Acordul de prelucrare a datelor (programul beta)

Acest acord se încheie între Firma care folosește aplicația Orandix Business Management („Operatorul”, în sensul GDPR) și Anghel Ionuț-Gabriel, persoană fizică, cu adresa de corespondență în Popești-Leordeni, str. Oituz nr. 54J, județul Ilfov, contact@orandix.ro („Persoana împuternicită”, „Furnizorul”), în temeiul art. 28 din Regulamentul (UE) 2016/679 („GDPR”). Face parte din Condițiile programului beta pentru firme („Condițiile”) și se acceptă odată cu ele.

1. Obiectul, durata, natura și scopul prelucrării

1.1. Persoana împuternicită prelucrează date personale în numele Operatorului, numai pentru a-i furniza Platforma: stocarea, afișarea, organizarea, generarea documentelor, trimiterea e-mailurilor aplicației, copiile de siguranță, exportul – și, dacă Operatorul pornește asistentul AI, trimiterea către furnizorul modelului a datelor de care are nevoie un răspuns.

1.2. Durata: cât durează Condițiile, plus perioada de export și ștergerea (art. 8).

2. Categoriile de date și de persoane vizate

Persoane vizate: angajații și colaboratorii Operatorului (inclusiv membrii cu cont în Platformă), clienții persoane fizice, persoanele de contact ale clienților și furnizorilor, alte persoane menționate de Operator în documente.

Date: identificare și contact (nume, funcție, departament, e-mail, telefon); pentru angajați, la alegerea Operatorului: CNP, actul de identitate, data nașterii, adresa, persoana de contact în caz de urgență, datele contractului de muncă (fără salarii), concediile și documentele dosarului (fișa medicală, instruiri, acte încărcate); pentru clienți persoane fizice: CNP, actul de identitate, adresa, IBAN-ul; delegații și deconturi; istoricul acțiunilor în Platformă (cine, ce, când). Fără categorii speciale de date (art. 9 GDPR) în afara celor pe care Operatorul alege să le pună în documentele încărcate (de exemplu, fișa medicală – doar ca document, cu termenul lui de expirare).

3. Obligațiile Persoanei împuternicite

Persoana împuternicită:

a) prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului – acest acord, Condițiile și acțiunile Operatorului în Platformă (setările, funcțiile pornite, exportul, ștergerea) –, cu excepția cazului în care legea o obligă altfel, caz în care îl informează pe Operator înainte, dacă legea nu interzice;

b) se asigură că persoanele autorizate să prelucreze datele (în programul beta: Furnizorul însuși și eventualii colaboratori ai lui) s-au angajat să respecte confidențialitatea;

c) ia măsurile tehnice și organizatorice din anexa 2, potrivite riscului (art. 32 GDPR);

d) respectă condițiile de la art. 4 pentru recurgerea la alți împuterniciți (sub-procesatori);

e) ajută Operatorul, prin funcțiile Platformei (exportul, anonimizarea unui client sau a unui angajat plecat, ștergerea, istoricul) și, la nevoie, prin asistență directă, să răspundă cererilor persoanelor vizate (acces, rectificare, ștergere, portabilitate, opoziție); o cerere primită direct de Persoana împuternicită este transmisă Operatorului fără întârziere, fără a-i răspunde pe fond;

f) ajută Operatorul să își îndeplinească obligațiile de securitate, de notificare a încălcărilor și de evaluare a impactului (art. 32–36 GDPR), ținând cont de informațiile de care dispune;

g) notifică Operatorul fără întârziere nejustificată, și în cel mult 48 de ore de la constatarea unei încălcări a securității datelor personale care îl privește, cu informațiile cunoscute (natura, datele și persoanele afectate, consecințele probabile, măsurile luate), completate pe măsură ce devin disponibile;

h) la încetarea serviciilor, șterge datele (art. 8), în afară de cele pe care legea îl obligă să le păstreze;

i) pune la dispoziția Operatorului informațiile necesare pentru a demonstra respectarea art. 28 GDPR (această listă, anexele, descrierea măsurilor, jurnalul acțiunilor echipei în Platformă – vizibil Operatorului în istoricul firmei) și permite audituri o dată pe an, cu o notificare de 30 de zile, în zilele lucrătoare, fără a afecta datele altor firme și cu costurile suportate de Operator când auditul depășește informațiile deja disponibile;

j) informează Operatorul dacă, în opinia sa, o instrucțiune încalcă GDPR sau altă prevedere legală.

4. Sub-procesatorii

4.1. Operatorul autorizează în general recurgerea la sub-procesatorii din anexa 1. Persoana împuternicită încheie cu fiecare un contract care îi impune obligații echivalente cu ale ei și rămâne răspunzătoare față de Operator pentru ei.

4.2. Sub-procesatorii opționali (asistentul AI, autentificarea cu Google sau Microsoft) prelucrează date numai dacă Operatorul pornește funcția respectivă sau dacă un membru alege acea autentificare.

4.3. Un sub-procesator nou sau înlocuit se anunță Operatorului cu cel puțin 15 zile înainte (în aplicație sau pe e-mail, și prin actualizarea anexei 1 la o adresă publică). Operatorul se poate opune, motivat, în acest termen; dacă părțile nu găsesc o soluție, Operatorul poate înceta Condițiile fără penalități, cu exportul datelor.

5. Transferurile în afara Uniunii Europene

Datele sunt stocate în România (serverul) și în Uniunea Europeană (copiile de siguranță). Un transfer în afara UE/SEE are loc numai către sub-procesatorii opționali din anexa 1 (Anthropic, Google, Microsoft), în condițiile de acolo: pe baza unei decizii de adecvare (Cadrul UE–SUA de protecție a datelor, pentru furnizorii certificați) sau a clauzelor contractuale standard ale Comisiei Europene, cu măsuri suplimentare (criptare în tranzit, minimizarea datelor – datele de identificare, IBAN-urile persoanelor și salariile nu se trimit asistentului AI).

6. Obligațiile Operatorului

Operatorul: are temei legal pentru prelucrare și informează persoanele vizate; introduce date exacte și necesare; își stabilește singur membrii și drepturile lor în Platformă; folosește funcțiile de export, anonimizare și ștergere pentru a răspunde persoanelor vizate; nu pune în Platformă date pentru care Platforma nu este potrivită (în programul beta, îi sunt recomandate date de probă pentru datele sensibile); comunică Persoanei împuternicite o adresă de contact pentru notificări (adresele Proprietarilor).

7. Confidențialitatea

Persoana împuternicită nu accesează datele Operatorului decât pentru a furniza Platforma, pentru suport la cererea Operatorului sau când legea o cere; orice acțiune a echipei Orandix într-o firmă este înregistrată în istoricul firmei, vizibil Operatorului, cu numele și motivul.

8. Ștergerea și returnarea datelor

8.1. Operatorul își poate exporta oricând toate datele (Setări › Firmă › Export).

8.2. La încetarea Condițiilor sau la închiderea firmei de către Operator, datele rămân disponibile 30 de zile numai pentru export, apoi se șterg complet – baza de date, fișierele, istoricul –, iar din copiile de siguranță dispar la expirarea lor (cel mult 30 de zile). Rămâne dovada acceptării Condițiilor (fără datele Operatorului).

8.3. O ștergere sau o anonimizare cerută de Operator în Platformă se aplică imediat în baza de date și în documentele generate; versiunile semnate ale contractelor și facturile, pe care legea le cere păstrate, rămân după regulile din ghidul aplicației.

9. Durata și încetarea

Acordul durează cât Condițiile. Obligațiile de confidențialitate și de ștergere rămân după încetare.

10. Răspunderea

Răspunderea părților pentru acest acord urmează Condițiile programului beta pentru firme, art. 11 (limitarea răspunderii), în măsura permisă de GDPR (art. 82) și de lege. Fiecare parte răspunde pentru propriile încălcări ale GDPR; Persoana împuternicită răspunde pentru prejudiciul cauzat de prelucrare numai dacă nu a respectat obligațiile care îi revin în mod specific sau a acționat în afara ori contrar instrucțiunilor legale ale Operatorului.

11. Diverse

Acordul este guvernat de legea română; instanța competentă este cea din Condiții (art. 15). Se modifică prin publicarea unei versiuni noi, acceptate în numele Operatorului în aplicație, cu perioada de grație din Condiții. Versiunea în limba română produce efecte.

---

Anexa 1 – Sub-procesatorii

Sub-procesator	Serviciul	Date	Locul prelucrării	Când
Romarg SRL, România	găzduirea serverului (aplicația, baza de date, fișierele)	toate datele Platformei	România	mereu
Scaleway SAS, Franța	stocarea copiilor de siguranță (criptate); trimiterea e-mailurilor aplicației	copiile de siguranță; adresele și conținutul e-mailurilor trimise	Uniunea Europeană	mereu
Anthropic, PBC, SUA	modelul asistentului AI (Claude), prin API	întrebările membrilor și datele de care are nevoie răspunsul, fără datele de identificare ale persoanelor, IBAN-urile persoanelor, adresele personale, datele de naștere și salariile; fără folosirea lor la antrenare	SUA (clauze contractuale standard; „zero data retention” unde este acordat)	doar dacă Operatorul pornește asistentul
Google LLC / Microsoft Corporation	autentificarea membrilor care aleg contul Google sau Microsoft	identificatorul și adresa de e-mail a contului; nicio dată a firmei	SUA / UE (Cadrul UE–SUA sau clauze standard)	doar pentru membrii care aleg această autentificare
Functional Software, Inc. (Sentry), UE	raportarea erorilor aplicației	mesajele de eroare tehnice, fără date personale, conținutul cererilor sau cookie-uri	Uniunea Europeană (Frankfurt)	dacă este pornit

Furnizorii pe care Operatorul îi conectează el însuși din aplicație (programele de facturare Oblio, FGO, SmartBill; ANAF) nu sunt sub-procesatori ai Persoanei împuternicite: Operatorul le trimite datele direct, pe contul lui, după contractul lui cu ei.

Anexa 2 – Măsurile tehnice și organizatorice

• Separarea firmelor: datele fiecărei firme sunt separate de ale celorlalte chiar în baza de date (politici de securitate la nivel de rând), nu doar în aplicație; orice tabel cu date ale unei firme este protejat astfel, iar un test automat verifică lipsa protecției.
• Criptarea: conexiuni HTTPS (TLS) pentru tot traficul; datele de identificare ale persoanelor (CNP, acte, IBAN-urile persoanelor, datele personale ale angajaților) și secretele (tokenuri, chei ale integrărilor) criptate în baza de date, cu chei păstrate în afara ei; copiile de siguranță criptate; discul serverului accesibil doar cu chei SSH.
• Controlul accesului: roluri și drepturi stabilite de Operator; drepturi „doar pentru oameni” pe care un token API nu le poate avea; autentificare în doi pași și chei de acces (passkeys) disponibile tuturor; sesiuni cu expirare; confirmarea identității pentru operațiile sensibile.
• Jurnalizarea: istoricul imuabil al fiecărei firme (cine, ce, când – fără ștergere sau modificare), inclusiv acțiunile echipei Orandix, cu motivul; jurnalul de securitate al conturilor (12 luni); jurnalele serverului fără date personale (30 de zile).
• Disponibilitatea și recuperarea: copii de siguranță continue ale bazei de date (arhivele tranzacțiilor) și zilnice ale fișierelor, în Uniunea Europeană, păstrate 30 de zile; testul de restaurare rulat lunar, automat; monitorizarea serverului, a joburilor și a copiilor.
• Dezvoltarea sigură: verificări automate la fiecare schimbare (teste, analiza codului, testul protecției tabelelor), revizia codului, dependențe actualizate; mediul de dezvoltare și cel de test nu folosesc date reale ale firmelor.
• Sfârșitul datelor: export complet la cererea Operatorului; anonimizarea unui client sau a unui angajat plecat; ștergerea completă a unei firme închise după perioada de export; fișierele nefolosite șterse.
• Oamenii: echipa Orandix nu citește datele firmelor decât la cererea lor sau când legea o cere; acces administrativ doar cu autentificare în doi pași; colaboratorii sub obligație de confidențialitate.