SGR România

Politică de confidențialitate

1. Cine suntem

Genius Nutrition SRL, cod TVA RO35355847, cu sediul la Tamasi 20, Buftea, Ilfov 070000, România, operează aplicația SGR România.

Întrebările despre confidențialitate pot fi trimise la gdpr@obsedia.ai.

2. Datele pe care le prelucrăm

  • Domeniul magazinului, identificatori Shopify, scope-uri API aprobate și datele sesiunilor de instalare și autentificare.
  • Numele, e-mailul, limba și rolul administratorului comerciant furnizate de Shopify pentru sesiunile autorizate.
  • Identificatori, titluri, SKU, coduri de bare, selecția SGR și greutățile ambalajelor introduse de comerciant.
  • Identificatori și cantități din comenzi, linii, refunduri și anulări necesare evidenței lunare și, opțional, finalizării liniilor tehnice.
  • Valori curente ale liniilor SGR după discount, momentele sursei și starea financiară Shopify. Acestea nu sunt dovezi de încasare.
  • Crearea explicită și verificarea drafturilor noi, fără câmpuri de contact ale cumpărătorului. Hash-urile de idempotentă și starea operațiunii previn dublarea; această funcție nu persistă ID-uri de draft sau contacte ale clienților.
  • Starea abonamentului, planul, prețul, moneda și evenimente tehnice de securitate sau audit.

Nu solicităm și nu stocăm datele de plată ale clienților. Rapoartele lunare interoghează Shopify la cerere. Aplicația păstrează un registru SGR derivat și pseudonimizat, care conține identificatori Shopify de comandă, produs și variantă, cantități și momentele evenimentelor. Nu persistă payload-uri brute de comandă, nume, adrese de livrare, numere de telefon sau adrese de e-mail ale cumpărătorilor.

3. Scopuri și temeiuri

Prelucrăm datele pentru furnizarea Aplicației, autentificarea utilizatorilor autorizați, configurarea SGR, pregătirea rapoartelor, administrarea facturării Shopify, suport, securizarea serviciului și respectarea obligațiilor legale. Prelucrarea se bazează pe executarea contractului cu comerciantul, interesul legitim privind securitatea și fiabilitatea serviciului și obligațiile legale aplicabile.

Pentru datele cumpărătorilor prelucrate la instrucțiunile comerciantului, comerciantul este în mod normal operatorul, iar noi acționăm ca persoană împuternicită.

4. Partajare și subprocesatori

Nu vindem date personale și nu folosim datele comercianților sau cumpărătorilor pentru publicitate comportamentală. Datele sunt partajate numai când este necesar cu:

  • Shopify, pentru instalare, autentificare, facturare, Admin API și livrarea webhook-urilor.
  • Railway Corporation, care găzduiește aplicația și baza PostgreSQL în Statele Unite pentru mediul actual de producție.
  • Consultanți profesioniști sau autorități atunci când legea o cere ori pentru protejarea drepturilor și securității serviciului.

Railway oferă un Data Processing Addendum care include garanții pentru transfer, precum Clauzele Contractuale Standard, unde este cazul. Railway DPA.

5. Retenție și ștergere

  • Înregistrări tehnice webhook: maximum 90 de zile.
  • Jurnale de securitate și audit operațional: maximum 24 de luni.
  • Identitatea minimă pseudonimizată a liniilor SGR (fără date de contact ale clientului): pe durata instalării active, exclusiv pentru maparea refundurilor/retururilor ulterioare după ștergerea din catalog; este eliminată la cererea de ștergere a clientului asociat sau a magazinului.
  • Poziții derivate din registrul SGR și snapshoturi ale valorilor curente ale liniilor: maximum 24 de luni.
  • După ștergerea magazinului, un HMAC nereversibil al domeniului și ID-ul AppInstallation șters sunt păstrate exclusiv ca barieră de securitate până când o instalare verificată diferită o consumă.
  • Identificatori hash ai comenzilor redactate explicit: pe durata instalării active, exclusiv pentru a împiedica webhook-urile Shopify întârziate să recreeze înregistrările șterse.
  • Sesiuni Shopify expirate: șterse după o perioadă operațională de 7 zile.
  • Exporturile aferente solicitărilor privind datele clienților și dovezile de finalizare: maximum 30 de zile după finalizare.
  • Solicitările de confidențialitate în așteptare sau eșuate: sunt păstrate și reîncercate până la finalizare ori soluționare manuală în baza unei excepții legale aplicabile; nu sunt abandonate automat după un prag de încercări.
  • Configurația magazinului, variantele selectate și proiecția abonamentului: cât timp Aplicația este instalată, apoi șterse la cererea obligatorie shop/redact trimisă de Shopify, sub rezerva obligațiilor legale.

Cererile de ștergere pentru clienți elimină înregistrările operaționale limitate aferente. Cererea de ștergere a magazinului elimină sesiunile, configurația, abonamentele, webhook-urile, snapshoturile liniilor de comandă, registrul SGR derivat și auditul acelui magazin; rămâne numai bariera de securitate neidentificatoare descrisă mai sus.

6. Securitate

Datele sunt transmise prin HTTPS. Tokenurile Shopify de acces și refresh sunt criptate la stocare prin AES-256-GCM autentificat. Webhook-urile sunt verificate prin semnături HMAC Shopify, iar accesul la bază este restricționat mediului aplicației.

7. Drepturile persoanelor vizate

În funcție de legea aplicabilă, persoanele pot solicita acces, rectificare, ștergere, restricționare, opoziție sau portabilitate și pot depune plângere la autoritatea de supraveghere. Solicitările cumpărătorilor trebuie adresate în primul rând comerciantului care controlează magazinul Shopify. Cooperăm prin webhook-urile obligatorii Shopify; exporturile de acces sunt disponibile exclusiv în Shopify Admin autentificat al comerciantului respectiv.

8. Modificări

Putem actualiza această politică atunci când se schimbă Aplicația sau cerințele legale. Data de mai sus identifică versiunea curentă.

Aplicația nu este afiliată cu RetuRO și nu transmite automat declarații. Comercianții verifică și trimit singuri evidențele generate.