Acord de prelucrare a datelor (DPA)
Acest Acord de prelucrare a datelor (DPA) este încheiat între tine (operatorul de date) și ICS4BIZ & IT SRL (nr. reg. com. 40365405), care operează ca MEGZO Integrator Vortex (procesatorul de date). Reglementează prelucrarea datelor cu caracter personal de către MEGZO în numele tău și face parte integrantă din acordul de servicii per client.
Rolurile părților
Acest Acord de prelucrare a datelor guvernează prelucrarea de către MEGZO a datelor cu caracter personal în numele tău. Tu ești operatorul; MEGZO este procesatorul. MEGZO prelucrează date cu caracter personal doar pe baza instrucțiunilor tale documentate, inclusiv configurarea pe care o setezi în panoul tău de vendor și fluxurile de integrare pe care le activezi.
Obiect, natură & scop
Obiect: sincronizarea datelor de comandă, catalog, stoc și preț între ERP-ul tău și canalele tale de vânzare. Natură & scop: prestarea serviciului de integrare — crearea de Sales Orders din comenzile din canale, sincronizarea stocului și prețurilor, atașarea facturilor PDF deja generate și predarea datelor de tracking. Durată: pe durata serviciului.
Categorii de date & persoane vizate
Persoane vizate: cumpărătorii din spatele comenzilor plasate pe canalele tale de vânzare. Categorii de date cu caracter personal (minimizate la ce necesită o comandă):
- Identificatori — numele cumpărătorului și referința de comandă/client a canalului.
- Date de contact — email și/sau telefon, acolo unde canalul le furnizează.
- Adresa de livrare / facturare.
- Conținutul comenzii — produse, cantități, prețuri, valută și status.
Nu se caută date din categorii speciale și niciun fel de date de card de plată nu sunt stocate de MEGZO.
Obligațiile procesatorului
MEGZO va:
- prelucra datele cu caracter personal doar pe baza instrucțiunilor tale documentate;
- asigura că personalul este obligat la confidențialitate;
- implementa măsurile tehnice și organizatorice descrise mai jos;
- te asista, ținând cont de natura prelucrării, cu cererile persoanelor vizate și cu obligațiile tale de securitate, notificare a încălcărilor și evaluare a impactului;
- te notifica fără întârziere nejustificată la aflarea unei încălcări a securității datelor cu caracter personal;
- pune la dispoziție informațiile necesare pentru a demonstra conformitatea.
Măsuri tehnice & organizatorice
MEGZO menține, ca minim, următoarele măsuri — toate implementate în platforma însăși:
- Criptare at rest: AES-256-GCM pentru credențiale; cheia master în Worker Secrets, textul cifrat per tenant în baza de date; secretele decriptate doar in-memory, niciodată logate, niciodată returnate în UI.
- Criptare în tranzit: TLS pentru tot traficul extern și de administrare.
- Izolarea tenant-ilor: row-level security (RLS) în baza de date, cheiat pe tenant.
- Autentificare la graniță: verificare HMAC Standard-Webhooks a fiecărui webhook de intrare, cu o fereastră de replay, înainte de prelucrare.
- Igienă a logurilor: fără corpuri, credențiale, token-uri sau headere de autentificare în loguri — doar referințe și hash-uri.
- Privilegiu minim: credențiale de serviciu limitate strict; UI de administrare în spatele Cloudflare Access cu un CSP blocat.
- Observabilitate: un trace per execuție de flux pentru trasabilitate auditabilă, cap la cap.
Sub-procesatori
Autorizezi MEGZO să angajeze sub-procesatorii de infrastructură de mai jos. MEGZO impune obligații de protecție a datelor fiecărui sub-procesator și rămâne responsabil pentru prestația lor. MEGZO te va informa despre schimbările preconizate și îți va da posibilitatea de a obiecta.
| Sub-procesator | Scop | Regiune |
|---|---|---|
| Cloudflare, Inc. | Edge compute & storage (Workers, R2 blob, Queues, Durable Objects, Hyperdrive) | Global (EU data localization available) |
| Neon, Inc. | Managed PostgreSQL control-plane database (accessed via Cloudflare Hyperdrive) | EU region |
Transferuri internaționale
Acolo unde date cu caracter personal sunt transferate în afara SEE printr-un sub-procesator, transferul se bazează pe o garanție adecvată în temeiul Capitolului V din GDPR, precum Clauzele contractuale standard UE. Regiunile UE sunt folosite pentru baza de date din control-plane; localizarea datelor specifică unui client poate fi agreată în acordul de servicii per client.
Retenție, returnare & ștergere
MEGZO nu păstrează datele cu caracter personal din comenzi ca arhivă de sine stătătoare. Dead-letter queue, folosită pentru a reîncerca sincronizările eșuate, este purjată automat pe o fereastră continuă impusă în cod (DLQ_RETENTION_DAYS, implicit 30 zile). La încetare, MEGZO returnează și/sau șterge datele cu caracter personal din control-plane conform instrucțiunii tale, cu excepția cazurilor în care retenția este cerută de lege.
Audit & demonstrarea conformității
MEGZO va pune la dispoziție informațiile rezonabil necesare pentru a demonstra conformitatea cu acest DPA și va contribui la audituri și inspecții efectuate de tine sau de un auditor desemnat de tine, cu condiția că (a) se acordă un preaviz rezonabil, (b) auditurile se desfășoară în timpul programului de lucru fără a perturba nejustificat operațiunile și (c) părțile convin în prealabil asupra alocării costurilor. MEGZO poate satisface o solicitare de audit prin furnizarea unei certificări de terță parte sau a unui raport de audit curent, acolo unde este disponibil.
Contact
Întrebări despre acest document sau o solicitare de la o persoană vizată / un operator de date: office@megzo.biz. Răspundem conform celor descrise mai sus și direcționăm solicitările către operatorul responsabil. Operator de date și furnizor de servicii: ICS4BIZ & IT SRL (operator of MEGZO Integrator Vortex, company reg. no. 40365405).