1. Rolurile părților
Conform Regulamentului UE 2016/679 (GDPR):
- Tu (clientul PrimKron) ești operator pentru datele cu caracter personal ale propriilor tăi clienți, lead-uri, angajați și parteneri introduse în Platformă.
- PRIMKRON SRL este persoană împuternicită pentru aceste date — le procesăm strict pe baza instrucțiunilor tale documentate prin utilizarea Serviciului.
- Pentru datele tale de cont (administrator, facturare, plată), suntem operator independent — vezi Politica de confidențialitate.
2. Obiectul prelucrării
- Categorii de persoane vizate: clienți finali ai dealerului, lead-uri, angajați ai dealerului, contacte din rețeaua comercială.
- Tipuri de date: nume, contact (telefon, e-mail), adresă, CNP (în măsura în care tu îl introduci pentru contracte), date despre vehicule (VIN, serie, istoric service), date despre tranzacții.
- Operațiuni: stocare, organizare, consultare, modificare, ștergere, export, generare documente.
- Durata: pe toată perioada contractului plus 30 de zile de grație.
3. Obligațiile noastre ca persoană împuternicită
- procesăm datele exclusiv conform instrucțiunilor tale, materializate prin utilizarea interfeței PrimKron;
- asigurăm confidențialitatea: personalul cu acces este obligat prin contract;
- aplicăm măsuri tehnice și organizatorice adecvate (vezi secțiunea 6);
- te asistăm pentru a răspunde cererilor persoanelor vizate (acces, rectificare, ștergere, portabilitate);
- te notificăm fără întârziere despre orice breșă de securitate;
- punem la dispoziție toate informațiile necesare pentru auditurile tale.
4. Subprocesatori autorizați
Folosim subprocesatori pentru hosting, plată și comunicare. Lista completă, locația și DPA-ul fiecăruia sunt publicate în secțiunea „Cu cine împărtășim datele” din Politica de confidențialitate.
Fiecare subprocesator angajat este supus prin contract acelorași obligații de protecție a datelor ca și cele stabilite între PRIMKRON SRL și Client, în temeiul art. 28 alin. (4) din Regulamentul (UE) 2016/679 („back-to-back”). Această obligație include în special: confidențialitate, măsuri tehnice și organizatorice adecvate (art. 32), asistență pentru exercitarea drepturilor persoanelor vizate, notificare a breșelor de securitate și ștergere/returnare a datelor la încetarea contractului.
Te notificăm prin e-mail cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui subprocesator. În acest interval poți obiecta în scris — dacă nu găsim o soluție alternativă, ai dreptul să încetezi contractul fără penalități.
5. Transferuri internaționale
Datele sunt stocate și procesate preponderent pe servere din Uniunea Europeană (Frankfurt, Irlanda). Pentru orice transfer către un furnizor cu prezență în afara SEE folosim Clauzele Contractuale Standard (SCC) aprobate prin Decizia Comisiei Europene 2021/914, plus măsuri suplimentare după caz (criptare la repaus, pseudonimizare, controale de acces).
6. Măsuri tehnice și organizatorice
- Criptare în tranzit: TLS 1.2+ pe toate conexiunile externe.
- Criptare la repaus: AES-256 pentru baza de date și backup-uri.
- Hashing parole: bcrypt cu cost factor minim 12.
- Autentificare cu doi factori (2FA): opțional pentru utilizatorii standard, recomandat pentru administratori.
- Backup: backup-uri zilnice automate ale bazei de date, gestionate de Supabase, cu perioada de retenție prevăzută de planul nostru la acest furnizor.
- Acces intern: pe principiul nevoii de a cunoaște, log-uri auditate.
- Izolare: datele fiecărui client sunt izolate logic prin Row Level Security (RLS) la nivel de bază de date.
- Detecție: monitorizare 24/7 cu alerte automate pentru tipare anormale.
7. Notificarea breșelor de securitate
În cazul unei breșe care afectează datele tale sau ale clienților tăi, te notificăm prin e-mail în maximum 72 de ore de la momentul în care am luat cunoștință, cu următoarele informații:
- natura breșei și categoriile de date implicate;
- numărul aproximativ de înregistrări afectate;
- consecințele probabile;
- măsurile luate pentru remediere și pentru prevenirea recurenței.
8. Asistență pentru cererile persoanelor vizate
Când o persoană vizată îți solicită acces, rectificare, ștergere sau portabilitate, poți:
- să rezolvi singur din aplicație (pentru majoritatea operațiunilor);
- să ne ceri asistență tehnică la suport@primkron.ro — răspundem în maxim 5 zile lucrătoare;
- să soliciți un export complet al datelor tale, în format CSV sau JSON.
9. Returnarea sau ștergerea datelor la încetarea contractului
La încetarea contractului, alegi una dintre opțiuni:
- Export complet: îți punem la dispoziție un fișier ZIP cu toate datele în format CSV/JSON, în maximum 14 zile.
- Ștergere imediată: confirmăm în scris ștergerea din baza de date și marcăm pentru rotație din backup-uri (rotație completă în 30 de zile).
În lipsa unei opțiuni explicite, ștergerea se face automat după 30 de zile de la încetarea contractului.
10. Audit și conformitate
Pe planul Platinum poți solicita anual un raport de conformitate (rezumat al politicilor, certificări ale subprocesatorilor, rezultate testare). Audituri on-site se pot organiza cu preaviz de 30 de zile, în condiții rezonabile, fără perturbarea Serviciului.
11. Prelucrarea codului numeric personal (CNP)
Atunci când Clientul introduce în Platformă codul numeric personal (CNP) al unui client final — de regulă pentru generarea unui contract de vânzare-cumpărare auto (CVCS) sau pentru o factură către persoană fizică cu valoare mai mare de 100 lei (art. 1 alin. (3) OG 69/2024) — prelucrarea se efectuează cu respectarea garanțiilor prevăzute la art. 4 din Legea nr. 190/2018 de punere în aplicare a GDPR:
- (i) Măsuri tehnice și organizatorice adecvate — date stocate criptat la repaus (AES-256) și în tranzit (TLS 1.2+), izolare logică între clienți la nivelul bazei de date, acces restricționat la principiul „nevoii de a cunoaște”.
- (ii) Punct de contact pentru protecția datelor — cererile, incidentele și întrebările privind datele cu caracter personal se adresează la office@primkron.ro și sunt tratate de persoana desemnată în acest scop în cadrul PRIMKRON SRL. Dacă desemnăm formal un responsabil cu protecția datelor (DPO) și transmitem notificarea către ANSPDCP, publicăm aici datele de contact și data notificării.
- (iii) Termene de stocare definite — CNP este șters automat odată cu contractul-părinte la încetarea contractului SaaS, la cererea documentată a Clientului-operator sau după expirarea perioadei legale de păstrare a documentelor fiscale (10 ani conform Legii 82/1991), oricare survine mai târziu.
- (iv) Instruirea periodică — personalul cu acces tehnic la baza de date primește instruire GDPR documentată anual, cu accent pe regimul special al CNP.
În calitate de operator, Clientul este responsabil să justifice temeiul juridic al prelucrării CNP — de regulă: executarea contractului de vânzare auto (art. 6(1)(b) GDPR), obligație legală fiscală pentru factura cu CNP (art. 6(1)(c)) sau, în cazuri excepționale, interes legitim cu test de echilibru documentat (art. 6(1)(f)). PrimKron, în calitate de persoană împuternicită, prelucrează CNP exclusiv pe baza instrucțiunilor Clientului materializate prin utilizarea Platformei.
12. Documente complementare
- Politica de confidențialitate — pentru datele de cont și marketing.
- Termeni și condiții — cadrul comercial general, inclusiv §14 (modulul e-Factura) și §15 (inteligență artificială).
Cereri privind datele cu caracter personal
Pentru orice cerere GDPR, breșă, audit sau întrebare: office@primkron.ro.
Pentru depunerea unei plângeri: Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).