Angajat ce se foloseste de accesul la date personale

Buna ziua,
Va expun o situatie in care am fost implicata si va solicit parerea....

Suntem parinti ai unor copii si avem un grup pe whatsapp pentru a comunica problemele clasei, etc.
Copiii primesc recomandari pentru 2 culegeri - matematica si romana pe care sa le achizitionam. Ca orice parinte responsabil, fac comanda de una si alta pentru copil si alti 2 colegi. Fiecare incearca sa se descurce, pana apare pe grup un mesaj de la o mamica angajata a unui mare magazin online, care se ofera sa centralizeze ea datele si sa comande acolo produsele, cu o reducere de angajat de 10%. Luand in calcul ca e un parinte al clasei in al saselea an care inca nu cunoaste numele copiilor sau al parintilor, am banuit ca au target de vanzari sau ceva, si chestia asta o ajuta. In fine, nu era deloc treaba mea.
Oricum, eu am comandat culegerile de matematica in alta parte, mai ieftin chiar si decat reducerea doamnei. La romana am procedat la fel, comandand insa pentru aceiasi 3 parinti culegerile la magazinul la care dna este angajata (acolo aveau cel mai un pret). Mi-am asumat inclusiv plata unei taxe de transport sau ambalare de 5 lei, sa primesc coletul unde imi doresc, etc.

Dupa 3 zile, pe grupul de whatsapp apare un printscreen la un backend al comenzii mele, iar doamna ma intreaba:
"- Dna X, ati comandat separat 3 bucati, sau este vorba despre altcineva?
- Da, le-am luat separat.
- Pai de ce ati optat sa platiti 16.62 de lei / bucata vs 14 lei?" (pretul la care le comandase dansa)

Raspunsul meu a fost unul prompt, dar sincer inca sunt sub imperiul uimirii:
"Dna Y, 2 lei nu fac diferenta din punctul meu de vedere. In plus, mi se pare lipsa de respect sa va folositi de accesul la niste informatii confidentiale. Va mai dau niste nume sa verificati istoricul comenzilor pe (numele magazinului)? A fost optiunea proprie pentru a evita un sir interminabil de discutii cu cine a dat banii si cine a primit sau nu cartea. Va multumesc pentru intelegere."

Dupa care s-a lasat tacerea....

Eu ma intreb cat de legal este, in conditiile reglementarilor in vigoare, ca doamna sa se foloseasca de accesul la niste informatii (pe grup a fost pusa doar o fotografie cu acea comanda mea fara datele de contact gen adresa) pe care sa le expuna public. Cand i-am anuntat ca am comandat culegerile nu am spus ca nu le-am luat de la magazinul z. Iar fotografia ei a venit ca un fel de - "Te-am prins!" care chiar nu-si avea rostul.

Nu sunt paranoica, dar sau unii chiar se plictisesc la birou, sau pot sa ma astept ca doamna scaneaza comenzile persoanelor cunoscute (nu cred ca e persoana sa nu fi avut macar o comanda la acest magazin). Ii mai lipsesc cativa prieteni si eventual te "goleste" de lucrurile de valoare comandate in ultimul an la ei, cat tu te lafai la plaja in Thassos.

Oamenii astia nu au clauze in contractele semnate cu firma angajatoare?