Acord de Prelucrare a Datelor

Preambul și Context

Prezentul Acord de Prelucrare a Datelor cu Caracter Personal (denumit în continuare „Acordul DPA" sau „DPA") este încheiat între:

PROCESATORUL: Poly Tool Design SRL, cu sediul social în Blvd. Ferdinand 95, Constanța, 900717, România, CUI 40293031, reprezentată legal prin administratorul său (denumită în continuare „Ortexo", „Procesatorul" sau „Compania"),

și

OPERATORUL: Entitatea juridică sau persoana fizică autorizată care a activat un abonament la platforma Ortexo și care prelucrează date cu caracter personal ale terților (clienți, colaboratori, angajați etc.) prin intermediul Serviciului (denumit în continuare „Clientul" sau „Operatorul").

Context: Prin utilizarea platformei Ortexo, Clientul poate încărca, stoca și procesa documente și informații care conțin date cu caracter personal ale terților (de exemplu, documente ale clienților cabinetului de avocatură, dosare judiciare, contracte). În această situație, Clientul acționează în calitate de Operator în sensul art. 4 pct. 7 GDPR, iar Ortexo acționează în calitate de Procesator în sensul art. 4 pct. 8 GDPR.

Articolul 28 GDPR impune ca prelucrarea de date cu caracter personal de către un procesator în numele unui operator să se desfășoare în baza unui contract sau act juridic obligatoriu care să prevadă o serie de garanții specifice. Prezentul DPA constituie acel contract și formează parte integrantă din Termenii și Condițiile de Utilizare ale platformei Ortexo.

Prin activarea unui abonament la platforma Ortexo și prin utilizarea funcționalităților care implică încărcarea sau procesarea datelor cu caracter personal ale terților, Clientul acceptă prezentul DPA în întregime.

1. Definiții

Termenii utilizați în prezentul DPA au semnificațiile definite în GDPR, cu precizările de mai jos:

• „Date Prelucrate" înseamnă datele cu caracter personal ale terților (clienți, persoane fizice parte la dosare, angajați, colaboratori etc.) pe care Clientul le încarcă, stochează sau procesează prin intermediul platformei Ortexo.
• „Serviciul" înseamnă platforma software Ortexo, astfel cum este definit în Termenii și Condițiile de Utilizare.
• „Sub-Procesator" înseamnă orice terț angajat de Ortexo pentru a efectua activități specifice de prelucrare în numele Clientului, conform Secțiunii 6.
• „Instrucțiuni" înseamnă instrucțiunile documentate ale Operatorului privind prelucrarea datelor cu caracter personal, astfel cum sunt reflectate în Termenii și Condițiile de Utilizare și în prezentul DPA.
• „Incident de Securitate" înseamnă o încălcare a securității care conduce la distrugerea accidentală sau ilegală, pierderea, alterarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal prelucrate.
• „Teritoriul UE/SEE" înseamnă statele membre ale Uniunii Europene și ale Spațiului Economic European.

2. Obiectul, Natura și Durata Prelucrării

2.1 Obiectul Prelucrării

Ortexo, în calitate de Procesator, prelucrează date cu caracter personal exclusiv în scopul furnizării Serviciului Ortexo Clientului, conform instrucțiunilor documentate ale Clientului și cu respectarea prezentului DPA.

2.2 Natura Prelucrării

Activitățile de prelucrare efectuate de Ortexo în calitate de Procesator includ:

• Stocarea documentelor și fișierelor încărcate de Client pe infrastructura cloud (Firebase / Google Cloud Storage);
• Indexarea conținutului documentelor pentru funcționalitățile de căutare semantică;
• Procesarea conținutului documentelor prin sistemele AI (Google Generative AI) la solicitarea explicită a Clientului;
• Accesul la datele stocate de Client din cadrul platformei, necesar pentru depanarea tehnică și furnizarea suportului;
• Backup-ul și restaurarea datelor în scopuri de continuitate a activității.

2.3 Scopul Prelucrării

Ortexo prelucrează Datele Prelucrate exclusiv în scopul furnizării Serviciului Clientului, conform instrucțiunilor Clientului. Ortexo nu prelucrează Datele Prelucrate în scopuri proprii, cu excepția cazului în care este obligată prin lege sau este necesar pentru securitatea și integritatea platformei.

2.4 Durata Prelucrării

Prezentul DPA rămâne în vigoare pe durata activă a abonamentului Clientului la platforma Ortexo. La expirarea sau rezilierea abonamentului, Ortexo va proceda conform Secțiunii 10 (Returnarea și Ștergerea Datelor).

3. Tipul Datelor Prelucrate și Categoriile de Persoane Vizate

3.1 Tipul Datelor

Ortexo poate prelucra, în calitate de Procesator, categoriile de date determinate exclusiv de Client prin conținutul documentelor și informațiilor încărcate pe platformă. Acestea pot include, fără a fi limitative:

• Date de identificare (nume, prenume, CNP, serie și număr act de identitate, date pașaport);
• Date de contact (adresă, telefon, e-mail);
• Date financiare (informații bancare, date privind situația patrimonială);
• Date privind proceduri juridice (calitate procesuală, dosare judiciare, situație judiciară);
• Date privind relații contractuale;
• Orice alte categorii de date prezente în documentele juridice încărcate de Client.

3.2 Date Speciale (Sensibile)

Clientul recunoaște că platforma Ortexo nu este proiectată sau certificată pentru prelucrarea categoriilor speciale de date prevăzute la art. 9 GDPR (date privind sănătatea, originea rasială sau etnică, convingerile politice, credințele religioase sau filozofice, apartenența sindicală, date genetice sau biometrice, date privind viața sexuală sau orientarea sexuală, date privind condamnări penale) la o scară sau cu un nivel de risc ridicat.

Clientul este singurul responsabil pentru evaluarea adecvării platformei pentru prelucrarea unor astfel de date și pentru efectuarea, dacă este cazul, a unei Evaluări a Impactului asupra Protecției Datelor (DPIA) conform art. 35 GDPR înainte de a utiliza platforma în acest scop.

3.3 Categorii de Persoane Vizate

Categoriile de persoane vizate sunt determinate exclusiv de Client și pot include: clienți ai Clientului, părți adverse în dosare, martori, experți, angajați ai Clientului, colaboratori, parteneri contractuali și orice alte persoane fizice ale căror date apar în documentele procesate.

4. Obligațiile Procesatorului (Ortexo)

Ortexo se angajează să respecte următoarele obligații în calitate de Procesator:

4.1 Prelucrarea exclusiv pe baza instrucțiunilor documentate

Ortexo prelucrează Datele Prelucrate exclusiv pe baza instrucțiunilor documentate ale Clientului, inclusiv cu privire la transferurile de date cu caracter personal către o țară terță sau o organizație internațională, dacă nu este obligată să o facă în temeiul dreptului UE sau al dreptului statului membru care i se aplică. În acest caz, Ortexo informează Clientul cu privire la această obligație juridică înainte de prelucrare, dacă dreptul respectiv nu interzice o astfel de informare.

4.2 Confidențialitatea

Ortexo se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de confidențialitate. Angajații, contractorii și alți colaboratori ai Ortexo care au acces la Datele Prelucrate sunt supuși unor obligații stricte de confidențialitate.

4.3 Securitate

Ortexo implementează măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului, în conformitate cu art. 32 GDPR. Măsurile implementate includ cele descrise în Politica de Confidențialitate (Secțiunea 12), inclusiv criptarea datelor în tranzit și la repaus, controlul accesului și monitorizarea continuă.

4.4 Respectarea condițiilor privind recurgerea la serviciile unui alt procesator (Sub-Procesatori)

Ortexo nu angajează un Sub-Procesator fără autorizarea prealabilă specifică sau generală a Clientului. În cazul prezentului DPA, Clientul acordă prin acceptare autorizarea generală pentru Sub-Procesatorii listați la Secțiunea 6. Ortexo va informa Clientul cu privire la orice modificare intenționată referitoare la adăugarea sau înlocuirea Sub-Procesatorilor, oferind Clientului posibilitatea de a se opune acestor modificări.

4.5 Asistarea Operatorului

Ortexo asistă Clientul, prin măsuri tehnice și organizatorice adecvate, în îndeplinirea obligației sale de a răspunde cererilor de exercitare a drepturilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). Dacă o persoană vizată se adresează direct Ortexo pentru exercitarea unui drept GDPR cu privire la date aflate sub controlul Clientului, Ortexo va redirecționa solicitarea Clientului fără întârziere și nu va răspunde în locul Clientului.

Ortexo asistă, de asemenea, Clientul în respectarea obligațiilor prevăzute la art. 32-36 GDPR (securitate, notificarea autorităților și persoanelor vizate în caz de incident, evaluarea impactului, consultarea prealabilă), ținând cont de natura prelucrării și de informațiile disponibile.

4.6 Ștergerea sau returnarea datelor

La alegerea Clientului, Ortexo șterge sau returnează toate datele cu caracter personal după încheierea furnizării Serviciului și șterge copiile existente, cu excepția cazului în care dreptul UE sau al statului membru impune stocarea datelor. Procedura este descrisă la Secțiunea 10.

4.7 Furnizarea de informații și audituri

Ortexo pune la dispoziția Clientului toate informațiile necesare demonstrării conformității cu obligațiile prevăzute la art. 28 GDPR și permite și contribuie la realizarea de audituri, inclusiv inspecții, efectuate de Client sau de un alt auditor mandatat de Client, în condițiile prevăzute la Secțiunea 9.

5. Obligațiile Operatorului (Clientul)

Clientul, în calitate de Operator, se angajează să:

• Se asigure că prelucrarea Datelor Prelucrate prin intermediul platformei Ortexo se întemeiază pe un temei juridic valid conform art. 6 GDPR și, dacă este cazul, art. 9 GDPR;
• Informeze persoanele vizate cu privire la prelucrarea datelor lor prin intermediul platformei Ortexo, în conformitate cu art. 13 și 14 GDPR;
• Obțină, dacă este necesar, consimțământul explicit al persoanelor vizate pentru prelucrările care o impun;
• Respecte toate obligațiile care îi revin în calitate de Operator conform GDPR, inclusiv răspunsul la cererile persoanelor vizate;
• Nu încărcați date cu caracter personal pe platformă fără a evalua în prealabil adecvarea nivelului de protecție oferit de Serviciu pentru tipul și sensibilitatea datelor respective;
• Efectueze o Evaluare a Impactului asupra Protecției Datelor (DPIA) conform art. 35 GDPR, dacă prelucrarea intenționată este de natură să genereze un risc ridicat;
• Nu transmită instrucțiuni Ortexo care ar conduce la încălcarea GDPR sau a altor dispoziții aplicabile privind protecția datelor;
• Notifice fără întârziere Ortexo cu privire la orice modificare a instrucțiunilor de prelucrare sau a scopurilor prelucrării.

6. Sub-Procesatori Autorizați

Prin acceptarea prezentului DPA, Clientul acordă autorizarea generală pentru angajarea Sub-Procesatorilor de mai jos. Ortexo se angajează să impună fiecărui Sub-Procesator obligații echivalente celor prevăzute în prezentul DPA, prin contracte scrise conforme cu art. 28 alin. (4) GDPR.

• Google LLC — Firebase (Authentication, Firestore, Cloud Storage, Cloud Functions)
  • Sediu: 1600 Amphitheatre Pkwy, Mountain View, CA 94043, SUA
  • Activitate: Infrastructură cloud, stocare date, autentificare utilizatori
  • Locație de procesare: UE (servere europene Google Cloud) și/sau SUA
  • Garanție transfer: Clauze Contractuale Standard (SCC) — Google Cloud Data Processing Addendum
• Google LLC — Google Generative AI (Gemini API)
  • Sediu: Aceeași adresă
  • Activitate: Procesarea interogărilor AI la solicitarea utilizatorilor Clientului
  • Locație de procesare: Servere Google (UE/SUA, în funcție de disponibilitate)
  • Garanție transfer: Clauze Contractuale Standard (SCC)
  • Notă importantă: Ortexo va configura Gemini API cu opțiunile disponibile pentru minimizarea retenției datelor (zero data retention, dacă este disponibil pentru planul API utilizat). Clientul este consiliat să nu transmită în interogările AI date cu caracter personal sensibile ale persoanelor vizate.

Ortexo va notifica Clientul cu minimum 30 de zile calendaristice înainte de orice modificare intenționată referitoare la adăugarea sau înlocuirea unui Sub-Procesator, prin publicarea unei actualizări a prezentei pagini. Clientul poate obiecta față de numirea unui nou Sub-Procesator în termen de 14 zile de la notificare, prin transmiterea unei notificări scrise la contact@polytooldesign.com. Dacă obiecția este întemeiată și Ortexo nu poate găsi o soluție alternativă, Clientul poate rezilia prezentul DPA și abonamentul asociat, primind o rambursare pro-rata pentru perioada neconsumed.

7. Transferuri Internaționale de Date

Ortexo nu transferă Datele Prelucrate în afara Teritoriului UE/SEE decât cu respectarea Capitolului V din GDPR. Transferurile efectuate prin Sub-Procesatorii stabiliți în SUA (Google LLC) se realizează în baza Clauzelor Contractuale Standard (SCC) adoptate de Comisia Europeană prin Decizia 2021/914, care impun obligații echivalente cu cele prevăzute de GDPR.

Dacă Clientul are cerințe specifice privind localizarea datelor (data residency în UE), este invitat să contacteze echipa Ortexo la contact@polytooldesign.com pentru a discuta opțiunile disponibile. Ortexo va depune eforturi rezonabile pentru a configura platformă astfel încât datele să fie procesate și stocate preferențial pe servere Google Cloud situate în Uniunea Europeană, în măsura în care această opțiune este disponibilă și fezabilă tehnic.

8. Notificarea Incidentelor de Securitate

În cazul unui Incident de Securitate care afectează Datele Prelucrate, Ortexo va notifica Clientul fără întârzieri nejustificate, și cel târziu în 72 de ore de la momentul în care a luat cunoștință de incident, furnizând:

• O descriere a naturii incidentului, inclusiv categoriile și numărul aproximativ de persoane vizate afectate;
• Datele de contact ale persoanei de la care se pot obține informații suplimentare;
• O descriere a consecințelor probabile ale incidentului;
• O descriere a măsurilor luate sau propuse de Ortexo pentru remedierea incidentului, inclusiv măsurile de atenuare a posibilelor efecte negative.

Clientul este singurul responsabil pentru notificarea ANSPDCP conform art. 33 GDPR și, dacă este cazul, pentru informarea persoanelor vizate conform art. 34 GDPR, pe baza notificării primite de la Ortexo și a propriei evaluări a riscurilor. Notificarea de către Ortexo nu implică nicio recunoaștere a vinovăției sau a răspunderii în legătură cu incidentul.

9. Audituri și Inspecții

Ortexo pune la dispoziția Clientului toate informațiile necesare demonstrării conformității cu obligațiile prevăzute în prezentul DPA și permite efectuarea de audituri, inclusiv inspecții, efectuate de Client sau de un auditor extern mandatat de acesta.

Auditurile sunt supuse următoarelor condiții:

• Clientul va notifica Ortexo cu minimum 30 de zile calendaristice înainte de data propusă pentru audit;
• Auditurile se efectuează în orele de program ale Ortexo și nu vor perturba nejustificat operațiunile normale ale Companiei;
• Auditorul mandatat de Client va semna un acord de confidențialitate cu Ortexo înainte de a accesa orice informații confidențiale;
• Costurile auditului sunt suportate de Client;
• Un audit pe an este inclus fără taxe suplimentare; audite suplimentare pot fi supuse perceperii unor taxe rezonabile.

Ca alternativă la un audit direct, Ortexo poate furniza Clientului rapoarte de audit sau certificări de conformitate emise de auditori independenți (de exemplu, rapoarte SOC 2 ale Google Cloud), care pot satisface cerința de audit fără a necesita o inspecție la fața locului.

10. Returnarea și Ștergerea Datelor

La expirarea sau rezilierea abonamentului Clientului, Ortexo va proceda după cum urmează:

• Perioada de grație (30 de zile): Datele Clientului sunt păstrate timp de 30 de zile după expirarea abonamentului, perioadă în care Clientul poate solicita exportul datelor sau reactivarea abonamentului. Ortexo va trimite o notificare de expirare cu cel puțin 7 zile înainte.
• Exportul datelor: La cererea expresă a Clientului, formulată înainte de expirarea perioadei de grație, Ortexo furnizează un export al datelor Clientului (conversații, dosare, documente) în format JSON sau alt format tehnic disponibil, în termen de 15 zile lucrătoare.
• Ștergerea: La expirarea perioadei de grație de 30 de zile sau la cererea expresă a Clientului de ștergere imediată, Ortexo șterge datele Clientului din sistemele de producție. Backup-urile tehnice pot persista timp de maximum 90 de zile suplimentare, conform practicilor standard de backup cloud, după care sunt de asemenea eliminate.
• Excepție legală: Ortexo poate păstra anumite date pentru respectarea obligațiilor legale (de exemplu, date de facturare conform Legii contabilității) sau pentru apărarea drepturilor sale legale.
• Confirmare scrisă: La solicitarea Clientului, Ortexo emite o confirmare scrisă a finalizării ștergerii datelor.

11. Evaluarea Impactului asupra Protecției Datelor (DPIA)

Dacă prelucrarea datelor intenționată de Client prin intermediul platformei Ortexo este de natură să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice (de exemplu, prelucrarea la scară largă a datelor speciale prevăzute la art. 9 GDPR, prelucrarea datelor privind condamnări penale sau prelucrarea sistematică a datelor vulnerabile), Clientul are obligația de a efectua o Evaluare a Impactului asupra Protecției Datelor (DPIA) conform art. 35 GDPR înainte de a iniția prelucrarea.

Ortexo va asista Clientul în efectuarea DPIA, în măsura posibilului, furnizând la cerere informații privind natura prelucrărilor efectuate de Ortexo ca Procesator, măsurile de securitate implementate și Sub-Procesatorii utilizați. Clientul este singurul responsabil pentru completarea și documentarea DPIA.

12. Răspundere

Răspunderea fiecărei Părți față de cealaltă și față de persoanele vizate este reglementată de art. 82 GDPR și de prevederile Termenilor și Condițiilor de Utilizare, în special de Secțiunea 5 (Limitarea Răspunderii).

Ortexo răspunde față de Client exclusiv pentru daunele cauzate prin prelucrarea efectuată de Ortexo în calitate de Procesator cu nerespectarea prezentului DPA sau a instrucțiunilor documentate ale Clientului. Ortexo este exonerată de răspundere dacă demonstrează că nu este în niciun fel responsabilă pentru evenimentul care a cauzat dauna.

Clientul răspunde față de persoanele vizate și față de autorități pentru orice încălcare a obligațiilor sale de Operator, inclusiv pentru prelucrările efectuate prin intermediul platformei Ortexo fără temei juridic valid sau cu încălcarea drepturilor persoanelor vizate.

Răspunderea totală a Ortexo față de Client în temeiul prezentului DPA este limitată la suma prevăzută în Termenii și Condițiile de Utilizare (Secțiunea 5).

13. Dispoziții Finale

13.1 Modificări

Ortexo poate modifica prezentul DPA pentru a reflecta modificările legislative, evoluțiile tehnice sau schimbările în practicile de prelucrare, cu notificarea prealabilă a Clientului conform procedurii descrise în Termenii și Condițiile de Utilizare. Modificările intră în vigoare după 30 de zile de la notificare, dacă Clientul nu se opune. Continuarea utilizării Serviciului după intrarea în vigoare a modificărilor constituie acceptarea DPA-ului revizuit.

13.2 Prioritatea Documentelor

În cazul unui conflict între prevederile prezentului DPA și cele ale Termenilor și Condițiilor de Utilizare cu privire la prelucrarea datelor cu caracter personal, prevederile prezentului DPA prevalează.

13.3 Separabilitate

Dacă orice prevedere a prezentului DPA este considerată nulă sau inaplicabilă, aceasta va fi eliminată sau modificată în măsura minimă necesară, celelalte prevederi rămânând în vigoare.

13.4 Legea Aplicabilă

Prezentul DPA este guvernat de legislația din România și GDPR. Orice litigiu va fi soluționat conform procedurii prevăzute în Termenii și Condițiile de Utilizare (instanțele din Constanța, România).

14. Contact

Pentru orice întrebări privind prezentul DPA, obligațiile de prelucrare a datelor sau exercitarea drepturilor în calitate de Operator, contactați Ortexo la:

• E-mail: contact@polytooldesign.com
• Adresă: Poly Tool Design SRL, Blvd. Ferdinand 95, Constanța, 900717, România

Consultați de asemenea Politica de Confidențialitate și pagina Drepturi GDPR.