Acord de prelucrare a datelor (DPA)

1. Părțile și rolurile

CITYVIBES S.R.L., societate cu răspundere limitată, CUI/CIF 42122488, Registrul Comerțului J22/131/2020, sediul Str. Valea Adâncă nr. 9B, ap. 1B, 700712, Iași, RO, capital social 200,00 RON, denumită Fluxe, prelucrează datele personale în numele Clientului identificat în cont și în confirmarea contractului.

Acest acord completează Termenii și condițiile și prevalează în caz de contradicție privind prelucrarea datelor în numele Clientului. Clientul stabilește scopul prelucrării datelor din activitatea sa și este operator; Fluxe este persoană împuternicită. Când Clientul acționează legal ca persoană împuternicită pentru un alt operator, Fluxe este subîmputernicit, iar Clientul trebuie să dețină autorizarea necesară.

Fluxe rămâne operator independent pentru datele proprii de cont, securitate, contractare, facturare, plăți și comunicare, conform Politicii de confidențialitate. Clientul răspunde pentru legalitatea scopului, temeiului și instrucțiunilor sale; Fluxe răspunde pentru propriile obligații GDPR și pentru prelucrarea în afara ori împotriva instrucțiunilor legale.

2. Obiect, durată, natură și scop

Prelucrarea începe la activarea funcțiilor relevante și continuă pe durata serviciului și a operațiunilor necesare returnării ori ștergerii datelor. Scopul este furnizarea funcțiilor alese de Client: găzduire, organizare și căutare, documente și contabilitate, facturare, raportare, integrări, suport și securitate.

Operațiunile includ primire și încărcare, stocare și copiere de siguranță, extragere și structurare, consultare și corectare, transmitere către destinatarii autorizați, export și ștergere. OCR-ul ori analiza AI externă se aplică numai fluxului în care Clientul încarcă sau selectează datele pentru acea funcție. Fluxe nu vinde conținutul Clientului și nu îl folosește pentru publicitate comportamentală proprie.

3. Categorii de date și persoane vizate

• Persoane vizate: utilizatori autorizați, reprezentanți, angajați, colaboratori, clienți, furnizori, persoane de contact și destinatari ai documentelor Clientului.
• Date de identificare și contact: nume, adresă, email, telefon, funcție, identificatori fiscali și date de reprezentare; CNP ori act de identitate numai când sunt necesare activității și există temei legal.
• Date profesionale și financiar-contabile: facturi, contracte, IBAN-uri, tranzacții, evidențe salariale, documente de personal, semnături, mesaje, fișiere și informațiile introduse în integrări.
• Date tehnice: identificatori de cont și document, drepturi de acces, IP, marcaje de timp, evenimente de audit și metadate necesare funcției.

Clientul limitează datele la ceea ce este necesar. Datele privind sănătatea ori alte categorii speciale și datele privind condamnări penale nu se introduc decât când funcția și activitatea Clientului o cer, există un temei potrivit art. 9 sau 10 GDPR și sunt aplicate măsuri adecvate. Un fișier cu asemenea date nu trebuie trimis pentru analiză AI dacă prelucrarea externă nu este autorizată pentru acel caz.

4. Instrucțiuni, confidențialitate și securitate

Instrucțiunile documentate rezultă din acest acord, configurările și acțiunile utilizatorilor autorizați și cererile de suport validate. Fluxe nu modifică scopul prelucrării. Dacă o instrucțiune pare să încalce GDPR sau alte norme de protecție a datelor, Fluxe informează Clientul și suspendă executarea acelei instrucțiuni până la clarificare. Dacă o lege impune o prelucrare suplimentară, Clientul este informat în prealabil, cu excepția unei interdicții legale.

Accesul personalului este limitat la atribuțiile autorizate și supus confidențialității. Măsurile aplicate includ separarea accesului pe companie și rol, autentificare și protecția sesiunilor, conexiuni securizate, protejarea credențialelor și a datelor sensibile stocate, validarea fișierelor, jurnalizarea operațiunilor relevante și copii de siguranță cu acces controlat. Clientul stabilește drepturile echipei, protejează dispozitivele și revocă accesul persoanelor care nu mai au nevoie de el.

Găzduire, baze de date și copii de siguranță: CITYVIBES S.R.L.; locație: Europa. Operarea siteului, a serverelor, bazelor de date și copiilor de siguranță de către Fluxe.

Emailurile platformei și suport: CITYVIBES S.R.L.; locație: Europa. Administrarea și livrarea emailurilor platformei de către Fluxe.

Măsurile sunt adaptate riscului și revizuite când se schimbă serviciul. Descrierea lor nu reprezintă o certificare de securitate sau o garanție că orice incident este imposibil.

5. Subpersoane împuternicite și transferuri

Clientul acordă o autorizare generală pentru subîmputerniciții identificați în registru, în limitele serviciilor și scopurilor indicate. Fluxe îi selectează pe baza garanțiilor suficiente și le impune prin contract obligații de protecție a datelor cel puțin echivalente cu cele din acest acord. Fluxe rămâne răspunzătoare față de Client pentru îndeplinirea obligațiilor lor.

Lista subîmputerniciților — versiunea 2026-10-15-r2.

Analiza documentelor și Asistentul AI pot folosi furnizori diferiți; registrul indică serviciul activ și scopul fiecăruia. Componentele care rulează numai pe infrastructura Fluxe nu sunt furnizori juridici separați. Autoritățile și integrările contractate direct de Client nu devin automat subîmputerniciți Fluxe.

Înainte de adăugarea ori înlocuirea unui subîmputernicit, Fluxe informează Clientul prin email sau în cont și îi acordă o posibilitate efectivă de a formula o obiecție motivată înaintea utilizării noului furnizor. Notificarea precizează furnizorul, serviciul, data propusă și termenul pentru obiecții. Părțile caută o soluție rezonabilă; dacă aceasta nu este posibilă, Clientul poate opri funcția afectată ori înceta serviciul în condițiile contractului.

Datele nu sunt transferate în afara SEE numai pe baza acestei autorizări generale. Pentru fiecare transfer se verifică temeiul din capitolul V GDPR: decizie de adecvare sau garanții adecvate, inclusiv clauze contractuale standard, evaluarea transferului și măsuri suplimentare când sunt necesare. Informațiile și o copie a garanțiilor aplicabile se pot cere la contactul Fluxe, cu protejarea secretelor comerciale și a securității.

6. Asistență, incidente și audit

Fluxe asistă Clientul, ținând seama de natura prelucrării și informațiile disponibile, la exercitarea drepturilor persoanelor și îndeplinirea obligațiilor din art. 32–36 GDPR: securitate, evaluări de impact, consultare prealabilă și notificarea încălcărilor. Cererile primite direct despre datele Clientului îi sunt transmise; Fluxe răspunde în numele lui numai pe instrucțiune sau când legea o cere.

La constatarea unei încălcări a securității datelor Clientului, Fluxe îl notifică fără întârziere nejustificată. Informarea cuprinde, pe măsură ce sunt cunoscute, natura incidentului, categoriile și numărul aproximativ al persoanelor și înregistrărilor afectate, consecințele probabile, măsurile luate ori propuse și contactul pentru clarificări. Informațiile pot fi completate în etape; lipsa unor detalii nu amână notificarea inițială. Clientul stabilește obligațiile sale de notificare a autorității și persoanelor vizate.

Fluxe pune la dispoziție informațiile necesare demonstrării conformității și permite și contribuie la audituri, inclusiv inspecții, efectuate de Client sau auditorul mandatat. Părțile stabilesc condiții rezonabile de acces, confidențialitate și securitate, fără a împiedica verificările necesare ori atribuțiile autorității. Accesul la datele altor clienți nu este permis.

7. Încetare, returnare și ștergere

La încetarea serviciului, Clientul alege returnarea datelor prin exporturile disponibile și ștergerea copiilor sau ștergerea directă. Clientul descarcă înainte de închiderea contului documentele pe care trebuie să le păstreze. Fluxe elimină datele prelucrate în numele său, cu excepția păstrării impuse de dreptul Uniunii sau de dreptul național aplicabil; datele păstrate astfel sunt izolate și folosite numai în scopul legal justificat.

Copiile tehnice de siguranță sunt eliminate prin ciclul de retenție de cel mult 7 zile după ștergerea operațională. Ele nu sunt accesate pentru utilizarea obișnuită, iar la o restaurare se reaplică instrucțiunile de ștergere. La cerere, Fluxe furnizează informațiile disponibile despre finalizarea returnării ori ștergerii.

Facturile proprii Fluxe, plățile și dovezile contractului se păstrează separat, în rol de operator, potrivit Politicii de confidențialitate. Această păstrare nu autorizează folosirea în alte scopuri a documentelor profesionale ale Clientului.

8. Răspunderea părților

Conform art. 82 GDPR, Clientul răspunde pentru obligațiile sale de operator, iar Fluxe răspunde pentru prejudiciul cauzat dacă încalcă obligațiile GDPR adresate persoanelor împuternicite ori acționează în afara sau împotriva instrucțiunilor legale. O parte este exonerată numai dacă dovedește că nu este în niciun fel răspunzătoare pentru eveniment. Nicio clauză nu înlătură drepturile persoanelor vizate, competențele autorităților sau răspunderile obligatorii.

9. Contact și instrucțiuni

Pentru instrucțiuni, incidente, cereri de asistență, audit sau obiecții privind furnizorii: contact@fluxe.ro; telefon 0750446660. Solicitările trebuie să identifice contul și operațiunea vizată; Fluxe verifică autoritatea solicitantului înainte de a divulga sau modifica date.