§01Confidențialitate
Controlul accesului fizic
• Spații de birouri într-o clădire cu serviciu de securitate; accesul neautorizat este interzis.
• Spații de lucru care se pot încuia; documente în dulapuri care se pot încuia.
• Fără camere de server proprii: prelucrarea are loc exclusiv la furnizori de găzduire cu centre de date în UE, care dispun de propriile controale de acces fizic certificate.
Controlul accesului la sistem
• Toate conturile companiei și accesele de administrator sunt protejate cu autentificare în doi factori.
• Dispozitive finale cu parolă sau autentificare biometrică (amprentă/recunoaștere facială); blocare automată a ecranului după cel mult 20 de minute.
• Parolele sunt gestionate exclusiv în manageri de parole.
• Folii de protecție a ecranului pentru lucrul mobil; firewall și mecanisme de protecție ale sistemelor de operare active; actualizările de securitate se instalează automat.
• Accesul persoanelor care părăsesc compania este blocat imediat.
Controlul accesului la date
• Concept de roluri și drepturi: acces la datele clienților doar pentru proprietar și persoanele responsabile cu operarea și dezvoltarea; angajații din vânzări doar cu drepturi limitate.
• Izolarea locatarilor la nivelul bazei de date (Row-Level-Security): fiecare client vizualizează exclusiv datele din propriul cont.
• Acces API doar cu chei proprii ale clientului, revocabile; cheile sunt stocate doar ca hash.
Controlul separării
• Separarea logică a datelor pentru fiecare client (locatar).
Pseudonimizare / Minimizarea datelor
• lead.box recunoaște companii, nu persoane fizice; nu se creează profiluri ale persoanelor fizice.
§02Integritate
Controlul transmiterii
• Transmitere exclusiv criptată (TLS/HTTPS); webhook-urile sunt trimise cu semnătură HMAC.
Controlul introducerii datelor
• Jurnalizarea modificărilor și a acceselor administrative (jurnal de audit).
§03Disponibilitate și reziliență
• Copii de siguranță automate zilnice la furnizorul de găzduire din UE.
• Găzduire pe infrastructură cloud redundantă în UE; monitorizarea întreruperilor și a erorilor.
§04Procedură pentru verificarea periodică
• Verificări periodice de securitate ale aplicației (inclusiv scanări de securitate automate, verificarea regulilor de acces).
• Protecția datelor prin design și setări prestabilite care respectă confidențialitatea.
Controlul contractual
• Subîmputerniciții sunt selectați cu atenție și contractați doar pe baza unui contract de prelucrare a datelor. În măsura în care datele sunt prelucrate în afara UE/SEE, acest lucru se face numai în baza unei decizii de adecvare a Comisiei Europene (de ex. EU-US Data Privacy Framework) sau a clauzelor contractuale standard ale UE (art. 46 RGPD).
• Angajații și partenerii de vânzări sunt obligați contractual la confidențialitate.
Gestionarea incidentelor
• Încălcările securității datelor sunt raportate clientului fără întârziere, cel târziu în termen de 72 de ore de la luarea la cunoștință.
Concept de ștergere
• Rezilierea planului tarifar oprește colectarea; contul rămâne activ până la solicitarea de ștergere.
• La cererea clientului, contul și toate datele aferente sunt șterse în termen de 30 de zile.