Ghid privind prelucrarea datelor

Acest ghid se adresează clienților noștri — companiile care utilizează Aopy pentru a transmite comunicări de marketing prin e-mail și SMS. Atunci când încărcați liste de contacte și transmiteți campanii prin intermediul Serviciului, dumneavoastră aveți calitatea de operator de date cu privire la datele de contact respective, iar legislația privind protecția datelor vă impune obligații specifice. Această pagină explică obligațiile respective în termeni practici și vă arată cum vă ajută instrumentele integrate ale platformei să le îndepliniți.

Două precizări privind natura acestui ghid:

• Nu constituie consultanță juridică. Este un material educațional cu caracter general. Obligațiile dumneavoastră depind de situația concretă, iar pentru consultanță referitoare la activitățile dumneavoastră de prelucrare trebuie să vă adresați propriului consilier juridic.
• Nu este un contract. Condițiile obligatorii care guvernează modul în care Aopy prelucrează date cu caracter personal în numele dumneavoastră sunt prevăzute în Acordul de prelucrare a datelor (DPA), care face parte din Termenii și condițiile noastre. În cazul oricărei aparente neconcordanțe între acest ghid și DPA, prevalează DPA.

RGPD face distincția între operator (cel care stabilește scopurile și mijloacele prelucrării datelor cu caracter personal) și persoana împuternicită de operator (cea care prelucrează datele în numele operatorului). Pentru datele de contact pe care le aduceți pe platformă, dumneavoastră sunteți operatorul, iar Easy Life Tech SRL („Aopy”) este persoana împuternicită de dumneavoastră.

Aopy acționează totodată ca operator în nume propriu pentru un set restrâns de date — datele contului dumneavoastră, datele de facturare și datele vizitatorilor site-ului nostru. Prelucrarea respectivă este descrisă în Politica de confidențialitate, nu în această pagină.

Orice prelucrare de date cu caracter personal necesită un temei juridic potrivit articolului 6 din RGPD. Pentru marketingul prin e-mail și SMS, analiza este în România mai strictă decât RGPD luat separat, întrucât legea română privind viața privată în comunicațiile electronice — Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice — impune consimțământul prealabil pentru transmiterea comunicărilor comerciale prin e-mail sau SMS. În practică:

• Consimțământul (art. 6 alin. (1) lit. (a) RGPD) este opțiunea sigură pentru marketingul prin e-mail și SMS. Obțineți-l înainte de primul mesaj, păstrați dovada acestuia și încetați prelucrarea la retragerea lui.
• O excepție restrânsă poate fi aplicabilă clienților dumneavoastră existenți: datele de contact obținute direct de la un client în contextul unei vânzări pot fi utilizate, în anumite condiții, pentru promovarea propriilor produse sau servicii similare — cu condiția ca respectivul client să fi avut, la momentul colectării și în fiecare mesaj ulterior, o modalitate clară, gratuită și simplă de a refuza. Întinderea exactă a acestei excepții este o chestiune de apreciere juridică; consultați-vă consilierul înainte de a vă întemeia pe ea.
• Interesul legitim (art. 6 alin. (1) lit. (f) RGPD) poate susține prelucrări accesorii ale datelor pe care le dețineți deja în mod legal — de exemplu, segmentarea propriei baze de clienți sau analiza performanței campaniilor. Acesta nu înlătură cerința consimțământului prealabil pentru transmiterea propriu-zisă a mesajului de marketing.

Rețineți că o adresă de e-mail profesională care identifică o persoană (de exemplu, o adresă nominală pe domeniul unei companii) rămâne o dată cu caracter personal. Indiferent de temeiul ales, documentați-vă raționamentul — trebuie să puteți demonstra conformitatea (art. 5 alin. (2) RGPD, principiul responsabilității).

Pentru a fi valabil potrivit RGPD, consimțământul trebuie să fie liber exprimat, specific, informat și lipsit de ambiguitate — și trebuie să îl puteți dovedi (art. 7 RGPD). Reguli practice care vă mențin lista curată:

• Fără căsuțe bifate în prealabil. Consimțământul presupune o acțiune afirmativă clară. Tăcerea, inacțiunea sau o căsuță pre-bifată nu constituie consimțământ.
• Păstrați-l separat. Nu includeți consimțământul pentru marketing în termenii și condițiile dumneavoastră și nu îl transformați într-o condiție ascunsă a unui serviciu fără legătură.
• Precizați canalele. Menționați clar că persoana se abonează la comunicări de marketing prin e-mail, prin SMS sau prin ambele. Consimțământul pentru un canal nu acoperă și celălalt canal.
• Păstrați evidențe complete. Rețineți cine și-a dat consimțământul, când, prin ce mijloc (ce formular sau flux) și textul exact care i-a fost afișat. La cerere, trebuie să puteți prezenta această dovadă — Politica de utilizare acceptabilă ne permite să v-o solicităm.
• Confirmarea dublă (double opt-in) este ferm recomandată. Un e-mail de confirmare prin care abonatul își validează activ adresa vă oferă cea mai solidă dovadă a consimțământului și ține departe de lista dumneavoastră înscrierile eronate sau rău-intenționate.

Importul listelor existente: importați exclusiv contacte a căror proveniență o puteți documenta — când, unde și cum și-a dat fiecare contact consimțământul (sau temeiul documentat pe care vă bazați). Listele cumpărate, închiriate, colectate automat sau „completate” de terți sunt interzise pe Aopy — a se vedea Politica de utilizare acceptabilă — iar transmiterea către acestea reprezintă atât un risc de conformitate pentru dumneavoastră, cât și un risc de livrabilitate pentru toți utilizatorii platformei.

În calitate de operator, aveți obligația de a vă informa abonații cu privire la prelucrarea efectuată (art. 13–14 RGPD). Propria dumneavoastră notă de informare — prezentată la momentul sau în apropierea momentului colectării datelor — ar trebui să le comunice cel puțin:

• cine sunteți (identitatea și datele dumneavoastră de contact);
• de ce le prelucrați datele (comunicări de marketing) și pe ce temei juridic (de regulă, consimțământul);
• faptul că utilizați un furnizor de platformă de marketing care acționează ca persoană împuternicită — puteți indica Aopy (Easy Life Tech SRL) sau categoria de furnizor și puteți face trimitere la registrul nostru de subîmputerniciți pentru infrastructura-suport;
• cât timp le păstrați datele;
• drepturile lor — acces, rectificare, ștergere, restricționare, portabilitate, opoziție, retragerea consimțământului — și modul de exercitare a acestora, inclusiv dreptul de a depune o plângere la autoritatea de supraveghere;
• modul în care se pot dezabona în orice moment.

Păstrați nota de informare într-un loc ușor accesibil abonaților și inserați o trimitere către aceasta în formularele de abonare. Dacă modificați substanțial modul în care utilizați datele abonaților, actualizați nota și, acolo unde este necesar, reînnoiți consimțământul.

Fiecare destinatar are dreptul de a renunța în orice moment la comunicările dumneavoastră de marketing, iar platforma aplică automat mecanismele necesare:

• E-mail: platforma inserează automat, în fiecare e-mail de marketing, un link de dezabonare unic pentru fiecare transmitere. Linkul funcționează fără autentificare, este procesat imediat și actualizează statutul contactului, astfel încât acesta să fie exclus de la viitoarele transmiteri de marketing. Nu eliminați, nu ascundeți și nu mascați niciodată acest link — o astfel de conduită încalcă Politica de utilizare acceptabilă și legea.
• SMS: destinatarii care răspund cu STOP sau DEZABONARE sunt dezabonați automat. Numerele de telefon dezabonate sunt normalizate și stocate sub formă de amprentă criptografică (hash) pe o listă de suprimare, astfel încât rămân excluse chiar și în cazul unui reimport. Pentru detalii, consultați pagina Conformitate SMS.

Cererile de dezabonare pot sosi și pe alte căi: un răspuns la e-mailul dumneavoastră, un mesaj către echipa de suport, o solicitare verbală. Onorați-le pe toate. Actualizați statutul contactului în platformă și reflectați dezabonarea în orice alt sistem pe care îl utilizați — un opt-out exprimat o singură dată este valabil pretutindeni.

Anumite date nu trebuie încărcate niciodată pe platformă. Potrivit DPA și Politicii de utilizare acceptabilă, vă este interzis să încărcați sau să prelucrați prin Aopy:

• Categorii speciale de date cu caracter personal (art. 9 RGPD): date care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase sau filozofice, apartenența sindicală, date genetice sau biometrice, date privind sănătatea ori date privind viața sexuală sau orientarea sexuală a unei persoane.
• Date referitoare la copii sub 16 ani. Serviciul este un instrument destinat exclusiv relațiilor între companii (B2B), iar bazele de date de marketing găzduite pe Aopy nu trebuie să conțină date ale copiilor.
• Liste de contacte cumpărate, închiriate, colectate automat sau extrase de pe internet, precum și orice listă a cărei proveniență și al cărei consimțământ nu le puteți documenta.
• Date pentru care nu dispuneți de un temei juridic de prelucrare — inclusiv contacte care s-au dezabonat anterior.

Dacă descoperiți că în contul dumneavoastră au fost încărcate date interzise, ștergeți-le și contactați privacy@aopy.com dacă aveți nevoie de asistență.

Abonații dumneavoastră își pot exercita drepturile prevăzute de RGPD față de dumneavoastră, în calitate de operator — acces, rectificare, ștergere, restricționare, portabilitate, opoziție și retragerea consimțământului. De regulă, aveți obligația de a răspunde în termen de o lună (art. 12 RGPD). Platforma vă pune la dispoziție instrumentele necesare pentru a soluționa direct majoritatea cererilor:

• Acces / portabilitate: exportați profilul unui contact individual și datele asociate din audiența dumneavoastră.
• Rectificare: modificați câmpurile contactului direct în audiența dumneavoastră.
• Ștergere: ștergeți contactul din audiența dumneavoastră. Ștergerea elimină contactul din audiența activă și din orice transmitere ulterioară; copiile reziduale sunt eliminate în conformitate cu prevederile privind păstrarea și ștergerea din DPA.
• Opoziție / retragerea consimțământului: setați statutul contactului ca dezabonat (sau lăsați mecanismele automate de dezabonare descrise în secțiunea 6 să o facă).

Dacă o persoană vizată contactează direct Aopy în legătură cu date aflate pe lista dumneavoastră, nu vom răspunde în locul dumneavoastră: vom redirecționa cererea către dumneavoastră și vă vom acorda asistență conform DPA. Pentru cererile privind datele pentru care Aopy are ea însăși calitatea de operator (date de cont, date ale site-ului), se aplică formularele noastre de ștergere a datelor și de export al datelor.

Noi asigurăm securitatea platformei — izolarea datelor între clienți, criptarea în tranzit, controale de acces — însă securitatea contului dumneavoastră este o responsabilitate partajată. Igiena precară a conturilor este una dintre cele mai frecvente cauze ale incidentelor de securitate a datelor. Respectați următoarele practici:

• Utilizați o parolă puternică și unică pentru contul dumneavoastră Aopy — niciodată una refolosită de la alt serviciu — și păstrați-o într-un manager de parole.
• O persoană, un cont. Nu partajați niciodată datele de autentificare. Invitați fiecare membru al echipei individual și atribuiți-i rolul cu cele mai restrânse permisiuni care îi permite să își îndeplinească atribuțiile.
• Revocați accesul cu promptitudine. Când o persoană părăsește echipa dumneavoastră, eliminați-i accesul în aceeași zi.
• Tratați credențialele de integrare și cheile API drept secrete. Credențialele integrărilor pe care le conectați (de exemplu, magazinul sau conturile dumneavoastră de publicitate) oferă acces la date reale — nu le inserați în conversații, tichete de suport sau documente partajate.
• Manipulați exporturile cu grijă. Fișierele exportate conțin date cu caracter personal. Stocați-le în condiții de siguranță, partajați-le numai cu persoanele care au nevoie de ele și ștergeți-le atunci când nu mai sunt necesare.
• Fiți vigilenți la phishing. Aopy nu vă va solicita niciodată parola prin e-mail.

O evaluare a impactului asupra protecției datelor (DPIA) este o analiză structurată a riscurilor pe care RGPD o impune înainte de începerea unei prelucrări susceptibile să genereze un risc ridicat pentru persoanele vizate (art. 35 RGPD). Transmiterea de buletine informative obișnuite către propria listă de abonați care și-au dat consimțământul nu necesită, în mod normal, o astfel de evaluare. Indicii că utilizarea planificată de dumneavoastră ar putea necesita una:

• evaluarea, scorarea sau crearea de profiluri la scară largă — de exemplu, profilarea comportamentală extinsă pe baza unor surse de date combinate;
• monitorizarea sistematică a persoanelor;
• prelucrarea de date sensibile sau de date cu un caracter deosebit de personal;
• prelucrarea datelor unor persoane vulnerabile, inclusiv copii;
• combinarea sau corelarea unor seturi de date din surse multiple, în moduri la care persoanele nu s-ar aștepta;
• utilizarea unor tehnologii inovatoare cu impact incert asupra vieții private.

Autoritatea de supraveghere din România (ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, www.dataprotection.ro) publică îndrumări privind tipurile de operațiuni de prelucrare care necesită o DPIA — consultați-le în caz de dubiu și adresați-vă consilierului dumneavoastră juridic. În cazul în care efectuați o DPIA care acoperă prelucrări realizate prin Aopy, vă vom acorda asistență rezonabilă conform DPA.

Ne dorim expeditori conformi — acest lucru vă protejează abonații, marca și livrabilitatea tuturor utilizatorilor platformei.

• Întrebări despre platformă (utilizarea câmpurilor de consimțământ, exporturi, ștergere, setări de dezabonare): support@aopy.com
• Întrebări privind protecția datelor (DPA, subîmputerniciți, cererile persoanelor vizate): privacy@aopy.com

Documente conexe: Acordul de prelucrare a datelor · Politica de confidențialitate · Subîmputerniciți · Politica de utilizare acceptabilă · Conformitate SMS · Politica privind cookie-urile

Acest ghid este publicat în limba engleză și în limba română. În cazul oricărei neconcordanțe sau al oricărei diferențe de interpretare între cele două versiuni, versiunea în limba engleză prevalează.