Acord de Prelucrare a Datelor (DPA)

Prezentul Acord de Prelucrare a Datelor („DPA") face parte integrantă din Termenii și Condițiile platformei Optimads și reglementează prelucrarea datelor cu caracter personal în conformitate cu Regulamentul (UE) 2016/679 („GDPR"), art. 28, și cu Legea nr. 190/2018. Se aplică automat oricărui Client care folosește Serviciul.

1. Definiții

Termenii „date cu caracter personal", „prelucrare", „operator", „persoană împuternicită (procesator)", „persoană vizată" și „încălcare a securității datelor" au înțelesul din GDPR. „Serviciul" = platforma Optimads. „Subprocesator" = terț care prelucrează date în numele nostru.

2. Obiect și scop

Prelucrăm datele exclusiv pentru a furniza Serviciul contractat de Client: tracking de conversii (server-side și browser), atribuire, raportare și transmiterea evenimentelor către platformele de reclame alese de Client, precum și răspunsurile asistentului AI (Finny) și livrarea alertelor pe canalele alese de Client (email, WhatsApp, Telegram), care pot conține date din conturile de reclame și din magazinele Clientului. Operațiunile includ colectare, înregistrare, organizare, stocare și ștergere, conform instrucțiunilor Clientului.

3. Roluri și responsabilități

• Clientul = Operator — asigură temeiul legal al colectării (inclusiv consimțământul vizitatorilor înainte de tracking) și legalitatea datelor.
• Optimads = Procesator — prelucrează datele doar pe baza instrucțiunilor scrise ale Clientului (configurarea în platformă) și informează Clientul dacă o instrucțiune încalcă GDPR.

4. Obligațiile Procesatorului

• Confidențialitate: persoanele cu acces la date sunt obligate la confidențialitate.
• Securitate adecvată (vezi secțiunea 8).
• Asistă Clientul, în limita posibilului, pentru a răspunde cererilor persoanelor vizate (acces, ștergere etc.).
• Notifică încălcările de securitate (vezi secțiunea 10).

5. Date prelucrate

Categorii de date

• Date de identificare ale cumpărătorilor și vizitatorilor (email, telefon, nume, prenume, oraș, cod poștal, județ, țară și, dacă site-ul le trimite, gen și data nașterii) — transmise către platformele de reclame doar ca hash SHA-256. Hash-ul e o pseudonimizare, nu o anonimizare: datele rămân date cu caracter personal.
• Identificatori tehnici: adresă IP, tip dispozitiv/browser, marcaje de timp, identificatori de cookie (ex. fbc/fbp, ttclid), ID-uri de vizitator.
• Date de comportament publicitar și de conversie: evenimente (PageView, ViewContent, AddToCart, Purchase), valoarea comenzii, ID comandă.
• Date de campanie și de magazin incluse în alerte și în răspunsurile asistentului (nume de campanii și conturi, cifre de performanță, comenzi agregate).

Persoane vizate

Vizitatorii și clienții magazinelor/site-urilor Clientului.

Durata stocării

Pe durata contractului. La încetare, datele de tracking se șterg în maximum 30 de zile (cu excepția obligațiilor legale de păstrare). Jurnalele de server se păstrează 7–30 de zile pentru diagnostic și securitate.

6. Date sensibile

Serviciul nu este destinat și nu trebuie folosit pentru a colecta categorii speciale de date (sănătate, religie, opinii politice, orientare sexuală — art. 9 GDPR).

7. Subprocesatori și transferuri internaționale

Clientul autorizează general folosirea subprocesatorilor de mai jos, care respectă standarde echivalente de protecție. Vom anunța modificările cu cel puțin 15 zile înainte (prin actualizarea acestei pagini / email); obiecțiile se trimit la contact@optimads.ai.

Transferurile în afara UE/SEE se fac cu garanții adecvate (Clauze Contractuale Standard sau decizii de adecvare, inclusiv EU-U.S. Data Privacy Framework pentru furnizorii certificați).

Telegram, dacă un utilizator al Clientului alege să-l conecteze, livrează mesajele ca operator independent, conform propriilor termeni; nu este subprocesatorul nostru.

8. Măsuri tehnice și organizatorice

• Control acces pe roluri + autentificare; token-uri stocate securizat, niciodată afișate sau înregistrate.
• Criptare în tranzit (HTTPS/TLS); datele de identificare ale vizitatorilor și cumpărătorilor (email, telefon, nume, adresă) se trimit platformelor de reclame doar ca hash SHA-256.
• Izolare logică a datelor între clienți (RLS), jurnalizare acces.
• Infrastructură pe furnizori cu certificări recunoscute; testare înainte de implementare.

9. Drept de audit

La cerere rezonabilă, furnizăm documentația de securitate relevantă. Un audit la fața locului se poate face cu preaviz de minimum 14 zile, maximum o dată pe an, în timpul programului, fără a perturba activitatea, cu semnarea unui acord de confidențialitate, costurile fiind suportate de Client.

10. Notificarea încălcărilor

Notificăm Clientul fără întârziere nejustificată și în maximum 72 de ore de la confirmarea unei încălcări de securitate a datelor, cu informațiile disponibile și măsurile luate.

11. Ștergerea datelor

La încetarea contractului, ștergem datele din sistemele active în maximum 30 de zile. La cerere, putem furniza un export structurat (JSON/CSV) în 30 de zile. Persoanele vizate pot cere ștergerea oricând (vezi și pagina Ștergerea datelor).

12. Lege aplicabilă

Se aplică legea română. Litigiile se soluționează amiabil; în caz contrar, sunt competente instanțele din România.

13. Modificări

Putem actualiza acest DPA pentru a reflecta schimbări în prelucrare sau reglementare; modificările importante se anunță prin publicarea pe această pagină.