Flowtly – Acordul de prelucrare a datelor

Aceasta este o traducere în limba română a versiunii în limba engleză, oferită pentru comoditate. Versiunea în limba engleză este cea obligatorie (a se vedea secțiunea 1). Versiunea în limba engleză · Versiunea în limba polonă

1. Dispoziții generale și obiect

Prezentul Acord de prelucrare a datelor („Acordul”) se încheie între Organizația care utilizează Platforma Flowtly, acționând în calitate de operator în sensul articolului 4 punctul 7 din Regulamentul (UE) 2016/679 din 27 aprilie 2016 („GDPR”) („Operatorul”), și Flowtly Prosta Spółka Akcyjna, cu sediul social în Varșovia (01-194), ul. Młynarska 8/12, Polonia, înscrisă în registrul întreprinzătorilor al Registrului Judiciar Național sub numărul KRS 0001188143, NIP 5273180297, REGON 542625051 („Flowtly” sau „Persoana împuternicită”), acționând în calitate de persoană împuternicită de operator în sensul articolului 4 punctul 8 din GDPR.

Acordul detaliază obligațiile Părților privind prelucrarea datelor cu caracter personal menționate la § 11 din Termenii și condițiile Platformei Flowtly („Securitatea datelor”) și se aplică oricărei prelucrări de date cu caracter personal pe care Flowtly o efectuează în numele Operatorului și pe baza instrucțiunilor documentate ale acestuia, în legătură cu furnizarea accesului la Platformă. Acordul nu modifică regulile și limitările privind răspunderea stabilite la § 12 din Termenii și condițiile — a se vedea secțiunea 13.

Acordul pune în aplicare cerințele articolului 28 din GDPR și este disponibil pe această pagină în versiunea identificată în istoricul reviziilor (secțiunea 13). Acordul se aplică unei Organizații care utilizează Platforma pe aceeași bază ca Termenii și condițiile — astfel cum sunt în vigoare pentru Organizația respectivă — care fac trimitere la prezentul document. Versiunea în limba engleză a prezentului document este versiunea obligatorie; prezenta traducere în limba română, ca orice altă traducere, inclusiv cea în limba polonă, este oferită pentru comoditate.

2. Definiții

Termenii scriși cu majusculă care nu sunt definiți în prezentul Acord au înțelesul atribuit acestora în Termenii și condițiile Platformei Flowtly. În sensul prezentului Acord:

• GDPR — Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date;
• Operatorul — Organizația în calitate de operator în sensul articolului 4 punctul 7 din GDPR, acționând prin persoanele autorizate să o reprezinte; acest rol este distinct de rolul de „Administrator” prevăzut în Termenii și condițiile, care desemnează un rol de utilizator al Platformei, nu calitatea de operator;
• MTO (Măsurile tehnice și organizatorice) — măsurile descrise în documentul Flowtly „Măsurile tehnice și organizatorice”, care constituie Anexa 1 la prezentul Acord;
• Persoana împuternicită secundară — o altă persoană împuternicită de operator căreia Flowtly îi încredințează în continuare prelucrarea datelor cu caracter personal în vederea executării prezentului Acord;
• Încălcarea securității datelor cu caracter personal — o încălcare în sensul articolului 4 punctul 12 din GDPR.

3. Durata prelucrării

Prezentul Acord se aplică pe durata contractului de acces la Platformă încheiat între Operator și Flowtly în temeiul Termenilor și condițiilor și încetează la încetarea sau expirarea contractului respectiv, sub rezerva dispozițiilor care, prin natura lor, continuă să se aplice după încetare, inclusiv obligația de ștergere sau de returnare a datelor descrisă în secțiunea 11.

4. Natura, scopul și sfera prelucrării; categoriile de date și de persoane vizate

Natura și scopul prelucrării. Flowtly prelucrează date cu caracter personal exclusiv pentru a furniza Operatorului accesul la Platformă, în conformitate cu Termenii și condițiile și cu instrucțiunile documentate ale Operatorului. Operațiunile de prelucrare includ în special: colectarea, stocarea, consultarea, modificarea, exportul și ștergerea datelor în cadrul Contului Organizației, efectuate în legătură cu funcționalitățile Platformei privind resursele umane și salarizarea, proiectele, facturarea și emiterea facturilor — care sunt instrumente ce sprijină Organizația în gestionarea acestor domenii, nu un instrument de contabilitate, conform § 12 alineatul (2) din Termenii și condițiile — precum și stocarea datelor pe servere gestionate de Flowtly, asistența tehnică și asigurarea securității și continuității Platformei.

Categoriile de persoane vizate includ în special: angajații și colaboratorii Operatorului, Utilizatorii și Administratorii, contractanții și reprezentanții acestora, candidații la angajare — în măsura în care Operatorul utilizează funcționalitatea relevantă a Platformei — și alte persoane fizice ale căror date Operatorul sau Utilizatorii săi le introduc în Platformă în legătură cu utilizarea acesteia.

Categoriile de date cu caracter personal includ în special: date de identificare și de contact, date privind resursele umane și raporturile de muncă (inclusiv remunerația, timpul de lucru, evidența concediilor), date privind facturarea și facturile, date ale contractanților și — în măsura în care Operatorul le introduce în mod legal în Platformă, atunci când acest lucru este necesar pentru îndeplinirea obligațiilor prevăzute de legislația muncii sau de legislația în domeniul securității sociale — categorii speciale de date menționate la articolul 9 din GDPR (de exemplu, date privind sănătatea în contextul concediului medical, apartenența la un sindicat). Responsabilitatea pentru temeiul juridic al introducerii unor astfel de date în Platformă revine Operatorului. Sfera detaliată a categoriilor de date corespunde sferei descrise în Politica de confidențialitate.

5. Obligațiile Persoanei împuternicite

Flowtly se obligă:

1. să prelucreze datele cu caracter personal numai pe baza instrucțiunilor documentate ale Operatorului — inclusiv în ceea ce privește transferurile de date cu caracter personal către o țară terță sau o organizație internațională — cu excepția cazului în care este obligată să facă acest lucru în temeiul dreptului Uniunii sau al dreptului intern al unui stat membru sub incidența căruia se află Flowtly, caz în care Flowtly informează Operatorul cu privire la această cerință legală înainte de prelucrare, cu excepția cazului în care dreptul respectiv interzice o astfel de informare din motive importante legate de interesul public;
2. să se asigure că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de confidențialitate (a se vedea secțiunea 7);
3. să pună în aplicare și să mențină măsurile tehnice și organizatorice descrise în MTO, în conformitate cu articolul 32 din GDPR (a se vedea secțiunea 8);
4. să respecte condițiile de recrutare a Persoanelor împuternicite secundare descrise în secțiunea 9;
5. să acorde Operatorului asistența descrisă în secțiunea 10;
6. după încetarea furnizării serviciilor legate de prelucrare, să șteargă sau să returneze Operatorului toate datele cu caracter personal și să șteargă copiile existente, în conformitate cu secțiunea 11, cu excepția cazului în care dreptul Uniunii sau dreptul intern al unui stat membru impune stocarea datelor cu caracter personal;
7. să pună la dispoziția Operatorului toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la articolul 28 din GDPR și să permită și să contribuie la auditurile, inclusiv inspecțiile, în conformitate cu secțiunea 11.

6. Instrucțiunile Operatorului

Termenii și condițiile, configurația Platformei și modul în care Operatorul și Utilizatorii autorizați de acesta utilizează Platforma sunt considerate instrucțiuni documentate ale Operatorului, la fel ca și instrucțiunile separate transmise în formă documentară (inclusiv prin e-mail) la business.support@flowtly.eu. Operatorul răspunde de legalitatea instrucțiunilor pe care le emite. Dacă, în opinia Flowtly, o instrucțiune a Operatorului încalcă GDPR sau alte dispoziții legale privind protecția datelor, Flowtly informează Operatorul cu privire la aceasta fără întârziere.

7. Confidențialitatea

Flowtly se asigură că numai persoanele autorizate de Flowtly au acces la datele cu caracter personal, în măsura necesară îndeplinirii atribuțiilor lor, și că aceste persoane sunt ținute de o obligație de confidențialitate cu privire la datele cu caracter personal, inclusiv după încetarea raportului de muncă sau a colaborării lor cu Flowtly.

8. Securitatea prelucrării (articolul 32 din GDPR)

Flowtly pune în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului prelucrării, ținând seama de stadiul actual al dezvoltării, de costurile punerii în aplicare și de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscul pentru drepturile și libertățile persoanelor fizice. Descrierea actuală a acestor măsuri este documentul Flowtly „Măsurile tehnice și organizatorice”, care constituie Anexa 1 la prezentul Acord.

Flowtly nu va reduce nivelul general de securitate a prelucrării descris în MTO pe durata prezentului Acord („angajamentul de a nu reduce nivelul de protecție”); înlocuirea unei anumite măsuri cu o alta care oferă un nivel de protecție echivalent sau superior nu constituie o reducere. Orice modificare a MTO — inclusiv orice astfel de înlocuire — este înregistrată ca o versiune nouă, datată, în istoricul reviziilor disponibil pe pagina documentului respectiv, astfel încât versiunea MTO în vigoare la orice dată de prelucrare poate fi întotdeauna stabilită pe baza acestui istoric.

9. Subprelucrarea (Persoanele împuternicite secundare)

Operatorul acordă Flowtly o autorizație generală scrisă de a recruta Persoane împuternicite secundare pentru executarea prezentului Acord (articolul 28 alineatul (2) din GDPR). Flowtly încheie cu fiecare Persoană împuternicită secundară un contract care îi impune acesteia aceleași obligații privind protecția datelor ca cele care revin Flowtly în temeiul prezentului Acord, inclusiv în ceea ce privește măsurile tehnice și organizatorice. Flowtly rămâne pe deplin răspunzătoare față de Operator pentru îndeplinirea obligațiilor privind protecția datelor ale unei Persoane împuternicite secundare, în conformitate cu articolul 28 alineatul (4) din GDPR.

Flowtly notifică Operatorului orice adăugare sau înlocuire preconizată a Persoanelor împuternicite secundare cu cel puțin 30 de zile înainte, identificând noua Persoană împuternicită secundară și sfera activității acesteia și oferindu-i Operatorului posibilitatea de a formula obiecții față de modificarea respectivă. Obiecțiile, motivate prin temeiuri legitime privind protecția datelor, se transmit la business.support@flowtly.eu în termen de 30 de zile de la notificare; neformularea de obiecții în acest termen este considerată acceptare a modificării. Flowtly nu va începe prelucrarea datelor cu caracter personal ale Operatorului prin intermediul unei noi Persoane împuternicite secundare înainte de expirarea termenului de formulare a obiecțiilor sau, dacă a fost formulată în termen o obiecție, înainte de soluționarea acesteia. În cazul unei obiecții justificate care nu poate fi soluționată în alt mod, Părțile vor conveni cu bună-credință asupra modului de a proceda, inclusiv, dacă este necesar, asupra încetării contractului de servicii în măsura în care acesta ar impune utilizarea Persoanei împuternicite secundare respective.

Persoanele împuternicite secundare recrutate în prezent, în concordanță cu Politica de confidențialitate a Platformei:

Persoana împuternicită secundară	Sfera prelucrării	Locul prelucrării
Google Cloud (Google Ireland Limited)	Găzduirea Platformei și infrastructura cloud	UE (europe-west1, Belgia)
Stripe	Procesarea plăților	UE / în afara SEE, în funcție de operațiune
Kontomatik	Integrarea datelor bancare	Polonia (UE)
Functional Software, Inc. (Sentry)	Monitorizarea erorilor de sistem	Statele Unite
Anthropic, PBC	Prelucrarea conținutului documentelor pentru funcționalitățile bazate pe IA (analiza documentelor, asistent)	Statele Unite
Postmark (ActiveCampaign, Inc.)	Trimiterea de e-mailuri tranzacționale (facturi, mementouri, notificări)	Statele Unite

Lista de mai sus reflectă situația de la data publicării versiunii relevante a prezentului Acord și este actualizată în conformitate cu procedura descrisă mai sus. Lista actuală a Persoanelor împuternicite secundare este disponibilă și la cerere, transmisă la adresa de mai sus.

10. Asistența acordată Operatorului; încălcări ale securității datelor cu caracter personal

Exercitarea drepturilor persoanelor vizate. Ținând seama de natura prelucrării, Flowtly sprijină Operatorul, în măsura posibilului — prin măsuri tehnice și organizatorice adecvate disponibile în Platformă și prin asistența solicitată la adresa indicată în secțiunea 6 — în îndeplinirea obligației sale de a răspunde cererilor persoanelor vizate care își exercită drepturile prevăzute în capitolul III din GDPR.

Respectarea articolelor 32–36 din GDPR. Flowtly sprijină Operatorul în asigurarea respectării obligațiilor prevăzute la articolele 32–36 din GDPR, inclusiv a obligației de notificare a autorității de supraveghere cu privire la o încălcare a securității datelor cu caracter personal și a obligației distincte de informare a persoanelor vizate atunci când o încălcare este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile acestora, precum și în ceea ce privește evaluările impactului asupra protecției datelor și consultarea prealabilă a autorității de supraveghere, ținând seama de natura prelucrării și de informațiile aflate la dispoziția Flowtly.

Încălcări ale securității datelor cu caracter personal. Flowtly notifică Operatorului o încălcare a securității datelor cu caracter personal pe care a identificat-o fără întârzieri nejustificate și, în orice caz, în cel mult 48 de ore de la momentul în care Flowtly a luat cunoștință de aceasta, fără a aștepta stabilirea tuturor circumstanțelor incidentului. Notificarea inițială cuprinde informațiile prevăzute la articolul 33 alineatul (3) din GDPR, în măsura în care sunt disponibile la momentul respectiv, și este completată în etape, pe măsură ce se stabilesc alte circumstanțe. Termenul de 48 de ore reprezintă termenul contractual maxim al Flowtly pentru această notificare inițială și nu exonerează Flowtly de obligația de a acționa fără întârzieri nejustificate atunci când acest lucru este posibil mai devreme; acesta este independent de termenul de 72 de ore în care Operatorul, în calitate de operator, trebuie să notifice încălcarea autorității de supraveghere în temeiul articolului 33 alineatul (1) din GDPR, atunci când notificarea este obligatorie.

11. Încetarea prelucrării; audituri și inspecții

Încetarea prelucrării. După încetarea furnizării serviciilor legate de prelucrare, Operatorul notifică Flowtly, în formă documentară, în termen de 30 de zile de la acest eveniment, dacă Flowtly trebuie să șteargă sau să returneze datele cu caracter personal; lipsa notificării în acest termen îi conferă Flowtly dreptul de a șterge datele. Flowtly efectuează acțiunea aleasă — ștergerea din sistemele de producție sau returnarea într-un format electronic utilizat în mod curent, urmată de ștergere — într-un termen rezonabil, care nu depășește 30 de zile de la primirea instrucțiunii Operatorului, cu excepția cazului în care dreptul Uniunii sau dreptul polonez impune Flowtly păstrarea în continuare a datelor în temeiul unei obligații legale care îi revine direct Flowtly (de exemplu, normele fiscale sau contabile privind evidențele contabile proprii ale Flowtly) — ceea ce nu se extinde la evidențele contabile proprii ale Operatorului prelucrate în Platformă. Copiile de rezervă care conțin datele șterse rămân protejate în conformitate cu MTO și sunt suprascrise în cadrul ciclului obișnuit de rotație a copiilor de rezervă descris în acestea, fără restaurarea datelor șterse în sistemul de producție.

Audituri și inspecții. Flowtly pune la dispoziția Operatorului toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la articolul 28 din GDPR și permite Operatorului sau unui auditor autorizat de Operator să efectueze audituri, inclusiv inspecții, privind conformitatea prelucrării cu prezentul Acord, și cooperează la desfășurarea acestora. Un audit se efectuează cu o notificare prealabilă scrisă de cel puțin 30 de zile, în timpul programului normal de lucru al Flowtly, într-un mod care să perturbe cât mai puțin posibil, în limite rezonabile, activitatea Flowtly și care să respecte confidențialitatea informațiilor referitoare la ceilalți clienți ai Flowtly, cel mult o dată pe an calendaristic — aceste limite nu se aplică atunci când auditul se efectuează în legătură cu o suspiciune rezonabilă privind o încălcare a securității datelor cu caracter personal sau o altă neconformitate semnificativă cu prezentul Acord ori la cererea unei autorități de supraveghere competente. Punerea la dispoziție a informațiilor în temeiul primei teze nu este limitată la o dată pe an.

12. Transferurile internaționale de date

Cea mai mare parte a prelucrării datelor cu caracter personal are loc în Spațiul Economic European (SEE) — infrastructura Platformei și prelucrarea OCR a documentelor sunt menținute în regiunea UE a furnizorului menționat în secțiunea 9. Trei dintre Persoanele împuternicite secundare menționate în secțiunea 9 — Functional Software, Inc. (care operează sub denumirea Sentry), Anthropic, PBC și Postmark (ActiveCampaign, Inc.) — își au sediul în Statele Unite, în afara SEE. Flowtly se asigură că transferurile de date cu caracter personal către aceste Persoane împuternicite secundare — precum și orice alt transfer de date cu caracter personal în afara SEE care poate avea loc în legătură cu celelalte Persoane împuternicite secundare sau cu propriile lor persoane împuternicite secundare — au loc în temeiul unui mecanism adecvat prevăzut în capitolul V din GDPR: în special clauzele contractuale standard aprobate prin Decizia de punere în aplicare (UE) 2021/914 a Comisiei Europene (în temeiul modulului corespunzător relației dintre Flowtly și Persoana împuternicită secundară) sau — în măsura în care o anumită Persoană împuternicită secundară se bazează pe acesta — Cadrul UE-SUA privind confidențialitatea datelor, completate, atunci când o evaluare a impactului transferului indică faptul că este necesar, de garanții suplimentare. Informațiile privind mecanismul aplicat unei anumite Persoane împuternicite secundare sunt puse la dispoziția Operatorului la cererea transmisă la adresa indicată în secțiunea 6.

13. Răspunderea și dispoziții finale

Limitarea răspunderii Flowtly prevăzută la § 12 din Termenii și condițiile („Răspundere”) se aplică în mod corespunzător prelucrării datelor cu caracter personal în temeiul prezentului Acord, în măsura permisă de lege. Aceasta nu aduce atingere dispozițiilor legale imperative, inclusiv: articolului 82 din GDPR în ceea ce privește pretențiile persoanelor vizate împotriva Flowtly, competențelor autorităților de supraveghere în temeiul GDPR și normelor Codului civil polonez privind răspunderea pentru prejudiciile cauzate cu intenție.

Aspectele nereglementate de prezentul Acord sunt guvernate, după caz, de Termenii și condițiile, inclusiv de dispozițiile acestora privind legea aplicabilă și soluționarea litigiilor. Prezentul Acord este guvernat de legea poloneză.

Prezentul document reprezintă versiunea publicată la 28 octombrie 2026. Istoricul versiunilor anterioare, dacă există, este disponibil mai jos.