Acord de prelucrare a datelor

1. Scopul acordului

Acest acord completează termenii și condițiile și se aplică ori de câte ori, folosind Serviciul, ne transmiți date cu caracter personal pentru care tu ești operator. E redactat conform art. 28 din Regulamentul (UE) 2016/679.

Acordul se activează automat la crearea contului. Pentru clienții care au nevoie de un document semnat separat, îl putem furniza la cerere prin pagina de contact.

Operatorul Serviciului: OneAPI SRL · CUI RO00000000 · Reg. com. J00/0000/2026 · Str. Exemplu nr. 1, Bucureşti, România · Email contact@oneapi.ro · Telefon +40 000 000 000.

2. Rolurile părților

Pentru datele conținute în seturile de date publicate, noi acționăm ca operator, iar prelucrarea e descrisă în politica de confidențialitate.

Pentru datele pe care ni le transmiți tu prin apelurile către API — de exemplu o listă de coduri fiscale trimisă către endpoint-ul de verificare în bloc — tu ești operator, iar noi acționăm ca persoană împuternicită și prelucrăm strict pe baza instrucțiunilor tale, exprimate prin utilizarea Serviciului.

3. Obiectul prelucrării

• Natura și scopul: executarea interogărilor pe care le trimiți și returnarea rezultatelor.
• Durata: pe durata contractului. Datele transmise în requesturi sunt prelucrate exclusiv în memorie, pe durata requestului, și nu sunt scrise în stocare persistentă.
• Categorii de persoane vizate: determinate de tine prin conținutul requesturilor.
• Categorii de date: determinate de tine. Serviciul nu solicită și nu are nevoie de categorii speciale de date în sensul art. 9 GDPR; nu ne transmite astfel de date.

4. Obligațiile noastre

• Prelucrăm datele doar pe baza instrucțiunilor tale documentate, cu excepția obligațiilor legale imperative.
• Ne asigurăm că persoanele autorizate să prelucreze date sunt ținute de o obligație de confidențialitate.
• Te asistăm, în măsura posibilului, în îndeplinirea cererilor persoanelor vizate și a obligațiilor tale privind securitatea, notificarea încălcărilor și evaluările de impact.
• Punem la dispoziție informațiile necesare pentru a demonstra respectarea art. 28.

5. Subîmputerniciți

Ne autorizezi în mod general să folosim subîmputerniciți pentru funcții tehnice specifice — găzduire de infrastructură, procesare de plăți, livrare de email tranzacțional. Toți sunt localizați în Uniunea Europeană și sunt ținuți de obligații cel puțin echivalente cu cele din acest acord.

Lista actualizată e disponibilă la cerere. Te anunțăm cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui subîmputernicit, iar dacă ai o obiecție întemeiată, poți înceta contractul fără penalizare.

6. Transferuri internaționale

Nu transferăm date cu caracter personal în afara Spațiului Economic European. Dacă un subîmputernicit ar impune un astfel de transfer, acesta se face doar cu garanțiile prevăzute de capitolul V din GDPR — de regulă clauzele contractuale standard ale Comisiei Europene.

7. Măsuri de securitate

Aplicăm măsuri tehnice și organizatorice adecvate: criptare în tranzit, izolarea mediilor, control de acces bazat pe rol, autentificare în doi pași pentru accesul administrativ, stocarea token-urilor exclusiv sub formă de hash, jurnalizarea accesului administrativ și copii de siguranță periodice, testate.

8. Notificarea incidentelor

Te notificăm fără întârziere nejustificată și în cel mult 48 de ore de la momentul în care luăm cunoștință de o încălcare a securității care îți afectează datele, cu descrierea naturii incidentului, a consecințelor probabile și a măsurilor luate.

9. Returnare și ștergere

Întrucât nu stocăm conținutul requesturilor tale, nu există date de returnat la încetarea contractului. Datele de cont și statisticile agregate se șterg conform termenelor din politica de confidențialitate.

10. Durata și încetarea

Acest acord produce efecte pe durata în care prelucrăm date în numele tău și încetează odată cu contractul principal. Prevederile care, prin natura lor, trebuie să supraviețuiască încetării (confidențialitate, ștergere) rămân aplicabile.

11. Audit

La cerere scrisă și rezonabilă, îți punem la dispoziție documentația privind măsurile de securitate. Auditurile la fața locului se pot organiza cu preaviz de 30 de zile, cel mult o dată pe an, cu excepția cazurilor în care o autoritate de supraveghere impune altfel.

12. Ordinea de prioritate

În caz de neconcordanță între acest acord și termenii și condițiile generale cu privire la prelucrarea datelor cu caracter personal, prevalează acest acord.