Politica privind prelucrarea datelor cu caracter personal

1. Operatorul

SRL „Right Consult Company”, IDNO 1022600002005, cu sediul în MD-2072, mun. Chișinău, str. Grenoble 259/6, of. 57, care activează sub denumirea comercială ExpertCont (denumită în continuare „Societatea”), are calitatea de operator de date cu caracter personal pentru operațiunile de prelucrare ale căror scopuri și mijloace le stabilește.

1. adresa: MD-2072, mun. Chișinău, str. Grenoble 259/6, of. 57;
2. e-mail: [email protected];
3. telefon: +373 60 82 55 81;
4. protecția datelor cu caracter personal: [email protected].

Societatea nu a desemnat un responsabil cu protecția datelor în sensul art. 37 din Legea nr. 195/2024. Solicitările privind prelucrarea datelor cu caracter personal se transmit la adresa [email protected].

2. Obiectul Politicii

Prezenta Politică descrie modul în care Societatea colectează, utilizează, consultă, transmite, păstrează, protejează și șterge datele cu caracter personal ale persoanelor cu care interacționează, în conformitate cu Legea nr. 195/2024 privind protecția datelor cu caracter personal.

Politica are caracter general și se completează cu informările specifice furnizate pentru anumite servicii sau operațiuni, inclusiv cu Politica de confidențialitate a site-ului, care reglementează formularele online, analiza traficului și modulele cookie. În cazul în care o informare specifică descrie mai detaliat un scop, un termen de păstrare, un destinatar sau un transfer, aceasta se aplică împreună cu prezenta Politică.

3. Categoriile de persoane vizate

În funcție de activitate, Societatea poate prelucra datele cu caracter personal ale următoarelor categorii de persoane:

1. clienți și potențiali clienți;
2. reprezentanți și angajați ai clienților;
3. contrapărți și reprezentanții acestora;
4. persoane implicate în dosarele gestionate de Societate;
5. furnizori și reprezentanții acestora;
6. candidați la angajare;
7. angajați și colaboratori;
8. persoane care contactează Societatea;
9. vizitatori ai resurselor online ale Societății.

4. Categoriile de date prelucrate

În funcție de raportul juridic concret, pot fi prelucrate următoarele categorii de date:

1. numele și prenumele;
2. IDNP și informațiile din actele de identitate, atunci când sunt necesare;
3. adresa, numărul de telefon și adresa de e-mail;
4. funcția și semnătura;
5. informații profesionale, contractuale și financiare;
6. corespondența;
7. documentele furnizate pentru prestarea serviciilor;
8. informații privind litigii și alte proceduri;
9. date tehnice și de securitate;
10. alte informații necesare gestionării unui dosar.

Categoriile speciale de date și datele privind condamnările penale și infracțiunile sunt prelucrate numai atunci când natura serviciului o impune și există un temei juridic corespunzător. Societatea nu solicită și nu colectează în mod deliberat date care nu sunt necesare scopului declarat. În cazul în care un document transmis Societății conține date excedentare, accesul la acestea și utilizarea lor sunt limitate la ceea ce este necesar gestionării dosarului sau îndeplinirii obligațiilor legale.

5. Scopurile prelucrării

Datele cu caracter personal sunt prelucrate în următoarele scopuri:

1. examinarea solicitărilor și efectuarea demersurilor precontractuale;
2. încheierea și executarea contractelor, inclusiv prestarea serviciilor de contabilitate, juridice și de consultanță;
3. administrarea dosarelor și comunicarea cu clienții și cu alte persoane implicate;
4. îndeplinirea obligațiilor legale, inclusiv a celor contabile, fiscale și privind prevenirea și combaterea spălării banilor și a finanțării terorismului;
5. constatarea, exercitarea sau apărarea unor drepturi și interese legitime;
6. asigurarea securității sistemelor informatice, prevenirea fraudei și a accesului neautorizat;
7. soluționarea cererilor persoanelor vizate;
8. recrutarea personalului.

Utilizarea datelor într-un scop nou, incompatibil cu scopul inițial, are loc numai după verificarea temeiului juridic și furnizarea informațiilor prevăzute de lege.

6. Temeiurile juridice

Temeiul juridic se stabilește separat pentru fiecare scop de prelucrare și poate consta în:

1. executarea unui contract sau efectuarea demersurilor precontractuale la cererea persoanei vizate – pentru examinarea solicitărilor, ofertare și prestarea serviciilor;
2. îndeplinirea unei obligații legale – pentru evidența contabilă, raportarea fiscală și măsurile de prevenire a spălării banilor;
3. interesul legitim al Societății sau al unui terț – pentru securitatea sistemelor, prevenirea fraudei și apărarea drepturilor, cu excepția cazului în care prevalează interesele sau drepturile și libertățile persoanei vizate;
4. consimțământul persoanei vizate – numai în lipsa unui temei mai adecvat, de exemplu pentru păstrarea CV-ului în vederea unor recrutări ulterioare sau pentru analiza traficului pe site;
5. protejarea intereselor vitale ale persoanei vizate sau ale altei persoane fizice.

Pentru prelucrarea categoriilor speciale de date se identifică, suplimentar, una dintre condițiile prevăzute de lege. Faptul că anumite date sunt accesibile public nu permite, prin el însuși, utilizarea acestora în orice scop.

7. Consimțământul

Societatea nu solicită consimțământul atunci când prelucrarea se întemeiază pe un alt temei juridic mai adecvat. În cazul în care prelucrarea se bazează pe consimțământ:

1. acesta se solicită distinct pentru fiecare scop;
2. persoana vizată îl poate refuza fără consecințe nejustificate;
3. acesta poate fi retras în orice moment, la fel de ușor cum a fost acordat;
4. retragerea nu afectează legalitatea prelucrării efectuate anterior.

După retragerea consimțământului, prelucrarea întemeiată exclusiv pe acesta încetează, cu excepția cazului în care există un alt temei juridic, despre care persoana vizată este informată.

8. Sursele datelor

Datele cu caracter personal pot fi obținute:

1. direct de la persoana vizată;
2. de la clientul care a contractat serviciul;
3. de la reprezentanți;
4. din documentele unui dosar;
5. de la autorități publice;
6. din registre și surse accesibile public;
7. de la contrapărți;
8. de la furnizori sau parteneri, în măsura în care transmiterea este legală.

Pentru fiecare dosar sunt utilizate numai sursele relevante scopului concret. În cazul în care datele nu sunt obținute de la persoana vizată, Societatea furnizează informarea prevăzută de lege în termenele legale, sub rezerva excepțiilor aplicabile.

9. Destinatarii datelor

În măsura în care este necesar, datele pot fi comunicate:

1. angajaților și colaboratorilor autorizați ai Societății;
2. avocaților, consultanților, experților și traducătorilor;
3. autorităților publice și instanțelor de judecată;
4. notarilor și executorilor judecătorești;
5. instituțiilor financiare;
6. contabililor și auditorilor;
7. furnizorilor de servicii informatice, de cloud și de e-mail;
8. altor persoane, atunci când comunicarea este necesară și are un temei juridic.

Fiecare destinatar primește numai datele necesare îndeplinirii rolului său. Societatea nu comercializează date cu caracter personal. Atunci când destinatarul prelucrează datele în scopuri proprii, acesta răspunde pentru prelucrarea respectivă în condițiile legii.

10. Persoanele împuternicite

Societatea utilizează numai persoane împuternicite care oferă garanții suficiente privind aplicarea măsurilor tehnice și organizatorice adecvate. Relația cu acestea este reglementată prin contract, în conformitate cu cerințele legale. Evaluarea persoanelor împuternicite vizează natura serviciului, măsurile de securitate, confidențialitatea, subîmputerniciții, locul prelucrării, gestionarea incidentelor și ștergerea datelor.

Pentru e-mail, Societatea utilizează servicii furnizate de Zoho. Accesul la spațiile de colaborare se acordă nominal, partajarea publică a documentelor care conțin date cu caracter personal este dezactivată, iar conturile personale ale angajaților nu sunt utilizate pentru stocarea dosarelor profesionale.

11. Transferurile internaționale

În cazul transferului de date către un stat din afara Spațiului Economic European sau către o organizație internațională, inclusiv în situația accesului de la distanță al unui furnizor dintr-un asemenea stat, Societatea verifică existența unuia dintre următoarele mecanisme prevăzute de Legea nr. 195/2024:

1. o decizie privind caracterul adecvat al nivelului de protecție;
2. garanții adecvate, inclusiv clauze contractuale corespunzătoare;
3. reguli corporatiste obligatorii;
4. alte mecanisme prevăzute de lege;
5. în situații limitate, o derogare prevăzută de lege.

Persoana vizată poate solicita informații suplimentare privind garanțiile aplicabile unui transfer care o privește.

12. Durata stocării

Datele sunt păstrate numai pe perioada necesară realizării scopului, executării contractului, respectării obligațiilor legale, soluționării unui litigiu sau a unei proceduri ori apărării unui drept. Cu titlu orientativ, se aplică următoarele termene:

1. solicitările și ofertele care nu au condus la încheierea unui contract – 12 luni de la ultima interacțiune;
2. dosarul clientului – pe durata contractului, iar documentele contabile și fiscale – pe durata prevăzută de legislația contabilă și fiscală;
3. datele obținute în cadrul măsurilor de prevenire a spălării banilor – pe durata prevăzută de legislația în domeniu;
4. CV-urile candidaților nerecrutați – 6 luni, iar cu acordul candidatului, până la 12 luni;
5. jurnalele de securitate – între 6 și 12 luni, în funcție de risc.

Ștergerea datelor necesare unui litigiu, control, audit sau investigații se suspendă, numai în privința datelor relevante, până la încetarea motivului. La expirarea termenului aplicabil, datele sunt șterse, distruse sau anonimizate.

13. Securitatea datelor

Societatea aplică măsuri tehnice și organizatorice proporționale riscurilor, care includ:

1. controlul accesului pe bază de roluri, potrivit principiului necesității de a cunoaște;
2. autentificarea multifactor;
3. criptarea datelor;
4. politici privind parolele;
5. copii de siguranță;
6. jurnalizarea accesului;
7. protecția dispozitivelor;
8. instruirea personalului și angajamente de confidențialitate;
9. o procedură internă privind gestionarea incidentelor.

Măsurile sunt revizuite periodic, iar drepturile de acces sunt retrase atunci când nu mai sunt necesare.

14. Drepturile persoanei vizate

În condițiile Legii nr. 195/2024, persoana vizată beneficiază de:

1. dreptul la informare;
2. dreptul de acces;
3. dreptul la rectificare;
4. dreptul la ștergere;
5. dreptul la restricționarea prelucrării;
6. dreptul la portabilitatea datelor;
7. dreptul la opoziție;
8. drepturile privind deciziile individuale automatizate;
9. dreptul de a retrage consimțământul;
10. dreptul de a depune o plângere la Centrul Național pentru Protecția Datelor cu Caracter Personal;
11. dreptul de acces la justiție.

Drepturile nu sunt absolute și pot fi supuse condițiilor și excepțiilor prevăzute de lege. În cazul în care o cerere nu poate fi admisă integral, Societatea comunică motivele.

15. Exercitarea drepturilor

Cererile privind exercitarea drepturilor se transmit la adresa de e-mail [email protected] sau prin poștă, la adresa MD-2072, mun. Chișinău, str. Grenoble 259/6, of. 57.

Societatea răspunde fără întârzieri nejustificate și, în orice caz, în termen de cel mult o lună de la primirea cererii. Termenul poate fi prelungit cu până la două luni, ținând seama de complexitatea și numărul cererilor; persoana vizată este informată despre prelungire și despre motivele acesteia în termenul inițial. Pentru verificarea identității pot fi solicitate numai informațiile strict necesare, proporțional cu natura cererii și cu sensibilitatea datelor.

16. Procesele decizionale automatizate

Societatea utilizează următoarele procese bazate pe prelucrarea automatizată a datelor:

1. calcularea costului estimativ al serviciilor pe baza datelor introduse de utilizator în calculatorul de pe site; rezultatul are caracter orientativ, nu produce efecte juridice asupra persoanei vizate, iar oferta finală este confirmată de un specialist;
2. verificarea potențialilor clienți, a administratorilor și a beneficiarilor efectivi ai acestora în listele de sancțiuni internaționale, în listele persoanelor expuse politic și în alte baze de date relevante, în conformitate cu legislația privind prevenirea și combaterea spălării banilor și a finanțării terorismului; orice rezultat pozitiv este analizat de un specialist înainte de adoptarea unei decizii privind relația de afaceri.

Persoana vizată are dreptul de a obține intervenție umană, de a-și exprima punctul de vedere și de a contesta decizia. Datele prelucrate în cadrul acestor procese sunt accesibile numai persoanelor autorizate și sunt păstrate numai pe perioada necesară scopului. Informațiile privind logica de calcul a costului estimativ sunt disponibile în Politica de confidențialitate a site-ului.

17. Datele privind copiii

Societatea nu colectează în mod intenționat date privind copiii care nu sunt necesare serviciului prestat. În cazul în care astfel de date sunt prelucrate, inclusiv în dosarele de personal ale clienților, se aplică măsuri suplimentare de protecție și se verifică temeiul juridic corespunzător.

18. Încălcarea securității datelor

Societatea aplică o procedură internă privind identificarea, evaluarea și documentarea incidentelor de securitate. În cazul în care o încălcare este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor fizice, aceasta este notificată Centrului Național pentru Protecția Datelor cu Caracter Personal fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la constatare. Dacă riscul este ridicat, persoanele vizate sunt informate fără întârzieri nejustificate, cu excepția cazurilor prevăzute de lege.

19. Modificarea Politicii

Prezenta Politică poate fi actualizată ca urmare a modificărilor legislative, a schimbării serviciilor, tehnologiilor sau furnizorilor ori a introducerii unor noi operațiuni de prelucrare. Data ultimei actualizări este indicată la începutul documentului. Modificările semnificative sunt aduse la cunoștința persoanelor vizate prin mijloace rezonabile, în funcție de canalul de comunicare disponibil.