Politica de Confidențialitate

1. Introducere — cine suntem

MagicDots este o platformă SaaS de tip CRM destinată comercianților care operează magazine online pe WooCommerce și Shopify, în România și la nivel internațional. Prin platforma noastră oferim module de vizibilitate în răspunsurile AI (AI Visibility), analiză de profitabilitate (Profit Intelligence), recuperarea coșurilor abandonate prin email și WhatsApp (Revenue Recovery), analiză a clienților (Customer Intelligence), precum și instrumente de marketing și de solicitare a recenziilor.

Platforma este furnizată de PREDA BOGDAN-MARIAN PERSOANĂ FIZICĂ AUTORIZATĂ, persoană fizică autorizată înregistrată în România, cu sediul în Jud. Prahova, Municipiul Ploiești, Str. Cameliei nr. 9B, bl. 59, sc. 1, et. 3, ap. 14, CUI 51692615, denumit în continuare „MagicDots”, „noi” sau „operatorul”, după caz.

Site-ul public este disponibil la magicdots.io, iar aplicația la app.magicdots.io. Prezenta Politică de Confidențialitate explică ce date cu caracter personal prelucrăm, în ce scopuri, pe ce temeiuri legale, cu cine le partajăm și ce drepturi ai în legătură cu ele, în conformitate cu Regulamentul (UE) 2016/679 (GDPR) și cu legislația română aplicabilă privind protecția datelor.

Te rugăm să citești această politică împreună cu Termenii și Condițiile și cu Politica de Cookies. Dacă nu ești de acord cu prelucrarea descrisă aici, te rugăm să nu utilizezi platforma.

2. Dubla noastră calitate: operator și persoană împuternicită

Un aspect esențial de înțeles este că MagicDots prelucrează două categorii diferite de date, în două calități juridice distincte conform GDPR.

Ca OPERATOR (controller), stabilim scopurile și mijloacele prelucrării pentru datele contului comerciantului care se înregistrează și folosește platforma — de exemplu numele, adresa de email, datele de facturare și de utilizare ale contului. Pentru aceste date, noi suntem responsabili direct față de tine, comerciantul, în calitate de persoană vizată.

Ca PERSOANĂ ÎMPUTERNICITĂ / PROCESATOR (processor), prelucrăm în NUMELE și pe seama comerciantului datele clienților finali (shopperi) ai magazinului său — de exemplu comenzi, coșuri abandonate, adrese de email și numere de telefon ale shopperilor. Pentru aceste date, OPERATORUL rămâne comerciantul, nu MagicDots. Comerciantul stabilește scopurile prelucrării, este responsabil de temeiul legal și de obținerea consimțământului acolo unde este necesar, iar noi acționăm exclusiv conform instrucțiunilor sale documentate.

Pe scurt: pentru datele contului tău de comerciant, adresează-te nouă. Pentru datele shopperilor unui magazin, operatorul este comerciantul respectiv, iar shopperii își exercită drepturile în primul rând prin acel comerciant (vezi secțiunile 10 și 14).

3. Ce date colectăm

Colectăm și prelucrăm date diferite în funcție de calitatea în care acționăm. Le prezentăm separat mai jos.

(a) Date de cont ale comerciantului (MagicDots = operator): nume și prenume sau denumire comercială, adresă de email, parolă (stocată criptat/hash-uită), date de facturare și de plată (procesate prin Stripe), țară/regiune și fus orar, preferințe de limbă, precum și date de utilizare a platformei (loguri de acces, acțiuni în aplicație, adresa IP, informații despre dispozitiv/browser în scop tehnic și de securitate).

(b) Date de magazin și date ale shopperilor prelucrate în numele comerciantului (MagicDots = persoană împuternicită): date despre magazinul conectat (domeniu, produse, comenzi, statistici de vânzări) și date cu caracter personal ale clienților finali ai comerciantului, respectiv comenzi și conținutul lor, coșuri abandonate și produsele din ele, adresa de email și, unde este cazul, numărul de telefon al shopperului, istoricul de interacțiuni relevant pentru recuperare, recenzii și marketing. Aceste date provin din magazinul comerciantului (prin conectarea platformei WooCommerce/Shopify) și, după caz, prin pixelul/plugin-ul MagicDots instalat de comerciant (vezi secțiunea 13).

Nu solicităm și nu dorim să prelucrăm categorii speciale de date (date sensibile) prin platformă. Te rugăm să nu introduci astfel de date în câmpurile libere ale aplicației.

4. Temeiuri legale ale prelucrării

Prelucrăm date cu caracter personal numai atunci când avem un temei legal valid conform art. 6 GDPR.

Pentru datele contului de comerciant (unde suntem operator), ne întemeiem în principal pe: executarea contractului dintre tine și MagicDots (art. 6 alin. 1 lit. b), pentru furnizarea și administrarea serviciului; interesul nostru legitim (art. 6 alin. 1 lit. f), pentru securitatea platformei, prevenirea fraudei, îmbunătățirea serviciului și comunicări administrative; obligații legale (art. 6 alin. 1 lit. c), de exemplu în materie fiscală și contabilă; și consimțământ (art. 6 alin. 1 lit. a), acolo unde este cerut, de exemplu pentru anumite comunicări de marketing.

Pentru datele shopperilor (unde suntem persoană împuternicită), temeiul legal este stabilit și asigurat de comerciant, în calitate de operator. Noi le prelucrăm exclusiv pe baza instrucțiunilor comerciantului și a contractului de prelucrare a datelor (DPA) dintre noi și comerciant (vezi secțiunea 14).

5. Scopurile prelucrării

Prelucrăm datele pentru următoarele scopuri principale: crearea și administrarea contului de comerciant și autentificarea; furnizarea funcționalităților platformei (AI Visibility, Profit Intelligence, Revenue Recovery, Customer Intelligence, marketing și cereri de recenzii); procesarea plăților și a abonamentelor și emiterea documentelor aferente; comunicări administrative și de suport; securitatea, monitorizarea tehnică, prevenirea abuzului și a fraudei; îmbunătățirea și dezvoltarea serviciului; și respectarea obligațiilor legale.

În ceea ce privește datele shopperilor prelucrate în numele comerciantului, scopurile sunt cele stabilite de comerciant — în principal recuperarea coșurilor abandonate, trimiterea de cereri de recenzii, acțiuni de marketing și analiza clienților — realizate conform configurării și instrucțiunilor comerciantului.

Nu folosim datele shopperilor unui comerciant pentru scopuri proprii de marketing și nu le vindem.

6. Sub-împuterniciți (sub-processors)

Pentru a furniza serviciul, folosim furnizori terți de încredere care prelucrează date în numele nostru sau, după caz, ca sub-împuterniciți ai comerciantului. Îi selectăm astfel încât să ofere garanții adecvate privind protecția datelor.

Lista sub-împuterniciților noștri actuali: Supabase (bază de date și autentificare, găzduire în Uniunea Europeană / Frankfurt); Resend (livrarea emailurilor); Vercel (găzduirea aplicației); Stripe (procesarea plăților și a abonamentelor); OpenAI și Anthropic (procesarea AI a textelor, de exemplu generarea de conținut și analiza pentru modulele AI).

Lista actualizată a sub-împuterniciților este disponibilă la magicdots.io/subprocessors. Vom notifica comercianții cu cel puțin 30 de zile înainte de a adăuga sau înlocui un sub-împuternicit. Comerciantul poate obiecta motivat în acest termen; dacă obiecția nu poate fi soluționată în mod rezonabil, Comerciantul poate rezilia partea de serviciu afectată.

Prelucrarea prin inteligență artificială. Funcțiile AI (furnizate prin OpenAI și Anthropic) prelucrează exclusiv text redactat de comerciant (de exemplu copy-ul mesajelor și setările acestuia), informații din catalogul de produse (denumiri, descrieri, prețuri) și statistici agregate, nepersonale (de exemplu numărul de coșuri sau de clienți dintr-un segment). NU transmitem furnizorilor de AI datele cu caracter personal ale shopperilor — adresa de email, numărul de telefon, conținutul comenzilor sau numele clienților. Apelurile către AI au loc la momentul configurării de către comerciant (o singură dată, iar rezultatul este salvat), nu la fiecare email trimis și nu prin cookie-uri în browserul vizitatorului. Conform termenilor API ai acestor furnizori, datele transmise prin API nu sunt folosite pentru antrenarea modelelor lor.

7. Transferuri internaționale de date

Prioritizăm găzduirea și prelucrarea datelor în Uniunea Europeană — de exemplu, baza de date este găzduită în UE (Frankfurt) prin Supabase. Cu toate acestea, unii dintre sub-împuterniciții noștri (de exemplu furnizorii de procesare AI sau de plăți) pot prelucra date în afara Spațiului Economic European.

Atunci când au loc transferuri către țări din afara SEE care nu beneficiază de o decizie de adecvare a Comisiei Europene, ne asigurăm că există garanții adecvate conform Capitolului V din GDPR, în special clauze contractuale standard (SCC) și, unde este cazul, măsuri suplimentare. O copie a clauzelor contractuale standard poate fi solicitată la contact@magicdots.io.

8. Perioade de retenție

Păstrăm datele cu caracter personal doar atât timp cât este necesar pentru scopurile pentru care au fost colectate, plus perioadele impuse de obligațiile legale (de exemplu, obligații fiscale și contabile).

Cu titlu de principiu: datele contului de comerciant sunt păstrate pe durata existenței contului și pentru o perioadă rezonabilă după închiderea acestuia; documentele de facturare sunt păstrate conform termenelor legale de arhivare; datele shopperilor prelucrate în numele comerciantului sunt păstrate conform instrucțiunilor comerciantului și șterse sau returnate la încetarea relației, conform DPA.

Datele de cont se păstrează pe durata relației contractuale și 30 de zile după închiderea contului; logurile tehnice până la 12 luni; datele coșurilor abandonate până la 12 luni; datele de marketing până la retragerea consimțământului sau după 24 de luni de inactivitate; iar documentele financiar-contabile 10 ani, conform legislației din România.

9. Drepturile persoanei vizate

În conformitate cu GDPR, ai următoarele drepturi în legătură cu datele tale cu caracter personal: dreptul de acces la date; dreptul la rectificarea datelor inexacte sau incomplete; dreptul la ștergere („dreptul de a fi uitat”); dreptul la restricționarea prelucrării; dreptul la portabilitatea datelor; dreptul de opoziție la prelucrare; și dreptul de a-ți retrage consimțământul în orice moment, atunci când prelucrarea se bazează pe consimțământ (fără a afecta legalitatea prelucrării efectuate anterior retragerii).

Ai, de asemenea, dreptul de a depune o plângere la autoritatea de supraveghere. În România, aceasta este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), fără a aduce atingere dreptului de a te adresa instanțelor competente.

Important privind rolurile: dacă ești comerciant, îți exerciți aceste drepturi față de noi pentru datele contului tău. Dacă ești shopper (client final al unui magazin), operatorul datelor tale este comerciantul respectiv, iar cererile privind drepturile tale se adresează în primul rând acelui comerciant (vezi secțiunile 10 și 14).

Drepturi privind confidențialitatea în SUA / California: MagicDots nu vinde și nu partajează („sell”/„share”) date cu caracter personal. Pentru shopperii din Statele Unite se aplică aceeași separare operator/persoană împuternicită — drepturile se exercită prin comerciantul respectiv, în calitate de operator. Comercianții rezidenți în SUA își pot exercita drepturile de acces și ștergere prin funcțiile de self-service din aplicație și la contact@magicdots.io.

10. Cum îți exerciți drepturile

Comercianți: poți accesa, exporta și șterge datele contului tău direct din aplicație, prin funcțiile de self-service disponibile în dashboard. În plus, ne poți contacta oricând pentru exercitarea drepturilor la contact@magicdots.io. Vom răspunde solicitărilor în termenele prevăzute de GDPR și putem solicita informații suplimentare pentru a-ți verifica identitatea.

Shopperi (clienți finali ai unui magazin): întrucât operatorul datelor tale este comerciantul, îți poți exercita drepturile prin acel comerciant. Pentru magazinele Shopify, cererile GDPR ale shopperilor sunt tratate și prin webhook-urile de conformitate Shopify (customers/data_request, customers/redact, shop/redact), pe care le procesăm în calitate de persoană împuternicită, pentru a sprijini comerciantul în îndeplinirea obligațiilor sale.

11. Securitatea datelor

Aplicăm măsuri tehnice și organizatorice pentru a proteja datele împotriva accesului neautorizat, pierderii, alterării sau divulgării. Printre acestea se numără criptarea datelor atât în tranzit, cât și în repaus (at rest), stocarea securizată a credențialelor (parole hash-uite), accesul restricționat pe bază de nevoie de cunoaștere, izolarea datelor între conturile de comerciant (multi-tenant) și monitorizarea tehnică a platformei.

Plățile sunt procesate de Stripe, un procesator de plăți certificat; MagicDots nu stochează datele complete ale cardurilor.

Deși aplicăm măsuri adecvate, niciun sistem nu poate garanta securitate absolută.

12. Cookie-uri

Platforma și site-ul folosesc cookie-uri și tehnologii similare pentru funcționare, autentificare, securitate și, după caz, analiză. Detaliile complete despre tipurile de cookie-uri, scopurile lor și modul în care îți poți gestiona preferințele sunt descrise în Politica noastră de Cookies.

În contextul recuperării coșurilor abandonate și al atribuirii, pixelul/plugin-ul MagicDots instalat pe magazinul comerciantului poate seta cookie-uri proprii pe domeniul magazinului — de exemplu magicdots_cart_token (identificarea coșului pentru recuperare) și magicdots_utm (reținerea sursei de trafic pentru atribuire). Aceste cookie-uri sunt setate în contextul magazinului comerciantului, care rămâne operatorul datelor shopperilor și răspunde de temeiul legal și de consimțământul aplicabil (vezi secțiunea 13).

Te rugăm să consulți Politica de Cookies pentru informații detaliate și pentru gestionarea consimțământului privind cookie-urile care nu sunt strict necesare.

13. Colectarea prin pixel pe magazinele comercianților

MagicDots pune la dispoziția comerciantului un pixel/plugin care poate fi instalat pe magazinul său și care poate captura, la checkout, adresa de email și numărul de telefon ale shopperului, în scopul recuperării coșurilor abandonate și al altor funcționalități configurate de comerciant.

În acest flux, MagicDots acționează ca persoană împuternicită, iar comerciantul rămâne OPERATORUL datelor shopperilor săi. Comerciantul este singurul responsabil de existența unui temei legal valabil și de obținerea consimțământului shopperilor acolo unde legea îl impune, precum și de informarea corectă a shopperilor prin propria politică de confidențialitate.

Recomandăm comercianților să configureze mecanismele de consimțământ pe propriul magazin în conformitate cu GDPR și cu legislația privind comunicările electronice și cookie-urile.

Recuperarea prin WhatsApp se realizează printr-un link pre-completat de tip „click-to-chat” (wa.me): MagicDots nu transmite el însuși mesaje WhatsApp și nu este utilizator al API-ului WhatsApp Business sau furnizor de soluții (BSP). Comerciantul trimite mesajul din propriul cont WhatsApp și este expeditorul acestuia.

14. MagicDots ca persoană împuternicită — condiții de prelucrare (DPA)

Atunci când prelucrăm date ale shopperilor în numele comerciantului, o facem în calitate de persoană împuternicită. Prezenta secțiune constituie acordul de prelucrare a datelor (Data Processing Agreement — DPA) în sensul art. 28 alin. (3) GDPR, este încorporată prin referință în Termenii și Condițiile MagicDots și se consideră acceptată de comerciant, în calitate de operator, la crearea contului. Ea reprezintă actul juridic obligatoriu care reglementează prelucrarea Datelor Shopperilor, fără a fi condiționată de semnarea unui document separat.

Obiectul și durata: prelucrarea datelor shopperilor pe durata furnizării serviciului către comerciant. Natura și scopul: recuperarea coșurilor, cereri de recenzii, marketing și analiză, conform instrucțiunilor comerciantului. Tipuri de date: identificatori de contact (email, telefon), date de comandă și de coș, istoric de interacțiuni. Categorii de persoane vizate: clienții finali (shopperii) ai comerciantului.

Obligațiile noastre ca persoană împuternicită includ: prelucrarea exclusiv pe baza instrucțiunilor documentate ale comerciantului; asigurarea confidențialității persoanelor autorizate să prelucreze datele; aplicarea măsurilor de securitate adecvate (art. 32); recurgerea la sub-împuterniciți numai cu autorizarea comerciantului și cu obligații echivalente în sarcina acestora; asistarea comerciantului la soluționarea cererilor persoanelor vizate; asistarea la notificarea încălcărilor de securitate și notificarea comerciantului fără întârzieri nejustificate; ștergerea sau returnarea datelor la încetarea relației; și punerea la dispoziție a informațiilor necesare pentru demonstrarea conformității, inclusiv posibilitatea de audit. De asemenea, vom informa imediat comerciantul dacă, în opinia MagicDots, o instrucțiune a acestuia încalcă GDPR sau altă normă aplicabilă privind protecția datelor. Vom notifica comerciantul fără întârzieri nejustificate și, în orice caz, în cel mult 48 de ore de la momentul în care luăm cunoștință de o încălcare a securității Datelor Shopperilor, furnizând informațiile prevăzute la art. 33 alin. (3) GDPR în măsura disponibilității lor.

Anexă privind confidențialitatea în SUA (CCPA/CPRA). În măsura în care prelucrează date cu caracter personal ale unor rezidenți din Statele Unite în numele comerciantului, MagicDots acționează ca „furnizor de servicii” (service provider) și: (a) nu vinde și nu partajează („sell”/„share”) datele shopperilor; (b) nu le păstrează, utilizează sau divulgă în alt scop decât prestarea serviciilor contractate ori după cum permite legea; (c) nu le combină cu date cu caracter personal din alte surse, cu excepția cazurilor permise de CCPA; (d) certifică faptul că înțelege și va respecta aceste restricții; și (e) impune obligații echivalente sub-împuterniciților săi.

15. Minori

Platforma este destinată exclusiv comercianților și utilizatorilor profesioniști (B2B) și nu se adresează minorilor. Nu colectăm cu bună știință date cu caracter personal ale minorilor prin conturile de comerciant.

În ceea ce privește datele shopperilor prelucrate în numele comerciantului, responsabilitatea privind respectarea cerințelor aplicabile minorilor revine comerciantului, în calitate de operator. Dacă apreciezi că am prelucrat din eroare date ale unui minor, te rugăm să ne contactezi pentru a lua măsurile necesare.

16. Modificări ale politicii

Putem actualiza periodic această Politică de Confidențialitate pentru a reflecta modificări legislative, tehnice sau ale serviciului. Versiunea în vigoare este cea publicată pe site, cu data ultimei actualizări indicată la începutul documentului.

În cazul unor modificări semnificative, vom depune eforturi rezonabile pentru a te informa prin mijloace adecvate (de exemplu prin email sau printr-o notificare în aplicație). Continuarea utilizării platformei după intrarea în vigoare a modificărilor constituie acceptarea versiunii actualizate.

17. Contact și Responsabilul cu protecția datelor

Pentru orice întrebare privind această politică sau prelucrarea datelor tale, ne poți contacta la contact@magicdots.io sau la adresa Jud. Prahova, Municipiul Ploiești, Str. Cameliei nr. 9B, bl. 59, sc. 1, et. 3, ap. 14.

Operatorul de date este PREDA BOGDAN-MARIAN PERSOANĂ FIZICĂ AUTORIZATĂ, CUI 51692615. Nu am desemnat un Responsabil cu Protecția Datelor; chestiunile de protecția datelor sunt gestionate la contact@magicdots.io.

Limbă și interpretare: versiunea în limba română a acestei politici este versiunea CANONICĂ și prevalează în caz de neconcordanță cu orice traducere, inclusiv versiunea în limba engleză.