Politica de confidențialitate

1. Operatorul de date

Operatorul de date personale este:

• GLOBAL DISTRIBUTION CENTER SRL
• Sediu social: Str. Bibescu Vodă nr. 1, Bl. P4, Sc. 1, Et. 7, Ap. 19, Sector 4, București, cod poștal 040151, România
• CUI: 50169414
• Nr. înregistrare Reg. Comerțului: J2024010966408 (echivalent J40/.../2024)
• EUID: ROONRC.J2024010966408
• Email general: contact@kimonogroup.ro
• Email pentru protecția datelor (DPO): gdpr@kimonogroup.ro

În textul de mai jos, ne vom referi la noi ca „Operator", „noi" sau „Ultimate SEO". Ne vom referi la dumneavoastră ca „utilizator" sau „dumneavoastră".

2. Ce date personale colectăm

2.1 Date pe care ni le furnizați direct

• Date de înregistrare cont: nume, adresă de email, parolă (stocată sub formă de hash bcrypt, niciodată în clar).
• Date de facturare: dacă achiziționați un abonament, partenerul nostru de plată (Stripe) procesează datele cardului. Noi nu stocăm numere de card. Reținem doar identificatorul tranzacției, suma, planul ales și data.
• Date de profil: domeniul magazinului Shopify, fusul orar, limba preferată, preferințe AI (model, ton, limba conținutului generat).

2.2 Date colectate prin integrări OAuth

Când conectați un cont extern la platformă, primim un token de acces (eventual și un refresh token) emis de furnizorul respectiv și un set limitat de date legate de scop:

• Shopify: domeniul magazinului, lista de produse (titlu, descriere, imagini, prețuri, handle), colecții, comenzi (date agregate), tag-uri, redirect-uri.
• Google Search Console (scope webmasters.readonly): proprietățile verificate, performanța (clicuri, impresii, CTR, poziție medie) la nivel de query / pagină / țară / dispozitiv.
• Google Analytics 4 (scope analytics.readonly): id-ul property-ului, datele de trafic (sesiuni, utilizatori, evenimente), surse de trafic. Nu colectăm date personale individuale ale vizitatorilor magazinului.
• Pinterest (scope-uri boards:read, boards:write, pins:read, pins:write, user_accounts:read): profilul Pinterest Business, lista de board-uri, pin-urile create de noi în numele dumneavoastră.
• Microsoft Bing Webmaster Tools: site-urile verificate, datele de search performance, lista de URL-uri trimise la indexare.
• Microsoft Identity (Azure AD): doar tokenul OAuth pentru a apela API-urile de mai sus; nu colectăm informații despre alți utilizatori din contul Azure.

Tokenurile OAuth sunt stocate criptat în baza noastră de date și sunt folosite exclusiv pentru a îndeplini funcțiile pe care le-ați solicitat în mod explicit (audit SEO, generare conținut, publicare pin-uri etc.).

2.3 Date generate automat de platformă

• Rezultate audit SEO: scoruri, recomandări, sugestii de optimizare derivate din datele dumneavoastră.
• Conținut generat de AI: titluri, descrieri, articole, etichete create de modele AI pe baza produselor/colecțiilor dumneavoastră.
• Loguri tehnice: adresa IP, user-agent, timestamp, URL accesat, statusul răspunsului — utilizate pentru securitate, debugging și prevenirea abuzului.

2.4 Date despre cookie-uri și tehnologii similare

Folosim cookie-uri strict necesare pentru funcționarea platformei (sesiune, autentificare, securitate CSRF) și, opțional, cookie-uri analitice. Detalii complete: Politica privind cookie-urile.

3. Cum folosim datele

• Furnizarea serviciului: rularea audit-urilor SEO, generarea de conținut AI, publicarea de pin-uri, sincronizarea cu Shopify.
• Autentificare și securitate: login, prevenirea acceselor neautorizate, detectarea abuzului (rate limiting).
• Comunicare: emailuri tranzacționale (resetare parolă, facturi, alerte de sistem). Emailurile de marketing se trimit numai cu consimțământul dumneavoastră explicit.
• Îmbunătățirea platformei: analiză agregată și anonimizată a utilizării pentru a identifica probleme și a planifica funcționalități noi.
• Conformitate legală: respectarea obligațiilor fiscale, contabile și de raportare.

Nu folosim datele dumneavoastră pentru a antrena modele AI proprii. Conținutul produselor sau al magazinului dumneavoastră este trimis la furnizorii AI doar pentru a executa cererea curentă (de exemplu, a genera o descriere optimizată) și nu este reținut sau folosit în alte scopuri de către aceștia.

4. Baza legală a prelucrării (Art. 6 GDPR)

• Executarea contractului (Art. 6.1.b) — pentru tot ce ține de furnizarea serviciului pe care l-ați solicitat (cont, audit, generare conținut, publicare).
• Interes legitim (Art. 6.1.f) — pentru loguri de securitate, analiză agregată a utilizării, prevenirea fraudei și abuzului. Interesul nostru legitim este menținerea unui serviciu funcțional și sigur. Aveți dreptul de a vă opune (vezi secțiunea 8).
• Consimțământ (Art. 6.1.a) — pentru cookie-uri analitice opționale și pentru emailuri de marketing. Vă puteți retrage consimțământul oricând.
• Obligație legală (Art. 6.1.c) — pentru date păstrate conform legislației fiscale și contabile (ex: facturi).

5. Cu cine partajăm datele (sub-procesatori)

Pentru a funcționa, platforma se bazează pe servicii terțe. Toți sub-procesatorii sunt evaluați și au semnate contracte de prelucrare a datelor (DPA) conforme cu Art. 28 GDPR.

Lista poate fi actualizată. Vă vom informa prin email și/sau prin acest document înainte de adăugarea unui sub-procesator nou care prelucrează date personale.

Nu vindem și nu închiriem datele personale. Datele nu sunt folosite pentru profilare publicitară, advertising terț sau scoring automat al utilizatorilor.

6. Transferuri internaționale

Unii dintre sub-procesatorii noștri sunt în afara Spațiului Economic European (în special SUA). În aceste cazuri, transferul are loc pe baza:

• Clauzelor contractuale standard (SCC) aprobate de Comisia Europeană (Decizia 2021/914);
• EU–US Data Privacy Framework (acolo unde sub-procesatorul este certificat — verificați la dataprivacyframework.gov);
• măsuri tehnice și organizaționale suplimentare: criptare în tranzit (TLS 1.2+) și la rest, pseudonimizare unde este posibil, control strict al accesului.

7. Cât timp păstrăm datele

• Date de cont: pe durata contractului + 30 de zile după solicitarea ștergerii (pentru a permite anularea cererii din greșeală).
• Tokenuri OAuth: până la deconectarea integrării sau până la solicitarea ștergerii contului.
• Loguri tehnice: 90 de zile.
• Date de facturare: 10 ani, conform Legii contabilității (nr. 82/1991).
• Backup-uri: maxim 35 de zile, după care sunt șterse complet.

8. Drepturile dumneavoastră

Conform GDPR, aveți următoarele drepturi pe care le puteți exercita prin email la gdpr@kimonogroup.ro:

• Dreptul de acces (Art. 15) — să cereți o copie a datelor pe care le avem despre dumneavoastră.
• Dreptul la rectificare (Art. 16) — să corectați date incorecte sau incomplete.
• Dreptul la ștergere / „dreptul de a fi uitat" (Art. 17) — vezi /legal/data-deletion pentru procedura self-service.
• Dreptul la restricționarea prelucrării (Art. 18).
• Dreptul la portabilitatea datelor (Art. 20) — să primiți datele într-un format structurat (JSON sau CSV).
• Dreptul de opoziție (Art. 21) — în special pentru prelucrările bazate pe interes legitim.
• Dreptul de a nu fi supus deciziilor automate cu efect juridic (Art. 22).
• Dreptul de a depune plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, București, telefon +40 318 059 211, email anspdcp@dataprotection.ro.

Vom răspunde în termen de maxim 30 de zile calendaristice (acest termen poate fi prelungit cu maxim 60 de zile pentru cereri complexe, situație în care vă vom informa).

9. Securitatea datelor

• Toate transferurile de date se fac criptat (HTTPS / TLS 1.2+).
• Parolele sunt stocate sub formă de hash bcrypt (cost factor ≥ 12).
• Tokenurile OAuth sunt criptate la rest în baza de date.
• Accesul la baza de date este restricționat prin firewall, listă de IP-uri, autentificare cu cheie SSH.
• Backup-uri zilnice criptate, păstrate maxim 35 de zile.
• Logging și monitorizare a accesului.

În caz de breach al datelor, vom notifica ANSPDCP în maxim 72 de ore (Art. 33 GDPR) și pe utilizatorii afectați fără întârziere nejustificată (Art. 34 GDPR).

10. Modificări la această politică

Putem modifica această politică pentru a reflecta schimbări legale, tehnice sau de business. Versiunea curentă este întotdeauna disponibilă la /legal/privacy. Modificările materiale vă vor fi comunicate prin email cu cel puțin 14 zile înainte de a intra în vigoare.

11. Google API Services User Data Policy

Utilizarea de către Ultimate SEO a informațiilor primite de la Google API-uri (Google Search Console, Google Analytics 4) respectă Google API Services User Data Policy, inclusiv cerințele Limited Use.

În mod concret:

• Folosim datele primite de la API-urile Google doar pentru funcționalitățile vizibile pentru utilizator (afișarea rapoartelor SEO și de trafic).
• Nu transferăm datele Google către terți, cu excepția cazurilor strict necesare pentru a furniza sau îmbunătăți funcționalitățile vizibile, în condiții de conformitate (de exemplu, hosting pe Hetzner).
• Nu folosim datele Google pentru a antrena modele de inteligență artificială generalizate sau personalizate.
• Nu folosim datele Google pentru servicii de publicitate și nu le vindem.
• Nu permitem oamenilor să citească datele Google, cu excepția: (a) consimțământului explicit obținut de la utilizatori specifici, (b) necesității din motive de securitate (investigarea abuzului), (c) necesității conformității cu legea, sau (d) datelor agregate / anonimizate folosite pentru operare internă.

Utilizatorii pot revoca accesul oricând din panoul Ultimate SEO (Settings → Integrations → Google → Disconnect) sau direct din myaccount.google.com/permissions.

12. Conformitate cu Pinterest Developer Policy

Conexiunea cu Pinterest Business Account respectă Pinterest Developer Guidelines și Pinterest API Terms.

• Folosim API-ul Pinterest exclusiv pentru a vă permite gestionarea propriilor board-uri și pin-uri (creare, editare, programare, ștergere).
• Nu citim, nu colectăm și nu stocăm conținut sau date despre alți utilizatori Pinterest decât în măsura strict necesară pentru a afișa rezultate cerute de dumneavoastră (de exemplu, rezultate de keyword research publice).
• Tokenurile Pinterest sunt stocate criptat și revocate automat la deconectare.
• Conținutul produs prin Ultimate SEO este publicat numai cu acțiunea explicită a utilizatorului (sau prin programare configurată de utilizator).
• Respectăm rate limits Pinterest și convențiile de utilizare prevăzute în documentație.

13. Conformitate cu Microsoft Identity Platform & Bing Webmaster Tools

Conexiunea cu Microsoft Bing Webmaster Tools, prin Microsoft Identity Platform (Azure AD), respectă Microsoft Identity Platform Terms și Bing Webmaster Tools API Terms.

• Folosim API-ul Microsoft exclusiv pentru a vă afișa și gestiona datele site-ului dumneavoastră în Bing (ranking, traffic, indexare).
• Nu accesăm informații despre utilizatori sau alte resurse din contul Azure dincolo de scope-urile minime cerute.
• Tokenurile sunt stocate criptat și pot fi revocate oricând din Settings → Integrations → Microsoft → Disconnect, sau direct din myaccount.microsoft.com.

14. Contact

Pentru orice întrebare legată de această politică sau de prelucrarea datelor, ne puteți contacta:

• Email DPO: gdpr@kimonogroup.ro
• Email general: contact@kimonogroup.ro
• Adresă poștală: GLOBAL DISTRIBUTION CENTER SRL, Str. Bibescu Vodă nr. 1, Bl. P4, Sc. 1, Et. 7, Ap. 19, Sector 4, București, cod 040151, România

De asemenea, puteți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).