Acordul de prelucrare a datelor

01Despre acest acord

Acest acord de prelucrare a datelor („Acordul” sau „DPA”) completează contractul dintre tine, clientul Convertix („Clientul”), și DUCEAC CĂTĂLIN-DUMITRU PERSOANĂ FIZICĂ AUTORIZATĂ („Convertix”), încheiat când îți creezi contul și folosești serviciul. Acordul îndeplinește cerințele art. 28 din Regulamentul (UE) 2016/679 („GDPR”) și se aplică ori de câte ori Convertix prelucrează date cu caracter personal în numele tău.

Dacă ceva din Acord contrazice alte condiții ale serviciului, în privința datelor cu caracter personal are prioritate Acordul.

02Roluri și definiții

• Clientul este operatorul: decide ce site-uri urmărește, ce testează și ce conversii măsoară.
• Convertix este persoana împuternicită: prelucrează datele doar ca să ofere serviciul, după instrucțiunile Clientului.
• Vizitatorii sunt persoanele care vizitează site-urile pe care Clientul a instalat codul de urmărire.

Termenii „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită”, „persoană vizată” și „încălcarea securității datelor” au sensul din GDPR. Datele despre contul Clientului (e-mail, facturare) nu fac obiectul Acordului: pentru ele Convertix este operator, conform Politicii de confidențialitate.

03Ce prelucrăm și de ce

Convertix prelucrează datele Vizitatorilor doar ca să afișeze variantele experimentelor, să măsoare rezultatele și conversiile și să arate aceste rezultate Clientului. Categoriile de date, persoanele vizate și duratele de păstrare sunt în Anexa 1. Detaliile tehnice complete sunt în documentație, la Date colectate și confidențialitate.

Convertix nu folosește datele Vizitatorilor în scopuri proprii, nu le vinde, nu le combină cu date din alte surse și nu face profilare în scop de marketing.

04Instrucțiunile clientului

Convertix prelucrează datele doar pe baza instrucțiunilor documentate ale Clientului. Instrucțiunile sunt: acest Acord, setările pe care Clientul le alege în aplicație (site-uri, experimente, conversii, cererea consimțământului) și cererile scrise trimise la salut@convertix.ro. Dacă o instrucțiune ni se pare contrară GDPR sau altor reguli de protecție a datelor, îl anunțăm pe Client.

Excepție face doar prelucrarea cerută de lege; în acest caz îl informăm pe Client înainte, dacă legea ne permite.

05Obligațiile clientului

• are un temei legal pentru prelucrare și, unde e nevoie, obține consimțământul Vizitatorilor; în acest caz pornește în aplicație opțiunea Cere consimțământul;
• îi informează pe Vizitatori, în politica de confidențialitate a site-ului, că folosește Convertix pentru testare și măsurare;
• nu trimite prin codul de urmărire date care identifică direct o persoană (nume, e-mail, telefon) sau date sensibile, de exemplu în numele evenimentelor abtest.track(), în valorile conversiilor sau în adresele paginilor;
• răspunde de corectitudinea instrucțiunilor pe care le dă.

06Confidențialitate

Au acces la date doar persoanele care au nevoie pentru a oferi serviciul, a da suport sau a face mentenanță. Toate sunt obligate să păstreze confidențialitatea, prin contract sau prin lege.

07Securitate

Convertix aplică măsuri tehnice și organizatorice potrivite riscului, conform art. 32 GDPR. Măsurile actuale sunt în Anexa 2. Le putem îmbunătăți oricând, fără să scădem nivelul de protecție.

08Sub-împuterniciți

Clientul ne dă o autorizare generală să folosim sub-împuterniciții din Anexa 3. Cu fiecare avem un contract care impune obligații de protecție a datelor cel puțin la fel de stricte ca acest Acord, și răspundem față de Client pentru modul în care își îndeplinesc obligațiile.

Înainte să adăugăm sau să înlocuim un sub-împuternicit, actualizăm Anexa 3 și îi anunțăm prin e-mail pe titularii de cont, cu cel puțin 14 zile înainte. Clientul se poate opune, cu un motiv întemeiat legat de protecția datelor, scriindu-ne în acest interval. Dacă nu găsim o soluție, Clientul poate înceta folosirea serviciului.

09Transferuri în afara SEE

Datele se stochează în Uniunea Europeană. Unii sub-împuterniciți sunt firme din SUA; pentru eventualele transferuri ne bazăm pe decizia de adecvare UE–SUA (EU-U.S. Data Privacy Framework), pentru furnizorii certificați, sau pe clauzele contractuale standard aprobate de Comisia Europeană.

10Asistență și drepturile persoanelor

Ținând cont de natura prelucrării, Convertix îl ajută pe Client să răspundă cererilor Vizitatorilor (acces, ștergere, opoziție etc.). Datele Vizitatorilor sunt pseudonime: le putem găsi doar după ID-ul aleator din cookie-ul _abv, pe care Vizitatorul îl poate citi din browser. Dacă primim o cerere direct de la un Vizitator, o trimitem Clientului și nu răspundem singuri, în afară de cazul în care Clientul ne cere asta.

Îl ajutăm pe Client și cu informațiile de care are nevoie pentru o evaluare a impactului asupra protecției datelor sau pentru o consultare a autorității de supraveghere.

11Incidente de securitate

Dacă aflăm de o încălcare a securității datelor Clientului, îl anunțăm fără întârzieri nejustificate, prin e-mail, la adresa contului. Anunțul descrie, în măsura în care le cunoaștem: natura incidentului, categoriile și numărul aproximativ de persoane și de înregistrări afectate, consecințele probabile și măsurile luate sau propuse. Completăm informațiile pe măsură ce le aflăm.

12Ștergerea datelor

Cât timp contul e activ, datele se șterg automat după duratele din Anexa 1. Când Clientul șterge un site, se șterg și experimentele și rezultatele lui. La încetarea serviciului ștergem datele Clientului, în afară de cazul în care legea ne obligă să le păstrăm; copiile de siguranță se șterg în cel mult 30 de zile. Înainte de încetare, Clientul poate exporta conversiile din aplicație.

13Informații și audit

La cerere, punem la dispoziția Clientului informațiile necesare ca să arate că respectă art. 28 GDPR. Dacă acestea nu sunt suficiente, Clientul sau un auditor independent ales de el poate face un audit, cu un preaviz de cel puțin 30 de zile, cel mult o dată pe an, în timpul programului de lucru și fără să afecteze securitatea sau confidențialitatea datelor altor clienți. Costurile auditului le suportă Clientul.

14Durată, modificări, lege aplicabilă

Acordul se aplică cât timp Convertix prelucrează date în numele Clientului. Îl putem actualiza când se schimbă serviciul sau legislația; schimbările importante le anunțăm prin e-mail înainte să intre în vigoare. Acordul se supune legii române, iar eventualele dispute se soluționează de instanțele competente din București.

A1Anexa 1: Detaliile prelucrării

A2Anexa 2: Măsuri de securitate

• criptare în tranzit: toate conexiunile folosesc HTTPS (TLS);
• criptare în repaus a bazei de date, asigurată de furnizorul de infrastructură;
• izolarea datelor: fiecare spațiu de lucru își vede doar datele lui, prin reguli de acces aplicate direct în baza de date;
• pseudonimizare: vizitatorii sunt identificați doar printr-un ID aleator, iar adresa IP nu se salvează împreună cu evenimentele;
• minimizare: se trimite doar calea paginii, fără parametri, și doar domeniul paginii de proveniență; conținutul formularelor nu se colectează;
• ștergere automată după duratele din Anexa 1;
• acces restrâns la datele de producție, doar pentru suport și mentenanță, cu autentificare;
• limitarea traficului abuziv și protecție împotriva roboților la înscriere;
• copii de siguranță ale bazei de date, păstrate de furnizorul de infrastructură.

A3Anexa 3: Sub-împuterniciți

Întrebări despre Acord sau o copie semnată: salut@convertix.ro.