Descarcă acordul, versiunea 1.0
DATA PROCESSING AGREEMENT (DPA)
WaterApp – Platformă digitală pentru administrarea serviciilor de apă și canalizare
Versiunea: 1.0
Data intrării în vigoare a versiunii: 12 noiembrie 2026
CAPITOLUL I – DISPOZIȚII GENERALE
Articolul 1. Părțile acordului
Prezentul Acord de Prelucrare a Datelor cu Caracter Personal, denumit în continuare „Acordul” sau „DPA”, se încheie între:
1.1. Furnizorul WaterApp
[Denumirea juridică a societății], persoană juridică română, cu sediul social în [Adresa completă], înregistrată la Oficiul Registrului Comerțului sub nr. [Număr înregistrare], având CUI [CUI], reprezentată legal prin [Reprezentant legal], denumită în continuare „WaterApp” sau „Persoana Împuternicită”.
1.2. Organizația clientă
Persoana juridică, autoritatea publică, instituția publică sau altă entitate care solicită, contractează ori utilizează serviciile WaterApp și ale cărei date de identificare sunt înregistrate în formularul de contractare sau în contul organizației.
Aceasta este denumită în continuare „Organizația” sau „Operatorul”.
1.3. Calitatea părților
Pentru prelucrările descrise în prezentul Acord:
a) Organizația acționează în calitate de operator de date cu caracter personal, în sensul articolului 4 punctul 7 din GDPR.
b) WaterApp acționează în calitate de persoană împuternicită de operator, în sensul articolului 4 punctul 8 din GDPR.
c) Pentru anumite prelucrări efectuate în scopuri proprii, precum administrarea abonamentelor, facturarea serviciilor software și gestionarea relațiilor comerciale, WaterApp poate acționa separat în calitate de operator independent.
d) Calitatea juridică a fiecărei părți se stabilește în funcție de scopurile și mijloacele efective ale prelucrării, nu exclusiv prin denumirile utilizate în prezentul Acord.
Articolul 2. Cadrul juridic
Prezentul Acord este guvernat de:
a) Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal (GDPR).
b) Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR, cu modificările și completările aplicabile.
c) Legea nr. 102/2005 privind înființarea, organizarea și funcționarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, cu modificările și completările aplicabile.
d) Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, în măsura aplicabilității.
e) Decizia de punere în aplicare (UE) 2021/915 privind clauzele contractuale standard dintre operatori și persoanele împuternicite.
f) Celelalte dispoziții obligatorii din dreptul Uniunii Europene și legislația română aplicabile activităților desfășurate.
Articolul 3. Obiectul acordului
3.1. Prezentul Acord stabilește condițiile în care WaterApp prelucrează date cu caracter personal în numele Organizației, prin intermediul platformei software WaterApp.
3.2. Acordul reglementează:
a) Natura, scopul și durata prelucrării.
b) Categoriile de persoane vizate și de date personale.
c) Instrucțiunile documentate ale Organizației.
d) Obligațiile de confidențialitate.
e) Măsurile tehnice și organizatorice de securitate.
f) Utilizarea subcontractanților.
g) Transferurile internaționale de date.
h) Gestionarea incidentelor de securitate.
i) Exercitarea drepturilor persoanelor vizate.
j) Auditarea și verificarea conformității.
k) Returnarea și ștergerea datelor.
l) Responsabilitățile și răspunderea contractuală a părților.
3.3. Prezentul Acord face parte integrantă din relația contractuală privind furnizarea serviciilor WaterApp.
3.4. În cazul unui conflict între prevederile prezentului Acord și alte documente contractuale, prevederile prezentului Acord prevalează în privința obligațiilor de prelucrare a datelor personale, fără a aduce atingere normelor legale imperative.
CAPITOLUL II – DEFINIȚII ȘI PRINCIPII
Articolul 4. Definiții
În sensul prezentului Acord:
Date cu caracter personal: orice informații privind o persoană fizică identificată sau identificabilă.
Prelucrare: orice operațiune efectuată asupra datelor personale, inclusiv colectarea, înregistrarea, organizarea, stocarea, consultarea, modificarea, transmiterea, restricționarea sau ștergerea.
Persoană vizată: persoana fizică ale cărei date sunt prelucrate.
Operator: entitatea care stabilește scopurile și mijloacele prelucrării.
Persoană împuternicită: entitatea care prelucrează date personale în numele operatorului.
Subîmputernicit: furnizorul extern contractat de WaterApp pentru realizarea unor operațiuni de prelucrare în numele Organizației.
Incident de securitate: eveniment care afectează sau poate afecta securitatea informațiilor.
Încălcare a securității datelor personale: încălcare a securității care conduce, accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată ori accesul neautorizat la date personale.
Instrucțiune documentată: instrucțiune transmisă de Organizație într-o formă care permite păstrarea și verificarea acesteia.
Serviciile WaterApp: funcționalitățile software contractate și puse la dispoziția Organizației.
Articolul 5. Principiile prelucrării
5.1. Părțile se angajează să respecte principiile prevăzute de articolul 5 GDPR, în măsura obligațiilor care le revin.
5.2. Prelucrarea trebuie să respecte principiile legalității, echității, transparenței, limitării scopului, minimizării datelor, exactității, limitării stocării, integrității și confidențialității.
5.3. Organizația este responsabilă pentru stabilirea scopurilor și temeiurilor juridice ale prelucrării datelor consumatorilor.
5.4. WaterApp nu dobândește dreptul de a utiliza datele Organizației pentru scopuri proprii incompatibile cu prezentul Acord.
CAPITOLUL III – DESCRIEREA PRELUCRĂRII
Articolul 6. Natura și scopul prelucrării
6.1. WaterApp prelucrează datele personale exclusiv în măsura necesară furnizării serviciilor contractate și conform instrucțiunilor documentate ale Organizației.
6.2. Operațiunile pot include:
a) Înregistrarea și administrarea consumatorilor.
b) Administrarea contractelor de furnizare a serviciilor de apă și canalizare.
c) Evidența contoarelor și a locurilor de consum.
d) Înregistrarea indexurilor.
e) Calcularea consumurilor.
f) Generarea, stocarea și administrarea facturilor.
g) Evidența plăților, încasărilor, soldurilor și restanțelor.
h) Generarea rapoartelor administrative și financiare.
i) Transmiterea notificărilor operaționale.
j) Administrarea utilizatorilor și a drepturilor de acces.
k) Stocarea, recuperarea și protejarea datelor.
l) Operațiuni de mentenanță și asistență tehnică.
m) Exportul, arhivarea și ștergerea datelor, conform instrucțiunilor și obligațiilor aplicabile.
Articolul 7. Categoriile persoanelor vizate
Pot fi prelucrate date referitoare la:
a) Consumatori persoane fizice.
b) Titulari ai contractelor de furnizare.
c) Proprietari, chiriași sau alte persoane asociate locurilor de consum.
d) Reprezentanți ai consumatorilor.
e) Angajați și colaboratori ai Organizației.
f) Administratori, contabili și operatori autorizați.
g) Alte persoane ale căror date sunt introduse legal în platformă în legătură cu serviciile contractate.
Articolul 8. Categoriile datelor personale
8.1. Datele prelucrate pot include:
a) Nume și prenume.
b) Adrese de domiciliu, corespondență și consum.
c) Numere de telefon și adrese de e-mail.
d) Identificatori ai consumatorilor.
e) Numere de contract.
f) Date privind contoarele și seriile acestora.
g) Indexuri și istoricul consumurilor.
h) Date privind facturile, plățile și restanțele.
i) Informații despre utilizatori, roluri și permisiuni.
j) Date tehnice privind autentificarea și securitatea.
k) Adrese IP și jurnale de acces, în măsura colectării efective.
l) Alte date necesare serviciilor contractate, în condițiile documentate și autorizate.
8.2. Prelucrarea CNP-urilor, a seriilor și numerelor actelor de identitate sau a altor identificatori naționali este permisă numai atunci când există un temei legal și sunt respectate garanțiile aplicabile.
8.3. WaterApp nu solicită introducerea unor categorii speciale de date prevăzute de articolul 9 GDPR, cu excepția situațiilor în care o astfel de prelucrare este justificată legal, documentată și acceptată contractual.
8.4. Organizația nu va introduce în platformă date excesive sau fără legătură cu scopurile serviciilor contractate.
CAPITOLUL IV – OBLIGAȚIILE ORGANIZAȚIEI
Articolul 9. Legalitatea prelucrării
9.1. Organizația este responsabilă pentru identificarea și documentarea temeiurilor legale ale prelucrării datelor personale.
9.2. Organizația garantează că instrucțiunile transmise WaterApp sunt conforme cu legislația aplicabilă.
9.3. Organizația este responsabilă pentru furnizarea informațiilor obligatorii persoanelor vizate, potrivit articolelor 13 și 14 GDPR.
9.4. Organizația stabilește perioadele de păstrare aplicabile datelor pe care le controlează, cu respectarea obligațiilor legale.
Articolul 10. Corectitudinea datelor
10.1. Organizația răspunde pentru corectitudinea, actualitatea și legalitatea datelor introduse de persoanele autorizate.
10.2. WaterApp pune la dispoziție funcționalități tehnice pentru administrarea datelor, fără a garanta corectitudinea informațiilor furnizate de Organizație.
10.3. Erorile de introducere a datelor, indexurile declarate incorect și informațiile contractuale eronate sunt gestionate de Organizație, cu excepția situațiilor în care eroarea este imputabilă funcționării platformei.
Articolul 11. Administrarea accesului
11.1. Organizația desemnează persoanele autorizate să utilizeze platforma.
11.2. Organizația este responsabilă pentru atribuirea, verificarea și revocarea drepturilor de acces ale propriilor utilizatori.
11.3. Organizația trebuie să retragă fără întârzieri nejustificate accesul persoanelor care nu mai sunt autorizate.
11.4. Organizația va informa WaterApp despre accesări neautorizate sau suspiciuni de compromitere a conturilor.
Articolul 12. Instrucțiunile documentate
12.1. WaterApp prelucrează datele numai pe baza instrucțiunilor documentate ale Organizației, inclusiv în privința transferurilor internaționale.
12.2. Constituie instrucțiuni documentate:
a) Prezentul Acord și anexele sale.
b) Contractul principal și configurația serviciilor contractate.
c) Operațiunile efectuate de utilizatorii autorizați în platformă, în limitele permisiunilor acordate.
d) Solicitările transmise prin canalele oficiale de suport.
e) Instrucțiunile suplimentare acceptate în scris de părți.
12.3. WaterApp informează imediat Organizația dacă apreciază că o instrucțiune încalcă GDPR sau alte dispoziții aplicabile privind protecția datelor.
12.4. WaterApp poate suspenda executarea instrucțiunii contestate până la clarificarea legalității acesteia, atunci când continuarea prelucrării ar crea un risc de încălcare a legii.
CAPITOLUL V – OBLIGAȚIILE WATERAPP
Articolul 13. Limitarea prelucrării
13.1. WaterApp nu va prelucra datele personale în alte scopuri decât cele autorizate, cu excepția obligațiilor impuse de dreptul Uniunii Europene sau de dreptul intern aplicabil.
13.2. În cazul unei obligații legale de prelucrare, WaterApp informează Organizația înainte de efectuarea acesteia, cu excepția situațiilor în care legea interzice informarea din motive importante de interes public.
13.3. WaterApp nu va comercializa bazele de date ale Organizației.
13.4. WaterApp nu va utiliza datele consumatorilor pentru publicitate proprie, profilare comercială sau antrenarea modelelor de inteligență artificială fără un temei juridic distinct și un cadru contractual corespunzător.
Articolul 14. Confidențialitatea
14.1. WaterApp asigură faptul că persoanele autorizate să prelucreze date personale sunt supuse unor obligații contractuale sau legale de confidențialitate.
14.2. Accesul personalului WaterApp la datele Organizației este permis numai în măsura necesară îndeplinirii atribuțiilor autorizate.
14.3. Obligațiile de confidențialitate continuă și după încetarea raporturilor contractuale, în condițiile legii.
Articolul 15. Securitatea prelucrării
15.1. WaterApp implementează măsuri tehnice și organizatorice adecvate riscurilor, conform articolului 32 GDPR.
15.2. Măsurile trebuie să urmărească protejarea confidențialității, integrității, disponibilității și rezilienței sistemelor de prelucrare.
15.3. Măsurile concrete sunt descrise în Anexa II.
15.4. WaterApp evaluează periodic eficacitatea măsurilor implementate și le adaptează în raport cu riscurile, evoluția tehnologică și modificările serviciilor.
15.5. WaterApp nu garantează absența absolută a incidentelor informatice, dar are obligația de a aplica măsuri adecvate și de a respecta obligațiile legale și contractuale de securitate.
CAPITOLUL VI – ARHITECTURA MULTI-TENANT
Articolul 16. Separarea datelor organizațiilor
16.1. WaterApp utilizează o arhitectură software care permite administrarea mai multor organizații în cadrul aceleiași platforme.
16.2. Datele fiecărei organizații trebuie separate logic prin mecanisme de identificare, autentificare și autorizare.
16.3. WaterApp va aplica măsuri pentru prevenirea accesului neautorizat la datele altei organizații.
16.4. Utilizatorii care aparțin mai multor organizații pot avea drepturi diferite pentru fiecare organizație.
16.5. Accesul unui utilizator la o organizație nu îi conferă automat dreptul de acces la datele altor organizații.
16.6. Mecanismele de autorizare trebuie aplicate la nivelul operațiunilor de acces la date, nu exclusiv la nivelul interfeței utilizatorului.
16.7. Accesul administrativ privilegiat trebuie limitat, controlat și monitorizat proporțional cu riscurile.
Articolul 17. Conturi globale și apartenența la organizații
17.1. WaterApp poate utiliza un sistem de conturi globale, prin care aceeași persoană se poate autentifica și poate accesa organizațiile pentru care deține permisiuni.
17.2. Datele necesare administrării contului global pot fi prelucrate de WaterApp în calitate de operator independent, atunci când WaterApp stabilește scopurile și mijloacele respectivei prelucrări.
17.3. Datele operaționale ale consumatorilor rămân supuse regulilor aplicabile organizației care le controlează.
17.4. Asocierea unui utilizator cu o organizație trebuie să fie autorizată și verificabilă.
CAPITOLUL VII – SUBÎMPUTERNICIȚI ȘI FURNIZORI EXTERNI
Articolul 18. Autorizarea subîmputerniciților
18.1. Organizația acordă WaterApp o autorizare generală scrisă pentru utilizarea subîmputerniciților identificați în Anexa III și pentru modificarea acestora în condițiile prezentului articol.
18.2. WaterApp menține o listă actualizată a subîmputerniciților care prelucrează date în numele Organizației.
18.3. WaterApp informează Organizația despre intenția de adăugare sau înlocuire a unui subîmputernicit, cu cel puțin 30 de zile calendaristice înainte de modificare, cu excepția situațiilor urgente justificate de securitate sau continuitatea serviciilor.
18.4. Organizația poate formula obiecții motivate privind protecția datelor în termen de 15 zile calendaristice de la notificare.
18.5. Părțile vor încerca identificarea unei soluții rezonabile.
18.6. Dacă obiecția justificată nu poate fi soluționată, Organizația poate înceta serviciile afectate de modificare, în condițiile contractuale și fără a aduce atingere drepturilor legale aplicabile.
Articolul 19. Obligațiile subîmputerniciților
19.1. WaterApp încheie cu subîmputerniciții contracte care impun obligații de protecție a datelor cel puțin echivalente cu cele aplicabile WaterApp, în măsura cerută de articolul 28 alineatul (4) GDPR.
19.2. WaterApp verifică existența unor garanții adecvate privind securitatea și confidențialitatea.
19.3. WaterApp rămâne pe deplin răspunzătoare față de Organizație pentru îndeplinirea obligațiilor de protecție a datelor de către subîmputerniciți, conform articolului 28 alineatul (4) GDPR.
19.4. Subîmputerniciții nu dobândesc dreptul de a utiliza datele pentru scopuri proprii incompatibile cu serviciile contractate.
CAPITOLUL VIII – TRANSFERURI INTERNAȚIONALE
Articolul 20. Localizarea și transferul datelor
20.1. WaterApp documentează locațiile relevante în care sunt stocate sau accesate datele personale.
20.2. Transferurile către țări din afara Spațiului Economic European se efectuează numai în conformitate cu capitolul V GDPR.
20.3. Atunci când este necesar, WaterApp utilizează mecanisme juridice adecvate, precum:
a) Decizii de adecvare adoptate de Comisia Europeană.
b) Clauze contractuale standard pentru transferuri internaționale.
c) Alte garanții sau derogări permise de GDPR, în condițiile legii.
20.4. Clauzele contractuale standard privind relația operator–persoană împuternicită nu înlocuiesc automat mecanismele juridice necesare transferurilor internaționale.
20.5. WaterApp nu efectuează transferuri internaționale în numele Organizației fără instrucțiuni documentate sau altă justificare legală aplicabilă.
20.6. În cazul transferurilor care necesită garanții suplimentare, părțile cooperează pentru evaluarea riscurilor și implementarea măsurilor corespunzătoare.
CAPITOLUL IX – INCIDENTE DE SECURITATE
Articolul 21. Identificarea și gestionarea incidentelor
21.1. WaterApp implementează proceduri pentru identificarea, investigarea, limitarea și remedierea incidentelor de securitate.
21.2. În cazul unei încălcări a securității datelor personale prelucrate în numele Organizației, WaterApp informează Organizația fără întârzieri nejustificate după ce ia cunoștință de încălcare.
21.3. Ca obligație contractuală suplimentară, WaterApp urmărește transmiterea notificării inițiale în maximum 24 de ore de la luarea la cunoștință, chiar dacă investigația nu este finalizată.
21.4. Notificarea inițială va include, în măsura în care informațiile sunt disponibile:
a) Descrierea incidentului.
b) Data sau perioada estimată a producerii.
c) Categoriile de date afectate.
d) Categoriile și numărul aproximativ al persoanelor afectate.
e) Consecințele probabile.
f) Măsurile adoptate sau propuse.
g) Datele de contact pentru gestionarea incidentului.
21.5. Informațiile indisponibile inițial pot fi furnizate ulterior, fără întârzieri nejustificate.
21.6. WaterApp cooperează cu Organizația pentru limitarea impactului și remedierea incidentului.
Articolul 22. Notificarea autorităților și persoanelor vizate
22.1. Organizația, în calitate de operator, este responsabilă pentru evaluarea obligației de notificare a ANSPDCP, conform articolului 33 GDPR.
22.2. Atunci când notificarea este obligatorie, termenul legal aplicabil operatorului este, în principiu, de cel mult 72 de ore de la luarea la cunoștință, în măsura în care este posibil.
22.3. Organizația evaluează necesitatea informării persoanelor vizate conform articolului 34 GDPR.
22.4. WaterApp furnizează informațiile disponibile și asistența necesară îndeplinirii acestor obligații.
22.5. WaterApp nu va transmite comunicări publice privind incidentul în numele Organizației fără autorizare, cu excepția situațiilor impuse de lege.
CAPITOLUL X – DREPTURILE PERSOANELOR VIZATE
Articolul 23. Asistența acordată Organizației
23.1. WaterApp asistă Organizația, ținând cont de natura prelucrării și de informațiile disponibile, în soluționarea cererilor privind:
a) Accesul la date.
b) Rectificarea datelor.
c) Ștergerea datelor.
d) Restricționarea prelucrării.
e) Portabilitatea datelor.
f) Opoziția la prelucrare.
g) Drepturile privind deciziile individuale automatizate.
23.2. Asistența poate include punerea la dispoziție a funcționalităților de căutare, consultare, corectare, export și ștergere a datelor.
23.3. În cazul în care WaterApp primește direct o solicitare referitoare la datele prelucrate în numele Organizației, aceasta va transmite solicitarea Organizației fără întârzieri nejustificate, dacă identificarea operatorului este posibilă.
23.4. WaterApp nu va răspunde în numele Organizației asupra fondului solicitării fără autorizare sau obligație legală.
23.5. WaterApp va acorda asistență într-un termen rezonabil, care să permită Organizației respectarea termenelor legale.
CAPITOLUL XI – EVALUĂRI DE IMPACT ȘI COOPERARE
Articolul 24. Evaluarea impactului asupra protecției datelor
24.1. Organizația este responsabilă pentru stabilirea necesității efectuării unei evaluări de impact asupra protecției datelor (DPIA), conform articolului 35 GDPR.
24.2. WaterApp acordă asistență rezonabilă, ținând cont de natura prelucrării și de informațiile disponibile.
24.3. Asistența poate include furnizarea informațiilor despre arhitectura tehnică, măsurile de securitate, categoriile de date și subcontractanți.
24.4. WaterApp asistă Organizația în cadrul consultării prealabile cu autoritatea de supraveghere, atunci când aceasta este necesară potrivit articolului 36 GDPR.
Articolul 25. Cooperarea cu autoritățile
25.1. Părțile cooperează cu autoritățile de supraveghere competente, în limitele obligațiilor legale.
25.2. Fiecare parte este responsabilă pentru îndeplinirea obligațiilor care îi revin direct potrivit GDPR.
25.3. WaterApp informează Organizația despre solicitările autorităților privind datele acesteia, atunci când informarea este permisă legal.
CAPITOLUL XII – AUDIT ȘI CONFORMITATE
Articolul 26. Dreptul de verificare
26.1. WaterApp pune la dispoziția Organizației informațiile necesare demonstrării respectării obligațiilor prevăzute de articolul 28 GDPR.
26.2. WaterApp permite și contribuie la auditurile și inspecțiile efectuate de Organizație sau de un auditor mandatat de aceasta.
26.3. Auditurile se organizează, pe cât posibil, pe baza unui preaviz rezonabil și într-o manieră care limitează perturbarea activității.
26.4. În cazul unor incidente grave, suspiciuni justificate de neconformitate sau solicitări ale autorităților competente, verificările pot necesita termene accelerate.
26.5. Auditorii sunt obligați să respecte confidențialitatea informațiilor și măsurile de securitate aplicabile.
26.6. Auditurile nu pot conduce la divulgarea neautorizată a datelor altor organizații sau a informațiilor confidențiale ale unor terți.
26.7. Restricțiile operaționale nu pot elimina dreptul legal al Organizației de a verifica respectarea obligațiilor prevăzute de articolul 28 GDPR.
Articolul 27. Documentarea conformității
27.1. WaterApp păstrează evidențele și documentația impuse de legislația aplicabilă.
27.2. În măsura aplicabilității, documentația poate include:
a) Evidența activităților de prelucrare.
b) Lista subîmputerniciților.
c) Politici de securitate.
d) Proceduri de gestionare a incidentelor.
e) Documentația privind backupul și recuperarea datelor.
f) Evidența accesului administrativ.
g) Documentația privind transferurile internaționale.
h) Dovezi privind evaluarea și testarea măsurilor de securitate.
CAPITOLUL XIII – DURATA ACORDULUI
Articolul 28. Intrarea în vigoare
28.1. Prezentul Acord intră în vigoare la data acceptării sale valabile de către Organizație și WaterApp, conform mecanismului contractual de acceptare electronică.
28.2. Acceptarea poate avea loc în procesul de solicitare, activare sau contractare a abonamentului WaterApp.
28.3. Acordul produce efecte pentru prelucrările efectuate în numele Organizației pe durata relației contractuale.
28.4. Încetarea abonamentului nu stinge obligațiile care, prin natura lor sau potrivit legii, trebuie să continue.
Articolul 29. Încetarea acordului
29.1. Prezentul Acord încetează odată cu încetarea serviciilor care presupun prelucrarea datelor în numele Organizației, sub rezerva obligațiilor privind returnarea, ștergerea și păstrarea legală a datelor.
29.2. Încetarea abonamentului nu autorizează WaterApp să utilizeze datele Organizației în scopuri proprii.
29.3. Dacă o parte constată o încălcare gravă a obligațiilor de protecție a datelor, aceasta poate solicita remedierea și poate exercita drepturile contractuale și legale aplicabile.
29.4. Încetarea serviciilor nu afectează drepturile persoanelor vizate sau obligațiile legale ale părților.
CAPITOLUL XIV – RETURNAREA ȘI ȘTERGEREA DATELOR
Articolul 30. Dreptul de export
30.1. La încetarea serviciilor, Organizația poate solicita returnarea datelor personale prelucrate în numele său.
30.2. WaterApp va pune la dispoziție o modalitate rezonabilă și sigură de export, într-un format structurat și utilizabil, în măsura posibilităților tehnice și a obligațiilor contractuale.
30.3. Exportul poate include datele consumatorilor, contractelor, contoarelor, indexurilor, facturilor și plăților, în funcție de serviciile utilizate.
30.4. WaterApp nu este obligată să furnizeze codul sursă, structurile interne proprietare sau informații care aparțin altor organizații.
Articolul 31. Ștergerea datelor
31.1. După încetarea serviciilor, WaterApp va șterge sau returna datele personale, la alegerea Organizației, conform articolului 28 alineatul (3) litera (g) GDPR.
31.2. Alegerea Organizației va fi documentată.
31.3. Datele nu vor fi păstrate mai mult decât este necesar pentru executarea instrucțiunilor de returnare sau ștergere, cu excepția situațiilor în care legislația impune păstrarea.
31.4. Copiile existente vor fi șterse, cu excepția celor a căror păstrare este impusă de lege.
31.5. Datele rămase temporar în copiile de siguranță vor fi protejate, nu vor fi utilizate pentru operațiuni curente și vor fi eliminate conform ciclului documentat de retenție, în măsura permisă de lege.
31.6. La solicitarea Organizației, WaterApp furnizează o confirmare rezonabilă privind executarea operațiunilor de ștergere.
31.7. Termenele operaționale de export, ștergere și eliminare din backupuri sunt stabilite în Anexa IV.
CAPITOLUL XV – RĂSPUNDERE ȘI DESPĂGUBIRI
Articolul 32. Răspunderea părților
32.1. Fiecare parte răspunde pentru încălcarea obligațiilor legale și contractuale care îi revin.
32.2. Organizația răspunde pentru legalitatea scopurilor și temeiurilor prelucrării, precum și pentru instrucțiunile transmise WaterApp.
32.3. WaterApp răspunde pentru încălcarea obligațiilor care îi revin direct în calitate de persoană împuternicită și pentru prelucrarea efectuată în afara instrucțiunilor legale ale Organizației sau contrar acestora.
32.4. Răspunderea pentru prejudiciile cauzate persoanelor vizate se stabilește conform articolului 82 GDPR și celorlalte dispoziții legale aplicabile.
32.5. Nicio clauză contractuală nu poate exclude drepturile persoanelor vizate sau competențele autorităților de supraveghere.
32.6. Eventualele limitări contractuale ale răspunderii dintre părți nu afectează obligațiile imperative prevăzute de legislația privind protecția datelor.
Articolul 33. Costurile asistenței suplimentare
33.1. Asistența necesară respectării obligațiilor legale ale WaterApp în calitate de persoană împuternicită este furnizată în condițiile prezentului Acord.
33.2. Pentru servicii suplimentare care depășesc obligațiile legale și contractuale, părțile pot conveni separat costuri rezonabile.
33.3. Nicio prevedere privind costurile nu poate condiționa sau elimina obligațiile imperative ale WaterApp conform GDPR.
CAPITOLUL XVI – ACCEPTAREA ELECTRONICĂ
Articolul 34. Forma electronică
34.1. Părțile recunosc posibilitatea încheierii prezentului Acord în formă electronică, în condițiile legislației aplicabile.
34.2. Acceptarea electronică se realizează printr-o acțiune afirmativă explicită, efectuată de reprezentantul autorizat al Organizației.
34.3. Acordul trebuie să fie disponibil integral pentru consultare înainte de acceptare.
34.4. Organizația trebuie să aibă posibilitatea de a salva sau descărca versiunea acceptată.
34.5. WaterApp va păstra dovezi privind acceptarea, în limitele necesare demonstrării relației contractuale și respectării obligațiilor legale.
Articolul 35. Declarațiile reprezentantului
Prin acceptarea prezentului Acord, persoana care acționează în numele Organizației declară că:
a) A citit și a înțeles conținutul Acordului.
b) Are dreptul și autoritatea necesară pentru a reprezenta Organizația în această operațiune.
c) Datele de identificare ale Organizației sunt corecte.
d) Organizația își asumă obligațiile care îi revin în calitate de operator de date.
e) A luat cunoștință de condițiile de utilizare a subîmputerniciților.
f) Înțelege că WaterApp prelucrează datele consumatorilor în numele Organizației, în condițiile stabilite prin prezentul Acord.
g) Acceptă aplicarea Acordului pentru serviciile contractate.
Articolul 36. Dovada acceptării
36.1. WaterApp poate păstra următoarele informații pentru demonstrarea acceptării:
a) Identificatorul Organizației.
b) Identificatorul utilizatorului care a efectuat acceptarea.
c) Data și ora acceptării, în format care permite determinarea fusului orar.
d) Versiunea exactă a Acordului.
e) Identificatorul sau amprenta criptografică a documentului acceptat.
f) Adresa IP utilizată la acceptare, dacă este colectată.
g) Informații tehnice relevante privind sesiunea, în măsura necesară și proporțională.
h) Metoda prin care a fost verificată autoritatea reprezentantului.
i) Confirmarea activării relației contractuale de către WaterApp.
36.2. Datele privind acceptarea sunt păstrate în scopul demonstrării existenței și conținutului raportului contractual, în conformitate cu legislația aplicabilă și politica de retenție.
36.3. WaterApp trebuie să poată identifica versiunea exactă a documentului acceptat, chiar dacă ulterior sunt publicate versiuni noi.
CAPITOLUL XVII – MODIFICĂRI CONTRACTUALE
Articolul 37. Actualizarea acordului
37.1. WaterApp poate propune modificări ale prezentului Acord pentru a reflecta schimbări legislative, tehnice sau operaționale.
37.2. Modificările contractuale substanțiale vor fi comunicate Organizației înainte de intrarea lor în vigoare.
37.3. Modificările care necesită acordul părților nu devin obligatorii exclusiv prin publicarea unei versiuni noi pe website.
37.4. Acceptarea unei noi versiuni poate fi solicitată electronic.
37.5. Modificările impuse de dispoziții legale obligatorii se aplică potrivit normelor respective.
CAPITOLUL XVIII – DISPOZIȚII FINALE
Articolul 38. Legea aplicabilă
38.1. Prezentul Acord este guvernat de dreptul român și de dispozițiile direct aplicabile ale dreptului Uniunii Europene.
38.2. Eventualele litigii vor fi soluționate, în primul rând, pe cale amiabilă.
38.3. În lipsa unei soluții amiabile, competența revine instanțelor stabilite potrivit legii.
38.4. Prezentul Acord nu afectează competențele ANSPDCP și nici drepturile persoanelor vizate.
Articolul 39. Independența clauzelor
39.1. Dacă o prevedere este declarată nulă, nelegală sau inaplicabilă, celelalte prevederi rămân valabile, în măsura permisă de lege.
39.2. Părțile vor înlocui prevederea afectată cu o dispoziție legală care reflectă cât mai fidel scopul legitim urmărit.
Articolul 40. Anexele acordului
Fac parte integrantă din prezentul Acord:
- Anexa I: Descrierea detaliată a prelucrării.
- Anexa II: Măsurile tehnice și organizatorice de securitate.
- Anexa III: Lista subîmputerniciților autorizați.
- Anexa IV: Procedura de export, returnare și ștergere a datelor.
- Anexa V: Procedura de gestionare a incidentelor de securitate.
- Anexa VI: Evidența acceptării electronice.
ANEXA I – DESCRIEREA DETALIATĂ A PRELUCRĂRII
Operator: Organizația identificată în contul contractual WaterApp.
Persoană împuternicită: Societatea care operează WaterApp.
Obiectul prelucrării: Furnizarea serviciilor software pentru administrarea serviciilor de apă și canalizare.
Durata: Pe perioada furnizării serviciilor și ulterior numai pentru operațiunile legale și contractuale de returnare, ștergere sau păstrare obligatorie.
Natura operațiunilor: Colectare, înregistrare, organizare, stocare, consultare, modificare, calcul, transmitere autorizată, export, arhivare și ștergere.
Scopuri: Administrarea consumatorilor, contoarelor, indexurilor, contractelor, facturilor, plăților și raportărilor.
Persoane vizate: Consumatori, titulari de contracte, reprezentanți, angajați și utilizatori autorizați.
Date prelucrate: Date de identificare, contact, contractuale, tehnice, de consum, facturare și plată.
Categorii speciale de date: Nu sunt incluse în serviciul standard, în lipsa unei autorizări și a unor garanții suplimentare corespunzătoare.
Operațiuni automate: Calcularea consumurilor, generarea documentelor și transmiterea notificărilor, în limitele funcționalităților contractate.
Instrucțiuni documentate: Acordul, contractul principal, configurările autorizate și solicitările documentate ale Organizației.
Contactul responsabilului cu protecția datelor al Organizației: [Se completează dacă este aplicabil].
Contactul WaterApp pentru protecția datelor: [Adresă e-mail].
ANEXA II – MĂSURI TEHNICE ȘI ORGANIZATORICE DE SECURITATE
Măsurile enumerate în această anexă constituie cerințe contractuale care trebuie implementate efectiv, proporțional cu riscurile.
A. Securitatea comunicațiilor
- Utilizarea conexiunilor criptate TLS pentru transmiterea datelor prin internet.
- Protejarea interfețelor API.
- Limitarea expunerii serviciilor administrative.
- Gestionarea securizată a certificatelor și cheilor criptografice.
B. Autentificare și autorizare
- Stocarea parolelor prin mecanisme criptografice adecvate de hashing.
- Controlul accesului în funcție de rol și organizație.
- Validarea autorizării la nivelul operațiunilor API.
- Expirarea și revocarea sesiunilor sau tokenurilor.
- Limitarea încercărilor abuzive de autentificare.
- Protejarea conturilor privilegiate prin măsuri suplimentare, inclusiv autentificare multifactor atunci când este implementată și justificată de risc.
C. Izolarea organizațiilor
- Asocierea datelor operaționale cu organizația corespunzătoare.
- Verificarea apartenenței utilizatorului la organizație.
- Prevenirea accesului transversal neautorizat.
- Testarea mecanismelor de izolare între organizații.
- Limitarea accesului administratorilor tehnici.
D. Protecția bazelor de date
- Restricționarea accesului la bazele de date.
- Utilizarea conturilor tehnice cu permisiuni minime.
- Protejarea credențialelor și a secretelor aplicației.
- Actualizarea componentelor software.
- Protejarea conexiunilor administrative.
- Aplicarea criptării datelor stocate atunci când evaluarea riscurilor o impune.
E. Backup și recuperare
- Realizarea copiilor de siguranță conform unei politici documentate.
- Protejarea copiilor împotriva accesului neautorizat.
- Stabilirea perioadelor de retenție.
- Testarea periodică a restaurării.
- Definirea procedurilor de recuperare după incidente.
- Protejarea separată a copiilor critice, în funcție de riscuri.
F. Monitorizare și jurnalizare
- Înregistrarea evenimentelor relevante de securitate.
- Monitorizarea accesului privilegiat.
- Detectarea activităților suspecte, în limitele mijloacelor implementate.
- Protejarea jurnalelor împotriva modificărilor neautorizate.
- Stabilirea unor perioade justificate de păstrare.
G. Securitatea dezvoltării software
- Verificarea autorizării în componentele backend.
- Validarea datelor de intrare.
- Gestionarea vulnerabilităților.
- Testarea modificărilor înainte de implementare.
- Separarea corespunzătoare a mediilor de dezvoltare și producție.
- Evitarea utilizării datelor reale în testare fără justificare și măsuri adecvate.
H. Securitatea organizațională
- Obligații de confidențialitate.
- Acces acordat conform necesității.
- Revocarea accesului la încetarea colaborării.
- Proceduri de gestionare a incidentelor.
- Evaluarea periodică a riscurilor.
- Instruirea persoanelor care au acces la date.
ANEXA III – SUBÎMPUTERNICIȚI AUTORIZAȚI
Lista subîmputerniciților trebuie completată înainte de activarea prelucrării în producție.
Pentru fiecare furnizor se vor documenta:
- Denumirea juridică exactă.
- Țara de stabilire.
- Serviciul furnizat.
- Categoriile de date accesibile.
- Locațiile de prelucrare și stocare.
- Existența eventualelor transferuri internaționale.
- Mecanismul juridic aplicabil transferurilor.
- Data autorizării și eventualele modificări.
Furnizor de infrastructură și găzduire: [De completat].
Furnizor de backup: [De completat].
Furnizor de e-mail tranzacțional: [De completat].
Furnizor de notificări: [De completat].
Furnizori de suport sau monitorizare cu acces la date: [De completat].
Procesator de plăți: [De completat; se va stabili dacă acționează ca operator independent, persoană împuternicită sau într-o altă calitate, pentru fiecare flux relevant].
Lista trebuie să reflecte serviciile utilizate efectiv. Un furnizor nu devine automat subîmputernicit doar pentru că este integrat în WaterApp.
ANEXA IV – EXPORTUL, RETURNAREA ȘI ȘTERGEREA DATELOR
1. Declanșarea procedurii
Procedura se inițiază la încetarea serviciilor sau la primirea unei instrucțiuni documentate valabile din partea Organizației.
2. Alegerea Organizației
Organizația poate solicita:
a) Returnarea datelor personale.
b) Ștergerea datelor personale.
c) Returnarea urmată de ștergere.
3. Exportul
Exportul se realizează printr-un mecanism securizat, într-un format structurat și utilizabil.
Termen contractual propus pentru punerea la dispoziție a exportului: maximum 30 de zile calendaristice de la solicitarea validă, dacă nu este convenit alt termen justificat.
4. Ștergerea din sistemele active
După îndeplinirea obligațiilor de returnare și în lipsa unei obligații legale de păstrare, datele vor fi șterse din sistemele active.
Termen contractual propus: maximum 30 de zile calendaristice de la finalizarea returnării sau de la instrucțiunea validă de ștergere, după caz.
5. Copiile de siguranță
Datele din backupuri vor fi eliminate potrivit ciclului documentat de retenție, cu protejarea accesului și interzicerea utilizării lor pentru alte scopuri.
Termen maxim de retenție propus pentru backupurile obișnuite: 90 de zile, dacă nu există o obligație legală sau o justificare documentată pentru o perioadă diferită.
6. Excepții legale
Datele care trebuie păstrate în baza unei obligații legale pot fi reținute numai în limitele și pe durata respectivei obligații.
7. Confirmarea
La solicitarea Organizației, WaterApp va confirma finalizarea operațiunilor de ștergere și va comunica eventualele categorii de date păstrate în baza unei obligații legale.
Termenele de 30 și 90 de zile sunt termene contractuale propuse, nu termene impuse în mod general de GDPR. Ele trebuie confirmate în raport cu arhitectura și politica reală de backup WaterApp.
ANEXA V – PROCEDURA DE GESTIONARE A INCIDENTELOR
1. Detectarea
WaterApp urmărește identificarea evenimentelor care pot afecta confidențialitatea, integritatea sau disponibilitatea datelor.
2. Evaluarea
Incidentul este analizat pentru stabilirea:
- Naturii evenimentului.
- Sistemelor afectate.
- Datelor potențial compromise.
- Organizațiilor afectate.
- Riscurilor pentru persoanele vizate.
3. Notificarea
În cazul unei încălcări a securității datelor personale, Organizația este notificată fără întârzieri nejustificate.
Obiectiv contractual pentru notificarea inițială: maximum 24 de ore de la luarea la cunoștință.
4. Limitarea impactului
WaterApp adoptă măsuri rezonabile pentru limitarea incidentului, protejarea datelor și prevenirea extinderii acestuia.
5. Cooperarea
WaterApp furnizează Organizației informațiile necesare evaluării obligațiilor de notificare și informare.
6. Documentarea
Incidentul și măsurile adoptate sunt documentate potrivit obligațiilor legale aplicabile.
7. Remedierea
WaterApp analizează cauzele incidentului și implementează măsuri corective adecvate.
ANEXA VI – EVIDENȚA ACCEPTĂRII ELECTRONICE
Pentru fiecare acceptare electronică, WaterApp va genera o înregistrare care să permită demonstrarea acordului.
Datele înregistrării
Organizație: [Denumire].
CUI: [CUI].
Identificator organizație: [ID intern].
Reprezentant: [Nume și prenume].
Identificator utilizator: [ID intern].
Calitatea reprezentantului: [Funcție / calitate].
Metoda verificării autorității: [Metodă].
Document acceptat: WaterApp Data Processing Agreement.
Versiune: 1.0.
Identificator document / hash SHA-256: [Valoare].
Data și ora acceptării: [Timestamp UTC].
Adresa IP: [Dacă este colectată].
Metoda de acceptare: Checkbox explicit, nebifat implicit.
Identificator eveniment: [ID unic].
Confirmarea WaterApp: [Identificator / dată / metodă].
Declarația de acceptare
„Declar că sunt autorizat să reprezint organizația identificată în procesul de contractare, că am citit integral Acordul de Prelucrare a Datelor cu Caracter Personal (DPA) WaterApp și că accept în numele organizației obligațiile și condițiile prevăzute în acesta.”
Acceptarea este înregistrată electronic și asociată versiunii exacte a documentului.
DISPOZIȚIE FINALĂ
Prezentul Acord reglementează prelucrarea datelor personale efectuată de WaterApp în numele Organizației, fără a transfera automat către WaterApp responsabilitățile care revin Organizației în calitate de operator.
Părțile se obligă să coopereze cu bună-credință pentru respectarea legislației aplicabile și protejarea drepturilor persoanelor vizate.
WATERAPP – DATA PROCESSING AGREEMENT
Versiunea 1.0 – 12 noiembrie 2026