Acord de prelucrare a datelor DPA
Actul juridic încheiat între operator și persoana împuternicită, care stabilește ce date se prelucrează, în ce scop, pe ce durată și cu ce măsuri de securitate. Este cadrul pe baza căruia un furnizor poate atinge datele clienților tăi.
Când o agenție administrează site-ul, clientul rămâne operator pentru datele clienților lui, iar agenția acționează ca persoană împuternicită, pe baza unui asemenea act. Fără el, accesul unui terț la baza de date a magazinului nu are un cadru stabilit, iar răspunderile nu sunt împărțite explicit între cele două părți.
Cum se verifică: fă lista furnizorilor care ating date ale clienților — găzduire, mentenanță, e-mail marketing, curierat, procesator de plăți — și confirmă pentru fiecare că există un acord semnat și că știi ce subcontractanți folosesc mai departe. Mai multe despre roluri, răspunderi și documente la GDPR.
ANPC
Autoritatea Națională pentru Protecția Consumatorilor, instituția care controlează respectarea drepturilor consumatorilor în România, inclusiv în comerțul online. Verifică informarea corectă asupra prețurilor și a condițiilor de vânzare, respectarea dreptului de retragere și modul de soluționare a reclamațiilor.
Pentru un magazin online, contactul cu autoritatea vine de obicei printr-o reclamație a unui client nemulțumit de un retur sau de un termen de livrare. Ce contează atunci este ce scrie pe site și ce poți dovedi: informarea afișată înainte de comandă, condițiile acceptate de client și corespondența purtată cu el.
Cum se verifică: parcurge site-ul ca un vizitator și caută datele complete de identificare ale firmei, informarea despre dreptul de retragere, prețul total afișat înainte de confirmarea comenzii și linkurile către soluționarea alternativă și platforma europeană. Lipsa lor este cel mai simplu lucru de constatat la un control.
ANSPDCP autoritatea de supraveghere
Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, instituția care supraveghează aplicarea regulilor de protecție a datelor în România. Primește plângerile persoanelor, efectuează investigații și este autoritatea către care se comunică incidentele de securitate.
Pentru o firmă, contactul apare de regulă în două situații: plângerea unei persoane nemulțumite de modul în care i-au fost tratate datele sau un incident de securitate propriu. În ambele, ce contează este ce poți dovedi că aveai pregătit înainte, nu ce ai scris după ce a apărut problema.
Cum se verifică: stabilește din timp cine anunță un incident, de unde ia informațiile și unde sunt documentele — evidența prelucrărilor, acordurile cu furnizorii, politicile publicate. O procedură scrisă și necunoscută de nimeni din firmă nu ajută în ziua în care se pierde o bază de date.
Consent Mode
Mecanismul Google prin care semnalele de consimțământ ale vizitatorului ajustează comportamentul etichetelor de măsurare și publicitate de pe site. În loc să fie pur și simplu blocate, etichetele își adaptează funcționarea în funcție de acordul acordat sau refuzat.
Pentru un magazin care investește în campanii, alternativa — blocarea totală a etichetelor la refuz — lasă rapoartele fără o parte din conversii și scade calitatea optimizării campaniilor. Cu semnalele transmise corect, măsurarea rămâne posibilă în forma permisă de alegerea vizitatorului, fără să colectezi ce nu ai voie să colectezi.
Cum se verifică: bannerul de cookies trebuie să transmită efectiv semnalele, nu doar să afișeze butoane. Testează cu instrumentul de previzualizare al managerului de etichete: acceptă, apoi refuză, și urmărește ce stare ajunge la etichete în fiecare caz. Dacă starea nu se schimbă, integrarea nu este făcută.
Consimțământ
Acordul liber, specific, informat și lipsit de ambiguitate prin care o persoană acceptă prelucrarea datelor sale, exprimat printr-o acțiune clară. Casetele bifate în prealabil sau simpla continuare a navigării nu constituie consimțământ. Trebuie să poată fi retras la fel de ușor cum a fost dat și să poată fi dovedit.
Pentru un site, asta înseamnă că bannerul de cookies nu este un anunț, ci un mecanism care trebuie să funcționeze în ambele sensuri. Dacă statisticile și pixelii de publicitate pornesc înainte de alegerea vizitatorului, acordul obținut ulterior nu acoperă ce s-a colectat deja, iar refuzul rămâne fără efect practic.
Cum se verifică: intră pe site într-o fereastră nouă, refuză tot și urmărește în instrumentele pentru dezvoltatori dacă mai pleacă cereri către servicii de analiză sau publicitate. Verifică apoi că există un mod vizibil de a te răzgândi ulterior și că refuzul se reține la următoarea vizită.
Cookie
Fișier mic pe care un site îl salvează în browserul vizitatorului pentru a-l recunoaște la vizitele următoare. Cele strict necesare funcționării, precum coșul de cumpărături, nu cer acord, dar cele de analiză, marketing sau personalizare pot fi plasate doar după obținerea consimțământului.
Distincția decide ce poți măsura. Un magazin care pornește statisticile și remarketingul indiferent de alegerea vizitatorului lucrează cu date obținute fără temei; unul care blochează tot, inclusiv cookie-urile funcționale, își strică propriul coș. Clasificarea corectă a fiecărui cookie este partea care se sare cel mai des.
Cum se verifică: deschide lista de cookie-uri din browser după o vizită și compar-o cu ce declară politica ta. Diferențele apar de obicei din pluginuri instalate ulterior și din conținut încorporat, precum hărți sau videoclipuri. Ce declari trebuie să corespundă cu ce se întâmplă — vezi politica de cookies.
Date cu caracter personal
Orice informație care se referă la o persoană fizică identificată sau identificabilă: nume, adresă, e-mail, telefon, dar și adresa IP, identificatorii din cookies sau istoricul comenzilor. Un magazin online prelucrează astfel de date la fiecare comandă plasată.
Consecința practică este că aproape orice site depășește pragul de la care apar obligații: un formular de contact, un newsletter, un instrument de statistici. Firmele presupun frecvent că doar CNP-ul sau datele de card intră în categorie și descoperă târziu că e-mailurile din formulare cad sub aceleași reguli de informare și securitate.
Cum se verifică: fă inventarul locurilor prin care intră date pe site — formulare, comenzi, chat, comentarii, statistici, pixeli de publicitate — și notează pentru fiecare ce se colectează, unde ajunge și cine mai are acces. Lista aceea este punctul de plecare pentru orice document de conformare.
DPO responsabil cu protecția datelor
Responsabilul cu protecția datelor, persoana desemnată să supravegheze respectarea regulilor de protecție a datelor într-o organizație, să consilieze conducerea și să fie punct de contact atât pentru persoanele ale căror date sunt prelucrate, cât și pentru autoritatea de supraveghere.
Desemnarea este obligatorie doar în anumite situații prevăzute de regulament, nu pentru orice firmă cu site. Un magazin online obișnuit nu are automat această obligație, dar are nevoie de cineva care răspunde în practică de subiect: cine primește cererile persoanelor, cine ține evidența prelucrărilor și cine decide la un incident.
Greșeala frecventă merge în ambele direcții: firme care numesc un DPO ca formalitate, fără să îi dea acces la decizii, și firme care nu desemnează pe nimeni și nici nu stabilesc un responsabil intern. Publică o adresă de contact pentru cererile privind datele și asigură-te că cineva o citește efectiv.
Drept de retragere
Dreptul consumatorului de a renunța la un contract încheiat la distanță în termen de 14 zile, fără a fi nevoit să justifice decizia și fără penalități. Se aplică vânzărilor online, cu excepțiile prevăzute de lege, de exemplu produsele personalizate.
Magazinul trebuie să informeze clar despre acest drept și despre procedura de returnare, înainte de plasarea comenzii. Informarea lipsă sau ambiguă este printre cele mai simple neconformități de constatat, iar în practică generează și cele mai multe dispute: clientul crede una, magazinul susține alta, iar dovada scrisă lipsește.
Greșeala frecventă este condiționarea returului de criterii inventate: ambalaj original sigilat, etichetă intactă, retur doar în anumite zile. Astfel de condiții, adăugate peste ce prevede legea, nu îi sunt opozabile clientului. Scrie procedura simplu, publică-o vizibil și tratează retururile ca pe un cost normal al vânzării la distanță.
Dreptul la portabilitate
Dreptul unei persoane de a primi datele pe care le-a furnizat unui operator, într-un format structurat și utilizabil, și de a le transmite altui operator. Se aplică prelucrărilor bazate pe consimțământ sau pe executarea unui contract, efectuate prin mijloace automate.
Practic, un client îți poate cere datele lui într-un fișier pe care să îl poată folosi în altă parte. Pentru un magazin, cerințele sunt modeste, dar reale: să știi unde stau datele clientului și să le poți exporta fără să reconstruiești manual un istoric din trei sisteme diferite, sub presiunea unui termen.
Greșeala frecventă este confuzia cu dreptul de acces: portabilitatea privește datele furnizate de persoană, într-un format citibil automat, nu orice document din dosarul ei. Verifică din timp ce funcție de export are platforma ta și ce conține efectiv fișierul rezultat, înainte să primești prima cerere de acest fel.
Dreptul la ștergere
Dreptul unei persoane de a cere operatorului eliminarea datelor sale, atunci când nu mai există un motiv care să justifice păstrarea lor. Nu este un drept absolut: prelucrările impuse de alte obligații legale, cum sunt cele contabile, se mențin pe durata prevăzută.
Pentru un magazin, asta înseamnă că o cerere de ștergere nu golește tot istoricul: facturile emise rămân, pentru că păstrarea lor este cerută în altă parte. Ce dispare sunt datele fără justificare — contul, listele de marketing, profilul de comportament. Distincția trebuie explicată clientului, nu invocată vag ca motiv de refuz.
Cum se verifică: încearcă să răspunzi tu însuți la o cerere de ștergere și numără în câte locuri există datele aceleiași persoane — magazin, platformă de e-mail, copii de siguranță, fișiere locale, tabelul cuiva din vânzări. Numărul de locuri descoperite arată cât de realistă este procedura ta scrisă.
Factură storno
Factura prin care se anulează sau se corectează o factură emisă anterior, cu sume înscrise în roșu sau cu semnul minus. Se folosește la anularea unei comenzi, la retur sau la corectarea unei erori, păstrând legătura cu documentul inițial.
Într-un magazin online apare des, pentru că retururile în termenul legal de retragere și comenzile anulate după facturare sunt parte din activitatea normală. Fiecare storno urmează același drum ca factura originală: se emite din același program și se transmite în sistemul național de facturare electronică.
Greșeala frecventă este să corectezi o factură ștergând-o din program sau reemițând-o cu același număr. Documentul inițial a fost deja transmis și nu mai poate fi retras, deci corecția se face doar prin storno, cu un număr nou. Fluxul complet, inclusiv anulările și retururile, este descris în ghidul despre RO e-Factura.
GDPR
Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, aplicabil din 25 mai 2018 în toate statele membre. Impune un temei legal pentru fiecare prelucrare, informarea clară a persoanelor și respectarea drepturilor acestora.
Pentru o firmă cu site, obligațiile sunt concrete și verificabile: să știi ce date colectezi și de ce, să le păstrezi doar cât e nevoie, să informezi vizitatorii într-o politică reală și să poți răspunde cererii unei persoane. Un site care strânge formulare fără nimic din toate acestea prelucrează date fără temei.
Greșeala frecventă este să tratezi conformarea ca pe un document copiat și pus în subsol. Documentul descrie ce faci; dacă nu corespunde realității, nu ajută. Pornește invers: fă lista prelucrărilor reale, apoi scrie politica după ea. Această intrare are scop informativ și nu ține loc de consultanță juridică. Vezi GDPR.
Interes legitim
Unul dintre temeiurile pe care se poate întemeia o prelucrare de date, atunci când aceasta servește un interes real al operatorului și nu prevalează asupra drepturilor persoanei vizate. Se folosește în locul consimțământului doar acolo unde echilibrul dintre cele două a fost analizat în prealabil.
Pentru o firmă, tentația este să îl invoce ca temei universal, tocmai pentru că nu cere acordul nimănui. În practică, temeiul trebuie susținut de o analiză proprie, iar persoana vizată își poate exprima opoziția. Aplicat unor prelucrări pe care oamenii nu le-ar aștepta, argumentul se prăbușește la prima întrebare.
Greșeala frecventă este să pui interes legitim la marketing prin cookies și pixeli, unde regula cere consimțământ. Alege temeiul înainte de a porni prelucrarea, nu după, și notează în scris raționamentul. Dacă nu îl poți explica pe scurt unui client, probabil nu este temeiul potrivit.
Operator de date
Persoana sau entitatea care stabilește scopurile și mijloacele prelucrării datelor cu caracter personal. În cazul unui magazin online, operatorul este de regulă firma care vinde, iar furnizorii de găzduire, curierat sau e-mail marketing acționează ca persoane împuternicite, pe baza instrucțiunilor primite.
Rolul nu se poate muta printr-un contract. Chiar dacă site-ul este administrat de o agenție, răspunderea principală rămâne la firma care decide ce date se colectează și în ce scop. Agenția care administrează site-ul acționează ca persoană împuternicită, pe baza unui act juridic încheiat între cele două părți.
Greșeala frecventă este să presupui că furnizorul de servicii „se ocupă de GDPR”. Fă lista terților care ating datele clienților tăi — găzduire, curier, platformă de e-mail, procesator de plăți — și verifică pentru fiecare că există un acord de prelucrare semnat și că știi unde ajung datele.
Registru de evidență a prelucrărilor
Documentul intern în care o organizație își descrie prelucrările de date: ce categorii de date folosește, în ce scopuri, cui le transmite și cât timp le păstrează. Este instrumentul prin care operatorul arată că știe ce se întâmplă cu datele pe care le deține.
Pentru o firmă mică, valoarea lui reală nu este formală. Făcut o dată onest, scoate la iveală prelucrări uitate: un formular vechi care mai trimite e-mailuri, un export lăsat pe un laptop, un furnizor căruia i s-a dat acces temporar acum doi ani. Acolo apar de obicei riscurile adevărate.
Cum se verifică: reia registrul o dată pe an și confruntă-l cu realitatea site-ului și a instrumentelor folosite. Fiecare plugin nou, fiecare integrare și fiecare furnizor schimbat modifică lista. Un registru scris la înființare și nemaiatins de atunci descrie o firmă care nu mai există.
RO e-Factura
Sistemul național de facturare electronică prin care facturile se transmit în format structurat, prin platforma ANAF. Este obligatoriu în relația B2B din 2024 și pentru B2C din 2025, cu transmitere în SPV în termen de 5 zile lucrătoare de la emitere.
Nerespectarea se sancționează cu amenzi între 1.000 și 10.000 lei. Pentru un magazin online cu zeci de comenzi pe zi, termenul de 5 zile lucrătoare nu se poate respecta manual fără să devină o normă de lucru zilnică; de aceea transmiterea se automatizează din programul care emite factura.
Cum se verifică: ia câteva facturi emise săptămâna trecută și confirmă în SPV că au fost transmise și acceptate, nu doar generate local. Verifică separat ce se întâmplă cu comenzile anulate și cu facturile storno. Fluxul pentru magazine este detaliat în ghidul despre RO e-Factura.
RO e-Transport
Sistemul național de monitorizare a transporturilor rutiere de bunuri, în care transportul se declară în prealabil și primește un cod UIT, ce însoțește marfa și poate fi verificat pe traseu. Declararea se face în platforma ANAF, înainte de punerea în mișcare a mărfii.
Pentru un magazin online, subiectul apare mai ales la aprovizionare și la transporturile de volum, nu la coletele expediate prin curier. Confuzia dintre cele două situații duce fie la declarări inutile, fie la lipsa unei declarări necesare, iar diferența depinde de tipul mărfii, de valoare și de traseu.
Pentru situațiile concrete în care declararea este obligatorie și pentru termene, verificarea la ANAF sau la un consultant fiscal rămâne necesară — regulile s-au modificat de mai multe ori de la introducere. Stabilește intern cine urmărește subiectul și cere furnizorilor să confirme în scris cine declară transportul.
SAF-T D406
Standardul internațional de raportare prin care datele contabile și fiscale sunt transmise autorității într-un fișier electronic structurat, depus în România ca declarația D406. Pentru contribuabilii mici, obligația se aplică începând din 2025. Presupune ca evidența din programele folosite să conțină informațiile cerute de structura raportării.
Raportarea nu se face din documente scanate, ci din datele existente în programul de contabilitate și de gestiune. Dacă nomenclatoarele sunt incomplete sau conturile analitice sunt folosite inconsecvent, fișierul nu se poate genera corect, iar problema se descoperă abia la depunere, nu în momentul în care se face înregistrarea.
Cum se verifică: cere contabilului o generare de test înainte de primul termen și uită-te la erorile raportate. De obicei sunt aceleași câteva: date lipsă la parteneri, unități de măsură neconforme, conturi folosite greșit. Ce presupune pentru o firmă mică am detaliat în ghidul despre SAF-T și D406.
SAL soluționare alternativă a litigiilor
Soluționarea alternativă a litigiilor, procedura prin care un diferend între consumator și comerciant se rezolvă prin intermediul unei entități desemnate, fără proces în instanță. Este gândită ca o cale mai rapidă și mai ieftină decât justiția.
Comercianții online au obligația de a afișa pe site linkul către această procedură. Dincolo de obligație, un mecanism de rezolvare a diferendelor înainte de instanță este în interesul vânzătorului: costurile și timpul unui proces depășesc de regulă cu mult valoarea comenzii care a produs disputa.
Greșeala frecventă este să pui linkul într-o pagină pe care nu o găsește nimeni. Locul obișnuit este subsolul site-ului, alături de termeni și condiții și de politica de confidențialitate, vizibil din orice pagină a site-ului. Verifică periodic că linkul mai funcționează și că duce unde trebuie, pentru că adresele oficiale se mai schimbă în timp.
SOL soluționare online a litigiilor
Platforma europeană de soluționare online a litigiilor, pusă la dispoziție de Comisia Europeană pentru diferendele născute din contracte încheiate online între consumatori și comercianți din Uniunea Europeană. Permite depunerea unei reclamații și direcționarea ei către entitatea competentă.
Comercianții online au obligația de a afișa linkul către platformă. Pentru un magazin care vinde și în afara țării, este și un mecanism practic: un client dintr-un alt stat membru are astfel o cale de a-și expune problema, iar diferendul nu ajunge direct într-o instanță dintr-o altă jurisdicție.
Cum se verifică: linkurile către SAL și SOL trebuie să fie prezente, distincte și funcționale, nu ascunse într-un paragraf din termeni și condiții. Deschide-le de pe telefon, din subsolul site-ului, și confirmă că se încarcă. Un link mort este tratat, la un control, ca link lipsă.
SPV Spațiul Privat Virtual
Spațiul Privat Virtual, platforma online a ANAF prin care contribuabilii comunică electronic cu administrația fiscală: depun declarații, primesc acte administrative și transmit facturile din sistemul RO e-Factura. Accesul se face pe baza unei identificări acceptate de autoritate.
Pentru un magazin online, SPV nu mai este un instrument ocazional, ci locul prin care trec facturile în termenul de 5 zile lucrătoare de la emitere. Actele administrative comunicate acolo se consideră primite, deci un cont pe care nu îl deschide nimeni înseamnă termene ratate fără ca cineva din firmă să afle la timp.
Cum se verifică: stabilește cine din firmă intră în SPV și cât de des, apoi confirmă că are accesul valabil — mijloacele de identificare expiră. Verifică separat că facturile emise din magazin ajung efectiv acolo, nu doar în programul propriu. Pașii pentru magazine sunt în ghidul despre RO e-Factura.
Termeni și condiții
Documentul care stabilește regulile contractuale dintre magazinul online și clienți: modul de plasare a comenzii, prețuri, livrare, plată, garanții, retur și limitele de răspundere. Împreună cu politica de confidențialitate și cea de cookies, formează cadrul obligatoriu al unui site comercial.
Este documentul pe care îl deschizi când apare o dispută, deci valoarea lui se măsoară în cât de bine descrie afacerea reală. Termene de livrare pe care nu le poți ține, condiții de retur copiate de la un magazin cu alt tip de produse sau metode de plată inexistente se întorc împotriva ta.
Greșeala frecventă este documentul preluat de pe alt site, cu numele firmei schimbat. Rămân în el servicii pe care nu le oferi și obligații pe care nu le poți respecta. Citește-l ca și cum ai fi clientul nemulțumit și taie tot ce nu corespunde cu ce faci efectiv.