Addendum privind prelucrarea datelor (DPA)

Preambul și acceptare

Prezentul Addendum privind prelucrarea datelor („DPA” sau „Addendumul”) face parte integrantă din Termenii de Serviciu MINOMO și completează prevederile acestora privind prelucrarea datelor cu caracter personal.

Părțile prezentului Addendum sunt:

• AVi Kairos Srl, societate de drept român, cu sediul social în Strada Lungă 188, Corp C2, Ap. 2, 500051 Brașov, România (CUI 52477194 · J08/68/2025 · EUID ROONRC.J2025068492002), denumită în continuare „MINOMO”, „Persoana împuternicită” sau „Noi”;
• comerciantul, persoană fizică sau juridică, care a acceptat Termenii de Serviciu MINOMO și care, pentru activitățile descrise la art. 3 din prezentul Addendum, stabilește în mod autonom scopurile și mijloacele prelucrării, denumit în continuare „Comerciantul”, „Operatorul” sau „Tu”.

Prin acceptarea Termenilor de Serviciu MINOMO, Comerciantul acceptă și prezentul Addendum, care intră în vigoare odată cu prima activare a uneia dintre funcțiile enumerate la art. 3. Dacă nu ești de acord cu aceste condiții, nu activa funcțiile respective și scrie-ne la [email protected].

Prezentul Addendum reglementează exclusiv prelucrările în care MINOMO acționează ca persoană împuternicită de operator în sensul art. 28 din Regulamentul (UE) 2016/679 („RGPD”). Toate celelalte prelucrări efectuate de MINOMO pentru furnizarea platformei rămân reglementate de Politica de confidențialitate MINOMO, în care AVi Kairos Srl acționează ca operator independent.

Definiții

În sensul prezentului Addendum:

• „RGPD” înseamnă Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date;
• „Date cu caracter personal” înseamnă orice informații privind o persoană fizică identificată sau identificabilă, în sensul art. 4 pct. 1 din RGPD;
• „Prelucrare” înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal, cu sau fără utilizarea de mijloace automatizate, în sensul art. 4 pct. 2 din RGPD;
• „Operator”: Comerciantul, în măsura în care stabilește scopurile și mijloacele prelucrărilor reglementate de prezentul Addendum;
• „Persoană împuternicită de operator” (sau „Persoana împuternicită”): AVi Kairos Srl / MINOMO, în măsura în care prelucrează datele cu caracter personal în numele Operatorului, la instrucțiunile acestuia și în cadrul funcțiilor enumerate la art. 3;
• „Subîmputernicit”: orice terț desemnat de MINOMO pentru a desfășura, integral sau parțial, activități de prelucrare în numele Operatorului, în contextul prezentului Addendum;
• „Persoane vizate”: persoanele fizice ale căror date cu caracter personal sunt prelucrate în cadrul prezentului Addendum. Pe platforma MINOMO, acestea sunt în principal urmăritorii Comerciantului și participanții activi la campaniile sale de fidelizare;
• „Încălcarea securității datelor cu caracter personal” (sau „data breach”): o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate într-un alt mod, sau la accesul neautorizat la acestea, în sensul art. 4 pct. 12 din RGPD;
• „SCC”: Clauzele contractuale standard aprobate de Comisia Europeană prin Decizia de punere în aplicare (UE) 2021/914 din 4 iunie 2021, cu completările și actualizările ulterioare;
• „SEE”: Spațiul Economic European, format din statele membre ale Uniunii Europene, precum și Islanda, Liechtenstein și Norvegia.

Domeniul de aplicare — când se aplică acest DPA

Prezentul Addendum se aplică exclusiv prelucrărilor în care Comerciantul stabilește în mod autonom scopurile prelucrării și folosește MINOMO ca instrument de executare. Prelucrările incluse sunt:

• Trimiterea de notificări push direcționate: când folosești funcția „trimite unei selecții” din panoul de comerciant pentru a adresa o notificare push unui segment anume al urmăritorilor tăi (de exemplu, doar membrilor programului tău de fidelizare, doar celor care au atins un anumit prag de puncte, doar celor care au activat cardul până la o anumită dată). În acest caz, tu stabilești criteriul de selecție și conținutul mesajului; MINOMO execută tehnic trimiterea;
• Gestionarea campaniilor digitale de fidelizare cu profilare pentru fiecare urmăritor: când programul tău de fidelizare generează, dincolo de simpla numărare a punctelor, date care pot fi urmărite și atribuite unor utilizatori identificați (de exemplu, istoricul tranzacțiilor pentru fiecare urmăritor, segmentare comportamentală pe baza recompenselor folosite);
• Rapoarte și analize agregate cerute de Comerciant pentru campaniile sale: când soliciți prelucrări care pornesc de la datele cu caracter personal ale persoanelor vizate — chiar dacă rezultatul final este agregat — pentru a evalua eficacitatea unei anumite campanii a ta.

Prezentul Addendum nu se aplică următoarelor prelucrări, în care MINOMO acționează ca operator independent:

• contul Comerciantului (email, datele de autentificare, datele de facturare, datele DSA prevăzute de art. 30 din Regulamentul (UE) 2022/2065);
• pagina publică a Comerciantului și conținutul ei editorial;
• portofelul preplătit și istoricul tranzacțiilor de credit;
• relația de urmărire dintre utilizatorul consumator și pagina Comerciantului (MINOMO gestionează această relație ca operator; Comerciantul nu are acces la datele de identificare ale urmăritorilor săi, ci doar la numere agregate);
• notificările push de tip broadcasting trimise întregului oraș sau unui segment geografic larg, în care destinatarii sunt selectați de MINOMO pe baza unor parametri ai sistemului.

Dacă ai îndoieli privind calificarea juridică a unei anumite prelucrări, te rugăm să ne scrii la [email protected] înainte de a o începe.

Instrucțiunile Operatorului

MINOMO prelucrează datele cu caracter personal ale persoanelor vizate exclusiv pe baza instrucțiunilor documentate ale Operatorului, cu excepția cazului în care prelucrarea este impusă de dreptul Uniunii Europene sau de dreptul statului membru sub incidența căruia se află MINOMO; în acest caz, MINOMO te informează în prealabil despre prelucrare, cu excepția cazului în care dreptul aplicabil interzice o astfel de informare din motive de interes public.

Instrucțiunile Operatorului se consideră transmise exclusiv prin platforma MINOMO — funcțiile tehnice disponibile în panoul de comerciant, configurarea campaniilor, alegerea criteriilor de segmentare. Nu prelucrăm date pe baza unor instrucțiuni verbale, telefonice sau transmise prin emailuri informale. Dacă ai nevoi specifice pe care platforma nu le acoperă, scrie-ne la [email protected], ca să evaluăm o soluție documentată.

Dacă MINOMO consideră că o instrucțiune a ta încalcă RGPD sau alte dispoziții aplicabile privind protecția datelor, îți comunicăm acest lucru în scris, fără întârziere. În acest caz, MINOMO își rezervă dreptul de a suspenda executarea instrucțiunii până la clarificarea situației.

Răspunderea pentru legalitatea instrucțiunilor — inclusiv verificarea faptului că prelucrarea are un temei juridic valabil (consimțământul persoanelor vizate, executarea unui contract, interesul legitim etc.) — îți revine în întregime, în calitate de Operator. MINOMO pune la dispoziție instrumentele tehnice; guvernanța prelucrării îți aparține.

Obligațiile MINOMO ca Persoană împuternicită

Pentru prelucrările incluse în domeniul de aplicare (art. 3), MINOMO se obligă:

• să prelucreze exclusiv la instrucțiuni: să nu folosească datele persoanelor vizate în scopuri proprii ale MINOMO, pentru marketing intern, pentru profilare publicitară sau în orice alt scop decât executarea instrucțiunii primite;
• să asigure confidențialitatea: să se asigure că persoanele autorizate să prelucreze datele și-au asumat un angajament de confidențialitate sau au o obligație legală de confidențialitate;
• să adopte măsuri de securitate adecvate în temeiul art. 32 din RGPD, descrise în Anexa II la prezentul Addendum;
• să respecte condițiile privind subîmputerniciții prevăzute la art. 6;
• să asiste Operatorul în îndeplinirea obligațiilor descrise la art. 9, 10 și 11;
• să șteargă sau să restituie datele la încheierea prelucrării, conform art. 13;
• să pună la dispoziție informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la art. 28 din RGPD și să permită auditurile prevăzute la art. 12.

Subîmputerniciți

Pentru a executa activitățile de prelucrare incluse în domeniul de aplicare, MINOMO apelează la furnizori terți — „subîmputerniciții” — care prelucrează date cu caracter personal în numele său. În temeiul art. 28 alin. (2) din RGPD, îți comunicăm următoarele.

Autorizare generală

Prin acceptarea prezentului Addendum, autorizezi MINOMO să apeleze la subîmputerniciții enumerați pe pagina minomo.io/ro/legal/subprocessors/, care este actualizată în timp real și face parte integrantă din prezentul DPA. Pagina indică, pentru fiecare subîmputernicit: denumirea, categoria de prelucrare, țara în care este stabilit și garanțiile de transfer aplicabile.

Preaviz pentru subîmputerniciți noi

Înainte de a adăuga sau de a înlocui un subîmputernicit, te informăm cu un preaviz de cel puțin 30 de zile, prin email la adresa asociată contului tău de comerciant și printr-un aviz în panou. Informarea cuprinde denumirea noului furnizor, categoria de prelucrare și țara în care este stabilit.

Dreptul de a obiecta

Ai dreptul de a obiecta la adăugarea unui nou subîmputernicit în termen de 10 zile de la primirea preavizului, printr-o comunicare motivată trimisă la [email protected]. Dacă obiecția se întemeiază pe motive legitime și nu putem găsi o alternativă adecvată, poți renunța la funcțiile incluse în domeniul de aplicare, fără penalități. Renunțarea nu afectează celelalte funcții MINOMO, pentru care nu acționezi ca operator independent.

Răspunderea pentru subîmputerniciți

MINOMO impune contractual fiecărui subîmputernicit obligații privind protecția datelor echivalente cu cele din prezentul Addendum. Dacă un subîmputernicit nu își îndeplinește obligațiile privind protecția datelor, MINOMO rămâne pe deplin răspunzătoare față de tine pentru îndeplinirea obligațiilor subîmputernicitului, în temeiul art. 28 alin. (4) din RGPD.

Transferuri internaționale de date cu caracter personal

Unii dintre subîmputerniciții MINOMO sunt stabiliți în afara Spațiului Economic European. Pentru prelucrările incluse în domeniul de aplicare, transferurile către țări terțe se fac cu respectarea garanțiilor prevăzute în capitolul V din RGPD.

În special:

• acolo unde este cazul, MINOMO încheie cu subîmputerniciții stabiliți în afara SEE Clauzele contractuale standard (SCC) din Decizia de punere în aplicare (UE) 2021/914, Modulul 3 (de la persoană împuternicită la persoană împuternicită), completate de evaluări ale impactului transferurilor (Transfer Impact Assessment, TIA) și, acolo unde este necesar, de măsuri suplimentare de natură tehnică și organizatorică;
• pentru transferurile către Statele Unite, dacă furnizorul a aderat la EU-U.S. Data Privacy Framework (decizia de adecvare a Comisiei Europene din 10 iulie 2023), folosim acest instrument pe lângă SCC;
• pentru transferurile către Regatul Unit, aplicăm decizia de adecvare a Comisiei Europene din 28 iunie 2021.

Detaliile pentru fiecare furnizor — țara, instrumentul de garanție, data ultimei verificări — sunt disponibile pe pagina minomo.io/ro/legal/subprocessors/. Poți cere o copie a SCC aplicabile unui anumit subîmputernicit scriindu-ne la [email protected].

Urmărim permanent evoluția jurisprudenței UE privind transferurile internaționale și adaptăm garanțiile adoptate de îndată ce devine necesar.

Securitate

Măsurile tehnice și organizatorice pe care MINOMO le adoptă pentru a proteja datele cu caracter personal prelucrate în cadrul prezentului Addendum sunt descrise în Anexa II la prezentul DPA. Aceste măsuri sunt reexaminate și actualizate periodic, în funcție de evoluția tehnologică și de riscurile identificate.

Dacă, în timp ce folosești platforma, identifici un posibil risc pentru securitatea datelor persoanelor vizate, te rugăm să ni-l semnalezi imediat la [email protected].

Asistarea Operatorului

MINOMO te asistă în îndeplinirea obligațiilor pe care RGPD le impune Operatorului, în măsura în care acestea privesc prelucrările incluse în domeniul de aplicare:

Cereri de exercitare a drepturilor (DSAR)

Dacă un urmăritor al tău sau un participant la o campanie de fidelizare a ta îți trimite o cerere de exercitare a drepturilor prevăzute la art. 15–22 din RGPD (acces, rectificare, ștergere, portabilitate etc.), MINOMO îți oferă asistență tehnică pentru a identifica și extrage datele relevante din sistemele platformei. Răspundem cererii tale de asistență în termen de 10 zile lucrătoare.

Evaluarea impactului asupra protecției datelor (DPIA)

Dacă prelucrarea inclusă în domeniul de aplicare se numără printre cele pentru care RGPD impune o evaluare a impactului asupra protecției datelor (art. 35 din RGPD), MINOMO îți pune la dispoziție informațiile disponibile despre arhitectura sa tehnică și despre măsurile de securitate adoptate, ca să poți realiza evaluarea în cunoștință de cauză. Nu putem realiza evaluarea în locul tău: această responsabilitate îți revine, în calitate de Operator. Te putem sprijini cu documentație tehnică și cu o discuție dedicată, stabilită în prealabil la [email protected].

Consultarea prealabilă

Dacă, în urma evaluării impactului, riscul rezidual impune consultarea prealabilă a autorității de supraveghere (art. 36 din RGPD), te asistăm, furnizându-ți informațiile tehnice necesare pentru cerere.

Notificarea încălcărilor securității datelor cu caracter personal

Dacă MINOMO constată o încălcare a securității datelor cu caracter personal care privește date prelucrate în cadrul prezentului Addendum — adică o încălcare care afectează persoane vizate pentru care tu ești Operator — procedăm astfel:

1. îți notificăm încălcarea în termen de 48 de ore de la constatare, prin email la adresa contului tău de comerciant. Notificarea cuprinde: descrierea naturii încălcării, categoriile și numărul aproximativ de persoane vizate afectate, măsurile luate sau propuse pentru remediere;
2. te asistăm la redactarea notificării către autoritatea de supraveghere competentă, dacă încălcarea se încadrează în cazurile prevăzute la art. 33 din RGPD (care prevede notificarea în termen de 72 de ore de la luarea la cunoștință). Decizia finală privind notificarea autorității și răspunderea aferentă îți revin, în calitate de Operator;
3. te asistăm în evaluarea necesității de a comunica încălcarea direct persoanelor vizate, în temeiul art. 34 din RGPD.

Notificarea unei încălcări către tine, în calitate de Operator, nu reprezintă o recunoaștere din partea MINOMO a vreunei răspunderi sau neglijențe în legătură cu încălcarea respectivă.

Drepturile persoanelor vizate

Pentru prelucrările incluse în domeniul de aplicare, tu, în calitate de Operator, ești cel care trebuie să răspundă cererilor persoanelor vizate privind exercitarea drepturilor prevăzute la art. 15–22 din RGPD.

MINOMO nu răspunde direct cererilor persoanelor vizate care privesc prelucrări pentru care tu ești Operator. Dacă o persoană vizată ne contactează direct — de exemplu, scriind la [email protected] — în legătură cu o prelucrare inclusă în domeniul de aplicare, îți transmitem cererea fără întârziere, fără să răspundem pe fond.

Informează persoanele vizate, în nota de informare privind confidențialitatea pe care trebuie să o publici în calitate de Operator, că pentru prelucrările gestionate prin platforma MINOMO punctul de contact pentru exercitarea drepturilor ești tu. Te rugăm să indici în comunicările tale către persoanele vizate o adresă de email sau un formular de contact funcțional.

MINOMO îți pune la dispoziție instrumentele tehnice pentru gestionarea cererilor: în special, funcția de eliminare din programul de fidelizare și de ștergere a datelor unei persoane vizate este accesibilă din panoul de comerciant. Pentru cererile pe care nu le poți soluționa singur din platformă, scrie la [email protected]: te asistăm în termen de 10 zile lucrătoare.

Audituri și inspecții

Ai dreptul de a verifica dacă MINOMO respectă obligațiile din prezentul Addendum. Acest drept se exercită după cum urmează.

Documentație standard

La cerere, MINOMO îți pune la dispoziție documentația tehnică privind măsurile de securitate adoptate (vezi Anexa II), jurnalele de prelucrare relevante pentru datele incluse în domeniul de aplicare și eventualele sinteze de evaluări sau chestionare de conformitate (de exemplu, CAIQ — Consensus Assessment Initiative Questionnaire al Cloud Security Alliance). Pentru a cere documentația, scrie la [email protected].

Audit la fața locului

Poți cere un audit la fața locului sau efectuat de un auditor terț — cel mult 1 audit pe an calendaristic, cu excepția cazului în care este justificat de o încălcare documentată. Auditul este supus următoarelor condiții:

• preaviz scris de cel puțin 30 de zile, trimis la [email protected], cu descrierea perimetrului și a obiectivelor;
• acord prealabil asupra modalităților practice, pentru a evita perturbarea funcționării platformei și pentru a garanta confidențialitatea informațiilor altor clienți;
• toate costurile auditului (inclusiv timpul personalului MINOMO implicat în activitățile de sprijin) sunt suportate de solicitant;
• auditorul terț trebuie să semneze un acord de confidențialitate cu MINOMO înainte de a avea acces la orice informație.

Ștergerea și restituirea datelor la încheierea prelucrării

La încheierea relației contractuale — fie prin renunțarea Comerciantului, fie prin încetarea serviciului de către MINOMO, fie prin dezactivarea funcțiilor incluse în domeniul de aplicare — procedăm astfel:

• în termen de 30 de zile de la încetare, MINOMO șterge din sistemele sale active (baza de date operațională, memoria cache, sistemele de analiză) datele cu caracter personal ale persoanelor vizate prelucrate în cadrul prezentului Addendum. Copiile din sistemele de backup dispar odată cu ciclul obișnuit de rotație a copiilor de siguranță;
• dacă ne ceri în scris acest lucru înainte de ștergere, MINOMO îți restituie o copie a datelor într-un format structurat (JSON sau CSV, în funcție de tipul datelor). Cererea trebuie trimisă la [email protected] până la încetarea relației;
• MINOMO poate păstra datele mai mult de 30 de zile în măsura strict necesară pentru îndeplinirea unor obligații legale (de exemplu, păstrarea jurnalelor de audit în scopuri fiscale sau pentru executarea unor dispoziții ale autorităților). În acest caz, te informăm despre păstrare și despre durata ei.

La cererea ta, MINOMO emite o declarație scrisă privind ștergerea datelor incluse în domeniul de aplicare, cu indicarea datei și a modului în care s-a efectuat.

Limitarea răspunderii

Răspunderea MINOMO pentru prejudiciile rezultate din prelucrarea efectuată în cadrul prezentului Addendum este limitată în condițiile și cu excluderile prevăzute de Termenii de Serviciu MINOMO, care se consideră integral încorporați prin trimitere.

În special, MINOMO nu răspunde pentru prejudiciile rezultate din: instrucțiuni greșite, incomplete sau ilegale ale Operatorului; utilizarea neconformă a platformei de către Comerciant; accesul neautorizat la datele de autentificare ale panoului de comerciant, cauzat de neglijența Comerciantului; încălcări imputabile unor subîmputerniciți care au adoptat măsuri de securitate echivalente cu cele cerute de prezentul DPA.

Dacă MINOMO a acționat ca persoană împuternicită de operator, dar a contribuit în mod direct și cauzal la o încălcare a RGPD, răspunderea față de persoanele vizate este cea prevăzută la art. 82 din RGPD. În acest caz, MINOMO și Operatorul răspund solidar față de persoana vizată, cu drept de regres între părți proporțional cu partea de vină a fiecăreia.

Legea aplicabilă și instanța competentă

Prezentul Addendum este guvernat de dreptul român, cu respectarea Regulamentului (UE) 2016/679 și a dispozițiilor privind protecția datelor aplicabile în statele membre în care își desfășoară activitatea Comercianții.

Pentru orice litigiu privind interpretarea, validitatea sau executarea prezentului Addendum, părțile convin asupra competenței exclusive a Tribunalului Brașov (România), cu excepția cazului în care Comerciantul este un consumator cu reședința în Uniunea Europeană, situație în care se aplică normele imperative de protecție a consumatorilor din țara reședinței sale obișnuite.

Nicio prevedere a prezentului articol nu limitează dreptul Comerciantului de a depune o plângere la autoritatea de supraveghere a protecției datelor cu caracter personal competentă din propriul stat membru (art. 77 din RGPD).

Modificări ale DPA

MINOMO poate actualiza prezentul Addendum pentru a reflecta modificări legislative, evoluții tehnologice, funcții noi ale platformei sau orientări ale autorităților de supraveghere. Când facem acest lucru:

• modificările nesubstanțiale (actualizări redacționale, corectarea trimiterilor la acte normative, adăugarea unor subîmputerniciți noi deja comunicați prin procedura de la art. 6) produc efecte imediat;
• modificările substanțiale — care îți afectează drepturile de Operator, categoriile de date prelucrate, scopurile, subîmputerniciții principali sau mecanismele de garanție pentru transferurile internaționale — îți sunt comunicate cu un preaviz de cel puțin 30 de zile, prin email și printr-un aviz în panoul de comerciant;
• dacă nu accepți o modificare substanțială, poți dezactiva funcțiile incluse în domeniul de aplicare în perioada de preaviz, fără penalități. Continuarea utilizării funcțiilor după acest termen reprezintă acceptarea modificărilor.

Versiunile anterioare ale DPA rămân accesibile prin istoricul publicat la finalul acestei pagini.

Istoricul versiunilor

Versiune	Data	Note
1.1	7 octombrie 2026	SCC corectate: Modulul 3 (de la persoană împuternicită la persoană împuternicită). Anexa II redusă la măsurile care pot fi verificate. Eliminat termenul de 90 de zile pentru copiile de siguranță. Numit furnizorul copiilor de siguranță.
1.0	15 mai 2026	Prima publicare. Perimetru limitat la prelucrările de tip push direcționat, campanii de fidelizare cu profilare și analize ale campaniilor.

Contact

Pentru orice chestiune legată de prezentul Addendum:

• Corespondență oficială privind DPA: [email protected]
• Chestiuni specifice de confidențialitate: [email protected]
• Poștă: AVi Kairos Srl — Strada Lungă 188, Corp C2, Ap. 2, Brașov 500051, România

Ne angajăm să răspundem în termen de 10 zile lucrătoare de la primire. Pentru semnalările urgente privind încălcări ale securității datelor cu caracter personal aflate în desfășurare, folosește subiectul „DATA BREACH — URGENT”, ca să le putem trata cu prioritate.

---

Anexa I — Detaliile prelucrării

Prezenta anexă descrie caracteristicile prelucrărilor pentru care MINOMO acționează ca Persoană împuternicită de operator, în temeiul art. 3 din prezentul DPA.

I.A — Categorii de persoane vizate

Categorie	Descriere
Urmăritorii Comerciantului	Utilizatori consumatori MINOMO care au ales să urmărească pagina Operatorului și, după caz, au activat un card de fidelitate sau un program de puncte al Operatorului
Participanții la campaniile de fidelizare	Subgrup al urmăritorilor care au activat un card de fidelitate digital al Comerciantului și au efectuat cel puțin o tranzacție cu puncte

I.B — Categorii de date cu caracter personal

Categorie	Date specifice	Funcții incluse
Identificatori tehnici anonimi	ID-ul intern de utilizator MINOMO (pseudonim), tokenul pentru notificări push al dispozitivului	Push direcționat, campanii de fidelizare
Date privind activitatea de fidelizare	Soldul de puncte, data și ora tranzacțiilor de acordare/folosire a punctelor, identificatorul campaniei	Campanii de fidelizare cu profilare pentru fiecare urmăritor
Preferințe de segmentare	Pragul de puncte, data activării cardului, categoriile de notificări acceptate	Push direcționat către o selecție
Date de analiză agregate	Rate de deschidere, numere pe categorii de campanii, distribuția în timp a interacțiunilor	Rapoarte privind campaniile Comerciantului

I.C — Scopurile prelucrării

• executarea tehnică a notificărilor push adresate unor segmente specifice de urmăritori, stabilite de Operator;
• gestionarea registrului de puncte de fidelitate pentru fiecare utilizator, în cadrul programului Operatorului;
• realizarea de rapoarte și analize agregate privind eficacitatea campaniilor Operatorului.

I.D — Durata prelucrării

Prelucrarea începe la prima activare de către Operator a uneia dintre funcțiile incluse în domeniul de aplicare și se încheie la dezactivarea definitivă a acestora sau la încetarea relației contractuale. Modul de ștergere la încheiere este reglementat de art. 13 din prezentul DPA.

---

Anexa II — Măsuri tehnice și organizatorice de securitate

Măsurile descrise în această anexă sunt cele pe care MINOMO le adoptă, pentru prelucrările incluse în domeniul de aplicare, în temeiul art. 32 din RGPD. Descriem doar măsurile pe care sistemele noastre le aplică astăzi; nu declarăm certificări de securitate.

II.1 — Criptarea datelor

• În tranzit: datele transmise între clienți (browser, aplicații native, panoul de comerciant) și serverele MINOMO circulă prin conexiuni criptate (HTTPS/TLS).
• Notificări push: conținutul notificărilor este criptat în tranzit (TLS; pentru Web Push, și conform RFC 8291). Conținutul este păstrat în clar pe serverele MINOMO cât timp este necesar pentru livrare și raportare (90 de zile) și este transmis gateway-urilor de livrare (Google FCM, Apple APNs), care primesc titlul și textul.

II.2 — Controlul accesului

• Acces pe roluri: accesul la date prin panouri diferă în funcție de rol (comerciant, City Agent, Country Manager, Primărie, administrare). Comerciantul nu vede datele de identificare ale urmăritorilor săi, ci doar numere agregate.
• Autentificare în doi pași: este disponibilă pentru conturile din panouri și este puternic recomandată pentru conturile cu acces la funcțiile incluse în domeniul de aplicare.
• Jurnale de acces: autentificările și încercările eșuate sunt înregistrate și păstrate 30 de zile.
• Datele dispozitivelor: dispozitivele inactive și confirmările de deschidere a notificărilor sunt șterse automat (după 7 și, respectiv, după 30 de zile).

II.3 — Subîmputerniciți

MINOMO apelează la subîmputerniciții enumerați pe pagina minomo.io/ro/legal/subprocessors/ și îi obligă pe fiecare să respecte obligațiile prevăzute la art. 6 din prezentul DPA.

---

Anexa III — Lista subîmputerniciților

Lista completă, actualizată și versionată a subîmputerniciților MINOMO — cu denumirea, categoria de prelucrare, țara în care sunt stabiliți, garanțiile de transfer aplicabile și data ultimei actualizări — este publicată și menținută în timp real pe pagina minomo.io/ro/legal/subprocessors/.

Pagina respectivă face parte integrantă din prezenta Anexă III și din prezentul DPA. Este actualizată de fiecare dată când un subîmputernicit este adăugat, modificat sau eliminat, cu indicarea datei modificării în istoricul aferent.

Categoriile generale de subîmputerniciți care intervin în prelucrările incluse în domeniul de aplicare al prezentului DPA sunt:

• Infrastructura aplicației și bazele de date: serverele pe care rulează platforma MINOMO, inclusiv componentele care gestionează campaniile de fidelizare și registrele de segmentare pentru push;
• Gateway-uri pentru notificări push: furnizorii care asigură transportul efectiv al notificărilor push către dispozitivele persoanelor vizate (Google Firebase Cloud Messaging pentru Android, Apple Push Notification service pentru iOS, standardul Web Push pentru aplicația web). Acești furnizori primesc tokenul dispozitivului și titlul și textul notificării;
• Rețeaua de distribuție a conținutului (CDN): pentru distribuirea resurselor statice asociate campaniilor (imagini, logo-uri);
• Copii de siguranță: serviciul în care sunt arhivate copiile de siguranță ale bazelor de date, Amazon Web Services EMEA SARL (Amazon S3), cu datele în Germania (Frankfurt).

Pentru orice cerere privind subîmputerniciții, scrie-ne la [email protected].