Acord de prelucrare a datelor

1. Părțile și domeniul de aplicare

Prezentul Acord de prelucrare a datelor („Acordul”) face parte din Termenii și condițiile dintre comerciantul care a deschis o organizație pe Rommerce OS (Operatorul) și Piemsoft Yazılım ve Eğitim San.Tic.Paz.Ltd.Şti, 7281195865, Vatan Mahallesi 230.Cad No:101 Merkez/Isparta (Persoana împuternicită de operator). Acordul se aplică ori de câte ori Persoana împuternicită prelucrează date cu caracter personal în numele Operatorului și prevalează asupra Termenilor și condițiilor în cazul în care cele două documente intră în conflict în materie de protecție a datelor.

În cazul în care Operatorul este supus Legii turce nr. 6698 (KVKK), Operatorul este „veri sorumlusu”, iar Persoana împuternicită este „veri işleyen”, iar prezentul Acord ține loc și de înțelegere scrisă între aceștia.

2. Ce se prelucrează

• Obiectul și scopul: furnizarea Serviciului - importul comenzilor și al retururilor din canalele de vânzare ale Operatorului, rezervarea stocului, înregistrarea expedierilor, solicitarea emiterii de facturi și facturi storno, gestionarea solicitărilor de asistență, reconcilierea plăților și generarea de rapoarte.
• Durata: atât timp cât Operatorul are o organizație în cadrul Serviciului.
• Persoanele vizate: clienții Operatorului și destinatarii livrărilor acestuia; persoanele care îi scriu Operatorului prin formularul de asistență.
• Categoriile de date: nume, adresă de e-mail, număr de telefon, adresă de facturare și de livrare, denumirea societății și codul fiscal atunci când cumpărătorul este o persoană juridică, conținutul și valoarea comenzii, metoda și starea plății (niciodată numere de card), datele din facturi și din facturile storno, datele de expediere și de urmărire, motivele de retur, mesajele de asistență și numele plătitorilor care apar în liniile extraselor bancare importate de Operator.
• Categorii speciale: Serviciul nu necesită niciuna, iar Operatorul se angajează să nu introducă astfel de date.

3. Obligațiile Persoanei împuternicite

• Instrucțiuni. Persoana împuternicită prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului. Configurarea Serviciului - conectarea unui furnizor, activarea unei sincronizări, apăsarea unui buton - constituie o instrucțiune. Persoana împuternicită îl informează pe Operator dacă, în opinia sa, o instrucțiune încalcă legislația privind protecția datelor.
• Confidențialitate. Persoanele autorizate să acceseze datele au obligația de a respecta confidențialitatea, iar accesul este limitat la ceea ce este necesar pentru operarea Serviciului și pentru asistență.
• Nicio altă utilizare. Persoana împuternicită nu vinde datele, nu le folosește pentru propriul marketing și nu le folosește pentru antrenarea modelelor AI.
• Asistență. Persoana împuternicită îl ajută pe Operator să răspundă cererilor persoanelor vizate (Serviciul îi permite Operatorului să găsească, să rectifice și să șteargă datele unui anumit client) și îl asistă la evaluările impactului asupra protecției datelor și la consultările cu autoritățile, atunci când Operatorul are nevoie.
• Cereri primite direct. Dacă o persoană vizată îi scrie Persoanei împuternicite în legătură cu date deținute în numele Operatorului, Persoana împuternicită transmite cererea Operatorului și nu îi răspunde din proprie inițiativă.

4. Măsuri de securitate

Persoana împuternicită menține cel puțin următoarele măsuri:

• izolare strictă între organizații - fiecare înregistrare aparține unei singure organizații și fiecare interogare este limitată la aceasta, aspect verificat prin teste automate;
• criptarea în repaus a datelor de acces ale integrărilor, a secretelor de webhook și a secretelor de autentificare cu doi factori; parole stocate sub formă de hash; HTTPS pentru întregul trafic;
• control al accesului bazat pe roluri în cadrul fiecărei organizații, autentificare cu doi factori, liste opționale de adrese IP permise, revocarea sesiunilor și a tokenurilor API;
• un jurnal de audit al modificărilor critice, disponibil administratorilor Operatorului;
• verificarea semnăturii webhookurilor primite; limitarea numărului de cereri către punctele de acces publice;
• eliminarea metadatelor de localizare și de dispozitiv din fotografiile de produs încărcate;
• mementouri pentru rotirea datelor de acces vechi ale integrărilor; scanarea dependențelor și a secretelor în fluxul automatizat de construire a aplicației;
• copii de siguranță regulate, cu proceduri de restaurare testate.

5. Subîmputerniciți

Operatorul acordă Persoanei împuternicite o autorizație generală de a recurge la subîmputerniciți, în baza unui contract care impune aceleași obligații de protecție a datelor ca prezentul Acord. Persoana împuternicită rămâne răspunzătoare pentru aceștia. Subîmputerniciții actuali care pot prelucra datele clienților Operatorului:

• Furnizorul de găzduire și de baze de date - stocarea și servirea aplicației și a copiilor de siguranță ale acesteia.
• Furnizorul de livrare a e-mailurilor - trimiterea răspunsurilor la tichetele de asistență și a notificărilor.

Următorii furnizori sunt utilizați de Serviciu, dar nu primesc datele clienților Operatorului: furnizorii de plăți Stripe și iyzico (numai abonamentul propriu al Operatorului), furnizorul de modele lingvistice din spatele funcțiilor AI pentru listări (numai textul produselor) și remove.bg (numai fotografiile produselor).

Persoana împuternicită anunță un nou subîmputernicit pentru datele clienților pe această pagină și către proprietarii conturilor cu cel puțin paisprezece zile înainte. Operatorul poate formula obiecții din motive rezonabile legate de protecția datelor; dacă nu se găsește o soluție, Operatorul poate înceta utilizarea Serviciului.

Nu sunt subîmputerniciți: marketplace-urile, magazinele online, curierii, serviciile de facturare și băncile pe care le conectează Operatorul. Operatorul le-a ales și are propriul contract cu fiecare; Serviciul le transmite date pe baza instrucțiunii Operatorului.

6. Transferuri internaționale

Datele clienților sunt stocate în Uniunea Europeană. Dacă un subîmputernicit le prelucrează în afara SEE, Persoana împuternicită se asigură că se aplică o decizie privind caracterul adecvat al nivelului de protecție sau clauzele contractuale standard ale Comisiei Europene; pentru datele supuse KVKK, condițiile prevăzute la art. 9 din KVKK.

7. Încălcări ale securității datelor cu caracter personal

Persoana împuternicită îl notifică pe Operator fără întârzieri nejustificate după ce ia cunoștință de o încălcare a securității datelor cu caracter personal care afectează datele Operatorului, furnizând informațiile de care Operatorul are nevoie pentru propriile notificări (art. 33-34 din GDPR; art. 12 din KVKK): ce s-a întâmplat, ce date și aproximativ câte persoane sunt afectate, consecințele probabile și măsurile luate.

8. Ștergere și restituire

Pe durata contractului, Operatorul își poate exporta datele și poate șterge datele clienților individuali direct din Serviciu. La închiderea organizației, Persoana împuternicită șterge sau anonimizează ireversibil datele cu caracter personal ale Operatorului, inclusiv din copiile de siguranță, pe măsură ce acestea expiră, cu excepția cazului în care legea impune păstrarea lor.

9. Audituri

Persoana împuternicită pune la dispoziție informațiile necesare pentru a demonstra respectarea prezentului Acord și răspunde la chestionare scrise rezonabile. Dacă acest lucru nu este suficient, Operatorul poate efectua un audit o dată pe an, cu un preaviz de treizeci de zile, în timpul programului de lucru, sub rezerva confidențialității și fără acces la datele altor clienți.

10. Răspundere și durată

Răspunderea în temeiul prezentului Acord urmează limitele din Termeni și condiții, fără a restrânge drepturile persoanelor vizate sau competențele autorităților de supraveghere. Acordul încetează atunci când Persoana împuternicită a șters datele cu caracter personal ale Operatorului.

11. Contact

Contactul Persoanei împuternicite pentru protecția datelor: info@piemsoft.com.