Acordul de prelucrare a datelor

Acest acord face parte din Termenii și condițiile BlocPay și se aplică automat când o asociație de proprietari sau un portofoliu BlocPay Chirii (agenție imobiliară, investitor, administrator de închirieri) folosește platforma. Dacă ai nevoie de o variantă semnată, scrie-ne la contact@blocpay.ro.

1. Părțile și rolurile

• Operatorul este clientul: asociația de proprietari (pentru datele apartamentelor, ale proprietarilor și ale chiriașilor din bloc) sau titularul portofoliului BlocPay Chirii (pentru datele chiriașilor, ale proprietarilor ale căror apartamente le administrează și ale contractelor).
• Persoana împuternicită este MEDIASTAGE S.R.L. (BlocPay), CUI 55259305, J2026045379002, Str. Timiș nr. 81B, Giroc, județul Timiș.
• Pentru datele propriului cont (nume, email, parolă, securitate) și pentru statisticile site-ului, BlocPay este operator — vezi Politica de confidențialitate.

2. Obiectul, durata, natura și scopul prelucrării

• Obiectul: găzduirea și prelucrarea datelor necesare funcțiilor platformei alese de operator.
• Durata: cât timp operatorul folosește BlocPay, plus perioada de ștergere de la punctul 10.
• Natura: stocare, organizare, calcul (liste de întreținere, chirii, penalități, deconturi, calculul orientativ al statului de plată), generarea documentelor (chitanțe, confirmări, rapoarte, procese-verbale, state de plată, facturi), transmitere (notificări, emailuri; facturile către ANAF, prin RO e-Factura, când operatorul își conectează SPV-ul), descărcarea facturilor primite în SPV și ștergere.
• Scopul: administrarea asociației, respectiv administrarea apartamentelor închiriate: evidența sumelor datorate și a încasărilor, a salariilor plătite de asociație și a facturilor, comunicarea cu proprietarii și chiriașii, rapoarte pentru obligațiile legale ale operatorului.

3. Categoriile de date și de persoane vizate

• Persoane vizate: proprietari, chiriași și membrii familiei declarați (număr de persoane), administratori, membri ai comitetului, cenzori, casieri, persoanele plătite de asociație (salariați, persoane cu indemnizație), membrii echipei agenției, proprietarii apartamentelor închiriate, cumpărătorii de pe facturile emise de portofoliu și persoanele de contact ale furnizorilor, dacă apar pe facturi.
• Date: identificare și contact (nume, email, telefon, adresă), date despre apartament (număr, suprafață, cotă, persoane), sume datorate și plătite, indexuri și fotografii ale contoarelor, sesizări cu fotografii, voturi, contracte de închiriere (perioadă, chirie, garanție), procese-verbale de predare-primire cu fotografii, CNP/CUI doar dacă operatorul îl introduce (de exemplu pentru un chiriaș firmă). Nu prelucrăm date despre carduri — le prelucrează doar Stripe.
• Salarii (asociații): numele, funcția, tipul contractului, perioada și sumele din statul de plată (brut, CAS, CASS, impozit, net, CAM), plata netului și ziua depunerii D112. Fără CNP, serie de buletin sau adresă.
• e-Factura: datele de pe facturile primite în SPV (furnizor, CUI, număr, sume, fișierul XML) și, în BlocPay Chirii, de pe facturile emise (cumpărătorul: nume sau denumire, adresă, email, CUI; CNP doar dacă operatorul îl introduce și alege să-l treacă pe factură), răspunsurile ANAF și tokenul de acces la SPV, păstrat criptat.
• Legătura dintre un portofoliu BlocPay Chirii și o asociație (apartamentul legat cu codul apartamentului): numele și emailul chiriașului cu acces în asociație, perioada contractului, numărul de persoane din contract, varianta de plată a întreținerii, indexurile din predare-primire; din asociație, sumele de întreținere ale apartamentului și starea plății lor. Fiecare dintre cei doi rămâne operator pentru datele lui; BlocPay le transmite de la unul la altul doar în limitele descrise în Termeni, secțiunea 8.
• Operatorul nu introduce date sensibile (art. 9 GDPR) și nici mai multe date decât îi sunt necesare (minimizare).

4. Instrucțiunile operatorului

Prelucrăm datele doar pe baza instrucțiunilor documentate ale operatorului — acțiunile făcute de utilizatorii lui în aplicație și acest acord — inclusiv în ce privește transferurile în afara UE. Sunt instrucțiuni, de exemplu, conectarea SPV-ului (descărcarea facturilor primite și, în BlocPay Chirii, trimiterea facturilor emise), legarea unui apartament închiriat de asociația lui și pornirea accesului chiriașului (de către agenție), aplicarea sau respingerea cererilor și retragerea accesului (de către administratorul asociației). Nu folosim datele în alte scopuri, nu le vindem și nu le folosim pentru publicitate. Dacă o instrucțiune ni se pare contrară legii, te anunțăm.

5. Confidențialitate

Accesul la date îl au doar persoanele din echipa BlocPay care au nevoie de el pentru a furniza serviciul sau suportul cerut, angajate să păstreze confidențialitatea.

6. Securitate (art. 32 GDPR)

• Criptare în tranzit (HTTPS/TLS, HSTS), parole stocate doar ca hash, autentificare în doi pași opțională.
• Acces pe roluri (administrator, comitet, casier; în Chirii: administrator, agent, contabil cu drept doar de citire). Salariile le văd doar administratorul și comitetul (citire), nu și casierul; chiriașul cu acces în asociație vede doar ce ține de perioada contractului lui.
• Tokenurile de acces la SPV, primite de la ANAF, sunt păstrate criptat (AES-256-GCM) și se șterg la deconectare; certificatul digital al reprezentantului nu ajunge la BlocPay.
• Copii de siguranță, server de rezervă sincronizat și preluare automată la avarie.
• Jurnalul modificărilor („Istoric modificări”), limitarea încercărilor de autentificare, actualizări de securitate.

Detalii pe pagina Securitate.

7. Persoane împuternicite secundare

Operatorul ne dă o autorizare generală să folosim furnizorii de mai jos. Îi alegem cu garanții echivalente acestui acord. Înainte de a adăuga sau înlocui un furnizor actualizăm lista de pe această pagină și anunțăm administratorii prin email cu cel puțin 15 zile înainte; operatorul se poate opune, caz în care poate înceta folosirea serviciului.

Destinatari care nu sunt persoane împuternicite secundare. Când operatorul își conectează SPV-ul, BlocPay transmite facturile emise către ANAF (sistemul RO e-Factura) și descarcă de acolo facturile primite. ANAF este o autoritate publică, destinatar prin lege, care prelucrează datele pentru scopurile ei legale — nu în numele BlocPay sau al operatorului. La fel, la legătura dintre un portofoliu BlocPay Chirii și o asociație, datele ajung de la un operator la celălalt (agenția și asociația), fiecare răspunzând pentru datele primite.

8. Drepturile persoanelor vizate

Ajutăm operatorul să răspundă cererilor de acces, rectificare, ștergere, restricționare, portabilitate și opoziție: datele se corectează direct din aplicație, iar exportul complet se descarcă din Rapoarte (asociații) sau din Încasări → Export (Chirii). Dacă o persoană ne scrie direct, îi transmitem cererea operatorului.

9. Incidente și asistență

Anunțăm operatorul fără întârziere nejustificată, cel mult în 48 de ore de la constatare, despre orice încălcare a securității datelor lui, cu informațiile de care are nevoie pentru notificarea către ANSPDCP (art. 33–34 GDPR). Îl ajutăm, în măsura informațiilor pe care le avem, la evaluarea de impact și la consultarea autorității (art. 35–36).

10. La încetarea serviciului

La cerere, predăm toate datele (export complet) și le ștergem din baza de date activă și de pe serverul de rezervă sincronizat în cel mult 30 de zile, cu excepția celor pe care legea ne obligă să le păstrăm.

• La ștergere păstrăm 30 de zile o copie completă a asociației sau a portofoliului (fișier JSON pe server, cu acces restrâns), pentru refacere în caz de ștergere din greșeală; apoi copia se șterge automat.
• Datele rămân în copiile de siguranță ale bazei de date până la expirarea acestora: copiile zilnice 14 zile, copiile făcute înaintea fiecărei actualizări (ultimele 10) și arhiva lunară, păstrată 10 ani pe serverul de rezervă din România, pentru refacerea registrelor.
• Copiile de siguranță au acces restrâns și nu se folosesc în alt scop: nu le readucem în serviciu decât pentru refacerea după o avarie sau la cererea scrisă a operatorului ori a unei autorități.

11. Audit

Punem la dispoziția operatorului informațiile necesare pentru a demonstra respectarea acestui acord și permitem audituri, cu un preaviz rezonabil și cu păstrarea confidențialității celorlalți clienți. Scrie-ne la contact@blocpay.ro.

12. Obligațiile operatorului

• Are un temei legal pentru datele pe care le introduce și îi informează pe proprietari / chiriași (art. 13–14 GDPR).
• Acordă acces doar persoanelor care au nevoie de el și le retrage accesul când nu mai e cazul.
• Conectează SPV-ul doar prin cineva care are dreptul să îl reprezinte în SPV; păstrează în afara BlocPay actele de personal (contracte, CNP-uri) și arhivează documentele contabile cât cere legea.
• În BlocPay Chirii, folosește codul apartamentului doar cu acordul proprietarului și pornește accesul chiriașului în asociație doar dacă are un temei pentru asta.
• Pentru asociații, poate folosi modelul de notă de informare GDPR.