Protecția datelor (GDPR)

1Cine ce rol are

2Vânzătorul ca operator

Pentru datele propriilor clienți (conturile Claudiu, persoanele de contact, facturarea, corespondența) și pentru vizitatorii sitului, EVOLUTION CAD SRL este operator. Scopurile, temeiurile, perioadele de păstrare și drepturile sunt descrise în Politica de confidențialitate.

3Vânzătorul ca persoană împuternicită

Pentru datele pe care biroul le încarcă în aplicație despre clienții săi, operatorul este biroul: el stabilește de ce și cum le folosește (de exemplu, pentru întocmirea documentațiilor cadastrale) și are temeiul legal pentru prelucrare. EVOLUTION CAD SRL le prelucrează doar ca persoană împuternicită, ca să furnizeze aplicația, conform acordului de mai jos.

Nu folosim aceste date în alte scopuri, nu le vindem, nu le folosim pentru publicitate și nu le folosim pentru antrenarea unor modele de inteligență artificială.

4Acordul de prelucrare a datelor

Acest acord se încheie între biroul client (operatorul) și EVOLUTION CAD SRL (persoana împuternicită), face parte din Termenii și condițiile abonamentului și se aplică pe toată durata contractului. Conține elementele cerute de art. 28 alin. (3) din Regulamentul (UE) 2016/679.

4.1 Obiectul, durata, natura și scopul

Obiectul este găzduirea și prelucrarea datelor încărcate de operator în aplicația Claudiu (stocare, afișare, căutare, generarea documentelor și a cererilor, citirea automată a documentelor încărcate, copii de siguranță), exclusiv pentru furnizarea serviciului către operator. Durata este durata contractului de abonament, plus perioada de returnare și ștergere de la punctul 4.8.

4.2 Tipurile de date și categoriile de persoane vizate

• Date: nume și prenume, CNP, seria și numărul actului de identitate și copii ale acestuia, adrese, telefoane, adrese de e-mail, date despre imobile și proprietari din extrasele de carte funciară, documentații tehnice și cadastrale, semnături, alte date încărcate de operator.
• Persoane vizate: clienții operatorului, proprietarii și coproprietarii imobilelor, reprezentanții și moștenitorii acestora, vecinii menționați în documentații, angajații și colaboratorii operatorului care folosesc aplicația.

4.3 Instrucțiunile operatorului

Împuternicitul prelucrează datele numai pe baza instrucțiunilor documentate ale operatorului: acești Termeni, setările și acțiunile făcute de utilizatorii operatorului în aplicație și instrucțiunile trimise în scris. Dacă o instrucțiune pare să încalce legea, împuternicitul îl informează imediat pe operator.

4.4 Confidențialitatea

Persoanele care au acces la date (inclusiv personalul partenerului tehnic) sunt obligate la confidențialitate și au acces doar în măsura necesară operării și asistenței tehnice.

4.5 Securitatea

Împuternicitul aplică măsurile tehnice și organizatorice de la punctul 6, adecvate riscului, conform art. 32 RGPD.

4.6 Sub-împuterniciții

Operatorul dă o autorizare generală pentru sub-împuterniciții din lista de la punctul 5. Împuternicitul anunță operatorul pe e-mail cu cel puțin 30 de zile înainte de a adăuga sau înlocui un sub-împuternicit; operatorul se poate opune în acest termen și, dacă nu se găsește o soluție, poate înceta contractul fără costuri. Sub-împuterniciții au aceleași obligații de protecție a datelor, iar împuternicitul răspunde față de operator pentru ei.

4.7 Asistența pentru operator

Împuternicitul ajută operatorul, prin funcțiile aplicației (căutare, corectare, ștergere, exportul registrului) și, la cerere, prin exportul complet al datelor, să răspundă cererilor persoanelor vizate și să își îndeplinească obligațiile de la art. 32–36 RGPD (securitate, notificarea încălcărilor, evaluări de impact, consultare prealabilă).

4.8 Returnarea și ștergerea la încetare

La încetarea contractului, operatorul poate cere un export complet al datelor timp de 30 de zile. După acest termen, împuternicitul șterge datele din aplicație. Copiile de siguranță se suprascriu ciclic, în cel mult 14 zile. Excepție fac datele pe care legea obligă împuternicitul să le păstreze.

4.9 Informații și audit

Împuternicitul pune la dispoziția operatorului informațiile necesare pentru a demonstra respectarea acestui acord și permite audituri rezonabile, anunțate cu cel puțin 30 de zile înainte, efectuate de operator sau de un auditor mandatat de el, cu respectarea confidențialității datelor celorlalți clienți.

4.10 Transferurile

Datele se stochează pe servere Hostwin din Marea Britanie, iar e-mailurile aplicației trec prin servere Hostwin din Canada (vezi punctul 7). Pentru Marea Britanie (Regatul Unit) și pentru Canada, Comisia Europeană a adoptat decizii de adecvare. Orice transfer nou în afara Spațiului Economic European se face doar cu garanțiile prevăzute de capitolul V din RGPD și după anunțarea operatorului.

5Sub-împuterniciții

6Măsurile de securitate

• Autentificare în doi pași, activă implicit pentru fiecare cont, cu cod trimis prin e-mail; dispozitivele de încredere se rețin cel mult 30 de zile.
• Blocarea automată a autentificării după cinci încercări greșite, timp de 30 de minute, și limitarea înregistrărilor noi.
• Parole de cel puțin 12 caractere, stocate doar sub formă de amprentă criptografică (Argon2), niciodată în clar.
• Separarea organizațiilor: fiecare birou își vede doar propriile dosare, clienți și documente; izolarea este acoperită de teste automate.
• Roluri și acces pe echipe în cadrul organizației; fișierele se servesc doar prin aplicație, după verificarea dreptului de acces.
• Criptare în tranzit: toate conexiunile folosesc HTTPS (TLS), cu HSTS.
• Istoric complet: modificările dosarelor, transferurile, generările de documente și schimbările de status rămân în istoric, cu autor și dată.
• Copii de siguranță zilnice ale bazei de date și ale documentelor, verificate la creare și păstrate 14 zile.
• Actualizări regulate ale aplicației și ale sistemului, și un audit de securitate intern la fiecare versiune majoră.

7Unde sunt serverele

Marea Britanie și Canada nu fac parte din Uniunea Europeană, dar Comisia Europeană a constatat pentru ambele un nivel adecvat de protecție a datelor (decizii de adecvare), astfel încât datele beneficiază de o protecție echivalentă cu cea din Uniune.

8Încălcările de securitate

Dacă aflăm de o încălcare a securității care afectează datele încărcate de un birou, anunțăm biroul (operatorul) fără întârzieri nejustificate, cu informațiile disponibile despre natura încălcării, datele și persoanele afectate, consecințele probabile și măsurile luate, ca biroul să poată notifica, după caz, autoritatea de supraveghere în termenul de 72 de ore. Pentru datele la care suntem operator, notificăm noi Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal și, când este cazul, persoanele vizate.

9Cererile persoanelor vizate

Dacă sunteți clientul unui birou care folosește Claudiu și vreți să vă exercitați drepturile (acces, rectificare, ștergere și celelalte), adresați-vă biroului, care este operatorul datelor. Dacă ne scrieți nouă la office@evocad.ro, transmitem cererea, fără întârziere, biroului respectiv și îl ajutăm să răspundă.

Pentru datele la care EVOLUTION CAD SRL este operator, drepturile și modul de exercitare sunt în Politica de confidențialitate.