Acord de prelucrare a datelor cu caracter personal

1. Părțile

Prestatorul: CODE INDUSTRY S.R.L., cu sediul în ⟦adresa sediului⟧, înregistrată la Registrul Comerțului sub nr. ⟦J…/…/…⟧, CUI ⟦CUI⟧, reprezentată de ⟦nume, funcție⟧, care furnizează serviciul Zora („Prestatorul”).

Firma de contabilitate: firma de contabilitate care și-a creat cont în Zora, identificată prin denumirea și CUI-ul din cont, reprezentată de administratorul care acceptă acest acord în aplicație („Firma de contabilitate”).

Acordul se aplică ori de câte ori Prestatorul prelucrează date cu caracter personal pentru Firma de contabilitate, prin serviciul Zora.

2. Rolurile

• Pentru datele propriilor utilizatori (contabilii Firmei de contabilitate), Firma de contabilitate este operator, iar Prestatorul este persoană împuternicită.
• Pentru datele firmelor-client ale Firmei de contabilitate (documentele lor, oamenii lor, angajații lor în deplasare), firma-client este operator, Firma de contabilitate este persoană împuternicită a ei, iar Prestatorul este persoană împuternicită secundară, angajată de Firma de contabilitate. Firma de contabilitate garantează că are, în contractul cu fiecare firmă-client, acordul acesteia pentru folosirea unui împuternicit secundar.
• Prestatorul nu prelucrează aceste date în scopuri proprii și nu le vinde, nu le închiriază și nu le folosește pentru publicitate.

3. Obiectul, natura și scopul prelucrării

Prestatorul prelucrează datele doar ca să furnizeze serviciul Zora: primirea documentelor fiscale fotografiate de firmele-client, citirea lor automată, propunerea contului contabil, verificarea de către Firma de contabilitate, întocmirea ordinelor de deplasare și a deconturilor, și scrierea intrărilor aprobate în sistemul contabil al Firmei de contabilitate, prin aplicația desktop Zora instalată de Firma de contabilitate pe calculatorul său. Detaliile sunt în Anexa 1.

4. Instrucțiunile Firmei de contabilitate

Prestatorul prelucrează datele numai pe baza instrucțiunilor documentate ale Firmei de contabilitate. Acordul de față, folosirea funcțiilor aplicației și setările făcute de Firma de contabilitate în ea sunt instrucțiunile Firmei de contabilitate. Dacă Prestatorul consideră că o instrucțiune încalcă GDPR sau alte dispoziții privind protecția datelor, o informează de îndată pe Firma de contabilitate.

Dacă legea îl obligă pe Prestator la o prelucrare în afara instrucțiunilor (de exemplu, la cererea unei autorități), o informează pe Firma de contabilitate înainte, cu excepția cazului în care legea interzice asta.

5. Confidențialitatea

Au acces la date doar persoanele Prestatorului care au nevoie de ele pentru furnizarea, întreținerea și depanarea serviciului, care s-au angajat să păstreze confidențialitatea sau au o obligație legală în acest sens. Accesul la documentele unui client se face doar când e necesar pentru o cerere a Firmei de contabilitate sau pentru remedierea unei erori.

6. Securitatea prelucrării

Prestatorul aplică măsurile tehnice și organizatorice din Anexa 2, potrivite riscului, potrivit art. 32 GDPR, și le actualizează pe măsura evoluției tehnice.

7. Persoane împuternicite secundare

Firma de contabilitate îi dă Prestatorului o autorizare generală să folosească persoanele împuternicite secundare din Anexa 3. Prestatorul anunță Firma de contabilitate, prin email administratorilor și în aplicație, cu cel puțin 30 de zile înainte de a adăuga sau a înlocui una dintre ele. Firma de contabilitate se poate opune, motivat, în acest termen; dacă părțile nu găsesc o soluție, Firma de contabilitate poate înceta serviciul fără penalități.

Prestatorul impune fiecărei persoane împuternicite secundare, prin contract, obligații de protecție a datelor cel puțin la fel de stricte ca acestea și rămâne răspunzător față de Firma de contabilitate pentru îndeplinirea lor.

8. Transferuri în afara Spațiului Economic European

Unele persoane împuternicite secundare (Anexa 3) prelucrează date în afara SEE, în special în Statele Unite. Asemenea transferuri se fac doar pe baza unui temei din capitolul V GDPR: decizia de adecvare pentru Cadrul UE–SUA privind confidențialitatea datelor, pentru furnizorii certificați, sau clauzele contractuale standard adoptate de Comisia Europeană.

9. Drepturile persoanelor vizate

Prestatorul o ajută pe Firma de contabilitate, prin funcțiile aplicației și, la cerere, direct, să răspundă cererilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). O cerere primită direct de Prestator de la o persoană vizată e transmisă Firmei de contabilitate fără întârziere, fără ca Prestatorul să răspundă el pe fond.

10. Încălcarea securității datelor

Prestatorul o anunță pe Firma de contabilitate fără întârzieri nejustificate și, în orice caz, în cel mult 48 de ore de la momentul în care a luat cunoștință de o încălcare a securității datelor care îl privește. Anunțul cuprinde, în măsura în care se cunosc: natura încălcării, categoriile și numărul aproximativ de persoane și de înregistrări afectate, consecințele probabile și măsurile luate sau propuse. Informațiile care nu se cunosc la început se transmit pe măsură ce se află, pentru ca operatorul să poată notifica ANSPDCP în termenul de 72 de ore.

11. Asistență

Prestatorul o ajută pe Firma de contabilitate, ținând seama de natura prelucrării și de informațiile pe care le are, să-și îndeplinească obligațiile din art. 32–36 GDPR (securitate, notificarea încălcărilor, evaluarea impactului, consultarea prealabilă).

12. Durata, ștergerea și returnarea datelor

• Acordul durează cât timp Firma de contabilitate folosește serviciul Zora.
• Cât timp serviciul e activ, documentele se păstrează până la termenul de păstrare calculat pentru fiecare (5 ani de la data documentului, potrivit Legii contabilității nr. 82/1991), după care se șterg automat.
• La încetarea serviciului, Firma de contabilitate are 30 de zile în care își poate exporta datele din aplicație. După acest termen, Prestatorul șterge definitiv datele Firmei de contabilitate și ale firmelor-client ale acesteia, inclusiv documentele, cu excepția celor pe care legea îl obligă să le păstreze. Copiile de siguranță se șterg odată cu expirarea lor, în cel mult ⟦numărul de zile al copiilor de siguranță⟧ zile.
• Obligația legală de păstrare a documentelor contabile rămâne a firmei-client și a Firmei de contabilitate; intrările deja scrise în sistemul contabil sunt la Firma de contabilitate.

13. Informații și audit

Prestatorul pune la dispoziția Firmei de contabilitate informațiile necesare pentru a dovedi respectarea acestui acord și permite audituri, inclusiv inspecții, făcute de Firma de contabilitate sau de un auditor mandatat de ea, cu un preaviz de cel puțin 30 de zile, cel mult o dată pe an (în afara cazului unei încălcări a securității sau al cererii unei autorități), în timpul programului de lucru și fără a periclita datele altor clienți. Fiecare parte își suportă costurile.

14. Răspunderea

Fiecare parte răspunde potrivit art. 82 GDPR. ⟦limitarea răspunderii, dacă se aplică, aliniată cu termenii și condițiile serviciului⟧

15. Dispoziții finale

• Acordul se completează cu termenii și condițiile serviciului Zora. În caz de neconcordanță privind protecția datelor, prevalează acest acord.
• Acordul e guvernat de legea română. Litigiile se soluționează pe cale amiabilă, iar în lipsa acesteia de instanțele competente de la sediul Prestatorului.
• Acordul se acceptă electronic, în aplicație, de un administrator al Firmei de contabilitate. Aplicația păstrează versiunea acceptată, data și persoana care a acceptat.
• Contact pentru protecția datelor: ⟦adresa de email pentru protecția datelor⟧.

Anexa 1. Descrierea prelucrării

Persoane vizate: utilizatorii Firmei de contabilitate; persoanele firmelor-client care trimit documente (administratori, angajați); angajații firmelor-client trimiși în deplasare; persoanele fizice care apar pe documente (de exemplu furnizori PFA, cumpărători persoane fizice).

Categorii de date:

• identificare și contact ale utilizatorilor: nume, adresă de email, rolul în Firma de contabilitate sau la firma-client;
• documentele fiscale fotografiate (bonuri, facturi, chitanțe) și ce se citește din ele: furnizorul și codul lui fiscal, data și ora, numărul, sumele și TVA-ul, articolele, codul fiscal al cumpărătorului dacă e tipărit, ultimele cifre ale cardului și datele tranzacției dacă sunt tipărite;
• deplasările: numele angajatului, destinația, perioada, mijlocul de transport, diurna și cheltuielile decontate;
• din programul contabil al Firmei de contabilitate, citite de aplicația desktop Zora: lista firmelor (denumire, cod fiscal, numele și emailul administratorului, dacă sunt completate) și istoricul înregistrărilor rezumat pe furnizor (contul, deducerea, numărul de intrări), nu intrările ca atare;
• date tehnice: adresa IP, sesiuni, jurnale de acces și de audit (cine a aprobat, a respins sau a schimbat ce).

Nu se prelucrează intenționat categorii speciale de date (art. 9 GDPR). Dacă un document le conține, ele sunt tratate ca restul documentului.

Operațiuni: colectare (fotografiere, încărcare, citirea fișierelor dintr-un folder Google Drive pe care firma-client îl partajează cu Zora, doar cu drept de citire), stocare, citire automată (recunoaștere de text cu modele de inteligență artificială), clasificare, consultare de către Firma de contabilitate, rectificare, transmitere către programul contabil al Firmei de contabilitate, ștergere.

Citirea automată: imaginea documentului e trimisă unui model de recunoaștere de text (Anexa 3) doar pentru a extrage câmpurile de mai sus. Ce se citește e propunere, nu decizie: fiecare document e verificat de Firma de contabilitate înainte de a ajunge în contabilitate. Nu se iau decizii automate cu efect juridic asupra persoanelor vizate.

Anexa 2. Măsuri tehnice și organizatorice

• Toată comunicarea dintre aplicații, server și aplicația desktop e criptată (HTTPS/TLS).
• Parolele sunt păstrate doar ca hash; linkurile de invitație, codurile de asociere și tokenurile aplicației desktop sunt păstrate doar ca hash, cu valabilitate limitată.
• Datele fiecărei firme de contabilitate sunt separate: orice cerere e verificată pe firma de contabilitate și firma-client ale utilizatorului, citite din baza de date, nu din cererea trimisă.
• Acces pe roluri: administrator și contabil la Firma de contabilitate, administrator și angajat la firma-client; angajatul își vede doar documentele lui.
• Aplicația desktop de pe calculatorul Firmei de contabilitate doar adaugă intrări și furnizori noi în sistemul contabil; nu modifică și nu șterge înregistrări existente și nu atinge intrările validate. Sistemul contabil și baza lui de date rămân pe calculatorul Firmei de contabilitate.
• Jurnal de audit pentru acțiunile importante (aprobări, respingeri, schimbări de roluri, revocări).
• Documentele nu se șterg pe baza unei presupuneri: un document respins sau dublat rămâne, marcat, până la termenul de păstrare.
• Copii de siguranță: baza de date, automat, de către Azure, cu restaurare la un moment ales în ⟦numărul de zile de restaurare al serverului⟧ zile; documentele, păstrate în două regiuni din UE (stocare geo-redundantă), cu ștergere recuperabilă 7 zile.
• Jurnalele aplicației nu conțin conținutul documentelor, parole sau tokenuri.

Anexa 3. Persoane împuternicite secundare

ANAF nu e persoană împuternicită: aplicația îi cere doar date publice despre un cod fiscal (denumire, înregistrare în scopuri de TVA). Nici Google, pentru folderele Drive legate de o firmă-client: e furnizorul firmei, iar Zora doar citește din folderul partajat de ea.