Acord de prelucrare a datelor cu caracter personal

în temeiul art. 28 din Regulamentul (UE) 2016/679 (GDPR), anexă la termenii de utilizare Firmly · versiunea 2.0 · 7 octombrie 2026

Părțile

1. ……………………………………, CUI ……………………………………, cu sediul în ……………………………………, denumită în continuare „Clientul” (operator); și
2. ARHAI S.R.L., CUI RO35913161, J2016000743052, cu sediul în Str. Piatra Craiului nr. 36G, Oradea, jud. Bihor, reprezentată de Gabriel-Mircea Nica, administrator, e-mail pentru date personale contact@firmly.ro, care operează platforma Firmly, denumită în continuare „Furnizorul” (persoană împuternicită).

1. Cine ce rol are

1.1. Datele Clientului. Acordul se aplică datelor cu caracter personal pe care Clientul și utilizatorii săi le introduc sau le generează în Firmly pentru activitatea Clientului: notele, rezultatele apelurilor, etapele din coada de apeluri și din pipeline, listele salvate, firmele și piețele urmărite, produsele, exporturile și tokenurile API ale Clientului, precum și datele utilizatorilor din echipa Clientului în măsura în care sunt folosite pentru administrarea echipei de către Client. Pentru aceste date Clientul este operator, iar Furnizorul este persoană împuternicită.

1.2. Datele platformei. Datele despre firme și despre persoanele care apar în registrele publice și pe site-urile firmelor (de exemplu administratori, asociați, contacte profesionale) sunt colectate și puse la dispoziție de Furnizor ca operator independent, conform politicii de confidențialitate. Când Clientul le consultă, le exportă sau le folosește (de exemplu pentru prospectare), Clientul devine operator independent pentru propria folosire și răspunde de temeiul ei, de informarea persoanelor vizate (art. 14 GDPR) și de respectarea opozițiilor; nu există operatori asociați în sensul art. 26 GDPR.

1.3. Registrul de opoziție. O opoziție înregistrată de Client în aplicație este preluată și în registrul comun al Firmly, pe care Furnizorul îl ține ca operator, ca să fie respectată față de toți clienții (art. 21 GDPR). Clientul este de acord cu această preluare.

1.4. Datele de cont, securitate și facturare (autentificări, jurnalul de securitate, facturile) sunt prelucrate de Furnizor ca operator, pentru executarea contractului, securitate și obligațiile legale.

1.5. Durata: cât timp Clientul are cont în Firmly, plus perioada de returnare și ștergere de la punctul 3.9.

2. Natura, scopul și categoriile de date (Datele Clientului)

Natura prelucrării: stocare, organizare, consultare, căutare, export la cererea Clientului, ștergere. Nu se prelucrează categorii speciale de date (art. 9 GDPR), date privind condamnări penale (art. 10 GDPR), CNP, serii de acte de identitate sau adrese de domiciliu. Clientul nu introduce astfel de date în note.

3. Obligațiile Furnizorului

3.1. Prelucrează Datele Clientului numai pe baza instrucțiunilor documentate ale Clientului — acest acord, termenii de utilizare și setările făcute de Client în cont — inclusiv în privința transferurilor în afara Spațiului Economic European, cu excepția cazului în care legea îl obligă altfel (caz în care îl informează pe Client înainte, dacă legea permite). Îl anunță imediat pe Client dacă o instrucțiune i se pare contrară legii.

3.2. Nu folosește Datele Clientului în scopuri proprii, nu le vinde și nu le arată altor clienți. Excepții: statistici agregate și anonime de folosire a platformei, protejarea securității platformei și registrul comun de opoziție (punctul 1.3).

3.3. Se asigură că persoanele autorizate să prelucreze Datele Clientului s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate.

3.4. Aplică măsurile tehnice și organizatorice din Anexa 2 (art. 32 GDPR) și le actualizează când evoluează riscurile, fără a scădea nivelul de protecție.

3.5. Folosește subîmputerniciții din Anexa 1, pe care Clientul îi autorizează prin acceptarea acordului (autorizare generală, art. 28 alin. (2) GDPR). Pentru un subîmputernicit nou sau înlocuit, Furnizorul anunță Clientul pe e-mail sau în aplicație cu cel puțin 15 zile înainte; Clientul se poate opune motivat, iar dacă nu se găsește o soluție, poate înceta contractul fără penalități și cu restituirea proporțională a sumei plătite în avans. Furnizorul impune fiecărui subîmputernicit, prin contract, obligații de protecție a datelor cel puțin egale cu cele din acest acord și răspunde față de Client pentru ei.

3.6. Ajută Clientul, prin măsuri tehnice și organizatorice potrivite, să răspundă cererilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție): exportul CSV și API, ștergerea notelor și a lead-urilor, registrul de opoziție. Dacă primește direct o cerere privind Datele Clientului, o transmite Clientului în cel mult 5 zile lucrătoare și nu răspunde singur decât la instrucțiunea Clientului.

3.7. Anunță Clientul fără întârzieri nejustificate, în cel mult 48 de ore de la constatare, despre orice încălcare a securității care afectează Datele Clientului, cu informațiile disponibile (ce s-a întâmplat, ce date și câte persoane sunt afectate, consecințele probabile, măsurile luate), pentru ca acesta să își poată îndeplini obligațiile din art. 33–34 GDPR (notificarea autorității în 72 de ore).

3.8. Ajută Clientul, în măsura informațiilor de care dispune, la evaluările de impact și la consultarea autorității de supraveghere (art. 35–36 GDPR).

3.9. La încetarea contractului, Clientul își poate exporta datele timp de 90 de zile de la expirarea contului (export CSV în limitele planului, sau la cerere, gratuit); apoi Furnizorul șterge Datele Clientului în cel mult 30 de zile, cu excepția celor pe care legea îl obligă să le păstreze (de exemplu, documentele de facturare). Copiile de siguranță se suprascriu în ciclul lor normal (cel mult 7 zile). La cerere, Furnizorul confirmă ștergerea în scris.

3.10. Pune la dispoziția Clientului informațiile necesare pentru a demonstra respectarea art. 28 GDPR și permite audituri, inclusiv inspecții, efectuate de Client sau de un auditor mandatat de acesta și obligat la confidențialitate, cu un preaviz de cel puțin 30 de zile, cel mult o dată pe an (în afară de cazul unei încălcări a securității sau al unei cereri a autorității), pe cheltuiala Clientului și fără acces la datele altor clienți. De regulă, auditul se face întâi prin chestionar scris.

4. Obligațiile Clientului

4.1. Are un temei legal pentru Datele Clientului pe care le introduce în Firmly și pentru folosirea datelor consultate sau exportate; informează persoanele vizate conform art. 13–14 GDPR (cel târziu la primul contact) și respectă opozițiile la prospectare.

4.2. Respectă regulile privind comunicările comerciale: nu trimite e-mailuri, SMS-uri sau mesaje comerciale nesolicitate și nu folosește apeluri automate fără consimțământul prealabil și expres al destinatarului (Legea nr. 506/2004, art. 12; Legea nr. 365/2002, art. 6), inclusiv către adrese de e-mail ale firmelor.

4.3. Dă instrucțiuni conforme cu legea, acordă acces doar colegilor care au nevoie de el și păstrează în siguranță parolele, codurile de verificare și tokenurile API.

5. Transferuri internaționale

Baza de date și copiile de siguranță sunt găzduite în România. Datele Clientului ajung în afara Spațiului Economic European doar la subîmputerniciții din Anexa 1 marcați astfel și numai cu garanțiile din capitolul V GDPR: decizie de adecvare (inclusiv cadrul UE–SUA privind protecția datelor, pentru furnizorii certificați) sau clauzele contractuale standard ale Comisiei Europene (Decizia de punere în aplicare (UE) 2021/914), modulul persoană împuternicită → persoană împuternicită.

6. Durata, răspunderea și dispoziții finale

6.1. Acordul intră în vigoare la acceptarea lui (electronic, în aplicație, sau prin semnare) și produce efecte cât timp Furnizorul prelucrează Date ale Clientului. Răspunderea părților este cea stabilită în termenii de utilizare, fără a limita răspunderea față de persoanele vizate prevăzută de art. 82 GDPR.

6.2. În privința protecției datelor, acest acord prevalează față de orice altă prevedere contrară dintre părți. Furnizorul poate actualiza Anexele 1 și 2 conform punctelor 3.4–3.5; celelalte modificări se acceptă din nou de Client. Se aplică legea română; litigiile se soluționează pe cale amiabilă, iar dacă nu e posibil, de instanțele competente de la sediul Furnizorului.

Anexa 1 — Subîmputerniciți

Lista e cea în vigoare la data afișării. Furnizorii care nu primesc Datele Clientului (de exemplu, cei care găzduiesc doar codul sursă) nu sunt subîmputerniciți.

Anexa 2 — Măsuri tehnice și organizatorice

• acces în aplicație doar cu cont creat prin invitație nominală și parolă de cel puțin 12 caractere; verificarea în doi pași este obligatorie (cod de unică folosință trimis pe e-mail, valabil 10 minute, sau cod dintr-o aplicație de autentificare); sesiunile unui utilizator dezactivat se închid imediat; încercările repetate de autentificare se blochează automat;
• separarea datelor pe clienți: fiecare organizație vede doar produsele, coada, pipeline-ul, listele, tokenurile și jurnalul proprii;
• conexiuni criptate (HTTPS); parolele se păstrează doar ca amprentă criptografică; cheile integrărilor se păstrează criptat; tokenurile API se păstrează doar ca amprentă, pot expira și pot fi revocate oricând;
• datele despre persoane fizice din registre sunt ascunse implicit clienților; data nașterii completă nu se arată clienților (doar anul);
• jurnal de audit pentru autentificări, vizualizări de date personale, exporturi, opoziții și modificări ale echipei, vizibil proprietarului contului (Echipa → Jurnalul echipei), păstrat 12 luni;
• limite de folosire (exporturi, cereri API, întrebări) pe plan;
• servere în România, copii de siguranță zilnice ale bazei de date, păstrate cel mult 7 zile, și proceduri de restaurare;
• acces administrativ la servere doar pentru personalul autorizat al Furnizorului, cu chei SSH; secretele aplicației nu se păstrează în codul sursă;
• procedură scrisă pentru cererile persoanelor vizate și pentru încălcările securității (notificare în 72 de ore).

Document generat din platforma Firmly. Varianta publică a textului: https://firmly.ro/acord-prelucrare-date.