Acord de Prelucrare a Datelor

Operator: Nodbit S.R.L., CUI 54724940, Nr. Reg. Com. J2026032993000, sediu: Str. Nicolae Iorga nr. 52, Bl. 52, Ap. 36, Piatra Neamț, jud. Neamț cod poștal 610274. Email: [email protected], juridic: [email protected]. Telefon: 40732342902. Neplătitor de TVA. Administrator: Gurău Alexandru. https://enkria.com/.

Acest Acord de prelucrare a datelor („DPA”) este încheiat între Prestator (organizația / spațiul de lucru din Enkria), în calitate de operator, și Enkria, în calitate de persoană împuternicită, pentru datele personale pe care Prestatorul le pune în Serviciu despre clienții, semnatarii și contactele lui.

DPA-ul nu acoperă datele de cont, de credite, de cookie-uri sau de prevenire a abuzurilor ale Prestatorului față de Enkria: acolo Enkria este operator, conform Politicii de confidențialitate. Se citește împreună cu Termenii și Condițiile. Pe prelucrarea datelor clienților tăi, acest DPA prevalează asupra Termenilor dacă diverg.

Operatorul este organizația al cărei proprietar a acceptat DPA-ul. Membrii invitați prelucrează în numele aceleiași organizații, nu ca operatori comuni, decât dacă legea spune altfel.

Enkria prelucrează datele doar ca să furnizeze SaaS-ul: găzduire, email transacțional, generare PDF, stocare fișiere, cereri de plată, evidență a semnăturii, mesaje de proiect și copii de siguranță. Enkria nu folosește datele clienților tăi pentru antrenare de modele AI, publicitate, vânzare sau analitice de produs care identifică persoana.

Excepție: emailul clienților tăi îl folosim și în scopuri proprii: (a) ca să numărăm clienții unici pentru pragul gratuit și consumul de credite (registrul de credite păstrează emailul clientului deblocat) și (b) ca semnal împotriva abuzurilor, verificând dacă aceleași emailuri de client apar și în alte conturi, fără să ți le arătăm. Pentru aceste scopuri Enkria este operator, conform Politicii de confidențialitate. Tot ca operator ține Enkria jurnalul de audit (cine a făcut ce acțiune în spațiul de lucru și când), ca evidență proprie de securitate și probă.

Durata prelucrării este durata Termenilor, plus ce prevede articolul 12 după încetare. Instrucțiunile tale sunt: Termenii, acest DPA și setările din produs (de exemplu arhivare client, politici de deblocare, cereri de export sau anonimizare).

• clienții Prestatorului și persoanele de contact ale lor;
• semnatarii unui contract (inclusiv fără un cont durabil);
• persoanele ale căror date apar în contracte, oferte sau fișiere încărcate;
• membrii echipei Prestatorului, în măsura în care datele lor apar în spațiul de lucru ca utilizatori — relația lor de cont cu Enkria rămâne, pentru login, sub Politica de confidențialitate.

• identitate și contact: nume, email, telefon, WhatsApp, adresă;
• identificatori fiscali: CUI, CNP, dacă îi completezi;
• IBAN și dovezi de plată încărcate;
• conținut de contract și ofertă, versiuni, hash, PDF;
• semnătură: imagine sau nume tastat, text de consimțământ, metadate;
• mesaje de proiect, fișiere, nume originale, evenimente de descărcare;
• date financiare de proiect: sume, rate, status, documente comerciale interne.

Date din art. 9/10 GDPR (sănătate, biometrie etc.) nu sunt cerute de Enkria. Dacă le încarci tu, garantezi că ai temei, că sunt minime și că poți instrui Enkria legal. Enkria poate refuza sau șterge conținut care încalcă utilizarea acceptabilă.

Natura prelucrării: stocare, transmitere, afișare în portal, backup, jurnalizare de audit (jurnalul îl păstrează și Enkria, ca evidență proprie; articolul 2), generare de documente comerciale interne. Enkria nu ia decizii de creditare și nu face scoring asupra clientului tău final în interes propriu.

• prelucrează doar pe instrucțiuni documentate, inclusiv export, ștergere/anonimizare și transferuri în afara SEE, sub rezerva articolului 12, cu excepția cazului în care legea o obligă altfel; atunci te informează înainte, dacă legea nu interzice;
• te informează imediat dacă, în opinia noastră, o instrucțiune încalcă GDPR;
• impune confidențialitate personalului și subcontractanților care au acces;
• aplică măsurile de la articolul 10 (art. 32 GDPR);
• te ajută rezonabil la cererile persoanelor (DSAR): tu răspunzi prima linie clienților tăi; Enkria pune unelte în produs (export, arhivare, cerere verificată) și acționează unde este persoană împuternicită;
• te ajută rezonabil la o DPIA sau o consultare ANSPDCP, dacă prelucrarea din Enkria o face necesară;
• ține evidențe ale prelucrărilor ca împuternicit (art. 30 alin. 2);
• rămâne răspunzătoare față de tine pentru sub-împuterniciți, în limitele articolului 13 și ale Termenilor.

Audit: poți cere, rezonabil și nu mai des decât o dată pe an în afara unui incident, un chestionar de securitate și rezumate de certificări sau rapoarte ale sub-împuterniciților. Inspecție on-site doar dacă e proporțională, cu preaviz, fără a compromite securitatea altor clienți, pe cheltuiala ta dacă nu există o încălcare confirmată imputabilă Enkria.

• ai temei legal să pui datele în Enkria (contract cu clientul, informare art. 13, CNP doar dacă e necesar);
• îți informezi clienții că folosești Enkria ca persoană împuternicită;
• nu ceri Enkria să încalce GDPR;
• configurezi corect rolurile membrilor (proprietar, admin, membru) — produsul nu are o setare separată pentru cine vede CNP-ul sau IBAN-ul — și îți gestionezi retenția internă (arhivare, descărcări);
• răspunzi prima linie la DSAR-urile clienților tăi;
• despăgubești Enkria pentru date puse ilegal (CNP fără temei, date ale minorilor folosite într-un scop nepotrivit, date de sănătate fără bază), în măsura permisă de lege.

Ne autorizezi în general să folosim sub-împuterniciți pentru a rula Serviciul. Lista curentă (Anexa A):

Facturile pentru creditele pe care le cumperi de la Enkria sunt emise prin StartCo (EXODIGITAL S.R.L., CUI RO39998730, Cluj-Napoca). Pentru datele din aceste facturi Enkria este operator, conform Politicii de confidențialitate, iar ele nu intră în acest DPA (articolul 1). De aceea StartCo nu este sub-împuternicit pentru datele clienților tăi: nu primește datele clienților tăi și nu emite facturile tale către Client. Înainte de a adăuga sau înlocui un sub-împuternicit, te anunțăm pe emailul contului, cu cel puțin 14 zile înainte, și actualizăm lista de mai sus (și Politica de confidențialitate). Poți obiecta din motive GDPR întemeiate în acest termen; remediul este încetarea spațiului de lucru, nu un veto tehnic nelimitat. Enkria rămâne răspunzătoare față de tine pentru sub-împuterniciți.

Unde un sub-împuternicit prelucrează în afara SEE, transferul se bazează pe un mecanism recunoscut: decizie de adecvare, clauze contractuale standard ale Comisiei (SCC) și, dacă e cazul, măsuri suplimentare. Poți cere un rezumat la [email protected]. Nu publicăm contractele noastre cu furnizorii.

• TLS în tranzit; izolare pe organizație (tenant) la citirea datelor;
• control de acces pe roluri; sesiuni server-side, autentificare prin cod pe email;
• câmpuri sensibile (email, telefon, IBAN, CNP etc.) criptate în repaus, unde produsul o face;
• jurnal de audit fără secrete (OTP, tokenuri, corp de contract) în metadate;
• Sentry, doar când e activat, fără PII din cereri; PostHog fără identify pe email;
• backup-uri ale infrastructurii, cu fereastră de restore; un restore nu recreează singur plățile Stripe sau fișierele Cloudinary.

Aceste măsuri sunt nivelul de detaliu potrivit unui client B2B, nu un raport de pentest public. Le putem actualiza fără a reduce semnificativ protecția.

Dacă aflăm de o breșă care privește datele unde Enkria este persoană împuternicită, te anunțăm fără întârziere nejustificată, de regulă în 24–48 de ore de la momentul în care luăm cunoștință de ea, ca tu să poți respecta termenul de 72 de ore pentru notificarea ANSPDCP. Notificarea include, pe cât știm: natura, categoriile, un număr aproximativ, consecințe probabile, măsuri și un contact.

Tu (operatorul) anunți ANSPDCP și, dacă e cazul, persoanele vizate. Enkria te sprijină cu faptele tehnice. Dacă breșa privește date unde Enkria este operator (conturi de platformă, credite, cookie-uri), Enkria face ea însăși notificările, conform Politicii de confidențialitate.

La o cerere acceptată de anonimizare a unei persoane vizate (un client al tău sau alt utilizator), Enkria anonimizează sau șterge, în măsura tehnică rezonabilă: email, nume, telefon, note, avatar, corpul mesajelor, nume de fișiere, IBAN afișat, sesiuni. Rândurile rămân fără date de contact utile, unde e posibil (tombstone). Excepție, deocamdată: numele clientului poate rămâne în notificările și emailurile deja trimise ție.

Rămân după o astfel de anonimizare (le accepți explicit prin acest DPA): contracte și versiuni, evenimente de semnătură, PDF-ul de contract, cereri de plată, rate, încercări, rambursări, documente comerciale interne, evenimente de descărcare, profilul fiscal al organizației. Motivul: sunt evidența contractului tău cu clientul și proba semnăturii, de care ai nevoie ca operator, inclusiv pentru obligații fiscale și în litigii. Evidențele proprii ale Enkria (registrul de credite, deblocările, jurnalul de audit, facturile pentru credite) nu intră în acest DPA; sunt descrise în Politica de confidențialitate.

Închiderea spațiului de lucru o ceri la [email protected]: produsul nu are încă o funcție de închidere, iar anonimizarea contului tău de proprietar nu anonimizează singură datele clienților din spațiul de lucru. La încetare, la alegerea ta, îți returnăm datele sau le ștergem. Returnarea înseamnă că descarci tu documentele și fișierele din Serviciu (nu există încă un export complet al spațiului de lucru); apoi ștergem sau anonimizăm datele clienților din spațiul de lucru, inclusiv copiile, cu excepția celor pe care legea ne obligă să le păstrăm — caz în care îți spunem temeiul și durata. Copiile de siguranță dispar la rotația lor.

Descărcarea documentelor și a fișierelor înainte de închidere este responsabilitatea ta. Detalii de durată: Politica de confidențialitate — Cât păstrăm datele.

Față de persoanele vizate se aplică art. 82 GDPR, inclusiv răspunderea pentru întregul prejudiciu (alin. (4)); între noi, fiecare parte suportă partea de răspundere care îi revine (alin. (5)). Enkria răspunde ca persoană împuternicită doar în condițiile art. 82 alin. (2). Plafonul contractual din Termeni (față de Prestatorii profesioniști) se aplică daunelor contractuale, fără a anula drepturile GDPR ale persoanelor vizate. Enkria nu răspunde pentru instrucțiuni ilegale sau pentru conținut pe care tu îl încarci fără temei.

Legea aplicabilă și instanțele urmează Termenii, fără a tăia drepturile consumatorului unde Enkria vinde credite unei persoane fizice. Acceptarea se înregistrează la crearea spațiului de lucru: utilizator, organizație, versiunea DPA, dată. Versiunea și data sunt în capul acestui document.

Putem actualiza DPA-ul. Pentru schimbări semnificative ale prelucrării, în defavoarea ta, anunțăm pe email-ul contului sau în aplicație, cu cel puțin 15 zile înainte, acolo unde este rezonabil; adăugarea sau înlocuirea unui sub-împuternicit urmează doar articolul 8 (anunț pe email cu cel puțin 14 zile înainte). Continuarea folosirii după data de intrare în vigoare, sau o nouă acceptare cerută în produs, înseamnă acord.

Pentru instrucțiuni de prelucrare, sub-împuterniciți sau breșe: [email protected]. Nu trimite OTP, URL-uri semnate sau corpul contractului.