Acordul de prelucrare a datelor Contractino (art. 28 GDPR)
Versiune: 2026-11-03-v0.1 · În vigoare din: [EFFECTIVE DATE]
DRAFT v0.1 — text în curs de revizuire juridică.
Între
- Utilizatorul care a acceptat Termenii și condițiile Contractino și folosește Contractino pentru o activitate economică sau profesională („Operatorul”); și
- DMR Digital SRL (societate în curs de constituire), [REGISTERED OFFICE], România, CUI [CUI] („Persoana împuternicită”).
Prezentul Acord de prelucrare a datelor („Acordul”) face parte din Termeni. În caz de conflict privind protecția datelor, prevalează prezentul Acord.
Acordul nu se aplică atunci când Utilizatorul este o persoană fizică ce acționează în scop exclusiv personal sau domestic (art. 2 alin. (2) lit. (c) GDPR). Persoana împuternicită aplică totuși aceleași măsuri de securitate.
[counsel] Calificarea Contractino drept persoană împuternicită pentru datele din contractele Utilizatorilor profesioniști urmează să fie confirmată.
1. Obiect și durată
1.1 Persoana împuternicită prelucrează datele cu caracter personal cuprinse în contractele, ciornele, părțile salvate și imobilele Operatorului, pentru a furniza Contractino (Anexa 1).
1.2 Acordul durează cât Termenii și până la ștergerea datelor potrivit pct. 10.
2. Instrucțiuni
2.1 Persoana împuternicită prelucrează datele numai pe baza instrucțiunilor documentate: Termenii, utilizarea serviciului de către Operator și solicitările scrise. Excepțiile se aplică numai atunci când dreptul Uniunii sau dreptul intern o impune; Persoana împuternicită informează în prealabil Operatorul, cu excepția cazului în care legea interzice acest lucru.
2.2 Persoana împuternicită informează imediat Operatorul dacă o instrucțiune pare ilegală.
2.3 Persoana împuternicită nu folosește datele Operatorului în scopuri proprii, inclusiv pentru antrenarea sistemelor de inteligență artificială.
Prelucrare în calitate de operator. Persoana împuternicită prelucrează în calitate de operator, în interesul său legitim, datele procesului de semnare și dovezile semnăturii (linkurile de semnare, codurile de unică folosință, adresa IP și browserul semnatarilor, momentul semnării, pagina cu pista de audit, hash-ul PDF-ului final și marca sa temporală), jurnalul de audit și actele de identitate scanate prin serviciu. Politica sa de confidențialitate descrie această prelucrare.
3. Confidențialitate
Persoanele autorizate să prelucreze datele sunt ținute de confidențialitate. Conținutul contractelor este accesat numai pentru asistență, la cererea Operatorului, sau din motive de securitate.
4. Securitate
Persoana împuternicită aplică măsurile din Anexa 2 (art. 32 GDPR) și le poate actualiza fără a reduce nivelul de protecție.
5. Subprocesatori
5.1 Operatorul autorizează subprocesatorii din Lista subprocesatorilor (Anexa 3).
5.2 Modificările sunt notificate cu 30 de zile înainte. Operatorul se poate opune pe motive rezonabile de protecție a datelor. Dacă părțile nu ajung la un acord, Operatorul poate rezilia și primește rambursarea proporțională a tarifelor plătite în avans.
5.3 Fiecare subprocesator are obligații scrise echivalente. Persoana împuternicită răspunde pentru aceștia.
6. Transferuri internaționale
Datele sunt stocate în SEE (serverul principal în România, copiile de siguranță în SEE). Actele de identitate sunt citite de Microsoft Azure Document Intelligence într-o regiune din UE; Microsoft poate accesa date din afara SEE numai în condițiile sale contractuale privind prelucrarea datelor, care includ clauzele contractuale standard ale UE. Nu are loc niciun alt transfer în afara SEE. Datele din contracte și documentele nu sunt trimise către Anthropic și nici către alt furnizor de inteligență artificială.
7. Asistență
Persoana împuternicită ajută Operatorul, prin instrumentele din aplicație (export JSON, ștergerea contului) și prin asistență, cu privire la:
- cererile persoanelor vizate; cererile primite direct sunt transmise în 3 zile lucrătoare;
- evaluările impactului asupra protecției datelor;
- securitate și notificarea încălcărilor.
8. Încălcarea securității datelor
Persoana împuternicită notifică Operatorul fără întârzieri nejustificate și în cel mult 48 de ore de la data la care a luat cunoștință de o încălcare care afectează datele Operatorului. Notificarea cuprinde ce se cunoaște despre natura încălcării, datele afectate, consecințele probabile și măsurile luate.
9. Audit
La cerere, Persoana împuternicită furnizează informațiile necesare pentru a demonstra conformitatea. Operatorul sau un auditor ținut de confidențialitate poate efectua un audit o dată pe an, cu o notificare de 30 de zile, fără a perturba serviciul sau datele altor clienți. Cu excepția cazului în care se constată o încălcare esențială, costurile sunt suportate de Operator.
10. Încetarea prelucrării
10.1 Operatorul își poate exporta datele și descărca documentele semnate oricând. [counsel] Urmează să se stabilească o perioadă de export după încetarea contractului.
10.2 La ștergerea contului (la 14 zile de la cerere), Persoana împuternicită șterge contractele, ciornele, părțile salvate și fișierele Operatorului. Contractele semnate de alte părți se păstrează fără datele contului Operatorului, ca dovezi ale semnăturii ale Persoanei împuternicite (pct. 2), potrivit Politicii de retenție a datelor.
10.3 Copiile din backup dispar odată cu rotația copiilor de siguranță: 14 zile pe server; în afara serverului [de confirmat]. Ștergerea se confirmă în scris, la cerere.
11. Legea aplicabilă
Se aplică legea română. Răspunderea urmează art. 82 GDPR și Termenii.
Anexa 1 — Descrierea prelucrării
| Element | Descriere |
|---|---|
| Persoane vizate | Părțile contractuale și reprezentanții, garanții și mandatarii acestora; clienții, proprietarii de imobile și contactele Operatorului |
| Date cu caracter personal | Date de identificare (nume, data și locul nașterii, cod numeric personal (CNP), seria și numărul actului de identitate), adrese, date de contact, date despre vehicule, date despre imobile, date despre societăți și părți sociale, date bancare pentru plățile din contract, semnături, conținutul contractelor |
| Categorii speciale | Nu sunt prevăzute. Utilizatorii nu trebuie să introducă date privind sănătatea sau alte categorii speciale, cu excepția cazului în care contractul o impune |
| Natura prelucrării | Stocare, afișare, generarea documentelor, precompletare (registrul ANAF, citirea actelor de identitate), trimitere spre semnare, aplicarea mărcii temporale, export, ștergere |
| Scop | Furnizarea Contractino către Operator |
| Durată | Durata Termenilor, apoi ștergerea potrivit pct. 10 |
Anexa 2 — Măsuri tehnice și organizatorice
- Criptare: HTTPS (TLS) în tranzit; fișierele stocate criptate cu criptarea pe server MinIO (SSE-S3); copiile de siguranță din afara serverului criptate înainte de încărcare.
- Controlul accesului:
- contractele sunt vizibile numai contului sau organizației Operatorului și semnatarilor invitați;
- semnatarii ajung la document printr-un link personal și un cod de unică folosință trimis prin SMS (valabil 10 minute, cel mult 5 încercări; păstrat doar ca hash);
- roluri în organizație, cu drepturi diferite;
- autentificarea este protejată prin limitarea numărului de încercări și o verificare de tip proof-of-work. Autentificarea în doi pași nu este încă disponibilă.
- Codul numeric personal (CNP): stocat numai acolo unde un contract, o parte salvată sau un act de identitate îl conține; eliminat din jurnalele serverului. [counsel] Mascarea în liste și reducerea suplimentară la minimum urmează să fie revizuite.
- Integritate: hash SHA-256 pentru fiecare document final; marcă temporală electronică calificată (RFC 3161; prestatorului de servicii de încredere i se trimite doar hash-ul); pistă de audit.
- Acte de identitate: citite de Azure Document Intelligence într-o regiune din UE, rezultatul fiind șters din Azure imediat după citire; motor local de rezervă; imaginile sunt șterse la 90 de zile de la încărcare.
- Disponibilitate: copii de siguranță în fiecare noapte ale bazei de date și ale fișierelor, păstrate 14 zile pe server și copiate criptat la Scaleway (SEE); exerciții de restaurare.
- Organizatoric: obligații de confidențialitate; procedură de răspuns la incidente; DPO: [DPO NAME / CONTACT]; dezvoltare securizată (revizuirea codului, scanarea dependențelor și a secretelor).