Acord de Prelucrare a Datelor (DPA)

1. Părțile contractante

Operatorul de date este Compania Client — organizația care creează contul și utilizează aplicația Vecto HR pentru administrarea resurselor umane, denumită în continuare Operator.

Împuternicitul este APPVECTO S.R.L., CUI 54906519, sediu: Strada Agricultorilor nr. 18, Subsol Tehnic, Spațiu Tehnic 2, 707085 Lunca Cetățuii, Iași, România, care prelucrează date cu caracter personal exclusiv în numele și conform instrucțiunilor Operatorului, în sensul Regulamentului (UE) 2016/679 (GDPR). Contact: contact@appvecto.com, suport: contact@appvecto.com.

2. Obiectul și durata

Prelucrarea are loc prin platforma Vecto HR, în scopul administrării resurselor umane: evidența angajaților, salarizare, pontaj, documente de personal, rapoarte, SSM și funcționalități conexe.

Durata prelucrării corespunde perioadei de abonament activ și, după caz, perioadei de arhivare impuse de lege sau de instrucțiunile documentate ale Operatorului.

3. Tipuri de date și categorii de persoane vizate

• date de identificare (nume, prenume, CNP, serie și număr act identitate);
• date de contact (adresă, telefon, e-mail);
• date bancare (IBAN, bancă) pentru plata salariilor;
• date profesionale (funcție, departament, salariu, vechime, pontaj);
• date medicale doar în măsura necesară SSM (avize medicale, fișe de aptitudine), la instrucțiunea Operatorului;
• persoane vizate: angajați, colaboratori, utilizatori autorizați ai Operatorului.

4. Instrucțiuni documentate

Împuternicitul prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului, inclusiv prin configurarea organizației în aplicație, Termenii și Condițiile, prezentul DPA și solicitările scrise rezonabile.

Dacă Împuternicitul consideră că o instrucțiune încalcă GDPR sau alte dispoziții privind protecția datelor, va informa Operatorul fără întârziere nejustificată.

5. Confidențialitate

Împuternicitul se asigură că personalul autorizat să prelucreze date respectă confidențialitatea sau este supus unei obligații legale corespunzătoare de confidențialitate.

6. Măsuri tehnice și organizatorice

• criptare AES-256-GCM pentru date sensibile selectate (ex. CNP, IBAN), unde este utilizată în implementare;
• control acces bazat pe roluri (RBAC) și izolare multi-tenant între organizații;
• sesiuni autentificate (cookie-uri httpOnly) și protecție CSRF;
• jurnal de audit pentru acțiuni relevante de securitate și conformitate;
• backup-uri periodice conform configurației tehnice a platformei.

7. Sub-împuterniciți

Operatorul autorizează în general utilizarea sub-împuterniciților enumerați mai jos, cu obligații contractuale echivalente privind protecția datelor. Împuternicitul va informa Operatorul despre modificări materiale ale listei, prin actualizarea documentației sau notificare rezonabilă, după caz.

• Stripe (Stripe Payments Europe Ltd, Irlanda; grupul Stripe, SUA) — procesare plăți și gestionare abonamente (doar datele de facturare ale Operatorului);
• Vercel Inc. (SUA) — găzduire aplicație; funcții server în regiunea Frankfurt (UE);
• Neon, LLC (grupul Databricks, SUA) — bază de date PostgreSQL în regiunea AWS Frankfurt (eu-central-1, UE);
• Cloudflare, Inc. (SUA) — stocare fișiere în Cloudflare R2, cu jurisdicție UE (documente, backup-uri);
• Resend (Plus Five Five, Inc., SUA) — livrare e-mail tranzacțional implicită a platformei, prin regiunea Irlanda (UE); jurnalele de livrare pot fi prelucrate în SUA.
• Un furnizor de e-mail configurat de Operator (SMTP) poate fi utilizat pentru notificări; este ales și administrat de Operator.

8. Transferuri internaționale

Datele prelucrate în numele Operatorului sunt găzduite în Uniunea Europeană (aplicație: regiunea Vercel Frankfurt; bază de date: AWS Frankfurt; fișiere: Cloudflare R2 cu jurisdicție UE; e-mail platformă: Resend, regiunea Irlanda).

Sub-împuterniciții care sunt societăți din SUA pot accesa sau prelucra date din afara Spațiului Economic European pentru operare, asistență, securitate sau jurnalele de livrare a e-mailurilor. Transferurile se bazează pe decizia de adecvare privind Cadrul UE–SUA pentru protecția datelor (Decizia (UE) 2023/1795), unde furnizorul este certificat, și pe clauzele contractuale standard (Decizia (UE) 2021/914) din acordurile de prelucrare ale furnizorilor. Dacă decizia de adecvare (contestată în cauza C-703/25 P) încetează să se aplice, se aplică clauzele contractuale standard. La cerere, Împuternicitul pune la dispoziția Operatorului informații despre garanțiile aplicabile fiecărui sub-împuternicit.

9. Asistență pentru drepturile persoanelor vizate

Împuternicitul acordă asistență rezonabilă Operatorului pentru îndeplinirea obligațiilor privind solicitările persoanelor vizate (acces, rectificare, ștergere etc.), în măsura în care este fezabil tehnic și în limita funcționalităților platformei.

Solicitările adresate direct Împuternicitului vor fi redirecționate către Operator, cu excepția cazului în care legea sau acordul permit răspunsul direct.

10. Incidente și încălcări de securitate

Împuternicitul notifică Operatorul fără întârziere nejustificată și, în orice caz, în cel mult 48 de ore după ce ia cunoștință de o încălcare a securității datelor cu caracter personal care afectează datele prelucrate în numele Operatorului, cu informațiile disponibile la acel moment (natura încălcării, categoriile și numărul aproximativ de persoane și înregistrări vizate, consecințele probabile și măsurile luate sau propuse), completate pe măsură ce devin disponibile, pentru a permite Operatorului să își îndeplinească obligațiile prevăzute la art. 33 și 34 GDPR.

11. Ștergere, returnare și export

La încetarea contractului sau la instrucțiunea documentată a Operatorului, Împuternicitul șterge sau returnează datele, cu excepția categoriilor aflate în păstrare legală confirmată, a categoriilor pentru care obligația de păstrare este încă în verificare juridică sau a celor acoperite de o obligație legală de păstrare activă. La închiderea organizației se aplică regula de 61 de zile de mai jos.

Datele temporare și de acces eligibile pot fi șterse imediat. La închiderea organizației, datele controlate de Operator sunt păstrate restricționat, fără acces, 61 de zile de la cerere și apoi sunt șterse definitiv, automat (cu excepția cazului în care există o obligație legală de păstrare activă). Operatorul își păstrează propria arhivă legală (de exemplu statele de plată și documentele justificative, 5 ani de la 1 iulie a anului următor, conform Legii contabilității 82/1991, art. 25); APPVECTO păstrează doar propriile evidențe de facturare, facturile abonamentului și dovada cererii, pentru obligațiile sale legale. Backupurile expiră la ciclul lor normal.

Backupurile nu sunt șterse selectiv în mijlocul ciclului; expirarea urmează politica aprobată, iar procedura operațională de restaurare (nu o funcție automată) prevede reaplicarea evidenței ștergerilor GDPR înainte ca aplicația să fie utilizabilă.

Notificările art. 19 către destinatari sunt înregistrate în evidența etapelor cererii GDPR existente (fără registru duplicat). Copiile din căsuța de e-mail a destinatarilor terți pot fi în afara controlului tehnic — documentate ca atare.

Dacă Operatorul nu răspunde la o cerere de ștergere a datelor unui angajat, Împuternicitul escaladează și păstrează cererea în starea „în așteptarea Operatorului” sau „păstrată din obligație legală” — nu șterge automat datele HR.

Operatorul poate exporta datele prin funcționalitățile platformei înainte de încetare.

12. Audit și cooperare

Operatorul poate solicita informații necesare pentru a demonstra conformitatea GDPR. Auditurile on-site sau accesul extins la sisteme se efectuează în condiții rezonabile, cu preaviz, ținând cont de securitatea altor clienți și a infrastructurii.

13. Răspundere

Răspunderea părților în materie de protecție a datelor este guvernată de Termenii și Condițiile și de legea aplicabilă. Nimic din prezentul DPA nu limitează drepturile persoanelor vizate sau obligațiile imperativ prevăzute de GDPR.

14. Acceptare electronică

Prezentul acord este acceptat electronic de Operator la înregistrarea în aplicație, prin bifarea obligatorie a căsuței de acceptare a DPA. Data și identificatorul utilizatorului sunt înregistrate în câmpurile dpaAcceptedAt și dpaAcceptedBy ale organizației.

15. Documente conexe

Pentru detalii suplimentare despre confidențialitate, termeni și drepturile persoanelor vizate, consultați Politica de Confidențialitate, Termeni și condiții și Drepturi GDPR.