Securitate

Organizațiile își țin în DigiVest CRM clienții, notele și documentele. Ne luăm în serios grija pentru aceste date. Pe această pagină îți spunem concret ce facem pentru a le proteja și unde mai avem de lucru. Nu promitem mai mult decât facem.

1. Unde sunt datele#

Aplicația, baza de date și fișierele încărcate stau pe serverele proprii ale ADR Vest, în Timișoara, România. E-mailurile pleacă prin serverul de e-mail propriu al ADR Vest, de pe aceeași infrastructură. Singurul furnizor extern prin care trec date este Cloudflare, care se află în fața aplicației (vezi Persoane împuternicite secundare).

2. Datele în tranzit#

Toate conexiunile la crm.digivest.ro sunt criptate cu TLS. Cloudflare preia conexiunea din browser și o transmite mai departe spre serverele noastre tot criptat, cu certificatul verificat (modul Full strict). Cookie-urile de autentificare sunt de tip httpOnly și se trimit doar prin conexiuni securizate.

3. Conturile#

• Parole: le stocăm doar ca hash bcrypt, niciodată în clar. Nici noi nu îți putem vedea parola.
• Autentificarea în doi pași (MFA): printr-o aplicație de autentificare (TOTP). Este activă implicit pentru fiecare organizație și obligatorie pentru administratorii platformei. Administratorul unei organizații o poate opri, dar îți recomandăm să o păstrezi.
• Sesiuni: expiră după 8 ore. Dacă alegi „Ține-mă minte”, după 30 de zile.
• Linkuri din e-mail: linkurile de invitație și de resetare a parolei sunt stocate doar sub formă de hash și expiră.
• Retragerea accesului: rolul și apartenența la organizație se verifică la fiecare cerere. Când un administrator scoate pe cineva din organizație sau îi schimbă rolul, schimbarea are efect imediat.

4. Izolarea dintre organizații#

Fiecare organizație vede doar datele ei. Izolarea este impusă în codul aplicației, la fiecare interogare a bazei de date, nu doar prin ascunderea unor elemente din interfață. Este verificată prin teste automate, care rulează la fiecare modificare.

5. Cum schimbăm aplicația#

Fiecare modificare a aplicației trece prin teste automate (verificări de cod și teste care folosesc aplicația ca un utilizator real, pe o bază de date separată, de test) înainte de a ajunge în producție. Dacă testele nu trec, modificarea nu este publicată. Dacă noua versiune nu pornește corect, revenim automat la versiunea anterioară.

6. Copii de siguranță#

Frecvența, locul și durata de păstrare a copiilor de siguranță: TBD.

7. Datele șterse#

Înregistrările șterse (de exemplu un client cu tot ce ține de el, un document sau o interacțiune) ajung în Coșul de gunoi timp de 90 de zile. Administratorul organizației le poate restaura de acolo. După 90 de zile, sunt șterse definitiv, împreună cu fișierele lor.

8. Cine are acces la date#

• Utilizatorii organizației, conform rolului lor (administrator, consultant sau membru, vizualizator).
• Personalul ADR Vest care administrează serviciul, doar pentru asistență la cererea organizației, pentru securitate sau când legea ne obligă.
• Asistenții AI pe care un utilizator îi conectează singur prin MCP, cu drepturile contului acelui utilizator. Câmpurile marcate de organizație ca sensibile nu sunt trimise prin MCP.

9. Incidente#

Dacă aflăm de o încălcare a securității care afectează datele unei organizații, anunțăm organizația fără întârzieri nejustificate și în cel mult 48 de ore de când am aflat. Pentru datele pe care le prelucrăm ca operator (de exemplu datele conturilor), anunțăm Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) în cel mult 72 de ore, atunci când legea o cere, și persoanele afectate, dacă riscul pentru ele este ridicat.

10. Raportarea unei vulnerabilități#

Dacă ai găsit o problemă de securitate, scrie-ne la TBD. Descrie ce ai găsit și cum se poate reproduce. Îți mulțumim și te ținem la curent cu remedierea.

Te rugăm să nu testezi securitatea serviciului (scanări, teste de penetrare, încercări de a accesa date care nu sunt ale tale) fără permisiunea noastră scrisă. Datele de pe acest serviciu aparțin unor firme reale și clienților lor.

11. La ce mai lucrăm#

Securitatea nu e un lucru care se termină. Lucrăm la măsuri suplimentare de protecție și la un export pe care administratorii să îl poată face singuri. Când le terminăm, actualizăm această pagină.

Istoricul modificărilor#

• 20 octombrie 2026: prima versiune.