Acord de prelucrare a datelor

1. Părți și obiect

Prezentul acord se încheie între client, în calitate de operator, și EAS International, Klybeckstr. 141, 4057 Basel, Schweiz, în calitate de persoană împuternicită de operator (Furnizorul). Reprezentantul Furnizorului în UE în temeiul art. 27 din RGPD: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Obiectul său este prelucrarea datelor cu caracter personal pe care clientul le introduce în Batteriepass Online sau le colectează prin intermediul acestuia. Natura, scopul, tipurile de date și categoriile de persoane vizate sunt descrise în anexa 1. Acordul se aplică pe durata contractului de servicii, inclusiv în faza doar citire prevăzută la secțiunea 8 din Termeni.

2. Instrucțiuni

Furnizorul prelucrează datele exclusiv în cadrul contractului de servicii și pe baza instrucțiunilor documentate ale clientului. Clientul dă instrucțiuni prin utilizarea funcțiilor software-ului (cum ar fi publicarea unui pașaport, atribuirea nivelurilor de acces, trimiterea unei cereri către un furnizor, exportul, ștergerea) și în formă de text la info@batteriepass-online.eu. Instrucțiunile care depășesc domeniul convenit sunt tratate ca cereri de modificare și pot fi facturate separat.

Dacă Furnizorul consideră că o instrucțiune este ilegală, informează clientul fără întârziere și poate suspenda executarea până la confirmare.

Punerea la dispoziție a conținutului pașapoartelor pentru public, pentru persoanele cu un interes legitim și pentru autorități are loc în conformitate cu Regulamentul (UE) 2023/1542, în configurația aleasă de client, și este considerată instrucțiune a clientului.

3. Obligațiile Furnizorului

• Confidențialitate: toate persoanele implicate în prelucrare sunt obligate să respecte confidențialitatea. Datele clienților sunt accesate doar în măsura în care este necesar pentru funcționare, asistență sau remedierea erorilor.
• Securitate: Furnizorul pune în aplicare măsurile tehnice și organizatorice din anexa 3 și le adaptează la stadiul actual al tehnologiei, fără a reduce nivelul de protecție.
• Asistență: Furnizorul sprijină clientul, cu mijloacele software-ului (export, rectificare, ștergere, jurnal de acces), în îndeplinirea drepturilor persoanelor vizate, precum și în evaluările impactului asupra protecției datelor și în consultările cu autoritatea de supraveghere, în măsura în care informațiile se află la Furnizor.
• Notificare: Furnizorul notifică clientul cu privire la încălcările securității datelor cu caracter personal care afectează datele clientului fără întârzieri nejustificate, cel târziu în termen de 48 de ore de la data la care a luat cunoștință de acestea, la adresa de e-mail stocată în cont, cu informațiile disponibile conform art. 33 alin. (3) din RGPD.
• Cererile persoanelor vizate: dacă persoanele vizate se adresează direct Furnizorului, acesta transmite cererea clientului fără un răspuns propriu pe fond, în măsura în care cererea se referă la datele clientului.
• Dovezi: la cerere, Furnizorul pune la dispoziție informațiile necesare pentru a demonstra respectarea prezentului acord, în special o descriere a măsurilor din anexa 3 și rapoarte privind incidentele de securitate.
• Ștergere: după încheierea prelucrării, Furnizorul șterge datele în conformitate cu secțiunea 8 din Termeni, cu excepția cazului în care există o obligație legală de păstrare. Pentru pașapoartele bateriilor publicate, obligația legală de a le menține disponibile prevăzută la art. 77 alin. (8) din Regulamentul (UE) 2023/1542 este considerată obligație de păstrare.

4. Drepturile de audit ale clientului

Clientul poate verifica respectarea prezentului acord o dată pe an și atunci când există un motiv concret. Verificarea se realizează în primul rând prin examinarea documentației, a rapoartelor și a confirmărilor persoanelor împuternicite secundare. Un audit la fața locului este posibil după o notificare cu un termen rezonabil (cel puțin 14 zile), în timpul programului normal de lucru, cu condiția să nu pună în pericol datele altor clienți. Pentru auditurile care depășesc unul pe an sau care nu sunt determinate de un incident, Furnizorul poate factura efortul rezultat la un tarif rezonabil.

5. Persoane împuternicite secundare

Clientul își dă acordul pentru utilizarea persoanelor împuternicite secundare enumerate în anexa 2. Furnizorul le impune obligații de protecție a datelor echivalente cu cele convenite aici.

Furnizorul informează clientul prin e-mail cu cel puțin 30 de zile înainte cu privire la modificările preconizate (adăugare sau înlocuire). Clientul se poate opune în acest termen din motive importante de protecție a datelor. În caz de opoziție, oricare dintre părți poate rezilia contractul de servicii cu efect de la data modificării; secțiunea 8 din Termeni nu este afectată.

6. Prelucrarea în țări terțe

Datele sunt stocate pe servere din Germania. Furnizorul este stabilit în Elveția, pentru care există o decizie a Comisiei Europene privind caracterul adecvat; prin urmare, accesul din Elveția este permis. Prelucrarea în alte țări terțe are loc doar cu acordul clientului și pe baza unor garanții adecvate în temeiul capitolului V din RGPD.

7. Obligațiile clientului

Clientul este responsabil pentru legalitatea prelucrării, în special pentru temeiul juridic al publicării în pașapoarte a informațiilor privind persoane fizice, pentru informarea persoanelor vizate și pentru legalitatea contactării furnizorilor și a solicitanților. Clientul atribuie pe propria răspundere nivelurile de acces și accesele acordate și verifică dacă datele făcute accesibile prin software respectă cerințele legale.

Clientul desemnează în cont o adresă de e-mail la care poate fi contactat pentru aspecte legate de protecția datelor și o menține actualizată.

8. Răspundere, durată, dispoziții finale

Pentru răspundere se aplică secțiunea 11 din Termeni; art. 82 din RGPD nu este afectat. Prezentul acord încetează odată cu contractul de servicii, dar continuă atât timp cât Furnizorul menține disponibile datele clientului conform secțiunii 8 din Termeni. În rest, se aplică dispozițiile finale ale Termenilor. În caz de conflict între prezentul acord și Termeni, pentru aspectele legate de protecția datelor prevalează prezentul acord.

Anexa 1 – Obiectul prelucrării

• Natura și scopul: găzduirea, stocarea, afișarea, exportul și transmiterea conținutului pașapoartelor bateriilor și a documentelor aferente; trimiterea de e-mailuri în numele clientului (cereri către furnizori, decizii privind accesul); înregistrarea accesărilor conținutului protejat; furnizarea API-ului și a webhookurilor.
• Tipurile de date: numele, funcțiile și datele de contact ale persoanelor de contact ale clientului, ale furnizorilor săi și ale solicitanților de acces (adresă de e-mail, organizație, rol, scop, documente justificative); conținutul câmpurilor și documentelor pașapoartelor, în măsura în care conțin informații privind persoane fizice (cum ar fi persoana responsabilă a operatorului economic, semnatarii declarațiilor de conformitate); jurnalele de acces (adresă IP trunchiată și hash-uită, user agent, oră, nivel de acces); datele transmise de client prin API.
• Categoriile de persoane vizate: angajații și persoanele de contact ale clientului, ale furnizorilor și ale partenerilor săi de afaceri; persoanele care solicită acces la conținutul protejat al pașapoartelor (autorități, operatori de reparare și reciclare, cumpărători); vizitatorii paginilor publice ale pașapoartelor.
• Categoriile speciale de date (art. 9 din RGPD) nu fac obiectul prelucrării; clientul nu introduce astfel de date în software.

Anexa 2 – Persoane împuternicite secundare

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germania – servicii de centru de date (servere, bază de date, stocarea documentelor, copii de rezervă) în Falkenstein și Nürnberg.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Germania – trimiterea de e-mailuri în numele clientului.
• Stripe Payments Europe Ltd., Dublin, Irlanda, prelucrează datele de plată ale clientului ca operator independent și nu este persoană împuternicită secundară pentru datele clientului în sensul prezentului acord.

Anexa 3 – Măsuri tehnice și organizatorice

• Accesul fizic și la sisteme: servere în centrele de date Hetzner certificate ISO 27001; administrare doar prin SSH bazat pe chei și printr-o rețea privată; baza de date nu este accesibilă din internetul public.
• Accesul la date: permisiuni bazate pe roluri (proprietar, editor, vizualizator) pentru fiecare organizație; separarea clienților la nivelul bazei de date prin ID-ul organizației în fiecare interogare; nivelurile de acces la conținutul pașapoartelor (public, interes legitim, autoritate) sunt aplicate pe server, într-o singură funcție de filtrare.
• Autentificare: parole ca hash-uri scrypt; sesiuni cu tokenuri aleatorii în baza de date, 30 de zile; verificarea adresei de e-mail înainte de accesul de scriere; limitarea încercărilor de autentificare, înregistrare și resetare; cheile API stocate doar ca hash-uri.
• Transmitere: TLS pentru toate conexiunile; Content Security Policy; webhookuri semnate (HMAC) cu secrete stocate criptat.
• Integritate: fiecare publicare a unui pașaport creează o versiune cu lanț de hash-uri (hash-ul anterior); jurnal de audit al tuturor acțiunilor de scriere; nimic nu este șters fizic înainte de expirarea termenelor contractuale.
• Disponibilitate: copie de rezervă zilnică a bazei de date și a spațiului de stocare a documentelor, păstrată cel puțin 30 de zile într-o a doua locație; teste periodice de restaurare; monitorizarea disponibilității.
• Separare: datele de producție sunt separate de mediile de dezvoltare și de testare; pașapoartele din planul Pilot sunt marcate ca date de test.
• Organizare: minimizarea datelor integrată în software (doar câmpurile necesare pentru pașaport); analiză de securitate la fiecare modificare a serviciului; documentarea incidentelor; actualizări periodice ale componentelor sistemului.