Act adițional privind prelucrarea datelor cu caracter personal (DPA) — iFurn.pro

Prezentul Act adițional privind prelucrarea datelor cu caracter personal (în continuare — „DPA”) se aplică atunci când Prestatorul (platforma iFurn.pro, în continuare — „Serviciul”) prelucrează date cu caracter personal în numele Utilizatorului la furnizarea Serviciului și când unei astfel de prelucrări i se aplică Regulamentul general al UE privind protecția datelor 2016/679 (în continuare — „GDPR”) sau alte dispoziții legale aplicabile privind protecția datelor.

DPA face parte din Contractul de ofertă publică și completează Politica de confidențialitate. În caz de conflict privind prelucrarea datelor cu caracter personal care intră sub incidența GDPR, se aplică prezentul DPA; aspectele legate de răspundere sunt reglementate de Contractul de ofertă publică. Termenii nedefiniți aici au înțelesul atribuit de GDPR.

1. Rolurile părților

În ceea ce privește datele cu caracter personal pe care Utilizatorul le introduce sau le încarcă în Serviciu (în continuare — „Datele Utilizatorului”), Utilizatorul este operatorul, iar Prestatorul este persoana împuternicită de operator, care acționează în numele Utilizatorului. În ceea ce privește datele contului propriu al Utilizatorului și datele tehnice ale Serviciului, Prestatorul are calitatea de operator (a se vedea Politica de confidențialitate).

2. Obiectul și detaliile prelucrării

Obiectul și durata: furnizarea Serviciului pe durata Contractului de ofertă publică. Natura și scopul: prelucrarea necesară pentru funcționarea funcțiilor Serviciului conform instrucțiunilor Utilizatorului.

Categoriile de date: date de identificare și de contact, precum și alte date pe care Utilizatorul le introduce în Serviciu (inclusiv privind clienții, angajații sau partenerii contractuali ai Utilizatorului). Categoriile de persoane vizate: persoanele ale căror date Utilizatorul le prelucrează prin intermediul Serviciului. Operațiunile de prelucrare: colectarea, stocarea, structurarea, utilizarea, transmiterea în cadrul Serviciului și ștergerea, necesare pentru furnizarea Serviciului. Drepturile și obligațiile Utilizatorului în calitate de operator sunt stabilite de GDPR, de prezentul DPA și de Contractul de ofertă publică. Utilizatorul nu trebuie să introducă categorii speciale de date, cu excepția cazului în care acest lucru este necesar și legal.

3. Instrucțiunile Utilizatorului

Prestatorul prelucrează Datele Utilizatorului numai pe baza instrucțiunilor documentate ale Utilizatorului, inclusiv Contractul de ofertă publică, Politica de confidențialitate și setările Serviciului, cu excepția cazului în care prelucrarea este impusă de lege; în acest caz, Prestatorul informează Utilizatorul, înainte de începerea prelucrării, cu privire la cerința legală respectivă, cu excepția cazului în care legea interzice o astfel de notificare. Dacă, în opinia Prestatorului, o instrucțiune încalcă legislația privind protecția datelor, Prestatorul notifică imediat Utilizatorul în acest sens.

4. Confidențialitate

Prestatorul se asigură că persoanele autorizate să prelucreze Datele Utilizatorului sunt obligate să respecte confidențialitatea.

5. Securitate

Prestatorul ia măsuri tehnice și organizatorice adecvate, ținând seama de stadiul actual al tehnologiei, de costuri, precum și de natura, domeniul de aplicare și riscurile prelucrării, astfel cum se descrie în Politica de securitate. Nicio măsură nu garantează o securitate absolută; Prestatorul nu garantează o protecție completă împotriva tuturor amenințărilor posibile.

6. Subîmputerniciții

Utilizatorul acordă o autorizare generală pentru implicarea subîmputerniciților (în special furnizori de găzduire, centre de date, furnizori de infrastructură cloud, de poștă electronică, de servicii de analiză și de plată). Lista actuală a subîmputerniciților este permanent disponibilă Utilizatorului (în special, este publicată de Prestator). Cu privire la adăugarea sau înlocuirea planificată a unui subîmputernicit, Prestatorul îl informează în prealabil pe Utilizator (inclusiv prin actualizarea listei), oferind o posibilitate rezonabilă de a formula o obiecție.

Utilizatorul poate formula o obiecție, motivată din considerente de protecție a datelor, cu privire la un nou subîmputernicit într-un termen rezonabil înainte de începerea prelucrării respective. Dacă obiecția nu poate fi soluționată, Utilizatorul are dreptul de a înceta utilizarea părții respective a Serviciului. Prestatorul impune subîmputerniciților obligații corespunzătoare privind protecția datelor cu caracter personal în cazurile și în măsura prevăzute de legislația aplicabilă. Răspunderea Prestatorului pentru acțiunile sau inacțiunile subîmputerniciților este stabilită de legislația aplicabilă și de Contractul de ofertă publică. Răspunderea patrimonială (pecuniară) a Prestatorului este limitată în conformitate cu Contractul de ofertă publică în partea în care o astfel de limitare este permisă de normele imperative ale legislației aplicabile.

7. Asistența acordată Utilizatorului

Ținând seama de natura prelucrării și în măsura în care este posibil din punct de vedere tehnic, Prestatorul oferă Utilizatorului o asistență rezonabilă: prin mijloacele disponibile în Serviciu — în ceea ce privește cererile persoanelor vizate; precum și în ceea ce privește asigurarea securității, notificarea incidentelor și evaluarea impactului (DPIA) și consultarea autorității de supraveghere. Asistența care depășește funcționalitatea standard a Serviciului se acordă pe cheltuiala rezonabilă a Utilizatorului. Soluționarea cererilor persoanelor vizate în ceea ce privește Datele Utilizatorului este asigurată de Utilizatorul însuși, în calitate de operator.

8. Incidente privind datele cu caracter personal

Prestatorul notifică Utilizatorul cu privire la un incident privind datele cu caracter personal care afectează Datele Utilizatorului, fără întârziere nejustificată după ce a luat cunoștință de acesta, și furnizează informațiile disponibile la acel moment. Notificarea autorității de supraveghere și a persoanelor vizate (dacă este necesar) este efectuată de Utilizator în calitate de operator.

9. Ștergerea sau returnarea datelor

După încetarea furnizării Serviciului, Prestatorul, la alegerea Utilizatorului, șterge sau returnează Datele Utilizatorului prin mijloacele disponibile, cu excepția cazului în care stocarea lor ulterioară este impusă de lege. Utilizatorul exportă el însuși, din timp, datele de care are nevoie; copiile de rezervă tehnice sunt șterse în conformitate cu ciclurile obișnuite.

10. Audit

La cererea scrisă motivată a Utilizatorului, Prestatorul pune la dispoziție informațiile necesare pentru a demonstra respectarea prezentului DPA — în principal sub forma documentației disponibile, a certificatelor, a rapoartelor de verificare sau a răspunsurilor scrise; de regulă, acest lucru este suficient pentru a confirma conformitatea. În cazul în care informațiile furnizate sunt în mod obiectiv insuficiente sau există îndoieli întemeiate cu privire la respectarea prezentului DPA sau a GDPR, Prestatorul permite și contribuie la un audit sau la o inspecție. Detaliile organizatorice ale unui astfel de audit (domeniul de aplicare, momentul și modalitatea) se convin în prealabil în scris; un astfel de acord nu poate fi întârziat în mod nejustificat sau utilizat pentru a refuza un audit. Auditurile planificate se efectuează, de regulă, cel mult o dată pe an, în timpul programului de lucru, cu o notificare prealabilă rezonabilă, cu respectarea confidențialității, fără o ingerință excesivă în funcționarea Serviciului și pe cheltuiala rezonabilă și documentată a Utilizatorului; această limitare privind frecvența nu se aplică în cazul unui incident privind datele cu caracter personal, al unor motive întemeiate de a considera că a avut loc o încălcare, al unei modificări substanțiale a prelucrării sau al unei cerințe a autorității de supraveghere. Costurile auditului nu sunt suportate de Utilizator în măsura în care auditul a evidențiat o încălcare substanțială din partea Prestatorului. În ceea ce privește subîmputerniciții (în special centrele de date și furnizorii de servicii cloud), accesul fizic direct poate fi limitat de condițiile furnizorilor respectivi; într-un astfel de caz, Prestatorul asigură drepturi de audit echivalente în contractele cu subîmputerniciții și furnizează rapoartele și certificatele disponibile, precum și orice altă asistență rezonabilă. Limitările privind frecvența și modalitatea nu se aplică în măsura în care autoritatea de supraveghere dispune în mod expres altfel, în temeiul legii.

11. Transferuri internaționale

Dacă prelucrarea implică transferul de date cu caracter personal în afara Spațiului Economic European (SEE), un astfel de transfer se efectuează în prezența unui temei juridic în conformitate cu GDPR (inclusiv o decizie privind caracterul adecvat, clauze contractuale standard sau alte garanții adecvate).

12. Răspunderea

Prezentul DPA nu extinde și nu majorează răspunderea Prestatorului în comparație cu Contractul de ofertă publică. Răspunderea totală a Prestatorului legată de prelucrarea datelor cu caracter personal este limitată în conformitate cu Contractul de ofertă publică. Prestatorul nu răspunde pentru instrucțiunile Utilizatorului, pentru legalitatea Datelor Utilizatorului și nici pentru neîndeplinirea de către Utilizator a obligațiilor sale în calitate de operator. Limitările răspunderii nu se aplică în măsura în care sunt interzise de normele imperative ale legii.

13. Relația dintre documente

În ceea ce privește prelucrarea datelor cu caracter personal care intră sub incidența GDPR, prezentul DPA prevalează asupra Politicii de confidențialitate. În ceea ce privește răspunderea, prevalează Contractul de ofertă publică. În rest, se aplică Contractul de ofertă publică și Politica de confidențialitate. Toate dispozițiile se aplică cu respectarea normelor imperative ale legii.