Acord de prelucrare a datelor
Prezentul Acord de prelucrare a datelor („Acordul”) face parte din Termenii și condițiile încheiate între Client (operator) și Defline SRL (persoană împuternicită de operator). Se aplică atunci când prelucrăm date cu caracter personal în numele Clientului pentru furnizarea OpenPerimeter și pune în aplicare articolul 28 din RGPD (Regulamentul (UE) 2016/679). Intră în vigoare la acceptarea Termenilor de către Client, fără a fi necesară o semnătură separată. La cerere, punem la dispoziție un exemplar semnat.
1. Obiectul prelucrării
| Obiect și scop | Furnizarea Serviciului: descoperirea și testarea sistemelor verificate ale Clientului expuse la internet; stocarea și prezentarea rezultatelor; fluxuri de lucru pentru constatări, evaluarea decalajelor, incidente, furnizori și rapoarte; notificări; exportul dovezilor. |
|---|---|
| Durată | Durata existenței contului Clientului, plus cel mult 30 de zile pentru ștergere. |
| Natura prelucrării | Colectare prin scanare automată și introducere de către utilizatori, stocare, organizare, consultare, afișare, transmitere (alerte, chestionare), export și ștergere. |
| Persoane vizate | Utilizatorii Clientului și membrii invitați; angajați și alte persoane menționate în evidența incidentelor, în notele de evaluare sau în dovezile încărcate; persoane de contact ale furnizorilor și respondenți la chestionare; persoane ale căror date apar în înregistrările tehnice publice ale sistemelor Clientului (de exemplu nume în certificate sau în numele de gazdă). |
| Categorii de date | Nume, adrese de e-mail de serviciu și funcții; conținut text și documente introduse sau încărcate de Client; date tehnice precum nume de gazdă, adrese IP, certificate și bannere ale serviciilor; înregistrări din jurnalul de audit. |
| Categorii speciale | Nu sunt intenționate. Clientul nu ar trebui să încarce categorii speciale de date (art. 9 RGPD) sau date privind condamnări penale. |
2. Obligațiile persoanei împuternicite
Ne obligăm:
- să prelucrăm datele cu caracter personal numai pe baza instrucțiunilor documentate ale Clientului — acești Termeni, prezentul Acord și utilizarea de către Client a setărilor Serviciului — cu excepția cazului în care dreptul Uniunii sau al unui stat membru impune altfel, situație în care îl vom informa în prealabil pe Client, dacă legea permite; și să îl informăm pe Client dacă apreciem că o instrucțiune încalcă legislația privind protecția datelor;
- să ne asigurăm că persoanele autorizate să prelucreze datele s-au angajat să respecte confidențialitatea;
- să luăm măsurile tehnice și organizatorice de securitate cerute de art. 32 RGPD, descrise în Anexa 1;
- să recurgem la persoane împuternicite secundare numai conform secțiunii 3;
- să îl asistăm pe Client, ținând seama de natura prelucrării, în soluționarea cererilor persoanelor vizate — în mare parte direct din Serviciu — și să îi transmitem orice cerere primită direct de noi;
- să îl asistăm pe Client în îndeplinirea obligațiilor prevăzute la art. 32–36 RGPD (securitate, notificarea încălcărilor, evaluări ale impactului asupra protecției datelor, consultare prealabilă), ținând seama de informațiile de care dispunem;
- la încetarea Serviciului, să ștergem datele cu caracter personal — după ce Clientul a avut posibilitatea să le exporte — în cel mult 30 de zile, cu excepția cazului în care dreptul Uniunii sau al unui stat membru impune păstrarea lor;
- să punem la dispoziție informațiile necesare pentru a demonstra respectarea prezentului Acord și să permitem și să contribuim la audituri, conform secțiunii 5.
3. Persoane împuternicite secundare
Clientul ne acordă o autorizare generală de a recurge la persoane împuternicite secundare. Lista actuală este prezentată mai jos. Vom anunța orice adăugare sau înlocuire cu cel puțin 30 de zile înainte, prin e-mail sau în Serviciu; Clientul se poate opune din motive rezonabile legate de protecția datelor, iar dacă nu putem răspunde obiecției, Clientul poate înceta, fără penalități, Serviciul afectat. Impunem fiecărei persoane împuternicite secundare obligații de protecție a datelor echivalente cu cele din prezentul Acord și rămânem răspunzători pentru modul în care și le îndeplinește.
| Persoană împuternicită secundară | Prelucrare | Localizare și garanții |
|---|---|---|
| Amazon Web Services EMEA SARL | Găzduirea aplicației, a bazei de date și a fișierelor stocate (AWS Lightsail) | UE — Frankfurt, Germania (eu-central-1) |
| Cloudflare, Inc. | DNS, terminarea TLS, livrarea conținutului și protecția DDoS pentru site | Rețea globală; Clauze contractuale standard ale UE și Cadrul UE–SUA privind confidențialitatea datelor |
| SMTP2GO | Livrarea e-mailurilor de alertă, invitație și notificare | Trimise prin regiunea UE (mail-eu.smtp2go.com); furnizor cu sediul în Noua Zeelandă, țară care beneficiază de o decizie de adecvare a UE |
Sistemele pe care Clientul le conectează (de exemplu Microsoft Entra ID) sunt furnizorii proprii ai Clientului, nu persoane împuternicite secundare ale noastre; le accesăm doar cu datele de acces și permisiunile acordate de Client.
4. Încălcarea securității datelor cu caracter personal
Îl vom notifica pe Client fără întârzieri nejustificate și, în orice caz, în cel mult 48 de ore de la momentul în care luăm cunoștință de o încălcare a securității datelor cu caracter personal care afectează datele Clientului. Notificarea va descrie, în măsura în care sunt cunoscute, natura încălcării, categoriile și numărul aproximativ de persoane vizate și de înregistrări afectate, consecințele probabile și măsurile luate sau propuse. Vom furniza informații suplimentare pe măsură ce devin disponibile.
5. Audituri
La cerere, punem la dispoziție informațiile rezonabil necesare pentru a demonstra conformitatea, inclusiv o descriere a măsurilor noastre de securitate și exporturile de audit și de dovezi ale Serviciului. Dacă acestea nu sunt suficiente, Clientul (sau un auditor independent obligat la confidențialitate) poate audita conformitatea noastră o dată pe an, cu o notificare prealabilă de cel puțin 30 de zile, în timpul programului de lucru și fără a perturba alți clienți. Fiecare parte își suportă propriile costuri, cu excepția cazului în care auditul relevă o încălcare esențială din partea noastră.
6. Transferuri internaționale
Datele Clientului sunt găzduite în UE. Nu le vom transfera într-o țară din afara SEE decât dacă transferul este acoperit de o decizie de adecvare sau de Clauzele contractuale standard ale Comisiei Europene (Decizia (UE) 2021/914), cu măsuri suplimentare acolo unde este necesar.
7. Răspundere și prioritate
Răspunderea în temeiul prezentului Acord este supusă limitărilor din Termeni, cu excepția situațiilor în care RGPD nu le permite. În caz de neconcordanță între prezentul Acord și Termeni cu privire la prelucrarea datelor cu caracter personal, prevalează prezentul Acord.
Anexa 1 — Măsuri tehnice și organizatorice
- Criptare: TLS pentru tot traficul către Serviciu; secretele pentru MFA și integrări sunt criptate la stocare; parolele sunt stocate ca hash scrypt cu sare.
- Controlul accesului: datele fiecărui Client sunt izolate pe organizație; acces pe bază de roluri (proprietar, membru); autentificare multifactor TOTP opțională, cu coduri de recuperare; accesul administrativ la producție este limitat la persoane nominalizate, prin SSH cu chei; implementările se fac printr-o cheie restricționată, cu un singur scop.
- Integritate și responsabilitate: jurnal de audit al acțiunilor utilizatorilor, înlănțuit criptografic pe fiecare organizație; dovezile încărcate sunt stocate sub nume aleatorii, cu amprente SHA-256, și sunt servite doar ca descărcări.
- Disponibilitate și reziliență: găzduire într-un centru de date din UE; protecție DDoS prin furnizorul de livrare a conținutului; implementare automată cu teste înainte de fiecare lansare.
- Securizarea rețelei: sunt expuse doar HTTPS și SSH; gazdele necunoscute nu primesc conținut; afișarea versiunii serverului este dezactivată.
- Minimizarea datelor: ratingul de securitate al furnizorilor folosește doar informații publice; integrările stochează rezultate agregate (de exemplu numărul de utilizatori cu MFA), nu înregistrări ale utilizatorilor; jurnalele serverului sunt păstrate 30 de zile.
- Siguranța testării: testare activă doar a sistemelor al căror control a fost dovedit de Client; infrastructura partajată și serviciile terților sunt excluse de la scanarea porturilor.
Operator: Defline SRL, Sighisoarei 16, Cluj-Napoca, Romania, nr. de ordine în Registrul Comerțului J12/5570/21/12/2023, CUI RO49325536. Contact: [email protected]. În vigoare de la 2026-10-17.