Politica de confidentialitate

OnSell („OnSell", „noi") este o platforma software operata din Romania de EPRISM SOLUTIONS SRL, cu sediul in Str. Traian Vuia nr. 38, Mun. Buzău, 120262, inregistrata la Registrul Comertului sub numarul J10/94/2017, CUI RO36994199. In sensul Regulamentului (UE) 2016/679, operatorul datelor cu caracter personal descrise in aceasta politica este aceasta societate, care poate fi contactata la contact@onsell.ro.

Pentru orice intrebare legata de datele tale personale, inclusiv pentru exercitarea drepturilor descrise la sectiunea 11, ne poti scrie la contact@onsell.ro.

Distinctia de mai jos determina cine raspunde pentru ce, asa ca merita citita inainte de restul documentului.

Pentru contul tau OnSell suntem operator. Noi decidem ce date sunt necesare ca sa poti avea un cont si sa intri intr-un magazin: adresa de e-mail, numele, sesiunile de autentificare.

Pentru datele din magazinul tau suntem persoana imputernicita. Comenzile, clientii, produsele si facturile pe care le incarci sau le sincronizezi in OnSell raman ale tale. Tu esti operatorul acestor date, tu decizi scopul prelucrarii, iar noi le prelucram doar conform instructiunilor tale si in masura in care este necesar pentru a furniza serviciul. Conditiile acestei prelucrari sunt scrise in acordul de prelucrare a datelor (DPA), care este publicat, face parte din contract si se aplica din momentul in care folosesti platforma — nu trebuie sa il ceri. Daca ai nevoie de un exemplar semnat, scrie-ne la contact@onsell.ro.

Pentru contul central de pe onsell.ro prelucram:

Nu colectam date din categorii speciale (sanatate, convingeri, date biometrice) si nu folosim datele tale pentru profilare sau pentru decizii automate cu efect juridic.

• Executarea contractului (art. 6 alin. 1 lit. b GDPR) — pentru crearea contului, autentificare, acces la magazine si furnizarea serviciului.
• Interesul legitim (art. 6 alin. 1 lit. f GDPR) — pentru securitatea platformei: jurnalul de acces, verificarea anti-bot si mesajele care te anunta despre o modificare a metodelor de autentificare.
• Obligatia legala (art. 6 alin. 1 lit. c GDPR) — pentru pastrarea documentelor financiare, atunci cand este cazul.
• Consimtamantul (art. 6 alin. 1 lit. a GDPR) — doar daca alegi sa conectezi un cont Google sau o integrare externa. Il poti retrage oricand, deconectand serviciul respectiv.

Butonul „Continua cu Google" este optional: poti folosi OnSell exclusiv cu e-mail si parola. Daca il folosesti, te trimitem la Google, iar Google ne returneaza trei informatii — identificatorul tau permanent, adresa de e-mail si numele din profil — dupa ce tu aprobi acest lucru.

Cerem doar domeniile de acces openid, email si profile. Nu cerem si nu primim acces la continutul contului tau Google, iar cererea este facuta astfel incat sa nu putem contacta Google in numele tau ulterior: nu stocam niciun token de reimprospatare.

Legatura se face pe baza identificatorului permanent, nu a adresei de e-mail. Asta inseamna ca poti sa-ti schimbi adresa de Gmail fara sa-ti pierzi contul, iar o adresa reciclata de Google nu poate prelua contul altcuiva. Adresa ta principala OnSell nu este niciodata rescrisa de Google.

Informatiile primite de la Google sunt folosite exclusiv pentru a crea contul tau OnSell, pentru a te autentifica si pentru a-ti afisa numele colegilor din magazinele la care ai acces. Nu le vindem, nu le folosim in scopuri publicitare, nu le utilizam pentru antrenarea unor modele si nu le transmitem altcuiva in afara furnizorilor listati la sectiunea 7. Cand deconectezi contul Google sau cand contul OnSell este sters, legatura si datele asociate ei sunt sterse.

Poti deconecta contul Google oricand din Contul meu. Daca este singura ta metoda de autentificare, iti vom cere intai sa-ti setezi o parola, ca sa nu ramai blocat in afara contului.

OnSell nu foloseste cookie-uri de publicitate, de analiza sau de urmarire. Nu avem Google Analytics, nu avem pixeli de marketing si nu vindem date nimanui. Din acest motiv nu vei vedea o banda de consimtamant pentru cookie-uri: toate cookie-urile pe care le setam sunt strict necesare functionarii site-ului, iar pentru acestea legea nu cere consimtamant.

Toate trei sunt HttpOnly — nu pot fi citite de JavaScript — si sunt legate strict de domeniul onsell.ro, deci nu sunt trimise catre magazinele individuale. Le poti sterge oricand din setarile browserului; efectul este ca vei fi deconectat.

Pe paginile de autentificare incarcam Cloudflare Turnstile, un serviciu anti-bot care poate seta propriile cookie-uri tehnice. Turnstile a fost ales tocmai pentru ca nu urmareste utilizatorii intre site-uri.

Nu vindem si nu inchiriem date personale. Le partajam doar cu furnizorii de care avem nevoie ca sa functioneze serviciul, fiecare obligat contractual sa le prelucreze doar pentru noi:

Integrarile pe care le configurezi tu — eMAG, Trendyol, Shopify, Altex, Oblio, SmartBill, FGO, FAN Courier, Cargus, DPD, Sameday si altele — primesc datele necesare operatiunii pe care o ceri (de exemplu, adresa destinatarului pentru generarea unui AWB). Aceste transferuri au loc pentru ca tu ai conectat serviciul respectiv, iar prelucrarea ulterioara este guvernata de politica de confidentialitate a fiecarui furnizor.

Putem divulga date si atunci cand suntem obligati legal sa o facem, la cererea unei autoritati competente.

Sectiunile de mai sus privesc contul tau. Aceasta sectiune priveste datele cumparatorilor tai, pe care le primim de la canalele pe care le conectezi — Shopify, eMAG, Trendyol, Altex si celelalte. Pentru ele nu suntem noi operatorul, ci tu: le prelucram doar ca sa iti putem procesa comenzile, in conditiile din acordul de prelucrare a datelor.

Cand conectezi un magazin Shopify prin aplicatia OnSell din Shopify App Store, primim despre fiecare cumparator:

Cerem de la Shopify strict permisiunile de care platforma are nevoie. Nu cerem permisiunea de a citi intregul istoric de comenzi (read_all_orders), asa ca vedem doar comenzile din ultimele 60 de zile — limita pe care Shopify o aplica implicit oricarei aplicatii.

Cererile de acces si de stergere trimise de Shopify. Shopify ne transmite automat trei tipuri de cereri, iar noi le executam fara sa fie nevoie sa ne scrii:

• Cerere de acces — cand un cumparator iti cere datele lui, inregistram cererea si ti-o semnalam, cu cumparatorul identificat, ca sa ii poti raspunde in termenul pe care il ai. Datele lui le vezi in platforma; nu ii raspundem noi in locul tau si nu ii trimitem nimic direct. Datele de contact din cerere raman in jurnal cel mult 45 de zile, apoi sunt sterse automat din el.
• Cerere de stergere a unui cumparator — stergem fisa de client preluata din Shopify si eliminam numele, adresa de e-mail, telefonul si adresa de livrare de pe copiile comenzilor lui din aceeasi oglinda.
• Stergerea magazinului — Shopify ne-o trimite la 48 de ore dupa ce dezinstalezi aplicatia si duce la aceeasi stergere, pentru toti cumparatorii magazinului.

Confirmam primirea imediat si executam stergerea in cateva minute; daca ceva esueaza, cererea este reincercata pana reuseste, nu abandonata.

Ce nu stergem si de ce. Comenzile si fisele de client din OnSell — cele pe care le vezi in Comenzi si in Clienti — nu sunt sterse de aceste cereri. Ele sunt registrul tau comercial si stau la baza facturilor emise, pe care legea fiscala te obliga sa le pastrezi. Operatorul lor esti tu: le poti sterge oricand din platforma, iar noi le stergem la cererea ta si la incetarea contractului. Ce sterge cererea venita de la Shopify este copia pe care o tinem noi din magazinul Shopify.

Serverele, bazele de date si fisierele OnSell sunt gazduite in Uniunea Europeana, in centrul de date DigitalOcean din Frankfurt, Germania. Fiecare magazin are propria baza de date si propriul spatiu de stocare, izolate de celelalte.

Unii dintre furnizorii listati mai sus sunt societati din afara UE. Transferurile catre acestia se fac pe baza clauzelor contractuale standard adoptate de Comisia Europeana sau a unei decizii de adecvare, dupa caz.

• Datele contului — cat timp contul exista, plus perioada necesara pentru a ne apara un drept in justitie.
• Sesiunile de autentificare — maximum 30 de zile, sau pana cand te deconectezi.
• Linkurile din e-mail — 24 de ore pentru confirmarea adresei, o ora pentru resetarea parolei, 7 zile pentru o invitatie. Dupa acest interval nu mai pot fi folosite.
• Jurnalul de securitate — 12 luni de la inregistrarea evenimentului, dupa care este sters.
• Datele din magazinul tau — cat timp contractul este activ. La incetare le stergem sau ti le returnam, conform intelegerii. Documentele cu relevanta fiscala se pastreaza pe durata impusa de lege.
• Datele cumparatorilor tai — cat timp contractul este activ sau pana cand le stergi tu. Mai devreme de atat, atunci cand canalul ne trimite o cerere de stergere: copia din oglinda canalului este stearsa in cateva minute de la primirea cererii.
• Mesajele primite de la canale — un magazin ne trimite fiecare comanda si fiecare modificare sub forma unui mesaj care contine si datele cumparatorului. Continutul mesajului este sters imediat ce a fost procesat cu succes si ramane doar evidenta ca a sosit, timp de 14 zile. Fac exceptie doua situatii: mesajul unei cereri de acces, al carui continut se pastreaza pana la expirarea celor 14 zile, si mesajul care nu a putut fi procesat, pastrat pana cand reuseste — altfel s-ar pierde tocmai stergerea pe care trebuia sa o execute.
• Jurnalul cererilor de acces — pastram faptul ca o cerere a fost primita si rezolvata, dar datele de contact ale solicitantului sunt sterse din jurnal dupa 45 de zile.
• Evidenta mesajelor deja procesate — 7 zile. Contine doar identificatorul mesajului, nu si continutul lui, si impiedica procesarea de doua ori a aceleiasi comenzi.

Conform GDPR ai dreptul:

• sa afli ce date detinem despre tine si sa primesti o copie a lor;
• sa ceri corectarea datelor inexacte;
• sa ceri stergerea datelor, atunci cand nu mai avem un temei sa le pastram;
• sa ceri restrictionarea prelucrarii sau sa te opui prelucrarii intemeiate pe interesul legitim;
• sa primesti datele intr-un format structurat, folosit in mod curent si citibil automat;
• sa retragi consimtamantul, atunci cand prelucrarea se bazeaza pe el, fara ca aceasta sa afecteze prelucrarile anterioare.

Iti poti modifica singur numele, numele de utilizator, poza de profil, adresa de e-mail si parola din pagina Contul meu. Schimbarea adresei de e-mail are efect abia dupa ce confirmi noua adresa. Pentru orice alta cerere, scrie-ne la contact@onsell.ro. Raspundem in cel mult o luna de la primirea cererii.

Daca esti client al unui magazin care foloseste OnSell si vrei sa-ti exerciti drepturile asupra datelor tale de cumparator, adreseaza-te direct comerciantului: el este operatorul acelor date. Daca ne scrii noua, iti vom indica persoana potrivita.

Ai de asemenea dreptul sa depui o plangere la Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, Bucuresti, dataprotection.ro.

Traficul este criptat cu TLS. Parolele sunt stocate ca hash bcrypt, iar tokenurile din e-mailuri si sesiunile sunt pastrate tot sub forma de hash, deci o copie a bazei de date nu poate fi folosita pentru a intra in conturi. Fiecare magazin ruleaza pe infrastructura proprie, cu baza de date si stocare separate.

Iti trimitem un e-mail atunci cand parola este schimbata sau cand un cont Google este conectat, ca sa poti reactiona rapid daca nu ai fost tu. Daca ne semnalezi o problema de securitate, ne poti scrie la contact@onsell.ro.

In cazul unei incalcari a securitatii datelor care iti poate afecta drepturile, notificam ANSPDCP in 72 de ore si te informam direct atunci cand riscul este ridicat.

OnSell este un instrument destinat activitatii comerciale si nu se adreseaza persoanelor sub 16 ani. Nu colectam cu buna stiinta date de la minori. Daca aflam ca am facut-o, le stergem.

Putem actualiza aceasta politica atunci cand serviciul sau cerintele legale se schimba. Data ultimei actualizari este afisata la inceputul paginii. Daca modificarea este semnificativa, te anuntam pe e-mail sau printr-un mesaj in aplicatie inainte sa intre in vigoare.