Acord privind prelucrarea datelor cu caracter personal

Ultima actualizare: 25 septembrie 2026

Părțile:

1. GESTO ATU S.R.L., cu sediul în Timișoara, str. Proclamația de la Timișoara nr. 5, jud. Timiș, înregistrată la Registrul Comerțului sub nr. J2017002408356, C.I.F. 37759671, reprezentată legal prin Rusu Silviu în calitate de administrator, denumită în continuare Persoana Împuternicită

și

2. Clientul care a acceptat Contractul principal, identificat prin datele furnizate la crearea contului sau la plasarea comenzii, denumit în continuare Operatorul

Având în vedere următoarele premise:

i. Între părți a fost încheiat un contract având ca obiect furnizarea de servicii software, indiferent de forma acestuia (contract de prestări servicii, abonament, comandă sau acceptarea termenilor și condițiilor de utilizare) („Contractul principal”), în executarea căruia, Persoana Împuternicită, în calitate de furnizor de servicii, prelucrează, în numele Operatorului, datele cu caracter personal ale angajaților, clienților, furnizorilor și partenerilor de afaceri ai Operatorului, denumite în continuare „Persoane vizate”

ii. Serviciile care fac obiectul Contractului principal cuprind aplicațiile, modulele, funcționalitățile, integrările și serviciile conexe puse la dispoziție de Persoana Împuternicită, indiferent de denumirea comercială sub care sunt oferite, inclusiv versiunile, actualizările și modulele adăugate ulterior („Serviciile”);

iii. Beneficiarul Contractului principal determină mijloacele și scopurile pentru care sunt folosite datele cu caracter personal, motiv pentru care are calitatea de Operator de date, astfel cum această noțiune este definită de Art. 4 pct. 7 din Regulamentul general privind protecția datelor nr. 679/2016 (denumit în continuare „GDPR”);

iv. Persoana Împuternicită prelucrează datele personale cu care intră în contact cu respectarea instrucțiunilor date de Operator și numai în scopurile prevăzute de acesta, motiv pentru care are calitatea de Persoană împuternicită, astfel cum această noțiune e definită de Art. 4 pct. 8 GDPR

v. Părțile doresc să implementeze un acord privind prelucrarea datelor cu caracter personal care respectă actele normative din materia protecției datelor, în special GDPR, acord prin care urmăresc să stabilească modalitatea în care Persoana Împuternicită va prelucra datele cu caracter personal ale Persoanelor vizate

Convin încheierea prezentului acord privind prelucrarea datelor cu caracter personal, având următoarele clauze:

1. Obiectul Acordului

1.1. Prezentul Acord are ca obiect stabilirea condițiilor în care Persoana Împuternicită va prelucra datele cu caracter personal furnizate de către Operator, în vederea executării Contractului principal. Prezentul Acord se aplică exclusiv datelor cu caracter personal. Datele comerciale, operaționale și financiare ale Operatorului care nu constituie date cu caracter personal (de exemplu, date privind produse, stocuri, vânzări, prețuri, rețete sau producție) sunt guvernate de Contractul principal.

1.2. Operațiunile de prelucrare, categoriile de date cu caracter personal și scopurile pentru care datele cu caracter personal sunt prelucrate în numele Operatorului, sunt descrise în art. 13. Persoana împuternicită poate actualiza art. 13 pentru a reflecta modulele sau funcționalitățile noi ale Serviciilor, în limitele scopurilor prevăzute de prezentul Acord, și pune la dispoziția Operatorului versiunea actualizată.

1.3. Operatorul acordă Persoanei împuternicite o autorizare generală de a recurge la alte persoane împuternicite („Subcontractanți”) pentru furnizarea Serviciilor, precum furnizori de infrastructură și servicii de tip cloud, de baze de date, de transmitere a mesajelor, de suport tehnic sau de funcționalități de analiză și inteligență artificială. Lista Subcontractanților utilizați la data încheierii este prevăzută în art. 15, iar lista actualizată este publicată pe pagina de internet a Persoanei împuternicite, la adresa https://gesto.app/legal/subprocesatori („Pagina Subcontractanților”), care face parte integrantă din prezentul Acord prin trimitere.

1.4. Persoana împuternicită informează Operatorul cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui Subcontractant, prin actualizarea Paginii Subcontractanților și prin notificare în cadrul Serviciilor sau prin e-mail transmis la adresa de contact a Operatorului. Operatorul se poate abona, suplimentar, la notificările prin e-mail privind modificările Paginii Subcontractanților. În acest termen, Operatorul poate formula obiecții motivate, întemeiate pe motive rezonabile legate de protecția datelor. Părțile vor căuta cu bună-credință o soluție, iar în lipsa acesteia Operatorul poate înceta utilizarea Serviciului sau a modulului afectat, fără alte penalități.

1.5. Persoana împuternicită impune fiecărui Subcontractant, prin contract, obligații de protecție a datelor care asigură un nivel de protecție cel puțin echivalent celui prevăzut de prezentul Acord și rămâne răspunzătoare față de Operator pentru îndeplinirea obligațiilor Subcontractanților, în condițiile Art. 28 alin. (4) GDPR.

2. Obligațiile părților

2.1. În temeiul prezentului Acord, Persoana împuternicită are următoarele obligații:

• a. de a prelucra datele cu caracter personal numai pe baza și în conformitate cu instrucțiunile Operatorului cuprinse în prezentul Acord, în Contractul principal și în configurările efectuate de Operator în cadrul Serviciilor, precum și în alte instrucțiuni scrise agreate de părți; instrucțiunile care depășesc funcționalitățile standard ale Serviciilor se tratează ca solicitări de modificare și pot fi tarifate conform Contractului principal
• b. de a informa imediat Operatorul dacă, în opinia sa, instrucțiunile date de Operator încalcă GDPR ori alte dispoziții aplicabile ale Uniunii sau ale statelor membre privind protecția datelor.
• c. de a notifica prompt Operatorului orice cerere privind exercitarea drepturilor Persoanelor vizate primită din partea acestora și de a acorda asistență Operatorului în vederea furnizării de către acesta a unui răspuns. Persoana împuternicită nu răspunde cererii respective decât dacă a fost autorizat în acest sens de către Operator în mod expres și în scris.
• d. de a acorda Operatorului, ținând seama de natura prelucrării și de informațiile disponibile Persoanei împuternicite, asistența necesară pentru îndeplinirea obligațiilor prevăzute de Art. 32–36 GDPR; asistența prevăzută la acest punct și la punctul precedent se acordă în principal prin funcționalitățile Serviciilor, iar asistența suplimentară poate fi tarifată conform tarifelor în vigoare ale Persoanei împuternicite

2.2. În temeiul prezentului Acord, Operatorul are următoarele obligații:

• a. de a acorda în scris instrucțiuni privind modalitățile de prelucrare a datelor cu caracter personal ale clienților/ angajaților săi
• b. de a se asigura că operațiunile de prelucrare delegate Persoanei împuternicite au la bază unul dintre temeiurile legale prevăzute de Art. 6 sau Art. 9 GDPR, după caz.
• c. de a se asigura că datele introduse în Servicii au fost colectate în mod legal și că persoanele vizate au fost informate corespunzător, inclusiv cu privire la utilizarea unor persoane împuternicite.

3. Limitarea scopului

3.1. Persoana împuternicită prelucrează datele cu caracter personal numai pentru scopurile specifice ale prelucrării, astfel cum acestea sunt prevăzute în art. 13 și în prezentul Acord, cu excepția cazului în care primesc instrucțiuni suplimentare din partea Operatorului.

3.2. Pentru prelucrarea efectuată în alte scopuri decât executarea Contractului principal ori efectuată cu nesocotirea instrucțiunilor Operatorului, Persoana împuternicită dobândește calitatea de operator, purtând responsabilitatea acestor operațiuni de prelucrare.

3.3. Nu constituie prelucrare în alte scopuri, în sensul alineatului precedent, crearea și utilizarea Datelor agregate în condițiile prevăzute de prezentul Acord.

4. Durata de prelucrare a datelor cu caracter personal

4.1. Prelucrarea de către Persoana împuternicită are loc numai pe durata specificată în art. 13.

5. Securitatea prelucrării

5.1. Persoana împuternicită aplică cel puțin măsurile tehnice și organizatorice specificate în art. 14 pentru a asigura securitatea datelor cu caracter personal. Măsurile de securitate au ca scop protejarea datelor clienților/ angajaților Operatorului împotriva unei încălcări a securității care duce la distrugerea accidentală sau ilegală, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date (încălcarea datelor cu caracter personal). La evaluarea nivelului adecvat de securitate, părțile țin seama în mod corespunzător de stadiul actual al tehnologiei, de costurile de punere în aplicare, de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscurile implicate pentru persoanele vizate. Măsurile tehnice și organizatorice pot fi actualizate de Persoana împuternicită în funcție de evoluția tehnologică și de riscuri, cu condiția ca nivelul general de securitate să nu fie diminuat.

5.2. Persoana împuternicită acordă acces la datele cu caracter personal puse la dispoziție de către Operator în temeiul Contractului principal numai angajaților și colaboratorilor cu care are semnate acorduri de confidențialitate și numai în măsura strict necesară pentru executarea Contractului principal.

6. Date sensibile

6.1. În cazul în care prelucrarea implică categorii speciale de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase sau filozofice sau apartenența la un sindicat, date genetice sau date biometrice în scopul identificării unice a unei persoane fizice, date privind sănătatea sau viața sexuală sau orientarea sexuală a unei persoane, Persoana împuternicită aplică restricții specifice și/sau garanții suplimentare de securitate, în conformitate cu prevederile GDPR. În cazul în care prelucrarea implică date referitoare la condamnări penale și infracțiuni, acestea vor fi prelucrate cu respectarea condițiilor prevăzute de Art. 10 GDPR.

7. Documentație și conformitate

7.1. Părțile trebuie să fie în măsură să demonstreze conformitatea cu prezentele clauze.

7.2. Persoana împuternicită tratează cu promptitudine și în mod adecvat cererile de informații din partea Operatorului de date cu privire la prelucrarea datelor în conformitate cu prezentele clauze.

7.3. Persoana împuternicită pune la dispoziția Operatorului de date toate informațiile necesare pentru a demonstra respectarea obligațiilor care sunt prevăzute în prezentele clauze și care decurg direct din GDPR. La cererea Operatorului, Persoana împuternicită permite și contribuie, de asemenea, la audituri ale activităților de prelucrare care fac obiectul prezentelor clauze, la intervale rezonabile de timp sau dacă există indicii de neconformitate. Persoana împuternicită poate îndeplini această obligație și prin punerea la dispoziție a documentației de securitate, a răspunsurilor la chestionare de securitate, a rapoartelor de audit sau a certificărilor proprii ori ale Subcontractanților săi.

7.4. Operatorul de date poate alege să efectueze auditul singur sau să mandateze un auditor independent. Auditurile pot include, de asemenea, inspecții la sediul sau la instalațiile fizice ale Persoanei împuternicite și se efectuează, după caz, cu un preaviz de minim 30 zile și numai în prezența reprezentantului Persoanei împuternicite. Auditurile se efectuează cel mult o dată într-un an calendaristic, cu excepția cazului în care există indicii concrete de neconformitate sau o solicitare a unei autorități competente, în timpul programului de lucru, fără a perturba activitatea Persoanei împuternicite și fără acces la datele altor clienți ori la informațiile confidențiale ale acesteia. Auditorul este supus unei obligații de confidențialitate. Costurile auditului sunt suportate de Operator.

8. Gestionarea incidentelor de securitate

8.1. Prin încălcarea securității datelor cu caracter personal se înțelege orice încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, sau divulgarea neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate într-un alt mod, sau la accesul neautorizat la acestea.

8.2. În cazul apariției unei încălcări a securității datelor cu caracter personal, Persoana împuternicită va notifica Operatorul despre această breșă fără întârzieri nejustificate, și în orice caz nu mai târziu de 48 ore de la data luării la cunoștință. Notificarea trebuie să conțină, cel puțin:

• a. o descriere a naturii încălcării (inclusiv, dacă este posibil, categoriile și numărul aproximativ de persoane vizate și de categorii de date afectate de breșă);
• b. datele de contact de unde pot fi obținute mai multe informații privind încălcarea datelor cu caracter personal;
• c. consecințele probabile ale breșei și măsurile luate sau propuse a fi luate pentru a aborda încălcarea, inclusiv pentru a atenua posibilele efecte negative ale acesteia.

8.3. În măsura în care nu este posibil să se furnizeze toate informațiile prevăzute la Art. 8.2. în același timp, notificarea inițială conține informațiile disponibile la momentul respectiv, iar informațiile suplimentare sunt furnizate ulterior, pe măsură ce devin disponibile.

8.4. În măsura în care Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) ori alte autorități competente, desfășoară controale pentru verificarea legalității prelucrării datelor cu caracter personal de către oricare dintre Părți, atât Operatorul cât și Persoana împuternicită vor coopera, atât între ele cât și cu autoritatea competentă, în vederea acordării lămuririlor necesare.

9. Transferuri internaționale de date

9.1. Datele cu caracter personal sunt prelucrate, de regulă, în Spațiul Economic European („SEE”). Persoana împuternicită și Subcontractanții săi pot transfera date cu caracter personal în afara SEE numai cu respectarea Capitolului V GDPR, respectiv în baza unei decizii de adecvare a Comisiei Europene, inclusiv Cadrul UE–SUA privind protecția datelor (EU-U.S. Data Privacy Framework), a clauzelor contractuale standard adoptate de Comisia Europeană sau a altor garanții adecvate prevăzute de GDPR.

9.2. Prin încheierea prezentului Acord, Operatorul autorizează transferurile efectuate în aceste condiții către Subcontractanții prevăzuți în art. 15 sau notificați ulterior potrivit art. 1. La cerere, Persoana împuternicită pune la dispoziția Operatorului informații privind garanțiile aplicate.

10. Date agregate și îmbunătățirea Serviciilor

10.1. Operatorul autorizează Persoana împuternicită să anonimizeze și să agrege datele prelucrate în cadrul Serviciilor, astfel încât rezultatul să nu mai permită identificarea, directă sau indirectă, a persoanelor vizate ori a Operatorului („Date agregate”).

10.2. Datele agregate nu constituie date cu caracter personal și pot fi utilizate de Persoana împuternicită, inclusiv după încetarea Contractului principal, pentru operarea, securizarea, îmbunătățirea și dezvoltarea Serviciilor, inclusiv pentru dezvoltarea și antrenarea modelelor de analiză, prognoză și inteligență artificială, precum și pentru analize statistice și comparative la nivel de industrie. Persoana împuternicită nu face publice rezultate care permit identificarea Operatorului.

10.3. În cazul în care Serviciile includ funcționalități bazate pe inteligență artificială furnizate prin Subcontractanți, Persoana împuternicită se asigură că aceștia nu utilizează datele cu caracter personal ale Operatorului pentru antrenarea propriilor modele.

11. Răspundere

11.1. Răspunderea fiecărei părți în legătură cu prezentul Acord este supusă limitărilor și excluderilor de răspundere prevăzute în Contractul principal. În lipsa unor astfel de prevederi, răspunderea totală a Persoanei împuternicite este limitată la sumele plătite de Operator în temeiul Contractului principal în cele 12 luni anterioare evenimentului care a generat răspunderea.

11.2. Limitările de mai sus nu se aplică în cazul prejudiciilor cauzate cu intenție sau din culpă gravă și nu afectează drepturile persoanelor vizate prevăzute de Art. 82 GDPR.

12. Clauze finale

12.1. Orice dispută apărută între părți în legătură cu interpretarea ori executarea prezentului Acord va fi soluționată amiabil, iar în măsura în care acest lucru nu este posibil, litigiul va fi dedus judecății de către instanțele competente de la sediul Persoanei împuternicite.

12.2. Prezentul Acord face parte integrantă din Contractul principal și intră în vigoare la data acceptării acestuia de către Operator. Produce efecte pe durata Contractului principal, precum și ulterior, atât timp cât Persoana împuternicită prelucrează date cu caracter personal în numele Operatorului.

12.3. În cazul unor neconcordanțe între prezentul Acord și Contractul principal cu privire la protecția datelor cu caracter personal, prevalează prezentul Acord.

12.4. Persoana împuternicită poate actualiza prezentul Acord, inclusiv art. 13–15, pentru a reflecta modificări legislative, schimbări ale denumirii comerciale a Serviciilor, module noi sau Subcontractanți noi, cu notificarea prealabilă a Operatorului. Modificările care diminuează nivelul de protecție a datelor cu caracter personal necesită acordul Operatorului.

13. Descrierea prelucrării

13.1. Categorii de persoane vizate ale căror date cu caracter personal sunt prelucrate. Categorii de date cu caracter personal prelucrate

Categoriile de date cu caracter personal prelucrate pot varia în funcție de serviciile, modulele și funcționalitățile contractate de Operator și de datele introduse de acesta în aplicație, în limitele scopurilor prevăzute în prezentul articol.

13.2. Natura prelucrării. Subcontractarea operațiunilor de prelucrare.

13.2.1. Persoana împuternicită va întreprinde acele operațiuni de prelucrare care sunt necesare pentru furnizarea Serviciilor și pentru realizarea scopurilor prevăzute la pct. 13.3, sens în care poate proceda la: colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea, consultarea, extragerea, utilizarea, alinierea sau combinarea, analiza, transmiterea, restricționarea, anonimizarea, ștergerea sau distrugerea datelor cu caracter personal.

13.2.2. Operațiunile de prelucrare constând în stocare, diseminarea prin transmitere (transfer), accesarea, ștergerea ori rectificarea datelor cu caracter personal cu care intră în contact se vor realiza după cum urmează:

• Datele menționate la pct. 13.1 sunt stocate și prelucrate în infrastructura Subcontractanților prevăzuți în art. 15, în centre de date situate, de regulă, în Spațiul Economic European. Eventualele transferuri în afara SEE se realizează cu respectarea garanțiilor prevăzute în Acord.
• Accesul la datele menționate la pct. 13.1 se va realiza pe baza acordurilor încheiate între Persoana împuternicită și fiecare dintre Subcontractanți, acorduri în baza cărora Persoana împuternicită poate întreprinde cel puțin următoarele operațiuni necesare executării Contractului principal: încărcarea, înregistrarea și organizarea datelor în baza de date; consultarea, accesarea și extragerea datelor la solicitarea Persoanei împuternicite, realizarea copiilor de siguranță și restaurarea datelor, jurnalizarea accesului și a operațiunilor efectuate, mentenanța, administrarea tehnică, diagnosticarea incidentelor și furnizarea suportului tehnic, ștergerea sau returnarea datelor la încetarea serviciilor.
• Ștergerea ori rectificarea datelor se va face de către Persoana împuternicită la cererea Operatorului ori în cazul încetării Contractului principal, în condițiile prevăzute la pct. 13.4.3 din prezentul articol.

13.2.3. Serviciile nu sunt destinate prelucrării categoriilor speciale de date prevăzute de Art. 9 GDPR. Operatorul nu va introduce astfel de date în Servicii decât în condițiile agreate în prealabil, în scris, cu Persoana împuternicită.

13.3. Scopurile pentru care datele cu caracter personal sunt prelucrate în numele operatorului

Datele cu caracter personal sunt prelucrate exclusiv în scopul furnizării serviciilor care fac obiectul Contractului principal, și anume:

• punerea la dispoziția Operatorului a Serviciilor și asigurarea funcționării acestora, inclusiv gestiunea comenzilor, a vânzărilor, a stocurilor, a producției și a trasabilității, precum și administrarea conturilor de utilizator;
• transmiterea către persoanele vizate, în numele Operatorului, a comunicărilor privind comenzile, livrările și alte operațiuni ale Operatorului;
• schimbul de date cu terminalele de vânzare și cu sistemele terțe alese de Operator (de exemplu, sisteme de gestiune sau contabilitate, platforme de comerț electronic ori de livrare, sisteme ale autorităților fiscale), prin integrările configurate de acesta;
• generarea, pe baza datelor proprii ale Operatorului, a rapoartelor, analizelor, indicatorilor, prognozelor și recomandărilor, inclusiv prin funcționalități bazate pe inteligență artificială;
• mentenanța, administrarea tehnică, diagnosticarea incidentelor și furnizarea suportului tehnic, precum și asigurarea securității Serviciilor și prevenirea utilizării abuzive a acestora;
• dezvoltarea și implementarea de funcționalități noi, precum și îmbunătățirea Serviciilor, inclusiv prin utilizarea Datelor agregate, în condițiile Acordului;
• emiterea, gestionarea și evidența documentelor fiscale generate în cadrul aplicației, în numele Operatorului;

13.4. Durata prelucrării

13.4.1. Prelucrarea care face obiectul prezentului Acord va avea loc pe durata Contractului principal.

13.4.2. Încetarea Contractului principal atrage după sine încetarea prelucrărilor de către Persoana împuternicită.

13.4.3. La încetarea Contractului principal, Persoana împuternicită va păstra datele cu caracter personal pentru o perioadă de 30 de zile, în vederea asigurării posibilității Operatorului de a solicita și obține o copie a acestora. După expirarea acestei perioade, datele cu caracter personal vor fi șterse din sistemele active. Copiile de siguranță sunt eliminate în conformitate cu ciclul de retenție tehnică aplicabil infrastructurii utilizate. Datele pot fi păstrate pentru o durată mai lungă numai în măsura în care legea impune acest lucru. Arhivarea documentelor fiscale și contabile pe durata prevăzută de lege rămâne în sarcina Operatorului, care își exportă aceste documente înainte de expirarea termenului de 30 de zile. Datele agregate nu fac obiectul obligației de ștergere.

14. Măsuri tehnice și organizatorice pentru securitatea datelor cu caracter personal

Măsurile descrise mai jos reprezintă standardul minim aplicat Serviciilor. Implementarea concretă poate diferi între module și componente, cu menținerea unui nivel de protecție cel puțin echivalent, și poate fi actualizată potrivit Acordului.

Atunci când furnizează serviciile care fac obiectul acordului principal, Persoana împuternicită pune în aplicare măsuri organizatorice și tehnice pentru a păstra securitatea și integritatea datelor cu caracter personal, în special:

14.1. Măsuri de pseudonimizare și criptare a datelor cu caracter personal

• Elementele de autentificare ale utilizatorilor sunt stocate exclusiv sub formă de valoare rezultată din aplicarea unei funcții criptografice de dispersie cu sare, nefiind păstrate și neputând fi reconstituite în formă necriptată.
• Comunicațiile dintre echipamentul utilizatorului și Servicii sunt criptate prin protocolul TLS, în versiuni actuale considerate sigure.
• Datele stocate în bazele de date și în copiile de siguranță gestionate de furnizorii de infrastructură sunt criptate, în măsura în care acest lucru este oferit de serviciile utilizate.

14.2. Măsuri de asigurare a confidențialității, a integrității, a disponibilității și a rezilienței continue ale sistemelor și serviciilor de prelucrare

• Accesul la Servicii se realizează pe bază de conturi de utilizator create și administrate de Operator; Operatorul răspunde de atribuirea conturilor individuale și de păstrarea confidențialității credențialelor.
• Accesul este limitat prin rolul atribuit fiecărui utilizator și prin locațiile Operatorului la care acesta are drept de acces.
• Datele fiecărui Operator sunt separate logic prin identificatori proprii, iar accesul este restricționat prin controale aplicate la nivelul aplicației, astfel încât utilizatorii unui Operator să nu poată accesa datele altui Operator.
• Sunt aplicate mecanisme de limitare a încercărilor repetate de autentificare.
• Sunt aplicate cerințe minime privind complexitatea parolelor.
• Personalul Persoanei împuternicite are acces la date numai în măsura necesară îndeplinirii atribuțiilor și este supus obligațiilor de confidențialitate.

14.3. Măsuri de asigurare a capacității de a restabili disponibilitatea datelor cu caracter personal și accesul la acestea în timp util în cazul în care are loc un incident de natură fizică sau tehnică

• Copiile de siguranță ale bazelor de date sunt realizate automat și periodic prin mecanismele furnizorilor de infrastructură, sunt criptate și sunt stocate în SEE, permițând restaurarea datelor în caz de incident.

14.4. Procese de testare, evaluare și apreciere cu regularitate a eficacității măsurilor tehnice și organizatorice pentru a se asigura securitatea prelucrării

• Componentele terțe și imaginile de container sunt analizate pentru identificarea vulnerabilităților cunoscute, iar actualizările de securitate sunt aplicate în funcție de gravitatea acestora.
• Modificările aduse Serviciilor sunt gestionate prin controlul versiunilor și sunt verificate înainte de punerea în producție.
• Eficacitatea măsurilor de securitate este evaluată periodic, iar măsurile sunt ajustate în funcție de riscurile și incidentele identificate.

14.5. Măsuri de identificare și autorizare a utilizatorilor

• Autentificarea utilizatorilor se realizează pe bază de credențiale individuale, iar sesiunile sunt protejate prin mecanisme criptografice.
• Crearea, modificarea și dezactivarea conturilor de utilizator sunt rezervate exclusiv rolurilor administrative.

14.6. Măsuri de asigurare a protecției datelor cu caracter personal pe durata transmiterii

• Traficul dintre echipamentul utilizatorului și aplicație este criptat.
• Schimbul de date cu terminalele de vânzare și cu sistemele terțe integrate, precum și transmiterea mesajelor de poștă electronică, se realizează prin canale criptate, în măsura în care sistemele terțe permit acest lucru.

14.7. Măsuri de asigurare a protecției datelor cu caracter personal pe durata stocării

• Fișierele încărcate în Servicii (de exemplu, imagini și documente) sunt stocate în zone care nu sunt accesibile public și sunt puse la dispoziție numai utilizatorilor autorizați.

14.8. Măsuri de asigurare a securității fizice a locurilor în care sunt prelucrate date cu caracter personal

• Serverele sunt găzduite în centre de date cu acces fizic controlat, operate de furnizorii menționați în art. 15.
• Persoana împuternicită nu deține echipamente proprii pe care să fie stocate datele Operatorului.

14.9. Măsuri de asigurare a înregistrării evenimentelor

• Se înregistrează evenimentele relevante pentru securitate și funcționare, inclusiv erorile și operațiunile efectuate asupra documentelor, cu marcaj temporal și, după caz, cu identificarea utilizatorului.

14.10. Măsuri de asigurare a configurării sistemului, inclusiv a configurării implicite

• Serviciile rulează în medii configurate în mod controlat, iar configurațiile sunt gestionate și versionate.

14.11. Măsuri privind guvernanța și gestionarea sistemelor informatice interne și a securității informatice

• Orice modificare adusă sistemului este urmărită prin controlul versiunilor, cu identificarea autorului, a momentului și a motivului modificării.

14.12. Măsuri de asigurare a calității datelor

• Datele introduse în aplicație sunt validate structural la momentul introducerii.
• Sistemele de evidență a datelor aplică reguli de validare pentru a preveni înregistrarea datelor neconforme.

15. Lista Subcontractanților

Lista Subcontractanților utilizați de Persoana împuternicită la data încheierii prezentului Acord este cea publicată pe Pagina Subcontractanților, la adresa https://gesto.app/legal/subprocesatori, care indică pentru fiecare Subcontractant scopul, locul prelucrării și garanțiile pentru transferuri și poate fi modificată în condițiile art. 1.