Acord de prelucrare a datelor

1. Obiect și durată

Furnizorul prelucrează date cu caracter personal în numele Clientului pentru a furniza GrantFlow: evidența timpului de lucru, a costurilor de personal și a altor costuri, raportarea și păstrarea evidențelor de audit pentru granturile finanțate de UE. Detaliile (persoanele vizate, categoriile de date, scopul, natura și durata) sunt în Anexa 1. Acordul se aplică atât timp cât Furnizorul prelucrează date cu caracter personal pentru Client.

2. Instrucțiuni

Furnizorul prelucrează datele cu caracter personal numai pe baza instrucțiunilor documentate ale Clientului. Termenii și condițiile, prezentul DPA și modul în care Clientul configurează și folosește GrantFlow (de exemplu ce proiecte, persoane și integrări creează) constituie instrucțiunile complete ale Clientului. Orice alte instrucțiuni se dau în scris.

Dacă Furnizorul consideră că o instrucțiune încalcă legislația privind protecția datelor, informează Clientul fără întârziere și poate suspenda executarea acelei instrucțiuni. Dacă dreptul Uniunii sau al unui stat membru impune o prelucrare, Furnizorul informează Clientul înainte de prelucrare, cu excepția cazului în care acel drept interzice acest lucru.

3. Confidențialitate

Furnizorul se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidențialitatea și au acces doar la ce le este necesar pentru sarcina lor (de exemplu pentru a rezolva o cerere de asistență formulată de Client).

4. Securitate

Furnizorul aplică măsurile tehnice și organizatorice din Anexa 2, adecvate riscului (art. 32 GDPR). Le poate actualiza cu condiția ca nivelul general de protecție să nu scadă.

5. Subîmputerniciți

Clientul acordă o autorizare generală pentru subîmputerniciții enumerați în Anexa 3. Furnizorul informează Clientul cu cel puțin 30 de zile înainte de a adăuga sau înlocui un subîmputernicit. Clientul poate formula obiecții întemeiate privind protecția datelor în acest termen; dacă părțile nu ajung la un acord, Clientul poate înceta serviciul afectat și primește înapoi sumele plătite în avans pentru perioada de după încetare.

Furnizorul impune fiecărui subîmputernicit obligații de protecție a datelor echivalente cu cele din prezentul DPA și răspunde față de Client pentru subîmputerniciții săi.

6. Transferuri în afara SEE

Baza de date și fișierele Clientului sunt găzduite în Uniunea Europeană (Irlanda). Dacă un subîmputernicit sau grupul său poate accesa date cu caracter personal dintr-o țară din afara SEE, transferul se bazează pe o decizie privind caracterul adecvat (inclusiv Cadrul UE–SUA privind protecția datelor, pentru firmele certificate) sau pe Clauzele contractuale standard ale Comisiei Europene.

7. Sprijin pentru drepturile persoanelor vizate și pentru conformitate

GrantFlow pune la dispoziția Clientului instrumente cu care să răspundă singur persoanelor vizate: exportul datelor unei persoane, corectarea evidențelor printr-o versiune nouă (evidențele semnate nu se suprascriu niciodată), pseudonimizarea unui profil și pista de audit. Dacă Furnizorul primește direct o cerere, o transmite Clientului în cel mult 5 zile lucrătoare și nu îi răspunde în nume propriu.

Ținând seama de natura prelucrării și de informațiile de care dispune, Furnizorul sprijină Clientul în privința securității, notificării încălcărilor, evaluărilor impactului asupra protecției datelor și consultării prealabile (art. 32–36 GDPR).

8. Încălcarea securității datelor

Furnizorul notifică Clientul cu privire la o încălcare a securității datelor cu caracter personal fără întârzieri nejustificate și, în orice caz, în cel mult 48 de ore de la data la care a luat cunoștință de ea, pentru ca Clientul să își poată respecta propriul termen de 72 de ore. Notificarea descrie, în măsura în care se cunoaște: natura încălcării, categoriile și numărul aproximativ de persoane și de înregistrări afectate, consecințele probabile și măsurile luate sau propuse. Informațiile care nu sunt încă disponibile se furnizează imediat ce devin disponibile.

9. Încetarea serviciului: returnare și ștergere

Pe durata contractului și timp de 30 de zile după încetarea lui, Clientul își poate exporta toate datele, în special prin pachetul de audit (pontaje în PDF, Form C, registrul contabil, bonuri, certificate, documente și pista de audit).

Ulterior, Furnizorul șterge datele cu caracter personal ale Clientului în alte 60 de zile, cu excepția cazului în care dreptul Uniunii sau al unui stat membru impune stocarea sau Clientul a cerut în scris păstrarea arhivei doar pentru citire pe perioada de păstrare prevăzută de grantul UE (5 ani de la plata soldului), printr-o înțelegere separată. Datele din copiile de siguranță se șterg când copiile sunt suprascrise în ciclul lor obișnuit și nu sunt restaurate între timp decât pentru recuperare în caz de dezastru.

10. Informații și audituri

Furnizorul pune la dispoziție informațiile necesare pentru a demonstra respectarea art. 28 GDPR. Clientul (sau un auditor independent obligat la confidențialitate) poate audita Furnizorul o dată pe an, cu o notificare prealabilă de cel puțin 30 de zile, în timpul programului de lucru și pe cheltuiala Clientului, sau oricând după o încălcare a securității datelor. Dacă există, certificările sau rapoartele de audit ale Furnizorului ori ale subîmputerniciților săi se pun la dispoziție mai întâi și pot face inutil un audit la fața locului.

11. Obligațiile Clientului

• Clientul are un temei legal pentru prelucrare și informează angajații săi și celelalte persoane vizate (de exemplu prin propria notă de informare pentru angajați).
• Clientul menține datele exacte și le limitează la ce cere grantul. Ar trebui să evite înregistrarea informațiilor despre sănătate acolo unde un tip neutru de absență este suficient.
• Consorții: fiecare organizație parteneră este operator pentru datele propriilor angajați. Când un coordonator invită organizații partenere, Clientul confirmă că acordul de consorțiu permite coordonatorului să vadă datele pe care le vede în GrantFlow (rolurile limitează administratorii fiecărei organizații la propria organizație).
• Clientul își administrează utilizatorii, atribuie rolurile și activează autentificarea în doi pași pentru utilizatorii săi acolo unde este cazul.

12. Răspundere, durată și lege aplicabilă

Răspunderea în temeiul prezentului DPA urmează Termenii și condițiile, fără a limita drepturile persoanelor vizate prevăzute la art. 82 GDPR. Prezentul DPA este guvernat de legea română; litigiile se soluționează de instanțele competente din București.

Anexa 1 — Descrierea prelucrării

Anexa 2 — Măsuri tehnice și organizatorice

• Localizare: baza de date și fișierele sunt găzduite în Uniunea Europeană (Irlanda); serverele aplicației sunt în Dublin.
• Criptare: toate conexiunile folosesc TLS; datele sunt criptate la stocare de furnizorul de găzduire.
• Controlul accesului: autentificare cu parolă (păstrată doar sub formă de hash de serviciul de autentificare), autentificare în doi pași opțională, pe care serviciul o impune apoi, autentificare unică cu Microsoft, Google sau SAML, acolo unde este configurată; înregistrarea publică este dezactivată, conturile sunt create de administratori.
• Autorizare: șase roluri, cu privilegii minime; administratorii unei organizații văd doar propria organizație; auditorii au acces doar pentru citire; Row Level Security activat pe fiecare tabel al bazei de date.
• Integritate: reguli în baza de date împiedică modificarea sau ștergerea pontajelor semnate, a cheltuielilor aprobate, a registrului contabil (corectat doar prin stornare), a bonurilor, certificatelor, documentelor și a pistei de audit; principiul celor patru ochi pentru pontaje și cheltuieli.
• Trasabilitate: fiecare modificare, export și descărcare se înregistrează cu persoana, ora, adresa IP și motivul, într-un jurnal de audit înlănțuit criptografic, a cărui integritate poate fi verificată.
• Fișiere: tipul se verifică din conținutul fișierului, dimensiunea este limitată, se păstrează cu o amprentă SHA-256; bonurile sunt citite prin recunoaștere de text în browserul utilizatorului.
• Păstrare: proiectele închise pot fi arhivate doar pentru citire pe perioada de păstrare cerută de UE; profilurile pot fi pseudonimizate.
• Monitorizare: din rapoartele tehnice de erori sunt eliminate datele personale înainte de trimitere.
• Chei secrete: cheile de serviciu sunt păstrate doar pe server, niciodată în browser.
• Copii de siguranță și recuperare: copii de siguranță realizate de furnizorul de găzduire a bazei de date, conform planului de serviciu. [DE CONFIRMAT: copii zilnice, cu perioada de păstrare menționată, după activarea planului plătit.]
• Dezvoltare: teste automate ale regulilor de conformitate și ale fiecărui flux principal de utilizare înainte de fiecare lansare.
• Personal: obligații de confidențialitate pentru toți cei care au acces; acces limitat la ce cere sarcina.

Anexa 3 — Subîmputerniciți

Servicii publice care nu primesc date personale: Banca Centrală Europeană (cursuri valutare), Nager.Date (sărbători legale).