Acordul de prelucrare a datelor

OPERATOR: societatea care își înscrie lucrătorii în program („Angajatorul”). El decide cine este înscris, când și ce date transmite — deci stabilește scopul și mijloacele prelucrării.

PERSOANĂ ÎMPUTERNICITĂ: Profi Formare SRL, CUI RO29119230, Reg. Com. J2011001003046, care operează platforma AsiaRom („Furnizorul”). Prelucrăm datele exclusiv ca să livrăm serviciul contractat, pe baza instrucțiunilor Angajatorului. Nu decidem cine învață, nu folosim datele în scop propriu și nu le valorificăm comercial.

Prezentul acord se încheie în temeiul art. 28 alin. (3) din Regulamentul (UE) 2016/679 și face parte integrantă din Termeni și condiții.

Rămânem operator independent — nu persoană împuternicită — pentru datele reprezentanților Angajatorului (administrarea contului, facturare, comunicare contractuală), pentru evidența contabilă și pentru jurnalele tehnice de securitate. Pentru acestea se aplică politica de confidențialitate.

Dacă titularul contului este o agenție care înscrie lucrători plasați la mai mulți angajatori, agenția declară pe propria răspundere calitatea în care acționează și garantează că deține temeiul legal și mandatul necesar.

Obiectul: prelucrarea datelor lucrătorilor înscriși de Angajator, strict pentru furnizarea programului și generarea dovezilor de participare.

Natura: colectare prin transmitere de la Angajator, stocare, organizare, consultare, utilizare, adaptare la limba maternă, generare de rapoarte și adeverințe, restricționare, ștergere.

Scopurile, exhaustiv:

• — crearea și administrarea conturilor de cursant;
• — livrarea conținutului și adaptarea lui la limba maternă declarată;
• — înregistrarea progresului, a timpului de studiu și a rezultatelor;
• — generarea rapoartelor și adeverințelor, ca dovadă a îndeplinirii obligației legale a Angajatorului;
• — comunicarea operațională cu cursantul, strict privind derularea programului;
• — securitatea conturilor și a platformei.

Durata: pe durata contractului, plus termenele de tranziție de la art. 9.

Nu folosim datele cursanților pentru marketing, profilare comercială, revânzare, îmbogățirea unor baze de date proprii sau antrenarea de sisteme automate ori de inteligență artificială. Interdicția este contractuală, nu doar o intenție.

Prelucrăm datele numai pe baza instrucțiunilor documentate ale Angajatorului. Constituie instrucțiuni documentate: prezentul acord, Termenii, configurările făcute în interfață și solicitările scrise transmise prin canalele agreate.

Utilizarea normală a platformei de către utilizatorii Angajatorului — crearea de cursanți, alocarea de cursuri, generarea de rapoarte, ștergerea de conturi — constituie instrucțiune documentată, înregistrată în jurnalele sistemului.

Dacă, în opinia noastră, o instrucțiune încalcă GDPR sau legislația națională, informăm imediat Angajatorul și putem suspenda executarea ei până la clarificare, fără ca aceasta să constituie neexecutare contractuală.

Nu transferăm date către țări terțe decât dacă ne impune dreptul Uniunii sau dreptul intern; în acest caz informăm Angajatorul înainte de prelucrare, cu excepția situației în care legea interzice informarea.

Categoriile de persoane vizate: lucrătorii cetățeni ai unor state terțe, înscriși de Angajator („cursanții”).

Identificare

nume și prenume

Contact

număr de telefon (cheia de conectare), adresă de e-mail — opțional

Autentificare

hash-ul PIN-ului, jetoane de sesiune, jetoane de resetare

Profil educațional

limba maternă declarată, meseria, echipa

Imagine

fotografie de profil — opțională, încărcată de cursant, ștearsă oricând

Activitate

data începerii activității (REGES), progresul, timpul de studiu, rezultatele, autentificările, data expirării accesului

Note interne

observații scrise de Angajator, vizibile doar lui

NU prelucrăm: cod numeric personal, date biometrice, date privind sănătatea, originea etnică, convingerile religioase sau politice, apartenența sindicală, condamnări penale. Platforma nu are câmp pentru CNP — absența câmpului este ea însăși o măsură tehnică, fiindcă împiedică inclusiv introducerea accidentală.

Fotografia de profil este o imagine facială, dar nu constituie dată biometrică în sensul art. 4 pct. 14 GDPR: nu este prelucrată prin mijloace tehnice care să permită identificarea unică. Rămâne opțională.

Angajatorul garantează că are temei legal pentru transmiterea datelor și că a furnizat lucrătorilor informarea cerută de art. 13 GDPR. Punem la dispoziție un model de informare, în limbile platformei.

Angajatorul NU va încărca în platformă cod numeric personal, date privind sănătatea, date biometrice, date privind originea rasială sau etnică, convingerile religioase ori politice, apartenența sindicală, viața sexuală, condamnări penale sau sancțiuni disciplinare — și nici altă categorie prevăzută de art. 9 sau art. 10 GDPR.

Nu e o formalitate. Este limita care menține întreaga prelucrare în afara regimului special al art. 9 GDPR — cu alte obligații, alte riscuri și alte costuri pentru amândoi.

Angajatorul răspunde pentru configurarea drepturilor de acces ale propriilor utilizatori și pentru retragerea promptă a accesului celor care nu mai au nevoie de el.

• — să prelucrăm datele numai pe baza instrucțiunilor documentate;
• — să ne asigurăm că persoanele cu acces s-au angajat la confidențialitate, cu obligație care supraviețuiește încetării colaborării, și că accesul lor e limitat la strictul necesar;
• — să aplicăm măsurile tehnice și organizatorice de la art. 8, conform art. 32 GDPR;
• — să respectăm condițiile privind subîmputerniciții, de la art. 10;
• — să te asistăm în soluționarea cererilor persoanelor vizate, conform art. 7;
• — să te asistăm în conformitatea cu art. 32–36 GDPR, inclusiv la evaluări de impact și la notificarea incidentelor;
• — să ștergem sau să returnăm datele la încetare, conform art. 9;
• — să punem la dispoziție informațiile necesare pentru a demonstra respectarea acestor obligații și să permitem auditurile de la art. 11.

Cursanții își exercită drepturile — acces, rectificare, ștergere, restricționare, portabilitate, opoziție — în raport cu Angajatorul, care este operatorul.

Dacă un cursant ni se adresează direct, nu răspundem pe fond: redirecționăm cererea către Angajator în cel mult 3 zile lucrătoare și informăm persoana despre redirecționare.

Platforma îți oferă funcțiile necesare ca să răspunzi: vizualizarea și corectarea datelor, exportul în format structurat, ștergerea contului. Dacă o cerere nu se poate rezolva cu funcțiile existente, acordăm asistență în 10 zile lucrătoare de la solicitarea scrisă.

Limită importantă. Ștergerea unui cont cu ore înregistrate distruge dovada participării — dovadă pe care legea îți cere să o păstrezi 5 ani. Platforma te avertizează înainte. Arbitrajul între dreptul la ștergere și obligația legală de păstrare îți aparține, ca operator; noi executăm decizia și o consemnăm.

Ce este implementat astăzi, verificabil:

• — PIN-urile cursanților și parolele companiei se stochează exclusiv ca hash bcrypt — nimeni nu le poate citi, nici noi; se pot doar reseta;
• — sesiunile sunt server-side, cu jeton opac în cookie: un cont compromis sau un lucrător care pleacă poate fi delogat instantaneu, fără să se aștepte expirarea unui jeton;
• — jetoanele de resetare a parolei se stochează doar ca hash SHA-256, cu expirare la 60 de minute;
• — întreg traficul este criptat TLS, iar accesul pe HTTP este redirecționat automat către HTTPS; cookie-ul de sesiune este marcat Secure;
• — datele fiecărei companii sunt izolate, iar apartenența se verifică pe server la fiecare cerere — un angajator nu poate vedea cursanții altuia;
• — rolurile sunt diferențiate: administrator, resurse umane, supervizor cu vizibilitate limitată la propria echipă;
• — orele raportate sunt plafonate și validate pe server, ca evidența să nu poată fi umflată din browser;
• — baza de date rulează pe server privat în Uniunea Europeană (Frankfurt), accesibilă exclusiv local, neexpusă la internet;
• — copii de siguranță zilnice ale bazei de date;
• — platforma nu încarcă niciun instrument de urmărire — fără Google Analytics, Meta Pixel sau echivalente.

Ce NU este implementat, spus deschis: autentificarea în doi pași pentru conturile de companie. O evaluăm ca următoarea măsură de securitate. Preferăm să scriem asta aici decât să lăsăm impresia unui nivel de protecție pe care nu îl avem încă.

Reevaluăm măsurile cel puțin anual și ori de câte ori se schimbă semnificativ arhitectura sau categoriile de date. Putem actualiza măsurile, cu condiția ca nivelul de protecție să nu scadă.

Te notificăm fără întârzieri nejustificate și în cel mult 24 de ore de la momentul în care luăm cunoștință de o încălcare a securității care afectează datele prelucrate în numele tău.

Notificarea cuprinde, în măsura informațiilor disponibile: natura încălcării, categoriile și numărul aproximativ de persoane și înregistrări afectate, consecințele probabile, măsurile luate sau propuse, și o persoană de contact. Ce nu se știe de la început se transmite pe măsura investigației.

Notificarea către Autoritatea Națională de Supraveghere și, după caz, către persoanele vizate îți revine ție, ca operator. Îți acordăm asistența necesară și nu notificăm autoritatea în numele tău fără acordul tău expres.

Ne autorizezi general să folosim subîmputerniciți, în condițiile acestui articol. Le impunem prin contract aceleași obligații de protecție a datelor ca cele de aici și rămânem integral răspunzători față de tine pentru îndeplinirea lor.

DigitalOcean

găzduirea aplicației și a bazei de date · Frankfurt, Uniunea Europeană

Resend

trimiterea e-mailurilor tranzacționale (invitații, resetare parolă) · nume și adresă de e-mail

Te informăm cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui subîmputernicit. Poți obiecta motivat, în scris, în acest termen. Dacă obiecția nu poate fi soluționată, poți înceta serviciile afectate, cu restituirea proporțională a sumelor achitate în avans pentru perioada nefurnizată.

Nu sunt subîmputerniciți serviciile folosite exclusiv la pregătirea conținutului lecțiilor, fără acces la date de producție.

La cerere scrisă, îți punem la dispoziție informațiile necesare pentru a demonstra respectarea acestui acord, inclusiv descrierea măsurilor și lista actualizată a subîmputerniciților.

Poți efectua un audit — direct sau printr-un auditor independent care nu ne este concurent și care semnează un angajament de confidențialitate — cel mult o dată pe an, cu preaviz de 30 de zile, în timpul programului normal de lucru.

Un audit suplimentar se poate face, fără limita anuală, după un incident care ți-a afectat datele sau la solicitarea motivată a unei autorități de supraveghere.

Costurile le suporți tu, cu excepția cazului în care auditul identifică o neconformitate semnificativă imputabilă nouă — atunci le suportăm noi.

La încetarea contractului alegi, în scris, între returnarea datelor și ștergerea lor. În lipsa unei opțiuni, se aplică regula de mai jos.

Menținem datele accesibile pentru export 30 de zile de la încetare, apoi le ștergem din sistemele de producție în cel mult 30 de zile. Copiile de siguranță se șterg odată cu ciclul normal de rotație, interval în care rămân protejate și inaccesibile pentru utilizare operațională. La cerere, emitem confirmare scrisă a ștergerii.

Obligația de a păstra documentele justificative minimum 5 ani de la încetarea raportului de muncă — art. 7 alin. (1) lit. i) din OUG nr. 32/2026 — îți aparține ție, nu nouă. Nu ne obligăm și nu ne putem obliga să arhivăm aceste documente în locul tău. Exportă-ți rapoartele și adeverințele în cele 30 de zile: după ștergere, dovada nu se mai poate reconstitui, iar amenda rămâne în sarcina ta.

Putem păstra datele peste aceste termene numai dacă ne impune legea, informându-te despre temei și durată.

Fiecare parte răspunde conform art. 82 GDPR pentru prejudiciile cauzate prin nerespectarea obligațiilor proprii. Ne despăgubești pentru prejudiciile, amenzile și costurile rezultate din transmiterea de date fără temei legal, din încărcarea categoriilor interzise la art. 5, din instrucțiuni nelegale sau din lipsa informării persoanelor vizate.

Limitările de răspundere din Termeni se aplică și acestui acord, cu excepția situațiilor în care legea interzice limitarea.

Acordul se acceptă odată cu Termenii, la înregistrarea contului, cu înregistrarea datei, orei, versiunii și contului care a acceptat. În caz de neconcordanță cu Termenii, pentru orice aspect privind datele personale prevalează acest acord.

Modificările se comunică cu cel puțin 30 de zile înainte de intrarea în vigoare. Acordul este guvernat de legea română.