Acord privind prelucrarea datelor (DPA)

Statutul și încheierea acordului

Prezentul acord privind prelucrarea datelor („DPA”) se aplică între clientul care utilizează mivochart pentru o organizație („Clientul”, operatorul) și operatorul mivochart („noi”, persoana împuternicită), ori de câte ori organigramele Clientului conțin date cu caracter personal. Acordul face parte din Termeni și condiții și se încheie prin acceptarea acestora. Îl puteți descărca în format PDF, de exemplu pentru arhivare sau semnare.

Processor: MIVO STUDIO S.R.L., Strada Teilor, Nr. 49B, Corp C3, Ap. 2, 407280 Sat Florești, Comuna Florești, Jud. Cluj, România, hello@mivochart.com.

1. Obiectul și durata

Prelucrăm date cu caracter personal în numele Clientului pentru a furniza mivochart: stocăm, afișăm, edităm, versionăm, partajăm și copiem de siguranță organigramele Clientului. Anexa 1 descrie datele, persoanele vizate și prelucrarea. DPA se aplică atât timp cât prelucrăm date cu caracter personal pentru Client.

2. Instrucțiuni

Prelucrăm datele numai pe baza instrucțiunilor documentate ale Clientului, inclusiv în ceea ce privește transferurile în afara UE, cu excepția cazului în care legea impune altfel; în acest caz, informăm Clientul în prealabil, dacă legea nu ne interzice. Instrucțiunile Clientului sunt cuprinse în acești termeni și în prezentul DPA, precum și în modul în care Clientul utilizează și configurează serviciul (de exemplu, activarea unui link de partajare). Informăm imediat Clientul dacă apreciem că o instrucțiune încalcă legislația privind protecția datelor.

Nu folosim datele în scopuri proprii, nu le vindem și nu le combinăm cu alte date.

3. Responsabilitățile clientului

Clientul răspunde de legalitatea prelucrării, în special de existența unui temei juridic, informarea persoanelor vizate (art. 13 și 14 RGPD), implicarea reprezentanților angajaților atunci când legea o impune, stabilirea destinatarilor linkurilor de partajare și ai încorporărilor și evitarea introducerii unor categorii speciale de date, cu excepția cazurilor permise de lege.

4. Confidențialitate

Toate persoanele autorizate de noi să prelucreze datele au obligații de confidențialitate contractuale sau legale și le accesează numai în măsura necesară, de exemplu pentru a răspunde unei solicitări de asistență din partea Clientului.

5. Securitate

Aplicăm măsurile tehnice și organizatorice descrise în Anexa 2 (art. 32 RGPD). Le putem adapta la evoluția tehnică, cu condiția să nu scadă nivelul de protecție.

6. Subcontractanți

În general, Clientul ne autorizează să folosim subcontractanți. Subcontractanții utilizați la încheierea acestui DPA sunt enumerați în Anexa 3 și pe pagina dedicată. Impunem fiecărui subcontractant obligații de protecție a datelor echivalente celor din prezentul DPA.

Informăm Clientul cu cel puțin 30 de zile înainte despre orice adăugare sau înlocuire planificată a unui subcontractant, prin actualizarea paginii dedicate și prin e-mail la adresa contului. În acest interval, Clientul se poate opune din motive întemeiate legate de protecția datelor. Dacă nu putem soluționa obiecția, Clientul poate înceta serviciul afectat, iar noi rambursăm partea neutilizată din orice sumă plătită în avans.

7. Asistență pentru cererile persoanelor vizate

Clientul poate răspunde direct în serviciu la majoritatea cererilor: poate rectifica sau șterge angajați, șterge organigrame și versiuni, exporta o organigramă în format CSV și exporta întregul cont. Îl asistăm, în mod rezonabil, în ceea ce nu poate face singur. Dacă o persoană vizată ne contactează direct, transmitem cererea Clientului și nu răspundem noi înșine decât dacă acesta ne solicită acest lucru.

8. Alte forme de asistență

Ținând seama de natura prelucrării și de informațiile disponibile, îl ajutăm pe Client să își îndeplinească obligațiile prevăzute la art. 32-36 RGPD (securitate, notificarea încălcărilor, evaluări de impact asupra protecției datelor și consultare prealabilă).

9. Încălcări ale securității datelor cu caracter personal

Informăm Clientul fără întârzieri nejustificate și, dacă este posibil, în cel mult 48 de ore de la constatarea unei încălcări a securității datelor cu caracter personal care afectează datele Clientului. Îi comunicăm informațiile disponibile (ce s-a întâmplat, ce date și persoane pot fi afectate, consecințele probabile și măsurile luate sau propuse) și revenim cu detalii pe măsură ce devin disponibile. Contact pentru incidente: hello@mivochart.com.

10. Ștergerea și returnarea datelor

The Customer can export its data at any time. When the Customer deletes a chart or its account, we delete the related data from the live service at once; copiile din backup-uri sunt suprascrise în cel mult 7 zile de la ștergere. We keep data only where the law requires us to.

11. Informații și audituri

Punem la dispoziție informațiile necesare pentru a demonstra respectarea art. 28 RGPD, de exemplu răspunzând la chestionare de securitate și furnizând certificările prestatorilor noștri. Clientul poate efectua audituri, inclusiv inspecții, în nume propriu sau printr-un auditor ținut de obligații de confidențialitate, cu o notificare rezonabilă, în timpul programului de lucru și fără a perturba activitatea, de regulă o dată pe an. Fiecare parte își suportă propriile costuri, cu excepția cazului în care auditul constată o încălcare gravă din partea noastră.

12. Transferuri în afara UE

Datele din organigrame sunt stocate în UE (Frankfurt, Germania). Dacă un subcontractant prelucrează date într-o țară pentru care UE nu a emis o decizie de adecvare sau le poate accesa dintr-o astfel de țară, transferul este protejat prin Clauzele Contractuale Standard ale UE sau, dacă furnizorul este certificat, prin Cadrul UE-SUA privind confidențialitatea datelor.

13. Răspundere și prioritatea documentelor

Răspunderea este stabilită potrivit art. 82 RGPD și Termenilor și condițiilor. Dacă prezentul DPA și Termenii și condițiile intră în conflict cu privire la protecția datelor, prevalează DPA.

Anexa 1: Persoane vizate, date și prelucrare

Persoane vizate: persoanele pe care Clientul le include în organigrame, de regulă angajați, șefi direcți, contractori și alți membri ai organizației Clientului, inclusiv foști angajați dacă sunt păstrați în versiuni mai vechi.

• Categories of data: name; job title; department; reporting lines (manager, dotted-line managers, assistant role); work email address; employee number; photo or photo link; start date; echivalentul normei întregi (ENI); open positions and their status; values of custom fields defined by the Customer (text, numbers, dates, links, email addresses, phone numbers, choice lists); free text on the canvas; chart titles; named versions containing earlier states of all of the above.
• Categorii speciale de date (art. 9 RGPD): nu sunt vizate. Clientul nu trebuie să le introducă decât dacă legea permite acest lucru.
• Operațiuni de prelucrare: stocarea în baza de date; afișarea în editor și prin linkurile de partajare și încorporările activate de Client; crearea și restaurarea versiunilor; stocarea fotografiilor și linkuri temporare către acestea; copii de siguranță; ștergere. Importurile și exporturile sunt procesate în browserul utilizatorului.
• Durată: până când Clientul șterge datele sau contul, plus perioada de păstrare în backup-uri prevăzută la secțiunea 10.

Anexa 2: Măsuri tehnice și organizatorice

• Localizare: baza de date, autentificarea și stocarea fotografiilor în UE (Supabase, Frankfurt, Germania).
• Criptare: toate conexiunile folosesc TLS (HTTPS); furnizorul bazei de date criptează datele stocate.
• Controlul accesului: securitate la nivel de rând pentru fiecare tabel, astfel încât un cont să poată citi numai propriile organigrame; setările de partajare, hashurile parolelor și evidențele de facturare pot fi citite numai de serverul nostru; cheile serverului sunt păstrate în setările criptate ale furnizorului de găzduire, niciodată în browser.
• Photos: stored in a private bucket, in a folder per account and chart; shown only through signed links that expire after one hour; resized and re-encoded in the browser before upload, which drops embedded metadata; file type checked on the server from the file's content.
• Share links: random tokens; optional password stored as a scrypt hash; unlock cookie signed with HMAC, httpOnly and valid for 24 hours; at most 5 password attempts per IP address and link in 10 minutes and 50 per link in 15 minutes; optional expiry; links can be turned off at once.
• Protection against embedding: our pages cannot be shown inside other websites (X-Frame-Options and Content-Security-Policy), except the embed view of charts the Customer chooses to embed.
• Scriptul Vercel Web Analytics nu folosește module cookie și rulează fără consimțământ; scriptul PostHog rulează numai după consimțământul pentru categoria Analiză; fonturile sunt furnizate de noi.
• Data minimisation: imports and exports run in the browser; the private mode keeps charts on the device; shared charts and embeds contain only the fields shown on the cards (hidden fields, such as employee numbers, are removed on the server), and people moved to “Not placed” are left out.
• Integritate și disponibilitate: numerele versiunilor împiedică suprascrierea unei salvări de către alta fără notificare; modificările nesalvate au o copie de siguranță în browser până la confirmarea serverului; furnizorul nostru realizează copii de siguranță ale bazei de date.
• Ștergere: organigramele și conturile pot fi șterse prin funcțiile de autoservire, inclusiv fișierele foto; fotografiile eliminate sunt șterse definitiv când nu mai sunt utilizate de nicio versiune.
• Organizare: accesul la datele din mediul de producție este permis numai personalului autorizat și numai în măsura necesară; obligații de confidențialitate; verificarea subcontractanților; gestionarea incidentelor conform secțiunii 9.

Anexa 3: Subcontractanți

Următorii subcontractanți prelucrează datele din organigramele Clientului sau date asociate serviciului: