Acord de Prelucrare a Datelor

Data Processing Agreement (DPA) conform Articolului 28 din Regulamentul (UE) 2016/679 (GDPR)

Ultima actualizare: 6 octombrie 2026

Versiunea: 1.1

Preambul

Prezentul Acord de Prelucrare a Datelor (denumit în continuare “Acordul” sau “DPA”) este încheiat între:

• Operatorul (Data Controller): Grădinița care utilizează platforma KinderGuard, identificată prin contul său pe Platformă (denumită în continuare “Operatorul” sau “Grădinița”).
• Procesatorul (Data Processor): KinderGuard, platformă SaaS de management al grădinițelor, accesibilă la kinderguard.ro (denumită în continuare “Procesatorul” sau “KinderGuard”).

Prezentul Acord face parte integrantă din contractul de prestări servicii (inclusiv Termenii și Condițiile) încheiat între Operator și Procesator și se aplică de la data la care Operatorul începe să utilizeze Platforma KinderGuard.

Scopul prezentului Acord este de a stabili drepturile și obligațiile părților în ceea ce privește prelucrarea datelor cu caracter personal, în conformitate cu Articolul 28 din GDPR.

1. Obiectul și Durata Prelucrării

1.1. Obiectul

Procesatorul prelucrează date cu caracter personal în numele Operatorului prin intermediul platformei KinderGuard, în scopul furnizării serviciilor de management al grădiniței, așa cum sunt descrise în Termenii și Condițiile de Utilizare.

1.2. Durata

Prezentul Acord produce efecte pe întreaga durată a utilizării Platformei de către Operator. Obligațiile de confidențialitate și protecție a datelor supraviețuiesc încetării prezentului Acord.

2. Natura și Scopul Prelucrării

Prelucrarea constă în următoarele operațiuni efectuate asupra datelor cu caracter personal, prin mijloace automate:

• Colectarea și stocarea datelor introduse de Operator și utilizatorii săi autorizați
• Organizarea și structurarea datelor (repartizare pe clase, relații părinte-copil)
• Afișarea și punerea la dispoziție a datelor către utilizatorii autorizați, conform permisiunilor bazate pe roluri
• Transmiterea de notificări și mesaje (email, notificări în timp real)
• Procesarea plăților prin intermediul sub-procesatorului Stripe, doar pentru grădinițele la care plățile sunt activate, la cerere
• Stocarea fișierelor (fotografii, documente) în stocare securizată în cloud
• Generarea de rapoarte și statistici agregate
• Backup-uri automate ale bazei de date
• Ștergerea sau anonimizarea datelor la cererea Operatorului

3. Tipurile de Date cu Caracter Personal

Procesatorul prelucrează următoarele categorii de date cu caracter personal în numele Operatorului:

4. Categorii de Persoane Vizate

Datele cu caracter personal prelucrate privesc următoarele categorii de persoane vizate:

• Copii înscriși la grădiniță (minori)
• Părinți / Reprezentanți legali ai copiilor înscriși
• Educatori și personal angajat al grădiniței
• Administratori ai grădiniței
• Contacte de urgență desemnate de părinți

5. Obligațiile Procesatorului (KinderGuard)

Procesatorul se obligă să:

1. Prelucreze datele cu caracter personal exclusiv conform instrucțiunilor documentate ale Operatorului, inclusiv în ceea ce privește transferurile de date către țări terțe sau organizații internaționale. Dacă dreptul Uniunii Europene sau dreptul național impune Procesatorului să prelucreze datele, acesta va informa Operatorul înainte de prelucrare, cu excepția cazului în care legea interzice acest lucru.
2. Se asigure că persoanele autorizate să prelucreze date cu caracter personal s-au angajat la respectarea confidențialității sau sunt supuse unei obligații legale adecvate de confidențialitate.
3. Implementeze măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului, conform Art. 32 GDPR (detaliate în Secțiunea 8).
4. Respecte condițiile privind recurgerea la un alt procesator (sub-procesator), conform Secțiunii 7.
5. Asiste Operatorul în îndeplinirea obligațiilor de a răspunde cererilor de exercitare a drepturilor persoanelor vizate (Art. 15-22 GDPR), prin măsuri tehnice și organizatorice adecvate.
6. Asiste Operatorul în asigurarea conformității cu obligațiile privind securitatea prelucrării, notificarea încălcărilor, evaluările de impact și consultările prealabile (Art. 32-36 GDPR).
7. La alegerea Operatorului, șteargă sau returneze toate datele cu caracter personal după încetarea prestării serviciilor, și să șteargă copiile existente, cu excepția cazului în care dreptul Uniunii sau dreptul național impune păstrarea datelor (detaliat în Secțiunea 9).
8. Pună la dispoziția Operatorului toate informațiile necesare pentru demonstrarea conformității cu Art. 28 GDPR și să permită și să contribuie la audituri și inspecții (Secțiunea 10).
9. Informeze imediat Operatorul dacă, în opinia Procesatorului, o instrucțiune a Operatorului încalcă GDPR sau alte dispoziții de drept al Uniunii sau de drept național privind protecția datelor.

6. Obligațiile Operatorului (Grădinița)

Operatorul se obligă să:

1. Asigure un temei legal valid pentru prelucrarea datelor cu caracter personal (consimțământ, contract, obligație legală sau interes legitim), în conformitate cu Art. 6 și Art. 9 GDPR.
2. Informeze persoanele vizate (părinți, educatori) cu privire la prelucrarea datelor lor prin intermediul Platformei, inclusiv prin furnizarea unei politici de confidențialitate proprii.
3. Obțină consimțământul explicit al părinților/ reprezentanților legali pentru prelucrarea fotografiilor copiilor și a informațiilor medicale (categorii speciale de date).
4. Furnizeze instrucțiuni documentate Procesatorului cu privire la prelucrarea datelor.
5. Se asigure că datele introduse în Platformă sunt corecte, actualizate și relevante pentru scopurile prelucrării.
6. Notifice ANSPDCP în termen de 72 de ore de la luarea la cunoștință a unui incident de securitate, dacă acesta prezintă un risc pentru drepturile persoanelor vizate.
7. Răspundă cererilor persoanelor vizate privind exercitarea drepturilor lor, cu asistența Procesatorului.

7. Sub-procesatori

7.1. Autorizație Generală

Prin semnarea prezentului Acord, Operatorul acordă Procesatorului o autorizație generală de a recurge la sub-procesatori pentru îndeplinirea obligațiilor sale, cu respectarea condițiilor de mai jos.

7.2. Lista Sub-procesatorilor

La data prezentului Acord, Procesatorul utilizează următorii sub-procesatori:

7.3. Notificarea Modificărilor

Procesatorul va informa Operatorul cu cel puțin 30 de zile înainte de orice adăugare sau înlocuire a unui sub-procesator, oferind Operatorului posibilitatea de a se opune modificării.

În cazul în care Operatorul se opune în mod justificat, părțile vor discuta o soluție. Dacă nu se ajunge la un acord, Operatorul poate înceta contractul cu un preaviz de 30 de zile, fără penalități, cu returnarea tuturor datelor.

7.4. Obligații pentru Sub-procesatori

Procesatorul se asigură că fiecărui sub-procesator îi sunt impuse aceleași obligații de protecție a datelor prevăzute în prezentul Acord, prin contracte scrise. Procesatorul rămâne pe deplin răspunzător față de Operator pentru îndeplinirea obligațiilor sub-procesatorilor.

8. Măsuri de Securitate

Conform Art. 32 GDPR, Procesatorul implementează următoarele măsuri tehnice și organizatorice:

8.1. Măsuri Tehnice

• Criptare în tranzit: Toate comunicațiile sunt criptate prin TLS 1.2+ (HTTPS)
• Criptare în repaus: Baza de date și stocarea de obiecte utilizează criptare la nivel de disc
• Hasharea parolelor: Parolele utilizatorilor sunt hashate cu algoritm bcrypt, nu sunt stocate în text clar
• Izolarea datelor: Row Level Security (RLS) la nivel de bază de date PostgreSQL asigură izolarea completă a datelor între grădinițe
• Controlul accesului: Role-Based Access Control (RBAC) cu trei niveluri: Administrator, Educator, Părinte
• Sesiuni securizate: Token-uri de sesiune cu expirare automată, timeout de inactivitate
• Autentificare securizată: Email și parolă personală, cu resetare prin link trimis pe email (fără partajare de parole)
• Backup-uri: Backup-uri automate zilnice ale bazei de date, cu retenție conform politicii furnizorului

8.2. Măsuri Organizatorice

• Accesul la infrastructură și date este limitat la personalul autorizat al Procesatorului, pe baza principiului “need-to-know”
• Personalul Procesatorului care are acces la date cu caracter personal este supus obligațiilor de confidențialitate
• Revizuirea periodică a măsurilor de securitate și actualizarea acestora în funcție de riscuri
• Proceduri documentate pentru gestionarea incidentelor de securitate

9. Notificarea Încălcărilor de Securitate

În cazul unui incident de securitate care implică date cu caracter personal (“încălcare a securității datelor”), Procesatorul se obligă să:

1. Notifice Operatorul fără întârziere nejustificată și în cel mult 48 de ore de la constatarea incidentului.
2. Furnizeze Operatorului următoarele informații (conform Art. 33(3) GDPR):
   • Natura încălcării, inclusiv categoriile și numărul aproximativ de persoane vizate afectate
   • Numele și datele de contact ale persoanei responsabile
   • Consecințele probabile ale încălcării
   • Măsurile luate sau propuse pentru remedierea încălcării și atenuarea efectelor
3. Coopereze pe deplin cu Operatorul în investigarea și remedierea incidentului.
4. Documenta incidentul, inclusiv circumstanțele, efectele și măsurile corective luate.

Notă: Operatorul rămâne responsabil pentru notificarea ANSPDCP (în termen de 72 de ore) și, după caz, a persoanelor vizate afectate, în conformitate cu Art. 33 și Art. 34 GDPR.

10. Audituri și Inspecții

Procesatorul pune la dispoziția Operatorului toate informațiile necesare pentru a demonstra conformitatea cu obligațiile prevăzute în Art. 28 GDPR și permite și contribuie la audituri, inclusiv inspecții, efectuate de Operator sau de un alt auditor desemnat de Operator.

Condiții pentru audituri:

• Operatorul va notifica Procesatorul cu cel puțin 30 de zile înainte de data planificată a auditului.
• Auditurile se vor desfășura în timpul programului normal de lucru și nu vor perturba în mod nejustificat operațiunile Procesatorului.
• Operatorul poate efectua maximum un audit pe an, cu excepția cazurilor în care există indicii de încălcare a prezentului Acord sau a GDPR, sau în cazul în care auditul este solicitat de ANSPDCP.
• Costurile auditului sunt suportate de Operatorul care solicită auditul.
• Auditorul este obligat la confidențialitate cu privire la informațiile obținute.

Alternativ, Procesatorul poate pune la dispoziția Operatorului un raport de audit realizat de un auditor independent terț, care să acopere conformitatea cu prezentul Acord.

11. Returnarea și Ștergerea Datelor

La încetarea prestării serviciilor:

1. La cererea Operatorului, transmisă pe email până la data încetării sau în cel mult 30 de zile după aceasta, Procesatorul pregătește și livrează un export complet al tuturor datelor cu caracter personal prelucrate, într-un format structurat, utilizat în mod curent și care poate fi citit automat (CSV și/sau JSON), în termen de 30 de zile de la cerere.
2. Până la livrarea exportului cerut, Procesatorul păstrează datele și nu le prelucrează în niciun alt scop.
3. După livrarea exportului cerut sau, dacă nu s-a cerut un export, după expirarea celor 30 de zile de la încetare (ori imediat, la cererea expresă a Operatorului), Procesatorul va șterge irevocabil toate datele cu caracter personal de pe serverele sale și din backup-uri, în termen de maximum 60 de zile.
4. Procesatorul va confirma în scris ștergerea completă a datelor.
5. Excepție: Procesatorul poate păstra datele dacă dreptul Uniunii sau dreptul național impune stocarea (de exemplu, date fiscale), caz în care va informa Operatorul și va limita prelucrarea la păstrare.

12. Transferuri Internaționale

Datele cu caracter personal sunt stocate și prelucrate prioritar în Uniunea Europeană.

În cazul în care un sub-procesator se află în afara Spațiului Economic European, Procesatorul se asigură că transferul se realizează în baza unuia dintre următoarele mecanisme:

• Decizie de adecvare a Comisiei Europene (inclusiv EU-US Data Privacy Framework)
• Clauze contractuale standard (SCC) adoptate de Comisia Europeană
• Reguli corporatiste obligatorii (BCR) aprobate

Procesatorul nu va transfera date cu caracter personal către o țară terță fără garanții adecvate conform Art. 46 GDPR și fără informarea prealabilă a Operatorului.

13. Asistența pentru Drepturile Persoanelor Vizate

Procesatorul asistă Operatorul, prin măsuri tehnice și organizatorice adecvate, în îndeplinirea obligației de a răspunde cererilor de exercitare a drepturilor persoanelor vizate:

• Dreptul de acces (Art. 15): Exportul datelor personale ale persoanei vizate
• Dreptul la rectificare (Art. 16): Interfața de editare a profilurilor și datelor
• Dreptul la ștergere (Art. 17): Funcționalitate de ștergere a conturilor și datelor asociate
• Dreptul la restricționare (Art. 18): Posibilitatea de dezactivare a conturilor
• Dreptul la portabilitate (Art. 20): Export de date în format CSV/JSON
• Dreptul la opoziție (Art. 21): Facilitarea dezactivării prelucrării specifice

Procesatorul va răspunde cererilor Operatorului privind asistența pentru drepturile persoanelor vizate în termen de maximum 10 zile lucrătoare.

14. Răspunderea

Fiecare parte este responsabilă pentru daunele cauzate de o prelucrare care încalcă prezentul Acord sau GDPR, în conformitate cu Art. 82 GDPR.

Procesatorul este răspunzător doar în măsura în care nu și-a îndeplinit obligațiile impuse în mod specific procesatorilor prin GDPR sau a acționat în afara sau contrar instrucțiunilor legale ale Operatorului.

15. Legea Aplicabilă

Prezentul Acord este guvernat de legea română, inclusiv Regulamentul (UE) 2016/679 (GDPR) și Legea nr. 190/2018. Orice litigii decurgând din sau în legătură cu prezentul Acord vor fi soluționate conform prevederilor din Termenii și Condițiile de Utilizare.

16. Contact

Pentru orice aspecte legate de prezentul Acord sau de prelucrarea datelor cu caracter personal:

• Procesator (KinderGuard): hello@kinderguard.ro
• Operator (Grădinița): Datele de contact sunt disponibile în setările contului pe Platformă.

Prezentul Acord intră în vigoare la data la care Operatorul începe să utilizeze Platforma KinderGuard și rămâne valabil pe întreaga durată a utilizării serviciilor.