Acord de prelucrare a datelor (DPA)

Acest acord face parte din Termenii și condițiile Marjo și reglementează, conform art. 28 din Regulamentul (UE) 2016/679 (GDPR), prelucrarea datelor cu caracter personal pe care clientul le încredințează platformei.

SISSOFT GLOBAL S.R.L. · CUI RO35158861 · Reg. Com. J2015000386212
Str. Mihai Eminescu nr. 10, bl. MB11, sc. E, ap. 8, Slobozia, jud. Ialomița
Telefon +40 721 091 684 · Email office@marjo.ro

1. Rolurile părților

Clientul (comerciantul care folosește Marjo) este operator pentru datele cumpărătorilor săi și ale angajaților săi. SISSOFT GLOBAL S.R.L. („Marjo”) este persoană împuternicită și prelucrează aceste date numai pe baza instrucțiunilor documentate ale clientului, adică prin funcțiile platformei pe care clientul le acționează.

2. Obiectul, durata, natura și scopul prelucrării

Obiect: gestiunea comenzilor online ale clientului. Durată: pe durata contractului plus 30 de zile. Natură și scop: preluarea comenzilor de pe canalele de vânzare, emiterea AWB-urilor și a facturilor, urmărirea livrărilor, gestiunea retururilor, notificarea cumpărătorilor, calculul de profit și raportare.

3. Categorii de persoane vizate și de date

• Cumpărători: nume, telefon, email, adrese de livrare și facturare, date de firmă (pentru persoane juridice), conținutul comenzilor, AWB-uri, facturi, retururi, note lăsate de cumpărător.
• Utilizatorii clientului: nume, email, rol, jurnal de acțiuni.

Nu se prelucrează categorii speciale de date și nici date de card.

4. Obligațiile Marjo

• prelucrează datele doar pe instrucțiunile clientului și doar în scopurile de mai sus;
• asigură confidențialitatea persoanelor autorizate să prelucreze datele;
• aplică măsurile tehnice și organizatorice din secțiunea 7;
• sprijină clientul în răspunsul la cererile persoanelor vizate prin funcțiile de export și ștergere din platformă (secțiunea „Cereri GDPR”), care produc un export complet în format JSON, respectiv anonimizarea ireversibilă a cumpărătorului și a comenzilor sale, cu excepția documentelor fiscale;
• notifică clientul fără întârziere nejustificată în cazul unei încălcări a securității datelor (secțiunea 8);
• la încetarea serviciilor, șterge datele după 30 de zile, cu excepția celor pe care legea impune să fie păstrate; din copiile de siguranță criptate, care se rotesc, datele dispar în cel mult 12 luni;
• pune la dispoziție informațiile necesare demonstrării conformității și permite audituri rezonabile, anunțate cu 30 de zile înainte, cel mult o dată pe an.

5. Obligațiile clientului

Clientul garantează că are temei legal pentru datele aduse în platformă, că informează cumpărătorii conform art. 13–14 GDPR și că instrucțiunile date prin platformă respectă legea. Clientul stabilește perioada de retenție a datelor cumpărătorilor (implicit 3 ani de la ultima comandă), după care Marjo le anonimizează automat.

6. Sub-împuterniciți

Clientul autorizează în mod general folosirea următorilor sub-împuterniciți; orice modificare se anunță cu 30 de zile înainte, timp în care clientul poate obiecta.

Marketplace-urile (eMAG, Trendyol), magazinele clientului, curierii (Sameday, Cargus, FAN Courier, DPD, GLS), furnizorii de facturare (SmartBill, Oblio, FGO), furnizorul de SMS al clientului (SMSO) și ANAF sunt destinatari aleși de client prin propriile contracte; Marjo le transmite date doar în executarea instrucțiunilor clientului.

7. Măsuri tehnice și organizatorice (TOMs)

• Izolare: fiecare client este un tenant separat; baza de date aplică politici de securitate la nivel de rând (Row Level Security) care fac imposibilă citirea datelor altui client de către aplicație.
• Criptare: TLS 1.2+ și HSTS pentru tot traficul; credențialele de integrare stocate criptat (AES-256) cu cheie separată de baza de date; copiile de siguranță sunt criptate pe server înainte să plece spre spațiul de stocare, cu o cheie pe care furnizorul de stocare nu o are.
• Acces: roluri (owner, operator, contabil, viewer), sesiuni per dispozitiv, limitarea încercărilor de autentificare, jurnal de audit pentru acțiunile sensibile; accesul la infrastructură doar prin chei SSH, fără parole.
• Minimizare și retenție: se stochează doar datele necesare livrării și facturării; anonimizare automată după perioada de retenție; jurnale tehnice 90 de zile; exporturile GDPR se șterg după 7 zile.
• Reziliență: copii de siguranță zilnice, păstrate prin rotație cel mult 12 luni; procedură de restaurare testată prin restaurări reale într-o bază de test; monitorizare a disponibilității.
• Dezvoltare: fără date reale de producție în medii de test; răspunsurile furnizorilor folosite în teste sunt anonimizate.

8. Procedura în caz de încălcare a securității

1. Marjo izolează incidentul și oprește expunerea (revocare chei, suspendare acces).
2. Notifică clientul, prin email către deținătorul contului, fără întârziere nejustificată și, ca țintă, în cel mult 48 de ore de la confirmarea incidentului, cu: natura încălcării, categoriile și numărul aproximativ de persoane și înregistrări afectate, consecințele probabile, măsurile luate și punctul de contact.
3. Clientul, în calitate de operator, decide și efectuează notificarea către ANSPDCP în termen de 72 de ore și, dacă e cazul, către persoanele vizate; Marjo furnizează informațiile necesare.
4. Marjo documentează incidentul și măsurile corective.

9. Transferuri în afara UE

Datele clientului sunt găzduite în Uniunea Europeană. Transferurile posibile în afara UE sunt către furnizorul de email (Amazon SES), către Anthropic (doar poze și date de produs, la cererea unui utilizator) și către Cloudflare (verificarea anti-robot pe site), toate acoperite de clauzele contractuale standard ale Comisiei Europene.

9a. Accesul echipei Marjo

Pentru suport, un membru al echipei Marjo poate intra în contul clientului doar ca el însuși, cu un motiv scris, pentru cel mult 4 ore; accesul apare ca banner în cont și se înregistrează în jurnalul de audit al clientului. Nimeni nu se autentifică în numele unui utilizator al clientului.

10. Contact

Pentru orice aspect legat de protecția datelor: office@marjo.ro.