Această politică explică ce date personale prelucrează CALISERO S.R.L. (CUI RO31869276, nr. de ordine în Registrul Comerțului J2013000949080, cu sediul în Păşunii 7A, Braşov, jud. Braşov, 500371), furnizorul onDuty, de ce, pe ce temei, cui le transmite și cât timp le păstrează, conform Regulamentului (UE) 2016/679 (GDPR) și Legii nr. 190/2018. Pentru orice întrebare despre datele tale, scrie-ne la [email protected].
1. Când suntem operator și când lucrăm pentru clienții noștri
Suntem operator pentru:
- datele utilizatorilor care își fac cont și lucrează în consola onDuty (dashboard.onduty.ro);
- datele de facturare și de plată ale clienților;
- mesajele trimise către noi și datele tehnice ale vizitatorilor site-ului onduty.ro.
Suntem persoană împuternicită, adică prelucrăm datele în numele clientului și după instrucțiunile lui, pentru:
- datele pe care clientul le introduce despre echipa lui: persoanele de gardă, telefoanele și emailurile lor, turele, înlocuirile și concediile;
- abonații paginilor de status ale clientului;
- datele din sistemele clientului care ajung la noi prin verificări, alerte primite și API, de exemplu numerele către care clientul cere apeluri sau SMS-uri.
Pentru acestea, clientul este operator și răspunde de informarea persoanelor. Relația noastră cu el este reglementată de Acordul de prelucrare a datelor. Dacă ești abonat la pagina de status a unei firme sau ești sunat ca persoană de gardă a unei firme, adresează-te întâi acelei firme; te ajutăm și noi la [email protected].
2. Ce date prelucrăm
| Categorie | Ce conține | De unde vin |
|---|---|---|
| Contul și utilizatorii | numele, emailul, telefonul (+40), parola (doar ca hash), rolurile în cont și în proiecte, setările de notificare | de la tine sau de la cine te invită |
| Firma și facturarea | denumirea, CUI, nr. de înregistrare, sediul și starea TVA; pentru persoane fizice, numele și adresa de facturare (fără CNP); emailul de facturare; facturile, plățile și starea lor | de la tine și din serviciile publice ANAF |
| Securitatea contului | codurile de verificare (păstrate doar ca amprentă criptografică), secretul pentru a doua etapă de autentificare (criptat) și codurile de recuperare, dispozitivele de încredere, sesiunile active cu IP-ul și browserul, jurnalul de audit (cine, ce, când, IP, browser) | din folosirea consolei |
| Alertare și gardă | turele, înlocuirile, concediile, politicile de escaladare, apelurile (numărul, ora, durata, tasta apăsată, rezultatul), SMS-urile, emailurile, mesajele de chat și notificările trimise, abonamentele push ale browserului | din folosirea serviciului |
| Monitorizare | adresele și setările verificărilor (secretele din header-e se păstrează criptat), rezultatele și timpii de răspuns, dovada unei căderi (codul HTTP, header-ele, primii 4 KB din răspuns, IP-ul serverului), alertele primite din alte sisteme | din sistemele clientului |
| Pagini de status | emailul sau telefonul abonaților, componentele urmărite, limba, data confirmării, IP-ul de la abonare | de la abonați |
| Servere și vizitatori reali | metricile serverelor pe care clientul instalează agentul onDuty (procesor, memorie, disc, rețea, procese); de pe site-ul clientului, dacă instalează scriptul onDuty: calea paginii (fără parametri), familia și versiunea browserului, tipul de dispozitiv, timpii de încărcare și erorile JavaScript, fără cookie-uri, adrese IP sau identificatori | din sistemele clientului |
| Apeluri primite | numărul apelantului și, dacă apelantul lasă unul pe numărul platformei, mesajul vocal | de la apelant |
| Contact și suport | ce ne scrii și datele tale de contact | de la tine |
| Vizitatorii site-ului | IP-ul și datele tehnice ale cererii (browserul, pagina cerută), procesate pentru livrare și securitate; site-ul nu setează cookie-uri | automat |
Nu înregistrăm convorbirile. Mesajele de alertă se citesc de un sintetizator de voce care rulează pe serverele noastre, așa că textul lor nu ajunge la un serviciu extern de voce. Nu primim și nu păstrăm datele cardurilor: plata cu cardul se face pe pagina Netopia.
3. De ce le prelucrăm și pe ce temei
| Scop | Temeiul (art. 6 alin. 1 GDPR) |
|---|---|
| Crearea și administrarea contului, autentificarea și furnizarea serviciului: verificări, incidente, alerte, gardă, pagini de status, API | executarea contractului (lit. b) |
| Confirmarea emailului și a telefonului, autentificarea în doi pași, avertizările de securitate (autentificare dintr-un browser nou, parolă schimbată) | executarea contractului (lit. b) și interesul nostru legitim de a proteja conturile (lit. f) |
| Facturarea, încasarea, evidența contabilă și fiscală, e-Factura | obligația legală (lit. c) și executarea contractului (lit. b) |
| Mementourile de plată și coborârea pe planul Gratuit la neplată | executarea contractului (lit. b) |
| Prevenirea fraudei și a abuzului: limite, numere verificate, jurnalul de audit | interesul nostru legitim (lit. f) |
| Răspunsurile la mesaje și suportul | executarea contractului (lit. b) sau interesul nostru legitim (lit. f) |
| Anunțurile despre serviciu: schimbarea termenilor sau a prețurilor, lucrări planificate | executarea contractului (lit. b) |
| Constatarea, exercitarea sau apărarea unui drept în instanță | interesul nostru legitim (lit. f) |
Nu trimitem mesaje de marketing fără acordul tău, nu vindem date și nu facem profilare. Coborârea automată pe planul Gratuit la neplată este o consecință a contractului (secțiunea 4.5 din Termeni), nu o decizie bazată pe profilare.
4. Cui transmitem datele
Folosim următorii furnizori, care prelucrează datele doar după instrucțiunile noastre și sunt obligați prin contract să le protejeze:
| Furnizor | Pentru ce | Unde |
|---|---|---|
| DigitalOcean | serverele, baza de date și cache-ul platformei | Frankfurt, Germania (UE) |
| Cloudflare | DNS, protecția împotriva atacurilor, certificatele, livrarea paginilor și domeniile proprii ale paginilor de status | rețea globală; companie din SUA |
| Resend | trimiterea emailurilor: coduri, alerte, facturi, anunțuri de pe paginile de status | companie din SUA |
| Calisero | trimiterea SMS-urilor și a codurilor de confirmare a telefonului | România |
| Voxbee | apelurile telefonice (furnizorul nostru de telefonie) | România |
| SmartBill | emiterea facturilor și transmiterea lor în RO e-Factura | România |
| Netopia Payments | plata cu cardul a facturilor | România |
| Laravel Nightwatch | monitorizarea erorilor și a performanței aplicației, cu date minimizate | companie din SUA |
| serviciile push ale browserelor (Google, Apple, Mozilla, Microsoft) | livrarea notificărilor push pe care le-ai permis | după browserul folosit |
Datele mai ajung, după caz:
- la ANAF, când căutăm datele unei firme după CUI și când facturile se transmit prin e-Factura;
- la operatorii de telefonie ai destinatarilor, care livrează apelurile și SMS-urile;
- la destinațiile alese de client: aplicațiile de chat (Slack, Microsoft Teams, Google Chat, Discord, Telegram, Mattermost) și adresele webhook pe care clientul le configurează primesc datele incidentelor la cererea lui;
- la autorități, doar când legea ne obligă.
5. Transferuri în afara Uniunii Europene
Platforma și baza de date sunt găzduite în Uniunea Europeană (Frankfurt). Unii furnizori (Cloudflare, Resend, Laravel Nightwatch și DigitalOcean, ca grup) sunt companii din SUA și pot accesa date din afara Spațiului Economic European. Aceste transferuri se fac în baza deciziei de adecvare a Comisiei Europene pentru cadrul UE–SUA privind protecția datelor (Data Privacy Framework), pentru furnizorii certificați, sau a clauzelor contractuale standard aprobate de Comisie.
6. Cât timp păstrăm datele
| Date | Cât timp |
|---|---|
| Contul, utilizatorii, proiectele, turele și setările | cât timp există contul; după închidere se șterg sau se anonimizează în cel mult 30 de zile |
| Istoricul: incidentele, căderile, statisticile verificărilor, simulările, metricile serverelor, datele vizitatorilor reali, verificările de calitate și în browser | cât prevede planul contului („Istoric”, între 7 zile și 3 ani); după trecerea pe un plan cu istoric mai scurt, ce e mai vechi se șterge după 30 de zile; la coborârea pe Gratuit pentru neplată nu se șterge nimic până la plată |
| Codurile de confirmare și invitațiile | expiră după 15 minute, respectiv 7 zile |
| Sesiunile | până la deconectare sau după 2 ore de inactivitate; cu „Ține-mă minte”, până la 400 de zile; un dispozitiv de încredere, 30 de zile |
| Rezultatele brute ale verificărilor și agregatele orare | 90 de zile, sau mai puțin dacă planul păstrează mai puțin |
| Dovezile căderilor (răspunsul serverului la eroare) | 30 de zile, cu excepția celor legate de o cădere, care rămân în istoricul ei |
| Semnalele heartbeat | 30 de zile |
| Conținutul alertelor primite din alte sisteme | 90 de zile (incidentele deschise de ele rămân) |
| Jurnalul notificărilor (apeluri, SMS, emailuri, push, chat) | cât prevede planul, dar niciodată înainte de facturarea lunii lui (stă la baza facturării consumului); cel mult 400 de zile |
| Linkurile de confirmare a incidentelor | 90 de zile |
| Fișierele audio ale mesajelor de alertă | 2 zile |
| Mesajele vocale lăsate pe numărul platformei | cel mult 30 de zile |
| Abonații paginilor de status | până la dezabonare, când se șterg imediat; abonările neconfirmate se șterg după 48 de ore |
| Jurnalul de audit | 2 ani |
| Facturile și documentele contabile | cât cere legislația contabilă și fiscală (în prezent, 10 ani) |
| Mesajele de contact și suport | cât e nevoie ca să răspundem, apoi cel mult 3 ani |
| Copiile de siguranță ale bazei de date | se rescriu în cel mult 7 zile |
7. Drepturile tale
Ai dreptul:
- să afli ce date prelucrăm despre tine și să primești o copie (dreptul de acces);
- să ceri corectarea datelor greșite; pe cele mai multe le poți schimba singur, din Setări în consolă;
- să ceri ștergerea datelor, când nu mai avem un temei să le păstrăm;
- să ceri restricționarea prelucrării;
- să primești datele pe care ni le-ai dat într-un format structurat, ca să le duci la alt furnizor (portabilitatea);
- să te opui prelucrării bazate pe interesul nostru legitim;
- să îți retragi oricând consimțământul, acolo unde prelucrarea se bazează pe el;
- să nu faci obiectul unei decizii bazate exclusiv pe prelucrare automată care te afectează semnificativ.
Scrie-ne la [email protected]. Îți răspundem în cel mult o lună, termen care se poate prelungi cu două luni pentru cereri complexe, caz în care te anunțăm. Putem cere informații care să confirme că cererea vine de la tine.
Dacă nu ești mulțumit de răspunsul nostru, poți depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral Gheorghe Magheru nr. 28-30, sector 1, București, www.dataprotection.ro, sau te poți adresa instanței.
8. Cum protejăm datele
Conexiunile sunt criptate (TLS). Parolele se păstrează doar ca hash, iar secretele (header-ele verificărilor, adresele webhook, tokenurile de chat, cheile de integrare) se criptează în baza de date și nu apar în jurnale. Datele conturilor sunt separate strict, fiecare utilizator vede doar proiectele în care are acces, iar acțiunile sensibile se scriu în jurnalul de audit. Autentificarea în doi pași este disponibilă pentru toți utilizatorii și obligatorie pentru administratorii platformei. Detaliile sunt în Acordul de prelucrare a datelor.
9. Cookie-uri
Site-ul și paginile de status publice nu setează cookie-uri; o pagină de status privată setează un singur cookie, după parola corectă. Consola folosește doar cookie-uri strict necesare. Toate sunt descrise în Politica de cookie-uri.
10. Minorii
onDuty nu se adresează persoanelor sub 18 ani și nu prelucrăm cu bună știință datele lor.
11. Modificarea politicii
Fiecare versiune a acestei politici are un număr și o dată, iar versiunile anterioare se păstrează. Schimbările importante le anunțăm prin email și în consolă înainte să se aplice.