlul accesului), legalitatea instrucțiunilor sale, exactitatea datelor și acordarea către Executant a accesului doar la sistemele și datele necesare serviciului.

Clientul desemnează persoanele împuternicite să dea instrucțiuni conform secțiunii 4 și îl anunță din timp pe Executant despre schimbarea lor.

Dacă o instrucțiune a Clientului încalcă, în opinia Executantului, GDPR sau Legea nr. 195/2024, Executantul îl anunță imediat pe Client și poate suspenda executarea instrucțiunii până la o clarificare scrisă.

Executantul se obligă:

• să prelucreze datele doar conform instrucțiunilor Clientului, cu excepția cazurilor în care prelucrarea este cerută de lege; atunci îl anunță pe Client în prealabil, dacă legea nu interzice acest lucru;
• să permită accesul la date și la Sistemele Clientului doar angajaților care au nevoie de el pentru serviciu, prin conturi personale și cu drepturile minime necesare, și să retragă accesul când nu mai este necesar;
• să asigure că angajații cu acces sunt ținuți de o obligație de confidențialitate;
• să acceseze conținutul datelor (căsuțe poștale, fișiere, baze 1C și UNA, înregistrări video, jurnale de control al accesului și de telefonie) doar în măsura necesară pentru o solicitare concretă sau pentru remedierea unei defecțiuni;
• să aplice măsurile de securitate din Anexa 2;
• să sprijine Clientul în îndeplinirea art. 32–36 GDPR, ținând cont de natura prelucrării și de informațiile disponibile Executantului, inclusiv prin furnizarea informațiilor necesare evaluării impactului asupra protecției datelor;
• să țină evidența prelucrărilor efectuate în numele Clientului, în volumul art. 30 alin. (2) GDPR;
• la încetarea serviciilor, să returneze sau să șteargă datele și să predea gestiunea conform secțiunii 12.

Executantul accesează Sistemele Clientului de la distanță, prin canale criptate, și la fața locului — în spațiile Clientului. Instrumentele de acces la distanță și de monitorizare pe care Executantul le instalează în Sistemele Clientului sunt enumerate în Anexa 1 sau în documentația contractului principal.

Conturile și parolele Sistemelor Clientului, pe care Clientul i le-a transmis Executantului sau pe care Executantul le-a creat pentru lucru, se păstrează într-un depozit securizat și nu se transmit în clar. Conturile administrative ale Sistemelor Clientului aparțin Clientului: la cererea lui, Executantul îi predă oricând datele de acces actuale.

Serviciile pe care Clientul le-a contractat direct (de exemplu, Microsoft 365, găzduire, servicii de comunicații, mentenanța 1C sau UNA la dezvoltator) sunt persoane împuternicite ale Clientului, nu subîmputerniciți ai Executantului. Executantul le administrează în numele Clientului, în limitele drepturilor acordate de acesta.

Clientul acordă o autorizare generală scrisă pentru implicarea subîmputerniciților enumerați în Anexa 3.

Despre un subîmputernicit nou sau înlocuirea unuia existent Executantul îl anunță pe Client în scris cu cel puțin 30 de zile calendaristice înainte. Clientul poate formula, în 15 zile calendaristice, o obiecție motivată legată de protecția datelor. Dacă părțile nu găsesc o soluție, Clientul poate renunța fără penalități la partea de servicii pentru care este necesar acel subîmputernicit. Lipsa obiecției înseamnă acord.

Dacă un furnizor existent cade și disponibilitatea serviciilor este în pericol, Executantul poate implica imediat un înlocuitor și îl anunță pe Client în 3 zile lucrătoare, cu explicații.

Cu fiecare subîmputernicit Executantul încheie un contract cu obligații de protecție a datelor cel puțin egale cu cele din acest acord și răspunde față de Client pentru subîmputernicit ca pentru sine.

Executantul este o companie din Republica Moldova, iar angajații săi lucrează cu Sistemele Clientului din Republica Moldova. Dacă Clientul se află în SEE sau datele sale intră sub incidența GDPR, acest acces constituie un transfer în afara SEE, de aceea părțile încheie clauzele contractuale standard ale Comisiei Europene (Decizia (UE) 2021/914, modulul 2 „operator — persoană împuternicită”). Acestea se anexează la prezentul acord și prevalează în caz de contradicție.

Transferul datelor către subîmputerniciți în afara Republicii Moldova și a SEE are loc doar cu un mecanism juridic adecvat conform Legii nr. 195/2024 și capitolului V GDPR; mecanismul se indică în Anexa 3. Alte transferuri peste hotare — doar la instrucțiunea Clientului.

Dacă o autoritate a unui stat străin cere divulgarea datelor Clientului, Executantul îl anunță pe Client înainte de divulgare, dacă legea permite, divulgă doar minimul necesar și contestă cererea, dacă există motive rezonabile.

Cererile persoanelor vizate le examinează Clientul. Dacă o cerere ajunge la Executant, acesta nu răspunde pe fond, ci o transmite Clientului în 3 zile lucrătoare și îl anunță pe solicitant.

La instrucțiunea Clientului, Executantul exportă, rectifică, șterge datele persoanei vizate sau restricționează prelucrarea lor în Sistemele Clientului în 10 zile lucrătoare, ca Clientul să se încadreze în termenul de o lună din art. 12 alin. (3) GDPR.

Despre o încălcare a securității datelor Clientului Executantul îl anunță pe Client fără întârzieri nejustificate și nu mai târziu de 48 de ore din momentul în care a aflat de ea — la adresa pentru incidente indicată în contractul principal. Aceasta privește și incidentele din Sistemele Clientului descoperite de Executant în cursul monitorizării sau al deservirii, chiar dacă nu au fost cauzate de acțiunile Executantului.

Notificarea cuprinde ce se cunoaște la momentul trimiterii: ce s-a întâmplat, ce sisteme, ce categorii și aproximativ câte persoane vizate și înregistrări sunt afectate, consecințele probabile, măsurile luate și propuse, persoana de contact. Restul se transmite pe măsură ce se clarifică; prima notificare nu se amână pentru a avea imaginea completă.

Executantul ajută Clientul să izoleze incidentul și să-i înlăture consecințele în volumul serviciilor din contractul principal și păstrează jurnalele și alte informații necesare investigației.

Notificarea CNPDCP, a altei autorități de supraveghere și a persoanelor vizate o decide Clientul. Executantul o face singur doar la instrucțiunea scrisă a Clientului sau dacă legea o cere. Toate încălcările Executantul le înregistrează și, la cerere, transmite înregistrările Clientului.

La încetarea serviciilor Executantul, la alegerea Clientului, returnează datele aflate la Executant sau le șterge. Clientul își comunică alegerea înainte de încetarea serviciilor sau în 30 de zile calendaristice după; fără răspuns, Executantul trimite o reamintire scrisă și apoi șterge datele.

La încetarea serviciilor Executantul, de asemenea:

• predă Clientului sau noului prestator indicat de acesta datele de acces actuale ale Sistemelor Clientului, configurațiile și documentația tehnică;
• predă copiile de rezervă ale datelor Clientului, dacă acestea se păstrează la Executant;
• dezactivează conturile proprii și elimină din Sistemele Clientului instrumentele sale de acces la distanță și de monitorizare sau i le predă Clientului, dacă acesta o cere.

Ștergerea din sistemele Executantului — în 30 de zile calendaristice după returnare sau după expirarea termenului de alegere. Datele rămase în copiile de rezervă ale Executantului se șterg la rotația planificată a copiilor și până atunci nu se folosesc decât pentru restaurare după avarie. La cerere, Executantul confirmă ștergerea în scris.

Executantul poate păstra datele în volumul și pe termenul cerute de lege, anunțându-l pe Client și menținându-le protecția.

Mai întâi Executantul îi pune la dispoziție Clientului documentația: descrierea măsurilor din Anexa 2 și lista actuală a subîmputerniciților. La data acestei versiuni Executantul nu deține certificări independente (de exemplu, ISO/IEC 27001) și nici rapoarte de testare externă de penetrare.

Dacă documentația nu este suficientă, Clientul poate efectua o verificare singur sau printr-un auditor independent care nu este concurent al Executantului — cel mult o dată la 12 luni, cu preaviz de 30 de zile calendaristice. După o încălcare a securității care a afectat datele Clientului sau la cererea autorității de supraveghere — cu preaviz de 5 zile lucrătoare. Verificarea nu trebuie să împiedice activitatea Executantului și nu atinge datele altor clienți; auditorul semnează un acord de confidențialitate. Costurile le suportă Clientul, dacă verificarea nu a constatat o încălcare substanțială a acordului de către Executant.

Răspunderea părților în baza acestui acord se stabilește de contractul principal, inclusiv limitările acestuia, dacă legea nu interzice aplicarea lor. Fiecare parte răspunde pentru prejudiciul cauzat de propria încălcare a cerințelor de protecție a datelor; partea care a despăgubit persoana vizată peste cota sa poate cere diferența de la cealaltă parte.

Acordul este în vigoare de la semnare până când Executantul încetează prelucrarea datelor Clientului, inclusiv returnarea, ștergerea și predarea gestiunii conform secțiunii 12. Secțiunile privind confidențialitatea, răspunderea și ștergerea datelor rămân în vigoare și după încetarea contractului principal.

Acordului i se aplică legea Republicii Moldova, dacă părțile nu au convenit altfel în scris; aceasta nu limitează drepturile persoanelor vizate și atribuțiile autorităților de supraveghere conform GDPR și Legii nr. 195/2024. În privința protecției datelor acordul prevalează asupra contractului principal. Modificările se fac în scris, cu excepția Anexei 3, care se actualizează conform secțiunii 8.

Se completează la semnare, pentru serviciile concrete:

• obiectul prelucrării — ce servicii din contractul principal se prestează și ce Sisteme ale Clientului se deservesc;
• categoriile de persoane vizate — de exemplu, angajații Clientului, clienții și partenerii săi, vizitatorii spațiilor, abonații telefoniei;
• categoriile de date — de exemplu, conturile și datele de contact ale angajaților, conținutul e-mailurilor și al fișierelor, datele din 1C și UNA (inclusiv de personal și de salarizare), înregistrările video, jurnalele de acces, jurnalele și înregistrările apelurilor, jurnalele tehnice și datele de monitorizare;
• categorii speciale conform art. 9 GDPR, inclusiv datele biometrice din sistemele de control al accesului, — implicit nu se prelucrează; dacă există în Sistemele Clientului, se indică aici, împreună cu măsurile suplimentare;
• unde se păstrează datele — în infrastructura Clientului, la furnizorii acestuia sau la Executant (de exemplu, copiile de rezervă și datele de monitorizare) — și ce instrumente de acces la distanță și de monitorizare instalează Executantul;
• durata — durata contractului principal plus returnarea, ștergerea și predarea gestiunii conform secțiunii 12.

Natura prelucrării: stocare, structurare, modificare, extragere, copiere de rezervă, restaurare, transfer între sisteme, ștergere — în volumul necesar serviciilor. Conținutul datelor Executantul îl consultă doar la solicitarea Clientului și la remedierea defecțiunilor.

Măsurile se revizuiesc cel puțin o dată la 12 luni și după modificări substanțiale ale serviciilor sau ale infrastructurii.

Lista subîmputerniciților pe care Executantul îi implică în lucrările pentru Client figurează în anexa la contractul principal: denumirea, țara, ce face, la ce date are acces, mecanismul de transfer peste hotare. Lista se actualizează conform secțiunii 8; versiunea în vigoare Executantul o pune la dispoziția Clientului la cerere.

Serviciile contractate direct de Client nu sunt incluse în listă (secțiunea 7).

Întrebările privind acest acord și protecția datelor — la dpo@itcore.md.