Acord de prelucrare a datelor

• Denumire: CANISMAJORIS21 SRL
• CUI: 40065637
• Nr. Reg. Com.: J2018002480087
• EUID: ROONRC.J2018002480087
• Sediu: Str. Tudor Arghezi 15, Brașov, România
• Email: [email protected]

Obiectul: găzduirea și prelucrarea datelor flotei Clientului pentru funcțiile serviciului FlotaMea (evidența vehiculelor, șoferilor, documentelor, costurilor, curselor, localizării, rapoartelor și notificărilor). Natura: stocare, organizare, consultare, calcul, transmitere către utilizatorii Clientului și ștergere. Durata: cea a contractului, plus termenul de ștergere de la punctul 9.

• Persoane vizate: șoferii și ceilalți angajați sau colaboratori ai Clientului, utilizatorii conturilor Clientului și terții care apar în documentele încărcate (de exemplu în procese-verbale de amendă).
• Date: identificare și contact; date din permisul de conducere și din documentele încărcate, inclusiv CNP; alocări, rezervări, curse, kilometraj, alimentări, amenzi și fotografii; poziția vehiculului și traseele curselor înregistrate automat.
• Categorii speciale (art. 9 GDPR): date privind sănătatea, doar dacă Clientul încarcă fișe medicale sau avize psihologice.

Prelucrăm datele numai pe baza instrucțiunilor documentate ale Clientului, care sunt: acești termeni, acest acord și configurarea pe care Clientul o face în aplicație. Excepție fac prelucrările impuse de lege; în acest caz informăm Clientul înainte, dacă legea permite. Dacă o instrucțiune încalcă, în opinia noastră, legislația privind protecția datelor, informăm Clientul imediat.

Persoanele autorizate să prelucreze datele Clientului s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate.

Aplicăm cel puțin următoarele măsuri:

• criptarea datelor în tranzit (TLS) și în repaus;
• izolarea datelor fiecărui client prin politici de securitate la nivel de rând în baza de date, verificate de teste automate la fiecare modificare a codului;
• drepturi minime pentru fiecare rol: utilizatorii neautentificați nu au acces la date, iar șoferii văd doar vehiculele și datele care le sunt atribuite;
• fișiere stocate în spații private, accesibile doar titularului contului sau șoferilor autorizați;
• înregistrarea localizării doar cu acordul șoferului, verificat în baza de date;
• ștergerea automată a traseelor GPS ale curselor după 30 de zile de la data cursei;
• copii de siguranță ale bazei de date și proceduri de restaurare documentate;
• acces la mediul de producție limitat la personalul care are nevoie de el;
• datele cardurilor de plată nu ajung la noi; le prelucrează doar Stripe.

Clientul ne autorizează general să folosim sub-împuterniciții din Anexa 1. Îi impunem, prin contract, obligații de protecție a datelor echivalente cu cele din acest acord și răspundem față de Client pentru ei. Anunțăm Clientul prin email cu cel puțin 30 de zile înainte de a adăuga sau înlocui un sub-împuternicit. Clientul se poate opune în acest termen, motivat; dacă nu găsim o soluție, Clientul poate înceta contractul, iar noi îi rambursăm partea neutilizată a perioadei plătite.

• Cererile persoanelor vizate: Clientul le poate rezolva direct din aplicație (consultare, rectificare, export, ștergere). O cerere primită de noi o transmitem Clientului fără întârziere.
• Încălcarea securității datelor: anunțăm Clientul fără întârzieri nejustificate și în cel mult 48 de ore de la constatare, cu informațiile cerute de art. 33 alin. (3) GDPR disponibile la acel moment.
• Îi punem la dispoziție Clientului informațiile necesare pentru evaluarea impactului asupra protecției datelor și pentru consultarea autorității de supraveghere.

Clientul își poate exporta oricând datele din aplicația web. La ștergerea contului, datele sunt șterse imediat din baza de date și din stocarea de fișiere, iar copiile de siguranță se suprascriu în cel mult 30 de zile, cu excepția datelor pe care legea ne obligă să le păstrăm (evidența facturării).

La cerere, punem la dispoziția Clientului informațiile necesare pentru a demonstra respectarea art. 28 GDPR. Clientul poate efectua un audit, cel mult o dată pe an, cu un preaviz de 30 de zile, pe cheltuiala sa, prin el însuși sau printr-un auditor obligat la confidențialitate, fără acces la datele altor clienți.

• are un temei legal pentru fiecare categorie de date pe care o introduce și informează persoanele vizate;
• pentru localizarea angajaților respectă art. 5 din Legea nr. 190/2018 (interes legitim documentat, informarea prealabilă a angajaților, consultarea reprezentanților lor, durata de păstrare) și efectuează, dacă e cazul, o evaluare de impact;
• pentru CNP respectă garanțiile de la art. 4 din Legea nr. 190/2018;
• încarcă date privind sănătatea doar când are o obligație sau un drept legal să le păstreze;
• stabilește cât timp păstrează datele și le șterge din aplicație la expirarea acestui termen.

Datele sunt găzduite în Uniunea Europeană. Transferurile către sub-împuterniciții din afara SEE se fac pe baza unei decizii de adecvare (inclusiv EU-U.S. Data Privacy Framework) sau a clauzelor contractuale standard ale Comisiei Europene.

• Supabase, Inc. — baza de date, autentificarea, stocarea fișierelor și funcțiile server. Localizare: date găzduite în UE (Irlanda); acces de suport din SUA, pe bază de clauze contractuale standard.
• Cloudflare, Inc. — găzduirea site-ului, livrarea conținutului (CDN) și statistici de vizitare fără cookie-uri (Web Analytics). Localizare: rețea globală; SUA (EU-U.S. Data Privacy Framework / clauze contractuale standard).
• Stripe Payments Europe, Ltd. — procesarea plăților și a abonamentelor; datele cardului sunt păstrate doar de Stripe. Localizare: Irlanda (UE); transferuri către Stripe, Inc. pe bază de clauze contractuale standard.
• Google LLC / Google Ireland Limited — autentificarea cu Google (dacă o alegi) și livrarea notificărilor pe Android și în Chrome. Localizare: UE și SUA (EU-U.S. Data Privacy Framework / clauze contractuale standard).
• Mozilla Corporation / Apple Inc. — livrarea notificărilor web în Firefox și Safari, dacă le activezi (conținutul notificării este criptat). Localizare: SUA (clauze contractuale standard).
• 650 Industries, Inc. (Expo) — transmiterea notificărilor push către aplicația mobilă. Localizare: SUA (clauze contractuale standard).
• Resend (Plus Five Five, Inc.) — emailuri pentru resetarea parolei. Localizare: SUA (clauze contractuale standard).
• EmailJS — emailuri de notificare (expirarea documentelor, facturare) și mesajele trimise către suport. Localizare: în afara SEE (clauze contractuale standard).
• Functional Software, Inc. (Sentry) — monitorizarea erorilor tehnice din aplicații. Localizare: SUA (EU-U.S. Data Privacy Framework / clauze contractuale standard).
• OpenFreeMap / MapTiler AG — afișarea hărților (primesc adresa IP a dispozitivului care încarcă harta). Localizare: UE / Elveția (decizie de adecvare).
• Plausible Insights OÜ / Google LLC (Google Analytics) — statistici de utilizare a site-ului: fără acordul tău, doar semnale fără cookie-uri (Google Analytics); cookie-urile de statistică, doar cu acordul tău. Localizare: UE (Estonia) / SUA (EU-U.S. Data Privacy Framework).

Notificările privind acest acord se trimit la [email protected].