Securitate și confidențialitate
Găzduim date sensibile despre securitatea clienților noștri. Nu putem vinde conformare NIS2 cu un produs care nu respectă aceleași standarde, așa că le aplicăm pe aceleași categorii pe care le cere art. 13.
Actualizat la 1 noiembrie 2026
Identitate și acces
- Autentificare în doi pași
- TOTP (RFC 6238) cu coduri de recuperare de unică folosință. Obligatorie pentru administratorii platformei și pentru consultanți; recomandată tuturor.
- Autentificare cu Google
- OpenID Connect cu verificarea semnăturii, a parametrilor state și nonce. Dacă ai 2FA activ, îți cerem codul și după Google.
- Parole
- Hash argon2id, minimum 10 caractere cu litere mari, mici, cifre și simboluri. Limitare a încercărilor pe IP și pe cont.
- Sesiuni
- Cookie HttpOnly, Secure, SameSite=Lax, token CSRF separat, expirare după 12 ore și după 2 ore de inactivitate. Poți închide orice sesiune din Setări.
- Roluri
- Proprietar, administrator, conformare, contributor, vizualizare și consultant cu drepturi delegate, după principiul minimului necesar.
Izolare între clienți
- Verificare la fiecare cerere
- Fiecare operațiune verifică organizația și rolul utilizatorului. Resursele altui client răspund cu „inexistent”, fără a le dezvălui existența.
- Teste automate
- Suita de teste încearcă la fiecare versiune să citească și să modifice datele altei organizații.
- Acces delegat controlat
- Consultantul vede doar clienții care i-au acordat acces, în limitele acordate și până la data de expirare. Nu poate șterge dovezi.
Fișiere și dovezi
- Scanare antivirus
- Fiecare fișier încărcat este verificat (ClamAV în producție). Fișierele infectate sunt respinse, iar încercarea este jurnalizată.
- Verificarea tipului real
- Tipul fișierului este verificat după conținut, nu după extensie sau după ce declară browserul.
- Integritate
- Fiecare versiune are hash SHA-256. O versiune nouă nu suprascrie istoricul. Pachetul de audit include un manifest cu hash-urile.
- Descărcare autentificată
- Documentele se descarcă doar după verificarea drepturilor, iar fiecare descărcare apare în jurnalul de acces.
Criptare și infrastructură
- În tranzit
- TLS 1.2 sau mai nou, HSTS, antete de securitate stricte (CSP, X-Frame-Options, Referrer-Policy).
- La repaus
- Baza de date și stocarea fișierelor sunt criptate. Secretele 2FA sunt criptate suplimentar la nivel de câmp.
- Rețea
- Baza de date și serviciile interne nu sunt expuse public. Medii separate pentru staging și producție, fără date de producție în staging.
Jurnalizare și monitorizare
- Jurnal de audit imutabil
- Cine, ce, când, pe ce obiect, din ce IP și cu ce dispozitiv. Utilizatorii nu pot modifica sau șterge înregistrările.
- Cine a văzut datele mele
- Proprietarii văd accesările consultanților, descărcările de documente și exporturile.
- Loguri fără conținut
- Logurile aplicației nu conțin date personale sau conținut de documente.
Continuitate
- Backup
- Backup zilnic criptat, păstrat în altă locație, cu test de restaurare lunar. Obiective: RPO 24 de ore, RTO 8 ore.
- Răspuns la incidente
- Runbook de incident: detectare, izolare, evaluare GDPR și NIS2, notificarea clienților afectați, post-mortem.
GDPR și datele tale
Clientul este operator, iar NIS2 Compass este împuternicit. Semnăm DPA cu fiecare client și publicăm lista subprocesatorilor.
Poți exporta oricând toate datele, inclusiv dovezile, fără costuri. Ștergerea organizației are o perioadă de grație de 30 de zile, după care datele se șterg definitiv.
Nu antrenăm modele AI pe datele clienților, nu trimitem conținut de documente către servicii externe fără DPA și nu folosim datele în marketing. Notificările nu conțin date sensibile.
| Documente și dovezi | durata contractului + 5 ani |
|---|---|
| Incidente | 5 ani |
| Jurnal de audit | 5 ani |
| Date de facturare | 10 ani |
| Date șterse | 30 de zile în coș, apoi ștergere definitivă |
Raportarea unei vulnerabilități
Dacă ai descoperit o problemă de securitate, scrie-ne la security@nis2compass.ro cu pașii de reproducere. Confirmăm primirea în 2 zile lucrătoare și nu acționăm împotriva cercetătorilor care raportează responsabil.