Acord de prelucrare a datelor cu caracter personal (DPA)

1. Părțile și rolurile

Clientul (Operatorul) – reprezintă persoana juridică sau entitatea comercială asimilată profesioniștilor care contractează Serviciile în vederea monitorizării activității agricole, având calitatea legală de Operator de date cu caracter personal.

Furnizorul (Persoana împuternicită) – NORDIC SILVA S.R.L., societate comercială înmatriculată în conformitate cu legile din România, cu sediul social în Municipiul Borșa, Județul Maramureș, în calitate de deținător și furnizor al soluției tehnologice iotferma.ro, având calitatea de Persoană împuternicită de operator (Procesator).

2. Obiectul, durata, natura și scopul prelucrării

Obiectul prezentului DPA constă în asigurarea cadrului legal și de securitate necesar pentru procesarea datelor cu caracter personal în contextul furnizării Serviciului SaaS. Natura prelucrării include colectarea, structurarea, agregarea logică, stocarea cloud și afișarea dashboard-urilor grafice în aplicație.

Scopul exclusiv al prelucrării este asigurarea suportului decizional agricol (analiza umidității solului, calcularea ET₀, generarea automată a alarmelor operaționale) și administrarea tehnică a conturilor de acces din cadrul platformei.

Durata prelucrării este direct corelată cu perioada contractuală de valabilitate a abonamentului activ achiziționat de Client, la care se adaugă un interval administrativ-tehnic de maximum 30 de zile calendaristice de la încetarea serviciului, necesar pentru finalizarea exporturilor și ștergerea ireversibilă a bazelor de date secundare și a backup-urilor.

3. Obligațiile persoanei împuternicite

În conformitate cu Art. 28 alin. (3) GDPR, Persoana împuternicită se obligă în mod expres:

• Să prelucreze datele cu caracter personal numai pe baza instrucțiunilor documentate și scrise ale Operatorului, inclusiv în ceea ce privește transferurile internaționale de date;
• Să se asigure că tot personalul său intern autorizat să acceseze sau să prelucreze datele s-a angajat în mod valabil să respecte confidențialitatea strictă prin acorduri contractuale specifice sau deține o obligație statutară clară de confidențialitate;
• Să implementeze toate măsurile tehnice și organizatorice adecvate stipulate de Art. 32 GDPR în vederea asigurării unui nivel sporit de securitate cibernetică;
• Să sprijine în mod activ Operatorul, prin măsuri tehnologice adecvate și în măsura fezabilității tehnice, în îndeplinirea obligației sale de a răspunde cererilor specifice depuse de persoanele vizate în vederea exercitării drepturilor acestora;
• Să ofere asistență tehnică promptă Operatorului în vederea garantării conformității cu obligațiile privind securitatea sistemelor, notificarea autorităților în caz de incident și realizarea evaluărilor de impact (DPIA);
• La opțiunea scrisă a Operatorului exprimată la încetarea contractului, să șteargă definitiv sau să returneze în totalitate datele cu caracter personal, distrugând copiile existente, cu excepția cazurilor exprese în care legea română impune stocarea pe termen lung;
• Să pună la dispoziția Operatorului toate dovezile necesare demonstrării respectării obligațiilor și să permită desfășurarea auditurilor autorizate conform prevederilor din prezentul document.

4. Sub-împuterniciți

Operatorul acordă Furnizorului o autorizare generală pentru implicarea de sub-împuterniciți tehnici auxiliari. Lista inițială aprobată cuprinde: (1) Hetzner Online GmbH – furnizor principal de servicii cloud și infrastructură server amplasate pe teritoriul Uniunii Europene; (2) Furnizori specializați de servicii de e-mail sau SMS pentru transmiterea notificărilor operaționale (dacă sunt utilizați). Furnizorul se obligă să informeze Operatorul cu privire la orice intenție de modificare, adăugare sau înlocuire a acestor sub-împuterniciți cu cel puțin 15 zile înainte, oferind Operatorului dreptul legal de a formula obiecții scrise motivate.

5. Transferuri internaționale

Toate activitățile fizice și logice de prelucrare, găzduire de bază de date și duplicare de siguranță sunt realizate în mod exclusiv pe servere amplasate în interiorul Uniunii Europene și al Spațiului Economic European (SEE). Niciun transfer extern în afara SEE nu va fi efectuat fără acordul prealabil expres al Operatorului și fără implementarea Clauzelor Contractuale Standard aprobate de Comisia Europeană.

6. Securitate (măsuri tehnice și organizatorice)

Furnizorul garantează implementarea următoarelor măsuri specifice descrise pe larg în Anexa 2: izolarea și segregarea logică a seturilor de date la nivel de client individual, aplicată server-side prin permisiuni (RBAC); securizarea integrală a comunicațiilor prin criptare TLS/HTTPS în tranzit; managementul strict al accesului pe bază de roluri de utilizator (RBAC) și aplicarea unor politici riguroase de backup automatizat.

7. Notificarea încălcărilor de securitate

În situația producerii unui incident sau a unei încălcări confirmate a securității datelor cu caracter personal, Persoana împuternicită va transmite o notificare oficială Operatorului fără întârzieri nejustificate, în termen de maximum 48 de ore de la constatarea inițială. Notificarea va detalia volumul de date estimat ca fiind afectat, impactul probabil și măsurile imediate de atenuare luate de Furnizor.

8. Asistență pentru drepturile persoanelor vizate și DPIA

Furnizorul va răspunde oricărei solicitări scrise de asistență venite din partea Operatorului în termen de maximum 7 zile lucrătoare, oferind detaliile tehnice extrase din logurile platformei necesare pentru completarea registrului de evidență sau pentru finalizarea evaluărilor de impact cerute de lege.

9. Ștergerea/returnarea datelor la încetare

La momentul rezilierii sau expirării contractului principal, Furnizorul va asigura o fereastră de acces de 15 zile pentru descărcarea datelor operaționale brute de către Operator în format standard CSV. La încheierea acestui interval, Furnizorul va proceda la ștergerea definitivă a contului și a tuturor bazelor de date asociate, procesul finalizându-se complet în maximum 30 de zile.

10. Audit

Operatorul are dreptul legal de a efectua un audit documentar o dată pe an, pe cheltuiala sa exclusivă, cu transmiterea unui preaviz scris cu cel puțin 30 de zile înainte. Furnizorul se obligă să coopereze cu bună-credință și să pună la dispoziția auditorului desemnat extrase din documentația internă care să ateste conformitatea proceselor tehnice.

Anexa 1 — Detalii ale prelucrării

• Categorii de persoane vizate: Angajați, administratori, agronomi, operatori de teren și colaboratori ai Operatorului (fermei) cărora li se generează cont de acces.
• Categorii de date prelucrate: Nume, prenume, adresă de e-mail profesională, număr de telefon mobil, credențiale securizate (hash), adrese IP de conectare, loguri de sistem și coordonate geografice aferente parcelelor agricole sau amplasării dispozitivelor fizice.
• Operațiuni de prelucrare: Colectare, înregistrare, structurare, stocare cloud, corelare cu telemetria senzorilor LoRaWAN, interogare, vizualizare în interfețe grafice și ștergere automatizată.

Anexa 2 — Măsuri tehnice și organizatorice

• Segregarea logică a datelor pe clienți la nivel de aplicație, izolarea fiind aplicată server-side prin permisiuni (RBAC).
• Criptarea obligatorie a tuturor fluxurilor de comunicații în tranzit prin utilizarea protocoalelor securizate HTTPS și TLS 1.2 sau superior.
• Găzduirea exclusivă a sistemelor în centre de date auditate și securizate fizic aparținând Hetzner Online GmbH pe teritoriul Uniunii Europene.
• Implementarea controlului de acces bazat pe roluri stricte (RBAC) și utilizarea de parole complexe pentru conturile de administrare.
• Proceduri zilnice de backup automatizat stocate pe medii de stocare secundare complet izolate geografic.