Acord de prelucrare a datelor
Când protejezi un site cu AegiFlow, tu ești operatorul și noi suntem persoana împuternicită. Aici scrie ce avem voie să facem, cine mai e implicat și ce se întâmplă la final.
Document în lucru, în așteptarea revizuirii de către un avocat extern. Descrie cum funcționează cu adevărat platforma astăzi și e publicat ca să îl poți citi acum — dar tratează-l ca pe un document de lucru până când această notă dispare.
Acest acord face parte din Termenii și condițiile și se aplică ori de câte ori AegiFlow prelucrează date cu caracter personal în numele tău. E redactat ca să îndeplinească articolul 28 din Regulamentul (UE) 2016/679.
Rolurile
Tu ești operatorul. AegiFlow e persoana împuternicită. Prelucrăm date cu caracter personal doar pe baza instrucțiunilor tale documentate — care sunt, practic, configurația ta din platformă și acțiunile pe care le faci în ea. Dacă vreodată considerăm că o instrucțiune încalcă legislația privind protecția datelor, îți spunem în loc să o executăm.
Pentru datele propriilor noștri titulari de cont suntem operator; asta e acoperită de Nota de confidențialitate, nu de acest acord.
Obiect și durată
Prelucrăm date cu caracter personal cât timp ai un spațiu de lucru activ, plus perioadele de retenție de mai jos. Obiectul e operarea protecției web, a continuității și a recuperării pentru serviciile pe care le înscrii.
Ce se prelucrează
Categorii de persoane vizate: personalul tău care folosește platforma și — numai în forma grosieră descrisă mai jos — vizitatorii site-urilor pe care le protejezi.
Categorii de date cu caracter personal:
- Utilizatori ai platformei: adresă de e-mail, nume afișat, apartenența la organizație, rol, factori de autentificare și evidența acțiunilor pe care le fac.
- Vizitatori ai site-urilor protejate: țara de proveniență, la nivel de țară, dedusă din conexiune și stocată doar ca un contor într-un interval de timp.
Ce e exclus intenționat. Nu prelucrăm adresele IP ale vizitatorilor, parametrii din URL, corpul cererilor, anteturile, cookie-urile sau agentul de browser și nu stocăm URL-uri complete. Baza de date nu are nicăieri o coloană pentru un identificator de vizitator. Înregistrările de trafic sunt contoare pe un interval de timp, o rută normalizată și un cod de țară — o decizie de proiectare, nu o setare pe care trebuie să ai încredere că o păstrăm.
Categorii speciale. Nu căutăm și nu ne așteptăm la date din categoriile speciale prevăzute la art. 9. Nu le trimite prin formularul de contact.
Măsuri de securitate
Măsuri tehnice și organizatorice conform art. 32:
- Fiecare rând de date operaționale e limitat la o singură organizație prin securitate la nivel de rând impusă în baza de date, iar identitatea de execuție nu are drepturi de superutilizator sau de ocolire.
- Identitate găzduită de noi, cu passkey, TOTP și verificare suplimentară înaintea acțiunilor sensibile; sesiuni opace, pe server.
- Originile protejate pot rămâne complet private, accesibile doar prin TLS reciproc dinspre edge-ul AegiFlow; conexiunile platformei sunt doar de ieșire.
- Transport criptat peste tot, copii de siguranță criptate în afara sediului și simulări lunare de restaurare, înregistrate ca reușite sau eșuate.
- Versiuni imutabile cu sume de control, o cale de întoarcere repetată și un audit automat care oprește publicarea dacă o pagină publică afirmă o cifră fără sursă verificată.
- Ingestia e controlată la admitere pentru fiecare producător, cu cote zilnice persistente, ca un client să nu poată îneca telemetria altuia.
Persoane împuternicite subsecvente
Ne dai autorizarea generală pentru persoanele de mai jos. Publicăm completările acestei liste înainte să intre în vigoare, ca să te poți opune; dacă te opui din motive rezonabile de protecția datelor și nu putem rezolva situația, poți înceta serviciul afectat.
| Persoană împuternicită | Scop | Localizare |
|---|---|---|
| Cloudflare, Inc. | Intrare globală, DNS și terminare TLS pentru numele de gazdă înscrise | Edge global, rutare cu prioritate UE |
| Stripe Payments Europe, Ltd. | Procesarea plăților, doar pe planurile plătite | Irlanda (UE) |
Identitatea nu e persoană împuternicită subsecventă: AegiFlow își rulează propriul serviciu de identitate pe propria infrastructură, deci datele de acces nu ajung niciodată la un terț. Platforma în sine și toate înregistrările operaționale rulează pe infrastructură pe care o operăm în România (UE).
Transferuri internaționale
Platforma și înregistrările ei sunt în UE. Acolo unde rețeaua globală a unei persoane împuternicite prelucrează în mod necesar o conexiune în afara SEE, transferul se bazează pe Clauzele contractuale standard ale Comisiei Europene, împreună cu măsurile suplimentare din cadrul de transfer al furnizorului respectiv. Nicio înregistrare operațională descrisă mai sus nu se stochează în afara UE.
Cum te sprijinim
Te ajutăm, ținând cont de natura prelucrării:
- Cereri ale persoanelor vizate. Dacă ne ajunge o cerere la care trebuie să răspunzi tu, o transmitem prompt și îți dăm mijloacele tehnice ca să o soluționezi.
- Notificarea încălcărilor. Te anunțăm fără întârziere nejustificată după ce aflăm de o încălcare a securității datelor, cu ce știm, ce facem și ce rămâne necunoscut — declarat ca necunoscut, nu rotunjit.
- Evaluări de impact. Îți furnizăm informațiile de care ai nevoie în mod rezonabil pentru un DPIA sau o consultare prealabilă.
Audit
Punem la dispoziție informațiile necesare pentru a demonstra respectarea art. 28. Poți audita cel mult o dată la douăsprezece luni, cu preaviz de 30 de zile, pe cheltuiala ta și sub obligație de confidențialitate — sau mai des dacă o cere o autoritate de supraveghere ori după o încălcare care îți afectează datele.
Confidențialitate
Toți cei pe care îi autorizăm să prelucreze date cu caracter personal sunt ținuți de confidențialitate și primesc doar accesul cerut de rolul lor.
Returnare și ștergere
La încetare și la alegerea ta, returnăm sau ștergem datele cu caracter personal pe care le deținem pentru tine. Dovezile pot fi exportate înainte de plecare. Ștergerea se finalizează în 30 de zile, cu excepția cazurilor în care dreptul Uniunii sau al statului membru ne obligă să păstrăm ceva — situație în care îți spunem ce și pentru cât timp. Copiile de siguranță criptate expiră pe ciclul lor și nu sunt restaurate pentru a servi altcuiva.
Prevalență
Acolo unde acest acord intră în conflict cu Termenii și condițiile în privința prelucrării datelor cu caracter personal, prevalează acest acord. Versiunea în limba engleză prevalează.