Conform GDPR. Din construcție, nu din declarații.
Nu bifăm un box; arhitectura platformei pornește de la izolarea datelor. Lista completă a sub-procesorilor și locația datelor este publică.
Principii
Unde sunt datele
Serverele, bazele de date și fișierele sunt la DigitalOcean, în Londra. Regatul Unit are o decizie de adecvare a Comisiei Europene, deci datele au o protecție echivalentă cu cea din UE. Copiile de rezervă principale sunt în Frankfurt. Pentru furnizorii cu acces din SUA folosim Clauzele Contractuale Standard (SCC) și EU-US Data Privacy Framework.
Izolare per tenant
Fiecare client are propria bază de date MySQL. La ștergere: DROP DATABASE, nu query. Imposibil să amestecăm accidental date.
Retenție clară
Date active: pe durata contractului. Facturi: 10 ani (lege fiscală). Log-uri: 90 zile. La încetare: 30 zile grace, apoi ștergere definitivă.
DPA standard
Avem un DPA (Data Processing Agreement) gata semnat, disponibil la cerere. Modificări minore acceptate; modificări substanțiale discutate.
Sub-procesori
Aceștia sunt furnizorii pe care îi folosim noi pentru a opera platforma și care pot avea acces la date personale. Fiecare prelucrează datele doar în scopul indicat, pe baza unui DPA conform art. 28 GDPR.
| Nume | Scop | Locație | Garanții |
|---|---|---|---|
| DigitalOcean | Servere, baze de date MySQL și stocare fișiere (Spaces) | Regatul Unit (Londra); copii de rezervă în Germania (Frankfurt) | DPA; decizia de adecvare UE pentru Regatul Unit |
| Resend | Email-uri trimise de platformă (notificări, resetare parolă) | UE (Irlanda) | DPA; SCC și EU-US Data Privacy Framework |
| Google (Google Drive) | Copii de rezervă externe ale bazelor de date | SUA și UE | DPA; SCC și EU-US Data Privacy Framework |
| Dropbox | Copie de rezervă suplimentară, pentru conturile migrate din versiunea anterioară | SUA | DPA; SCC și EU-US Data Privacy Framework |
| Stripe | Plata abonamentului notsowms (datele tale de facturare, nu ale clienților tăi) | UE (Irlanda) | DPA; SCC și EU-US Data Privacy Framework |
Ultima actualizare a listei: 27 octombrie 2026.
Când se schimbă lista
Înainte să adăugăm sau să înlocuim un sub-procesor, te anunțăm prin email, la adresa contului, cu cel puțin 30 de zile înainte. În acest interval poți obiecta, cu motive legate de protecția datelor, scriind la hello@notsowms.ro. Dacă nu găsim împreună o soluție, poți înceta contractul înainte ca schimbarea să intre în vigoare.
Integrări pe care le activezi tu
Curierii, marketplace-urile și programele de facturare de mai jos nu sunt sub-procesorii noștri. Le alegi tu și ai contract direct cu ele. notsowms le transmite date numai după ce activezi integrarea și numai pentru operațiunea pe care o ceri: un AWB, sincronizarea comenzilor sau emiterea unei facturi.
Curieri
Sameday, Cargus, FAN Courier, DPD, GLS, Pall-Ex
Marketplace-uri
eMAG Marketplace, Shopify, Wix, PrestaShop, OpenCart, MerchantPro, Trendyol, WooCommerce
Facturare
SmartBill, Oblio, Sedona Cloud
DPA (Data Processing Agreement)
Pentru orice client care necesită un DPA semnat (adică: aproape toată lumea), avem unul standard gata de semnare. Bazat pe SCC-urile UE și aliniat cu GDPR Art. 28.
Drepturile persoanelor vizate
Orice persoană ale cărei date sunt prelucrate în notsowms (tu, angajații tăi, sau clienții tăi finali) are drepturile prevăzute de GDPR: acces, rectificare, ștergere, restricționare, portabilitate, opoziție.
Cererile se trimit la hello@notsowms.ro. Răspundem în max 30 de zile (cerință legală), de obicei mult mai repede.