Contract de prelucrare a datelor (CPD)

Clauze contractuale standard

Text oficial conform EUR-Lex (CELEX 32021D0915), anexa la decizie. Opțiunile selectate sunt marcate cu [Opțiune: …], iar cele neselectate sunt tăiate; în rest, textul rămâne neschimbat.

Secțiunea II: Obligațiile părților

Clauza 6: Descrierea prelucrării

Detaliile privind operațiunile ### de prelucrare, în special categoriile de date cu caracter personal și scopurile în care datele cu caracter personal sunt prelucrate în numele operatorului, sunt prezentate în anexa II.

Clauza 7: Obligațiile părților

7.1. Instrucțiuni

a) Procesatorul prelucrează datele cu caracter personal numai în baza instrucțiunilor documentate ale operatorului, cu excepția cazului în care este obligat să efectueze prelucrarea în temeiul dreptului Uniunii sau al dreptului unui stat membru căruia îi este supus. Într-un astfel de caz, operatorul secundar informează operatorul cu privire la aceste cerințe legale înainte de prelucrare, cu excepția cazului în care legislația respectivă interzice acest lucru din motive de interes public important. Operatorul poate da instrucțiuni suplimentare pe toată durata prelucrării datelor cu caracter personal. Aceste instrucțiuni trebuie întotdeauna documentate.

b) Procesatorul informează fără întârziere operatorul în cazul în care consideră că instrucțiunile date de operator contravin Regulamentului (UE) 2016/679, Regulamentul (UE) 2018/1725 sau cu dispozițiile aplicabile în materie de protecție a datelor ale Uniunii sau ale statelor membre.

7.2. Limitarea scopului

Operatorul de date prelucrează datele cu caracter personal numai în scopul (scopurile) specific(e) menționat(e) în anexa II, cu excepția cazului în care primește instrucțiuni suplimentare din partea operatorului.

7.3. Durata prelucrării datelor cu caracter personal

Datele sunt prelucrate de către operatorul de date doar pe durata specificată în anexa II.

7.4. Securitatea prelucrării

a) Operatorul de date ia cel puțin măsurile tehnice și organizatorice enumerate în anexa III pentru a asigura securitatea datelor cu caracter personal. Aceasta include protecția datelor împotriva unei încălcări a securității care, fie că este accidentală sau ilicită, duce la distrugerea, pierderea, modificarea sau divulgarea neautorizată a datelor sau la accesul neautorizat la acestea (denumită în continuare „încălcarea protecției datelor cu caracter personal”). La evaluarea nivelului adecvat de protecție, părțile țin seama în mod corespunzător de stadiul actual al tehnologiei, de costurile de implementare, de natura, amploarea, circumstanțele și scopurile prelucrării, precum și de riscurile asociate pentru persoanele vizate.

b) Procesatorul de date acordă personalului său acces la datele cu caracter personal care fac obiectul prelucrării numai în măsura în care acest lucru este absolut necesar pentru executarea, administrarea și monitorizarea contractului. Prelucrătorul se asigură că persoanele autorizate să prelucreze datele cu caracter personal primite s-au angajat să respecte confidențialitatea sau sunt supuse unei obligații legale adecvate de confidențialitate.

7.5. Date sensibile

În cazul în care prelucrarea vizează date cu caracter personal care indică originea rasială sau etnică, opiniile politice, convingerile religioase sau ideologice sau apartenența la un sindicat, sau care conțin date genetice sau date biometrice în scopul identificării unice a unei persoane fizice, date privind sănătatea, viața sexuală sau orientarea sexuală a unei persoane sau date privind condamnările penale și infracțiunile (denumite în continuare „date sensibile”), operatorul de date aplică restricții speciale și/sau garanții suplimentare.

7.6. Documentarea și respectarea clauzelor

a) Părțile trebuie să poată dovedi respectarea prezentelor clauze.

b) Procesatorul de date răspunde la solicitările operatorului privind prelucrarea datelor în conformitate cu prezentele clauze în mod prompt și adecvat.

c) Procesatorul pune la dispoziția operatorului toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute în prezentele clauze și care decurg direct din Regulamentul (UE) 2016/679 și/sau din Regulamentul (UE) 2018/1725. La cererea operatorului, procesatorul permite, de asemenea, verificarea activităților de prelucrare care intră sub incidența prezentelor clauze la intervale rezonabile sau în cazul unor indicii de nerespectare și contribuie la o astfel de verificare. Atunci când ia o decizie cu privire la o verificare sau o inspecție, operatorul poate ține seama de certificările relevante ale procesatorului.

d) Operatorul poate efectua el însuși verificarea sau poate desemna un auditor independent. Verificările pot include, de asemenea, inspecții la sediul sau în instalațiile fizice ale procesatorului de date și se efectuează, după caz, cu un preaviz adecvat.

e) Părțile pun la dispoziția autorității (autorităților) de supraveghere competente, la cerere, informațiile menționate în prezenta clauză, inclusiv rezultatele verificărilor.

7.7. Recurgerea la subprocesatori

a) OPȚIUNEA 2: AUTORIZARE GENERALĂ ÎN SCRIS: Procesatorul de date dispune de autorizarea generală a operatorului de a angaja subprocesatori de date, care sunt enumerați într-o listă convenită. Prelucrătorul informează în mod expres, în scris și cu cel puțin 30 de zile în avans, operatorul cu privire la toate modificările preconizate ale acestei liste, prin adăugarea sau înlocuirea unor subcontractanți, acordând astfel operatorului suficient timp să poată formula obiecții cu privire la aceste modificări înainte de angajarea subprocesatorului sau a subprocesatorilor în cauză. Procesatorul pune la dispoziția operatorului informațiile necesare pentru ca acesta să își poată exercita dreptul de opoziție. [Opțiune: Opțiunea 2, termen de 30 de zile; lista convenită se regăsește în anexa IV]

b) În cazul în care operatorul de date încredințează unui subprocesator efectuarea anumitor activități de prelucrare (în numele operatorului de date), această încredințare trebuie să se realizeze prin intermediul unui contract care să impună subcontractantului, în esență, aceleași obligații privind protecția datelor ca și cele care se aplică operatorului de date în conformitate cu prezentele clauze. Prelucrătorul se asigură că subprelucrătorul își îndeplinește obligațiile la care este supus prelucrătorul în conformitate cu prezentele clauze și cu Regulamentul (UE) 2016/679 și/sau Regulamentul (UE) 2018/1725.

c) Procesatorul pune la dispoziția operatorului, la cererea acestuia, o copie a unui astfel de acord de subcontractare și a eventualelor modificări ulterioare. În măsura în care este necesar pentru protejarea secretelor comerciale sau a altor informații confidențiale, inclusiv a datelor cu caracter personal, operatorul poate masca textul acordului înainte de a transmite o copie.

d) Procesatorul de date răspunde pe deplin față de operatorul de date pentru îndeplinirea de către subprocesator a obligațiilor sale în conformitate cu contractul încheiat cu procesatorul de date. Procesatorul de date informează operatorul de date în cazul în care subprocesatorul nu își îndeplinește obligațiile contractuale.

e) Procesatorul de date convine cu subprocesatorul de date asupra unei clauze privind terții beneficiari, conform căreia operatorul - în cazul în care procesatorul de date încetează să mai existe din punct de vedere de fapt sau de drept sau este insolvabil - are dreptul să rezilieze contractul de subcontractare și să dispună subcontractantului să ștergă sau să returneze datele cu caracter personal.

7.8. Transferuri internaționale de date

a) Orice transfer de date efectuat de către operatorul de date către o țară terță sau o organizație internațională se realizează exclusiv pe baza instrucțiunilor documentate ale operatorului de date sau în vederea respectării unei dispoziții specifice prevăzute de dreptul Uniunii sau de dreptul unui stat membru căruia îi este supus operatorul de date și trebuie să fie în conformitate cu capitolul V din Regulamentul (UE) 2016/679 sau cu Regulamentul (UE) 2018/1725.

b) Operatorul este de acord ca, în cazurile în care operatorul de date recurge la un suboperator de date în conformitate cu clauza 7.7 pentru efectuarea anumitor activități de prelucrare (în numele operatorului) și aceste activități de prelucrare implică un transfer de date cu caracter personal în sensul capitolului V din Regulamentul (UE) 2016/679, operatorul de date și subcontractantul să poată asigura respectarea capitolului V din Regulamentul (UE) 2016/679 prin utilizarea clauzelor contractuale standard adoptate de Comisie în conformitate cu articolul 46 alineatul (2) din Regulamentul (UE) 2016/679, cu condiția ca cerințele pentru aplicarea acestor clauze contractuale standard să fie îndeplinite.

Clauza 8: Asistența acordată operatorului

a) Procesatorul informează fără întârziere operatorul cu privire la orice cerere primită de la persoana vizată. Acesta nu răspunde personal la cerere, cu excepția cazului în care a fost împuternicit în acest sens de către operator.

b) Ținând seama de natura prelucrării, operatorul de date asistă operatorul principal în îndeplinirea obligației acestuia de a răspunde la cererile persoanelor vizate privind exercitarea drepturilor lor. În îndeplinirea obligațiilor sale prevăzute la literele (a) și (b), operatorul de date respectă instrucțiunile operatorului principal.

c) Pe lângă obligația operatorului de a asista operatorul principal în conformitate cu clauza 8 litera b, operatorul asistă, de asemenea, operatorul principal, ținând seama de natura prelucrării datelor și de informațiile de care dispune, în îndeplinirea următoarelor obligații:

• 1) Obligația de a efectua o evaluare a impactului operațiunilor de prelucrare prevăzute asupra protecției datelor cu caracter personal (denumită în continuare „evaluarea impactului asupra protecției datelor”), în cazul în care o formă de prelucrare este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice;
• 2) Obligația de a consulta autoritatea (autoritățile) de supraveghere competentă (competente) înainte de prelucrare, în cazul în care dintr-o evaluare a impactului asupra protecției datelor reiese că prelucrarea ar implica un risc ridicat, cu excepția cazului în care operatorul ia măsuri pentru a reduce acest risc;
• 3) Obligația de a asigura că datele cu caracter personal sunt corecte din punct de vedere factual și actualizate, prin faptul că operatorul secundar informează fără întârziere operatorul principal în cazul în care constată că datele cu caracter personal pe care le prelucrează sunt incorecte sau învechite;
• 4) Obligațiile prevăzute la articolul 32 din Regulamentul (UE) 2016/679. [Alegere: Opțiunea 1]

d) Părțile stabilesc în anexa III măsurile tehnice și organizatorice adecvate pentru sprijinirea operatorului de către persoana împuternicită în aplicarea prezentei clauze, precum și domeniul de aplicare și amploarea sprijinului necesar.

Clauza 9: Notificarea încălcărilor securității datelor cu caracter personal

În cazul unei încălcări ### a securității datelor cu caracter personal, operatorul de date colaborează cu operatorul principal și îl sprijină în mod corespunzător, astfel încât operatorul principal să își poată îndeplini obligațiile prevăzute la articolele 33 și 34 din Regulamentul (UE) 2016/679 sau, după caz, la articolele 34 și 35 din Regulamentul (UE) 2018/1725, ținând seama de natura prelucrării și de informațiile de care dispune.

9.1. Încălcarea protecției datelor prelucrate de operator

În cazul unei încălcări a protecției datelor cu caracter personal în legătură cu datele prelucrate de operator, persoana împuternicită să prelucreze datele asistă operatorul după cum urmează:

a) în ceea ce privește notificarea fără întârziere a încălcării protecției datelor cu caracter personal către autoritatea sau autoritățile de supraveghere competente, după ce operatorul a luat cunoștință de încălcare, dacă este cazul (cu excepția cazului în care se preconizează că încălcarea protecției datelor cu caracter personal nu va genera un risc pentru drepturile și libertățile personale ale persoanelor fizice);

b) în ceea ce privește obținerea următoarelor informații, care, în conformitate cu articolul 33 alineatul (3) din Regulamentul (UE) 2016/679, trebuie incluse în notificarea operatorului, aceste informații trebuind să cuprindă cel puțin următoarele: [Alegere: Opțiunea 1]

• 1) tipul datelor cu caracter personal, în măsura în care este posibil, cu precizarea categoriilor și a numărului aproximativ de persoane vizate, precum și a categoriilor și a numărului aproximativ de seturi de date cu caracter personal afectate;
• 2) consecințele probabile ale încălcării protecției datelor cu caracter personal;
• 3) măsurile luate sau propuse de operator pentru remedierea încălcării protecției datelor cu caracter personal și, după caz, măsurile de atenuare a eventualelor efecte negative ale acesteia.

În cazul în care și în măsura în care nu pot fi furnizate toate aceste informații în același timp, notificarea inițială conține informațiile disponibile la momentul respectiv, iar informațiile suplimentare sunt furnizate ulterior, fără întârzieri nejustificate, de îndată ce devin disponibile;

c) în ceea ce privește respectarea obligației prevăzute la articolul 34 din Regulamentul (UE) 2016/679, de a notifica fără întârziere persoana vizată cu privire la încălcarea protecției datelor cu caracter personal, în cazul în care se preconizează că această încălcare va avea ca rezultat un risc ridicat pentru drepturile și libertățile persoanelor fizice. [Opțiune: Opțiunea 1]

9.2. Încălcarea protecției datelor prelucrate de către operatorul de prelucrare

În cazul unei încălcări a protecției datelorcu caracter personal în legătură cu datele prelucratede cătreoperatorul de prelucrare, acesta o raportează operatorului fără întârziere, imediat ce a luat cunoștință de încălcare. Această notificare trebuie să conțină cel puțin următoarele informații:

a) o descriere a naturii încălcării (pe cât posibil, cu precizarea categoriilor și a numărului aproximativ de persoane afectate, precum și a numărului aproximativ de înregistrări afectate);

b) datele de contact ale unui punct de contact de la care se pot obține informații suplimentare cu privire la încălcarea protecției datelor cu caracter personal;

c) consecințele preconizate și măsurile luate sau propuse pentru remedierea încălcării protecției datelor cu caracter personal, inclusiv măsurile de atenuare a eventualelor efecte negative ale acesteia.

În cazul în care și în măsura în care nu toate aceste informații pot fi furnizate în același timp, notificarea inițială conține informațiile disponibile la momentul respectiv, iar informațiile suplimentare sunt furnizate ulterior, fără întârzieri nejustificate, de îndată ce devin disponibile.

Părțile stabilesc în anexa III toate celelalte informații pe care operatorul de date trebuie să le pună la dispoziție pentru a sprijini operatorul principal în îndeplinirea obligațiilor sale în conformitate cu articolele 33 și 34 din Regulamentul (UE) 2016/679. [Alegere: Opțiunea 1]

Anexa I: Lista părților

Prelucrător de date

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, Elveția, UID CHE-220.381.580, reprezentată de Günter Reichelt, președintele consiliului de administrație. Contact: privacy@mail.transpareo.com.

Responsabilul cu protecția datelor și reprezentantul în UE în conformitate cu art. 27 din RGPD: DGD Deutsche Gesellschaft für Datenschutz, Prof. Dr. h.c. Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 München, Germania, info@mail.dg-datenschutz.de.

Transpareo are sediul în Elveția, țară pentru care există o decizie de adecvare a Comisiei (2000/518/CE). Datele sunt stocate în Germania.

Operatori

Transpareo încheie aceste clauze cu fiecare operator în parte. Operatorul este fie:

1. un client care utilizează platforma Transpareo în conformitate cu Termenii și condițiile generale (TCG). Numele, adresa și persoana de contact sunt datele pe care acesta le furnizează la încheierea contractului prin intermediul platformei și pe care le actualizează în contul său; persoana de contact este titularul contului. Clauzele se consideră acceptate odată cu încheierea prezentului contract (punctul 14 din CGV).
2. un furnizor care transmite o solicitare către propriii furnizori prin intermediul paginii destinate furnizorilor. Operatorul este întreprinderea către care este direcționat linkul prin care se transmite solicitarea, așa cum este specificat în solicitarea respectivă. Persoana de contact este cea care transmite solicitarea, cu numele și adresa de e-mail pe care le furnizează în acest context. Furnizorul acceptă clauzele prin faptul că le acceptă în numele întreprinderii sale în momentul transmiterii; Transpareo stochează versiunea acceptată și data, împreună cu linkul prin care a fost transmisă solicitarea. În plus, pentru acesta se aplică Condițiile de utilizare pentru furnizori.

Transpareo desemnează responsabilul cu protecția datelor al unui operator, de îndată ce acesta îl numește.

Condițiile generale de contract sau condițiile de utilizare pentru furnizori constituie, în fiecare caz, contractul principal. Clauzele sunt încheiate pe cale electronică (art. 28 alin. 9 din RGPD); data aderării este momentul încheierii.

Anexa III: Măsuri tehnice și organizatorice

Criptare și pseudonimizare

• Toate conexiunile sunt criptate cu TLS.
• Datele de acces și alte informații confidențiale (PIN, chei pentru coduri unice, date de acces SMTP, chei API) sunt stocate în baza de date criptate cu AES-256-GCM, cu o cheie distinctă pentru fiecare spațiu de lucru.
• Copiile de siguranță sunt criptate.
• Statisticile privind vizitatorii stochează adresele IP doar sub formă de valoare hash cu cheie secretă. Accesările paginii furnizorului nu sunt incluse în acestea.

Separare

• Fiecare client dispune de o bază de date proprie.

Securitate fizică

• Serverele și spațiile de stocare se află în centrele de date ale Hetzner Online GmbH din Falkenstein, Germania, care sunt certificate conform ISO 27001.

Identificare și autorizare

• Parolele sunt stocate doar sub formă de hash bcrypt.
• Toți utilizatorii au la dispoziție o autentificare în doi factori cu cod unic sau cheie de securitate; clientul poate solicita această opțiune pentru spațiul său de lucru.
• O sesiune se încheie după o perioadă de inactivitate stabilită de client (setarea implicită este de opt ore).
• În spațiul de lucru se aplică rolurile și autorizațiile atribuite de client.
• Angajații Transpareo accesează un spațiu de lucru numai prin autentificare în numele clientului, fapt consemnat în jurnalul platformei și în jurnalul de securitate al spațiului de lucru.
• Pagina furnizorului: linkul conține o cheie aleatorie formată din 16 caractere (80 de biți); fără codul PIN, pagina nu afișează nicio informație din setul de date. După cinci încercări eșuate de introducere a codului PIN, linkul este blocat timp de 15 minute. Pagina acceptă cel mult 120 de accesări pe minut per adresă IP. La deblocare, sesiunea primește un nou identificator. Pagina este blocată pentru motoarele de căutare și nu transmite adresa sa către pagini terțe.

Jurnalizare

• Modificările aduse seturilor de date și operațiunile de pe pagina furnizorului sunt înregistrate în jurnal, împreună cu data și ora, persoana care a efectuat acțiunea și adresa IP, și sunt păstrate timp de cinci ani; autentificările și alte evenimente de securitate sunt păstrate timp de un an.
• Jurnalele serverului sunt șterse după 14 zile.

Integritate

• Imaginile furnizorilor sunt păstrate fără metadate într-o zonă protejată, în afara spațiului de stocare public, până când sunt preluate în urma unei verificări. O răspuns modifică înregistrarea abia după finalizarea verificării.
• Versiunile publicate ale parolelor sunt semnate criptografic.

Disponibilitate și recuperare

• La fiecare patru ore, baza de date și fișierele fiecărui spațiu de lucru activ sunt salvate, criptate și stocate separat de servere în spațiul de stocare obiectual din Germania. Copiile locale sunt șterse după patru zile. Copiile de rezervă din spațiul de stocare a obiectelor sunt păstrate timp de 90 de zile și șterse definitiv în termen de încă 30 de zile.
• Serviciile și serverele sunt monitorizate continuu; actualizările de securitate sunt instalate periodic.
• Transpareo verifică periodic aceste măsuri și le adaptează la stadiul actual al tehnologiei.

Asistență acordată de operator (clauzele 8 și 9)

• Un client poate vizualiza, rectifica și șterge datele din spațiul său de lucru de pe platformă. Un furnizor poate vedea răspunsurile la solicitările sale de partajare pe pagina furnizorilor și poate revoca orice link partajat.
• Cererile persoanelor vizate primite de Transpareo sunt transmise imediat de către Transpareo către operator.
• Notificările prevăzute la clauzele 7.7 și 9.2 sunt trimise prin e-mail către titularul contului unui client și la adresa de e-mail pe care un furnizor o indică la momentul partajării. Punctul de contact prevăzut la clauza 9.2 litera b este privacy@mail.transpareo.com.
• O notificare conform clauzei 9.2 menționează, de asemenea, momentul încălcării și al descoperirii acesteia, precum și domeniile de activitate sau linkurile afectate.

Completare elvețiană

Această completare constituie o clauză suplimentară la clauza 2 litera b. În măsura în care prelucrarea intră sub incidența Legii federale elvețiene privind protecția datelor (DSG):

1. trimiterile la Regulamentul (UE) 2016/679 se consideră, de asemenea, trimiteri la dispozițiile corespunzătoare din DSG, și anume art. 28 din RGPD la art. 9 din DSG, art. 32 la art. 8, art. 33 și 34 la art. 24, art. 35 și 36 la art. 22 și 23, capitolul V la articolele 16-18, drepturile persoanelor vizate la articolele 25-32 din DSG, iar datele sensibile prevăzute la clauza 7.5 la datele cu caracter personal care necesită o protecție specială, conform articolului 5 litera c din DSG;
2. autoritatea de supraveghere competentă este Comisarul federal pentru protecția datelor și transparență (EDÖB); competența autorităților de supraveghere în temeiul RGPD rămâne neafectată;
3. dreptul elvețian este considerat, de asemenea, drept al unui stat membru.

Data: 8 octombrie 2026