Acord de Prelucrare a Datelor (DPA)

Prezentul Acord de Prelucrare a Datelor („DPA") face parte integrantă din Termenii și Condițiile platformei Optimads și reglementează prelucrarea datelor cu caracter personal în conformitate cu Regulamentul (UE) 2016/679 („GDPR"), art. 28, și cu Legea nr. 190/2018. Se aplică automat oricărui Client care folosește Serviciul.

1. Definiții

Termenii „date cu caracter personal", „prelucrare", „operator", „persoană împuternicită (procesator)", „persoană vizată" și „încălcare a securității datelor" au înțelesul din GDPR. „Serviciul" = platforma Optimads. „Subprocesator" = terț care prelucrează date în numele nostru.

2. Obiect și scop

Prelucrăm datele exclusiv pentru a furniza Serviciul contractat de Client: tracking de conversii (server-side și browser), atribuire, raportare și transmiterea evenimentelor către platformele de reclame alese de Client. Operațiunile includ colectare, înregistrare, organizare, stocare și ștergere, conform instrucțiunilor Clientului.

3. Roluri și responsabilități

• Clientul = Operator — asigură temeiul legal al colectării (inclusiv consimțământul vizitatorilor înainte de tracking) și legalitatea datelor.
• Optimads = Procesator — prelucrează datele doar pe baza instrucțiunilor scrise ale Clientului (configurarea în platformă) și informează Clientul dacă o instrucțiune încalcă GDPR.

4. Obligațiile Procesatorului

• Confidențialitate: persoanele cu acces la date sunt obligate la confidențialitate.
• Securitate adecvată (vezi secțiunea 8).
• Asistă Clientul, în limita posibilului, pentru a răspunde cererilor persoanelor vizate (acces, ștergere etc.).
• Notifică încălcările de securitate (vezi secțiunea 10).

5. Date prelucrate

Categorii de date

• Identificatori de contact (email, telefon) — transmiși către platformele de reclame doar în formă criptată (hash SHA-256).
• Identificatori tehnici: adresă IP, tip dispozitiv/browser, marcaje de timp, identificatori de cookie (ex. fbc/fbp, ttclid), ID-uri de vizitator.
• Date de comportament publicitar și de conversie: evenimente (PageView, ViewContent, AddToCart, Purchase), valoarea comenzii, ID comandă.

Persoane vizate

Vizitatorii și clienții magazinelor/site-urilor Clientului.

Durata stocării

Pe durata contractului. La încetare, datele de tracking se șterg în maximum 30 de zile (cu excepția obligațiilor legale de păstrare). Jurnalele de server se păstrează 7–30 de zile pentru diagnostic și securitate.

6. Date sensibile

Serviciul nu este destinat și nu trebuie folosit pentru a colecta categorii speciale de date (sănătate, religie, opinii politice, orientare sexuală — art. 9 GDPR).

7. Subprocesatori și transferuri internaționale

Clientul autorizează general folosirea subprocesatorilor de mai jos, care respectă standarde echivalente de protecție. Vom anunța modificările cu cel puțin 15 zile înainte (prin actualizarea acestei pagini / email); obiecțiile se trimit la contact@optimads.ai.

Subprocesator	Scop
Meta Platforms (Conversions API)	Transmitere evenimente de conversie
TikTok (Events API)	Transmitere evenimente de conversie
Google (Ads API)	Raportare/atribuire campanii
Shopify / WooCommerce	Citire comenzi (Purchase server-side)
Supabase	Bază de date, autentificare, stocare
Anthropic, fal.ai, xAI, Google Gemini	Generare AI (texte/creative/video)
Stripe	Procesare plăți (tokeni)
Furnizor hosting (VPS/CyberFolks)	Infrastructură

Transferurile în afara UE/SEE se fac cu garanții adecvate (Clauze Contractuale Standard sau decizii de adecvare).

8. Măsuri tehnice și organizatorice

• Control acces pe roluri + autentificare; token-uri stocate securizat, niciodată afișate sau înregistrate.
• Criptare în tranzit (HTTPS/TLS); date personale (email/telefon) trimise la terți doar hash-uite.
• Izolare logică a datelor între clienți (RLS), jurnalizare acces.
• Infrastructură pe furnizori cu certificări recunoscute; testare înainte de implementare.

9. Drept de audit

La cerere rezonabilă, furnizăm documentația de securitate relevantă. Un audit la fața locului se poate face cu preaviz de minimum 14 zile, maximum o dată pe an, în timpul programului, fără a perturba activitatea, cu semnarea unui acord de confidențialitate, costurile fiind suportate de Client.

10. Notificarea încălcărilor

Notificăm Clientul fără întârziere nejustificată și în maximum 72 de ore de la confirmarea unei încălcări de securitate a datelor, cu informațiile disponibile și măsurile luate.

11. Ștergerea datelor

La încetarea contractului, ștergem datele din sistemele active în maximum 30 de zile. La cerere, putem furniza un export structurat (JSON/CSV) în 30 de zile. Persoanele vizate pot cere ștergerea oricând (vezi și pagina Ștergerea datelor).

12. Lege aplicabilă

Se aplică legea română. Litigiile se soluționează amiabil; în caz contrar, sunt competente instanțele din România.

13. Modificări

Putem actualiza acest DPA pentru a reflecta schimbări în prelucrare sau reglementare; modificările importante se anunță prin publicarea pe această pagină.