Acord de prelucrare a datelor

1. Detaliile prelucrării

• Subiect și durată: furnizarea Carreh for Business pe durata contractului și până la ștergere conform secțiunii 10.
• Natura și scopul: găzduirea, organizarea, citirea (inclusiv cu AI), afișarea, exportarea și ștergerea înregistrărilor de călătorie și cheltuieli, conform configurării și instrucțiunilor Clientului.
• Persoane vizate: angajații, colaboratorii și alți utilizatori ai Clientului, precum și persoanele menționate în înregistrările lor de călătorie și cheltuieli.
• Date personale: date de identitate și de contact, rol și departament, solicitări de călătorie, itinerarii, rezervări și documente de călătorie, chitanțe, cheltuieli, rambursări, aprobări și comentarii, înregistrări de autentificare.
• Special categories: none intended. Travel documents may incidentally contain identity document numbers; the Customer only uploads them where it has a lawful basis.

2. Instrucțiuni

Carreh prelucrează datele cu caracter personal numai pe baza instrucțiunilor documentate ale Clientului, care sunt Termenii, acest DPA și utilizarea și configurarea Serviciului de către Client, cu excepția cazului în care legislația UE sau a statului membru prevede altfel; în acest caz, Carreh informează mai întâi Clientul, cu excepția cazului în care legea interzice acest lucru. Carreh informează Clientul dacă consideră că o instrucțiune este ilegală.

3. Confidențialitate

Toți cei de la Carreh autorizați să prelucreze datele personale sunt obligați de confidențialitate.

4. Securitate

Carreh implementează măsurile tehnice și organizatorice din Anexa 1 și le menține adecvate riscului. Carreh le poate actualiza cu condiția ca nivelul general de protecție să nu scadă.

5. Subprocesatori

Clientul autorizează Carreh să utilizeze subprocesatorii listați aici. Carreh notifică proprietarilor spațiului de lucru cu cel puțin 30 de zile înainte, prin e-mail, introducerea unui nou subprocesator. Clientul poate obiecta pe motive rezonabile de protecție a datelor; dacă nu se găsește o soluție, Clientul poate înceta Serviciul afectat și poate primi rambursarea taxelor plătite în avans pentru perioada rămasă. Carreh impune fiecărui subprocesator obligații de protecție a datelor echivalente cu cele din prezentul DPA și rămâne responsabilă pentru aceștia.

6. Transferuri internaționale

Atunci când datele personale sunt transferate în afara Spațiului Economic European către o țară fără o decizie de adecvare, Carreh se bazează pe Clauzele Contractuale Standard ale Comisiei Europene, cu măsuri suplimentare acolo unde este necesar.

7. Asistență

Ținând cont de natura prelucrării, Carreh ajută Clientul să răspundă solicitărilor persoanelor vizate (Serviciul le permite Proprietarilor și Administratorilor să găsească, să exporte, să corecteze și să șteargă înregistrări), precum și cu securitatea, notificările de încălcare, evaluările de impact și consultările cu autoritățile de supraveghere.

8. Încălcări ale securității datelor cu caracter personal

Carreh notifică Clientul fără întârziere nejustificată și nu mai târziu de 48 de ore după ce ia cunoștință de o încălcare a securității datelor personale care afectează datele personale ale Clientului, cu informațiile disponibile la acel moment, apoi le actualizează pe măsură ce investigația continuă.

9. Returnare și ștergere

Clientul își poate exporta datele în orice moment. La încheierea contractului, Clientul are 30 de zile pentru a exporta; Carreh șterge apoi datele cu caracter personal în termen de 90 de zile, cu excepția cazurilor în care legislația UE sau a statelor membre impune păstrarea lor. Copiile de siguranță sunt suprascrise conform programului lor normal.

10. Audituri

Carreh pune la dispoziție informațiile necesare pentru a demonstra conformitatea cu acest DPA. Clientul poate efectua un audit o dată pe an, cu un preaviz scris de 30 de zile, în timpul orelor de program, sub confidențialitate și pe propriile costuri, sau se poate baza pe certificările independente actuale ale subprocesatorilor Carreh acolo unde acestea acoperă prelucrarea.

11. Răspundere și prioritate

Limitările de răspundere din Termeni se aplică acestui DPA, în măsura permisă de lege. Pentru prelucrarea datelor cu caracter personal, acest DPA prevalează asupra Termenilor.

12. Anexa 1: măsuri tehnice și organizatorice

• Separare: Carreh for Business are conturi, bază de date, stocare și chei proprii, separate de aplicațiile pentru consumatori ale Carreh. Datele fiecărei companii sunt păstrate separat, iar fiecare solicitare este verificată în raport cu apartenența utilizatorului la companie și rolul său.
• Controlul accesului: coduri de autentificare unice trimise prin e-mail; sesiunile sunt stocate doar ca hash-uri; personalul Carreh are nevoie de un cod prin e-mail și de o passkey; personalul autorizat deschide conținutul spațiului de lucru doar pentru a oferi asistență, a menține Serviciul în siguranță, a preveni frauda și a respecta obligațiile legale, iar fiecare deschidere este înregistrată în jurnalul de acțiuni al spațiului de lucru.
• Monitorizare: autentificările și acțiunile sunt înregistrate cu rețeaua și dispozitivul; verificările automate semnalează autentificările neobișnuite, chitanțele duplicate sau modificate și abuzurile și blochează rețelele abuzive.
• Criptare: TLS în tranzit; criptare în repaus de către furnizorul de găzduire; secretele autentificatorului criptate cu AES-256-GCM; codurile și tokenurile hash-uite cu SHA-256 și o cheie secretă.
• Jurnalizare: un jurnal de acțiuni doar-în-adaugare, cu detectarea modificărilor, al autentificărilor și acțiunilor administrative.
• Reziliență: bază de date gestionată cu recuperare la un moment precis și copii de siguranță; procedurile de restaurare testate înainte de lansare.
• Dezvoltare: revizuirea codului, teste automate, inclusiv teste care verifică faptul că o companie nu poate accesa datele alteia; secretele sunt ținute în afara codului sursă.
• Minimizare: fără trackere publicitare; furnizorii de AI nu se antrenează pe datele Clientului.