Acord de prelucrare a datelor

Părțile

Operatorul: grădinița care folosește Platforma KinderHub, identificată prin datele din contul său de client ([denumire, CUI, sediu, reprezentant legal]).

Persoana împuternicită: [Denumirea societății] S.R.L., cu sediul în [Adresa sediului social], CUI [CUI], nr. Registrul Comerțului [Nr. Registrul Comerțului], e-mail contact@kinderhub.ro („KinderHub”).

Acordul se încheie electronic, odată cu acceptarea Termenilor și condițiilor la crearea contului, sau prin semnarea exemplarului de la finalul documentului. Termenii folosiți au înțelesul din Regulamentul (UE) 2016/679 („GDPR”).

1. Obiectul și durata

KinderHub prelucrează date cu caracter personal în numele Operatorului, exclusiv pentru furnizarea Platformei, pe durata contractului și a perioadei de returnare și ștergere prevăzute la secțiunea 11. Detaliile prelucrării sunt descrise în Anexa 1.

2. Natura și scopul prelucrării

Prelucrarea constă în găzduirea, stocarea, organizarea și afișarea datelor către utilizatorii autorizați de Operator, calculul și emiterea documentelor (de exemplu facturi), trimiterea notificărilor și emailurilor, generarea de text cu AI la cererea utilizatorilor, realizarea copiilor de siguranță și ștergerea datelor.

3. Instrucțiunile operatorului

KinderHub prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului — acest Acord, Termenii și acțiunile efectuate de Operator și de utilizatorii săi în Platformă (inclusiv setările, precum activarea funcțiilor AI, a plăților online sau a integrării SmartBill). KinderHub informează imediat Operatorul dacă, în opinia sa, o instrucțiune încalcă GDPR sau alte dispoziții legale privind protecția datelor.

4. Obligațiile împuternicitului

În conformitate cu art. 28 alin. (3) GDPR, KinderHub:

1. prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului, inclusiv în privința transferurilor;
2. se asigură că persoanele autorizate să prelucreze datele s-au angajat să respecte confidențialitatea;
3. adoptă măsurile de securitate prevăzute la art. 32 GDPR, descrise în Anexa 2;
4. respectă condițiile de recrutare a împuterniciților secundari prevăzute la secțiunea 6;
5. asistă Operatorul, prin măsuri tehnice și organizatorice adecvate, în îndeplinirea obligației de a răspunde cererilor persoanelor vizate;
6. asistă Operatorul în asigurarea respectării obligațiilor prevăzute la art. 32–36 GDPR;
7. la încetarea serviciilor, șterge sau returnează datele, conform secțiunii 11;
8. pune la dispoziția Operatorului informațiile necesare pentru a demonstra respectarea art. 28 și permite auditurile, conform secțiunii 10.

5. Obligațiile operatorului

• stabilește scopurile prelucrării și are un temei legal pentru fiecare categorie de date introduse, inclusiv o condiție din art. 9 alin. (2) GDPR pentru datele privind sănătatea;
• informează părinții și personalul despre prelucrare (art. 13–14 GDPR) și obține acordurile necesare, de exemplu pentru fotografii și pentru folosirea AI;
• introduce în Platformă doar date necesare și corecte și le șterge atunci când nu mai are temei să le păstreze;
• acordă acces doar persoanelor care au nevoie de el și gestionează invitațiile și rolurile utilizatorilor;
• nu introduce date medicale în câmpurile de text transmise funcțiilor AI.

6. Împuterniciți secundari

Operatorul acordă KinderHub o autorizare generală de a recurge la împuterniciții secundari din Anexa 3. KinderHub informează Operatorul, prin email sau în aplicație, cu cel puțin [30] de zile înainte de adăugarea sau înlocuirea unui împuternicit secundar; Operatorul se poate opune în acest termen, pentru motive întemeiate privind protecția datelor, caz în care poate înceta contractul fără penalități.

KinderHub impune împuterniciților secundari, prin contract, obligații de protecție a datelor echivalente celor din acest Acord și răspunde față de Operator pentru îndeplinirea lor. Stripe și SmartBill sunt folosiți doar dacă Operatorul activează integrările respective, cu conturile sale proprii la acești furnizori.

7. Transferuri internaționale

Datele sunt găzduite în Uniunea Europeană. Transferurile în afara SEE au loc doar către împuterniciții secundari indicați în Anexa 3, pe baza clauzelor contractuale standard (Decizia (UE) 2021/914) [și/sau a Cadrului UE–SUA privind protecția datelor, dacă este cazul], însoțite de măsuri suplimentare: pentru funcțiile AI se transmite doar prenumele copilului și informațiile zilei, datele nu sunt folosite pentru antrenare și sunt șterse de furnizor în cel mult 30 de zile. Operatorul poate evita complet acest transfer nefolosind funcțiile AI.

8. Încălcarea securității datelor

KinderHub notifică Operatorul fără întârzieri nejustificate, în cel mult [48] de ore de la constatarea unei încălcări a securității datelor care afectează Datele Clientului. Notificarea cuprinde, în măsura în care sunt cunoscute, informațiile prevăzute la art. 33 alin. (3) GDPR: natura încălcării, categoriile și numărul aproximativ de persoane și de înregistrări afectate, consecințele probabile și măsurile luate sau propuse. KinderHub ia imediat măsuri pentru limitarea efectelor și sprijină Operatorul în notificarea ANSPDCP și, dacă e cazul, a persoanelor vizate.

9. Asistență acordată operatorului

Platforma permite Operatorului să acceseze, să corecteze, să exporte și să șteargă datele. Dacă KinderHub primește direct o cerere de la o persoană vizată, o transmite Operatorului în cel mult [5] zile lucrătoare, fără a răspunde în locul acestuia, cu excepția cazului în care este instruit astfel. La cerere, KinderHub oferă informațiile necesare pentru o evaluare a impactului asupra protecției datelor (art. 35) și pentru consultarea prealabilă a autorității de supraveghere (art. 36).

10. Informații și audit

KinderHub pune la dispoziția Operatorului, la cerere, informațiile necesare pentru a demonstra respectarea acestui Acord. Operatorul poate efectua un audit, direct sau printr-un auditor independent obligat la confidențialitate, cu o notificare prealabilă de [30] de zile, cel mult o dată pe an (cu excepția cazului unei încălcări a securității datelor), în timpul programului de lucru și fără a afecta securitatea celorlalți clienți. Costurile auditului sunt suportate de Operator.

11. Încetare: returnarea și ștergerea datelor

La încetarea contractului, Operatorul își poate exporta datele timp de [30] de zile. După acest termen, KinderHub șterge definitiv Datele Clientului din sistemele active, iar copiile de siguranță se suprascriu în cel mult 14 zile, cu excepția datelor pe care legea obligă KinderHub să le păstreze. La cerere, KinderHub confirmă în scris ștergerea.

12. Răspundere

Fiecare parte răspunde conform art. 82 GDPR. În relația dintre părți se aplică limitările de răspundere din Termeni, în măsura permisă de lege.

13. Dispoziții finale

Acordul intră în vigoare odată cu contractul și rămâne în vigoare cât timp KinderHub prelucrează Datele Clientului. În caz de contradicție privind protecția datelor, prevederile acestui Acord prevalează asupra Termenilor. Acordul este guvernat de legea română.

Anexa 1 — Descrierea prelucrării

Anexa 2 — Măsuri tehnice și organizatorice

• Criptarea datelor în tranzit (HTTPS/TLS) pentru toate conexiunile la Platformă.
• Parolele utilizatorilor sunt stocate doar sub formă de hash; sesiunile expiră automat; confirmarea adresei de email la înregistrare.
• Izolarea logică a datelor între grădinițe: fiecare interogare este filtrată după grădinița utilizatorului; rolul și grădinița sunt citite întotdeauna de pe server.
• Controlul accesului pe roluri (director, educator, părinte); părinții au acces doar la datele copiilor lor.
• Fișierele (fotografii, documente) sunt private și se servesc doar prin aplicație, după verificarea permisiunilor; metadatele EXIF, inclusiv localizarea GPS, sunt eliminate la încărcare.
• Secretele integrărilor (Stripe, SmartBill) sunt stocate criptat.
• Minimizarea datelor transmise furnizorului AI: doar prenumele copilului și informațiile zilei, fără date medicale.
• Jurnal de audit pentru acțiunile sensibile (ștergeri, date medicale, facturi, exporturi, schimbări în echipă, acțiuni administrative).
• Limitarea numărului de încercări de autentificare și a numărului de cereri către funcțiile AI.
• Copii de siguranță zilnice ale bazei de date și ale fișierelor, păstrate 14 zile [și replicate într-o a doua locație din UE]; proceduri de restaurare testate [periodic].
• Actualizarea regulată a sistemelor; acces administrativ la servere doar pentru personal autorizat, cu autentificare pe bază de chei.
• Obligații de confidențialitate pentru personalul Furnizorului; accesul la Datele Clientului doar pentru suport și mentenanță.

Anexa 3 — Împuterniciți secundari

Semnături

Se completează doar dacă acordul se semnează separat de acceptarea electronică a Termenilor.