Acord de prelucrare a datelor (DPA)

1. Obiect și durată

Obiectul este prelucrarea datelor cu caracter personal la furnizarea LogCon ca software as a service. Durata corespunde duratei contractului principal.

2. Natura și scopul prelucrării

Gestionarea transportului, prelucrarea comenzilor asistată de IA, dispecerat, comunicare cu clienții, transportatorii și șoferii, crearea de documente, pregătire vamală și facturare.

3. Categorii de date și persoane vizate

• Angajații operatorului: nume, e-mail, telefon, rol, limbă, date de autentificare
• Șoferi (proprii și ai subcontractorilor): nume, telefon, limbă, calificări, date de poziție în timpul curselor
• Persoane de contact la clienți și transportatori: nume, date de contact, conținutul comunicării
• Date despre comenzi, documente, vamă și facturi, cu referință personală

4. Obligațiile persoanei împuternicite

• Prelucrare doar pe baza instrucțiunilor documentate ale operatorului
• Obligație de confidențialitate pentru toate persoanele autorizate
• Implementarea măsurilor tehnice și organizatorice (anexa 1)
• Sprijin pentru drepturile persoanelor vizate, evaluările de impact asupra protecției datelor și obligațiile de notificare
• Informarea operatorului dacă o instrucțiune, în opinia persoanei împuternicite, încalcă legislația privind protecția datelor

5. Subîmputerniciți

Operatorul aprobă subîmputerniciții enumerați în anexa 2. Persoana împuternicită informează operatorul despre modificările planificate cu cel puțin 30 de zile înainte; operatorul se poate opune pentru un motiv întemeiat de protecție a datelor.

6. Măsuri tehnice și organizatorice (anexa 1)

• Controlul accesului fizic: centru de date din UE, certificat ISO 27001, fără acces fizic al personalului persoanei împuternicite
• Controlul accesului la sistem: parole criptate cu bcrypt, autentificare cu doi factori, blocare după încercări eșuate, JWT cu expirare, chei API stocate exclusiv ca hash-uri
• Controlul accesului la date: permisiuni bazate pe rol, principiul minimului privilegiu, administrare la nivel de platformă doar cu permisiuni verificate în baza de date
• Controlul separării: ID de client pe fiecare tabel, căi de stocare separate per client
• Criptare: TLS în tranzit, AES-256-GCM pentru datele de acces la integrări, criptarea discului la furnizorul de găzduire
• Controlul introducerii: jurnal de audit cu stare dinainte/după pentru modificări și acțiuni IA
• Controlul transferului: webhookuri semnate cu HMAC, e-mailuri de ieșire doar prin servere configurate
• Disponibilitate: backupuri zilnice criptate ale bazei de date și documentelor, păstrând 7 backupuri zilnice, 4 săptămânale și 12 lunare, copie criptată off-site la un al doilea furnizor, procedură de restaurare documentată, monitorizare
• Managementul protecției datelor: registru al activităților de prelucrare, concept de ștergere, proces de gestionare a incidentelor

7. Notificarea încălcărilor de securitate a datelor

Persoana împuternicită raportează încălcările privind datele cu caracter personal fără întârzieri nejustificate, cel târziu în 24 de ore de la luarea la cunoștință, cu informațiile prevăzute la art. 33 alin. (3) GDPR.

8. Drepturi de audit

Operatorul poate verifica respectarea acestui acord prin analiza dovezilor și rapoartelor și, după o notificare prealabilă în timp util, prin audituri la fața locului.

9. Ștergere și returnare

După încetarea contractului, persoana împuternicită pune la dispoziție un export complet al datelor timp de 30 de zile, apoi șterge toate datele operatorului, inclusiv copiile, și confirmă ștergerea. Obligațiile legale de păstrare rămân neafectate; copiile de backup criptate sunt suprascrise în ciclul obișnuit de rotație, cel târziu după 12 luni.

10. Transferuri către țări terțe

Transferurile către țări terțe au loc doar în condițiile art. 44 și următoarele GDPR, în special pe baza unei decizii de adecvare sau a clauzelor contractuale standard.

11. Transparența IA (anexa 4)

Agenții IA creează propuneri sau – în funcție de nivelul de autonomie stabilit de operator – execută acțiuni. Fiecare acțiune IA este înregistrată cu model, moment, nivel de încredere și stare dinainte/după; acțiunile automate sunt reversibile. Datele clientului nu sunt utilizate pentru antrenarea modelelor IA.

12. Dispoziții finale

În caz de conflict, acest acord are prioritate față de contractul principal în materie de protecție a datelor. Se aplică legea austriacă; locul de jurisdicție este Wien.

Anexa 2: subîmputerniciți

A se vedea tabelul următor.