Acord de Prelucrare a Datelor (DPA)

În vigoare de la: 28 august 2026
Versiunea 1.0

Încheiat în temeiul art. 28 din Regulamentul (UE) 2016/679 (GDPR), între:

OPERATOR — Utilizatorul platformei MASAT, identificat prin datele din contul său MASAT (denumire, CUI, sediu, reprezentant), denumit în continuare „Operatorul” sau „Clientul”;

și

PERSOANA ÎMPUTERNICITĂ — S.C. MASAT DIGITAL S.R.L., CUI 52437661, nr. înreg. Reg. Com. J2025066544008, cu sediul în județul Ilfov, oraș Bragadiru, Str. Ghidiceni nr. 59, denumită în continuare „MASAT”.

Prezentul Acord se încheie automat, ca parte integrantă a Termenilor și Condițiilor, la momentul creării contului MASAT și al conectării primei integrări eMAG. O versiune semnată electronic poate fi solicitată la office@masat.ro.

1. Obiectul și rolurile părților

Prin utilizarea Platformei MASAT și conectarea unui cont de vânzător eMAG prin API-ul oficial, MASAT prelucrează date cu caracter personal în numele și pe seama Operatorului.

Este vorba, în principal, despre datele clienților finali ai Operatorului, conținute în comenzile și documentele preluate din contul eMAG.

Operatorul stabilește scopurile și mijloacele prelucrării și răspunde de legalitatea datelor pe care le pune la dispoziție.
MASAT prelucrează aceste date exclusiv pe baza instrucțiunilor documentate ale Operatorului.

Pentru datele proprii ale Operatorului ca utilizator (cont, facturare, suport, marketing), MASAT acționează ca operator independent, conform Politicii de Confidențialitate. Prezentul Acord nu se aplică acelor prelucrări.

2. Anexa 1 — Detaliile prelucrării

Obiectul prelucrării: furnizarea serviciilor de analiză, monitorizare și raportare pentru activitatea Operatorului pe marketplace-ul eMAG.

Durata: pe durata contractului dintre părți, plus termenele de ștergere prevăzute la Secțiunea 10.

Natura și scopul prelucrării: colectare, structurare, stocare, consultare, utilizare, agregare, afișare, export și ștergere, în scopul furnizării funcționalităților MASAT solicitate de Operator.

Categorii de persoane vizate: clienți finali (cumpărători) ai Operatorului pe eMAG; reprezentanți, angajați și colaboratori ai Operatorului care folosesc contul MASAT.

Categorii de date cu caracter personal:

date de identificare: nume, prenume;
date de contact: adresă de livrare, adresă de facturare, număr de telefon, e-mail;
date de comandă: număr comandă, produse achiziționate, valoare, dată, modalitate de plată (fără date de card), status livrare, retururi;
date de utilizare a contului MASAT pentru utilizatorii Operatorului.

Categorii speciale de date (art. 9 GDPR): MASAT nu prelucrează categorii speciale de date. Operatorul se obligă să nu introducă astfel de date în Platformă.

Sursa datelor: contul de vânzător eMAG al Operatorului, prin API-ul oficial eMAG, precum și datele introduse direct de Operator în Platformă.

3. Instrucțiunile Operatorului

MASAT prelucrează datele exclusiv pe baza instrucțiunilor documentate ale Operatorului. Constituie instrucțiuni documentate: Termenii și Condițiile și prezentul Acord; configurațiile, setările și acțiunile Operatorului în Platformă; și solicitările scrise transmise la office@masat.ro.

MASAT informează Operatorul dacă apreciază că o instrucțiune încalcă GDPR sau alte dispoziții legale privind protecția datelor.

MASAT poate prelucra datele și în temeiul unei obligații legale din dreptul UE sau român; în acest caz informează Operatorul înainte de prelucrare, cu excepția situației în care legea interzice această informare.

4. Obligațiile MASAT

să prelucreze datele exclusiv conform instrucțiunilor Operatorului;
să asigure că persoanele autorizate să prelucreze datele s-au angajat la confidențialitate, în scris, sau au o obligație legală de confidențialitate;
să implementeze măsurile tehnice și organizatorice prevăzute la art. 32 GDPR, descrise în Anexa 2;
să respecte condițiile privind subîmputerniciții, prevăzute la Secțiunea 6;
să asiste Operatorul, în măsura posibilului, în îndeplinirea obligației de a răspunde cererilor persoanelor vizate (Secțiunea 7);
să asiste Operatorul în asigurarea conformității cu art. 32–36 GDPR;
la alegerea Operatorului, să șteargă sau să returneze datele la încetarea prestării serviciilor (Secțiunea 10);
să pună la dispoziția Operatorului informațiile necesare pentru demonstrarea conformității și să permită audituri, în condițiile Secțiunii 9;
să țină evidența categoriilor de activități de prelucrare desfășurate în numele Operatorului, conform art. 30(2) GDPR.

5. Obligațiile Operatorului

garantează că are un temei legal valabil pentru prelucrarea datelor pe care le pune la dispoziția MASAT și că a informat persoanele vizate;
răspunde de exactitatea, calitatea și legalitatea datelor;
se obligă să nu introducă în Platformă categorii speciale de date sau date fără legătură cu activitatea sa de vânzător pe eMAG;
administrează accesul propriilor utilizatori la contul MASAT și retrage accesul persoanelor care nu mai au dreptul;
răspunde pentru respectarea termenilor și condițiilor aplicabile propriului cont eMAG.

6. Subîmputerniciți

Operatorul acordă MASAT o autorizație generală de a angaja subîmputerniciți, cu respectarea condițiilor de mai jos.

Lista actualizată a subîmputerniciților este publicată la masat.ro/ro/subimputerniciti și cuprinde, pentru fiecare, denumirea, rolul și locul prelucrării.

MASAT impune fiecărui subîmputernicit, prin contract, aceleași obligații de protecție a datelor ca cele din prezentul Acord; rămâne pe deplin răspunzător față de Operator pentru îndeplinirea acestora; și notifică Operatorul cu 30 de zile înainte de adăugarea sau înlocuirea unui subîmputernicit, prin e-mail și prin actualizarea paginii dedicate.

Operatorul se poate opune motivat, în scris, în termen de 15 zile de la notificare. Dacă părțile nu găsesc o soluție, Operatorul poate rezilia contractul, cu rambursarea proporțională a abonamentului neutilizat.

7. Drepturile persoanelor vizate

MASAT pune la dispoziția Operatorului funcționalități care îi permit să răspundă cererilor persoanelor vizate: acces, rectificare, ștergere, restricționare, portabilitate (export de date) și opoziție.

Dacă o persoană vizată se adresează direct MASAT, MASAT nu răspunde pe fond, ci redirecționează cererea către Operator în maximum 5 zile lucrătoare și îl asistă în formularea răspunsului.

8. Încălcarea securității datelor

MASAT notifică Operatorul fără întârziere nejustificată și în maximum 24 de ore de la momentul în care ia cunoștință de o încălcare a securității datelor care afectează datele prelucrate în numele Operatorului.

Notificarea cuprinde, în măsura în care informațiile sunt disponibile: natura încălcării, categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor afectate, consecințele probabile, măsurile luate sau propuse și datele de contact pentru informații suplimentare.

MASAT nu notifică autoritatea de supraveghere sau persoanele vizate în numele Operatorului decât la cererea expresă și scrisă a acestuia.

Scenariu specific. Dacă încălcarea afectează credențialele eMAG ale Operatorului, MASAT invalidează imediat credențialele stocate, suspendă integrările afectate, notifică Operatorul în maximum 24 de ore și îi recomandă schimbarea imediată a parolei contului eMAG.

9. Audit și demonstrarea conformității

MASAT pune la dispoziția Operatorului, la cerere, informațiile necesare pentru a demonstra respectarea obligațiilor din prezentul Acord, inclusiv, dacă există, rapoarte de audit sau certificări.

Operatorul poate solicita un audit, personal sau printr-un auditor independent agreat de ambele părți, în următoarele condiții: maximum o dată pe an calendaristic, cu excepția situației în care există o încălcare a securității sau o cerere a unei autorități; cu notificare prealabilă de minimum 30 de zile; în timpul programului normal de lucru, fără a perturba activitatea MASAT; cu semnarea unui acord de confidențialitate; și pe cheltuiala Operatorului, cu excepția cazului în care auditul relevă o neconformitate semnificativă imputabilă MASAT.

10. Ștergerea sau returnarea datelor

La încetarea prestării serviciilor, MASAT, la alegerea Operatorului, returnează datele într-un format structurat, uzual și care poate fi citit automat (funcția de export rămâne disponibilă în aplicație 30 de zile de la încetare) și/sau le șterge.

credențiale eMAG: maximum 30 de zile de la deconectare;
date preluate din contul eMAG: maximum 30 de zile de la încetare, sau imediat la cerere expresă;
copii de siguranță: se suprascriu în ciclul normal de rotație, în maximum 90 de zile.

MASAT poate păstra datele doar în măsura în care dreptul UE sau român îi impune acest lucru, în principal documente contabile și fiscale, caz în care le arhivează cu acces restricționat, exclusiv în acest scop.

MASAT poate păstra și utiliza date agregate și anonimizate, care nu mai permit identificarea Operatorului, a produselor sale sau a persoanelor vizate.

11. Transferuri internaționale

MASAT prelucrează datele în interiorul Spațiului Economic European. Orice transfer către un stat terț se realizează numai pe baza unei decizii de adecvare sau a Clauzelor Contractuale Standard aprobate de Comisia Europeană, cu evaluarea prealabilă a măsurilor suplimentare necesare.

Subîmputerniciții care prelucrează date în afara SEE sunt marcați ca atare în lista publicată.

12. Răspundere

Răspunderea părților în temeiul prezentului Acord este guvernată de art. 82 GDPR și de clauzele de limitare a răspunderii din Termenii și Condiții, în măsura în care legea permite limitarea.

13. Durata, legea aplicabilă și clauze finale

Prezentul Acord produce efecte pe durata contractului dintre părți și încetează odată cu acesta, cu excepția obligațiilor care, prin natura lor, supraviețuiesc (confidențialitate, ștergere, audit).

Acordul este guvernat de legea română. În caz de conflict între prezentul Acord și Termenii și Condiții, în privința prelucrării datelor cu caracter personal prevalează prezentul Acord.

Anexa 2 — Măsuri tehnice și organizatorice (art. 32 GDPR)

Controlul accesului. Autentificare individuală pentru fiecare membru al echipei, cu autentificare în doi pași obligatorie; acces pe bază de rol, conform principiului privilegiului minim; revizuirea trimestrială a drepturilor de acces; jurnalizarea accesului administrativ la sistemele de producție.

Criptare. TLS 1.2+ pentru toate comunicațiile; criptarea la stocare a datelor sensibile (AES-256); credențialele de integrare stocate într-un seif de secrete separat, cu chei gestionate distinct și rotație periodică.

Segregarea mediilor. Separarea mediilor de producție, de test și de dezvoltare, cu reguli privind utilizarea datelor reale în afara producției.

Disponibilitate și reziliență. Copii de siguranță periodice, criptate, proceduri de restaurare testate, monitorizare și alertare.

Securitatea dezvoltării. Revizuirea codului înainte de punerea în producție; gestionarea dependențelor și a vulnerabilităților; testare de securitate periodică.

Măsuri organizatorice. Angajamente de confidențialitate semnate de personal și colaboratori; instruire periodică privind protecția datelor; procedură documentată de răspuns la incidente, cu termene; registrul activităților de prelucrare conform art. 30(2); procedură de evaluare a subîmputerniciților înainte de contractare.

Contact

S.C. MASAT DIGITAL S.R.L.
Județul Ilfov, oraș Bragadiru, Str. Ghidiceni nr. 59
E-mail: office@masat.ro
www.masat.ro