Data Processing Agreement (DPA)

Last updated: 15.09.2026

Acest document constituie Acordul de Prelucrare a Datelor (Data Processing Agreement — DPA) între TRADI TEX PROD SRL, în calitate de Operator/Persoană împuternicită, și clienții platformei BuildManage, în conformitate cu art. 28 din Regulamentul (UE) 2016/679 (GDPR).

1. Părțile acordului

1.1 Persoana împuternicită (Procesatorul)

Denumire: TRADI TEX PROD SRL
CUI: RO37674923
Nr. Reg. Com.: J2017001585227
Sediu: loc. Valea Adâncă, str. Iliaș Vodă nr. 29, com. Miroslava, jud. Iași, România
Email DPO: contact@buildmanage.eu

1.2 Operatorul (Clientul)

Orice persoană fizică sau juridică care a creat un cont pe platforma BuildManage și utilizează serviciile acesteia pentru prelucrarea datelor cu caracter personal ale propriilor angajați, colaboratori sau terți.

2. Obiectul și durata prelucrării

Obiect: Prelucrarea datelor cu caracter personal necesare furnizării serviciilor platformei BuildManage (pontaj, gestiune personal, șantiere, rapoarte).

Durata: Pe întreaga perioadă a contractului de abonament, plus 30 de zile după încheierea acestuia (pentru export date). La expirarea perioadei, datele sunt șterse/anonimizate, cu excepția cazurilor impuse de lege.

3. Natura și scopul prelucrării

Categorie date	Tipuri specifice	Scop	Temei legal
Date de identificare angajați	Nume, prenume, email, telefon, CNP (opțional)	Gestiunea personalului, pontaj	Art. 6(1)(b) GDPR — contract de muncă
Date de localizare	Coordonate GPS la check-in/check-out	Verificare prezență la șantier	Art. 6(1)(b) + informare prealabilă angajat
Date de activitate	Ore lucrate, rapoarte zilnice, materiale utilizate	Raportare productivitate, facturare	Art. 6(1)(b) GDPR
Fotografii/documente	Poze probleme șantier, documente încărcate	Documentare technică	Art. 6(1)(b) GDPR
Date cont administrator	Nume, email, telefon, adresă firmă, CUI	Gestionare cont, facturare, notificări	Art. 6(1)(b) GDPR

4. Obligațiile persoanei împuternicite (TRADI TEX PROD SRL)

Ne angajăm să:

Prelucrăm datele exclusiv pe baza instrucțiunilor documentate ale Operatorului.
Ne asigurăm că persoanele autorizate să prelucreze datele s-au angajat la confidențialitate.
Implementăm măsurile tehnice și organizatorice prevăzute la art. 32 GDPR.
Respectăm condițiile privind angajarea altei persoane împuternicite (sub-procesatori).
Sprijinim Operatorul în îndeplinirea obligațiilor față de persoanele vizate (art. 32–36 GDPR).
Ștergem sau returnăm toate datele la cerere sau la expirarea contractului.
Punem la dispoziție Operatorului toate informațiile necesare demonstrării conformității.
Notificăm Operatorul în cel mult 48 de ore de la identificarea unei breșe de securitate.

5. Obligațiile Operatorului (Clientul)

Operatorul se angajează să:

Informeze angajații și persoanele vizate cu privire la prelucrarea datelor GPS și date de pontaj, anterior utilizării platformei.
Colecteze consimțământul sau să asigure temeiul legal adecvat pentru prelucrarea datelor introduse.
Nu introducă categorii speciale de date (sănătate, biometrice, etc.) fără notificarea prealabilă a TRADI TEX PROD SRL.
Notifice imediat TRADI TEX PROD SRL dacă instrucțiunile de prelucrare contrazic legislația aplicabilă.
Păstreze confidențialitatea datelor de autentificare ale contului.

6. Sub-procesatori autorizați

Prin acceptarea prezentului acord, Operatorul autorizează utilizarea următorilor sub-procesatori:

Sub-procesator	Sediu	Rol	Garanții
Stripe Inc.	SUA (SCCs + DPA)	Procesare plăți	Stripe DPA, PCI-DSS Level 1
Furnizor hosting	UE (România/Germania)	Hosting infrastructură, stocare date	ISO 27001, GDPR Art. 28
Furnizor SMTP	UE	Trimitere email-uri tranzacționale	GDPR Art. 28

Vom notifica Operatorul cu 14 zile înainte de orice modificare a listei de sub-procesatori. Operatorul are dreptul de a obiecta în scris în acest termen.

7. Transferuri internaționale de date

Datele sunt stocate și prelucrate în principal pe servere din Uniunea Europeană. Transferul către Stripe Inc. (SUA) se efectuează pe baza Clauzelor Contractuale Standard (SCCs) aprobate de Comisia Europeană (Decizia 2021/914). Nu efectuăm transferuri către țări terțe fără garanții adecvate.

8. Măsuri tehnice și organizatorice de securitate

Criptare în tranzit: TLS 1.2+ pentru toate conexiunile
Criptare la repaus: Parole hashed cu bcrypt (cost factor 12+)
Autentificare: 2FA TOTP disponibil pentru toate conturile
Acces bazat pe roluri: Segregare strictă tenant / rol (superadmin, admin, inginer, muncitor)
Audit log: Toate acțiunile critice înregistrate cu timestamp + IP + utilizator
Rate limiting: Protecție brute-force la autentificare și reset parolă
Backup: Backup zilnic criptat, retenție 30 zile
Monitoring: Alertare automată pentru anomalii de securitate
Politică acces intern: Principiul minimului privilegiu pentru personalul TRADI TEX PROD SRL

9. Drepturile persoanelor vizate

Platforma oferă funcționalități native pentru exercitarea drepturilor prevăzute de GDPR:

Dreptul de acces (art. 15): Export complet date personale disponibil din cont (JSON)
Dreptul la rectificare (art. 16): Editare profil personal din aplicație
Dreptul la ștergere (art. 17): Funcție „Șterge contul" cu anonimizare completă
Dreptul la portabilitate (art. 20): Export date în format JSON/CSV
Dreptul de opoziție (art. 21): Dezactivare date opționale din setările profilului

Solicitările din partea angajaților Operatorului referitoare la drepturile GDPR trebuie gestionate de Operator. TRADI TEX PROD SRL oferă suport tehnic Operatorului în acest scop.

10. Notificarea breșelor de securitate

În cazul identificării unei breșe de securitate care implică date cu caracter personal, TRADI TEX PROD SRL va:

Notifica Operatorul în cel mult 48 de ore de la constatare, la adresa de email a administratorului de cont.
Furniza informații despre natura breșei, categoriile de date afectate și măsurile luate.
Coopera cu Operatorul pentru notificarea ANSPDCP (dacă breșa depășește pragul art. 33 GDPR).

11. Retenția și ștergerea datelor

Categorie date	Perioadă retenție	Acțiune la expirare
Date cont activ	Durata abonamentului + 30 zile	Ștergere/anonimizare la cerere
Date pont/prezență	5 ani (obligație legală Codul Muncii)	Arhivare criptată
Facturi/documente fiscale	10 ani (Legea contabilității)	Arhivare conform cerințelor legale
Log-uri de audit	1 an	Ștergere automată
Date GPS check-in/out	2 ani	Anonimizare

12. Autoritatea de supraveghere

Autoritatea competentă în România este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP):

Web: www.dataprotection.ro
Email: anspdcp@dataprotection.ro
Telefon: +40 318 059 211

13. Modificări ale acordului

TRADI TEX PROD SRL poate modifica prezentul acord pentru a reflecta schimbări legislative sau operaționale. Modificările semnificative vor fi comunicate cu minimum 30 de zile înainte. Continuarea utilizării platformei după această perioadă constituie acceptarea tacită a noilor termeni.

14. Contact DPO

Pentru orice solicitare legată de prelucrarea datelor sau exercitarea drepturilor GDPR:

Responsabil Protecția Datelor (DPO): contact@buildmanage.eu

Prin utilizarea platformei BuildManage, Operatorul confirmă că a citit, înțeles și acceptat prezentul Acord de Prelucrare a Datelor, care constituie parte integrantă din Termenii și Condițiile de utilizare.