DPA pentru instalatori

1. Părțile și rolurile lor

• Instalatorul (organizația înregistrată în portal) este operator pentru datele clienților săi pe care le folosește în relația lui comercială cu aceștia: oferte, service, garanție, invitații în aplicație.
• e-asist.ro este persoană împuternicită a instalatorului pentru prelucrările făcute la cererea acestuia în portal: invitațiile trimise clienților, profilul instalației precompletat, afișarea stării clienților, alertele de service și asocierea centralelor din contul de companie al instalatorului.
• Pentru contul personal al prosumatorului (facturi, registrul surplusului, reclamații) e-asist.ro rămâne operator independent, conform Politicii de confidențialitate. Instalatorul vede aceste date doar cu acordul explicit al clientului, revocabil oricând.

2. Obiectul, durata, natura și scopul prelucrării

Obiectul: furnizarea portalului pentru instalatori. Durata: cât timp organizația are cont activ, plus perioada de ștergere de la punctul 9. Natura: stocare, organizare, afișare, transmitere de emailuri de invitație și calcul de alerte. Scopul: să permită instalatorului să-și ajute clienții cu verificarea facturilor și service-ul instalației.

3. Categoriile de persoane vizate și de date

• Persoane vizate: clienții instalatorului (prosumatori persoane fizice și reprezentanții persoanelor juridice) și membrii echipei instalatorului.
• Date ale clienților: nume, email, adresa instalației, codul POD, datele tehnice ale instalației (putere, invertor, baterie), identificatorul centralei din contul de companie, starea invitației și a acordului.
• Cu acordul clientului: starea integrării invertorului, rezultatul ultimei facturi, discrepanțele deschise, producția agregată zilnic și cererile de ofertă trimise din simulator.
• Date ale echipei: nume, email, rol, jurnalul acțiunilor din portal.
• Nu se prelucrează categorii speciale de date (art. 9 GDPR) și nici CNP-ul, care se maschează la extragerea din facturi.

4. Obligațiile e-asist.ro

• Prelucrează datele doar pe baza instrucțiunilor documentate ale instalatorului, date prin folosirea portalului și prin acest acord, și îl informează dacă o instrucțiune pare să încalce legea.
• Asigură confidențialitatea: personalul cu acces este instruit și are obligații contractuale de confidențialitate; accesul suportului la datele unui client se face doar temporar, cu acordul acestuia.
• Aplică măsurile de securitate de la art. 32 GDPR: criptare în tranzit și în repaus, criptare pe câmp pentru POD, adresă și tokenuri, autentificare în doi pași obligatorie pentru toți membrii portalului, jurnal de audit, copii de siguranță și teste de securitate periodice.
• Ajută instalatorul să răspundă cererilor persoanelor vizate (acces, rectificare, ștergere, opoziție) și să îndeplinească obligațiile de la art. 32–36 GDPR, inclusiv evaluarea de impact, în măsura informațiilor pe care le deține.
• Pune la dispoziție informațiile necesare pentru a demonstra respectarea acestui acord și permite audituri rezonabile, cu notificare prealabilă de cel puțin 30 de zile, cel mult o dată pe an, cu excepția cazului în care o autoritate o cere.

5. Subîmputerniciți

Instalatorul acordă o autorizare generală pentru folosirea subîmputerniciților din lista publică din Politica de confidențialitate (găzduire în UE, email tranzacțional, facturare). Modelul AI pentru citirea facturilor rulează pe infrastructura proprie, fără un furnizor extern.

Anunțăm prin email orice subîmputernicit nou cu cel puțin 30 de zile înainte. Instalatorul poate obiecta motivat; dacă nu găsim o soluție, poate rezilia fără penalități. Fiecare subîmputernicit are obligații de protecție a datelor cel puțin la fel de stricte ca acestea.

6. Locul prelucrării și transferuri

Datele se prelucrează în Uniunea Europeană / Spațiul Economic European. Un transfer în afara SEE se face doar pe baza unei decizii de adecvare sau a clauzelor contractuale standard ale Comisiei Europene, cu evaluarea impactului transferului.

7. Încălcarea securității datelor

Notificăm instalatorul fără întârzieri nejustificate și în cel mult 48 de ore de la constatarea unei încălcări care îi afectează clienții, cu informațiile cerute de art. 33 alin. (3) GDPR, ca instalatorul să poată notifica ANSPDCP în termenul de 72 de ore, dacă e cazul.

8. Obligațiile instalatorului

• Are un temei legal pentru datele pe care le introduce în portal (de exemplu contractul de montaj) și își informează clienții despre folosirea aplicației.
• Invită doar persoanele cu care are o relație comercială și nu folosește datele din portal pentru marketing fără consimțământul separat al clientului.
• Gestionează rolurile echipei, elimină membrii care pleacă și păstrează autentificarea în doi pași activă.
• Respectă imediat retragerea acordului de către client: după retragere, datele clientului nu mai sunt vizibile în portal.

9. Durata, încetarea și ștergerea datelor

Acordul se aplică cât timp organizația are cont activ. La încetare, datele prelucrate în numele instalatorului se șterg în cel mult 30 de zile, iar din copiile de siguranță la finalul ciclului de retenție, cu excepția datelor pe care legea ne obligă să le păstrăm (de exemplu facturile fiscale). La cerere, înainte de ștergere, instalatorul primește un export al listei de clienți.

Conturile personale ale prosumatorilor nu se șterg la încetarea acordului: rămân ale lor, fără accesul instalatorului.

10. Dispoziții finale

Răspunderea părților este cea prevăzută de art. 82 GDPR și de contractul de utilizare a portalului. Acordul este guvernat de legea română; litigiile se soluționează de instanțele competente din România. În caz de conflict între acest acord și alte prevederi contractuale privind datele personale, prevalează acest acord.

Întrebări despre acest acord: dpo@e-asist.ro.