În vigoare din 18 octombrie 2026
Versiunea 2026-10-18
33 de minute de citit
Read in English

Data intrării în vigoare și data ultimei actualizări: 18 octombrie 2026

Acest Acord de prelucrare a datelor ("DPA") face parte din Termenii și condițiile Harmoniq (https://harmoniq.ro/legal/terms) sau din alt acord scris ("Acordul") încheiat între:

(1) compania, instituția sau altă organizație care a contractat serviciul Harmoniq pentru gestionarea propriului personal și a activității sale ("Client", "Operator"); și

(2) SYNCDEV S.R.L., înregistrată la Registrul Comerțului din România sub nr. J2014000164361, EUID ROONRC.J2014000164361, CUI / cod de identificare fiscală 33129339, cu sediul social în Str. Fetițelor nr. 4, camera nr. 1, 820035 Tulcea, județul Tulcea, România ("SYNCDEV", "Harmoniq", "Persoana Împuternicită").

Acest DPA are ca scop îndeplinirea articolului 28 alineatele (3) și (4) din Regulamentul (UE) 2016/679 ("GDPR"). Părțile pot semna acest document electronic sau îl pot accepta ca parte a Acordului online. Proprietarul contului Clientului îl acceptă în numele Clientului la înscriere.

1. Definiții și prioritate#

"Datele cu Caracter Personal ale Clientului" înseamnă datele cu caracter personal prelucrate de SYNCDEV în numele Clientului prin intermediul Harmoniq.

"Legislația privind Protecția Datelor" înseamnă GDPR, Legea română nr. 190/2018, normele aplicabile de transpunere a Directivei 2002/58/CE, precum și orice altă legislație privind protecția datelor aplicabilă prelucrării.

"Persoana Vizată", "date cu caracter personal", "prelucrare", "operator", "persoană împuternicită de operator", "încălcarea securității datelor cu caracter personal" și "autoritate de supraveghere" au înțelesurile date de GDPR.

"Subprocesator" înseamnă o altă persoană împuternicită de operator (persoană împuternicită subsecventă) angajată de SYNCDEV pentru a prelucra Datele cu Caracter Personal ale Clientului.

"Proprietarul contului" înseamnă utilizatorul Clientului care deține rolul de proprietar al contului companiei în Harmoniq.

Dacă acest DPA intră în conflict cu Acordul cu privire la protecția Datelor cu Caracter Personal ale Clientului, prevalează acest DPA. Dacă Clauzele Contractuale Standard ale Comisiei Europene utilizate pentru un transfer internațional intră în conflict cu acest DPA, acele clauze prevalează pentru transferul respectiv.

2. Roluri și domeniu de aplicare#

Clientul stabilește scopurile și mijloacele esențiale de prelucrare a Datelor cu Caracter Personal ale Clientului în cadrul gestionării personalului său, a organizării, a performanței, a comunicării interne și, acolo unde folosește modulul de clienți (CRM), a relației cu propriii săi clienți. Clientul este operatorul, iar SYNCDEV este persoana împuternicită de operator.

SYNCDEV este operator separat pentru propria sa relație cu potențiali clienți și clienți, site-ul public și formularele sale, înscrierea și perioada de probă, administrarea contului SaaS, facturarea abonamentului, relația directă de suport, securitatea platformei și conformitatea juridică, astfel cum se descrie în Politica de confidențialitate Harmoniq (https://harmoniq.ro/legal/privacy). Acest DPA nu se aplică acelei prelucrări realizate ca operator independent.

Companiile demonstrative publice de pe site conțin numai date inventate și nu conțin Date cu Caracter Personal ale Clientului.

Detaliile prelucrării impuse de articolul 28 alineatul (3) din GDPR se regăsesc în Anexa 1.

3. Instrucțiunile Clientului#

SYNCDEV va prelucra Datele cu Caracter Personal ale Clientului numai:

pentru a furniza, securiza, întreține și sprijini serviciul Harmoniq;
astfel cum este configurat sau inițiat de Client și de utilizatorii săi autorizați prin intermediul serviciului;
astfel cum este descris în Acord, în acest DPA și în Anexele acestuia;
pentru a furniza o funcționalitate activată în mod expres de Client, cum ar fi asistentul AI, notificările prin SMS sau API-ul companiei; și
în baza altor instrucțiuni scrise documentate acceptate de SYNCDEV.

Acordul, acest DPA, configurarea de către Client și utilizarea autorizată a unei funcționalități constituie instrucțiuni documentate.

SYNCDEV nu va vinde Datele cu Caracter Personal ale Clientului, nu le va utiliza pentru propria publicitate, nu le va combina cu date provenite de la alți clienți și nu le va utiliza pentru antrenarea (training) unor modele de inteligență artificială.

Dacă dreptul Uniunii sau al unui stat membru impune o prelucrare care depășește instrucțiunile Clientului, SYNCDEV va informa Clientul înainte de prelucrare, cu excepția cazului în care legea interzice această notificare din motive importante de interes public.

SYNCDEV va informa Clientul fără întârzieri nejustificate dacă, în opinia sa, o instrucțiune încalcă Legislația privind Protecția Datelor. SYNCDEV poate suspenda prelucrarea afectată în timp ce părțile clarifică sau modifică instrucțiunea.

4. Obligațiile Clientului#

Clientul garantează și se angajează că:

dispune de un temei juridic valabil pentru fiecare scop de prelucrare și a furnizat toate informațiile impuse de articolele 13 și 14 din GDPR, inclusiv informarea angajaților săi cu privire la utilizarea Harmoniq și, acolo unde folosește modulul CRM, a propriilor clienți;
instrucțiunile sale respectă Legislația privind Protecția Datelor;
colectează și utilizează numai date cu caracter personal adecvate, relevante și necesare;
deține drepturile și autoritatea necesare pentru a încărca, divulga sau instrui prelucrarea datelor și a conținutului;
prelucrează codul numeric personal (CNP) și datele privind sănătatea numai în condițiile Secțiunii 10;
nu va utiliza Harmoniq pentru discriminare ilegală sau pentru decizii exclusiv automatizate interzise de articolul 22 din GDPR;
nu va încărca alte date din categorii speciale decât cele privind sănătatea descrise în Anexa 1, date privind condamnări penale și infracțiuni sau date ale copiilor, cu excepția cazului în care acest lucru este strict necesar, convenit expres cu SYNCDEV și susținut de toate condițiile și garanțiile legale impuse;
configurează în mod legal rolurile, permisiunile, aria de acces a managerilor, perioadele de păstrare, notificările, comunicările, consimțămintele de marketing din CRM și integrările;
activează asistentul AI numai după ce a evaluat transmiterea datelor către furnizorul AI descris în Anexa 3 și a informat Persoanele Vizate;
răspunde Persoanelor Vizate și autorităților în calitate de operator; și
utilizatorii săi autorizați păstrează în siguranță parolele, codurile de autentificare și cheile API sau de integrare.

Clientul răspunde de acuratețea, calitatea și legalitatea Datelor cu Caracter Personal ale Clientului și de mijloacele prin care acestea au fost obținute.

5. Confidențialitate și personal#

SYNCDEV se va asigura că persoanele autorizate să prelucreze Datele cu Caracter Personal ale Clientului:

sunt supuse unei obligații contractuale sau legale de confidențialitate;
primesc acces numai în măsura necesară pentru îndeplinirea atribuțiilor lor;
primesc instrucțiuni corespunzătoare privind confidențialitatea și securitatea; și
prelucrează datele numai în modul permis de acest DPA.

Echipa platformei SYNCDEV accesează Datele cu Caracter Personal ale Clientului numai pentru suport, la cererea Clientului, și pentru securitate și operare. Accesul personalului de suport în contul Clientului (impersonarea în scop de suport) este posibil numai din consola platformei, cu autentificare în doi pași, printr-un link de unică folosință valabil 60 de secunde; sesiunea este limitată la cel mult 30 de minute, este utilizată numai în scopul autorizat de suport și este înregistrată în istoricul de activitate al Clientului. Pe durata impersonării, aplicația refuză acțiunile pe care numai persoana însăși le poate face, iar mesajele directe ale persoanei nu sunt afișate.

6. Securitate#

Ținând cont de stadiul actual al tehnologiei, de costurile de implementare, de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscul pentru persoanele fizice, SYNCDEV va implementa și va menține măsuri tehnice și organizatorice adecvate în temeiul articolului 32 din GDPR.

Măsurile de bază sunt descrise în Anexa 2. SYNCDEV poate actualiza măsurile pentru a răspunde riscurilor și evoluției tehnologice, cu condiția ca nivelul general de protecție să nu fie redus în mod semnificativ.

Clientul recunoaște că securitatea este o responsabilitate comună. Clientul trebuie să configureze în mod corespunzător rolurile și permisiunile, să activeze sau să impună autentificarea în doi pași acolo unde este necesară, să securizeze dispozitivele și datele de acreditare, să mențină listele utilizatorilor autorizați, să restrângă cheile API la drepturile și adresele IP necesare și să raporteze prompt orice suspiciune de compromitere.

7. Încălcări ale securității datelor cu caracter personal#

SYNCDEV va notifica Clientul fără întârzieri nejustificate după ce ia cunoștință de o încălcare a securității datelor cu caracter personal care afectează Datele cu Caracter Personal ale Clientului. Notificarea nu este condiționată de confirmarea încălcării sau de finalizarea investigației. Atunci când este fezabil, SYNCDEV va transmite o notificare inițială în termen de 24 de ore de la luarea la cunoștință. Acest termen de 24 de ore este un obiectiv operațional în interiorul obligației prioritare de notificare fără întârzieri nejustificate și nu amână niciodată notificarea dincolo de aceasta.

Notificarea se transmite prin e-mail Proprietarului contului și, acolo unde este cazul, altor persoane de contact desemnate de Client.

Notificarea va furniza informațiile disponibile SYNCDEV privind:

natura încălcării, datele afectate și numărul/categoriile aproximative de Persoane Vizate și înregistrări;
consecințele probabile;
măsurile luate sau propuse pentru limitarea și remedierea acesteia;
un punct de contact pentru monitorizare ulterioară; și
informațiile necesare în mod rezonabil pentru evaluarea Clientului conform articolelor 33 și 34 din GDPR.

Atunci când faptele nu sunt încă stabilite, SYNCDEV va transmite o notificare preliminară cu informațiile disponibile în acel moment, fără a aștepta finalizarea investigației, și o va completa în etape, pe măsură ce apar informații suplimentare. Notificarea nu constituie o recunoaștere a vinovăției sau a răspunderii.

SYNCDEV va lua măsuri rezonabile pentru limitarea, investigarea și remedierea încălcării și va coopera cu Clientul. Clientul rămâne responsabil pentru decizia dacă și cum să notifice o autoritate de supraveghere sau Persoanele Vizate, cu excepția cazului în care legea atribuie această obligație direct SYNCDEV.

8. Cererile Persoanelor Vizate#

Ținând cont de natura prelucrării, SYNCDEV va furniza asistență tehnică și organizatorică rezonabilă pentru a ajuta Clientul să răspundă cererilor formulate în temeiul Capitolului III din GDPR.

Harmoniq include funcții care ajută Clientul să răspundă acestor cereri:

exportul tuturor datelor unei persoane într-o arhivă structurată (fișiere JSON, câte unul pentru fiecare tip de înregistrare, împreună cu fișierele atașate);
rectificarea datelor direct în fișele din aplicație și, acolo unde Clientul permite, de către persoana însăși;
cererile depuse de angajați din propriul cont, cu urmărirea termenului legal de 30 de zile;
anonimizarea foștilor angajați, cu păstrarea evidențelor pe care legea obligă Clientul să le păstreze, fără date de identificare;
pentru clienții Clientului din CRM: exportul datelor, ștergerea cu păstrarea cifrelor în formă anonimizată și istoricul consimțămintelor de marketing.

Clientul rămâne responsabil pentru aplicarea excepțiilor legale corecte și pentru confirmarea răspunsului său către Persoana Vizată.

Dacă SYNCDEV primește o cerere privind Datele cu Caracter Personal ale Clientului direct de la o Persoană Vizată, nu va răspunde pe fond decât dacă este autorizat de Client sau dacă acest lucru este impus de lege. Atunci când solicitantul și Clientul pot fi identificați, SYNCDEV va îndruma solicitantul către Client sau va transmite cererea acestuia fără întârzieri nejustificate.

9. Asistență pentru conformitate#

Ținând cont de natura prelucrării și de informațiile disponibile, SYNCDEV va furniza asistență rezonabilă pentru obligațiile Clientului prevăzute la articolele 32-36 din GDPR, inclusiv securitate, evaluarea încălcărilor, evaluări ale impactului asupra protecției datelor și consultare prealabilă.

Evaluarea performanței angajaților, prelucrarea datelor privind sănătatea și a CNP-ului pot face necesară, la Client, o evaluare a impactului asupra protecției datelor. La cerere, SYNCDEV furnizează informațiile de care Clientul are nevoie în mod rezonabil pentru aceasta, inclusiv descrierea prelucrării, a fluxurilor de date, a măsurilor din Anexa 2 și a Subprocesatorilor din Anexa 3, conform articolului 28 alineatul (3) litera (f) din GDPR.

Asistența inclusă în funcțiile standard ale produsului este acoperită de abonament. Lucrările substanțiale personalizate pot fi facturate la tariful convenit pentru servicii profesionale, cu condiția ca SYNCDEV să ofere notificare prealabilă, iar taxarea să nu împiedice Clientul să își îndeplinească o obligație legală.

10. Prelucrări care cer atenție deosebită#

10.1. Date privind sănătatea#

Harmoniq poate conține date privind sănătatea dacă Clientul le înregistrează: tipurile de concediu medical și certificatele atașate cererilor de concediu, precum și rezultatele controlului medical de medicina muncii și documentele din evidențele de securitate și sănătate în muncă (SSM). Clientul decide dacă le înregistrează și le prelucrează numai în măsura impusă de obligațiile sale în domeniul ocupării forței de muncă, al securității sociale și al protecției sociale, în temeiul articolului 9 alineatul (2) litera (b) din GDPR. Clientul restrânge accesul la aceste date prin rolurile și permisiunile din Harmoniq. Semnalele afișate managerilor nu folosesc niciodată concediile medicale.

10.2. Codul numeric personal (CNP)#

Clientul prelucrează CNP-ul numai în condițiile articolului 4 din Legea nr. 190/2018 și ale legislației muncii, pentru îndeplinirea obligațiilor sale de angajator. În Harmoniq, CNP-ul este criptat în baza de date, căutarea după CNP se face printr-un index criptografic separat, nu apare în liste, în jurnale sau în istoricul modificărilor, iar valoarea completă este vizibilă numai utilizatorilor cărora Clientul le-a acordat permisiunea dedicată datelor sensibile.

10.3. Scoruri calculate automat#

Harmoniq calculează scoruri de performanță, niveluri și bonusuri pe baza formulelor și a regulilor definite de Client și afișează semnale pentru manageri (de exemplu, un scor în scădere trei perioade la rând, instruiri depășite sau controale SSM expirate). Datele lipsă nu sunt niciodată socotite zero, iar fiecare rezultat păstrează versiunea formulei și datele de intrare folosite. Harmoniq nu ia decizii. Înainte de orice decizie care produce efecte juridice sau efecte similare semnificative asupra unei persoane (de exemplu, remunerare, sancțiuni sau încetarea contractului), Clientul asigură intervenția umană, posibilitatea persoanei de a-și exprima punctul de vedere și de a contesta decizia și informează angajații despre modul în care sunt calculate scorurile, conform articolului 22 din GDPR.

10.4. Chestionare anonime#

Răspunsurile la chestionarele anonime sunt păstrate sigilate până la închiderea chestionarului, apoi sunt înregistrate toate odată, în ordine aleatorie, fără legătură cu identitatea sau cu momentul răspunsului; rezultatele sunt afișate numai de la cinci răspunsuri. Conținutul unui răspuns text poate totuși identifica autorul, iar Clientul ține seama de acest lucru la formularea întrebărilor și la folosirea rezultatelor.

10.5. Asistentul AI#

Asistentul AI funcționează numai dacă abonamentul Clientului include această funcție și Clientul l-a activat în setările companiei; nu funcționează în companiile demonstrative și nici în timp ce cineva este autentificat în numele altei persoane. Asistentul acționează ca utilizatorul care îl folosește și numai în limitele drepturilor și ale ariei acestuia. Modificările propuse de asistent se salvează numai după ce utilizatorul le confirmă, cu toate verificările aplicate din nou.

Numele, adresele de e-mail și numerele de telefon ale persoanelor sunt transmise furnizorului AI numai sub formă de pseudonime (de exemplu, «C1», «P1», «E1», «T1») și sunt înlocuite la loc pe serverele SYNCDEV; denumirile organizațiilor și ale unităților și cifrele sunt transmise ca atare; în textele libere (comentarii, note) numele cunoscute sunt înlocuite cu pseudonime. Pseudonimizarea reduce riscul, dar nu face datele anonime: un text liber poate conține alte elemente de identificare. Conversațiile sunt păstrate cel mult două ore în memoria temporară a serviciului, apoi se șterg. Utilizarea se înregistrează numai ca metadate (cine, când, funcția, volumul), niciodată textul trimis sau primit. Răspunsurile asistentului sunt sugestii pe care utilizatorul trebuie să le verifice.

Dacă Clientul folosește contul AI al platformei, furnizorul AI este Subprocesator al SYNCDEV (Anexa 3). Dacă Clientul își conectează propriul cont AI, cererile sunt transmise, la instrucțiunea Clientului, furnizorului ales și contractat direct de Client, cu cheia configurată de acesta (păstrată criptat); acel furnizor nu este Subprocesator al SYNCDEV, iar condițiile sale privind păstrarea, antrenarea și transferul datelor sunt cele din contractul Clientului cu el.

11. Subprocesatori#

Clientul acordă SYNCDEV o autorizație scrisă generală de a utiliza Subprocesatorii din Registrul Subprocesatorilor actual. Registrul este Anexa 3 și este publicat, cu aceleași informații și cu data ultimei modificări, la https://harmoniq.ro/legal/subprocessors.

Înainte ca un nou Subprocesator să înceapă prelucrarea Datelor cu Caracter Personal ale Clientului, SYNCDEV va:

efectua o evaluare proporțională a confidențialității și securității;
încheia un contract scris care impune obligații privind protecția datelor cel puțin la fel de protectoare ca obligațiile relevante din prezentul DPA;
actualiza registrul; și
notifica Clientul cu cel puțin 30 de zile în avans, prin e-mail transmis Proprietarului contului și pe pagina registrului, cu excepția cazului în care este necesară o înlocuire urgentă pentru a proteja securitatea, a preveni întreruperea serviciului sau a respecta legea; în acest caz, SYNCDEV notifică Clientul cât mai curând posibil, iar Clientul își păstrează dreptul de obiecție.

Clientul poate formula obiecții în perioada de notificare, la dpa@harmoniq.ro, pe motive rezonabile și documentate privind protecția datelor. Părțile vor colabora cu bună-credință pentru a găsi o soluție rezonabilă din punct de vedere comercial, cum ar fi evitarea funcției afectate. Dacă nu este disponibilă nicio soluție rezonabilă, oricare dintre părți poate rezilia numai funcția opțională afectată sau, atunci când Subprocesatorul este necesar pentru serviciul de bază, Clientul poate rezilia Acordul înainte ca Subprocesatorul să înceapă prelucrarea. Drepturile de reziliere nu dau naștere unei rambursări dincolo de sumele impuse de Acord sau de legea obligatorie.

SYNCDEV rămâne răspunzător față de Client pentru îndeplinirea de către fiecare Subprocesator a obligațiilor sale de persoană împuternicită de operator, în măsura impusă de articolul 28 alineatul (4) din GDPR.

12. Transferuri internaționale#

Datele cu Caracter Personal ale Clientului sunt găzduite în Spațiul Economic European (SEE). SYNCDEV nu va transfera Datele cu Caracter Personal ale Clientului în afara SEE și nu va permite accesul dintr-o țară terță, cu excepția:

cazului în care Clientul a dat instrucțiuni documentate în acest sens; sau
situației în care există un mecanism de transfer valid conform Capitolului V din GDPR și măsurile suplimentare necesare.

În funcție de destinatar, mecanismul poate fi o decizie de adecvare aplicabilă, participarea valabilă a destinatarului la Cadrul UE-SUA privind Confidențialitatea Datelor (EU-US Data Privacy Framework) pentru datele acoperite, sau Clauzele Contractuale Standard ale Comisiei Europene adoptate prin Decizia (UE) 2021/914. La data prezentului DPA, singurii Subprocesatori la care poate avea loc un transfer în afara SEE sunt furnizorii AI din Anexa 3, numai pentru Clienții care au activat asistentul AI.

Atunci când sunt necesare Clauze Contractuale Standard:

se aplică modulul corespunzător operator-persoană împuternicită sau persoană împuternicită-persoană împuternicită;
Anexele 1-3 ale prezentului DPA pot furniza informațiile factuale corespunzătoare din anexă, în măsura în care sunt complete;
se aplică clauza opțională de aderare (docking clause);
legea română guvernează clauzele acolo unde trebuie selectată legea unui stat membru;
instanțele române reprezintă forul ales, acolo unde este permis; și
SYNCDEV va efectua și documenta o evaluare a impactului transferului și garanții suplimentare, atunci când este necesar.

SYNCDEV va pune la dispoziția Clientului, la cerere, informații privind garanția relevantă, sub rezerva redactărilor necesare pentru confidențialitate.

13. Returnare, export și ștergere#

Pe durata Acordului și a perioadei de închidere descrise mai jos, Proprietarul contului poate descărca oricând, din pagina "Datele și contul companiei", exportul complet al Datelor cu Caracter Personal ale Clientului într-o formă structurată, utilizată în mod curent și prelucrabilă automat: o arhivă ZIP cu câte un fișier CSV (UTF-8) pentru fiecare tabel care conține datele Clientului, împreună cu toate fișierele încărcate (documente, fotografii, atașamente). Exportul conține CNP-urile în clar, deoarece sunt datele Clientului, și nu conține parole, secrete de autentificare în doi pași, tokenuri de acces sau chei de notificare. Clienții cu acces la API-ul companiei își pot citi datele și prin API. Structurile, formatele, identificatorii și limitările tehnice cunoscute sunt prezentate în Registrul de export al datelor și de schimbare a furnizorului, la https://harmoniq.ro/legal/switching.

La încetare sau la instrucțiunea scrisă de ștergere a Clientului, Clientul alege între restituire (prin export) sau ștergere, cu excepția cazului în care Acordul consemnează deja această alegere. Închiderea contului este inițiată de Proprietarul contului, personal, din aplicație. Sub rezerva verificării securității și identității:

abonamentul se anulează la închidere, iar utilizatorii Clientului nu mai au acces la aplicație;
timp de 30 de zile de la închidere, Proprietarul contului poate descărca exportul complet sau poate redeschide contul; cu șapte zile înainte de ștergere, Proprietarul contului primește un avertisment;
după expirarea celor 30 de zile, Datele cu Caracter Personal ale Clientului active sunt șterse definitiv, împreună cu fișierele încărcate și domeniile proprii configurate; se păstrează numai o evidență a ștergerii, cu numărul înregistrărilor șterse, fără conținutul datelor;
copiile de rezervă criptate expiră prin rotație, astfel încât nicio copie nu este mai veche de aproximativ 90 de zile (Anexa 2); ele sunt utilizate numai pentru restaurare în caz de incident;
dacă o copie de rezervă este restaurată, ștergerile și anonimizările înregistrate după data copiei sunt reaplicate înainte de redeschiderea serviciului; și
SYNCDEV va furniza, la cerere, o confirmare rezonabilă a finalizării ștergerii.

Facturile emise de SYNCDEV către Client pentru abonament sunt păstrate de SYNCDEV, în calitate de operator, împreună cu datele de facturare ale Clientului, pe durata impusă de legislația contabilă și fiscală. Conform actualului articol 25 din Legea contabilității nr. 82/1991, termenul general de păstrare a documentelor justificative este de cinci ani de la data de 1 iulie a anului următor, sub rezerva altor termene legale specifice și a măsurilor documentate de conservare legală (legal holds).

Dacă dreptul Uniunii sau al unui stat membru aplicabil SYNCDEV impune păstrarea ulterioară instrucțiunii de ștergere a Clientului, SYNCDEV va izola datele, le va prelucra numai în acel scop legal, le va proteja și le va șterge la încetarea cerinței respective. Acolo unde este permis legal, SYNCDEV va informa Clientul cu privire la această cerință.

Încetarea perioadei de probă, suspendarea, retrogradarea (downgrade) sau neplata nu constituie, prin ele însele, o instrucțiune de ștergere permanentă. Pe durata acestor stări nedistructive, contul poate fi restricționat, dar datele Clientului nu sunt șterse, astfel cum se descrie în Acord.

14. Demonstrarea conformității și audituri#

SYNCDEV va pune la dispoziție informațiile necesare în mod rezonabil pentru a demonstra conformitatea cu articolul 28 din GDPR și cu prezentul DPA.

Nu mai mult de o dată la fiecare 12 luni, cu excepția cazului în care o încălcare a securității, o solicitare a autorității de supraveghere sau o neconformitate materială credibilă justifică mai mult, Clientul poate audita conformitatea. Părțile vor utiliza metoda cea mai puțin perturbatoare:

documentație, rapoarte disponibile și răspunsuri scrise;
o analiză la distanță, cu obiect delimitat; și
o inspecție la fața locului numai în cazul în care dovezile anterioare sunt insuficiente.

Clientul trebuie să acorde un preaviz de cel puțin 30 de zile, cu excepția cazului în care un motiv juridic urgent împiedică acest lucru. Auditorii trebuie să fie independenți, calificați, să nu fie concurenți direcți ai SYNCDEV și să fie ținuți de obligații de confidențialitate. Un audit nu poate compromite datele unui alt client, securitatea sistemului sau informațiile privilegiate. Clientul suportă propriile costuri; SYNCDEV suportă costurile sale obișnuite de cooperare, dar poate percepe costuri rezonabile convenite în prealabil pentru lucrări personalizate neobișnuit de împovărătoare.

Restricțiile privind auditul nu limitează competențele unei autorități de supraveghere competente.

15. Evidențe și cooperare cu autoritățile de supraveghere#

SYNCDEV va menține evidențele impuse unei persoane împuternicite de operator în temeiul articolului 30 alineatul (2) din GDPR și va coopera cu autoritățile de supraveghere competente, conform cerințelor articolelor 31 și 58 din GDPR.

16. Răspunderea#

Răspunderea dintre părți este guvernată de Acord, sub rezerva articolelor 82 și 83 din GDPR și a oricărei răspunderi care nu poate fi exclusă sau limitată în mod legal. Nimic din Acord sau din DPA nu privează o Persoană Vizată de drepturi sau căi de atac prevăzute de Legislația privind Protecția Datelor.

17. Durata și încetarea#

Prezentul DPA începe atunci când SYNCDEV prelucrează pentru prima dată Date cu Caracter Personal ale Clientului în temeiul Acordului și continuă până la încetarea acelei prelucrări, inclusiv perioada de închidere și de ștergere. Prevederile care trebuie, în mod logic, să supraviețuiască, inclusiv confidențialitatea, restricțiile privind datele reținute, auditurile aferente termenului contractual și protecțiile privind transferurile internaționale, rămân în vigoare atâta timp cât datele relevante sunt păstrate.

SYNCDEV poate modifica prezentul DPA prin publicarea unei versiuni noi, anunțată în prealabil Proprietarului contului, conform Acordului; o modificare nu poate reduce nivelul de protecție a Datelor cu Caracter Personal ale Clientului.

18. Legea aplicabilă și contact#

Prezentul DPA este guvernat de legea română, fără a aduce atingere drepturilor obligatorii prevăzute de GDPR și prevederilor privind jurisdicția din orice Clauze Contractuale Standard aplicabile.

Contact pentru prezentul DPA, notificări privind Subprocesatorii, incidente și audituri: dpa@harmoniq.ro. Pentru alte întrebări privind protecția datelor: privacy@harmoniq.ro. SYNCDEV nu a desemnat un responsabil cu protecția datelor.

Anexa 1 — Detalii privind prelucrarea#

A. Obiectul#

Furnizarea serviciului SaaS multi-tenant Harmoniq pentru gestionarea resurselor umane și a performanței, în măsura activată și utilizată de Client: personal și organizare (fișe de angajat, încadrări în unități, departamente, posturi și echipe, câmpuri personalizate), conturi de utilizator, roluri, aria de acces a managerilor, delegări și înlocuitori, aprobări, notificări (în aplicație, prin e-mail, prin browser și, dacă Clientul le activează, prin SMS), calendar, concedii și absențe, performanță (indicatori, formule, fișe de evaluare, scoruri, niveluri, bonusuri, grile de evaluare, obiective, semnale), învățare (cursuri, teste, înscrieri, certificate), comunicare internă (flux, anunțuri cu confirmare de citire, grupuri, aprecieri, sondaje, evenimente, albume foto, mesaje directe), baza de cunoștințe, documente cu alerte de expirare, solicitări de servicii și materiale, evidențe SSM, audituri interne și planuri de acțiuni, raportare foto, chestionare (inclusiv anonime), CRM (clienții Clientului, oportunități, activități, feedback, consimțăminte), rapoarte și exporturi, importuri, API-ul companiei, asistentul AI, instrumentele GDPR și suportul.

B. Durata#

Pe durata Acordului, a perioadei de 30 de zile de după închiderea contului și a ciclului de expirare a copiilor de rezervă de cel mult aproximativ 90 de zile, precum și a oricărei perioade legale de păstrare descrise în Secțiunea 13.

C. Natura și scopul#

Colectare, înregistrare, organizare, structurare, stocare, adaptare, extragere, consultare, utilizare, calculare (de exemplu, scoruri pe baza formulelor definite de Client), transmitere către destinatari autorizați de Client, restricționare, export, pseudonimizare, anonimizare și ștergere, exclusiv pentru furnizarea, securizarea, susținerea și îmbunătățirea serviciului contractat, conform instrucțiunilor Clientului.

"Îmbunătățirea" nu autorizează antrenarea (training) unui model AI al unui furnizor pe baza Datelor cu Caracter Personal ale Clientului. Orice astfel de utilizare necesită o instrucțiune legală separată și o notificare sau un consimțământ corespunzător, acolo unde este aplicabil.

D. Categorii de Persoane Vizate#

angajații, colaboratorii, stagiarii și foștii angajați ai Clientului;
utilizatorii autorizați ai Clientului, inclusiv managerii, administratorii și Proprietarul contului;
candidații, dacă Clientul îi înregistrează;
clienții Clientului (persoane fizice) și persoanele de contact ale organizațiilor clientelei sale, în modulul CRM;
persoanele de contact ale Clientului, ale furnizorilor și ale partenerilor săi; și
persoanele ale căror nume, imagini sau alți identificatori apar în conținutul încărcat de Client (documente, fotografii, mesaje, comentarii, note).

E. Categorii de date cu caracter personal#

date de identitate și de contact: nume, prenume, marcă, e-mail, telefon, adresă, data nașterii;
CNP-ul, criptat și vizibil integral numai cu permisiunea dedicată;
date privind angajarea: contracte, date de angajare și de încetare, încadrări (unitate, departament, post, echipă), manageri, delegări, câmpuri personalizate (cele marcate ca sensibile sunt criptate);
date de cont și de securitate: e-mail de autentificare, hash-ul parolei, autentificare în doi pași, roluri, permisiuni, sesiuni, ultima activitate, istoricul acțiunilor;
timp de lucru, concedii și absențe: cereri, solduri, aprobări, inclusiv concediile medicale și certificatele atașate;
securitate și sănătate în muncă: instruiri, evidențe SSM, inclusiv rezultatele controlului medical de medicina muncii;
învățare: înscrieri, progres, răspunsuri la teste, note, certificate;
performanță: valori ale indicatorilor, scoruri, niveluri, bonusuri calculate, evaluări cu puncte și comentarii, obiective, semnale;
fotografii și documente încărcate, inclusiv fotografia de profil;
comunicare internă: postări, comentarii, reacții, aprecieri, voturi, răspunsuri la evenimente, confirmări de citire, vizualizări, profilul ales de persoană, mesaje directe și atașamentele lor (păstrate cât stabilește Clientul), răspunsuri la chestionare (cele anonime nu sunt legate de persoană), solicitări și atașamentele lor;
date CRM: datele de identitate și de contact ale clienților Clientului, oportunități, activități (apeluri, vizite, cumpărături cu sume), feedback, reclamații și evaluări, consimțăminte de marketing și istoricul lor;
date tehnice: adresa IP și agentul de navigator în sesiuni și în jurnalele de securitate, jurnalul apelurilor API, abonamentele la notificările din browser;
cererile adresate asistentului AI și răspunsurile acestuia, cu persoanele pseudonimizate conform Secțiunii 10.5; și
orice alte date cu caracter personal pe care Clientul optează să le introducă în conformitate cu prezentul DPA.

F. Date sensibile#

Harmoniq poate prelucra date privind sănătatea (concedii medicale și certificatele atașate, rezultatele controlului medical de medicina muncii), numai în condițiile Secțiunii 10.1 și în temeiul articolului 9 alineatul (2) litera (b) din GDPR. Nu se preconizează prelucrarea altor categorii speciale prevăzute la articolul 9 din GDPR, a datelor privind condamnări penale și infracțiuni prevăzute la articolul 10 sau a datelor referitoare la copii. Astfel de date pot fi prelucrate numai în temeiul unui amendament expres, în scris, care să acopere necesitatea, condiția legală și garanțiile suplimentare.

G. Frecvență#

Continuă sau inițiată de Client și de utilizatorii săi.

H. Drepturile și obligațiile Operatorului#

Conform celor prevăzute în Acord, în DPA și în GDPR, inclusiv determinarea scopurilor și a temeiurilor juridice, transmiterea informărilor, gestionarea drepturilor Persoanelor Vizate, configurarea funcționalităților și emiterea de instrucțiuni legale.

Anexa 2 — Măsuri tehnice și organizatorice#

1. Controlul accesului#

conturi individuale și nicio credențială privilegiată partajată;
acces bazat pe roluri și permisiuni, cu principiul privilegiului minim; un manager vede numai persoanele din aria sa;
nimeni nu poate acorda altcuiva mai multe drepturi decât deține el însuși; contul companiei păstrează întotdeauna cel puțin un Proprietar;
delegările și înlocuirile sunt limitate în timp și verificate la fiecare utilizare;
autentificare în doi pași (TOTP) obligatorie pentru echipa platformei, configurată prin linkuri de unică folosință, și autentificare în doi pași pentru utilizatorii Clientului, pe care Clientul o poate face obligatorie;
impersonarea în scop de suport controlată, limitată în timp și înregistrată în istoricul Clientului (Secțiunea 5);
chei API cu drepturi (scopuri) limitate, listă opțională de adrese IP permise și înregistrarea fiecărui apel;
confirmarea parolei înaintea acțiunilor sensibile ale echipei platformei; și
obligații de confidențialitate pentru persoanele cu acces.

2. Separarea clienților și securitatea aplicației#

separare logică a clienților prin identificatorul clientului pe fiecare înregistrare, interogări filtrate automat după client și constrângeri ale bazei de date care includ identificatorul clientului;
o suită de teste automate care verifică, pentru fiecare pagină cu înregistrări, că un client nu poate accesa datele altui client; lucrările programate și cele din fundal rulează numai în contextul unui client;
verificări de autorizare la nivelul fiecărei acțiuni și resurse protejate;
hashing securizat al parolelor (bcrypt);
validarea intrărilor, curățarea conținutului redactat de utilizatori înainte de afișare, protecție CSRF, politică de securitate a conținutului (CSP) și alte antete de securitate, limitarea numărului de cereri;
fișierele încărcate sunt păstrate într-un spațiu privat, separat pe client, și sunt servite numai prin rute autorizate; fișierele de import care conțin date cu caracter personal se șterg la încheierea importului și, oricum, după o zi; fișierele de raport generate se păstrează o zi;
asistentul AI: pseudonimizare, reguli care îl limitează la datele companiei din Harmoniq, filtrarea cererilor și a răspunsurilor, limită lunară de cereri pe plan și limită zilnică de protecție pe contul platformei; se păstrează doar numărul cererilor și al tokenilor, nu textul acestora;
protecție la nivel de server: firewall, blocarea automată a adreselor abuzive și un comutator de blocare a platformei pentru situații de urgență; și
proces de gestionare a dependențelor și a vulnerabilităților.

3. Criptare și transmisie#

HTTPS pentru tot traficul, cu HSTS;
cookie-uri HTTP-only, secure și same-site;
CNP-ul criptat în baza de date, cu un index criptografic separat (HMAC) pentru căutare;
criptarea câmpurilor personalizate marcate ca sensibile, a secretelor de autentificare în doi pași, a cheilor API și a credențialelor integrărilor (de exemplu, contul SMS sau contul AI propriu al Clientului);
copii de rezervă criptate; și
accesul la chei restricționat și separat de datele aplicației.

4. Înregistrare (logging) și monitorizare#

istoricul modificărilor asupra datelor de personal și al acțiunilor administrative, vizibil Clientului; CNP-ul și valorile câmpurilor sensibile nu apar niciodată în jurnale sau în istoricul modificărilor;
jurnalul apelurilor API ale companiei;
pentru asistentul AI se înregistrează numai metadate (utilizator, moment, funcție, volum), niciodată textul trimis sau primit;
jurnalul de audit al acțiunilor echipei platformei, fără valorile secretelor;
înregistrarea erorilor de sistem, grupate și redactate înainte de stocare, cu alertă către echipa platformei;
numerele de telefon nu sunt înregistrate în jurnale; și
calendare de retenție aplicate prin sarcini programate.

5. Disponibilitate, backup și recuperare#

producția este găzduită de Hetzner Online GmbH în Germania; aplicația, baza de date, fișierele, memoria temporară și cozile, mesageria în timp real și serverul de e-mail rulează în acest mediu din SEE;
copie de rezervă criptată în fiecare noapte a bazei de date și a fișierelor; ultimele trei zile se păstrează pe server, iar restul într-un depozit criptat aflat în afara serverului de producție, tot în SEE, la Hetzner, cu 14 copii zilnice și 12 săptămânale, astfel încât nicio copie nu este mai veche de aproximativ 90 de zile; în fiecare noapte este verificată integritatea unei părți a depozitului;
înaintea fiecărei lansări de versiune se creează o copie a bazei de date pe server, din care se păstrează ultimele zece;
răspunsurile sigilate ale chestionarelor anonime încă deschise sunt excluse intenționat din copiile de rezervă, astfel încât o copie să nu poată lega un răspuns de o persoană;
accesul la copiile de rezervă este limitat la personalul autorizat al SYNCDEV;
SYNCDEV menține o procedură de restaurare documentată și o testează periodic, cel puțin anual și după o modificare semnificativă a infrastructurii, prin restaurarea într-o bază de date separată, iar nu peste producție, consemnând fiecare test și rezultatul acestuia;
după orice restaurare în producție, ștergerile și anonimizările înregistrate ulterior momentului copiei sunt reaplicate înainte de redeschiderea serviciului, astfel încât datele deja șterse să nu reapară; și
administratorul SYNCDEV deține deciziile privind recuperarea, înregistrarea restaurării și calea de escaladare a incidentelor.

6. Dezvoltare securizată și gestionarea schimbărilor#

revizuirea codului pentru modificările semnificative;
teste automate pentru autentificare, autorizare, separarea clienților, aria de acces, facturare, export, ștergere și anonimizare, rulate înainte de fiecare lansare;
verificarea configurației de producție înainte de fiecare lansare;
dependențe suportate și actualizări de securitate;
separarea credențialelor de producție de codul sursă și de mediile non-producție;
fără date cu caracter personal de producție în mediile de dezvoltare sau de test; și
proceduri de revenire (rollback) pentru modificări și incidente.

7. Ciclul de viață al datelor#

minimizarea datelor și reguli de păstrare;
funcții structurate de export (per persoană și complet) și de rectificare;
anonimizarea foștilor angajați și ștergerea clienților din CRM cu păstrarea cifrelor, care acoperă înregistrările legate și fișierele încărcate;
evidență minimizată a ștergerilor, pentru reaplicarea după restaurare și pentru responsabilizare;
ștergerea completă a datelor Clientului la 30 de zile după închiderea contului;
ștergerea prin sarcini programate a fișierelor de import și de raport, a conversațiilor AI (după două ore) și a mesajelor directe mai vechi decât perioada aleasă de Client; și
chestionare anonime: răspunsuri sigilate până la închidere, înregistrate apoi toate odată, în ordine aleatorie, fără identitate și fără momentul răspunsului; rezultate afișate numai de la cinci răspunsuri.

8. Răspunsul la incidente#

procedură documentată de triaj, izolare, investigare, conservare a probelor, recuperare și notificare a incidentelor;
registru al incidentelor, cu termene interne urmărite de 24 și de 72 de ore, și acțiuni corective post-incident;
rolul responsabil este administratorul SYNCDEV, iar adresa operațională pentru incidente este dpa@harmoniq.ro;
numai personalul autorizat SYNCDEV are acces administrativ la server și la copiile de rezervă;
incidentele critice sunt escaladate în afara programului normal de lucru, sub rezerva disponibilității serviciului de gardă; nu se promite un timp de răspuns continuu pe timpul nopții; și
notificarea Clientului se face conform Secțiunii 7, fără întârzieri nejustificate după ce SYNCDEV ia cunoștință de o încălcare a securității datelor cu caracter personal și, acolo unde este fezabil, în termenul operațional declarat de 24 de ore calculat de la acel moment, inclusiv printr-o notificare preliminară în timp ce investigația continuă.

Anexa 3 — Registrul Subprocesatorilor#

Data intrării în vigoare a registrului: 17 octombrie 2026. Registrul este publicat și actualizat la https://harmoniq.ro/legal/subprocessors.

1. Hetzner Online GmbH (Hetzner)#

Serviciul și scopul: servere de producție, bază de date, stocarea fișierelor, memorie temporară și cozi, mesagerie în timp real, serverul de e-mail și depozitul criptat al copiilor de rezervă.
Date: toate Datele cu Caracter Personal ale Clientului stocate sau transmise prin serviciul de bază.
Locație: Germania, SEE.
Statut: esențial.
Temeiul transferului: niciun transfer conform Capitolului V pentru serviciul de găzduire din Germania.
Termeni: https://www.hetzner.com/legal/terms-and-conditions/ și acordul de prelucrare a datelor pus la dispoziție de Hetzner.

2. Sendinblue SAS (Brevo)#

Serviciul și scopul: releu SMTP pentru e-mailurile tranzacționale: invitații, autentificare, notificări, rezumate și mesaje inițiate de Client.
Date: detalii ale destinatarului și expeditorului, conținutul mesajului, metadate de livrare și jurnale tehnice.
Locație: în principal Franța/Germania, în cadrul SEE; poate exista acces limitat de suport sau al subprocesatorilor săi în alte țări identificate de Brevo.
Statut: esențial pentru livrarea e-mailurilor.
Temeiul transferului: decizie de adecvare, acolo unde este aplicabilă; în caz contrar, Clauzele Contractuale Standard ale Comisiei Europene și garanții suplimentare în temeiul condițiilor de prelucrare a datelor ale Brevo.
Termeni: https://www.brevo.com/legal/termsofuse/

3. Anthropic Ireland, Limited și subprocesatorii săi enumerați (Anthropic)#

Serviciul și scopul: asistentul AI pe contul platformei (furnizorul actual): răspunsuri la întrebări despre datele KPI și CRM, propuneri de modificări, rezumate, filtre de listă, ciorne de mesaje, analiza feedbackului, ciorne de configurare și rezumatul săptămânal.
Date: cererile utilizatorilor și datele necesare acelei cereri, cu numele, adresele de e-mail și numerele de telefon ale persoanelor înlocuite cu pseudonime; denumiri de organizații și unități, cifre și texte libere cu numele cunoscute înlocuite; metadate tehnice limitate.
Locație: Irlanda/SEE și alte țări enumerate în registrul actual al subprocesatorilor Anthropic, care poate include Statele Unite.
Statut: opțional; utilizat numai pentru Clienții al căror abonament include asistentul AI, care l-au activat și care folosesc contul AI al platformei.
Temeiul transferului: decizie de adecvare, acolo unde este aplicabilă, inclusiv Cadrul UE-SUA privind Confidențialitatea Datelor pentru un destinatar certificat; în caz contrar, Clauzele Contractuale Standard ale Comisiei și garanții suplimentare.
Termeni: https://www.anthropic.com/legal/commercial-terms

4. OpenAI Ireland Ltd. și subprocesatorii săi enumerați (OpenAI)#

Serviciul și scopul: furnizor alternativ pentru asistentul AI pe contul platformei, cu aceleași funcții ca furnizorul actual.
Date: aceleași categorii ca la punctul 3, pseudonimizate în același mod.
Locație: Irlanda/SEE și alte țări enumerate în registrul actual al subprocesatorilor OpenAI, care poate include Statele Unite.
Statut: opțional; utilizat numai dacă SYNCDEV alege acest furnizor pentru contul AI al platformei și numai pentru Clienții care au activat asistentul AI.
Temeiul transferului: decizie de adecvare, acolo unde este aplicabilă, inclusiv Cadrul UE-SUA privind Confidențialitatea Datelor pentru un destinatar certificat; în caz contrar, Clauzele Contractuale Standard ale Comisiei și garanții suplimentare.
Termeni: https://openai.com/policies/data-processing-addendum/

5. Google Cloud EMEA Limited și subprocesatorii săi enumerați (Gemini API)#

Serviciul și scopul: furnizor alternativ pentru asistentul AI pe contul platformei, cu aceleași funcții ca furnizorul actual.
Date: aceleași categorii ca la punctul 3, pseudonimizate în același mod.
Locație: SEE și alte țări enumerate în registrul actual al subprocesatorilor Google, care poate include Statele Unite.
Statut: opțional; utilizat numai dacă SYNCDEV alege acest furnizor pentru contul AI al platformei și numai pentru Clienții care au activat asistentul AI.
Temeiul transferului: decizie de adecvare, acolo unde este aplicabilă, inclusiv Cadrul UE-SUA privind Confidențialitatea Datelor pentru un destinatar certificat; în caz contrar, Clauzele Contractuale Standard ale Comisiei și garanții suplimentare.
Termeni: https://cloud.google.com/terms/data-processing-addendum

Mențiuni privind furnizorii AI#

Contul AI al platformei folosește, la un moment dat, un singur furnizor dintre cei de la punctele 3-5, iar furnizorul în uz este afișat Clientului în setările asistentului AI. Trecerea la un alt furnizor dintre cei enumerați este anunțată Clientului cu cel puțin 30 de zile înainte, prin e-mail transmis Proprietarului contului și pe pagina registrului, iar Clientul își păstrează dreptul de obiecție din Secțiunea 11 și posibilitatea de a dezactiva asistentul. SYNCDEV rămâne responsabil pentru relația cu Subprocesatorul în temeiul Secțiunii 11. Datele cu Caracter Personal ale Clientului nu sunt autorizate pentru antrenarea (training) unui model al unui furnizor.

Destinatari care nu sunt Subprocesatori ai SYNCDEV#

La data registrului, Harmoniq nu utilizează în producție servicii externe de rețea de distribuire a conținutului, de urmărire a erorilor, de căutare sau de memorie temporară: căutarea se face în baza de date, iar mesageria în timp real, memoria temporară și cozile rulează pe serverele Hetzner, fără niciun alt serviciu terț. Fonturile aplicației sunt găzduite pe aceleași servere.

Furnizorul contului AI propriu al Clientului (Anthropic, OpenAI sau Google): dacă Clientul își conectează propriul cont AI, cererile asistentului merg la furnizorul ales și contractat direct de Client, cu cheia configurată de acesta. Harmoniq transmite cererile la instrucțiunea Clientului; acel furnizor nu este angajat de SYNCDEV.
smslink.ro: notificările prin SMS folosesc contul contractat direct de Client cu smslink.ro. Harmoniq transmite mesajele la instrucțiunea Clientului, cu credențialele configurate de acesta.
Stripe și SmartBill: sunt utilizați pentru plățile abonamentului SaaS propriu al SYNCDEV și pentru facturarea fiscală. Aceștia prelucrează date pentru activitățile SYNCDEV desfășurate în calitate de operator distinct și, prin urmare, sunt enumerați în Politica de confidențialitate, nu ca Subprocesatori ai Datelor cu Caracter Personal ale Clientului.
ANAF, VIES și Banca Națională a României: servicii publice interogate pentru verificarea codului fiscal al unei companii și pentru cursurile de schimb; primesc cel mult codul de identificare al companiei, nu Date cu Caracter Personal ale Clientului.
Notificări push web: atunci când un utilizator activează notificările din browser, mesajul criptat este livrat prin serviciul de push operat chiar de producătorul browserului său (Google, Mozilla sau Apple, după caz), folosind adresa de abonare emisă de acel browser. SYNCDEV nu are cont la aceste servicii și nu trimite conținut în clar: mesajul este criptat cap la cap, iar destinatarul este identificat doar prin adresa emisă de browser. Ele sunt destinatari ai livrării, nu persoane împuternicite pentru Datele cu Caracter Personal ale Clientului.

Acordul de prelucrare a datelor