Acord de prelucrare a datelor

Ultima actualizare: 29 octombrie 2026 · Versiunea 1.0 · Art. 28 GDPR · English

Acest acord face parte din Termenii CyberVSM și se aplică atunci când IRIS prelucrează date personale pe magazinul tău. Tu (clientul) ești operator; InnerBloom Brand SRL, CUI RO47604160, Otopeni, România, este persoană împuternicită. Versiunea în limba română prevalează asupra traducerilor.

1. Ce prelucrăm și de ce

• Scop: funcționarea IRIS pe magazinul tău — răspunsuri la întrebările cumpărătorilor, recomandări de produse, adăugare în coș, transferul conversației către echipa ta, măsurarea vânzărilor asistate de IRIS, statistici și un raport săptămânal și, după ce devin disponibile în planurile Growth și Agency, recomandări personalizate pentru cumpărătorii autentificați.
• Persoane vizate: vizitatorii și clienții magazinului tău care folosesc chatul.
• Date personale: mesajele din chat și orice scriu cumpărătorii în ele; date tehnice (adresă IP, browser, oră); pentru cumpărătorii autentificați pe magazinele care folosesc aplicația Shopify CyberVSM, ID-ul de client Shopify și comenzile lor recente (status, produse, AWB), citite în timp real din Shopify ca să le răspundem și nestocate; datele de contact pe care un cumpărător alege să le dea pentru a fi contactat; dacă instalezi pixelul CyberVSM, date despre comenzile plătite legate de o conversație (ID-ul comenzii, totalul, moneda, produsele și ID-ul conversației, fără nume, email, adresă sau telefon), pentru a măsura vânzările asistate de IRIS.
• Nu avem nevoie de categorii speciale de date. Roagă cumpărătorii să nu le transmită; IRIS este instruit la fel.
• Durată: pe durata abonamentului, plus perioada de ștergere de la punctul 7.

2. Obligațiile noastre

• Prelucrăm datele doar pe baza instrucțiunilor tale documentate: acești termeni, configurația IRIS pe care o aprobi și cererile tale scrise. Te anunțăm dacă o instrucțiune ni se pare contrară GDPR.
• Toate persoanele din InnerBloom care au acces la date sunt obligate la confidențialitate.
• Aplicăm măsurile de securitate din anexa de mai jos și le ținem la zi.
• Te ajutăm, în măsura rezonabilă, să răspunzi cererilor cumpărătorilor (acces, ștergere, opoziție etc.), cu securitatea, notificarea incidentelor și, dacă e nevoie, evaluările de impact.
• Nu folosim datele cumpărătorilor tăi în scopuri proprii și ele nu sunt folosite pentru antrenarea modelelor AI.

3. Subcontractanți (sub-împuterniciți)

Ne autorizezi să folosim acești sub-împuterniciți:

• Anthropic, PBC (SUA) — modelul AI Claude care generează răspunsurile IRIS. Conform termenilor comerciali, nu se antrenează pe datele primite.
• Vercel Inc. (SUA) — găzduirea serviciului IRIS și a site-ului.
• Upstash, Inc. (SUA; bază de date găzduită în UE, regiunea Frankfurt) — configurația IRIS și evidența conversațiilor.
• Resend (SUA) — livrarea emailurilor de transfer și de notificare.

Shopify este platforma ta, nu sub-împuternicitul nostru. Te anunțăm pe email cu cel puțin 30 de zile înainte să adăugăm sau să înlocuim un sub-împuternicit; dacă ai o obiecție întemeiată privind protecția datelor și nu o putem rezolva, poți anula abonamentul fără penalități. Fiecare sub-împuternicit are obligații de protecție a datelor echivalente cu acestea.

4. Transferuri în afara SEE

Când datele sunt prelucrate în afara Spațiului Economic European, transferurile se bazează pe Cadrul UE–SUA privind confidențialitatea datelor (Data Privacy Framework) sau pe Clauzele contractuale standard ale Comisiei Europene, după caz pentru fiecare furnizor.

5. Încălcarea securității datelor

Te notificăm fără întârzieri nejustificate și cel târziu în 48 de ore de la momentul în care aflăm de o încălcare care afectează datele cumpărătorilor tăi, cu informațiile pe care le avem, ca să îți poți respecta propriul termen de 72 de ore.

6. Obligațiile tale

• Ai un temei legal pentru prelucrare și îi informezi pe cumpărători, în politica ta de confidențialitate, că magazinul folosește un asistent AI furnizat de CyberVSM.
• Îi dai lui IRIS doar informații pe care ai dreptul să le transmiți și ne anunți prompt despre cererile cumpărătorilor pentru care ai nevoie de ajutorul nostru.

7. Încetarea serviciului

La încetarea abonamentului dezactivăm IRIS și, în 30 de zile, ștergem datele personale ale cumpărătorilor tăi, cu excepția cazului în care legea ne obligă să le păstrăm. La cererea făcută înainte de încetare, îți exportăm mai întâi evidența conversațiilor.

8. Audit

Îți punem la dispoziție informațiile necesare pentru a demonstra respectarea acestui acord. Ne poți audita, direct sau printr-un auditor independent obligat la confidențialitate, o dată pe an, cu un preaviz de 30 de zile, pe costul tău și fără acces la datele altor clienți.

Anexă — măsuri de securitate

• Criptare în tranzit (HTTPS/TLS) pentru tot traficul dintre cumpărători, magazinul tău, IRIS și furnizorii noștri; criptare la stocare asigurată de furnizorii de hosting și de bază de date.
• Acces la sistemele de producție doar pentru personalul autorizat InnerBloom, cu conturi individuale și autentificare în doi pași; chei API cu permisiuni minime, păstrate în setările secrete ale furnizorului de hosting, niciodată în cod.
• Date separate pe fiecare magazin client; IRIS de pe un magazin poate citi doar catalogul și datele acelui magazin.
• Pentru răspunsuri personalizate, cumpărătorii sunt verificați prin Shopify; IRIS nu dezvăluie date despre comenzi pe baza unui email tastat și nu arată niciodată stocul exact.
• Limite de trafic și de lungime a mesajelor împotriva abuzului; monitorizarea și jurnalizarea erorilor și a evenimentelor de securitate.
• Evidența conversațiilor se păstrează cel mult 90 de zile, pentru suport și calitate, apoi se șterge, dacă nu ceri o perioadă mai scurtă.
• Folosirea unor furnizori cu programe de securitate recunoscute (de exemplu rapoarte SOC 2 sau ISO 27001).

Contact

Întrebări despre protecția datelor: contact@cybervsm.com.