Politica de confidențialitate
Această Politică de confidențialitate explică ce date cu caracter personal prelucrează MEGZO Integrator Vortex, de ce, în numele cui și cum sunt protejate și păstrate. Reflectă controalele tehnice reale ale platformei, operată de ICS4BIZ & IT SRL (nr. reg. com. 40365405), în calitate de operator de date.
Rolul nostru: procesator de date
MEGZO Integrator Vortex este middleware de integrare. Îți păstrăm ERP-ul ca unică sursă și sincronizăm produse, prețuri, stoc și comenzi între acesta și canalele tale de vânzare. În termeni GDPR, tu (clientul nostru / comerciantul) ești operatorul de date, iar MEGZO este un procesator de date care acționează pe baza instrucțiunilor tale documentate.
Nu generăm, emitem sau transmitem facturi fiscale ori legale și nu depunem la e-Factura / ANAF sau la vreo autoritate fiscală. Acolo unde un flux de facturare este activat, doar preluăm un PDF pe care ERP-ul sau serviciul tău de facturare l-a generat deja și îl atașăm comenzii relevante din canal.
Ce date cu caracter personal prelucrăm
Datele cu caracter personal ajung la noi doar ca parte din payload-urile comenzilor care circulă dintr-un canal de vânzare în ERP-ul tău. Practicăm minimizarea datelor — un singur model canonic de client de marketplace — și prelucrăm doar ce are nevoie o comandă ca să fie creată și onorată:
- Identificatori ai cumpărătorului: nume și referința de comandă / client a canalului.
- Date de contact necesare onorării: email și/sau telefon, acolo unde canalul le furnizează.
- Adresa de livrare și (unde e cazul) de facturare.
- Conținutul liniilor de comandă: produse, cantități, prețuri, valută și statusul comenzii/expedierii.
Nu căutăm date din categorii speciale și nu stocăm date de card de plată — plata e gestionată de canal și de furnizorii tăi de plată, nu de MEGZO.
De ce le prelucrăm (scop & temei legal)
Prelucrăm datele cu caracter personal din comenzi într-un singur scop: să prestăm serviciul de integrare pentru care ne-ai angajat — transformarea unei comenzi din canal într-un Sales Order în ERP-ul tău, sincronizarea stocului și a prețurilor, atașarea facturii PDF generate de ERP-ul tău și predarea datelor de tracking/AWB. Temeiul legal este relația operator-procesator: acționăm pe baza instrucțiunilor tale și a termenilor de prelucrare a datelor agreați cu tine (vezi Acordul nostru de prelucrare a datelor).
Sub-procesatori
Găzduim serviciul pe un set mic și fix de sub-procesatori de infrastructură. Nu vindem date și nu le partajăm cu terți de publicitate sau analytics.
| Sub-procesator | Scop | Regiune |
|---|---|---|
| Cloudflare, Inc. | Edge compute & storage (Workers, R2 blob, Queues, Durable Objects, Hyperdrive) | Global (EU data localization available) |
| Neon, Inc. | Managed PostgreSQL control-plane database (accessed via Cloudflare Hyperdrive) | EU region |
Datele tale de business rămân în ERP-ul tău; baza de date din control-plane păstrează doar configurări, legături și metadate operaționale. Adăugarea sau schimbarea unui sub-procesator e o modificare pe care o vom înregistra și o vom pune la dispoziția operatorilor conform DPA.
Retenție & ștergere
Suntem un engine de tranzit, nu un depozit de date: datele cu caracter personal din comenzi sunt prelucrate pentru a finaliza o sincronizare și nu sunt păstrate ca arhivă de sine stătătoare. Singurul loc unde un payload poate persista este dead-letter queue (DLQ), folosită pentru a reîncerca sau inspecta o sincronizare eșuată — iar aceasta este purjată automat.
- Purjarea payload-urilor din DLQ: payload-urile mesajelor eșuate sunt șterse pe un program continuu. Fereastra de retenție este impusă în cod (
DLQ_RETENTION_DAYS), implicit 30 zile; metadatele de audit (fără corpul care conține date personale) pot fi păstrate pentru trasabilitate. - Loguri: nu logăm niciodată corpuri de cerere, credențiale, token-uri sau headere de autentificare — doar referințe și hash-uri — așa că logurile nu devin un depozit secundar de date personale.
- La încetare: la finalul serviciului, înregistrările din control-plane legate de tenant-ul tău sunt șterse conform termenilor de returnare și ștergere din DPA.
Cum le protejăm
Securitatea e încorporată în platformă, nu adăugată ulterior:
- Criptare at rest: credențialele sunt sigilate cu AES-256-GCM; cheia master stă în Worker Secrets, iar textul cifrat per tenant în baza de date. Secretele sunt decriptate doar in-memory la punctul de utilizare, niciodată logate, niciodată păstrate în clar și niciodată returnate în UI.
- Criptare în tranzit: tot traficul — către canale, către ERP-ul tău și către suprafața noastră de administrare — rulează peste TLS.
- Izolarea tenant-ilor: baza de date impune row-level security (RLS) cheiat pe tenant, așa că datele unui client nu sunt accesibile din contextul altuia.
- Autenticitatea webhook-urilor: fiecare webhook de intrare e verificat prin HMAC la graniță (Standard Webhooks — id/timestamp/semnătură cu o fereastră de replay) înainte de orice prelucrare; apelurile neautentificate sunt respinse.
- Privilegiu minim & administrare blocată: UI-ul de administrare stă în spatele Cloudflare Access cu o Content-Security-Policy blocată; credențialele de serviciu sunt limitate strict la ce are nevoie fiecare integrare.
Drepturile persoanelor vizate
Deoarece suntem procesator, persoanele vizate (cumpărătorii din spatele comenzilor) își exercită de obicei drepturile cu comerciantul care le-a vândut — operatorul. Când tu, ca operator, primești o cerere de acces, rectificare, ștergere, restricționare, portabilitate sau opoziție, te vom asista în soluționarea ei pentru orice date pe care le prelucrăm în numele tău, inclusiv localizarea și ștergerea payload-urilor care conțin date personale. Contactează office@megzo.biz pentru a direcționa o astfel de cerere.
Transferuri internaționale
Sub-procesatorii noștri de infrastructură operează global, cu regiuni UE folosite pentru baza de date din control-plane. Acolo unde datele sunt transferate în afara SEE, sunt acoperite de mecanismele proprii de transfer ale sub-procesatorilor (precum Clauzele contractuale standard UE). Mecanismele de transfer specifice și orice localizare a datelor cerută de client sunt confirmate în DPA per client.
Contact
Întrebări despre acest document sau o solicitare de la o persoană vizată / un operator de date: office@megzo.biz. Răspundem conform celor descrise mai sus și direcționăm solicitările către operatorul responsabil. Operator de date și furnizor de servicii: ICS4BIZ & IT SRL (operator of MEGZO Integrator Vortex, company reg. no. 40365405).