Acord de prelucrare a datelor (RGPD art. 28)

Dreilex prelucrează date cu caracter personal în numele tău cu unicul scop de a furniza Kwintio: crearea, trimiterea și primirea facturilor, notelor de credit și ofertelor prin Peppol, arhivarea, exportul și realizarea copiilor de rezervă. Acordul durează cât durează Termenii de utilizare și, ulterior, cât timp Dreilex păstrează date în numele tău (articolul 10).

• Prelucrare: stocare, afișare, generarea documentelor PDF/UBL, trimitere și primire prin Peppol, export, copii de rezervă, ștergere.
• Persoane vizate: clienții, furnizorii tăi și persoanele lor de contact; utilizatorii tăi (colaboratori, contabil).
• Date: nume, adrese, adrese de e-mail, numere de telefon, numere de întreprindere/TVA, IBAN, conținutul și sumele facturilor, identificatori Peppol. Categoriile speciale de date (articolul 9 RGPD) și datele privind condamnările penale nu sunt prevăzute; nu le introduce.

• Tu stabilești scopul prelucrării și răspunzi de legalitatea ei (inclusiv de informarea clienților tăi).
• Dreilex prelucrează datele doar pe baza instrucțiunilor tale documentate – acest acord, Termenii de utilizare și acțiunile tale în aplicație –, inclusiv în privința transferurilor către țări terțe, cu excepția cazului în care dreptul UE sau belgian impune altfel; în acest caz Dreilex te informează în prealabil, dacă legea nu interzice. Dreilex te informează imediat dacă, în opinia sa, o instrucțiune încalcă RGPD.
• Dreilex nu folosește datele clienților tăi în scopuri proprii. Doar numărul de documente Peppol trimise este folosit de Dreilex, ca operator, pentru facturare (vezi Politica de confidențialitate).

Persoanele autorizate de Dreilex să prelucreze datele sunt obligate să păstreze confidențialitatea.

Dreilex aplică măsurile tehnice și organizatorice din Anexa 1 (articolul 32 RGPD) și le adaptează la stadiul tehnologiei.

• Îți dai acordul general pentru subcontractanții din Anexa 2.
• Dreilex te informează cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui subcontractant. Te poți opune pentru motive rezonabile în acest termen; dacă nu găsim o soluție, poți rezilia acordul gratuit, cu rambursarea proporțională a părții plătite și neutilizate.
• Dreilex impune prin contract subcontractanților săi obligații de protecție a datelor în esență identice și rămâne pe deplin răspunzătoare față de tine pentru aceștia.

Baza de date și documentele sunt stocate în UE. Dacă un subcontractant poate accesa sau prelucra date din afara SEE, aceasta se face doar pe baza unei decizii de adecvare (de ex. EU-US Data Privacy Framework, pentru destinatarii certificați) sau a clauzelor contractuale standard ale UE (Decizia de punere în aplicare (UE) 2021/914).

Ținând seama de natura prelucrării, Dreilex te ajută cu cererile persoanelor vizate (aplicația oferă deja acces, rectificare și export), cu securitatea, notificarea încălcărilor, evaluările de impact și consultările prealabile (articolele 32-36 RGPD). Dreilex îți transmite fără întârziere orice cerere primită direct de la o persoană vizată.

Dreilex îți notifică o încălcare care îți afectează datele fără întârzieri nejustificate și cel târziu în 48 de ore de la data la care a luat cunoștință de ea, cu informațiile de la articolul 33 alineatul (3) RGPD disponibile la acel moment, și le completează pe măsură ce află mai multe.

• La încetarea acordului îți poți exporta toate datele (vezi articolul 10 din Termenii de utilizare).
• Alegerea ta (la închiderea contului în aplicație sau prin e-mail): dacă nu îi dai Dreilex instrucțiunea de a șterge tot, Dreilex păstrează facturile și notele de credit emise, primite și importate (cu fișierul UBL original) doar în citire, în numele tău, până la sfârșitul termenului legal de păstrare de 7 ani de la 1 ianuarie a anului următor datei emiterii (articolul 60 § 3 din Codul belgian al TVA) al celui mai recent document, fără costuri suplimentare, și apoi le șterge. Tu rămâi responsabil de propria obligație de păstrare.
• Toate celelalte date (iar la alegerea „șterge tot” și facturile) se șterg la 90 de zile după închidere; până atunci poți exporta totul. Copiile de rezervă se suprascriu în termenele din Anexa 1. Dreilex confirmă ștergerea în scris, la cerere.
• Dacă Dreilex oprește Kwintio, te anunță cu cel puțin 3 luni înainte, ca să poți exporta tot.

Dreilex pune la dispoziție informațiile necesare pentru a demonstra conformitatea (acest acord, Anexele 1 și 2, certificări și acordurile de prelucrare ale subcontractanților). Un audit efectuat de tine sau de un auditor independent obligat la confidențialitate este posibil o dată pe an (și suplimentar după o încălcare sau la cererea unei autorități de supraveghere), pe costul tău, cu o notificare prealabilă de 30 de zile.

Se aplică articolul 12 (răspundere) din Termenii de utilizare, fără a aduce atingere articolului 82 RGPD. Se aplică legea belgiană; se aplică articolul 14 din Termenii de utilizare (instanța competentă).

• Găzduire la Cloudflare; baza de date și stocarea documentelor sub jurisdicție UE; criptare în tranzit (TLS) și în repaus.
• Parole: hash PBKDF2-SHA256 cu sare; sesiuni într-un cookie __Host- (HttpOnly, Secure, SameSite=Lax); token CSRF la fiecare cerere de scriere; confirmarea adresei de e-mail.
• Separare pe firmă: fiecare cerere este verificată față de firma activă și rolul utilizatorului (proprietar, membru, contabil doar citire).
• Limitarea ratei la autentificare și înregistrare; jurnale de securitate păstrate maximum 30 de zile.
• Copii de rezervă: restaurare la un moment dat a bazei de date 30 de zile; exporturi lunare criptate ale bazei de date în stocare de obiecte UE, șterse după 90 de zile; documente în stocare de obiecte UE; fișierele UBL originale păstrate nemodificate.
• Secretele (chei API) doar în depozitul de secrete al furnizorului de găzduire, niciodată în codul sursă.
• Acces administrativ limitat la operatorul Dreilex, protejat prin autentificare puternică. Fără acces la datele de producție pentru instrumente sau furnizori care nu figurează în Anexa 2. Instrumentele de dezvoltare (inclusiv cele de IA) lucrează doar într-un mediu de test separat, cu date fictive, și nu au acces la datele de producție; nu sunt subcontractanți.
• Teste automate la fiecare modificare; modificările sunt consemnate într-un registru de schimbări.

În caz de diferențe între versiunile lingvistice, prevalează versiunea neerlandeză.