Acord de prelucrare a datelor

Versiunea: 1.0 · Ultima actualizare: 18 octombrie 2026 · Acordul se încheie electronic, prin acceptarea la crearea contului de furnizor, cu salvarea datei, orei și versiunii acceptate.

Părțile

• Furnizorul – firma sau persoana care și-a creat un cont pe app.evenimentebuzau.ro, identificat prin datele din cont („Operatorul”);
• AMHOTECH SOFTWARE S.R.L., CUI 47079907, nr. de ordine în Registrul Comerțului J2022021395404, cu sediul social în București, sector 1, Str. Petre S. Aurelian nr. 62, parcela N, lot 9, camera 1, email info@evenimentebuzau.ro („Platforma” sau „Persoana împuternicită”).

Acordul face parte din Termenii pentru furnizori și se interpretează împreună cu ei. Dacă există o contradicție privind datele personale, acest acord prevalează.

1. Pe înțelesul tuturor: cine are ce rol

Datele unui client trec prin două „etape”, cu roluri diferite:

1. Primirea și transmiterea cererii (formularul de pe site). Clientul se adresează Platformei, care alege cum funcționează formularul, ce date cere și cui le trimite (furnizorilor aleși de client). Aici Platforma este operator în nume propriu, iar Politica de confidențialitate o acoperă. După ce furnizorul primește cererea și o folosește pentru a-i răspunde clientului, el este operator pentru ce face cu ea.
2. Administrarea cererilor în CRM: păstrarea, afișarea, mutarea în kanban, notițele și istoricul, cererile introduse manual de furnizor, cererile importate din Google Sheets (când va fi disponibil). Aici Platforma lucrează în numele și după instrucțiunile furnizorului – asta reglementează acest acord.

Pentru cererile introduse manual sau importate de furnizor (clienți aduși de el din alte surse), furnizorul este singurul operator, iar Platforma doar le găzduiește.

2. Definiții

• Date personale ale clienților: numele, telefonul, emailul, tipul și data evenimentului, numărul de invitați, bugetul, mesajul și orice alt element legat de o persoană identificabilă, la care Furnizorul are acces prin cont, inclusiv notițele, starea și istoricul asociate.
• Prelucrare, operator, persoană împuternicită, încălcarea securității datelor au sensul din Regulamentul (UE) 2016/679 („GDPR”).

3. Obiectul și durata

3.1. Platforma prelucrează datele personale ale clienților în numele Furnizorului pentru a-i oferi serviciile CRM și de administrare a cererilor din termeni.

3.2. Acordul se aplică de la prima dată când Furnizorul are acces la date personale ale clienților (în principal, de la activarea CRM) și durează cât timp Furnizorul are acces la astfel de date, plus perioada de returnare/ștergere (secțiunea 10).

3.3. Detaliile prelucrării (natura, scopul, tipurile de date, categoriile de persoane vizate) sunt în Anexa 1.

4. Obligațiile Platformei (persoana împuternicită)

Platforma:

a) prelucrează datele doar pe baza instrucțiunilor documentate ale Furnizorului, adică pe baza acestui acord și a modului în care Furnizorul folosește funcțiile CRM (adăugare, editare, ștergere, export). Dacă o instrucțiune încalcă GDPR sau legea, Platforma îl anunță;

b) nu folosește datele clienților din contul Furnizorului în scopuri proprii, diferite de cele din acord, cu excepția celor în care acționează ca operator în nume propriu (secțiunea 1, punctul 1) și a datelor anonimizate pentru statistici;

c) se asigură că persoanele care au acces la date sunt obligate la confidențialitate (prin contract sau prin lege);

d) aplică măsurile de securitate din Anexa 2 (art. 32 GDPR) și le actualizează pe măsura evoluției tehnice;

e) respectă condițiile pentru sub-împuterniciți (secțiunea 7);

f) îl ajută pe Furnizor, prin mijloace tehnice și organizatorice rezonabile, să răspundă cererilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). Dacă Platforma primește direct o astfel de cerere privind datele din CRM, o transmite Furnizorului în 5 zile lucrătoare, fără să răspundă pe fond în numele lui (în afara rolului ei de operator, secțiunea 1);

g) îl ajută pe Furnizor la obligațiile din art. 32–36 GDPR (securitate, notificarea încălcărilor, evaluarea impactului, consultarea autorității), ținând cont de natura prelucrării și de informațiile pe care le deține;

h) îl anunță pe Furnizor fără întârziere nejustificată și, dacă e posibil, în maximum 48 de ore de la constatare, despre orice încălcare a securității care afectează datele clienților din contul lui, cu: natura încălcării, categoriile și numărul aproximativ de persoane și înregistrări, consecințele probabile, măsurile luate sau propuse. Informațiile se pot da etapizat;

i) pune la dispoziția Furnizorului informațiile necesare pentru a dovedi respectarea acordului și permite verificări (secțiunea 9);

j) ține evidența prelucrărilor efectuate ca persoană împuternicită (art. 30 alin. 2 GDPR).

5. Obligațiile Furnizorului (operatorul)

Furnizorul:

a) răspunde pentru legalitatea prelucrării: are un temei legal pentru a contacta clientul și a-i folosi datele (în principal, cererea chiar a clientului, de a primi o ofertă) și informează persoanele vizate despre prelucrarea făcută de el (art. 13–14 GDPR);

b) folosește datele clienților numai pentru a răspunde cererii clientului, a negocia, încheia și executa contractul cerut, și pentru obligațiile legale legate de acesta;

c) nu folosește datele pentru marketing (reclame, newslettere, oferte pentru alte servicii, SMS, apeluri sau mesaje WhatsApp comerciale) fără acordul separat, liber și informat al persoanei (Legea 506/2004). Nu vinde, nu închiriază, nu transmite datele altor persoane (inclusiv concurenților sau agențiilor) și nu le adaugă în baze de date proprii în afara cererii;

d) păstrează datele doar cât este necesar scopului de la (b); șterge datele clienților care nu au dus la un contract, la cerere sau într-un termen rezonabil de 12 luni de la ultimul contact, cu excepția cazului în care legea îi cere să le păstreze (de exemplu documente fiscale);

e) nu introduce în CRM (notițe, import) date sensibile (art. 9 GDPR: sănătate, religie etc.) decât dacă este strict necesar și are un temei legal;

f) protejează contul (parolă puternică, nu împarte accesul); dacă permite accesul altor persoane din echipă, răspunde pentru ele și limitează accesul la cei care au nevoie;

g) pentru cererile introduse manual și Google Sheets: se asigură că are dreptul să le introducă și că persoanele au fost informate; foaia Google partajată rămâne în responsabilitatea lui;

h) îi anunță pe clienți și autoritatea când este obligat pentru o încălcare produsă în sistemele lui;

i) dacă un client cere ștergerea datelor sau își retrage acordul, le șterge din contul său CRM și din orice altă evidență proprie, cu excepțiile legale, și anunță Platforma dacă acea cerere privește copia din platformă.

6. Încălcări ale acordului

6.1. Folosirea datelor clienților contrar acestui acord (de exemplu marketing neacordat, transmitere către terți) este o încălcare gravă a termenilor și poate duce la suspendarea imediată a accesului la CRM și a contului (termenii pentru furnizori, secțiunea 11).

6.2. Fiecare parte răspunde în fața persoanelor vizate și a autorităților conform GDPR. Furnizorul despăgubește Platforma pentru pretențiile terților și amenzile cauzate de încălcarea obligațiilor sale din secțiunea 5; Platforma despăgubește Furnizorul pentru cele cauzate de încălcarea obligațiilor ei din secțiunea 4. Limitarea de răspundere din termenii pentru furnizori se aplică între părți, în măsura permisă de lege.

7. Sub-împuterniciți

7.1. Furnizorul dă Platformei autorizare generală să folosească sub-împuterniciți pentru găzduire și operare. Cei existenți la data acordului sunt în Anexa 3.

7.2. Platforma anunță Furnizorul (pe email sau în cont) cu cel puțin 15 zile înainte de adăugarea sau înlocuirea unui sub-împuternicit. Furnizorul poate obiecta motivat, în acest interval. Dacă nu se găsește o soluție, Furnizorul poate înceta folosirea CRM-ului și își poate șterge contul, cu restituirea proporțională a abonamentului neconsumat.

7.3. Platforma impune sub-împuterniciților, prin contract, obligații de protecție echivalente celor din acest acord și răspunde față de Furnizor pentru ei.

8. Transferuri în afara SEE

Datele clienților din CRM se prelucrează pe servere din UE (Frankfurt, Germania). Platforma nu transferă aceste date în afara SEE decât cu garanții adecvate (decizie de adecvare, clauze contractuale standard sau echivalent) și cu informarea Furnizorului.

9. Verificări

9.1. La cerere scrisă, Platforma pune la dispoziție informații despre măsurile de securitate și răspunde rezonabil la întrebări.

9.2. Dacă informațiile nu sunt suficiente sau o autoritate cere, Furnizorul poate face (direct sau printr-un auditor obligat la confidențialitate) o verificare, anunțată cu cel puțin 30 de zile, în timpul programului, fără a perturba activitatea și fără acces la datele altor furnizori. Costurile sunt ale Furnizorului, cu excepția cazului în care se constată o încălcare gravă din partea Platformei.

10. Încetarea: returnarea și ștergerea datelor

10.1. La încetarea CRM-ului (expirare, ștergere cont, încetarea acordului) Furnizorul are 30 de zile să exporte cererile și notițele din cont.

10.2. După aceasta, Platforma șterge datele clienților din contul Furnizorului în 30 de zile, cu excepția cazului în care Platforma are, în nume propriu, dreptul să le păstreze (ca operator, conform politicii de confidențialitate) sau legea o obligă. La cerere, confirmă ștergerea în scris. Copiile de siguranță ale furnizorului de găzduire dispar odată cu rotația lor (30 de zile, conform furnizorului), iar în acest interval datele nu mai sunt folosite.

10.3. Dacă Furnizorul reînnoiește CRM-ul în perioada de 12 luni din termenii pentru furnizori (secțiunea 8.4), datele rămân disponibile; până atunci Platforma nu le mai folosește pentru alte scopuri decât păstrarea lor în contul Furnizorului, la dispoziția acestuia.

11. Dispoziții finale

11.1. Legea aplicabilă și instanța competentă sunt cele din termenii pentru furnizori.

11.2. Dacă o dispoziție este nulă, restul rămâne valabil. Părțile adaptează acordul dacă legea sau o autoritate impune.

11.3. Acordul se modifică în aceleași condiții ca termenii pentru furnizori (preaviz de 15 zile pe email).

Anexa 1 – Descrierea prelucrării

Anexa 2 – Măsuri tehnice și organizatorice

• Conexiune criptată (HTTPS) pe site și în aplicație.
• Parolele conturilor sunt stocate doar sub formă criptată (hash), niciodată în clar.
• Limitarea încercărilor repetate de autentificare și a numărului de cereri trimise de pe aceeași conexiune; confirmarea adresei de email la înscriere.
• Conturi cu roluri: furnizorul vede doar cererile trimise către el; datele de contact ale clienților sunt ascunse furnizorilor fără CRM activ; funcțiile de administrare sunt limitate la administratorii platformei.
• Sesiunile de autentificare expiră automat după 2 ore de inactivitate.
• Codul aplicației și fișierul de configurare cu parole sunt păstrate pe server în afara folderului public.
• Datele sunt găzduite pe servere din UE (Frankfurt, Germania). Furnizorul de găzduire declară copii de siguranță zilnice, păstrate 30 de zile, și protecții la nivel de infrastructură (firewall, scanare anti-malware).
• Accesul administratorilor la datele din cont este limitat la ce este necesar pentru suport și administrare.
• În cazul unui incident care afectează datele, Platforma urmează procedura de la secțiunea 4 litera h).

Anexa 3 – Sub-împuterniciți (la data acordului)