Direct Consulting & Advertising SRL (CUI RO15938781) третира защитата на личните данни като стратегически приоритет. Тази страница обобщава нашите ангажименти по отношение на Регламент (ЕС) 2016/679 (GDPR) и Закон 190/2018, както в качеството на администратор (данни, събрани чрез сайта), така и в качеството на обработващ лични данни (данни, обработвани за клиентите на платформата Elevio One).

1. Принципи на GDPR, които прилагаме

Законосъобразност, добросъвестност, прозрачност — всяка обработка има документирано правно основание и е ясно описана в Политиката за поверителност.
Ограничаване на целта — данните се използват само за декларираните цели.
Минимизиране на данните — събираме само строго необходимото.
Точност — актуализираме и коригираме данните при поискване.
Ограничаване на съхранението — ясно определени срокове за съхранение.
Цялостност и поверителност — криптиране, контрол на достъпа, одит.
Отчетност — пълна документация на обработките (Регистър на дейностите по обработване съгласно чл. 30 от GDPR).

2. Технически и организационни мерки

Технически

Криптиране TLS 1.3 за всички комуникации.
Криптиране в покой за базата данни и съхраняваните файлове.
Защита на ниво ред (RLS) — всеки клиент вижда строго данните на собствената си организация.
Хеширане SHA-256 за чувствителни идентификатори (напр. IP адреси в логовете за борба с измамите).
Ежедневен криптиран бекъп, съхраняван 30 дни.
Непрекъснат мониторинг, предупреждения за сигурност, одитни логове.
Периодично кръпкане на зависимости (политики на Dependabot / сканиране за уязвимости).

Организационни

Споразумение за поверителност (NDA) за всички сътрудници.
Достъп по принципа „необходимост да се знае”.
Периодично обучение на екипа относно защитата на данните.
Процедура за уведомяване за инциденти по сигурността пред ANSPDCP в рамките на максимум 72 часа (чл. 33).
Оценки на въздействието (DPIA) за нови обработки с висок риск (чл. 35).

3. Местоположение на данните и трансфери

Данните се съхраняват в Европейския съюз (центрове за данни на нашите доставчици: Lovable Cloud / Supabase, собствена SMTP инфраструктура, хоствана в Румъния).

За услуги, при които трансферът към САЩ е неизбежен (напр. Google Analytics, Meta Pixel — само със съгласие), прилагаме рамката за защита на личните данни между ЕС и САЩ (EU-US Data Privacy Framework) и/или стандартни договорни клаузи, одобрени от Европейската комисия (чл. 46 от GDPR).

4. Права на субектите на данни

Вижте раздела „Вашите права“ в Политиката за поверителност за пълния списък (достъп, коригиране, изтриване, преносимост, възражение, оттегляне на съгласие, жалба до ANSPDCP).

За всяко запитване пишете на dpo@elevioone.io. Отговаряме в рамките на максимум 30 дни.

5. Споразумение за обработка на данни (DPA) за клиенти

Като доставчик на SaaS (Elevio One), ние обработваме лични данни от името на нашите клиенти (счетоводни фирми, предприемачи). За тази обработка подписваме споразумение за обработка на данни (DPA) съгласно чл. 28 от GDPR, неразделна част от договора за услуги.

DPA включва:

Предмет, продължителност, естество и цел на обработката.
Категории данни и субекти на данни.
Задължения и права на администратора-клиент.
Списък на под-обработващите и механизъм за уведомяване при тяхната промяна.
Прилагани мерки за сигурност.
Помощ при искания от субекти на данни.
Уведомяване за инциденти по сигурността в рамките на 24 часа до администратора.
Връщане или изтриване на данните след изтичане на договора.
Одит и проверка на съответствието.

За да получите DPA във формат за редактиране (PDF + .docx), пишете на dpo@elevioone.io.

6. Под-обработващи

Списъкът на под-обработващите с достъп до данни се актуализира редовно и е част от DPA. Основните под-обработващи са:

Lovable Cloud / Supabase — база данни, удостоверяване, периферни функции (ЕС).
DirectHosting — SMTP инфраструктура за транзакционни имейли (Румъния).
Google LLC — анализи (само със съгласие).
Meta Platforms Ireland Ltd. — пиксел за маркетинг (само със съгласие).

7. Длъжностно лице по защита на данните (DPO)

Единна точка за контакт по всички въпроси, свързани със защитата на данните: dpo@elevioone.io.

8. Надзорен орган

Национален надзорен орган за обработка на лични данни (ANSPDCP)
бул. Генерал Георге Магхеру 28-30, Сектор 1, Букурещ, 010336
Имейл: anspdcp@dataprotection.ro
Уеб: www.dataprotection.ro

Съответствие с GDPR