Acordul de prelucrare a datelor

Versiunea 1.0, 14 noiembrie 2026

Acest acord se încheie conform art. 28 din Regulamentul (UE) 2016/679 (GDPR) între:

• firma-client care folosește platforma Priveghi, în calitate de operator (denumită „firma”), și
• CNB PROPERTY MANAGEMENT S.R.L., CUI RO46143009, Reg. Com. J2022009304400, sediul Str. Pajiștei nr. 30, bl. 2, et. 9, ap. 98, sector 4, București, în calitate de persoană împuternicită (denumită „Priveghi”).

Firma acceptă acordul la activarea contului, odată cu Termenii și condițiile, prin persoana care activează contul de administrator în numele ei. Acordul face parte din contractul de abonament. În caz de neconcordanță privind datele personale, prevalează acest acord.

1. Obiectul și durata

Priveghi prelucrează date personale în numele firmei, exclusiv pentru furnizarea platformei Priveghi conform contractului de abonament. Acordul se aplică pe toată durata contractului și până la ștergerea sau restituirea datelor conform punctului 11.

2. Natura și scopul prelucrării

Prelucrarea constă în găzduirea, stocarea, organizarea, afișarea, generarea de documente, transmiterea la cererea utilizatorilor (de exemplu, linkul de semnare sau factura trimise familiei), copierea de siguranță și ștergerea datelor introduse de firmă în aplicația ei. Scopul este ținerea evidenței activității de servicii funerare a firmei: registrul sălii mortuare, cazurile, comenzile și contractele, actele pentru autorități, necrologul, memorialul online, registrele de control, facturarea și încasările.

3. Categoriile de persoane vizate

• aparținătorii și alte persoane care comandă servicii sau se ocupă de formalități;
• semnatarii contractelor, declarațiilor și proceselor-verbale;
• personalul firmei (angajați și colaboratori) care folosește aplicația sau apare în evidențe;
• alte persoane menționate de firmă în documente (de exemplu, preotul sau persoanele de contact din necrolog).

4. Categoriile de date

• date de identificare: nume și prenume, cod numeric personal (CNP), seria și numărul actului de identitate, data nașterii, domiciliul;
• date de contact: telefon, email, adresă;
• gradul de rudenie cu persoana decedată;
• semnături olografe capturate pe ecran și documentele semnate;
• copii sau poze ale documentelor încărcate de firmă;
• date despre comenzi, plăți, facturi și încasări;
• pentru personal: nume, email, telefon, rol, jurnalul acțiunilor în aplicație.

Platforma nu este destinată prelucrării categoriilor speciale de date ale persoanelor în viață (art. 9 GDPR). Dacă firma introduce astfel de date, o face pe propria răspundere și cu temei legal propriu.

5. Instrucțiunile firmei

• Priveghi prelucrează datele doar pe baza instrucțiunilor documentate ale firmei. Contractul de abonament, acest acord și folosirea funcțiilor aplicației de către utilizatorii firmei constituie instrucțiunile complete ale firmei.
• Priveghi nu folosește datele în scop propriu, nu le vinde, nu le folosește pentru publicitate sau pentru antrenarea unor modele.
• Dacă legea obligă Priveghi la o prelucrare diferită, informează firma înainte, cu excepția cazului în care legea interzice informarea.
• Priveghi informează firma dacă, în opinia sa, o instrucțiune încalcă GDPR sau alte dispoziții privind protecția datelor.

6. Confidențialitatea personalului

Persoanele autorizate de Priveghi să acceseze datele s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate. Accesul lor la datele unei firme se face doar când este necesar: asistență cerută de firmă, remedierea unei erori, restaurarea dintr-o copie de siguranță sau o obligație legală.

7. Măsurile tehnice și organizatorice

Conform art. 32 GDPR, Priveghi aplică cel puțin următoarele măsuri:

• criptarea conexiunilor prin HTTPS;
• bază de date și folder de fișiere separate pentru fiecare firmă; parolele bazelor de date sunt păstrate criptat;
• parolele utilizatorilor păstrate doar ca amprente criptografice; limitarea încercărilor de autentificare;
• acces pe roluri în aplicație, stabilit de administratorul firmei;
• jurnal pentru acțiunile importante și istoric pentru modificările cazurilor și comenzilor;
• fișierele (documente, poze, semnături) servite doar utilizatorilor autentificați sau prin linkuri cu token, care pot fi anulate;
• copii de siguranță zilnice;
• servere în Uniunea Europeană; actualizări de securitate aplicate regulat.

Priveghi poate actualiza măsurile, fără să scadă nivelul general de protecție.

8. Subîmputerniciții

Firma dă o autorizare generală pentru folosirea următorilor subîmputerniciți:

• Hetzner Online GmbH – găzduirea serverelor și a bazelor de date, Germania;
• Cloudflare, Inc. – DNS;
• gazduire.ro (România) – trimiterea emailurilor;
• Oblio sau SmartBill (România) – doar dacă firma activează facturarea și introduce cheia contului ei la acel furnizor;
• Anthropic – doar dacă firma folosește recunoașterea datelor din poza unui act; imaginea se transmite pentru extragerea textului și nu este stocată de Priveghi după procesare.

Priveghi impune fiecărui subîmputernicit obligații de protecție a datelor echivalente cu cele din acest acord și răspunde față de firmă pentru îndeplinirea lor. Despre adăugarea sau înlocuirea unui subîmputernicit, Priveghi anunță firma pe email cu cel puțin 30 de zile înainte; firma poate formula obiecții motivate în acest interval și, dacă nu se găsește o soluție, poate înceta contractul fără penalități. Transferurile în afara Spațiului Economic European se fac doar cu garanțiile prevăzute de capitolul V GDPR.

9. Asistența acordată firmei

• Priveghi ajută firma, prin funcțiile aplicației și la cerere, să răspundă cererilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). Cererile primite direct de Priveghi privind datele firmei sunt transmise firmei fără întârziere.
• Priveghi ajută firma cu informațiile necesare pentru securitatea prelucrării, notificarea încălcărilor, evaluările de impact și consultarea autorității de supraveghere, ținând cont de natura prelucrării și de informațiile pe care le deține.

10. Notificarea încălcărilor securității datelor

Priveghi notifică firma pe emailul administratorului în cel mult 48 de ore de la momentul în care a luat cunoștință de o încălcare a securității datelor firmei. Notificarea cuprinde, în măsura în care sunt cunoscute: natura încălcării, categoriile și numărul aproximativ de persoane și de înregistrări afectate, consecințele probabile și măsurile luate sau propuse. Informațiile care nu sunt disponibile imediat se transmit pe măsură ce se află. Notificarea către ANSPDCP și către persoanele vizate rămâne obligația firmei, ca operator.

11. Ștergerea și restituirea datelor

La încetarea contractului, firma poate cere, în cel mult 90 de zile, exportul datelor sale (evidențele într-un format electronic structurat și documentele într-o arhivă). La 90 de zile după încetare, Priveghi șterge definitiv baza de date și fișierele firmei; copiile de siguranță se șterg la expirarea ciclului lor de rotație. Priveghi păstrează date doar dacă legea o cere și informează firma despre aceasta.

12. Auditul

Priveghi pune la dispoziția firmei, la cerere, informațiile necesare pentru a demonstra respectarea art. 28 GDPR. Firma sau un auditor mandatat de ea, obligat la confidențialitate, poate efectua un audit, cu notificare scrisă de cel puțin 30 de zile, cel mult o dată pe an (cu excepția cazului unei încălcări a securității datelor sau al unei cereri a autorității), în timpul programului de lucru și fără acces la datele altor firme. Costurile auditului sunt suportate de firmă.

13. Dispoziții finale

Acordul este guvernat de legea română și de GDPR. Modificările acordului se anunță cu cel puțin 30 de zile înainte, ca pentru Termenii și condițiile. Data acceptării, versiunea acceptată, emailul administratorului și adresa IP de la care s-a făcut acceptarea sunt înregistrate de Priveghi ca dovadă.