Acord de prelucrare a datelor.

1. Când se aplică

Acest Acord de prelucrare a datelor („DPA”), încheiat conform art. 28 din Regulamentul (UE) 2016/679 (GDPR), face parte din Termenii și condițiile Zen Staff și se aplică automat clienților planului Găzduit și ai serverului non-stop. Pentru planurile Personal și Self-host nu prelucrăm datele firmei: ele stau pe calculatoarele și serverele voastre.

2. Părțile și rolurile

• Clientul (firma care folosește planul Găzduit) este operator: decide ce date pune în hub și în ce scop.
• FORTITUDO VINCIT S.R.L., CUI 43990858, J2021000522266, este persoana împuternicită (procesator): prelucrează datele doar în numele clientului și după instrucțiunile lui.

3. Obiectul, durata, natura și scopul

• Obiectul: găzduirea hub-ului Zen Staff și a memoriei firmei, transmiterea chaturilor partajate, a sarcinilor și a aprobărilor, linkurile de aprobare pentru clienți, serverul non-stop al firmei.
• Durata: cât timp clientul are plan Găzduit sau server non-stop, plus perioada de ștergere de la secțiunea despre încetare.
• Natura: stocare, transmitere criptată, căutare în memoria firmei, extragerea faptelor din rezumatele conversațiilor, backup și restaurare, ștergere.
• Scopul: exclusiv furnizarea Serviciului către client.

4. Categorii de date și persoane vizate

• Persoane vizate: utilizatorii clientului (angajați, colaboratori), clienții, furnizorii și alte persoane de contact ale clientului care apar în conținut.
• Categorii de date: date de identificare și contact (nume, e-mail, telefon, firmă, rol), date de cont și dispozitiv, jurnalul acțiunilor, conținutul chaturilor partajate (criptat cap-coadă), rezumatele și faptele din memoria firmei, fișierele trimise spre aprobare și răspunsurile la ele.
• Clientul nu introduce în hub categorii speciale de date (art. 9 GDPR) decât dacă are un temei legal și a evaluat riscul.

5. Obligațiile noastre

• Prelucrăm datele doar pe baza instrucțiunilor documentate ale clientului; Termenii, acest DPA și setările din hub sunt aceste instrucțiuni. Dacă o instrucțiune ni se pare contrară legii, îl anunțăm pe client.
• Persoanele care au acces la date sunt obligate la confidențialitate.
• Aplicăm măsurile tehnice și organizatorice din Anexa 2.
• Ajutăm clientul să răspundă cererilor persoanelor vizate (acces, ștergere, export) și, la cerere, la evaluarea impactului asupra protecției datelor și la consultarea autorității.
• Punem la dispoziția clientului informațiile necesare ca să demonstreze respectarea art. 28 și acceptăm audituri rezonabile, anunțate cu cel puțin 30 de zile înainte, cel mult o dată pe an, pe cheltuiala clientului, fără acces la datele altor clienți.

6. Subprocesatori

Clientul ne dă o autorizare generală prealabilă să folosim subprocesatorii din Anexa 1. Cu fiecare avem un contract cu obligații de protecție a datelor cel puțin la fel de stricte ca acestea. Anunțăm orice subprocesator nou sau înlocuit cu cel puțin 30 de zile înainte, prin e-mail. Clientul se poate opune în acest termen, cu motive rezonabile; dacă nu găsim o soluție, clientul poate înceta planul fără penalități. Rămânem răspunzători față de client pentru subprocesatorii noștri.

7. Transferuri internaționale

Datele hub-ului și ale memoriei stau în Germania. Când un subprocesator prelucrează date în afara Spațiului Economic European, transferul se face pe baza Cadrului UE-SUA privind protecția datelor (acolo unde furnizorul este certificat) sau a clauzelor contractuale standard ale Comisiei Europene.

8. Încălcarea securității datelor

Anunțăm clientul fără întârzieri nejustificate și în cel mult 48 de ore de la momentul în care aflăm de o încălcare a securității care îi afectează datele. Anunțul cuprinde, în măsura în care le știm: ce s-a întâmplat, ce categorii și aproximativ câte persoane și înregistrări sunt afectate, consecințele probabile, ce măsuri am luat și ce recomandăm, și o persoană de contact. Completăm informațiile pe măsură ce le aflăm.

9. Ștergere sau returnare la încetare

La încetarea planului, clientul își poate exporta datele din hub. În cel mult 30 de zile de la încetare ștergem datele clientului din hub și din memoria firmei, cu excepția celor pe care legea ne obligă să le păstrăm (de exemplu facturile). Copiile din backup se șterg odată cu rotația backup-urilor, cel târziu după 12 luni, și nu sunt folosite între timp decât pentru restaurare. La cerere, confirmăm ștergerea în scris.

10. Cum se semnează

Pentru clienții planului Găzduit, DPA-ul se aplică prin acceptarea Termenilor, fără alt pas. Dacă aveți nevoie de un exemplar semnat pentru dosarul vostru, scrieți-ne la [email protected] cu denumirea și CUI-ul firmei și vi-l trimitem.

11. Anexa 1: subprocesatori

12. Anexa 2: măsuri tehnice și organizatorice

• Permisiunile agenților și aprobări: agentul face doar ce are voie omul care l-a pornit; tot ce pleacă din firmă (e-mail, fișier, comandă) așteaptă aprobarea unui om. Aprobările sunt pornite din start.
• Roluri și acces: Proprietar, Admin, Membru, Invitat și roluri proprii, pe echipe și proiecte; drepturi pe tip de date și pe acțiune.
• Izolarea între firme: câte o cheie de criptare AES-256 pentru memoria fiecărei firme; cereri semnate pe firmă, refuzate la orice altă firmă; la Enterprise, bază de date separată.
• Jurnalul acțiunilor: doar adăugare, fiecare rând legat criptografic de cel dinainte, astfel încât o modificare sau o ștergere se vede la verificare; căutare, export CSV sau JSON și trimitere către SIEM.
• Backup: în fiecare noapte la 03:30, criptat înainte să plece de pe server, păstrat 30 de zile plus o copie pe lună 12 luni, în Cloudflare R2, regiunea Europa de Vest; restaurare testată și alertă dacă lipsește backup-ul unei nopți.
• Autentificare: verificare în doi pași obligatorie pentru proprietari și admini, passkey-uri, aprobarea dispozitivelor noi pe serverul firmei, închiderea sesiunilor de la distanță.
• Chaturi partajate: criptate cap-coadă; hub-ul vede doar text cifrat. Fiecare cerere e semnată de dispozitivul care o trimite.
• Prompt injection: e-mailurile și documentele din afară sunt tratate ca date, nu ca instrucțiuni; marcaje pentru text ascuns, linkuri înșelătoare și expeditori neverificați; aprobare la orice iese din firmă.
• Fără tokenuri ale aplicațiilor clientului: conexiunile la Gmail, Drive și altele rămân în contul de AI al clientului sau în seiful criptat de pe serverul lui.
• Găzduire în UE: servere Hetzner în Germania.
• Spus deschis: pe varianta găzduită, discul serverului nu este criptat; backup-urile sunt. Faptele extrase în memoria firmei stau necriptate în baza de căutare, ca să poată fi găsite, și sunt protejate prin acces.

Descrierea completă, cu exemple: Securitate.