Acord de prelucrare a datelor (DPA)
Ultima actualizare:
Acest acord face parte din Termenii și condițiile QRtimetrack și se aplică automat fiecărui client (angajatorul), conform art. 28 din Regulamentul (UE) 2016/679 (GDPR). Dacă aveți nevoie de o versiune semnată, scrieți-ne la contact@qrtimetrack.com.
1. Părțile și rolurile
Clientul (angajatorul care folosește QRtimetrack) este operator pentru datele angajaților săi. NINE UNIT GROUP S.R.L., CUI 54549440, J2026027060009, București, Sector 1, Intrarea Gheorghe Simionescu nr. 19, ap. B26 este persoană împuternicită și prelucrează aceste date doar pentru a furniza serviciul și doar la instrucțiunile documentate ale clientului (setările din cont și acest acord).
2. Obiectul și durata
Evidența timpului de muncă: pontaje (venire, plecare, pauze), locația din momentul pontajului, selfie-uri (dacă clientul le cere), verificări de prezență, cereri de concediu, sarcini, rapoarte și exporturi. Prelucrarea durează cât timp contul clientului este activ, plus perioada de ștergere de mai jos.
3. Categorii de persoane și de date
Angajații și colaboratorii clientului, precum și utilizatorii dashboard-ului (manageri, administratori). Date: nume, telefon/e-mail (opțional), funcție, ore lucrate, locația GPS la pontaj, adresa IP la pontajul de la calculator, selfie, activitatea la calculator (doar activ/inactiv, dacă e pornită), cereri de concediu. Nu prelucrăm date biometrice: Face ID / amprenta sunt verificate pe telefonul angajatului. Nu facem recunoaștere facială: selfie-urile sunt doar poze atașate pontajului, nu sunt analizate tehnic pentru identificare și se șterg după 30 de zile.
4. Obligațiile noastre
Prelucrăm datele doar pentru serviciu; asigurăm confidențialitatea persoanelor care au acces; aplicăm măsuri tehnice și organizatorice adecvate; ajutăm clientul să răspundă cererilor persoanelor vizate (acces, rectificare, ștergere, export); notificăm clientul fără întârzieri nejustificate, în cel mult 48 de ore de la constatare, despre orice încălcare a securității datelor; punem la dispoziție informațiile necesare pentru a demonstra conformitatea; informăm imediat clientul dacă o instrucțiune încalcă legislația privind protecția datelor; asistăm clientul la evaluările de impact (DPIA), la consultarea autorității și la obligațiile din art. 32–36 GDPR. Notificarea unei încălcări descrie natura ei, categoriile și numărul aproximativ de persoane și înregistrări, consecințele probabile și măsurile luate (art. 33 alin. (3) GDPR). Ținem registrul activităților de prelucrare ca persoană împuternicită (art. 30 alin. (2) GDPR).
5. Măsuri de securitate
Conexiuni criptate (HTTPS/TLS); baza de date și fișierele găzduite în Uniunea Europeană (Frankfurt); acces separat pe firme prin reguli la nivel de bază de date; parole stocate doar ca hash; acces limitat al managerilor la locațiile lor; jurnal al corecturilor (cine, când, de ce); selfie-uri șterse automat după 30 de zile; backup zilnic păstrat 14 zile.
6. Sub-împuterniciți
Clientul aprobă folosirea următorilor sub-împuterniciți: Supabase Inc. (baza de date și fișierele, regiunea UE – Frankfurt, Germania); OVH SAS (serverul dedicat al aplicației, Gravelines, Franța – UE); Resend Inc. (e-mailuri de serviciu, SUA; clauze contractuale standard); Stripe Payments Europe Ltd. (plăți, Irlanda; doar datele de facturare ale clientului); serviciile de notificări ale telefoanelor (Apple, Google, Mozilla), care primesc doar textul notificării. Google Analytics se folosește doar pe site, doar cu acordul vizitatorului, și nu primește date despre angajați. Impunem fiecărui sub-împuternicit, prin contract, aceleași obligații de protecție a datelor ca în acest acord și răspundem față de client pentru ei. Vă anunțăm cu cel puțin 30 de zile înainte de adăugarea sau schimbarea unui sub-împuternicit; clientul poate obiecta și poate închide contul fără costuri.
7. Transferuri în afara UE
Baza de date și fișierele (inclusiv selfie-urile) sunt stocate în UE, la Frankfurt. Serverul aplicației este în UE (OVH, Gravelines, Franța). Trimiterea e-mailurilor (Resend) este în SUA: datele de contact trec prin acest serviciu, pe baza clauzelor contractuale standard ale Comisiei Europene (Decizia 2021/914), cu criptare în tranzit și o evaluare a impactului transferului păstrată de noi și pusă la dispoziția clientului la cerere.
8. Obligațiile clientului
Clientul stabilește temeiul legal al prelucrării (de regulă obligația legală de evidență a timpului de muncă și interesul legitim), informează angajații (aplicația afișează o informare pe care angajatul o confirmă), configurează funcțiile opționale (selfie, verificări de prezență, activitate la calculator) proporțional cu scopul și, unde e cazul, consultă reprezentanții salariaților.
9. Ștergerea și returnarea datelor
Clientul poate exporta oricând datele (Excel, CSV, API). La închiderea contului, clientul alege dacă datele îi sunt returnate (export complet) sau șterse; ștergerea se face în cel mult 30 de zile. Unde legea cere păstrarea evidenței timpului de muncă (de ex. 4 ani în Spania), clientul trebuie să exporte și să arhiveze datele înainte de închidere. Datele se șterg, cu excepția celor pe care legea ne obligă să le păstrăm (de ex. facturile). Copiile din backup dispar în cel mult 14 zile după aceea.
10. Audit
La cererea scrisă a clientului, punem la dispoziție informațiile despre măsurile de securitate. Un audit la fața locului se poate face o dată pe an, cu un preaviz de 30 de zile, pe cheltuiala clientului, fără a afecta confidențialitatea altor clienți.
11. Dispoziții finale
În caz de conflict între acest acord și Termenii și condițiile, prevalează acest acord în ce privește protecția datelor. Legea aplicabilă este legea română.
Politica de confidențialitate · Termeni și condiții · Politica de cookie-uri