Protecția datelor în aplicația SCIM Devaland

Informare privind prelucrarea datelor cu caracter personal, conform Regulamentului (UE) 2016/679 (GDPR).

Cine răspunde de date

Operatorul este unitatea care folosește aplicația (școala sau instituția publică). Ea decide ce date introduce și în ce scop.

Persoana împuternicită (art. 28 GDPR) este Devaland Marketing S.R.L., CUI RO50841395, J2024039063003, cu sediul în sat Sântandrei, oraș Simeria, județul Hunedoara, e-mail office@devaland.com. Prelucrăm datele numai la instrucțiunile unității, în condițiile acordului de prelucrare încheiat cu aceasta. Modelul de acord (art. 28 GDPR) se descarcă de aici: DOCX, editabil · PDF.

Ce date se prelucrează

Datele conturilor de utilizator: nume, adresă de e-mail, funcție, rol și compartiment. Parolele nu se păstrează în clar, ci numai sub formă de amprentă criptografică (argon2).

Datele pe care unitatea le introduce în registrele sistemului de control intern managerial: componența Comisiei de monitorizare, responsabili, obiective, activități, proceduri, riscuri, autoevaluări și rapoarte.

Jurnale de securitate: încercările de autentificare (adresa de e-mail, momentul, reușita), jurnalul acțiunilor din aplicație și jurnalul tehnic al serverului web, care conține adresa IP a vizitatorului și se păstrează 14 zile.

În ce scop

Exclusiv pentru furnizarea aplicației către unitate, pentru asistența pe care unitatea o solicită și, pentru întrebările adresate asistentului virtual, pentru îmbunătățirea documentației. Nu vindem datele, nu le folosim pentru publicitate și nu le folosim pentru antrenarea unor modele de inteligență artificială. Aplicația nu încarcă resurse de la terți (fonturi, scripturi, servicii de analiză a traficului) și folosește un singur cookie, cel de sesiune, necesar autentificării.

Unde sunt păstrate

Aplicația și baza de date rulează pe un server virtual închiriat de la Hostinger, într-un centru de date din Franța, Uniunea Europeană.

Zilnic se face o copie de siguranță a bazei de date. Copia se păstrează 14 zile pe server și este trimisă, criptată înainte de a părăsi serverul, într-un spațiu de stocare Cloudflare R2. Furnizorul de stocare nu are cheia și nu poate citi conținutul. Copiile externe se păstrează până la 12 luni (7 zilnice, 6 săptămânale, 12 lunare), apoi se șterg automat.

Sub-împuterniciți: Hostinger International Limited, Cipru (găzduirea serverului), Cloudflare, Inc., SUA (stocarea copiilor de siguranță criptate), Anthropic Ireland, Limited, Irlanda (modelul de inteligență artificială al asistentului virtual, numai pentru întrebările adresate asistentului; vedeți mai jos) Google Cloud EMEA Limited, Irlanda (e-mailul office@devaland.com, pentru corespondența cu unitatea) și Plus Five Five, Inc. (Resend), SUA (trimiterea e-mailurilor automate ale aplicației: linkul de recuperare a parolei și codul de verificare, numai către adresa contului). Transferurile în afara Uniunii Europene se fac numai cu garanțiile prevăzute de capitolul V GDPR (clauzele contractuale standard ale Comisiei Europene și, pentru Cloudflare și Resend, și cadrul UE-SUA privind protecția datelor).

Asistentul virtual

Asistentul virtual din aplicație este un program de inteligență artificială. Când un utilizator îi pune o întrebare, trimitem furnizorului modelului, Anthropic Ireland, Limited (care poate prelucra cererea în SUA, prin Anthropic, PBC), numai textul întrebării, ultimele cel mult trei întrebări și răspunsuri ale aceleiași conversații din ultimele două ore și documentația aplicației împreună cu textul Ordinului SGG nr. 600/2018. Din 18 septembrie 2026 trimitem și starea unității în cifre, calculată în momentul întrebării: numărători (câte proceduri sunt aprobate, câte riscuri nu au măsuri, câte criterii au rămas de completat), date calendaristice și stări dintr-o listă fixă. Nu trimitem niciun text scris în aplicație: nici titluri de proceduri, nici textul riscurilor, nici nume de persoane, nici explicațiile din chestionare. Sunt numai numere, generate de noi, ca asistentul să vă poată spune unde stați fără ca datele dumneavoastră să părăsească aplicația. Furnizorul poate prelucra cererea în afara Uniunii Europene.

Întrebările și răspunsurile se păstrează la noi 90 de zile, pentru îmbunătățirea documentației, apoi se șterg automat. Vă rugăm să nu scrieți date personale în întrebări. Folosirea asistentului este opțională.

Cum sunt protejate

Conexiune criptată (HTTPS) · parole stocate cu argon2 · schimbarea obligatorie a parolei temporare la prima intrare · autentificare în doi pași obligatorie pentru contul de asistență · sesiune în cookie HttpOnly și protecție CSRF pe fiecare formular · limitarea încercărilor de autentificare · separare strictă între unități, fiecare înregistrare aparținând unei singure unități · drepturi pe roluri, inclusiv cont de vizitator doar pentru citire · jurnal al acțiunilor · copii de siguranță zilnice, criptate, cu restaurare testată.

Accesul personalului Devaland

Personalul Devaland nu vede datele unității în mod obișnuit. Accesul de asistență există numai dacă administratorul contului unității îl acordă din pagina Setări, pentru o durată limitată (24 de ore, 3 zile sau 7 zile), cu motivul solicitării. Administratorul alege dacă asistența poate doar citi sau poate și modifica, îl poate revoca oricând cu efect imediat, iar fiecare intrare, fiecare pagină deschisă și fiecare modificare apar în jurnalul unității. Contul de asistență intră numai cu parolă și cod de verificare (autentificare în doi pași). Asistența nu poate semna pași din circuitul procedurilor (verificare, avizare, aprobare), nu poate administra conturi și nu își poate prelungi singură accesul. Persoanele care acordă asistență sunt ținute de obligația de confidențialitate.

Drepturile persoanelor

Persoanele ale căror date sunt în aplicație își exercită drepturile (acces, rectificare, ștergere, restricționare, opoziție) față de unitate, în calitate de operator. Devaland sprijină unitatea în soluționarea cererilor. Plângerile se pot adresa Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, www.dataprotection.ro.

Încetarea colaborării și incidente

La încetarea contractului, datele se returnează unității sau se șterg, la alegerea acesteia, în condițiile acordului de prelucrare. Copiile de siguranță criptate expiră conform perioadei de mai sus. Orice incident de securitate care privește datele unității îi este comunicat fără întârzieri nejustificate (art. 33 alin. (2) GDPR).

Actualizat la 11.09.2026 (sub-împuterniciții, modelul de acord de prelucrare și recuperarea parolei pe e-mail) · Autentificare