Politika e Privatësisë dhe Mbrojtjes së të Dhënave Personale

Data e hyrjes në fuqi: 27 maj 2026

1. Kush jemi dhe si na kontaktoni

Kontrolluesi i të dhënave personale:

Super Mart Albania SHPK NUIS: M21525018U Adresa: Tiranë, Farkë, Rruga Fushave Email i përgjithshëm: [email protected] Email për çështje të mbrojtjes së të dhënave: [email protected] Telefon: +355 4 453 5115 Faqja: www.supermart.al

Në vijim referuar si "Super Mart", "ne" ose "jonë".

Për të gjitha kërkesat në lidhje me të dhënat tuaja personale, kontaktoni: [email protected].

2. Kuadri ligjor

Kjo politikë është hartuar në përputhje me Ligjin Nr. 124/2024 "Për mbrojtjen e të dhënave personale" të Republikës së Shqipërisë, i cili ka hyrë në fuqi më 31 janar 2025 dhe është plotësisht i harmonizuar me Rregulloren (BE) 2016/679 (GDPR).

Autoriteti mbikëqyrës është Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale (IDP):

• Adresa: Rruga "Abdi Toptani", Nd. 5, Tiranë
• Tel: +355 4 22 37 200
• Web: www.idp.al

Kjo politikë mbulon përpunimin e të dhënave të klientëve, vizitorëve dhe shitësve. Për të dhënat e punonjësve dhe kandidatëve për punë, kemi një njoftim të veçantë privatësie që mund ta merrni duke shkruar në [email protected].

3. Çfarë të dhënash personale përpunojmë dhe pse

Për çdo aktivitet përpunimi, ne identifikojmë bazën ligjore përkatëse sipas nenit 7 të Ligjit Nr. 124/2024 dhe mbledhim vetëm të dhënat e nevojshme.

3.1. Realizimi i porosive

Të dhënat: Emër, mbiemër, email, adresë faturimi, adresë dorëzimi, numër telefoni, detaje pagese (përmes ofruesve të pagesës — ne nuk ruajmë numrat e plotë të kartave), preferenca për dorëzim, shënime nga klienti.

Qëllimi: Pranimi dhe përpunimi i porosisë, faturimi, dorëzimi, shërbimi pas shitjes, garancia, kthimet.

Baza ligjore: Përmbushja e kontratës (Neni 7(1)(b)) dhe detyrimi ligjor për të mbajtur dokumentet fiskale (Neni 7(1)(c)).

Periudha e ruajtjes: 10 vjet nga data e faturës (detyrim fiskal sipas legjislacionit shqiptar).

3.2. Llogaria e regjistruar

Të dhënat: Emër, mbiemër, email, fjalëkalim (i koduar — i pa-rikuperueshëm), numër telefoni, adresa të ruajtura, gjuha e preferuar, preferencat e marketingut, evidenca e pëlqimit (kohëshenja, IP, versioni), opsionalisht data e lindjes dhe gjinia.

Qëllimi: Identifikimi, akses në historikun e porosive, listat e dëshirave, krahasimet, menaxhimi i preferencave, ushtrimi i të drejtave tuaja.

Baza ligjore: Përmbushja e kontratës (Neni 7(1)(b)).

Periudha e ruajtjes: Sa kohë llogaria është aktive plus 5 vjet pas mosaktivitetit, pas së cilës llogaria fshihet ose anonimizohet.

3.3. Komunikime marketingu (newsletter, oferta)

Të dhënat: Emër (opsional), email, numër telefoni (nëse jepet), burimi i abonimit, kohëshenja e pëlqimit, statistika ndërveprimi me emailet (hapje, klikime).

Qëllimi: Dërgimi i emaileve dhe SMS-ve promovuese, lajmërime për oferta dhe produkte të reja.

Baza ligjore: Pëlqimi i shprehur (Neni 7(1)(a)). Mund ta tërhiqni në çdo kohë pa pasoja për shërbimet e tjera duke klikuar linkun "çabonohu" në çdo email ose duke shkruar në [email protected].

Përpunuesit kryesorë: Omnisend (Lituani, BE), Customer.io (SHBA), Mailjet/Sinch (Francë, BE).

Periudha e ruajtjes: Deri në tërheqjen e pëlqimit ose 5 vjet pa ndërveprim (cila vjen më parë).

3.4. Pagesat me këste (IUTE)

Të dhënat: Emër, mbiemër, kontakt, numër ID kur kërkohet nga IUTE, shuma e porosisë, rezultati i aplikimit.

Qëllimi: Procesimi i aplikimit për financim me këste përmes partnerit tonë IUTE.

Baza ligjore: Përmbushja e kontratës (Neni 7(1)(b)) dhe pëlqimi i shprehur për ndarjen e të dhënave me IUTE Credit Albania SHA (kontrollues i pavarur).

Periudha e ruajtjes: Gjurma e aplikimit nga ana jonë ruhet 10 vjet sipas detyrimeve fiskale. Përpunimi nga IUTE rregullohet nga politika e tyre e privatësisë.

3.5. Pagesat me kartë

Të dhënat: Emër, email, vlerë porosie, referencë transaksioni, status pagese. Numri i plotë i kartës (PAN) dhe CVV nuk ruhen nga Super Mart.

Qëllimi: Procesimi i pagesës dhe njoftimi i sistemit për të vazhduar porosinë.

Baza ligjore: Përmbushja e kontratës (Neni 7(1)(b)).

Marrësit: BKT dhe Paysera si kontrollues të pavarur. Pagesa procesohet drejtpërdrejt në portalin e sigurt të ofruesit.

Periudha e ruajtjes: 10 vjet (detyrim fiskal).

3.6. Shërbimi ndaj klientit përmes chat-it

Ne ofrojmë shërbim ndaj klientit përmes disa kanaleve të chat-it: chat-i në faqe (Crisp), Messenger, WhatsApp, Instagram DM, dhe Facebook DM. Komunikimi me ju mund të bëhet edhe pa pasur nevojë të vizitoni faqen tonë.

Për porositë e bëra përmes chat-it, mesazhet transaksionale (konfirmim porosie, status pagese, gjurmim dorëzimi) mund t'ju dërgohen përsëri përmes të njëjtit kanal Crisp.

Të dhënat: Emër ose pseudonim, kontakt (email/telefon/profil rrjeti social), përmbajtja e bisedës, referenca porosie, përmbajtja transaksionale (numra konfirmimi, status dorëzimi, link gjurmimi).

Qëllimi: T'i përgjigjemi pyetjeve, ankesave, kërkesave për garanci, kthime, ndihmë teknike, dhe (kur është rasti) t'ju dërgojmë mesazhet transaksionale të porosisë në kanalin që keni përdorur.

Baza ligjore: Përmbushja e kontratës (Neni 7(1)(b)) ose interesi legjitim për t'ju shërbyer kur nuk ka kontratë aktive (Neni 7(1)(dh)).

Përpunuesit dhe rrjedhja e të dhënave: Crisp IM SAS (Francë, BE) si platformë e chat-it; Meta Platforms Ireland Ltd. (BE / SHBA) kur përdoret WhatsApp, Messenger, Instagram DM ose Facebook DM. Një njoftim transparence shfaqet automatikisht në fillim të çdo bisede të re.

Periudha e ruajtjes: Bisedat ruhen 5 vjet nga mbyllja.

3.7. Shërbimi ndaj klientit përmes telefonit

Të dhënat: Numri telefonik thirrës, metadata e telefonatës (koha, kohëzgjatja), regjistrime zanore (kur regjistrimi është i aktivizuar dhe ju paralajmëroheni në fillim të telefonatës), shënime të marra gjatë telefonatës.

Qëllimi: Pranimi dhe drejtimi i telefonatave të shërbimit ndaj klientit; sigurimi i cilësisë së shërbimit.

Baza ligjore: Përmbushja e kontratës (Neni 7(1)(b)) dhe interes legjitim për sigurimin e cilësisë (Neni 7(1)(dh)).

Përpunuesi: 3CX (sistem telefonik, BE).

Periudha e ruajtjes: Regjistrimet zanore (kur janë aktivizuar): maksimumi 12 muaj. Metadata e telefonatës: 12 muaj.

3.8. Analiza e cilësisë së bisedave për përmirësim të shërbimit (Luna)

Pas mbylljes së një bisede në Crisp (qoftë në faqe, qoftë në Messenger, WhatsApp, Instagram apo Facebook), ne përdorim një mjet të automatizuar të bazuar në inteligjencë artificiale ("Luna") për të analizuar transkriptin e bisedës. Analiza mat qëllimin e klientit, rezultatin e shitjes, tonin e bisedës dhe pyetjet pa përgjigje, dhe shërben për të përmirësuar shërbimin tonë.

Të dhënat e dërguara: Transkripti i bisedës dërgohet te Gemini në kohë reale për analizë dhe nuk ruhet nga Luna apo në magazinën tonë të të dhënave. Vetëm rezultatet e klasifikimit të anonimizuara (qëllimi, rezultati, toni, etj.) ruhen.

Përpunuesi: Google LLC — modeli Gemini, me të dhëna të përpunuara në infrastrukturën e Google Cloud (SHBA / BE). Sipas kushteve të Gemini për përdorim biznesi, përmbajtja juaj nuk përdoret për trajnim të modelit.

Baza ligjore: Interes legjitim për përmirësimin e cilësisë së shërbimit (Neni 7(1)(dh)). Kemi vlerësuar se ndikimi në privatësinë tuaj është i kufizuar (rezultatet e analizës nuk përdoren për vendime që ju ndikojnë juve personalisht; vetëm rezultatet e anonimizuara ruhen) dhe ju keni të drejtën të kundërshtoni në çdo kohë.

Si të kundërshtoni: Shkruani në [email protected] me kërkesën "Nuk dua që bisedat e mia të analizohen". Pas kërkesës, bisedat tuaja do të përjashtohen nga ky proces.

Periudha e ruajtjes: Rezultatet e anonimizuara: 5 vjet. Transkripti origjinal: sipas seksionit 3.6.

3.9. Korrespondencë me ekipin tonë

Kur na shkruani përmes emaili ose ndani dokumente me ne, korrespondenca dhe dokumentet ruhen në sistemin tonë të Microsoft Office 365.

Të dhënat: Përmbajtja e emailit, bashkëngjitjet, dokumentet e ndara, identifikuesit e komunikimit.

Qëllimi: Komunikimi me ju, ofrimi i shërbimit, mbajtja e dokumentacionit operacional.

Baza ligjore: Përmbushja e kontratës (Neni 7(1)(b)) dhe interes legjitim për të menaxhuar operacionet tona (Neni 7(1)(dh)).

Përpunuesi: Microsoft Corp. (Office 365, SHBA).

Periudha e ruajtjes: Sipas politikës së ruajtjes së Office 365 (deri në 7 vjet për postëlektronikun, sipas natyrës së dokumentit për dosjet e ndara), me minimizim aty ku është e mundur.

3.10. Vizita në faqe — cookies dhe analitika

Të dhënat teknike (gjithmonë të mbledhura për funksionim bazë të faqes): Adresa IP, lloji i shfletuesit, sistemi operativ, gjuha, faqe të vizituara, kohëzgjatje e sesionit, identifikues sesioni.

Të dhënat analitike, marketingu dhe personalizimi (vetëm me pëlqimin tuaj përmes bannerit të cookies-ve):

• Google Analytics 4 dhe Google Tag Manager — statistika anonime mbi përdorimin (adresa IP nuk ruhet nga GA4; përdoret vetëm për gjeolokacion të përafërt dhe hidhet)
• Microsoft Clarity — regjistrim sesioni (formularët ndjeshëm maskohen automatikisht)
• Firebase (Google) — njoftime push në aplikacionin celular kur është i disponueshëm
• Pixel-e marketingu nga Meta (Facebook, Instagram), Google Ads / DoubleClick, dhe Microsoft Bing Ads
• Cookie-Script — për menaxhimin e pëlqimit tuaj për cookies-t

Baza ligjore:

• Cookies të domosdoshme: Interes legjitim (Neni 7(1)(dh))
• Cookies analitike, marketingu, personalizimi: Pëlqimi i shprehur (Neni 7(1)(a))

Si kontrolloni pëlqimin: Bannerin e cookies-ve në hyrjen e parë në faqe, dhe në çdo kohë në linkun "Preferencat e cookies-ve" në fund të faqes.

Detajet e plota për çdo cookie të përdorur janë në Politikën e Cookies-ve.

3.11. Njoftime push

Të dhënat: Token-i push, identifikues bazë i pajisjes/shfletuesit, kohë regjistrimi, lidhje me ID-në e klientit kur është i disponueshëm.

Qëllimi: Dërgimi i njoftimeve transaksionale (statuse porosie) dhe — me pëlqimin tuaj të veçantë — njoftime promovuese.

Baza ligjore: Pëlqimi i shprehur (Neni 7(1)(a)) për njoftimet promovuese; përmbushja e kontratës (Neni 7(1)(b)) për njoftimet transaksionale.

Përpunuesi: Firebase Cloud Messaging — Google LLC (SHBA).

Periudha e ruajtjes: Deri në çabonim.

3.12. Vlerësime dhe komente

Pas blerjes mund t'ju kërkojmë të vlerësoni produktin. Pjesëmarrja është vullnetare. Emri ose pseudonimi juaj dhe vlerësimi mund të publikohen në faqe.

Baza ligjore: Pëlqimi i shprehur (Neni 7(1)(a)).

Periudha e ruajtjes: Sa kohë vlerësimi mbetet i publikuar plus 5 vjet, ose deri sa të kërkoni fshirjen.

3.13. Konkurse dhe promocione

Të dhënat e mbledhura për konkurse përdoren vetëm për administrimin e tyre dhe shpalljen e fituesve. Fituesit shpallen vetëm pas pëlqimit të tyre të shprehur.

Baza ligjore: Pëlqimi (Neni 7(1)(a)) dhe përmbushja e kushteve të konkursit.

Periudha e ruajtjes: 5 vjet nga përfundimi i konkursit.

3.14. Regjistrimi si shitës (marketplace)

Për bizneset që aplikojnë të bëhen shitës në platformën tonë.

Të dhënat: Emër i kontaktit përgjegjës, emër kompanie, NUIS / numër TVSH-je, adresë e regjistruar, kontakt, të dhëna bankare për pagesat e komisioneve, dhe informacion mbi produktet që ofrohen.

Qëllimi: Krijimi i llogarisë së shitësit, përpunimi i porosive të klientëve, llogaritja dhe pagesa e komisioneve, përmbushja e detyrimeve fiskale dhe kontabël.

Baza ligjore: Përmbushja e kontratës së bashkëpunimit (Neni 7(1)(b)), detyrime ligjore fiskale (Neni 7(1)(c)), dhe interes legjitim për administrimin e platformës (Neni 7(1)(dh)).

Përpunues teknik: CIFRO (aggregator i katalogut të produkteve të shitësit; përpunim katalogu, jo të dhëna konsumatori).

Periudha e ruajtjes: Sa kohë llogaria e shitësit është aktive plus 10 vjet pas mbylljes, për detyrimet fiskale dhe kontabël.

3.15. Fakturimi fiskal

Të dhënat: Emër, adresë, ID fiskale kur është e zbatueshme, rreshtat e faturës, shumat, TVSH, NIVF.

Qëllimi: Gjenerimi i faturave fiskale përmes Odoo dhe transmetimi te endpoint-i shtetëror i fiskalizimit shqiptar; arkivimi për periudhën e kërkuar nga ligji fiskal.

Baza ligjore: Detyrim ligjor (Neni 7(1)(c)).

Marrësi: Fiskalizimi i Shqipërisë (endpoint shtetëror).

Periudha e ruajtjes: 10 vjet (ligji fiskal).

3.16. Analitika e brendshme dhe BI

Të dhënat: Të dhëna porosish, metadata bisedash, identifikues agjentësh, metrika përdorimi. Identifikuesit e drejtpërdrejtë minimizohen në pamjet e BI-së.

Qëllimi: Agregimi i të dhënave për panele të brendshme BI (shitje, operacione, KPI të shërbimit ndaj klientit).

Baza ligjore: Interes legjitim (Neni 7(1)(dh)).

Përpunuesi: Google LLC (Google Sheets / Google Workspace, SHBA).

Periudha e ruajtjes: Të dhënat e porosive dhe bisedave: 5 vjet; KPI-të e agreguara: pa afat (rishikohen çdo 5 vjet).

3.17. CCTV në ambientet tona

Ne operojmë kamera CCTV, sensorë lëvizjeje dhe sensorë zjarri në zyrën tonë në Tiranë, për sigurinë fizike të ambientit, stafit dhe mallrave. Vizitorët në ambient njoftohen me shenja të dukshme.

Të dhënat: Pamje CCTV (foto/video), evenimente nga sensorët, kohëshenja.

Qëllimi: Sigurimi fizik i ambienteve.

Baza ligjore: Interes legjitim (Neni 7(1)(dh)).

Përpunuesi: Rogat Security (ofrues i shërbimit të sigurisë; menaxhon kamerat dhe sensorët).

Periudha e ruajtjes: Tipikisht 14 ditë për pamjet CCTV (përveç kur është hapur një hetim).

Nëse keni qenë në ambientin tonë dhe doni të ushtroni të drejtat tuaja për pamjet CCTV ku jeni regjistruar, shkruani në [email protected] me datën dhe kohën e përafërt të vizitës.

4. Përpunimi i automatizuar dhe profilimi

Ne nuk marrim vendime që kanë efekte ligjore ose ndikim të rëndësishëm ndaj jush bazuar vetëm në përpunim të automatizuar (Neni 20 i Ligjit Nr. 124/2024).

Përdorim një formë të lehtë profilimi për:

• Rekomandimin e produkteve të ngjashme me historikun tuaj të blerjeve
• Segmentimin për fushata marketingu (vetëm nëse keni dhënë pëlqimin për marketing)
• Personalizimin e përmbajtjes në faqe

Keni të drejtë të kundërshtoni këtë profilim në çdo kohë duke shkruar në [email protected].

Analiza e transkripteve të chat-it (seksioni 3.8) nuk është "profilim" në kuptimin ligjor sepse rezultatet nuk përdoren për të marrë vendime për ju personalisht — ato shërbejnë vetëm për përmirësimin e përgjithshëm të shërbimit.

5. Me kë i ndajmë të dhënat tuaja

Ne nuk i shesim të dhënat tuaja. Të dhënat ndahen vetëm me partnerët e mëposhtëm, secili nën marrëveshje për mbrojtjen e të dhënave (DPA) ose, për kontrolluesit e pavarur, sipas marrëveshjeve të tyre përkatëse.

Përpunues që veprojnë në emrin tonë (Neni 26)

Gjermani (BE)
Globale (përfshirë SHBA)
Belgjikë (BE)
SHBA / BE
SHBA
Irlandë (BE) / SHBA
Francë (BE)
Lituani (BE)
SHBA
Francë (BE)
Lituani (BE)
BE
BE
Shqipëri

Marrës të pavarur (kontrollues të ndarë)

Emër, adresë, telefon, ndonjëherë email për dorëzim
Të dhëna pagese (procesohen drejtpërdrejt nga ofruesi në portalin e tyre të sigurt)
Aplikime për financim me këste, kur zgjidhet kjo metodë pagese
Të dhëna fature për përmbushjen e detyrimeve fiskale
Të dhëna kur kërkohet me ligj

Detyrime ligjore

Të dhënat mund t'u zbulohen autoriteteve publike kur kërkohet me ligj (gjykata, prokuroria, autoritete tatimore, Komisioneri IDP).

6. Transferimi i të dhënave jashtë Shqipërisë

Disa nga partnerët tanë të listuar më sipër ndodhen jashtë Shqipërisë. Ne sigurojmë mbrojtjen e të dhënave tuaja përmes:

• Për BE (Gjermani, Francë, Belgjikë, Irlandë, Lituani): Vendet anëtare të BE-së zbatojnë GDPR-në, që ofron nivel mbrojtjeje të barasvlershëm me Ligjin Nr. 124/2024.
• Për SHBA dhe vende të tjera (Google, Microsoft, Customer.io, Meta, Cloudflare): Marrëveshje Standarde Kontraktore (Standard Contractual Clauses — SCCs) sipas neneve 40-42 të Ligjit Nr. 124/2024, plus vlerësim rreziku transferimi.

Mund të kërkoni një kopje të masave mbrojtëse duke shkruar në [email protected].

7. Të drejtat tuaja sipas Ligjit Nr. 124/2024

Ju keni të drejtat e mëposhtme në lidhje me të dhënat tuaja personale:

Si t'i ushtroni: Dërgoni email në [email protected] me identifikimin tuaj (që mund të verifikohet pa rrezikuar privatësinë e personave të tjerë). Ne përgjigjemi pa pagesë brenda 30 ditëve (mund të zgjatet deri në 60 ditë në raste komplekse, me njoftim brenda 30 ditëve).

Ankesa te IDP: Nëse nuk jeni të kënaqur me përgjigjen tonë:

Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale Rruga "Abdi Toptani", Nd. 5, Tiranë Tel: +355 4 22 37 200 Email: [email protected] Web: www.idp.al

8. Siguria e të dhënave

Zbatojmë masa teknike dhe organizative të përshtatshme sipas nenit 28 të Ligjit Nr. 124/2024:

• Transmetim i koduar (HTTPS/TLS) për të gjitha komunikimet
• Fjalëkalime të ruajtura me hashim kriptografik (jo në tekst të thjeshtë)
• Kontrolle aksesi për punonjësit (parimi i nevojës për të ditur)
• Kopje rezervë (backup) të rregullta dhe të sigurta të të dhënave, në infrastrukturë të ndarë
• Monitorim sigurie dhe regjistra (logs)
• Procedurë për reagim ndaj incidenteve dhe njoftim brenda 72 orëve te Komisioneri IDP për shkelje që rrezikojnë të drejtat tuaja (Neni 29)
• Trajnim periodik për punonjësit
• Klauzola konfidencialiteti në kontratat me punonjësit dhe përpunuesit

Asnjë sistem nuk është 100% i pacenueshëm. Në rast incidenti që rrezikon të drejtat tuaja, do t'ju njoftojmë sa më shpejt të jetë e mundur.

9. Të miturit

Shërbimet tona u drejtohen personave mbi 18 vjeç. Pranojmë pëlqim për marketing nga persona 16 vjeç e lart sipas nenit 8(6) të Ligjit Nr. 124/2024. Për të mitur nën 16 vjeç, pëlqimi duhet të jepet ose autorizohet nga prindi ose kujdestari ligjor.

Nëse zbulojmë që kemi mbledhur pa dashje të dhëna nga një i mitur nën 16 vjeç pa pëlqim prindëror, do t'i fshijmë menjëherë.

10. Kontakti

Për çdo pyetje, kërkesë, ose ankesë në lidhje me të dhënat tuaja personale:

Email i preferuar: [email protected] Email i përgjithshëm: [email protected] Telefon: +355 4 453 5115 Posta: Super Mart Albania SHPK, Tiranë, Farkë, Rruga Fushave, Shqipëri

Mund të përditësojmë këtë politikë periodikisht. Versioni aktual është gjithmonë i publikuar në këtë faqe me datën e hyrjes në fuqi. Për ndryshime të rëndësishme, do t'ju njoftojmë me email ose me një banner në faqe.