Acord de prelucrare a datelor (DPA)

1. Părțile și acceptarea

Acordul se încheie între firma abonată, în calitate de operator, și operatorul platformei CESIO, în calitate de persoană împuternicită („CESIO”). Se acceptă la crearea contului firmei, odată cu Termenii și condițiile, din care face parte. Data acceptării și versiunea acceptată se înregistrează în jurnalul de activitate al firmei.

2. Obiectul, durata, natura și scopul prelucrării

• Obiect: găzduirea și prelucrarea datelor necesare gestionării dosarelor de daună, a mașinilor la schimb, a documentelor și a comunicării cu asigurătorii.
• Durată: pe durata contractului și până la ștergerea datelor după încetare.
• Natură: colectare prin interfață și prin încărcarea actelor, stocare criptată, organizare, generare de documente, transmitere prin email la cererea firmei, prelucrare cu inteligență artificială (citirea actelor, clasificarea și analiza emailurilor primite, verificarea actelor dosarului, redactarea mesajelor, asistentul) în limitele de mai jos, ștergere.
• Scop: exclusiv prestarea serviciului CESIO către firmă.

3. Persoanele vizate și categoriile de date

• Persoane vizate: clienții firmei (persoane păgubite, conducători auto, utilizatori ai mașinilor la schimb), reprezentanții legali ai clienților persoane juridice, persoanele de contact ale asigurătorilor, angajații și colaboratorii firmei.
• Date: nume, CNP, seria și numărul actului de identitate, adresă, telefon, email, IBAN, datele permisului de conducere, datele vehiculelor, datele accidentului și ale dosarului de daună, fotografii, semnături olografe capturate pe ecran (cu data, ora, adresa IP și dispozitivul), corespondența cu asigurătorii și actele încărcate.
• Date speciale: platforma nu este destinată datelor din categoriile speciale (art. 9 GDPR). Firma evită introducerea lor; dacă un act le conține incidental, se aplică aceleași măsuri de protecție.

4. Obligațiile CESIO

1. Prelucrează datele numai pe baza instrucțiunilor documentate ale firmei, date prin utilizarea platformei și prin prezentul acord, inclusiv în privința transferurilor. Dacă o instrucțiune încalcă legea, CESIO informează firma.
2. Garantează că persoanele autorizate să prelucreze datele s-au angajat să respecte confidențialitatea.
3. Aplică măsurile tehnice și organizatorice din Anexa de mai jos (art. 32 GDPR).
4. Folosește sub-procesatori numai în condițiile de la punctul 5 și le impune aceleași obligații de protecție a datelor.
5. Ajută firma, prin funcțiile platformei și la cerere, să răspundă cererilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). Cererile primite direct de CESIO se transmit firmei fără întârziere.
6. Notifică firma fără întârzieri nejustificate, în cel mult 48 de ore de la constatare, despre orice încălcare a securității datelor, cu informațiile disponibile despre natura, consecințele și măsurile luate.
7. Ajută firma la evaluările de impact și la consultările cu autoritatea de supraveghere, când este cazul.
8. La încetarea contractului, permite firmei exportul datelor timp de 90 de zile, apoi le șterge, inclusiv copiile, în cel mult 30 de zile, cu excepția cazului în care legea impune păstrarea.
9. Pune la dispoziția firmei informațiile necesare pentru a demonstra respectarea acestui acord și permite un audit pe an, anunțat cu 30 de zile înainte, pe cheltuiala firmei, fără acces la datele altor clienți.

5. Sub-procesatori

Firma autorizează în general folosirea sub-procesatorilor publicați pe pagina Sub-procesatori. CESIO anunță pe email orice adăugare sau înlocuire cu cel puțin 30 de zile înainte. Firma se poate opune motivat în acest termen; dacă nu se găsește o soluție, poate înceta contractul fără costuri, cu rambursarea părții neconsumate a abonamentului plătit în avans.

6. Transferuri internaționale

Datele se găzduiesc în Uniunea Europeană. Transferurile către sub-procesatori din afara SEE se fac numai cu garanțiile prevăzute de capitolul V GDPR (decizie de adecvare, inclusiv EU-US Data Privacy Framework, sau clauze contractuale standard).

7. Obligațiile firmei

• Are temei legal pentru datele introduse și informează persoanele vizate.
• Introduce doar datele necesare scopului și le menține exacte.
• Administrează conturile și rolurile utilizatorilor săi și retrage accesul celor care pleacă.

8. Răspundere și prevalență

Răspunderea părților se stabilește conform Termenilor și art. 82 GDPR. În privința protecției datelor, prezentul acord prevalează asupra oricăror alte prevederi contractuale.

Anexa. Măsuri tehnice și organizatorice

• Criptarea conexiunilor (TLS), antete de securitate stricte, protecție CSRF.
• Criptarea la nivel de câmp (AES-256-GCM) pentru CNP, seria și numărul actului de identitate, IBAN și semnături; cheile se păstrează separat de baza de date.
• Criptarea individuală a fișierelor încărcate; descărcare doar prin aplicație, după verificarea drepturilor.
• Izolarea datelor fiecărei firme în baza de date (row-level security), verificată prin teste automate.
• Roluri și permisiuni pe utilizator; acces la dosar limitat pentru avocații parteneri.
• Parole stocate doar ca amprente criptografice, limitarea încercărilor de autentificare, autentificare în doi pași și passkey.
• Jurnal de activitate pentru modificări, vizualizări sensibile, descărcări și trimiteri.
• Funcțiile AI doar prin furnizori fără retenția datelor și fără antrenarea modelelor; se trimit doar datele necesare fiecărei operațiuni, iar asistentul nu primește CNP, IBAN sau seria actului de identitate și vede doar datele permise rolului utilizatorului. Citirea automată a actelor primite rulează doar dacă firma o activează în setări.
• Copii de siguranță zilnice, criptate, păstrate într-o locație separată; testarea periodică a restaurării.
• Server dedicat în Uniunea Europeană, cu disc criptat, firewall și actualizări de securitate.
• Acces administrativ limitat la personalul CESIO, cu autentificare în doi pași obligatorie și jurnalizare.

Contact

Pentru orice aspect legat de acest acord: formularul de contact sau email: Afișează adresa de email.