Data Processing Agreement Acord privind prelucrarea datelor cu caracter personal
OPEN RACK SRL · Last updated 13.10.2026OPEN RACK SRL · Ultima actualizare 13.10.2026
English
RomânăThe Agreement on the Processing of Personal Data forms an integral part of the Terms and Conditions. Controllers are invited to send their instructions to the following email address: [email protected].
I. GDPR role qualification and purpose of the agreement
1.1. In accordance with Regulation (EU) 2016/679 (“GDPR” or “RGPD”), OPEN RACK SRL (“the Processor” or “the Provider”), a company established and functioning according to the Romanian legislation, with its registered office at Cuza-Voda st. no. 123, apt. 4, district 4, Bucharest 040283, Romania, Trade Register no. J40/10372/2024, EUID ROONRC.J2024010372409, tax code RO50130449, e-mail [email protected], acts as the data processor, and the Customer acts as the controller (“Controller”).
1.2. This Agreement governs the processing of personal data (hereinafter referred to as the “Data”) by the Processor for and on behalf of the Controller.
II. Obligations of the processor
2.1. The Processor shall comply with data protection laws in connection with all Processing activities.
2.2. The Processor shall inform the Controller of any material changes to the Processing activities or the list of Sub-Processors.
2.3. If the appointment of a DPO is required, the Data Processor shall provide assurances that it has appointed a competent and trustworthy data protection officer who has been given the time necessary to perform their duties.
2.4. The Controller’s hosted data (virtual machines, servers, storage and backups) is processed and stored only within the European Economic Area (EEA), in Romania. Account, billing and payment data may also be processed by the sub-processors listed in Section 2.8, some of them outside the EEA, only under the transfer mechanisms shown there.
2.5. The Processor shall provide support to the Controller, to a reasonable extent and at the Controller’s expense, in data protection audits conducted by data protection authorities to the extent that such audits relate to the processing of Data in accordance with this Agreement, in conducting impact assessments and in responding to requests from data subjects, as well as in fulfilling the obligations under Articles 32–36 of the GDPR.
2.6. After the Agreement ends, the Processor keeps the personal data, including backups, for 30 days, during which the Controller may ask for it to be returned or made available for retrieval. After these 30 days, the Processor deletes all personal data, including backups; deletion is completed within a further 7 days. Data that the Processor must keep to comply with a legal obligation is excepted.
2.7. If the Processor considers that an instruction received from the Controller violates the provisions of the GDPR or other applicable European Union or national law, the Processor shall immediately inform the Controller in writing via email.
2.8. The Processor may use only sub-processors in data processing activities who have been expressly and specifically authorized in advance by the Controller. The authorization may also be of a general nature, with the Processor being obligated to inform the Controller of any replacement or addition of sub-processors, thereby giving the Controller the opportunity to raise any objections. As of the date of acceptance of this agreement, the sub-processors authorized by the Controller are as follows:
| Sub-processor | Purpose | Country | Transfer mechanism |
|---|---|---|---|
| NEXONHOST SRL, ROMARG SRL, NXDATA SRL, VODAFONE ROMANIA S.A., RCS RDS S.A., PRIME TELECOM SRL, ITOM SOLUTIONS SRL, BANCA TRANSILVANIA S.A., ANGVLAR SRL | Datacenter, connectivity and anti-DDoS protection, hosting of internal platforms, banking and other support services | Romania | Not needed (EEA) |
| Proxmox Server Solutions GmbH | Virtualization and backup software (licensing and support) | Austria | Not needed (EEA) |
| Mikrotik SIA | Network software (RouterOS licensing) | Latvia | Not needed (EEA) |
| WHMCS LTD | Software for the Customer Portal, which runs on the Processor’s own servers (licensing and support only) | United Kingdom | EU adequacy decision (United Kingdom) |
| RS Studio Paweł Bis, INBS Software Konrad Keck | Customer Portal modules (licensing and support) | Poland | Not needed (EEA) |
| Stripe, LLC | Card payment processing | USA, Ireland | EU adequacy decision – EU-US Data Privacy Framework |
| Cloudflare, Inc | DNS, content delivery and attack protection for the website, the Customer Portal and the status page | USA | EU adequacy decision – EU-US Data Privacy Framework |
2.9. The Processor shall notify the Controller of the appointment of a new sub-processor via the email address provided when the account was created. If the Controller does not raise any objections within 15 business days of receiving the notification regarding the appointment of new sub-processors, the appointment shall be deemed accepted.
2.10. The Processor shall process personal data only on the basis of documented instructions from the Controller, including with regard to transfers of personal data to a third country or an international organization, unless this obligation is imposed on the Processor by Union or applicable national law. In such a case, the processor shall notify the controller of this legal obligation prior to processing, unless such notification is prohibited by that law for important reasons of public interest.
2.11. The processor shall ensure that persons authorized to process personal data have committed to confidentiality or are subject to an appropriate statutory duty of confidentiality.
2.12. The Data Processor shall take the necessary and reasonable measures in accordance with Article 32 of the GDPR.
2.13. The Data Processor shall, within reasonable limits and at the Controller’s expense, allow audits to be conducted and shall make available to the Controller all information necessary to demonstrate compliance with legal or contractual obligations.
2.14. When the Controller books the Engineer for rent service (Terms and Conditions, sections 3.21–3.26), the engineer assigned by the Processor accesses the Controller’s systems only during the booked window and only for the work requested, under the Controller’s instructions.
III. Liability
3.1. If one of the Parties suffers damage as a result of the other Party’s breach of any legal or contractual obligations, the injured Party shall be entitled to claim damages. To the maximum extent permitted by law, the Processor’s liability shall not exceed the amount paid by the Controller to the Processor in the last 6 months. This limit applies to breaches of this Agreement and of data protection law. Failures of the backup service, including where the backups contain personal data, are compensated as set out in section 3.20 of the Terms and Conditions, which, by way of exception to section 5.1, prevails over this section.
IV. Security
4.1. The Processor shall implement and maintain appropriate technical and organizational measures to protect the Data processed on behalf of the Controller, taking into account the state of the art, the costs of implementation, the nature, scope, context, and purposes of the processing, as well as the risks associated with the processing.
4.2. Security measures are designed to ensure a level of protection appropriate to the risk, including, where applicable, to protect the confidentiality, integrity, availability, and resilience of the systems and services used for processing, as well as to prevent unauthorized access, loss, disclosure, alteration, or destruction of the Data.
4.3. The Processor may update, modify, or replace the applicable technical and organizational measures, including as a result of technological developments, changes in risks, infrastructure or changes in contracted services, provided that such changes do not significantly diminish the overall level of protection afforded to the Data.
4.4. Administrative interfaces are protected by access control rules and/or are isolated within the internal network. Where applicable, access to administrative interfaces is provided exclusively via a WireGuard VPN connection. Administrative interfaces that must not be exposed to the public are not directly accessible from the internet.
4.5. The customer portal is protected by the authentication and security mechanisms available on the platform, as well as by the perimeter protection, monitoring, and access control measures described in this Agreement. The Processor shall implement multi-factor authentication for the Customer Portal.
4.6. Internal platforms are protected by Layer 2–4 firewall mechanisms. Public HTTP/S services are protected by Cloudflare and by an internal reverse proxy configured with security rules to filter malicious traffic, including OWASP-based rules and semantic traffic analysis mechanisms.
4.7. The management interfaces of the hosting servers are isolated in a separate internal network. Backup servers are also isolated in a separate internal network and are not directly exposed to the internet.
4.8. Services are divided into isolated virtual machines based on the role, purpose, and criticality of each service. This separation aims to limit the impact of a potential incident and reduce the risk of unauthorized access between infrastructure components.
4.9. Critical virtual machines, including those hosting the Customer Portal and email service, are monitored with Wazuh, a SIEM (security information and event management) solution. Monitoring aims to detect potential intrusions, abnormal activities, lateral movement, and other relevant security events in a timely manner.
4.10. The Processor uses mechanisms to identify and track vulnerabilities. Detected vulnerabilities are analyzed and addressed on a case-by-case basis, depending on their severity, risk, and impact on the affected system. Security recommendations of high or critical importance are evaluated and implemented to the extent that they are compatible with the purpose and operation of the relevant system.
4.11. The Processor uses a separate and isolated backup infrastructure designed to support service availability and restore services in the event of a physical or technical incident, within the limits of the contracted services, applicable technical configurations, and the Processor’s operational policies. The backup provided by the Processor is of the incremental type, performed daily starting at 10:00 PM Romanian time, and includes:
- a) 7 daily retention points;
- b) 4 weekly retention points;
- c) 6 monthly retention points.
Backups are georedundant: one copy is kept on the backup infrastructure in the datacentre and an encrypted copy at a separate, offsite location.
4.12. Anti-DDoS protection is provided by NEXONHOST SRL. The Processor intends to progressively develop its own anti-DDoS protection solution at levels 4–7, based on traffic analysis. To the extent that such a proprietary solution is implemented, traffic analysis will be performed without persistent logging, except for information strictly necessary for internal evaluations, diagnostics, service improvement, or security incident management.
4.13. Internal platforms are hosted both on the Processor’s own infrastructure and on ROMARG SRL’s infrastructure. Critical systems, including the Customer Portal and email service, are hosted exclusively on the Processor’s own infrastructure.
4.14. The physical security of the relevant equipment is provided by NXDATA SRL for equipment located in the facilities or infrastructure operated by this provider. The Processor relies on the physical security measures applicable to the datacentre, depending on the services contracted with the respective provider.
4.15. Providers and sub-processors used for datacentres, connectivity, anti-DDoS protection, software, licensing, payments, or other support services do not receive logical administrative access to the Controller’s infrastructure or the Processor’s infrastructure, except where such access is strictly necessary, authorized, limited, and documented for the provision of the relevant service, the resolution of an incident, or the fulfilment of a legal obligation.
4.16. Data is disclosed to sub-processors only to the extent strictly necessary for the provision of services, account management, billing, payment processing, security, technical support, maintenance, compliance with legal obligations, or the operation of the contracted services. The Processor shall not transfer the Data for independent purposes that are incompatible with this Agreement or that are not necessary for the provision of services.
4.17. The Processor shall limit access to the Data to authorized persons who require access to perform their duties. Persons authorized to process the Data are subject to a confidentiality obligation, whether contractual or legal, commensurate with the nature of the activities performed.
4.18. The Processor periodically or whenever necessary evaluates the effectiveness of the technical and organizational measures implemented, including through security monitoring, vulnerability analysis, review of relevant alerts, and implementation of corrective measures proportionate to the identified risk.
4.19. If the Processor becomes aware of a breach of security affecting the Data processed on behalf of the Controller, it shall notify the Controller without undue delay and provide the information reasonably available so that the Controller may fulfill its applicable legal obligations.
4.20. The measures set forth in this section shall apply depending on the nature of the contracted services, the technical configuration applicable to each service, the role of the systems involved, and the risks associated with the processing.
V. Final clauses
5.1. This Agreement shall apply concurrently with the provisions of the Terms and Conditions, but shall prevail over the Terms and Conditions in the event of conflicting provisions.
5.2. The invalidity of any provision of this Agreement shall not affect the validity of the remaining provisions. If a provision is found to be invalid, the Parties shall replace it with a new provision that approximates the Parties’ intentions as closely as possible.
5.3. Any disputes regarding the conclusion, performance, interpretation, amendment, or termination of this Agreement shall be resolved by the competent courts of Romania.
5.4. This Agreement shall be governed in accordance with the laws of Romania.
For any further information, please contact us at the following email address: [email protected].
Ultima actualizare: 13.10.2026
Acordul privind prelucrarea datelor cu caracter personal face parte integrantă din Termeni și Condiții. Operatorii sunt invitați să transmită instrucțiunile lor la adresa de e-mail: [email protected].
I. CALIFICAREA CONFORM GDPR ȘI OBIECTUL ACORDULUI
1.1. Conform Regulamentului (UE) 2016/679 („GDPR” sau „RGPD”), OPEN RACK SRL, societate înființată și funcționând potrivit legislației române, cu sediul social în București, Str. Cuza Vodă nr. 123, ap. 4, Sector 4, cod poștal 040283, înregistrată la Registrul Comerțului sub nr. J40/10372/2024, EUID ROONRC.J2024010372409, având cod fiscal RO50130449, e-mail [email protected] are calitatea de persoană împuternicită („Persoana Împuternicită”, „Împuternicitul” sau „Furnizorul”), iar Clientul are calitatea de operator („Operatorul”).
1.2. Prezentul Acord reglementează prelucrarea datelor cu caracter personal (denumite în continuare „Datele”) de către Persoana Împuternicită pentru și în numele Operatorului.
II. OBLIGAȚIILE PERSOANEI ÎMPUTERNICITE
2.1. Împuternicitul va respecta legislația privind protecția datelor în legătură cu toate activitățile de Prelucrare.
2.2. Împuternicitul va informa operatorul cu privire la orice modificare esențială a activităților de prelucrare sau a listei de Sub-Împuterniciți.
2.3. Dacă este necesară numirea unui DPO, Persoana Împuternicită oferă asigurări că a angajat un responsabil cu protecția datelor competent și de încredere, căruia i s-a acordat timpul necesar pentru a-și îndeplini îndatoririle.
2.4. Datele găzduite ale Operatorului (mașini virtuale, servere, stocare și copii de rezervă) sunt prelucrate și stocate doar în interiorul Spațiului Economic European (SEE), în România. Datele de cont, de facturare și de plată pot fi prelucrate și de sub-împuterniciții enumerați în secțiunea 2.8, unii dintre aceștia aflați în afara SEE, numai în baza mecanismelor de transfer indicate acolo.
2.5. Persoana Împuternicită va oferi sprijin Operatorului, într-o măsură rezonabilă și pe costurile Operatorului, în auditurile de protecția datelor realizate de către autoritățile de supraveghere în măsura în care asemenea audituri se referă la prelucrarea Datelor în conformitate cu prezentul Acord, în efectuarea evaluărilor de impact și în transmiterea răspunsurilor la cererile persoanelor vizate, precum și în îndeplinirea obligațiilor de la art. 32-36 GDPR.
2.6. După încetarea Contractului, Persoana Împuternicită păstrează datele cu caracter personal, inclusiv copiile de rezervă, timp de 30 de zile, perioadă în care Operatorul poate solicita returnarea lor sau punerea lor la dispoziție pentru recuperare. După expirarea celor 30 de zile, Persoana Împuternicită șterge toate datele cu caracter personal, inclusiv copiile de rezervă; ștergerea se finalizează în cel mult 7 zile. Fac excepție datele pe care Persoana Împuternicită are obligația legală să le păstreze.
2.7. În situația în care Persoana Împuternicită consideră că o instrucțiune primită de la Operator încalcă prevederile GDPR sau ale altei legislații aplicabile Uniunii Europene ori dreptului intern, Persoana Împuternicită va informa neîntârziat Operatorul în scris, prin e-mail.
2.8. Persoana Împuternicită va putea utiliza în activitățile de prelucrare a Datelor doar subîmputerniciți care sunt autorizați în prealabil, în mod expres și specific, de către Operator. Autorizația poate fi și de tip general, cu obligația Persoanei Împuternicite de a informa Operatorul cu privire la orice înlocuire sau adăugare de subîmputerniciți, oferindu-i astfel posibilitatea de a-și exprima eventuale obiecții. La data acceptării prezentului acord, subîmputerniciții autorizați de Operator sunt următorii:
| Sub-împuternicit | Scop | Țară | Mecanism de transfer |
|---|---|---|---|
| NEXONHOST SRL, ROMARG SRL, NXDATA SRL, VODAFONE ROMANIA S.A., RCS RDS S.A., PRIME TELECOM SRL, ITOM SOLUTIONS SRL, BANCA TRANSILVANIA S.A., ANGVLAR SRL | Centru de date, conectivitate și protecție anti-DDoS, găzduirea platformelor interne, servicii bancare și alte servicii de suport | România | Nu este cazul (SEE) |
| Proxmox Server Solutions GmbH | Software de virtualizare și backup (licențiere și suport) | Austria | Nu este cazul (SEE) |
| Mikrotik SIA | Software de rețea (licențe RouterOS) | Letonia | Nu este cazul (SEE) |
| WHMCS LTD | Software pentru Portalul de Client, care rulează pe serverele proprii ale Persoanei Împuternicite (doar licențiere și suport) | Regatul Unit | Decizie de adecvare a Comisiei (Regatul Unit) |
| RS Studio Paweł Bis, INBS Software Konrad Keck | Module pentru Portalul de Client (licențiere și suport) | Polonia | Nu este cazul (SEE) |
| Stripe, LLC | Procesarea plăților cu cardul | SUA, Irlanda | Decizie de adecvare a Comisiei – Data Privacy Framework |
| Cloudflare, Inc | DNS, livrare de conținut și protecție împotriva atacurilor pentru website, Portalul de Client și pagina de status | SUA | Decizie de adecvare a Comisiei – Data Privacy Framework |
2.9. Notificarea privind desemnarea unor noi subîmputerniciți se va transmite de către Persoana Împuternicită către Operator la adresa de e-mail furnizată la crearea contului. În cazul în care Operatorul nu își exprimă obiecțiile în termen de 15 zile lucrătoare de la primirea notificării privind desemnarea unor noi subîmputerniciți, se va considera că desemnarea este acceptată.
2.10. Împuternicitul va prelucra datele cu caracter personal numai pe baza unor instrucțiuni documentate din partea Operatorului, inclusiv în ceea ce privește transferurile de date cu caracter personal către o țară terță sau o organizație internațională, cu excepția cazului în care această obligație îi revine persoanei împuternicite în temeiul dreptului Uniunii sau al dreptului intern care i se aplică. În acest caz, împuternicitul notifică această obligație juridică operatorului înainte de prelucrare, cu excepția cazului în care dreptul respectiv interzice o astfel de notificare din motive importante legate de interesul public.
2.11. Împuternicitul se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație statutară adecvată de confidențialitate.
2.12. Împuternicitul adoptă măsurile necesare și rezonabile în conformitate cu articolul 32 din GDPR.
2.13. Împuternicitul permite, în limite rezonabile și pe cheltuiala Operatorului, desfășurarea de audituri și pune la dispoziția operatorului toate informațiile necesare pentru a demonstra respectarea obligațiilor legale sau contractuale.
2.14. Atunci când Operatorul rezervă serviciul Engineer for rent (Termeni și Condiții, secțiunile 3.21–3.26), inginerul alocat de Persoana Împuternicită accesează sistemele Operatorului doar pe durata ferestrei rezervate și doar pentru lucrările solicitate, conform instrucțiunilor Operatorului.
III. RĂSPUNDERE
3.1. În cazul în care una dintre Părți este prejudiciată ca urmare a încălcării de către cealaltă Parte a oricăror obligații legale sau contractuale, atunci partea vătămată va avea dreptul de a pretinde despăgubiri. În limita maximă permisă de lege, răspunderea Persoanei Împuternicite nu va depăși suma achitată de Operator către Persoana Împuternicită în ultimele 6 luni. Această limită se aplică încălcării prezentului Acord și a legislației privind protecția datelor. Defecțiunile serviciului de backup, inclusiv atunci când copiile de rezervă conțin date cu caracter personal, sunt compensate conform art. 3.20 din Contractul Principal (Termeni și Condiții), care, prin excepție de la secțiunea 5.1, prevalează asupra prezentei secțiuni.
IV. MĂSURI DE SECURITATE
4.1. Persoana Împuternicită adoptă și menține măsuri tehnice și organizatorice adecvate pentru protejarea Datelor prelucrate în numele Operatorului, ținând seama de stadiul tehnicii, costurile implementării, natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscurile asociate prelucrării.
4.2. Măsurile de securitate sunt concepute pentru a asigura un nivel de protecție adecvat riscului, inclusiv, după caz, pentru protejarea confidențialității, integrității, disponibilității și rezilienței sistemelor și serviciilor utilizate pentru prelucrare, precum și pentru prevenirea accesului neautorizat, pierderii, divulgării, alterării sau distrugerii neautorizate a Datelor.
4.3. Persoana Împuternicită poate actualiza, modifica sau înlocui măsurile tehnice și organizatorice aplicabile, inclusiv ca urmare a evoluției tehnologice, a modificării riscurilor, a modificării infrastructurii sau a serviciilor contractate, cu condiția ca aceste modificări să nu diminueze în mod semnificativ nivelul general de protecție oferit Datelor.
4.4. Interfețele de administrare sunt protejate prin reguli de control al accesului și/sau sunt izolate în rețeaua internă. Acolo unde este cazul, accesul la interfețele administrative se realizează exclusiv prin conexiune VPN WireGuard. Interfețele administrative care nu trebuie expuse public nu sunt accesibile direct din internet.
4.5. Portalul client este protejat prin mecanismele de autentificare și securitate disponibile în platformă, precum și prin măsurile de protecție perimetrală, monitorizare și control al accesului descrise în prezentul Acord. Persoana Împuternicită va implementa autentificarea multifactor pentru portalul clientului.
4.6. Platformele interne sunt protejate prin mecanisme de tip firewall la nivelurile 2-4. Serviciile publice HTTP/S sunt protejate prin Cloudflare și printr-un mecanism de reverse proxy intern configurat cu reguli de securitate pentru filtrarea traficului malițios, cu reguli de tip OWASP și mecanisme de analiză semantică a traficului.
4.7. Interfețele de management ale serverelor de găzduire sunt izolate într-o rețea internă separată. Serverele de backup sunt, de asemenea, izolate într-o rețea internă separată și nu sunt expuse direct internetului.
4.8. Serviciile sunt împărțite în mașini virtuale izolate, în funcție de rolul, destinația și criticitatea fiecărui serviciu. Această separare urmărește limitarea impactului unui eventual incident și reducerea riscului de acces neautorizat între componentele infrastructurii.
4.9. Mașinile virtuale critice, inclusiv cele care găzduiesc portalul client și serviciul de e-mail, sunt monitorizate prin Wazuh, o soluție de tip SIEM (gestionarea informațiilor și a evenimentelor de securitate). Monitorizarea urmărește detectarea în timp util a unor posibile infiltrări, activități anormale, mișcări laterale și alte evenimente relevante de securitate.
4.10. Persoana Împuternicită utilizează mecanisme de identificare și urmărire a vulnerabilităților. Vulnerabilitățile detectate sunt analizate și tratate punctual, în funcție de severitate, risc și impactul asupra sistemului afectat. Recomandările de securitate cu importanță mare sau critică sunt evaluate și implementate în măsura în care sunt compatibile cu scopul și funcționarea sistemului relevant.
4.11. Persoana Împuternicită utilizează infrastructură de backup separată și izolată, destinată susținerii disponibilității serviciilor și restaurării acestora în caz de incident fizic sau tehnic, în limitele serviciilor contractate, ale configurațiilor tehnice aplicabile și ale politicilor operaționale ale Persoanei Împuternicite. Backupul pus la dispoziție de Furnizor este de tip incremental, se efectuează zilnic începând cu ora 22:00, ora României și include:
a) 7 puncte de retenție zilnice;
b) 4 puncte de retenție săptămânale;
c) 6 puncte de retenție lunare.
Copiile de rezervă sunt georedundante: un exemplar este păstrat pe infrastructura de backup din centrul de date, iar un exemplar criptat într-o locație separată, în afara acestuia.
4.12. Protecția anti-DDoS este asigurată prin NEXONHOST SRL. Persoana Împuternicită are în vedere dezvoltarea progresivă a unei soluții proprii de protecție anti-DDoS la nivelurile 4-7, bazată pe analiză de trafic. În măsura implementării unei asemenea soluții proprii, analiza traficului se va realiza fără stocarea persistentă a logurilor, cu excepția informațiilor strict necesare pentru evaluări interne, diagnosticare, îmbunătățirea serviciului sau gestionarea incidentelor de securitate.
4.13. Platformele interne sunt găzduite atât pe infrastructura proprie a Persoanei Împuternicite, cât și pe infrastructura ROMARG SRL. Sistemele critice, inclusiv portalul client și serviciul de e-mail, sunt găzduite exclusiv pe infrastructura proprie a Persoanei Împuternicite.
4.14. Securitatea fizică a echipamentelor relevante este asigurată prin NXDATA SRL, pentru echipamentele aflate în locațiile sau infrastructura operate de acest furnizor. Persoana Împuternicită se bazează pe măsurile de securitate fizică aplicabile centrului de date, în funcție de serviciile contractate cu furnizorul respectiv.
4.15. Furnizorii și subîmputerniciții utilizați pentru centre de date, conectivitate, protecție anti-DDoS, software, licențiere, plăți sau alte servicii de suport nu primesc acces administrativ logic la infrastructura Operatorului sau la infrastructura Persoanei Împuternicite, cu excepția cazurilor în care un asemenea acces este strict necesar, autorizat, limitat și documentat pentru furnizarea serviciului relevant, remedierea unui incident sau îndeplinirea unei obligații legale.
4.16. Datele sunt transmise către subîmputerniciți sau furnizori numai în măsura strict necesară pentru furnizarea serviciilor, administrarea conturilor, facturare, procesarea plăților, securitate, suport tehnic, mentenanță, îndeplinirea obligațiilor legale sau funcționarea serviciilor contractate. Persoana Împuternicită nu transmite Datele în scopuri independente, incompatibile cu prezentul Acord sau care nu sunt necesare pentru furnizarea serviciilor.
4.17. Persoana Împuternicită limitează accesul la Date la persoanele autorizate care au nevoie de acces pentru îndeplinirea atribuțiilor lor. Persoanele autorizate să prelucreze Datele sunt supuse unei obligații de confidențialitate, contractuale sau legale, corespunzătoare naturii activităților desfășurate.
4.18. Persoana Împuternicită evaluează periodic sau ori de câte ori este necesar eficacitatea măsurilor tehnice și organizatorice aplicate, inclusiv prin monitorizare de securitate, analiză de vulnerabilități, revizuirea alertelor relevante și implementarea măsurilor corective proporționale cu riscul identificat.
4.19. În cazul în care Persoana Împuternicită ia cunoștință de o încălcare a securității Datelor prelucrate în numele Operatorului, aceasta va informa Operatorul fără întârzieri nejustificate și va furniza informațiile disponibile în mod rezonabil pentru ca Operatorul să își poată îndeplini obligațiile legale aplicabile.
4.20. Măsurile prevăzute în prezenta secțiune se aplică în funcție de natura serviciilor contractate, de configurația tehnică aplicabilă fiecărui serviciu, de rolul sistemelor implicate și de riscurile asociate prelucrării.
V. CLAUZE FINALE
5.1. Acest Acord se aplică concomitent cu prevederile Contractului Principal, dar prevalează, în privința clauzelor contradictorii, asupra Contractului Principal.
5.2. Lipsa de valabilitate a unei prevederi a prezentului Acord nu va afecta valabilitatea celorlalte prevederi. Dacă o prevedere se dovedește a fi lipsită de valabilitate, Părțile o vor înlocui cu o nouă prevedere care aproximează intențiile Părților cât mai apropiat posibil.
5.3. Orice litigii cu privire la încheierea, executarea, interpretarea, modificarea sau încetarea Acordului se soluționează de către instanțele judecătorești competente din România.
5.4. Prezentul Acord va fi guvernat, înțeles și interpretat în conformitate cu legislația din România.
Pentru orice alte informații ne puteți contacta la adresa de e-mail: [email protected].