Prelucrarea datelorși RGPD

Traducere de curtoazie. În caz de neconcordanță, prevalează versiunea în limba engleză.

Această pagină sintetizează poziția publică a Altovar privind conformitatea cu RGPD și prelucrarea datelor, în vederea revizuirii de către departamentele de achiziții, juridic, securitate și confidențialitate. Este concepută pentru a răspunde întrebărilor recurente ridicate în procesul de înscriere a furnizorilor (vendor onboarding), de due diligence și de evaluare a securității.

Aceasta completează — și nu înlocuiește — Politica de confidențialitate, Politica de cookie-uri, Termenii și condițiile de utilizare, precum și orice Acord de prelucrare a datelor (DPA) semnat.

Altovar în calitate de operator: Pentru datele cu caracter personal colectate prin intermediul site-ului, al activităților comerciale, al administrării conturilor, al facturării, al corespondenței de asistență și al preferințelor de marketing, Altovar acționează ca operator de date independent.

Altovar în calitate de persoană împuternicită de operator: Atunci când un client utilizează serviciile Altovar pentru a stoca, analiza, transmite sau prelucra în alt mod date cu caracter personal în numele său, Altovar acționează ca persoană împuternicită de operator, iar clientul rămâne operator, cu excepția cazului în care o alocare diferită este stabilită în contract sau în arhitectura serviciului.

Alocarea rolurilor este detaliată suplimentar în Formularul de comandă aplicabil, în documentația serviciului și în DPA.

Altovar este stabilită în Europa și concepe strategia de infrastructură astfel încât să păstreze controlul jurisdicțional al UE, un risc redus asociat transferurilor și transparență operațională.

Poziția standard privind serviciile presupune găzduirea în UE. Sarcinile de lucru principale ale aplicațiilor, bazele de date, copiile de rezervă și sistemele operaționale sunt alese astfel încât datele de producție să rămână în interiorul SEE, ori de câte ori arhitectura produsului o permite. Atunci când instrumentele de livrare la marginea rețelei (edge-delivery) sau de asistență introduc un punct de contact cu o țară terță, Altovar aplică garanții documentate și limitează accesul la sfera strict necesară.

Altovar pune la dispoziție un Acord de prelucrare a datelor pentru situațiile în care acționează ca persoană împuternicită. Pentru planurile Business și Enterprise, clauzele DPA pot fi integrate în Formularul de comandă sau în acordul-cadru de servicii. Pentru ceilalți clienți, un DPA standard este disponibil la cerere.

DPA acoperă instrucțiunile de prelucrare, confidențialitatea, persoanele împuternicite subsecvente (sub-procesatorii), măsurile de securitate, notificarea încălcărilor de securitate, asistența pentru exercitarea drepturilor persoanelor vizate, ștergerea/returnarea datelor, precum și cooperarea în cadrul auditurilor, în limite rezonabile din punct de vedere comercial.

Solicitările privind un DPA sau un act adițional la contract pot fi transmise la [email protected].

Altovar aplică un proces controlat de evaluare a furnizorilor pentru infrastructură, plăți, comunicații și serviciile de securitate conexe. Fiecare persoană împuternicită sau sub-procesator este evaluat/ă din perspectiva compatibilității tehnice, a implicațiilor jurisdicționale, a controalelor de securitate, a acoperirii contractuale și a maturității în privința răspunsului la incidente, înainte de utilizarea în producție.

Sub-procesatorii sunt obligați prin contracte scrise care reflectă, acolo unde este aplicabil, cerințele Articolului 28 din RGPD. Altovar menține un registru intern al sub-procesatorilor și notifică modificările semnificative prin mecanismele contractuale definite în DPA sau în acordul cu clientul.

Altovar aplică măsuri tehnice și organizatorice stratificate, adecvate sensibilității sarcinii de lucru și nivelului de serviciu implicat. Aceste măsuri includ, de regulă, controlul accesului, administrarea pe baza principiului privilegiului minim, autentificarea multi-factor (MFA) pentru sistemele interne, criptarea în tranzit, criptarea la stocare acolo unde este relevant, jurnalizarea de audit, gestionarea vulnerabilităților, controale privind copiile de rezervă și separarea mediilor.

Măsurile sunt revizuite pe măsură ce produsele evoluează. Atunci când un client solicită un rezumat al măsurilor tehnice și organizatorice (TOMs) în scopuri de achiziție sau de audit, Altovar poate furniza o prezentare actualizată în baza unui NDA sau ca parte a procesului de DPA / evaluare de securitate.

Atunci când Altovar acționează ca operator, cererile de acces, rectificare, ștergere, opoziție, portabilitate și restricționare sunt soluționate direct, în conformitate cu Politica de confidențialitate.

Atunci când Altovar acționează ca persoană împuternicită de operator, clientul este asistat — în limitele capacităților serviciului și ale cadrului contractual — pentru a-și putea îndeplini propriile obligații față de persoanele vizate. Această asistență poate include suport pentru exportul datelor, fluxuri de ștergere, jurnalizarea accesului sau coordonare operațională prin canalele de asistență și de confidențialitate.

Altovar aplică proceduri de gestionare a incidentelor pentru evenimentele de securitate, disponibilitate, confidențialitate și integritate care afectează datele clienților sau datele corporative.

Atunci când Altovar acționează ca persoană împuternicită și ia cunoștință de o încălcare a securității datelor cu caracter personal care afectează datele clientului, clientul este notificat fără întârzieri nejustificate, pentru a putea evalua eventualele obligații de notificare față de autoritatea de supraveghere sau față de persoanele vizate. Atunci când Altovar acționează ca operator, obligațiile de notificare sunt evaluate și îndeplinite direct, în conformitate cu RGPD și cu legislația națională aplicabilă.

Altovar nu tratează transferurile către țări terțe ca model implicit de operare. Dacă o dependență specifică de serviciu, un flux de asistență sau o funcție de livrare la marginea rețelei creează un scenariu de transfer, Altovar se bazează pe un mecanism juridic de transfer identificat și pe măsuri suplimentare proporționale, înainte de utilizarea în producție.

În funcție de furnizor și de contextul prelucrării, aceste garanții pot include decizii de adecvare, clauze contractuale standard, reducerea la minimum a accesului, criptare și evaluări de impact asupra transferului (TIA).

Conformitatea cu RGPD nu este asigurată doar prin poziția furnizorului. Clienții rămân responsabili pentru alegerea unui temei juridic adecvat, configurarea legală a mediilor proprii, stabilirea unor reguli de reținere a datelor conforme cu propriile obligații și transmiterea unor instrucțiuni valabile în situațiile în care Altovar acționează ca persoană împuternicită.

Altovar pune la dispoziție cadrul contractual și tehnic necesar pentru o utilizare conformă, însă fiecare client rămâne răspunzător pentru modul în care utilizează serviciul în propriul context, inclusiv în ceea ce privește accesul angajaților, conținutul încărcat, opțiunile de reținere a datelor și integrările cu terți.