Subcontractanți ulteriori
Prestator: STL EMBEDED CREATIONS SRL, Cluj-Napoca, România.
Această listă constituie Anexa III la Acordul privind prelucrarea datelor. Ea acoperă datele cu caracter personal pe care Consentl le prelucrează în numele clienților săi în cadrul ambelor servicii:
- Consentl pentru Shopify: aplicația Shopify de la
shopify.consentl.com; - Consentl pentru site-uri: panoul de control de la
app.consentl.comși API-ul public de laapi.consentl.com, apelat de fragmentul de cod al site-ului și de pluginurile pentru platforme.
Aceste date sunt înregistrările consimțământului, cererile privind datele cu caracter personal și cererile de retragere ale vizitatorilor magazinelor și ai site-urilor, precum și e-mailurile care le sunt trimise acestora. Aceiași furnizori prelucrează și datele pentru care noi suntem operator (conturile clienților, facturarea, asistența, jurnalele); această prelucrare este descrisă în politicile noastre de confidențialitate.
Versiunea 3 · În vigoare de la: 2026-10-23
Aceasta este o traducere. Pentru clienții profesioniști prevalează versiunea în limba engleză. Pentru consumatorii cu reședința obișnuită într-o țară în care limba română este limbă oficială, prezenta versiune este egal autentică cu versiunea în limba engleză; dacă cele două versiuni diferă, se aplică înțelesul mai favorabil consumatorului. Pentru ceilalți consumatori prevalează versiunea în limba engleză, cu excepția cazului în care legislația obligatorie de protecție a consumatorilor din țara lor prevede altfel.
Subcontractanții ulteriori actuali
| # | Subcontractant ulterior (entitate, sediu) | Utilizat pentru | Serviciul și prelucrarea | Date vizate | Locul prelucrării | Garanții pentru transfer |
|---|---|---|---|---|---|---|
| 1 | DigitalOcean, LLC, New York, SUA | Shopify și site-uri | Găzduire: App Platform (aplicații web, procesul de fundal al scanerului [worker], sarcini executate înainte de implementare [pre-deploy]), baze de date Managed PostgreSQL, copii de rezervă (backup) automate ale bazelor de date, jurnale de execuție | Toate datele din bazele de date Consentl (Anexa I la DPA) și metadatele solicitărilor din jurnale | Frankfurt, Germania (regiunea App Platform fra, clusterul de baze de date în fra1) |
Datele stocate (în repaus) se află în UE. Accesul de la distanță din țări terțe (asistență, operațiuni) are loc în temeiul acordului privind prelucrarea datelor al DigitalOcean, care încorporează clauzele contractuale standard ale UE (2021/914) și Actul adițional al Regatului Unit (UK Addendum). |
| 2 | Cloudflare, Inc., San Francisco, SUA, recrutată de DigitalOcean (subcontractant ulterior al DigitalOcean) | Shopify și site-uri | Rețeaua edge a App Platform: terminarea TLS, livrarea conținutului, protecția împotriva atacurilor DDoS și a roboților (bots) pentru fiecare solicitare către shopify.consentl.com, app.consentl.com, api.consentl.com, consentl.com și gazdele de testare (staging) ale acestora. Poate plasa pe aceste gazde cookie-ul de securitate __cf_bm (30 de minute). Consentl determină țara pentru banner pe propriile sale servere (bază de date locală DB-IP Lite), nu la Cloudflare. |
Adresele IP ale vizitatorilor și ale clienților, metadatele solicitărilor, conținutul solicitărilor în tranzit (semnalele de consimțământ [beacons], formularele trimise) | Rețeaua edge globală (centrul de date cel mai apropiat de solicitant); conținutul cererilor nu este stocat | Clauzele contractuale standard pe care DigitalOcean le încheie cu Cloudflare în temeiul acordului privind prelucrarea datelor al DigitalOcean. |
| 3 | Brevo SAS (fostă Sendinblue SAS), 106 boulevard Haussmann, 75008 Paris, Franța | Shopify și site-uri | E-mailuri tranzacționale prin API-ul Brevo: verificarea și confirmarea cererilor privind datele cu caracter personal, confirmările de primire a cererilor de retragere (către cumpărători și vizitatori); notificări, rapoarte de scanare și e-mailuri privind contul și facturarea (către clienți) | Adresa de e-mail și numele destinatarului, conținutul e-mailului (poate include numere de comandă, tipul cererii și mesajul solicitantului), evenimentele de livrare, de returnare (bounce) și de reclamație (urmărirea deschiderilor și a clicurilor este anonimizată) | Uniunea Europeană | Furnizor din UE; Consentl nu efectuează niciun transfer. Pentru subcontractanții ulteriori proprii ai Brevo, a se vedea lista publicată de Brevo. Urmărirea deschiderilor și a clicurilor este anonimizată: nu se asociază destinatarului date privind interacțiunea. |
| 4 | Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Geneva, Elveția | Shopify și site-uri | Găzduirea e-mailului pentru căsuțele poștale consentl.com [email protected] (asistență) și [email protected] (protecția datelor; totodată expeditorul e-mailurilor noastre tranzacționale): corespondența privind asistența și protecția datelor, cererile pe care clienții ni le transmit, răspunsurile, mesajele returnate și răspunsurile automate la e-mailurile noastre | Adresele de e-mail, numele și mesajele clienților, ale cumpărătorilor și vizitatorilor care răspund la e-mailurile noastre, precum și ale cumpărătorilor și vizitatorilor ale căror cereri ne sunt transmise de clienți | Elveția | Decizia Comisiei Europene privind caracterul adecvat al protecției datelor în Elveția (2000/518/CE). Utilizată din 2026-10-22 (ambele căsuțe poștale sunt active). |
Entități care nu sunt subcontractanți ulteriori (pentru transparență)
| Parte | Utilizată pentru | De ce nu este subcontractant ulterior |
|---|---|---|
| Shopify (Shopify International Limited, Dublin, Irlanda; Shopify Inc., Ottawa, Canada) | Shopify | Platforma pe care comerciantul își operează magazinul și instalează aplicația. Shopify prelucrează datele magazinului în temeiul propriului acord cu comerciantul, redirecționează solicitările app proxy și webhook-urile, găzduiește scripturile magazinului online (storefront) în rețeaua sa CDN și facturează aplicația. La instrucțiunea comerciantului, transmitem date către Shopify în calitatea acesteia de platformă proprie a comerciantului (renunțările la vânzarea sau partajarea datelor, cererile de ștergere transmise mai departe, configurația publicată a bannerului); nu recrutăm Shopify pentru a prelucra date în numele nostru. |
| Platforme pentru site-uri (WordPress, Shopware, PrestaShop, Magento, instrumente de creare a site-urilor, Google Tag Manager) | Site-uri | Platforma proprie a clientului. Pluginurile și șabloanele noastre rulează acolo și nu stochează date ale vizitatorilor; nu recrutăm platforma. |
| Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irlanda) | Site-uri (facturare) | Prelucrează datele de facturare și de plată ale clienților noștri (adresa de e-mail a contului, numele, datele de plată, adresa de facturare, codul de identificare fiscală) în numele nostru și, în scopul prevenirii fraudei și al îndeplinirii obligațiilor sale de reglementare, în calitate de operator independent. Nu primește date ale vizitatorilor. Descrisă în politica de confidențialitate pentru site-uri. |
| DB-IP (db-ip.com) | Site-uri | Editorul bazei de date de țări DB-IP Lite (CC BY 4.0). O copie este integrată în serverele noastre, iar determinarea țării se efectuează acolo, în memorie; DB-IP nu primește date de la noi. |
| Google (Google Ireland Limited, Dublin, Irlanda; Google LLC, SUA) | Numai site-ul nostru propriu, consentl.com | Google Analytics 4 rulează numai pe consentl.com și numai după ce vizitatorul acceptă categoria „Analiză”. Prelucrează datele vizitatorilor site-ului nostru în numele nostru, în calitate de persoană împuternicită de operator; nu primește niciodată date ale magazinelor, ale site-urilor sau ale vizitatorilor clienților noștri. Descrisă în informarea privind confidențialitatea pentru site-ul consentl.com. |
| GitHub, Inc., San Francisco, SUA | Dezvoltare | Găzduiește codul sursă și integrarea continuă (CI). Nu sunt plasate date cu caracter personal din mediul de producție în depozitul de cod, în tichete (issues), în cererile de integrare (pull requests), în jurnalele CI, în datele de test (test fixtures) sau în capturile de ecran. |
| Asistenți de programare bazați pe inteligență artificială (de exemplu Claude, de la Anthropic PBC, SUA) | Dezvoltare | Utilizați de personalul nostru numai pentru codul sursă și pentru datele de test; nu li se pun la dispoziție bazele de date de producție, jurnalele de producție sau datele cu caracter personal ale clienților. Dacă unui instrument de inteligență artificială i se acordă vreodată acces la date sau la jurnale de producție, furnizorul acestuia este adăugat în tabelul de mai sus, cu o notificare prealabilă de 30 de zile. |
Mecanismul de notificare a modificărilor
- Notificarea prealabilă. Cu cel puțin 30 de zile înainte ca un nou subcontractant ulterior să
înceapă să prelucreze date cu caracter personal ale clienților (sau ca un subcontractant ulterior
existent să fie utilizat într-un nou scop sau într-un nou loc), noi:
- adăugăm în istoricul modificărilor de mai jos o intrare cu data planificată a intrării în vigoare;
- trimitem un e-mail la Adresa pentru notificări a fiecărui client: pentru Shopify, la adresa de contact pentru protecția datelor stabilită de comerciant în aplicație sau, în lipsa acesteia, la adresa de e-mail a proprietarului magazinului; pentru site-uri, la adresa pentru notificări stabilită pe pagina Cont sau, dacă nu a fost confirmată nicio astfel de adresă, proprietarilor și administratorilor contului. Subiect: „Consentl: planned sub-processor change” („Consentl: modificare planificată a subcontractanților ulteriori”).
- Obiecția. Clientul poate formula o obiecție în scris, la [email protected], în termenul de preaviz, pe motive rezonabile legate de protecția datelor. Răspundem în termen de 14 zile și încercăm să soluționăm obiecția (de exemplu, prin neutilizarea subcontractantului ulterior pentru clientul respectiv). Dacă obiecția nu este soluționată în termen de 30 de zile, clientul poate denunța contractul înainte ca modificarea să i se aplice; sumele plătite în avans pentru perioada neutilizată se rambursează (clauzele 6.3 și 6.4 din DPA: prin Shopify, sub formă de rambursare sau de credit în aplicație, ori prin Stripe).
- Înlocuirea de urgență. Dacă un subcontractant ulterior trebuie înlocuit de urgență (incident de securitate, insolvență, încetarea contractului de către subcontractantul ulterior), putem efectua modificarea cu un preaviz mai scurt și îi informăm pe clienți cât mai curând posibil. Dreptul de a formula obiecții se aplică în continuare, iar rambursarea se calculează de la data modificării.
- Alte adrese. Clienții care doresc să primească notificările la o altă adresă ne pot comunica acest lucru la [email protected].
Istoricul modificărilor
| Data | Modificarea | Notificare trimisă | Data intrării în vigoare |
|---|---|---|---|
| 2026-10-20 | Lista inițială (DigitalOcean, Cloudflare prin DigitalOcean, Brevo). | — (înainte de lansare) | la lansare |
| 2026-10-21 | Versiunea 2: lista acoperă și Consentl pentru site-uri; intrarea Cloudflare a fost corectată (rolul, gazdele, fără determinarea țării); denumirea entității Brevo a fost actualizată; Proton AG a fost adăugată pentru căsuțele poștale consentl.com; Stripe, Google, platformele pentru site-uri și asistenții de programare bazați pe inteligență artificială au fost incluși printre entitățile care nu sunt subcontractanți ulteriori. | — (înainte de lansare) | la lansare; Proton, de la data la care căsuțele sale poștale devin active |
| 2026-10-22 | Intrarea Proton AG a fost extinsă: găzduiește ambele adrese publice, [email protected] și [email protected], inclusiv corespondența privind asistența și cererile pe care clienții ni le transmit. Nu este utilizat niciun alt furnizor de căsuțe poștale. | — (înainte de lansare) | 2026-10-22 (căsuțe poștale active) |
| 2026-10-22 | Revizuirea dinaintea publicării: intrarea Cloudflare a fost actualizată (protecția împotriva roboților și cookie-ul __cf_bm, gazda consentl.com; determinarea țării se efectuează pe serverele noastre proprii, cu baza de date DB-IP Lite); DB-IP a fost inclusă printre entitățile care nu sunt subcontractanți ulteriori; Stripe în modul de producție (live), entitatea contractantă fiind Stripe Payments Europe, Limited; destinatarii notificărilor sunt stabiliți conform setărilor privind adresa pentru notificări din ambele servicii. |
— (înainte de lansare) | la lansare |
| 2026-10-23 | Versiunea 3, prima versiune publicată: lista de mai sus, cu confirmările proprietarului (asistenții de programare bazați pe inteligență artificială nu primesc niciodată date sau jurnale de producție; Brevo, cu urmărirea anonimizată a deschiderilor și a clicurilor). Niciun subcontractant ulterior nou. | — (prima publicare) | 2026-10-23 |
Sursa: docs/legal/ro/SUBPROCESSORS.md în depozitul Consentl.