3.1. Datele Utilizatorilor Platformei

La înregistrare și în timpul utilizării Platformei colectăm:

• Date de identificare: prenume, nume, adresă de e-mail
• Date despre companie: denumirea companiei, codul de identificare fiscală, adresa
• Date de autentificare: parola (stocată exclusiv sub formă de hash criptografic), tokenuri de sesiune
• Date tehnice: adresa IP, date despre browser, sistemul de operare
• Date privind abonamentul și plățile

3.2. Date din Platformele E-commerce Conectate

Din sistemele e-commerce (WooCommerce, Magento, Shoper, Shopify, IdoSell, RedCart, PrestaShop, SkyShop):

• Date tranzacționale: numărul comenzii, data, statusul, valoarea comenzii
• Date despre produse: ID produs, denumire, preț, categorie, stoc, variante
• Datele clienților finali sub formă pseudonimizată, în limitele descrise la pct. 3.6
• Informații despre metodele de plată și de livrare (fără date de autentificare)
• Coduri de cupoane de reducere și informații despre promoții

De pe platformele marketplace:

• Date despre oferte și produse
• Date tranzacționale și despre comenzi
• Date despre costuri, taxe, comisioane și bonusuri
• Informații despre categorii și prețuri

3.3. Date din Platformele de Publicitate

Google Ads:

• Statistici ale campaniilor: afișări, clicuri, conversii
• Costuri publicitare și date despre performanța campaniilor
• Termeni de căutare și date despre grupurile de anunțuri

Descrierea detaliată a datelor provenite din serviciile Google se găsește în Secțiunea 4 (Datele Utilizatorilor Google).

Meta Ads (Facebook, Instagram):

• Statistici ale campaniilor publicitare
• Date despre interacțiune și acoperire
• Costuri și rezultate ale conversiilor

TikTok Ads:

• Date despre campaniile publicitare
• Statistici de vizualizări și interacțiune
• Informații despre costuri și conversii

Criteo și Tradetracker:

• Date despre comisioanele de afiliere
• Statistici ale campaniilor de remarketing

3.4. Date din Google Analytics

• Statistici ale sesiunilor
• Evenimente e-commerce
• Căi de navigare și surse de trafic

Descrierea completă a datelor provenite din serviciile Google se găsește în Secțiunea 4 (Datele Utilizatorilor Google).

3.5. Date pe care Platforma NU le Colectează

Adresa de e-mail și numărul de telefon ale clientului final le stocăm exclusiv sub formă de hash criptografic (a se vedea pct. 3.6).

3.6. Datele Clienților Finali ai Magazinelor (încredințare)

În numele Clientului, în calitate de persoană împuternicită, prelucrăm, asociate comenzilor:

• identificatorul clientului atribuit de platforma magazinului
• hash-ul criptografic al adresei de e-mail și al numărului de telefon
• marcajele campaniilor de marketing (de ex. UTM, gclid, fbclid)

Acestea sunt date cu caracter personal sub formă pseudonimizată, prelucrate exclusiv în scopul prestării Serviciului de analiză pentru Client (de ex. analiza clienților noi și a celor care revin), în condițiile prevăzute la § 9 din Regulament. Operatorul acestor date este Clientul.

4.1. Ce date ale utilizatorilor Google obținem

După ce ne acordați autorizarea (OAuth 2.0), obținem acces exclusiv în modul doar citire (read-only) la următoarele date din conturile dumneavoastră Google:

• Google Ads: statistici ale campaniilor (afișări, clicuri, conversii), costuri publicitare, termeni de căutare, date despre grupurile de anunțuri și performanța campaniilor
• Google Analytics (GA4): date despre sesiuni, evenimente e-commerce, surse de trafic și căi de navigare
• Google Merchant Center: date despre produsele din feed, statusul de aprobare al ofertelor, vizibilitatea și competitivitatea prețurilor
• Google Search Console: date despre performanța în motorul de căutare (termeni, pagini, clicuri, afișări)

4.2. Cum folosim datele utilizatorilor Google

Folosim datele utilizatorilor Google exclusiv pentru furnizarea și îmbunătățirea funcțiilor Platformei vizibile pentru utilizator, adică pentru analiza și vizualizarea rezultatelor de marketing și de vânzări în dashboard-urile dumneavoastră din DataOrganizer.

4.3. Cui partajăm, transferăm sau dezvăluim datele utilizatorilor Google

Datele utilizatorilor Google pot fi partajate exclusiv cu următoarele categorii de destinatari:

• Persoane împuternicite (subprocesatori) necesare pentru prestarea Serviciului, în special furnizorul de infrastructură cloud Google Cloud Platform, pe care este găzduită Platforma, care acționează exclusiv pe baza instrucțiunilor noastre documentate, în temeiul unor contracte de prelucrare a datelor conform art. 28 din GDPR.
• Furnizorul de servicii AI: funcțiile de analiză bazate pe inteligență artificială sunt realizate cu ajutorul Anthropic (modelul Claude) în calitate de persoană împuternicită, prin Anthropic API, cu prelucrare pe servere din SUA în baza clauzelor contractuale standard. Datele transmise acestui furnizor, care pot include date provenite din serviciile Google, nu sunt folosite pentru antrenarea modelelor AI.
• Autorități publice, numai atunci când acest lucru este impus în mod strict de legislația în vigoare sau de o solicitare definitivă (de ex. organele de urmărire penală).
• Colaboratori autorizați din cadrul organizației noastre, pe principiul accesului limitat („need to know”), obligați să păstreze confidențialitatea.

4.4. Conformitatea cu Google API Services User Data Policy (Limited Use)

În versiunea originală (en): DataOrganizer’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, inclusiv cerințele privind utilizarea limitată (Limited Use).

4.5. Acces minim (domenii minime / OAuth scopes)

Solicităm exclusiv domeniile minime de permisiuni (OAuth scopes) necesare pentru funcționarea Platformei și exclusiv în modul doar citire (read-only). Nu solicităm acces la date sau permisiuni care depășesc ceea ce este necesar pentru analiza datelor de marketing și vânzări. Nu solicităm domenii „pentru orice eventualitate” sau pentru funcții care nu au fost încă implementate.

4.6. Protecția datelor utilizatorilor Google

Datele utilizatorilor Google beneficiază de aceleași măsuri de securitate descrise în Secțiunea 9, inclusiv criptarea în tranzit (TLS) și la stocare (AES-256), controlul accesului și înregistrarea operațiunilor administrative. Tokenurile de acces (OAuth) sunt stocate într-o bază de date securizată în infrastructura Google Cloud, criptată în repaus.

4.7. Stocarea și ștergerea datelor utilizatorilor Google

• Stocăm datele utilizatorilor Google exclusiv pe durata integrării active.
• După deconectarea integrării (revocarea autorizării) sau la cererea dumneavoastră, datele sunt șterse în termen de 30 de zile; din copiile de rezervă, în termen de 90 de zile.
• Puteți revoca autorizarea în orice moment din setările contului DataOrganizer sau din pagina de permisiuni a contului Google: myaccount.google.com/permissions.

4.8. Supliment Google Workspace (Google Apps Script)

Suplimentul DataOrganizer pentru Google Workspace este construit pe Google Apps Script și folosește următoarele domenii de permisiuni:

• script.scriptapp: permite funcționarea suplimentului în numele dumneavoastră, inclusiv crearea și gestionarea declanșatoarelor (de ex. reîmprospătarea automată, periodică a datelor);
• script.container.ui: permite afișarea interfeței suplimentului (panou lateral, ferestre de dialog) în aplicațiile Google;
• script.external_request: permite suplimentului să se conecteze la API-ul extern DataOrganizer pentru a prelua datele dumneavoastră analitice și a le afișa în supliment.

Suplimentul nu citește alte fișiere sau documente Google ale dumneavoastră în afara celor strict necesare pentru funcțiile descrise mai sus.

5.1. Furnizarea serviciului de analiză

Scop: Analiza și vizualizarea datelor de e-commerce, pentru a permite utilizatorilor să urmărească rezultatele afacerii.

Temei juridic:

• Art. 6 alin. (1) lit. (b) GDPR: executarea contractului (furnizarea serviciului DataOrganizer)
• Art. 6 alin. (1) lit. (f) GDPR: interesul legitim de a asigura funcționalitatea Platformei

Datele clienților finali (pct. 3.6) sunt prelucrate la instrucțiunile Clientului, în calitate de operator, pe baza acordului de prelucrare a datelor (art. 28 GDPR, § 9 din Regulament).

5.2. Gestionarea contului de utilizator

Scop: Crearea și gestionarea contului de utilizator, autentificarea, comunicarea.

Temei juridic: Art. 6 alin. (1) lit. (b) GDPR: executarea contractului.

5.3. Facturare și plăți

Scop: Gestionarea abonamentelor, facturarea, procesarea plăților.

Temei juridic:

• Art. 6 alin. (1) lit. (b) GDPR: executarea contractului
• Art. 6 alin. (1) lit. (c) GDPR: obligație legală (legislația fiscală și contabilă)

5.4. Asistență tehnică

Scop: Acordarea de asistență tehnică, rezolvarea problemelor, comunicarea cu utilizatorii.

Temei juridic: Art. 6 alin. (1) lit. (b) și (f) GDPR.

5.5. Securitate și detectarea abuzurilor

Scop: Asigurarea securității Platformei, detectarea și prevenirea abuzurilor.

Temei juridic: Art. 6 alin. (1) lit. (f) GDPR: interes legitim (securitatea sistemelor).

5.6. Analiza și îmbunătățirea serviciului

Scop: Analiza modului de utilizare a Platformei, dezvoltarea funcționalităților, optimizarea performanței.

Temei juridic: Art. 6 alin. (1) lit. (f) GDPR: interes legitim.

5.7. Marketing (cu consimțământul dumneavoastră)

Scop: Trimiterea newsletterului, a informațiilor despre funcții noi și a ofertelor promoționale.

Temei juridic: Art. 6 alin. (1) lit. (a) GDPR: consimțământ liber exprimat (care poate fi retras oricând).

Desfășurăm activități de marketing exclusiv pe baza datelor de contact ale utilizatorilor Platformei. Nu folosim datele utilizatorilor Google în scopuri de marketing (a se vedea Secțiunea 4.2).

6.1. Datele utilizatorilor Platformei

Pe durata contractului: Datele sunt păstrate pe toată perioada de utilizare a Platformei.

După încetarea contractului:

• Datele necesare pentru facturare: 5 ani (conform legislației fiscale)
• Datele din comunicarea cu echipa de asistență: 3 ani
• Alte date: 30 de zile de la dezactivarea contului

6.2. Datele din platformele conectate

• Pe durata integrării active: datele se sincronizează o dată pe zi
• După deconectarea integrării sau închiderea contului: datele sunt șterse în termen de 30 de zile
• Utilizatorul poate solicita ștergerea mai devreme a datelor
• Copii de rezervă: datele sunt șterse din copii în cel mult 90 de zile

Regulile detaliate privind păstrarea și ștergerea datelor utilizatorilor Google sunt descrise în Secțiunea 4.7.

6.3. Interacțiunile cu funcțiile AI

Interacțiunile cu funcțiile AI (istoricul conversațiilor) sunt păstrate pentru furnizarea, dezvoltarea și îmbunătățirea serviciului, cel mult 12 luni de la crearea lor, după care sunt șterse automat. Dacă contul este închis mai devreme, acestea sunt șterse odată cu datele contului.

7.1. Infrastructura principală

Google Cloud Platform (GCP), regiunea Europa:

• Date analitice: regiunea europe-west1 (Belgia)
• Datele aplicației: regiunea europe-central2 (Varșovia)
• Copii de rezervă: în aceleași regiuni
• O parte din datele privind utilizarea Platformei poate fi stocată în multiregiunea UE, exclusiv pe teritoriul Uniunii Europene

7.2. Conformitatea cu cerințele GDPR

Toate datele principale sunt stocate pe teritoriul Uniunii Europene, într-o infrastructură care deține certificările: ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 2/SOC 3.

7.3. Transferul datelor în afara SEE

În măsură limitată, datele pot fi transferate în afara Spațiului Economic European:

• în cadrul funcțiilor AI: către Anthropic (SUA), pe baza clauzelor contractuale standard aprobate de Comisia Europeană
• de către Google și subcontractanții săi (de ex. în cadrul asistenței tehnice), pe baza clauzelor contractuale standard
• în cadrul procesării plăților: către Stripe, Inc. (SUA), pe baza Cadrului UE-SUA privind confidențialitatea datelor (EU-US Data Privacy Framework) și a clauzelor contractuale standard

Lista țărilor care beneficiază de o decizie privind caracterul adecvat: commission.europa.eu

8.1. Persoane împuternicite

• Furnizor de infrastructură cloud: Google Cloud Platform
• Furnizor de servicii AI: Anthropic (modelul Claude), pentru funcțiile de analiză bazate pe AI; furnizorului i se transmit conținutul solicitării și rezultatele rapoartelor procesate, în care clienții finali apar exclusiv sub formă de hash criptografic; datele nu sunt folosite pentru antrenarea modelelor
• Procesator de plăți: Stripe (în măsura necesară gestionării abonamentelor)
• Furnizor de e-mail și instrumente de birou: Google Workspace
• Colaboratorii DATADIARY, obligați prin acorduri de confidențialitate

Lista actualizată a subprocesatorilor constituie Anexa nr. 1 la Regulament.

8.2. Entități îndreptățite prin lege

Datele pot fi puse la dispoziția autorităților publice atunci când legea o impune (de ex. autorități fiscale, organe de urmărire penală).

8.3. Fără vânzare și fără transfer în scopuri publicitare

8.4. Surse de date

8.5. Acorduri de prelucrare a datelor

Cu toate entitățile care prelucrează date în numele nostru încheiem acorduri de prelucrare a datelor cu caracter personal, în conformitate cu art. 28 GDPR.

9.1. Măsuri tehnice

Criptare:

• Transmiterea datelor: TLS
• Stocarea datelor: AES-256
• Parolele utilizatorilor: stocate exclusiv sub formă de hash criptografic, într-un serviciu de autentificare securizat (nu stocăm parolele în clar)
• Tokenurile de acces pentru integrări: stocate într-o bază de date securizată din infrastructura Google Cloud, criptată în repaus

Controlul accesului:

• Autentificare în doi pași (2FA) obligatorie pentru conturile echipei DATADIARY cu acces la infrastructură
• Autentificare în doi pași (2FA) pentru utilizatorii Platformei: planificată
• Blocarea temporară a autentificării după mai multe încercări eșuate
• Principiul privilegiului minim
• Jurnale de acces și auditul acțiunilor

Securitatea infrastructurii:

• Separarea datelor fiecărui Client în baze de date distincte
• Infrastructură gestionată Google Cloud
• Notificări automate privind erorile și anomaliile de funcționare a serviciului
• Copii de rezervă automate realizate zilnic și teste periodice de restaurare

9.2. Măsuri organizatorice

• Politică de securitate a informațiilor
• Obligarea colaboratorilor să respecte politica de securitate a informațiilor
• Proceduri de răspuns la incidente
• Acces limitat la datele cu caracter personal (pe principiul „need to know”)
• Acorduri de confidențialitate cu colaboratorii

9.3. Certificări și audituri

Infrastructura se bazează pe Google Cloud Platform, care deține certificările: ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 2 Type II.

10.1. Dreptul de acces (art. 15 GDPR)

• Confirmarea faptului că prelucrăm sau nu datele dumneavoastră cu caracter personal
• O copie a datelor cu caracter personal prelucrate
• Informații despre scopurile prelucrării, categoriile de date și destinatari

Cum vă exercitați dreptul: contact@dataorganizer.io

10.2. Dreptul la rectificare (art. 16 GDPR)

Puteți solicita corectarea datelor inexacte sau completarea celor incomplete direct din setările contului sau scriind la contact@dataorganizer.io.

10.3. Dreptul la ștergere: „dreptul de a fi uitat” (art. 17 GDPR)

Puteți solicita ștergerea datelor atunci când: datele nu mai sunt necesare scopurilor prelucrării, v-ați retras consimțământul, v-ați opus prelucrării sau datele sunt prelucrate ilegal.

10.4. Dreptul la restricționarea prelucrării (art. 18 GDPR)

Puteți solicita restricționarea prelucrării datelor în anumite situații (de ex. pe durata verificării exactității datelor).

10.5. Dreptul la portabilitatea datelor (art. 20 GDPR)

Aveți dreptul să primiți datele dumneavoastră într-un format structurat, utilizat în mod curent (CSV sau Parquet), în condițiile prevăzute la § 14 din Regulament.

10.6. Dreptul la opoziție (art. 21 GDPR)

Vă puteți opune prelucrării datelor din motive legate de situația dumneavoastră particulară sau prelucrării în scop de marketing direct (oricând, necondiționat).

10.7. Dreptul de a retrage consimțământul (art. 7 alin. (3) GDPR)

Dacă prelucrarea are loc pe baza consimțământului, îl puteți retrage oricând, fără a afecta legalitatea prelucrării efectuate anterior. Autorizarea accesului la serviciile Google o puteți revoca din setările contului DataOrganizer sau pe pagina myaccount.google.com/permissions.

10.8. Dreptul de a depune o plângere (art. 77 GDPR)

10.9. Exercitarea drepturilor

Termen de soluționare: Până la 30 de zile de la primirea cererii (cu posibilitate de prelungire cu încă 60 de zile, cu notificare). Exercitarea drepturilor este, în principiu, gratuită.

10.10. Datele clienților finali ai magazinelor

Cererile privind datele clienților finali ai magazinelor (pct. 3.6) trebuie adresate proprietarului magazinului, în calitate de operator al acestor date. DATADIARY îl sprijină pe operator în soluționarea lor.

11.1. Ce sunt cookie-urile?

Cookie-urile sunt fișiere text de mici dimensiuni trimise de server și stocate pe dispozitivul utilizatorului, care permit recunoașterea browserului la vizitele ulterioare.

11.2. Ce cookie-uri folosim?

Cookie-uri strict necesare (nu necesită consimțământ):

• Autentificare și gestionarea sesiunii
• Securitate (protecție CSRF)
• Funcționalitatea de bază a Platformei

Cookie-uri statistice (necesită consimțământ):

• Google Analytics (măsurarea traficului, statistici de utilizare)
• Analiza performanței Platformei

Cookie-uri de preferințe (necesită consimțământ):

• Memorarea setărilor utilizatorului
• Limba interfeței, preferințe de afișare

Cookie-uri de marketing (necesită consimțământ):

• Urmărirea conversiilor din campaniile publicitare
• Remarketing, personalizarea conținutului de marketing

11.3. Temeiul juridic

• Cookie-uri strict necesare: art. 6 alin. (1) lit. f) din RGPD (interes legitim)
• Celelalte cookie-uri: art. 6 alin. (1) lit. a) din RGPD (consimțământul utilizatorului)

11.4. Gestionarea cookie-urilor

La accesarea site-ului se afișează un panou în care puteți accepta toate cookie-urile, le puteți respinge pe toate (cu excepția celor strict necesare) sau puteți ajusta setările pentru fiecare categorie. Setările pot fi modificate oricând, făcând clic pe pictograma din colțul din stânga jos al paginii.

11.5. Durata stocării

• Cookie-uri de sesiune: până la închiderea browserului
• Cookie-uri persistente: conform datei de expirare (maximum 24 de luni)

13.1. Integrarea Shopify

Domeniul datelor: date despre comenzi (valoare, stare, dată), date despre produse (ID, denumire, preț, variante, categorii), date ale clienților finali exclusiv în formă pseudonimizată, în măsura descrisă la pct. 3.6.

Autorizare: OAuth 2.0, de către proprietarul magazinului. Ștergerea datelor: după dezinstalarea aplicației sau la cerere, în termen de 30 de zile. Conformitate: Shopify API Terms of Service și GDPR Requirements.

13.2. Integrarea WooCommerce

Date tranzacționale și despre produse, precum și date ale clienților finali în formă pseudonimizată (pct. 3.6), preluate prin WooCommerce REST API. Autorizare: chei API generate de proprietarul magazinului în panoul WooCommerce.

13.3. Integrarea Google Ads, Google Analytics, Google Merchant Center și Google Search Console

Date despre campaniile publicitare, statistici de trafic, date din feedul de produse și performanța în motorul de căutare. Autorizare: OAuth 2.0 în modul doar citire. Conformitate cu Google Ads API Terms, Google Analytics Terms of Service și Google API Services User Data Policy (inclusiv Limited Use). Descrierea completă se află în Secțiunea 4.

13.4. Integrarea Meta Ads

Statistici ale campaniilor Facebook și Instagram. Autorizare: Facebook Business Manager OAuth. Conformitate cu Meta Platform Terms și Business Tools Terms.

13.5. Alte integrări

Reguli similare se aplică integrărilor cu: Magento, Shoper, IdoSell, RedCart, PrestaShop, SkyShop, marketplace-uri, TikTok Ads, Criteo, Tradetracker.

14.1. Drepturile rezidenților din California (CCPA)

Dacă sunteți rezident în California, beneficiați de drepturi suplimentare în temeiul California Consumer Privacy Act:

• Dreptul de a fi informat cu privire la datele colectate
• Dreptul la ștergerea datelor
• Dreptul de a renunța la „vânzarea” datelor (nu vindem date)
• Dreptul la nediscriminare

Contact: contact@dataorganizer.io, cu subiectul „CCPA Request”

14.2. Drepturile rezidenților din Regatul Unit (UK GDPR)

Aplicăm standarde de protecție a datelor conforme cu UK GDPR. Autoritatea de supraveghere: Information Commissioner’s Office (ICO), ico.org.uk.

16.1. Actualizări

Ne rezervăm dreptul de a actualiza prezenta Politică de confidențialitate pentru a reflecta modificările legislației, ale funcționalităților Platformei sau ale practicilor de prelucrare a datelor. Orice modificare a modului de utilizare a datelor utilizatorilor Google va fi comunicată utilizatorilor în prealabil.

16.2. Notificări

Vă vom informa despre modificările importante prin notificare e-mail (cu 30 de zile înainte), printr-un mesaj în Platformă și prin actualizarea datei „Ultima actualizare” din partea de sus a documentului. Versiunile anterioare ale Politicii sunt disponibile într-o arhivă, împreună cu perioadele în care au fost în vigoare.

16.3. Acceptarea modificărilor

Continuarea utilizării Platformei după introducerea modificărilor înseamnă acceptarea Politicii actualizate. În cazul unor modificări importante, putem solicita un nou consimțământ.

18.1. Limba

Politica de confidențialitate este disponibilă în limba polonă și în limba engleză. În caz de neconcordanțe, versiunea în limba polonă este cea obligatorie.

18.2. Legea aplicabilă

Prezenta Politică și toate aspectele legate de aceasta sunt guvernate de legislația poloneză.

18.3. Separabilitatea dispozițiilor

Dacă oricare dintre dispozițiile Politicii este considerată nulă sau inaplicabilă, celelalte dispoziții rămân pe deplin în vigoare.

18.4. Documente conexe

Prezenta Politică de confidențialitate trebuie citită împreună cu:

• Regulamentul Platformei DataOrganizer, în special § 9 (încredințarea prelucrării datelor), § 13 (securitate) și § 14 (exportul și ștergerea datelor)
• Condițiile de prestare a serviciilor (Terms of Service)