Acord de prelucrare a datelor

Acest DPA face parte din Termenii și condițiile și se aplică atunci când HRGuru prelucrează Datele candidaților în numele Clientului. Reflectă art. 28 GDPR, Legea Moldovei 133/2011 (și 195/2024 de la 23 august 2026) și Legea Ucrainei 2297-VI. Trebuie încheiat înainte ca orice client B2B să încarce CV-uri ale candidaților sau să primească candidaturi prin HRGuru.

1. Definiții

• Date cu caracter personal, prelucrare, operator, persoană împuternicită, persoană vizată, încălcarea securității datelor, autoritate de supraveghere — au înțelesurile din art. 4 GDPR și din prevederile echivalente ale legislației Moldovei și Ucrainei privind protecția datelor.
• Legislația privind protecția datelor — GDPR, Legea Moldovei nr. 133/2011 (și Legea nr. 195/2024 de la 23 august 2026) și Legea Ucrainei nr. 2297-VI, după caz.
• Datele candidaților — date cu caracter personal ale candidaților/aplicanților prelucrate de Persoana împuternicită în numele Operatorului.
• Subîmputernicit — orice terț angajat de Persoana împuternicită pentru a prelucra Datele candidaților.
• CCS — Clauzele contractuale standard ale Comisiei Europene și, pentru Moldova, clauzele contractuale standard aprobate de CNPDCP.

2. Roluri și domeniu de aplicare

Operatorul stabilește scopurile și mijloacele prelucrării Datelor candidaților. Persoana împuternicită prelucrează Datele candidaților doar pentru a furniza Serviciile și doar conform instrucțiunilor documentate ale Operatorului, care cuprind Acordul, acest DPA și configurarea Serviciilor de către Operator. Persoana împuternicită informează Operatorul dacă, în opinia sa, o instrucțiune încalcă Legislația privind protecția datelor.

În ceea ce privește sistemul de IA, HRGuru este furnizorul, iar Operatorul este implementatorul (Regulamentul UE privind IA, art. 25–26); un formular de candidatură cu marca Clientului, integrat pe site-ul web al Clientului, nu transferă statutul de furnizor către Client (art. 25(1)(a) se aplică sistemului de IA, nu formularelor de colectare a datelor).

3. Obligațiile Persoanei împuternicite (art. 28(3) GDPR)

• Prelucrează Datele candidaților doar conform instrucțiunilor documentate ale Operatorului, inclusiv pentru transferuri, cu excepția cazurilor cerute de lege (caz în care informează Operatorul, cu excepția situației în care legea interzice acest lucru).
• Asigură că persoanele autorizate să prelucreze sunt obligate la confidențialitate.
• Implementează măsurile tehnice și organizatorice din Anexa 2 (art. 32).
• Respectă condițiile de angajare a Subîmputerniciților (§4).
• Asistă Operatorul, prin măsuri adecvate, în a răspunde cererilor persoanelor vizate (§5).
• Asistă Operatorul în privința securității, notificării încălcărilor, DPIA și consultării prealabile (§§6–7).
• La alegerea Operatorului, șterge sau returnează Datele candidaților la încetarea Serviciilor (§10).
• Pune la dispoziție informațiile necesare pentru a demonstra conformitatea și permite auditurile (§9).

4. Subîmputerniciți

Operatorul acordă autorizație generală scrisă pentru ca Persoana împuternicită să angajeze Subîmputerniciții enumerați în Anexa 3. Persoana împuternicită impune fiecărui Subîmputernicit obligații de protecție a datelor nu mai puțin protectoare decât acest DPA și rămâne pe deplin răspunzătoare pentru executarea acestora.

Mecanism de modificare (art. 28(2) GDPR / Legea Moldovei). Persoana împuternicită notifică Operatorul în avans cu privire la orice intenție de a adăuga sau înlocui un Subîmputernicit (prin lista de la hrguru.work/subprocessors și prin e-mail către contactele înregistrate). Operatorul se poate opune din motive rezonabile de protecție a datelor în termen de 30 de zile; dacă părțile nu pot soluționa opoziția, Operatorul poate înceta Serviciile afectate.

5. Asistență privind drepturile persoanelor vizate

Ținând cont de natura prelucrării, Persoana împuternicită asistă Operatorul prin măsuri tehnice și organizatorice adecvate, în măsura posibilului, pentru a îndeplini obligația Operatorului de a răspunde cererilor de exercitare a drepturilor persoanelor vizate. Dacă o persoană vizată contactează direct Persoana împuternicită, aceasta transmite cererea Operatorului fără întârzieri nejustificate și nu răspunde direct decât pentru a confirma primirea.

6. Încălcarea securității datelor

Persoana împuternicită notifică Operatorul fără întârzieri nejustificate după ce ia cunoștință de o încălcare a securității datelor care afectează Datele candidaților și furnizează informațiile disponibile în mod rezonabil pentru a ajuta Operatorul să își îndeplinească obligațiile de notificare a încălcării (inclusiv notificarea autorității de supraveghere în 72 de ore, acolo unde este cerut).

Pentru prelucrarea supusă legislației Republicii Moldova, notificarea încălcărilor urmează Legea nr. 195/2024 și cerințele Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) de la intrarea sa în vigoare la 23 august 2026.

7. DPIA și consultarea prealabilă

Persoana împuternicită oferă asistență rezonabilă la evaluările impactului asupra protecției datelor și la consultarea prealabilă cu o autoritate de supraveghere, ținând cont de informațiile de care dispune.

8. Cooperare la auditul de părtinire (SUA / Local Law 144 New York)

Atunci când Operatorul utilizează Serviciile ca AEDT sub incidența Local Law 144 din New York, Persoana împuternicită furnizează informații și cooperare rezonabile în sprijinul auditului anual independent de părtinire și al obligațiilor de notificare a candidaților.

9. Audit

Persoana împuternicită pune la dispoziție informațiile necesare pentru a demonstra conformitatea cu art. 28 și permite și contribuie la audituri, inclusiv inspecții, efectuate de Operator sau de un auditor mandatat, sub rezerva unor condiții rezonabile de confidențialitate, securitate și notificare. Persoana împuternicită poate răspunde cererilor de audit prin furnizarea de certificări sau rapoarte ale terților, acolo unde sunt disponibile.

De asemenea, HRGuru cooperează cu CNPDCP atunci când se aplică legislația Republicii Moldova.

10. Păstrare, returnare și ștergere

Reconcilierea perioadei de păstrare. Pe durata Serviciului, Datele candidaților se păstrează conform perioadei de păstrare configurate de Operator (implicit 365 de zile, configurabil 30–730 de zile). La încetare sau expirare, Persoana împuternicită șterge sau returnează Datele candidaților, la alegerea Operatorului, și șterge copiile existente în termen de 30 de zile, cu excepția cazului în care păstrarea este cerută de lege.

11. Transferuri internaționale

Persoana împuternicită găzduiește Datele candidaților în UE (Frankfurt). Orice transfer în afara SEE/Moldovei/Ucrainei se bazează pe o decizie privind caracterul adecvat sau pe garanții adecvate, inclusiv CCS. CCS relevante sunt încorporate prin referință și prevalează în caz de conflict privind transferurile.

12. Răspundere

Răspunderea fiecărei părți în temeiul acestui DPA este supusă limitărilor și excluderilor prevăzute în Acord.

13. Durată

Acest DPA intră în vigoare la Data intrării în vigoare și continuă până când Persoana împuternicită a încetat orice prelucrare a Datelor candidaților și a respectat §10.

Anexa 1 — Detaliile prelucrării

Anexa 2 — Măsuri tehnice și organizatorice de securitate (art. 32)

• Găzduirea datelor în UE (Frankfurt); criptare în tranzit (TLS) și în repaus, acolo unde este acceptată.
• Control al accesului bazat pe roluri; privilegiu minim; acces limitat la personalul cu necesitate de serviciu.
• Hashing al parolelor cu sare; SSO (Google, Microsoft) și MFA pentru conturile privilegiate.
• Securitate la nivel de rând (RLS) și separarea chiriașilor, izolând datele fiecărui client.
• Jurnalizare doar-prin-adăugare a accesului la datele cu caracter personal și a exportului acestora.
• Gestionarea vulnerabilităților, monitorizare și urmărirea erorilor fără date cu caracter personal în jurnale.
• Proceduri documentate de răspuns la incidente și de notificare a încălcărilor.
• Verificarea personalului și obligații de confidențialitate; acorduri de prelucrare a datelor cu Subîmputerniciții.

Anexa 3 — Subîmputerniciți aprobați

Lista actuală este menținută la hrguru.work/subprocessors.

Semnături

Operator: Nume / funcție / dată / semnătură Persoană împuternicită — Viktor Razhev: Nume / funcție / dată / semnătură

Necesită revizuire juridică: completați toate elementele dintre [paranteze], verificați lista Subîmputerniciților față de stiva activă și obțineți revizuirea unui jurist înainte de semnare — în special pentru un client reglementat, cum ar fi o bancă.