Acordul de prelucrare a datelor

1. Ce este acest acord

Acest acord (numit uzual „DPA”, de la data processing agreement) face parte din Termenii și condițiile DecontAuto și se aplică automat fiecărui client, din momentul creării contului, conform art. 28 din GDPR. El acoperă datele personale pe care firma ta le introduce în serviciu și pentru care ea decide scopul prelucrării: firma ta e operator, iar noi persoană împuternicită. Împuternicitul este S.C. Metis IT&Software S.R.L., CUI RO45457364, Str. Râmnicu Vâlcea nr. 8, cam. 1, et. 8, ap. 809, Sector 3, București, 032037. Pentru datele contului tău și ale facturării — unde noi suntem operator — se aplică Politica de confidențialitate.

2. Ce prelucrăm și de ce

• Obiectul și natura prelucrării: stocarea, organizarea și citirea automată a informațiilor introduse de firma ta, pentru generarea foilor de parcurs.
• Durata: pe durata contractului, plus termenele de export și ștergere de la punctul 7.
• Categoriile de date: numele conducătorilor auto și asocierea lor cu mașinile, deplasările și kilometrajul; fotografiile bonurilor și datele citite din ele; denumirile și adresele punctelor de lucru (care pot privi persoane fizice — de exemplu sediul unui PFA partener sau un domiciliu adăugat ca punct); textul liber al rutinei și răspunsurile date aplicației, care pot menționa persoane fizice.
• Persoanele vizate: angajații și colaboratorii firmei tale (în primul rând șoferii) și, prin adrese, partenerii ei persoane fizice.

3. Obligațiile noastre ca împuternicit

• Prelucrăm aceste date doar pe instrucțiunile documentate ale firmei tale — instrucțiunile fiind folosirea serviciului conform Termenilor — și în niciun alt scop propriu. Excepția e doar obligația impusă de dreptul Uniunii sau cel român: atunci te informăm înainte despre acea obligație, dacă legea nu ne interzice informarea. Dacă o instrucțiune ni s-ar părea contrară GDPR, te anunțăm.
• Persoanele care lucrează cu datele sunt ținute de confidențialitate.
• Aplicăm măsurile tehnice și organizatorice din secțiunea „Cum protejăm datele” a Politicii de confidențialitate (criptare, izolare per firmă, spațiu privat pentru fotografii, acces limitat).
• Te anunțăm fără întârzieri nejustificate dacă un incident de securitate afectează aceste date, cu informațiile de care ai nevoie pentru propriile notificări.
• Te sprijinim când o persoană vizată (de exemplu un șofer) își exercită drepturile GDPR și, la nevoie, la evaluările tale de impact și la consultarea prealabilă a autorității de supraveghere. Dacă persoana ni se adresează direct, o îndrumăm către tine și te informăm.
• Îți punem la dispoziție informațiile necesare ca să verifici respectarea acestui acord și permitem audituri rezonabile, anunțate în scris cu cel puțin 15 zile lucrătoare înainte, cel mult o dată pe an — sau, suplimentar, după un incident de securitate care ți-a afectat datele ori când o autoritate de supraveghere o cere — pe cheltuiala firmei tale.

4. Sub-împuterniciții

Prin acest acord, firma ta ne autorizează general să folosim sub-împuterniciții de mai jos. Dacă lista se schimbă, anunțăm prin email cu cel puțin 15 zile înainte; dacă nu ești de acord cu un sub-împuternicit nou, poți înceta contractul conform Termenilor, înainte ca schimbarea să se aplice. Rămânem răspunzători față de firma ta pentru sub-împuterniciții noștri; cu fiecare avem contracte de prelucrare cu obligații echivalente.

• Supabase, Inc. (SUA) — baza de date și stocarea fotografiilor; datele stau pe servere din Uniunea Europeană (Frankfurt).
• Vercel, Inc. (SUA) — găzduirea aplicației; funcțiile rulează în Uniunea Europeană (Frankfurt).
• Anthropic, PBC (SUA) — citirea automată a bonurilor și a textului rutinei; prelucrare în SUA, fără folosirea datelor la antrenarea modelelor.
• Google (Google Ireland Ltd. / Google LLC) — calculul distanțelor și căutarea adreselor prin Google Maps Platform; primește doar adrese, coordonate și text de căutare.

Transferurile în afara Uniunii Europene pe care le presupun acești furnizori sunt autorizate de firma ta prin acest acord. Garanțiile diferă după furnizor: Google și Vercel sunt certificate în EU–US Data Privacy Framework; cu Anthropic și Supabase, transferul se întemeiază pe clauzele contractuale standard ale Comisiei Europene din contractele noastre cu ele — detaliile, în Politica de confidențialitate.

5. Obligațiile firmei tale ca operator

• Introduci doar date pe care ai dreptul să le prelucrezi și care sunt necesare foilor de parcurs.
• Îți informezi angajații și colaboratorii că numele și deplasările lor apar în foile de parcurs ale firmei — modelul de mai jos e un punct de plecare bun, pe care îl completezi cu datele firmei tale.
• Răspunzi de temeiurile proprii (de regulă obligația fiscală de a-ți justifica cheltuielile) și de felul în care folosești documentele generate — inclusiv dacă le-ai folosi la monitorizarea angajaților, unde legea îți cere garanții suplimentare.

6. Model de notă de informare pentru șoferi

Textul de mai jos poate fi dat angajaților care conduc mașinile firmei — pe email, la dosarul de personal sau afișat; îl poți adapta:

7. La încetarea contractului

Cât timp contul există — chiar și fără abonament — datele rămân accesibile și exportabile conform articolelor 6 și 9 din Termeni. La încetarea contractului, alegerea îți aparține: îți returnăm datele (export complet) sau le ștergem. Dacă încetarea vine de la noi și nu ne spui nimic, după fereastra de export de 30 de zile ștergem automat toate datele acoperite de acest acord. Orice ștergere se face în cel mult 30 de zile (plus rotirea copiilor de siguranță, încă cel mult 30 de zile), fără să păstrăm copii — cu excepția a ce ne obligă legea să păstrăm. Ștergerea o poți porni și singur, pe loc, din Setări → „Ștergerea contului”; cererile scrise merg la george.cristian@biroul-de-it.ro.