1. Operatorul datelor și datele de contact
Operatorul datelor personale este Agroparts Distribuție SRL, CUI RO39496776, înregistrată la Registrul Comerțului cu nr. J2022000476052, cu sediul social în Str. Publius Ovidius Naso, nr. 9, Bl. Q2, Ap. 3, Oradea, jud. Bihor, România, denumită în continuare „noi” sau „operatorul”.
Pentru orice întrebare ori cerere privind datele personale ne poți scrie la comenzi@piesemotoare.ro sau ne poți suna la 0742 366 275 și 0758 366 275.
Raportat la natura și amploarea actuală a prelucrărilor, nu avem obligația de a desemna un responsabil cu protecția datelor (DPO). Cererile sunt gestionate prin datele de contact de mai sus. Vom reevalua această concluzie dacă activitatea sau legea se modifică.
2. Cui se aplică politica
Politica se aplică vizitatorilor site-ului, clienților care comandă cu sau fără cont, persoanelor care își salvează utilaje ori trimit cereri de ofertă și persoanelor de contact sau reprezentanților clienților persoane juridice. Datele unei societăți, luate separat, nu sunt date personale, însă numele, telefonul, e-mailul și alte informații despre o persoană fizică din cadrul acelei societăți intră sub protecția GDPR.
Nu solicităm CNP și nu stocăm numărul complet al cardului, codul CVV sau alte date de autentificare ale cardului. Plata se face ramburs la livrare, în numerar sau cu cardul la terminalul curierului@if (\App\Enums\PaymentMethod::BankTransfer->isAvailable()), ori prin ordin de plată, caz în care banca ne comunică plătitorul și detaliile plății@endif.
3. Datele prelucrate, pe fluxuri
Pentru toate fluxurile de mai jos, informațiile despre furnizori, transferuri și garanțiile contractuale de la pct. 5 se aplică împreună cu destinatarii indicați în fiecare subsecțiune.
3.1. Contul de client și autentificarea
Date: nume, adresă de e-mail, telefon, parola păstrată numai sub formă de hash, starea și verificarea contului, solicitările de resetare a parolei, identificatorii de sesiune și momentele autentificării.
Scop și temei: crearea și administrarea contului, autentificarea și protejarea accesului; executarea serviciului solicitat și a contractului (art. 6 alin. 1 lit. b GDPR), respectiv interesul legitim de a menține conturile și magazinul în siguranță (art. 6 alin. 1 lit. f GDPR).
Caracter: contul este opțional, deoarece poți comanda și fără cont. Câmpurile marcate ca obligatorii sunt necesare pentru a crea și securiza contul; fără ele nu putem furniza această funcție.
Sursă, destinatari și păstrare: datele provin de la tine și din operațiunile automate de autentificare. Sunt accesibile personalului autorizat și sunt găzduite de Hetzner. Contul și datele asociate se păstrează până la ștergerea lui sau până la expirarea unei perioade de inactivitate justificată, exceptând datele pe care trebuie să le păstrăm separat potrivit legii ori pentru soluționarea unor pretenții. Sesiunile expiră după perioada tehnică indicată la pct. 3.7.
3.2. Adrese și date de facturare
Date: tipul clientului, numele persoanei de contact, telefon, eticheta adresei, adresa de livrare și/sau facturare, iar pentru persoane juridice denumirea societății, CUI, numărul de la Registrul Comerțului și atributul fiscal, dacă este cazul.
Scop și temei: salvarea adreselor în cont este o funcție solicitată de client (art. 6 alin. 1 lit. b GDPR). Folosirea lor într-o comandă este necesară pentru livrare, facturare și îndeplinirea obligațiilor fiscale (art. 6 alin. 1 lit. b și c GDPR).
Caracter: salvarea unei adrese în cont este opțională. O adresă de livrare și datele de facturare aplicabile sunt obligatorii la comandă; fără ele nu putem livra bunurile ori emite documentele necesare.
Sursă, destinatari și păstrare: datele sunt furnizate de tine. Adresele salvate sunt găzduite de Hetzner și pot fi văzute de personalul autorizat. Pentru o comandă, datele necesare ajung la GLS, iar datele de facturare la SmartBill și la contabil. Adresele din cont se păstrează până când le ștergi ori până la ștergerea contului; copia inclusă în comandă urmează termenul comenzii și al documentelor justificative.
3.3. Comenzi, plăți, facturi, livrare, retur și garanție
Date: identitatea și datele de contact ale clientului, persoană fizică sau juridică, adresele, produsele și codurile comandate, cantități, prețuri, TVA, reduceri, greutate, transport, total, metoda și starea plății, referințe de încasare sau rambursare, numărul comenzii, starea și istoricul ei. Pentru livrare prelucrăm curierul, serviciul, AWB-ul, legătura de urmărire și momentele expedierii/livrării. Pentru facturare păstrăm seria, numărul, data, valoarea, starea și, când este încărcată în sistem, factura PDF. Pentru retragere, retur ori garanție prelucrăm declarația și data cererii, produsele vizate, motivul dacă alegi să îl comunici, documentele și comunicările necesare soluționării.
Scop și temei: preluarea, acceptarea, livrarea și plata comenzii, suportul post-vânzare și soluționarea cererilor (art. 6 alin. 1 lit. b GDPR); facturarea, contabilitatea, protecția consumatorilor și obligațiile față de autorități (art. 6 alin. 1 lit. c GDPR); prevenirea fraudei, proba operațiunilor și apărarea drepturilor (art. 6 alin. 1 lit. f GDPR).
Caracter: informațiile marcate obligatoriu în checkout sunt necesare pentru comandă. Refuzul lor împiedică încheierea sau executarea contractului. Contul, motivarea retragerii legale și consimțământul de marketing nu sunt obligatorii.
Sursă: datele provin de la tine, din calculul automat al comenzii, de la personalul care o administrează și, după caz, de la GLS privind expedierea/încasarea și de la SmartBill ori contabil privind factura. Nu primim și nu păstrăm datele cardului folosit la terminalul curierului.
Destinatari și păstrare: personalul autorizat, Hetzner, GLS, SmartBill și contabilul, fiecare numai pentru rolul descris la pct. 5. Datele operaționale se păstrează cât este necesar pentru executarea contractului, garanții, retururi, soluționarea reclamațiilor și termenele de prescripție; documentele financiar-contabile urmează termenul distinct de la pct. 6.
3.4. Utilaje și motoare salvate, inclusiv fotografii
Date: tipul și denumirea utilajului ori motorului selectat, denumirea aleasă de client, seria motorului, seria șasiului, anul fabricației și notițele introduse. Pentru fotografii păstrăm fișierul, numele original, formatul, dimensiunea și metadatele care pot exista în fișier.
Scop și temei: afișarea rapidă a catalogului compatibil, identificarea pieselor și oferirea suportului cerut de tine (art. 6 alin. 1 lit. b GDPR). Protejarea funcției și clarificarea solicitărilor se bazează și pe interesul nostru legitim de a presta corect serviciul (art. 6 alin. 1 lit. f GDPR).
Caracter: întreaga funcție este opțională. Poți folosi magazinul și comanda fără să salvezi un utilaj, fără serii și fără fotografii. Refuzul înseamnă doar că nu putem păstra acel context în cont sau folosi fotografiile pentru identificare.
Sursă, destinatari și păstrare: datele sunt furnizate de tine; denumirea tehnică poate proveni din selecția făcută de tine în catalog. Sunt găzduite de Hetzner și pot fi accesate numai de titularul contului și de personalul autorizat. De regulă, sunt păstrate până când ștergi informația, fotografia, utilajul sau contul, cu excepția cazului în care o copie este necesară într-o cerere ori dispută în curs.
Fotografiile sunt stocate într-o zonă privată, fără adresă publică directă, și sunt furnizate numai după verificarea dreptului de acces. Un fișier poate păstra metadate create de telefon sau aparat, inclusiv data și, uneori, localizarea. Nu folosim aceste metadate pentru urmărire, însă îți recomandăm să încarci doar imaginea necesară identificării și să eviți persoane, documente ori detalii fără legătură cu solicitarea. O fotografie de utilaj nu reprezintă automat o categorie specială de date în sensul art. 9 GDPR.
3.5. Cereri de ofertă
Date: contul solicitantului, numărul cererii, mesajul, cantitatea, utilajul asociat și o copie a denumirii lui, starea cererii, oferta de preț, nota de răspuns și comunicările aferente.
Scop și temei: analizarea solicitării și pregătirea unei oferte ori a unei comenzi, la cererea ta (art. 6 alin. 1 lit. b GDPR), precum și păstrarea probei răspunsului și apărarea drepturilor (art. 6 alin. 1 lit. f GDPR).
Caracter: trimiterea unei cereri este opțională. Mesajul și cantitatea sunt necesare pentru analiză; fără informații suficiente este posibil să nu putem formula o ofertă.
Sursă, destinatari și păstrare: informația inițială vine de la tine, iar oferta și starea sunt completate de personalul autorizat. Datele sunt găzduite de Hetzner și nu sunt transmise curierului sau sistemului de facturare dacă nu rezultă o comandă. Se păstrează pe durata tratării cererii și ulterior numai cât justifică relația precontractuală, obligațiile legale sau apărarea unor pretenții.
3.6. Note interne și jurnal de audit
Date: note operaționale legate de comandă, identitatea administratorului care a efectuat o operațiune, acțiunea, obiectul și momentul modificării, valorile relevante înainte și după modificare, identificatorul cererii tehnice și o amprentă criptografică a adresei IP pentru contextul de audit. Jurnalul este conceput să excludă parolele, tokenurile și alte secrete.
Scop și temei: continuitatea operațională, trasabilitatea modificărilor, securitatea, prevenirea abuzurilor și apărarea drepturilor noastre și ale clienților (art. 6 alin. 1 lit. f GDPR), precum și îndeplinirea obligațiilor legale aplicabile (art. 6 alin. 1 lit. c GDPR).
Caracter: aceste înregistrări sunt generate de personal și de sistem. Nu sunt un câmp opțional al comenzii; fără o trasabilitate minimă nu putem administra în siguranță magazinul.
Sursă, destinatari și păstrare: sursa este sistemul sau personalul autorizat. Accesul este restrâns la personalul care are nevoie de el, iar datele sunt găzduite de Hetzner. Amprenta IP din contextul de audit se elimină după 30 de zile. Evenimentele de audit și notele se păstrează conform unui termen intern proporțional cu scopul operațional, obligațiile legale și apărarea drepturilor, apoi se șterg sau se anonimizează când acest lucru este posibil.
Registrul cererilor: orice cerere privind datele personale — copie sau ștergere — se înregistrează cu data primirii, termenul de răspuns și modul de soluționare, ca să putem dovedi că am răspuns și în cât timp.
3.7. Sesiuni, IP, user-agent, coș și cookie-uri
Date: identificator de sesiune, identificatorul contului dacă ești autentificat, adresa IP, user-agent-ul browserului, ultima activitate, conținutul tehnic al sesiunii, tokenul coșului și tokenul de protecție a formularelor. Activitatea recentă a sesiunii poate indica în panoul intern dacă există vizitatori sau clienți online; nu folosim această informație pentru profilare.
Scop și temei: navigare, autentificare, păstrarea coșului, securitatea formularelor, diagnosticarea erorilor și protejarea serviciului. Stocarea pe dispozitiv este strict necesară serviciului solicitat, potrivit art. 4 alin. (6) din Legea nr. 506/2004; pentru datele personale asociate ne bazăm pe executarea serviciului (art. 6 alin. 1 lit. b GDPR) și pe interesul legitim de securitate și funcționare (art. 6 alin. 1 lit. f GDPR).
Caracter: înregistrările tehnice și cookie-urile esențiale sunt necesare pentru funcțiile online. Dacă le blochezi, autentificarea, formularele sau coșul pot să nu funcționeze. Poți continua relația cu noi prin datele de contact publicate, dar unele funcții ale site-ului nu pot fi furnizate fără ele.
Sursă, destinatari și păstrare: sunt generate automat de browser și aplicație și sunt găzduite de Hetzner. Sesiunea activă expiră după aproximativ 120 minute de inactivitate, iar tokenul coșului unui vizitator este păstrat aproximativ 30 de zile. Datele tehnice de securitate se păstrează pe termene scurte, documentate și proporționale cu incidentul ori scopul urmărit.
3.8. Măsurarea traficului pe site
Date: paginile deschise, piesele vizitate, textul căutat în magazin, momentul evenimentului, gazda site-ului de pe care ai venit (fără adresa completă), identificatorul contului dacă ești autentificat și, pentru vizitatorii neautentificați, o amprentă zilnică rezultată din adresa IP și user-agent, calculată cu o cheie care se schimbă în fiecare zi. Adresa IP nu este stocată, iar amprenta nu permite recunoașterea aceleiași persoane de la o zi la alta.
Scop și temei: măsurarea proprie a audienței și îmbunătățirea magazinului — ce piese sunt căutate și nu există în catalog, unde se întrerupe drumul spre comandă, ce pagini sunt folosite. Prelucrarea se întemeiază pe interesul nostru legitim de a înțelege și îmbunătăți serviciul (art. 6 alin. 1 lit. f GDPR). Măsurătoarea este strict proprie: datele rămân în sistemele noastre, nu sunt transmise unui furnizor de analytics, nu urmăresc navigarea pe alte site-uri și nu sunt folosite pentru publicitate ori pentru decizii automate cu efecte asupra ta.
Caracter: nu ți se cere nimic și nu se instalează un cookie suplimentar pentru această funcție. Dacă browserul tău trimite semnalul „Do Not Track" sau „Global Privacy Control", vizita nu este înregistrată. Te poți opune prelucrării, potrivit pct. 7.
Sursă, destinatari și păstrare: datele sunt generate automat de navigarea pe site, sunt găzduite de Hetzner și pot fi consultate numai de personalul autorizat. Se șterg automat după 180 de zile.
3.9. Opțiunea de marketing
Date: alegerea exprimată prin bifa separată din checkout și informația necesară pentru a putea demonstra acea alegere.
Situația actuală: nu trimitem în prezent newslettere sau alte comunicări comerciale și bifa nu pornește un flux activ de mesaje. Comenzile și mesajele strict legate de ele nu sunt marketing.
Când vom activa marketingul: vom trimite comunicări numai persoanelor care au optat în mod liber, specific și informat (art. 6 alin. 1 lit. a GDPR și Legea nr. 506/2004). Consimțământul va rămâne opțional și refuzul nu va afecta comanda. Fiecare mesaj va include o metodă gratuită și ușoară de dezabonare.
Sursă, destinatari și păstrare: alegerea provine de la tine și nu este transmisă în prezent unui furnizor de marketing. Poate fi retrasă oricând prin datele de contact de la pct. 1. Opțiunea se păstrează până la retragere, iar dovada consimțământului și a retragerii numai atât cât este necesar pentru demonstrarea conformității și soluționarea eventualelor pretenții.
4. Principii de minimizare și categorii speciale
Solicităm numai informațiile necesare fiecărui scop și nu folosim câmpurile libere pentru a colecta date fără legătură cu solicitarea. Te rugăm să nu introduci în mesaje, note ori fotografii CNP, date de card, informații medicale sau alte categorii speciale de date. Dacă primim accidental astfel de informații, le vom limita accesul și le vom șterge când nu sunt necesare pentru o obligație legală ori pentru gestionarea cererii.
5. Destinatari, furnizori și transferuri
Nu vindem date personale. Le comunicăm numai în limita necesară către:
- GLS, pentru pregătirea și livrarea coletului, AWB, urmărire și încasarea rambursului: nume, telefon, adresă, valoarea rambursului și informațiile necesare expedierii;
- SmartBill, pentru emiterea și administrarea facturilor: datele de identificare și facturare, conținutul și valoarea comenzii;
- contabilul societății, pentru evidența contabilă, declarații și îndeplinirea obligațiilor fiscale;
- Hetzner, pentru găzduirea și infrastructura tehnică a magazinului pe servere din Uniunea Europeană/Spațiul Economic European;
- personalul nostru autorizat, numai potrivit atribuțiilor;
- autoritățile publice, instanțele sau consultanții profesionali, când legea impune ori când este necesar pentru constatarea, exercitarea sau apărarea unui drept.
În funcție de serviciu și de obligațiile proprii, un furnizor poate acționa ca persoană împuternicită de noi sau ca operator distinct. Înainte de transmiterea datelor, relația trebuie să fie formalizată contractual; când furnizorul prelucrează date în numele nostru, contractul include cerințele art. 28 GDPR. Rolurile, contractele și eventualii subcontractanți sunt verificate înainte de lansare și periodic.
Potrivit configurației actuale și furnizorilor identificați mai sus, nu transferăm date în afara UE/SEE. Dacă un serviciu viitor ar implica un asemenea transfer, îl vom activa numai după verificarea temeiului și a garanțiilor din capitolul V GDPR și vom actualiza această politică înainte de prelucrare.
6. Cât timp păstrăm datele
Nu păstrăm toate datele pentru aceeași perioadă. Aplicăm următoarele criterii:
- contul, adresele și utilajele salvate: până la ștergere sau până la expirarea unei perioade de inactivitate justificată și documentată; datele legate de comenzi rămân separat cât impune scopul lor;
- fotografiile utilajelor: de regulă până când ștergi fotografia, utilajul sau contul; o copie poate fi păstrată temporar dacă este necesară pentru o solicitare ori dispută în curs;
- comenzile, plățile, rambursările, livrările, retururile, garanțiile, cererile de ofertă și notele aferente: pe durata executării și apoi cât justifică obligațiile legale, garanțiile, soluționarea reclamațiilor și termenele de prescripție;
- registrele și documentele justificative financiar-contabile, inclusiv facturile: în regula generală, 5 ani calculați de la 1 iulie a anului următor celui încheierii exercițiului financiar în care au fost întocmite;
- situațiile financiare anuale, consolidate și interimare: 10 ani, dacă includ date personale;
- sesiunea: aproximativ 120 minute de inactivitate; coșul vizitatorului: aproximativ 30 de zile;
- amprenta IP asociată jurnalului de audit: 30 de zile; celelalte date tehnice și de securitate sunt păstrate pe termene scurte, proporționale cu scopul și cu eventualul incident;
- consimțământul pentru marketing sau cookie-uri neesențiale, dacă asemenea prelucrări vor fi activate: până la retragere; dovada opțiunii și a retragerii poate fi păstrată ulterior numai cât este necesar pentru demonstrarea respectării legii.
La expirarea termenului aplicabil, datele sunt șterse sau anonimizate, dacă o obligație legală, o investigație ori apărarea unui drept nu justifică păstrarea limitată în continuare. Termenele legale și operaționale sunt revizuite la lansare și periodic împreună cu avocatul și contabilul, în raport cu forma legii și activitatea efectivă.
7. Decizii automate și profilare
Nu luăm decizii bazate exclusiv pe prelucrare automată care să producă efecte juridice asupra ta sau să te afecteze în mod similar și semnificativ. Nu realizăm profilare comercială. Indicatorul intern de utilizatori online reflectă numai activitatea recentă a sesiunii și nu decide prețuri, accesul la produse ori acceptarea comenzii.
8. Securitatea datelor
Aplicăm măsuri tehnice și organizatorice proporționale cu riscurile: parole stocate sub formă de hash, control al accesului, sesiuni și formulare protejate, fișiere private pentru fotografii și facturi, jurnalizarea operațiunilor administrative și limitarea datelor incluse în audit. Nicio măsură nu poate elimina orice risc; evaluăm incidentele și luăm măsurile impuse de GDPR atunci când este necesar.
9. Drepturile tale
În condițiile prevăzute de GDPR, poți solicita:
- acces la date și o copie a acestora;
- rectificarea datelor inexacte și completarea celor incomplete;
- ștergerea datelor, când nu există un motiv legal pentru păstrare;
- restricționarea prelucrării;
- portabilitatea datelor furnizate de tine, când prelucrarea se bazează pe consimțământ sau contract și este realizată automat;
- opoziția la prelucrarea bazată pe interes legitim, din motive legate de situația ta particulară;
- retragerea consimțământului în orice moment, fără a afecta legalitatea prelucrării anterioare retragerii;
- depunerea unei plângeri la autoritatea de supraveghere și accesul la o cale de atac judiciară.
Dacă ai cont, două dintre ele le poți exercita singur, imediat, din Contul meu → Datele mele: descarci pe loc o copie a datelor tale, într-un fișier care poate fi citit și de om, și de alt sistem, și ceri ștergerea datelor. Cererea de ștergere se înregistrează, primești confirmarea pe e-mail, iar răspunsul vine în cel mult o lună. La ștergere dispar contul, adresele salvate, utilajele din garaj cu fotografiile lor și cererile de ofertă; comenzile rămân, pentru că justifică facturi și legea contabilă ne obligă să le păstrăm.
Pentru celelalte drepturi, sau dacă nu ai cont, scrie la comenzi@piesemotoare.ro. Răspundem fără întârzieri nejustificate și, în orice caz, în cel mult o lună de la primirea cererii. Când complexitatea sau numărul cererilor o impune, termenul poate fi prelungit cu încă două luni; te informăm despre prelungire și motive în prima lună. Putem solicita informații rezonabile pentru verificarea identității, exclusiv pentru a preveni divulgarea către o persoană neautorizată.
10. Plângeri la ANSPDCP
Dacă apreciezi că prelucrarea încalcă GDPR, poți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP): B-dul General Gheorghe Magheru nr. 28-30, sector 1, cod poștal 010336, București; e-mail anspdcp@dataprotection.ro; telefon 031 805 9211 / 031 805 9212; www.dataprotection.ro. Te poți adresa mai întâi nouă, fără ca aceasta să fie o condiție pentru plângerea la autoritate.
11. Cookie-uri și actualizarea politicii
Lista cookie-urilor folosite în prezent se află în Politica de cookie-uri. Vom actualiza această politică înainte de a introduce un scop, un furnizor sau un transfer nou care schimbă în mod relevant informarea. Data versiunii publicate apare la începutul paginii.