Acord de prelucrare a datelor pentru Cabinetul de echipă

Versiunea 1.1 · în vigoare de la 5 noiembrie 2026 pentru cabinetele create de la această dată, iar pentru cabinetele existente de la 5 decembrie 2026

Părțile. VERITOR GROUP S.R.L., cu sediul în Str. Ispravnicului nr. 27, C2, Sector 2, Municipiul București, înregistrată la Registrul Comerțului sub nr. J2026033628006, CUI 54746469 („Veritor”), ca persoană împuternicită, și Titularul Cabinetului de echipă sau Entitatea titulară indicată la crearea cabinetului (denumirea și codul fiscal) („Operatorul”).

Acordul se încheie electronic: Titularul îl acceptă la crearea Cabinetului de echipă, prin bifarea unei casete care nu este bifată în prealabil, iar versiunea acceptată se consemnează, cu data și ora. Acordul face parte din contractul dintre părți (Termenii și condițiile de utilizare, art. 9.4 și 11.9.1, „Termenii”) și este disponibil permanent la veritor.ro/dpa. Termenii folosiți au înțelesul din Termeni și din Regulamentul (UE) 2016/679 („GDPR”).

1. Obiectul, natura, scopul și durata

Veritor stochează, organizează, afișează Membrilor, transmite prin notificări și șterge datele din Cabinetul de echipă, în scopul furnizării Serviciului către Operator și Membrii lui. Categoriile de date și de persoane vizate sunt descrise în Anexa 1. Acordul se aplică cât timp există cabinetul și, după aceea, până la ștergerea datelor conform clauzei 10.

2. Instrucțiunile

2.1. Veritor prelucrează datele doar pe baza instrucțiunilor documentate ale Operatorului, inclusiv în privința transferurilor în afara Spațiului Economic European (clauza 7), cu excepția cazului în care legea Uniunii sau legea română îl obligă la altă prelucrare; în acest caz îl informează în prealabil pe Operator, dacă legea nu interzice informarea.

2.2. Instrucțiunile sunt cuprinse în Termeni, în acest acord și în acțiunile făcute în aplicație de Operator și de Membri, în limitele rolului fiecăruia (invitații, roluri, aduceri de dosare, partajări, ștergeri, transferul și închiderea cabinetului). Acțiunile Membrilor sunt considerate instrucțiuni ale Operatorului.

2.3. Operatorul acceptă, ca instrucțiuni, următoarele reguli ale funcției:

• toți Membrii, inclusiv cei cu rolul de cititor, văd toate datele cabinetului (art. 11.9.3 din Termeni);
• notițele private sunt accesibile doar autorului, cu excepția clauzei 8.3;
• dosarele, documentele și clienții aduși de un Membru rămân în cabinet și după plecarea lui (art. 11.9.4 din Termeni);
• notițele private ale unui Membru plecat devin invizibile și se șterg la 90 de zile de la plecare (art. 11.9.7 din Termeni);
• dacă Abonamentul Operatorului nu mai include locuri, ceilalți Membri pot doar consulta cabinetul până la reînnoire, iar dosarele peste limita planului trec în pauză (art. 11.9.8 din Termeni);
• la închiderea cabinetului, datele pot fi doar consultate și exportate timp de 30 de zile, după care se șterg definitiv (art. 11.9.10 din Termeni).

2.4. Veritor îl informează imediat pe Operator dacă apreciază că o instrucțiune încalcă GDPR sau alte dispoziții privind protecția datelor.

2.5. Veritor nu folosește datele în scop propriu, nu le analizează automat și nu le folosește pentru antrenarea unor modele.

3. Obligațiile Operatorului

Operatorul:

• (a) are un temei legal pentru prelucrare, inclusiv pentru categoriile speciale de date (art. 9 GDPR), datele privind condamnări penale și infracțiuni (art. 10 GDPR) și numărul de identificare național (art. 4 din Legea nr. 190/2018);
• (b) informează persoanele vizate, inclusiv Membrii, despre prelucrare;
• (c) invită în cabinet doar persoane care acționează sub autoritatea sa și pe care le instruiește (art. 29 și art. 32 alin. (4) GDPR) sau cu care a stabilit separat condițiile de acces;
• (d) respectă obligațiile de secret profesional care i se aplică;
• (e) răspunde de instrucțiunile date.

4. Confidențialitatea

Veritor permite accesul la date doar persoanelor sale care au nevoie de el pentru furnizarea Serviciului și care s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate. Aceste persoane accesează conținutul cabinetului doar: (i) la cererea Operatorului sau a unui Membru, pentru asistență; (ii) când este necesar pentru securitate sau pentru un incident; (iii) când legea o impune.

5. Securitatea

Veritor aplică măsurile tehnice și organizatorice din Anexa 2, adecvate riscului, inclusiv pentru categoriile speciale de date, și le actualizează în funcție de evoluția tehnică, fără a reduce nivelul de protecție.

6. Subîmputerniciții

6.1. Operatorul autorizează în general folosirea subîmputerniciților din Anexa 3.

6.2. Veritor îl anunță pe Operator pe email cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui subîmputernicit. Operatorul se poate opune motivat în acest interval; dacă părțile nu găsesc o soluție, Operatorul poate înceta contractul fără costuri, cu restituirea proporțională a părții neutilizate din preț.

6.3. Veritor impune fiecărui subîmputernicit, prin contract, obligații de protecție a datelor cel puțin echivalente cu cele din acest acord și răspunde față de Operator pentru îndeplinirea lor.

7. Transferurile

Datele se stochează în Uniunea Europeană (Anexa 3). Accesul subîmputerniciților din afara Spațiului Economic European și transferurile se fac doar în baza unei decizii de adecvare (inclusiv EU-US Data Privacy Framework, pentru entitățile certificate) sau a clauzelor contractuale standard (art. 45–46 GDPR).

8. Asistența privind drepturile persoanelor vizate

8.1. Aplicația îi permite Operatorului să consulte, să corecteze, să exporte și să șteargă datele cabinetului.

8.2. Veritor îi transmite Operatorului orice cerere a unei persoane vizate privind datele cabinetului, în cel mult 5 zile lucrătoare de la primire, și nu răspunde el însuși pe fond, cu excepția instrucțiunii Operatorului.

8.3. La cererea scrisă și motivată a Operatorului, întemeiată pe o obligație legală (cererea unei persoane vizate, o hotărâre judecătorească, cererea unei autorități), Veritor caută în notițele private ale Membrilor, inclusiv ale celor plecați, doar datele persoanei sau ale cauzei indicate și i le comunică Operatorului, după informarea prealabilă a Membrului, dacă legea o permite.

9. Asistența privind securitatea, incidentele și evaluările

9.1. Veritor îl notifică pe Operator fără întârzieri nejustificate și în cel mult 48 de ore de la constatarea unei încălcări a securității datelor cabinetului, cu informațiile disponibile dintre cele prevăzute la art. 33 alin. (3) GDPR (natura încălcării, categoriile și numărul aproximativ de persoane și de înregistrări, consecințele probabile, măsurile luate sau propuse, persoana de contact); informațiile care nu sunt disponibile se transmit pe etape.

9.2. Veritor îl ajută pe Operator, cu informațiile de care dispune, la evaluarea impactului (art. 35 GDPR) și la consultarea prealabilă a Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (art. 36 GDPR).

10. Încetarea și transferul

10.1. La închiderea cabinetului se aplică art. 11.9.10 din Termeni: timp de 30 de zile de la închidere, Operatorul poate exporta datele cabinetului, iar la sfârșitul acestui termen datele se șterg definitiv, inclusiv documentele din spațiul de stocare, cu excepția dovezii de la clauza 10.3; copiile de rezervă se suprascriu în cel mult 90 de zile.

10.2. În celelalte cazuri de încetare a contractului, Operatorul poate exporta datele înainte. După încetare, datele nu mai pot fi deschise din aplicație, se șterg din spațiul de stocare în cel mult 30 de zile și din copiile de rezervă în cel mult 90 de zile.

10.3. Rămân doar datele pe care Veritor trebuie să le păstreze prin lege, pentru care Veritor este operator (de exemplu, facturile), și dovada minimă a acceptărilor din cabinet, pe care Veritor o păstrează 3 ani de la ștergerea definitivă a cabinetului, pentru apărarea în fața unor eventuale pretenții (art. 6 alin. (1) lit. f) GDPR): denumirea cabinetului, Operatorul declarat și acordul Titularului (data, versiunea Termenilor și a acestui acord), invitațiile acceptate (adresa de email, rolul, data acceptării, versiunea Termenilor și acceptarea expresă a regulilor cabinetului) și transferurile acceptate (de la cine, la cine, data, versiunea Termenilor). Pentru aceste date Veritor este operator (Politica de confidențialitate, secțiunea 3.9 lit. (h)). Conținutul cabinetului (dosare, clienți, documente, diferende, notițe) nu se păstrează.

10.4. La transferul cabinetului (art. 11.9.10 din Termeni), noul Titular devine Operator de la acceptarea transferului, iar acest acord se aplică de la acea dată între Veritor și noul Titular.

11. Informații și audit

Veritor îi pune la dispoziție Operatorului, la cerere, informațiile necesare pentru a demonstra respectarea art. 28 GDPR (descrierea măsurilor, lista subîmputerniciților, rapoartele de securitate disponibile ale acestora). Operatorul sau un auditor mandatat de el, cu obligație de confidențialitate, poate efectua un audit, inclusiv o inspecție, cel mult o dată la 12 luni, cu un preaviz de 30 de zile, pe cheltuiala Operatorului și fără acces la datele altor clienți. Limitarea frecvenței nu se aplică după o încălcare a securității datelor cabinetului sau la cererea unei autorități de supraveghere.

12. Răspunderea

Fiecare parte răspunde față de persoanele vizate potrivit art. 82 GDPR. Între părți se aplică art. 17 din Termeni, cu excepția prejudiciilor cauzate cu intenție sau din culpă gravă.

13. Dispoziții finale

Acordul se modifică în condițiile art. 21 din Termeni. În materie de protecție a datelor, acordul prevalează față de Termeni. Se aplică legea română.

Anexa 1 — Descrierea prelucrării

• Persoane vizate: Membrii cabinetului; clienții cabinetului și reprezentanții lor; părțile, contrapărțile, martorii și celelalte persoane care apar în dosare, documente și diferende.
• Date: date de identificare și de contact; date despre dosare și diferende, inclusiv părțile urmărite și dosarele găsite pentru ele (art. 4.8 din Termeni); conținutul documentelor încărcate și al notițelor, care poate include categorii speciale de date (art. 9 GDPR), date privind condamnări penale și infracțiuni (art. 10 GDPR) și codul numeric personal; date despre organizarea muncii (responsabil, urmăritori, cine a adăugat).
• Operațiuni: stocare, organizare, afișare, transmiterea notificărilor, export, ștergere.
• Durata: clauzele 1 și 10.

Anexa 2 — Măsurile tehnice și organizatorice

• conexiuni criptate (HTTPS);
• parole stocate doar ca hash bcrypt și cookie de sesiune HttpOnly;
• verificarea pe server, la fiecare cerere și la fiecare modificare, a cabinetului și a rolului Membrului;
• separarea cabinetelor: fiecare cerere este verificată în contextul cabinetului din care face parte;
• documentele se păstrează într-un spațiu de stocare privat, criptat, fără adrese publice, și se deschid doar prin adrese temporare, valabile câteva minute, emise după verificarea contului;
• copii de rezervă, suprascrise în cel mult 90 de zile;
• jurnale tehnice păstrate cel mult 30 de zile;
• limitări de frecvență împotriva abuzurilor;
• acces la date restrâns la persoanele care au nevoie de el (clauza 4).

Anexa 3 — Subîmputerniciții

Stripe și Keez nu prelucrează date din cabinet: ele prelucrează datele de plată și de facturare, pentru care Veritor este operator (Politica de confidențialitate, secțiunea 4).

Versiuni

Versiunea 1.1, în vigoare de la 5 noiembrie 2026 pentru cabinetele create de la această dată, iar pentru cabinetele existente de la 5 decembrie 2026 (clauza 13). Față de versiunea 1.0 (4 noiembrie 2026) precizează dovada minimă a acceptărilor pe care Veritor o păstrează, ca operator, 3 ani după ștergerea definitivă a cabinetului (clauzele 10.1 și 10.3) și menționează părțile urmărite și dosarele găsite pentru ele printre datele cabinetului (Anexa 1).