Acord de prelucrare a datelor (DPA)
Acest acord („Acordul”) face parte din Termenii și condițiile Onement. Se încheie între organizația care folosește Serviciul („Operatorul” sau „Clientul”) și [Denumire firmă SRL / PFA], CUI [CUI], cu sediul în [Adresa sediului], Cluj-Napoca, România („Persoana împuternicită” sau „Furnizorul”), și reglementează prelucrarea datelor personale ale Membrilor (studenți, mentori) în numele Operatorului, conform art. 28 GDPR.
Organizațiile care au nevoie de o versiune semnată a acordului (de exemplu universitățile) o pot solicita la privacy@onement.ro.
1. Obiect și durată
Persoana împuternicită prelucrează datele descrise în Anexa 1, exclusiv pentru furnizarea Serviciului. Acordul se aplică pe toată durata contractului și până la ștergerea sau returnarea tuturor datelor.
2. Instrucțiuni
Persoana împuternicită prelucrează datele doar pe baza instrucțiunilor documentate ale Operatorului: acești termeni, configurarea Serviciului făcută de Operator (înscriere, reguli pentru cereri, ponderile potrivirii, locul de stocare a documentelor) și acțiunile utilizatorilor săi. Excepție fac obligațiile legale, caz în care Operatorul este informat în prealabil, dacă legea permite. Persoana împuternicită informează Operatorul dacă o instrucțiune i se pare contrară GDPR.
3. Confidențialitate
Persoanele autorizate să prelucreze datele (administratorii tehnici ai Furnizorului) s-au angajat să respecte confidențialitatea. Ele accesează datele doar când este necesar: suport solicitat de Operator, incidente, cerințe legale.
4. Securitate
Persoana împuternicită aplică măsurile din Anexa 2 (art. 32 GDPR) și le poate actualiza fără a scădea nivelul general de securitate.
5. Persoane împuternicite secundare
Operatorul acordă o autorizare generală pentru sub-împuterniciții din Anexa 3. Persoana împuternicită anunță Operatorul cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui sub-împuternicit (inclusiv la mutarea serviciului pe alt furnizor de găzduire). Operatorul se poate opune motivat și, dacă nu se găsește o soluție, poate înceta contractul fără penalități. Sub-împuterniciților li se impun obligații echivalente cu cele din acest Acord.
Nextcloud-ul Operatorului, dacă acesta alege să păstreze documentele echipelor acolo, este infrastructura Operatorului și nu un sub-împuternicit al Furnizorului.
6. Asistență pentru Operator
- Cererile persoanelor vizate: Serviciul permite consultarea, corectarea și ștergerea profilurilor; Furnizorul pune la dispoziție, la cerere, exportul complet al organizației. Cererile primite direct sunt transmise Operatorului fără întârziere.
- Încălcarea securității datelor: notificare fără întârziere nejustificată, în cel mult 48 de ore de la constatare, cu informațiile disponibile despre natura incidentului, persoanele și înregistrările afectate, consecințe și măsuri.
- Evaluări de impact: Furnizorul oferă informațiile rezonabile de care Operatorul are nevoie (art. 35–36 GDPR), inclusiv descrierea logicii de potrivire.
7. Transferuri
Datele sunt stocate în Uniunea Europeană ([Regiunea OCI, ex. UE — Frankfurt (eu-frankfurt-1)]). Un transfer în afara SEE se face doar cu garanțiile din capitolul V GDPR, de regulă clauzele contractuale standard.
8. Ștergerea sau returnarea datelor
La încetarea contractului, Operatorul poate obține exportul complet timp de 30 de zile. Apoi datele sunt șterse din sistemele active, iar din backup-uri la încheierea rotației (cel mult 190 de zile), cu excepția cazurilor în care legea impune păstrarea lor. La cerere, ștergerea se confirmă în scris.
9. Audit
Persoana împuternicită pune la dispoziție informațiile necesare pentru a demonstra respectarea art. 28 GDPR (documentația din Anexa 2, jurnalul de activitate, răspunsuri la chestionare) și permite inspecții cu notificare prealabilă rezonabilă, fără a compromite securitatea altor clienți. Costurile auditurilor la fața locului sunt suportate de Operator, cu excepția cazului în care se descoperă o încălcare semnificativă.
10. Răspundere și prioritate
Răspunderea părților este cea din GDPR și din Termeni. În caz de contradicție privind protecția datelor, prevalează acest Acord.
Anexa 1 — Descrierea prelucrării
| Natura și scopul | Derularea programului de mentorat al Operatorului: profiluri, potrivire automată între mentori, studenți și idei (cu explicații), aplicări, cereri de mentorat, echipe, spații de lucru (discuții, documente, sarcini, jurnal de mentorat), notificări pe e-mail. Operațiuni: colectare, stocare, consultare, calcul de scoruri, structurare, export, ștergere. |
|---|---|
| Persoane vizate | Studenții și mentorii Operatorului; echipa Operatorului. |
| Categorii de date | Date de identificare și contact (nume, e-mail); date despre studii (universitate, facultate, specializare, an); date profesionale ale mentorilor (titlu, companie, experiență); competențe și niveluri, domenii de interes și de experiență, disponibilitate, limbi, format; ideile de afaceri și activitatea în program; conținutul spațiilor de lucru (mesaje, documente, sarcini, notițe de mentorat); feedback; date tehnice (sesiuni, IP, jurnal de activitate). |
| Categorii speciale | Niciuna. Operatorul își informează Membrii să nu introducă astfel de date. |
| Durata | Pe durata contractului, conform setărilor și ștergerilor Operatorului, plus termenele de la punctul 8. |
Anexa 2 — Măsuri tehnice și organizatorice
- Criptare în tranzit: HTTPS/TLS pe toate domeniile, HSTS.
- Separarea datelor: fiecare organizație are spațiul ei logic, cu chei străine compuse care împiedică legarea datelor între organizații; sesiunile sunt legate de subdomeniu.
- Controlul accesului: conturi nominale, roluri (proprietar, administrator, coordonator, mentor, student), acces la spațiile echipelor doar pentru membri, mentori și coordonatori; parole argon2, sesiuni revocabile cu expirare, limitarea încercărilor de autentificare, protecție CSRF; invitații și resetări cu tokenuri unice, cu expirare.
- Minimizare: e-mailul studentului e vizibil mentorului doar după acceptare; profilul poate fi ascuns mentorilor; documentele se descarcă doar ca atașament, cu antete care împiedică executarea lor în browser.
- Secrete: parolele de aplicație Nextcloud ale organizațiilor sunt criptate în baza de date și nu sunt afișate niciodată.
- Trasabilitate: jurnal de activitate pentru acțiunile importante (autentificări, inclusiv eșuate, setări, decizii, moderare, modificări și ștergeri în spațiile echipelor cu versiunea anterioară, restaurări), accesibil doar proprietarului și administratorilor Operatorului, păstrat 12 luni și apoi șters automat. Personalul Furnizorului vede doar volume agregate, fără conținut, persoane sau adrese IP.
- Disponibilitate: backup automat al bazei de date, local (14 zile) și criptat (AES-256) într-un spațiu de stocare din UE, cu rotație (cel mult 190 de zile), verificarea copiilor, procedură de restaurare documentată; copie criptată a exportului înainte de ștergerea unei organizații arhivate.
- Infrastructură: server dedicat în UE, firewall care permite doar traficul web și SSH cu cheie, actualizări de securitate automate, aplicație în containere sub utilizator neprivilegiat, baza de date neexpusă public, cu rol separat per aplicație.
- Organizatoric: acces administrativ restrâns, procedură de răspuns la incidente cu notificare în cel mult 48 de ore.
Anexa 3 — Persoane împuternicite secundare
| Furnizor | Serviciu | Locația datelor |
|---|---|---|
| Oracle Cloud Infrastructure (Oracle Corporation și afiliații săi) | Infrastructură (server, stocare, rețea) | [Regiunea OCI, ex. UE — Frankfurt (eu-frankfurt-1)] |
| Brevo (Sendinblue SAS), Franța | Trimiterea e-mailurilor tranzacționale (invitații, resetare parolă, notificări) | UE |
| [Furnizorul spațiului de stocare pentru backup / arhivă] | Copii de siguranță criptate | UE |