Acordul de prelucrare a datelor (DPA)

Versiunea 2026-10-19, în vigoare de la 19 octombrie 2026

Anexa 4 — Acordul de prelucrare a datelor cu caracter personal, conform art. 28 din Regulamentul (UE) 2016/679 (GDPR) — parte din Termenii de utilizare PayWise sau anexă la contractul de furnizare a serviciilor, după caz.

1. Părțile și rolurile

1.1. Clientul este operator, iar Furnizorul (DO IT WISE NOT TWICE S.R.L.) este persoană împuternicită de operator pentru datele cu caracter personal pe care Clientul și Utilizatorii lui le încarcă, le importă sau le generează în Platformă.

1.2. Termenii folosiți au înțelesul din GDPR (date cu caracter personal, prelucrare, persoană vizată, încălcare a securității datelor etc.) și din contract.

1.3. În caz de contradicție între acest acord și contract, acest acord prevalează pentru tot ce privește datele cu caracter personal (art. 3.2 din contract).

1.4. Când Clientul nu a semnat un contract de furnizare a serviciilor, „contractul” înseamnă Termenii de utilizare PayWise publicați pe paywise.ro, iar trimiterile la articole din contract se aplică prevederilor corespunzătoare din acești termeni.

2. Descrierea prelucrării

Categoriile de date:

a) identificare: nume, prenume, marca sau identificatorul intern, codul unic calculat din CNP (CNP-ul însuși nu se păstrează — punctul 2.2);

b) date despre raportul de muncă: postul, codul COR, departamentul, managerul direct, data angajării și vechimea, norma, tipul contractului, funcția de execuție sau de conducere;

c) genul, necesar calculului decalajului;

d) remunerarea: venitul brut lunar din declarația D112 și componentele lui (salariul de bază, sporuri, prime, alte componente complementare sau variabile), salariul din fișa angajatului, orele plătite;

e) date de contact: adresa de e-mail de serviciu;

f) date despre post furnizate de salariați: răspunsurile la chestionarul postului, validarea managerului;

g) date despre evaluare și decizii: punctajele posturilor, motivele, comentariile și avizele, cererile de informare și răspunsurile;

h) date despre Utilizatori: nume, e-mail, rol, parola (păstrată doar ca valoare derivată ireversibilă — hash), jurnalul de audit al acțiunilor, datele tehnice ale sesiunii (adresa IP, ora), folosite pentru securitate.

2.2. CNP-ul. La import, CNP-ul este folosit doar pentru calculul unui cod unic și stabil (HMAC, cu o cheie secretă păstrată doar pe server și calculat din firmă + CNP), apoi este eliminat. CNP-ul nu se salvează în baza de date, în jurnale, în fișiere temporare sau în mesaje de eroare.

2.3. Categorii speciale de date. Platforma nu cere și nu prelucrează în mod intenționat categorii speciale de date (art. 9 din GDPR). Clientul nu introduce astfel de date în câmpurile libere. Din declarația D112, Platforma folosește doar sumele; tipul absențelor (de exemplu, concediile medicale) nu se importă și nu se afișează.

3. Obligațiile Furnizorului

Furnizorul:

a) prelucrează datele numai pe baza instrucțiunilor documentate ale Clientului: contractul, acest acord și acțiunile Utilizatorilor în Platformă constituie instrucțiunile complete; o instrucțiune nouă se dă în scris. Dacă o instrucțiune încalcă, în opinia Furnizorului, GDPR sau altă lege, Furnizorul îl informează imediat pe Client;

b) nu folosește datele în alt scop, nu le vinde și nu le folosește pentru antrenarea modelelor de inteligență artificială;

c) se asigură că persoanele autorizate să prelucreze datele s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate, și le acordă acces doar cât e necesar;

d) aplică măsurile tehnice și organizatorice din Anexa 5 (art. 32 din GDPR) și nu le reduce pe durata contractului;

e) respectă condițiile pentru recurgerea la persoane împuternicite secundare (punctul 5);

f) îl ajută pe Client, prin măsuri tehnice și organizatorice potrivite, să răspundă cererilor persoanelor vizate (punctul 7);

g) îl ajută pe Client să își îndeplinească obligațiile din art. 32–36 din GDPR (securitatea, notificarea încălcărilor, evaluarea impactului, consultarea prealabilă), ținând seama de natura prelucrării și de informațiile pe care le are;

h) la încetarea contractului, returnează și șterge datele conform punctului 9;

i) pune la dispoziția Clientului informațiile necesare pentru a demonstra respectarea art. 28 din GDPR și permite auditurile conform punctului 8;

j) ține evidența activităților de prelucrare efectuate în numele Clientului (art. 30 alin. (2) din GDPR).

4. Obligațiile Clientului

Clientul:

a) are un temei legal pentru prelucrare (în principal art. 6 alin. (1) lit. c) din GDPR — obligația legală din Directiva (UE) 2023/970 și din legea de transpunere) și pentru transmiterea datelor către Furnizor;

b) își informează salariații și Utilizatorii despre prelucrare (art. 13–14 din GDPR), inclusiv despre folosirea Platformei;

c) încarcă doar datele necesare scopului (minimizarea datelor);

d) administrează conturile Utilizatorilor și drepturile lor de acces;

e) decide dacă activează Modulul AI (punctul 5.4).

5. Persoanele împuternicite secundare

5.1. Clientul își dă acordul general ca Furnizorul să folosească persoanele împuternicite secundare de mai jos:

Copiile de siguranță criptate se păstrează pe serverul de producție. Un furnizor de stocare externă pentru copiile criptate (fără acces la cheia de decriptare) se adaugă după procedura de la punctul 5.3.

5.2. Nu sunt persoane împuternicite secundare pentru Datele Clientului, pentru că nu le primesc:

• SmartBill (emiterea facturilor; prelucrează datele de facturare ale Clientului, pentru care Furnizorul este operator — art. 12.3 din contract);
• serviciul de monitorizare a disponibilității (primește doar semnale tehnice, fără date personale);
• depozitul de cod sursă (cod, fără date ale clienților).

5.3. Modificarea listei. Furnizorul îl anunță pe Client pe e-mail cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unei persoane împuternicite secundare. Clientul poate obiecta motivat, în acest termen. Dacă Părțile nu găsesc o soluție, Clientul poate denunța contractul înainte ca schimbarea să se aplice datelor lui, cu restituirea pro-rata a prețului plătit pentru perioada rămasă. În caz de urgență (de exemplu, încetarea bruscă a serviciului unui furnizor), termenul poate fi mai scurt, cu informarea imediată a Clientului.

5.4. Modulul AI. Datele ajung la Anthropic doar dacă Administratorul HR activează Modulul AI. Modulul redactează texte narative peste cifre deja calculate și, dacă sugestiile de cod COR sunt activate la cererea Clientului, propune coduri COR pe baza denumirii postului, a departamentului și a profilului postului; nu punctează posturi, nu propune niveluri și nu ia decizii de salarizare. Conform condițiilor comerciale Anthropic pentru API, intrările și ieșirile se șterg după perioada de păstrare din condițiile Anthropic (în prezent, cel mult 30 de zile), cu excepția păstrării mai lungi pentru încălcări ale politicii de utilizare sau pentru obligații legale, și nu se folosesc pentru antrenarea modelelor.

5.5. Furnizorul impune fiecărei persoane împuternicite secundare, prin contract, obligații de protecție a datelor cel puțin echivalente cu cele din acest acord și răspunde față de Client pentru ea.

6. Locul prelucrării și transferurile

6.1. Datele se stochează și se prelucrează în Uniunea Europeană.

6.2. Singurul transfer posibil în afara SEE este cel către Anthropic, doar dacă Modulul AI este activat, cu garanțiile din art. 44–46 din GDPR: clauzele contractuale standard incluse în acordul de prelucrare a datelor al Anthropic și, după caz, cadrul UE–SUA privind confidențialitatea datelor.

6.3. Instrumentele de dezvoltare ale Furnizorului, inclusiv asistenții AI de programare, nu au acces la mediul de producție și la Datele Clientului; dezvoltarea și testarea se fac pe un server separat, doar cu date de test.

7. Drepturile persoanelor vizate

7.1. Dacă primește direct o cerere a unei persoane vizate, Furnizorul o transmite Clientului în 5 zile lucrătoare și nu îi răspunde direct persoanei, în afara confirmării primirii, decât la instrucțiunea Clientului.

7.2. Platforma îi permite Clientului: consultarea și exportul datelor unei persoane, rectificarea datelor importate prin reîncărcare sau editare, dezactivarea contului unui Utilizator, ștergerea datelor la încetare. Pentru ce nu se poate face din Platformă, Furnizorul ajută la cerere, în 10 zile lucrătoare.

7.3. Datele din deciziile aprobate și din dosarul de probă nu se modifică retroactiv, pentru că servesc ca probă (art. 18 din Directiva (UE) 2023/970); Clientul decide, ca operator, cum răspunde unei cereri de ștergere sau de rectificare care le privește.

8. Informații și audit

8.1. La cerere, de cel mult o dată pe an, Furnizorul răspunde în 30 de zile la un chestionar de securitate rezonabil al Clientului și îi pune la dispoziție documentația relevantă.

8.2. Clientul sau un auditor independent mandatat de el, obligat la confidențialitate și care nu este concurent al Furnizorului, poate face un audit, cu un preaviz de 30 de zile, de cel mult o dată pe an, în zilele lucrătoare, fără să perturbe Serviciile și fără acces la datele altor clienți. Costurile auditului sunt ale Clientului.

8.3. Limita de o dată pe an nu se aplică după o încălcare a securității datelor care îl privește pe Client sau la cererea unei autorități de supraveghere.

8.4. Testele de securitate tehnice (scanări, teste de penetrare) se fac doar cu acordul scris prealabil al Furnizorului (art. 7.2 lit. d) din contract).

9. Încălcarea securității datelor

9.1. Furnizorul îl notifică pe Client fără întârzieri nejustificate, cel târziu în 48 de ore de la constatarea unei încălcări a securității datelor care îl privește, la persoanele de contact din Comandă.

9.2. Notificarea cuprinde, în măsura în care sunt cunoscute: natura încălcării, categoriile și numărul aproximativ de persoane și de înregistrări, consecințele probabile, măsurile luate sau propuse și persoana de contact. Informațiile care nu sunt disponibile imediat se transmit pe etape, fără întârzieri nejustificate.

9.3. Furnizorul ia imediat măsurile necesare pentru limitarea efectelor, păstrează probele și cooperează cu Clientul la notificarea autorității (art. 33) și, unde e cazul, a persoanelor vizate (art. 34). Notificarea către autoritate și către persoanele vizate o face Clientul, ca operator.

10. Durata, returnarea și ștergerea

10.1. Acordul se aplică pe durata contractului și cât timp Furnizorul mai deține Date ale Clientului.

10.2. La încetare, se aplică art. 13 din contract: 30 de zile de acces în mod de citire și export complet la cerere, apoi ștergerea în cel mult 30 de zile, iar copiile de siguranță se suprascriu în cel mult 14 zile de la ștergere. La cerere, Furnizorul confirmă ștergerea în scris.

10.3. Furnizorul păstrează datele doar dacă dreptul Uniunii sau dreptul român îi impune păstrarea, și doar pentru acel scop.

11. Datele anonimizate

11.1. Clientul îl autorizează pe Furnizor să anonimizeze Datele Clientului și să folosească rezultatul doar sub formă de statistici agregate, pentru îmbunătățirea Platformei și pentru repere generale (de exemplu, distribuția decalajelor pe sectoare), cu condițiile:

a) statisticile combină date de la cel puțin 5 clienți și nu permit identificarea Clientului, a unui salariat sau a unui Utilizator;

b) nu se publică niciodată date ale Clientului identificabile (art. 17.4 din contract).

11.2. Datele anonimizate nu mai sunt date cu caracter personal.

12. Răspunderea

Răspunderea Părților pentru acest acord se stabilește conform art. 82 din GDPR și conform art. 10 din contract, inclusiv limita specială din art. 10.4.

13. Acceptarea

13.1. Acordul se acceptă electronic de Administratorul HR, în numele Clientului, la crearea contului sau la prima autentificare după publicarea unei versiuni noi. PayWise păstrează versiunea acceptată, data, utilizatorul și firma.

13.2. Clienții cu contract de furnizare a serviciilor semnat pot semna acordul și ca anexă la contract; în acest caz, versiunea semnată prevalează.