Acord de prelucrare a datelor

Acest acord („Acordul") face parte din Termenii și condițiile și se aplică automat din momentul în care conectezi un cabinet eMAG la METRIX. Completează Politica de confidențialitate, care se ocupă de datele tale ca utilizator; Acordul de față se ocupă de datele cumpărătorilor tăi.

01Părțile și rolurile lor

Cele două roluri din GDPR nu sunt interschimbabile, iar diferența dintre ele decide cine răspunde pentru ce:

Faptul că datele stau fizic pe serverele noastre nu ne face operator. Răspunderea pentru scopul în care le folosești rămâne a ta.

02Obiectul, durata și natura prelucrării

• Obiect: furnizarea METRIX — sincronizarea comenzilor din cabinetul tău eMAG, analiza lor, modulul de suport pentru clienți (SMS, pagini de suport, certificate de garanție) și modulul de call center.
• Durata: cât timp contul tău e activ. La încetare se aplică secțiunea 09.
• Natura: colectare, stocare, structurare, consultare, utilizare și ștergere, prin mijloace automate.
• Categoriile de date și de persoane vizate: vezi Anexa 1.

03Prelucrăm numai la instrucțiunea ta

Prelucrăm datele cumpărătorilor tăi doar pe baza instrucțiunilor tale documentate (art. 28(3)(a)). Acordul de față, Termenii și acțiunile pe care le faci în aplicație sunt aceste instrucțiuni: când pornești o campanie de SMS, când suni un client din call center sau când activezi certificatul de garanție, ne dai o instrucțiune.

Excepția prevăzută de lege: dacă suntem obligați de dreptul UE sau român să prelucrăm altfel, te informăm înainte, cu excepția cazului în care legea interzice asta.

Dacă, în opinia noastră, o instrucțiune încalcă GDPR, te informăm imediat și putem suspenda executarea ei.

04Obligațiile noastre

• Confidențialitate — persoanele care au acces la date sunt obligate la confidențialitate (art. 28(3)(b)).
• Securitate — aplicăm măsurile din Anexa 2 (art. 32).
• Subîmputerniciți — vezi secțiunea 06 (art. 28(2) și (4)).
• Sprijin la cererile persoanelor vizate — dacă un cumpărător ne scrie nouă direct, nu-i răspundem în locul tău: te informăm și îți punem la dispoziție ce e necesar ca să răspunzi tu, în termenul legal (art. 28(3)(e)).
• Sprijin la art. 32–36 — te ajutăm, în limita informațiilor pe care le deținem, la securitate, notificarea incidentelor și evaluarea impactului (art. 28(3)(f)).
• Incidente de securitate — dacă apare o încălcare a securității datelor, te anunțăm fără întârzieri nejustificate după ce luăm cunoștință de ea, cu informațiile de care dispunem, ca să-ți poți respecta termenul de 72 de ore față de ANSPDCP (art. 33). Notificarea către autoritate și, dacă e cazul, către clienți, îți revine ție, ca operator.
• Ștergere sau returnare la încetare — secțiunea 09 (art. 28(3)(g)).
• Informații și audit — îți punem la dispoziție informațiile necesare pentru a dovedi respectarea art. 28 și permitem audituri rezonabile, anunțate în prealabil, o dată pe an sau după un incident (art. 28(3)(h)).

05Obligațiile tale, ca operator

Acestea sunt partea ta din acord și, în practică, partea care decide dacă folosirea METRIX e legală:

• Legalitatea scopului. Tu te asiguri că ai un temei legal pentru fiecare prelucrare pe care o pornești din aplicație și că nu folosești datele în alt scop decât cel pentru care le-ai primit.
• Informarea clienților. Ție îți revine obligația de informare din art. 13–14: cine ești, ce faci cu datele, cât le păstrezi, ce drepturi are clientul.
• Drepturile persoanelor vizate. Cererile de acces, rectificare, ștergere sau opoziție ți se adresează ție și le rezolvi tu; noi îți dăm mijloacele tehnice.
• Exactitatea datelor de contact pe care le folosești pentru suport.
• Categorii speciale. Nu introduci în METRIX date din art. 9 (sănătate, convingeri, biometrice etc.) și nici date ale minorilor sub 16 ani colectate direct.
• Securitatea contului tău — credențiale, cine are acces la dashboard, cine are conturi de operator în call center.

06Subîmputerniciți

Ne autorizezi, printr-o autorizare generală (art. 28(2)), să folosim subîmputerniciții de mai jos. Le impunem prin contract aceleași obligații de protecție a datelor și rămânem răspunzători față de tine pentru activitatea lor.

Te anunțăm cu cel puțin 30 de zile înainte de a adăuga sau înlocui un subîmputernicit. Dacă ai o obiecție întemeiată, ne-o poți comunica în acest interval; dacă nu găsim o soluție, poți înceta Serviciul fără penalități.

07Transferuri în afara SEE

Prelucrarea și stocarea principală au loc în Uniunea Europeană. Acolo unde un subîmputernicit prelucrează date în afara SEE, transferul se face pe baza unei decizii de adecvare sau a clauzelor contractuale standard ale Comisiei Europene, cu măsuri suplimentare acolo unde e cazul.

08Securitate

Măsurile concrete sunt enumerate în Anexa 2. Le putem actualiza în timp, cu condiția ca nivelul de protecție să nu scadă.

09Încetare, ștergere și păstrare

• La încetarea Serviciului sau la ștergerea contului, ștergem datele cumpărătorilor tăi prelucrate în numele tău, împreună cu baza de date a contului.
• Înainte de ștergere îți poți exporta datele; la cerere, ți le putem returna într-un format uzual.
• Facem excepție doar pentru ce suntem obligați prin lege să păstrăm, caz în care datele rămân protejate și nu se mai prelucrează în alt scop.
• Copiile de siguranță se rotesc automat și dispar în cadrul ciclului obișnuit de backup.

Procedura de ștergere a contului, cu fereastra de răzgândire, e descrisă la metrix.id/stergere-cont.

10Răspundere și lege aplicabilă

Răspunderea fiecărei părți se stabilește potrivit art. 82 GDPR și Termenilor și condițiilor. Acordul e guvernat de legea română; litigiile se soluționează de instanțele competente din România.

11Modificări

Putem actualiza acest Acord. Modificările substanțiale îți sunt comunicate cu cel puțin 30 de zile înainte, prin email sau în aplicație, iar versiunea și data intrării în vigoare apar în partea de sus a paginii. Continuarea folosirii Serviciului după intrarea în vigoare înseamnă acceptarea noii versiuni.

A1Anexa 1 — Detaliile prelucrării

A2Anexa 2 — Măsuri tehnice și organizatorice

• Separarea între conturi. Fiecare vânzător are propria bază de date. Datele clienților tăi nu ajung niciodată în contul altui vânzător.
• Criptare în tranzit. Tot traficul, inclusiv paginile trimise clienților, merge exclusiv prin HTTPS.
• Credențialele eMAG sunt stocate criptat, cu acces restricționat, și sunt folosite numai pentru sincronizare.
• Parolele conturilor sunt stocate ca hash (PBKDF2), niciodată în clar.
• Paginile trimise clienților sunt protejate. Accesul la datele personale din spatele unui link — adresa de livrare, voucherul, certificatul de garanție — cere confirmarea ultimelor 4 cifre ale numărului de telefon de pe comandă, cu limitare la 3 încercări și pauză impusă de server. Un link interceptat nu e suficient pentru a ajunge la date.
• Minimizare pe paginile publice. Reperul afișat lângă câmpul de confirmare ascunde ultimele 4 cifre, tocmai ca să nu dea răspunsul.
• Certificatele de garanție nu se stochează. PDF-ul se generează în memorie, la cerere, și se trimite direct clientului; niciun fișier cu date personale nu rămâne pe disc.
• Dreptul de descărcare e limitat în timp — permisiunea obținută după confirmare expiră în câteva minute.
• Jurnalizare a accesărilor și a acțiunilor administrative, inclusiv a situațiilor în care asistența tehnică accesează un cont.
• Copii de siguranță automate, criptate, păstrate limitat în timp.
• Găzduire în UE, la un furnizor cu certificări de securitate pentru centrul de date.
• Acces intern restrâns la strictul necesar pentru operarea și depanarea Serviciului, sub obligație de confidențialitate.

Măsurile sunt proporționale cu riscul, potrivit art. 32 GDPR, și se revizuiesc periodic.

12Contact

Pentru orice aspect legat de acest Acord: privacy@metrix.id. Reclamațiile privind prelucrarea pot fi adresate și ANSPDCP — dataprotection.ro.

Flero Trends S.R.L. · CUI [de completat] · [adresă sediu] · metrix.id · Acord de prelucrare a datelor, versiunea 1.0