Acord de prelucrare a datelor

Între grădiniță și 4V3D OÜ, pentru serviciul de grup Minute Mission. Versiunea 1.0, 23 septembrie 2026.

Acesta este textul în limba română al acordului. Acordul este publicat și în engleză, și în estonă, iar aceste două texte sunt cele care guvernează. Clienții din Estonia semnează textul în estonă. Dacă această traducere diferă de textul în engleză, textul în engleză este cel care contează.

Cum se încheie acest acord

În două moduri, cu același efect.

• La achiziție. Bifați căsuța prin care acceptați acest acord, versiunea 1.0. Versiunea și data se înregistrează în contul dumneavoastră, o copie a textului exact pe care l-ați acceptat vă este trimisă prin e-mail și rămâne disponibilă în cont.
• Pe hârtie, dacă organizația dumneavoastră are nevoie de o semnătură. Cereți-ne la info@4v3d.ee și vă trimitem același text ca document, cu un tabel pentru datele dumneavoastră. Semnați-l electronic (semnătură calificată eIDAS, DocuSign, Adobe Sign sau schema națională proprie) și trimiteți-l înapoi. 4V3D OÜ semnează același fișier și vi-l returnează. Acordul intră în vigoare la data celei mai târzii dintre cele două semnături.

Persoana împuternicită de operator: 4V3D OÜ, număr de înregistrare 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonia. Reprezentant: Oskar Viil, membru al consiliului de administrație. Contact: info@4v3d.ee.

1. Ce acoperă acest acord

Grădinița (operatorul) folosește Minute Mission, o aplicație web operată de 4V3D OÜ (persoana împuternicită de operator), în care educatorul ține un panou cu misiunile și recompensele grupei. Pentru aceasta, 4V3D OÜ prelucrează datele cu caracter personal descrise în Anexa II în numele grădiniței și conform instrucțiunilor acesteia.

Acest acord cuprinde tot ceea ce, potrivit Article 28(3) din RGPD și din UK GDPR, trebuie convenit în scris între un operator și o persoană împuternicită de operator. Se aplică indiferent dacă grădinița este sau nu stabilită în SEE ori în Regatul Unit.

2. Ce lege vi se aplică

• O grădiniță din SEE. Se aplică RGPD. Se aplică și secțiunea 3.
• O grădiniță din Regatul Unit. Se aplică UK GDPR și Data Protection Act 2018. Trimiterile de mai jos la RGPD se citesc ca trimiteri la UK GDPR, trimiterile la o autoritate de supraveghere se citesc ca trimiteri la Information Commissioner, iar secțiunea 3 nu se aplică.
• O grădiniță din orice altă parte. Vi se aplică propria dumneavoastră legislație privind protecția datelor, iar aceste clauze obligă 4V3D OÜ pe cale contractuală. 4V3D OÜ este stabilită în Uniunea Europeană, deci este oricum ținută de RGPD pentru această prelucrare. Nimic din acest text nu restrânge un drept pe care vi-l dă propria dumneavoastră lege.

3. Clauzele contractuale standard ale Comisiei Europene

Atunci când grădinița este stabilită în SEE, părțile aplică clauzele contractuale standard dintre operatori și persoane împuternicite de operatori din anexa la decizia de punere în aplicare a Comisiei Decision (EU) 2021/915, în versiunea lor oficială în limba engleză. Acele clauze fac parte din acest acord, iar anexele de mai jos sunt anexele lor. Clause 5 (aderarea) nu se aplică. La Clause 7.7 se aplică Opțiunea 2: autorizare generală scrisă a subîmputerniciților, cu un preaviz de 30 de zile pentru orice schimbare. Dacă clauzele și acest acord se contrazic, clauzele prevalează.

4. Ce își asumă fiecare parte

4V3D OÜ se obligă:

• Să prelucreze datele cu caracter personal doar pentru a furniza serviciul și doar conform instrucțiunilor documentate ale grădiniței, inclusiv în privința transferurilor către o țară terță. Acest acord și utilizarea serviciului de către grădiniță constituie acele instrucțiuni. Dacă dreptul Uniunii sau al unui stat membru obligă 4V3D OÜ să prelucreze datele altfel, va anunța mai întâi grădinița, cu excepția cazului în care acel drept interzice acest lucru.
• Să nu folosească niciodată datele în scopuri proprii, să nu le vândă niciodată, să nu le folosească niciodată pentru antrenarea a ceva și să nu le arate nimănui din afara subîmputerniciților menționați în Anexa IV.
• Să se asigure că toți cei care au acces sunt ținuți de o obligație de confidențialitate.
• Să mențină măsurile de securitate din Anexa III și să nu le slăbească.
• Să folosească doar subîmputerniciții din Anexa IV. 4V3D OÜ poate adăuga sau înlocui unul, dar transmite mai întâi persoanei de contact a grădiniței un preaviz scris de 30 de zile. Grădinița poate obiecta în acele 30 de zile; dacă obiecția nu poate fi rezolvată, grădinița poate înceta serviciul și primește rambursarea pentru partea nefolosită din lună.
• Să ajute grădinița să răspundă cererii unui părinte sau a unui angajat. Educatorii și directorul pot deja consulta, corecta, exporta și șterge ei înșiși aceste date în serviciu. Dacă o cerere ajunge totuși la 4V3D OÜ, aceasta este transmisă persoanei de contact a grădiniței în cinci zile lucrătoare și nu primește un răspuns direct.
• Să ajute grădinița cu obligațiile sale din Articles 32 to 36 (securitate, notificarea încălcărilor, evaluări ale impactului, consultare prealabilă), ținând cont de ceea ce 4V3D OÜ știe efectiv.
• Să informeze persoana de contact a grădiniței despre o încălcare a securității datelor cu caracter personal în 24 de ore de la luarea la cunoștință, cu ceea ce se știe în acel moment și cu restul pe măsură ce se stabilește.
• La încetarea serviciului, să șteargă datele în 30 de zile sau să le predea înainte, dacă grădinița cere acest lucru. Din copiile de rezervă criptate, datele dispar în 90 de zile. 4V3D OÜ confirmă în scris momentul în care datele nu mai există.
• Să pună la dispoziție informațiile necesare pentru a demonstra respectarea acestor obligații și să permită un audit. În practică, aceasta înseamnă răspunsuri scrise și documentație la cerere. Un audit la fața locului sau printr-un terț poate fi organizat cu un preaviz de 30 de zile, pe cheltuiala grădiniței, cel mult o dată pe an, cu excepția cazului în care a avut loc o încălcare.
• Să anunțe imediat grădinița dacă o instrucțiune pare să încalce legislația privind protecția datelor.

Grădinița se obligă:

• Să se asigure că are un temei legal pentru această prelucrare și că părinții au fost informați. 4V3D OÜ nu îi vede pe părinți și nu poate face acest lucru în locul dumneavoastră.
• Să păstreze datele din serviciu în limitele descrise în Anexa II. În special, nu introduceți într-un câmp de text liber numele de familie al unui copil, informații despre sănătate, o evaluare a unui copil sau ceva despre situația unei familii.
• Să își păstreze corecte datele contului și să anunțe 4V3D OÜ atunci când se schimbă persoana de contact.
• Să își gestioneze singură conturile angajaților: să elimine accesul unui educator atunci când acesta pleacă.

5. Două lucruri care nu sunt prelucrare în numele dumneavoastră

Spus limpede aici, ca nimeni să nu fie nevoit să ghicească mai târziu.

• Conturile angajaților. Numele, adresa de e-mail și parola unui educator sau ale directorului sunt necesare pentru ca serviciul să funcționeze, iar 4V3D OÜ decide cum îl operează. Pentru acest scop restrâns, 4V3D OÜ este operator, nu persoană împuternicită de operator, și se aplică propria sa politică de confidențialitate. Tot ce privește copiii este prelucrare în numele grădiniței și intră sub acest acord.
• Plata. Dacă grădinița plătește cu cardul, plata este gestionată de Stripe Payments Europe Ltd. Stripe primește numele de facturare, adresa, codul de TVA, e-mailul și datele cardului grădiniței și niciun fel de date despre vreun copil. Operatorul acestor date de facturare este 4V3D OÜ. Prin urmare, Stripe nu este subîmputernicit în sensul acestui acord și nu figurează în Anexa IV.

6. Durată, lege aplicabilă și răspundere

Acest acord produce efecte atât timp cât 4V3D OÜ prelucrează datele grădiniței și rămâne în vigoare după încetarea serviciului, până la ștergerea datelor.

Se aplică legea estoniană, iar instanțele din județul Harju sunt competente, cu excepția cazului în care grădinița este o instituție publică ale cărei reguli proprii impun legea și instanțele naționale ale acesteia, caz în care părțile convin astfel înainte de semnare.

Răspunderea este cea prevăzută în Termenii de utilizare Minute Mission, pe care acest acord îi completează și nu îi înlocuiește.

Anexa I. Părțile

Operator: grădinița, identificată prin datele pe care le furnizează la achiziție sau le completează în exemplarul semnat. Rol: operator al datelor copiilor păstrate pe panoul grupei.

Persoană împuternicită de operator: 4V3D OÜ, număr de înregistrare 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonia. Contact: Oskar Viil, membru al consiliului de administrație, info@4v3d.ee. Nu este desemnat un responsabil cu protecția datelor, deoarece RGPD nu impune acest lucru aici.

Oricare dintre părți își poate schimba persoana de contact, printr-o notificare scrisă către cealaltă.

Anexa II. Descrierea prelucrării

Anexa III. Măsuri de securitate

• Datele sunt în Uniunea Europeană. Aplicația și copiile ei de rezervă rulează în centrul de date al Hetzner Online GmbH din Helsinki, Finlanda (certificat ISO/IEC 27001). E-mailurile de serviciu sunt trimise de Scaleway SAS din Franța. Nu există transfer către o țară terță.
• Tot ce circulă este criptat (HTTPS, cu o Content Security Policy în vigoare). Parolele nu sunt stocate niciodată, ci doar un hash al lor, iar tokenurile de sesiune sunt stocate tot ca hash, astfel încât o copie a bazei de date nu este un set de chei funcționale.
• Fiecare grupă este un cont separat. Un educator vede doar copiii din propria grupă. Directorul are o singură autentificare pentru grupele proprii și niciun acces la ale altcuiva.
• Fotografiile nu pot fi încărcate într-un cont de grupă, notificările push sunt oprite, iar imaginile copiilor sunt limitate la un set de desene.
• Copii de rezervă criptate zilnic, păstrate 14 zile pe server și 90 de zile în afara lui. Sunt criptate cu o cheie publică pe care serverul însuși nu o deține, deci serverul nu își poate citi propriile copii de rezervă. Restaurarea dintr-o copie de rezervă a fost testată.
• Accesul la server este limitat la membrul consiliului de administrație al 4V3D OÜ. Nu există angajat, colaborator sau agent de asistență cu acces.
• Fără analiză de trafic, fără instrumente publicitare și fără nicio urmărire. Singura raportare de rutină este un număr zilnic de înregistrări, conturi active și erori, care nu conține niciun nume.
• Limitarea ratei la autentificare și la înregistrare și o limită de 30 de zile pentru cât de mult în urmă poate fi bifată o misiune, astfel încât o greșeală sau un abuz să nu poată rescrie luni de istoric.
• O analiză de securitate scrisă a întregului cod sursă a fost realizată de două ori de un model extern, cel mai recent la 20 septembrie 2026, iar constatările au fost închise.

Anexa IV. Subîmputerniciți

Ambele sunt în Uniunea Europeană. Nu există niciun subîmputernicit în afara UE și niciun transfer internațional de evaluat.