Acord de prelucrare a datelor

Operator (data controller): clientul Miridar CRM care decide scopul și mijloacele prelucrării datelor introduse în aplicație.

Procesator (data processor): Miridar (Agenția HR + IT MiriDar SRL), care prelucrează datele exclusiv în numele clientului, conform instrucțiunilor scrise.

Miridar prelucrează datele clientului pe durata abonamentului plus 90 de zile post-cancellation (pentru export final). Tipurile de date includ:

• Date contact (nume, email, telefon ale contactelor clientului)
• Date deal/contract (sume, status, istoric)
• Date HR (dacă HR App e activ): contracte angajat, pontaj, concedii, CV, documente
• Date utilizare aplicație (audit log)

Miridar se obligă să:

• Prelucreze datele doar conform instrucțiunilor documentate ale clientului.
• Asigure confidențialitate — accesul la date e restricționat la personalul autorizat, sub clauze de non-disclosure.
• Implementeze măsuri tehnice și organizatorice adecvate: criptare TLS în tranzit, AES-256 la stocare, autentificare 2FA pentru personal, audit log, backup zilnic, hosting UE.
• Asiste clientul în răspunsul la cererile persoanelor vizate (acces, rectificare, ștergere, portabilitate).
• Notifice clientul fără întârziere nejustificată dacă apare o încălcare de securitate (data breach).
• Permită audituri la cerere rezonabilă, cu notificare 30 zile în avans.

Pentru a furniza serviciul, Miridar folosește următorii subprocesatori autorizați:

• Amazon Web Services (AWS) Frankfurt — hosting, baze de date, backup (Uniunea Europeană)
• Cloudflare — DNS și protecție DDoS
• Google (gtag/GA4) — analize agregate pe site marketing (NU pe aplicația CRM)

Pentru integrări BYO (AI: OpenAI / Anthropic; Email: Mailjet), clientul încheie acordul direct cu acel furnizor — Miridar doar facilitează conexiunea, nu transmite date proprii.

Notificare cu 30 de zile înainte de adăugarea unui nou subprocesator. Clientul se poate opune motivat; dacă nu găsim înlocuitor, contractul poate fi reziliat fără penalizare.

Datele rămân în UE pe infrastructura AWS Frankfurt. Nu transferăm date în afara SEE fără bază legală GDPR (clauze contractuale standard sau decizie de adecvare a Comisiei Europene).

Clientul, ca operator, este responsabil pentru răspunsul la cererile persoanelor vizate (angajații, contactele lui). Miridar asistă tehnic — punem la dispoziție:

• Export complet date (Excel, CSV, JSON) pentru cereri de portabilitate / acces
• Funcție de ștergere date pentru cereri 'dreptul de a fi uitat'
• Audit log pentru toate modificările pe un contact specific

În caz de breach, Miridar notifică clientul în maxim 72 de ore de la conștientizare, cu următoarele informații:

• Natura încălcării
• Categoriile și numărul aproximativ de persoane vizate
• Consecințele probabile
• Măsurile luate sau propuse pentru remediere

La finalul contractului, clientul are 90 de zile să exporte toate datele. După această perioadă, Miridar șterge ireversibil datele clientului din producție în maxim 30 de zile, inclusiv din backup (în ciclul normal de retenție de 30 zile post-active).

Acest DPA face parte integrantă din Termenii și condițiile pe care clientul le acceptă la semnarea abonamentului Cloud sau Self-hosted. Pentru un DPA semnat fizic / electronic, scrie la office@miridar.com — îl trimitem în 2 zile lucrătoare.