Acord de prelucrare a datelor

Cuprins

1. 1. Domeniu de aplicare, roluri și definiții
2. 2. Detalii privind Prelucrarea
3. 3. Instrucțiunile Clientului
4. 4. Confidențialitatea persoanelor autorizate
5. 5. Măsuri de securitate
6. 6. Sub-împuterniciți
7. 7. Locația datelor și transferurile internaționale
8. 8. Asistență în legătură cu cererile Persoanelor vizate
9. 9. Notificarea Încălcării securității datelor cu caracter personal
10. 10. Evaluări de impact și consultarea autorităților de reglementare
11. 11. Informații și audituri
12. 12. Returnarea și ștergerea datelor
13. 13. Solicitări din partea autorităților guvernamentale
14. 14. Răspundere
15. 15. Durată și prevalență
16. 16. Punct de contact pentru protecția datelor și evidența prelucrării
17. Anexa 1: Detalii privind Prelucrarea
18. Anexa 2: Măsuri tehnice și organizatorice
19. Anexa 3: Sub-împuterniciți

Versiunea: 1.2 · Publicat: 16 octombrie 2026 · În vigoare: la acceptare pentru Spațiile de lucru noi; pentru Spațiile de lucru care au acceptat o Versiune anterioară, la data pe care STAK o indică în notificarea sa în temeiul clauzei 20 din Condițiile de furnizare a serviciilor pentru clienți · Textul care prevalează: engleză (clauza 23.9 din Condițiile de furnizare a serviciilor pentru clienți)

Emis de: STAK Global, LLC, o societate cu răspundere limitată constituită în Statul Delaware, Statele Unite ale Americii (număr de dosar 10798493), care deține STAK (ستاك) și Serviciile. Contact: [email protected].

1. Domeniu de aplicare, roluri și definiții

1.1 Prezentul Acord privind prelucrarea datelor face parte integrantă din Contract în temeiul clauzei 3.1 din Condițiile de furnizare a serviciilor pentru clienții STAK („Condițiile”). El reglementează Prelucrarea de către STAK a Datelor cu caracter personal ale Clientului. Expresiile definite în Condiții au același înțeles în prezentul Acord privind prelucrarea datelor.

1.2 Clientul este Operatorul Datelor cu caracter personal ale Clientului, iar STAK este o Persoană împuternicită care le prelucrează în numele Clientului și conform instrucțiunilor acestuia.

• Operator și Persoană împuternicită desemnează echivalentele lor în temeiul Legislației aplicabile privind protecția datelor, precum entitatea de control și entitatea de prelucrare din Regatul Arabiei Saudite.
• Dacă Clientul prelucrează datele în calitate de persoană împuternicită în numele unui alt operator, STAK le prelucrează în calitate de persoană împuternicită care acționează pentru Client și nu este Sub-împuternicit în sensul clauzei 1.3. Clientul se asigură că instrucțiunile sale sunt conforme cu instrucțiunile operatorului respectiv.
• STAK prelucrează Datele contului în calitate de Operator, așa cum se descrie în Politica de confidențialitate, iar prezentul Acord privind prelucrarea datelor nu se aplică acestora. Nici această trimitere, nici cea din Anexa 3 nu creează obligații contractuale în temeiul clauzei 3.2 din Condiții.

1.3 Următoarele expresii au înțelesul indicat lângă fiecare:

• Datele cu caracter personal ale Clientului: Datele cu caracter personal conținute în Datele Clientului, inclusiv datele despre Clienții finali, angajații, furnizorii și Utilizatorii Clientului, altele decât Datele contului.
• Date cu caracter personal sensibile: datele privind sănătatea și datele clinice, precum și orice date pe care Legislația aplicabilă privind protecția datelor le clasifică drept sensibile.
• Prelucrare: orice operațiune efectuată asupra Datelor cu caracter personal, precum colectarea, înregistrarea, stocarea, extragerea, utilizarea, divulgarea, transferul și ștergerea acestora.
• Sub-împuternicit: orice persoană pe care STAK o angajează pentru a prelucra Datele cu caracter personal ale Clientului în scopul furnizării Serviciilor.
• Persoană vizată: persoana fizică la care se referă Datele cu caracter personal.
• Incident de securitate: orice eveniment care amenință sau se suspectează că amenință confidențialitatea, integritatea sau disponibilitatea Serviciilor.
• Încălcarea securității datelor cu caracter personal: orice încălcare a securității care duce la distrugerea, pierderea sau modificarea accidentală ori ilegală a Datelor cu caracter personal ale Clientului sau la divulgarea neautorizată a acestora ori la accesul neautorizat la acestea.
• Copie de rezervă: orice copie a Datelor Clientului realizată în scopuri de recuperare, în temeiul clauzei 12.3 și al Anexei 2.
• Mediul de producție: sistemele și bazele de date pe care rulează Serviciile și pe care le utilizează Clientul, cu excepția Copiilor de rezervă.
• Legislația aplicabilă privind protecția datelor: legislația privind protecția datelor cu caracter personal care se aplică Prelucrării, în fiecare caz astfel cum se aplică, inclusiv următoarele:
  • în Statul Kuweit: Legea nr. 20 din 2014 privind tranzacțiile electronice, precum și Regulamentul privind protecția confidențialității datelor, Cadrul de reglementare pentru cloud computing și Politica de clasificare a datelor emise de Autoritatea de Reglementare a Comunicațiilor și Tehnologiei Informației, fiecare în limitele propriului domeniu;
  • Legea privind protecția datelor cu caracter personal a Regatului Arabiei Saudite, emisă prin Decretul Regal nr. (M/19) din 9/2/1443 AH, cu modificările ulterioare, Regulamentul său de punere în aplicare și Regulamentul privind transferul datelor cu caracter personal în afara Regatului;
  • în Emiratele Arabe Unite: Decretul-lege federal nr. (45) din 2021 privind protecția datelor cu caracter personal, Legea federală nr. (2) din 2019 privind utilizarea tehnologiei informației și comunicațiilor în domeniul sănătății, precum și legile privind protecția datelor ale Centrului Financiar Internațional Dubai și ale Abu Dhabi Global Market pentru cei care le sunt supuși;
  • Legea nr. (30) din 2018 de promulgare a Legii privind protecția datelor cu caracter personal a Regatului Bahrain;
  • Legea nr. (13) din 2016 privind protecția confidențialității datelor cu caracter personal a Statului Qatar;
  • Legea privind protecția datelor cu caracter personal, emisă prin Decretul Regal nr. (6/2022) al Sultanatului Oman;
  • Regulamentul general privind protecția datelor al Uniunii Europene (Regulamentul (UE) 2016/679), în cazul în care se aplică Clientului;
  • Regulamentul general privind protecția datelor al Regatului Unit și Data Protection Act 2018; Legea federală elvețiană privind protecția datelor; California Consumer Privacy Act, cu modificările ulterioare, și celelalte legi cuprinzătoare privind confidențialitatea ale statelor din Statele Unite ale Americii; legea Canadei Personal Information Protection and Electronic Documents Act și legile provinciale; Lei Geral de Proteção de Dados a Braziliei (Legea nr. 13.709/2018); legea Indiei Digital Personal Data Protection Act, 2023; Legea nr. 6698 a Turciei privind protecția datelor cu caracter personal; Legea nr. 151 din 2020 a Egiptului; legea Africii de Sud Protection of Personal Information Act, 2013; legea Singapore Personal Data Protection Act 2012; legea Australiei Privacy Act 1988; precum și orice altă lege privind protecția datelor cu caracter personal care se aplică Prelucrării.

2. Detalii privind Prelucrarea

Anexa 1 stabilește obiectul, durata, natura și scopul Prelucrării, categoriile de Persoane vizate și categoriile de Date cu caracter personal.

3. Instrucțiunile Clientului

3.1 STAK prelucrează Datele cu caracter personal ale Clientului numai pe baza instrucțiunilor documentate ale Clientului. Aceste instrucțiuni sunt:

• Contractul;
• setările Spațiului de lucru;
• acțiunile pe care Utilizatorii le întreprind în cadrul Serviciilor;
• orice alte instrucțiuni scrise convenite de Părți.

3.2 STAK poate prelucra datele altfel decât conform acestor instrucțiuni atunci când Legislația aplicabilă o impune. STAK notifică Clientul în prealabil, cu excepția cazului în care legea interzice notificarea.

3.3 STAK notifică Clientul dacă consideră că o instrucțiune încalcă Legislația aplicabilă privind protecția datelor. STAK poate refuza să execute instrucțiunea respectivă până când Clientul o modifică pentru a elimina încălcarea sau o confirmă în scris, împreună cu o declarație privind temeiul său legal pe care STAK o acceptă în mod rezonabil.

3.4 Clientul răspunde pentru legalitatea instrucțiunilor sale și pentru existența unui temei legal pentru colectarea și prelucrarea Datelor cu caracter personal ale Clientului. Aceasta include informarea Persoanelor vizate și obținerea consimțământului acestora acolo unde este necesar, inclusiv consimțământul pentru transferul datelor lor în temeiul clauzei 7.

4. Confidențialitatea persoanelor autorizate

STAK limitează accesul la Datele cu caracter personal ale Clientului la angajații și contractorii care au nevoie de ele pentru munca lor și îi obligă la confidențialitate. Angajații și contractorii STAK accesează Datele Clientului numai în următoarele cazuri, iar începutul fiecărui astfel de acces la Mediul de producție este înregistrat în jurnal:

• (a) pentru a oferi asistența solicitată de Client;
• (b) pentru a opera și a întreține Serviciile și pentru a le restabili din Copiile de rezervă;
• (c) pentru a investiga un Incident de securitate sau o presupusă încălcare a Politicii de utilizare acceptabilă;
• (d) atunci când legea o impune.

5. Măsuri de securitate

5.1 STAK aplică măsuri tehnice și organizatorice adecvate pentru protejarea Datelor cu caracter personal ale Clientului, ținând seama de natura și riscurile Prelucrării. Acestea includ cel puțin măsurile din Anexa 2.

5.2 STAK poate actualiza aceste măsuri, cu condiția ca nivelul general de protecție să nu scadă.

5.3 Clientul răspunde pentru măsurile de securitate aflate sub propriul control, precum gestionarea Utilizatorilor și a permisiunilor, activarea autentificării în doi pași, securizarea dispozitivelor și a echipamentelor sale și păstrarea în siguranță a datelor pe care le exportă.

6. Sub-împuterniciți

6.1 Clientul autorizează STAK să angajeze Sub-împuterniciții enumerați în Anexa 3.

6.2 STAK trebuie să încheie un contract scris cu fiecare Sub-împuternicit. Contractul trebuie să impună obligații de protecție a datelor care să ofere un nivel de protecție adecvat Prelucrării și în mod substanțial echivalent cu prezentul Acord privind prelucrarea datelor. STAK rămâne răspunzător față de Client pentru îndeplinirea obligațiilor Sub-împuterniciților săi.

6.3 STAK notifică Clientul cu privire la orice nou Sub-împuternicit cu cel puțin 30 de zile înainte ca acesta să înceapă să prelucreze Datele cu caracter personal ale Clientului, în cadrul Serviciilor sau prin e-mail.

6.4 În perioada de preaviz, Clientul poate formula în scris obiecții față de noul Sub-împuternicit pe motive rezonabile legate de protecția datelor. Dacă Părțile nu pot conveni asupra unei soluții, Clientul poate înceta abonamentul afectat sau poate denunța Contractul înainte de începerea Prelucrării și poate primi rambursarea Tarifelor plătite în avans pentru perioada rămasă.

6.5 Furnizorii conectați pe care Clientul îi conectează prin propriile conturi nu sunt Sub-împuterniciții STAK. Aceștia includ Furnizorii de servicii de plată, Meta în legătură cu contul propriu WhatsApp Business al Clientului și platformele de livrare. Trimiterea datelor către aceștia la instrucțiunile Clientului este un transfer efectuat la indicația Clientului și în numele acestuia.

6.6 Datele sunt trimise furnizorului Funcțiilor AI numai atunci când un Utilizator solicită una dintre aceste funcții, atunci când un Utilizator încarcă pentru una dintre ele un document spre citire, cum ar fi un bon, sau atunci când o automatizare configurată de un Utilizator execută un pas care folosește AI, și sunt trimise numai datele necesare pentru îndeplinirea solicitării sau a pasului respectiv. Furnizorul nu le poate folosi pentru a-și antrena modelele. Datele cu caracter personal sensibile îi sunt trimise numai dacă solicitarea sau pasul în sine le conține.

7. Locația datelor și transferurile internaționale

7.1 Serviciile sunt găzduite, iar Datele cu caracter personal ale Clientului sunt stocate în principal, în Mediul de producție al Amazon Web Services din regiunea Frankfurt, în Republica Federală Germania. Copiile de rezervă sunt păstrate în aceeași regiune, iar copii ale acestora sunt realizate într-o regiune separată a Amazon Web Services din Republica Irlanda.

7.2 Clientul recunoaște următoarele și autorizează în mod expres transferurile care rezultă:

• (a) găzduirea are loc în Uniunea Europeană, care poate fi în afara țării în care Clientul este stabilit sau își desfășoară activitatea;
• (b) Cloudflare prelucrează în permanență traficul de rețea prin rețeaua sa globală;
• (c) ceilalți Sub-împuterniciți enumerați în Anexa 3 prelucrează date în alte țări, inclusiv în Statele Unite ale Americii, numai atunci când se utilizează serviciul respectiv;
• (d) angajații STAK pot accesa datele din Statul Kuweit, numai în cazurile prevăzute la clauza 4.

7.3 Pentru transferurile de Date cu caracter personal ale Clientului în afara țării în care au fost colectate, STAK aplică următoarele garanții:

• (a) contractele menționate la clauza 6.2, inclusiv clauzele contractuale standard pe care STAK le-a încheiat cu Sub-împuterniciți din afara Uniunii Europene;
• (b) criptarea în tranzit și în repaus;
• (c) mecanismele de transfer recunoscute de Legislația aplicabilă privind protecția datelor, atunci când aceasta le impune, inclusiv cele de la clauza 7.6.

7.4 Clientul trebuie să obțină orice consimțământ sau autorizare pe care legislația țării sale le impune pentru transferul Datelor cu caracter personal ale Clientului în afara țării respective, fie de la o autoritate de reglementare, fie de la Persoanele vizate. STAK furnizează la cerere informațiile necesare în acest scop.

7.5 STAK poate muta găzduirea principală sau Copiile de rezervă într-o altă regiune după ce notifică Clientul cu cel puțin 30 de zile în avans, iar Clientul poate formula obiecții în temeiul clauzei 6.4, orice încetare în temeiul clauzei respective producând efecte înainte de data mutării. Rularea temporară a Serviciilor din Copiile de rezervă aflate în Republica Irlanda după pierderea regiunii principale de găzduire nu constituie o mutare în sensul prezentei clauze, iar STAK notifică Clientul fără întârziere.

7.6 Mecanisme de transfer impuse de lege: fără a aduce atingere clauzei 7.4:

• (a) Atunci când Regulamentul general privind protecția datelor al Uniunii Europene se aplică Clientului, clauzele contractuale standard adoptate prin Decizia de punere în aplicare (UE) 2021/914 a Comisiei Europene („CCS UE”) sunt încorporate prin trimitere în prezentul Acord privind prelucrarea datelor: Modulul Doi (de la operator la persoana împuternicită de operator), atunci când Clientul este operator, și Modulul Trei (de la persoana împuternicită la persoana împuternicită), atunci când acesta prelucrează datele pentru un alt operator. Clientul este exportatorul de date, iar STAK este importatorul de date. Se aplică Clauza 7 (clauza de aderare). În temeiul Clauzei 9(a), se aplică Opțiunea 2 (autorizare scrisă generală), cu termenul de preaviz prevăzut la clauza 6.3. Formularea opțională din Clauza 11(a) nu se aplică. În temeiul Clauzelor 17 și 18, se aplică legea și instanțele Republicii Irlanda. Autoritatea de supraveghere competentă se stabilește în temeiul Clauzei 13. Anexele acestora sunt completate prin Anexele 1, 2 și 3. Acestea prevalează asupra Contractului în caz de conflict între ele.
• (b) Atunci când Legea privind protecția datelor cu caracter personal a Regatului Arabiei Saudite se aplică Clientului, Clauzele contractuale standard pentru transferul datelor cu caracter personal emise de Autoritatea Saudită pentru Date și Inteligență Artificială, Al doilea șablon (de la operator la persoana împuternicită), sunt încorporate prin trimitere în prezentul Acord privind prelucrarea datelor. Clientul este exportatorul de date, iar STAK este importatorul de date, iar anexele acestora sunt completate prin Anexele 1, 2 și 3. STAK pune la dispoziția Clientului informațiile de care acesta are nevoie pentru evaluarea riscurilor transferului pe care trebuie să o efectueze în temeiul Regulamentului privind transferul datelor cu caracter personal în afara Regatului. Acestea prevalează asupra Contractului în caz de conflict între ele.
• (c) Atunci când Decretul-lege federal nr. (45) din 2021 al Emiratelor Arabe Unite se aplică Clientului, STAK aplică datelor transferate dispozițiile, măsurile și controalele din legea respectivă, în măsura în care acestea se aplică unei persoane împuternicite.
• (d) Atunci când Regulamentul general privind protecția datelor al Regatului Unit se aplică Clientului, Actul adițional privind transferul internațional de date la CCS UE, emis de Comisarul pentru Informații al Regatului Unit (versiunea B1.0, în vigoare de la 21 martie 2022, cu modificările ulterioare), este încorporat prin trimitere. Tabelele de la 1 la 3 sunt completate cu datele Părților din Contract și din Anexele de la 1 la 3. Pentru Tabelul 4, oricare dintre Părți poate pune capăt Actului adițional în condițiile permise de Secțiunea 19 a acestuia.
• (e) Atunci când Legea federală elvețiană privind protecția datelor se aplică Clientului, CCS UE se aplică cu următoarele modificări: Comisarul federal elvețian pentru protecția datelor și informații este autoritatea de supraveghere competentă pentru transferurile reglementate de legea respectivă; trimiterile la RGPD includ legea respectivă; iar „stat membru” se interpretează astfel încât persoanele vizate din Elveția să poată formula pretenții în Elveția.
• (f) Atunci când o altă Legislație aplicabilă privind protecția datelor impune un anumit instrument de transfer, cum ar fi clauzele contractuale standard ale autorității naționale de protecție a datelor din Brazilia sau contractul standard prevăzut de Legea nr. 6698 a Turciei, STAK semnează sau încorporează instrumentul respectiv la cererea Clientului, cu datele sale completate din Anexele de la 1 la 3.
• (g) Atunci când se aplică California Consumer Privacy Act sau o lege similară privind confidențialitatea a unui stat din Statele Unite, STAK acționează în calitate de furnizor de servicii, contractant sau persoană împuternicită a Clientului. STAK nu vinde și nu partajează Datele cu caracter personal ale Clientului. STAK nu le păstrează, nu le utilizează și nu le divulgă în niciun alt scop decât furnizarea Serviciilor în temeiul Contractului și nici în afara relației comerciale directe cu Clientul. STAK nu le combină cu informații personale din alte surse, cu excepția cazurilor permise de legile respective. STAK respectă legile respective și oferă același nivel de protecție a confidențialității pe care acestea îl impun. STAK informează Clientul dacă nu mai poate îndeplini aceste obligații. Clientul poate lua măsuri rezonabile pentru a opri și a remedia orice utilizare neautorizată. STAK certifică faptul că înțelege aceste restricții.

7.7 Date care trebuie să rămână într-o anumită țară: Clientul nu trebuie să păstreze în Servicii date pe care Legislația aplicabilă impune să fie stocate sau prelucrate într-o anumită țară, cu excepția cazului în care Serviciile arată, în temeiul clauzei 9.5 din Condiții, că găzduirea în țara respectivă este disponibilă pentru Aplicația în cauză. Aceasta decurge din clauza 13.4 din Condiții și din clauza 5.4 din Politica de utilizare acceptabilă.

8. Asistență în legătură cu cererile Persoanelor vizate

8.1 Serviciile oferă Clientului instrumente pentru a vizualiza, exporta și corecta Datele cu caracter personal ale Clienților săi finali, un instrument pentru a le șterge prin înlocuirea identității acestora cu un pseudonim, păstrând în același timp evidențele pe care legea impune să fie păstrate, precum și instrumente pentru a vizualiza și corecta datele angajaților săi. Clientul folosește aceste instrumente pentru a răspunde cererilor Persoanelor vizate, iar STAK acordă asistență în temeiul clauzei 8.3 pentru tot ceea ce acestea nu acoperă, inclusiv exportul și ștergerea datelor angajaților.

8.2 Dacă STAK primește o cerere direct de la o Persoană vizată cu privire la Datele cu caracter personal ale Clientului, o transmite Clientului fără întârziere și răspunde numai la instrucțiunile Clientului.

8.3 STAK oferă Clientului asistență rezonabilă pentru tot ceea ce instrumentele disponibile nu acoperă.

9. Notificarea Încălcării securității datelor cu caracter personal

9.1 STAK notifică Clientul fără întârzieri nejustificate după ce ia cunoștință de orice Încălcare a securității datelor cu caracter personal care afectează Datele cu caracter personal ale Clientului. Acționează astfel în termen de 24 de ore de la luarea la cunoștință, atunci când este posibil, și în orice caz în termen de 48 de ore.

9.2 Notificarea include, în măsura în care informațiile sunt disponibile:

• (a) natura încălcării;
• (b) categoriile de date și de Persoane vizate și numărul lor aproximativ;
• (c) consecințele probabile;
• (d) măsurile luate și propuse pentru remedierea încălcării;
• (e) un punct de contact la STAK.

STAK furnizează informații suplimentare de îndată ce acestea devin disponibile.

9.3 STAK ia imediat măsuri rezonabile pentru a limita încălcarea și efectele acesteia. STAK cooperează cu Clientul în notificarea autorităților de reglementare și a Persoanelor vizate atunci când Clientul trebuie să o facă, ținând seama de termenele stabilite de lege pentru Client. Atunci când Legislația aplicabilă impune ca STAK însuși să notifice o autoritate de reglementare cu privire la încălcare, STAK o face în termenul prevăzut și informează Clientul.

9.4 Notificarea de către STAK a unei încălcări sau cooperarea sa în gestionarea acesteia nu reprezintă o recunoaștere a vinovăției sau a răspunderii.

10. Evaluări de impact și consultarea autorităților de reglementare

La cererea Clientului, STAK furnizează informațiile rezonabile necesare pentru efectuarea unei evaluări a impactului asupra protecției datelor sau pentru consultarea unei autorități de reglementare, în măsura în care aceasta privește Serviciile.

11. Informații și audituri

11.1 La cererea Clientului, STAK furnizează informațiile necesare în mod rezonabil pentru a demonstra conformitatea cu prezentul Acord privind prelucrarea datelor. Aceasta include documentația de securitate și răspunsurile la un chestionar de securitate pe an.

11.2 Clientul poate, pe cheltuiala sa, să efectueze un audit sau să dispună efectuarea acestuia de către un auditor independent obligat la confidențialitate, în următoarele cazuri:

• (a) atunci când o autoritate de reglementare o impune;
• (b) după o Încălcare a securității datelor cu caracter personal care îi afectează datele;
• (c) atunci când informațiile furnizate în temeiul clauzei 11.1 nu sunt suficiente.

Auditul este supus următoarelor condiții:

• Clientul notifică STAK cu privire la audit cu cel puțin 30 de zile în avans.
• Se desfășoară în timpul programului de lucru, în Zilele lucrătoare.
• Un audit în temeiul literei (c) are loc nu mai mult de o dată pe an.
• Niciun audit nu se extinde asupra instalațiilor Sub-împuterniciților. În schimb, sunt suficiente certificările și rapoartele lor independente.
• Niciun audit nu include accesul la datele altor clienți sau la orice ar putea afecta securitatea acestora.

12. Returnarea și ștergerea datelor

12.1 Clientul poate exporta Datele cu caracter personal ale Clientului oricând și timp de 30 de zile după încetarea Contractului, în temeiul clauzei 19.5 din Condiții.

12.2 După perioada de export, STAK șterge Datele cu caracter personal ale Clientului din Mediul de producție în termen de 30 de zile, cu excepția cazului în care Legislația aplicabilă impune păstrarea lor, și sub rezerva suspendării ștergerii prevăzute la clauza 19.5 din Condiții cât timp STAK a fost notificat cu privire la un litigiu în instanță, o investigație sau o solicitare din partea unei autorități competente.

12.3 Copiile de rezervă sunt păstrate pentru următoarele perioade de păstrare:

• (a) restaurare la un moment dat și Copii de rezervă zilnice: 35 de zile de la data efectuării fiecărei Copii de rezervă;
• (b) Copii de rezervă logice nocturne ale bazei de date (dump-uri ale bazei de date): 35 de zile;
• (c) Copii de rezervă lunare: 12 luni de la data efectuării fiecărei Copii de rezervă;
• (d) versiunile anterioare ale fișierelor încărcate: 90 de zile de la data înlocuirii sau ștergerii lor.

Reguli aplicabile acestor Copii de rezervă:

• Copiile de rezervă zilnice și lunare și copiile acestora sunt păstrate în depozite securizate de copii de rezervă ale căror politici împiedică pe oricine, inclusiv personalul propriu al STAK, să șteargă o Copie de rezervă înainte de încheierea perioadei sale de păstrare sau să modifice această perioadă și a căror blocare în modul de conformitate (compliance mode) al furnizorului de găzduire împiedică ștergerea oricărei Copii de rezervă cel puțin în primele 35 de zile.
• Copiile de rezervă logice nocturne sunt protejate împotriva modificării și ștergerii până la încheierea perioadei lor de păstrare.
• STAK nu șterge nicio Copie de rezervă înainte de încheierea perioadei sale de păstrare, nici măcar la cererea Clientului.
• Toate Copiile de rezervă sunt scoase din uz și sunt utilizate numai pentru recuperare tehnică, sub rezerva clauzei 12.4, sau atunci când legea o impune.
• Toate Copiile de rezervă care conțin date șterse expiră la încheierea acestor perioade, adică în cel mult 12 luni, iar datele șterse sunt apoi distruse definitiv.
• La cerere, STAK comunică Clientului data la care expiră ultima Copie de rezervă care conține date șterse, astfel încât Clientul să poată informa Persoana vizată.

12.4 Dacă STAK restaurează o Copie de rezervă în cursul acestor perioade, aplică din nou, înainte ca datele să fie puse la dispoziție, ștergerile efectuate în temeiul clauzei 8.1 și eliminările efectuate în temeiul clauzei 12.2 după data respectivei Copii de rezervă, folosind evidențele pe care le deține cu privire la aceste operațiuni.

13. Solicitări din partea autorităților guvernamentale

Dacă STAK primește o solicitare obligatorie din partea unei autorități guvernamentale sau judiciare de a dezvălui Datele cu caracter personal ale Clientului, notifică Clientul, cu excepția cazului în care legea interzice notificarea. STAK limitează dezvăluirea la minimul impus de solicitare. STAK contestă solicitările pe care le consideră în mod rezonabil ilegale, prin mijloacele legale disponibile.

14. Răspundere

Răspunderea fiecărei Părți în temeiul prezentului Acord privind prelucrarea datelor, inclusiv răspunderea sa față de cealaltă Parte în temeiul clauzelor contractuale standard de la clauza 7.6, este supusă dispozițiilor privind limitarea răspunderii din clauza 16 din Condiții, în măsura în care aceste clauze o permit și fără a aduce atingere drepturilor Persoanelor vizate în temeiul acestora.

15. Durată și prevalență

15.1 Prezentul Acord privind prelucrarea datelor se aplică atât timp cât STAK prelucrează Datele cu caracter personal ale Clientului.

15.2 În caz de conflict între prezentul Acord privind prelucrarea datelor și Condiții, acesta prevalează în chestiunile privind Datele cu caracter personal ale Clientului.

15.3 Atunci când Legislația aplicabilă privind protecția datelor impune o obligație imperativă mai strictă decât prezentul Acord privind prelucrarea datelor, obligația respectivă se aplică în limitele domeniului său.

16. Punct de contact pentru protecția datelor și evidența prelucrării

STAK a numit un punct de contact pentru protecția datelor, care poate fi contactat prin e-mail la [email protected]. STAK ține un registru al activităților de prelucrare pe care le desfășoară în numele clienților și îl pune la dispoziția autorității de reglementare competente atunci când legea o impune.

Anexa 1: Detalii privind Prelucrarea

• Obiectul: furnizarea Serviciilor către Client în temeiul Condițiilor.
• Durata: durata Contractului, perioada de export și ștergere ulterioară acestuia în temeiul clauzei 12, perioadele de păstrare a Copiilor de rezervă din clauza 12.3 și perioadele de păstrare ale Sub-împuterniciților prevăzute în Anexa 3.
• Natura și scopul:
  • stocarea și găzduirea Datelor Clientului;
  • prelucrarea vânzărilor, a comenzilor, a rezervărilor și a facturilor;
  • gestionarea stocurilor, a contabilității, a resurselor umane și a salarizării;
  • trimiterea mesajelor solicitate de Client prin propriile sale conturi la Furnizorii conectați sau prin furnizorii de mesagerie pe care îi utilizează STAK după ce aceștia sunt enumerați în Anexa 3;
  • furnizarea Funcțiilor AI atunci când sunt utilizate;
  • Copii de rezervă, securitate și Asistență.
• Categorii de Persoane vizate:
  • Clienții finali, oaspeții și pacienții Clientului;
  • angajații săi și candidații la angajare;
  • Utilizatorii;
  • furnizorii săi și persoanele de contact ale acestora;
  • șoferi și curieri.
• Categorii de Date cu caracter personal:
  • date de identitate și de contact, precum numele, telefonul, e-mailul, adresa și locația de livrare;
  • evidențe ale tranzacțiilor, comenzilor, rezervărilor și facturilor;
  • referințe legate de plăți, fără numerele complete ale cardurilor;
  • datele de loialitate, preferințele și consimțămintele;
  • datele despre angajații Clientului, precum numărul actului de identitate civil, datele privind reședința, salariul, numărul internațional de cont bancar (IBAN), prezența și concediile;
  • fotografiile și documentele încărcate de Client;
  • jurnalele de mesaje și jurnalul de audit.
• Date cu caracter personal sensibile: datele privind sănătatea și datele clinice atunci când sunt utilizate Aplicațiile pentru clinici, sub rezerva clauzei 7.7 și a clauzei 13.4 din Condiții, potrivit căreia funcțiile de fișe ale pacienților nu trebuie utilizate pentru pacienții care primesc servicii de sănătate în Statul Kuweit sau în Emiratele Arabe Unite; și datele privind sănătatea din dosarele de resurse umane, precum certificatele medicale. Fișele clinice și dosarele de resurse umane sunt criptate cu chei separate, iar aceste date sunt vizibile numai Utilizatorilor care dețin rolurile autorizate să le vadă. Codurile de diagnostic și de proceduri din cererile de despăgubire și autorizările prealabile de asigurare, precum și imaginile cardurilor de asigurare, sunt protejate prin criptarea bazelor de date și a stocării din Anexa 2.

Anexa 2: Măsuri tehnice și organizatorice

1. Criptarea:
   • Datele în tranzit sunt criptate cu TLS versiunea 1.2 sau o versiune ulterioară, iar identitatea serverului bazei de date este verificată la fiecare conexiune.
   • Datele în repaus din bazele de date, de pe discuri, din fișiere, din Copiile de rezervă și din depozitul de secrete sunt criptate cu AES-256, folosind chei gestionate prin AWS Key Management Service (AWS KMS) sau de către furnizorul de găzduire.
   • Dosarele de resurse umane și fișele clinice sunt criptate suplimentar în interiorul aplicației cu chei separate, iar datele de conectare ale Furnizorilor conectați sunt păstrate într-un depozit de secrete separat, criptat cu o cheie separată.
2. Izolarea datelor fiecărui client: fiecare înregistrare a Datelor Clientului poartă identificatorul Afacerii căreia îi aparține. Politicile de securitate la nivel de rând din baza de date se aplică rolului aplicației, iar rolul aplicației nu are permisiunea de a le ocoli. Constrângerile de cheie compusă împiedică legarea înregistrărilor unei Afaceri de cele ale alteia.
3. Controlul accesului:
   • Accesul se acordă pe baza principiului privilegiului minim.
   • Accesul la Mediul de producție este limitat la angajații STAK desemnați nominal, necesită autentificare multifactor, iar începutul fiecărui acces este înregistrat în jurnal.
   • Accesul administrativ la servere se realizează exclusiv prin AWS Systems Manager, fără autentificare directă (SSH).
4. Securitatea autentificării Utilizatorilor:
   • Pentru Utilizatori, Serviciile oferă chei de acces, aplicații de autentificare și coduri de verificare trimise pe un telefon verificat.
   • Pentru Client, acestea oferă roluri și permisiuni personalizabile, acces restricționat pe Sucursală și, în Planurile care le includ, reguli de inactivitate a sesiunii și alerte către Proprietari pentru autentificările de pe dispozitive noi.
5. Jurnal de audit: se păstrează un jurnal de audit al modificărilor pe care niciun Utilizator nu îl poate modifica sau șterge. Acesta înregistrează autorul, momentul, sursa și adresa IP. Atunci când Clientul șterge Datele cu caracter personal ale unui Client final în temeiul clauzei 8.1, înregistrările pierd detaliile de identificare ale persoanei respective, dar păstrează ce s-a făcut, de către cine și când. Jurnalul de audit este șters odată cu Datele Clientului în temeiul clauzei 12. Înregistrările contabile sunt legate într-un lanț care dezvăluie orice manipulare.
6. Copii de rezervă și recuperare:
   • Copiile de rezervă automate și continue permit restaurarea la un moment dat în termen de 35 de zile;
   • Copiile de rezervă zilnice sunt păstrate 35 de zile, iar cele lunare 12 luni, și sunt copiate într-o regiune geografică separată din Republica Irlanda. Politica depozitelor de copii de rezervă împiedică ștergerea lor înainte de încheierea perioadei de păstrare sau orice modificare a acestei perioade, iar o blocare în modul de conformitate (compliance mode) împiedică ștergerea oricărei Copii de rezervă cel puțin în primele 35 de zile;
   • o Copie de rezervă logică a bazei de date este realizată în fiecare noapte și păstrată 35 de zile într-un depozit protejat împotriva modificării și ștergerii;
   • restaurarea bazei de date din Copiile de rezervă este testată în fiecare lună.
7. Datele de plată: Serviciile sunt concepute astfel încât STAK să nu stocheze numerele complete ale cardurilor. Plățile se efectuează pe pagini găzduite de Furnizorii de servicii de plată sau pe terminalele și în aplicațiile lor certificate de acceptare a cardurilor. Ecranele Serviciilor nu conțin câmpuri pentru introducerea datelor cardului, iar Serviciile îi permit Clientului să scaneze câmpurile de text liber pentru numere de card introduse din greșeală, astfel încât acestea să poată fi eliminate.
8. Rețea și infrastructură: bazele de date rulează în rețele private care nu sunt accesibile public, în spatele unor firewall-uri. Un firewall pentru aplicații web și protecția împotriva atacurilor de tip refuz de serviciu sunt asigurate prin Cloudflare.
9. Gestionarea vulnerabilităților și dezvoltarea sigură: codul este revizuit, iar testele automate rulează înainte de fiecare lansare. Bibliotecile software sunt verificate, iar actualizările de securitate sunt aplicate fără întârziere.
10. Monitorizare și răspuns la incidente:
    • infrastructura cloud este monitorizată automat non-stop, cu alerte imediate;
    • fiecare acțiune administrativă din infrastructura cloud este înregistrată în jurnal, iar amenințările și permisiunile excesive sunt detectate automat prin servicii Amazon dedicate (AWS CloudTrail, GuardDuty și IAM Access Analyzer);
    • se aplică proceduri documentate pentru răspunsul la Incidentele de securitate și pentru notificare în temeiul clauzei 9.
11. Continuitatea activității: se aplică planuri de continuitate și recuperare, în conformitate cu obiectivele de recuperare din Acordul privind nivelul serviciilor.
12. Personalul: Angajații și contractorii STAK sunt ținuți de obligația de confidențialitate și primesc instruire de sensibilizare privind securitatea.
13. Ștergerea securizată: datele sunt șterse în temeiul clauzei 12, iar furnizorul de găzduire distruge suporturile în conformitate cu standardele sale.

Anexa 3: Sub-împuterniciți

Furnizori utilizați numai atunci când sunt activați. STAK are configurați următorii furnizori, dar nu îi folosește în prezent pentru Prelucrarea Datelor cu caracter personal ale Clientului. STAK începe să utilizeze oricare dintre ei numai după ce transmite o notificare în temeiul clauzei 6.3, cu cel puțin 30 de zile în avans, iar notificarea precizează unde prelucrează furnizorul datele și cât timp le păstrează.

După ce STAK activează propriul număr WhatsApp, Meta trimite de pe acesta coduri de autentificare Utilizatorilor și coduri de verificare Clienților finali care își verifică numerele de telefon pe Paginile publice. Procedând astfel, prelucrează date pe care STAK le prelucrează în calitate de Operator în temeiul Politicii de confidențialitate, nu Date cu caracter personal ale Clientului.

În afara furnizorilor de mai sus, STAK nu utilizează furnizori de mesaje text, de notificări push, de portofele digitale sau de căutare, verificare și cartografiere a adreselor pentru Prelucrarea Datelor cu caracter personal ale Clientului.