Actualizat 16 septembrie 2026
Măsuri tehnice și organizatorice
Această pagină este Anexa 3 la Acordul de prelucrare a datelor. Descrie măsurile pe care Amazing Soft le aplică pentru a proteja datele cu caracter personal prelucrate în numele clienților, conform art. 32 GDPR. Măsurile sunt proporționale cu activitatea unei companii de software și cu riscurile prelucrărilor descrise în Anexa 1 a Acordului. Amazing Soft nu deține în prezent certificări de tip ISO/IEC 27001 și nu pretinde acest lucru.
1. Guvernanță și responsabilități
1.1. Conducerea Amazing Soft (asociații) răspunde de politica de securitate și de protecția datelor. Persoana de contact pentru protecția datelor este disponibilă la gdpr@amazingsoft.ro.
1.2. Măsurile de mai jos se revizuiesc cel puțin o dată pe an și după orice incident de securitate semnificativ.
1.3. Amazing Soft ține un registru al activităților de prelucrare (art. 30 GDPR) atât pentru prelucrările proprii, cât și pentru cele efectuate în numele clienților.
2. Controlul accesului
2.1. Autentificare în doi pași (2FA) este obligatorie pe toate conturile care dau acces la date ale clienților sau la infrastructură: e-mail, GitLab, Hetzner, Romarg, Cloudflare, conturi de furnizori (App Store Connect, Google Play Console, Google Cloud/Firebase, MongoDB Atlas, furnizori de modele AI), panouri de administrare WordPress.
2.2. Principiul privilegiului minim: fiecare persoană primește numai accesul necesar sarcinii. Accesul la sistemele de producție ale clienților se acordă pe conturi nominale (nu partajate), unde sistemul clientului permite, și se limitează la perioada intervenției.
2.3. Revocare: la încheierea unui proiect sau la plecarea unui colaborator, accesele se revocă în cel mult 2 zile lucrătoare de la încheierea proiectului sau de la plecarea colaboratorului, iar parolele partajate cu acea persoană se rotesc.
2.4. Parole: unice pentru fiecare serviciu, complexe și niciodată refolosite; nu se transmit prin e-mail sau chat și nu se scriu în codul sursă.
2.5. Conturile clienților: credențialele primite de la clienți se păstrează separat pe fiecare client, nu se transmit prin e-mail sau chat și se șterg la încheierea proiectului.
3. Criptare
3.1. În tranzit: toate serviciile expuse folosesc TLS 1.2 sau mai nou (HTTPS, SSH, SFTP/FTPS). Fără transmiterea datelor clienților pe canale necriptate.
3.2. În repaus: dispozitivele de lucru (laptopuri, telefoane) au criptare completă a discului activată (FileVault, BitLocker sau echivalent) și blocare automată.
3.3. Securitatea fizică a serverelor ține de furnizorii de infrastructură: serverele Amazing Soft sunt la Hetzner, în centre de date auditate (TÜV); pentru site-urile găzduite la Romarg se aplică măsurile furnizorului de hosting.
3.4. Secrete: cheile API, jetoanele și certificatele se păstrează în variabile de mediu sau într-un manager de secrete, niciodată în depozitele de cod. Cheile se rotesc la suspiciune de compromitere și la încheierea proiectului.
4. Medii separate și date de producție
4.1. Dezvoltarea, testarea (staging) și producția sunt medii separate, cu credențiale diferite.
4.2. Datele de producție nu se copiază în medii de dezvoltare sau de test decât după anonimizare sau pseudonimizare, ori cu instrucțiunea scrisă a clientului pentru un caz specific (de exemplu, reproducerea unei erori), caz în care copia se șterge după rezolvare.
4.3. Seturile de date de test se generează sintetic ori de câte ori este posibil.
4.4. Pentru agenții AI, conversațiile reale ale clienților nu se folosesc pentru testare fără instrucțiunea clientului; testele folosesc scenarii construite.
5. Copii de siguranță (backup)
5.1. Site-ul amazingsoft.ro (WordPress) are backup automat zilnic al fișierelor și al bazei de date, prin UpdraftPlus. Se păstrează ultimele 14 copii ale fișierelor și ultimele 30 ale bazei de date, stocate separat de serverul de producție, în Google Drive (Google Workspace).
5.2. Pentru celelalte sisteme administrate de Amazing Soft, frecvența copiilor de siguranță se stabilește pe fiecare sistem. Copiile expiră în ciclul de rotație, în cel mult 90 de zile de la ștergerea datelor din sistemele active (art. 13.2 din Acord).
5.3. Pentru sistemele clienților, responsabilitatea backup-ului se stabilește în contract; în lipsa unei prevederi, backup-ul rămâne al clientului.
6. Jurnalizare și monitorizare
6.1. Accesul la serverele și panourile administrate de Amazing Soft este jurnalizat (autentificări, acțiuni administrative).
6.2. Site-urile WordPress administrate au firewall aplicativ, scanare de fișiere și alertare la autentificări eșuate repetate.
6.3. Modificările de cod trec prin depozite Git cu istoric complet; publicarea în producție se face prin proceduri documentate, nu prin editare directă pe server, cu excepția intervențiilor de urgență documentate ulterior.
6.4. Disponibilitatea serviciilor este monitorizată cu instrumente găzduite de Amazing Soft (Uptime Kuma). Dacă un proiect folosește raportare de erori externă, aceasta se listează ca sub-procesator, iar configurarea implicită exclude datele personale din rapoarte, în măsura posibilă.
7. Dispozitive și loc de muncă
7.1. Lucrul se face numai de pe dispozitive administrate de Amazing Soft sau aprobate explicit, cu criptare, actualizări automate, protecție antimalware și blocare la inactivitate.
7.2. Fără stocarea datelor clienților pe suporturi amovibile necriptate. Documentele de proiect se păstrează în spații de lucru cloud cu acces controlat, nu pe dispozitive personale.
7.3. Lucrul din spații publice se face cu ecrane protejate și pe conexiuni de încredere (VPN sau rețea mobilă), nu pe Wi-Fi public neprotejat.
8. Colaboratori și subcontractare
8.1. Toți colaboratorii (angajați, PFA-uri, freelanceri, parteneri) semnează un acord de confidențialitate (NDA) și un angajament de respectare a acestor măsuri înainte de a primi acces la date.
8.2. Colaboratorii primesc instruire de bază privind protecția datelor la începutul colaborării și un memento anual.
8.3. Subcontractarea unei părți din servicii către un terț care ar prelucra date ale clienților se face numai conform art. 9 din Acord (notificare prealabilă, drept de obiecție).
9. Furnizori (sub-procesatori)
9.1. Înainte de a folosi un furnizor nou pentru date ale clienților, Amazing Soft verifică: existența unui acord de prelucrare a datelor, locația datelor, mecanismul de transfer în afara SEE, măsurile de securitate publicate și, pentru furnizorii de modele AI, angajamentul de neantrenare și opțiunile de reținere.
9.2. Lista furnizorilor este publicată pe pagina Sub-procesatori și se revizuiește la fiecare modificare și cel puțin anual.
10. Răspunsul la incidente
10.1. Amazing Soft are un plan scris de răspuns la incidente cu patru pași: detectare și izolare, evaluare (ce date, câte persoane, ce risc), notificare (clientul, fără întârzieri nejustificate și în cel mult 48 de ore de la momentul în care Amazing Soft a luat cunoștință de încălcare, conform art. 33 alin. (2) GDPR și art. 12.2 din Acord; autoritatea, dacă Amazing Soft este operator, în cel mult 72 de ore, conform art. 33 alin. (1) GDPR), remediere și lecții învățate. Programul de asistență pentru clienți este luni–vineri, 10:00–18:00, ora României; notificarea breșelor nu depinde de program.
10.2. Fiecare incident se consemnează într-un registru intern, chiar dacă nu a necesitat notificare.
10.3. Persoana de contact pentru incidente: gdpr@amazingsoft.ro.
11. Dezvoltare sigură și testare
11.1. Codul este revizuit înainte de integrare (merge request) și trece prin teste automate unde există.
11.2. Dependențele se actualizează periodic; vulnerabilitățile cunoscute se tratează cu prioritate în funcție de severitate.
11.3. Aplicațiile și site-urile respectă practici de securitate uzuale (validarea intrărilor, protecție împotriva injecțiilor și a CSRF, gestionarea sesiunilor, limitarea ratei de cereri). Testarea de securitate specializată (penetration testing) se face la cererea clientului sau când riscul o impune.
11.4. Principiul protecției datelor începând cu momentul conceperii (art. 25 GDPR): setările implicite ale soluțiilor livrate minimizează datele colectate și perioadele de păstrare.
12. Ștergere și returnare
12.1. La încheierea unui proiect, datele clientului se returnează sau se șterg conform art. 13 din Acord; ștergerea include depozitele de lucru, seifurile de parole, spațiile de proiect și, în ciclul de rotație, backup-urile.
12.2. Dispozitivele scoase din uz sunt șterse securizat sau distruse fizic.
13. Continuitatea activității
13.1. Codul sursă și documentația proiectelor se păstrează în instanța GitLab a Amazing Soft (Hetzner), nu pe dispozitive individuale, astfel încât un proiect poate fi reluat după pierderea unui dispozitiv.
13.2. Cel puțin două persoane din conducere au acces de urgență la conturile de administrare esențiale, cu proceduri de recuperare documentate, astfel încât indisponibilitatea unei singure persoane să nu blocheze accesul.
Măsurile pot fi actualizate conform art. 8.2 din Acord, fără scăderea nivelului de protecție. Versiunile anterioare sunt disponibile la cerere.