1. Obiect și definiții

Prezentul DPA reglementează prelucrarea datelor cu caracter personal de către Avizo (“Procesator”) în numele clienților săi (“Operator”) în cadrul furnizării platformei Avizo.

Termenii “date cu caracter personal”, “prelucrare”, “operator”, “procesator” au înțelesul din Regulamentul (UE) 2016/679 (GDPR).

2. Descrierea prelucrării

Obiectul prelucrării

Avizo prelucrează date cu caracter personal exclusiv în scopul furnizării platformei de urmărire și notificare a expirărilor de documente, conform instrucțiunilor documentate ale Operatorului.

Natura prelucrării

Stocare, organizare, consultare, transmitere (notificări), ștergere automată conform politicii de retenție.

Tipuri de date personale

Nume și prenume ale angajaților sau persoanelor urmărite;
Adrese de email ale persoanelor de contact;
Numere de telefon (pentru notificări SMS/WhatsApp);
Date de expirare a documentelor asociate persoanelor (medicina muncii, certificări).

Categorii de persoane vizate

Angajați, colaboratori, conducători auto, persoane de contact ale firmei Operatorului.

Durata prelucrării

Pe durata relației contractuale dintre Operator și Avizo, plus 30 de zile după încetarea contractului (perioadă de recuperare date).

3. Obligațiile Procesatorului (Avizo)

Avizo se obligă să:

prelucreze datele exclusiv conform instrucțiunilor documentate ale Operatorului;
asigure că persoanele care accesează datele respectă confidențialitatea;
implementeze măsuri tehnice și organizatorice adecvate (Art. 32 GDPR);
nu angajeze sub-procesori fără informarea prealabilă a Operatorului — lista curentă este publicată în Politica de Confidențialitate;
asiste Operatorul în exercitarea drepturilor persoanelor vizate (acces, rectificare, ștergere, portabilitate);
notifice Operatorul în termen de 72 de ore de la descoperirea unui incident de securitate care afectează datele procesate;
la încheierea contractului, să șteargă sau să returneze toate datele cu caracter personal, la alegerea Operatorului, în termen de 30 de zile;
să pună la dispoziția Operatorului informațiile necesare demonstrării conformității și să permită auditarea (sau mandatarea unui auditor) cu notificare prealabilă de 14 zile.

4. Obligațiile Operatorului (Tenant)

Operatorul se obligă să:

furnizeze instrucțiuni clare și legale pentru prelucrarea datelor cu caracter personal;
asigure existența unei baze legale valide pentru prelucrarea datelor personale ale angajaților introduse în platformă (consimțământ, contract, obligație legală);
informeze persoanele vizate despre prelucrarea datelor prin Avizo;
notifice Avizo imediat dacă instrucțiunile de prelucrare ar putea viola GDPR sau altă legislație aplicabilă.

5. Securitate

Avizo implementează și menține măsuri tehnice și organizatorice care includ, fără limitare:

Criptare în tranzit (TLS 1.3) și la repaus;
Control acces pe baza rolurilor (RBAC);
Monitorizare continuă și alertare pentru acces neautorizat;
Backup-uri zilnice criptate cu retenție de 30 de zile;
Testare regulată a procedurilor de recovery;
Separarea datelor între Tenants (multi-tenancy izolat la nivel de aplicație).

6. Transferuri internaționale

Datele sunt stocate primar pe servere din UE (Hetzner, Germania). Unii sub-procesori (Twilio, Meta, Sentry) au sedii în SUA — transferurile sunt acoperite prin Clauze Contractuale Standard (SCC) adoptate de Comisia Europeană conform Art. 46 GDPR.

7. Contact

Pentru chestiuni legate de acest DPA: [email protected]