Salt la conținut
Perm
Solicită un demo

Înapoi la pagina principală

Acord de prelucrare a datelor

Actualizat la

Prezentul Acord de prelucrare a datelor („Acordul”) se încheie în temeiul articolului 28 din Regulamentul (UE) 2016/679 („GDPR”) între Client, în calitate de operator, și ARIA CAPITAL AND HUMAN PARTNERS S.R.L. („Perm”), în calitate de persoană împuternicită de operator. Acordul face parte integrantă din Termenii și condițiile serviciului și se aplică ori de câte ori Perm prelucrează date cu caracter personal în numele Clientului. Noțiunile precum „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită de operator” și „încălcarea securității datelor cu caracter personal” au înțelesul din GDPR.

Pentru datele cu caracter personal introduse în Perm de Client și de utilizatorii săi („Datele Clientului”), Clientul este operator, iar Perm este persoană împuternicită de operator. Atunci când Clientul este o agenție de recrutare care acționează pentru un angajator client, agenția confirmă că are acordul acelui angajator pentru a folosi Perm, iar Perm acționează ca persoană împuternicită secundară. [de confirmat]

Pentru datele utilizatorilor Clientului de care Perm are nevoie pentru administrarea conturilor, securitatea autentificării și facturare, Perm este operator distinct, conform Politicii de confidențialitate.

Obiectul: furnizarea serviciului Perm, o aplicație online pentru ținerea evidențelor privind angajarea, imigrarea și conformitatea lucrătorilor Clientului.

Durata: durata contractului încheiat în baza Termenilor și condițiilor, la care se adaugă perioada până la ștergerea datelor potrivit secțiunii 13.

Natura: găzduirea, stocarea, organizarea, afișarea și exportul datelor, transmiterea de mementouri, ștergerea datelor, precum și realizarea de backup-uri criptate.

Scopul: să îi permită Clientului să își îndeplinească obligațiile de evidență și raportare în calitate de angajator, să urmărească valabilitatea documentelor și termenele, să își informeze personalul și lucrătorii și să aplice termenele de păstrare.

  • angajații și lucrătorii Clientului, actuali și foști, în majoritate cetățeni din afara Uniunii Europene;
  • candidații la angajare, inclusiv cei care nu au fost angajați;
  • șefii de șantier și alte persoane de contact înregistrate de Client;
  • utilizatorii Perm din partea Clientului.

Datele includ un număr de identificare național (CNP), pe care Clientul trebuie să îl prelucreze cu respectarea Legii nr. 190/2018 (inclusiv a art. 4, atunci când se întemeiază pe interesul legitim), precum și date limitate privind sănătatea (aptitudinea în muncă). Clientul nu are voie să încarce diagnostice sau alte detalii medicale. Categoriile sunt:

  • date de identificare: nume, data nașterii, cetățenie, cod numeric personal (CNP) și numărul pașaportului;
  • documente de identitate, permise de ședere și autorizații de muncă, precum și copiile scanate ale acestora;
  • date de contact: telefon, e-mail, acordul pentru mesaje pe WhatsApp;
  • date privind raportul de muncă: șantier, funcție, contract, situația angajării, absențe, plecări și datele notificărilor către IGI;
  • pontaj și salarii brute;
  • aptitudinea în muncă: doar mențiunea apt sau inapt și data expirării, precum și copia scanată a fișei de aptitudine; niciodată diagnostice;
  • evidența instruirilor și dovezi de cazare;
  • mementourile transmise și starea livrării acestora;
  • intrările din jurnalul de activitate: ce utilizator a vizualizat, modificat sau exportat date, cu ora, iar pentru autentificări și adresa IP și browserul.

Perm prelucrează Datele Clientului numai pe baza instrucțiunilor documentate ale Clientului, inclusiv în ceea ce privește transferurile către țări terțe, cu excepția cazului în care dreptul Uniunii sau dreptul român impune altfel; în acest caz, Perm îl informează în prealabil pe Client, cu excepția situației în care legea interzice acest lucru. Instrucțiunile Clientului sunt Termenii și condițiile, prezentul Acord și modul în care Clientul folosește și configurează Perm (de exemplu setările de păstrare, ștergerile și exporturile pe care le efectuează). Alte instrucțiuni se convin în scris.

Perm îl informează imediat pe Client dacă, în opinia sa, o instrucțiune încalcă legislația privind protecția datelor.

Clientul răspunde de legalitatea prelucrării, inclusiv de existența unui temei legal, de informarea persoanelor vizate și de exactitatea datelor.

Perm se asigură că persoanele autorizate să prelucreze Datele Clientului s-au angajat să respecte confidențialitatea. Accesul la sistemele de producție este limitat la personalul care are nevoie de el pentru operarea serviciului. Conturile personalului Perm din aplicație pot crea, suspenda și reactiva conturile clienților, dar nu pot deschide fișele lucrătorilor sau documentele Clientului.

Perm aplică măsurile tehnice și organizatorice descrise în Anexa 1, adecvate riscului în sensul articolului 32 din GDPR. Perm le poate actualiza, cu condiția să nu reducă nivelul general de protecție. În prezent, Perm nu deține certificări de securitate precum ISO 27001 sau SOC 2.

Clientul acordă Perm o autorizare generală scrisă pentru recrutarea de subcontractanți. Subcontractanții actuali sunt enumerați pe pagina subcontractanților.

Perm anunță orice subcontractant nou sau înlocuit pe această pagină și îi notifică prin e-mail pe administratorii Clientului cu cel puțin 30 de zile înainte ca acesta să înceapă prelucrarea Datelor Clientului. [de confirmat] Clientul se poate opune în acest interval, pentru motive întemeiate legate de protecția datelor. Părțile vor discuta obiecția cu bună-credință; dacă nu ajung la o soluție, Clientul poate înceta serviciul afectat și primește înapoi prețul plătit în avans pentru perioada ulterioară încetării.

Perm impune fiecărui subcontractant, prin contract, obligații de protecție a datelor echivalente celor din prezentul Acord și răspunde față de Client pentru modul în care subcontractanții își îndeplinesc obligațiile.

Datele Clientului sunt găzduite în Uniunea Europeană (Railway, regiunea EU West, Amsterdam), iar backup-urile sunt stocate la un furnizor cu locație în UE. Unii subcontractanți au sediul în Statele Unite, iar e-mailurile tranzacționale sunt transmise printr-un furnizor din Statele Unite. Perm transferă Datele Clientului în afara Spațiului Economic European numai cu respectarea capitolului V din GDPR, în temeiul Cadrului de confidențialitate a datelor UE-SUA, dacă destinatarul este certificat, sau al clauzelor contractuale standard adoptate de Comisia Europeană. Clientul autorizează aceste transferuri.

Perm pune la dispoziție în aplicație funcții prin care Clientul poate soluționa singur cererile persoanelor vizate: consultarea și rectificarea datelor, exportul acestora și ștergerea datelor unui lucrător la cererea acestuia. Funcția de ștergere arată ce date pot fi șterse imediat și ce date trebuie păstrate pe o durată legală și până când, în conformitate cu articolul 17 alineatul (3) litera (b) din GDPR, iar datele rămase sunt marcate ca restricționate până când pot fi șterse.

Dacă Perm primește o cerere direct de la o persoană vizată, nu răspunde direct la aceasta, ci o transmite Clientului fără întârzieri nejustificate, dacă Clientul poate fi identificat. La cerere, Perm acordă orice alt sprijin rezonabil.

Perm notifică Clientul cu privire la orice încălcare a securității datelor care afectează Datele Clientului fără întârzieri nejustificate și, în orice caz, în cel mult 48 de ore de la data la care a luat cunoștință de aceasta. [de confirmat] Notificarea descrie, în măsura în care se cunosc la acel moment, natura încălcării, categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor afectate, consecințele probabile, măsurile luate sau propuse și o persoană de contact. Perm completează notificarea pe măsură ce obține informații noi și ia măsuri rezonabile pentru limitarea încălcării.

Clientul, în calitate de operator, răspunde de notificarea autorității de supraveghere (ANSPDCP) în termen de 72 de ore de la data la care a luat cunoștință de încălcare, atunci când este necesar, și de informarea persoanelor vizate, atunci când este cazul. Perm îl sprijină cu informațiile de care dispune.

Prelucrarea în Perm privește numere de identificare naționale, date limitate privind sănătatea și date despre lucrători care se pot afla într-o situație vulnerabilă, astfel încât Clientul ar putea fi obligat să efectueze o evaluare a impactului asupra protecției datelor (DPIA). Perm pune la dispoziție informațiile necesare în mod rezonabil pentru evaluarea Clientului și pentru eventuala consultare prealabilă a autorității de supraveghere, inclusiv descrierile din prezentul Acord și din anexele sale.

Pe durata contractului, Perm șterge automat Datele Clientului potrivit termenelor de păstrare din Anexa 2, astfel cum sunt configurate de Client. Perm îi avertizează prin e-mail pe administratorii Clientului cu 14 zile înainte de ștergerile programate (textele mementourilor se șterg lunar, fără e-mail). Clientul poate prelungi un termen (indicând motivul) și poate suspenda ștergerile, de exemplu pe durata unui control sau a unui litigiu.

La încetarea contractului, Clientul își poate exporta datele conform Termenilor și condițiilor. Perm șterge Datele Clientului în cel mult 90 de zile de la încetarea contractului [de confirmat], cu excepția cazului în care dreptul Uniunii sau dreptul român îi impune să le păstreze. Copiile din backup-urile criptate expiră în cel mult alte 35 de zile. Obligațiile legale proprii ale Clientului de păstrare a evidențelor continuă și după încetarea contractului, iar Clientul trebuie să exporte datele de care are nevoie pentru a le respecta.

Perm pune la dispoziția Clientului informațiile necesare pentru a demonstra respectarea articolului 28 din GDPR, inclusiv răspunsuri scrise la chestionare de securitate rezonabile.

Dacă aceste informații nu sunt suficiente, Clientul sau un auditor independent ținut de o obligație de confidențialitate poate verifica respectarea prezentului Acord de către Perm, cel mult o dată pe an (sau după o încălcare a securității datelor ori la cererea unei autorități de supraveghere), cu o notificare scrisă de cel puțin 30 de zile, în timpul programului de lucru, fără a perturba în mod nejustificat activitatea Perm și fără acces la datele altor clienți. Fiecare parte își suportă propriile costuri. [de confirmat]

Răspunderea fiecărei părți în temeiul prezentului Acord este supusă limitelor din Termenii și condițiile serviciului [de confirmat], fără a aduce atingere drepturilor persoanelor vizate prevăzute la articolul 82 din GDPR. În caz de neconcordanță între prezentul Acord și Termenii și condițiile serviciului privind prelucrarea datelor cu caracter personal, prevalează prezentul Acord.

Rezumatul măsurilor tehnice și organizatorice aplicate:

  • Găzduire: o singură regiune din UE (Railway, EU West, Amsterdam).
  • Criptarea în tranzit: aplicația este accesibilă exclusiv prin HTTPS.
  • Backup-uri: backup zilnic al bazei de date și al documentelor scanate, criptat cu AES-256-GCM înainte de a părăsi serverul și stocat la un furnizor din UE care nu deține cheia; se șterge automat după 35 de zile. Procedura de restaurare este documentată și testată.
  • Acces în funcție de rol: administratorii, HR, șefii de șantier și vizualizatorii au permisiuni diferite; șefii de șantier văd doar lucrătorii propriului șantier; salariile și statele de plată sunt vizibile doar administratorilor și HR ai angajatorului; recrutorii agențiilor văd doar clienții care le-au fost alocați.
  • Autentificare: parolele sunt stocate exclusiv sub formă de hash scrypt cu salt; sesiunile folosesc un cookie securizat, inaccesibil scripturilor, și expiră după 14 zile; după 5 încercări eșuate de autentificare, contul este blocat timp de 15 minute.
  • Jurnal de activitate: vizualizările, modificările, descărcările, exporturile și autentificările sunt înregistrate cu utilizatorul și ora. Intrările sunt înlănțuite criptografic (hash), astfel încât orice modificare ulterioară poate fi detectată, iar amprenta zilnică a jurnalului este transmisă prin e-mail administratorilor Clientului. Pentru câmpurile de identitate, contact și salarizare, jurnalul consemnează ce câmp s-a modificat, niciodată valorile.
  • Minimizarea datelor: aptitudinea în muncă se limitează la apt sau inapt și data expirării; mementourile nu conțin numere de documente sau copii scanate; WhatsApp se folosește doar cu acordul lucrătorului; dosarele pentru control se transmit inspectorilor prin linkuri cu valabilitate limitată.
  • Păstrarea datelor: ștergere automată potrivit Anexei 2, cu avertizare prealabilă și cu o intrare în jurnal pentru fiecare ștergere, care nu conține datele șterse.
  • Accesul personalului: conturile personalului Perm nu pot deschide în aplicație fișele lucrătorilor sau documentele Clientului.

Termenele implicite aplicate de Perm. Clientul poate prelungi orice termen modificabil, indicând motivul, dar nu îl poate reduce niciodată sub minimul legal.

  • Salarizare (istoricul salariilor, exporturi de salarizare): 5 ani de la data de 1 iulie a anului următor celui căruia îi aparține înregistrarea (minim legal; art. 25 din Legea nr. 82/1991).
  • Pontaj: 5 ani de la data de 1 iulie a anului următor celui căruia îi aparține înregistrarea (minim legal; art. 119 din Codul muncii, art. 25 din Legea nr. 82/1991).
  • Contracte (copia scanată a contractului, extrasul REGES): 5 ani de la data de 1 iulie a anului următor încetării contractului (minim legal; HG nr. 295/2025, art. 25 din Legea nr. 82/1991).
  • Identitate (nume, CNP, numărul pașaportului, cetățenie): se păstrează până la expirarea ultimului dintre termenele pentru salarizare, pontaj și contracte, apoi se anonimizează.
  • Copiile scanate ale permiselor și actelor de identitate, aptitudinea în muncă, instruirile, dovezile de cazare: 3 ani de la încetarea contractului.
  • Evenimente privind situația angajării (absențe, plecări, datele notificărilor către IGI): 5 ani de la încetarea contractului.
  • Date de contact: un an de la încetarea contractului.
  • Textele mementourilor: 12 luni de la transmitere; data și starea livrării se păstrează în fișa lucrătorului.
  • Candidați neangajați: copiile actelor de identitate, 14 zile de la renunțarea la candidat; restul datelor, 6 luni.
  • Jurnalul de activitate: 24 de luni (același termen pentru toți clienții).
  • Backup-uri: 35 de zile.

Lista actuală, cu scopul, datele, locația și mecanismul de transfer, se găsește pe pagina subcontractanților.