Acord de subîmputernicire — cabinete de contabilitate
Prezentul acord („Acordul”) se încheie în temeiul art. 28 alin. (2) și (4) din Regulamentul (UE) 2016/679 („GDPR”) între:
- Cabinetul — cabinetul de contabilitate, expertul contabil sau societatea de servicii contabile care deschide un cont de tip Contabil pe platforma Contar și introduce în ea datele clienților săi („tu”);
- Subîmputernicitul — ZEUDIA GROUP S.R.L., societate de drept român, care operează platforma Contar la adresa contar.ro („noi”).
De ce există un acord separat. O firmă care își ține singură contabilitatea este operator, iar noi suntem împuterniciții ei: un singur pas, și acela e acoperit de celălalt acord.
La tine sunt trei. Clientul tău este operatorul, tu ești persoana împuternicită de el, iar noi suntem subîmputerniciții tăi. Diferența nu e formală: schimbă cine dă instrucțiunile, cine răspunde cererilor persoanelor vizate, și — mai ales — ce trebuie să ai tu de la fiecare client înainte de a-i urca datele la noi. Clauza 3 spune exact ce.
1. Obiectul și durata
Acordul reglementează prelucrarea datelor cu caracter personal pe care le introduci în platformă în numele clienților tăi sau care sunt generate prin utilizarea ei pentru ei. Acordul produce efecte din momentul acceptării lui și încetează odată cu contul tău de cabinet, cu respectarea clauzei 12.
Pentru fiecare firmă în parte, prelucrarea noastră începe când firma apare în contul tău — pentru că ai creat-o sau pentru că ți-a dat un mandat acceptat în platformă — și se oprește când acel mandat încetează (clauza 11).
2. Rolurile părților
| Cine | Ce rol are |
|---|---|
| Clientul tău — firma a cărei contabilitate o ții | Operator. El stabilește scopurile și mijloacele și răspunde de temeiul legal al datelor. |
| Tu — cabinetul | Persoană împuternicită de client, pentru serviciul contabil. Față de noi, tu ești cel care dă instrucțiunile. |
| Noi — ZEUDIA GROUP S.R.L. | Subîmputernicit, în sensul art. 28 alin. (4). Prelucrăm exclusiv pe baza instrucțiunilor tale documentate. |
Utilizarea platformei conform documentației și a funcțiilor ei constituie instrucțiune documentată.
Pentru datele contului tău — numele, e-mailul și istoricul de facturare al persoanei care se înregistrează — noi suntem operator, iar prelucrarea este descrisă în informarea privind confidențialitatea, nu în prezentul Acord.
3. Ce garantezi tu
Aceasta este clauza care deosebește acest acord de cel al unei firme. Prin acceptarea Acordului, garantezi că, pentru fiecare client ale cărui date le introduci în Contar:
- ai cu el un contract sau alt act juridic care îndeplinește condițiile art. 28 alin. (3) GDPR și care acoperă prelucrarea pe care o faci pentru el;
- ai de la el o autorizație scrisă, generală sau specifică, de a recurge la subîmputerniciți (art. 28 alin. (2)), iar noi ne încadrăm în acea autorizație;
- l-ai informat că ții contabilitatea lui într-o platformă online și i-ai pus la dispoziție, la cerere, Anexa 2 (lista subîmputerniciților noștri) și clauza 9 (accesul nostru pentru asistență);
- instrucțiunile pe care ni le dai nu le depășesc pe cele primite de la el;
- ai temeiul legal pentru datele pe care le introduci, inclusiv pentru datele angajaților, clienților și furnizorilor lui care apar în documente.
Dacă una dintre aceste condiții nu este îndeplinită pentru un client, nu îi introduce datele în Contar. Nu verificăm noi aceste condiții și nu avem cum: verificarea ar presupune accesul la contractele tale. Răspunderea pentru ele îți revine, iar la o solicitare a unei autorități sau a clientului vei fi tu cel care trebuie să le poată dovedi.
Noi, la rândul nostru, îți datorăm aceleași obligații pe care tu le datorezi clientului, potrivit art. 28 alin. (4): dacă nu ne îndeplinim obligațiile de protecție a datelor, rămânem răspunzători față de tine pentru îndeplinirea lor.
4. Natura, scopul și categoriile
Scopul: furnizarea platformei de contabilitate — emiterea și arhivarea facturilor, evidența achizițiilor, registrele contabile, declarațiile fiscale, reconcilierea bancară, importul din alte programe, transmiterea documentelor către ANAF și către destinatarii indicați de tine.
Categoriile de persoane vizate: administratorii și angajații clienților tăi care folosesc conturile; clienții și furnizorii persoane fizice sau reprezentanți ai persoanelor juridice; orice persoană care apare într-un document încărcat în platformă; persoanele din cabinetul tău care au acces la conturi.
Categoriile de date: nume și denumiri, CUI/CIF și CNP atunci când apar pe documente, adrese, adrese de e-mail și numere de telefon, coordonate bancare (IBAN), conținutul documentelor contabile încărcate și al extraselor de cont, jurnalele de acces.
Nu solicităm și nu prelucrăm intenționat categorii speciale de date în sensul art. 9 GDPR. Dacă introduci totuși astfel de date într-un document, răspunderea pentru temeiul legal revine operatorului, prin tine.
5. Obligațiile noastre
- prelucrăm datele doar la instrucțiunile tale documentate, inclusiv pentru transferuri, cu excepția cazului în care o obligație legală ne impune altceva; în acest caz te informăm înainte, dacă legea nu interzice informarea;
- ne asigurăm că persoanele care au acces la date sunt ținute de o obligație de confidențialitate;
- aplicăm măsurile tehnice și organizatorice descrise în Anexa 3, potrivit art. 32 GDPR;
- te asistăm, în limita a ceea ce ne este posibil, ca tu să îți poți asista clienții în îndeplinirea obligațiilor privind drepturile persoanelor vizate (art. 12–23), securitatea, notificarea incidentelor și evaluările de impact (art. 32–36);
- te notificăm fără întârziere nejustificată, și în orice caz în cel mult 48 de ore de la momentul în care luăm cunoștință de o încălcare a securității datelor care privește contul tău sau firmele din el, cu informațiile de care dispunem, ca tu să îți poți notifica la rândul tău clienții;
- punem la dispoziție informațiile necesare pentru a demonstra respectarea art. 28 și permitem auditurile prevăzute la clauza 13.
6. Subîmputerniciții noștri
Autorizezi în mod general recurgerea noastră la subîmputerniciți, în limitele autorizației pe care tu însuți ai primit-o de la clienți. Lista actuală este în Anexa 2. Vom anunța orice adăugare sau înlocuire cu cel puțin 30 de zile înainte, prin e-mail la adresa contului și prin actualizarea acestei pagini — termen în care poți informa clienții și, dacă te opui motivat, poți rezilia contul fără penalități înainte ca modificarea să producă efecte.
Impunem fiecărui subîmputernicit, prin contract, obligații de protecție a datelor cel puțin echivalente cu cele din prezentul Acord și rămânem pe deplin răspunzători față de tine pentru activitatea lor.
7. Transferuri în afara Spațiului Economic European
Infrastructura principală este găzduită în Uniunea Europeană (Belgia, regiunea europe-west1).
Prima excepție: funcția de citire automată a documentelor încărcate (extragerea datelor dintr-o factură fotografiată sau dintr-un extras de cont) folosește un serviciu Google care, în configurația actuală, poate executa prelucrarea în orice regiune în care furnizorul operează, inclusiv în afara SEE. Transferul este acoperit de Clauzele contractuale standard ale Comisiei Europene. Documentul trimis spre citire nu este folosit pentru antrenarea modelelor.
A doua excepție: asistentul Contar trimite întrebarea ta și datele necesare răspunsului către Anthropic PBC (SUA), numai când deschizi asistentul și scrii. Transferul este acoperit de Clauzele contractuale standard. Conversațiile nu sunt folosite pentru antrenarea modelelor, dar furnizorul le poate păstra până la 30 de zile pentru prevenirea abuzurilor.
Alegerea e a ta, client cu client. Dacă un client nu acceptă aceste transferuri, nu folosi citirea automată și asistentul pentru firma lui: restul platformei funcționează normal, iar toate datele pot fi introduse manual.
8. Drepturile persoanelor vizate
Cererile persoanelor vizate le soluționează operatorul, adică clientul tău, pentru că el cunoaște contextul datelor. Dacă o cerere ne parvine nouă direct, nu îi răspundem pe fond, ci ți-o transmitem ție fără întârziere, iar tu o transmiți clientului. Platforma pune la dispoziție funcțiile de căutare, export și ștergere necesare pentru a răspunde.
9. Securitatea și accesul nostru la date
Măsurile sunt descrise în Anexa 3. Ele pot evolua în timp, dar nivelul de protecție nu scade sub cel existent la data acceptării prezentului Acord.
Accesul pentru asistență. La cererea ta sau pentru a investiga o problemă semnalată ori un incident, personalul nostru tehnic poate intra într-un cont cu drepturile titularului — adică poate și să corecteze, nu doar să privească. Acest acces:
- expiră automat după o oră — limita este impusă de sistem și nu poate fi prelungită din interior;
- privește o singură firmă, cea pentru care a fost deschis;
- este afișat în platformă cât timp durează, cu ora la care expiră;
- este înregistrat — cine a intrat, unde, când, pentru ce motiv și când a ieșit; înregistrarea nu poate fi ștearsă din aplicație. Poți cere oricând un extras la service@contar.ro;
- nu deschide seiful de secrete al platformei (jetoanele de autentificare stocate pentru conexiuni).
Pentru că acest mecanism poate atinge datele clienților tăi, el face parte din informarea pe care le-o datorezi (clauza 3). Dacă un client nu îl acceptă, scrie-ne la service@contar.ro: îl putem dezactiva pentru firma lui, cu urmarea că asistența va fi limitată la ce poți descrie sau arăta tu.
10. Firmele din contul tău
O firmă ajunge în contul tău în două moduri, și în ambele rămâne o urmă:
- Firma te mandatează. Mandatul (împuternicirea) se acceptă în platformă de către firmă, iar acceptarea cuprinde o autorizare explicită ca tu să accesezi datele ei în Contar. Înregistrăm data, ora și contul care a autorizat. Firma poate revoca oricând.
- Tu creezi firma. La creare declari că acționezi pe instrucțiunea documentată a clientului și că ai de la el cele enumerate la clauza 3. Declarația se înregistrează cu data și contul care a făcut-o. Dacă firma intră ulterior cu un cont propriu, ea acceptă acordul pentru firme, iar de atunci relația pentru datele ei este și directă.
11. Încetarea mandatului
Când mandatul încetează — prin revocare de către firmă, prin renunțarea ta sau prin încetarea contractului dintre voi — accesul tău la datele acelei firme se închide în platformă. Datele rămân în contul firmei: nu sunt ale cabinetului și nu pleacă odată cu el. Poți exporta, înainte de încetare, ceea ce ești îndreptățit să păstrezi potrivit legii și contractului cu clientul; obligațiile tale de arhivare profesională rămân ale tale și nu ți le putem îndeplini noi.
12. Ștergerea și returnarea datelor
La încetarea contului tău de cabinet, la alegerea ta, returnăm datele într-un format structurat, de uz curent și lizibil automat (funcția de export) sau le ștergem — cu excepția datelor firmelor care au cont propriu, care rămân ale lor. Ștergerea definitivă intervine în cel mult 90 de zile de la încetare, termen în care datele pot fi încă recuperate la cerere. Copiile din backup se suprascriu în ciclul normal de rotație, în cel mult 180 de zile. Păstrăm datele peste aceste termene numai dacă o obligație legală ne impune aceasta.
13. Audit
Furnizăm, la cerere scrisă și cel mult o dată pe an, informațiile și documentația necesare pentru a demonstra respectarea art. 28 — inclusiv pentru a le putea transmite mai departe clienților tăi, când ei ți le cer. Dacă acestea nu sunt suficiente, poți efectua un audit, cu un preaviz rezonabil, în timpul programului de lucru, fără a perturba serviciul și cu respectarea confidențialității datelor celorlalți clienți ai platformei.
14. Răspunderea
Răspunderea fiecărei părți este cea prevăzută de art. 82 GDPR. Limitările de răspundere din Termeni se aplică și prezentului Acord, în măsura permisă de lege; ele nu limitează drepturile persoanelor vizate și nici competențele autorității de supraveghere. Răspunderea ta față de clienții tăi pentru alegerea și supravegherea subîmputernicitului rămâne a ta, potrivit art. 28 alin. (4).
15. Acceptarea
Acordul se încheie în formă electronică, prin bifarea casetei dedicate la crearea contului sau în platformă, conform art. 28 alin. (9) GDPR, care permite expres forma electronică. Nu este necesară o semnătură olografă. Înregistrăm versiunea acceptată, calitatea în care ai acceptat (cabinet), data, ora și contul; poți oricând solicita o copie a acestei înregistrări la service@contar.ro.
16. Legea aplicabilă
Prezentul Acord este guvernat de legea română și se interpretează împreună cu Termenii. În caz de neconcordanță între prezentul Acord și Termeni în privința protecției datelor, prevalează prezentul Acord. Versiunea în limba română este cea care face lege; traducerile sunt oferite pentru înțelegere.
Anexa 1 — Rezumatul prelucrării
| Obiect | Furnizarea platformei de contabilitate Contar pentru firmele din contul cabinetului |
|---|---|
| Durata | Pe durata contului de cabinet și a fiecărui mandat, plus termenele de la clauza 12 |
| Natura | Stocare, structurare, consultare, calcul, generare de documente, transmitere către ANAF și către destinatarii indicați |
| Scopul | Evidență contabilă și fiscală, facturare, raportare |
| Categorii de date | Cele enumerate la clauza 4 |
| Persoane vizate | Cele enumerate la clauza 4 |
Anexa 2 — Subîmputerniciți
| Furnizor | Ce face | Unde |
|---|---|---|
| Google Ireland Ltd. (Google Cloud / Firebase) | Găzduire, bază de date, autentificare, funcții server, stocarea fișierelor încărcate | UE — europe-west1, Belgia |
| Google (Vertex AI) | Citirea automată a facturilor și a extraselor de cont încărcate | Global — vezi clauza 7 |
| Anthropic PBC | Asistentul Contar: primește întrebarea și datele necesare răspunsului — numai când deschizi asistentul și scrii | SUA / Global — vezi clauza 7 |
| Hostinger International Ltd. | Trimiterea e-mailurilor platformei (invitații, notificări, documente trimise contabilului) | UE |
| 2AT (Payflow) | Încasarea abonamentului | UE |
| Postmark (Wildbit LLC) | Primirea facturilor pe adresa de e-mail dedicată — numai dacă activezi cutia poștală | SUA — Clauze contractuale standard |
| Telegram | Notificări în Telegram — numai dacă legi un cont Telegram | În afara SEE — Clauze contractuale standard |
ANAF nu este subîmputernicit: este o autoritate publică, operator distinct. Când transmiți o factură prin e-Factura sau te conectezi la SPV, noi executăm instrucțiunea ta, iar ANAF prelucrează datele în temeiul propriu, legal.
Anexa 3 — Măsuri tehnice și organizatorice
- Criptare: în tranzit (TLS) pe toate conexiunile; în repaus, pe infrastructura furnizorului de găzduire.
- Separarea clienților: fiecare firmă are spațiul ei de date; accesul este impus de reguli evaluate pe server, nu de interfață. Regulile sunt verificate automat, la fiecare modificare, de o suită de teste care încearcă deliberat accese nepermise.
- Controlul accesului: roluri distincte — titular, contabil, angajat — cu drepturi diferite; accesul cabinetului la o firmă există numai pe baza unui mandat acceptat de firmă și revocabil de ea în orice moment. Accesul personalului nostru pentru asistență se face cu drepturile titularului, expiră automat într-o oră, privește o singură firmă, este afișat cât timp durează și este înregistrat într-un registru care nu poate fi șters din aplicație (clauza 9).
- Secretele (chei de acces, certificate ANAF, parole SMTP) sunt păstrate într-un seif de secrete gestionat, niciodată în codul aplicației și niciodată accesibile din browser.
- Jurnalizare: operațiunile serverului sunt jurnalizate și păstrate pentru investigarea incidentelor.
- Copii de siguranță periodice, cu restaurare testată.
- Minimizare: nu colectăm date care nu sunt necesare funcționării; nu folosim datele contabile ale clienților pentru publicitate, profilare sau antrenarea de modele.
Contact
ZEUDIA GROUP S.R.L. · România · service@contar.ro
Accordo di sub-responsabilità — studi commercialisti
Il presente accordo (l'«Accordo») è concluso ai sensi dell'art. 28, paragrafi 2 e 4, del Regolamento (UE) 2016/679 («GDPR») tra:
- Lo Studio — lo studio commercialista, l'esperto contabile o la società di servizi contabili che apre un conto di tipo Contabil sulla piattaforma Contar e vi introduce i dati dei propri clienti («tu»);
- Il Sub-responsabile — ZEUDIA GROUP S.R.L., società di diritto romeno, che gestisce la piattaforma Contar all'indirizzo contar.ro («noi»).
Perché esiste un accordo separato. Un'azienda che tiene da sé la contabilità è titolare e noi siamo i suoi responsabili: un passo solo, coperto dall'altro accordo.
Da te i passi sono tre. Il tuo cliente è il titolare, tu sei il suo responsabile, e noi siamo i tuoi sub-responsabili. La differenza non è formale: cambia chi dà le istruzioni, chi risponde alle richieste degli interessati e — soprattutto — che cosa devi avere tu da ogni cliente prima di caricarci i suoi dati. La clausola 3 dice esattamente cosa.
1. Oggetto e durata
L'Accordo disciplina il trattamento dei dati personali che introduci nella piattaforma per conto dei tuoi clienti o che sono generati dall'uso che ne fai per loro. Ha effetto dall'accettazione e cessa con il tuo conto di studio, nel rispetto della clausola 12.
Per ciascuna azienda, il nostro trattamento comincia quando l'azienda compare nel tuo conto — perché l'hai creata tu o perché ti ha dato un mandato accettato in piattaforma — e si ferma quando quel mandato cessa (clausola 11).
2. I ruoli
| Chi | Che ruolo ha |
|---|---|
| Il tuo cliente — l'azienda di cui tieni la contabilità | Titolare. Stabilisce finalità e mezzi e risponde della base giuridica dei dati. |
| Tu — lo studio | Responsabile del cliente per il servizio contabile. Verso di noi, sei tu che dai le istruzioni. |
| Noi — ZEUDIA GROUP S.R.L. | Sub-responsabile ai sensi dell'art. 28, par. 4. Trattiamo esclusivamente su tue istruzioni documentate. |
L'uso della piattaforma secondo la documentazione e le sue funzioni costituisce istruzione documentata.
Per i dati del tuo conto — nome, e-mail e storico di fatturazione di chi si registra — noi siamo titolari, e il trattamento è descritto nell'informativa privacy, non in questo Accordo.
3. Che cosa garantisci tu
È la clausola che distingue questo accordo da quello di un'azienda. Accettando l'Accordo garantisci che, per ogni cliente i cui dati introduci in Contar:
- hai con lui un contratto o altro atto giuridico conforme all'art. 28, par. 3, GDPR, che copre il trattamento che svolgi per lui;
- hai da lui un'autorizzazione scritta, generale o specifica, a ricorrere a sub-responsabili (art. 28, par. 2), e noi rientriamo in quell'autorizzazione;
- lo hai informato che tieni la sua contabilità su una piattaforma online e gli hai messo a disposizione, su richiesta, l'Allegato 2 (l'elenco dei nostri sub-responsabili) e la clausola 9 (il nostro accesso per assistenza);
- le istruzioni che ci dai non eccedono quelle che hai ricevuto da lui;
- hai la base giuridica per i dati che introduci, compresi quelli di dipendenti, clienti e fornitori che compaiono nei documenti.
Se per un cliente una di queste condizioni non è soddisfatta, non caricare i suoi dati in Contar. Non le verifichiamo noi e non potremmo: verificarle vorrebbe dire accedere ai tuoi contratti. La responsabilità è tua, e davanti a un'autorità o al cliente sarai tu a doverle dimostrare.
Noi, a nostra volta, ti dobbiamo gli stessi obblighi che tu devi al cliente, come prevede l'art. 28, par. 4: se non adempiamo ai nostri obblighi di protezione dei dati, restiamo responsabili verso di te del loro adempimento.
4. Natura, finalità e categorie
Finalità: fornire la piattaforma di contabilità — emissione e archiviazione delle fatture, registro acquisti, libri contabili, dichiarazioni fiscali, riconciliazione bancaria, import da altri programmi, invio dei documenti all'ANAF e ai destinatari che indichi.
Categorie di interessati: amministratori e dipendenti dei tuoi clienti che usano i conti; clienti e fornitori persone fisiche o rappresentanti di persone giuridiche; chiunque compaia in un documento caricato; le persone del tuo studio che hanno accesso ai conti.
Categorie di dati: nomi e denominazioni, CUI/CIF e CNP quando compaiono sui documenti, indirizzi, e-mail e numeri di telefono, coordinate bancarie (IBAN), contenuto dei documenti contabili caricati e degli estratti conto, registri di accesso.
Non chiediamo e non trattiamo intenzionalmente categorie particolari di dati ai sensi dell'art. 9 GDPR. Se tuttavia introduci dati simili in un documento, la responsabilità per la base giuridica resta del titolare, tramite te.
5. I nostri obblighi
- trattiamo i dati solo su tue istruzioni documentate, anche per i trasferimenti, salvo obbligo di legge; in tal caso ti informiamo prima, se la legge non lo vieta;
- garantiamo che chi ha accesso ai dati è tenuto alla riservatezza;
- applichiamo le misure tecniche e organizzative dell'Allegato 3, ai sensi dell'art. 32 GDPR;
- ti assistiamo, nei limiti del possibile, perché tu possa assistere i tuoi clienti sui diritti degli interessati (artt. 12–23), sicurezza, notifica delle violazioni e valutazioni d'impatto (artt. 32–36);
- ti notifichiamo senza ingiustificato ritardo, e comunque entro 48 ore dal momento in cui veniamo a conoscenza di una violazione che riguarda il tuo conto o le aziende che contiene, con le informazioni di cui disponiamo, perché tu possa a tua volta avvisare i clienti;
- mettiamo a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consentiamo gli audit della clausola 13.
6. I nostri sub-responsabili
Autorizzi in via generale il nostro ricorso a sub-responsabili, nei limiti dell'autorizzazione che tu stesso hai ricevuto dai clienti. L'elenco attuale è nell'Allegato 2. Annunceremo ogni aggiunta o sostituzione con almeno 30 giorni di anticipo, via e-mail all'indirizzo del conto e aggiornando questa pagina — tempo nel quale puoi informare i clienti e, se ti opponi con motivo, disdire il conto senza penali prima che la modifica abbia effetto.
Imponiamo a ciascun sub-responsabile, per contratto, obblighi di protezione dei dati almeno equivalenti a quelli del presente Accordo e restiamo pienamente responsabili verso di te del loro operato.
7. Trasferimenti fuori dallo Spazio Economico Europeo
L'infrastruttura principale è ospitata nell'Unione Europea (Belgio, regione europe-west1).
Prima eccezione: la lettura automatica dei documenti caricati usa un servizio Google che, nella configurazione attuale, può eseguire il trattamento in qualunque regione in cui il fornitore opera, anche fuori dal SEE. Il trasferimento è coperto dalle Clausole contrattuali standard della Commissione Europea. Il documento inviato non è usato per addestrare modelli.
Seconda eccezione: l'assistente Contar invia la tua domanda e i dati necessari alla risposta ad Anthropic PBC (USA), solo quando apri l'assistente e scrivi. Il trasferimento è coperto dalle Clausole contrattuali standard. Le conversazioni non sono usate per addestrare modelli, ma il fornitore può conservarle fino a 30 giorni per prevenire abusi.
La scelta è tua, cliente per cliente. Se un cliente non accetta questi trasferimenti, non usare la lettura automatica e l'assistente per la sua azienda: il resto della piattaforma funziona normalmente e tutti i dati si possono inserire a mano.
8. Diritti degli interessati
Le richieste degli interessati le evade il titolare, cioè il tuo cliente, perché conosce il contesto dei dati. Se una richiesta arriva direttamente a noi, non rispondiamo nel merito ma te la trasmettiamo senza ritardo, e tu la trasmetti al cliente. La piattaforma offre le funzioni di ricerca, export e cancellazione necessarie a rispondere.
9. Sicurezza e nostro accesso ai dati
Le misure sono nell'Allegato 3. Possono evolvere, ma il livello di protezione non scende sotto quello esistente alla data di accettazione.
Accesso per assistenza. Su tua richiesta o per indagare un problema segnalato o un incidente, il nostro personale tecnico può entrare in un conto con i diritti del titolare — può cioè anche correggere, non solo guardare. Questo accesso:
- scade automaticamente dopo un'ora — il limite è imposto dal sistema e non si può prolungare da dentro;
- riguarda una sola azienda, quella per cui è stato aperto;
- è visibile nella piattaforma per tutta la sua durata, con l'ora in cui finisce;
- è registrato — chi è entrato, dove, quando, perché e quando è uscito; la registrazione non si può cancellare dall'applicazione. Puoi chiederne un estratto a service@contar.ro;
- non apre il deposito dei segreti della piattaforma (i gettoni di autenticazione delle connessioni).
Poiché questo meccanismo può toccare i dati dei tuoi clienti, fa parte dell'informativa che devi loro (clausola 3). Se un cliente non lo accetta, scrivici a service@contar.ro: possiamo disattivarlo per la sua azienda, con la conseguenza che l'assistenza sarà limitata a ciò che puoi descrivere o mostrare tu.
10. Le aziende nel tuo conto
Un'azienda arriva nel tuo conto in due modi, e in entrambi resta una traccia:
- L'azienda ti dà mandato. Il mandato si accetta in piattaforma dall'azienda, e l'accettazione comprende un'autorizzazione esplicita a che tu acceda ai suoi dati in Contar. Registriamo data, ora e conto che ha autorizzato. L'azienda può revocare in qualunque momento.
- L'azienda la crei tu. Alla creazione dichiari di agire sull'istruzione documentata del cliente e di avere da lui quanto elencato alla clausola 3. La dichiarazione è registrata con data e conto che l'ha fatta. Se poi l'azienda entra con un conto proprio, accetta l'accordo per le aziende, e da quel momento il rapporto per i suoi dati è anche diretto.
11. Fine del mandato
Quando il mandato finisce — per revoca dell'azienda, per tua rinuncia o per cessazione del contratto fra voi — il tuo accesso ai dati di quell'azienda si chiude nella piattaforma. I dati restano nel conto dell'azienda: non sono dello studio e non se ne vanno con lui. Puoi esportare, prima della cessazione, ciò che hai diritto di conservare secondo la legge e il contratto con il cliente; i tuoi obblighi di archiviazione professionale restano tuoi e non possiamo adempierli noi per te.
12. Cancellazione e restituzione dei dati
Alla cessazione del tuo conto di studio, a tua scelta, restituiamo i dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico (la funzione di export) oppure li cancelliamo — esclusi i dati delle aziende che hanno un conto proprio, che restano loro. La cancellazione definitiva avviene entro 90 giorni dalla cessazione, termine entro il quale i dati sono ancora recuperabili su richiesta. Le copie di backup si sovrascrivono nel normale ciclo di rotazione, entro 180 giorni. Conserviamo oltre questi termini solo se un obbligo di legge lo impone.
13. Audit
Forniamo, su richiesta scritta e al massimo una volta l'anno, le informazioni e la documentazione necessarie a dimostrare il rispetto dell'art. 28 — anche perché tu possa trasmetterle ai tuoi clienti quando te le chiedono. Se non bastano, puoi svolgere un audit con ragionevole preavviso, in orario di lavoro, senza disturbare il servizio e nel rispetto della riservatezza dei dati degli altri clienti della piattaforma.
14. Responsabilità
La responsabilità di ciascuna parte è quella dell'art. 82 GDPR. Le limitazioni di responsabilità dei Termini si applicano anche al presente Accordo, nei limiti consentiti dalla legge; non limitano i diritti degli interessati né i poteri dell'autorità di controllo. La tua responsabilità verso i clienti per la scelta e la sorveglianza del sub-responsabile resta tua, ai sensi dell'art. 28, par. 4.
15. Accettazione
L'Accordo si conclude in forma elettronica, spuntando la casella dedicata alla creazione del conto o nella piattaforma, ai sensi dell'art. 28, par. 9, GDPR, che ammette espressamente la forma elettronica. Non serve una firma autografa. Registriamo la versione accettata, la qualità in cui hai accettato (studio), la data, l'ora e il conto; puoi chiedere copia di questa registrazione a service@contar.ro.
16. Legge applicabile
Il presente Accordo è regolato dalla legge romena e si interpreta insieme ai Termini. In caso di contrasto fra il presente Accordo e i Termini in materia di protezione dei dati, prevale il presente Accordo. La versione in lingua romena è quella che fa fede; le traduzioni sono fornite per comprensione.
Allegato 1 — Sintesi del trattamento
| Oggetto | Fornitura della piattaforma di contabilità Contar per le aziende nel conto dello studio |
|---|---|
| Durata | Per la durata del conto di studio e di ciascun mandato, più i termini della clausola 12 |
| Natura | Archiviazione, strutturazione, consultazione, calcolo, generazione di documenti, invio all'ANAF e ai destinatari indicati |
| Finalità | Contabilità e adempimenti fiscali, fatturazione, reportistica |
| Categorie di dati | Quelle elencate alla clausola 4 |
| Interessati | Quelli elencati alla clausola 4 |
Allegato 2 — Sub-responsabili
| Fornitore | Cosa fa | Dove |
|---|---|---|
| Google Ireland Ltd. (Google Cloud / Firebase) | Hosting, database, autenticazione, funzioni server, archiviazione dei file caricati | UE — europe-west1, Belgio |
| Google (Vertex AI) | Lettura automatica delle fatture e degli estratti conto caricati | Globale — vedi clausola 7 |
| Anthropic PBC | Assistente Contar: riceve la domanda e i dati necessari alla risposta — solo quando apri l'assistente e scrivi | USA / Globale — vedi clausola 7 |
| Hostinger International Ltd. | Invio delle e-mail della piattaforma (inviti, notifiche, documenti inviati al commercialista) | UE |
| 2AT (Payflow) | Incasso dell'abbonamento | UE |
| Postmark (Wildbit LLC) | Ricezione delle fatture sull'indirizzo e-mail dedicato — solo se attivi la casella | USA — Clausole contrattuali standard |
| Telegram | Notifiche su Telegram — solo se colleghi un conto Telegram | Fuori SEE — Clausole contrattuali standard |
L'ANAF non è un sub-responsabile: è un'autorità pubblica, titolare autonomo. Quando invii una fattura con e-Factura o ti colleghi allo SPV, noi eseguiamo la tua istruzione e l'ANAF tratta i dati su base giuridica propria.
Allegato 3 — Misure tecniche e organizzative
- Cifratura: in transito (TLS) su tutte le connessioni; a riposo, sull'infrastruttura del fornitore di hosting.
- Separazione dei clienti: ogni azienda ha il suo spazio dati; l'accesso è imposto da regole valutate sul server, non dall'interfaccia. Le regole sono verificate automaticamente, a ogni modifica, da una suite di test che tenta deliberatamente accessi non permessi.
- Controllo degli accessi: ruoli distinti — titolare, commercialista, dipendente — con diritti diversi; l'accesso dello studio a un'azienda esiste solo in base a un mandato accettato dall'azienda e da essa revocabile in qualunque momento. L'accesso del nostro personale per assistenza avviene con i diritti del titolare, scade automaticamente in un'ora, riguarda una sola azienda, è visibile per tutta la durata ed è registrato in un registro che non si può cancellare dall'applicazione (clausola 9).
- I segreti (chiavi di accesso, certificati ANAF, password SMTP) sono custoditi in un deposito di segreti gestito, mai nel codice dell'applicazione e mai accessibili dal browser.
- Registrazione: le operazioni del server sono registrate e conservate per l'analisi degli incidenti.
- Copie di sicurezza periodiche, con ripristino testato.
- Minimizzazione: non raccogliamo dati non necessari al funzionamento; non usiamo i dati contabili dei clienti per pubblicità, profilazione o addestramento di modelli.
Contatti
ZEUDIA GROUP S.R.L. · Romania · service@contar.ro
Sub-processing agreement — accounting practices
This agreement (the "Agreement") is entered into under Article 28(2) and (4) of Regulation (EU) 2016/679 ("GDPR") between:
- The Practice — the accounting practice, chartered accountant or bookkeeping company that opens a Contabil account on the Contar platform and enters its clients' data into it ("you");
- The Sub-processor — ZEUDIA GROUP S.R.L., a Romanian company operating the Contar platform at contar.ro ("we").
Why a separate agreement. A company doing its own books is the controller and we are its processor: one step, covered by the other agreement.
With you there are three. Your client is the controller, you are its processor, and we are your sub-processor. The difference is not formal: it changes who gives instructions, who answers data subject requests, and above all what you must have from each client before uploading their data to us. Clause 3 says exactly what.
1. Subject matter and duration
The Agreement governs the processing of personal data you enter into the platform on behalf of your clients, or generated by your use of it for them. It takes effect on acceptance and ends with your practice account, subject to clause 12.
For each company, our processing starts when the company appears in your account — because you created it or because it granted you a mandate accepted in the platform — and stops when that mandate ends (clause 11).
2. Roles
| Who | Role |
|---|---|
| Your client — the company whose books you keep | Controller. Determines purposes and means and is responsible for the lawful basis of the data. |
| You — the practice | Processor for your client. Towards us, you are the one giving instructions. |
| We — ZEUDIA GROUP S.R.L. | Sub-processor under Article 28(4). We process solely on your documented instructions. |
Using the platform in accordance with its documentation and features constitutes a documented instruction.
For your account's own data — the name, e-mail and billing history of the person who registers — we are the controller, and that processing is described in the privacy notice, not in this Agreement.
3. What you warrant
This is the clause that sets this agreement apart from a company's. By accepting it you warrant that, for every client whose data you enter into Contar:
- you have a contract or other legal act with them meeting Article 28(3) GDPR, covering the processing you carry out for them;
- you have their written authorisation, general or specific, to engage sub-processors (Article 28(2)), and we fall within it;
- you have informed them that you keep their books on an online platform and made available, on request, Annex 2 (our sub-processors) and clause 9 (our support access);
- the instructions you give us do not exceed those you received from them;
- you have a lawful basis for the data you enter, including data of their employees, customers and suppliers appearing in documents.
If any of these is not true for a client, do not put their data into Contar. We do not verify these conditions and could not: verifying them would mean access to your contracts. The responsibility is yours, and before an authority or the client it is you who must be able to prove them.
We in turn owe you the same obligations you owe your client, as Article 28(4) requires: if we fail to meet our data protection obligations, we remain liable to you for their performance.
4. Nature, purpose and categories
Purpose: providing the accounting platform — issuing and archiving invoices, purchase records, accounting ledgers, tax returns, bank reconciliation, import from other software, sending documents to ANAF and to the recipients you designate.
Categories of data subjects: directors and employees of your clients who use the accounts; customers and suppliers who are natural persons or representatives of legal persons; anyone appearing in an uploaded document; the people in your practice with access to the accounts.
Categories of data: names, CUI/CIF and CNP where they appear on documents, addresses, e-mail addresses and phone numbers, bank details (IBAN), the contents of uploaded accounting documents and bank statements, access logs.
We do not request and do not intentionally process special categories of data within the meaning of Article 9 GDPR. If you nevertheless enter such data in a document, responsibility for the lawful basis remains with the controller, through you.
5. Our obligations
- we process data only on your documented instructions, including for transfers, unless required otherwise by law; in that case we inform you beforehand unless the law forbids it;
- we ensure that persons with access to the data are bound by confidentiality;
- we apply the technical and organisational measures in Annex 3, under Article 32 GDPR;
- we assist you, as far as possible, so that you can assist your clients with data subject rights (Articles 12–23), security, breach notification and impact assessments (Articles 32–36);
- we notify you without undue delay, and in any case within 48 hours of becoming aware of a personal data breach affecting your account or the companies in it, with the information available to us, so that you can in turn notify your clients;
- we make available the information needed to demonstrate compliance with Article 28 and allow the audits in clause 13.
6. Our sub-processors
You give general authorisation for our use of sub-processors, within the limits of the authorisation you yourself received from your clients. The current list is in Annex 2. We will announce any addition or replacement at least 30 days in advance, by e-mail to the account address and by updating this page — time in which you can inform your clients and, if you object on reasonable grounds, terminate without penalty before the change takes effect.
We impose on each sub-processor, by contract, data protection obligations at least equivalent to those in this Agreement, and we remain fully liable to you for their activity.
7. Transfers outside the European Economic Area
The main infrastructure is hosted in the European Union (Belgium, region europe-west1).
First exception: automatic reading of uploaded documents uses a Google service which, as currently configured, may process in any region where the provider operates, including outside the EEA. The transfer is covered by the European Commission's Standard Contractual Clauses. Documents sent for reading are not used to train models.
Second exception: the Contar assistant sends your question and the data needed to answer it to Anthropic PBC (USA), only when you open the assistant and type. The transfer is covered by the Standard Contractual Clauses. Conversations are not used to train models, but the provider may retain them for up to 30 days for abuse prevention.
The choice is yours, client by client. If a client does not accept these transfers, do not use automatic reading or the assistant for their company: the rest of the platform works normally and all data can be entered manually.
8. Data subject rights
Data subject requests are handled by the controller, that is your client, who knows the context of the data. If a request reaches us directly we do not answer it on the merits but pass it to you without delay, and you pass it to the client. The platform provides the search, export and deletion features needed to respond.
9. Security and our access to data
The measures are in Annex 3. They may evolve, but the level of protection will not fall below the level existing on the date this Agreement is accepted.
Support access. At your request, or to investigate a reported problem or an incident, our technical staff may enter an account with the owner's rights — they can correct, not only look. This access:
- expires automatically after one hour — the limit is enforced by the system and cannot be extended from inside;
- covers a single company, the one it was opened for;
- is displayed in the platform for its whole duration, with the time it ends;
- is logged — who entered, where, when, why and when they left; the log cannot be deleted from the application. You may request an extract at service@contar.ro;
- does not open the platform's secret store (authentication tokens held for connections).
Because this mechanism can touch your clients' data, it forms part of the information you owe them (clause 3). If a client does not accept it, write to service@contar.ro: we can disable it for their company, with the consequence that support will be limited to what you can describe or show us.
10. The companies in your account
A company reaches your account in two ways, and both leave a trace:
- The company mandates you. The mandate is accepted in the platform by the company, and the acceptance includes an explicit authorisation for you to access its data in Contar. We record the date, time and account that authorised it. The company may revoke at any time.
- You create the company. At creation you declare that you act on the client's documented instruction and that you hold from them what clause 3 lists. The declaration is recorded with the date and the account that made it. If the company later signs in with its own account, it accepts the company agreement, and from then the relationship for its data is also direct.
11. End of the mandate
When the mandate ends — by the company's revocation, by your resignation, or by termination of the contract between you — your access to that company's data closes in the platform. The data stay in the company's account: they do not belong to the practice and do not leave with it. Before termination you may export what you are entitled to keep under law and your contract with the client; your professional archiving obligations remain yours and we cannot discharge them for you.
12. Deletion and return of data
On termination of your practice account, at your choice, we return the data in a structured, commonly used, machine-readable format (the export feature) or delete them — except data of companies that hold their own account, which remain theirs. Final deletion occurs within 90 days of termination, during which data can still be recovered on request. Backup copies are overwritten in the normal rotation cycle, within 180 days. We keep data beyond these periods only where a legal obligation requires it.
13. Audit
On written request, at most once a year, we provide the information and documentation needed to demonstrate compliance with Article 28 — including so that you can pass it on to your clients when they ask. If that is not sufficient, you may carry out an audit on reasonable notice, during business hours, without disrupting the service and respecting the confidentiality of other platform clients' data.
14. Liability
Each party's liability is as set out in Article 82 GDPR. The liability limitations in the Terms also apply to this Agreement to the extent permitted by law; they do not limit data subjects' rights or the powers of the supervisory authority. Your liability to your clients for the choice and supervision of the sub-processor remains yours, under Article 28(4).
15. Acceptance
The Agreement is concluded electronically, by ticking the dedicated box when creating the account or inside the platform, under Article 28(9) GDPR, which expressly allows electronic form. No handwritten signature is required. We record the accepted version, the capacity in which you accepted (practice), the date, the time and the account; you may request a copy of that record at service@contar.ro.
16. Governing law
This Agreement is governed by Romanian law and is construed together with the Terms. In case of conflict between this Agreement and the Terms on data protection, this Agreement prevails. The Romanian version is the one that governs; translations are provided for understanding.
Annex 1 — Processing summary
| Subject matter | Provision of the Contar accounting platform for the companies in the practice's account |
|---|---|
| Duration | For the term of the practice account and of each mandate, plus the periods in clause 12 |
| Nature | Storage, structuring, consultation, calculation, document generation, transmission to ANAF and to designated recipients |
| Purpose | Accounting and tax records, invoicing, reporting |
| Data categories | Those listed in clause 4 |
| Data subjects | Those listed in clause 4 |
Annex 2 — Sub-processors
| Provider | What it does | Where |
|---|---|---|
| Google Ireland Ltd. (Google Cloud / Firebase) | Hosting, database, authentication, server functions, storage of uploaded files | EU — europe-west1, Belgium |
| Google (Vertex AI) | Automatic reading of uploaded invoices and bank statements | Global — see clause 7 |
| Anthropic PBC | Contar assistant: receives the question and the data needed to answer — only when you open the assistant and type | USA / Global — see clause 7 |
| Hostinger International Ltd. | Sending platform e-mails (invitations, notifications, documents sent to the accountant) | EU |
| 2AT (Payflow) | Subscription payments | EU |
| Postmark (Wildbit LLC) | Receiving invoices at the dedicated e-mail address — only if you enable the mailbox | USA — Standard Contractual Clauses |
| Telegram | Telegram notifications — only if you link a Telegram account | Outside the EEA — Standard Contractual Clauses |
ANAF is not a sub-processor: it is a public authority and a separate controller. When you send an invoice through e-Factura or connect to SPV, we carry out your instruction and ANAF processes the data on its own legal basis.
Annex 3 — Technical and organisational measures
- Encryption: in transit (TLS) on all connections; at rest, on the hosting provider's infrastructure.
- Client separation: each company has its own data space; access is enforced by rules evaluated on the server, not by the interface. The rules are checked automatically, on every change, by a test suite that deliberately attempts disallowed access.
- Access control: distinct roles — owner, accountant, employee — with different rights; a practice's access to a company exists only on the basis of a mandate accepted by the company and revocable by it at any time. Our staff's support access uses the owner's rights, expires automatically within an hour, covers a single company, is displayed for its whole duration and is written to a log that cannot be deleted from the application (clause 9).
- Secrets (access keys, ANAF certificates, SMTP passwords) are kept in a managed secret store, never in application code and never reachable from the browser.
- Logging: server operations are logged and retained for incident investigation.
- Backups taken regularly, with restore tested.
- Minimisation: we do not collect data unnecessary to the service; we do not use clients' accounting data for advertising, profiling or model training.
Contact
ZEUDIA GROUP S.R.L. · Romania · service@contar.ro