Acord de prelucrare a datelor (DPA) — Defneo Cloud

1. Părți și obiect

Persoana împuternicită este VAULT APPS SRL, CUI 37880060, J29/1679/2017, cu sediul în Str. Cireșoaia nr. 15, Ploiești, jud. Prahova, România. Operatorul este titularul contului Defneo Cloud, în numele organizației sale. Obiectul este găzduirea și prelucrarea datelor introduse în spațiul de lucru Defneo Cloud, pe durata contului.

2. Natura prelucrării, date și persoane vizate

Prelucrarea constă în stocare, afișare, calcul de scoruri și rapoarte, verificări pasive pe domeniile clientului și primirea datelor de la agenții instalați de client.

• persoane vizate: angajații și colaboratorii clientului, membrii spațiului de lucru, cursanții, persoanele de contact ale furnizorilor, persoanele din registrele GDPR ale clientului;
• categorii de date: nume, e-mail, rol, rezultate la instruire, conturi de utilizator și procese raportate de agenți, adrese IP, nume de host, date din registrele de conformitate introduse de client;
• clientul nu trebuie să introducă categorii speciale de date (art. 9 GDPR) decât dacă are un temei legal și ne-a informat în prealabil.

3. Instrucțiunile operatorului

Prelucrăm datele doar pentru prestarea serviciului și conform instrucțiunilor documentate ale clientului — configurarea și folosirea spațiului de lucru sunt astfel de instrucțiuni. Dacă o instrucțiune încalcă legea, îl informăm pe client. Nu folosim datele clientului în alte scopuri, inclusiv pentru antrenarea modelelor AI.

4. Confidențialitate

Persoanele autorizate să acceseze datele clientului au obligații de confidențialitate și le accesează doar când e necesar pentru operarea serviciului, suport cerut de client sau o obligație legală.

5. Măsuri de securitate (art. 32 GDPR)

• izolare per client: fiecare client are propria schemă de bază de date, aleasă din contextul cererii; o cerere fără client identificat este refuzată, niciodată servită dintr-o schemă comună;
• autentificare fără parole, prin cod pe e-mail cu durată scurtă și număr limitat de încercări; sesiuni HttpOnly/Secure; roluri (admin, operator, cititor) verificate la fiecare cerere;
• agenții sunt autentificați cu chei proprii fiecărui client și pot raporta doar în contul acestuia; tokenurile API expiră în cel mult 90 de zile și sunt păstrate doar ca rezumat criptografic;
• trafic criptat TLS; protecție împotriva cererilor interne forțate (SSRF); scanările active pornesc doar pe domenii cu proprietate dovedită;
• serverele sunt operate de noi, în România, și protejate de aceeași platformă Defneo (WAF, detecție și blocare a atacurilor).

6. Subîmputerniciți

La data acestei versiuni, Defneo Cloud nu folosește niciun subîmputernicit pentru datele din spațiul de lucru: găzduirea e pe infrastructura proprie, funcțiile AI cu furnizori externi sunt dezactivate, iar trimiterea de e-mailuri către cursanți este oprită.

Clientul ne acordă o autorizare generală de a angaja subîmputerniciți. Înainte de a adăuga unul, actualizăm această listă și îi anunțăm pe clienți prin e-mail cu cel puțin 30 de zile înainte; clientul se poate opune motivat, iar dacă nu ajungem la o soluție, poate închide contul. Orice subîmputernicit are obligații de protecție a datelor echivalente.

Verificările pasive pe domeniile clientului interoghează surse publice (DNS, jurnale Certificate Transparency precum crt.sh) cu numele domeniului; acestea nu primesc date personale din spațiul de lucru.

7. Transferuri internaționale

Datele din spațiul de lucru sunt stocate în România și nu sunt transferate în afara Spațiului Economic European.

8. Asistență pentru operator

Îl ajutăm pe client, prin funcțiile serviciului și la cerere, să răspundă cererilor persoanelor vizate, să efectueze evaluări de impact și să-și respecte obligațiile de securitate. Dacă primim direct o cerere de la o persoană vizată, o redirecționăm către client.

9. Încălcarea securității datelor

Notificăm clientul fără întârzieri nejustificate și în cel mult 48 de ore de la constatarea unei încălcări care îi afectează datele, cu informațiile disponibile despre natura, impactul și măsurile luate, pentru ca acesta să-și poată îndeplini obligația de notificare de 72 de ore.

10. Returnarea și ștergerea datelor

Pe durata contului, clientul își poate extrage datele prin rapoartele exportabile și prin API. La închiderea contului, ștergem spațiul de lucru și datele lui în cel mult 30 de zile, cu excepția celor pe care legea ne obligă să le păstrăm.

11. Audit

Punem la dispoziția clientului informațiile necesare pentru a demonstra respectarea art. 28 GDPR și permitem audituri rezonabile, anunțate cu cel puțin 30 de zile înainte și efectuate astfel încât să nu afecteze ceilalți clienți. Solicitările se trimit la office@vaultapps.ro.

12. Durată și prevalență

Acordul se aplică cât timp prelucrăm date ale clientului. În caz de conflict între acest acord și Termeni, în privința protecției datelor prevalează acest acord. Clienții care au nevoie de un DPA semnat ne pot scrie pentru o versiune semnată a acestui text.