Contract de prelucrare a datelor

Versiunea 1.0, în vigoare din 7 octombrie 2026.

Contractul ăsta e cerut de art. 28 din Regulamentul (UE) 2016/679 (GDPR). Face parte din Termenii și condițiile semnara și îl accepți electronic când îți faci cont, bifând căsuța de acceptare. Păstrăm versiunea acceptată, data și ora, contul și adresa IP de la care s-a făcut acceptarea. Dacă ai nevoie de el semnat separat, scrie-ne.

1. Părțile

• Operatorul: clientul semnara, adică firma sau organizația titulară a contului, cu datele din cont.
• Persoana împuternicită: ARHAI S.R.L., Str. Piatra Craiului nr. 36G, Oradea, jud. Bihor, CUI 35913161, Nr. Reg. Com. J2016000743052, contact@arhai.ro.

2. Ce prelucrăm, cât timp și de ce

Obiectul și scopul. Prelucrăm date doar ca să furnizăm serviciul semnara: păstrăm documentele încărcate, creăm câte un link pentru fiecare destinatar, trimitem linkurile pe e-mail sau SMS când ne ceri, afișăm documentul, înregistrăm semnătura sau confirmarea primirii, primim ordinele de plată și ținem jurnalul de dovezi.

Durata. Cât timp ai cont, plus perioada de export și ștergere de la punctul 10.

Persoanele vizate. Destinatarii documentelor tale (de exemplu membri, colaboratori, angajați, clienți, chiriași) și operatorii din contul tău.

Categoriile de date.

• date de identificare și contact: nume, telefon, e-mail;
• conținutul documentelor încărcate de tine, oricare ar fi el;
• semnătura (imaginea ei), numele scris la semnare, momentul semnării sau al confirmării;
• adresa IP și datele despre browser și dispozitiv la deschiderea și semnarea documentului;
• ordinele de plată încărcate de destinatari (date financiare).

Serviciul nu e gândit pentru categorii speciale de date (art. 9 GDPR) sau pentru CNP-uri. Dacă documentele tale le conțin, tu răspunzi pentru temeiul legal și garanțiile cerute de lege (inclusiv Legea nr. 190/2018) și ne anunți dinainte.

3. Ce ne obligăm să facem

1. Prelucrăm datele doar după instrucțiunile tale documentate. Instrucțiunile sunt acest contract, Termenii și ce faci tu în aplicație (de exemplu, când trimiți un document). Dacă legea ne obligă să facem altceva, te anunțăm înainte, dacă legea ne permite.
2. Te anunțăm imediat dacă o instrucțiune ni se pare contrară GDPR.
3. Oamenii noștri care au acces la date sunt obligați să păstreze confidențialitatea și au acces doar cât e nevoie.
4. Luăm măsurile de securitate din Anexa 1 (art. 32 GDPR).
5. Folosim sub-împuterniciți doar după regulile de la punctul 4.
6. Te ajutăm, prin funcțiile aplicației și la cerere, să răspunzi cererilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). Dacă o cerere ajunge direct la noi, ți-o transmitem fără întârziere și nu răspundem noi în locul tău.
7. Te ajutăm cu informațiile pe care le avem pentru securitate, notificarea încălcărilor, evaluarea de impact și consultarea autorității (art. 32–36 GDPR).
8. La final, ștergem sau îți dăm înapoi datele, după cum alegi, conform punctului 10.
9. Îți punem la dispoziție informațiile necesare ca să verifici că respectăm contractul și acceptăm audituri rezonabile: cu preaviz de 30 de zile, cel mult o dată pe an (în afara situației unui incident), pe costul tău, fără acces la datele altor clienți.

4. Sub-împuterniciți

Ne dai o autorizare generală să folosim sub-împuterniciții din Anexa 2. Fiecare are cu noi un contract cu obligații de protecție a datelor cel puțin la fel de stricte ca acestea și răspundem față de tine pentru ei. Înainte să adăugăm sau să schimbăm un sub-împuternicit, te anunțăm pe e-mail cu cel puțin 30 de zile înainte. Dacă ai un motiv întemeiat să te opui, ne spui în acest interval; dacă nu găsim o soluție, poți înceta contractul fără costuri și îți returnăm partea plătită și nefolosită.

5. Transferuri în afara SEE

Transferăm date în afara Spațiului Economic European doar cu garanțiile din capitolul V GDPR (decizie de adecvare sau clauze contractuale standard). Azi, transferurile posibile sunt cele din Anexa 2, coloana „Transfer".

6. Încălcarea securității datelor

Dacă aflăm de o încălcare a securității datelor tale, te anunțăm fără întârziere nejustificată și în cel mult 48 de ore de la momentul în care am aflat, cu ce știm atunci: ce s-a întâmplat, ce date și câte persoane sunt afectate, ce consecințe pot apărea, ce am făcut și ce îți recomandăm. Completăm informațiile pe măsură ce le aflăm. Notificarea către autoritate și către persoanele vizate o faci tu, ca operator; te ajutăm cu tot ce avem.

7. Ce te obligi să faci

• Ai temei legal pentru prelucrare și le dai destinatarilor informarea cerută de art. 13 și 14 GDPR.
• Ne dai doar instrucțiuni legale și încarci doar datele de care e nevoie.
• Păstrezi accesul la cont în siguranță și ne anunți dacă bănuiești că a fost compromis.

8. Răspunderea

Fiecare parte răspunde după art. 82 GDPR și după regulile de răspundere din Termeni.

9. Ce se aplică în caz de contradicție

Pentru protecția datelor, contractul acesta are prioritate față de Termeni.

10. La final

Când contul se închide, ai 30 de zile în care poți descărca documentele și jurnalul. După aceea ștergem datele din aplicație în cel mult 30 de zile, iar din copiile de siguranță criptate dispar pe măsură ce copiile vechi expiră, în cel mult 6 luni. Păstrăm doar ce ne obligă legea să păstrăm. La cerere, îți confirmăm ștergerea în scris.

Anexa 1. Măsuri tehnice și organizatorice

• Toată comunicarea e criptată (HTTPS, TLS 1.2 sau mai nou).
• Linkurile de acces ale destinatarilor se păstrează doar ca amprentă (hash SHA-256), nu în clar.
• Parolele se păstrează doar ca hash; cerem parole lungi și le verificăm față de liste de parole compromise.
• Datele fiecărui client sunt separate logic; fiecare cerere verifică pe server că resursa aparține contului.
• Fișierele încărcate stau pe un disc privat, nu într-un folder public, și nu se indexează.
• Antete de securitate pe toate paginile (politică de conținut cu nonce, HSTS), limitarea numărului de cereri pe linkuri și la autentificare.
• Jurnal de evenimente care nu se rescrie, pentru fiecare document.
• Copii de siguranță zilnice, criptate, într-un alt centru de date din UE; restaurarea se verifică săptămânal.
• Acces la server și la date doar pentru oamenii care au nevoie, cu autentificare puternică; actualizări de securitate aplicate repede, cu scanare automată a vulnerabilităților.

Anexa 2. Sub-împuterniciți