Politica GDPR și securitatea datelor

Politica de confidențialitate spune ce date prelucrăm și de ce. Documentul de față spune cum le ținem în siguranță și cum ne organizăm pentru asta. Operator: Evolution Publishing House S.R.L., —, contact evolutionpublisher@yahoo.com.

1. Principiile după care lucrăm

Minimizare. Cerem strict datele necesare. Nu cerem CNP-ul, nu cerem data nașterii, nu cerem date de card.
Limitarea scopului. Datele colectate pentru o comandă nu se folosesc pentru promovare fără consimțământ separat.
Limitarea stocării. Fiecare categorie are un termen de păstrare, declarat public în tabelul din politica de confidențialitate.
Protecție din proiectare. Regulile de acces sunt aplicate în baza de date, prin politici la nivel de rând, nu doar în interfață. Un buton ascuns nu a protejat niciodată nimic.
Protecție implicită. Categoriile opționale de cookies sunt oprite până la un accept explicit.

2. Măsuri tehnice

Criptare în tranzit. Tot traficul se face exclusiv prin HTTPS, cu redirecționare automată și HSTS.
Criptare în repaus. Baza de date și fișierele sunt criptate de furnizorul de infrastructură.
Parole. Nu păstrăm parole în clar. Autentificarea este gestionată de furnizorul de identitate, cu funcții de derivare lentă.
Date de card. Nu ating niciodată infrastructura noastră. Se introduc în pagina procesatorului, care este certificat PCI-DSS.
Izolare pe rânduri. Fiecare interogare vede exact ce are voie contul care a făcut-o. Politicile sunt verificate de server, la fiecare cerere.
Chei de serviciu cu domeniu restrâns. Integrările externe primesc chei limitate la funcțiile de care au nevoie, nu acces general la baza de date. Cheile se păstrează ca amprentă, nu în clar, și se pot revoca individual.
Jurnal de audit. Operațiunile sensibile se scriu într-un registru care nu se editează și nu se șterge.
Copii de siguranță. Baza de date are copii de siguranță zilnice, făcute și criptate de furnizorul de infrastructură.

3. Măsuri organizatorice

Accesul intern la date se acordă pe roluri, pe principiul necesității de a cunoaște, și se retrage la încetarea atribuțiilor.
Persoanele cu acces sunt instruite și semnează angajamente de confidențialitate.
Fiecare furnizor care prelucrează date în numele nostru are contract de împuternicire conform art. 28 GDPR.
Evaluăm impactul asupra protecției datelor înainte de a introduce o prelucrare cu risc ridicat.
Ținem evidența activităților de prelucrare conform art. 30 GDPR.

4. Încălcarea securității datelor

Dacă are loc o încălcare a securității care prezintă un risc pentru drepturile și libertățile tale:

o izolăm și o remediem cu prioritate;
o notificăm ANSPDCP în cel mult 72 de ore de la momentul în care am luat cunoștință de ea, conform art. 33 GDPR;
te informăm direct și fără întârziere nejustificată, conform art. 34 GDPR, dacă riscul pentru tine este ridicat;
înregistrăm incidentul, cauza, efectele și măsurile luate.

5. Cum îți exerciți drepturile

Din pagina Drepturile mele poți: descărca o copie a datelor tale, cere rectificarea, cere ștergerea contului, cere restricționarea prelucrării, te poți opune prelucrărilor bazate pe interes legitim și îți poți retrage consimțământele.

Fiecare cerere primește un număr de înregistrare și un răspuns în cel mult o lună. Nu percepem taxe pentru exercitarea drepturilor.

6. Minori