Acord privind prelucrarea datelor

Acest acord este disponibil și în limba engleză.

Prezentul Acord privind prelucrarea datelor („Acordul”) îndeplinește cerințele articolului 28 alin. (3) din Regulamentul general privind protecția datelor (UE) 2016/679 („GDPR”). El face parte din Termenii și condițiile InfraInbox Cloud („Termenii”) și se aplică atunci când un client folosește InfraInbox Cloud pentru o întreprindere sau o organizație. Clientul îl acceptă prin acceptarea Termenilor.

Părțile

Clientul: întreprinderea sau organizația care folosește spațiul de lucru InfraInbox Cloud, în calitate de operator.
INNOVA SOFTWARE S.R.L., România, CUI 45402130, registrul comerțului J30/1284/2021, în calitate de persoană împuternicită de operator („noi”). Contact: contact@innovasoftware.ro.

1. Obiect și roluri

1.1. Datele cu caracter personal ale Clientului sunt datele cu caracter personal din ceea ce spațiile de lucru ale Clientului primesc, stochează sau trimit în InfraInbox Cloud: evenimente, incidente, cereri brute, date heartbeat, conținutul notificărilor, precum și datele destinatarilor și datele de autentificare configurate în destinații. Le prelucrăm doar în numele Clientului. Anexa I descrie prelucrarea.

1.2. Suntem operator, nu persoană împuternicită, pentru datele conturilor (identitatea utilizatorilor, autentificarea, sesiunile, dispozitivele asociate, jurnalul de audit), pentru datele de securitate și de prevenire a abuzurilor și pentru datele de livrare a notificărilor push prelucrate de releul nostru. Aceste date sunt acoperite de Politica de confidențialitate, nu de prezentul Acord.

1.3. Destinațiile sunt alese de Client. Telegram, Slack, Discord, webhookurile și celelalte destinații configurate de Client primesc ceea ce Clientul direcționează către ele, conform propriilor condiții convenite cu Clientul. Ele sunt destinatari aleși de Client, nu subcontractanții noștri.

1.4. Dacă prezentul Acord și Termenii sunt în conflict în privința protecției datelor, prevalează prezentul Acord.

2. Instrucțiuni (art. 28 alin. (3) lit. (a))

2.1. Prelucrăm datele cu caracter personal ale Clientului numai pe baza instrucțiunilor documentate ale Clientului. Termenii, prezentul Acord și setările proprii ale Clientului din panoul de control și din API (surse, reguli, direcționare, destinații, păstrare, exporturi și ștergeri) reprezintă aceste instrucțiuni.

2.2. Putem prelucra altfel datele cu caracter personal ale Clientului doar dacă dreptul Uniunii sau dreptul român ne obligă. Îl informăm mai întâi pe Client, cu excepția cazului în care acel drept interzice acest lucru.

2.3. Îl informăm imediat pe Client dacă, în opinia noastră, o instrucțiune încalcă legislația privind protecția datelor (art. 28 alin. (3) al doilea paragraf).

3. Confidențialitate (art. 28 alin. (3) lit. (b))

Toate persoanele pe care le autorizăm să acceseze datele cu caracter personal ale Clientului s-au angajat să respecte confidențialitatea sau au o obligație legală corespunzătoare și au acces doar în măsura necesară pentru operarea, securizarea sau asistența serviciului.

4. Securitate (art. 28 alin. (3) lit. (c), art. 32)

4.1. Aplicăm măsurile tehnice și organizatorice din anexa II.

4.2. Le putem modifica, cu condiția ca nivelul general de protecție să nu scadă.

5. Subcontractanți (art. 28 alin. (2) și (4))

5.1. Autorizare generală. Clientul autorizează celelalte persoane împuternicite (subcontractanții) enumerate în pagina subcontractanților la data la care acceptă prezentul Acord.

5.2. Notificarea modificărilor. Înainte ca un subcontractant nou să înceapă să prelucreze datele cu caracter personal ale Clientului, actualizăm lista, cu data și modificarea, și trimitem un e-mail fiecărui proprietar de spațiu de lucru cu cel puțin 30 de zile înainte.

5.3. Opoziția. Clientul se poate opune, pe motive rezonabile legate de protecția datelor, printr-un e-mail la contact@innovasoftware.ro, în acele 30 de zile. Vom încerca să rezolvăm obiecția, de exemplu prin a nu folosi noul subcontractant pentru acel Client. Dacă nu putem, Clientul poate închide spațiile de lucru afectate sau poate înceta Termenii înainte ca modificarea să producă efecte, fără penalități.

5.4. Înlocuirea urgentă. Dacă un subcontractant trebuie înlocuit într-un termen scurt pentru protejarea securității sau pentru continuitatea serviciului, îl notificăm pe Client cât mai curând posibil, iar dreptul de opoziție de la punctul 5.3 se aplică în continuare.

5.5. Transmiterea obligațiilor și răspunderea. Fiecare subcontractant este obligat printr-un contract scris care conține obligații de protecție a datelor echivalente cu cele din prezentul Acord. Rămânem pe deplin răspunzători față de Client pentru îndeplinirea obligațiilor de către fiecare subcontractant (art. 28 alin. (4)).

5.6. Releul nostru de notificări (push.infrainbox.app) face parte din propria noastră infrastructură, operată de noi la furnizorul nostru de găzduire; nu este un subcontractant separat.

6. Asistență (art. 28 alin. (3) lit. (e) și (f))

6.1. Cererile persoanelor vizate. Serviciul îi permite Clientului să soluționeze singur majoritatea cererilor: exportul unui spațiu de lucru în format JSON, ștergerea unui spațiu de lucru și scurtarea perioadelor de păstrare. Dacă o persoană vizată ne trimite o cerere privind datele cu caracter personal ale Clientului, i-o transmitem Clientului fără întârzieri nejustificate și nu răspundem noi înșine, cu excepția confirmării că am transmis-o.

6.2. Securitate, evaluări ale impactului, consultare prealabilă. Îl ajutăm pe Client să își îndeplinească obligațiile prevăzute la art. 32–36 GDPR cu informațiile de care dispunem, inclusiv prezentul Acord, anexa II și lista subcontractanților.

7. Încălcări ale securității datelor cu caracter personal (art. 28 alin. (3) lit. (f), art. 33 alin. (2))

7.1. Îl notificăm pe Client cu privire la o încălcare a securității datelor cu caracter personal care afectează datele cu caracter personal ale Clientului fără întârzieri nejustificate și în cel mult 48 de ore de la data la care am luat cunoștință de ea, prin e-mail către proprietarii spațiului de lucru.

7.2. Notificarea cuprinde informațiile cerute de art. 33 alin. (3) GDPR, în măsura în care le cunoaștem la acel moment, iar noi o completăm pe măsură ce aflăm mai multe.

7.3. Luăm măsuri rezonabile pentru a limita încălcarea și efectele ei. Informarea Clientului nu reprezintă o recunoaștere a vinovăției.

8. Transferuri în afara SEE (art. 28 alin. (3) lit. (a), capitolul V)

8.1. Datele cu caracter personal ale Clientului sunt stocate, iar copiile de siguranță sunt păstrate, în Germania.

8.2. Notificări push către iPhone. Singura prelucrare a datelor cu caracter personal ale Clientului în afara SEE este livrarea notificărilor push către iPhone, pe care doar serviciul push al Apple (Apple Inc., SUA) o poate face.

Fiecare notificare este criptată de la un capăt la altul (RFC 8291), cu chei care există doar pe telefonul destinatarului. Releul nostru și Apple primesc un text criptat pe care nu îl pot citi. Pentru Apple, acest conținut nu reprezintă date cu caracter personal (CJUE, C-413/23 P, AEPD/CUR, 4 septembrie 2025), iar criptarea este măsura suplimentară recomandată de CEPD pentru datele care tranzitează o țară terță fără a putea fi citite acolo (Recomandările 01/2020).
Tokenul push și metadatele de livrare care ajung la Apple țin de înregistrarea dispozitivului utilizatorului, pe care o prelucrăm în calitate de operator, cu consimțământul explicit al utilizatorului, dat în aplicație (Politica de confidențialitate, §5).
Clientul dă instrucțiunea pentru această prelucrare prin folosirea destinației integrate InfraInbox Push și o poate opri dezactivând acea destinație.

8.3. Orice alt transfer are loc numai după notificarea prevăzută la clauza 5 și numai în baza unei decizii privind caracterul adecvat (art. 45), inclusiv a Cadrului UE-SUA privind confidențialitatea datelor pentru destinatarii certificați, sau a clauzelor contractuale standard (Decizia de punere în aplicare (UE) 2021/914 a Comisiei, modulul 3), cu măsurile suplimentare necesare.

8.4. Dacă Cadrul UE-SUA privind confidențialitatea datelor este invalidat (recursul C-703/25 P este pe rol), introducem clauze contractuale standard pentru orice destinatar care se baza pe el sau încetăm transferul.

9. Informații și audituri (art. 28 alin. (3) lit. (h))

9.1. La cerere, punem la dispoziție informațiile de care Clientul are nevoie pentru a demonstra respectarea art. 28: prezentul Acord, anexa II, lista subcontractanților și, o dată pe an, un răspuns scris la un chestionar de securitate rezonabil.

9.2. Nu deținem nicio certificare de securitate și niciun raport de audit al unei terțe părți.

9.3. Audituri. Dacă informațiile de la punctul 9.1 nu sunt suficiente, Clientul sau un auditor independent obligat la confidențialitate poate audita modul în care respectăm prezentul Acord, cu o notificare scrisă de 30 de zile, cel mult o dată pe an, cu excepția cazului în care o încălcare sau o autoritate de supraveghere impune mai mult, în timpul programului de lucru, fără acces la datele altor clienți și pe cheltuiala Clientului. Auditurile centrelor de date ale furnizorului nostru de găzduire se desfășoară conform propriilor condiții de audit ale acestuia.

10. Returnare și ștergere (art. 28 alin. (3) lit. (g))

10.1. Exportul. Clientul poate exporta oricând fiecare spațiu de lucru în format JSON. Doar un proprietar poate face acest lucru, după ce își confirmă identitatea.

10.2. Ștergerea. Când un spațiu de lucru este șters sau închis pentru că singurul său proprietar și-a șters contul, datele cu caracter personal ale Clientului din acesta sunt șterse la următoarea curățare orară și cel târziu în 30 de zile; copiile de siguranță expiră în cel mult 35 de zile. Nu păstrăm nicio copie, cu excepția cazului în care dreptul Uniunii sau dreptul român ne obligă.

11. Durată, răspundere, legea aplicabilă

11.1. Prezentul Acord se aplică atât timp cât prelucrăm datele cu caracter personal ale Clientului.

11.2. Răspunderea urmează Termenii. Răspunderea față de persoanele vizate este reglementată de art. 82 GDPR.

11.3. Prezentul Acord este guvernat de legea română. Competența revine instanțelor competente de la sediul social al INNOVA SOFTWARE S.R.L.

11.4. Putem actualiza prezentul Acord cu o notificare prin e-mail de 30 de zile. O modificare nu poate reduce protecția datelor cu caracter personal ale Clientului, cu excepția cazului în care legea o impune.

Anexa I — Detaliile prelucrării


Obiectul	Operarea InfraInbox Cloud pentru Client: primirea alertelor privind infrastructura și transformarea lor în incidente și notificări
Durata	Durata Termenilor, plus termenele de ștergere de la clauza 10
Natura	Primire (API HTTPS, webhookuri, heartbeat); analiză și eliminarea secretelor; stocare; grupare în incidente; evaluarea regulilor Clientului; livrare către destinațiile Clientului și telefoanele asociate; export și ștergere la cerere
Scopul	Furnizarea serviciului așa cum îl configurează Clientul. Niciun alt scop
Persoanele vizate	Personalul și colaboratorii Clientului; utilizatorii sistemelor Clientului; orice persoană menționată în alertele trimise de instrumentele Clientului
Date cu caracter personal	Ce includ instrumentele Clientului în alerte, de regulă nume de gazde, adrese IP, nume de utilizator, adrese de e-mail, nume din textul alertelor, detalii despre sarcini și copii de siguranță. De asemenea, datele destinatarilor din destinații (identificatori de conversație, adrese webhook) și datele de autentificare ale destinațiilor
Categorii speciale	Niciuna nu este avută în vedere. Clientul nu trebuie să trimită categorii speciale de date (art. 9) sau date privind condamnări penale și infracțiuni (art. 10)
Păstrare	Dacă Clientul nu stabilește perioade mai scurte: evenimente 30 de zile; incidente 90 de zile de la rezolvare (incidentele deschise sunt păstrate); evidența livrărilor 30 de zile; cereri brute, ultimele 20 pentru fiecare sursă, timp de 7 zile, de cel mult 64 KB fiecare; semnale heartbeat, ultimele 100 pentru fiecare verificare, plus 90 de zile de rezumate zilnice; chei de idempotență cel puțin 24 de ore. Aplicate printr-o ștergere orară
Subcontractanți	Pagina subcontractanților, secțiunea A

Anexa II — Măsuri tehnice și organizatorice (art. 32)

1. Criptare

Tot traficul folosește TLS 1.2 sau o versiune ulterioară. HSTS este setat pentru un an.
Datele de autentificare stocate (tokenurile și parolele destinațiilor, secretele pentru autentificarea în doi pași) sunt criptate cu AES-256-GCM. Fiecare secret are propria cheie de date, protejată de o cheie principală păstrată în afara bazei de date, într-un fișier pe care doar serviciul îl poate citi, iar societatea păstrează o copie offline. Textul criptat este legat de spațiul de lucru, tabelul, rândul și câmpul său.
Notificările push sunt criptate de la un capăt la altul (RFC 8291) pentru telefonul destinatarului. Releul și Apple văd doar text criptat.
Copiile de siguranță sunt criptate în stocare (AES-256) de furnizorul de găzduire.

2. Controlul accesului: utilizatori

Parole: între 15 și 256 de caractere, verificate cu o listă de parole interzise și cu numele și adresa de e-mail ale utilizatorului; stocate ca hash Argon2id.
Autentificare în doi pași: TOTP cu protecție împotriva reutilizării, obligatorie pentru fiecare proprietar de spațiu de lucru. Zece coduri de recuperare de unică folosință, stocate ca hash.
Sesiuni: cookie-uri __Host- de tip Secure, HttpOnly și SameSite=Strict, care expiră după 7 zile de neutilizare sau după 30 de zile în total; tokenurile sunt stocate doar ca hash.
Reautentificare: o parolă sau un al doilea factor dovedit în ultimele 10 minute este necesar înainte de exportul sau ștergerea unui spațiu de lucru, ștergerea contului, schimbarea adresei de e-mail, modificarea membrilor și modificarea autentificării în doi pași.
Limitarea autentificărilor: pe adresă IP și pe combinația cont–IP, cu întârziere exponențială după 5 eșecuri. Înregistrarea este limitată pe adresă IP.
Telefoane: tokenuri de acces de 15 minute și tokenuri de reîmprospătare rotative; reutilizarea unui token de reîmprospătare revocă întreaga familie de tokenuri; toate tokenurile sunt stocate ca hash.
Chei de primire: afișate o singură dată, stocate doar ca hash SHA-256. O cheie înlocuită încetează să funcționeze după 24 de ore.

3. Separarea între clienți

Fiecare interogare este limitată la un spațiu de lucru în aplicație; spațiul de lucru provine din datele de autentificare, niciodată din cerere.
Ca protecție suplimentară, securitatea la nivel de rând din PostgreSQL este activată și impusă pe fiecare tabel care conține date ale spațiilor de lucru. Contul aplicației în baza de date nu o poate ocoli.

4. Securitatea aplicației web

Protecție împotriva falsificării cererilor între site-uri (verificări Fetch Metadata și Origin) și niciun acces la API din alte origini.
Politică de securitate a conținutului cu nonce-uri și Trusted Types; frame-ancestors 'none'; Referrer-Policy: no-referrer; răspunsurile API nu sunt memorate în cache.

5. Minimizarea datelor

Cereri brute: antetele de autorizare, cookie-urile și câmpurile care seamănă cu date de autentificare sunt eliminate înainte de stocare; cererile sunt trunchiate la 64 KB și păstrate 7 zile; cererile fără o cheie validă nu sunt stocate niciodată.
Jurnale: secretele, tokenurile și conținutul alertelor nu sunt scrise niciodată în jurnalele serviciului. Jurnalele sunt păstrate 14 zile (releul: 7 zile).
Jurnalul de audit: adresele IP sunt scurtate după 90 de zile.
Fără observabilitate externă: niciun serviciu extern de analiză statistică, raportare a erorilor sau monitorizare nu primește date.

6. Responsabilitate

Un jurnal de audit în care se poate doar adăuga înregistrează autentificările reușite și eșuate, modificările cheilor, regulilor, destinațiilor și membrilor, asocierile, revocarea dispozitivelor, exporturile, ștergerile și modificările perioadelor de păstrare, cu autorul, momentul, adresa IP și rezultatul. Aplicația poate adăuga înregistrări, dar nu le poate modifica sau șterge. Înregistrările sunt păstrate 1 an.

7. Disponibilitate și reziliență

O copie de siguranță zilnică automată a întregului server, păstrată 72 de ore local și 30 de zile într-o clădire separată a centrului de date, în Germania.
Cotele zilnice și limitele de rată pentru fiecare spațiu de lucru protejează serviciul împotriva supraîncărcării și a abuzurilor.

8. Organizare

Accesul la mediul de producție este limitat la persoane nominalizate, cu chei SSH personale; contul de găzduire folosește autentificarea în doi pași.
O procedură scrisă pentru încălcări ale securității acoperă notificarea în 72 de ore către autoritatea de supraveghere (ANSPDCP) și notificarea în 48 de ore către clienți prevăzută de prezentul Acord.
Cu fiecare subcontractant există un contract scris conform art. 28 GDPR.

9. Ștergere

Ștergerile programate rulează orar, în loturi mici.
Ștergerea unui cont îi șterge imediat datele cu caracter personal; spațiile de lucru șterse sunt eliminate în cel mult 30 de zile; copiile de siguranță expiră în cel mult 35 de zile.

Versiunea 1.0, în vigoare de la 5 octombrie 2026.