Acord privind prelucrarea datelor cu caracter personal

Părți, roluri și instrucțiuni

1. Părțile și obiectul Acordului

Prezentul Acord privind prelucrarea datelor („DPA”) este încheiat între:

• [[DE COMPLETAT: DENUMIRE CLIENT]], cu sediul în [[DE COMPLETAT]], identificată prin [[DE COMPLETAT]] („Clientul”); și
• [[DE COMPLETAT: DENUMIREA SOCIETĂȚII CORPUS]], cu sediul în [[DE COMPLETAT]], CUI [[DE COMPLETAT]], nr. Registrul Comerțului [[DE COMPLETAT]] („Corpus” sau „Furnizorul”).

DPA face parte din contractul, comanda, oferta ori Termenii care guvernează furnizarea Corpus („Contractul principal”).

DPA reglementează prelucrarea Datelor Clientului de către Corpus în numele Clientului, în măsura în care legislația privind protecția datelor impune un acord între operator și persoana împuternicită.

2. Definiții

Termenii „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită”, „persoană vizată”, „încălcare a securității datelor cu caracter personal” și „autoritate de supraveghere” au sensul stabilit de Regulamentul (UE) 2016/679 („GDPR”).

În plus:

• Datele Clientului înseamnă datele cu caracter personal incluse de Client sau Utilizatorii săi autorizați în dosarele Corpus ori transmise Corpus pentru furnizarea Serviciului.
• Instrucțiuni documentate înseamnă Contractul principal, acest DPA, configurările efectuate de Client, solicitările transmise prin Serviciu și alte instrucțiuni scrise acceptate de Corpus.
• Subprocesator înseamnă o persoană împuternicită angajată de Corpus pentru prelucrarea Datelor Clientului.
• Legislația aplicabilă înseamnă GDPR, Legea nr. 190/2018 și orice alte norme obligatorii aplicabile prelucrării.
• Serviciul înseamnă platforma Corpus, inclusiv modulele Lemma, Memorie și dosare, Analiză și redactare, Monitorizare, precum și Aplicații și integrări și funcțiile contractate.

3. Rolurile părților

3.1 Client operator

În măsura în care Clientul stabilește scopurile și mijloacele prelucrării Datelor Clientului, Clientul este operator, iar Corpus este persoană împuternicită.

3.2 Client persoană împuternicită

Dacă Clientul prelucrează date în numele propriului său client, Clientul este persoană împuternicită, iar Corpus este subîmputernicit. Clientul declară că este autorizat să angajeze Corpus și că instrucțiunile operatorului inițial permit prelucrarea prevăzută de Contract.

3.3 Prelucrări proprii Corpus

Pentru date precum informațiile de Cont, facturare, securitate, relație contractuală și conformitate, Corpus poate acționa ca operator independent. Aceste prelucrări sunt descrise în Politica de confidențialitate și nu fac obiectul instrucțiunilor Clientului, cu excepția cazului în care părțile convin altfel.

4. Instrucțiunile Clientului

Corpus va prelucra Datele Clientului numai:

• pe baza Instrucțiunilor documentate;
• pentru furnizarea, securizarea, suportul și administrarea Serviciului;
• pentru respectarea unei obligații legale aplicabile Corpus.

Dacă legea obligă Corpus să prelucreze date în alt mod decât conform instrucțiunilor, Corpus va informa Clientul înainte, cu excepția cazului în care legea interzice informarea.

Corpus va informa Clientul fără întârzieri nejustificate dacă apreciază că o instrucțiune încalcă legislația privind protecția datelor. Corpus poate suspenda executarea instrucțiunii până la clarificare.

Clientul este responsabil pentru legalitatea, exactitatea și caracterul complet al instrucțiunilor și pentru existența temeiurilor juridice necesare.

5. Detaliile prelucrării

Detaliile sunt prevăzute în Anexa 1 și includ:

• obiectul și durata;
• natura și scopurile;
• categoriile de persoane vizate;
• tipurile de date;
• operațiunile de prelucrare;
• instrucțiunile speciale, dacă există.

Confidențialitate, securitate și subprocesatori

6. Confidențialitatea personalului

Corpus se asigură că persoanele autorizate să prelucreze Datele Clientului:

• au acces numai în măsura necesară;
• sunt obligate prin angajamente de confidențialitate ori obligații legale echivalente;
• primesc instruire adecvată privind securitatea și protecția datelor;
• sunt supuse unor proceduri de acordare, revizuire și retragere a accesului.

7. Măsuri tehnice și organizatorice

Corpus va implementa și menține măsuri adecvate riscului, ținând cont de stadiul tehnicii, costuri, natura, domeniul, contextul și scopurile prelucrării.

Măsurile de bază sunt descrise în Anexa 2 și includ, după caz:

• criptare în tranzit și la stocare;
• control de acces bazat pe roluri;
• autentificare multifactor pentru acces privilegiat;
• separarea logică a organizațiilor și a spațiilor de lucru;
• logare și monitorizare de securitate;
• copii de siguranță, continuitate și recuperare;
• gestionarea vulnerabilităților și patch-urilor;
• securitatea dezvoltării și a schimbărilor;
• evaluarea furnizorilor;
• răspuns la incidente;
• minimizarea datelor trimise furnizorilor AI.

Corpus poate actualiza măsurile pentru a reflecta evoluția tehnică, cu condiția să nu reducă material nivelul general de protecție.

8. Inteligență artificială și interdicția utilizării pentru training

Clientul autorizează Corpus să prelucreze Datele Clientului cu ajutorul modelelor AI necesare funcțiilor solicitate, în condițiile prezentului DPA.

Corpus poate transmite către un furnizor AI:

• întrebări și instrucțiuni;
• documente ori fragmente selectate;
• metadate tehnice necesare;
• alte informații strict necesare executării funcției.

Corpus va aplica minimizarea și va utiliza numai furnizori pentru care termenii, setările și/sau acordurile contractuale nu permit folosirea Datelor Clientului transmise de Corpus pentru antrenarea ori îmbunătățirea modelelor furnizorului.

Corpus nu va utiliza Datele Clientului pentru antrenarea ori îmbunătățirea modelelor proprii. Orice serviciu viitor de adaptare a unui model exclusiv la instrucțiunea și pentru mediul Clientului ar necesita un acord separat și nu este autorizat prin prezentul DPA.

Originea unui model nu determină singură destinația datelor. Lista de subprocesatori va identifica entitățile care operează efectiv modelul ori infrastructura și primesc Datele Clientului.

9. Subprocesatori

9.1 Autorizare generală

Clientul acordă Corpus o autorizare generală pentru utilizarea subprocesatorilor necesari Serviciului, sub condițiile acestei secțiuni.

9.2 Obligații echivalente

Corpus va încheia cu fiecare Subprocesator un acord scris care impune obligații de protecție a datelor cel puțin echivalente celor aplicabile Corpus în raport cu activitatea delegată.

Corpus rămâne răspunzător față de Client pentru îndeplinirea obligațiilor Subprocesatorului, în limitele legislației și Contractului.

9.3 Lista și notificarea modificărilor

Lista Subprocesatorilor este prevăzută în Anexa 3 ori pe pagina [[DE COMPLETAT: URL REGISTRU SUBPROCESATORI]].

Corpus va notifica Clientul cu cel puțin [[DE COMPLETAT: RECOMANDAT 15–30 DE ZILE]] înainte de adăugarea sau înlocuirea unui Subprocesator care va prelucra Datele Clientului, cu excepția unei urgențe de securitate sau continuitate, caz în care informarea va avea loc cât mai curând posibil.

9.4 Obiecția Clientului

Clientul poate formula o obiecție motivată, întemeiată pe protecția datelor, în termen de [[DE COMPLETAT: 10–15 ZILE]] de la notificare.

Părțile vor încerca să găsească o soluție rezonabilă, precum limitarea prelucrării, folosirea unei regiuni alternative ori dezactivarea funcției. Dacă nu este posibil și obiecția este justificată, Clientul poate înceta funcția afectată sau Contractul, în condițiile comerciale aplicabile, fără penalități pentru perioada viitoare neprestată.

10. Transferuri internaționale

Corpus nu va transfera Datele Clientului în afara Spațiului Economic European decât:

• pe baza unei decizii de adecvare aplicabile; sau
• în baza clauzelor contractuale standard ale Comisiei Europene; sau
• prin alt mecanism permis de legislație.

Atunci când Corpus angajează un Subprocesator dintr-un stat fără decizie de adecvare, Corpus va încheia cu entitatea relevantă clauzele contractuale standard ale Comisiei Europene, în modulul aplicabil, ori va utiliza un alt mecanism valabil potrivit capitolului V GDPR.

Dacă, în circumstanțele concrete, transferul dintre Client și Corpus însuși necesită clauze contractuale standard, părțile vor încheia sau vor încorpora în mod expres modulul relevant — operator către persoană împuternicită ori persoană împuternicită către persoană împuternicită — și vor completa anexele obligatorii.

Corpus va evalua necesitatea unor măsuri suplimentare și va pune la dispoziția Clientului, la cerere rezonabilă, informații privind mecanismul aplicabil, sub rezerva confidențialității și securității. Clauzele standard prevalează pentru transferul pe care îl reglementează.

Drepturi, incidente și audit

11. Cererile persoanelor vizate

Ținând cont de natura prelucrării, Corpus va asista Clientul, prin măsuri tehnice și organizatorice adecvate, pentru soluționarea cererilor privind:

• accesul;
• rectificarea;
• ștergerea;
• restricționarea;
• portabilitatea;
• opoziția;
• deciziile automate, când este aplicabil.

Dacă Corpus primește direct o cerere referitoare la Datele Clientului:

• nu va răspunde în fond decât dacă este autorizat ori obligat legal;
• va transmite cererea Clientului fără întârzieri nejustificate;
• poate solicita Clientului instrucțiuni.

Asistența care depășește funcțiile standard poate fi supusă unor costuri rezonabile, dacă acestea sunt comunicate și nu rezultă din încălcarea obligațiilor Corpus.

12. Asistență privind conformitatea

Corpus va furniza asistență rezonabilă Clientului, ținând cont de natura prelucrării și informațiile disponibile, pentru:

• securitatea prelucrării;
• notificarea încălcărilor;
• evaluările de impact asupra protecției datelor;
• consultarea prealabilă cu autoritatea de supraveghere;
• demonstrarea conformității cu obligațiile de operator.

Clientul rămâne responsabil pentru stabilirea necesității unei evaluări de impact și pentru conținutul acesteia.

13. Încălcări ale securității datelor

Corpus va notifica Clientul fără întârzieri nejustificate după ce ia cunoștință de o încălcare care afectează Datele Clientului și, dacă este practic posibil, în maximum [[DE COMPLETAT: RECOMANDAT 48 DE ORE]].

Notificarea va include, pe măsură ce informațiile devin disponibile:

• natura incidentului;
• categoriile și numărul aproximativ de persoane și înregistrări afectate;
• consecințele probabile;
• măsurile luate sau propuse;
• persoana de contact;
• informațiile necesare Clientului pentru evaluarea obligațiilor de notificare.

Furnizarea unei notificări nu constituie recunoașterea răspunderii.

Corpus va coopera rezonabil la investigare și remediere. Clientul este responsabil pentru notificările către autorități și persoane vizate, cu excepția obligațiilor proprii ale Corpus.

14. Solicitări ale autorităților

Dacă Corpus primește o solicitare obligatorie de divulgare a Datelor Clientului, va:

• verifica validitatea și domeniul solicitării;
• contesta cererile disproporționate, atunci când este rezonabil și permis;
• divulga numai datele necesare;
• informa Clientul înainte de divulgare, dacă legea permite;
• documenta solicitarea și răspunsul.

15. Audit și informații de conformitate

Corpus va pune la dispoziția Clientului informațiile necesare demonstrării obligațiilor din prezentul DPA, inclusiv, după caz:

• rezumate ale măsurilor de securitate;
• rapoarte de audit ori certificări disponibile;
• chestionare rezonabile de securitate;
• informații despre Subprocesatori și transferuri.

Clientul poate solicita un audit cel mult o dată pe an, cu excepția unui incident, a unei solicitări a autorității sau a unor indicii serioase de neconformitate.

Auditul:

• se notifică cu cel puțin [[DE COMPLETAT: DE EXEMPLU 30 DE ZILE]];
• se desfășoară în program normal și fără perturbări nejustificate;
• respectă confidențialitatea, securitatea altor clienți și secretele comerciale;
• este realizat, de preferință, prin documente și audit independent;
• poate fi suportat de Client dacă nu identifică o încălcare materială imputabilă Corpus.

Nu se acordă acces la cod sursă, datele altor clienți, infrastructură care ar crea risc ori informații a căror divulgare este interzisă.

Ștergere, răspundere și dispoziții finale

16. Returnarea și ștergerea datelor

Pe durata Contractului, Clientul poate exporta Datele Clientului prin funcțiile disponibile și în formatele suportate.

La încetare, Corpus va, la alegerea Clientului și sub rezerva legii:

• returna/exporta Datele Clientului; și/sau
• șterge Datele Clientului din sistemele active în termen de [[DE COMPLETAT: DE EXEMPLU 30 DE ZILE]] după expirarea perioadei de grație.

Copiile de siguranță vor fi eliminate prin ciclul normal în maximum [[DE COMPLETAT: RECOMANDAT 30–90 DE ZILE]], cu acces restricționat și fără restaurare în sistemele active, cu excepția recuperării în caz de dezastru. Dacă o copie este restaurată, cererea de ștergere va fi reaplicată.

Corpus poate păstra date limitate dacă legea impune, cu izolarea și limitarea scopului.

Conținutul unui spațiu de lucru nu este șters prin simpla eliminare a unui Utilizator autorizat dacă Clientul-organizație continuă să utilizeze Serviciul.

17. Exactitatea și legalitatea Datelor Clientului

Clientul garantează că:

• are dreptul de a transmite datele și de a instrui Corpus;
• a furnizat informările necesare persoanelor vizate;
• are un temei pentru datele sensibile și datele privind infracțiuni;
• nu instruiește Corpus să încalce legea;
• configurează rolurile și permisiunile corespunzător;
• păstrează copii sau exporturi potrivit propriilor obligații profesionale.

Corpus nu este responsabil pentru stabilirea temeiului juridic al Clientului și nu verifică de rutină conținutul documentelor pentru acest scop.

18. Răspundere

Răspunderea părților pentru încălcarea prezentului DPA este guvernată de Contractul principal, în măsura permisă de legislația aplicabilă.

Nicio limitare contractuală nu se aplică dacă legea interzice limitarea și nu afectează drepturile persoanelor vizate sau competențele autorităților.

Clientul răspunde pentru instrucțiunile, datele și configurările sale. Corpus răspunde pentru prelucrarea efectuată cu încălcarea obligațiilor sale de persoană împuternicită.

19. Durata și încetarea

DPA intră în vigoare la data Contractului principal ori la prima prelucrare a Datelor Clientului și rămâne aplicabil cât timp Corpus prelucrează astfel de date.

Obligațiile privind confidențialitatea, securitatea, ștergerea și cooperarea supraviețuiesc încetării atât timp cât datele sunt păstrate.

20. Ordinea de prioritate

În caz de conflict:

• clauzele contractuale standard pentru transferuri prevalează în domeniul lor;
• prezentul DPA prevalează asupra Contractului principal în materia protecției Datelor Clientului;
• Contractul principal reglementează celelalte aspecte comerciale.

21. Legea aplicabilă și jurisdicția

DPA este guvernat de legea română, fără a aduce atingere normelor obligatorii aplicabile și clauzelor standard de transfer.

Litigiile sunt soluționate conform clauzei de jurisdicție din Contractul principal.

22. Semnături

DPA poate fi acceptat electronic, prin semnare, comandă, click-accept ori încorporare în Contractul principal, dacă mecanismul permite dovedirea acceptării.

Anexa 1 — Descrierea prelucrării

A. Obiectul

Furnizarea unui serviciu software pentru cercetare juridică, analiză asistată de AI, gestionarea documentelor și a dosarelor, colaborare, căutare, stocare, suport și funcții conexe.

B. Durata

Pe durata Contractului principal și ulterior numai pentru perioada necesară returnării, ștergerii, backup-ului ori îndeplinirii obligațiilor legale.

C. Natura și operațiunile

• colectare și primire;
• stocare și organizare;
• încărcare, descărcare, afișare și partajare autorizată;
• indexare și căutare;
• extragere, clasificare, rezumare și analiză;
• transmitere către modele AI autorizate;
• generare de rezultate și documente;
• backup, restaurare și continuitate;
• logare, securitate și prevenirea abuzului;
• ștergere, export și anonimizare.

D. Scopurile

• furnizarea funcțiilor contractate;
• executarea instrucțiunilor Utilizatorilor autorizați;
• colaborarea în spațiul de lucru;
• securitatea și disponibilitatea;
• suportul solicitat;
• respectarea obligațiilor legale aplicabile Corpus.

E. Persoane vizate

Pot include:

• angajați, colaboratori și utilizatori ai Clientului;
• clienții și potențialii clienți ai Clientului;
• părți, contrapărți și reprezentanți;
• avocați, consilieri, practicieni, experți și martori;
• judecători, grefieri, executori, notari și funcționari;
• angajați, candidați, furnizori și parteneri;
• persoane menționate în contracte, litigii, investigații ori corespondență;
• minori, dacă apar legal în documente;
• alte persoane ale căror date sunt incluse în Conținutul Clientului.

F. Categorii de date

Pot include:

• date de identificare și contact;
• date profesionale și de angajare;
• date financiare, fiscale și patrimoniale;
• comunicații și corespondență;
• date despre relații contractuale, litigii, investigații și proceduri;
• semnături și identificatori oficiali;
• date de localizare și metadate tehnice;
• categorii speciale de date;
• date privind condamnări, infracțiuni și măsuri de siguranță;
• orice alte date încărcate de Client în scop legitim.

G. Frecvență

Continuă și la cererea Utilizatorilor autorizați pe durata Contractului.

H. Instrucțiuni speciale

[[DE COMPLETAT: REGIUNE OBLIGATORIE, INTERDICȚII DE FURNIZORI, CERINȚE DE RETENȚIE, CHEI GESTIONATE DE CLIENT, DACĂ EXISTĂ]]

Anexa 2 — Măsuri tehnice și organizatorice

Trebuie aliniate cu implementarea reală și nu publicate ca promisiuni dacă nu sunt implementate.

1. Guvernanță și politici

• politici de securitate și protecția datelor;
• responsabilități definite;
• instruirea personalului;
• evaluarea periodică a riscurilor;
• proces de gestionare a furnizorilor;
• inventar de sisteme și date.

2. Controlul accesului

• conturi individuale;
• acces bazat pe roluri și minimum necesar;
• autentificare multifactor pentru administratori și acces privilegiat;
• revizuirea periodică a drepturilor;
• retragerea promptă a accesului;
• politici de parole și sesiuni.

3. Separarea și izolarea

• identificatori de organizație și de spațiu de lucru;
• verificarea permisiunilor la nivel de aplicație și date;
• prevenirea accesului cross-tenant;
• medii separate de producție, test și dezvoltare;
• interdicția folosirii Datelor Clientului reale în test, cu excepții controlate.

4. Criptare și comunicații

• TLS pentru date în tranzit;
• criptare la stocare pentru baze de date, obiecte și backup, unde este adecvat;
• gestionarea și rotația cheilor;
• protejarea secretelor și credențialelor.

5. Jurnalizare și monitorizare

• loguri de autentificare și acces administrativ;
• monitorizarea incidentelor și alertelor;
• sincronizare temporală;
• protejarea logurilor împotriva modificării;
• retenție limitată și acces controlat;
• excluderea textului juridic și a prompturilor din telemetrie, în măsura posibilului.

6. Securitatea dezvoltării

• controlul versiunilor și revizuirea codului;
• testare automată;
• gestionarea dependențelor;
• scanarea vulnerabilităților;
• separarea responsabilităților și aprobarea schimbărilor;
• proces de remediere și patch management.

7. Disponibilitate și recuperare

• backup periodic;
• testarea restaurării;
• redundanță adecvată;
• obiective de recuperare [[DE COMPLETAT: RPO/RTO]];
• plan de continuitate și răspuns la dezastru.

8. Răspuns la incidente

• canal de raportare;
• triere și clasificare;
• conservarea probelor;
• izolare, remediere și recuperare;
• notificarea Clientului;
• analiză post-incident și măsuri corective.

9. Furnizori AI

• evaluare contractuală și de securitate;
• interdicție de training pe Datele Clientului;
• minimizarea fragmentelor transmise;
• configurarea retenției minime disponibile;
• regiuni și mecanisme de transfer documentate;
• fără logarea conținutului în analytics;
• proceduri de schimbare și notificare a Subprocesatorilor.

10. Ștergere și suporturi

• ștergere logică din sistemele active;
• expirarea backup-urilor;
• proceduri pentru echipamente și medii de stocare;
• re-aplicarea ștergerii după restaurare;
• verificarea cererilor și jurnalizarea execuției.

Anexa 3 — Lista preliminară a subprocesatorilor

Notă privind Stripe: Stripe trebuie descris separat în funcție de rolul efectiv. Pentru unele operațiuni de plată poate acționa ca operator independent, iar pentru altele poate presta servicii de prelucrare. Nu trebuie inclus automat ca Subprocesator pentru toate Datele Clientului.