Instrucțiuni și responsabilități
1. Părțile și obiectul
Anexă la contractul nr. [de completat], data [de completat]. Operator: clientul [de completat], adresă [de completat], reprezentant [de completat], contact pentru protecția datelor [de completat]. Persoană împuternicită: XCT.RO ONLINE SRL, CUI 29596999, Nr. Reg. Com. J2012000915408, sediul social: Str. Murgeni, nr. 10, bl. L25, ap. 33, sector 3, București, CP 030398, România. Contact: web@xct.ro; +40 728 277 777.
Acordul privește exclusiv prelucrarea datelor în numele clientului prin găzduire, administrare sau backup. Pentru facturarea proprie și relația comercială, XCT.ro poate avea rol separat de operator, descris în politica de confidențialitate. Dacă clientul este la rândul lui împuternicit, se documentează autorizarea și obligațiile corespunzătoare lanțului de prelucrare.
2. Descrierea prelucrării
Obiect și scop [de completat]; natura operațiunilor (stocare, acces pentru suport, backup, restaurare, ștergere) [de completat]; durată [de completat]; categorii de persoane [de completat]; tipuri de date [de completat]; date speciale, dacă există, și măsuri suplimentare [de completat]; locații și țări [de completat].
Anexa se completează înainte de accesul la date. Nu se presupune că toate proiectele includ date sensibile sau că toate operațiunile enumerate sunt autorizate.
3. Instrucțiunile operatorului
Împuternicitul prelucrează date numai pe baza instrucțiunilor documentate, inclusiv pentru transferuri internaționale, exceptând obligațiile legale; în acest caz informează operatorul înainte de prelucrare, dacă legea permite. Operatorul stabilește scopurile, temeiurile și informarea persoanelor și asigură legalitatea instrucțiunilor.
Dacă o instrucțiune pare să încalce RGPD sau alte norme aplicabile, împuternicitul informează imediat operatorul. O instrucțiune nelegală nu este executată până la clarificare. Contactele autorizate și modul de confirmare a instrucțiunilor: [de completat].
4. Confidențialitate și securitate
Accesul este limitat la persoanele autorizate care au o obligație de confidențialitate. Împuternicitul aplică măsuri proporționale cu riscul, conform art. 32 RGPD, documentate în anexa de securitate: control acces, protecția transmisiilor, izolarea, disponibilitatea și verificarea măsurilor.
Măsurile se evaluează în raport cu stadiul tehnicii, costurile, natura și riscurile prelucrării. Lista din anexă trebuie să reflecte controalele implementate; nu constituie o declarație de certificare ISO.
Subcontractare și exercitarea drepturilor
5. Alți împuterniciți
Se alege și documentează: [ ] autorizare specifică pentru fiecare furnizor [ ] autorizare generală cu lista inițială anexată. În cazul autorizării generale, schimbările sunt notificate în avans, cu termenul de opoziție [de completat] și procedura [de completat]. Dacă obiecția justificată nu se rezolvă, părțile stabilesc o alternativă sau încetarea prelucrării afectate înainte de accesul noului furnizor.
Obligații echivalente de protecție a datelor sunt impuse contractual subcontractantului. Împuternicitul inițial rămâne răspunzător față de operator pentru obligațiile subcontractantului, conform art. 28 alin. (4) RGPD.
6. Transferuri în afara SEE
Orice transfer se documentează cu destinatarul, țara și mecanismul legal aplicabil, precum decizie de adecvare sau clauze contractuale standard și măsuri suplimentare, unde sunt necesare. Acest acord, singur, nu înlocuiește un mecanism de transfer și nu autorizează transferuri nespecificate.
7. Cereri și asistență
Împuternicitul transmite operatorului cererile persoanelor vizate fără întârziere nejustificată și nu răspunde în numele acestuia fără instrucțiuni, cu excepția unei obligații legale. Asistă operatorul, ținând seama de natura prelucrării, în soluționarea cererilor, evaluarea impactului, consultarea prealabilă și obligațiile de securitate prevăzute la art. 32-36 RGPD.
8. Incidente
Împuternicitul notifică operatorul fără întârziere nejustificată după ce află de o încălcare a securității datelor. Comunicarea inițială include informațiile disponibile despre natura incidentului, datele/persoanele afectate, consecințe, măsuri și punctul de contact; completările se trimit pe măsură ce apar.
Termenul legal de 72 de ore privind notificarea autorității, când este aplicabil operatorului, nu reprezintă un termen de așteptare acordat împuternicitului. Contact de incident al operatorului: [de completat]; XCT.ro: web@xct.ro; canal alternativ: [de completat].
9. Audit și cooperare
Împuternicitul pune la dispoziție informațiile necesare demonstrării respectării obligațiilor și permite și sprijină auditurile și inspecțiile operatorului ori auditorului mandatat. Organizarea și confidențialitatea se stabilesc proporțional, fără a împiedica auditul sau competențele autorității. Costurile suplimentare, dacă există, se convin fără a neutraliza drepturile legale.
Anexe și finalizarea prelucrării
10. Returnare și ștergere
La încetarea serviciului, la alegerea operatorului, datele sunt returnate sau șterse, iar copiile existente sunt eliminate, exceptând păstrarea impusă de lege. Formatul, fereastra de export, ștergerea din producție și rotația copiilor se completează mai jos. Datele păstrate obligatoriu sunt izolate și accesibile numai pentru scopul legal.
Termenele și obligațiile de confidențialitate continuă cât timp sunt păstrate date. Împuternicitul confirmă finalizarea ștergerii sau descrie obligația legală care împiedică eliminarea.
Anexa A - Măsuri de securitate
Acces fizic și locații [de completat]; roluri și autorizare [de completat]; autentificare/MFA [de completat]; criptare în tranzit [de completat]; criptare la stocare și chei [de completat]; separare clienți [de completat]; actualizări și vulnerabilități [de completat]; loguri și retenție [de completat]; backup și restaurare [de completat]; testare periodică [de completat]; personal/confidențialitate [de completat]; gestiune incidente [de completat].
Anexa B - Subcontractanți și transferuri
Pentru fiecare: denumire [de completat]; serviciu și operațiuni [de completat]; date accesate [de completat]; țară/locație [de completat]; rol [de completat]; autorizare [de completat]; mecanism de transfer și garanții [de completat]. Se anexează lista completă și datată. Dacă nu există subcontractanți, se consemnează explicit după verificare.
Anexa C - Retenție și instrucțiuni finale
Durata serviciului [de completat]; alegerea returnare/ștergere [de completat]; format și destinatar export [de completat]; termen export [de completat]; ștergere producție [de completat]; rotație backup [de completat]; excepții legale [de completat]; dovada ștergerii [de completat].
11. Acceptare
Acordul este completat și acceptat în scris, inclusiv electronic, împreună cu anexele. În materia protecției datelor, acesta prevalează asupra unor clauze generale incompatibile, fără a limita RGPD.
OPERATOR: nume/reprezentant ____________________; dată __________; semnătură ____________________.
ÎMPUTERNICIT: nume/reprezentant ____________________; dată __________; semnătură ____________________.