Acord de Prelucrare a Datelor (APD)

1. Definiții

• „Operator" — clientul Yapp care utilizează platforma pentru a gestiona programările propriilor clienți finali.
• „Împuternicit" — Yapp, ca furnizor al platformei SaaS.
• „Date cu caracter personal" — orice informație referitoare la o persoană fizică identificată sau identificabilă.
• „Persoane vizate" — clienții finali ai Operatorului care utilizează sistemul de programare.
• „GDPR" — Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului.

2. Obiectul și scopul prelucrării

Împuternicitul prelucrează date cu caracter personal în numele Operatorului exclusiv în scopul furnizării serviciilor de gestionare a programărilor descrise în platforma Yapp. Orice prelucrare suplimentară necesită instrucțiuni scrise din partea Operatorului.

Tipuri de date prelucrate

• Nume și prenume ale clienților finali
• Numere de telefon
• Adrese de email
• Istoricul programărilor
• Date introduse opțional de Operator (ex. note, preferințe)

Categorii de persoane vizate

Clienții finali ai Operatorului care efectuează sau care sunt înregistrați în sistemul de programare.

3. Obligațiile Operatorului

Operatorul se obligă să:

• Furnizeze instrucțiuni clare și documentate privind prelucrarea datelor.
• Se asigure că există o bază legală pentru prelucrarea datelor cu caracter personal ale clienților săi finali.
• Informeze persoanele vizate cu privire la prelucrarea datelor lor, inclusiv utilizarea unui sub-processor (Yapp).
• Notifice Împuternicitul cu privire la orice exercitare a drepturilor de către persoanele vizate.

4. Obligațiile Împuternicitului

Yapp se obligă să:

• Prelucreze datele exclusiv conform instrucțiunilor documentate ale Operatorului și prezentului APD.
• Asigure că persoanele autorizate să prelucreze datele s-au angajat la confidențialitate.
• Implementeze măsuri tehnice și organizatorice adecvate (Art. 32 GDPR) — criptare TLS în tranzit, criptare la repaus, acces bazat pe roluri (RBAC), backup-uri regulate și securizate, monitorizarea accesului.
• Notifice Operatorul fără întârziere nejustificată și în termen de maximum 72 de ore de la identificarea oricărei încălcări a securității datelor cu caracter personal.
• Asiste Operatorul în răspunsul la exercitarea drepturilor persoanelor vizate (acces, rectificare, ștergere, portabilitate, opoziție).
• Asiste Operatorul în demonstrarea conformității cu obligațiile GDPR, inclusiv evaluări de impact (DPIA) acolo unde este necesar.
• Șteargă sau returneze toate datele cu caracter personal la încetarea contractului, conform instrucțiunilor Operatorului, și să șteargă copiile existente — cu excepția cazului în care legislația UE sau română impune altfel.
• Pună la dispoziția Operatorului toate informațiile necesare pentru a demonstra conformitatea și să permită auditurile efectuate de Operator sau de un auditor desemnat.
• Nu transfere date în afara SEE fără garanții adecvate (Clauze Contractuale Standard sau alt mecanism de transfer conform GDPR).

5. Sub-împuterniciți (sub-procesori)

Operatorul autorizează angajarea sub-împuterniciților de mai jos. Yapp va notifica Operatorul cu minimum 30 de zile înainte de adăugarea sau înlocuirea unui sub-împuternicit, oferind posibilitatea de a ridica obiecții motivate.

SCC = protejat prin Clauze Contractuale Standard aprobate de Comisia Europeană.

6. Securitatea datelor

Yapp implementează și menține, ca minimum, următoarele măsuri de securitate:

• Criptare TLS 1.2+ pentru toate datele în tranzit
• Criptare a datelor la repaus
• Acces bazat pe roluri (RBAC) cu principiul privilegiului minim
• Backup-uri automate zilnice, stocate criptat, cu retenție de 30 de zile
• Monitorizare și logare a accesului la date
• Testare periodică a măsurilor de securitate
• Politică de gestionare a incidentelor de securitate

7. Notificarea încălcărilor de securitate

În cazul unei încălcări a securității datelor cu caracter personal, Yapp va notifica Operatorul în termen de 72 de ore de la identificarea incidentului, furnizând:

• Descrierea naturii încălcării și categoriile de date afectate
• Numărul estimat de persoane vizate afectate
• Consecințele probabile ale încălcării
• Măsurile luate sau propuse pentru remedierea și limitarea efectelor

8. Drepturile persoanelor vizate

Yapp va asista Operatorul în onorarea cererilor privind drepturile persoanelor vizate (acces, rectificare, ștergere, portabilitate, opoziție) în termen de 5 zile lucrătoare de la primirea solicitării, pentru a permite Operatorului să respecte termenul legal de 30 de zile.

9. Audit și inspecție

Operatorul are dreptul să efectueze audit-uri privind conformitatea Yapp cu prezentul APD, cu preaviz de minimum 14 zile, o dată pe an calendaristic. Costurile auditului sunt suportate de Operator, cu excepția cazului în care se constată neconformitate din partea Yapp.

10. Durata și încetarea

Prezentul APD rămâne în vigoare pe toată durata contractului de servicii Yapp. La încetarea contractului, Yapp va pune datele la dispoziție pentru export timp de 30 de zile, după care le va șterge definitiv din toate sistemele și backup-urile, cu excepția datelor pe care este obligat legal să le păstreze.

11. Legislație aplicabilă

Prezentul APD este guvernat de GDPR (Regulamentul UE 2016/679), legislația română de implementare și orice altă legislație aplicabilă privind protecția datelor cu caracter personal.

Contact

Pentru orice aspecte legate de prelucrarea datelor sau pentru exercitarea drepturilor: contact@yapp.ro