Acord de prelucrare a datelor

Părțile și rolurile

Părțile sunt firma care folosește Clar („Firma”) și Studio Clar („Clar”). Pentru datele clienților săi, Firma este de regulă persoană împuternicită a clientului, care este operatorul, iar Clar este sub-împuternicit. Pentru datele proprii ale Firmei, inclusiv conturile utilizatorilor, Firma este operator, iar Clar este persoana împuternicită.

Acordul face parte din Termeni și se acceptă la semnarea contractului, separat sau prin semnătură electronică. Păstrăm dovada acceptării: numele, data și versiunea acordului.

De confirmatFirma confirmă că are de la clienții ei autorizarea generală, scrisă, de a folosi sub-împuterniciți (art. 28 alin. 2 GDPR). Verificarea clauzei CECCAR din contractele firmelor pilot este de confirmat.

Obiectul, durata, natura și scopul

• Obiectul: verificarea facturilor din e-Factura față de evidențele contabile ale clienților Firmei.
• Durata: cât durează contractul, plus perioada de export și de ștergere din secțiunea 11.
• Natura: stocare, citire din SPV, comparare, aplicarea regulilor fiscale, afișare și export.
• Scopul: semnalarea nepotrivirilor și pregătirea corecturilor pe care Firma le aprobă.

Datele și persoanele vizate

• Persoanele vizate: utilizatorii Firmei și persoanele fizice care apar pe facturile și în evidențele clienților, de exemplu PFA, reprezentanți sau persoane de contact.
• Datele: nume, adrese de e-mail, CUI, CNP acolo unde apare pe documente, adrese, sume și date de pe facturi.
• Clar nu cere și nu prelucrează intenționat categorii speciale de date (art. 9 GDPR).

Instrucțiunile Firmei

Clar prelucrează datele numai pe baza instrucțiunilor documentate ale Firmei: acest acord, Termenii și acțiunile făcute de utilizatori în aplicație. Dacă o instrucțiune ni se pare contrară legii, vă anunțăm.

Clar citește din SPV numai pentru verificare. Nu depune, nu încarcă și nu transmite nimic la ANAF și nu scrie în contabilitatea clienților fără o corectură aprobată de Firmă.

Confidențialitate

Persoanele care lucrează pentru Clar și au acces la date sunt obligate să păstreze confidențialitatea. Echipa Clar ajunge la datele unei firme numai printr-o permisiune acordată de Firmă, de cel mult 30 de zile, înregistrată în jurnalul de audit.

Securitatea prelucrării

Clar aplică măsurile tehnice și organizatorice descrise pe pagina Securitatea datelor (art. 32 GDPR). Fiecare măsură de acolo este legată de un test sau de o setare din cod.

Sub-împuterniciți

• Firma acordă o autorizare generală pentru sub-împuterniciții din Anexa 1.
• Vă anunțăm pe e-mail, cu 30 de zile înainte, orice sub-împuternicit nou sau înlocuit. Lista actuală este întotdeauna pe această pagină.
• Puteți obiecta motivat în 30 de zile. Dacă obiecția nu se rezolvă, puteți rezilia fără penalități și primiți înapoi suma plătită pentru perioada neconsumată.
• Pentru schimbări urgente de securitate vă anunțăm imediat, cu același drept de reziliere.
• Clar impune fiecărui sub-împuternicit obligații de protecție a datelor echivalente cu cele din acest acord și răspunde față de Firmă pentru ele.

Transferuri în afara SEE

Datele sunt găzduite în regiuni din UE. Pentru furnizorii cu sediul în SUA, temeiul este cel din Anexa 1: clauzele contractuale standard din acordurile lor de prelucrare și, unde există, certificarea în cadrul UE–SUA (Data Privacy Framework).

Personalul Studio Clar poate accesa datele și din afara SEE. Nu este un transfer către altă companie, iar aceleași măsuri de securitate se aplică.

Ajutor cu drepturile persoanelor vizate

Dacă primim de la o persoană vizată o cerere privind datele Firmei, o transmitem Firmei fără întârziere și nu răspundem direct fără instrucțiunile ei. Ajutăm Firma să răspundă, inclusiv cu exporturi de date.

Încălcări ale securității datelor

• Vă anunțăm în cel mult 24 de ore de la constatare: ce s-a întâmplat, ce date, ce firme și ce CUI-uri sunt afectate și ce măsuri am luat.
• În cel mult 72 de ore vă trimitem un raport cu elementele de la art. 33 alin. 3 GDPR: categoriile și numărul aproximativ de persoane și de înregistrări, consecințele probabile, măsurile luate și persoana de contact.
• Continuăm cu actualizări până la închidere și cu un raport final despre cauză. Vă ajutăm să notificați ANSPDCP și, dacă este cazul, persoanele vizate (art. 33 și 34 GDPR).

Ștergerea sau returnarea datelor

• La încetare, Firma primește un export (fișierele originale, rezultatele verificărilor, jurnalul aprobărilor, în CSV sau JSON), disponibil 30 de zile. Dacă Firma cere returnarea datelor, exportul este returnarea.
• În următoarele 30 de zile, Clar șterge datele din baza de date activă și din stocarea fișierelor. Copiile de siguranță expiră în ciclul lor obișnuit.
• Clar confirmă ștergerea în scris și nu păstrează nimic fără un temei legal propriu.

De confirmatDurata ciclului copiilor de siguranță este de confirmat.

Audit

Clar pune la dispoziția Firmei informațiile necesare pentru a arăta că respectă art. 28 GDPR: această pagină, pagina Securitatea datelor și jurnalul de audit al Firmei, care include conectarea și deconectarea SPV. Firma sau un auditor mandatat de ea poate face un audit, cu un preaviz rezonabil și cu obligația de a păstra confidențialitatea.

De confirmatPreavizul și costurile unui audit sunt de confirmat cu avocatul.

Anexa 1. Sub-împuterniciți

Aceeași listă apare în Politica de confidențialitate și în harta noastră de date.

• Vercel

  Pentru ce

  Găzduiește site-ul și aplicația și rulează codul Clar.

  Ce date

  Toate datele care trec prin aplicație în timpul unei cereri, inclusiv adresa IP a vizitatorului, și jurnalele tehnice ale platformei.

  Unde

  Codul rulează numai în Frankfurt (UE). Cererile intră prin rețeaua globală a Vercel, prin punctul cel mai apropiat de utilizator.

  Temeiul pentru transfer

  Vercel Inc. are sediul în SUA: clauzele contractuale standard din acordul de prelucrare al Vercel. Certificarea în cadrul UE–SUA (Data Privacy Framework) este în curs de verificare.De confirmat

• Neon

  Pentru ce

  Baza de date a aplicației (PostgreSQL).

  Ce date

  Conturile utilizatorilor, datele firmelor și ale clienților lor, rezultatele verificărilor, jurnalul de audit, tokenurile SPV criptate.

  Unde

  Frankfurt (UE), regiunea AWS eu-central-1.

  Temeiul pentru transfer

  Neon are sediul în SUA: clauzele contractuale standard din acordul de prelucrare al Neon. Certificarea în cadrul UE–SUA (Data Privacy Framework) este în curs de verificare.De confirmat

• Amazon Web Services (Amazon S3)

  Pentru ce

  Stochează fișierele încărcate.

  Ce date

  Fișierele e-Factura (XML) și exporturile din contabilitate încărcate de firme. Pot conține date personale, de exemplu nume sau CNP pe facturile unor PFA.

  Unde

  O regiune AWS din UE: Frankfurt (eu-central-1).

  Temeiul pentru transfer

  Datele rămân în UE. Amazon Web Services are societatea-mamă în SUA: clauzele contractuale standard din acordul de prelucrare AWS. Certificarea în cadrul UE–SUA (Data Privacy Framework) este în curs de verificare.De confirmat

• Amazon Web Services (Amazon SES)

  Pentru ce

  Trimite e-mailurile aplicației: linkuri de conectare, invitații, notificări de securitate.

  Ce date

  Adresa de e-mail a destinatarului și conținutul mesajului.

  Unde

  O regiune AWS din UE: Frankfurt (eu-central-1).

  Temeiul pentru transfer

  Datele rămân în UE. Amazon Web Services are societatea-mamă în SUA: clauzele contractuale standard din acordul de prelucrare AWS. Certificarea în cadrul UE–SUA (Data Privacy Framework) este în curs de verificare.De confirmat

• Sentry

  Pentru ce

  Raportează erorile tehnice, ca să le putem repara.

  Ce date

  Detalii tehnice despre erori. Înainte de trimitere, Clar elimină e-mailurile, tokenurile, linkurile de conectare și de invitație, parametrii din adrese, cookie-urile, conținutul cererilor și al fișierelor, numerele lungi (CUI, CNP), utilizatorul și adresa IP.

  Unde

  Regiunea UE a Sentry (Frankfurt).

  Temeiul pentru transfer

  Functional Software, Inc. (Sentry) are sediul în SUA: clauzele contractuale standard din acordul de prelucrare al Sentry. Certificarea în cadrul UE–SUA (Data Privacy Framework) este în curs de verificare.De confirmat

Anexa 2. Păstrarea datelor

Termenele de păstrare, pe tipuri de date. Arhivarea legală a documentelor rămâne obligația clientului Firmei; Clar nu este o arhivă legală.