Acord de prelucrare a datelor

Tu, firma care are cont în databill, ești operatorul: hotărăști ce date strângi despre clienții tăi și de ce.

Noi, SND TEAM S.R.L. (CUI 38963245, Sat Șelimbăr, Com. Șelimbăr, Str. Mihai Viteazu nr. 260, bl. 5, sc. B, ap. 17, jud. Sibiu, România), suntem persoana împuternicită: ținem și prelucrăm datele acelea pentru tine, cu programul.

Acordul face parte din Termeni și condiții și se aplică de când ai cont, fără o semnătură separată. Dacă ai nevoie de el semnat, scrie-ne la contact@databill.ro.

Pentru datele tale de cont (nume, email, sesiuni) nu se aplică acordul, ci Politica de confidențialitate: acolo operatorul suntem noi.

Doar ce cere serviciul pe care l-ai ales:

• le ținem și ți le arătăm în aplicație;
• facem din ele documente (PDF, XML) și rapoarte;
• trimitem documentele pe email, când apeși tu sau când ai pornit o trimitere automată;
• trimitem facturile la ANAF și aducem de acolo facturile primite, dacă ai conectat firma la SPV;
• le potrivim cu extrasele și fișierele pe care le încarci;
• le copiem, pentru refacere după o defecțiune: baza de date în fiecare zi, fișierele înaintea fiecărei actualizări a programului.

Prelucrarea ține cât ai cont și, după aceea, până la ștergere (pct. 12).

databill nu e făcut pentru date sensibile (sănătate, convingeri, date biometrice). Nu le trece în denumiri, mențiuni sau observații.

• Prelucrăm datele doar după instrucțiunile tale. Instrucțiunile sunt Termenii, acest acord și ce faci tu în aplicație sau prin API. Dacă o instrucțiune ni se pare că încalcă legea, îți spunem. Dacă o lege ne obligă la altceva decât ne-ai cerut, te anunțăm înainte, când legea ne lasă.
• Nu le folosim pentru noi: nu facem reclamă cu ele și nu le dăm mai departe.
• Oamenii noștri care ajung la ele sunt ținuți de confidențialitate.
• Le păzim cu măsurile de la pct. 8.
• Te ajutăm să răspunzi cererilor venite de la oamenii despre ale căror date e vorba (pct. 10) și, dacă ai nevoie, la o evaluare de impact sau la o discuție cu autoritatea.
• Te anunțăm dacă se întâmplă ceva cu datele (pct. 9).
• Îți dăm informațiile cu care arăți că respecți legea (pct. 11).

• Ai un temei pentru datele pe care le pui în program. Pentru o factură, temeiul e de regulă legea sau contractul.
• Îi informezi pe clienții tăi că le prelucrezi datele și că folosești un program de facturare găzduit de altcineva.
• Pui doar datele de care ai nevoie pentru document.
• Le răspunzi oamenilor care îți cer ceva despre datele lor.
• Hotărăști cine din firma ta are acces și îi scoți când pleacă.

Ne dai voie să lucrăm cu firmele de mai jos. Fiecare e ținută, prin contract, de aceleași obligații ca noi, iar față de tine răspundem noi pentru ce fac ele cu datele tale.

O firmă nouă pe listă o anunțăm pe email cu cel puțin 30 de zile înainte. Dacă ai un motiv întemeiat să te opui și nu găsim altă cale, poți închide contul și îți returnăm banii pentru perioada plătită și nefolosită.

ANAF nu lucrează pentru noi. Primește facturile pentru că legea o cere și pentru că ai autorizat tu trimiterea.

Datele stau pe servere din Uniunea Europeană, iar copiile de siguranță ținute în afara serverului, în România. Emailurile trec prin Proton AG, din Elveția, țară cu o decizie a Comisiei Europene privind nivelul adecvat de protecție (GDPR, art. 45; Decizia 2000/518/CE). Altundeva nu trimitem date fără să te anunțăm înainte, după regula de la pct. 6.

• Legătura cu aplicația și cu API-ul e criptată (HTTPS).
• Fiecare cerere e legată de firma din care vine: o firmă nu poate citi datele alteia.
• Parolele sunt ținute ca amprente. Autentificarea în doi pași e la îndemâna fiecărui cont.
• Fiecare om din firmă are drepturile lui; proprietarul le dă și le ia.
• Codurile de acces la SPV sunt criptate în baza de date.
• Cheile de API au drepturi, limite și, dacă vrei, o listă de adrese IP de pe care merg.
• Operațiile se scriu într-un jurnal: pe fiecare document vezi cine l-a emis, l-a schimbat sau l-a trimis la ANAF.
• Baza de date e copiată zilnic, iar refacerea din copie e încercată.
• La servere și la copiile ținute în afara lor ajung doar oamenii noștri care întrețin serviciul.

Dacă aflăm că date ale firmei tale au fost pierdute, schimbate sau văzute de cine nu trebuia, te anunțăm fără întârziere, în cel mult 48 de ore de când am aflat, pe emailul proprietarului contului. Îți spunem ce s-a întâmplat, ce date sunt atinse, ce am făcut și ce îți recomandăm.

Anunțarea ANSPDCP și a oamenilor atinși e hotărârea și obligația ta, ca operator. Îți dăm tot ce ai nevoie pentru ea.

Dacă cererea ajunge la noi, ți-o trimitem ție și îi spunem omului că răspunsul vine de la firma ta. Nu răspundem în locul tău.

Din aplicație poți face singur cele mai multe lucruri: cauți clientul, îi exporți documentele, îi îndrepți datele. Un document emis nu se șterge la cerere dacă legea te obligă să îl păstrezi.

Îți răspundem în scris la întrebările despre cum sunt păzite datele.

Dacă ai nevoie de mai mult, poți face o verificare cel mult o dată pe an, anunțată cu 30 de zile înainte, în timpul programului, pe cheltuiala ta și fără acces la datele altor clienți. Cine o face semnează întâi un angajament de confidențialitate.

Îți iei datele cu exporturile și cu arhiva „Toate datele firmei”, din Setări → Date firmă. Le ștergem după regulile din Termeni, „Datele tale”: la cererea scrisă a proprietarului firmei, în cel mult 30 de zile. Copiile de siguranță făcute înainte le mai păstrează până când sunt șterse și ele. Păstrăm doar ce ne obligă legea.

Fiecare parte răspunde pentru partea ei: tu, pentru temeiul și conținutul datelor; noi, pentru ce facem cu ele în afara instrucțiunilor tale și pentru măsurile de securitate. Între noi se aplică limitele din Termeni, „Răspundere”. Față de oamenii despre ale căror date e vorba, fiecare răspunde cum spune art. 82 din GDPR.

Cât avem date de-ale tale. Se schimbă la fel ca Termenii, cu anunț înainte. Unde acordul și Termenii spun lucruri diferite despre date personale, are întâietate acordul.