Contract de prelucrare a datelor (art. 28 din RGPD)

1. Părțile și obiectul

1.1 Operatorul este Utilizatorul (denumit în continuare „Beneficiarul”), iar persoana împuternicită de operator este iBeekeeper UG (haftungsbeschränkt), Lessingstraße 4, 15345 Altlandsberg, Germania (denumită în continuare „iBeekeeper”).

1.2 iBeekeeper prelucrează date cu caracter personal în numele Beneficiarului, în măsura în care acesta le stochează în Serviciu în cadrul contractului de utilizare (TCG). Durata: durata contractului de utilizare, plus termenele prevăzute la punctul 9.

2. Natura, scopul și amploarea prelucrării

3. Instrucțiuni

iBeekeeper prelucrează datele numai pe baza instrucțiunilor documentate ale Beneficiarului. Instrucțiunile sunt stabilite în mod exhaustiv în contractul de utilizare și în setările și funcțiile Serviciului pe care Beneficiarul le utilizează. Alte instrucțiuni le transmite în formă text la service@ibeekeeper.de. Dacă iBeekeeper consideră că o instrucțiune este ilegală, iBeekeeper îl informează imediat pe Beneficiar în acest sens (art. 28 alin. (3) teza a 3-a RGPD).

4. Confidențialitate

iBeekeeper implică numai persoane care s-au angajat să respecte confidențialitatea sau care au o obligație legală de confidențialitate.

5. Măsuri tehnice și organizatorice

iBeekeeper ia măsurile conform art. 32 RGPD descrise în anexa 1 și le adaptează la stadiul actual al tehnicii, fără a reduce nivelul de protecție.

6. Subcontractanți

6.1 Beneficiarul aprobă subcontractanții (alte persoane împuternicite) menționați în anexa 2.

6.2 iBeekeeper informează Beneficiarul în formă text, cu cel puțin 30 de zile înainte, cu privire la orice implicare sau înlocuire intenționată. Beneficiarul se poate opune în acest termen pentru un motiv important legat de protecția datelor. Dacă părțile nu pot ajunge la un acord, Beneficiarul poate rezilia contractul de utilizare la data modificării.

6.3 iBeekeeper impune prin contract fiecărui subcontractant aceleași obligații privind protecția datelor.

7. Sprijinirea Beneficiarului

iBeekeeper sprijină Beneficiarul prin măsuri adecvate la soluționarea cererilor persoanelor vizate (art. 12-22 RGPD), în special prin funcțiile de export, modificare și ștergere ale Serviciului, precum și în îndeplinirea obligațiilor conform art. 32-36 RGPD. Dacă o persoană vizată se adresează direct lui iBeekeeper, iBeekeeper transmite solicitarea Beneficiarului.

8. Încălcări ale securității datelor cu caracter personal

iBeekeeper notifică Beneficiarului fără întârziere o încălcare a securității datelor prelucrate în numele său, pe cât posibil în termen de 48 de ore de la luarea la cunoștință, cu informațiile prevăzute la art. 33 alin. (3) RGPD, în măsura în care sunt cunoscute.

9. Ștergerea și returnarea

Beneficiarul poate exporta și șterge oricând el însuși datele. După încetarea contractului de utilizare, respectiv după ștergerea contului, iBeekeeper șterge datele prelucrate în numele Beneficiarului conform termenelor din TCG (punctul 9.7), în măsura în care nu există o obligație legală de stocare. Copiile de siguranță zilnice sunt șterse după 30 de zile, câte o versiune pe lună calendaristică după 12 luni. Copiile de siguranță sunt criptate și sunt folosite numai pentru restaurare; după o restaurare, datele șterse între timp sunt șterse din nou.

10. Dovezi și controale

iBeekeeper pune la dispoziția Beneficiarului, la cerere, informațiile necesare pentru a dovedi respectarea acestor obligații și permite verificări de către Beneficiar sau de către un auditor mandatat de acesta și obligat la păstrarea confidențialității, după anunțare cu un termen rezonabil, în timpul programului de lucru. Dovada se face cu prioritate prin documente și informații.

11. Răspundere și dispoziții finale

Pentru răspundere se aplică art. 82 RGPD; în rest se aplică TCG. În caz de contradicții, prezentul contract prevalează asupra TCG, în măsura în care este vorba de protecția datelor cu caracter personal.

Anexa 1: Măsuri tehnice și organizatorice

• Accesul fizic și securitatea fizică: servere exclusiv în centre de date ale OVHcloud, partener contractual OVH GmbH, Köln; controlul accesului fizic de către OVHcloud, conform contractului acesteia privind prelucrarea datelor în numele operatorului (versiunea din 17.10.2025).
• Accesul la sisteme: autentificare cu parolă, parolele sunt stocate numai ca hash; accesul de administrator la servere numai prin cheie SSH.
• Accesul la date: drepturi în Serviciu pentru fiecare cont, partajări numai de către Utilizator; accesările administrative sunt înregistrate în jurnal (aplicația de administrare, jurnalul acțiunilor privind clienții).
• Transmitere: criptarea transportului prin TLS pentru toate conexiunile; fotografii fără metadate.
• Controlul introducerii datelor: jurnal al modificărilor pentru registrul de casă și facturile emise, arhivare nemodificabilă cu sumă de control.
• Disponibilitate: copierea de siguranță zilnică a bazei de date și a fișierelor media pe un mediu de stocare separat (stocarea de obiecte a OVHcloud din Germania); copiile de siguranță zilnice sunt șterse după 30 de zile, câte o versiune pe lună calendaristică după 12 luni; copiile de siguranță sunt criptate și sunt folosite numai pentru restaurare; restaurarea este testată cel puțin o dată pe an, iar rezultatul este documentat.
• Separare: stocarea datelor pentru mai mulți clienți (multi-tenant), interogări pentru fiecare cont.
• Verificare: actualizări de securitate ale serverelor și dependențelor, verificarea anuală a măsurilor.

Anexa 2: Subcontractanți

OVH GmbH folosește, la rândul său, societăți din grupul OVHcloud, pentru asistență și întreținere și OVH Hébergement Inc. (Canada) și OVH Limited (Regatul Unit); lista actuală se află la https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf.

Nu sunt subcontractanți: Mollie, Apple și Google (plată, respectiv livrare, în raport propriu cu Utilizatorul, fără date prelucrate în numele Beneficiarului).