Acord de prelucrare a datelor (DPA)

Conform art. 28 din Regulamentul (UE) 2016/679 (GDPR) și Legii nr. 190/2018. Reglementează prelucrarea datelor cu caracter personal de către Furnizor (împuternicit) în numele Clientului (operator).

Notă: Model orientativ. Recomandăm revizuirea juridică și semnarea unei versiuni adaptate pentru fiecare client, dacă este cazul.

1. Rolurile părților

Clientul (compania care folosește Clock) este operatorul(controller) datelor angajaților și colaboratorilor săi. Furnizorulplatformei Clock este persoană împuternicită (processor) și prelucrează datele exclusiv în numele și pe baza instrucțiunilor documentate ale Clientului.

2. Obiectul, durata, natura și scopul prelucrării

Obiect: furnizarea funcțiilor de pontaj, HR, contabilitate și module conexe.
Durată: pe durata contractului dintre părți și a perioadei de retenție.
Natură/scop: stocare, organizare, consultare, prelucrare automată în vederea furnizării Serviciului.

3. Categorii de date și de persoane vizate

Persoane vizate: angajații, colaboratorii și contactele clientului facturat.
Date: identificare (nume, email, rol, telefon, funcție), pontaj/proiecte, concedii, cheltuieli, date de deplasare, date de facturare (CUI, adresă), date tehnice minime (cookie de sesiune, IP la autentificare pentru securitate).
Nu se prelucrează categorii speciale de date (art. 9) în mod intenționat.

4. Obligațiile Furnizorului (împuternicit)

prelucrează datele doar pe baza instrucțiunilor documentate ale operatorului;
asigură confidențialitatea persoanelor autorizate să prelucreze datele;
implementează măsuri tehnice și organizatorice adecvate (art. 32) — vezi secțiunea 6;
asistă operatorul în îndeplinirea cererilor persoanelor vizate și a obligațiilor de securitate;
notifică operatorul fără întârziere nejustificată în cazul unei breșe de securitate;
la încetarea contractului, șterge sau returnează datele, conform alegerii operatorului;
pune la dispoziția operatorului informațiile necesare pentru a demonstra conformitatea și permite audituri rezonabile.

5. Sub-procesatori (subîmputerniciți)

Furnizorul poate folosi următorii sub-procesatori pentru furnizarea Serviciului:

Server propriu (Proxmox), România (regiune UE) — găzduirea aplicației și a bazei de date.
Cloudflare — CDN, TLS și protecție rețea.
cloud607.c-f.ro — trimiterea emailurilor tranzacționale.
Stripe Payments Europe — facturare abonament (doar date de plată).

Integrări opționale, activate doar dacă Clientul le configurează cu propriile credențiale: Anthropic (AI), ANAF (e-Factura), Salt Edge (banking PSD2), Google, Microsoft, Intuit (QuickBooks), Atlassian (Jira). Pentru acestea, Clientul devine operator în relația directă cu respectivul furnizor.

Operatorul este informat în prealabil despre orice modificare a listei de sub-procesatori și se poate opune din motive justificate.

6. Măsuri tehnice și organizatorice (art. 32)

izolare strictă multi-tenant la nivel de bază de date (Row-Level Security, fail-closed);
criptare în tranzit (TLS) și criptarea secretelor sensibile (AES-256-GCM); parole cu hash bcrypt;
autentificare în doi factori (2FA), SSO, control acces pe roluri (RBAC), jurnal de audit;
limitarea ratei de cereri, politici de securitate a aplicației (CSP), blocarea parolelor compromise;
backup periodic al bazei de date, cu testarea restaurării.

Detalii: vezi Politica de confidențialitate și documentul intern de securitate (SECURITY.md).

7. Transferuri internaționale

Datele de bază sunt stocate în România (UE). Transferuri în afara SEE pot apărea doar dacă Clientul activează integrări care implică furnizori din afara UE (ex. AI, calendare). În aceste cazuri se aplică garanțiile prevăzute de GDPR (clauze contractuale standard), iar Clientul își asumă activarea acestor integrări.

8. Notificarea breșelor și contact

Furnizorul notifică operatorul fără întârziere nejustificată la constatarea unei breșe de securitate, cu informațiile necesare pentru notificarea ANSPDCP în termen de 72 de ore. Canal de raportare a vulnerabilităților: [email protected]. Persoană de contact pentru protecția datelor: [email protected].