Acord de prelucrare a datelor (DPA)

Prezentul acord se încheie între Clientul — firma care a creat un cont ConstructManager (denumită în continuare „Operatorul") — și BEST ON WEB SRL, CUI RO36971470, J2017000135294, Str. Cristianul nr. 24, Ploiești, județul Prahova (denumită în continuare „Împuternicitul").

Operatorul stabilește scopurile și mijloacele prelucrării datelor pe care le introduce în platformă. Împuternicitul prelucrează aceste date exclusiv în numele Operatorului și conform instrucțiunilor lui documentate, pentru furnizarea serviciului.

• Obiect: găzduirea și prelucrarea datelor introduse de Operator în ConstructManager (CRM, oferte, devize, proiecte, echipă, pontaj, SSM, documente).
• Durată: pe durata contului; la încetare, datele se păstrează 30 de zile pentru export, apoi se șterg definitiv (vezi art. 8).
• Natură și scop: stocare, organizare, afișare, generare de documente (PDF), transmitere la cererea Operatorului (email, linkuri publice), copii de siguranță.

• Clienții și partenerii Operatorului: date de identificare și contact (denumire, CUI, adresă, email, telefon), date contractuale și de facturare.
• Angajații și colaboratorii Operatorului: date de identificare, de contact, de pontaj, documente de instruire SSM și, acolo unde Operatorul le introduce, CNP-ul și alte date necesare documentelor legale de muncă.
• Utilizatorii contului: nume, email, telefon, jurnal de activitate.
• Operatorul se obligă să nu introducă în platformă categorii speciale de date (art. 9 GDPR) decât dacă are un temei legal propriu.

• prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului (Termenii, funcțiile platformei, cererile de suport);
• asigură că personalul autorizat este ținut de obligația de confidențialitate;
• aplică măsurile tehnice și organizatorice din art. 6 (securitate);
• folosește sub-procesori numai conform art. 5;
• asistă Operatorul în răspunsul la cererile persoanelor vizate (acces, rectificare, ștergere, portabilitate) prin funcțiile platformei sau la cerere;
• asistă Operatorul la evaluări de impact și consultări cu autoritatea, în limita informațiilor de care dispune;
• la încetare, șterge sau returnează datele conform art. 8;
• pune la dispoziție informațiile necesare demonstrării conformității și permite audituri, conform art. 7.

Operatorul autorizează în mod general folosirea sub-procesorilor din lista publicată la /subprocesori. Împuternicitul notifică prin email orice adăugare sau înlocuire cu cel puțin 30 de zile înainte; Operatorul poate obiecta motivat, iar dacă nu se găsește o soluție, poate înceta contractul fără penalități. Împuternicitul impune fiecărui sub-procesor obligații de protecție a datelor echivalente cu cele din prezentul acord și rămâne răspunzător pentru îndeplinirea lor.

• infrastructură în Uniunea Europeană (Hetzner — Finlanda/Germania), acces administrativ restricționat, prin chei SSH;
• criptare în tranzit (TLS) pentru toate conexiunile; parole stocate doar ca hash (scrypt cu salt);
• izolarea datelor între firme la nivelul bazei de date (politici de securitate pe rânduri, RLS);
• control de acces pe roluri în interiorul contului; autentificare în doi pași disponibilă;
• copii de siguranță zilnice (păstrate 14 zile) și orare, replicate pe infrastructură proprie în România (păstrate 7 zile), cu test periodic de restaurare;
• jurnalizare și monitorizare a serviciilor, cu alertare la incidente.

La cererea scrisă a Operatorului, Împuternicitul furnizează informațiile necesare demonstrării conformității cu art. 28 GDPR (descrierea măsurilor de securitate, lista sub-procesorilor, procedurile de backup și de răspuns la incidente). Auditurile la fața locului se convin în prealabil, cel mult o dată pe an, în orele de program, fără a afecta securitatea altor clienți.

Operatorul poate exporta oricând datele din Setări → Backup & export. La încetarea contului (ștergere cerută din Setări → Securitate sau încetarea abonamentului urmată de cererea de ștergere), datele rămân disponibile pentru export 30 de zile, apoi sunt șterse definitiv din sistemele active; copiile de siguranță le elimină prin rotația lor normală (cel mult 14 zile). Obligațiile legale de arhivare (de exemplu facturile fiscale emise) rămân aplicabile.

Împuternicitul notifică Operatorul fără întârzieri nejustificate, și în orice caz în cel mult 72 de ore de la luarea la cunoștință, despre orice încălcare a securității care afectează datele acestuia, cu informațiile disponibile despre natura incidentului, datele afectate, măsurile luate și contactul pentru detalii.

Datele sunt stocate și prelucrate în UE. Singurele transferuri în afara UE pot apărea prin furnizorii listați la /subprocesori (Stripe, Google, Apple), acoperite de clauze contractuale standard ale Comisiei Europene și, unde este cazul, de Data Privacy Framework.

Acordul face parte integrantă din Termeni și condiții și se acceptă odată cu aceștia. Este guvernat de legea română; litigiile se soluționează de instanțele competente din România. Versiunea curentă și data actualizării sunt afișate în antetul paginii; modificările se notifică prin email cu 30 de zile înainte. Contact: contact@constructmanager.ro.