Acord de prelucrare a datelor cu caracter personal (DPA)

1. Părțile

1. Operatorul — utilizatorul CRM-ului iMove: agenția imobiliară, agentul, dezvoltatorul sau persoana fizică titulară a contului pe imove.ro care introduce sau gestionează în CRM date ale clienților săi („Operatorul” / „Utilizatorul CRM-ului”).
2. Persoana împuternicită — IMOVE SRL, CUI 54620990, Reg. Com. J2026029349001, sediul: Bulevardul Geniului 46-48, București 060116, România, email: [email protected] („iMove” / „Împuternicitul”).

2. Obiectul și durata

iMove pune la dispoziția Utilizatorului CRM-ului un CRM găzduit pe Platforma iMove (gestionare lead-uri, clienți, cereri, programări, tranzacții, documente, activități, note). Pentru datele personale introduse sau generate în CRM, Utilizatorul CRM-ului este operator, iar iMove este persoană împuternicită.

Durata: pe perioada existenței contului și a utilizării CRM-ului. La încetare, se aplică secțiunea 10.

Clarificare privind rolurile: pentru datele conturilor de utilizator (autentificare, sesiuni, notificări) iMove rămâne operator; acest DPA acoperă exclusiv datele clienților/prospectorilor gestionați prin CRM.

3. Natura și scopul prelucrării

• Primirea și stocarea lead-urilor generate pe Platformă (nume, email, telefon, mesaj) pentru anunțurile Operatorului, cu legarea automată de fișa clientului existent după email/telefon și înregistrarea în istoricul lead-ului a acțiunilor de contact ale utilizatorilor autentificați (apel, WhatsApp, afișare telefon, mesaj);
• Gestionarea clienților Operatorului (nume, email, telefon, note interne);
• Înregistrarea cererilor clienților (criterii de căutare: tip tranzacție/proprietate, oraș, buget, camere, suprafață; date de contact);
• Programări, task-uri, tranzacții (valoare, comision, note), documente generate din șabloane, jurnal de activități, note de prezentare (matching cerere–ofertă);
• Transmiterea lead-urilor către sistemul REBS al agenției (doar când anunțul provine din feed-ul REBS al agenției și integrarea este configurată de aceasta);
• Notificări (email/push) către membrii echipei Operatorului privind activitatea CRM.

4. Categoriile de persoane vizate și de date

• Persoane vizate: clienții și potențialii clienți ai Operatorului (persoane fizice care au trimis cereri sau au fost înregistrate de Operator în CRM); angajații/colaboratorii Operatorului utilizatori ai CRM-ului.
• Categorii de date: date de identificare și contact (nume, email, telefon), conținutul mesajelor, preferințe imobiliare, date privind tranzacții (valori, comisioane), note interne, documente create în CRM.
• Date cu categorii speciale (art. 9 GDPR): nu sunt vizate. Operatorul se obligă să nu introducă în CRM date din categorii speciale.

5. Obligațiile Împuternicitului (iMove)

iMove se obligă să:

1. prelucreze datele numai pe baza instrucțiunilor documentate ale Operatorului (inclusiv cele rezultate din utilizarea funcțiilor CRM-ului), cu excepția cazului în care legea impune altfel;
2. asigure confidențialitatea — accesul la datele CRM este restricționat la personalul autorizat, angajat pe bază de confidențialitate;
3. implementeze măsuri tehnice și organizatorice adecvate, inclusiv: criptare TLS în tranzit, parole hash-uite (bcrypt), control de acces pe bază de roluri, jurnal de audit pentru acțiunile administrative, segregarea datelor pe operator la nivel de aplicație, copii de siguranță zilnice (baza de date la fiecare 6 ore), păstrate pe o perioadă limitată;
4. respecte condițiile privind sub-împuterniciții (secțiunea 6);
5. asiste Operatorul, în măsura posibilului, la: răspunderea solicitărilor persoanelor vizate (acces, rectificare, ștergere, portabilitate), notificarea încălcărilor de securitate și documentația de conformitate;
6. notifice Operatorul fără întârziere nejustificată, cel târziu în 72 de ore, dacă constată o încălcare a securității datelor care afectează datele din CRM-ul Operatorului;
7. pună la dispoziția Operatorului informațiile rezonabil necesare pentru a demonstra conformitatea cu art. 28 și să permită audituri rezonabile (rapoarte scrise; audit la fața locului doar cu anunț prealabil);
8. la încetarea serviciilor, să șteargă sau să returneze datele, la alegerea Operatorului (secțiunea 10).

6. Sub-împuterniciți

Operatorul acceptă utilizarea următorilor sub-împuterniciți (cu rol infrastructural):

iMove va informa Operatorul despre intenția de a adăuga sau înlocui sub-împuterniciți, oferind dreptul de a formula obiecțiuni motivate în termen de 14 zile de la informare.

Precizare REBS: sistemul REBS este CRM-ul propriu al agenției (nu sub-împuternicit al iMove); transmiterea lead-ului către REBS se face ca destinatara desemnată de Operator, pe baza integrării configurate de acesta.

Precizare integrări: Storia/OLX, ImmoFlux și Habitoo nu sunt incluse în lista sub-împuterniciților iMove atunci când primesc sau furnizează date ca operatori independenți pentru propriile servicii, la inițiativa sau în cadrul fluxului configurat pentru Operator. Dacă un furnizor urmează să prelucreze date exclusiv pe baza instrucțiunilor documentate ale iMove, includerea sa va fi precedată de un acord conform art. 28 GDPR și de actualizarea acestei secțiuni. Nu se consideră că există operatori asociați în sensul art. 26 GDPR în lipsa stabilirii comune a scopurilor și mijloacelor prelucrării.

7. Transferuri în afara SEE

Unele prelucrări infrastructurale pot avea loc în afara SEE (Google, Stripe, Sentry, Expo, Cloudflare). Transferurile se bazează pe mecanisme legale (decizii de adecvare, ex. EU–US Data Privacy Framework, sau clauze contractuale standard).

8. Obligațiile Operatorului

Operatorul declară și garantează că:

1. are temei legal pentru prelucrarea datelor clienților introduse în CRM (consimțământ, demersuri precontractuale, contract sau interes legitim, după caz);
2. a informat persoanele vizate conform art. 13/14 GDPR, inclusiv despre faptul că datele lor sunt găzduite pe platforma iMove ca persoană împuternicită;
3. instrucțiunile sale sunt legale; iMove va informa Operatorul dacă o instrucțiune încalcă GDPR;
4. gestionează accesul membrilor echipei sale la CRM și răspunde de acțiunile acestora;
5. nu introduce în CRM date din categorii speciale sau date privind minori, decât cu temei legal explicit.

9. Asistență pentru drepturile persoanelor vizate

Solicitările persoanelor vizate privind datele din CRM (acces, rectificare, ștergere, opoziție, portabilitate) se soluționează de Operator. iMove pune la dispoziție funcțiile CRM-ului (vizualizare, editare, ștergere) și asistă rezonabil Operatorul. Dacă iMove primește direct o astfel de solicitare, o transmite Operatorului fără întârziere.

10. Încetarea și ștergerea datelor

La încetarea contului sau la cererea scrisă a Operatorului, iMove va, la alegerea Operatorului: (i) exporta datele CRM în format structurat (CSV și/sau JSON), și/sau (ii) șterge datele CRM în termen de 60 de zile, cu excepția datelor pe care legea impune păstrarea (ex. documente fiscale) sau a celor aflate în copiile de siguranță, până la rotirea acestora (backup-uri zilnice, baza de date la fiecare 6 ore, păstrate pe o perioadă limitată).

11. Răspundere

Fiecare parte răspunde pentru daunele cauzate prin încălcarea obligațiilor GDPR care îi revin. Operatorul răspunde pentru legalitatea colectării și a instrucțiunilor; iMove răspunde pentru prelucrările efectuate în afara instrucțiunilor legale ale Operatorului.

12. Legea aplicabilă

Prezentul acord este guvernat de legislația României și GDPR. Litigiile se soluționează de instanțele competente din România.

Acceptare: prin activarea CRM-ului iMove și/sau continuarea utilizării acestuia, Utilizatorul CRM-ului (sau reprezentantul său legal) confirmă că are împuternicirea necesară și acceptă prezentul acord. Acceptarea este înregistrată (dată, versiune, adresă IP).