Acord de prelucrare a datelor

Acest Acord de prelucrare a datelor („Acordul”) face parte integrantă din Termenii și condițiile platformei emma și reglementează, conform art. 28 din Regulamentul (UE) 2016/679 (GDPR), prelucrarea datelor cu caracter personal pe care PEST ZONE CONTROL S.R.L. o efectuează în numele firmei abonate.

1. Părțile și rolurile

• Operatorul: firma care a acceptat Termenii și condițiile și folosește platforma emma („Clientul”), identificată prin denumire și CUI în cererea de înscriere.
• Persoana împuternicită: PEST ZONE CONTROL S.R.L., CUI 52323691, Nr. Reg. Com. J2025060917006, cu sediul în Strada Topolog nr. 11, Bl. F7, Sc. A, Et. P, Ap. 4, camera 2, Constanța, jud. Constanța, 900264, România, email legal@emma.ro („Furnizorul”).

Operatorul stabilește scopurile și mijloacele prelucrării datelor clienților săi finali, ale persoanelor de contact ale acestora, ale angajaților și candidaților săi; Furnizorul prelucrează aceste date exclusiv pentru a furniza platforma, conform instrucțiunilor Operatorului. Pentru datele Utilizatorilor Operatorului în calitatea lor de titulari de cont (date de autentificare, jurnal de audit), Furnizorul acționează ca operator independent, conform Politicii de confidențialitate.

2. Obiectul și durata

Obiectul Acordului îl constituie prelucrările descrise în Anexa 1, necesare furnizării platformei emma ca serviciu găzduit. Acordul se aplică pe toată durata Termenilor și până la ștergerea sau returnarea datelor conform art. 11.

3. Instrucțiunile Operatorului

• Furnizorul prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului. Instrucțiunile inițiale sunt: Termenii, acest Acord și configurările pe care Operatorul le face în platformă (module activate, integrări conectate, automatizări, șabloane, utilizatori, ștergeri). Folosirea unei funcții a platformei de către Operator sau Utilizatorii săi reprezintă o instrucțiune de prelucrare.
• Instrucțiuni suplimentare pot fi transmise în scris la legal@emma.ro; dacă implică eforturi disproporționate sau modificări ale platformei, părțile convin în prealabil asupra condițiilor.
• Furnizorul informează imediat Operatorul dacă, în opinia sa, o instrucțiune încalcă GDPR sau altă dispoziție legală.
• Furnizorul poate prelucra datele în afara instrucțiunilor numai dacă o obligație legală i-o impune, caz în care informează Operatorul înainte de prelucrare, dacă legea nu interzice această informare.

4. Confidențialitatea

Furnizorul se asigură că persoanele autorizate să prelucreze datele (administratorul platformei și eventualii colaboratori tehnici) s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate, și că accesul lor este limitat la ceea ce este strict necesar pentru operarea și întreținerea platformei. Accesul în contul unui Operator („mod suport”) se face numai pentru rezolvarea unei solicitări sau a unui incident și este înregistrat în jurnalul de audit.

5. Măsuri de securitate

Furnizorul implementează măsurile tehnice și organizatorice din Anexa 2, adecvate riscului, conform art. 32 GDPR, și le poate actualiza cu condiția să nu reducă nivelul general de protecție. Operatorul răspunde pentru măsurile din sfera sa: gestionarea Utilizatorilor și a permisiunilor, calitatea parolelor, activarea autentificării în doi pași, securitatea propriilor dispozitive și conturi la furnizorii terți (WhatsApp Business, SmartBill, email), precum și pentru datele pe care alege să le introducă în platformă.

6. Sub-procesatorii

• Operatorul autorizează în mod general recurgerea la sub-procesatorii enumerați în Anexa 3, pentru scopurile și în limitele indicate acolo.
• Furnizorul informează Operatorul despre orice adăugare sau înlocuire a unui sub-procesator cu cel puțin 15 zile înainte, prin email către managerii Operatorului și prin actualizarea acestei pagini (versiune nouă a Acordului). Operatorul se poate opune, motivat, în acest termen; dacă părțile nu găsesc o soluție rezonabilă (de exemplu neactivarea integrării respective), Operatorul poate înceta Termenii fără penalități, cu restituirea proporțională a perioadei plătite și neutilizate.
• Furnizorul impune sub-procesatorilor, prin contract, obligații de protecție a datelor echivalente cu cele din acest Acord și rămâne răspunzător față de Operator pentru îndeplinirea obligațiilor de către aceștia.
• Sub-procesatorii activați la alegerea Operatorului din propriul cont (Meta pentru WhatsApp Business, SmartBill, SMSLink, furnizorul de email al Operatorului) prelucrează datele și în temeiul relației contractuale directe dintre Operator și furnizorul respectiv.

7. Asistență privind drepturile persoanelor vizate

• Platforma oferă Operatorului mijloacele de a răspunde singur majorității cererilor: consultarea, corectarea, exportul (CSV, PDF) și ștergerea sau arhivarea datelor clienților, contactelor, documentelor și comunicărilor.
• Dacă o persoană vizată se adresează direct Furnizorului, acesta nu răspunde pe fond, ci o îndrumă către Operator și informează Operatorul în cel mult 5 zile lucrătoare, transmițându-i cererea.
• La solicitarea Operatorului, Furnizorul acordă asistență rezonabilă pentru cererile care nu pot fi rezolvate din platformă (de exemplu ștergerea din copiile de siguranță nu se face selectiv — acestea expiră conform ciclului de retenție din Anexa 2).

8. Notificarea încălcărilor securității datelor

• Furnizorul notifică Operatorul, prin email către managerii acestuia, despre orice încălcare a securității datelor cu caracter personal care afectează datele Operatorului, fără întârziere nejustificată și în cel mult 48 de ore de la constatarea ei, astfel încât Operatorul să își poată îndeplini obligația de notificare a autorității în termenul de 72 de ore prevăzut de art. 33 GDPR.
• Notificarea cuprinde, în măsura în care informațiile sunt disponibile: natura încălcării, categoriile și numărul aproximativ de persoane și de înregistrări afectate, consecințele probabile, măsurile luate sau propuse și datele de contact pentru informații suplimentare. Informațiile pot fi furnizate în etape.
• Furnizorul documentează incidentele, cooperează cu Operatorul la investigație și la notificarea autorității sau a persoanelor vizate, atunci când este necesară, și nu notifică el însuși autoritatea sau persoanele vizate în numele Operatorului fără acordul acestuia, cu excepția cazului în care legea îl obligă.

9. Evaluarea impactului și consultarea prealabilă

Ținând cont de natura prelucrării și de informațiile de care dispune, Furnizorul acordă Operatorului asistență rezonabilă pentru îndeplinirea obligațiilor din art. 32–36 GDPR (securitate, notificarea încălcărilor, evaluarea impactului asupra protecției datelor, consultarea autorității), în special prin furnizarea descrierilor tehnice ale platformei și ale măsurilor de securitate.

10. Informații și audit

• Furnizorul pune la dispoziția Operatorului toate informațiile necesare pentru a demonstra respectarea obligațiilor din art. 28 GDPR: acest Acord, Anexele actualizate, descrierea măsurilor de securitate și, la cerere, un raport scris anual privind aplicarea lor.
• Dacă informațiile scrise nu sunt suficiente, Operatorul (sau un auditor independent mandatat de el, ținut de confidențialitate) poate efectua un audit cel mult o dată pe an, cu preaviz scris de 30 de zile, în timpul programului de lucru, fără a perturba funcționarea platformei și fără acces la datele altor clienți ai Furnizorului; costurile auditului sunt suportate de Operator, cu excepția cazului în care auditul relevă încălcări semnificative.
• În cazul unui incident de securitate sau al unei solicitări a autorității de supraveghere, auditul poate avea loc cu preaviz redus.

11. Ștergerea și returnarea datelor la încetare

• Pe durata Termenilor, Operatorul își exportă și își șterge singur datele din platformă.
• La încetarea Termenilor, în termen de 30 de zile, Operatorul poate solicita exportul complet al datelor sale (CSV + PDF), pe care Furnizorul îl pune la dispoziție în 15 zile lucrătoare, fără cost.
• La 60 de zile de la încetare (sau mai devreme, la cererea scrisă a Operatorului), Furnizorul șterge definitiv toate datele Operatorului din platformă, inclusiv fișierele, și confirmă în scris ștergerea la cerere. Copiile de siguranță cifrate care mai conțin datele expiră conform ciclului de retenție din Anexa 2 și nu sunt restaurate decât pentru recuperare în caz de dezastru, caz în care datele șterse sunt re-șterse.
• Furnizorul poate păstra datele a căror stocare este impusă de lege (de exemplu facturile emise către Operator), exclusiv în acest scop și cu aceleași garanții.

12. Transferuri internaționale

Furnizorul stochează datele pe servere situate în România. Transferurile către sub-procesatorii din afara Spațiului Economic European enumerați în Anexa 3 se fac numai în baza unui mecanism de transfer valid din Capitolul V GDPR (Clauzele Contractuale Standard ale Comisiei Europene — Decizia 2021/914 — și, unde este cazul, Cadrul UE–SUA privind confidențialitatea datelor), cu măsuri suplimentare acolo unde este necesar (de exemplu cifrarea copiilor de siguranță înainte de transfer). Furnizorul pune la dispoziția Operatorului, la cerere, documentația acestor garanții.

13. Răspunderea

Răspunderea fiecărei părți în temeiul acestui Acord este supusă limitărilor și excluderilor din Termenii și condițiile, în măsura permisă de lege. Fiecare parte răspunde pentru amenzile administrative și despăgubirile care decurg din propria încălcare a GDPR, conform art. 82 și 83 GDPR.

14. Dispoziții finale

• Acordul se acceptă odată cu Termenii și se modifică în aceleași condiții (art. 19 din Termeni); versiunea curentă este cea publicată la app.emma.ro/dpa.
• În caz de contradicție între Acord și Termeni, în privința protecției datelor prevalează Acordul.
• Acordul este guvernat de legea română; litigiile se soluționează conform Termenilor.

Anexa 1 — Descrierea prelucrării

Anexa 2 — Măsuri tehnice și organizatorice

Măsurile de mai jos sunt cele implementate efectiv la data acestei versiuni.

Controlul accesului și autentificarea

• Acces exclusiv prin HTTPS (TLS), cu HSTS și antete de securitate (X-Frame-Options, Content-Security-Policy frame-ancestors, X-Content-Type-Options, Referrer-Policy, Permissions-Policy) emise centralizat.
• Parole stocate exclusiv ca hash (bcrypt); politică de lungime minimă; verificarea parolelor compromise prin k-anonimitate (Have I Been Pwned), fără transmiterea parolei.
• Limitarea încercărilor de autentificare eșuate per cont și per adresă IP; răspunsuri care nu divulgă existența contului.
• Autentificare în doi pași (TOTP) disponibilă tuturor utilizatorilor, obligatorie pentru administratorii platformei și recomandată activ managerilor Operatorului; dispozitive de încredere limitate la 30 de zile.
• Sesiuni păstrate în baza de date, cu expirare la 12 ore de inactivitate, re-autentificare cu parola la 30 de zile, listă a sesiunilor active și revocare de către utilizator; cookie-uri HttpOnly, Secure, SameSite.
• Crearea conturilor prin invitație pe email cu token unic și expirabil; parole provizorii valabile o singură dată; schimbarea obligatorie a parolei setate de altcineva.
• Roluri și permisiuni verificate pe server la fiecare cerere (manager, operator, tehnician), cu principiul privilegiului minim.

Separarea datelor între clienți

• Arhitectură multi-client cu identificatorul firmei prezent în toate tabelele operaționale și aplicat în toate interogările; identificatorul firmei se determină exclusiv din sesiunea autentificată, niciodată din datele trimise de browser.
• Verificarea izolării printr-un script dedicat de audit al interogărilor și printr-un audit documentat, reluate la modificările relevante ale platformei.

Protecția datelor stocate și în tranzit

• Secretele de integrare ale Operatorului (chei API SmartBill, parole SMTP, chei SMS, tokenuri WhatsApp) și secretele de autentificare în doi pași sunt cifrate în baza de date cu o cheie păstrată în afara bazei de date.
• Comunicațiile cu toți furnizorii terți se fac exclusiv prin HTTPS; mesajele primite de la Meta sunt verificate prin semnătură criptografică.
• Fișierele încărcate sunt stocate în afara rădăcinii publice a serverului și servite numai după verificarea autentificării și a apartenenței la firmă.

Disponibilitate și reziliență

• Copii de siguranță zilnice ale bazei de date și ale fișierelor, cu verificarea integrității, cifrate pe server înainte de transfer și păstrate în afara serverului (retenție: 30 de zile zilnice, 12 luni lunare), cu alertare automată la eșec; copie suplimentară înainte de fiecare actualizare a platformei.
• Mediu de test separat de producție; actualizările trec prin test înainte de producție; schema bazei de date se modifică numai prin migrații versionate.

Trasabilitate

• Jurnal de audit pentru evenimentele de autentificare (conectare, eșec, deconectare, resetare parolă, blocare), modificările de setări și utilizatori, operațiunile administrative ale platformei și accesul în „mod suport”; jurnalul este consultabil de managerul Operatorului în aplicație.
• Jurnale de trimitere pentru fiecare canal de comunicare (email, SMS, WhatsApp) cu starea de livrare.

Organizatorice

• Acces administrativ la infrastructură limitat la administratorul platformei; secretele de producție nu sunt stocate în codul sursă.
• Răspunsul la incidente include notificarea Operatorului conform art. 8 și documentarea fiecărui incident.
• Evaluarea periodică a măsurilor și actualizarea acestei anexe la fiecare schimbare relevantă.

Anexa 3 — Sub-procesatori autorizați

Lista de mai jos este valabilă pentru versiunea curentă a Acordului. Sub-procesatorii marcați „doar când firma activează…” prelucrează date numai dacă Operatorul activează integrarea respectivă.

Destinatari care nu sunt sub-procesatori (operatori independenți sau autorități): Agenția Națională de Administrare Fiscală (validarea CUI, e-Factura/SPV, la instrucțiunea Operatorului); furnizorul de email propriu al Operatorului, când acesta alege să trimită emailurile prin serverul său SMTP.

Istoricul versiunilor

• Versiunea 1.0 · 28 octombrie 2026 — Prima versiune a acordului de prelucrare a datelor (art. 28 GDPR), cu Anexele 1–3.